Änderung des Bundesgesetzes über die Alters- und Hinterlassenenversicherung (Systematische Verwendung der AHV-Nummer durch Behörden)

Eidgenössisches Departement des Innern EDI Bundesamt für Sozialversicherungen

Bern,

Änderung des Bundesgesetzes über die Alters- und Hinterlassenen-versicherung (Systematische Verwendung der AHV-Nummer durch Behörden)

Erläuternder Bericht zur Eröffnung des Vernehmlassungsverfahrens

Eidgenössisches Departement des Innern EDI Inselgasse 1, 3003 Bern Telefon +41 58 462 80 41 E-Mail info@gs-edi.admin.ch www.admin.ch

Vorentwurf und erläuternder Bericht zur Änderung des Bundesgesetzes über die Alters- und Hinterlassenenversicherung (Systematische Verwendung der AHV-Nummer durch Behörden)

Übersicht

Die Verwaltungsabläufe sollen durch eine kontrollierte Verwendung der AHVN effizienter werden. Künftig sollen Behör- den von Bund, Kantonen und Gemeinden die AHVN generell für die Erfüllung ihrer gesetzlichen Aufgaben systematisch verwenden dürfen. Dadurch können Verwechslungen bei der Bearbeitung von Personendossiers vermieden werden. Sie trägt somit zugleich zur erfolgreichen Umsetzung der Strategie «E-Government Schweiz» bei und erhöht auch die Kos- teneffizienz der Verwaltungen.

Ausgangslage Seit ihrer Einführung im Jahr 1948 arbeitet die AHV mit einer Versichertennummer. Dieses Personenkennzeichen hat bis heute den Zweck, die Verarbeitung von Informationen über Beiträge und die Berechnung damit verbundener Sozialversiche- rungsleistungen zu erleichtern. Im Jahr 2008 wurden eine nichtsprechende, 13-stellige AHVN neu eingeführt und zugleich die Zulässigkeit der systematischen Verwendung derselben neu geregelt. Die systematische Verwendung der AHVN aus- serhalb der AHV ist seither nur unter bestimmten Voraussetzungen erlaubt. Zum einen sind die Stellen und Institutionen dazu befugt, die mit dem Vollzug von kantonalem Recht mit besonderem Bezug zu den Sozialversicherungen betraut sind. Zum anderen darf die AHVN systematisch verwendet werden, wenn eine spezialgesetzliche Grundlage des Bundes oder der Kan- tone besteht, die dazu ermächtigt. Die Bestimmung im jeweiligen Spezialgesetz hat Verwendungszweck und Nutzungsberech- tigte zu nennen. Dies soll jeweils die demokratische Kontrolle ermöglichen. Die systematische Verwendung der AHVN als Personenidentifikator erlaubt bei der Datenbearbeitung eine automatische, rasche und genaue Aktualisierung der Personenattribute bei Personenstandsänderungen. Dies garantiert die Datenqualität in den Benutzerregistern. Da die Nummer eindeutig ist, können ferner administrative Verwechslungen von Personendossiers und dadurch verursachte Verletzungen des Datenschutzes vermieden werden. Ausserdem steigert ihre Verwendung die Kos- teneffizienz der Verwaltung, indem sie eine Vereinfachung der internen Prozesse und der Querprozesse zwischen Behörden ermöglicht. Im Zuge der zunehmenden Digitalisierung der Verwaltungstätigkeit seit der Einführung der Regelung im Jahr

2008 ist eine starke Ausweitung der systematischen Nutzung erfolgt.

Die geltende Regelung im Bundesgesetz über die AHV lässt eine systematische Verwendung der AHVN für Behörden zwar zu, wenngleich unter Voraussetzungen, die zu erfüllen als umständlich wahrgenommen wird. Zudem ist die Gesetzgebungspraxis hinsichtlich der Berechtigung zur systematischen Verwendung der AHVN widersprüchlich. Die Kantone können ihre Behör- den ausserdem nur hinsichtlich des Vollzugs von kantonalem Recht zur Verwendung der AHVN ermächtigen. Aus diesen Gründen wird zunehmend die Nutzung der AHVN als eindeutiger Personenidentifikator für Behörden von Bund, Kantonen und Gemeinden gefordert.

Die Vorlage bezweckt, die Voraussetzungen dafür zu schaffen, dass die Behörden von Bund, Kantonen und Gemeinden nicht mehr für jede neue systematische Verwendung der AHVN eine spezifische gesetzliche Grundlage benötigen, sondern generell dazu ermächtigt sind. Indem die Verwendungsvoraussetzungen für alle Behörden die gleichen sind, wird die Transparenz erhöht. Zudem soll die Durchsetzung des Datenschutzes und der Informationssicherheit den erforderlichen Stellenwert erhal- ten. Es soll weiterhin möglich sein, in spezialgesetzlichen Bestimmungen für bestimmte Verwendungszwecke sektorielle Perso- nenidentifikatoren statt die AHVN vorzuschreiben. Insofern behält der Gesetzgeber die Gestaltungsfreiheit. Zudem sollen auch Organisationen und Personen, die keine Behördeneigenschaft besitzen und die ein Gesetz mit der Wahrnehmung einer Verwaltungsaufgabe betraut, zur systematischen Verwendung berechtigt sein, sofern eine Bestimmung im betreffenden Spezi- algesetz dies vorsieht. Die systematische Verwendung rein privater Art der AHVN soll hingegen nach wie vor ausgeschlossen sein. Die vorgeschlagene Erweiterung der systematischen Verwendung der AHVN führt nicht dazu, dass die Verwundbarkeit der Informationssysteme von Bund, Kantonen, Gemeinden oder anderen ermächtigten Nutzern oder die Missbrauchsrisiken steigen. Die Vorlage beschränkt sich darauf, das bisherige Erfordernis einer spezifischen gesetzlichen Grundlage für jede zusätzliche systematische Verwendung der AHVN durch eine generelle gesetzliche Berechtigung für die Behörden von Bund, Kantonen und Gemeinden und für bestimmte Institutionen zu ersetzen. Wer die AHVN systematisch verwendet, ist wie bisher verpflichtet, den Datenschutz zu garantieren. Damit auch die Informa- tionssicherheit gewährleistet ist, müssen verschiedene technische und organisatorische Massnahmen getroffen werden. In erster Linie müssen die Zugänge zu den verschiedenen Datenbanken optimal gesichert werden, damit das Risiko von un- rechtmässigen Nutzungen minimiert ist. Die Sicherheitsvorgaben bezüglich Zugang zu Datenbanken, welche die AHVN enthalten, betreffen Authentifizierung, Datenübertragung, Verschlüsselung, Virenschutz und Firewalls sowie Aufzeichnung und Auswertung von wichtigen Abläufen innerhalb der Informatiksysteme. Ferner soll nicht nur das vollständige Versäumen

von sichernden Massnahmen, sondern auch das unsorgfältige oder nicht fachgerechte Durchführen derselben unter Strafe gestellt werden.

1 Grundzüge der Vorlage 4

1.1 Ausgangslage 4

1.1.1 Entwicklung der Verwendung der AHVN 4

1.1.2 Verfassungsrechtliche Vorgaben 4

1.1.3 Datenschutz 5

1.2 Die beantragte Neuregelung 5

1.2.1 Generelle Berechtigung der Behörden 5

1.2.2 Begleitmassnahmen 6

1.3 Begründung und Bewertung der vorgeschlagenen Lösung 7

1.3.1 Bedürfnisgerechte Anpassung der rechtlichen Grundlagen 7

1.3.2 Verworfene Alternativlösungen 8

1.3.2.1 Neukonzeption der Datenbankarchitektur 8

1.3.2.2 Bewilligungsverfahren 8

1.3.2.3 Sektorielle Nummern 9

1.4 Stellungnahmen im Vernehmlassungsverfahren und ihre Bewertung 9

1.5 Stellungnahme der Eidgenössischen AHV/IV-Kommission 9

1.6 Abstimmung von Aufgaben und Finanzen 9

1.7 Rechtsvergleich, insbesondere mit dem europäischen Recht 9

2 Erläuterungen zu einzelnen Artikeln 9

3 Auswirkungen 13

3.1 Finanzielle und personelle Auswirkungen auf den Bund 13

3.2 Auswirkungen auf Kantone und Gemeinden 13

3.3 Auswirkungen auf die Volkswirtschaft 13

3.4 Auswirkungen auf die Gesellschaft 13

4 Verhältnis zur Legislaturplanung und zu nationalen Strategien des

Bundesrates 13

4.1 Verhältnis zur Legislaturplanung 13

4.2 Verhältnis zu Strategien des Bundesrates 14

5 Rechtliche Aspekte 14

5.1 Verfassungsmässigkeit 14

5.2 Vereinbarkeit mit internationalen Verpflichtungen der Schweiz 14

5.3 Erlassform 14

5.4 Unterstellung unter die Ausgabenbremse 14

5.5 Delegation von Rechtsetzungsbefugnissen 15

Änderung des Bundesgesetzes über die Alters- und Hinterlassenen- versicherung (Vorentwurf)

Erläuternder Bericht

1 Grundzüge der Vorlage

1.1 Ausgangslage

1.1.1 Entwicklung der Verwendung der AHVN

Die Alters- und Hinterlassenenversicherung (AHV) arbeitet seit ihrer Einführung im Jahr 1948 mit einer AHV-Nummer (AHVN). Bis heute hat dieser Personenidentifikator den Zweck, die Verarbeitung von Informationen über Beiträge und die Berechnung damit verbundener Sozialversicherungsleistungen zu erleichtern. Die AHVN war ursprünglich «sprechend»: Aus der Nummer konnten jeweils die Anfangsbuchstabengruppe des Namens, das Geburtsdatum und das Geschlecht abgeleitet werden. Aus datenschutzrechtlicher Sicht erwies sich dies als unbefriedigend. Im Laufe der Zeit war es ausserdem zu Eng- pässen bei der Vergabe der AHVN gekommen, was zu erheblichen informationstechnischen Problemen führte. Die Verwal- tung der AHVN war zudem fehleranfällig, weil die Nummer bei Personenstandsänderungen des Versicherten jeweils Ände- rungen erfuhr. Im Rahmen der Vernehmlassung zum Registerharmonisierungsgesetz1 im Jahre 2003 wurde deshalb die Einführung eines verwaltungs- und registerübergreifenden eidgenössischen Personenidentifikators (EPID) vorgeschlagen. Aufgrund der Bedenken seitens der Datenschutzkreise schlug der Bundesrat in einer weiteren Vernehmlassung im Sommer 2004 sechs sektorielle Personenidentifikatoren (SPIN) mit einem zentralen Identifikations- und Kommunikationsserver vor. Pro Verwaltungssektor, darunter die Sozialversicherungen, sollte ein einheitlicher Personenidentifikator verwendet werden. Die Vernehmlassungsergebnisse zeigten allerdings deutlich, dass sektorielle Personenidentifikatoren bei den Kantonen keine Mehrheit finden würden. Stattdessen wurde eine Lösung mit einer nichtsprechenden, 13-stellige AHVN eingeführt, die zugleich auch Regelungen über die Voraussetzungen einer systematischen Verwendung dieser Nummer zu administrativen Zwecken ausserhalb der AHV enthielt.2 Im Zuge der fortschreitenden Digitalisierung der Verwaltungstätigkeit ist seit der Einführung der neuen AHVN im Jahr 2008 eine starke Ausweitung der systematischen Verwendung derselben ausserhalb der AHV zu beobachten, dies sowohl auf der Ebene des Bundes als auch auf jener der Kantone. Gegenwärtig sind der Zentralen Ausgleichsstelle (ZAS) rund 12'700 Nut- zer gemeldet. Zudem wird die AHVN für die Rechnungsstellung in der obligatorischen Krankenpflegeversicherung verwen- det. Zahlreiche Akteure vertreten die Auffassung, die Anforderungen an die Befugnis zur systematischen Verwendung der

