name: LA.2020-0467 I. Tätigkeitsbericht Datenschutzstelle

text: \n1 \n \n\n \n\nTätigkeitsbericht der Datenschutzstelle des Kantons \n\nUri für die Zeit vom 01.01.2015 bis 31.12.2019 \n\n \n\nDie beauftragte Person für Datenschutz ist kantonales Kontrollorgan gemäss \n\ndem Bundesgesetz über den Datenschutz. In diesem Sinne nimmt sie neben  \n\nanderen auch Aufgaben wahr wie die Überwachung der Anwendung der \n\nVorschriften über den Datenschutz, Beratung von Behörden bei der Anwendung \n\nvon Datenschutzvorschriften, Beratung von Privaten und allfällige Vermittlung \n\nzwischen Behörden und Privaten; Stellungnahmen zu Erlassen und zu \n\nMassnahmen, die sich datenschutzrechtlich als relevant erweisen können. \n\nGemäss Art. 22 Abs. 2 lit. f Datenschutzgesetz1 bildet der Landrat das behördliche \n\nund fachliche Aufsichtsorgan über die beauftragte Person im Bereich des \n\nkantonalen Datenschutzes. \n\n \n\nI \n\nDatenschutz, verstanden als Grundrecht der persönlichen Freiheit im Sinne \n\nvon Art. 10 Abs. 2 u. Art. 13 Abs. 2 Bundesverfassung. \n\nBereits zur Zeit der Renaissance im 15.  Und 16. Jahrhundert begann sich das \n\nVerständnis zu entwickeln, trotz vielerorts einer völlig anderen \n\ngesellschaftlichen Wirklichkeit,  dass jedem Menschen, unbesehen seines Alters, \n\ngesellschaftlichen Standes, der Zugehörigkeit zu einer Ethnie oder einem Staat \n\noder der gesundheitlichen Befindlichkeit eine unveräusserliche Würde \n\nzukommt. Unter anderem wurzelt diese abendländische Denktradition auch im \n\nWerk von Giovanni Pico della Mirandola, 1463 -14942, einem Repräsentanten \n\nder italienischen Renaissance, in der auch Strömungen wie die antike Stoa eine \n\nNeubelebung erfuhren und so in dieses neue Denken einflossen. In der später \n\nfolgenden Epoche der Aufklärung fanden sich Denker wie Moses Mendelssohn \n\noder Immanuel Kant, die für die Überzeugung standen, dass jedem Menschen \n\nein je eigener Wert, ein je eigener Zweck zukommt, über den niemand, weder \n\nPrivate noch übergeordnete staatliche Autoritäten eigenmächtig bestimmen \n\ndürfen. Dieses Denken, das in einer der Formulierungen des berühmten \n\nkategorischen Imperativs durch Immanuel Kant in seiner philosophischen Ethik \n\n \n1 DSG UR; RB 2.2511 \n2 Giovanni Pico della Mirandola, De hominis dignitate, (Über die Würde des Menschen), übersetzt u. \nherausgegeben von A. Buck, Meiner, Hamburg 1990 \n\n\n\n2 \n \n\n \n\nzum Ausdruck kam, hat folgenden Wortlaut gefunden: «Handle so, dass du die \n\nMenschheit, sowohl in deiner Person, als in der Person eines jeden anderen, \n\njederzeit zugleich als Zweck an sich, niemals bloss als Mittel brauchest.»3.  Diese \n\nkantische Maxime, aber auch allgemein die Denkrichtungen der Aufklärung des \n\n18. Jahrhunderts, formten mit der Zeit ein neues Denken, das sich direkt auf die \n\nnachfolgende Ausgestaltung von Rechtsphilosophie und Rechtstheorie im \n\nabendländischen Raum auszuwirken begann. Es entstanden in der Folge auf je \n\nnationaler, später auch auf internationaler Ebene, die grossen Rechtssysteme, \n\nwelche die Rechtsunterworfenen nicht bloss als funktionale Adressaten von \n\nNormen, als verfügbare Objekte betrachteten, sondern vielmehr ebenso als \n\nRechtssubjekte, denen Grund- und Freiheitsrechte