Tätigkeitsbericht der Datenschutzbeauftragten des Kantons Basel-Stadt 2016

Ausblick

Anpassungsbedarf Weil der Kanton Basel-Stadt mit der Schengen-Revision des DSG von 2008 und vor allem mit der Schaffung des IDG von 2010 seine Hausaufgaben weitgehend gemacht hat, hält sich der Anpassungsbedarf im interkantonalen Vergleich in Grenzen. Es wird am grundsätzlichen Konzept des Datenschutzes und des Öffentlichkeitsprinzips nichts geändert – es sind bloss Ergänzungen und Verdeutlichungen des geltenden Rechts. Sie vorzunehmen ist aber erforderlich, weil andernfalls durch die technologischen und gesellschaftlichen Entwicklungen die Grundrechte der betroffenen Personen – also von uns allen – ausgehöhlt werden.

Zusammenarbeit Der Datenschutzbeauftragte wird in der Vorbereitung die Zusammenarbeit mit dem federführenden Präsidialdepartement suchen.

1Art. 2 Abs. 2 und Anhang B des Schengen-Assoziie-

rungs-Abkommen (SAA).

2Grossratsbeschluss vom 16. April 2008.

3Erläuternder Bericht zum VE-DSG, S. 27.

4Vgl. ausführlicher dazu: Beat Rudin, Anpassungsbedarf

in den Kantonen, digma 2017, S. 58-70.

5Konferenz der Kantonsregierungen (KdK), Umsetzung

Schengen/Dublin in den Kantonen: Datenschutz,

Wegleitung, 2006

6Der Leitfaden wurde am 2. Februar 2017 abgeschlos-

sen und anschliessend den Kantonen zugestellt.

Er ist auf der Website des Datenschutzbeauftragten des Kantons Basel-Stadt unter Datenschutz | Neues Datenschutzrecht abrufbar: <http://www.dsb.bs.ch/ dam/jcr:8772f3e4-14ce-45ca-aff1-46b00d043d23/ KdK%20Leitfaden%20DSG%20Kantone.pdf>

(Kurz-URL: <http://bit.ly/2sfj00f>).

7Vgl. KdK-Leitfaden 2017, Ziff. 2.2-2.4.

8Vgl. dazu Beat Rudin, Überholte Ausnahmen beim

Geltungsbereich, digma 2016, S. 122 ff.

9Vgl. KdK-Leitfaden 2017, Ziff. 3.2.

10§ 29 Abs. 3 IDG; vgl. dazu PK-IDG/BS-Rudin,

§ 29 N 39 ff.

11Vgl. KdK-Leitfaden 2017, Ziff. 3.5.

12§ 3 Abs. 4 lit. a Ziff. 2 IDG; vgl. dazu PK-IDG/BS-Rudin, § 3 N 37.

13§ 3 Abs. 4 lit. a Ziff. 2 IDG; vgl. dazu PK-IDG/BS-Rudin, § 3 N 37.

14Vgl. KdK-Leitfaden 2017, Ziff. 3.6.

15§ 3 Abs. 4 lit. b IDG; vgl. dazu PK-IDG/BS-Rudin,

§ 3 N 43.

16Vgl. KdK-Leitfaden 2017, Ziff. 3.8 und 4.2.

17§ 9 Abs. 3 IDG und § 16 IDG; vgl. dazu PK-IDG/ BS-Rudin, § 9 N 51 und § 16 N 1 ff.

18Vgl. KdK-Leitfaden 2017, Ziff. 4.6.

19Vgl. KdK-Leitfaden 2017, Ziff. 4.10.

20Vgl. KdK-Leitfaden 2017, Ziff. 4.12.

21Art. 18a und 18b DSG.

22Vgl. KdK-Leitfaden 2017, Ziff. 5.2 und 5.3.

23Vgl. KdK-Leitfaden 2017, Ziff. 6.2.

24Vgl. KdK-Leitfaden 2017, Ziff. 6.3.

25Vgl. KdK-Leitfaden 2017, Ziff. 6.4.

26Die oder der Datenschutzbeauftragte im Sinne des IDG heisst in der Richtlinie 2016/680 «die Aufsichtsbehörde»; gemeint ist hier ein amtsinterner

Datenschutzberater.

Aus dem Alltag

Einblicke in die Einblicke in die Beratungstätigkeit Kontrolltätigkeit

26Bekanntgabe von 38 Übersicht

Personendaten 38 Abgeschlossen: Prüfung

26Datenbekanntgabe an eine Publikation der Videoüber-Unfallversicherung? wachungsreglemente

27Bekanntgabe zu einem nicht 40 In Vorbereitung:

personenbezogenen Zweck? SIS-Kontrolle

27Sammeladressauskünfte 40 Kontrolltätigkeit im Bereich

28Anfragen im Zuge der Neufest- des Staatsschutzes setzung der Eigenmietwerte 40 Ausblick: Schengen-

2018durch die Steuerverwaltung Evaluation (Sch-Eval)

29Vorabkontrolle zu Online-

zugriffs-Gesuchen

30Videoüberwachung

30Vernehmlassungen

31Schengen-Weiterentwicklungen

32Medienanfragen

32Schulungen, Referate und

Publikationen

33Veranstaltungen

34Zusammenarbeit

35privatim, die Konferenz der

schweizerischen Datenschutz-

beauftragten

35Ehrung

Pilotversuche, Informationszugangsgesuche und Geschäftslast

41Pilotversuche mit

besonderen Personendaten

41Pilotversuch «Erweiterte

Gefährderansprache»

42Pilotversuch «eHealth-

Modellversuch Basel»

42Informationszugangs-

gesuche nach dem Öffent-

lichkeitsprinzip

43Statistik zu den Geschäften

des Datenschutzbeauftragten

Statistische Auswertungen 2016 (mit Vorjahresvergleichen)

44Geschäfte

Indikatoren gemäss Budget

Öffentlichkeitsprinzip

45Initianten (Veranlasser

der Geschäfte)

Involvierte Stellen

Aus dem Alltag Einblicke in die Beratungstätigkeit

Fast täglich wird der Datenschutzbeauftragte mit neuen Diese «Einblicke in die Beratungstätigkeit» lassen die Breite und herausfordernden Fragen kontaktiert.

der behandelten Themen erahnen: von der Daten-

bekanntgabe an die Unfallversicherung über die Adresssammelbekanntgabe für politische Zwecke, die

Begründung von Neufestsetzungen des Eigenmietwertes im Abrufverfahren bis hin zu Medienanfragen zu Themen

Bekanntgabe von Personendaten

Fragestellungen Der Datenschutzbeauftragte hat eine Checkliste «Bekanntgabe von Personendaten»¹ auf seiner Website veröffentlicht. Idealtypisch betrachtet sind bei einer Datenbekanntgabe auf Anfrage die folgenden Fragen zu stellen (bei einer Datenbekanntgabe «von sich aus» entfallen natürlich die ersten beiden Fragen):

—Darf das öffentliche Organ, das Personendaten Der erhalten will, die verlangten Daten überhaupt bearbei- liste ten (erheben) (§ 9 IDG)?

—Darf das empfangende öffentliche Organ die Frage nach den verlangten Personendaten stellen?

Oder ist diese Datenbekanntgabe (mit der Fragestellung wird implizit auch die Information bekannt gegeben, dass die betroffene Person Klientin des fragenden öffentlichen Organs ist) im Sinne von § 29 IDG einzuschränken?

—Bearbeitet das öffentliche Organ, das die verlangten Personendaten bekannt geben soll, diese überhaupt zu Recht (§ 9 IDG)? Unrechtmässig bearbeitete Personendaten dürfen nicht bekannt gegeben werden.

—Darf das öffentliche Organ, von dem die Bekanntgabe von Personendaten verlangt wird, diese bekannt geben (§§ 21 und 29 IDG)?

oder Zugriffe auf Daten anderer öffentlicher Organe

aus der gesamten Verwaltungstätigkeit.

In der Praxis Die Frage, ob Personendaten von einem öffentlichen Organ an ein anderes oder an Privatpersonen bekannt gegeben werden dürfen,

stellen sich im Praxisalltag der Verwaltung immer wieder. In der Folge sollen einzelne Fragen, die dem Datenschutzbeauftragten unterbreitet worden sind,

dargestellt werden.

Datenschutzbeauftragte hat eine Check- «Bekanntgabe von Personendaten» auf seiner Website veröffentlicht.

Datenbekanntgabe an eine Unfallversicherung?

Medizinische Unterlagen Die Unfallversicherung eines Geschädigten prüfte die Frage des Regresses auf ein Kind mit einer Erziehungsbeistandschaft, das mutmasslich einen Unfall verursacht hatte, und verlangte vom Kinder- und Jugenddienst (KJD) die Herausgabe der medizinischen Unterlagen über das Kind, gestützt auf eine Bestimmung im ATSG². Der KJD war im Besitz mehrerer Berichte verschiedener Ärzte, hatte jedoch nur einen davon selbst in Auftrag gegeben. Über weitere medizinische Akten verfügte er nicht.

