Tätigkeitsbericht der Datenschutzbeauftragten des Kantons Basel-Stadt 2015

Einleitung 2015: «Und – alles im Griff?»

Die Verfassung gibt den Behörden die Aufgabe, die

achten, darunter auch das Grundrecht auf informationelle

die Entwicklungen – technologische, gesellschaftliche und

Grundrechte der Bürgerinnen und Bürger zu

Selbstbestimmung. Mit einem Blick auf

politische – stellt sich die Frage: Kommen

die Behörden dieser Aufgabe nach? Inwiefern ist es überhaupt möglich, dieser Aufgabe nachzu-

kommen? Was ist die Funktion des Datenschutzbeauftragten

Bevölkerung der Schutz ihrer Persönlichkeitsrechte?

Eine gute Frage

Alles im Griff? Da kommt an einem Anlass ein junger

alles im Griff?» Das könnte man jetzt abtun als Smalltalk –

nicht losgelassen. Es ist eigentlich eine sehr gute Frage!

Entwicklungen im Jahr 2015 Allein wenn wir uns vor

auf den Datenschutz – direkt oder indirekt auch auf die

wird: Haben wir dann alles im Griff? Informationssicherheit

geschlossen, tauchen die nächsten zwei auf. Der Europäische

nen ein Recht auf Vergessen anerkannt und etwas später

hoben. Terroranschläge in Paris führen in der Öffentlichkeit

massnahmen. Und knapp vor Jahresende hat in der

und Kommission mit einer Einigung bezüglich der

Auswirkungen auf Basel-Stadt haben wird: Der eine Erlass,

polizeiliche Zusammenarbeit, ist schengenrelevant. Wenn

hin vom Zugang zum Schengener Informationssystem (SIS)

Datenschutzgesetzgebungen dem neuen Niveau anpassen.

Datenschutzgesetz (IDG¹) nicht total umgekrempelt

werden trotzdem erforderlich sein.

in dieser Sache? Und wie wichtig ist der

Grossrat auf mich zu und fragt interessiert: «Und –

was soll er denn sonst sagen? Mich hat die Frage aber

Augen halten, was 2015 alles passiert ist und sich

Verwaltung des Kantons – auswirkt oder auswirken

wird immer anspruchsvoller – kaum ist eine Lücke

Gerichtshof (EuGH) hat gegenüber Suchmaschi-

das EU-Safe-Harbor-Abkommen mit den USA aufge-

reflexartig zur Forderung nach neuen Überwachungs-

Europäischen Union der Trilog zwischen Parlament, Rat

EU-Datenschutzreform geendet – was durchaus direkte

die neue Datenschutzrichtlinie für die justizielle und

also die Sicherheits- und Migrationsbehörden weiter-

profitieren wollen, müssen Bund und Kantone ihre

Dazu muss das baselstädtische Informations- und

werden – aber einige nicht unwesentliche Änderungen

Verantwortung Alles im Griff? Als Datenschutzbeauftragter könnte man nun knapp antworten: «Nicht wir

müssen es im Griff haben, sondern nur darauf hinarbeiten,

wortung für den Umgang mit Informationen liegt – so regelt

Organ, das zur Erfüllung seiner gesetzlichen Aufgabe

dass die anderen es im Griff haben.» Die Verant-

es das IDG – bei der Dateneignerin, beim öffentlichen

die Informationen bearbeitet. Nur – so verstehen wir

unsere Aufgabe nicht. Sich derart banal aus der Verantwortung zu stehlen, wäre «die billige Tour».

Zuweisung der Verantwortung Klar liegt die Verantwortung nicht beim Datenschutzbeauftragten, wenn die

Kantonspolizei einem Medienschaffenden eine bestimmte

Information nicht zugänglich macht, weil ein öffentli-

ches Geheimhaltungsinteresse gegenüber dem Zugangsinteresse der Öffentlichkeit überwiege. Klar liegt die

Verantwortung nicht beim Datenschutzbeauftragten, wenn

einen Onlinezugriff auf ihre Daten erlaubt. Und klar liegt die

die Gebäudeversicherung Immobilien Basel-Stadt

Verantwortung nicht beim Datenschutzbeauftragten,

wenn ein Departement Personendaten durch ein ausländisches Unternehmen bearbeiten lässt, ohne dem

Unternehmen die informations- und datenschutzrechtlichen

der Datenschutzbeauftragte seine gesetzliche Aufgabe

Aufgaben des Datenschutzbeauftragten

Pflichten zu überbinden. Aber ebenso klar ist, dass

nicht erfüllt, wenn er dies einfach geschehen lässt.

Beratung Die Hauptaufgaben des Datenschutzbeauftragten sind Beratung und Kontrolle. Die Kantonspolizei

kann ihn beiziehen für die Frage der Einschränkung des

muss ihm ihren Entscheid über die Einräumung eines

Informationszugangsrechts. Die Gebäudeversicherung

Onlinezugriffs zur Vorabkontrolle unterbreiten. Und

wenn er feststellt, dass Verträge über Auftragsdatenbearbeitungen ohne die gesetzlich erforderlichen Klauseln — S. 5 —abgeschlossen worden sind, kann er beim Departement Vereinbarung mit der Auftragnehmerin ergänzt wird.

in der Verwaltung läuft, ist er darauf angewiesen, dass waltung merken, wenn sie ihn beiziehen sollten, damit

Kontrolle Der Datenschutzbeauftragte kontrolliert, vorstellig werden und zu erreichen versuchen, dass die Da der Datenschutzbeauftragte aber nicht alles weiss, was sensibilisierte Mitarbeiterinnen und Mitarbeiter der Versie die Rechte der betroffenen Personen nicht verletzen.

ob der Umgang mit Informationen gesetzeskonform erfolgt.

Aber auch solche Kontrollen können nie flächendeckend erfolgen, sondern bloss stichprobenweise. Auch hier ist es somit unerlässlich, dass aufmerksame Mitarbeiterinnen und Mitarbeiter der Verwaltung ihre Verantwortung

wahrnehmen. Und wenn eine Datenschutz-Prüfung die man sich verteidigen muss, sondern vielmehr um der Grundrechte der betroffenen Personen.

