Gesetz über die zentralen Personendatensammlungen

Dieses Gesetz bezweckt

1. die effiziente zentrale Bearbeitung von Personendaten,

2. den Aufbau, die Vereinheitlichung und den Betrieb von zentralen Personendatensammlungen,

3. die richtige und vollständige sowie sichere und einheitliche Führung der Personendaten nach Massgabe ihres Inhalts und Verwendungszwecks,

4. die Harmonisierung der Personendaten.

Es dient damit als Grundlage für die elektronische Verwaltungsführung im Rahmen der gesetzlichen Aufgabenerfüllung der Behörden des Kantons.

Dieses Gesetz gilt für die Behörden nach Artikel 2 Absatz 6 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG)³.

Dieses Gesetz regelt

1. die Bearbeitung der Daten von natürlichen oder juristischen Personen in zentralen Personendatensammlungen,

2. die Umsetzung des RHG.

In diesem Gesetz bedeuten

1. Personendatensammlung: Eine Datensammlung nach Artikel 2 Absatz 2 des KDSG;

2. Zentrale Personendatensammlung: Eine elektronische Personendatensammlung, die das Bearbeiten der Personendaten durch mehrere Behörden ermöglicht und als zentrale Personendatensammlung bezeichnet wird;

3. Merkmal: Eigenschaft einer Person, die objektiv erfasst und beschrieben werden kann (Art. 3 Bst. f RHG);

4. Basisprofil: Eine bezeichnete Gruppe von Merkmalen, die keine besonders schützenswerten Personendaten enthalten, kein Profiling nach der einschlägigen Gesetzgebung ermöglichen und deren Bekanntgabe nicht nach Artikel 14 KDSG eingeschränkt ist, z. B. Name, Vornamen und Korrespondenzsprache;

5. Standardprofil: Eine bezeichnete Gruppe von Merkmalen, die auch besonders schützenswerte Personendaten enthalten können;

6. Funktionalität: Eine besondere Art der Datenbearbeitung, die mit der Software der Datensammlung möglich ist, z. B. die Kombination von verschiedenen Personendaten, die Festlegung des örtlichen, zeitlichen oder sachlichen Umfangs der Datensammlung oder die Erteilung von Bearbeitungsrechten;

7. Benutzerkonto: Eine auf eine natürliche Person oder auf ein System lautende Berechtigung für den Zugriff auf eine Personendatensammlung;

8. Abrufverfahren: Datenbezug aus zentralen Personendatensammlungen mittels Internet-Zugriff;

9. Meldeverfahren: Datenbekanntgabe mittels Meldung über die zentrale Informatik- und Kommunikationsplattform des Bundes (Sedex).

Der Kanton führt zentrale Personendatensammlungen, die den Behörden zur Erfüllung ihrer gesetzlichen Aufgaben zur Verfügung stehen.

Eine zentrale Personendatensammlung enthält diejenigen Merkmale, die von mehreren Behörden zur Erfüllung ihrer gesetzlichen Aufgaben nach der besonderen Gesetzgebung des Bundes und des Kantons benötigt werden und bearbeitet werden dürfen.

Die mit dem Vollzug der besonderen Gesetzgebung betrauten Behörden können in zentralen Personendatensammlungen im Abruf- oder Meldeverfahren diejenigen Personendaten bearbeiten, die sie zur Erfüllung ihrer gesetzlichen Aufgaben benötigen.

Soweit für die Erfüllung ihrer gesetzlichen Aufgaben zwingend erforderlich, können die Behörden in zentralen Personendatensammlungen auch besonders schützenswerte Personendaten bearbeiten. Der Anhang 1 legt die einzelnen Daten, Datenkategorien und Funktionalitäten fest und ordnet diese den betreffenden Gesetzen zu.

Eine zentrale Personendatensammlung verfügt über ein Basisprofil und über so viele Standardprofile und Funktionalitäten wie nötig.

Der Regierungsrat bezeichnet die zentralen Personendatensammlungen durch Verordnung und regelt dabei

1. den Zweck der Personendatensammlung;

2. die innerhalb einer Direktion, der Staatskanzlei oder der Justiz für die Personendatensammlung verantwortliche Behörde;

3. die in der Datensammlung enthaltenen Personendaten;

4. den örtlichen und zeitlichen Datenumfang;

5. die besonders schützenswerten Personendaten;

6. das Basisprofil;

7. die Standardprofile;

8. die Funktionalitäten, die ein Profiling ermöglichen oder die in anderer Form besonders schützenswerte Personendaten erzeugen;

9. die Behörden, die trotz Sperre der Datenbekanntgabe nach Artikel 14 KDSG nach der besonderen Gesetzgebung zugriffsberechtig sind;⁴

10. den Zeitpunkt und die weiteren Modalitäten der Vernichtung der Personendaten;

11. die besonderen Anforderungen an die Informationssicherheit und den Datenschutz;

12. die weiteren technischen, organisatorischen und finanziellen Einzelheiten;

13. allfällige Einschränkungen für die Bearbeitung von Personendatensammlungen.