Umfang der Herausgabe Zum einen stellte sich für den KJD die Frage, ob er diejenigen Berichte, die er nicht selbst in Auftrag gegeben hatte, überhaupt herausgeben dürfe. Zum anderen war er unsicher, wie er mit darin enthaltenen Informationen, welche die Mutter und das Verfahren bei der Kindes- und Erwachsenenschutzbehörde (KESB) betreffen, umgehen solle.

In Absprache mit dem Datenschutzbeauftragten sandte der KJD alle ärztlichen Berichte an die Unfallversicherung, aber nicht ohne vorher alle Stellen, die nicht das Kind selber betrafen, einzuschwärzen.

Bekanntgabe zu einem nicht personenbezogenen Zweck?

Daten über FU-Rekursfälle Die Rekurskommission für Fürsorgerische Unterbringungen war unsicher, ob sie eine Exceltabelle mit den Daten über die Fälle von Patientinnen und Patienten der Universitären Psychiatrischen Kliniken (UPK), die von der Rekurskommission entschieden worden sind, an die UPK weitergeben darf. Die UPK wollte empirisch unter- suchen, welche Gründe bei einem Rekurs angegeben wurden, wie die Rekurse jeweils entschieden wurden bzw. ob sich daraus Erkenntnisse für die Zukunft gewinnen lassen.

Nicht personenbezogener Zweck Ein öffentliches Organ darf «seine» Personendaten, die es personenbezogen zur Erfüllung seiner gesetzlichen Aufgabe bearbeitet, unter bestimmten Bedingungen bzw. Auflagen auch zu einem nicht personenbezogenen Zweck (weiter-)bearbeiten³. Als nicht personenbezogene Zweck erscheinen insbesondere Statistik, Planung und Forschung⁴.

In casu Die UPK verfügen über die Krankengeschichten ihrer Patientinnen und Patienten. Ausserdem erhalten sie alle Entscheide der Rekurskommission, soweit sie ihre Patientinnen und Patienten betreffen. Gestützt auf § 10 IDG dürfen sie unter den entspre-In chenden Bedingungen bzw. Auflagen «ihre» Daten nicht personenbezogen zu Forschungszwecken bearbeiten. Die Rekurskommission darf gestützt auf § 22 IDG den UPK die Daten aus Rekursverfahren, die deren Patientinnen und Patienten betreffen, für den nicht personenbezogenen Zweck der Forschung bekannt geben. Da die UPK die Daten zum Zweck der personenbezogenen Bearbeitung ja bereits besitzen (einzig nicht in der strukturierten Form, wie sie bei der Rekurskommission festgehalten werden), sind an die (erneute) Bekanntgabe in strukturierter Form keine hohen Anforderungen zu stellen.

Sammeladressauskünfte

Rechtliche Grundlage im Aufenthaltsgesetz Das kantonale Aufenthaltsgesetz erlaubt es der Einwohnerkontrolle, beispielsweise die Adressdaten von in der Gemeinde wohnhaften Personen an Private bekannt zu geben⁵. Diese sogenannte Listenauskunft ist nur erlaubt, wenn die Daten ausschliesslich für schützenswerte ideelle Zwecke verwendet werden. Bis anhin sah das kantonale Einwohneramt in konstanter Praxis die politische Werbung nicht als schützenswerten ideellen Zweck im Sinne des Aufenthaltsgesetzes an⁶. Aufgrund eines Verwaltungsgerichtsurteils im Kanton Zug hat es seine Praxis überprüft; das Justiz- und Sicherheitsdepartement hat die daraus folgende Praxisänderung in einem Bericht an den Regierungsrat umschrieben. Der Bericht wurde vom Regierungsrat am 6. Dezember 2016 zur Kenntnis genommen und mit folgender Begründung veröffentlicht: «Das Einwohneramt ändert seine Praxis bei Sammeladressauskünften gegenüber Parteien. Gestützt auf Art. 30 Abs. 6 Aufenthaltsgesetz werden solche Auskünfte gegen Gebühr künftig erteilt, sofern die gesetzlich aufgelisteten Kriterien erfüllt sind und die Zielgruppe des Versandes derart definiert ist, dass die angeschriebene Person nur einmal mit persönlich adressierter Parteiwerbung bedient wird»⁷.

Vorfeld zum Regierungsratsbeschluss über die Praxisänderung bezüglich politischer Werbung hat der Datenschutzbeauftragte darauf hingewiesen, dass bei der Umsetzung darauf zu achten ist, dass eine konstante und rechtsgleiche Praxis entwickelt wird.

Zu beachten In Vorfeld zu diesem Regierungsratsbeschluss hat der Datenschutzbeauftragte darauf hingewiesen, dass bei der Umsetzung dieser Bestimmung – bzw. zu § 11 Abs. 2 lit. d NAG, der diese Bestimmung per 1. Juli 2017 ablöst – darauf zu achten ist, dass eine konstante und rechtsgleiche Praxis entwickelt wird. Es wird beispielsweise zu klären sein, was «nur einmal mit persönlich adressierter Parteiwerbung bedient» meint: Einmal pro Wahlgang? Einmal pro Wahl? Einmal pro Jahr? Von jeder Kandidatin, jedem Kandidaten? Von jeder Partei? Unbestreitbar und unbestritten ist, dass andere als die im Gesetz aufgelisteten Kriterien (Alter, Geschlecht, Adresse, Stimmberechtigung und Zuzug) nicht für die Selektion verwendet werden dürfen (z.B. Personen mit einem steuerbaren Einkommen von über oder unter …, nur mit bestimmten Berufen usw.). > — S. 28 —Abgrenzung Gestützt auf das Aufenthaltsgesetz können nicht nur zur Verfolgung eines schützenswerten ideellen Zwecks Personendaten Privaten bekanntgegeben werden, sondern gestützt auf § 30a AufenthG – bzw. auf § 12 NAG, der diese Bestimmung per 1. Juli 2017 ablöst – auch im Rahmen von Forschungs- und Präventionsprojekten.

Anfragen im Zuge der Neufestsetzung der Eigenmietwerte durch die Steuerverwaltung

Ausgangslage Die Steuerverwaltung Basel-Stadt hat die Eigenmietwerte bei Liegenschaften neu festgesetzt – sie muss dies periodisch tun. Das hat dieses Mal zu heftigen Diskussionen geführt. Der Datenschutzbeauftragte wurde im Vorfeld der Bewertung bzw. der Verfügung der neuen Werte nicht beigezogen. Hingegen haben sich verschiedene betroffene Personen an ihn gewandt. Sie haben bemängelt, dass ihnen «aus Datenschutzgründen» die Vergleichswerte nicht bekannt gegeben werden, die als Berechnungsgrundlage gedient haben. Als Berechnungsgrundlage des Eigenmietwertes dienten (unter anderem) Kaufpreise der im Kantonsgebiet verkauften Grundstücke in den Jahren 2013 und 2014.

Entgegenstehende Ansprüche In dieser Konstellation prallen zwei einander entgegenstehende Ansprüche aufeinander:

—Einerseits haben alle Personen einen aus dem verfassungsrechtlichen Anspruch auf rechtliches Gehör⁸ hergeleiteten Anspruch auf Begründung von Verfügungen, die sie betreffen.

—Andererseits aber haben die Verkäuferinnen und Verkäufer bzw. die Käuferinnen und Käufer von Grundstücken den Anspruch, dass der bezahlte Kaufpreis nicht öffentlich gemacht wird. Bei der letzten Es Revision der Grundbuchverordnung (VOBG) stand die Frage zur Debatte, ob die Kaufpreise künftig publiziert werden sollen. Das wurde abgelehnt, was einen Entscheid für die (relative) Geheimhaltung darstellt; mindestens die Öffentlichkeit soll nicht erfahren, wer wieviel für welches Grundstück bezahlt oder bekommen hat⁹.

Lösungsvorschlag Der Datenschutzbeauftragte hat für das Einspracheverfahren¹⁰ angeregt, dass die für die Berechnung in einem bestimmten Raum zugrundeliegenden Verkäufe pseudonymisiert und mit kategorisierten Attributen mindestens den Einsprecherinnen und Einsprechern zugänglich gemacht werden. Wenn in einem bestimmten Raum z.B. drei Verkaufsfälle ausgewertet worden sind, dann werden diese als A bis C bezeichnet und mit den relevanten Informationen (in Kategorien dargestellt) aufgelistet. In Kategorien (z.B. 150-250m²) deshalb, weil z.B. anhand der Quadratmeterzahl eines Grundstückes (z.B. 198m²), das innerhalb eines Zeitraums von zwei Jahren in einem bestimmten in der Regel nicht sehr grossen Bezugsraumes verkauft worden ist, in aller Regel das konkrete Grundstück bestimmt werden kann – es sind oft nur sehr wenige vergleichbare Verkaufsfälle. Weiter müssten möglicherweise andere preisbestimmende Faktoren mitgeliefert werden, z.B. für eine Überbauung ungünstige Grundstückform, die Nähe zu Lärmquellen, die noch nicht ausgeschöpfte Ausnutzung usw. Welche Informationen dies sind und wie die Kategorien zu bilden sind, müsste von den Fachbehörden bestimmt werden. Falls nach dem Einspracheverfahren ein Rekursverfahren folgt, könnte die Steuerrekurskommission dann mit den entpseudonymisierten Daten entscheiden. Damit könnten die beiden eingangs erwähnten Ansprüche so miteinander in Einklang gebracht werden, dass einerseits die von der Eigenmietwerterhöhung betroffenen Grundeigentümer nicht «im Blindflug» Einsprache und Rekurs einreichen müssen und andererseits die Verkäufer- und Käuferschaft nicht erleben muss, dass der bezahlte Preis nicht doch öffentlich zugänglich wird.

wird interessant sein, wie die allenfalls angerufenen Gerichte die für die Betroffenen nicht kontrollierbare Begründung der Eigenmietwertfestsetzung, mithin also die Verletzung des verfassungsrechtlichen Begründungsanspruches beurteilen werden.

