name: Beilage 1.1 Jahresbericht 2022 des Datenschutz-Kontrollorgans

text: \n  \n \n\nDatenschutz- \n\nKontrollorgan  \n\nPoststrasse 23 \n\n9001 St. Gallen \n\n \n\nStefan Gerschwiler \n\nlic. iur., Rechtsanwalt \n\nTel. 071 228 29 30 \n\nstefan.gerschwiler@ar.ch \n\n \n\nDatenschutz-Kontrollorgan, 9001 St. Gallen  \n \n\n \n\nSeite 1/4 \n\n \n\nSt. Gallen, 28. Februar 2023 \n\nBericht 2022 des Datenschutz-Kontrollorgans \n\nSehr geehrter Herr Kantonsratspräsident \n\nSehr geehrte Damen Kantonsrätinnen \n\nSehr geehrte Herren Kantonsräte \n\n \n\nGerne berichte ich (im Sinne von Art. 27 Abs. 1 Bst. h DSG) über meine Tätigkeit als Datenschutz-Kon-\n\ntrollorgan im Jahr 2022. \n\nA. Tätigkeitschwerpunkte \n\n1. Beratung von öffentlichen Organen \n\n \n\nIm Berichtsjahr gingen wie in der Vorperiode rund 60 Anfragen von öffentlichen Organen ein. Die aus \n\ndiesen Ersuchen resultierende Beratung auf unterschiedlichen Staatsebenen (Kanton, Gemeinden, wei-\n\ntere öffentliche Organe), betreffend verschiedene Ausprägungen behördlicher Tätigkeit (Rechtsetzung, \n\nRechtsanwendung, konzeptionelle Projektarbeit, Klärung von Einzelfragen), und bei verschiedener, in \n\nder Tendenz aber zunehmender technischer und rechtlicher Komplexität, macht weiterhin den Haupt-\n\nschwerpunkt meiner Tätigkeit aus. \n\n \n\nEin wesentlicher Grund für die erhöhte Komplexität war dabei das Fortschreiten des Cloud Computing. \n\nDie in diesem Zusammenhang eingesetzte Arbeitsgruppe der Informatikstrategie-Kommission (ISK) hat \n\nihre Arbeiten im Berichtsjahr mit meiner Beteiligung weitergeführt und eine Ergänzung zur eGovern-\n\nment- und Informatik-Strategie 2021 formuliert. Diese befindet sich im Genehmigungsverfahren. \n\n \n\nDie bislang gegenüber Nicht-US-Personen rechtlich fast unbegrenzten, geheimen (und damit in ihrem \n\nAusmass nicht genau fassbaren) Überwachungsprogramme der U.S.-Behörden unter dem Foreign \n\nAn den Kantonsrat \n\n0100.170 - Beilage 1.1\n\n\n\n \n\nSeite 2/4 \n\nIntelligence Surveillance Act (FISA) wurden im Oktober 2022 durch eine "Executive Order" des U.S.-\n\nPräsidenten eingeschränkt. Ob deshalb eine Übermittlung von Personendaten aus der Schweiz und aus \n\nEuropa an die grossen U.S.-Cloud-Anbieter (Microsoft, Google, Amazon, etc.) in Zukunft wieder einfa-\n\ncher möglich sein wird, ist nach heutigem Stand noch offen. \n\n \n\nIm Berichtsjahr hat eine zweite Arbeitsgruppe der ISK ihre Arbeit aufgenommen, ebenfalls mit meiner \n\nBeteiligung. Ihr Ziel ist, angesichts der heute uneinheitlichen und teilweise veralteten Regelungen und \n\nVorgaben zur Informationssicherheit beim Informatikeinsatz durch Mitarbeitende öffentlicher Organe \n\neine taugliche, aktuelle Zusammenstellung von best practices zu erarbeiten und zu publizieren. \n\n \n\nAus den Einwohnerkontrollen der Gemeinden kam auch dieses Jahr wieder ein bunter Strauss an da-\n\ntenschutzrechtlichen Fragen zusammen: Daten der EWK wurden etwa nachgefragt im Zusammenhang \n\nmit Religionsunterricht, für eine regionale Ludothek oder für Forschungsprojekte. Letztere bildeten auch \n\nGegenstand von mehreren Anfragen aus dem Bereich des Departements Gesundheit und Soziales. Es \n\nist richtig und findet nach meiner Wahrnehmung auch so statt, dass derartige Anfragen genau geprüft \n\nund gegebenenfalls auch mit