Tätigkeitsbericht der Datenschutzbeauftragten des Kantons Basel-Stadt 2016

Einleitung 2016: Die Herausforderungen der Digitalisierung angehen

Fast 10% mehr Geschäfte, mehr Medienanfragen – Bemühen, die öffentlichen Organe zu unterstützen in der keine herausragenden Vorfälle, aber ein stetes

Aufgabe, die Herausforderung der

Digitalisierung zu meistern. Dabei gibt es durchaus Verbesserungsbedarf, etwa bei den datenschutz-

relevanten Vorhaben, die dem Datenschutzbeauftragten

Jahresrückblick

Keine dramatischen Schlagzeilen Was gibt es über überragendes Thema wie die Enthüllungen von Edward Datennetz Basel-Stadt, bei dem alle Daten von Unbekannten durch einen Angriff wie von WannaCry lahmgelegt wurde. mehr (Video-)Überwachung – ein paar neue Anwendungen, Personen oder Fahrzeugen erleichtert, aber natürlich auch zur Vorabkontrolle vorzulegen sind.

2016 zu berichten? Ein Jahr wie andere auch. Kein

Snowdon. Kein spektakulärer Hackerangriff auf das

gestohlen oder vernichtet wurden. Kein Spital, das

Und doch – von allem ein bisschen: Da ein bisschen

die der Polizei die Suche nach ausgeschriebenen

Unverdächtige erfassen – Mitarbeitende, die auf

Phishing-Mails oder Trojaner hereinfallen, SAP, das ankündigt, dass in ein paar Jahren wichtige Komponenten

ihrer Dienstleistungen ausschliesslich als Cloud-Dienste

Abhängig Viele sind sich wohl gar nicht bewusst, wie angeboten werden ...

gross unsere Abhängigkeit von der Informationstech-

nologie schon ist. Es ist nicht das Schlimmste, was passieren kann, wenn einmal die Büroanwendung am

Arbeitsplatz nicht funktioniert oder der Zugriff auf die Abhängigkeit ist viel stärker – und sie nimmt zu. Damit wir alle diesbezüglich laufend informieren, die Entwicklungen

Chancen Dabei bietet die Digitalisierung natürlich beschleunigt, verbilligt werden – aber noch viel mehr: Es undenkbar waren. Auch der Staat soll sich solchen Chancen Digitalisierung gar nicht aufhalten. Also gilt es, die Chancen

E-Anwendungen

Mehrwert Nun ist aber nicht jede E-Anwendung einfach dung nicht. E-Anwendungen machen für die öffentliche und Bürgern einen Mehrwert bringen, die Abläufe für sie und/oder günstiger machen. Wo bringt E-Voting mehr als Von der Erwartung, dass es eine höhere Stimmbeteiligung Datenablage für eine Stunde nicht möglich ist. Unsere

unsere Zukunft mitgestalten können, müssen wir uns

neu beurteilen und uns orientieren.

hervorragende Chancen. Abläufe können vereinfacht,

werden neue Dienstleistungen möglich, die bisher

nicht verschliessen – oder genauer: Er kann die

zu nutzen.

an sich erstrebenswert. «Me too» reicht als Begrün-

Verwaltung vor allem da Sinn, wo sie den Bürgerinnen

vereinfachen, transparenter, zuverlässiger, schneller

zum Beispiel die bisherige briefliche Stimmabgabe?

bringen soll, hat man sich ja bereits verabschiedet.

Wo bringt E-Government Verbesserungen oder Erleichterungen für die Bürgerinnen und Bürger? Wo vermeidet es einen Gang zu einer Amtsstelle während der Schalteröffnungszeiten, ohne dass die erforderliche Qualität der

staatlichen Dienstleistung leidet? Solche Anwendungen nicht geringen Kosten – eingeführt werden, einfach weil es

Checks and Balances

Auch Risiken Wer von Chancen redet, darf auch die ist natürlich nicht nur schön. Die Digitalisierung bringt teile der Digitalisierung nachhaltig nutzen will, tut deshalb von Anbietern aufzusitzen, sondern genau hinzuschauen, man sich einlässt, und für einen Ausgleich zu sorgen – müssen gut überlegt sein, bevor sie – in der Regel mit

modern ist.

Risiken nicht ausser Acht lassen. Die schöne neue Welt

unweigerlich auch neue Gefahren mit sich. Wer die Vor-

gut daran, nicht blindlings den Marketingversprechen

die Zukunft bewusst mitzugestalten, zu prüfen, worauf

«Checks and Balances» eben.

Risikomanagement Eine Anwendung darf nun aber

in sich birgt – es gilt vielmehr, die Risiken zu erkennen,

treffen, um untragbare Risiken zu vermeiden oder sie auf

Restrisiko zu kennen und es bewusst zu übernehmen.

auch nicht einfach verteufelt werden, nur weil sie Risiken

sie zu bewerten, angemessene Schutzmassnahmen zu

ein erträgliches Mass zu vermindern, um dann das

Jede Schutzmassnahme hat ein Preisschild, darauf wird

der Leistungserbringer unweigerlich hinweisen. Das Restrisiko kostet auch, mindestens dann, wenn der uner-

wünschte Fall eintritt. Es trägt aber normalerweise kein

bewusst sein: Wenn wir das Risiko ausschliesslich über die

Preisschild – das sollte es aber! Und eines muss uns

Eintretenswahrscheinlichkeit senken, dann entspricht

das Schadensausmass im Eintrittsfall gleichwohl demjenigen ohne Schutzmassnahmen!

Beispiel Cloud Künftig stehen, mehr noch als bisher,

werden. Welche Cloud-Strategie soll der Kanton zum

niger zu kosten? Nur bestimmte Prozesse oder Daten in

Können diese Massnahmen (z.B. die Verschlüsselung)

zesse und Daten, die für das Funktionieren der Verwaltung

die Rechte der Bürgerinnen und Bürger gross sind, nicht

Entscheidungen an, die grosse Auswirkungen haben

Beispiel fahren? Alles in die Cloud, weil es verspricht, we-

die Cloud? Mit welchen konkreten Schutzmassnahmen?

halten, was man sich davon verspricht? Sollen jene Pro-

entscheidend sind oder deren Schadenspotenzial für

in die Cloud? Das kann logischerweise nicht einfach

jede Dienststelle für sich beurteilen und entscheiden. Entscheidend wird sein, dass eine seriöse Risikoabwägung

stattfindet. Letztlich wird der Regierungsrat hinstehen

Risiken bewertetet werden und welche Restrisiken er für

te der Bürgerinnen und Bürger als betroffene Personen als

Oberaufsicht diesen Entscheid gutheissen müssen – oder

Funktion und Instrumente Der Datenschutzbeauftragte

und das Datenschutzrecht stellt wirksame Instrumente

und klar deklarieren müssen, nach welchem Massstab

das Funktionieren des Staates und für die Grundrech-

tragbar erachtet. Und der Grosse Rat wird über seine

Korrekturen verlangen.