Abgelehnt Die angeregte Lösung wurde von der Steuerverwaltung und der Bodenbewertungsstelle als zu aufwändig verworfen, was rein aus verwaltungsökonomischer Sicht nachvollziehbar ist. Es wird allerdings interessant sein, wie die allenfalls angerufenen Gerichte die für die Betroffenen nicht kontrollierbare Begründung der Eigenmietwertfestsetzung, mithin also die Verletzung des verfassungsrechtlichen Begründungsanspruches beurteilen werden.

Vorabkontrolle zu Onlinezugriffs-Gesuchen

AWS Die Zentralen Informatikdienste (ZID) haben – in enger Zusammenarbeit mit dem Datenschutzbeauftragten und unter Einbezug von Vertreterinnen und Vertretern der wichtigsten Dateneignerinnen – den elektronischen Workflow für die Onlinezugriffs-Gesuche AWM («Autorisierungs-Workflow-System») erarbeitet. Das System soll in der zweiten Hälfte 2017, nach der Schulung der Dateneignerinnen, aufgeschaltet werden. Es löst das bisherige, eher aufwändige papierbasierte System ab und wird hoffentlich den Prozess zur Stellung und Verlängerung von Onlinezugriffen vereinfachen und für alle Beteiligten übersicht- bei licher gestalten.

Sich «bedienen» können Wenn ein öffentliches Organ im Abrufverfahren auf Personendaten eines anderen öffentlichen Organs zugreifen können will – sich quasi bei den Daten eines anderen öffentlichen Organs «bedienen» will –, muss es ein sog. Onlinezugriffs-Gesuch stellen. Bevor der Onlinezugriff freigeschaltet wird, muss die Dateneignerin der Daten, auf welche zugegriffen werden können soll, dieses Gesuch bewilligen, den künftigen Onlinezugriff also «autorisieren». Ausserdem müssen diese Genehmigungen vorab dem Datenschutzbeauftragten zur Stellungnahme unterbreitet werden.

Datenbekannt-gabe im Abrufverfahren Die meisten dieser Onlinezugriffe erfolgen über den kantonalen Datenmarkt. Dieser stellt einen Datenpool im Sinne von § 1a IDV dar und bedarf nach § 1b IDV einer gesetzlichen Grundlage mindestens auf Verordnungsstufe. Im Berichtsjahr liefen die Vorbereitungsarbeiten an der neuen Datenmarktverordnung (DMV), welche die alte von 2005 ablösen sollte. Im Rahmen der DMV (bzw. der durch die Schlussbestimmungen der DMV geänderten IDV) soll nun einerseits der Begriff des Abrufverfahrens definiert werden. Als Datenbekannt gabe im Abrufverfahren gelten:

—die Bekanntgabe über Daten via eine Benutzungsoberfläche (Onlinezugriff),

—das Zurverfügungstellen von Daten via einen Webservice und

—das periodische und automatisierte Zurverfügungstellen von Listen¹¹.

Onlinezugriff Bei der Datenbekanntgabe im Abrufverfahren über eine Benutzeroberfläche (Onlinezugriff) greift eine berechtigte Person (oder greifen berechtigte Personen einer Verwaltungseinheit) mittels eines Webportals auf die «fremden» Daten zu (Mensch-zu-Maschine-Interaktion). Dies betrifft z.B. Auskünfte über Personen, Gebäude oder Motorfahrzeuge¹².

Wenn ein öffentliches Organ im Abrufverfahren auf Personendaten eines anderen öffentlichen Organs zugreifen können will – sich quasi den Daten eines anderen öffentlichen Organs «bedienen» will, muss es ein sog. Onlinezugriffs-Gesuch stellen.

Webservice Bei der Datenbekanntgabe im Abrufverfahren mittels Webservice werden Daten eines Systems über eine Schnittstelle einem anderen, berechtigten und eindeutig identifizierten System zur Verfügung gestellt (Maschine-zu-Maschine-Interaktion). Das maschinenlesbare Format ist jeweils in einer Schnittstellenbeschreibung spezifiziert. Es bestehen zahlreiche Webservices vom Datenmarkt zu den kantonalen Fachanwendungen. Beispiele dafür sind die Steuerlösung NEST, die MFK-Lösung Avedris, die Einwohnerlösung Loganto sowie die Baubegehrenlösung BBG¹³.

Automatisiertes Zurverfügungstellen von Listen Schliesslich kann auch die Auslieferung von Listen im Auftrag der Dateneignerinnen eine Datenbekanntgabe im Abrufverfahren darstellen, dann nämlich, wenn sie periodisch und automatisiert erfolgt, wenn also die Dateneignerin in Bezug auf die konkrete Auslieferung faktisch nicht mehr selber die Rechtmässigkeit der Datenbekanntgabe und die Richtigkeit der bekanntzugebenden Daten prüft. Beispiele sind die monatliche Auflistung und Lieferung der Zuzüge und Wegzüge im Kanton als Basis für den Versand des kantonalen Abfuhrkalenders durch Gebäude- und Abwasserreinigung, die jährliche Lieferung der Gebäudedaten an das Hochbau- und Planungsamt, die jährliche Lieferung der Steueratlas-Daten an die Steuerverwaltung und die jährliche Aufbereitung der Daten für die Auszahlung der Gutschriften im Zusammenhang mit dem Stromsparfonds. In diesen Fällen muss dasselbe Autorisierungsverfahren durchlaufen werden wie bei der Einräumung eines Onlinezugriffs oder eines Datenbezuges mittels Webservice. > — S. 30 —Vorabkontrollen Im Berichtsjahr hat der Datenschutzbeauftragte in enger Zusammenarbeit mit den Zentralen Informatikdiensten (ZID) 57 Vorabkontrollen zu Onlinezugriffsgesuchen (2015: 17) durchgeführt. 39 davon konnten im Berichtsjahr abgeschlossen werden, 18 waren Ende 2016 noch in Arbeit. Ausserdem gab es 12 Geschäfte mit den Vorabkontrollen vorausgehenden Anfragen und Vorabklärungen. Der Grund für diese wiederum sehr hohe Zahl von Vorabkontrollen liegt in der Tatsache, dass einzelne Dateneignerinnen aktiv ihre Verantwortung wahrgenommen und systematisch die laufenden Bekanntgabe ihrer Daten im Abrufverfahren unter die Lupe genommen haben. Mit der Einführung des eingangs erwähnten AWS wird es für die Dateneignerinnen einfacher, den Überblick zu behalten, welche Abrufverfahren bezüglich ihrer Daten laufen.

Videoüberwachung zu

Vorabkontrollen Nach § 18 Abs. 4 IDG sind die Videoüberwachungsreglemente vor dem Erlass und der Verlängerung dem Datenschutzbeauftragten zur Vorabkontrolle vorzulegen. Im Berichtsjahr wurden 21 solche Vorabkontrollen (2015: 10) durchgeführt. Abgeschlossen werden konnten 18 Geschäfte, 3 waren Ende Jahr noch hängig. Die eher hohe Zahl von Vorabkontrollen rührt daher, dass im Jahr 2012 mit dem Inkrafttreten des neuen Videoüberwachungsregelung im IDG für viele Anlagen die Reglemente geschaffen werden musste – und 2016 sind damit die vier Jahre der Befristung¹⁴ abgelaufen.

Weitere Beratungen Ausserdem behandelten je zwei Geschäfte Vorhaben videobasierter Verkehrsauswertung und Baufortschrittskameras.

Vernehmlassungen

Eingeladen Der Datenschutzbeauftragte hat die Aufgabe, zu Erlassen, die für den Umgang mit Informationen oder den Datenschutz erheblich sind, Stellung zu nehmen¹⁵. Bei 20 solcher Vorlagen (2015: 15) wurde der Datenschutzbeauftragten zur Stellungnahme eingeladen; elf betrafen kantonale Erlasse, neun Bundesvorlagen. Sie betrafen u.a.:

—die Verordnung über das Informatiksystem der Staatsanwaltschaft;

—die Totalrevision des Tagesbetreuungsgesetzes;

—die Revision der Smart Metering-Bestimmung des IWB-Gesetzes;

—die Ausführungsgesetzgebung zum Bundesgesetz über das elektronische Patientendossier (EPDG).

Der Datenschutzbeauftragte hat die Aufgabe, Erlassen, die für den Umgang mit Informationen oder den Datenschutz erheblich sind, Stellung zu nehmen. Auch weiterhin ist nicht garantiert, dass ihm alle Erlasse rechtzeitig vorgelegt werden.

