Datenschutz

Datenschutz ist der Schutz der Privatsphäre und der Persönlichkeitsrechte. Er dient dem Schutz vor missbräuchlicher Datenbearbeitung und beinhaltet allgemein das Recht, selbst zu bestimmen, wer meine persönlichen Daten zu welchen Zwecken bearbeiten darf und wem diese bekannt gegeben werden dürfen.

Datenschutz beinhaltet auch den technischen Schutz der Daten.

Die Datenschutzgesetze definieren die Rahmenbedingungen für das Bearbeiten der Personendaten.

Das bedeutet:

  • Öffentliche Organe dürfen Daten nur gestützt auf eine rechtliche Grundlage, für den vorgesehenen Zweck und soweit erforderlich, bearbeiten. Sie sind verpflichtet, die Daten mit angemessenen Massnahmen zu schützen.
  • Private brauchen einen Rechtfertigungsgrund für eine Datenbearbeitung. Im Normalfall ist das die Einwilligung der von der Datenbearbeitung betroffenen Personen.
  • Jede Person kann gegenüber öffentlichen Organen Rechte geltend machen. Sie haben beispielsweise Anspruch auf Auskunft, welche Daten über sie bearbeitet werden. 

Zuständigkeit

Der Datenschutzbeauftragte des Kantons Zürich ist für Anliegen in Zusammenhang mit Datenbearbeitungen durch öffentliche Organe im Kanton Zürich zuständig.

Fragen zu Datenbearbeitungen der öffentlichen Organe der Städte Zürich und Winterthur können an die kommunalen Datenschutzstellen gerichtet werden.

Für datenschutzrechtliche Anliegen, die Bundesorgane oder Privatorganisationen betreffen, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig. 

Personendaten

Der Datenschutz betrifft Personendaten. Das sind Informationen, die etwas über eine Person aussagen: Personalien, Angaben über Einkommen und Vermögen, Telefon und Internetkontakte, Angaben über das Arbeitsverhältnis etc.

Besondere Personendaten sind sensitive Daten, die wegen einer erhöhten Gefahr für die Persönlichkeitsrechte stärker geschützt sind. Dazu gehören:

Die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten, die Gesundheit, die Intimsphäre, die Rassenzugehörigkeit oder die ethnische Herkunft, Massnahmen der sozialen Hilfe, administrative oder strafrechtliche Verfolgungen oder Sanktionen.

Besondere Personendaten dürfen nur bearbeitet werden, wenn ein vom Parlament beschlossenes Gesetz dies vorsieht. Die Regelung muss überdies hinreichend bestimmt sein.

Gesetzliche Grundlage

Öffentliche Organe dürfen Daten nur im Zusammenhang mit ihren gesetzlich umschriebenen Aufgaben bearbeiten. Für gewöhnliche Personendaten reicht eine Grundlage in einer Verordnung aus. Für besondere Personendaten hingegen bedarf es einer hinreichend bestimmten Regelung in einem durch das Parlament beschlossenen Gesetz.

Einwilligung

Fehlt eine gesetzliche Grundlage, kann das öffentliche Organ bereits erhobene Daten bekanntgeben, wenn die betroffene Person in die Bekanntgabe im Einzelfall eingewilligt hat. Generelle Einwilligungen sind ungenügend. Für die Bekanntgabe von besonderen Personendaten muss die Einwilligung überdies ausdrücklich sein.

Verhältnismässigkeit

Verhältnismässig ist eine Datenbearbeitung, wenn sie für einen gesetzlich vorgesehenen Zweck geeignet und erforderlich ist und keine milderen, ebenso geeigneten Mittel zur Verfügung stehen. Um die Verhältnismässigkeit einer Datenbearbeitung beurteilen zu können, muss der erwünschte Zweck klar und möglichst konkret ausgewiesen werden.

Zweckbindung

Personendaten dürfen nur zu dem Zweck bearbeitet werden, zu dem sie erhoben wurden.

