Stellungnahme zum Personendatensammlungsgesetz

Finanzdirektion des Kantons Bern
Münsterplatz 12
3011 Bern

Bern, 21. November 2018

Stellungnahme der Demokratischen Jurist*innen Bern (djb) in der Vernehmlassung zum Gesetz über die zentralen Personendatensammlungen (Personendatensammlungsgesetz, PDSG)

Sehr geehrte Frau Finanzdirektorin,
Sehr geehrte Damen und Herren

Die Demokratischen Jurist*innen Bern (djb) bedanken sich für die Gelegenheit zur Stellungnahme im Vernehmlassungsverfahren zum Gesetz über die zentralen Personendatensammlungen (PDGS) und nehmen Stellung wie folgt:

Grundsätzliche Bemerkungen

Mit der Vorlage sollen rechtliche Grundlagen für «modernes Datenmanagement als Basis für E-Government» geschaffen werden, um «die Digitalisierung der Verwaltungsprozesse zu forcieren und damit auch Effizienzgewinne zu erzielen» - zur Entlastung sowohl der Bürgerinnen und Bürger wie auch der Verwaltung (Medienmitteilung des Regierungsrates vom 5.7.2018). Die djb können diese generell formulierten Zielsetzungen grundsätzlich unterstützen. Die Bestrebungen in dieser Richtung dürfen jedoch nicht zu einer Schwächung der Persönlichkeitsrechte der Betroffenen und des Datenschutzes führen. Vielmehr muss – gerade auch angesichts der rasanten technologischen Entwicklung – die Einhaltung und Stärkung des Datenschutzes oberste Richtschnur der vorgeschlagenen Gesetzgebung sein und bleiben.

Aus Sicht der djb kommt diese Priorität im Gesetzesentwurf und im erläuternden Vortrag zu wenig zur Geltung. So wird die Stärkung des Datenschutzes und der Informationssicherheit unter den Zielen des Gesetzgebungsvorhabens erst an vierter und letzter Stelle sowie zudem nur kurz und in bloss deklamatorischer Weise erwähnt. Die djb beantragen deshalb
nachfolgend, den Gesetzesentwurfs zu ergänzen, damit der Datenschutz und der Anspruch auf Informationssicherheit explizit erwähnt und durch konkrete Massnahmen gestärkt wird. Zudem erwarten wir, dass der Vortrag mit einem substanziellen Bekenntnis zu diesen Prinzipien und klaren Erläuterungen zum Verhältnis des neuen Gesetzes zum eidgenössischen und kantonalen Datenschutzrecht ergänzt wird.

Grundlegende Anforderungen des Datenschutzes, die konsequent zu beachten sind

Der Anspruch auf informationelle Selbstbestimmung ist ein verfassungsmässig geschütztes Grundrecht (Art. 10 Abs. 2 und Art. 13 Abs. 2 BV, Art. 18 KV-BE und Art. 8 EMRK), der dem und der Einzelnen gewährleistet, grundsätzlich selber darüber zu bestimmen, wem und wann er persönliche Lebenssachverhalte, Gedanken, Empfinden oder Emotionen offenbart. Der grundrechtliche Schutz betrifft jedes staatliche Erheben, Sammeln, Verarbeiten, Aufbewahren oder Weitergeben von Angaben, die eine Bezug zur Privatsphäre einer Person haben. 1 Nach dem eidgenössischen Datenschutzgesetz (DSG) 2 und dem kantonalen Datenschutzgesetze (KDSG)3 sind Daten über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten, Gesundheit, Intimsphäre, Rassen-
zugehörigkeit, Massnahmen der sozialen Hilfe und administrative oder strafrechtliche Verfolgung einer Person besonders schützenswert (vgl. Art. 3 DSG, Art. 3 KDSG).