Unvollständig Von den Departementen, die regelmässig Vorlagen ausarbeiten, die für den Umgang mit Informationen oder den Datenschutz erheblich sind, klappt der Einbezug beim Justiz- und Sicherheitsdepartement und beim Gesundheitsdepartement recht gut, wenn auch manchmal zeitlich etwas spät. In anderen Fällen wenden sich Dienststellen oder selbständige Anstalten des öffentlichen Rechts (beispielsweise die IWB) an den Datenschutzbeauftragten. Bei den Vorlagen, die fälschlicherweise dem Datenschutzbeauftragten nicht vorgelegt werden, ist teilweise anzunehmen, dass die Departemente die Relevanz für das Öffentlichkeitsprinzip oder den Datenschutz nicht erkennen. Aus diesem Grund empfiehlt es sich, alle Vorlagen dem Datenschutzbeauftragten zukommen zu lassen¹⁶ mit Ausnahme jener, die offensichtlich keinerlei Berührungspunkte mit dem Umgang mit Informationen oder dem Datenschutz haben. Wenn der Datenschutzbeauftragte zur Überzeugung gelangt, es bestehe kein Bezug zu seinem Aufgabenbereich oder die Änderungen seien unterhalb einer Wesentlichkeitsschwelle, dann wird er rasch, und ohne weiteren Aufwand zu betreiben, auf eine Stellungnahme verzichten.

Schengen-Weiterentwicklungen

Schengen-Besitzstand Aufgrund der Natur der Schengen- und Dublin-Assoziierung als «dynamische Abkommen» ist die Schweiz verpflichtet, die Weiterentwicklungen des Schengener und Dubliner Besitzstands zu übernehmen. Im Berichtsjahr hat der Datenschutzbeauftragte sich mit acht Weiterentwicklungen (2015: 8) befasst; einzig zur Weiterentwicklung aufgrund der EU-Datenschutzreform hat er sich geäussert.

Datenschutzreform der EU und des Europarates Die Europäische Union hat der Schweiz am 1. August 2016 die Richtlinie (EU) 2016/680 als Schengen-Weiterentwicklung notifiziert. Die Schweiz muss der EU mitzuteilen, ob sie die Weiterentwicklung übernehmen will, und gegebenenfalls innert zwei Jahren die nötigen Gesetzesanpassungen vornehmen. Ausserdem steht die Ratifizierung der modernisierten Datenschutzkonvention des Europarates an. Der Datenschutzbeauftragte hat dazu gegenüber dem kantonsintern zuständigen Justiz- und Sicherheitsdepartement festgehalten, er gehe aus den folgenden Gründen davon aus, dass Bund und Kantone nicht darum herumkommen werden, die Weiterentwicklung des Datenschutzrechts der Europäischen Union zu übernehmen:

—Die neue Richtlinie (EU) 2016/680, die anstelle des Rahmenbeschlusses 2008/977 treten wird, ist schengen-relevant. Falls die Schweiz nicht das Risiko eingehen will, dass die Schengen-Assoziierung der Schweiz aufgelöst wird, wird sie nicht darum herumkommen, die Richtlinie zu übernehmen. Das betrifft nicht nur den Bund, sondern auch die Kantone.

—Auch wenn die Datenschutz-Grundverordnung (DSGVO), die anstelle der bisherigen Richtlinie 95/46/ EG treten wird, nicht schengen-relevant ist, ist sie trotzdem nicht bedeutungslos für die Schweiz. Nach ihrem Art. 41 Ziff. 1 darf eine Übermittlung personenbezogener Daten an ein Drittland (wie die Schweiz) vorgenommen werden, wenn die EU-Kommission festgestellt hat, dass das betreffende Drittland ein angemessenes Schutzniveau bietet. Für diese Beurteilung der Angemessenheit des gebotenen Schutzniveaus werden insbesondere berücksichtigt: die Rechtsstaatlichkeit, die Achtung der Menschenrechte und Grundfreiheiten, die in entsprechenden Land geltenden einschlägigen Rechtsvorschriften, die Anwendung dieser Rechtsvorschriften, die Datenschutzbestimmungen, Berufsvorschriften und Sicherheitsvorschriften einschliesslich der Vorschriften für die Weitergabe personenbezogener Daten an ein anderes Drittland und die Existenz und die wirksame Funktionsweise einer oder mehrerer unabhängiger Aufsichtsbehörden. Die öffentliche Verwaltung, erst recht aber die Privatwirtschaft haben ein erhebliches Interesse, dass die EU-Kommission auch das in der Schweiz gebotene Schutzniveau als angemessen beurteilt. Ausserdem gilt die DSGVO nach ihrem Art. 3 Ziff. 2 lit. a unmittelbar auch für Datenbearbeitungen durch Schweizer Unternehmen, die Dienstleistungen in EU-Mitgliedstaaten anbieten – sie müssen also ohnehin diese Regelungen einhalten.

—Die modernisierte Europaratskonvention verlangt inhaltlich nichts, was weiter geht als die Weiterentwicklung des Datenschutzrechts in der Europäischen Union. Die Europaratskonvention gilt weit über Europa hinaus als Datenschutzstandard. Sowohl die öffentliche Verwaltung als auch die Privatwirtschaft haben ein gewichtiges Interesse daran, diesen Standard zu übernehmen.

—Das baselstädtische Informations- und Datenschutzgesetz wird angepasst werden müssen. Aber es muss nicht in seinem Grundkonzept überarbeitet werden. Der Grundaufbau kann bestehen bleiben, es braucht nur Ergänzungen bzw. detaillierte Präzisierungen.

Aufgrund der Natur der Schengen- und Dublin-Assoziierung als «dynamische Abkommen» ist die Schweiz verpflichtet, die Weiterentwicklungen des Schengener und Dubliner Besitzstands zu übernehmen.

—Inwiefern Mehrkosten entstehen werden, kann vom Datenschutzbeauftragten nicht abschliessend beurteilt werden. Es wird sicher z.B. aufgrund von zusätzlichen Informationspflichten ein gewisser Mehraufwand entstehen. Die grössten Kosten dürften wohl bei der technischen Umsetzung anfallen, etwa bei der Protokollierung (Logging). Das sind allerdings Aufwendungen, die unabhängig von der Umsetzung der hier behandelten Weiterentwicklungen in näherer Zukunft zur Gewährleistung der Informationssicherheit ohnehin getätigt werden müssen.

—Der Datenschutzbeauftragte hat angeregt, dass die KdK wiederum (wie 2006 im Hinblick auf die (damals neue) Assoziierung der Schweiz an Schengen) zuhanden der Kantons eine «Handreichung» für die Umsetzung der neuen Richtlinie ins kantonale Recht verfassen zu lassen¹⁷. > — S. 32 —Unterstützung Der Datenschutzbeauftragte war schon an der Ausarbeitung des KdK-Leitfaden beteiligt und wird bei der Vorbereitung der notwendigen IDG-Revision seine Unterstützung anbieten (vgl. auch vorne Seiten 18 ff.).

Die Europaratskonvention gilt weit über Europa hinaus als Datenschutzstandard. Sowohl die öffentliche Verwaltung als auch die Privatwirtschaft haben ein gewichtiges Interesse daran, diesen Standard zu übernehmen

Medienanfragen

Gesteigertes Medieninteresse 31 Medienanfragen hat der Datenschutzbeauftragte im Jahr 2016 erhalten (2015: 16). Die Anfrage der nationalen Medien dürften ihren Grund zum Teil in der privatim-Präsidentschaft haben.

Themen Die Medienanfragen befassten sich mit einer sehr breiten Themenpalette. Sie betrafen u.a.:

—die Erfahrungen mit dem Öffentlichkeitsprinzip;

—die politische Forderung, zur Ermittlung von Straftätern die Analyse codierender Abschnitte der DNA zuzulassen («Aufweichung» des DNA-Profil-Gesetzes);

—den eHealth-Modellversuch Basel;

—den Einsatz von IMSI-Catchern, d.h. von Geräten, mit denen die auf der SIM-Karte eines Mobiltelefons gespeicherte International Mobile Subscriber Identity (IMSI) ausgelesen und der Standort eines Mobiltelefons innerhalb einer Funkzelle eingegrenzt werden kann;

—mehrmals die Wahl des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten;

—mehrmals die Videoüberwachung;

—die Resultate der Datenschutz-Audits des Datenschutzbeauftragten (im Nachgang zur Veröffentlichung des Tätigkeitsberichtes 2015);

—den (nicht erhärteten) Verdacht, dass Immobilien Basel-Stadt auf Daten des Betreibungs- und Konkursamtes zugreifen kann und diese Daten zur Auswahl von Mietinteressentinnen und Mietinteressenten verwendet;

—den Vertrag zwischen dem Erziehungsdepartement und Nestlé betreffend Glacé-Verkauf in Sportanlagen;

—den Einsatz von BodyCams bei den Polizeikorps;

—die Weitergabe des Sperrvermerks bei der Be kanntgabe von Einwohnerdaten via Datenmarkt;

—die Rechtsgrundlagen zu Smart Grid/Smart Metering;

—das Radikalisierungs-Profiling-Tool «Ra-Prof».