Amtshilfe

Amtshilfe bezeichnet eine Datenbekanntgabe einer Behörde auf Gesuch einer anderen Be-hörde, welche die Information zur Erfüllung einer gesetzlichen Aufgabe benötigt. Amtshilfe wird im Einzelfall auf Anfrage geleistet. Die anfragende Behörde legt namentlich dar, für welchen Zweck sie die Information benötigt. Die angefragte Behörde prüft diese Angaben. Erachtet sie die Datenbekanntgabe als verhältnismässig, gibt sie die Information bekannt.

Archivierung

Das öffentliche Organ bewahrt seine Informationen während höchstens zehn Jahren nach der Verwendung auf und bietet sie nachher dem zuständigen Archiv an, z.B. dem Staatsarchiv. Informationen, die nicht archiviert werden, sind zu vernichten. Archivierte Personendaten verstorbener Personen sind mit einer gesetzlichen Schutzfrist belegt.

Strafbarkeit

Datenschutzverletzungen sind strafbar, wenn ein Mitarbeiter eines öffentlichen Organs das Amts- oder Berufsgeheimnis verletzt. Weiter werden Privatpersonen bestraft, die im Rahmen eines Outsourcing Daten für ein öffentliches Organ bearbeiten, wenn sie diese für sich oder andere verwenden oder anderen bekanntgeben.

In Zeiten der Digitalisierung gerät die Privatsphäre zunehmend unter Druck. Der Datenschutz, mit dem die Grundrechte der Bürgerinnen und Bürger gewährleistet werden sollen, wird in den Hintergrund verschoben. Die Herausforderungen für den Schutz der Sicherheit der Personendaten werden kleingeredet.

Der Datenschutzbeauftragte nimmt in den folgenden Artikeln zu verschiedenen Aspekten des Datenschutzes und der Informationssicherheit Stellung.
 

Digitalisierung in Estland

Die Digitalisierung im demokratischen Rechtsstaat ist keine Frage der Technologie. Das zeigt sich am grossen Mekka aller, die sich mit der Digitalisierung in Wirtschaft und Verwaltung befassen: Estland.

Schwache Infrastruktur als Ausgangslage

In Estland sind im Gegensatz zu den meisten Ländern der Welt digitale Prozesse in allen Lebensbereichen eingeführt. Das Land erlangte zu Beginn der 1990er Jahre seine Unabhängigkeit wieder von der Sowjetunion und musste die Staats- und Verwaltungsstrukturen von Grunde auf neu errichten. Im westlichen Ausland war gerade die zweite informationstechnische Revolution im Gange und die dritte kündigte sich an: Die Personal Computer verbreiteten sich rasant; und das Internet als globale Vernetzungsinfrastruktur war im Aufbau begriffen. So wundert es nicht, dass Estland sich die neuen Technologien sofort zu Nutze machte: Beispielsweise lief zu diesem Zeitpunkt sämtliche Telefoninfrastruktur über Moskau. Die Internettelefonie war deshalb eine der ersten E-Lösungen in Estland.
Der Katalog an digitalen Lösungen in Estland ist beeindruckend, und manche Besucherdelegation kehrt aus Estland mit der Botschaft zurück: So wie in Estland soll es auch bei uns sein – und zwar sofort!

Klare Entscheidungswege und Rechtsgrundlagen

Doch das Modell Estland ist keine Frage der Technologie. Es hat seine Wurzeln in der ana-logen Welt. Ob und wie es beispielsweise die Digitalisierung der Verwaltungen in der Schweiz beeinflussen kann, hängt von Faktoren ab, die zuerst gründlich zu analysieren sind.
Für Estland ist festzustellen, dass die staatlichen Strukturen und die Verwaltung neu aufzubauen waren, und zwar nach der wiedererlangten Unabhängigkeit in bewusster und verständlicher Abkehr vom Bisherigen. Es lag nahe, dass hier die neueste Digitaltechnologie eingesetzt wird. Der Erfolg des estnischen Modells beruht auf den klaren Entscheidungswegen und der Schaffung der entsprechenden Rechtsgrundlagen. Bevor die Regierung einen Entscheid fällt, muss ein neues Digitalisierungsprojekt von fünf unterschiedlichen Behörden (zentrale Rechtsabteilung, Informationsagentur, Sicherheit, Archiv, Datenschutzbehörde) gutgeheissen werden.

