Anfrage Gabriel Mäder, Adliswil, Beat Hauser, Rafz, und Alexander Jäger, Zürich, betreffend Digitalisierung des behördlichen Posteingangs, Beantwortung

Auf Antrag der Direktion der Justiz und des Innern beschliesst der Regierungsrat:

I. Die Anfrage Gabriel Mäder, Adliswil, Beat Hauser, Rafz, und Alexander Jäger, Zürich, wird wie folgt beantwortet: Zu Fragen 1–5 und 9: Gemäss § 59 Abs. 1 des Kantonsratsgesetzes (LS 171.1) können Kantonsratsmitglieder mit der Anfrage vom Regierungsrat Aufschluss über dessen Angelegenheiten verlangen. Die Digitalisierungsprojekte der Gemeinden des Kantons Zürich und deren Gesetzeskonformität sind grundsätzlich Sache der Gemeinden. Es obliegt jedem öffentlichen Organ, in seinem Zuständigkeitsbereich für die Einhaltung und Umsetzung der Grundsätze im Umgang mit Informationen und Personendaten besorgt zu sein (§ 1 Verordnung über die Information und den Datenschutz [LS 170.41]). Die Mindestanforderungen des Datenschutzes und der Informationssicherheit, welche die Gemeinden bei Umsetzung eines solchen Digitalisierungsprojekts beachten müssen, sind in den Grundsätzen des Gesetzes über die Information und den Datenschutz (IDG, LS 170.4) definiert. Die allgemeine Aufsicht über die Gemeinden nehmen die Bezirksbehörden und das Gemeindeamt wahr (§ 163 ff. Gemeindegesetz [LS 131.1]). Die fachliche Aufsicht im Bereich IDG obliegt der Datenschutzbeauftragten des Kantons Zürich (§ 34 lit. c IDG). Die Datenschutzbeauftragte stellt den Gemeinden verschiedene Merkblätter und Empfehlungen auf ihrer Webseite zur Verfügung. Sie übt ihre Aufsicht sodann auch über Audits und daraus folgende, umzusetzende Massnahmen aus. Bei der Digitalisierung des Posteingangs liegt eine Auslagerung der Datenbearbeitung vor. Dabei bleiben die einzelnen auslagernden Verwaltungseinheiten weiterhin verantwortlich für die Datenbearbeitung (§ 6 Abs. 2 IDG). Somit haben die Gemeinden in ihrer eigenen Verantwortung sicherzustellen, dass Personendaten von Dritten so bearbeitet werden, wie sie es selbst auch tun dürften. Das Amtsgeheimnis gilt auch bei einem zentralisierten Posteingang. Die Kenntnis darüber, welche Person mit welcher Verwaltungseinheit korrespondiert, sowie die Inhalte der Briefpost bleiben der jeweiligen Verwaltungseinheit vorbehalten. Wird der Posteingang ausgelagert, ist das Amtsgeheimnis auf die beauftragte Stelle zu übertragen. Die Verwaltungseinheit hat Bedingungen zu definieren, nach denen die beauftragte Stelle die eingehende

Post bearbeitet. Durch geeignete technische, organisatorische und vertragliche Massnahmen ist sicherzustellen, dass keine unbefugte Weitergabe erfolgt. Das Öffnen eingehender Briefe durch die beauftragte Stelle stellt dabei keinen Eingriff in das Grundrecht auf geheimen Briefverkehr dar.

Bezüglich der gesetzlichen Grundlage ist festzuhalten, dass die Bearbeitung der Post als administrative Hilfstätigkeit nicht ausdrücklich im Gesetz geregelt ist. Sie ist jedoch implizit in den bestehenden gesetzlichen Grundlagen umfasst. Es dürfen dabei nur Personendaten bearbeitet werden, die für die Abwicklung der Postverwaltung benötigt werden. Ob die Postverwaltung physisch oder digital erfolgt, ist für die gesetzliche Grundlage ohne Belang. Aus diesem Grund muss auch keine neue gesetzliche Grundlage geschaffen werden. Zu Frage 6: Das unberechtigte Bekanntgeben von Personendaten, besonderer Personendaten oder anderweitig amtsgeheimnisgeschützter Daten an Dritte kann die für die Verursachenden verschiedene Folgen haben. Zu denken ist in strafrechtlicher Hinsicht an eine Amtsgeheimnisverletzung nach Art. 320 des Schweizerischen Strafgesetzbuches (SR 311.0) sowie weitere strafrechtliche Folgen bei Verletzung besonderer Geheimnispflichten (Steuergeheimnis, Opferhilfegeheimnis o. Ä.). Für Auftragsdatenbearbeiter sieht das IDG in § 40 ferner eine Strafbestimmung mit Busse für vertragswidriges Bearbeiten von Personendaten vor. In vertraglicher Hinsicht kann ein Vertragsbruch (beispielsweise die Verletzung einer Schweigepflichtklausel) die Konventionalstrafe, die in Anwendung der kantonalen allgemeinen Geschäftsbedingungen bei Datenbearbeitungen jeweils zu vereinbaren ist, auslösen. Bei personalrechtlichen Massnahmen ist entscheidend, welches Personalrecht auf die betreffende Person anwendbar ist. Handelt es sich dabei um kantonale Angestellte, die dem Personalgesetz des Kantons Zürich unterstehen, gehören zu den möglichen Folgen die vorsorgliche Freistellung (§ 29 Personalgesetz [PG, LS 177.10]), der Verweis (§ 30 PG), eine ordentliche Kündigung infolge des Verhaltens (§ 19 PG) oder als ultima ratio eine fristlose Kündigung, sofern die Fortsetzung des Arbeitsverhältnisses infolge des Verhaltens nach Treu und Glauben nicht mehr zumutbar erscheint (§ 22 PG). Für kommunal angestellte Personen gelten die jeweiligen kommunalen Personalgesetze und -verordnungen. Zu Frage 7: Die kantonale Datenschutzbeauftragte ist für alle öffentlichen Organe im Kanton Zürich zuständig. Gemeinden können eine oder einen eigenen Beauftragten bestellen (§ 33 Abs. 1 IDG). Sofern Gemeinden

über eigene Beauftragte verfügen, übt die kantonale Datenschutzbeauftragte die Oberaufsicht aus (§ 33 Abs. 2 IDG). Die Städte Zürich und Winterthur haben solche Beauftragte bestellt. Die restlichen Gemeinden fallen in den Zuständigkeitsbereich der kantonalen Datenschutzbeauftragten.