Schulungen, Referate und Publikationen

Anhaltendes Interesse Auch in diesem Jahr blieb das Interesse an bereichsspezifischen datenschutz- und öffentlichkeitsrechtlichen Schulungen sowie an Referaten gross: Der Datenschutzbeauftragte hat im Berichtsjahr acht¹⁸ (2014: 7) Schulungen für öffentliche Organe durchgeführt; hinzu kommen noch fast doppelt so viele Referate und Weiterbildungsbeiträge, die ebenfalls der Sensibilisierung dienen.

Schulungen Der Datenschutzbeauftragte hat die folgenden acht Schulungen für öffentliche Organe durchgeführt:

—zweimal das Seminar «Datenschutz und Öffentlichkeitsprinzip: kurz erklärt» im Rahmen des kantonalen Weiterbildungsangebotes;

—zwei Schulungen für den Sozialdienst der Universität;

—eine Schulung für die Mitarbeiterinnen und Mitarbeiter der Kindes- und Erwachsenenschutzbehörde (KESB);

—eine Schulung für die Mitarbeiterinnen und Mitarbeiter des Schulpsychologischen Dienstes und

—eine Schulung für Mitarbeiterinnen und Mitarbeiter von Einwohnerdiensten im Rahmen des Weiterbildungsangebotes des Verbandes der Schweizerischen Einwohnerdienste (VSED).

—das Modul «Datenschutz, Amtsgeheimnis und Archivierung», das Teil des Lehrplans der KV-Lehre in der öffentlichen Verwaltung bildet.

Referate und Weiterbildungsbeiträge Ausserdem haben der Datenschutzbeauftragte bzw. seine Mitarbeitenden mehrere Referate gehalten und Weiterbildungsbeiträge erbracht, so unter anderem:

—ein Referat zum Datenschutz in Behindertenorganisationen (interkantonale ERFA-Gruppe der IT-Leitungen);

—ein Referat für die Auszubildenden an der Höheren Fachschule Kindererziehung;

—ein Datenschutz-Update für das Kader der Sozialhilfe Basel;

—ein Referat zu «Datenschutz – neue Herausforderungen: Verfassungsrechtliche Grundlegung und EU-Datenschutzreform als Schengen-Weiterentwicklung» an der Schengen-Tagung der Juristischen Fakultät der Universität Basel;

—eine Schulung zu Datenschutzfragen in der Zusammenarbeit zwischen den kantonalen Brustkrebs-Früherkennungsprogrammen (Mammographie-Screening-Programm MSP Basel-Stadt) und Swiss Cancer Screening SCS, dem Zusammenschluss der kantonalen Krebs-Screening-Programme);

—ein Referat zu «Das vernetzte Automobil und der Datenschutz» an der Strassenverkehrs-Tagung 2016;

—ein Referat zum «Intelligenten Verkehr und Datenschutz» an der Tagung «Intelligenter Verkehr – Rechtsfragen im Kontext» der Juristischen Fakultät der Universität Basel;

—eine Referat «Aktuelle Herausforderungen für das Datenschutzrecht» vor dem Basler Juristenverein;

—ein Referat zu «Europas Datenschutzreformen und ihre Auswirkungen auf den öffentlichrechtlichen Datenschutz in der Schweiz» am 21. Symposium on Privacy and Security;

—ein Referat zu «‹Wer nichts zu verbergen hat, hat nichts zu befürchten› – wirklich?» vor dem Kiwanis Club Basel.

Auch 2016 blieb das Interesse an bereichsspezifischen datenschutz- und öffentlichkeitsrechtlichen Schulungen sowie an Referaten gross.

Datenschutz-Basilisk Mit der Kolumne in «BS intern» bzw. auf der Website des Datenschutzbeauftragten hat der «Datenschutz-Basilisk» die folgenden Themen angesprochen:

—«Proleete» in der Öffentlichkeit: Ein Staatsangestellter darf über seinen Departementsvorsteher denken, was er will. Er darf es auch im Zug seine Kollegin anvertrauen. «Anvertraut» ist es aber nicht mehr, wenn andere zuhören und sich ihren Reim auf das Gehörte machen können, sondern vielleicht sogar strafbar.

—Einsicht in meine Notizen: Notizen als «persönliches Arbeitsmittel» gehen niemanden etwas an, auch nicht die Betroffenen – eine unrichtige Ansicht, die sich hartnäckig hält. Eine solche Ausnahme wurde in der Vernehmlassung zum Informations- und Datenschutzgesetz ausdrücklich abgelehnt.

—Das Ohr an den Kundinnen und Kunden: Befragungen von Kundinnen und Kunden einer Amtsstelle? Um unsere Dienstleistungen besser auf deren Bedürfnisse abzustimmen, reicht in der Regel eine anonyme Umfrage. Um nur bestätigt zu bekommen, dass wir sowieso die Besten sind – damit sind heute keine Lorbeeren zu verdienen.

—«Die Regierungspräsidentin verdient …»: Wer Personendaten bearbeitet, muss das Datenschutzrecht einhalten. Das gilt nicht mehr, wenn die Daten anonymisiert worden sind. Anonymisieren ist aber mehr als bloss den Namen entfernen! Was denn?

Publikationen Auch in diesem Jahr haben der Datenschutzbeauftragte und seine Mitarbeitenden verschiedentlich zu Themen des Datenschutzes und des Öffentlichkeitsprinzips publiziert. Der Datenschutzbeauftragte ist u.a. weiterhin Mitherausgeber und Redaktor von «digma»¹⁹, der Zeitschrift für Datenrecht und Informationssicherheit aus dem Haus Schulthess Juristische Medien AG, und der «digma-Schriften zum Datenrecht» aus dem gleichen Verlag. In dieser Funktion verfasst er regelmässig Einführungsartikel²⁰ sowie den «schlusstakt»²¹. Barbara Widmer publiziert regelmässig in der digma-Rubrik «Der Blick nach Europa und darüber hinaus»²²; von ihr erschien ausserdem ein Aufsatz zum «vernetzten Automobil»²³. Ausserdem sind von Sandra Husi-Stämpfli und dem Datenschutzbeauftragten im Kommentar zum Energierecht eine Kommentierung zum Datenschutzartikel im Bundesgesetz über die Stromversorgung²⁴ erschienen. Und schliesslich hat der Datenschutzbeauftragte einen Artikel zu «Psychiatrie und Datenschutz»²⁵ zum Buch beigetragen, das anlässlich der Eröffnung des neuen Therapie- und Ökonomiegebäudes der Klinik Sonnenhalde präsentiert wurde.

Veranstaltungen

Europäischer Datenschutztag Wie gewohnt hat der Datenschutzbeauftragte aus Anlass des Europäischen Datenschutztages zu einem Apéro eingeladen. Der Anlass bietet Gelegenheit, mit den Grossrätinnen und Grossräten aus dem Grossratsbüro, der Geschäftsprüfungs- und der Justiz-, Sicherheits- und Sportkommission, mit den Präsidien der anderen Grossratskommissionen, mit den Leiterinnen und Leitern und den Ansprechpersonen aus den Dienststellen, mit denen der Datenschutzbeauftragte regelmässig zu tun hat, ungezwungen ins Gespräch zu kommen. > — S. 34 —Spätherbstapéro mit Fachreferat In einem unregelmässigen Rhythmus lädt der Datenschutzbeauftrage die Mitglieder der Grossratskommissionen, mit denen er häufig in Kontakt ist (Büro, GPK, JSSK), sowie die Präsidien aller anderen Grossratskommissionen, die Mitglieder des Regierungsrates und Dienststellenleiterinnen und Dienstellenleiter der Verwaltung zu einer Veranstaltung mit einem Fachreferat ein. 2016 kamen die etwa 50 geladenen Gäste in den Genuss eines Referates von Prof. Dr. Marc Langheinrich von der Università della Svizzera Italiana zu «IoT – was erwartet uns im Internet der Dinge?». Er hat in sehr unterhaltsamer Weise die aktuellen und absehbaren technischen Entwicklungen und ihre Auswirkungen auf unsere Gesellschaft aufgezeigt und zum Nachdenken Da und Diskutieren angeregt.

Zusammenarbeit

Gesetzlicher Auftrag Der Datenschutzbeauftragte arbeitet zur Erfüllung seiner Aufgaben mit den Organen der anderen Kantone, des Bundes und des Auslandes, welche die gleichen Aufgaben erfüllen, zusammen²⁶. Dank dieser Zusammenarbeit lassen sich Synergien nutzen.

Der Datenschutzbeauftragte arbeitet zur Erfüllung seiner Aufgaben mit den Organen der anderen Kantone, des Bundes und des Auslandes, welche die gleichen Aufgaben erfüllen, zusammen. Dank dieser Zusammenarbeit lassen sich Synergien nutzen.