Insbesondere Persönlichkeitsprofile, eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt, sind ebenfalls besonders schützenswert (Art. 3 lit. d DSG). Der Anspruch auf informationelle Selbstberstimmung bzw. der Datenschutz gebietet eine gesetzliche Grundlage für sämtliche Formen und Phasen der Datenbearbeitung4, wobei ein Rechtssatz im formellen wie materiellen Sinn verlangt ist5. So geben etwa die Botschaft zum DSG und die Praxis des EDÖB6 klare Vorgaben an den Detaillierungsgrad einer Rechtsnorm vor. Im Sinne einer Minimalanforderung für sämtliche Datenbearbeitungen sind der Zweck der Bearbeitung, die beteiligten Behörden und das Ausmass der Datenbearbeitung in einem Gesetz im formellen Sinn festzulegen7: Je schwerwiegender der Eingriff in das Recht auf informationelle Selbstbestimmung wiegt, desto eher wird für die Datenverarbeitung eine gesetzliche Grundlage in Form eines Gesetzes verlangt. Für gewöhnliche Personendaten ist ein Gesetz im materiellen Sinn, eine Verordnung, an und für sich ausreichend, jedoch muss auch hier auf die Gesamtumstände abgestellt werden. Eine Datenbearbeitung kann sich je nach Art der Erhebung als so wichtig und grundlegend erweisen, dass sie nur durch ein
demokratisch legitimiertes Gesetz im formellen Sinn gerechtfertigt werden kann. Dies ist insbesondere für neue Technologien wie Profiling zu verlangen.8

Stellungnahme zu zentralen Zielsetzungen des Gesetzesentwurfs

Ausgehend von diesen verfassungsrechtlichen Anforderungen und dem Datenschutzgesetz nehmen die djb nachfolgend Stellung zu den zentralen Zielsetzungen, wie sie im Vortrag (unterschiedlich transparent) dargestellt werden.

Systemwechsel von verschiedenen zu einer einzigen, zentralen Personendatensammlung

Letztlich soll mit dem PDSG eine neue gesetzliche Grundlage geschaffen werden für die Zusammenführung der bestehenden zentralen Personendatensammlungen GERES (Einwohnerkontrolle), ZPV (Steuerwesen), FIS (Rechnungswesen) und PERSISKA (Personalwesen) zu einer einzigen zentralen Personendatensammlung für den Kanton und die Gemeinden. Gemäss Vortrag (S. 2) macht die mittelfristige Einführung eines kantonsweiten «Enterprise Ressource Planning-Systems (ERP)» «die Prüfung» eines solchen zentralen CRM-Systems (Customer-Relationship-Management-System) «nötig». Die technische Lösung dafür sei jedoch «heute noch offen» (S. 10). Das neue Gesetz solle
deshalb «alle möglichen Entwicklungen abdecken, ohne technische und organisatorische Präjudizien zu schaffen» (S. 8). Offen sei insbesondere, ob und welche Basispersonendaten künftig in einem Nationalen Adressdienst (NAD) für Bund, Kantone und Gemeinden zur Verfügung stehen sollen. Ein entsprechender Vernehmlassungsentwurf sei vom Bundesrat
bis Ende August 2018 beim Eidgenössischen Justiz- und Polizeidepartement (EJPD) in Auftrag gegeben worden. Gemäss der zugehörigen Projektwebseite9 hat sich jedoch das Vorhaben bereits verzögert; mit der Eröffnung des Vernehmlassungsverfahrens wird Ende 2018 gerechnet, und die Botschaft ans eidgenössische Parlament und die Bereitstellung eines Prototypen sind für Ende 2019 angekündigt.

Aufgrund der noch unklaren Ausgangslage und Entwicklung auf Bundesebene stellt sich die Frage, ob mit den Vorarbeiten und der Gesetzgebung für die Zusammenführung der heutigen zentralen Personendatensammlungen nicht besser zugewartet werden sollte, bis die Rahmenbedingungen auf Bundesebene geklärt und geregelt sind. Dies, um Aufwand zu vermeiden, der sich im Nachhinein als unnötig herausstellt, und um teure Doppelspurigkeiten beim Aufbau und Betrieb eines kantonalen CRM-Systems von Anfang an auszuschliessen. Gemäss Vortrag (S. 12) soll der Regierungsrat ohnehin erst «ca. 2023» darüber entscheiden, «welche der zentralen Personendatensammlungen wann und wie zu vereinheitlichen sind».

