Kantonales Datenschutzgesetz (KDSG)

Der Regierungsrat möchte mit der Totalrevision den Datenschutz aufwerten. Das Gesetz wird an die erhöhten europäischen Standards angepasst: Die Transparenz wird erhöht, indem die Informationspflichten bei der Beschaffung von Personendaten erweitert und Meldepflichten bei Datenschutzverletzungen eingeführt werden. Die Datenschutzgrundsätze sollen nun auch per Gesetz für Gerichtsbehörden und die Staatsanwaltschaften im Kanton Bern gelten. ICT-Projekte sind vor der Inbetriebnahme auf ihre datenschutzrechtlichen Risiken zu prüfen. Um den technischen Anforderungen gerecht zu werden und die Gemeinden zu entlasten, soll die bisher föderalistisch ausgestaltete Datenschutzaufsicht grösstenteils zentralisiert werden.

Ausgangslage

Das Recht auf Datenschutz ist ein Grundrecht, verankert in der Bundes- und der Kantonsverfassung. Eine verfassungskonforme Umsetzung des Grundrechts auf Datenschutz bedeutet insbesondere sachgerecht und transparent mit Personendaten umzugehen, individuelle Kenntnis- und Einflussmöglichkeiten zu gewährleisten und adäquate Kontrollen zu schaffen. Für Bundesbehörden und Private ist das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG, Inkrafttreten der neuen Fassung per 01.09.2023) anwendbar; für kantonale und kommunale Behörden richtet sich die Bearbeitung von Personendaten nach deren Datenschutzgesetzen. Das kantonale Datenschutzgesetz (KDSG) regelt den Datenschutz im Allgemeinen (Bearbeitungsgrundsätze, Rechte der betroffenen Personen, Aufsicht usw.). Seine Grundsätze bedürfen der Umsetzung im Spezialgesetz (auch bereichsspezifisches Fachrecht genannt). Bund und Kantone sind gestützt auf die Weiterentwicklung des Schengen-Besitzstands verpflichtet, ihre Gesetzgebung im Bereich des Datenschutzes EU-konform auszugestalten. Die Vorlage passt die kantonalen Grundlagen ans europäische Recht und die Bundesgesetzgebung an.

Mit der Revision wird der Katalog der besonders schützenswerten Personendaten um gewerkschaftliche, ethnische, genetische und biometrische Daten sowie um verwaltungsrechtliche Verfolgungen oder Sanktionen ergänzt. Die Informations- und Meldepflichten der verantwortlichen Behörden werden erweitert und die Rechte der betroffenen Personen klarer definiert. Ein wichtiger Punkt der Revision ist ausserdem die Stellung und Unabhängigkeit der Datenschutzaufsichtsstellen. Um den technischen Anforderungen gerecht zu werden und die Gemeinden zu entlasten, wird die bisher föderalistisch ausgestaltete Datenschutzaufsicht grösstenteils zentralisiert. In Übereinstimmung mit den erhöhten europäischen Standards werden den verbleibenden Datenschutzaufsichtsstellen Verfügungsbefugnisse eingeräumt.

Gleichzeitig werden im Rahmen der Revision verschiedene weitere Änderungsbedürfnisse berücksichtigt wie die Umsetzung der Motion 224-2016 (Vogt) «Lockerungen im Datenschutz – für Regelungen mit Augenmass» sowie das Anliegen der Geschäftsprüfungskommission des Grossen Rates (GPK) betreffend die Bestimmungen zu Aufsicht und Wahl der oder des Datenschutzbeauftragten und Zuständigkeitsfragen zwischen den kommunalen und kantonalen Datenschutzbehörden.

Mit der Anpassung an das europäische Recht erfährt der Datenschutz eine Aufwertung. Die wichtigsten Neuerungen sind:

• Die datenschutzrechtlichen Grundsätze finden auf die Gerichtsbehörden und die Staatsanwaltschaft Anwendung, mit Ausnahmen, soweit es das europäische Recht zulässt,
• Einführung des Profilings als neue Bearbeitungsart von Daten,
• Zusätzliches Instrument der Datenschutzfolgenabschätzung (Ergänzung zur Vorabkontrolle)
• Erhöhte Transparenz durch erweiterte Informationspflichten bei der Beschaffung von Personendaten und Meldepflichten bei Datenschutzverletzungen, mit Ausnahmen, soweit es das europäische Recht zulässt.

Aufgrund der europäischen Vorgaben ist der Kanton Bern gezwungen, gewisse Instrumente in das kantonale Recht zu überführen, was im Widerspruch zur Motionsforderung eines gelockerten Datenschutzes steht. Um der Motionsforderung dennoch gerecht zu werden, setzt der Kanton Bern das europäische Recht mit Augenmass um und sieht dort Ausnahmen vor, wo es das europäische Recht zulässt.