Sensibilisierung Es ist unumgänglich, dass die Defizite aufdeckt, geht es nicht um Schuldzuweisung, gegen Anstösse zur Verbesserung – im Interesse des Schutzes

Mitarbeiterinnen und Mitarbeiter der Verwaltung für die

Aspekte Datenschutz und Öffentlichkeitsprinzip sensibilisiert sind. Daran arbeiten wir – und stellen dies in diesem

Tätigkeitsbericht auch vor (Seiten 8 f.). Auf der anderen Daten bearbeiten, die betroffenen Personen. Welche wichtig ist ihnen der Schutz ihrer Persönlichkeitsrechte Seite stehen die Personen, über die staatliche Behörden Erwartungen haben diese an die öffentlichen Organe? Wie und der Zugang zu Informationen nach dem Öffentlich-

keitsprinzip? Vier Fragen dazu konnten der Bevölkerung im Rahmen der Bevölkerungsbefragung 2015

unterbreitet werden. Wir stellen die entsprechenden unsere Schlüsse daraus (Seiten 9 ff.).

Also alles im Griff? Es wäre vermessen, behaupten uns darum. Wir unterstützen die öffentlichen Organe Öffentlichkeitsprinzips einzuhalten. Wir unterstützen beiten oder die um Zugang zu Informationen ersuchen, wir zwischen den staatlichen Stellen und den Privaten. Projekten treten wir quasi als «Fürsprecher» der mitwirken und ihre Rechte selber wahrnehmen können.

Zum Schluss

Dank Unsere Aufgabe könnten wir nicht erfolgreich tutionen unterstützt würden. Mein Dank gilt deshalb Resultate vor, versuchen, sie zu interpretieren, und ziehen

zu wollen, wir hätten «alles im Griff». Aber wir bemühen in ihrem Bestreben, die Regeln des Datenschutzes und des die Personen, deren Daten die öffentlichen Organe bear-

in der Wahrnehmung ihrer Rechte. Und oft vermitteln Im Vorfeld der Rechtsetzung und der Umsetzung von Rechte der Betroffenen ein, die in dieser Phase ja nur selten

erfüllen, wenn wir nicht von vielen Menschen und Insti-

—der Bevölkerung und den staatlichen Institutionen für das entgegengebrachte Vertrauen;

—allen, die sich mit Fragen zum Datenschutz

—allen Mitarbeiterinnen und Mitarbeitern der Gerichte, die mithelfen, datenschutzkonforme Lösungen und zum Informationszugang vertrauensvoll an uns wenden; Verwaltung, der öffentlichrechtlichen Anstalten und der

zu finden und umzusetzen;

—den Kolleginnen und Kollegen der «Kleeblatt-Dienststellen» für die unkomplizierte Zusammenarbeit;

—den Präsidien und Mitgliedern des Grossen der Kommissionen für ihr Interesse an unserer Arbeit

—der Volontärin Katrin Gisler und dem Volontär Mitarbeit und

—last but not least meinem Team – Markus Katja Gysin (ab 1. Dezember 2015), Sandra Husi (bis 2015), Daniela Waldmeier und Barbara Widmer –,

Diskussionen und konstruktiven Anregungen unsere Jahren haben uns zwei Juristinnen aus dem «Startteam» und Carmen Lindner. Ihnen beiden gebührt mein Aufbau der neuen Stelle! Beiden wünsche ich viel Erfolg Rates, des Büros, der Datenschutz-Delegation des Büros und und ihre wertvolle Unterstützung;

Jonas Annasohn für ihre kritische Neugier und ihre aktive

Brönnimann, Katrin Gisler (befristet ab 1. November 2015), 30. September 2015), Carmen Lindner (bis 30. November das mit unverändert grossem Engagement, mit spannenden Arbeit bereichert und vorangebracht hat. Nach rund 6 ¾

verlassen, Sandra Husi-Stämpfli, meine Stellvertreterin, grosser Dank für ihren tollen und erfolgreichen Einsatz bei und Befriedigung in ihrer weiteren beruflichen Laufbahn!

Beat Rudin, Datenschutzbeauftragter

Themen — S. 7 —Thema 1 Für 84,4 % der Bevölkerung

ist Datenschutz sehr wichtig Thema 2 Die «schwierige»

Dateneignerin

Thema 1 Für 84,4 % der Bevölkerung ist Datenschutz sehr

In der Bevölkerungsbefragung 2015 wurde gefragt, keitsrechte und das Öffentlichkeitsprinzip sind. Die

wichtig

wie wichtig den Befragten der Schutz ihrer Persönlich-Ansprüche der Bevölkerung sind diesbezüglich

sehr hoch. Auf der anderen Seite zeigt sich in der Beratungstätigkeit des Datenschutzbeauftragten, dass

Mitarbeitende der Verwaltung sich der Datenschutzrelevanz Hier will die verstärkte Sensibilisierungstätigkeit des

Sensibilisierung?

Fragen Sensibilisierung spielt im Umfeld von Datenschutz und Öffentlichkeitsprinzip auf zwei Seiten eine Rolle:

—auf Seiten der Datenbearbeiterinnen und Daten bearbeiter: Ist ihnen bewusst, dass und welche Datenschutzregeln sie einzuhalten haben, wenn sie Daten über Bürgerinnen und Bürger bearbeiten? Ist ihnen bewusst, dass und welche Regel des Öffentlich keitsprinzips sie zu beachten haben, wenn sie Informationen bearbeiten?

—auf Seiten der betroffenen Personen: Ist ihnen bewusst, dass sie Rechte haben, die sie gegenüber Datenbearbeiterinnen und Datenbearbeitern einfordern können? Wie wichtig sind ihnen Datenschutz und Öffentlichkeitsprinzip?

Teilweise mangelndes Bewusstsein Diese Fragen stellt sich der Datenschutzbeauftragte immer, wenn sich beispielsweise bei Beratungen zeigt, dass Mitarbeitende der Verwaltung sich gar nicht bewusst sind, dass bei ihren Tätigkeiten Datenschutzrecht gilt. Dementsprechend ist dann auch nicht garantiert, dass Datenbearbeitungen gesetzeskonform vorgenommen werden oder dass, wenn dies fraglich ist, der Datenschutzbeauftragte zur Unterstützung beigezogen wird.

