46
Rubrum
Datenschutzpraxis
Weisungen erteilen. Bis anhin haben jedoch bedauerlicherweise weder Gemeinden noch kantonale Direktionen von der Möglichkeit, eigene Datenschutzstellen zu schaffen, Gebrauch gemacht [Stand: Frühjahr 2008)).
Der Datenschutz soll bis anhin durch Information, Beratung, Empfehlung und Ausbildung umgesetzt werden.
Im Folgenden werden fünf Fälle aus der DSB-Beratung des Jahres 2007 (teilweise gekürzt) dargestellt. Über 250 weitere Fälle und die Ausleuchtung der datenschutzrechtlichen Praxis finden sich in den bisher erschienenen ausführlichen Tätigkeitsberichten des DSB der Jahre 1999 bis 2007. Diese können kostenlos beim DSB bestellt werden. Sie stehen auch auf der Website des DSB zu Verfügung: «www. datenschutz-zug.ch».
|. Zur Publikation von Personendaten im Internet
Ausgangslage
Beim Datenschutzbeauftragten beschwerte sich eine Privatperson, dass auf der kantonalen Website viele persönliche Informationen über sie veröffentlicht seien, insbesondere über ihren Gesundheitszustand. Wenn man in «Google» ihren Namen eingebe, erscheine die fragliche kantonale Website an erster Stelle und so könne sich weltweit jedermann über ihre Gesundheitsprobleme informieren. Sie verlangte deshalb die Löschung auf der kantonalen Website. Zudem sei zu veranlassen, dass diese Informationen über sie auch in den Suchmaschinen, insbesondere bei «Google», zu löschen seien.
Vorgeschichte
Was war geschehen? Die Privatperson führte früher gegen die kantonale Verwaltung ein Rechtsverfahren, bei dem ihr Gesundheitszustand eine zentrale Rolle spielte. Weil das Verfahren nicht zu ihren Gunsten ausging, erhob sie schliesslich beim Kantonsrat eine Aufsichtsbeschwerde gegen den Regierungsrat. Der Kantonsrat (bzw. insbesondere dessen Justizprüfungskommission, im Folgenden JPK) prüfte diese sorgfältig, gab ihr jedoch in einem sehr detaillierten Entscheid — der die ganze Vorgeschichte und somit auch die Aspekte der Gesundheit enthielt — nicht statt.
Datenschutzpraxis
Da die Staatskanzlei die Sitzungsunterlagen und die Protokolle des Kantonsrats im Internet veröffentlicht, wurde auch dieser Beschluss des Kantonsrats ungekürzt ins Internet gestellt.
Wie kam nun dieser Beschluss — und damit die ganze Krankengeschichte — zu «Google»? Diese Suchmaschine, wie auch viele andere, kopiert grundsätzlich sämtliche im Internet zugänglichen Informationen. Diese Kopien, die sich physisch in der Regel auf den Servern von «Google» in den USA befinden, indexiert «Google» und ermöglicht dadurch, dass die User innerhalb von Sekunden Hinweise auf ihre Anfragen erhalten.
Fragestellung
Kann die betroffene Person verlangen, dass ihre Daten auf dem kantonalen Internetauftritt gelöscht werden? Wie ist die Rechtslage bezüglich der bei «Google» publizierten Daten?
Aus der Stellungnahme des Datenschutzbeauftragten
1. Anwendbarkeit des Datenschutzgesetzes
a) Vor Beschlussfassung durch den Kantonsrat
Gemäss § 3 Abs. 2 Bst. b DSG wird das Datenschutzgesetz (u. a.) nicht angewendet bei Geschäften, über die der Kantonsrat zu beschliessen hat, soll doch dieser grundsätzlich in Kenntnis aller erforderlichen Informationen beraten können.
Im Rahmen der Vorbereitung eines Geschäfts durch eine kantonsrätliche Kommission (vorliegendenfalls durch die Justizprüfungskommission/JPK) und die anschliessende Information des Kantonsrates ist das DSG somit nicht anwendbar.