Stellungnahme

Im Wesentlichen ist das revidierte KDSG in der vorliegenden Form eine Übernahme - um nicht zu sagen eine «Abschrift» - der Bestimmungen und Formulierungen des neuen eidgenössischen Datenschutzgesetzes (DSG), oder auch der europäischen Datenschutznormen. Diese können im Groben als zeitgerecht bezeichnet werden und deren Kommentierung erübrigt sich in weiten Zügen, da gewissermassen ein «Ratifizierungszwang» vorliegt.

Der Diskussion zugänglich sind die Bestimmungen im Zusammenhang mit der Registereintragungs- und Verzeichnispflicht. Es ist nicht ratsam, dass der Regierungsrat durch Verordnung die Ausnahmen von der Meldepflicht und der Pflicht zur Registereintragung regeln kann (s. Art. 21, Abs. 3 (neu) KDSG). Er kann auf diesem Wege Verwaltungsträger, für deren Handeln er verantwortlich ist, von Melde- und Eintragungspflichten befreien, was den Gewaltenteilungsprinzipien widerspricht. Idealerweise führt die Datenschutzbehörde ein Register der Bearbeitungstätigkeiten der kantonalen Organe, analog dem eidgenössischen Datenschutzgesetz (s. Art. 56 DSG).

Ebenso ist die Vorbereitung der Wahl oder Wiederwahl der oder des Beauftragten für Datenschutz kritisch (s. Art. 37, Abs. 1 (neu) KDSG). Verwaltungsintern kann ein:e oder mehrere Beauftragte für die Wahl nominiert und damit quasi vorbestimmt werden. Der Grosse Rat kann diese:n nur noch bestätigen oder die Stelle unbesetzt lassen. Auch hier ist ein Überhang an Gewalt des Regierungsrates auszumachen. In Analogie zum eidgenössischen Datenschutzgesetzt sollte die Evaluation und Wahl ausschliesslich durch das Parlament erfolgen. Auch würde die Geschäftsprüfungskommission des Grossen Rates als Aufsichtsbehörde kein leichtes Spiel haben, falls sie die Unabhängigkeit der oder des Beauftragten für Datenschutz in Frage stellt. Hier fehlt im neuen KDSG nämlich ein beschriebenes Verfahren, welches die Überprüfung der oder des Beauftragten festlegt und es werden auch keine Eingriffsmöglichkeiten und Kompetenzen der Geschäftsprüfungskommission definiert.

Nach einer Präzisierung bedarf Art. 46, Abs 4 (neu) KDSG. Auch gegenüber Gerichtsbehörden und der Staatsanwaltschaft muss die kantonale Datenschutzbehörde Verwaltungsmassnahmen erlassen können, nur dann nicht, wenn diese ein Beschwerdeverfahren gegen eine Verfügung der Datenschutzbehörde zu behandeln hat, analog dem eidgenössischen Datenschutzgesetz.

Sodann ist nicht einzusehen, weshalb die mit dem eidgenössischen Datenschutzgesetz in den Art. 60ff DSG vorgesehenen Strafbestimmungen bei Verletzungen von Informations-, Auskunfts- und Mitwirkungs- oder Sorgfaltspflichten, welche für private Personen (auch innerhalb der Bundesverwaltung) gelten, nicht auch im KDSG eingeführt werden. Dass dies unverzichtbar ist, wird aus der Tatsache, dass auch (private) Dritte im Auftrag des Kantons arbeiten, offensichtlich.

Zu guter Letzt sollte ein redaktioneller Fehler im Gesetzestext, in Art. 21, Abs. 2 (letztes Wort) berichtigt werden (anstelle von «erhalten» ist wohl «enthalten» gemeint).

Fazit

Die Revision des KDSG ist in weiten Teilen eine Übernahme der europäischen und eidgenössischen Bestimmungen und in diesem Rahmen in Ordnung. Die Ausnahmen von der Meldepflicht und der Pflicht zur Registereintragung sind im Gesetz zu ergänzen und nicht durch Verordnung vom Regierungsrat zu regeln (Art. 21, Abs. 3 (neu) KDSG). Die Vorbereitung zur Wahl der oder des Beauftragten für Datenschutz ist einem parlamentarischen Organ zu überlassen (Art. 37, Abs. 1 (neu) KDSG). Auch gegenüber Gerichtsbehörden und der Staatsanwaltschaft muss die kantonale Datenschutzbehörde Verwaltungsmassnahmen erlassen können, nur dann nicht, wenn diese ein Beschwerdeverfahren gegen eine Verfügung der Datenschutzbehörde zu behandeln hat (Art. 46, Abs 4 (neu) KDSG). Die Strafbestimmungen aus dem eidgenössischen Datenschutzgesetz in den Art. 60ff DSG für Verletzungen von Informations-, Auskunfts- und Mitwirkungs- oder Sorgfaltspflichten sind ins neue KDSG aufzunehmen.

Insgesamt ist die Vorlage von mittlerer wirtschaftlicher Bedeutung.

 

Stellungnahme Berner KMU an die Direktion für Inneres und Justiz des Kantons Bern

» lesen