Die djb beantragen deshalb, auf die Schaffung einer gesetzlichen Grundlage (auf Vorrat) für die (noch gar nicht beschlossene) Zusammenführung bestehender kantonaler Datensammlungen zu einer übergreifenden oder gar einzigen zentralen Datensammlung vorläufig zu verzichten und die vorliegende Gesetzesrevision auf die andern im Vortrag
genannten Ziele zu beschränken. Der Gesetzgeber soll über den Systemwechsel vom heutigen Status mit verschiedenen zentralen Personendatensammlungen zu einem allfälligen Zukunftsmodell mit einer einzigen kantonalen Datensammlung entscheiden können, wenn die Rahmenbedingungen auf Bundesebene und die technische Umsetzung geklärt oder zumindest klarer absehbar sind. Fraglich ist auch, ob sich eine derart offen gehaltene, auf die Zukunft gerichtete Gesetzgebung dem Anspruch auf Bestimmtheit eines Gesetzes (Art. 5 Abs. 1 BV) genüge getan wird. Das Bestimmtheitsgebot umfasst auch technische Lösungen.

Sollte der Regierungsrat am vorgeschlagenen Umfang der neuen gesetzlichen Regelung festhalten, erwarten die djb, dass die im Vortrag (S. 2) angedeuteten (auch finanziellen) Risiken des «sehr anspruchsvollen Vorhabens mit komplexen Techniken und vielen betroffenen Behörden und Personen» vertieft aufgezeigt werden. Die Aussage, dass die Beschaffung einer einzigen zentralen Personendatensammlung zu «erheblichen Kosten» führen werde (Vortrag S. 23), genügt aus Sicht der djb nicht. Ebenso ist detailliert darzulegen, wie der Schutz der gesammelten Personendaten vor Hacker-Angriffen bei einer Zentralisierung der Sammlungen in einem einzigen kantonalen System sichergestellt werden
kann.

Kurzfristiges Ziel: Vereinfachte Benutzerverwaltung

Als kurzfristiges Ziel des vorgeschlagenen Gesetzes nennt der Vortrag die Vereinfachung und Beschleunigung des Zugriffs auf Personendaten unter gleichzeitiger Stärkung des Datenschutzes. Letzterer soll vor allem dadurch sichergestellt werden, dass beim Erlass des PDSG alle gesetzlichen Grundlagen «insbesondere für die Bearbeitung besonders schützenswerter Personendaten sowie für das Profiling überprüft und nötigenfalls angepasst werden» sollen. Zudem werde im vorgesehenen Anhang zum PDSG «erstmals zentral, übersichtlich und öffentlich transparent gemacht», welche zentralen Personendatensammlungen der Kanton Bern betreibt. Was auf diese Weise als Verbesserung für den
Datenschutz angepriesen wird, müsste aus Sicht der djb eigentlich schon heute gegeben sein: bestehende Gesetzesregeln, die den Anforderungen punkto Informatiksicherheit und Datenschutz gerecht werden – und eine transparente Übersicht über alle kantonalen Datensammlungen. In der Tat ist der Kanton heute schon zur Führung eines öffentlichen Registers seiner Datensammlungen verpflichtet.10

Die vorgeschlagene Standardisierung und Reduktion der Benutzerprofile wird im Vortrag aus Sicht der djb verständlich dargelegt und plausibel begründet. Kritisch beurteilen wir jedoch den Vorschlag, dass der Regierungsrat die Regelung der Zugriffsberechtigung an die einzelnen Direktionen, die Staatskanzlei und die Justiz delegieren können soll. Als Grundlagen dafür soll er für jede zentrale Personendatensammlung die Basis- und die Standardprofile mit den besonderen schützenswerten Personendaten und den Funktionalitäten auf Verordnungsebene festlegen.

