Vollzugsbestimmungen über die Onlinezugriffe auf Personendaten des Personenmeldeamtes der Stadt Zürich

Zweck Gestützt auf Art. 6 bis der Allgemeinen Datenschutzverordnung der Stadt Zürich (ADSV) gelten für die Bekanntgabe von Personendaten des Personenmeldeamtes (nachfolgend Personendaten PMA) aufgrund von Einzelanfragen und mit Hilfe von Informatikmitteln folgende Vollzugsbestimmungen.

Gesuch Berechtigte Personenkreise, welche eine Bewilligung für Onlinezugriffe erlangen möchten, haben dem Stadtrat ein Gesuch zu stellen, aus welchem ihre öffentliche Aufgabe, der Rechtsanspruch, bzw. der Nachweis eines berechtigten Interesses auf die verlangten Personendaten PMA, der Verwendungszweck und die Verwendungshäufigkeit ersichtlich sind.

Vertrag Der Vertrag regelt die Einhaltung der gesetzlichen Bestimmungen, insbesondere die Art und Weise der Abfragen, die Sicherheitsbestimmungen, die Überprüfungsmöglichkeiten sowie allfällige Entschädigungen. Es ist ausdrücklich schriftlich zu vereinbaren, dass das Personenmeldeamt und der oder die Datenschutzbeauftragte die Einhaltung dieser Bestimmungen bei der Datenempfängerin oder beim Datenempfänger kontrollieren kann. Die Prüfung der Gesuche und der Abschluss der Verträge wird an den Stadtpräsidenten oder die Stadtpräsidentin delegiert (gemäss Art. 20 ADSV).

Identifikation der Personen und Datensperre Zur Identifikation der gesuchten Personen sind bei Onlineabfragen Name, Vorname und Geburtsdatum einzugeben. Ist dadurch keine Einzelperson bestimmt, erfolgt keine automatische Datenbekanntgabe. Gesperrte Personendaten PMA (insbesondere Adress- und Datensperre nach § 11 DSG) sind von der Möglichkeit von Onlinezugriffen ausgeschlossen. II. Sicherheitsbestimmungen

Sicherheitsbestimmungen Das Personenmeldeamt stellt sicher, dass:

1. a) bei allen bewilligten Onlinezugriffen die jeweils geltenden Sicherheitsbestimmungen und Auflagen (Revers) den berechtigten Personenkreisen bekannt gegeben und überbunden werden;

2. b) die verwendeten Onlineapplikationen jährlich durch eine externe und unabhängige Stelle einer Risikoüberprüfung unterzogen werden. Das Ergebnis ist dem Datenschutzbeauftragten zur Kenntnis zu bringen.

Zugriffsprotokolle Das Personenmeldeamt stellt auf geeignete Weise sicher, dass:

1. a) Protokolle der Onlineabfragen erstellt werden. Diese Protokolle sind automatisch auf Schwellenwerte zu überwachen und nach sechs Monaten zu vernichten. Zugriff auf die Protokolle haben die Leitung PMA und drei von ihr bestimmte Personen und die oder der Datenschutzbeauftragte der Stadt Zürich;

2. b) den berechtigten Personenkreisen die Erstellung und der Verwendungszweck der Protokolle gemäss lit. a dieses Artikels bekannt sind.

Stichproben Das Personenmeldeamt führt Stichproben über die Einhaltung der vertraglichen Bestimmungen bei den Datenempfängerinnen und Datenempfängern durch.

Ausschluss Das Personenmeldeamt schliesst Personen und/oder Organisationen, welche die Bestimmungen nicht einhalten oder die Daten für andere Zwecke bearbeiten, von der Benutzung der Onlinezugriffe aus. Es kann in solchen Fällen auch einzelne Verträge entschädigungslos auflösen. Ein zivilrechtliches und strafrechtliches Vorgehen bleibt vorbehalten.

Sperrung Für Wartungsarbeiten und bei datensicherheits- oder datenschutzrelevanten Gefahren kann das Personenmeldeamt sofort und entschädigungslos die Einstellung der Onlinezugriffe veranlassen.