zukamen. Dieses Denken \n\nfloss dann auch in die Schweizerische Bundesverfassung ein und fand seinen \n\nrechtlichen Ausdruck in den Grund- und Freiheitsrechten der Menschen. Art. 13 \n\nAbs. 2 BV4 bildet ein derartiges Grundrecht, welches garantieren will, dass von \n\nSeiten von Privaten, aber auch seitens staatlicher Organe über Informationen, \n\nbezogen auf Personen, grundsätzlich nur so weit verfügt werden darf, als ein \n\nwichtiges öffentliches oder allenfalls privates Interesse dies verlangt. Dies in der \n\nErkenntnis, dass die Verfügbarkeit über Daten, insbesondere über \n\nPersonendaten, immer auch ein Stück weit eine grosse Machtakkumulation \n\nbedeuten und die persönliche Integrität eines Menschen tief eingreifen kann. \n\nSolche Überlegungen bilden die ratio legis, dass dieses durch die Verfassung \n\ngegenüber jeder Person eingeräumte Grundrecht ermöglichen soll, über die je \n\neigenen Personendaten und Informationen so weit als möglich selber verfügen \n\nund entscheiden zu können.  Bilden doch Informationen über die je eigene \n\nPerson einen zentralen Bestandteil auch der persönlichen Integrität und Freiheit.    \n\n \n\nII \n\nStrukturelle Ausgestaltung des Datenschutzes \n\nFür Uri findet sich die wichtigste Quelle des formellen Datenschutzrechtes im \n\nkantonalen Datenschutzgesetz (DSG UR)5. Weitere kantonale Rechtsquellen, in \n\nwelchem der Datenschutzstelle ebenfalls gewisse Funktionen zugewiesen \n\nwurden, sind das Gesetz über das Öffentlichkeitsprinzip der kantonalen \n\n \n3 Immanuel Kant, Grundlegung zur Metaphysik der Sitten, BA 67 (WB Darmstadt 1983, Kant Werke Bd. 6, S.61). \n4 SR 101 \n5 RB 2.2511 \n\n\n\n3 \n \n\n \n\nVerwaltung (OeG)6 sowie die Videoverordnung7.  Das formelle Datenschutzrecht \n\ndes Bundes ist im eidgenössischen Datenschutzgesetz8  und in der das Gesetz \n\nkonkretisierenden Verordnung (VDSG)9 verankert. International ist die Schweiz \n\nan einen Erlass des Europarates, dessen Mitglied die Schweiz ist, gebunden, d.h. \n\nan das Übereinkommen zum Schutz des Menschen bei der automatischen \n\nVerarbeitung personenbezogener Daten (E-Konv108)10 und deren \n\nZusatzprotokoll11. Das Übereinkommen ist vor relativ kurzer Zeit in revidierter \n\nAusgestaltung am 17./18. Mai 2018 durch den Europarat (Ministerkomitee) neu \n\nverabschiedet worden. Ebenfalls wurde im ai 2018 durch das Ministerkomitee \n\ndie Ratifizierung eröffnet. Das revidierte Übereinkommen tritt in Kraft, sofern es \n\ndurch mindestens 5 Vertragsstaaten genehmigt, angenommen und ratifiziert \n\nworden ist. Dies ist der Grund, dass derzeit auf der offiziellen Website des \n\nEuroparates noch die in Kraft stehende Fassung aus dem Jahre 1981 zu sehen ist. \n\nEs ist davon auszugehen, dass das Parlament das neue Vertragswerk genehmigt \n\nund annimmt und die Schweiz diesen neuen revidierten Rechtserlass ratifizieren \n\nwird.  \n\nEbenso entfaltet die Richtlinie (EU) 2016/68012 des europäischen Parlaments \n\nund des Rates direkte Rechtskraft für die Schweiz. (Ausgeschriebene \n\nBezeichnung: «Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung \n\npersonenbezogener Daten durch die zuständigen Behörden zum Zwecke der \n\nErmittlung, Verhütung, Aufdeckung und Verfolgung von Straftaten oder der \n\nStrafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des \n\nRahmenbeschlusses 2008/977 JI des Rates»). \n\nHingegen entfaltet die Datenschutzgrundverordnung (EU) 2016/679 (DSGVO)13, \n\nwelche ebenfalls in revidierter Form in Kraft getreten ist, gegenüber der \n\nöffentlichen Hand in der Regel keine direkte Rechtswirkung. Sie ist von allfälliger \n\nRelevanz für private Unternehmen oder auch Behörden, sofern ein \n\nUnternehmen oder eine Behörde oder eine Unternehmung im EU-Raum über \n\neine feste Niederlassung verfügt, oder wenn eine Behörde oder ein \n\nUnternehmen Personen, welche im EU-Raum leben, Waren oder \n\nDienstleistungen anbietet oder falls Personen, die im EU-Raum leben, eine \n\n \n6 RB 2.2711 \n7 RB 3.8115 \n8 SR 235.1 \n9 SR 235.11 \n10 SEV Nr. 108 (Europarat, Sammlung Europäischer Verträge – Nr. 108, Strassburg, 28.01.1981); SR 0.235.1 \n11 SEV Nr. 181; SR 0.235.11 \n12 ABl (EU) L 119 vom 04.05.2016, S. 89 – 131; SR 235.3 \n13 ABl (EU) L 119 vom 04.05.2016, S. 1 – 88 (Verordnung (EU) vom 04.05.2016 / 679)  \n\n\n\n4 \n \n\n \n\nInternetseite einer Behörde oder eines Unternehmens besuchen und daher via \n\nAnalyse-Tools deren Verhalten beobachtet werden, soweit dieses Verhalten sich \n\nim EU-Raum ereignet14. Wäre eine dieser drei Konstellationen gegeben, würde \n\ndie DSGVO unter dem Titel «räumlicher Anwendungsbereich» auch für die \n\nöffentliche Hand direkte Rechtswirkung entfalten. Hingegen ist eine indirekte \n\nRechtswirkung nicht gänzlich von der Hand zu weisen, sind sowohl in der DSGVO \n\nals auch in den RL 2016/680, aber auch in der  E-Konv108+ doch über weiteste \n\nStrecken ähnliche datenschutzrechtliche Grundsätze verarbeitet, sorgen so für \n\nein einheitliches Datenschutzniveau und streben einen angeglichenen Standard \n\nim gesamten EU-Raum und im Raum der Vertragsstaaten des Europarates an.    \n\nDie obgenannten Rechtsquellen betreffen das formelle Datenschutzrecht, wo \n\ndie wichtigsten Grundsätze festgelegt sind. Das eigentliche materielle \n\nDatenschutzrecht ist über die gesamte Sachgesetzgebung verstreut. Dort ist \n\nfestgelegt, welches die gesetzlichen Aufgaben sind, die den öffentlichen \n\nOrganen und allenfalls Privaten zugewiesen wurden. Nur im Zusammenhang mit \n\nAufgabenkatalog der öffentlichen Organe kann entschieden werden, auf welche \n\nArt die formellen datenschutzrechtlichen Grundsätze Anwendung finden. \n\nDie kantonalen Datenschutzgesetzgebungen beschlagen datenschutzrechtlich  \n\neinerseits relevante Rechtsverhältnisse, die zwischen der öffentlichen Hand \n\n(Kanton, Gemeinden, öffentlich-rechtliche Körperschaften und Anstalten, \n\nPrivatpersonen, die mit öffentliche Aufgaben betraut wurden) und \n\nPrivatpersonen herrschen, und anderseits Rechtverhältnisse, die öffentliche \n\nOrgane untereinander, also verschiedene Behörden mit verschiedenen \n\nöffentlichen Aufgaben betreffen. Das Bundesdatenschutzrecht findet seinerseits \n\nAnwendung und die Zuständigkeit der Bundesdatenschutzstelle (EDÖB) ist \n\ngegeben soweit durch Bundesorgane, aber auch durch Privatpersonen \n\nPersonendaten bearbeitet werden.  In Bezug auf das Bearbeiten von \n\nPersonendaten durch Privatpersonen, ohne dass sie eine öffentliche Aufgabe \n\nerfüllen, finden die kantonalen Datenschutzgesetzgebungen keine Anwendung.   \n\n \n\n \n\n \n\n \n\n \n14 Verordnung (EU) 2016/679, Art. 3  \n\n\n\n5 \n \n\n \n\nIII \n\nEntwicklungen im Datenschutzrecht    \n\nWie oben bereits erwähnt, ist aufgrund europäischer Vorgaben auch das \n\nSchweizerisches Datenschutzrecht und somit auch das Urner Datenschutzgesetz \n\neiner Revision zu unterziehen.  \n\nDer Europarat hat am 18. Mai 2018 die Revision seiner \n\nDatenschutzrechtskonvention, genannt «Konvention 108» (Übereinkommen \n\nzum Schutz des Menschen bei der automatischen Verarbeitung \n\npersonenbezogener Daten), die aus dem Jahre 1981 stammt und welche durch \n\ndie Schweiz 1997 ratifiziert wurde15,verabschiedet.  Ziel der aktualisierten \n\nKonvention ist es, einen starken Rechtsrahmen gegen Missbrauch zu schaffen, \n\ngleichzeitig jedoch auch den grenzüberschreitenden Datenverkehr mit \n\ngreifenden Schutzmechanismen zu sichern. Die durchgeführte Revision hält an \n\nden Bestimmungen, bezogen auf zentrale Datenschutzgrundsätze, fest. Die \n\nRevision führte jedoch relevante Neuerungen ein wie die Verpflichtung, \n\nDatenschutzverstösse durch öffentliche Organe als meldepflichtig zu erklären, \n\neine Stärkung des Verhältnismässigkeitsprinzips bei der Datenbearbeitung \n\ngerade auch im Hinblick auf eine ausdrückliche, spezifizierte und legitime \n\nZweckbestimmung, die Verankerung des Grundsatzes der Datenminimierung, \n\neine Verstärkung der Rechenschaftspflicht der für die Datenbearbeitung \n\nVerantwortlichen, sowie eine Stärkung  der Transparenz der \n\nPersonendatenbearbeitung, um das Vertrauen in das digitale Umfeld möglichst \n\nzu erhalten sowie eine Stärkung der Kompetenzen der Aufsichtsbehörden. Aus \n\ndatenschutzrechtlicher Sicht ist zu hoffen, dass das Bundesparlament die \n\nRevision dieser internationalen Datenschutzkonvention zu gegebenem \n\nZeitpunkt im Hinblick auf eine allfällige Ratifizierung. Vorbehalte können \n\nanlässlich einer Ratifikation keine angebracht werden16 . \n\nMit dem Inkrafttreten der DSGVO (Verordnung EU 2016/679) und den RL (EU) \n\n2016/68017 sind zwei wichtige Grundpfeiler des EU-Datenschutzrechts in Kraft \n\ngetreten. Wie oben bereits erwähnt wirken sich die RL (EU) 2016/680 \n\n(«Richtlinien des Europäischen Parlaments und des Rates zum Schutz natürlicher \n\nPersonen zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung \n\nvon Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und \n\n \n15 SR 0.235.1 \n16 Art. 29 Convention modernisée pour la protection des personnes à l’égard du traitement automatisé des \ndonnées à caractère personnel (konsolidierte Abfassung der Revision vom 18.05.2018) \n17 ABl (EU) L 119, 89ff. vom 04.05.2016 \n\n\n\n6 \n \n\n \n\nzur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates») auch in der CH \n\nmit unmittelbarer Verbindlichkeit für die zuständigen öffentlichen Organe aus, \n\nwelche im Bereich der Strafverfolgung, des Strafvollzuges und der Prävention in \n\ndiesem Bereich tätig sind.  \n\nZiel dieser Richtlinien bildet der Schutz der Grundrechte natürlicher Personen, \n\ninsbesondere der Schutz personenbezogener Daten im Bereich von Polizei und \n\nJustiz. In diesem Bereich verpflichten die Richtlinien die Schengen-\n\nMitgliedstaaten zur Einhaltung des in diesem Rechtserlass festgelegten \n\nMindeststandards, lassen ihnen jedoch ausdrücklich die Möglichkeit offen, \n\nstrengere Bestimmungen zu erlassen.  