Hohes Potenzial an Überwachungsmöglichkeiten

Die Abhängigkeit von der Technologie ist in Estland so weit fortgeschritten, dass man die Sicherheit der Daten nicht mehr eigenständig garantieren kann. So werden heute Daten nach Luxemburg ausgelagert. Des Weiteren hat sich mit der zentralen Kontrolle der Informatikinfrastruktur durch den Staat, die auch von privaten Unternehmen (z.B. Banken) benutzt werden kann, ein hohes Potenzial an Kontroll- und Überwachungsmöglichkeiten der Bürgerinnen und Bürger ergeben. Das Verhalten der Bürgerinnen und Bürger ist potenziell transparent.

Unkritische Aussensicht

Es überrascht, dass der Blick von aussen auf Estland oft sehr unkritisch ausfällt. In Digitalisierungsstrategien für die öffentliche Verwaltung in der Schweiz steht etwa, dass die Schweiz den Anschluss an die Entwicklungen ausländischer Verwaltungen (z.B. Estland) halten müsse. Aber ist das ein sinnvolles Kriterium für die Digitalisierung in der Schweiz?

Digitalisierung in der Schweiz

Die Situation in der Schweiz unterscheidet sich grundlegend von derjenigen in Estland zu Beginn der 1990er Jahre. Die Schweiz und ihre Kantone verfügen über eine gut funktionierende Verwaltung, die nach rechtsstaatlichen Prinzipien funktioniert, und bei Bürgerinnen und Bürgern auf hohe Akzeptanz zählen kann. Wir sind nicht gezwungen, schnell neue Strukturen aufzubauen.

Staatliches Handeln ist an Recht gebunden

Deshalb ist zu diskutieren, was wünschenswert ist, statt einfach zu fordern, alles müsse nun digital abgewickelt werden. In jedem Fall ist auch eine Technologiefolgenabschätzung notwendig. Jedes staatliche Handeln ist an das Recht gebunden, weshalb auch die Gesetzgebung die Grundlage für die Steuerung der Digitalisierung sein muss.

Eine Strategie zur Digitalisierung von Staat und Verwaltung muss sich an den eigenen Werten messen. Deshalb muss das Ziel der Digitalisierung die Stärkung des Rechtsstaats und seiner Institutionen, der föderalen Demokratie und der Grundrechte sein. Technologie und Digitalisierung geben nicht die Ziele vor.

Digitalisierung braucht Datenschutz

Auch in Estland beruht die Digitalisierung auf datenschutzrechtlichen Rahmenbedingungen, die mit der Datenschutzgrundverordnung (DSGVO) noch verstärkt werden. Doch in den Kantonen und im Bund stossen viele der Bestimmungen der DSGVO auf Widerstand, die auch in der Schweiz umgesetzt werden könnten. Viele sehen im Datenschutz nur ein Hindernis, das bei der Digitalisierung zu überwinden ist.

Die Digitalisierung der Verwaltungsabläufe lässt jedoch die Datenmenge bei der Verwaltung exponentiell anwachsen, da jede digitale Interaktion Datenspuren hinterlässt. Aus den Datenspuren können ohne Weiteres Profile der Personen erstellt werden. Der Staat hat die Grundrechte der Bürgerinnen und Bürger zu wahren. Deshalb muss er ausschliessen, dass die Überwachung von Mitarbeitenden oder das Erstellen von Verhaltensprofilen ermöglicht wird.

Der richtige und sichere Umgang mit den Daten der Bürgerinnen und Bürger ist kritisch für ihr Vertrauen in den Staat. Hierfür braucht es eine Politik der Datenvermeidung und der Datensparsamkeit als Teil der Strategie der Digitalisierung.