Die Frage, von welchen Daten die JPK Kenntnis erhalten und welche Daten sie ihrerseits dem Kantonsrat bekannt geben darf, ist in § 24 Abs. 1 und Abs. 3 des Kantonsratsbeschlusses über die Geschäftsordnung des Kantonsrates (KRB GO; BGS 141.1) ausdrücklich geregelt.
Im vorliegenden Fall erscheint fraglich, ob die JPK berechtigt war, die Gesundheitsdaten und weitere heikle Personendaten des Betroffenen gegenüber dem Kantonsrat — sowie den Medien und einer weiteren Öffentlichkeit - umfassend bekannt zu geben.
Datenschutzpraxis
Ohne Weiteres ergibt sich, dass eine Veröffentlichung von besonders schützenswerten Personendaten im Internet zum damaligen Zeitpunkt im Lichte von § 24 KRB GO unzulässig gewesen wäre.
b) Nach abgeschlossener Beratung durch den Kantonsrat
Ist die Willensbildung des Kantonsrates vollständig abgeschlossen und das Geschäft bereits seit vielen Jahren erledigt, so kommt der Ausschluss der Anwendbarkeit des Datenschutzgesetzes von § 3 Abs. 2 Bst. b DSG nicht mehr zur Anwendung. Bei der Publikation von abgeschlossenen Geschäften des Kantonsrates handelt es sich zudem um eine Datenbearbeitung durch die Staatskanzlei, die dem DSG unterliegt. Die Rechtslage gemäss DSG wird deshalb im folgenden Abschnitt beleuchtet.
2. Publikation besonders schützenswerter Daten im Internet
a) Ausdrückliche gesetzliche Grundlage?
Im Bericht und Antrag der JPK sind Daten über die Gesundheit des Betroffenen, somit besonders schützenswerte Personendaten enthalten. Für die Veröffentlichung der Daten im Internet bedürfte es daher einer ausdrücklichen formellgesetzlichen Grundlage. Eine solche findet sich im Zuger Recht jedoch nicht.
b) Publikation im Internet offensichtlich unentbehrlich?
Die Veröffentlichung des vollständigen, somit nicht anonymisierten Berichts der JPK im Internet ist für die Erfüllung der gesetzlichen Aufgaben der JPK, des Kantonsrats bzw. der Staatskanzlei nicht erforderlich. Es genügt, wenn diejenigen Personen mit Bericht und Antrag bedient werden, die an der entsprechenden Ratsdebatte mitwirken. Dazu gehört die weltweite Öffentlichkeit hingegen klarerweise nicht.
c) Zustimmung des Betroffenen? Die Zustimmung zur fraglichen Internetpublikation liegt im vorliegenden Fall gerade nicht vor.
3. Ergänzende Hinweise zu den Internet-Suchmaschinen
«Google» ist wohl die zurzeit populärste Suchmaschine. Daneben gibt es jedoch noch eine sehr grosse Anzahl weiterer Suchmaschinen, die genau gleich vorgehen wie «Google», somit öffentlich zugängliche Dokumente kopieren und indexieren (so neben vielen weiteren insbesondere etwa: www.webcrawler.com; http://search. msn.de; www.altavista.com; www.yahoo.com; www.alltheweb.com etc.).
Datenschutzpraxis
Wer durch eine unrechtmässige Veröffentlichung seiner Daten verletzt worden ist, hat grundsätzlich einen Anspruch auf die Wiederherstellung des rechtmässigen Zustands, somit (jedenfalls) auf die Entfernung seiner Daten im Internet. Dafür ist das Organ zuständig, das die Publikation der fraglichen Daten im Internet vorgenommen bzw. veranlasst hat, vorliegendenfalls somit die Staatskanzlei.
Da der Schaden im Nachhinein nur sehr schwer oder meist kaum mehr wieder gut zu machen ist, muss daher die Zulässigkeit jeder Publikation im Internet vorgängig sorgfältig abgeklärt werden.