AHVN seien zu lockern. So hat die Konferenz der kantonalen Finanzdirektorinnen und Finanzdirektoren im Januar 2014 angeregt, die AHVN sei als allgemeiner Personenidentifikator zur Verfügung zu stellen, damit E-Government-Projekte vorangetrieben werden könnten. Die Verwendung eines eindeutigen Personenidentifikators ermögliche eine effiziente Ver- waltungsführung und erhöhe zugleich die Qualität der Datenbanken, indem die bisherigen Verwechslungsgefahren vollstän- dig wegfielen. Auch bei der Ausarbeitung des Bundesgesetzes über den internationalen automatischen Informationsaustausch in Steuersachen (AIAG) vom 18. Dezember 20153 wurde auf Anregung der Kantone beschlossen, zur Vermeidung zusätzli- cher administrativer Belastungen keine neue Steueridentifikationsnummer zu schaffen, sondern vielmehr die AHVN als Steueridentifikationsnummer heranzuziehen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) und ein Teil der kantonalen Datenschutzbeauftragten stehen dieser Entwicklung kritisch gegenüber, weil sie Gefahren für den Datenschutz befürchten. Vor diesem Hintergrund hat der Bundesrat das Eidgenössische Departement des Innern im Februar 2017 damit beauftragt, ihm eine Änderung der AHVG-Bestimmungen zu unterbreiten, um den Bundes-, Kantons- und Gemeindebehörden die sys- tematische Verwendung der AHVN bei der Erfüllung ihrer gesetzlichen Aufgaben zu erleichtern.

Zudem wurde im Rahmen der parlamentarischen Beratungen zur Modernisierung des Grundbuches4, nach einer im Septem- ber 2017 durchgeführten Risikoanalyse5, ein Postulat6 eingereicht, das den Bundesrat damit beauftragt, unter anderem aufzu- zeigen, wie den Risiken begegnet werden kann, die mit der Verwendung der AHVN als einziger Personenidentifikations- nummer verbunden sind. Vorliegend geht es darum, die gesetzlichen Grundlagen zu schaffen, die eine zukunftstaugliche Verwendung der AHVN ermöglichen und zugleich den Datenschutz gewährleisten.

1.1.2 Verfassungsrechtliche Vorgaben

Die Bundesverfassung (BV)7 gewährleistet einzelne Gehalte der persönlichen Freiheit in verschiedenen Verfassungsbestim- mungen. Artikel 13 BV schützt in besonderer Weise die (verschiedene Aspekte umfassende) Privatsphäre mit ihren spezifi- schen Bedrohungsformen. Der verfassungsrechtliche Datenschutz ist somit Teil des Rechts auf eine Privat- und persönliche Geheimsphäre. Dieser beruht unter anderem auf einer Reihe von Bearbeitungsgrundsätzen. Dazu gehören insbesondere die

1 SR 431.02 2 AS 2007 5259 3 SR 653.1

4 14.034 ZGB. Beurkundung des Personenstands und Grundbuch

5 «Risikoanalyse zur unterschiedlichen Verwendung der schweizerischen AHV-Nummer», Prof. Dr. David Basin, Professor für Informati- onssicherheit an der ETH Zürich, 27. September 2017, vgl. www.derbeauftragte.ch, Datenschutz – Statistik, Register, Forschung – AHV- Nummer 6 Postulat 17.3968 Kommission für Rechtsfragen NR «Sicherheitskonzept für Personenidentifikatoren». 7 SR 101

Prinzipien der Zweckbestimmung, der Rechtmässigkeit der Bearbeitung, der Verhältnismässigkeit, der Datenrichtigkeit und das Prinzip von Treu und Glauben. Darüber hinaus schützt Artikel 13 Absatz 2 BV den Einzelnen vor Beeinträchtigungen, die durch die staatliche Bearbeitung seiner persönlichen Daten entstehen. Dies gilt auch für die Verwendung von Personenidentifikatoren. Diese Bestimmung hat in der Doktrin für Meinungsverschiedenheiten gesorgt. Umstritten ist namentlich, ob damit ein subjektives Recht des Einzel- nen auf informationelle Selbstbestimmung geschaffen wird, oder ob sich der Gehalt der Bestimmung aus einer wörtlichen Auslegung ergibt. Auch die diesbezügliche Rechtsprechung des Bundesgerichts ist uneinheitlich. Es folgt mitunter der Aus- legung nach dem Wortlaut (z.B. mit Entscheid vom 8. Januar 2016, IC_323/2015), zuweilen entnimmt es der Formulierung das Bestehen eines individuellen Freiheitsrechts auf informationelle Selbstbestimmung (z.B. BGE 140 I 381). Zur erwähnten Kontroverse hat sich das Bundesgericht bislang nicht geäussert. Nach der neueren schweizerischen Lehre ist Artikel 13 Absatz 2 BV als Anweisung an den Gesetzgeber zu verstehen. Dieser hat den Auftrag, alle erforderlichen Massnahmen zu treffen, um die Bürgerinnen und Bürger vor missbräuchlicher Verwendung ihrer persönlichen Daten zu schützen. Insbeson- dere soll er sicherstellen, dass die Behörden mit Personendaten sorgsam umgehen.

1.1.3 Datenschutz

Infolge der Digitalisierung und der vermehrten systematischen Verwendung der AHVN stellt sich die Frage nach allfälligen Risiken für den Datenschutz. Die AHVN ist eine nicht sprechende, zufällig generierte Zahlenfolge. Die ersten drei Ziffern beinhalten gemäss internationa- len Standards den Ländercode für den ausstellenden Staat. Darüber hinaus enthält die AHVN keine Informationen über den jeweiligen Inhaber, sie erlaubt also keine Rückschlüsse auf dessen persönliche Eigenschaften. Die AHVN dient ausschliess- lich dazu, innerhalb einer Datensammlung einen Satz von Personendaten der richtigen Einzelperson zuordnen zu können. Dieses Identitätsmerkmal wird neben den üblichen Personenattributen (Name, Vorname, Geburtsdatum usw.) nur zu admi- nistrativen Zwecken verwendet. Keinesfalls handelt es sich um einen Benutzercode, der Zugang zu allen personenbezogenen Daten verleiht, oder um ein Passwort, mit dem man sich unerlaubten Zugriff zu den Informatiksystemen verschaffen kann. Die Authentifizierung für die Informatiksysteme erfolgt nicht über die AHVN; die AHVN ist nicht Teil des Authentifizie- rungsprozesses. Folglich besteht durch die systematische Verwendung der AHVN kein höheres Risiko für die Datenbanken. Die Datenbanken von Bund, Kantonen und Gemeinden sind dezentral organisiert und können mit der AHVN nicht unterei- nander verknüpft werden. Der Zugriff auf die allgemeinen Büroanwendungen der öffentlichen Verwaltungen erfolgt in der Regel über eine Zwei-Faktor-Authentisierung (z. B. «Smartcard» des Bundes). Zudem werden für die Nutzung von Fachan- wendungen, die insbesondere Zugang zu Personendaten gewähren, spezifische Identifizierungsdaten benötigt (Benutzercode und Passwort). Mit der systematischen Verwendung der AHVN entsteht somit kein zusätzliches Risiko von Datendiebstahl oder Identitäts- diebstahl durch Missbrauch des Identifikators. Ob Datendiebstähle möglich sind, ist vielmehr eine Frage der Informationssi- cherheit. Insbesondere bei der Sicherheit von Informatiksystemen braucht es ständige, minutiöse Kontrollen, vor allem wenn sensible Personendaten darin gespeichert sind. Um Zwischenfälle zu verhindern, müssen die Prozesse und Sicherheitsverfah- ren permanent auf dem neusten Stand gehalten werden. Die Tatsache, dass die AHVN allenfalls Teil dieser Daten ist, hat

keinen Einfluss auf diese Risikofaktoren. Ausserdem ist die AHVN kein amtliches Identitätsdokument, das heisst sie kann nicht als formeller Identitätsnachweis eingesetzt werden. Die AHVN befreit den systematischen Nutzer dieses Identifikators daher nicht von der gesetzlichen Pflicht, die Identität einer Person festzustellen, gegebenenfalls durch Vorlage eines amtli- chen Ausweises. Auch ist es nicht möglich, einzig durch Vorweisen der AHVN Zugang zu Sozialversicherungsleistungen zu erhalten. Ein finanzieller oder immaterieller Nutzen aus dem Diebstahl der AHVN ist somit nicht gegeben. Durch die in verschiedenen Systemen enthaltenen Daten könnten mehrere Merkmale derselben Person verknüpft werden (grundlegende Merkmale, gesundheits-, steuer- und rechtsrelevante Informationen). So liesse sich je nach verfügbaren Daten ein mehr oder weniger detailliertes Persönlichkeitsprofil erstellen. Allerdings setzt eine solche Verknüpfung und Kombinati- on von Daten aus verschiedenen Quellen den Zugang zu mindestens zwei Datenbanken voraus, die von unterschiedlichen Behörden stammen. In den bestehenden offiziellen Systemen finden sich solche multithematischen Zugriffe aber nur selten und wenn doch, dann sind sie streng reglementiert. Denn zur Wahrung der Verhältnismässigkeit hat jeder Dienst nur Zugriff auf die Daten, für die er aufgrund einer klaren gesetzlichen Grundlage zuständig ist. Ein Potenzial zur Verknüpfung von verschiedenen personenbezogener Datenbanken besteht auch ohne Identifikator wie der AHVN. Alle behördlichen Personen- register enthalten notwendigerweise Identitätsattribute wie Namen, Vornamen, Geburtsdatum oder Geschlecht. Mit diesen Attributen lassen sich Daten aus anderen Registern leicht verknüpfen. Durch die rasche Entwicklung der Informatik können Datenverknüpfungen anhand dieser unterschiedlichen Merkmale schon heute mit einem Zuverlässigkeitsfaktor von 99.98 % vorgenommen werden. Gelingt es Hackern in zwei oder mehrere behördliche Datenbanken einzudringen, können sie die darin enthaltenen Personendaten auch ohne AHVN verknüpfen. Die Zahl der gesetzlich zulässigen Datenverknüpfungen wird durch die vorgeschlagene Neuregelung der systematischen Verwendung der AHVN nicht ausgeweitet. Sie sind nach wie vor nur mit einer formell-gesetzlichen Grundlage zulässig, wie sie beispielsweise im Bundesstatistikgesetz oder im Volkszäh-

lungsgesetz enthalten sind. Die systematische Verwendung der AHVN gefährdet somit weder den Datenschutz noch führt sie zum «Gläsernen Bürger».