Die Delegation der Berechtigungsregelung genügt nach Ansicht der djb den eingangs skizzierten Anforderungen des verfassungsrechtlichen gewährleisteten Anspruchs auf informationelle Selbstbestimmung nicht. Dem Erfordernis eines Gesetzes im materiellen Sinn, das eine Regelung auch der Berechtigung der Datenbearbeitung mindestens auf Verordnungsstufe verlangt (vgl. oben), wird nicht mehr entsprochen. Das heutige Registergesetz ist darüber hinaus vorbildlich, indem es die für die ZPV bearbeiteten Personendaten auf Gesetzesstufe festlegt. Die djb beantragen deshalb die Aufnahme einer analogen Regelung in das PDSG, die die wichtigsten Basis- und Standardprofildaten
festschreibt.

Zudem verschaffen sich die Direktionen, die Staatskanzlei und die Justiz durch die Delegation eine Definitionsmacht, indem sie bestimmen können, welche Daten Teil des Basisprofils sind und sie folglich auch die Berechtigungen daran in ihren Weisungen festlegen können. Aus diesem Grund lehnen die djb die vorgesehene Kompetenzdelegation ab und verlangen die Definition der Personendaten auch des Basis- bzw. Standardprofils, erst recht der besonders schützenswerten sowie der für das Profiling verwendbaren Daten auf Gesetzesstufe analog dem heutigen Registergesetz und die Festlegung der Berechtigungen mindestens auf Verordnungsstufe (vgl. Bemerkungen zu Art. 5 und 6). Das Bearbeiten und Bekanntgeben von besonders schützenswerten Personendaten muss weiterhin auf einer gesetzlichen Grundlage beruhen. Gemäss Vortrag (S. 8) ist vorgesehen, dass im Zusammenhang mit den Zugriffsberechtigungen jeder Erlass des Regierungsrates, einer Direktion, eines Gemeinde- oder eines Kirchgemeinderates vorgängig der zuständigen kantonalen oder kommunalen Datenschutzaufsichtsstelle zur Prüfung vorgelegt werden muss. Damit die Resultate dieser Prüfung in kritischen Fällen auch die nötige Beachtung finden und Wirkung erzielen können, ist den Aufsichtsstellen ausdrücklich das Recht einzuräumen, ihre Prüfungsergebnisse zu veröffentlichen. Die djb beantragen eine entsprechende Ergänzung des Gesetzesentwurfs.

Mittelfristiges Ziel: Bessere Qualität der Daten

Die mangelhafte Qualität der gesammelten Personendaten, die im Vortrag (S. 9) insbesondere für die in den Gemeindeverwaltungen erfassten GERES-Daten aufgezeigt wird, ist aus Sicht der djb sehr bedenklich. Jeder achte Personendatensatz sei mit Fehlern behaftet; ihre Bereinigung verursache dem Kanton jährliche Kosten von 120'000 Franken, der Stadt Bern gar 220'000 Franken. Die djb unterstützen deshalb die vorgeschlagenen Massnahmen (erhöhte technische Anforderungen an die verwendeten Softwarelösungen in den Gemeinden, verschärfte automatische Plausibilitätsprüfungen und Rechnungstellung für den Bereinigungsaufwand, der durch vorschriftswidrige Datenbearbeitung entsteht). Als denkbare alternative Lösung erwähnt der Vortrag (S. 10) die Einführung einer kantonalen
Standard-Software für GERES, analog der Lösung für das ZPV. Auf einen entsprechenden Vorschlag werde jedoch «zum Schutz der bisherigen Investitionen der Gemeinden» verzichtet. Aus Sicht der djb vermag diese Begründung nicht zu überzeugen; die Idee einer Standardlösung sollte zumindest vertieft im Hinblick auf Vor- und Nachteile geprüft und den
vorgeschlagenen Regelungen gegenübergestellt werden.