Der Regierungsrat regelt durch Verordnung die Berechtigung für den Zugriff auf zentrale Personendatensammlungen.

Er kann vorsehen, dass

1. die Direktionen, die Staatskanzlei und die Justiz die Zugriffsrechte ihrer unterstellten Organisationseinheiten sowie der anderen Trägerinnen und Träger öffentlicher Aufgaben in ihrem Aufgabenbereich durch Direktionsverordnungen oder Reglemente regeln,

2. die Behörden nach dem Gemeindegesetz vom 16. März 1998 (GG)⁵ und dem Gesetz vom 21. März 2018 über die bernischen Landeskirchen (Landeskirchengesetz, LKG)⁶ die Zugriffsrechte ihrer unterstellten Organisationseinheiten sowie beaufsichtigten anderen Trägerinnen und Trägern öffentlicher Aufgaben durch Verordnung regeln.

Wer Berechtigungsregeln nach Artikel 8 erlässt,

1. sieht den Zugriff auf zentrale Personendatensammlungen nur vor, wenn für die Datenbearbeitung eine ausreichende gesetzliche Grundlage nach Massgabe der Datenschutzgesetzgebung besteht;

2. stellt sicher, dass die berechtigten Behörden nur über diejenigen Personendaten, Funktionalitäten und Zugriffsrechte verfügen, die sie zur Erfüllung ihrer gesetzlichen Aufgaben benötigen, und Gewähr für die Einhaltung der Informationssicherheits- und Datenschutzvorschriften bieten.

Der Regierungsrat kann vorsehen, dass Basisprofile allen Behörden zur Verfügung stehen, die diese Personendaten zur Erfüllung der gesetzlichen Aufgaben benötigen.

Wer Berechtigungsregeln nach Artikel 8 erlässt, legt sie vorgängig der zuständigen Datenschutzaufsichtsstelle zur Stellungnahme vor (Art. 34 Abs. 1 Bst. k KDSG). Die Stellungnahme kann in der Form eines begründeten Antrags erfolgen (Art. 35 Abs. 3 KDSG).

Die für eine zentrale Personendatensammlung verantwortliche Organisationseinheit stellt sicher, dass die Benutzerkonti gemäss den Berechtigungsregeln verwaltet werden.

Sie veröffentlicht die Verordnungen der Behörden nach GG und LKG im Internet, nachdem die Publikation nach den Vorschriften der Gemeindegesetzgebung stattgefunden hat.

Die Behörden des Kantons nutzen als Personen-Identifikationsnummer die Versichertennummer gemäss AHVG, die Unternehmens- oder eine andere Identifikationsnummer des Bundes, wenn die Bedingungen der Bundesgesetzgebung erfüllt sind.

Der Regierungsrat kann für den Kanton eine eigene Identifikationsnummer für natürliche und juristische Personen durch Verordnung vorsehen.

Die Behörde, die nach der besonderen Gesetzgebung für die Erfassung und Aktualisierung von Personendaten zuständig ist, verantwortet die Richtigkeit und die Vollständigkeit der entsprechenden Merkmale in den zentralen Personendatensammlungen.

Der Regierungsrat kann vorsehen, dass das Einsichtsrecht nach Artikel 21 Absatz 4 KDSG in zentrale Personendatensammlungen durch die betroffene Person direkt und auf elektronischem Weg ausgeübt werden kann.

Jede Behörde, die eine zentrale Personendatensammlung betreibt, auf eine solche zugreift oder deren Personendaten in anderer Weise bearbeitet, ist in ihrem Herrschaftsbereich für die Informationssicherheit und den Datenschutz nach Massgabe der Datenschutz- und besonderen Gesetzgebung verantwortlich.

Auskunfts- und Adresssperren nach Artikel 13 KDSG sowie Einschränkungen der Datenbekanntgabe nach Artikel 14 KDSG sind in den zentralen Personendatensammlungen umzusetzen.

Die betroffene Person kann Sperren oder Einschränkungen der Datenbekanntgabe bei der zuständigen Behörde vornehmen oder löschen lassen.

Personendaten, die gemäss Feststellung der verantwortlichen Behörde nach Artikel 13 nicht mehr in den zentralen Personendatensammlungen geführt werden dürfen, sind nach den Fristen der besonderen Gesetzgebung und den Verordnungen des Regierungsrates zur entsprechenden zentralen Personendatensammlung zu vernichten.

Der Regierungsrat regelt, ob und nach welchen Kriterien der Aufwand, der durch die vorschriftswidrige Erfassung oder Veränderung von Personendaten verursacht worden ist, von der für den Betrieb verantwortlichen Organisationseinheit den Verursacherinnen und Verursachern in Rechnung gestellt wird.