hat in diesen Checks and Balances eine Funktion,

dafür zur Verfügung. Schon bisher mussten Vorhaben mit

einer gewissen Datenschutz-Relevanz dem Datenschutzbeauftragten zur Vorabkontrolle vorgelegt werden. Er hat eine Prüfung vorzunehmen und eine Beurteilung abzugeben – allenfalls verbunden mit einer Empfehlung für Verbesserungen. Das Datenschutzrecht, wie es die modernisierte Europaratskonvention verlangt und auch auf-

grund der Schengen-Assoziierung geschaffen werden

Namen «Vorabkonsultation» bei und fasst seine Vorbereitung

zusammen. Diese beiden Instrumente des präventiven

dereinst von den Vorteilen der Digitalisierung profitiert

muss, behält dieses Instrument unter dem (treffenderen)

unter dem Begriff «Datenschutzfolgenabschätzung»

Datenschutzes leisten einen wichtigen Beitrag, damit

werden kann – sie müssen aber (noch besser) genutzt

werden und der Datenschutzbeauftragte muss die erforderlichen Ressourcen dafür besitzen. Unter anderem zu

diesem Zweck wird 2017 eine bisher juristisch besetzte

Zum Schluss

Danke! Unsere Aufgabe zum Schutz der Privatheit der

Stelle in eine IT-Stelle umgewandelt werden.

Bürgerinnen und Bürger, über welche die öffentlichen

Organe Daten bearbeiten, und im Interesse ihres Informationszugangsrechts nach dem Öffentlichkeitsprinzip könnten wir nicht erfolgreich erfüllen ohne die Unterstützung vieler Menschen und Institutionen. Mein Dank gilt

deshalb

—allen, die sich mit Fragen zum Datenschutz und zum

Öffentlichkeitsprinzip vertrauensvoll an uns wenden;

—den Mitarbeiterinnen und Mitarbeitern der Verwaltung, der öffentlichrechtlichen Anstalten und der Gerichte, die mithelfen, datenschutzkonforme Lösungen zu finden und umzusetzen;

—den Kolleginnen und Kollegen der «Kleeblatt-Dienststellen» für die unkomplizierte Zusammenarbeit;

—den Präsidien und Mitgliedern des Grossen Rates,

und der Kommissionen für ihr Interesse an unserer

—den Volontärinnen Cora Dubach und Sarah Salzmann

des Büros, der Datenschutz-Delegation des Büros

Arbeit und ihre wertvolle Unterstützung;

für ihre kritische Neugier und ihre aktive Mitarbeit und

—last but not least meinem Team – Markus Brönnimann, Katja Gysin, Daniela Waldmeier (bis 31. Dezember 2016) und Barbara Widmer –, das mit unverändert grossem Engagement, mit spannenden Diskussionen und

konstruktiven Anregungen unsere Arbeit bereichert und

uns die Juristin Daniela Waldmeier, um, nach bestandenem

zutreten. Besten Dank für den tollen und erfolgreichen

beruflichen Laufbahn!

vorangebracht hat. Nach über fünfeinhalb Jahren verlässt

Advokaturexamen (bravo!), in ein Anwaltsbüro ein-

Einsatz und viel Erfolg und Befriedigung in der weiteren

Beat Rudin, Datenschutzbeauftragter

Themen — S. 7 —Thema 1 Transparenz bei der Videoüberwachung

Thema 2 Vorabkontrolle – das Instrument des präventiven Datenschutzes

Thema 3 Auswirkungen der europäischen Datenschutzreform

Thema 1 Transparenz bei der Videoüberwachung

Mit der gesetzlichen Grundlage für Videoüberwachungssysteme im IDG ist der Transparenz für die

Betroffenen noch nicht Genüge getan. Die öffentlichen Details der einzelnen Videoüberwachungssysteme regeln, Der Datenschutzbeauftragte hat 2016 geprüft, inwiefern

Die Regelung der Videoüberwachung

Die DSG-Regelung von 2005 Das frühere Datenschutzgesetz (DSG) verlangte seit der Revision von 2005 eine spezialgesetzliche Grundlage für den Betrieb eines Videoüberwachungssystems¹. Jedes einzelne System bedurfte einer Autorisierung durch den Datenschutzbeauftragten. Dieses Konzept hatte sich allerdings nicht bewährt. Die verlangte spezialgesetzliche Grundlage wurde im Kanton soweit ersichtlich einzig für die Industriellen Werke Basel (IWB) geschaffen². Trotzdem wurde aber eine Vielzahl von Videoüberwachungssystemen betrieben. Ausserdem wurde die Verantwortlichkeit, die ja letztlich beim Betreiber des Systems liegen muss, durch die Autorisierung verwischt.

Damit diese gesetzliche Grundlage der Bundesgerichtspraxis genügen kann, ist jedes Videoüberwachungssystem auf eine tragfähige Rechtsgrundlage in Form eines Reglements zu stellen.

Neue Regelung im IDG Nachdem in der IDG-Vernehmlassung sehr widersprüchliche Stellungnahmen zur Regelung der Videoüberwachung eingegangen waren, wurde die Videoüberwachungsnorm neu konzipiert. Im Ratschlag schrieb der Regierungsrat dazu:

—«Es wird nicht mehr eine (spezial-)gesetzliche Grundlage verlangt, sondern die Bestimmung im IDG stellt die aus rechtsstaatlichen Gründen erforderliche gesetzliche Grundlage dar.

—Für jedes Videoüberwachungssystem muss vor der Inbetriebnahme ein Reglement erlassen werden; das Reglement ist zeitlich zu befristen und vor der Verlängerung muss die Wirksamkeit evaluiert werden.

—Im Mittelpunkt der Regelung eines Videoüberwachungssystems steht die Festlegung des konkreten Zwecks, der mit dem Einsatz des Systems erreicht werden soll.

Organe müssen die Reglemente, welche die

der Öffentlichkeit leicht zugänglich machen.

diese Pflicht eingehalten wird.

—Es wird nicht mehr zwingend eine einheitliche Löschungsfrist festgelegt; sie kann im Reglement, wenn es der konkrete Zweck des Videoüberwachungssystems erfordert, über die ‹Regellänge› von einer Woche verlängert werden»³.