Ziel: Informationssicherheit und Datenschutz stärken

Aus dem Gesetzesentwurf und dem Vortrag geht nach Ansicht der djb zu wenig klar hervor, wie die beantragte Totalrevision der Gesetzgebung über Personendatensammlungen die Informationssicherheit und den Datenschutz «deutlich stärken» soll. Die djb fordern diesbezüglich explizite Ergänzungen, insbesondere durch die oben erwähnte Kompetenzerweiterung für die Datenschutzaufsichtsstellen. Zudem ist sicherzustellen, dass der Zugriff auf besonders schützenswerte bzw. sensible Daten nicht nur für die Benutzer restriktiv geregelt ist – es sind auch Vorschriften zu erlassen und Vorkehrungen zu treffen, damit einem unbefugten Zugriff oder gar Datendiebstahl durch Mitarbeitende der Informatikdienste vorgebeugt werden kann.

Die djb bedauern in diesem Zusammenhang, dass im Gesetzesentwurf keine Sicherheitsmassnahmen für die zentralen Datenbanken vorgesehen sind. Es wird (in Art. 17 PDSG) bloss auf die kantonale Datenschutzgesetzgebung verwiesen, die ihrerseits nur die Verantwortung festlegt: Diejenige Behörde, welche Daten bearbeitet, ist für deren Sicherung
verantwortlich (Art. 17 KDSG). Wie der Kanton die Datensicherheit der zentralen Datensammlungen sicherstellt gegen Verlust, Manipulation und andere Bedrohungen (und damit auch einen effektiven Datenschutz gewährleistet), regelt der Gesetzesentwurf nicht. Dies obwohl im Zuge der technischen Entwicklung die Gefahren der modernen Informationssysteme für den Datenschutz auf Bundesebene erkannt wurden und Massnahmen vorgeschlagen werden, um einen angemessenen Schutz der Personendaten sicherzustellen. Zu recht weist der Vortrag (S. 24) darauf hin, dass bei zentralen Personendatensammlungen das Ausmass einer Datenschutzverletzung «sehr gross» sein kann.

Die djb beantragen deshalb eine Ergänzung des Gesetzesentwurf mit folgender Bestimmung:
Art. 17 Abs. 2 (neu): Der Kanton trifft Massnahmen zur Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit der Dateninformationen der zentralen Personendatensammlungen.

Für die djb ist zudem unabdingbar, dass die geltenden Rechte und Möglichkeiten zur Einsichtnahme und Berichtigung von gesammelten Personendaten durch die vorgeschlagene Gesetzgebung nicht geschmälert werden – den betroffenen Personen, die von ihrem Recht Gebrauch machen wollen, ist dies vielmehr auch künftig zu ermöglichen. Die zentralen Personendatensammlungen erlauben eine vereinfachte Datenbearbeitung, die auch als Chance für eine Vereinfachung der Wahrnehmung der Auskunftsrechte der von der Datenbearbeitung betroffenen Personen genutzt werden sollte. So soll das Verfahren zur Erlangung der Auskünfte vereinheitlicht werden; die gewünschten Auskünfte sollen nach Identifikationsnachweis auch elektronisch angefordert werden können, und die betroffenen Personen sollten an prominenter Stelle auf ihre Rechte aufmerksam gemacht werden.

Die djb beantragen deshalb eine Ergänzung des Gesetzesentwurfs mit folgender Bestimmung:
Art. 17a (neu): Der Kanton trifft Massnahmen zur Sicherstellung und Vereinfachung der Wahrnehmung des Auskunftsrechts.

