Ergebnisbericht

Auffassung die im Militärgesetz und im Bundesgesetz über Massnahmen zur Wahrung der inneren Sicherheit (BWIS) vorgesehene PSP auf die Schlüsselpersonen nach dem EPDG nicht anwenden lasse. PSP nach diesen Gesetzen setzen Einsicht in das Strafregister und die Beschaffung von Daten über die Privatsphäre der geprüften Person voraus, d.h. einen Eingriff in Grundrechte, der durch ein formelles Gesetz gerechtfertigt werden müsse. Das KSSG gibt zu bedenken, dass eine Umsetzung dieser Anforderungen innerhalb der gegebenen Frist von 3 Jahren unrealistisch sei. Die BINT kritisiert, dass die PSP den Einsatz von ausländischen Arbeitskräften verhindere. Der VGIch schreibt, dass Ziffer 4.10.3.2 unverhältnismässig sei und die Gleichbehandlung mit Gesundheitsfachpersonen verletze. Diese Voraussetzung verstosse zudem formal als auch materiell gegen geltende Rechtsgrundsätze.

Insgesamt 26 Stellungnehmende¹²⁷ fordern die Streichung von Ziffer 4.10.3.2. 6 Kantone¹²⁸ geben zu bedenken, dass die PSPV nicht an diesen Zusammenhang angepasst sei. SCH würde alternativ zur Streichung auch folgenden Text befürworten: „diese Personen eine adäquate Integritätsprüfung durchlaufen haben“ und für die Tessaris käme auch in Frage festzustellen, ob diese Personen eine PSP nach der Gesetzgebung des Bundes oder des zuständigen Kantons durchlaufen haben und gegebenenfalls um die Durchführung einer PSP ersuchen. Der VAKA wünscht generell eine Anpassung der Formulierung von Ziffer 4.10.3.2. Der Kanton BS schlägt folgende Zusatz für die Ziffer vor: „[…] PSP in Anlehnung an das Militärgesetz […]“. HIN weist darauf hin, dass bei Ziffer 4.10.3.2 ein Verb fehle (vermutlich „dafür sorgen, dass“), womit der Text zu ergänzen sei. Die ISSS fragt, ob die PSP nur initial durchlaufen werden müsse, oder ob diese regelmässig zu wiederholen sei und macht folgenden Formulierungsvorschlag: „diese Personen vor Aufnahme ihrer Tätigkeit und in begründeten Fällen auch während ihrer Tätigkeit eine PSP nach […]“. Die Tessaris schreibt bezüglich Ziffer 4.10.3.3, dass die Gemeinschaften nicht die Kompetenz hätten, um „offiziell festgelegte“ Verfahren vorzusehen, weshalb diese Bezeichnung anfangs der Ziffer zu streichen sei.

4.11 Datenschutz- und Datensicherheitsanforderungen an Dritte (Abs. 1 Bst. f)

Gemäss der K3, dem VZK, dem ZAD sowie den Kantonen ZH und NW sei zu prüfen, ob die Bestimmungen unter Ziffer 4.11 erforderlich sind. Falls ja sei zu prüfen, ob diese nicht durch einfachere, generell-abstrakte Regelungen in der EPDV ersetzt werden können. Die OFAC fragt, weshalb sich unter Ziffer 4.11 keine Referenz auf die Anforderungen von Artikel 10 Absatz a DSG finden lasse. Die Post schreibt bezüglich Ziffer 4.11.1, dass das Verzeichnis von Dritten Sinn mache. Sie fragt zudem, was das Visum des Datensicherheitsverantwortlichen bezwecke. Die Formulierung scheine etwas sehr offen. Der Begriff „IT-Infrastrukturkomponenten“ sollte etwas enger gefasst werden, da sonst auch Intel, Samsung, Microsoft etc. auf diese Liste müssten. Sie beantragt, dass die Forderung nach Visum und die Formulierung „unter Umständen“ gelöscht werden. Die SQS macht bezüglich Ziffer 4.11.2 darauf aufmerksam, dass der erste Satz sprachlich wie folgt vervollständigt werden müsse: „Gemeinschaften müssen sicherstellen, dass kein Datenzugriff […]“. Die Tessaris kritisiert, dass Ziffer 4.11.2 schon orthographisch nicht ganz korrekt formuliert sei. Darüber hinaus sei nicht ganz klar, was an dieser Stelle mit „Intermediäre“ im Unterschied zu „Dritte“ gemeint ist. Die Post fragt, worin der Unterschied zwischen Ziffer 4.11.3 und Ziffer 4.11.4 bestehe. Gemäss der privatim sollten die Verträge gemäss Ziffer 4.11.5 zwingend ebenfalls folgende Klauseln enthalten: Regel wonach der Dritte sicherzustellen hat, dass nur jene seiner Mitarbeitenden Zugriff auf die Daten haben, die diese zur Aufgabenerfüllung tatsächlich benötigen; Die Mitarbeitenden mittels Verschwiegenheitserklärung, die über die Beendigung des Arbeitsverhältnisses hinaus Gültigkeit hat, zur Verschwiegenheit zu verpflichten; Keine Weitergabe von Daten an Dritte ohne Einverständnis der Gemeinschaft. Zudem solle die Regelung in Ziffer 4.11.5.4 präzisiert werden bezüglich wer das Recht zur regelmässigen Überprüfung habe. Die Betreiber der Gemeinschaft, oder der Datenschutzbeauftragte der Gemeinschaft? Ebenfalls solle geregelt werden, dass die Gemeinschaft befugt ist, zu dieser Überprüfung qualifizierte Dritte beizuziehen. Des Weiteren fordern die privatim auch eine Umformulierung der Ziffern 4.11.5.5 bis 4.11.5.7. Untervertragsverhältnisse sollen möglichst vermieden werden. Je mehr Beteiligte vorhanden sind, desto schwieriger würden sich