Die Aufgaben der Datenschutzbeauftragten sind in drei folgenden Hauptbereiche unterteilt: – Beratung: Die Datenschutzbeauftragte berät Mitarbeitende von öffentlichen Organen und Privatpersonen zu Fragen des Datenschutzes und der Informationssicherheit. Sie berät zudem Privatpersonen über ihre datenschutzrechtlichen Ansprüche und vermittelt in Konfliktfällen zwischen Privatpersonen und öffentlichen Organen. Sie beurteilt ausserdem datenschutzrelevante Vorhaben (Vorabkontrollen) und nimmt Stellung zu Erlassen (Vernehmlassungen). – Kontrolle: Die Datenschutzbeauftragte beaufsichtigt die Datenbearbeitungen der öffentlichen Organe im Kanton Zürich. Sie überprüft mit Kontrollen, ob die Anforderungen des Datenschutzes in rechtlicher, organisatorischer und sicherheitstechnischer Hinsicht eingehalten sind. Öffentliche Organe sind verpflichtet, Datenschutzvorfälle zu melden. – Information: Die Datenschutzbeauftragte informiert die Öffentlichkeit über die Anliegen des Datenschutzes und der Informationssicherheit. Sie bietet zudem Aus- und Weiterbildungen in den Bereichen Datenschutz und Informationssicherheit an. Im Rahmen des Beratungs- und Informationsauftrags stellt die Datenschutzbeauftragte unter anderem umfassende Informationen auf ihrer Webseite bereit. Alle Gemeinden können sich an den dort publizierten rechtlichen Beurteilungen orientieren. Planen die Gemeinden kommunale Projekte, die bei der Bearbeitung von Personendaten besondere Risiken für die Grundrechte der betroffenen Personen aufweisen, ist eine Vorabkontrolle erforderlich. Im Rahmen ihrer Aufsichtstätigkeit überprüft die Datenschutzbeauftragte mittels Kontrollen, ob die Gemeinden die datenschutzrechtlichen und technischen Vorgaben einhalten. Stellt sie bei den Kontrollen Mängel fest, berät sie die kontrollierten Gemeinden bei der Umsetzung der erforderlichen Massnahmen. Stellt die Datenschutzbeauftragte eine Verletzung der Bestimmungen über den Datenschutz fest, so gibt sie dem öffentlichen Organ eine Empfehlung ab, welche Massnahmen zu ergreifen sind (§ 36 Abs. 1 IDG). Folgt das öffentliche Organ bei einer erheblichen Verletzung von Bestimmungen über den Datenschutz einer Empfehlung nicht, kann die Datenschutzbeauftragte die Umsetzung von Massnahmen verfügen (§ 36a IDG). Zu Frage 8:

Es ist dem Aufbau eines Gesetzes inhärent, dass trotz Konkretisierungen in dazugehörigen Verordnungen Handlungsspielräume in der Umsetzung der gesetzlichen Vorgaben verbleiben. Das IDG bildet hierzu keine Ausnahme. Das IDG sieht in § 12 eine Informationspflicht über die Beschaffung von Personendaten vor. Diese Informationspflicht entfällt jedoch, wenn die Beschaffung der Personendaten gesetzlich vorgesehen ist (§ 12 Abs. 3 lit. b IDG). Da öffentliche Organe grundsätzlich nur dann Personendaten bearbeiten dürfen, wenn dies Gesetze oder Verordnungen vorsehen (Gesetzmässigkeit, § 8 IDG), ist in der Praxis eine aktive Information der Betroffenen in einem konkreten Einzelfall nicht notwendig. Sodann besteht die Möglichkeit für die Einwohnerinnen und Einwohner, unter Berufung auf das Öffentlichkeitsprinzip (§ 20 Abs. 1 IDG) bei jedem öffentlichen Organ Informationen zu einer allfälligen Datenschutzpraxis zu erhalten. Überdies stehen ihnen als Direktbetroffene in ihrer Gemeinde auch Betroffenenrechte nach §§ 20 Abs. 2 und 21 IDG zu. Damit können sie feststellen, welche Daten das betreffende öffentliche Organ über sie bearbeitet. Darüber hinaus können sie verlangen, dass widerrechtliche Bearbeitungen unterlassen und die Folgen widerrechtlichen Bearbeitens beseitigt werden, unrichtige Personendaten berichtigt oder vernichtet werden oder subsidiär die Widerrechtlichkeit des Bearbeitens festgestellt wird. Den Einwohnerinnen und Einwohnern stehen durch die genannten Rechte somit genügend Mittel zur Verfügung, um die Rechtskonformität einer Datenschutzpraxis bei direkter Betroffenheit auf dem Rechtsweg überprüfen zu lassen.

II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungsrates sowie an die Direktion der Justiz und des Innern.

Vor dem Regierungsrat Die Staatsschreiberin: Kathrin Arioli