Konkretisierung in Reglementen § 17 IDG stellt somit neu die (formell-)gesetzliche Grundlage für Videoüberwachungssysteme dar (statt, wie es früher das DSG tat, jeweils eine spezialgesetzliche Grundlage zu verlangen). Damit diese gesetzliche Grundlage der neueren Bundesgerichtspraxis⁴ genügen kann, ist jedes Videoüberwachungssystem auf eine tragfähige Rechtsgrundlage in Form eines Reglements zu stellen. Je unpräziser die Regelungen im konkreten Videoüberwachungsreglement sind, desto eher riskiert das Vorhaben, am Bestimmtheitserfordernis zu scheitern, falls die Gerichte angerufen werden sollten⁵.

Erlass Erlassen werden muss das Reglement durch

—die Departemente bei Systemen im Verantwortungsbereich kantonaler öffentlicher Organe;

—den Gemeinderat bei Systemen im Verantwortungsbereich kommunaler öffentlicher Organe;

—den Gerichtsrat bei Systemen im Verantwortungsbereich von Gerichten;

—die Direktion selbständiger Anstalten und Körperschaften des öffentlichen Rechts bei Systemen in ihrem Verantwortungsbereich⁶.

Reglementsinhalt Der Mindestinhalt der Reglemente ist in der IDV festgelegt⁷. Insbesondere muss festgehalten werden, welches öffentliche Organ für das Videoüberwachungssystem verantwortlich ist, welchem Zweck die konkrete Videoüberwachung dienen soll, welche Räume und Personen durch die Videoüberwachung erfasst werden und nach welcher Dauer der Aufbewahrung die Aufnahmen gelöscht werden. Ausserdem ist zu regeln, welche Massnahmen getroffen werden, um die Wirksamkeit der Videoüberwachung zu evaluieren.

Veröffentlichungspflicht Die Rechtsetzung soll es Bürgerinnen und Bürger erlauben zu sehen, was die Verwaltung tut, inwiefern sie ihre Grundrechte einschränken darf. Darum müssen Gesetze und Verordnungen auch in der Gesetzessammlung publiziert werden. Aus der generellen Regelung des IDG könnten Bürgerinnen und Bürger in keiner Weise erkennen, wo und wie ihr Grundrecht auf informationelle Selbst- bestimmung durch staatlich betriebene Videoüberwachung eingeschränkt wird. Ein «geheimes» Reglement könnte natürlich die erforderliche Transparenz für die Betroffenen nicht sicherstellen. Deshalb hat der Verordnungsgeber klar festgelegt: Die Reglemente sind der Öffentlichkeit leicht zugänglich zu machen⁸. Einzig wenn durch die Bekanntgabe der Kamerastandorte die Zweckerreichung unmöglich würde, soll auf deren Veröffentlichung verzichtet werden können⁹.

Der Datenschutzbeauftragte hat 2016 erfasst, welche Reglemente der Öffentlichkeit leicht zugänglich gemacht sind.

Rolle des Datenschutzbeauftragten

Vorabkontrolle Was ist die Rolle des Datenschutzbeauftragten? Er führt bei den ihm vorgelegten Videoüberwachungsvorhaben eine Vorabkontrolle durch¹⁰. Er hat nicht zu entscheiden, ob eine Videoüberwachungsanlage tatsächlich in Betrieb genommen werden soll – das obliegt dem verantwortlichen öffentlichen Organ und der Stelle, die das Reglement zu erlassen hat, also, wie oben erwähnt, dem vorgesetzten Departement, dem Gemeinderat, dem Gerichtsrat bzw. der Direktion selbständiger Anstalten und Körperschaften des öffentlichen Rechts.

Prüfung und Einwirkungsinstrument Der Datenschutzbeauftragte prüft, ob die gesetzlichen Vorgaben eingehalten sind, ob das Videoüberwachungssystem – nicht die einzelne Kamera – gesetzmässig und verhältnismässig ist. Bei Mängeln gibt er gegenüber dem verantwortlichen öffentlichen Organ eine Empfehlung¹¹ ab. Das öffentliche Organ hat sodann zu erklären, ob es der Empfehlung folgen will oder nicht. Falls es erklärt, der Empfehlung nicht folgen zu wollen, oder tatsächlich der Empfehlung nicht folgt, kann der Datenschutzbeauftragte die Empfehlung oder Teile davon als Weisung in Form einer Verfügung erlassen¹². Der Adressat kann die Verfügung sodann beim Appellationsgericht anfechten¹³.

Veröffentlichung der Reglemente

Prüfung Der Datenschutzbeauftragte hat 2016 erfasst, welche Reglemente der Öffentlichkeit leicht zugänglich gemacht sind. Wo im Internet kein Reglement oder keine Umschreibung des Reglementsinhalts zu finden war, wurden die für den Betrieb der Videoüberwachungsanlagen verantwortlichen öffentlichen Organe angeschrieben.

Resultat Das Resultat dieser Prüfung erscheint in der Tabelle auf den Seiten 12 f. Anfangs 2016 waren nur acht Videoüberwachungsreglemente (oder die wesentlichen Inhalte daraus) über das Internet zugänglich, bei insgesamt 29 bestehenden, dem Datenschutzbeauftragten bekannten, Videoüberwachungsanlagen. Bei 15 weiteren Videoüberwachungssystemen sind die Reglemente bis zum Redaktionsschluss des Tätigkeitsberichts zugänglich gemacht worden, insgesamt sind heute 23 Reglemente bzw. deren wesentlicher Inhalt grundsätzlich publik gemacht worden. Einige Reglemente sind zurzeit in Revision bzw. in Bearbeitung und deshalb nicht veröffentlicht. Bei vier Systemen fehlt die Publikation weiterhin; der Datenschutzbeauftragte hat die verantwortlichen Stellen auf ihre Pflicht aufmerksam gemacht.

Einschränkungen Die IDV sieht vor, dass auf die Veröffentlichung der Kamerastandorte verzichtet werden kann, wenn durch deren Bekanntgabe die Zweckerreichung unmöglich wird. Davon haben etliche Betreiber Gebrauch gemacht. Oft werden die Lagepläne nicht mitveröffentlicht. Allerdings kann die Zweckerreichung nicht nur durch die Bekanntgabe von Kamerastandorten vereitelt werden, sondern auch durch andere Informationen, etwa von Betriebszeiten. Es wird bei der nächsten Revision des IDG zu prüfen sein, ob die Ausnahme von der Veröffentlichungspflicht nicht etwas weiter umschrieben werden könnte.