1.2 Die beantragte Neuregelung

1.2.1 Generelle Berechtigung der Behörden

Die systematische Verwendung der AHVN ausserhalb der AHV ist aktuell wie folgt geregelt: Besteht für den Vollzug von Bundesrecht ein Bedarf nach systematischer Verwendung der AHVN, gibt es die Möglichkeit, eine hinreichende gesetzliche Grundlage ins jeweilige Bundesgesetz aufzunehmen. Die betreffende Gesetzesbestimmung hat die ermächtigten Nutzer und

den Verwendungszweck zu bestimmen (Art. 50d Abs. 1 und Art. 50e Abs. 1 des Bundesgesetzes vom 20. Dezember 19468 über die Alters- und Hinterlassenenversicherung [AHVG]). Indem der Gesetzgeber im jeweiligen Spezialgesetz die Berechti- gung erteilt, ist die betreffende systematische Verwendung demokratisch abgestützt. Dieselben Voraussetzungen gelten grundsätzlich auch für eine Verwendung zum Vollzug von kantonalem Recht (Art. 50d Abs. 1 und Art. 50e Abs. 3 AHVG), mit Ausnahme der vier Bereiche Prämienverbilligung, Sozialhilfe, Steuern und Bildungsinstitutionen. Hier ist die Berechti- gung zur Verwendung durch kantonale Stellen bereits im AHV-Recht enthalten (Art. 50e Abs. 2 AHVG), es bedarf also keiner zusätzlichen Grundlage in einem kantonalrechtlichen Spezialgesetz. Rein private systematische Nutzungen sind grundsätzlich nicht zulässig. Allerdings wird die AHVN im Rahmen des Automatischen Informationsaustauschs in Steuersa- chen systematisch als Steueridentifikationsnummer im grenzüberschreitenden Datenaustausch verwendet. Sie wird ab Herbst

2018 an Finanzinstitute in über 50 Staaten und Territorien übermittelt.

Die Stellen, die nicht den Sozialversicherungen des Bundes angehören und die AHVN systematisch zu verwenden beabsich- tigen, haben dies vorgängig der ZAS zu melden. Sind sie zur systematischen Verwendung ermächtigt, erhalten sie anschlies- send Zugriff auf die von der ZAS betriebene Personendatenbank Unique Personal Identification Database (UPI). In dieser Personendatenbank ist jede Person, die eine AHVN erhalten hat, auf eindeutige Art und Weise aufgeführt. Dank dem regel- mässigen Abgleich der Daten der ZAS mit Personenregistern des Bundes (u.a. im Eidgenössischen Zivilstandsregister In- fostar und im Ausländer - und Asylbewerberregister ZEMIS) kann die ZAS die Aktualität, Vollständigkeit und Eindeutigkeit der geführten Daten sicherstellen. Im Interesse des Datenschutzes und der Datenqualität müssen die Zugriffsberechtigten technische und organisatorische Massnahmen treffen, die auf Verordnungsebene geregelt sind.9 Das aktuelle System überlässt den Entscheid über die Befugnis zur systematischen Verwendung der AHVN ausserhalb der AHV dem Gesetzgeber. Dieser trifft seine Entscheidung anhand einer allgemeinen Beurteilung der Informationssicherheit in der Materie, die er im jeweiligen Spezialgesetz regelt. Nach der vorgeschlagenen Lösung sollen die Behörden des Bundes, der Kantone und – nach Massgabe des kantonalen Rechts – der Gemeinden für die Erfüllung ihrer gesetzlichen Aufgaben die AHVN systematisch ohne spezialgesetzliche Grundlage verwenden dürfen. Die Berechtigung zur systematischen Verwendung soll sich bereits aus der betreffenden Be- stimmung des AHVG ergeben, es soll mithin eine generelle Erlaubnisnorm für Behörden geschaffen werden. Damit braucht es in Zukunft keine spezialgesetzliche Erlaubnisnorm für jeden einzelnen Verwendungszweck und jeden einzelnen Verwen- der. Der Gesetzgeber behält jedoch auch die Möglichkeit, bereichsspezifische Personenidentifikatoren zu schaffen und für den betreffenden Bereich den systematischen Gebrauch der AHVN zu untersagen. Einrichtungen ohne Behördencharakter, die mit der Erfüllung einer Verwaltungsaufgabe betraut sind, sollen wie bisher nur aufgrund einer spezialgesetzlichen Grundlage zur systematischen Verwendung der AHVN ermächtigt sein. Die Berechtigung zur systematischen Verwendung durch Bildungsinstitutionen ist – wie im geltenden Recht – bereits auf der Stufe des AHV-

Rechts verankert, wobei die neue Regelung sämtliche Bildungsinstitutionen erfasst. Diese haben nämlich sozialversiche- rungsrechtliche Pflichten oder Aufgaben der Bundesstatistik zu erfüllen. Die nach dem aktuellen Recht bereits bestehenden gesetzlichen Berechtigungen zur systematischen Verwendung der AHVN werden angepasst. Unverändert sollen systemati- sche Verwendungen rein privater Art ausgeschlossen sein.

1.2.2 Begleitmassnahmen

Heute arbeiten Behörden mit einer Vielzahl von Datenbanken und -quellen, aus denen sie ihre Informationen beziehen. Die AHVN ist eine zusätzliche Angabe, die bereits heute darin enthalten ist bzw., gemäss der vorgeschlagenen Lösung, sein wird. Die Behörden haben ein klares Interesse am Schutz ihrer Daten und sind gehalten, sämtliche Informationssicherheitsmass- nahmen zu treffen. Dazu gehört auch die Informatiksicherheit. Dies gilt für jede Behörde, welche die AHVN systematisch verwendet. Um fehlerhaften Gebrauch vermeiden und allfälligem Missbrauch begegnen zu können, bedarf es daher effektiver Leitplan- ken und technisch-organisatorischer Vorgaben. Das Hauptaugenmerk ist darauf zu richten, dass die Datenbanken vor nicht berechtigter Einsichtnahme und Manipulation gesichert sind. Die vom Bund betriebenen Datenbanken und Fachapplikationen weisen insgesamt ein vergleichsweise hohes Sicherheitsniveau auf. Dasselbe gilt für zahlreiche IT-Systeme von Kantonen und Gemeinden. Dennoch gibt es ausserhalb der Bundesverwaltung etliche Systeme, die den aktuellen Sicherheitsstandards nicht ganz genügen. Diese Situation muss mit Hilfe von organisatorischen, personellen, infrastrukturellen und technischen Sicherheitsmaßnahmen behoben werden, damit ein hinreichendes Sicherheitsniveau durchgesetzt werden kann. Die Schaf- fung von IT-Sicherheit ist keine Einzelmassnahme, sondern immer ein Prozess, der die kontinuierliche Betrachtung und Anpassung verschiedener Faktoren erfordert. Konkret bedeutet dies zunächst, dass die Verantwortlichkeiten bezüglich der IT-Sicherheit geregelt sein müssen. Für die Abgrenzung der Aufgabengebiete, aber auch zur Vermeidung von Zuständigkeitslücken müssen die Verantwortlichkeiten für alle wesentlichen Aufgaben, insbesondere im Informationssicherheitsprozess, nachvollziehbar geregelt sein. Mitarbeitende, die mit Informatikmitteln zu tun haben, sollten im Umgang mit der IT-Infrastruktur hinsichtlich der IT-Sicherheit geschult sein. Sicherheitsrichtlinien und -anweisungen müssen in schriftlicher Form dokumentiert werden. Die Risiken im Bereich Informationssicherheit sind regelmässig zu prüfen und es ist ein Informationssicherheits- und Datenschutzkonzept (ISDS) zu erstellen. In infrastruktureller Hinsicht geht es in erster Linie darum, den Zugang zu Informatikmitteln und Datenspeichern

physisch zu sichern. Eine weitere physische Sicherheitsmassnahme besteht darin, sicherzustellen, dass Informatikmittel und Datenspeicher vor der Reparatur, Entsorgung oder Vernichtung weder AHV-Nummern noch andere Personendaten mehr enthalten und dass solche nicht rekonstruiert werden können. Des Weiteren müssen die technischen Zugriffsrisiken minimiert werden. Letzteres beinhaltet geeignete Authentisierungsver- fahren sowie Informatiksicherheitsmassnahmen (Antiviren-Software, Firewall-Systeme). Die Software muss dem Stand der

8 SR 831.10 9 Verordnung des EDI über die Mindeststandards der technischen und organisatorischen Massnahmen bei der systematischen Verwendung der AHVN ausserhalb der AHV; SR 831.101.4.

