Bundesgesetz über die Alters- und Hinterlassenenversicherung, Systematische Verwendung der AHV-Nummer durch Behörden, Schreiben an das EDI

Auf Antrag der Direktion der Justiz und des Innern beschliesst der Regierungsrat:

I. Schreiben an das Eidgenössische Departement des Innern (Zustellung auch per E-Mail als PDF- und Word-Version an Sekretariat.ABEL@ bsv.admin.ch): Mit Schreiben vom 7. November 2018 haben Sie uns zur Vernehmlassung des Vorentwurfs des Bundesgesetzes über die Alters- und Hinterlassenenversicherung (VE-AHVG) eingeladen. Wir danken Ihnen für die Gelegenheit zur Stellungnahme und äussern uns wie folgt: Wir begrüssen grundsätzlich die Ermöglichung der systematischen Verwendung der AHV-Nummer durch die Behörden. Die AHV-Nummer dient der korrekten und wirtschaftlichen Identifikation von natürlichen Personen und erleichtert den Abgleich von personenbezogenen Daten zwischen den Behörden, wenn eine Zusammenarbeit und ein Datenaustausch aufgrund gesetzlicher Grundlagen zur Erfüllung staatlicher Aufgaben notwendig sind. Die Absicht der Gesetzesänderung entspricht der E-Government-Strategie der interföderalen Zusammenarbeit E-Government Schweiz (RRB Nr. 1106/2015) sowie der Strategie Digitale Verwaltung, die wir am 25. April 2018 festgesetzt haben (RRB Nr. 390/2018): der Ausbau des Leistungsangebots mit einer durchgängigen Abwicklung von Behördengeschäften (Ziel 1 der Strategie Digitale Verwaltung) und die Nutzung von Daten als strategische Ressource (Ziel 3 der Strategie Digitale Verwaltung). Neben der wirtschaftlichen Erfüllung der Behördenaufgaben muss aber auch dem Vertrauen und der Akzeptanz seitens der Einwohnerinnen und Einwohner Beachtung geschenkt werden (Ziel 2 der Strategie Digitale Verwaltung). Nur Leistungsangebote, die auch als ausreichend sicher empfunden werden, werden anerkannt und genutzt. Ein guter Ausgleich zwischen administrativer Vereinfachung und Verbesserung der Wirksamkeit (durch die Möglichkeit der systematischen Verwendung der AHV-Nummer) einerseits und der informationellen Selbstbestimmungsrechte der Rechtsunterworfenen anderseits ist uns daher ein grosses Anliegen. Die Ausbreitung der Nutzung der AHV-Nummer (als weiteres Attribut zur Personenidentifikation) wird in den Kantonen aber nur in einem eng abgesteckten Masse erleichtert, nämlich dort, wo die Bearbeitung von Personendaten gesetzlich vorgesehen bzw. zulässig ist. Allfällige Mehrkosten (Nutzungsgebühren, Einführungsaufwand wegen der in der Vorlage vorgesehenen Meldepflicht der Verwendung)