Form der Publikation Zum Teil werden auf einer Website auch bloss die wesentlichsten Informationen zur Videoüberwachung wiedergegeben, nicht das gesamte Reglement veröffentlicht¹⁴. Das widerspricht dem Wortlaut der IDV, kann aber dem Transparenzgebot trotzdem genügen. Möglicherweise sind mindestens bei «kleinen» Anlagen die Betroffenen mit einer kurzen und prägnanten Umschreibung ebenso gut informiert wie mit einem Reglement. Im Rahmen einer Revision des IDG kann überlegt werden, ob die Pflicht zur Transparenz nicht in diesem Sinne etwas offener umschrieben werden könnte. >

Erfasste und nicht erfasste Videoüberwachungssysteme

Private Videoüberwachung nicht erfasst Vorweg ist festzuhalten, dass durch Private – Einzelpersonen wie Vermieterinnen und Ladenbesitzer oder Unternehmen – betriebene Videoüberwachungsanlagen nicht erfasst sind. Sie unterstehen nicht dem kantonalen IDG, sondern dem Bundesdatenschutzgesetz. Es besteht auch keine kantonale Bewilligungspflicht¹⁵. Wenn sich betroffene Personen – ein Mieter, eine Kundin oder Mitarbeitende – gegen eine ihrer Meinung nach ungerechtfertigte oder unverhältnismässige Videoüberwachungsanlage zur Wehr setzen wollen, dann müssen sie – nachdem sie hoffentlich versucht haben, eine Lösung auf dem Gesprächsweg zu finden – den Weg über das Zivilgericht beschreiten. Der kantonale Datenschutzbeauftragte hat gegenüber privaten Datenbearbeiterinnen und Datenbearbeitern nichts zu sagen (und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte darf nur intervenieren, wenn es sich um einen sog. Systemfehler handelt¹⁶). Aus diesem Grund gibt es auch keinerlei Anhaltspunkte für die Zahl privater Videoüberwachungen.

Nicht mitgezählte Systeme In der Tabelle nicht aufgeführt sind von öffentlichen Organen betriebene Anlagen, die nicht in den Geltungsbereich des IDG fallen. Nicht enthalten sind demnach:

—die Videoüberwachungssysteme der Basler Verkehrsbetriebe BVB (Tram, Bus, Depots); für die ist aufgrund des Personenbeförderungsgesetzes des Bun des (PBG)¹⁷ nicht mehr der kantonale Datenschutzbeauftragte, sondern der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig; das gilt im Übrigen natürlich erst recht für die von den SBB betriebenen Videoüberwachungsanlagen (z.B. im Bahnhof SBB);

—die Videoüberwachungssysteme in den staatlichen Parkhäusern; sie werden zwar durch ein öffentliches Organ betrieben (Immobilien Basel-Stadt), hingegen handelt es sich dabei um die Verwaltung von Finanzvermögen, was sich ausserhalb des Geltungsbereichs des kantonalen IDG abspielt;

—allfällige Videoüberwachungssysteme der Basler Kantonalbank; zwar ist die Kantonalbank eine Anstalt des kantonalen öffentlichen Rechts¹⁸, weshalb ihr Datenbearbeiten eigentlich in den Geltungsbereich des kantonalen IDG fällt¹⁹; da sich aber die BKB am wirtschaftlichen Wettbewerb mit anderen (Universal) Ban- ken teilnimmt und dabei privatrechtlich handelt, fällt sie aus dem Geltungsbereich des IDG;

—die Kameras, die von der Kantonspolizei gestützt auf das Polizeigesetz²⁰ eingesetzt werden (Bild- und Tonaufnahmen mit z.T. mobilen Kameras zur Beweissicherung bei öffentlichen Veranstaltungen, sofern die konkrete Gefahr besteht, dass Straftaten begangen werden);

—Kameras, die zeitlich begrenzt zum Zweck einer nichtpersonenbezogenen Evaluation eingesetzt werden (z.B. bei einem Versuch zur Velozulassung auf einem Fussgängersteg);

—blosse «Türspione», also in Gegensprechan- lagen eingebaute Kameras, die sich beim Klingeln automatisch einschalten und nachher wieder abschalten und bei denen keine Aufzeichnungen gemacht werden.

Unbestreitbar hat die Zahl der erfassten Videoüberwachungssysteme seit der Einführung der Videoüberwachungsbestimmung im DSG zugenommen. Allerdings heisst das nicht, dass so viele Systeme neu in Betrieb genommen worden sind.

Zunahme Unbestreitbar hat die Zahl der erfassten Videoüberwachungssysteme seit der Einführung der Videoüberwachungsbestimmung im DSG zugenommen. Allerdings heisst das nicht, dass so viele Systeme neu in Betrieb genommen worden sind. Vielfach wurde bei schon bestehenden Systemen erst mit der Zeit erkannt, dass sie in den Geltungsbereich des IDG fallen – etwa bei selbständigen öffentlich-rechtlichen Anstalten oder «Aussenbetrieben» der Verwaltung. Es sind also nicht alles neue Systeme, sondern oft bloss neu erfasste. Aus diesem Grund sind früher veröffentlichte und heute vorliegende Zahlen schlicht nicht direkt miteinander vergleichbar. Diese Entwicklung dürfte noch weitergehen: Der Datenschutzbeauftragte nimmt Reglemente z.B. von privaten Listenspitälern²¹ oder Wohnheimen zur Vorabkontrolle entgegen, hat aber die anderen Listenspitäler und weitere Private, denen eine öffentliche Aufgabe übertragen worden ist, nicht systematisch kontaktiert. Es ist für die Zukunft zu prüfen, ob mindestens für den Bereich der Zentralverwaltung Vollständigkeitserklärungen eingeholt werden können.

Überwachungshölle oder Sicherheitsparadies?

Was heisst das? Werden die Bürgerinnen und Bürger in Basel auf Schritt und Tritt überwacht? Oder sind die Bürgerinnen und Bürger in Basel wegen der Videoüberwachung sicherer als anderswo? Wohl weder noch.

Äpfel und Birnen Die Zahl der in den Reglementen dokumentierten Videokameras – über 1 100 – erscheint hoch – gerade im interkantonalen Vergleich, der gelegentlich in den Medien erscheint. Ohne diese Zahl kleinreden zu wollen: Der Vergleich hinkt aus mehreren Gründen:

—Die im vergangenen Jahr in den Medien publizierten Zahlen aus anderen Kantonen und/oder Städten erscheinen zum Teil wenig glaubwürdig. Wo kein Melde-, Genehmigungs- oder mindestens Vorabkontrollsystem existiert, sind die Zahlen wohl nicht mehr als grobe Schätzungen und damit wenig zuverlässig.

—Von 20 in einem definierten Prozess beschlossenen und in einem Reglement reglementierten Kameras geht wohl eine kleinere Gefahr der Grundrechtsverletzung aus als von 20 «wilden» Kameras.

—Die Zahl der Kameras allein ist wenig aussagekräftig. Allein schon aus Versicherungsgründen muss ein grosses Kunstmuseum eine Vielzahl von Kameras installiert haben. Sind nun die 200 Kameras bei einem solchen Museum gleich «schlimm», wie wenn an 100 anderen Orten je zwei Kameras betrieben werden?