Die Veröffentlichung von Daten im Internet kann eine Persönlichkeitsverletzung zur Folge haben. Es stellt sich die Frage nach der zivilrechtlichen Haftung.
Für die Folgen einer Publikation von Personendaten im Internet bleibt grundsätzlich das Organ verantwortlich, das sie vorgenommen hat. Der Betroffene verlangte deshalb zu Recht von der Staatskanzlei, dass diese dafür zu sorgen habe, dass die Daten über ihn auch bei den Suchmaschinen, insbesondere bei «Google», zu löschen seien. Wenn man bedenkt, wie viele Suchmaschinen weltweit im Einsatz sind, wird klar, dass ein solcher Antrag sehr viel Arbeitsaufwand verursacht. «Google» ermöglicht es übrigens als eine der wenigen Suchmaschinen, dass der Webmaster der betroffenen Website durch eine entsprechende Programmierung selber die Löschung der Daten auf den «Google»-Servern veranlassen kann.
Fazit
Bei öffentlichen Organen ist eine Publikation von Personendaten im Internet grundsätzlich nur dann zulässig, wenn sie auf einer ausdrücklichen gesetzlichen Grundlage beruht oder die ausdrückliche und freiwillige Zustimmung des Betroffenen vorliegt.
Datenschutzrechtlich unproblematisch ist die Veröffentlichung von reinen Sachdaten und korrekt anonymisierten Personendaten. Voraussetzung ist dabei, dass keinerlei Bezug mehr zu einer bestimmten Person besteht.
Verantwortlich für Schäden aufgrund unzulässiger Veröffentlichung von Daten im Internet ist das Organ, das die Publikation veranlasst hat.
Eine Veröffentlichung des fraglichen Berichts beziehungsweise des Antrags der Justizprüfungskommission im Internet in nicht anonymisierter Form war somit unzulässig.
Datenschutzpraxis
Empfehlungen des Datenschutzbeauftragten
— Das fragliche Dokument sei nicht weiter im öffentlich zugänglichen Teil des Zuger Internetauftritts zu veröffentlichen.
— Es seien durch die Staatskanzlei die notwendigen technischen Massnahmen zu ergreifen, dass dieses Dokument (insbesondere) nicht mehr durch «Google» im Internet zur Verfügung gestellt wird bzw. die Staatskanzlei habe «Google» anzuweisen, dieses Dokument «im Cache» zu löschen.
— Es seien zukünftig durch die Staatskanzlei keine parlamentarischen Dokumente im Internet zu veröffentlichen, die besonders schützenswerte Personendaten enthalten.
— Soweit Dokumente datenschutzkonform anonymisiert sind, handelt es sich nicht mehr um Dokumente mit Personendaten. Solche Dokumente können auf herkömmliche Weise — wie auch im Internet — veröffentlicht werden.
Il. Datenbekanntgabe des Amtes für Lebensmittelkontrolle an das Amt für Berufsbildung?
Fragestellung
Darf das Amt für Lebensmittelkontrolle unaufgefordert Resultate der Inspektionen von Gastronomiebetrieben, die Lehrlinge ausbilden, dem Amt für Berufsbildung bekanntgeben?
Aus der Stellungnahme des Datenschutzbeauftragten
1. Die wichtigsten Rechtsgrundlagen
Bezüglich der Funktionen des Lebensmittelinspektorates sind insbesondere die folgenden Rechtsgrundlagen zu beachten: Bundesgesetz über Lebensmittel und Gebrauchsgegenstände (im Folgenden: LMG; SR 817.0), Lebensmittel- und Gebrauchsgegenständeverordnung (LGV; SR 817.02), Verordnung des EDI über den Vollzug der Lebensmittelgesetzgebung (im Folgenden: VO EDI; SR 817.025.21), Vollziehungsverordnung zum Bundesgesetz über Lebensmittel und Gebrauchsgegenstände (VV LMG; BGS 824.2).
2. Schweigepflicht, Datenbekanntgabe und Amtshilfe Die Schweigepflicht des Amts für Lebensmittelkontrolle richtet sich grundsätzlich