Er regelt die Verrechnung der Kosten für die Nutzung der Informatik- und Telekommunikationsmittel der Kantonsverwaltung.

Er kann vorsehen, dass für die Lieferung von Personendaten an Behörden ausserhalb der zentralen Kantonsverwaltung Gebühren erhoben werden, wenn die Personendaten auch kommerziell genutzt werden.

Der Kanton betreibt eine zentrale Personendatensammlung zur Erfüllung der Aufgaben gemäss dem RHG sowie dem Gesetz vom 12. September 1985 über Niederlassung und Aufenthalt der Schweizer (NAG)⁷.

Die zentrale Personendatensammlung enthält insbesondere auch diese besonders schützenswerten Personendaten:

1. Konfession,

2. Angaben über den persönlichen Geheimbereich, insbesondere den seelischen, geistigen und körperlichen Zustand,

3. Ausweis- und Schriftensperre nach Artikel 237 Absatz 2 Buchstabe b der Schweizerischen Strafprozessordnung vom 5. Oktober 2007 (Strafprozessordnung, StPO)⁸,

4. Angaben zum Kindes- und Erwachsenenschutz,

5. Angaben zum Haushalt,

6. Funktionalitäten nach Artikel 7 Absatz 1 Buchstabe h.

Sie dient den Behörden auch für ihre weitere Erfüllung gesetzlicher Aufgaben.

Die Gemeinden führen das Einwohnerregister einschliesslich der Fremdenkontrolle sowie das Stimmregister elektronisch.

Der Regierungsrat kann hierfür durch Verordnung den Gemeinden Hard- und Software zur Verfügung stellen lassen oder vorsehen, dass sie bei der Registerführung technisch oder finanziell unterstützt werden.

Die Gemeinden übermitteln die Personendaten ihrer Einwohnerregister laufend an die zentrale Personendatensammlung nach Artikel 18 Absatz 1.

Der Regierungsrat bezeichnet eine sichere Übermittlungsplattform, worüber die Datenlieferung zu erfolgen hat.

Er regelt die weiteren technischen, organisatorischen und finanziellen Einzelheiten durch Verordnung.

Die vom Regierungsrat bezeichnete Behörde stellt sicher, dass die von der Bundesgesetzgebung bestimmten Personendaten an die zuständige Bundesbehörde übermittelt werden.

Der Regierungsrat regelt die technischen, organisatorischen und finanziellen Einzelheiten durch Verordnung.

Wenn eine Person bei der Einwohnerkontrolle sie betreffende Daten ändern lässt, muss sie diese Änderung den kantonalen Behörden, die auf die entsprechenden Personendatensammlungen zugreifen können, nicht mehr melden. Bundesrechtliche Meldepflichten bleiben vorbehalten.

Die Einwohnerkontrolle teilt der betroffenen Person mit, welche Meldepflichten mit der Änderungsmeldung erfüllt sind.

Erhalten zuständige Behörden Kenntnis von einem meldepflichtigen Sachverhalt, fordern sie die betroffene Person mit angemessener Nachfrist zur Meldung auf.

Personendaten, die gemäss Meldung der Gemeinde nicht mehr in den von der Meldepflicht betroffenen Registern geführt werden müssen, werden von der verantwortlichen Organisationseinheit spätestens fünf Jahre nach der Meldung der Gemeinde vernichtet.

Artikel 5 Absatz 4 inklusive Anhang 1 geht abweichenden Bestimmungen anderer Gesetze über die Bearbeitung besonders schützenswerter Personendaten in zentralen Personendatensammlungen vor.

Absatz 1 gilt, bis besondere Gesetze die Bearbeitung besonders schützenswerter Personendaten in ihrem Anwendungsbereich abschliessend regeln.

Das Steuergesetz vom 21. Mai 2000 (StG)⁹ wird geändert.

Das Gesetz vom 28. November 2006 über die Harmonisierung amtlicher Register (RegG)¹⁰ wird aufgehoben.

Der Regierungsrat bestimmt den Zeitpunkt des Inkrafttretens.

Die Daten, Datenkategorien und Funktionalitäten nach Artikel 5 Absatz 4 sind

1. Konfession,

2. Angaben über den persönlichen Geheimbereich, insbesondere den seelischen, geistigen und körperlichen Zustand,

3. Ausweis- und Schriftensperre nach Artikel 237 Absatz 2 Buchstabe b StPO,

4. Angaben zum Kindes- und Erwachsenenschutz,

5. Angaben zum Haushalt,

6. Funktionalitäten nach Artikel 7 Absatz 1 Buchstabe h.

Bei der Erfüllung der Aufgaben gemäss den nachfolgenden Gesetzen ist die Bearbeitung der aufgelisteten Daten, Datenkategorien und Funktionalitäten zulässig, sofern die Verhältnismässigkeit gewahrt bleibt (Art. 5 Abs. 3 KDSG):