—Kameras mit einem engen, genau eingeschränkten Aufnahmebereich und –zweck (z.B. beim Lieferanteneingang zu einer Spitalapotheke) beeinträchtigen die Grundrechte von weniger Personen als solche, die Personen im allgemein zugänglichen öffentlichen Raum erfassen.

Einsatzschwerpunktgebiete Wenn man dann die Verteilung der Kameras in Basel-Stadt ansieht, dann relativiert sich die «Überwachungshölle» doch rasch. Mehr als zwei Drittel aller Kameras sind in den folgenden vier Bereichen im Einsatz:

—Fast jede vierte Kamera hängt in einem Museum.

—Mehr als jede fünfte Kamera wird in einem Gefängnis betrieben.

—Etwas mehr als jede siebte Kamera ist in öffentlichen Sportanlagen und Bädern im Einsatz.

—Mehr als jede elfte Kamera wird in einer Gesundheitseinrichtung betrieben.

Einsatzparameter Ausserdem ist Videoüberwachung nicht Videoüberwachung. Von grossem Einfluss sind etwa die folgenden Einsatzparameter:

—Ist die Anlage permanent in Betrieb oder nur, wenn beispielsweise ein Alarmknopf gedrückt wird oder ein Sensor ein bestimmtes Auslösekriterium feststellt?

—Werden die Aufnahmen in Echtzeit ausgewertet (in einer Sicherheitszentrale)?

—Dient die Anlage der Auslösung einer Intervention (akustische Intervention, Aussenden eines Interventionsteams, Alarmierung der Polizei) oder bloss der Beweissicherung?

—Ist die Kamera steuerbar? Besteht eine Zoommöglichkeit?

—Werden die Aufnahmen gespeichert oder nicht? In einem Ringspeicher, der nach einer bestimmten Aufnahmedauer automatisch wieder überschrieben wird, oder auf einem grösseren Speichermedium?

—Wie lange werden die Aufnahmedaten aufbewahrt?

—Wer entscheidet über den Ausbau eines Speichermediums (z.B. eines Ringspeichers) – im Sinne eines Herausnehmens des Speichermediums und die Aufbewahrung zur Beweissicherung?

—Wer entscheidet über die Auswertung gespeicherter Aufnahmen (z.B. die Strafverfolgungsbehörden in einer Strafuntersuchung)?

Videoüberwachungsanlagen öffentlicher Organe im Kanton Basel-Stadt: Links zu den Reglementen

Wo? Wer? Was? mehr als 200 Kameras

Kunstmuseum PD, Kunstmuseum Überwachung innen und aussen

der fünf Gebäude

101-200 Kameras

Sportanlagen ED Überwachung der verschiedenen und Bäder Sportanlagen und Bäder

Waaghof JSD und Staats-Überwachung des gesamten Gebäu-

anwaltschaft dekomplexes innen und aussen

51-100 Kameras

Polizeiwachen und JSD, Kantonspolizei Überwachung von Polizeiwachen Polizeiposten und –posten (ohne Waaghof

und Spiegelhof)

Bässlergut JSD, Amt für Überwachung des Innenbereichs,

Justizvollzug der Aussenhaut des Gebäudekomplexes und der unmittelbaren Umgebung

Dreispitzareal Christoph Merian-Überwachung des gesamten Areals,

Stiftung insbesondere Parkierungsanlagen

IWB-Infrastruktur IWB, Industrielle Überwachung der Infrastruktur an

Werke Basel verschiedenen Standorten

Universitätsspital Universitätsspital Überwachung des gesamten Areals

Basel USB

21-50 Kameras

Betreibungsamt Betreibungs- und Überwachung der Schalter

Konkursamt

Basel-Stadt

Museum der PD, Museum der Überwachung der Ausstellungs- Kulturen Kulturen räume, des Museumsshops und

des Eingangs- und Aussenbereichs

Spiegelhof JSD Überwachung der Kundenzone

des Handelsregisteramtes und des Polizeipostens Spiegelhof

Universitäre Universitäre Überwachung der Eingangs- und Psychiatrische Psychiatrische Aussenbereiche

Kliniken Kliniken Basel UPK

Universität Universität Basel Überwachung verschiedener

Standorte Link zum Reglement oder zur Information Bemerkungen https://kunstmuseumbasel.ch/ Publikation des

Reglements

ohne Lagepläne

http://www.ed.bs.ch/ueber-das-departement/interne-Publikation des dienste/rechtsabteilung/videoueberwachung.html Reglements und

der Anhänge

ohne Lagepläne

Reglement

in Revision

Reglement

in Revision

http://www.bdm.bs.ch/Ueber-uns/Organisation/ Publikation des Amt-fuer-Justizvollzug/Gefaengnis-Baesslergut Reglements

ohne Lagepläne

http://www.dreispitz.ch/de/wirtschaftspark/informationen-Publikation des fuer-bauberechtigte.html Reglements ohne

Kamerastandorte

https://www.iwb.ch/Service/Kontakt/Adressen---Oeffnungs-Publikation des zeiten/Videoueberwachung.html Reglements ohne

Lagepläne

https://www.unispital-basel.ch/das-universitaetsspital/ Publikation des umgang-mit-personendaten/ Reglements

ohne Lagepläne

http://www.bka.bs.ch/ueber-uns/betreibungsamt.html Publikation des

Reglements und generelle Information auf der Webseite

http://www.mkb.ch/de/Informationen_Services.html Publikation von

genereller Information zur Videoüberwachung

Reglement

in Revision

http://www.upkbs.ch/ueber-uns/standorte/videoreglement/ Publikation des Seiten/default.aspx Reglements

ohne Lagepläne

https://www.unibas.ch/de/Universitaet/Rechtserlasse.html Reglement und

Anhänge publiziert

Wo? Wer? Was?