mir besprochen werden. Die bestehenden gesetzlichen Grundlagen erlau-\n\nben es nach meiner Einschätzung, diese Anfragen sachgerecht und mit der nötigen Flexibilität zu bear-\n\nbeiten. In den allermeisten Fällen findet sich so eine Lösung, die allen Interessen gerecht wird. \n\n \n\nDas Fortschreiten der Informationstechnologie im Bereich der Strom- und Wärmeversorgung zieht auch \n\ndort datenschutzrechtliche Fragestellungen nach sich. In diesem Zusammenhang konnte ich das Amt für \n\nUmwelt und die St.Gallisch-Appenzellische Kraftwerke AG beratend unterstützen. \n\n \n\nDatenschutzrechtliche Fragen und Herausforderungen tauchen nicht zuletzt auch bei der Kantonalen \n\nSteuerverwaltung immer wieder auf, was zu einem regen Austausch mit mir führt. Genauerer Prüfung \n\nbedurften im Berichtsjahr beispielsweise vom Bundesamt für Statistik gewünschte Datenlieferungen im \n\nRahmen des Programms Nationale Datenbewirtschaftung oder auch für die Pflege und Weiterentwick-\n\nlung der Steuer-Software nest notwendige Vereinbarungen. \n\n \n\nAuf der Ebene der Rechtssetzung erhielt ich namentlich Gelegenheit, mich bereits in einer frühen Phase \n\nder Vorarbeiten zur Totalrevision des Polizeigesetzes einzubringen. Die Materie bietet diverse Schnittflä-\n\nchen mit dem Datenschutzrecht. Ich werde mich in der nun laufenden Vernehmlassung voraussichtlich \n\nzu einigen Punkten nochmals äussern. \n\n \n\nInsgesamt sehe ich, dass die öffentlichen Organe von meinem Beratungsangebot breitgefächert Ge-\n\nbrauch machen, und erlebe ich die Zusammenarbeit als gut und konstruktiv. \n\n \n\n2. Zusammenarbeit mit anderen Kantonen und Bund \n\n \n\nDie Koordination mit anderen Schweizer Datenschutzaufsichtsstellen im Rahmen der Konferenz der \n\nschweizerischen Datenschutzbeauftragten (privatim) und des Erfahrungsaustausches der Ostschweizer \n\nDatenschutzbeauftragten funktioniert gut und bringt Entlastung durch vielfältige Synergien. In beiden ge-\n\nnannten Gefässen wurden im Berichtsjahr konkrete Schritte zur weiteren Verbesserung des Informati-\n\nonsaustauschs unternommen. \n\n0100.170 - Beilage 1.1\n\n\n\n \n\nSeite 3/4 \n\n \n\nAus der Schengen-Koordinationsgruppe ist zu berichten, dass die Europäische Kommission die für 2023 \n\nvorgesehene Evaluierung der Schweiz aufgeschoben hat. Der praxisbezogene Austausch in dieser Ko-\n\nordinationsgruppe ist besonders im Hinblick auf konkrete Kontrollen wertvoll (siehe auch Abschnitt B. \n\nunten). \n\n \n\n3. Beratung von Privaten \n\n \n\nVon Privatpersonen erreichten mich im Berichtszeitraum wieder leicht mehr Anfragen als im Vorjahr. \n\nNennenswert ist eine Erkundigung zum Hallenbad des Sportzentrums Herisau, wo beim Eintritt neu der \n\nSwissPass der SBB zur Wohnsitzprüfung zum Einsatz kommt. Es zeigte sich einmal mehr, dass die Öf-\n\nfentlichkeit bei datenschutzrelevanten Vorhaben - zu Recht - eine umfassende und aktive Kommunika-\n\ntion erwartet. Die offenen Fragen liessen sich rasch klären. \n\n \n\nB. Aufsichts- und Kontrolltätigkeit \n\n \n\nIch konnte im Berichtsjahr die vom Kantonsrat und seiner Geschäftsprüfungskommission gewünschte \n\naktive Aufsichts- und Kontrolltätigkeit aufnehmen. Ich werde meine Kontrollen besonders auf Datenbear-\n\nbeitungen fokussieren, die, etwa angesichts des Inhalts der bearbeiteten Daten oder der