sollten durch eine Steigerung der Wirtschaftlichkeit bei der Verwaltungstätigkeit grösstenteils ausgeglichen werden können. Zu den einzelnen Bestimmungen äussern wir uns wie folgt: Zu Art. 153c VE-AHVG Die Berechtigung für die Verwendung der AHV-Nummer erscheint unnötig einschränkend. Während die eidgenössischen Departemente und die Bundeskanzlei die AHV-Nummer ohne weitere spezialgesetzliche Grundlage zur Erfüllung ihrer gesetzlichen Aufgaben verwenden dürfen, soll dies den Einheiten der Kantons- und Gemeindeverwaltungen nur «nach Massgabe des kantonalen Rechts» erlaubt sein (Art. 153c Abs. 1 Bst. a Ziff. 3 VE-AHVG). Diese Einschränkung ist nicht gerechtfertigt und widerspricht der zweckmässigen Zielsetzung der Gesetzesrevision. Die Bestimmung ist daher anzupassen. Zu Art. 153d VE-AHVG Bei der systematischen Verwendung der AHV-Nummer ist der Informationssicherheit und dem Datenschutz zweifellos gebührend Rechnung zu tragen. Zu beachten ist dabei aber, dass die Behörden und die Organisationen bereits heute verpflichtet sind, dies im Umgang mit Personendaten zu gewährleisten. Nur für den Bereich der Verwendung der AHV-­ Nummer eine genaue Regelung auf Gesetzesstufe vorzusehen, erscheint daher unsachgemäss. Vorzuziehen ist, die Behörden und die Organisationen auf Gesetzesstufe zum Nachweis zu verpflichten, dass ihre Systeme der Informationssicherheit und dem Datenschutz ausreichend Rechnung tragen, während die Einzelheiten auf Verordnungsstufe geregelt werden. Damit könnte auch auf künftige Entwicklungen in diesem Bereich rascher reagiert werden. Weiter ist die Vorgabe gemäss Art. 153d Bst. b VE-AHVG, dass eine verantwortliche Person je Behörde zu be- zeichnen ist, wenig griffig. Es ist zu wenig klar, in welchem Umfang diese Person tatsächlich verantwortlich ist. Der Hinweis in den Erläuterungen, dass diese Person das Informationssicherheits- und Datenschutzkonzept zu unterzeichnen oder auf andere nachweisbare Art zur Kenntnis zu nehmen habe, erschliesst sich nicht aus den Bestimmungen und erscheint etwas beliebig. Art. 153e VE-AHVG Die Kantone sind gemäss Art. 153e Abs. 1 Bst. b VE-AHVG gehalten, für Datenbanken, welche die Einheiten der kantonalen und kommunalen Verwaltung führen, periodisch Risikoanalysen durchzuführen. Diese faktische Aufsichtsfunktion gegenüber den Gemeinden ist weitreichend

und läuft der Organisationsautonomie entgegen. Dieser Einwand gilt allgemein auch für die weiteren Bestimmungen, welche die Sicherheit und Kontrollen betreffen. Die Bestimmung ist daher insofern zu präzisieren, als die Organisationsautonomie gewahrt werden kann. Das in Art.153e Abs. 2 VE-AHVG vorgesehene Verzeichnis von Datenbanken, in denen die AHV-Nummer systematisch verwendet wird, sollte in leicht zugänglicher und geeigneter Form öffentlich einsehbar sein. Transparenz über die Verwendung der AHV-Nummer ist in einem als sensitiv empfunden Bereich sehr wichtig. Art. 153i VE-AHVG Es ist aus unserer Sicht widersprüchlich, nur für diesen Spezialfall eine Strafandrohung vorzusehen und in allen anderen Bereichen der Verwaltung (in denen es etwa um besonders schützenswerte Daten geht) nicht. Ein angemessenes Informationssicherheits- und Datenschutzkonzept muss vielmehr das gesamte Bild der Datenbearbeitungen einer Behörde widerspiegeln und darf gerade nicht auf einige besondere Bereiche beschränkt werden. Auch weil die AHV-Nummer als Identifikationsmerkmal nicht als besonders schützenswertes Personendatum gilt, erscheint diese Ausweitung der Strafbestimmungen unverhältnismässig. In der Praxis dürfte dies ausserdem zu zahlreichen unklaren Abgrenzungen führen. So ist die Strafandrohung für das «teilweise Weglassen von technischen und organisatorischen Massnahmen» (vgl. Ausführungen im erläuternden Bericht, S. 12, zu Art. 153i VE-AHVG) wenig griffig. Dies gilt auch deshalb, weil häufig erst nach einem Datenmissbrauch ersichtlich ist, welche zusätzlichen Massnahmen hätten ergriffen werden sollen. Anzumerken ist, dass Behörden in der Schweiz generell gewissenhafte und sorgfältige Arbeit leisten und in diesem Sinne keinem Generalverdacht unterstellt werden sollten.

II. Mitteilung an die Geschäftsleitung des Kantonsrates, die Mitglieder des Regierungsrates sowie an die Direktion der Justiz und des Innern.

Vor dem Regierungsrat Die Staatsschreiberin:

Kathrin Arioli