11-20 Kameras

Bau- und Verkehrs- BVD Überwachung der Gebäude- departement, Dufour- eingänge und des Stadtmodells

strasse 40 und 50, Münsterplatz 10-12

Berufsfeuerwehr JSD, Rettung, Überwachung des Innenhofes, Lützelhof Berufsfeuerwehr der Ausfahrtsbereiche und

der Zugänge der Berufsfeuerwehr

Historisches PD, Historisches Überwachung des Eingangs-Museum HMB, Museum HMB und Kassenbereichs und gewisser Museum für Ausstellungsräume

Wohnkultur / Haus zum Kirschgarten

REHAB Basel REHAB Basel Überwachung des Therapie-

Tiergartens, der Nebenzugänge und der Tiefgarage

Sanität JSD, Rettung, Sanität Überwachung des Areals und der

Innenräume der Rettungswagen

5-10 Kameras

Antikenmuseum PD, Antikenmuseum Überwachung des Kunstlicht- und Basel & Sammlung Basel & Sammlung des Ägyptensaals

Ludwig Ludwig

Fachhochschule Fachhochschule Überwachung der Campusgebäude

86Nordwestschweiz an der Peter Merian-Strasse FHNW

Steuerverwaltung FD, Steuerverwaltung Überwachung des Empfangs

und der Schalter

Strafgericht Strafgericht Überwachung des Eingangs-

bereichs und des Weibelgebäudes

Wohnmodul-Anlage WSU, Sozialhilfe Überwachung der Zugänge Asyl Dreispitz zur Anlage

Zentrale Informatik- FD, ZID Überwachung der kantonalen dienste (ZID), Rechenzentren bei den IWB und

Rechenzentren der EBM

1-4 Kameras

Heilsarmee, WSU, Amt für Überwachung des

Wohnen Basel Sozialbeiträge Eingangs bereichs der Wohnhäuser

Historisches PD, Historisches Überwachung des

Museum HMB, Museum HMB Eingangs bereichs und des

Barfüsserkirche Sonder ausstellungsraums

Historisches PD, Historisches Überwachung des

Museum HMB, Museum HMB Eingangs bereichs

Musikmuseum

Vollzugszentrum JSD Überwachung des

Klosterfiechten Empfangs bereichs

Naturbad Riehen Gemeinderat Riehen Überwachung des Haupteingangs

und des Cafés

Naturhistorisches PD, Naturhis torisches Überwachung des Eingangstors Museum Museum

Notschlafstelle WSU, Sozialhilfe Überwachung des

Eingangs bereiches

Storchen FD, General-Überwachung des Eingangs

sekretariat zum Fischmarkt 10

Zentrale Informatik- FD, ZID Überwachung der Warenanlieferung dienste (ZID), Be- und der IT Werkstatt triebsräumlichkeiten Link zum Reglement oder zur Information Bemerkungen http://www.bvd.bs.ch/ueber-uns/regelement.html Publikation des

Reglements ohne Lagepläne

http://www.bs.ch/publikationen/rettung/reglement-videou-Publikation

eberwachung-fw-luezelhof.html mit Lageplänen

http://www.hmb.ch/fileadmin/user_upload/Inhalte/PDF/ Publikation eines UEber_das_Museum/Videoueberwachung__HMB.pdf Informationsblatts zur

Videoüberwachung

http://www.rehab.ch/patienten-angehoerige/besucher/ Publikation aller videoueberwachung.html drei Reglemente mit

Lageplänen

Reglement

in Revision

http://www.antikenmuseumbasel.ch/de/footer/videoueber-Publikation eines wachung.html Informationsblatts zur

Videoüberwachung

Reglement

in Revision

http://www.steuerverwaltung.bs.ch/ueber-uns/leitbild.html Publikation des

Reglements

mit Lageplan

http://www.strafgericht.bs.ch/verhandlungen/verhand-Publikation des lungsbesuch/reglement-videoueberwachung.html Reglements

ohne Lageplan

http://www.sozialhilfe.bs.ch/asyl/unterbringung.html Publikation des

Reglements

mit Lageplan

http://www.zid.bs.ch/themen/it-plattformen.html Publikation des

Reglements

ohne Lagepläne

http://www.wohnen.heilsarmee-basel.ch Publikation des

Reglements

ohne Lageplan

http://www.hmb.ch/fileadmin/user_upload/Inhalte/PDF/ Publikation eines UEber_das_Museum/Videoueberwachung__HMB.pdf Informationsblatts zur

Videoüberwachung

http://www.hmb.ch/fileadmin/user_upload/Inhalte/PDF/ Publikation eines UEber_das_Museum/Videoueberwachung__HMB.pdf Informationsblatts zur

Videoüberwachung

Reglement

in Bearbeitung

http://www.riehen.ch/aktuell/news/gemeinderatsbe-Publikation

schluss-betreffend-die-bewilligung-einer-videoueberwa- des Gemeinderatsbechungsanlage-im schlusses

http://www.sozialhilfe.bs.ch/notwohnen/notschlafstelle.html Publikation des

Reglements

ohne Lageplan

Thema 2 Vorabkontrolle – das Instrument des präventiven Datenschutzes

Das Informations- und Datenschutzgesetz verpflichtet mit Risiken für die Rechte und Freiheit der betroffenen Vorabkontrolle vorzulegen. Damit wird bereits in der datenschutzkonforme Lösungen entstehen.

Ausgangslage

Vorabkontrolle Nach dem Informations- und Datenschutzgesetz¹ hat die Dateneignerin² die Pflicht, Vorhaben und Projekte, die aufgrund der Art der Bearbeitung oder der zu bearbeitenden Daten geeignet sind, besondere Risiken für die Rechte und Freiheit der betroffenen Personen mit sich zu bringen, dem Datenschutzbeauftragten zur Vorabkontrolle vorzulegen. Hiervon betroffen sind Vorhaben und Projekte, mit welchen Lösungen entstehen, in denen Personendaten bearbeitet werden oder einen massgeblichen Einfluss auf bestehende Lösungen haben. Zu diesen Vorhaben und Projekten zählen beispielsweise auch konzeptionelle Grundlagen oder IT-Basis-Komponenten.

Die öffentlichen Organe sollen die Auswirkungen ihrer Rechtsetzungs- oder IT-Vorhaben auf den Datenschutz und die Informationssicherheit präventiv anschauen, sollen die entsprechenden Risiken bezüglich der Rechte und Freiheiten der betroffenen Personen beurteilen und angemessene Massnahmen zur Vermeidung oder Verminderung der Risiken vorschlagen.