Vorhaben Der Datenschutzbeauftragte hat sich deshalb 2015 vorgenommen, künftig stärker für die Sensibilisierung bei den Themen Datenschutz und Öffentlichkeitsprinzip aktiv zu werden. Auf der einen Seite sollte mit verschiedenen Sensibilisierungsaktivitäten das Sensorium der Mitarbeitenden der Verwaltung für Fragen des Datenschutzes und des Öffentlichkeitsprinzips gestärkt werden. Auf der anderen ihres Handelns nicht immer bewusst sind.

Datenschutzbeauftragten ansetzen.

Seite nahm es ihn wunder, wie wichtig der Datenschutz für die Betroffenen, die Bürgerinnen und Bürger ist. Diesbezüglich ergab sich die Möglichkeit, in die Bevölkerungsbefragung 2015 Fragen zum Datenschutz und zum Öffentlichkeitsprinzip aufnehmen zu lassen.

Verwaltungsinterne Sensibilisierungsaktivitäten

«Personelle» Verstärkung Für die verwaltungsinterne Sensibilisierung konnte das Team des Datenschutzbeauftragten verstärkt werden – und das erst noch ohne Erhöhung des Headcounts. Der neue Mitarbeiter bekommt nämlich weder Lohn noch benötigt er einen Arbeitsplatz. Auch sozialversicherungstechnisch ist er anspruchslos … Der neue Mitarbeiter bekommt weder Lohn noch benötigt er einen Arbeitsplatz. Auch sozialversicherungstechnisch ist er anspruchslos … Datenschutz-Basilisk Der neue Mitarbeiter trat erstmals Ende Frühjahr 2015 auf – in «BS intern»¹, dem Personalmagazin für alle Mitarbeitenden und die Pensionierten der kantonalen Verwaltung. Der «Datenschutz-Basilisk» taucht plötzlich auf, wenn Mitarbeitende mit Fragen des Datenschutzes oder des Öffentlichkeitsprinzip konfrontiert sind – speziell wenn sie sich dessen gar nicht bewusst sind. In verständlicher und umgänglicher Art weist er auf mögliche Probleme und die geltenden Regeln hin. Er will damit die Leserinnen und Leser zu einem sorgsamen Umgang mit den eigenen und fremden Daten anhalten und ihnen die Bedeutung von Persönlichkeitsschutz und Transparenz bewusst machen (zu den im Jahr 2015 behandelten Themen vgl. hinten Seite 29). Und selbstverständlich hat der Datenschutz-Basilisk (abgekürzt: DSB) auch eine Website: <http://www. dsb.bs.ch>. Auf ihr können alle bisher erschienenen Beiträge abgerufen werden².

Schulungen und Referate Selbstredend wurden auch die bisher schon bestehenden Sensibilisierungsaktivitäten fortgesetzt. Zu den Schulungen, Referaten und Publikationen siehe hinten auf den Seiten 28 f.).

Die Bevölkerungsbefragung

Hintergrund Um mehr über die Bedeutung des Datenschutzes aus dem Blickwinkel der Betroffenen herauszufinden, hat sich der Datenschutzbeauftragte an das Statistische Amt gewandt. Eine separate Befragung der Bevölkerung zum Thema Datenschutz, wie sie beispielsweise der Datenschutzbeauftragte des Kantons Zürich hat durchführen lassen, stand ausser Betracht. Es bot sich aber die Gelegenheit, in der 2015 durch das Statistische Amt durchgeführten Bevölkerungsbefragung³ Fragen zum Thema Datenschutz und Öffentlichkeitsprinzip zu platzieren.

als

Fragen an die Bevölkerung Die Integration in die Bevölkerungsbefragung des Statistischen Amtes führte zu einer Beschränkung der Anzahl Fragen. Mit Unterstützung durch die Spezialistinnen und Spezialisten des Statistischen Amtes wurden schliesslich vier Fragen⁴ formuliert und in den Fragebogen aufgenommen:

—«Die öffentliche Verwaltung und private Unternehmen speichern Daten über Sie. Wie wichtig ist es Ihnen, dass Ihre persönlichen Daten von der öf fentlichen Verwaltung und den privaten Unternehmen geschützt werden? Bitte geben Sie hier eine Note zwischen 1 = überhaupt nicht wichtig und 10 = sehr wichtig.»

—«Seit dem 1. Januar 2012 gilt im Kanton Basel-Stadt das Öffentlichkeitsprinzip: Das heisst, die Informationen der Verwaltung sind nicht mehr alle geheim, sondern in der Regel öffentlich zugänglich. Wie wichtig finden Sie das? Bitte geben Sie hier eine Note zwischen 1 = überhaupt nicht wichtig und 10 = sehr wichtig.»

—«Wie beurteilen Sie den Stellenwert, den der Datenschutz in der öffentlichen Diskussion hat? Wird er überbewertet, hat er den richtigen Stellenwert oder müsste er noch mehr thematisiert werden?»

—«Wissen Sie, dass Sie auf der Website des Datenschutzes des Kantons Basel-Stadt <www.dsb. bs.ch> umfassende Informationen zu Ihren Rechten finden?»

Zusammensetzung der Befragten Durch die Integration in die Bevölkerungsbefragung des Statistischen Amtes konnte eine grössere Anzahl Personen befragt werden, als dies bei einer gesonderten Befragung möglich gewesen wäre. Die Auswahl der Befragten erfolgte nach unterschiedlichen Kriterien. So sollten neben Personen mit Schweizer Bürgerrecht auch Ausländerinnen und Ausländer mit Bewilligung B und C befragt werden. Ebenso ist eine Altersdurchmischung von 18 bis über 69 Jahren angestrebt worden. Beteiligt haben sich schliesslich etwas über 1 500 Personen.

84,4 % der Befragten empfinden den Schutz der Personendaten, die von der öffentlichen Verwaltung und von privaten Unternehmen bearbeitet werden, als sehr wichtig und 91 % eher oder sehr wichtig.