Zwischen Machbarem und Wünschenswertem unterscheiden

Bei der Diskussion über die Digitalisierung können wir uns auf wichtige kulturelle Errungenschaften unserer Gesellschaft verlassen. So können wir einerseits die technologischen Entwicklungen hinterfragen und zwischen dem Machbaren und dem Wünschenswerten unterscheiden. Andererseits können Entscheidungsträger, die mit den Chancen und Risiken der neuen Kulturtechnik Informatik nicht vertraut sind, Übersetzungshilfen von Fachleuten zu Hilfe nehmen.

Digitale Grundrechte für die Schweiz?

Eine Gruppe von Bürgerinnen und Bürgern hat 2016 einen Vorschlag für eine Charta der Digitalen Grundrechte in der Europäischen Union erarbeitet und dem Europäischen Parlament in Brüssel und der Öffentlichkeit zur weiteren Diskussion übergeben. Soeben wurde eine erneuerte Version vorgestellt.

Veränderte Rahmenbedingungen

Die Digitalisierung verändert die Rahmenbedingungen in unserer Gesellschaft. Eine breite Diskussion über die Ansprüche an die digitale Weiterentwicklung unserer politischen und gesellschaftlichen Strukturen ist notwendig. Die Charta der Digitalen Grundrechte kann dafür als Grundlage dienen und zu einer eigenständigen schweizerischen Deklaration der digitalen Grundrechte führen.

Datenschutz war schon immer digital

Die Datenschutzgesetze formulieren die Rahmenbedingungen, die bei einer Datenbearbeitung zu beachten sind, um die Grundrechte zu bewahren. Nichts Anderes war und ist das Anliegen des Datenschutzes seit je. Die Entstehung der ersten Gesetze in den 1960er Jahren war eine Reaktion auf die neuen computerbasierten Datenbearbeitungen – und doch gerät der Datenschutz in der heutigen Dynamik der Digitalisierung oft in den Hintergrund.

In Zeiten der umfassenden Digitalisierung geht oft vergessen, dass der Datenschutz die Richtschnur für alle E-Services der öffentlichen Organe ist. Das IDG formuliert es technikneutral und grundlegend: «Es bezweckt, die Grundrechte von Personen zu schützen, über welche die öffentlichen Organe Daten bearbeiten» (§ 1 Abs. 2 lit. b IDG).

Rahmenbedingungen zur Wahrung der Grundrechte

Die Grundrechte der Bürgerinnen und Bürger, wie sie in der Bundesverfassung und der Kantonsverfassung festgelegt sind, sind Fundament des demokratischen Rechtsstaats und leiten das staatliche Handeln jederzeit. Zu diesen Grundrechten gehören die persönliche Freiheit und der Schutz vor Missbrauch persönlicher Daten. Damit wird zum Ausdruck gebracht, dass die Privatsphäre Teil der Autonomie des Einzelnen in der liberalen Gesellschaft ist. Für das Funktionieren der Demokratie ist der private Raum ebenso wichtig wie der öffentliche.

Die Datenschutzgesetze im Allgemeinen und das IDG im Speziellen formulieren die Rahmenbedingungen, die bei einer Datenbearbeitung zu beachten sind, um die Grundrechte zu bewahren. Den (staatlichen) Datenbearbeiter sollen konkrete Rahmenbedingungen vorgegeben werden, wie auch bei der elektronischen Datenbearbeitung die Freiheitsrechte der Bürgerinnen und Bürger zu schützen sind. Digitalisierung und Datenschutz waren schon immer ein Paar.

E-Services ohne Datenschutz geniessen kein Vertrauen

In der heutigen Dynamik der Digitalisierung wird der Datenschutz oft in den Hintergrund geschoben. Doch Umfragen in der Zürcher Bevölkerung zeigen immer wieder, dass E-Services ohne Datenschutz kein Vertrauen geniessen. Die Bürgerinnen und Bürger wissen, wie bedrohlich digitale Datenbearbeitungen für die Freiheitsrechte sind. Technologien sind nicht neutral, und die Entwicklungen in zahlreichen Staaten zeigen, wie schnell sie zu umfassenden Überwachungsinstrumenten werden.