Technik entsprechen und regelmässig anhand von Sicherheitsupdates und Fehlerbehebungs-Patches aktualisiert werden. Bei mobilen Netzen sind die Daten mit kryptografischen Verfahren nach dem Stand der Technik zu verschlüsseln. Elementar für das Erkennen von Störungen oder Vorfällen ist schliesslich das Auswerten von Log-Daten der Rechner. So können Abwei- chungen im laufenden Betrieb der IT-Systeme identifiziert werden, die auf fehlenden bzw. fehlerhaften Programmen basieren oder durch Sicherheitslücken zustande kommen. Des Weiteren ist es notwendig, die Behandlung von Sicherheitsvorfällen im Vorfeld zu konzipieren und einzuüben. Als Sicherheitsvorfall wird dabei ein unerwünschtes Ereignis bezeichnet, das Aus- wirkungen auf die Informationssicherheit hat und in der Folge große Schäden nach sich ziehen kann. Typische Folgen von Sicherheitsvorfällen können das Ausspähen, die Manipulation oder die Zerstörung von Daten sein. Um Schäden zu vermei- den oder zu begrenzen, müssen Sicherheitsvorfälle schnell und effizient bearbeitet werden. Wenn hierbei auf ein vorgegebe- nes und erprobtes Verfahren aufgesetzt werden kann, können Reaktionszeiten minimiert werden. Ausserdem haben Bund und Kantone Risikoanalysen durchzuführen, deren Zweck darin besteht, die Risiken von unerlaubten Zusammenführungen von Datenbanken zu erkennen. Sie stützen sich dabei auf Verzeichnisse von Datenbanken, welche die AHVN enthalten. Wer die AHVN systematisch verwendet, ohne dazu berechtigt zu sein, wird wie bisher mit Geldstrafe bestraft. Die Strafnorm betreffend die Durchführung der technischen und organisatorischen Massnahmen wird verschärft. Bisher machte sich nur strafbar, wer vollständig auf die Durchführung derselben verzichtete. Wer die genannten Massnahmen hingegen durchführte, dabei aber mangelhaft vorging, war nicht strafbar. Diese Lücke soll behoben werden. Künftig soll auch das nachlässige oder unvollständige Vornehmen von technischen und organisatorischen Massnahmen von der Strafbestimmung erfasst und als Übertretung mit Busse strafbar sein. Damit soll den Leitplanken zugunsten des Datenschutzes und der Informationssicherheit Nachdruck verliehen werden.

1.3 Begründung und Bewertung der vorgeschlagenen Lösung

1.3.1 Bedürfnisgerechte Anpassung der rechtlichen Grundlagen

Die vorgeschlagene Lösung erweist sich hinsichtlich der Sachdienlichkeit, der Durchführbarkeit und der Verhältnismässig- keit als ausgewogen. Eine AHVN ist eine einmalige, lebenslang unveränderliche Zahlenfolge, die jeder natürlichen Person kurz nach der Geburt auf Schweizer Territorium bzw. bei Erteilung einer Aufenthaltsbewilligung zugeteilt wird. Sie führt zu einer eindeutigen Personenidentifikation und damit zu einer besseren Qualität des Datenbestands. Diese verhindern kostenintensive Verwal- tungsfehler. Im Rahmen der Datenbearbeitung fördert die systematische Verwendung der AHVN namentlich eine automati- sche, rasche und genaue Aktualisierung der Personenattribute bei Personenstandsänderungen. Die wachsende Bevölkerung und das steigende Aufgabengebiet der öffentlichen Verwaltungen führen zu einer wachsenden Datenmenge und zu einer Zunahme an Mutationen. Hinzu kommt eine stets wachsende Zahl von komplexen Namen (beispielsweise Doppelnamen, Namen mit Sonderzeichen oder in nicht lateinischer Schrift). Bei manueller Bearbeitung der Daten können diese Faktoren zeitintensiv sein und die Datenqualität gefährden. Der Einsatz eines Personenidentifikators in Form einer Zahlenfolge hilft wesentlich, diese Probleme zu beseitigen. Ferner erlaubt die systematische Verwendung der AHVN einen unkomplizierten, automatisierten Datenfluss zwischen den Behörden. Die vom Gesetzgeber vorgesehenen und damit rechtmässigen Datenverknüpfungen, beispielsweise zu statistischen Zwecken,10 führen ebenfalls zu genaueren Ergebnisse wenn sie anhand eines eindeutigen Personenidentifikators durchgeführt werden können. Diese Vereinfachungen der internen Prozesse und der Querprozesse zwischen Behörden steigert die Kosten- effizienz in der Verwaltung. Sie fördert dadurch einen wirksamen und wirtschaftlichen Einsatz der öffentlichen Mittel, wie dies Art. 43a Abs. 5 BV sowie Art. 12 Abs. 4 zweiter Satz des Finanzhaushaltgesetzes vom 7. Oktober 200511 fordern. Die öffentlichen Mittel werden auch insofern geschont, als der gesetzgeberische Aufwand für die Anpassung von Spezialgesetzen wegfällt. Für die einzelnen Bürger – insbesondere für jene mit stark verbreiteten Namen – bringt die systematische Verwendung der AHVN ebenfalls einen Mehrwert: Jede Person, deren Personendaten gesammelt werden, hat Anspruch darauf, dass die darauf

gestützten Verwaltungsabläufe erfolgen, ohne dass es zu Verwechslungen mit anderen registrierten Personen kommt. Für die Betroffenen können Verwechslungen erhebliche Unannehmlichkeiten zur Folge haben. Die Verwechslungen ergeben sich in der Regel aus Unvollständigkeiten bei der Registerführung, aus Rechtschreibefehlern oder aus dem Umstand, dass ein Name oder eine Kombination von Namen stark verbreitet ist. So lauten insgesamt rund 950 aller rund 2’330'700 im offiziellen Telefonbuch der Schweiz eingetragenen privaten Telefonanschlüsse auf Peter Müller. Werden die Personen zusätzlich auch anhand eines eindeutigen Personenidentifikators in einer Datenbank registriert, ist die Verwechslungsgefahr beseitigt. Die insofern erhöhte Qualität des Datenbestands in den Benutzerregistern dient der Datenrichtigkeit und damit einem wichtigen Aspekt des Persönlichkeitsschutzes im Umgang mit Personendaten (vgl. Ziff. 1.1.2). Die Vorlage ist auch unter dem Aspekt von Artikel 13 Absatz 2 BV verfassungskonform. Die vorgeschlagenen Änderungen des AHVG regeln hinlänglich, unter welchen Voraussetzungen die systematische Verwendung der AHVN erlaubt sein soll. Das Erfordernis der hinreichenden gesetzlichen Grundlage ist daher erfüllt. Der Grundsatz der Zweckbindung ist ebenfalls eingehalten, indem die Nutzer die AHVN ausschliesslich zur Erfüllung ihrer gesetzlichen Aufgaben systematisch verwenden dürfen. Zudem enthält der Vorentwurf Leitplanken zu den einzuhaltenden sichernden Massnahmen sowie Regelungen zu den Konsequenzen von Verletzungen dieser Vorgaben (vgl. Ziff. 1.2.2). Die Pflicht zur Einhaltung dieser Massnahmen soll die verwendenden Behörden dazu anhalten, ihre Informationssysteme auf dem neusten Stand zu halten. Somit dient der Vorent- wurf auch der generellen Steigerung der Informationssicherheit in der öffentlichen Verwaltung.

10 Diese erfolgen gestützt auf Art. 14a des Bundesstatistikgesetzes vom 9. Oktober 1992 (SR 431.01). 11 SR 611.0

1.3.2 Verworfene Alternativlösungen

1.3.2.1 Neukonzeption der Datenbankarchitektur

Das Bundesamt für Justiz und der EDÖB haben im Mai 2017 einen Auftrag zur Erstellung einer Risikofolgenabschätzung einer systematischen Verwendung der AHVN erteilt. Im resultierenden Gutachten12 erinnert der Experte daran, dass kein System absolut vor Angriffen geschützt werden könne. Gelinge es, in mehrere Datenbanken einzudringen, könnten die darin enthaltenen Personendaten anhand von so genannten Quasi-Identifikatoren (Namen, Vornamen und Geburtsdatum der re- gistrierten Personen) bereits mit einer Genauigkeit von 99,98 % verknüpft werden. Werde zusätzlich ein eindeutiger Perso- nenidentifikator wie die AHVN verwendet, liefere dies namentlich aus der Sicht des Angreifers somit keinen nennenswerten Präzisionszuwachs. Die vorgeschlagene systematische Verwendung der AHVN durch Behörden würde die Situation mit Bezug auf den Datenschutz nicht entscheidend verändern. Das Gutachten schildert ferner Möglichkeiten, wie den vielfältigen Verknüpfungsmöglichkeiten von Datenbanken mit personenbezogenen Daten (über Quasi-Identifikatoren oder die AHVN) grundsätzlich begegnet werden könnte. Allein die Einführung von sektorspezifischen Identifikatoren sei allerdings nicht sinnvoll. Sollen die Datenschutzbedenken grundsätzlich ausgeräumt werden, empfiehlt der Gutachter, die gesamte Datenbankland- schaft neu zu konzipieren. Personenbezogene Daten und Sachdaten müssten in getrennten Datenbanken gespeichert sein. Die personenbezogenen Daten müssten zudem redundanzfrei gehalten werden. Redundanz bei Informationen liegt vor, wenn Daten mit identischem Informationsgehalt mehrfach vorhanden sind. Attribute wie beispielsweise Name, Vorname oder AHVN einer Person dürften daher nur in einer einzigen Datenbank gespeichert werden. Die Verknüpfung der personenbezo- genen Daten mit den Sachdaten dürfte ausschliesslich anhand von speziellen und geheim zu haltenden Verknüpfungstabellen (sog. «Linkage Tables») möglich sein. Bei derartig neukonzipierten Datenbanken wäre zwar der Datenaustausch grundsätzlich nicht in Frage gestellt. Die Attribute könnten aber nicht mehr dezentral abgespeichert werden und die Datenzugriffe müssten immer über jene zentral gehaltene Datenbank erfolgen, die diese Attribute enthält. Dadurch würden der Netzverkehr und die Zugriffe auf diese Datenbanken