Kantonsübergreifend Die kantonsübergreifende Zusammenarbeit stellte auch im Jahr 2016 ein wesentliches Element der Tätigkeit des Datenschutzbeauftragten dar. So arbeiteten der Datenschutzbeauftragte und seine Mitarbeiterinnen und Mitarbeiter nicht nur aktiv im privatim-Büro (dazu unter dem nächsten Zwischentitel gleich mehr), sondern auch in den privatim-Arbeitsgruppen «Gesundheit» (Daniela Waldmeier) und «ICT» (Markus Brönnimann) mit. Auch in den neu zusammengestellten privatim-Arbeitsgruppen «Digitale Verwaltung» (Beat Rudin, Markus Brönnimann) und «Sicherheit» (Katja Gysin) wird der Datenschutzbeauftragte mitarbeiten und von den Erfahrungen der anderen Datenschutzaufsichtsstellen profitieren. Barbara Widmer war aktiv beteiligt am Aufbau von «TerrAudit». In diesem Verein können sich die Grundbuchämter und Datenschutzbeauftragte der Kantone, die sich an «Terravis» beteiligen, zusammenschliessen, um eine interkantonal koordinierte wirksame Aufsicht über die Plattform «Terravis» sicherzustellen. «Terravis» ist ein elektronisches Grundbuch-Informationssystem (eGRIS), über welches die angeschlossenen kantonalen Grundbuchämter Grundbuchinformationen mit Berechtigten austauschen. Basel-Stadt ist (noch?) nicht an «Terravis» angeschlossen – das Vorhandensein einer wirksamen Aufsicht ist aber auf jeden Fall Voraussetzung für einen allfälligen Beitritt. Schliesslich ist der Datenschutzbeauftragte (zusammen mit Daniela Waldmeier als Stellvertreterin) Mitglied der Ethikkommission der Pädagogischen Hochschule der FHNW.

internationale Entwicklungen auch Auswirkungen auf die Schweiz haben, ist auch der Austausch über die Landesgrenzen hinweg wichtig.

National Im Bereich von eHealth vertrat Barbara Widmer die kantonalen Datenschutzbeauftragten in den Arbeitsgruppe «Standards & Architektur» und «Aufbau & Vernetzung» von eHealth suisse. Katja Gysin vertritt Basel-Stadt in der Koordinationsgruppe der Schweizerischen Datenschutzbehörden für die Schengen-Aufsicht. Zwar wurde auch 2016 keine koordinierte Kontrolle durchgeführt; Katja Gysin arbeitete jedoch in einer Arbeitsgruppe mit, die einen Leitfaden für die koordinierte Kontrolle der Nutzung des Schengener Informationssystems (SIS) erarbeitet; sie konnte die reiche Basler Erfahrung mit solchen Kontrollen einbringen. Der Leitfaden soll im Sommer 2017 verabschiedet und künftig umgesetzt werden. Beat Rudin wiederum ist – im Rahmen einer starken Basler Delegation – Mitglied im Beirat der Fondation CH2048 für das Reformprojekt «Digitale Revolution: Reformvorschläge für eine global wettbewerbsfähige und verantwortliche Schweiz». Damit will die Stiftung die Schweizer Politik für die digitale Zukunft fit machen. Beat Rudin vertritt die Anliegen des Persönlichkeitsschutzes im Rahmen des Teilprojekte «Datennutzung und Datenschutz», in dem es darum geht, den Wert der Daten für die digitale Gesellschaft mit den Persönlichkeitsrechten der Betroffenen vereinbar zu machen.

International Da internationale Entwicklungen auch Auswirkungen auf die Schweiz haben, ist auch der Austausch über die Landesgrenzen hinweg wichtig. Der Datenschutzbeauftragte war deshalb an der Konferenz der Europäischen Datenschutzbehörden in Budapest und an der Internationalen Konferenz der Datenschutzbehörden in Marrakesch vertreten. Der Fokus der ersten Konferenz war auf die neue Europäische Datenschutz-Grundverordnung und die Modernisierung der Europarats-Konvention 108 gerichtet. An der zweiten Konferenz unter dem Titel «Opening new territories for privacy» standen (u.a.) die Themenbereiche Datenschutz und Bildung, Künstliche Intelligenz, Verschlüsselung, Fragen der Aufsicht im Sicherheitsbereich im Vordergrund.

Aber auch kantonsintern Die Mitarbeiterinnen und Mitarbeiter des Datenschutzbeauftragten wirken kantonsintern in etlichen verwaltungsinternen Arbeitsgruppen und Steuerungs-Gremien mit, oftmals nur in beratender Funktion, um die Unabhängigkeit nicht zu gefährden. Der Datenschutzbeauftragte hat ausserdem mitgeholfen, die Basler Expertengruppe «Datenschutz im Gesundheitswesen», in der sich regelmässig Vertreterinnen und Vertretern des Universitätsspital, der Schweizerischen Akademie der Medizinische Wissenschaften (SAMW), von Novartis und Roche und einem auf diesem Gebiet stark engagierten Advokaturbüro und eben der Datenschutzbeauftragte über aktuelle Datenschutzfragen im Gesundheitsbereich austauschen, wiederzubeleben.

privatim, die Konferenz der schweizerischen Datenschutzbeauftragten Wechsel im Präsidium Nach zwölf Jahren ist Bruno Baeriswyl, der Datenschutzbeauftragte des Kantons Zürich, als Präsident von privatim, der Konferenz der schweizerischen Datenschutzbeauftragten, zurückgetreten. Die Suche nach einer Nachfolgerin oder einem Nachfolger hatte rund vier Jahre gedauert. Verschiedene Lösungsvorschläge mit extern vergebener Geschäftsstelle wurden als nicht nachhaltig und

—Einsetzung eines Büro-Ausschusses (Tagesgeschäft, Vorbereitung der Arbeit im Büro, Telefonkonferenz im Zweiwochenrhythmus);

—finanzielle Kompensation für die Übernahme von Chargen im Büro;

—Entschädigung für Sekretariatsaufgaben beim Präsidium.

Neubeginn Mit diesen Änderungen konnten neue Mitglieder für das Büro gewonnen werden. Dank der Entschädigung war es beispielsweise Datenschutzbeauftragten mit einem Teilzeitpensum möglich, die Leitung einer Arbeitsgruppe zu übernehmen, ohne dafür ihr Pensum als Datenschutzbeauftragte in Anspruch zu nehmen. Im Berichtsjahr hat sich das privatim-Büro aus den Datenschutzbeauftragten der Kantone Aargau, Basel-Stadt, Bern, Freiburg, Neuenburg/Jura, Zug und Zürich zusammengesetzt.

Ehrung

Wissenschaftspreis der Stadt Basel Der Regierungsrat hat am 20. September 2016 den Wissenschaftspreis der Stadt Basel verliehen²⁷. In einer von Colette Greder und Andrej Ichtschenko wunderschön baslerisch umrahmten Preisverleihung im Grossratssaal überreichte Regierungspräsident Dr. Guy Morin den Preis an Beat Rudin,

—«der als kantonaler Datenschutzbeauftragter für eine differenzierte Umsetzung des Datenschutzes in die Praxis sorgt und die kantonalen Amtsstellen insbesondere durch seine Beratungstätigkeit mit Augenmass unterstützt sowie auch auf nationaler Ebene ein sehr grosses Engagement für den Datenschutz zeigt;

—der über den beruflichen Alltag hinaus als Autor und Herausgeber von einschlägigen Publikationen zur wissenschaftlichen Bearbeitung und Reflexion seines Fachgebiets wichtige Beiträge von nationaler und internationaler Bedeutung leistet;

—der als Titularprofessor an der Universität Basel für eine wissenschaftlich verankerte Vermittlung des Datenschutz- und Informationsrechts an die künftige Generation von Juristinnen und Juristen besorgt ist;

zu teuer verworfen. Schliesslich hat sich Beat Rudin >

bereit erklärt, das Präsidium zu übernehmen, wenn der Aufwand dafür reduziert werden kann.

Reorganisation Die Entlastung des Präsidiums konnte durch die folgenden Reorganisationsansätze erreicht werden:

—Verteilung der Aufgaben auf mehr Schultern (Chargen im Büro: Präsidium, Vizepräsidium, Mitarbeit im Büroausschuss, Kommunikation (Kommunikation mit den Mitgliedern, nach aussen, Betreuung der Website), Arbeitsgruppenleitung;

—der mit der Abhaltung von Tagungen wie auch mit Stellungnahmen in den Medien zu aktuellen Fragen wichtige Beiträge für den gesellschaftlichen Diskurs zu Datenschutz und Datenzugang leistet und damit in der rasanten Entwicklung der modernen Gesellschaft hin zu einer Informations- und Kommunikationsgesellschaft die relevanten Fragen aus dem Spannungsfeld zwischen Datenschutz und offenem Informationszugang/Transparenzanliegen thematisiert;

Die Auseinandersetzung mit unserer digitalen Zukunft beginnt erst. Dazu braucht es auch mehr als bloss Datenschutzbeauftragte: Es ist eine Diskussion, die wir als freiheitliche Gesellschaft führen müssen – als Gesellschaft, die freiheitlich bleiben will.

—dem es durch sein vielfältiges Wirken auf ausserordentliche Weise gelingt, Personen aus Wirtschaft, Wissenschaft, Politik und Verwaltung zusammen zu bringen und zur ganzheitlichen Betrachtung der Entwicklungstendenzen beiträgt, indem rechtliche, technische, wirtschaftliche, politische und nicht zuletzt auch ethische Aspekte in die Wissenschaft und die sozialpolitische Debatte einfliessen.»