Die Ergebnisse 5

Wichtigkeit des Persönlichkeitsschutzes Den Schutz der persönlichen Daten, die von der öffentlichen Verwaltung und von privaten Unternehmen bearbeitet werden, beurteilen die befragten Personen mit einem Mittelwert von 8,9 auf einer 10er-Skala; fasst man die Skalenwerte zusammen, dann empfinden 84,4% der Befragten den Schutz der Personendaten als sehr wichtig (Skalenwerte von 8 bis 10) und 91% als eher oder sehr wichtig (Skalenwerte 6-10)⁶. Frauen ist der Datenschutz etwas häufiger eher oder sehr wichtig (93%) als Männern (89%), Ausländerinnen und Ausländern (93%) häufiger als Schweizerinnen und Schweizern (90%). Anders als beim Geschlecht oder dem Bürgerrecht lassen sich bei den unterschiedlichen Haushalteinkommen kaum Unterschiede ausmachen. Nach Altersgruppen steigt die Beurteilung als eher oder sehr wichtig (Skalenwerte 6-10) von 93% (18-29-jährig, 30-39-jährig) leicht auf 95% (40-49-jährig) und sinkt dann wieder auf 93% (50-59-jährig, 60-69-jährig); bei den über 69-Jährigen fällt sie dann ab auf 87%. Interessant ist auch die Verteilung der Befragten, die den Datenschutz als überhaupt nicht wichtig ansehen (Skalenwert 1) oder keine Angaben machen: Am höchsten ist der Wert bei den über 69-Jährigen (8%); bei den anderen Altersgruppen liegt er bei 1% (18-29-Jährige) oder unter 1% (30-39-, 40-49- und 60-69-Jährige) und 3% (50-59-Jährige). > — S. 10 —Wichtigkeit des Öffentlichkeitsprinzips Verglichen mit der Wichtigkeit des Datenschutzes wird das seit 2012 geltende Öffentlichkeitsprinzip als weniger wichtig beurteilt; im Durchschnitt erreicht die Wichtigkeit einen Wert von 6,7 auf einer 10er-Skala⁷. Fasst man die Skalenwerte zusammen, dann empfinden 51% der Befragten das Öffentlichkeitsprinzip als sehr wichtig (Skalenwerte 8-10) und 69% als eher oder sehr wichtig (Skalenwerte 6-10)⁸. Das Öffentlichkeitsprinzip ist Männern etwas häufiger eher oder sehr wichtig (74%) als Frauen (64%), Schweizerinnen und Schweizern (69%) leicht häufiger als Ausländerinnen und Ausländern (67%). Auch bei der Frage nach der Wichtigkeit des Öffentlichkeitsprinzips unterscheiden sich die Werte bezüglich der unterschiedlichen Haushaltseinkommen kaum. Die Altersgruppe der 60-69-Jährigen weist mit 76% der höchsten Anteil an Bewertungen als eher oder sehr wichtig (Skalenwerte 6-10) auf; bei den anderen Altersgruppen bewegen sie sich zwischen 64% (über 69-Jährige) und 70% (30-39- Jährige). Vergleichsweise hoch ist bei dieser Frage die Anzahl derjenigen, die keine Angabe gemacht haben hinsichtlich der Wichtigkeit des Öffentlichkeitsprinzips (6%), wobei diesbezüglich insbesondere die weiblichen Befragten (8%), die Ausländerinnen und Ausländer (9%) sowie die über 69-Jährigen (9%) auffallen.

76% der Befragten finden, dass der Datenschutz so wie heute oder höher gewichtet werden sollte, während 16% ihn als überbewertet empfinden; 9% äussern keine Meinung zu dieser Frage.

Stellenwert des Datenschutzes Auf die Frage nach dem Stellenwert des Datenschutzes in der öffentlichen Diskussion gaben 42% der Befragten an, er sei genau richtig. 34% fanden, er müsste noch mehr thematisiert werden, während 16% ihn als überbewertet empfanden. Wie oben erwähnt bewerten die Ausländerinnen und Ausländer den Datenschutz als wichtiger als die Schweizerinnen und Schweizer. Dieser Unterschied zeigt sich auch bei der Beurteilung des Stellenwertes des Datenschutzes in der öffentlichen Diskussion: 44% der Ausländerinnen und Ausländer erachten ihn als unterbewertet, 35% als genau richtig und nur 8% als überbewertet. Die Schweizerinnen und Schweizer erachten ihn zu 33% als unterbewertet, zu 43% als genau richtig und zu 17% als überbewertet. Ins Auge sticht, dass 12% der Frauen (gegenüber 6% der Männer), 13% der Ausländerinnen und Ausländer (gegenüber 9% der Schweizerinnen und Schweizer) und 14% der über 69-Jährigen keine Angaben zu dieser Frage gemacht haben. Nach Altersgruppen fallen Unterschiede bei der Beurteilung als unterbewertet auf: 24% der über 69-Jährigen halten den Datenschutz in der öffentlichen Diskussion für unterbewertet, während diese Beurteilung bei den übrigen Altersgruppen zwischen 31% (18-29-Jährige) und 42% (40-49- und 50-59-Jährige) erreicht. Zusammengerechnet finden 76% der Befragten, dass Datenschutz so wie heute oder höher gewichtet werden sollte.

Kenntnis der Webseite Unabhängig des Geschlechts, der Nationalität, des Alters oder des Einkommens decken sich die Antworten hinsichtlich der Webseite des Datenschutzbeauftragten: Lediglich eine Minderheit (15%) weiss, dass sie sich auf <http:// www.dsb.bs.ch> über ihre Rechte informieren kann. Überdurchschnittliche Ergebnisse hinsichtlich der Kenntnisse der Webseite zeigen sich bei Männern, bei 30-39- und 60-69-Jährigen sowie denjenigen mit einem Haushaltseinkommen unter 3000 Franken. Besonders gering ist das Wissen um die Webseite bei den weiblichen, den 18-29- sowie den über 69-jährigen Befragten.