Funktion und Konzept Die Vorabkontrolle ist bei genauerer Betrachtung- trotz des Wortbestandteils «Kontrolle» – keine (nachträgliche) Kontrolle, sondern (vorgängige) Beratung³. Vergleichbar ist das Vorgehen bei der Pflicht, dem Datenschutzbeauftragten Erlasse, die für den Umgang mit Informationen oder den Datenschutz erheblich sind, zur Stellungnahme vorzulegen⁴. Die Idee hinter diesen Instrumenten: Die öffentlichen Organe sollen die Auswirkungen ihrer die öffentlichen Organe, Datenbearbeitungsprojekte Personen dem Datenschutzbeauftragten zur

Projektphase dazu beigetragen, dass sichere und

Rechtsetzungs- oder IT-Vorhaben auf den Datenschutz und die Informationssicherheit präventiv anschauen, sollen die entsprechenden Risiken bezüglich der Rechte und Freiheiten der betroffenen Personen beurteilen und angemessene Massnahmen zur Vermeidung oder Verminderung der Risiken vorschlagen. Der Datenschutzbeauftragte prüft die Risikobeurteilung und die vorgeschlagenen Massnahmen und empfiehlt allenfalls zuhanden des verantwortlichen öffentlichen Organs Änderungen⁵. Dieses Konzept bleibt auch bei der europäischen Datenschutzreform unverändert, ja, es wird sogar verstärkt: Vor der «Vorabkonsultation»⁶, wie die bisherige Vorabkontrolle neu zutreffender genannt wird, kommt eine «Datenschutz-Folgenabschätzung»⁷. Das ist nichts anderes als die Vorbereitung der Vorabkonsultation: Das verantwortliche öffentliche Organ soll sein Vorhaben daraufhin beurteilen, ob es datenschutzrelevant ist, welche Risiken es aus dem Blickwinkel des Datenschutzes und der Informationssicherheit beinhaltet und wie diese Risiken auf ein zulässiges und angemessenes Mass heruntergefahren werden können, so dass das öffentliche Organ das Restrisiko verantworten kann.

Voraussetzungen

Kriterien Für den Entscheid, ob ein Projekt dem Datenschutzbeauftragten vorgelegt werden muss, legt die Informations- und Datenschutzverordnung Kriterien fest⁸. Ein Vorhaben ist dem Datenschutzbeauftragten vorzulegen:

—wenn ein Abrufverfahren vorgesehen ist,

—wenn besondere Personendaten bearbeitet werden,

—wenn damit der Einsatz einer neuen Technologie verbunden ist,

—wenn eine grosse Anzahl Personen betroffen ist⁹,

—wenn ein Datenpool im Sinn von § 1a IDV errichtet werden soll, oder

—wenn ein Gesetz oder eine Verordnung es vorsieht¹⁰.

Abrufverfahren Als Datenbekanntgabe im Abrufverfahren¹¹ gelten:

—die Bekanntgabe über Daten via eine Benutzungsoberfläche (Onlinezugriff),

—das Zurverfügungstellen von Daten via einen Webservice und

—das periodische und automatisierte Zurverfügungstellen von Listen¹².

Besondere Personendaten Unter besonderen Personendaten¹³ sind sensitive Personendaten und Persönlichkeitsprofile zu verstehen. Sensitive Personendaten¹⁴ sind Personendaten, bei deren Bearbeitung eine besondere Gefahr der Grundrechtsverletzung besteht, insbesondere Angaben über a. die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten, b. die Gesundheit, das Erbgut, die persönliche Geheimsphäre oder die ethnische Herkunft, c. Massnahmen der sozialen Hilfe und d. administrative oder strafrechtliche Verfolgungen und Sanktionen. Persönlichkeitsprofile¹⁵ sind Zusammenstellungen von Informationen, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlauben.

Neue Technologien Beim Einsatz von neuen Technologien muss berücksichtigt werden, dass hierunter auch Ablösungsprojekte fallen – selbst wenn die neue Lösung auf einer bewährten Technologie basiert¹⁶. Es geht nicht bloss darum, die Risiken «neuer» Technologie abzufangen, sondern zu beurteilen, ob bei einem Technologiewechsel die erforderlichen Massnahmen getroffen werden, um die (neuen oder alten) Risiken zu vermeiden oder so weit zu vermindern, dass das verantwortliche öffentliche Organ das Restrisiko übernehmen kann.

Eine möglichst frühe Kontaktaufnahme durch die Verantwortlichen ermöglicht eine gute Planung und Definition der Rahmenbedingungen für die jeweilige Vorabkontrolle.

Vorlagepflicht Trifft nach der Beurteilung durch die Dateneignerin mindestens eine dieser Voraussetzungen zu, muss das verantwortliche öffentliche Organ das Projekt dem Datenschutzbeauftragten vorlegen. Dieser entscheidet in der Folge eigenständig darüber, ob und mit welcher Prüfungstiefe er eine Beurteilung vornimmt und eine Empfehlung abgibt.

Durchführung

Zeitpunkt Zu welchem Zeitpunkt, also in welcher Phase des Projekts eine Vorabkontrolle stattfindet, sollte abhängig vom Projekt und im Zusammenspiel mit den Verantwortlichen definiert werden. Eine möglichst frühe Kontaktaufnahme durch die Verantwortlichen ermöglicht eine gute Planung und Definition der Rahmenbedingungen für die jeweilige Vorabkontrolle. Die Vorabkontrolle kann auch gestaffelt erfolgen. So ist möglich, dass verschieden Aspekte eines Vorhabens jeweils einzeln beurteilt werden. Die Vorabkontrolle findet in jedem Fall während der Laufzeit des Projektes statt. Wichtig ist, dass die Vorabkontrolle zu einem Zeitpunkt stattfinden, bei welchem die Empfehlungen berücksichtigt werden können. Eine zu späte Konsultation und Durchführung der Vorabkontrolle kann zur Folge haben, dass die Empfehlungen nur mit erheblichen Mehrkosten oder im schlechtesten Fall gar nicht mehr berücksichtigt werden können. Somit hätte die Dateneignerin eine neue Lösung angeschafft, die unter Umständen den Anforderungen an den Datenschutz und die Informationssicherheit nicht genügt. Es liegt in der Natur von Projekten, dass sie eine Entwicklung durchmachen, dass mit zunehmendem Fortschritt die Konzepte immer konkreter werden und dass schliesslich eine Lösung entsteht, die operativ eingesetzt werden kann und sowohl den fachlichen als auch den nicht fachlichen und qualitativen Anforderungen genügt. Selbstverständlich wird dieser Umstand auch bei der Vorabkontrolle berücksichtigt. So wird sich beispielsweise eine Risikoanalyse im Verlauf eines Projektes verändern, sie soll konkreter werden und neue Erkenntnisse berücksichtigen.

Umfang und Tiefe Wie der Zeitpunkt der Durchführung ist auch der Umfang sowie die Tiefe der Vorabkontrolle abhängig vom Umfang des Projektes, von den bearbeiteten (Personen-)Daten, von der Art des Projektes, der Projektgrösse und der Projektmethode: Ein Projekt, das beispielsweise nach der «Wasserfall-Methode» durchgeführt wird, kann auch bei der Vorabkontrolle nicht gleich behandelt werden wie ein Projekt, das mit einem «iterativen Ansatz» durchgeführt wird. Bezüglich des Umfangs und der Tiefe der Vorabkontrolle ist u.a. die Risikoeinschätzung bezüglich den besondere Risiken für die Rechte und Freiheit der betroffenen Personen treibend. Ziel muss es aber in jedem Fall sein, dass der Aufwand sowohl für das Projekt als auch für den Datenschutzbeauftragten so optimal wie möglich gehalten wird. Kosten und Nutzen sollen so gut wie möglich in Einklang gebracht werden. > — S. 16 —Gerade bei grösseren Projekten erscheint die Kombination einer Projektbegleitung und möglicherweise eine gestaffelte Vorabkontrolle als geeignetes Vorgehen.

