42

4. Exkurs: Welchen Sinn macht eine solche Bestimmung? Soweit die Gemeinde kantonales oder eidgenössisches Recht anzuwenden hat, muss sie sich grundsätzlich zu Aspekten des Datenschutzes gar nicht weiter äussern. Soweit ihr hingegen eigenständige Kompetenzen zustehen, sollte sie datenschutzrechtliche Fragestellungen in den entsprechenden gemeindlichen Spezialerlassen regeln. Man kann sich somit ohne Weiteres vorstellen, die eingangs aufgeführte Bestimmung in der Gemeindeordnung wegzulassen. Auf der anderen Seite kann es aber sinnvoll sein, die Verwaltung daran zu erinnern, wie sie bezüglich des Datenschutzes vorzugehen hat. Unter Beachtung der vorstehenden Ausführungen hat die Gemeinde hier einen gewissen Spielraum. Pflegt sie einen eher strengen, «puritanischen» Gesetzesstil, wird sie auf eine solche Bestimmung verzichten. Zieht sie hingegen einen eher informativen, «erzieherischen» Gesetzesstil vor, kann sie grundsätzlich eine entsprechende Bestimmung aufführen. Fazit Hat die Gemeinde Bundesrecht oder kantonales Recht oder gegebenenfalls darauf gestütztes gemeindliches Ausführungsrecht anzuwenden, darf sie sich nicht auf einen bloss «zweckmässigen» Datenschutz beschränken. Vielmehr hat sie das entsprechende Recht – unter Einschluss des Datenschutzrechts – umfassend gemäss den entsprechenden Vorgaben anzuwenden. In Bereichen, in denen der Gemeinde eine eigenständige Gesetzgebungskompetenz zusteht, kann sie sich – unter Beachtung der Vorgaben des übergeordneten kantonalen beziehungsweise Bundesrechts – auf einen «zweckmässigen» Datenschutz beschränken.

II. Zur Zulässigkeit der Übermittlung von Personaldaten ins Ausland Ausgangslage Eine Zuger Verwaltungsstelle beauftragte ein privates schweizerisches Unternehmen, Persönlichkeitstests beziehungsweise Assessments bei ihrem leitenden Verwaltungspersonal durchzuführen. Die Betroffenen hatten diverse Tests an ihrem PC am eigenen Arbeitsplatz zu absolvieren. Um diese Tests überhaupt durchführen zu können, mussten die Mitarbeitenden zwingend ihr Einverständnis geben, dass die Testauswertung in Deutschland vorgenommen werden darf. Zudem wurden sie dabei auch darüber informiert, dass – im Falle von Anständen – deutsches Recht zur Anwendung käme.

Fragestellung Muss sich der Zuger Verwaltungsmitarbeitende gefallen lassen, dass seine Personendaten ins Ausland übermittelt und dort bearbeitet werden? Ist eine Verweisung auf die Anwendbarkeit des deutschen Rechts zulässig? Aus der Stellungnahme des Datenschutzbeauftragten

1. Vorweg Es wird im Folgenden davon ausgegangen, dass die Durchführung der Tests in der vorgenommenen Ausgestaltung an und für sich rechtmässig ist, und es wird nicht geprüft, ob die Mitarbeitenden ihre Zustimmung zur Durchführung des Tests erteilen müssen oder ob der Arbeitgeber befugt ist, solche verpflichtend anzuordnen.

2. Rechtslage a) Die Auslagerung des Assessments und die Datenbearbeitung im Rahmen der Evaluation der Tests an ein schweizerisches Privatunternehmen ist im Rahmen von § 6 des Zuger Datenschutzgesetzes (DSG, BGS 157.1) grundsätzlich zulässig. Die Daten dürfen dabei durch den Beauftragten nur in dem Rahmen bearbeitet werden, wie es auch der Auftraggeber selber tun darf. b) Die Auslagerung von Datenbearbeitungen ins Ausland ist grundsätzlich ebenfalls denkbar. Dabei sind sinngemäss die Vorgaben von Art. 6 des Eidgenössischen Datenschutzgesetzes (Eidg. DSG, SR 235.1) einzuhalten. Bezüglich der hier zur Diskussion stehenden Personendaten aus dem Assessment ist eine Datenbearbeitung im Ausland grundsätzlich möglich. Dabei hat der Auftraggeber – somit die kantonale Verwaltung – jedoch gegenüber dem beauftragten Unternehmen vertraglich abzusichern, dass sämtliche datenschutzrechtlichen Vorgaben eingehalten werden. Exkurs: Bezüglich Daten der kantonalen Verwaltung, die den hoheitlichen Bereich im engeren Sinne betreffen – zu denken wäre etwa an die Bereiche Polizei, Steuern, Schule etc. – wären hingegen die diesbezüglichen datenschutzrechtlichen Rahmenbedingungen viel strenger, so dass eine Auslagerung solcher Daten ins Ausland kaum je in Frage kommen kann. c) Eine Datenbearbeitung in Deutschland ist grundsätzlich zulässig, da Deutschland über einen Datenschutz verfügt, der dem schweizerischen gleichwertig ist. d) Die Verwaltungsstelle hat mit dem schweizerischen Unternehmen insbesondere die folgenden Aspekte vertraglich zu regeln:

– soweit die Datenbearbeitung in Deutschland vorgenommen werden soll, an welche Stelle in Deutschland die Daten genau übermittelt werden; – dass der deutsche Datenbearbeiter die Daten nicht weitergeben darf, die Daten nicht für andere bzw. eigene Zwecke verwenden darf, die Daten nach Auftragserfüllung zurückzugeben bzw. vollständig zu vernichten hat und keine Kopien anfertigen darf; – dass sämtliche Datenübertragungen, so sie via ungesicherte Netze – wie es das Internet eines ist – übertragen werden, ausschliesslich verschlüsselt erfolgen (§ 3 der Zuger Verordnung über die Nutzung von Internet und E-Mail, BGS 154.28). e) Wichtig für die Mitarbeitenden, die von dieser Datenbearbeitung betroffen sind: für sie ist – etwa im Falle von Anständen – ausschliesslich ihr Arbeitgeber Ansprechsperson, somit die Zuger Verwaltungsstelle. Im Weiteren ist dieses Rechtsverhältnis ausschliesslich dem Zuger Personalrecht beziehungsweise Datenschutzrecht unterworfen. Die Mitarbeitenden müssen sich somit weder an die beauftragte schweizerische Firma, noch etwa gar an den deutschen Datenbearbeiter halten, sollten sich aufgrund der vorliegenden Datenbearbeitung eine Persönlichkeitsverletzung oder ein Schaden einstellen. Gleich verhält es sich, wenn sie die ihnen aufgrund des Zuger Datenschutzgesetzes zustehende Rechte wahrnehmen wollen, etwa Einsicht oder Berichtigung ihrer eigenen Daten (etc.). Fazit Die Auslagerung der Datenbearbeitung ist möglich, im vorliegenden Beispiel ist selbst auch eine Datenbearbeitung in Deutschland grundsätzlich zulässig. Für die betroffenen Mitarbeitenden ist aber in dieser Sache ausschliesslich ihr Arbeitgeber, somit die Zuger Verwaltung, zuständig. Zur Anwendung kommt das Zuger Recht. Die Betroffenen haben sich somit in keinem Fall dem deutschen Recht zu unterwerfen; ihre diesbezügliche Zustimmung ist unbeachtlich.