Ins Auge springende Resultate

«Digital Natives» Die Beurteilung der sog. «Digital Natives»⁹ könnte als Überraschung angesehen werden. Die Altersgruppe der 18-29-Jährigen ist grösstenteils mit Computer, Internet, Handy und allerlei digitaler Medien aufgewachsen. Ist darum zu erwarten, dass die Hemmschwelle zur Nutzung dieser Mittel und damit auch das Bewusstsein für den Datenschutz eher tief sind? Offensichtlich nicht. Drei Viertel aller befragten 18-29-Jährigen schätzen den Schutz ihrer Persönlichkeit als sehr wichtig ein, und lediglich 10% finden, dass der Datenschutz überbewertet wird.

Seniorinnen und Senioren Am anderen Ende der Altersgruppen stehen die über 69-jährigen Befragten. Sie sind «Digital Immigrants» (oder nicht einmal das). Sie sind erst im höheren Erwachsenenalter mit der digitalen Welt in Berührung gekommen, kennen mehrheitlich ihr Ausmass und die damit verbundenen Chancen und Risiken nicht vertieft. Halten sie deshalb Datenschutz für sehr wichtig – quasi aus Angst vor dem digitalen Unbekannten? Offensichtlich auch nicht. Im Vergleich zu den restlichen Befragten sehen — S. 11 —sie den Datenschutz stärker als überbewertet an und der Schutz der Privatsphäre ist ihnen eher nicht oder überhaupt nicht wichtig ist (oder sie äussern sich nicht dazu).

Ausländerinnen und Ausländer Die dritte Gruppe, welche aufgrund der Ergebnisse auffällt, sind die Befragten ohne Schweizer Bürgerrecht. Nicht einmal ein Prozent aller ausländischen Befragten finden den Schutz der persönlichen Daten nicht oder überhaupt nicht wichtig. Entsprechend kann ihnen der Stellenwert des Datenschutzes nicht hoch genug sein und er wird – im Vergleich zu den anderen Befragten – sehr viel mehr als «unterbewertet» eingestuft.

Ein Interpretationsversuch

Kontroverse Ergebnisse Während die «Digital Natives» den Stellenwert des Datenschutzes als angemessen ansehen und ihnen der Schutz der persönlichen Daten wichtig ist, gehen die Umfrageergebnisse der über 69-jährigen Befragten in eine andere Richtung. Sucht man nach einer Begründung für diese kontroversen Antworten, kann lediglich spekuliert werden.

Datenschutzbewusstsein durch Sensibilisierung Der Datenschutz ist in den Medien beinahe täglich präsent. Cloud Computing und «Big Data», Überwachung durch den Staat oder durch Private, die Sammelwut von Anbietern von Applikationen und Dienstleistungen sind nur ein paar wenige Stichworte, die dazu führen, dass Datenschutz regelmässig zum Thema in den Medien wird. «Digital Natives», die in den sozialen Medien unterwegs sind, werden immer wieder mit der Frage der Nutzung ihrer Daten konfrontiert. Durch diese Allgegenwart ist es verständlich und nachvollziehbar, dass eine Auseinandersetzung mit der Sicherheit der eigenen Daten stattfindet und dies zu einer Sensibilisierung mit der Thematik führt. Bei aller «Freizügigkeit» in Bezug auf ihre eigenen Daten – die «Digital Natives» scheinen sich ihrer Verletzlichkeit doch bewusst zu sein. Wie sich in Gesprächen mit Jungen auch zeigt: Sie ziehen durchaus auch Grenzen, wenn es darum geht, wie mit Personendaten umgegangen werden soll – dass es andere Grenzen sind als diejenigen, die Ältere ziehen würden, hat wohl auch mit dem unterschiedlichen Erfahrungshorizont zu tun.

Unwissen durch fehlende Praxis Das Gegenstück zu den «Digital Natives» bilden die befragten Seniorinnen und Senioren. In ihren Augen ist der Datenschutz eher überbewertet, und der Schutz der persönlichen Daten ist ihnen nicht in gleichem Ausmass wichtig wie den anderen Befragten. Grund dafür könnte – im Umkehrschluss zur vorherigen Argumentation – sein, dass sie sich mangels praktischer Relevanz einerseits weniger mit dem Datenschutz befassen wollen, andererseits aber auch nicht damit befassen müssen. Es ist verständlich, dass das Interesse geringer ist, wenn es um etwas geht, von dem man selber nicht direkt betroffen ist oder dies zumindest glaubt. Vor diesem Hintergrund sind die auffallenden Ergebnisse der über 69-jährigen Befragten nicht mehr so überraschend, wie dies auf den ersten Blick den Anschein machte.

Bei aller «Freizügigkeit» in Bezug auf ihre eigenen Daten – die «Digital Natives» scheinen sich ihrer Verletzlichkeit doch bewusst zu sein.

Und jetzt?

Der Beitrag des Datenschutzbeauftragten Wie kann der kantonale Datenschutzbeauftragte mit Sensibilisierung zu einem besseren Datenschutz beitragen? Sensibilisierung kann zwei Zielgruppen haben: die betroffenen Personen und die Datenbearbeiterinnen und Datenbearbeiter.

Sensibilisierung der Bevölkerung Die betroffenen Personen zeigen in der Bevölkerungsbefragung eine hohe Sensibilisierung: Datenschutz ist den Befragten wichtig bis sehr wichtig und erscheint den meisten von ihnen richtig bewertet oder gar unterbewertet. Was wohl verbessert werden könnte, ist das Bewusstsein für die Eigenverantwortung. Datenschutz kann nicht nur von den Datenbearbeiterinnen und Datenbearbeitern eingefordert werden – gerade im Verhältnis unter Privaten kann und muss auch jede Person für sich selber datenschutzbewusst handeln. Allerdings liegt genau dieser Bereich nicht im Zuständigkeitsbereich des kantonalen Datenschutzbeauftragten. Hier kann dieser nur insofern zur Verbesserung beitragen, indem er in der Öffentlichkeit das Thema Datenschutz (und auch die Selbstverantwortung der betroffenen Personen) weiterhin anspricht. Zu prüfen wird sein, wie er die Wahrnehmung der Website, auf welcher die betroffenen Personen über ihre Rechte informiert werden, verbessern kann. > — S. 12 —Sensibilisierung in der Verwaltung Wie die Bevölkerungsumfrage gezeigt hat, haben die betroffenen Personen sehr hohe Ansprüche an die Datenbearbeiterinnen und Datenbearbeiter. Sie erwarten, dass diese die Rechte der Betroffenen achten. Ausserdem haben sie eher das Gefühl, dass der Datenschutz unter- als überbewertet wird. Diesen Erwartungen gerecht zu werden, ist anspruchsvoll. Nach den Erfahrungen aus der Beratungs- und Kontrolltätigkeit des Datenschutzbeauftragten lässt sich schliessen, dass das Datenschutzbewusstsein innerhalb der Verwaltung recht unterschiedlich ist: Es gibt Bereiche und Dienststellen, die sich mit Datenschutzanliegen frühzeitig und regelmässig an den Datenschutzbeauftragten wenden – bei anderen ist das weniger der Fall. Wenn dann der Datenschutzbeauftragte z.B. aufgrund einer Anfrage einer betroffenen Person Kontakt aufnimmt, sind Mitarbeitende nicht selten überrascht, dass bei ihrem Handeln das Datenschutzrecht verbindliche Regeln aufstellt.

