Ergebnisbericht

SO und VWK ZH merken an, dass bei abgeschlossenen Verfahren nicht das Recht der Behörde anwendbar sein soll, das sich zuletzt damit befasst hat, sondern dass es sich nach dem Recht des betreffenden Kantons oder des Bundes richtet. So wäre z.B. immer Bundesrecht anwendbar, wenn das Bundesgericht letztinstanzlich einen Fall abschliesst, ohne das er zur weiteren Behandlung an eine kantonale Instanz zurückgewiesen wurde. Ebenfalls kann dieser Absatz zu Abgrenzungsprobleme führen kann, weil die Aufgaben der Körperschaft in Artikel 3 und 5 nicht abschliessend geregelt sind (VD).

Abs. 5

AG merkt an, dass das Verhältnis von diesem Absatz zu Artikel 14 Absatz 1 Buchstabe a unklar ist und widersprüchlich erscheint. Weiter ist der Verweis auf die kantonale Datenschutzgesetzgebung nicht präzise genug ist und es besser wäre, auf die kantonale Gesetzgebung zu verweisen (BE, GE, GL, LU, PJ GE und SSK). Das BVGer merkt an, dass dieser Absatz in terminologischer Hinsicht falsch ist.

AL BE und bav beantragen eine Neuregelung dieses Absatzes, da dieser weder als zielführend noch als sinnvoll erscheint. Ihrer Auffassung nach funktionieren solche Regelungen nie, wenn es um die Zusammenarbeit zwischen Bund und Kantonen geht. Vorgeschlagen wird, dass das DSG anwendbar ist, soweit die Datenbearbeitung nicht im anwendbaren Verfahrensrecht geregelt ist.

5.1.7.2 Art. 27 Informationssicherheit

AG, BL, BS, TG, ZH und privatim weisen darauf hin, dass die Gewährleistung der Informationssicherheit entscheidend für das Vertrauen in die Plattform ist. Entscheidend sind die vom Bundesrat zu regelnden Anforderungen und das vom Vorstand zu erlassende Bearbeitungsreglement (TG). In dieser Hinsicht sollte eine Pflicht zur regelmässigen Erstellung von Backups aller gespeicherten Dokumente in die Vorlage aufgenommen werden (Bär&Karrer). Und die Plattform ist nach einem normierten Sicherheitsstandard (wie ISO 27001 oder 27002) zu betreiben (ZG und DB ZG). Allgemein anerkannte Standards sind viel zu vage (AL BE). Zudem muss die Plattform maximales Schutzniveau gewährleisten (auch für den Up- und Download) (BVGer und DB LU), da die Vorlage keine Unterscheidung bezüglich allfällig klassifizierter Informationen enthält (BVGer). FR regt an, dass die Massnahmen und Anforderung zur Informationssicherheit gewährleistet sein müssen. Gemäss DB LU ist die Einhaltung des maximalen Schutzniveaus streng zu kontrollieren. VD weist darauf hin, dass diese Bestimmung nicht ausreichend ist. Wichtige Elemente wie die Verschlüsselung von Daten oder eine genaue Definition des Zugriffs auf diese Daten sollten bereits im Gesetz geregelt sein.

LU regt an, die Bestimmung in formeller Hinsicht zu überarbeiten. So irritiert die Reihenfolge der Absätze (Bundesrat wird erst in Abs. 3 genannt). Auch dass der Vorstand der Körperschaft (als für den Datenschutz verantwortliches Organ) ein Bearbeitungsreglement erlassen soll (Abs. 1) ist angesichts der in Artikel 9 Absatz 5 in abschliessender Form umschriebenen Aufgaben eine unerwartete Kompetenzzuteilung. Ebenfalls merkt auch ZG an, dass Artikel 26 und 27 präziser zu formulieren sind, damit die Abgrenzung klar ist. Zudem ist die automatische Protokollierung auf Gesetzesstufe zu regeln, aufgrund ihrer besonderen verfahrens- und datenschutzrechtlichen Bedeutung.

AG erblickt einen Widerspruch, wenn der Bundesrat die Anforderungen an die Datensicherheit festlegen soll, aber in gewissen Konstellation kantonales Datenschutzrecht und damit auch die kantonalen Anforderungen an die Datensicherheit anwendbar sind.

GE, ObG GL, TC VD und PJ GE beantragen, dass die Verordnungskompetenz auf die Körperschaft übertragen wird. BL sieht die Verordnungskompetenz beim Bundesgericht oder der Körperschaft.