Auch in einer Demokratie wie der Schweiz ist eine Digitalisierung ohne einen starken Datenschutz eine Hochrisikostrategie für die freiheitliche Gesellschaft. Wer Digitalisierung gross schreibt und Datenschutz klein redet, handelt verantwortungslos.

Digitale Datenschutz-Instrumente

Die umfassende Digitalisierung ist eine Herausforderung für den Schutz und die Sicherheit der Personendaten. Unter dem Stichwort «Privacy by design» bietet das Informations- und Datenschutzgesetz (IDG) zahlreiche Bestimmungen, wie der Schutz und die Sicherheit gewährleistet werden können. Mit der Revision des IDG werden diese ergänzt.

Datenvermeidung und Datensparsamkeit

Datenbearbeitungen sind so zu konzipieren, dass möglichst wenig Personendaten anfallen, die zur Aufgabenerfüllung nicht notwendig sind (§ 11 IDG) (Datenvermeidung und Datensparsamkeit). Damit sind die vielen «Datenspuren» gemeint, die bei der elektronischen Kommunikation anfallen und zahlreiche Aussagen zum Verhalten einer Person zulassen. Soweit solche Daten nicht vermeidbar sind, sind sie deshalb so bald wie möglich zu löschen, zu anonymisieren oder zu pseudonymisieren.

Datenschutz-Folgenabschätzung

Neu wird § 10 IDG vorsehen, dass ein öffentliches Organ bei beabsichtigten Datenbearbeitungen die Risiken für die Grundrechte der betroffenen Personen zu evaluieren hat. Diese so genannte Datenschutz-Folgenabschätzung (DSFA) ergänzt dabei die allgemeine Risikoanalyse, wie sie in jedem Digitalisierungsprojekt vorzusehen ist. Im Rahmen des Projektmanagementtool Hermes werden die dazu notwendigen Angaben erfasst werden können.

Vorabkontrolle

Ist bei Datenbearbeitungen von besonderen Risiken für die Grundrechte der betroffenen Personen auszugehen – beispielsweise beim Einsatz neuer Technologie oder neuer Datenbearbeitungsmethoden – ist der Datenschutzbeauftragte beizuziehen, um eine vertiefte Prüfung vorzunehmen (Vorabkontrolle).

Informationssicherheits-Managementsystem

Weiter kann jedes öffentliche Organ seine Datenbearbeitungen zertifizieren lassen (§ 13 IDG). Damit fördert das IDG die Verwendung von internationalen Standards wie den Aufbau eines Informationssicherheits-Managementsystems (ISMS; ISO 27001). Neu gehören hierzu auch Organisationsvorschriften, um die Einhaltung der Datenschutzbestimmungen sicherzustellen.

Meldepflicht bei Sicherheitsvorfällen

Weil Sicherheitsvorfälle nie auszuschliessen sind, wird das IDG neu auch eine Meldepflicht solcher Vorfälle an den Datenschutzbeauftragten vorsehen (§ 12a IDG). Damit kann sichergestellt werden, dass mit einer kompetenten Unterstützung organisatorische und technische Prozesse angepasst werden, und eine weitere Gefährdung der Grundrechte der betroffenen Personen vermieden wird.

Im Übrigen definiert das IDG die Schutzziele, welche mit entsprechenden organisatorischen und technischen Massnahmen sicherzustellen sind (§ 7 IDG). Nach wie vor liefert die Informatiksicherheitsverordnung (ISV) die weiteren Konkretisierungen hierzu.

Als Technikfolgenrecht liefert das IDG mit seinen Instrumenten auch in der Digitalisierung die notwendigen Rahmenbedingungen für den Schutz der Grundrechte der Bürgerinnen und Bürger.