Wie die Bevölkerungsumfrage gezeigt hat, haben die betroffenen Personen sehr hohe Ansprüche an die Datenbearbeiterinnen und Datenbearbeiter.

Verstärkung der Sensibilisierungsbemühungen Der Datenschutzbeauftragte wird deshalb auch in Zukunft seine Sensibilisierungsbemühungen fortsetzen und verstärken – auch wenn bereits absehbar ist, dass der «Datenschutz-Basilisk» in «BS intern» nach sechs Kolumnen kein Gastrecht mehr geniessen wird. Es werden weitere Wege gesucht, um den «Datenschutz» noch stärker in die verwaltungsinternen Prozesse und Projekte zu bringen, so dass die berechtigten Ansprüche der Bevölkerung erfüllt werden können. Damit ist das Vertrauen der Bevölkerung in die Verwaltung auch in dieser Hinsicht gerechtfertigt.

Thema 2 Die «schwierige»

Dateneignerin

Das Informations- und Datenschutzgesetz weist der das zur Erfüllung seiner Aufgaben Informationen bearbeitet schwer mit der Bestimmung der Dateneignerin bzw. der Dateneignerin – dem öffentlichen Organ,

–eine zentrale Rolle zu. Doch die Praxis tut sich Gesamtverantwortlichen und mit der passenden

Zuordnung von Aufgaben, Kompetenzen und Verantwortlichkeiten (AKV). Ein Modell mit «organisatorischen

Rollen» könnte helfen.

Ausgangslage

Dateneignerin Nach dem Informations- und Datenschutzgesetz trägt dasjenige öffentliche Organ die Verantwortung für den Umgang mit Informationen, das die Informationen zur Erfüllung seiner gesetzlichen Aufgaben bearbeitet¹: die Dateneignerin. Das klingt einfach, klar und nach einer nachvollziehbaren, sinnvollen Vorgabe. Beim Versuch, das «öffentliche Organ» zu identifizieren, fällt aber bereits auf, dass es hier einen Interpretationsspielraum gibt. Insbesondere stellt sich die Frage, auf welcher Hierarchiestufe dieses «öffentliche Organ» anzusiedeln ist: Ist es der Gesamtregierungsrat als oberstes Gremium? Ein einzelnes Mitglied des Regierungsrates als Vorsteherin oder Vorsteher eines Departementes? Die Bereichsleiterin oder der Amts- oder Dienststellenleiter? Eine Abteilungsleiterin? Oder auch ein Sachbearbeiter? Und was gilt, wenn mehrere Organisationseinheiten gemeinsam einen Informationsbestand bearbeiten? Für diesen Fall schreibt das IDG, dass sie dann die Verantwortung untereinander regeln². Davon ausgehend, dass eine geteilte Verantwortlichkeit in der Praxis meist problematisch ist, werden sich die Verantwortlichen darauf einigen müssen, dass es eine einzige Dateneignerin gibt, nach der sich alle anderen richten, oder dass es neben den Dateneignerinnen eine Gesamtverantwortliche gibt, die eine zentrale Funktion ausübt und die anderen Dateneignerinnen «koordiniert». Klar ist aber: Die Verantwortung muss vom Fachbereich getragen werden und kann nicht an einen Querschnittsbereich – z.B. an die IT (Zentrale Informatikdienste oder Departements-Informatik) oder an ein SAP-Kompetenzzentrum – delegiert werden.

Aufgaben, Kompetenzen, Verantwortlichkeiten Ein öffentliches Organ³ kann seine Verantwortung nur wahrnehmen, wenn die «AKV» passen:

—Aufgabe: Welches Ergebnis soll erreicht werden?

—Kompetenzen: Welche Befugnisse und Ressourcen werden benötigt, um das Ergebnis zu erreichen (z.B. Weisungsbefugnisse, personelle und finanzielle Mittel)?

—Verantwortung: Welche Verantwortung ist mit der Erfüllung der Aufgabe verbunden (z.B. Ergebnisverantwortung, Budgetverantwortung)?

Nach dem Informations- und Datenschutzgesetz trägt die Dateneignerin die Verantwortung für den Umgang mit ihren Informationen.

Konstellationen

Zentral versus dezentral? Einen wesentlichen Einfluss auf die Zuordnung und die Ausgestaltung der AKV hat die Art der Systeme: Ob die Informationen in einem dezentralen oder in einem zentralen System bearbeitet werden, ist ein entscheidender Faktor. Die Diskussion, ob IT-Leistungen idealerweise zentral oder dezentral erbracht werden sollen, ist nahezu so alt, wie IT-Mittel für die Bearbeitung von Informationen eingesetzt werden, und oft auch von aktuellen Trends der IT-Branche beeinflusst. Beide Ansätze haben Vor- und Nachteile, Chancen und Risiken, die abgewogen werden müssen. Ideal ist es, im Einzelfall zu prüfen, welche Leistung in welcher Form, mit welchen Auswirkungen (auch bezüglich Informationssicherheit) und mit welchen berechtigten Ausnahmen erbracht respektive bezogen werden sollen. Unabhängig davon, ob Leistungen zentral oder dezentral erbracht werden, erscheint es unabdingbar, dass die Vorgaben,

> — S. 14 —die Aufteilung der AKV sowie die «gelebte Umsetzung» optimal auf die Art der Leistungserbringung ausgerichtet sind. Wenn beispielsweise Leistungen zentral erbracht und bezogen werden sollen, die oberste Leitung aber bei der Steuerung und Führung keine aktive Rolle einnimmt, werden höchstwahrscheinlich auf den unteren Führungsebenen systembedingte oder durch das System mindestens begünstigte Konflikte entstehen, die eskalieren können. Das kann zu Reibungsverlusten, zu Frust oder gar zu Blockaden zwischen Beteiligten führen.