zunehmen, was wiederum die Fehleranfälligkeit ansteigen lässt. Die Datenbanken würden «Bottle Necks» und kritische Systeme darstellen, die permanent verfügbar gehalten werden müssten. Dies zu konzipieren und umzusetzen wäre zudem aufwändig und würde bei Bund, Kantonen und Gemeinden sehr hohe Kosten verursachen. Wie die Erfahrungen mit dem Jahr-2000-Problem gezeigt haben, können nämlich bereits kleine Änderungen in Datenformaten und in der Art und Weise, wie die Daten gespeichert und verarbeitet werden, auf der Kostenseite sehr hohe Auswirkungen haben. Zudem würde die Beseitigung von Redundanz auch zu Schwierigkeiten im operativen Betrieb der entsprechenden Datenbanken führen: Ohne Redundanz wäre es schwieriger, allfällige Fehler bei der Eingabe oder Verarbeitung von Daten durch die Benutzer zu erken- nen und zu korrigieren. Bei Datenverlust ist es ohne Redundanz nicht mehr möglich, auf redundante Kopien zuzugreifen. Sind Redundanzen beseitigt, ist man bei Datenverlusten noch stärker als üblich auf Backups angewiesen. Darüber hinaus wären ohne Redundanz Konsistenzprüfungen schwierig, weil kein Abgleich gegen andere (redundante) Datenbanken erfol- gen kann. Eine Vorgabe, wonach der Vorschlag des Gutachters flächendeckend umzusetzen sei, hätte deshalb zahlreiche Nachteile und hohe Kosten zur Folge. Zwar kann es in bestimmten Einzelfällen durchaus sinnvoll sein, bei geschlossenen Anwendungskreisen – wie z.B. im Gesundheitswesen – eine Datenbankarchitektur mit minimaler Datenhaltung vorzusehen, wenn neue Datenbanken erstellt werden. Dies ist allerdings nur sinnvoll, wenn eine solche Struktur für einen grossen An- wendungskreis integral neu eingeführt werden kann. In allen anderen Fällen werden nur einzelne Datenbanken neu geschaf- fen oder es werden in bestehenden Datenbanken neue Attribute ergänzt. Aus diesen Gründen - operative Schwierigkeiten, geringer Mehrwert einerseits, aber hohe Kosten anderseits - wird daher darauf verzichtet, von den systematischen Verwen- dern der AHVN zu verlangen, dass sie ihre Datenbankarchitektur von Grund auf überarbeiten. Wenngleich auf eine generelle gesetzliche Vorgabe verzichtet wird, bleibt es den jeweiligen systematischen Nutzern jedoch unbenommen, ihre Datenbank- architektur entsprechend dem Vorschlag des Gutachters anzupassen.

1.3.2.2 Bewilligungsverfahren

Die Einführung eines Bewilligungsverfahrens für systematische Verwender der AHVN wurde ebenfalls geprüft. Nach einem solchen System würde die Befugnis zur systematischen Verwendung der AHVN durch Verfügung einer Bewilligungsbehör- de erteilt. Diese hätte in jedem Einzelfall zu prüfen, ob der Gesuchsteller bezüglich der systematischen Verwendung der AHVN den Datenschutz und die Informationssicherheit gewährleisten kann. Die gesuchstellende Behörde hätte insbesondere zu belegen, dass sie in der Lage ist, die erforderlichen Massnahmen technischer und organisatorischer Art einzuhalten. Die Bewilligungsbehörde hätte zudem anhand von periodischen Stichprobenkontrollen bei den Inhabern der Bewilligung zu prüfen, ob diese die Bewilligungsvoraussetzungen weiterhin erfüllen und ob sie die Sorgfalts- und Mitwirkungspflichten einhalten. Ein solches System liesse sich indessen nur mit einem Ausbau des Verwaltungsaufwands und insbesondere mit hohen Kosten einrichten, dem kein angemessener zusätzlicher Nutzen gegenüberstünde, zumal die IT-Systeme naturgemäss stetem Wandel unterstehen und die Erteilung der Bewilligung jeweils nur aufgrund einer Momentaufnahme zum Bewilli- gungszeitpunkt erfolgen könnte. Mit Blick darauf, dass den Behörden von Bund, Kantonen und Gemeinden zudem eine hohe Gesetzestreue attestiert wird, ist auf aufwändige Kontroll- und Überwachungsmechanismen zu verzichten und stattdessen auf den Grundsatz der Selbstkontrolle zu setzen.

12 «Risikoanalyse zur unterschiedlichen Verwendung der schweizerischen AHV-Nummer», Prof. Dr. David Basin, Professor für Informati- onssicherheit an der ETH Zürich, 27. September 2017.

1.3.2.3 Sektorielle Nummern

Bei einem System mit koordinierten sektoriellen Personenidentifikatoren werden jeder zu verzeichnenden natürlichen Person mehrere Identifikatoren zugewiesen. Diese werden jeweils ausschliesslich für die Verwaltungstätigkeit in den betreffenden Verwaltungssektoren, z.B. in einem Steuersektor oder in einem Sozialversicherungssektor, verwendet. Damit dennoch eine effiziente elektronische Kommunikation zwischen zwei Verwaltungsstellen in verschiedenen Sektoren stattfinden kann, wird ein zentraler Identifikations- und Kommunikationsserver benötigt. Solche Verwaltungssektoren existieren in der heutigen Verwaltungsstruktur nicht, müssten also zuerst geschaffen werden. Anlässlich der Vernehmlassung zum Entwurf zum SPING im Jahr 2004 äusserten sich die meisten Kantone und Organisationen im Bereich des E-Government und der E- Administration denn auch dahingehend, die Sektorialisierung sei zu komplex und kostspielig, zudem fehleranfällig und bilde daher eine in der Praxis kaum praktikable Lösung. Aus heutiger Sicht wäre eine generelle Pflicht zur Einführung von sektori- ellen Identifikatoren oder von anderen, alternativen Personenidentifikatoren für zahlreiche Behörden von Bund, Kantonen und Gemeinden ein Rückschritt, zumal sie im Vertrauen auf die Beibehaltung der aktuellen Regelung (mit der AHVN als einem eindeutigen Personenidentifikator für Behörden) bereits Dispositionen getroffen und Investitionen getätigt haben. Unter diesen Umständen ist die Einführung eines umfassenden Systems mit sektoriellen Personenidentifikatoren nicht wün- schenswert. Falls in einen bestimmten Bereich die Verwendung eines besonderen Personenidentifikators gewünscht wird, bleibt dies jedoch mit dem vorliegenden Entwurf möglich.

1.4 Stellungnahmen im Vernehmlassungsverfahren und ihre Bewertung

Der Bundesrat hat das EDI am XX. Oktober 2018 damit beauftragt, eine Vernehmlassung zum Vorentwurf der AHVG- Änderung durchzuführen. In einem Brief gleichen Datums lud das EDI die Kantone, die in der Bundesversammlung vertrete- nen politischen Parteien, die Dachorganisationen der Wirtschaft sowie weitere Verbände und Organisationen ein, sich bis am XX.XX.2019 zum Gesetzentwurf zu äussern. Insgesamt wurde die Vorlage von den Vernehmlassungsteilnehmenden … Einzelheiten können den zusammengefassten Vernehmlassungsergebnissen entnommen werden13.

1.5 Stellungnahme der Eidgenössischen AHV/IV-Kommission

Am 29. Juni 2017 wurde AHV/IV-Kommission ein erster Vorentwurf der vorgestellt. Die Kommission ist grundsätzlich mit einer generellen Erweiterung der systematischen Verwendung der AHVN durch Behörden von Bund, Kantonen und Ge- meinden für die Erfüllung ihrer gesetzlichen Aufgaben einverstanden. Sie legt allerdings Wert auf die Feststellung, dass die neue Regelung möglichst transparent ausgestaltet sein sollte.

1.6 Abstimmung von Aufgaben und Finanzen

Für die Finanzierung der erweiterten Verwendung der AHVN ausserhalb der AHV können Gebühren erhoben werden, um die bescheidenen Kosten zu decken. Eine detaillierte Beschreibung möglicher Auswirkungen des Entwurfs wird unter Ziffer

3 gegeben.

1.7 Rechtsvergleich, insbesondere mit dem europäischen Recht

Das europäische Sozialrecht sieht keine Bestimmungen vor, die die Vorlage betreffen.

2 Erläuterungen zu einzelnen Artikeln

Mit der Zuweisung einer AHVN erfolgt eine Eintragung in das zentrale Register. Es kann nicht systematisch daraus abgelei- tet werden, dass die Person in der AHV versichert ist. Deshalb wird der Begriff «Versichertennummer» durch «AHV- Nummer» ersetzt. Im Übrigen ist darauf hinzuweisen, dass im Rahmen der Totalrevision14 des Datenschutzgesetzes vom 19. Juni 199215 (DSG) der Begriff «Persönlichkeitsprofil» aufgehoben werden soll. Am Ende der parlamentarischen Beratungen wird darauf zu achten sein, dass die beiden Geschäfte koordiniert werden und allenfalls der Einleitungssatz in diesem Sinne geändert wird. Betrifft nur den deutschen Text. In der deutschen Fassung wird der Begriff «Versichertennummer» durch «AHV-Nummer» ersetzt. Diese Bestimmungen werden aufgehoben, weil die Regelung der systematischen Verwendung der AHV-Nummer ausserhalb der AHV in einen neu zu schaffenden 4. Teil des AHVG überführt wird.

13 www.admin.ch > Bundesrecht > Vernehmlassungen > Abgeschlossene Vernehmlassungen > 2019 > EDI. 14 Botschaft vom 15. September 2017 zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz, BBl 2017 6941. 15 SR 235.1