Dank Der Geehrte dankte darauf den Damen und Herren der Wissenschaftspreis-Kommission für die Zuerkennung des Preises, der ihn ansporne, den eingeschlagenen Weg weiterzugehen, und dem Regierungsrat des Kantons Basel-Stadt für die Verleihung des Preises – dessen Wertschätzung freue ihn erst recht, weil seine Aufgabe es mit sich bringe, dass er mit seinem Team der Verwaltung gegenüber ab und zu auf Handlungsbedarf hinweisen muss, was der Exekutive – das verstehe er voll und ganz – nicht immer nur Freude bereite. Mit diesem Preis sei der Datenschutz endgültig angekommen, habe er mehr als einmal gehört. Ob wir also am Ziel seien? Wer am Morgen der Preisverleihung in der bz Basel das Interview mit dem Schriftsteller Tom Hillenbrand zu seinem Roman «Drohnenland»²⁸ gelesen habe, wisse: Nein – die Auseinandersetzung mit unserer digitalen Zukunft beginnt erst. Dazu brauche es auch mehr als bloss Datenschutzbeauftragte: Es ist eine Diskussion, die wir als freiheitliche Gesellschaft führen müssen – als Gesellschaft, die freiheitlich bleiben will. Wissenschaftler und Datenschutzbeauftragte könnten diese Diskussion nur anstossen und alimentieren. Führen müssten sie wir alle. Der Regierungspräsident habe die Verleihung des Preises mit dem gelungenen Brückenschlag begründet. Brücken könne man nur schlagen, wenn der Boden, auf dem die Brückenpfeiler stehen sollen, stark genug sei. Dass er, der Geehrte, diesen Preis in Empfang nehmen dürfe, habe also viel mit den Menschen zu tun, die diesen Boden gelegt hätten. Etlichen von diesen «Bodenlegern» hat er anschliessend gedankt, von seinen Förderern, die ihn zum öffentlichen Recht und zum Datenschutz gebracht haben (René Rhinow, Andreas Koellreuter), seinen früheren und aktuellen Kolleginnen und Kollegen für den FLöhlichen Austausch, für die gute Zusammenarbeit in privatim, für die Aufnahme in der Juristischen Fakultät, den ehemaligen und aktuellen Mitgliedern der Datenschutz-Delegation des Ratsbüros für die wohlwollende Begleitung und den Schutz der Unabhängigkeit des Datenschutzbeauftragten, und – last but not least – seinem Team, ohne das der Brückenschlag zwischen Theorie und Praxis nicht so gut gelingen würde, und seiner Familie – er schätze sich glücklich, aus dieser Ressource schöpfen zu dürfen.

1<http://www.dsb.bs.ch/Merkblaetter/checkliste-

bekanntgabe.html>.

2Art. 32 Abs. 1 lit. d ATSG.

3§ 10 IDG; vgl. dazu PK-IDG/BS-Rudin, § 10 N 2 ff.

4Die in § 10 Abs. 1, § 22 Abs. 1 und 4 IDG ebenfalls

noch erwähnte «Wissenschaft» beschreibt im Grunde genommen nicht den Bearbeitungszweck, sondern die Methode. Ihre Erwähnung hat deshalb keine eigenständige Bedeutung (PK-IDG/BS-Rudin, § 10 N 7).

5§ 30 Abs. 6 AufenthG.

6Anders aber schon PK-IDG/BS-HuSi, § 30 AufenthG

N 34.

7RRB vom 6. Dezember 2016, Sammeladressauskünfte

an Parteien durch das Einwohneramt, P161833.

8Art. 29 Abs. 2 BV; § 12 KV.

9Vgl. dazu z.B. auch § 3 Abs. 1 des Gesetzes vom

20. Juni 1968 über die Ermittlung von Grundstückwerten, SGS 717.100, wonach das Ergebnis der Preisauswertung nur in einer Art bekanntgegeben werden darf, die keinen Aufschluss über die

für bestimmte Grundstücke bezahlten Preise gibt.

10Das Problem besteht allerdings schon bei der

Begründung der Verfügung, nicht erst bei der Einsprache (oder bei einem Rekurs). Allerdings waren, als die Frage dem Datenschutzbeauftragten

unterbreitet wurde, ein Grossteil aller Verfügungen bereits eröffnet.

11§ 9a Abs. 1 lit. a-c IDV (in der durch die inzwischen vom Regierungsrat verabschiedete DMV geänderten Fassung); vgl. ebenso § 5 Abs. 1 lit. a-c DMV.

12Erläuterungen zur Verordnung über den Datenmarkt, S. 6.

13Erläuterungen zur Verordnung über den Datenmarkt, S. 6.

14§ 18 Abs. 3 IDG.

15§ 44 lit. f IDG; vgl. dazu PK-IDG/BS-ScHilling,

§ 44 N 29 ff.

16So auch PK-IDG/BS-ScHilling, § 44 N 29.

17Was in der Folge auch geschehen ist: Die KdK hat am 7. Februar 2017 den KdK-Leitfaden (<http://www.dsb. bs.ch/dam/jcr:8772f3e4-14ce-45ca-aff1-

46b00d043d23/KdK%20Leitfaden%20DSG%20 Kantone.pdf>, Kurz-URL: <http://bit.ly/2sfj00f>)

allen Kantonen zugestellt.

18Im Jahresbericht 2016 (des Regierungsrates), S. 410, wurden fälschlicherweise nur 7 Schulungen erwähnt.

192016 mit den Schwerpunktthemen «Whistleblowing» (2016.1), «Quantified Self» (2016.2) und «Outsourcing durch Gemeinwesen» (2016.3); die vierte Nummer erschien zusammen mit der Nummer 2017.1 als Doppelnummer zu «Datenschutzreform».

20Beat Rudin, Unbefriedigender Whistleblower-Schutz (digma 2016, S. 4 f.); ausserdem Ders, Überholte Ausnahmen im Datenschutzrecht (digma 2016,

S. 122 ff.).

21Beat Rudin, Gebt dem Auto mehr Daten zum Rechnen! (digma 2016, S. 44); Ders., Wer schaut dem Trojaner ins Maul? (digma 2016, S. 96); Ders., Datenschutzaufsicht ohne Ressourcen? (digma 2016, S. 140).

22BaRbara Widmer, Stimmen Sie mit Nichtwissen zu?

(digma 2016, S. 42 f.); Dies., Pay as you drive – bezahlen mit Daten (digma 2016, S. 92 f.); Dies., Wer

entscheidet – Sie oder der Algorithmus? (digma 2016, S. 134); Dies., Microsoft vs. US-Justizbehörden (digma 2016, S. 139).

23BaRbara Widmer, Das vernetzte Automobil und der Datenschutz, in: Thomas Probst/Franz Werro (Hrsg.), Strassenverkehrs-Tagung 21.-22. Juni 2016, Bern 2016, S. 143 ff.

24Beat Rudin/SandRa Husi-Stämpfli, Art.27, in: Brigitta Kratz/Michael Merker/Renato Tami/Stefan Rechsteiner/ Kathrin Föhse (Hrsg.), Kommentar zum Energierecht, Band I: WRG/EleG/StromVG/RLG, Bern 2016,

S. 1695-1723.

25Beat Rudin, Psychiatrie und Datenschutz, in: Anja Oswald (Hrsg.), Psychiatrie und Gesellschaft im Wandel der Zeit 1900–2016, Basel 2016, S. 172 ff.

26§ 48 IDG.

27Medienmitteilung des Regierungsrates: <http://www. medien.bs.ch/nm/2016-06-14-rrbs-003.html> (Kurz-URL: <http://bit.ly/2vboSfv>); Medienmitteilung der Universität: <https://www.unibas.ch/de/Aktuell/ News/Uni-People/Beat-Rudin-erhaelt-den-Wissenschaftspreis-der-Stadt-Basel-2016.html>. (Kurz-URL: <http://bit.ly/2u9qSAC>).

28bz Basel vom 20. September 2016, S. 6:

«Es ist gruseliger als bei Orwell».

Aus dem Alltag Einblicke in die Kontrolltätigkeit

Der Datenschutzbeauftragte kontrolliert nach einem die Anwendung der Bestimmungen über den Umgang mit Datenschutz-Prüfung abgeschlossen werden, vier sind Ausserdem arbeitet der Datenschutzbeauftragte mit dem

Übersicht

Abgeschlossen Wie bereits im Jahresbericht erwähnt, konnte dieses Jahr eine Prüfung abgeschlossen werden: die Prüfung, inwiefern die öffentlichen Organe, die Videoüberwachungsanlagen betreiben, ihrer Pflicht nachgekommen sind, die Videoüberwachungsreglemente der Öffentlichkeit leicht zugänglich zu machen. Diese Prüfung war relativ aufwändig, wie sogleich unten zu sehen ist. Dass nicht mehr Prüfungen abgeschlossen werden konnten, lag am erhöhten Geschäftsaufkommen (hinten Seite 43 f.), an der Aufwändigkeit der abgeschlossenen und laufenden Prüfungen und schliesslich auch an personellen Engpässen – eine neuen Mitarbeiterin musste erst in die Kontrolltätigkeit eingeführt werden und der Wechsel von einer juristischen zu einer weiteren IT-Stelle war noch im Gange, eine Stelle somit vakant.