Dezentral: Exklusiv genutzte Informationen Die einfachste Konstellation liegt dann vor, wenn eine Dienststelle eine Anwendung für sich selber betreibt, Daten also exklusiv für ihre Aufgabenerfüllung bearbeitet. Die Verantwortlichkeit kann entsprechend einfach ihr zugeordnet werden. Die Dienststellenleitung hat die Aufgabe, dafür zu sorgen, dass bei ihrem System alle informations- und datenschutzrechtlichen Vorgaben eingehalten werden; sie verfügt innerhalb ihres Zuständigkeitsbereichs über die notwendigen Befugnisse und Ressourcen, und sie muss sowohl das Ergebnis liefern als auch das Budget einhalten.

Eine für ein IT-System Gesamtverantwortliche kann nicht völlig frei entscheiden, welchen «Risikoappetit» sie hat und im welchem Umfang Massnahmen als angemessen gelten.

Zentral: Gemeinsam genutzte Daten oder geteilte Systeme Komplexer wird es, wenn mehrere Dateneignerinnen denselben Informationsbestand bearbeiten oder wenn sie sich für ihre Informationen ein System teilen. Dies ist bei Datenpools (z.B. beim kantonalen Datenmarkt oder beim Basler Informationssystem Sozialleistungen BISS) oder bei IKT-Basisleistungen (z.B. beim Datenablage-System FileBS und beim Mail-System MailBS) der Fall: Wer trägt jetzt wofür die Verantwortung? Wer sorgt dafür, dass «das Ganze» rechtmässig und sicher betrieben wird? Die einzelnen Dateneignerinnen sind nicht ohne weiteres in der Lage, die Gesamtverantwortung zu übernehmen, und müssen diese entsprechend anders regeln. In jedem Fall muss jemand – mit den notwendigen AKV – sicherstellen, dass nicht nur die einzelnen Teile «richtig» laufen, sondern dass das Gesamtsystem «richtig» läuft.

Ein möglicher Lösungsansatz

Unterscheidung «organisatorischer Rollen» An dieser eben erwähnten Typisierung könnte auch eine Lösung ansetzen: Bei gemeinsam genutzten Daten oder geteilten Systeme könnten Dateneignerinnen und Gesamtverantwortliche als «organisatorische Rollen» unterschieden werden. Einer Stelle muss die Gesamtverantwortung übertragen werden – den Dateneignerinnen verbleiben aber bestimmte Teile der Verantwortung. Wie die Abgrenzung zwischen diesen beiden Bereichen gezogen wird, wem welche Aufgabe zukommt, wer über welche Kompetenzen (Befugnisse und Ressourcen) verfügen kann und wer für welches Ergebnis verantwortlich ist, muss an die konkreten Gegebenheiten und Bedürfnisse angepasst werden. Hierbei wird es AKV geben, die zwingend bei einer der Rollen anzusiedeln sind, solche, die im Zusammenspiel zwischen den beiden Rollen wahrgenommen werden müssen, und wohl auch einige, die delegiert werden können. Der Datenschutzbeauftragte hat schon vor längerer Zeit angeregt, dass ein entsprechendes Modell ausgearbeitet wird, das sinnvollerweise auch festlegt, wie und in welchem Umfang Anpassungen erfolgen können.

Einbindung in die gesamtkantonale Organisation Zu beachten ist ausserdem, dass die Dateneignerin (oder Dateneignerinnen) und die Gesamtverantwortliche nicht im luftleeren Raum operieren, sondern in die «Gesamtorganisation» Kanton eingebunden sind. Eine für ein IT-System Gesamtverantwortliche kann nicht völlig frei entscheiden, wie sie die Risiken beurteilt, welchen «Risikoappetit» sie hat (also: welche Risiken sie als tragbar hinnimmt) und im welchem Umfang Massnahmen als angemessen gelten. Die baselstädtische Verwaltung hat sich entschieden, einen dreistufigen Ansatz zu implementieren (Grundschutzbedarf, erhöhter Schutzbedarf und hoher Schutzbedarf). Hierbei soll der Grundschutz (für die «gewöhnlichen», also nicht besonderen Personendaten) durch ein Set von Massnahmen gewährleistet werden, das flächendeckend umgesetzt werden muss. Hier braucht es Vorgaben, Steuerung und Controlling. Ausserdem werden die Dateneignerin und die Gesamtverantwortliche in der Regel nicht Fachkräfte in den Bereichen Datenschutz und Informationssicherheit sein. Darum sind sie auf Unterstützung angewiesen, z.B. durch die (Kantons- oder Departements-) Sicherheitsbeauftragten, durch juristische Fachstellen und die zuständigen IT-Organe. Auch die Zusammenarbeit mit diesen Stellen muss ausreichend klar geregelt sein. Es erscheint beispielsweise nicht sinnvoll, — S. 15 —dass jede Verantwortliche die Prozesse für die Informationssicherheit selbst «erfindet». Idealer erscheint es, dass ihre Organisationseinheit Vorgaben aus einem Kantons- oder zumindest Departements-ISMS (Information Security Management System) umsetzen und gegebenenfalls anpassen kann. Dies hat den Vorteil, dass die Verantwortliche unterstützt wird und die Prozesse nicht an der Organisationsgrenze der Verantwortlichen enden – gerade auch bei übergreifenden zentralen Systemen. Eine wesentliche Bedeutung kommt hierbei auch der «IT-Governance» zu, welche dieses Zusammenspiel und die zielgerichtete Steuerung über alle Fach- und Hierarchieebenen unterstützen soll.