Unterlagen Die Informationen und Unterlagen, welche vom Datenschutzbeauftragten für die Beurteilung benötigt werden, sollten weitgehend denen entsprechen, welche für die fertige Lösung und den Betrieb der Lösung vorhanden sein müssen, die für eine zuverlässige Durchführung eines Projektes unerlässlich sind – und vom Datenschutzbeauftragten bei einer Kontrolle als vorhanden vorausgesetzt werden. Hierbei spielt es für den Datenschutzbeauftragten letztlich keine Rolle, in welcher Form, in welchem Dokument, die Angaben festgehalten werden. Je umfangreicher ein Projekt ist, umso sinnvoller erscheint es, die Grundlagen im persönlichen Kontakt, möglicherweise gar im Rahmen einer Projektbegleitung zu klären. In der Regel ist diese Vorgehen sowohl für die Verantwortlichen der entstehenden Lösung (die Dateneignerin oder Gesamtverantwortliche) und das Projekt-Team als auch für den Datenschutzbeauftragten effizienter und führt zu qualitativ besseren Rückmeldungen.

Regelungsbedarf

Zu regelnde Punkte Damit ein IT-Projekt als mit dem Informations- und Datenschutzgesetz¹⁷ vereinbar qualifiziert werden kann, müssen mindestens folgende Punkte angemessen geregelt sein:

—(fachliche) Verantwortung (Gesamtverantwortung/Dateneignerin usw.) für die bearbeiteten Informationen;

—Datenmanagement (bearbeitete Informationen/ Informationsflüsse/Vernichtung/Archivierung etc.)

—Benutzer- und Zugriffskonzept (Erfassen/Mu- an tieren/Zugreifen/Vernichtung und «wer darf was» unter Berücksichtigung des Verhältnismässigkeitsprinzips [need-to-know]);

—Protokollierung und Auswertung (Zweck, daraus abgeleitet: die zu speichernden Informationen, Zugriffsschutz, Verantwortlichkeit sowie Vernichtung der Protokolldaten);

—Analyse der gesetzlichen Grundlagen (darf mit bestehenden gesetzlichen Grundlagen die Bearbeitung wie geplant durchgeführt werden?);

—Dokumentation der Schnittstellen (gegebenenfalls inklusive Autorisierung durch die Dateneignerinnen bei Abrufverfahren¹⁸);

—Ermittlung und Dokumentation des Schutzbedarfs inklusive Risikoanalyse zu mindestens den Schutzzielen, bei denen ein erhöhter oder hoher Schutzbedarf ausgewiesen ist;

—Massnahmen (technisch und organisatorisch) zu den Schutzzielen Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit und Nachvollziehbarkeit (basierend auf der Risikoanalyse);

—Systemübersicht/Systembeschreibung: Aufbau des Gesamtsystems; Abbildung und Beschreibung der wichtigsten Anforderungen für die Informationssysteme;

—besondere vertragliche Aspekte (bei der Beteiligung externer Dienstleister).

Zusätzliche Unterlagen Je nach Projekt sind zusätzliche Informationen nötig. Ausserdem kann es sinnvoll sein, detaillierter auf die Verantwortlichkeiten nach der Inbetriebnahme einzugehen. Die oben aufgeführten Punkte sind die Grundlage, damit der Datenschutzbeauftragte eine Vorabkontrolle durchführen kann. Alle aufgeführten Themen müssen aber innerhalb des Projektes ohnehin behandelt werden, unabhängig davon, ob eine Vorabkontrolle stattfindet oder nicht. Zudem würden diese Informationen später auch für eine allfällige Prüfung des eingeführten IT-Systems benötigt werden. Es ist dringend zu empfehlen, den obengenannten Punkten bereits in einer frühen Projektphase Aufmerksamkeit zu schenken und laufend zu konkretisieren.

Mit der Vorabkonsultation kann und soll dafür gesorgt werden, dass die Anliegen des Grundrechtsschutzes der von staatlicher Datenbearbeitung betroffenen Personen in den (vor allem IT-)Projekten von Anfang mitberücksichtigt werden.

Sinnvolles Instrument – zu wenig genutzt

Sinnvoll Mit der Vorabkontrolle (oder künftig eben treffender: mit der Vorabkonsultation¹⁹) kann und soll dafür gesorgt werden, dass die Anliegen des Grundrechtsschutzes der von staatlicher Datenbearbeitung betroffenen Personen in den (vor allem IT-)Projekten von Anfang an mitberücksichtigt werden. Lieber rechtzeitig den Datenschutz miteinbeziehen als nachher ein frisch beschafftes System teuer reparieren oder feststellen müssen, dass Teile davon nicht genutzt werden dürfen. Die Vorabkontrolle basiert auf Vorarbeiten des öffentlichen Organs, die es ohnehin leisten müsste – im neuen europäischen Recht ist dies als «Datenschutz-Folgenabschätzung» enthalten. Der Erfolg steht und fällt aber mit der rechtzeitigen Vorlage an den Datenschutzbeauftragten.

Leider wenig genutzt Die Vorabkontrolle als Instrument des präventiven Datenschutzes wird aber leider zu wenig genutzt. Im Jahr 2016 hat der Datenschutzbeauftragte zwar (ohne die Vorabkontrollen zu Onlinezugriffs-Autorisierungen²⁰) 21 Vorabkontrollen durchgeführt; 13 davon betrafen allerdings Videoüberwachungen. Das heisst: Es blieben netto acht Vorabkontrollen. Dafür muss der Datenschutzbeauftragte hinterher, wenn Detailfragen im Raum stehen, feststellen, dass Projekte eben nicht vorher, rechtzeitig zur Vorabkontrolle vorgelegt worden sind. Wenn dann beispielsweise Verträge mit Externen bereits abgeschlossen sind, ist es sehr aufwändig, nachträglich die notwendigen Klauseln – zum Beispiel betreffend Auftragsdatenbearbeitungen – noch einzubringen.

Damit der präventive Datenschutz nicht bloss eine gute Idee bleibt, muss die Vorabkontrolle besser in die Standardprozesse bei Beschaffungen integriert werden.

Verbesserung in Sicht? Damit der präventive Datenschutz nicht bloss eine gute Idee bleibt, muss die Vorabkontrolle besser in die Standardprozesse bei Beschaffungen integriert werden. Entsprechende Vorarbeiten laufen – sie müssen noch zu einem guten Abschluss gebracht werden.