Begonnen Mehrere Prüfungen waren aber am Laufen, konnten jedoch im Berichtsjahr noch nicht abgeschlossen werden:

—eine Prüfung bei der Kantonspolizei;

—eine Prüfung beim Universitätsspital;

—eine Prüfung bei den Volksschulen im Erziehungsdepartement;

—eine Prüfung bei der Steuerverwaltung

In Vorbereitung Statt für eine eigene SIS-Kontrolle wurden die Ressourcen in die Vorbereitung einer mit dem Bund und anderen Kantonen koordinierten SIS-Kontrolle investiert.

autonom aufzustellenden Prüfprogramm

Informationen. Im Jahr 2016 konnten eine

noch am Laufen, eine in Vorbereitung.

Staatsschutzkontrollorgan zusammen.

Abgeschlossen: Prüfung Publikation der Videoüberwachungsreglemente

Prüfgebiet Die Informations- und Datenschutzverordnung (IDV) sieht vor, dass Reglemente der Öffentlichkeit leicht zugänglich gemacht werden müssen¹. Auf die Veröffentlichung der Kamerastandorte kann verzichtet werden, wenn durch deren Bekanntgabe die Zweckerreichung unmöglich wird². Der Datenschutzbeauftragte hat 2016 geprüft, ob und wie die Reglemente der Videoüberwachungsanlagen von den öffentlichen Organen im Kanton Basel-Stadt der Öffentlichkeit zugänglich gemacht wurden.

Durchführung der Prüfung Die Prüfung startete auf der Basis der bekannten Videoüberwachungsanlagen. Wo der Datenschutzbeauftragte keine Hinweise auf eine Publikation des Reglements fand, wurden die für den Betrieb der Videoüberwachungsanlagen verantwortlichen öffentlichen Organe angeschrieben, mit der Bitte um Angaben zur Publikation, insbesondere zu allfälligen Gründen, warum keine Veröffentlichung des Reglements vorgenommen worden war³.

Wesentliche Feststellungen Die Prüfung ergab die folgenden wesentlichen Feststellungen:

—Bei Prüfungsbeginn im Sommer 2016 lagen dem Datenschutzbeauftragten 29 Reglemente für Videoüberwachungsanlagen vor. Davon waren im Zeitpunkt der Kontrolle acht publiziert, für 21 Reglemente fehlten Angaben zur Publikation und eine Suche auf den relevanten Webseiten ergab keine Resultate.

—Mehrere Anlagenverantwortliche veranlassten im Nachgang zur Anfrage die erneute Publikation ihres Reglements und machten geltend, dass ihre Webseite in Überarbeitung sei bzw. überarbeitet worden sei und das Reglement erneut aufgeschaltet werden musste.

—Einige nahmen die Nachfrage zum Anlass, den Stand der Anlagen in ihrem Bereich generell zu prüfen, eventuell eine Überarbeitung der Reglemente in die Wege zu leiten und organisatorische Zuständigkeiten zu überarbeiten bzw. neu zuzuweisen.

—Nur wenige stellten die Publikationspflicht generell in Frage, z.B. weil ihre Anlage die Öffentlichkeit nur am Rande betreffe oder weil sie die Existenz und Details ihrer Anlage als «geheim» erachteten.

Stand Mitte 2017 Der heutige Stand der Videoüberwachungsreglemente präsentiert sich wie folgt (vgl. dazu auch die Tabelle vorne auf den Seiten 12 f.):

—Zurzeit liegen dem Datenschutzbeauftragten 31 verabschiedete Videoüberwachungsreglemente vor; davon sind zum Zeitpunkt des Redaktionsschlusses dieses Berichts 25 publiziert.

—Bei den nicht publizierten Reglementen handelt es sich zur Hälfte um Reglemente, die noch in Revision sind.

—Bei drei Anlagen fehlt die Publikation trotz mehrfacher Nachfrage bei der verantwortlichen Stelle.

Es hat sich erfreulicherweise gezeigt, dass die Mehrzahl der öffentlichen Organe der Publikationspflicht nachkommt und fehlende Publikation meist unwillentlich bzw. unwissentlich geschieht.

Empfehlungen Es hat sich erfreulicherweise gezeigt, dass die Mehrzahl der öffentlichen Organe der Publikationspflicht nachkommen und fehlende Publikation meist unwillentlich bzw. unwissentlich geschieht. Einige grundsätzliche Anmerkungen ergeben sich trotzdem aus der Prüfung:

—In der Regel dürfte die Publikation im Internet auf der Webseite der verantwortlichen Behörde die einfachste und wirksamste Lösung sein. Aus Sicherheitsgründen kann dabei – wie oben bereits erwähnt

–auf die Veröffentlichung der Pläne oder von Details zu den Kamerastandorten verzichtet werden; diese Option wurde bei 13 von 25 Publikationen gewählt. Auch in diesen Fällen gibt es aber zumindest eine Umschreibung im Reglement selber, wo wie viele Kameras aktiv sind.

—Keine genügende Publikation ist im Regelfall erreicht, wenn die Publikation nur auf einem internen Netz (Intranet) veröffentlich wird. Auch wenn die Anlage zum Beispiel nur Innenräume ohne Publikumsverkehr überwacht, sind doch auch potentiell Personen betroffen, die keinen Zugang zum Intranet haben, zum Beispiel Lieferantinnen und Handwerker. Eine Publikation ist auch nötig, wenn theoretisch nur sehr wenige Personen von der Videoüberwachung betroffen sind, beispielweise die Überwachung eines Entsorgungscontainers mit nur einer Kamera. Auch in diesem Fall kann nicht zum Vorneherein bestimmt werden, wer von einer Überwachung erfasst wird; potentiell Beeinträchtigte sollen die Möglichkeit haben, sich eigenständig darüber zu informieren wann, wo und von wem sie möglicherweise gefilmt werden.

—Fraglich bleibt auch, ob eine Publikation den Ansprüchen genügt, wenn sie nicht mit einer einfachen Suche auf der relevanten Webseite aufgefunden werden kann. Gewisse Reglemente wurden zwar publiziert, sind aber nur auffindbar, wenn man den Link zur Publikation kennt. Andere findet man nur mit einer generellen Suche auf der Webseite des Kantons, nicht aber auf der Webseite der Betreiberin. Es bleibt fraglich, warum gewisse Stellen sich nur widerstrebend auf eine Veröffentlichung des Reglements einlassen. Gerade die präventive Wirkung der Videoüberwachungsanlagen – oftmals ein Hauptgrund für die Installation – entfaltet sich ja nur bei Kenntnis einer Überwachung. Zum einen weisen dabei Piktogramme oder Hinweisschilder vor Ort auf die Überwachung hin⁴, zum andern entfaltet eben gerade das publizierte Reglement eine ähnliche Wirkung. Dass dabei ein Gefängnis oder eine Polizeiwache nicht die Detailpläne ihrer Installationen und damit ihrer Gebäude veröffentlichen möchten, ist verständlich. Aber die Tatsache, dass Kameras genutzt werden, wie viele es davon gibt, wer die Aufnahmen in welchen Fällen anschauen darf und an wen sie weitergegeben werden dürfen, betreffen die persönlichen Rechte der Betroffenen und sollten diesen leicht zugänglich gemacht werden.

—Oftmals sind Publikationen nicht mehr auffindbar, weil die Webseite überarbeitet wurde und das Reglement nicht mehr neu aufgeschaltet wurde oder ein bestehender Link führt nun ins Leere. Es ist Sache der Anlageverantwortlichen sicherzustellen, dass die Veröffentlichung des Reglements jederzeit den gesetzlichen Anforderungen genügt. Links und Webseiten sind also zu überprüfen und bei Änderungen ist dem Reglement wieder der nötige Platz zuzuweisen. >

In Vorbereitung: SIS-Kontrolle

Erste koordinierte Kontrolle Im Berichtsjahr wurden die Ressourcen statt einmal mehr in eine Logfile-Kontrolle betreffend die Nutzung des Schengener Informationssystem (SIS)5 in die Vorbereitung von Grundlagen für eine erste koordinierte Kontrolle zusammen mit den anderen Kantonen und dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gearbeitet. Während der Amtszeit des letzten EDÖB fand bekanntlich keine einzige koordinierte SIS-Kontrolle statt. Nun wurde zum einen am Leitfaden für die koordinierte Kontrolle im Rahmen der Schengen-Koordinationsgruppe der schweizerischen Datenschutzbeauftragten aktiv mitgewirkt; zum andern wurden Vorabklärungen zur kantonsinter- nen Organisation der Zugriffsberechtigungen im SIS vorgenommen.

Die Schweiz wird 2018 zum dritten Mal das Schengen-Evaluierungsverfahren durchlaufen. Expertinnen und Experten aus anderen Schengen-Staaten sowie der EU werden prüfen, ob die Schweiz – und diesmal konkret auch Basel-Stadt – die Schengener Vorschriften korrekt anwendet.

Kontrolltätigkeit im Bereich des Staatsschutzes

Koordination Auch 2016 trafen sich das Staatsschutzkontrollorgan und der Datenschutzbeauftragte zu einer koordinierenden Sitzung, wo Fragen zu Berührungspunkten zwischen der Fachgruppe 9 und anderen öffentlichen Organen des Kantons Basel-Stadt behandelt wurde. Vorgängig hat der Datenschutzbeauftragte die Liste der Ämterkontakte der Fachgruppe 9 mit dem Migrationsamt auf ihre Richtigkeit und Vollständigkeit geprüft und verifizieren können.