Der Schutz von Informationen durch angemessene organisatorische und technische Massnahmen kann nur im Zusammenspiel zwischen Dateneignerin und Gesamtverantwortlicher wahrgenommen werden.

Aufgaben der Dateneignerin

Kernaufgaben Die folgenden Aufgaben müssen in jedem Fall von der Dateneignerin wahrgenommen werden:

—Sie muss den Schutzbedarf analysieren; nur sie kann den «Wert» der im System bearbeiteten Informationen bezüglich der Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit und Nachvollziehbarkeit⁴ beurteilen.

—Sie muss sicherstellen, dass die gesetzlichen Vorgaben (gesetzliche Grundlage, Verhältnismässigkeit, Richtigkeit, Zweckbindung, Erkennbarkeit) bei der Datenbearbeitung (und insbesondere auch bei der Datenbekanntgabe) eingehalten sind⁵.

—Sie entscheidet aufgrund eines schriftlichen Gesuchs, ob ein anderes öffentliches Organ einen Onlinezugriff auf ihre Informationen eingeräumt erhält⁶.

—Sie muss sicherstellen, dass die Informationen nach Ablauf der Aufbewahrungsfristen dem Staatsarchiv angeboten werden und in ihrer Organisationseinheit zuverlässig vernichtet werden⁷.

—Sie muss sicherstellen, dass die Rechte der betroffenen Personen gewährleistet werden (Zugang zu den eigenen Personendaten, Berichtigung unrichtiger Personendaten, Unterlassung widerrechtlicher Bearbeitung usw.)⁸.

—Sie muss sicherstellen, dass alle Verfahren, in denen Personendaten bearbeitet werden, in das entsprechende Verzeichnis aufgenommen werden⁹.

Aufgaben der Gesamtverantwortlichen bei zentralen Systemen

Kernaufgaben Die folgenden Aufgaben müssen in jedem Fall von der Gesamtverantwortlichen wahrgenommen werden:

Koordination der Systemnutzung Die Gesamtverantwortliche muss die Nutzung des Systems koordinieren. Nötigenfalls muss sie Vorgaben oder Auflagen für die Nutzung erlassen. Wenn also z.B. ein zentrales System nur Grundschutz bietet, muss die Gesamtverantwortliche dies den systemnutzenden Dateneignerinnen kommunizieren; diese müssen dann dafür sorgen, dass in ihrem Verantwortungsbereich das System (ohne weitere Massnahmen) auch nur für Informationen genutzt wird, die keinen höheren als Grundschutzbedarf aufweisen – oder eben selber mit zusätzlichen Massnahmen für einen höheren Schutz sorgen. Damit die Dateneignerinnen den Umgang mit ihren Daten verifizieren können, muss die Gesamtverantwortliche gegebenenfalls Vorkehrungen treffen (z.B. Benutzerlisten der Zugriffsberechtigten auf die Daten der einzelnen Dateneignerinnen oder Protokollauszüge [Logs] zur Verfügung stellen usw.).

Die Gesamtverantwortliche ist die einzige, die das Gesamtrisikos des Systems (als «Summe» der Risiken der einzelnen Dateneignerinnen oder als eigene Gesamtbeurteilung) bestimmen kann.

Beurteilung des Gesamtsystems Die Gesamtverantwortliche ist die einzige, die das Gesamtsystem beurteilen kann. Sie muss entscheiden, wie hoch der «Wert», der Schutzbedarf des Gesamtsystems ist. Aufgrund der Kumulation der Informationen kann dieses einen höheren Schutzbedarf haben als die Informationen der einzelnen Dateneignerinnen. Mehrere «gewöhnliche» Personendaten aus verschiedenen Quellen können im zentralen System zu Persönlichkeitsprofilen¹⁰ werden, was bezüglich des Schutzziels Vertraulichkeit zu einem erhöhten Schutzbedarf führt. Auch bezüglich des Gesamtrisikos des Systems ist die Gesamtverantwortliche die einzige, welche dieses (als «Summe» der Risiken der einzelnen Dateneignerinnen oder als eigene Gesamtbeurteilung) bestimmen kann. >

Aufgaben im Zusammenspiel Dateneignerin/ Gesamtverantwortliche

Kernaufgaben Die folgenden Aufgaben müssen im Zusammenspiel zwischen Dateneignerin und Gesamtverantwortlicher wahrgenommen werden.

Angemessene Schutzmassnahmen Das IDG verlangt, dass das öffentliche Organ Informationen durch «angemessene organisatorische und technische Massnahmen»¹¹ schützt – eine absolut zentrale Vorgabe für die Wahrung des Datenschutzes insbesondere hinsichtlich einer ausreichenden Informationssicherheit. Diese Aufgabe kann nur im Zusammenspiel zwischen Dateneignerin und Gesamtverantwortlicher wahrgenommen werden, weil auch die Massnahmen zusammenspielen müssen. Wo Massnahmen für das Gesamtsystem greifen, braucht es keine spezifischen Massnahmen für die einzelnen Teile der Dateneignerinnen – wo ein Risiko nicht durch technische Massnahmen für das Gesamtsystem minimiert wird, braucht es vielleicht organisatorische Massnahmen der Dateneignerinnen. Beim Risikomanagement und, als Resultat daraus, bei der Bestimmung der angemessenen Massnahmen müssen Dateneignerin und Gesamtverantwortliche zusammenwirken – wie, das müssen sie untereinander aushandeln.

Beim Risikomanagement und bei der Bestimmung der angemessenen Massnahmen müssen Dateneignerin und Gesamtverantwortliche zusammenwirken – wie, das müssen sie miteinander aushandeln.

Vorabkontrolle Die Verantwortliche muss sicherstellen, dass die relevanten Projekte dem Datenschutzbeauftragten zur Vorabkontrolle vorgelegt werden – dazu müssen Dateneignerin und Gesamtverantwortlicher ihren Beitrag leisten, auch wenn schliesslich, je nach Absprache untereinander, eine der beiden das Projekt vorlegt¹².