Bemerkungen zu den einzelnen vorgeschlagenen Gesetzesartikeln

• Art. 1: Gemäss den Erläuterungen im Vortrag wird mit diesem Artikel – zusätzlich zur Beschreibung der Wirkungsziele – «verdeutlicht, dass der Informationssicherheit und dem Datenschutz grosse Bedeutung beigemessen wird». Aus dem Wortlaut des Artikels geht dies nicht explizit hervor. Der Artikel sollte entsprechend ergänzt werden.
• Art. 2, Abs. 1: Der Geltungsbereich des Gesetzes soll auch «andere Trägerinnen und Träger öffentlicher Aufgaben» umfassen. Es ist fraglich bzw. erläuterungsbedürftig, ob diese Formulierung klar genug ist und wo sie gegebenenfalls schon definiert ist.
• Art. 3: Gemäss Vortrag werden im PDSG neu eingeführte Begriffe definiert, die nicht schon in bestehenden Erlassen zur Informatiksicherheit und zum Datenschutz geklärt sind. Der Vortrag verwendet häufig den Begriff des Profiling. Es ist zumindest wünschenswert, auch diesen Begriff im PDSG zu erklären oder im Vortrag auf bestehende Definitionen
  hinzuweisen.
• Art. 6 Abs. 1: Gemäss Vortrag soll der Erlass von Berechtigungsregeln möglichst nahe an die Bedarfsstellen delegiert werden, «ohne aber dabei die Informationssicherheit oder den Datenschutz zu schwächen». Aus dem Wortlaut des Artikels wird nicht ersichtlich, weshalb diese Schwächung ausgeschlossen sein soll.
• Art. 15: Der Vortrag weist darauf hin, dass auf Bundesebene ein Gesetzesentwurf bis Herbst 2017 zur systematischen Verwendung der AHV-Nummer durch Bund, Kantone und Gemeinden ausgearbeitet werden soll. Diese Informationen sollten aktualisiert werden. Gleiches gilt für die Angabe, dass der Regierungsrat im Jahr 2018, das bald zu Ende ist,
  eine neue E-Government-Strategie für den Kanton Bern vorlegt (gemäss Vortrag S. 23). Wann wurde bzw. wird diese Ankündigung umgesetzt?
• Art. 17 Abs. 2 und neuer Artikel 17a: siehe Ergänzungsanträge oben unter 3.4

Wir danken für die Berücksichtigung der Stellungnahme zu der Gesetzgeungsvorlage und stehen bei Fragen gerne zur Verfügung.

Freundliche Grüsse

Michael Christen
Geschäftsleiter

Simone Machado
Vorstandsmitglied

Fussnoten:
1 JÖRG PAUL MÜLLER, Grundrechte in der Schweiz, 3. Auflage Bern 1999, S. 45.
2 Bundesgesetz über den Datenschutz vom 19. Juni 1992 (DSG), SR 235.1.
3 Datenschutzgesetz vom 19. Februar 1986 (KDSG), BSG 152.04.
4 BAERISWYL BRUNO/ PÄRLI KURT, Datenschutzgesetz, Stämpflis Handkommentar, Bern 2015, N 4 zu Art. 17.
5 BAERISWYL BRUNO/ PÄRLI KURT, Datenschutzgesetz, Stämpflis Handkommentar, Bern 2015, N 5 zu Art. 17.
6 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter.
7 BAERISWYL BRUNO/ PÄRLI KURT, Datenschutzgesetz, Stämpflis Handkommentar, Bern 2015, N 7 zu Art. 17.
8 Vgl. BAERISWYL BRUNO/ PÄRLI KURT, Datenschutzgesetz, Stämpflis Handkommentar, Bern 2015, N 9 zu Art. 17.
9 <https://www.egovernment.ch/de/umsetzung/schwerpunktplan/aufbau-nationaler-adressdienste/>, zuletzt
besucht am 21. November 2018.
10 Vgl. <http://registerdatensammlungen-be.instanthost.ch/>, zuletzt besucht am 21. November 2018.

Die vollständige Vernehmlassungsantwort finden Sie hier als pdf.