Art. 87 achtes Lemma und Art. 88 viertes Lemma Diese Bestimmungen werden aufgehoben, weil die Strafbestimmungen im 4. Teil des AHVG enthalten sein werden. Art. 89 Die solidarische Haftung der Unternehmen widerspricht dem strafrechtlichen Grundsatz, wonach die Busse höchstpersönlich ist und nicht übertragen werden kann. Sie stellt somit eine versteckte Form der strafrechtlichen Verantwortlichkeit des Unter- nehmens dar. Artikel 79 des Bundesgesetzes vom 6. Oktober 200016 über den Allgemeinen Teil des Sozialversicherungs- rechts (ATSG), der für den ersten Teil des AHVG gilt (Art. 1 Abs. 1 AHVG), verweist namentlich auf Artikel 6 des Bundes- gesetzes vom 22. März 197417 über das Verwaltungsstrafrecht, der auf die Widerhandlungen in Geschäftsbetrieben anwendbar ist. Artikel 89 kann daher bei dieser Gelegenheit aufgehoben werden. Gliederungstitel nach Artikel 153a Vierter Teil: Systematische Verwendung der AHVN ausserhalb der AHV Die geltenden Regelungen der vorliegenden Materie sind im ersten Teil (Die Versicherung), vierter Abschnitt (Die Organisa- tion) platziert. Aus gesetzessystematischer Sicht ist dies ungünstig, geht es doch gerade nicht um die AHV und deren Organi- sation, sondern um die Verwendung der AHVN in Bereichen ausserhalb der AHV. Im Interesse der Transparenz der Recht- setzung und der Auffindbarkeit von rechtlichen Regelungen soll die systematische Verwendung der AHVN als Personenidentifikator ausserhalb der AHV in einem eigenen Teil des AHVG geregelt werden. Direkt vor den Schlussbe- stimmungen wird daher ein neuer, vierter Teil eingefügt (Art. 153b ff.), der Bestimmungen über die systematische Verwen- dung der AHVN als Personenidentifikator ausserhalb der AHV enthält. Art. 153b Begriff Die Bestimmung enthält die Legaldefinition der systematischen Verwendung, die bisher in Artikel 134bis der Verordnung vom 31. Oktober 1947 über die Alters- und Hinterlassenenversicherung (AHVV)18 enthalten war. Angesichts deren Bedeu- tung rechtfertigt es sich, sie neu ins Gesetz aufzunehmen. Inhaltlich bleibt die Regelung unverändert. In der Regel gilt die Verwendung als «systematisch», wenn Personendaten mit der Nummer verbunden werden und die Verwendung eine klar definierte Gruppe natürlicher Personen betrifft. Entscheidendes Kriterium soll sein, ob der essentielle, kennzeichnende Teil

der AHVN Eingang in eine Datensammlung findet. Dadurch kann vermieden werden, dass durch systematische Modifizie- rungen der vollständigen Nummern nach eigenem System (z.B. durch Weglassung des Ländercodes 756 in den ersten drei Stellen der 13-stelligen Nummer, durch Ergänzungen der Nummer mit einem Buchstaben bzw. einer weiteren Ziffer oder durch eine Verschlüsselung) die vom Gesetzgeber gewollte Kontrolle des Gebrauchs unterlaufen wird. Art. 153c Berechtigte Abs. 1: Dieser Absatz regelt, wer als Berechtigte in Frage kommt. Bst. a Ziff. 1 und 2: Diese Ziffern beziehen sich auf die Bundesebene. Die Formulierung orientiert sich an der Struktur von Artikel 2 Absätze 1–3 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 199719. Dieses unterscheidet zwischen Einheiten der zentralisierten und solchen der dezentralisierten Bundesverwaltung. Ziff. 3: Auf Kantons- und Gemeindeebene ist der Behördenbegriff des jeweiligen kantonalen Rechts massgebend. Ziff. 4: Sie erfasst jene Personen und Organisationen des öffentlichen oder privaten Rechts, die eine Verwaltungsaufgabe erfüllen, die aber weder der zentralen noch der dezentralen Verwaltung angehören. Sollen sie die Verwaltungsaufgabe, mit der sie betraut sind, unter systematischer Verwendung der AHVN erfüllen können, benötigen sie eine dahingehende Berech- tigung im jeweiligen Spezialgesetz. Als konkretes Beispiel dienen die anerkannten Anbieter der obligatorischen Kranken- pflege- und der obligatorischen Unfallversicherung. Sie gehören weder auf der Ebene des Bundes noch auf jener der Kantone zur Verwaltung, sind aber gesetzlich mit der Durchführung der genannten Sozialversicherungen betraut. Dafür sollen sie auch künftig zur systematischen Verwendung der AHVN berechtigt sein, wobei die diesbezüglichen spezialgesetzlichen Grundlagen bereits bestehen. Dasselbe gilt analog für die Durchführung der beruflichen Vorsorge. Die Vorsorgeeinrichtun- gen dürfen die AHVN ebenfalls – wie bisher – systematisch verwenden. Die bereits bestehenden diesbezüglichen Bestim- mungen bleiben unverändert. Ziff. 5: Bisher waren die kantonalen Bildungsanstalten gestützt auf Artikel 50e Absatz 2 Buchstabe d AHVG zur systemati- schen Verwendung der AHVN befugt. Diese Möglichkeit müssen sie auch künftig haben, denn einerseits fungieren sie als

Hilfsorgane der AHV. Studierende der Hochschulen und auch Schülerinnen und Schüler der Sekundarstufe II (duale Berufs- bildung oder berufliche Vollzeitausbildung) und der nichthochschulischen Tertiärstufe (höhere Berufsbildung) sind AHV- beitragspflichtig. In ihrer Rolle als Hilfsorgane der AHV nehmen die betreffenden Bildungsinstitutionen die notwendigen Meldungen für die Studierenden an die Ausgleichskassen vor und übernehmen gegebenenfalls das Inkasso für die Beiträge (Art. 29bis und Art. 29ter AHVV). Für die korrekte Verbuchung der Beitragszahlung zugunsten der Betroffenen muss bei der Datenübermittlung die AHVN verwendet werden. Ausserdem verwenden Schulen mit besonderem Lehrplan (Sonderschulen) die AHVN im Rahmen der Invalidenversicherung. Schliesslich gibt es Kantone, in welchen die Unfallversicherung für die Schülerinnen und Schüler via Schulen erfolgt. Anderseits haben die Bildungsinstitutionen auch Aufgaben im Bereich der Bildungsstatistik zu erfüllen, also Aufgaben ausserhalb der AHV. Diese Erhebungen erfolgen ebenfalls unter Verwendung der AHVN. Unter diesen Umständen ist es ist sinnvoll, auch künftig sowohl den kantonalen Bildungsinstitutionen als auch jenen des Bundes für die Erfüllung ihrer bil- dungsstatistischen Aufgaben die systematische Verwendung der AHVN zu erlauben. Bst. b: Im Unterschied zur Durchführung der sozialen Krankenversicherung und der obligatorischen Unfallversicherung ist die Durchführung von privatrechtlich geregelten Zusatzversicherungen keine Verwaltungsaufgabe. Es bestehen jedoch zahl-

16 SR 830.1 17 SR 313.0 18 SR 831.101 19 SR 172.010

reiche Verbindungen zwischen den Zusatzversicherungen auf der einen und der obligatorischen Unfall- bzw. Krankenversi- cherung auf der anderen Seite. Die Durchführung der Bereiche kann deshalb nicht isoliert betrachtet werden. Aus diesem Grund ermächtigt Artikel 47a des Versicherungsvertragsgesetzes vom 2. April 190820 die Anbieter von Zusatzversicherun- gen bereits nach geltendem Recht zur systematischen Verwendung der AHVN. Dies soll auch künftig so bleiben. Bei dieser Regelung handelt es sich insofern um eine Ausnahme, als sie Privaten ermöglicht, für die Durchführung einer privatrechtlich geregelten Tätigkeit die AHVN systematisch zu verwenden. Im Übrigen soll die AHVN auch weiterhin nicht zu rein privaten Zwecken verwendet werden dürfen. Dies gilt auch im Fall, dass sich die betroffenen Personen mit der systematischen Verwendung ihrer AHVN einverstanden erklären. Das Verbot rechtfertigt sich dadurch, dass die ZAS die Datenabgleiche und Korrekturen im Interesse der Datenqualität gemäss Artikel 153f Buchstaben b und c gegenüber Privaten nicht gleichermassen durchsetzen kann. Abs. 2: Der Gesetzgeber soll weiterhin für bestimmte Bereiche weitere Personenidentifikatoren an Stelle der AHVN vorsehen können. Er wird daher auch künftig die Möglichkeit haben, die systematische Verwendung der AHVN für einzelne Gebiete auszuschliessen. Zu denken ist an Bereiche, wo besonders schützenswerte Personendaten im Sinne von Artikel 3 Buchstabe c DSG betroffen sind. Es sind dies Daten über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansich- ten oder Tätigkeiten, die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer ethnischen Gruppe, Massnahmen der sozialen Hilfe sowie administrative oder strafrechtliche Verfolgungen und Sanktionen. Art. 153d Technische und organisatorische Massnahmen Die zur systematischen Verwendung der AHV-Nummer berechtigten Behörden, Organisationen und Personen müssen die nötigen technischen und organisatorischen Massnahmen ergreifen, um einer missbräuchlichen Nutzung vorzubeugen. Dies dient der Wahrung der Informationssicherheit und des Datenschutzes. Dieser Artikel fasst die Pflichten zusammen, die bisher zum Teil in der Verordnung des EDI über die Mindeststandards der technischen und organisatorischen Massnahmen bei der

systematischen Verwendung der AHVN ausserhalb der AHV21 enthalten waren. Sie werden neu ins Gesetz aufgenommen und aktualisiert. Die Sorgfaltspflichten bezwecken den Schutz vor missbräuchlicher Verwendung der AHVN. Die zur systematischen Ver- wendung der AHV-Nummer berechtigten Behörden, Organisationen und Personen systematisch verwendet, sorgen fortlau- fend dafür, dass die anwendbaren Sicherheitsstandards aufrechterhalten bleiben. Die Systeme müssen zu jeder Zeit den aktuellen Vorgaben entsprechen und sind nötigenfalls anzupassen. Bst. a: Die Zugangs- bzw. Zugriffsrechte auf Datenbanken, welche die AHVN enthalten, dürfen nur jenen Mitarbeitern eingeräumt werden, die diese zur Erfüllung ihrer Aufgaben benötigen. Die Einräumung der Befugnisse hat restriktiv zu erfolgen. Bst. b: Es ist eine Person zu bezeichnen, die für die systematische Verwendung der AHVN verantwortlich ist. Diese hat das ISDS-Konzept gemäss Buchstabe d zu unterzeichnen oder auf andere nachweisbare Art zur Kenntnis zu nehmen. Bst. c: Die AHVN darf nicht für andere Zwecke als für die vorgesehene Aufgabenerfüllung verwendet oder in unzulässiger Weise an Dritte weitergegeben werden. Mit der nötigen Aus- und Weiterbildung müssen die zugangs- und zugriffsberechtig- ten Personen informiert werden, dass sie die AHVN nur aufgabenbezogen verwenden und die Nummer an Dritte nur bekannt geben dürfen, wenn dies rechtens ist. Bst. d: Die zur systematischen Verwendung der AHV-Nummer berechtigten Behörden, Organisationen und Personen sorgen dafür, dass die Betreiber ihrer Informatikmittel und Datenspeicher ein Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) erstellen, das die einzelnen Sicherheits- und Datenschutzmassnahmen beschreibt. Das ISDS-Konzept be- nennt und bewertet die relevanten Risikofaktoren nach den Kriterien der Verfügbarkeit, Vertraulichkeit, Integrität und Nach- vollziehbarkeit. Es spezifiziert, mit welchen konkreten Massnahmen die Informationssicherheits- und Datenschutzanforde- rungen umzusetzen sind. Die Implementierungsmassnahmen beziehen sich auf die Infrastruktur, die Organisation, die Schulung des Personals sowie die Anpassung von Hard- und Software. Zum einen muss der Zugang zu Informatikmitteln und Datenspeichern physisch gesichert sein. Beim Einsatz mobiler Infor-