technischen \n\nGegebenheiten, ein hohes Risiko für die Grund- und Persönlichkeitsrechte betroffener Personen mit sich \n\nbringen oder besonderen rechtlichen Kontrollvorgaben unterliegen. \n\n \n\nSo habe ich die gemäss Polizeigesetz bewilligten Videoüberwachungen des öffentlichen Raums einer \n\nPrüfung vor Ort unterzogen. Wichtig war für mich insbesondere, dass die Aufnahmen innert nützlicher \n\nFrist gelöscht werden, falls sie nicht für einen konkreten Verdachtsfall ausgesondert werden. Es hat sich \n\ngezeigt, dass die gesetzliche Maximalfrist von 100 Tagen in der Praxis sogar klar unterschritten wird. \n\nInsgesamt ergaben sich für mich keine Anhaltspunkte, dass es im Zusammenhang mit diesen Video-\n\nüberwachungen zu unverhältnismässigen oder zweckwidrigen Datenbearbeitungen käme. In Einzel-\n\npunkten dürfte eine Anpassung der Polizeiverordnung an die aktuellen praktischen Gegebenheiten ins \n\nAuge zu fassen sein; dies allerdings erst nach der anstehenden Revision des Polizeigesetzes. Verbes-\n\nserungspotential, mittelfristig auch Verbesserungsbedarf, besteht noch bei der Kennzeichnung der Vi-\n\ndeoüberwachung. \n\n \n\nWeitere Kontrolltätigkeiten betrafen die im ganzen Kanton erfolgten Zugriffe auf die kantonale Einwoh-\n\nnerdatenplattform und auf das Schengener Informationssystem SIS. Hier werde ich voraussichtlich in \n\nmeinem nächsten Tätigkeitsbericht Ergebnisse mitteilen können. \n\n \n\nIm weiteren Sinn zur Aufsichtstätigkeit dürfte auch mein aktives Zugehen auf den Kommunikationsdienst \n\nder Kantonskanzlei zählen, mit dem (hoffentlich auch im Auge der Benutzer) erreichten Ziel, die rechtli-\n\nchen Hinweise zur Nutzung der Website www.ar.ch zu entschlacken. Die dort gewonnenen Erkennt-\n\nnisse flossen auch in eine entsprechende Empfehlung zum Datenschutz bei Websites öffentlicher \n\n0100.170 - Beilage 1.1\n\n\n\n \n\nSeite 4/4 \n\nOrgane zuhanden der Gemeindeschreiberkonferenz ein - dies wiederum als Reaktion auf eine Häufung \n\nvon Anfragen in diesem Zusammenhang durch verschiedene Gemeinden in der Vergangenheit. \n\n \n\nC. Ressourcen / Entwicklung \n\n \n\nEinem Wunsch Ihrer Geschäftsprüfungskommission folgend, stelle ich die Entwicklung in den einzelnen \n\nBereichen nachstehend grafisch dar. \n\n \n\n \n\n \n\nEs freut mich zu berichten, dass ich - anders als leider viele Kolleginnen und Kollegen in der Schweiz - \n\nzurzeit über hinreichend Ressourcen verfüge, um meine Aufgaben nach meiner Einschätzung angemes-\n\nsen nachzukommen. \n\n \n\nD. Schlussbemerkungen und Antrag \n\n \n\nIch ersuche Sie, sehr geehrter Herr Kantonsratspräsident, sehr geehrte Damen Kantonsrätinnen und \n\nHerren Kantonsräte, vom vorliegenden Bericht wohlwollend Kenntnis zu nehmen, \n\n \n\nund entbiete an dieser Stelle Ihrer GPK, dem Departement Inneres und Sicherheit, der Kantonskanzlei, \n\ndem Departement Finanzen, der Informatikstrategie-Kommission und der AR Informatik AG meinen be-\n\nsonderen Dank für die gute Zusammenarbeit bei der Gewährleistung des Datenschutzes in Appenzell \n\nAusserrhoden im Berichtsjahr. \n\n \n\nDatenschutz-Kontrollorgan \n\n \n\n \n\n \n\nStefan Gerschwiler \n\n60\n\n17\n6\n\n63\n\n15\n\n0\n\n40\n\n10\n0\n\nBeratung\nöffentliche Organe\n\nBeratung Private Aufsicht /\nKontrollen\n\n2022 2021 2020\n\n0100.170 - Beilage 1.1\n\n\n\n\n