matikmittel und Datenspeicher muss mit Hilfe von dem Stand der Technik entsprechenden kryptografischen Verfahren (Datenverschlüsselung) sichergestellt sein, dass der Zugriff für Unberechtigte nicht möglich ist. Zum andern muss der Zugriff auf Informatikmittel und Datenspeicher mit Hilfe von zusätzlichen – dem Stand der Technik entsprechende und der Risikolage angepasste – Informatiksicherheitsmassnahmen geschützt sein. Diese Massnahmen müssen mindestens den Einsatz von handelsüblicher und aktuell gehaltener Software zur Entdeckung und Beseitigung von Malware (Antiviren-Software), sowie den Einsatz von (zentralen oder persönlichen) Firewall-Systemen umfassen. Wer auf Informa- tikmittel und Datenspeicher zugreifen kann, muss sich vorher authentifizieren müssen. Wird für die Authentifizierung ein Passwort eingesetzt, ist dieses geheim zu halten. Es darf nicht weitergegeben werden und es ist unverzüglich zu ändern, wenn Verdacht besteht, dass Unberechtigte davon Kenntnis haben. Ferner ist die Betriebs- und Anwendungssoftware von Informa- tikmitteln möglichst zeitnah mit aktuellen Fehlerbehebungs-Updates (Patches) auszurüsten. Wichtige Aktivitäten und Ereig- nisse auf Informatiksystemen sind aufzuzeichnen und regelmässig auszuwerten. Vor der Reparatur, Entsorgung oder Ver- nichtung von Informatikmitteln und Datenspeichern muss ausserdem sichergestellt sein, dass sie weder Versichertennummern noch andere Personendaten mehr enthalten und dass solche nicht rekonstruiert werden können. Schliesslich besteht beim Datentransfer über öffentliche Netze das Risiko, dass Daten in den Besitz von Personen gelangen können, für welche sie nicht bestimmt sind. Als öffentlich zu betrachten ist jedes Netz, welches nicht einem abschliessend definierten Kreis von Nutzern vorbehalten ist, welche einer besonderen Zutrittskontrolle unterworfen sind (z.B. amtsinternes Netz). Mit einer dem aktuellen Stand der Technik entsprechenden Verschlüsselung kann dieser Gefahr begegnet werden. Bst. e: Im Rahmen eines Notfallkonzepts muss bestimmt werden, wie im Falle eines missbräuchlichen Zugriffs auf Daten- banken oder einer missbräuchlichen Nutzung derselben vorzugehen ist. Diese Regelung der gegebenenfalls erforderlichen Massnahmen bildet ebenfalls Teil des ISDS-Konzepts.

20 SR 221.229.1 21 SR 831.101.4

Art. 153e Risikoanalyse Abs. 1: Der Zweck von periodischen Risikoanalysen besteht darin, die Risiken von unerlaubten Zusammenführungen von Datenbanken zu erkennen und nötigenfalls das Zusammenwirken der Verwaltungen derart abzustimmen, dass die techni- schen und organisatorischen Massnahmen gestützt auf eine realistische und aussagekräftige Einschätzung der systemischen Gesamtrisiken getroffen werden. Bst. a und b: Hinsichtlich der Zuständigkeit zur Risikoanalyse umschreiben die Buchstaben a und b die Einheiten auf der Ebene des Bundes und der Kantone, die dazu verpflichtet sind, und für welche Datenbanken. Abs. 2: Die Verzeichnisse von Datenbanken, welche die AHVN enthalten, ermöglichen ein gezieltes und koordiniertes Vor- gehen. Dieses Ziel kann auch dadurch unterstützt werden, indem bereits existierende Verzeichnisse von Datenbanken nach dem Kriterium der systematischen Verwendung der AHVN erschlossen werden. Art. 153f Mitwirkungspflichten Die systematischen Verwender der AHVN haben ferner verschiedene Mitwirkungspflichten gegenüber der ZAS. Diese dienen in erster Linie der Zuverlässigkeit der AHVN. Bst. a: Die ZAS ist darauf angewiesen, von den Berechtigten orientiert zu werden, wenn sie von ihrer Berechtigung zur systematischen Verwendung der AHVN Gebrauch machen. Daher gilt für die Verwendungen ausserhalb der AHV auch nach dem revidierten Recht eine Meldepflicht gegenüber der ZAS. Diese soll auf der Gesetzesstufe verankert werden. Künftig wird die ZAS zu prüfen haben, ob es sich bei der neu gemeldeten Einheit um eine Behörde handelt bzw. ob eine spezialge- setzliche Grundlage für Private gemäss Artikel 153c Absatz 1 Ziffer 4 mit Verwaltungsaufgabe besteht. Bst. b und c: Die ZAS muss in der Lage sein, Datenabgleiche für die Verifizierung der verwendeten Nummern zu veranlas- sen oder durchzuführen und nötigenfalls Korrekturen anzuordnen. Die systematischen Verwender müssen die von der ZAS verlangten Massnahmen treffen, um die Gültigkeit der AHVN und die damit verbundenen personenbezogenen Daten über- prüfen zu können. Art. 153g Bekanntgabe der AHVN beim Vollzug von kantonalem oder kommunalem Recht Diese Bestimmung entspricht inhaltlich weitgehend dem geltenden Artikel 50f. Die Änderung gegenüber dem bisherigen Recht besteht darin, dass sie auch die systematischen Verwender erfasst, welche kommunales Recht vollziehen. Dies, weil

die AHVN neu auch zum Vollzug von kommunalem Recht verwendet werden darf. Im Interesse des Datenschutzes wird festgelegt, unter welchen Voraussetzungen diese Verwender die AHVN im Einzelfall an Dritte bekanntgeben dürfen. Dabei sind die im entsprechenden Aufgabengebiet jeweils geltenden rechtlichen Vorgaben für die Datenbekanntgabe zu beachten. Die Bekanntgabe der AHVN durch Bundesorgane richtet sich weiterhin nach den – inhaltlich gleich ausgestalteten – Best- immungen des DSG. Art. 153h Gebühren Bereits nach geltendem Recht können gestützt auf Artikel 46a des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 199722 Gebühren erhoben für den Aufwand, welcher der ZAS im Zusammenhang mit der Verwendung der AHVN ausserhalb der AHV entsteht (vgl. Art. 134sexies und 134septies AHVV). Erbringt sie Dienstleistungen für Fremdnutzer der AHVN, soll dies auch künftig die Sozialwerke der 1. Säule nicht belasten. Die Möglichkeit des Bundesrats, Gebühren vorzu- sehen, soll weiterhin bestehen. Da die systematische Verwendung der AHVN ausserhalb der AHV erweitert wird, soll zur Verbesserung der Transparenz die Möglichkeit der Gebührenerhebung im AHVG verankert werden. Art. 153i Strafbestimmungen des vierten Teils Abs. 1: Die neue Regelung deckt sich materiell mit jener gemäss dem geltenden Artikel 87 achtes Lemma. Wie bisher unter- steht die unbefugte systematische Verwendung der AHVN einer Geldstrafe. Abs. 2: Bei dieser Bestimmung handelt es sich um eine vervollständigte Weiterführung der bisherigen Regelung gemäss Artikel 88 viertes Lemma. Im Unterschied zum geltenden Wortlaut soll künftig soll nicht nur das gänzliche, sondern auch das teilweise Weglassen von technischen und organisatorischen Massnahmen als Übertretung gelten. Abs. 3: Da das ATSG auf den 4. Teil nicht anwendbar ist, ist ein Verweis auf Artikel 79 ATSG erforderlich, damit die oben erwähnten Strafbestimmungen auch auf die Widerhandlungen in Geschäftsbetrieben Anwendung finden. Gliederungstitel vor Art. 154 Fünfter Teil: Schlussbestimmungen. Die systematische Verwendung der AHVN ausserhalb der AHV ist neu im vierten Teil des Gesetzes geregelt. Dadurch sind die Schlussbestimmungen in einem fünften Teil enthalten. Schlussbestimmungen Damit die Stellen und Institutionen, welche die AHVN bereits systematisch verwenden, die nötigen Umstellungen realisieren

können, ist ihnen eine Übergangsfrist einzuräumen. Da sie nach geltendem Recht schon technische und organisatorische Massnahmen treffen mussten, ist die Frist von einem Jahr angemessen. Änderung anderer Erlasse In anderen Erlassen sind die Bestimmungen zur systematischen Verwendung der AHVN ausserhalb der AHV zu ändern beziehungsweise zu streichen. Doppelspurigkeiten gilt es zu vermieden.

22 SR 172.010

3 Auswirkungen

3.1 Finanzielle und personelle Auswirkungen auf den Bund

Mit einer Ausweitung der systematischen Verwendung durch Behörden ausserhalb der AHV wird bei der ZAS zusätzlicher Aufwand anfallen. Durch die Möglichkeit der erweiterten Verwendung der AHVN werden bei der ZAS zunächst mehr neue Meldungen für den Zugang zu den angebotenen Diensten eingehen. Höhere Ausgaben werden auch für die Infrastruktur von UPI entstehen, da eine steigende Nutzerzahl einen Einfluss auf die Kapazität der Informatiksysteme hat. Auf Bundesebene werden einige Duzend zusätzliche Meldungen erwartet, auf Kantonsebene mehrere hundert und auf Ebene der 2200 Gemeinden einige tausend. Potenziell könnten somit bei der ZAS insgesamt über 10 000 Meldungen eingehen. Die zusätzlichen Kosten, die dadurch anfallen, dürften mit der Zeit jedoch abnehmen. Deren Höhe lässt sich nicht direkt von der geschätzten Anzahl zusätzlicher Nutzer ableiten, sondern hängt auch von der Art und Weise ab, wie diese ihre Meldepflicht wahrnehmen (Einzel- oder Sammelmeldungen, Verteilung über die Zeit). Weiter generiert der laufende Betrieb in Form von zusätzlichen Anfragen durch die Nutzer höhere Kosten. Deren Ausmass hängt stark von der schwer zu prognostizierenden Anzahl neuer systematischer Verwender sowie dem Nutzerverhalten dieser Behörden ab. In einer Übergangszeit von zwei bis fünf Jahren wird mit einem Anstieg der Nutzermeldungen und der Anträge für den Zugang zu den ZAS-Diensten gerechnet Der Zusatzaufwand wird mit den bestehenden personellen Ressourcen bewältigt. Was die Modernisierung der Anwendungen zur Verwaltung der Meldungen für die systematische Verwendung der AHVN und des Zugangs zu den Diensten der ZAS angeht, ist mit Investitionskosten zwischen 500 000 Franken und einer Million Franken zu rechnen. Die Kosten für eine stärkere automatische Aufsicht über die Nutzung der ZAS-Dienste dürften mit 200 000 bis 750 000 Franken zu Buche schlagen. Die gesamthaften Zusatzkosten für die Investitionen bewegen sich somit zwischen 700 000 Franken und 1,75 Millionen Franken. Wie bereits nach geltendem Recht, hat der Bundesrat die Möglichkeit, Gebühren zu erheben, für die Zusatzkosten im Zu- sammenhang mit der Verwendung der AHVN ausserhalb der AHV. Dadurch können die Kosten für die erweiterte Verwen- dung auf die betreffenden Verwender, also die Kostenverursacher, überwälzt werden.

Als kostenreduzierender Faktor treten schliesslich Effizienzgewinne bei den Bundesbehörden, die neu die AHVN nutzen werden, ein. Die verbesserte Qualität des Datenbestands bei den Behörden erleichtert und beschleunigt die Verwaltungstätig- keit. Sie ermöglicht auch einen unkomplizierten, d.h. möglichst automatischen Datenfluss zwischen den Behörden. Die generelle Berechtigung von Behörden hat ausserdem zur Folge, dass nicht mehr für jeden neuen Verwendungszweck spezi- fisch eine gesetzliche Grundlage geschaffen werden muss. Dadurch werden auch die gesetzgebenden Behörden entlastet. Allerdings müssten gegebenenfalls die Begleitmassnahmen aktualisiert werden, wodurch zusätzliche Kosten entstünden. Die Höhe der zusätzlichen Einsparungen und Ausgaben lässt sich nicht beziffern.

3.2 Auswirkungen auf Kantone und Gemeinden

Sollten für die systematische Nutzung der Versichertennummer Gebühren erhoben werden, entstehen dadurch bei den Be- hörden der Kantone und Gemeinden zusätzliche Kosten. Diese können erst nach Kenntnis des Gebührensystems und der Ausnahmeregelungen geschätzt werden. Zudem verursacht die Meldepflicht bei den Nutzern von Kantonen und Gemeinden einen (vernachlässigbaren) Initialaufwand. Zugleich sind die Effizienzgewinne bei der Verwaltungstätigkeit (siehe Ziff 3.1) allerdings auch bei Kantonen und Gemein- den ein kostenreduzierender Faktor. Es ist davon auszugehen, dass die einzelnen Behörden die allfälligen Kosten gegenüber dem Nutzen für ihre Verwaltungstätigkeit abzuwägen vermögen und daher die Versichertennummer nur nutzen werden, wenn es sich für sie wirtschaftlich lohnt. Bei Kantonen und Gemeinden ist somit von einer positiven Auswirkung auszuge- hen. Der Aufwand der gesetzgebenden Behörden von Kantonen und Gemeinden wird vermindert, weil nicht mehr für jeden neuen Verwendungszweck spezifisch eine gesetzliche Grundlage geschaffen werden muss. Wie bei den Behörden des Bun- des sind allerdings die Begleitmassnahmen anzupassen, wodurch Mehrkosten entstehen, die sich nicht beziffern lassen.

3.3 Auswirkungen auf die Volkswirtschaft

Es gibt keine direkten volkswirtschaftlichen Auswirkungen aus der Vorlage. Indirekte positive Auswirkungen entstehen hingegen infolge der Verbesserung des elektronischen Verkehrs zwischen Bürgern und Behörden sowie zwischen den Be- hörden.

3.4 Auswirkungen auf die Gesellschaft

Die Vorlage hat keine Auswirkungen auf die Gesellschaft.

4 Verhältnis zur Legislaturplanung und zu nationalen Strategien des Bundesrates

4.1 Verhältnis zur Legislaturplanung

Die Vorlage ist weder in der Botschaft vom 27. Januar 201623 zur Legislaturplanung 2015–2019 noch im Bundesbeschluss vom 14. Juni 201624 über die Legislaturplanung 2015–2019 angekündigt. Sie trägt aber dazu bei, die «E-Government Strate-

23 BBl 2016 1105

gie Schweiz» umzusetzen (vgl. Ziff. 4.2). Die «E-Government Strategie Schweiz» ist ein Geschäft der Legislaturplanung 2015-2019.

4.2 Verhältnis zu Strategien des Bundesrates

Die vom Bundesrat verabschiedete «E-Government Strategie Schweiz»25 verfolgt das Ziel, Wirtschaft und Bevölkerung von besseren Dienstleistungen und einer effizienteren Verwaltung profitieren zu lassen. Das Umsetzungsinstrument der aktuellen «E-Government Strategie Schweiz» ist der Schwerpunktplan 2017-201926. Dieser enthält elf operative Ziele. Das operative Ziel Nr. 7 des Schwerpunktplans 2017-2019 lautet: «Die Zuordnung von Daten zu einer bestimmten Person im elektroni- schen Austausch zwischen Informationssystemen ist bis 2019 sichergestellt.». Weiter wird ausgeführt, ein eindeutiges Perso- nenkennzeichen, das in allen Fachbereichen und auf allen Staatsebenen angewendet werden könne, habe bisher noch nicht etabliert werden können. Daher bestehe hierin grosser Handlungsbedarf. Insofern trägt diese Vorlage dazu bei, die «E- Government Strategie Schweiz» umzusetzen. Der erwähnte Schwerpunktplan sieht ferner die Einführung einer E-ID vor (operatives Ziel Nr. 5). Gesicherte Identitäten sind die Basis für Rechtssicherheit. Der vom Bundesrat verabschiedete Entwurf für ein neues Bundesgesetz über elektronische Identifizierungsdienste (E-ID-Gesetz, BGEID) bezweckt, den sicheren elektronischen Geschäftsverkehr zwischen Privaten und Behörden oder unter Privaten zu fördern.27 Damit auch anspruchsvollere Geschäftsprozesse online abgewickelt werden können, müssen die Vertragspartner Vertrauen in die Identität des Gegenübers haben können. Diesem Bedarf soll in der Schweiz mit der Schaffung von anerkannten elektronischen Identifizierungseinheiten für natürliche Personen nachgekommen werden. Eine von der AHV unabhängige E-ID-Registrierungsnummer dient zur Verbindung der betreffenden Person mit der ausgegebenen E-ID. Das E-ID-Konzept geht von einer Aufgabenteilung zwischen Staat und Privaten aus: Der Bund gibt keine eigene E-ID her- aus, sondern kann E-ID von privaten Anbietern (wie zum Beispiel die SuisseID der Post) staatlich anerkennen, wenn diese die gesetzlichen Anforderungen erfüllen. Durch die Anerkennung wird den Anbietern von Identitätsdienstleistungen (Identity Provider, IdP) erlaubt, staatlich geführte und bestätigte Personenidentifizierungsdaten für die Erbringung ihrer Dienstleistun- gen zu verwenden. Den IdP soll deshalb erlaubt werden, die AHVN – ausschliesslich – zu diesem eingeschränkten Zweck

systematisch zu verwenden. Im Übrigen sollen sie die AHVN nur jenen Betreiberinnen eines E-ID-verwendenden Dienstes bekannt geben dürfen, die selbst zur systematischen Verwendung der AHVN berechtigt sind. Der Umstand, dass die IdP weder Behörden sind noch eine öffentliche Aufgabe im engeren Sinn erfüllen, soll der umschriebenen systematischen Ver- wendung der AHVN durch die IdP nicht entgegenstehen. Die angestrebte Einführung einer E-ID in der dargelegten Form wird durch das vorliegende Gesetzgebungsprojekt somit nicht gefährdet.

5 Rechtliche Aspekte

5.1 Verfassungsmässigkeit

Die Vorlage stützt sich auf die Kompetenznormen der Bundesverfassung, die den Bund zur Rechtsetzung im Bereich der Alters- und Hinterlassenenversicherung ermächtigen (Art. 111 und 112 BV). Insoweit, als die Regelungen zur AHVN deren Verwendung als generellen Personenidentifikator für Behörden betreffen, ergibt sich die Kompetenz des Bundes aus Artikel 173 Absatz 2 BV. Dieser statuiert die Kompetenz des Bundes zur Regelung der Organisation der Bundesbehörden. Ermög- licht der Bundesgesetzgeber den Kantonen und – vorbehältlich anderslautenden kantonalen Rechts – den Gemeinden, die AHVN systematisch zu verwenden, ist er zugleich befugt, die Voraussetzungen der Nutzung dieses Instruments zu definieren und entsprechende Vorschriften zu erlassen. Demgegenüber besteht keine Regelungskompetenz des Bundes hinsichtlich der Modalitäten von allfälligen anderen Personenidentifikatoren der Kantone. Diesbezügliche datenschutz- und informationssi- cherheitsrechtliche Vorschriften sind durch die Kantone zu erlassen.

5.2 Vereinbarkeit mit internationalen Verpflichtungen der Schweiz

Vom Themenbereich der Vorlage sind keine internationalen sozialrechtlichen Verpflichtungen der Schweiz betroffen.

5.3 Erlassform

Nach Artikel 164 Absatz 1 BV sind alle wichtigen rechtsetzenden Bestimmungen in der Form eines Bundesgesetzes zu erlassen. Dies ist mit dieser Vorlage gewährleistet.

5.4 Unterstellung unter die Ausgabenbremse

Die Vorlage untersteht nicht der Ausgabenbremse nach Artikel 159 Absatz 3 Buchstabe b BV, da sie weder Subventionsbe- stimmungen noch die Grundlage für die Schaffung eines Verpflichtungskredites oder Zahlungsrahmens enthält.

24 BBl 2016 5183

25 Die Strategie ist im Internet unter folgender Adresse abrufbar: https://www.egovernment.ch/de/umsetzung/e-government-strategie/ 26 Der Schwerpunktplan ist im Internet unter folgender Adresse abrufbar: https://www.egovernment.ch/de/umsetzung/schwerpunktplan1

27 BBl 2018 …

5.5 Delegation von Rechtsetzungsbefugnissen

Artikel 153g delegiert dem Bundesrat die Möglichkeit, Gebühren vorzusehen für die Dienstleistungen, welche die Zentrale Ausgleichskasse im Zusammenhang mit der systematischen Verwendung der AHVN ausserhalb der AHV erbringt.