Wesentliche Neuerungen betreffen \n\nähnliche Regelungen wie die Neuerungen in der DSGVO, so Regelungen \n\nbetreffend Informations- und Löschungspflichten; Regelungen bezüglich \n\nBeschwerden an die Datenschutzbehörden, aber auch Rechtsbehelfe gegen das \n\nVerhalten von Datenschutzbehörden; Bestimmungen über die Datenschutz-\n\nAufsichtsorgane und deren Kompetenzen, Bestimmungen zu technischen \n\nSicherheits-Vorkehren im Datenschutz oder Normen zur \n\nDatenschutzfolgenabschätzung. Grundsätzlich hätten die Mitglieder des \n\nSchengen-Raums nach einer Übergangsfrist von zwei Jahren, d.h. bis zum 6. \n\nAugust 2018 die Richtlinien in ihrem Zuständigkeitsbereich umsetzen müssen18. \n\nIn der Schweiz ist dies bis anhin nur dem Kanton Aargau durch die Revision seines \n\nDatenschutzgesetzes fristgerecht gelungen. Der Kanton Bern hat, um die Frist \n\neinzuhalten, eigens eine Übergangsregelung, beschränkt auf den Bereich von \n\nPolizei und Justiz, im Hinblick auf die Richtlinien getroffen.  Ebenso ist auf \n\nBundesebene mit dem Erlass des Bundesgesetzes über die Schengen-Umsetzung \n\ndurch die beiden Kammern am 28. September 2018 etwas verspätet die Frist \n\neingehalten worden19. Hierzu ist anzumerken, dass das Parlament die \n\nAusgestaltung dieses Gesetzes im Wesentlichen entsprechend den Prinzipien \n\nund Grundsätzen gemäss dem Leitfaden der Konferenz der Kantonsregierungen \n\n(KdK) ausführte, ein Leitfaden, der unter starker Beteiligung von privatim, der  \n\nschweizerischen Vereinigung der Datenschutzbeauftragten, ausgearbeitet \n\nwurde und vor allem für die Revision der allgemeinen Datenschutzgesetzgebung \n\nvorgesehen ist.  Auch der Kanton Aargau liess sich bei der Revision seiner \n\nDatenschutzgesetzgebung über weite Strecken von diesem Leitfaden leiten.  \n\nAuch das Bundesdatenschutzgesetz befindet sich derzeit in Revision. Im \n\nSeptember 2017 richtete der BR die diesbezügliche Botschaft ans Parlament. Die \n\n \n18 Art. 63 Abs. 1 RL (EU) 2016/680; mit entsprechenden Ausnahmeklauseln in derselben Bestimmung \n19 SDSG (SR 235.3); BBl 2018 6003 \n\n\n\n7 \n \n\n \n\nStaatspolitische Kommission des Nationalrates beschloss Eintreten auf die \n\nVorlage und sprach sich in der Folge für eine Teilung der Vorlage aus, damit die \n\nEinhaltung der Frist für die Umsetzung der RL (EU) nicht allzu lange verzögert \n\nwerde und die Totalrevision des DSG20 nicht unter Zeitdruck erfolgen muss. \n\nAllerdings weist die bundesrätliche Vorlage, gemessen an \n\ndatenschutzrechtlichen Standards, wie sie seit Erlass der DSGVO im EU-Raum \n\ngelten, einige Mängel auf. So z.B. liesse sich überlegen, ob nicht Bestimmungen \n\nbetr. die Löschung von Personendaten nachgebessert werden sollten oder ein \n\nRecht auf Datenportabilität aufgenommen werden sollte, ein Anliegen, das erst \n\nseit relativ kurzer Zeit in der Datenschutz-Literatur diskutiert wird -  oder eine \n\nPflicht zum Nachweis der Datenschutzkonformität durch verantwortliche \n\nPersonendaten bearbeitende Instanzen statuiert werden könnte. Sinn würde \n\neine solche Nachbesserungen deswegen machen, weil zwar die DSGVO für die \n\nöffentlichen Organe keine direkte Verbindlichkeit entfaltet, es anderseits aber \n\nauch im Interesse der Schweiz sein muss, ein dem EU-Raum absolut \n\ngleichwertiges Datenschutzniveau aufzuweisen, will sie allfälligen \n\nbürokratischen Hürden zwischen der CH und der EU, nicht nur im privaten, \n\nvielmehr auch im öffentlichen Bereich, ausweichen.  \n\nBis jetzt kann festgestellt werden, dass die im bundesrätlichen Revisionsentwurf \n\ngemachten Vorschläge, soweit diese den öffentlichen Bereich betreffen, eher \n\nwenig umstritten sind.  Zu reden geben teilweise vielmehr Vorschläge, soweit sie \n\nden privaten Bereich betreffen.  Daher wurden auch schon Stimmen laut, die \n\nDatenschutzgesetzgebung gänzlich aufzuteilen und je ein Datenschutzgesetz für \n\nöffentlich-rechtliche und privatrechtliche Rechtsverhältnisse zu erlassen.21 \n\nAuch das Urner Datenschutzgesetz weist angesichts der internationalen \n\nRechtsentwicklung und der rasant fortschreitenden Digitalisierung nicht nur im \n\nprivaten, sondern auch im öffentlichen Bereich ganz erheblichen \n\nRevisionsbedarf auf. Der Datenschutzbeauftragte hat der Justizdirektion \n\nzuhanden des Rechtsdienstes entsprechende Revisionsvorschläge für die \n\nAusarbeitung einer Botschaft an den Landrat unterbreitet. Auch auf kantonaler \n\nEbene kann über weiteste Strecken dem Leitfaden der KdK wahrscheinlich \n\ngefolgt werden, drängen sich doch relativ viele Empfehlungen durch die \n\nVorgaben der E-Konv108+ des Europarates und der RL (EU) 2016/680, aber auch \n\ndurch die zu erwartende Revision des eidgenössischen DSG, soweit sie den \n\nöffentlichen Bereich betrifft, auch für die kantonale Ebene auf. Dabei bleibt \n\n \n20 Bundesgesetz über den Datenschutz; SR 235.1 \n21 Vgl. Prof. Dr. Beat Rudin, Nun braucht es den zweiten Schritt, digma, 2018, Heft 1, S. 24ff.  \n\n\n\n8 \n \n\n \n\ninsbesondere zu beachten, dass zwar die Kantone im Bereich des Datenschutzes \n\ngrundsätzlich autonom, unabhängig vom Bund, legiferieren, ausser dass der \n\nBund, sofern keine kantonale Bestimmungen über den Datenschutz bestehen \n\nwürden, gewisse Bestimmungen des Bundes für das Bearbeiten von \n\nPersonendaten im Bereich des Vollzuges von Bundesrecht für die Kantone als \n\ngültig erklären kann und ihnen vorschreiben kann, eine Datenschutzstelle \n\neinzurichten22. Aber auch die Kantone sind, genau wie der Bund, rechtlich an die \n\ninternationalen Vorgaben von E-Konv108 und RL (EU) 2016/680, soweit diese \n\nzwingende Bestimmungen enthalten, gebunden. Auch wenn die EU-Richtlinien \n\nformal nur für den Bereich von Strafverfolgung und Justiz gelten, würde es \n\ndatenschutzrechtlich eher widersinnig erscheinen, wenn ausgerechnet im \n\nBereich ausserhalb der Strafverfolgung und des Strafvollzuges, ein weniger \n\nstrenges datenschutzrechtliches Niveau gelten würde als im \n\nStrafverfolgungsbereich. Geht es doch beim Datenschutz um zentralste \n\nGrundrechte, also um den Schutz der persönlichen Integrität von betroffenen \n\nMenschen. Überdies bleibt zu beachten, dass die RL (EU) über weiteste Strecken \n\nden Grundsätzen und Prinzipien der DSGVO der EU nachgebildet sind, und somit \n\ndem Datenschutzniveau angeglichen wurden, wie es europaweit herrscht.    \n\n \n\nDigitalisierung und öffentliche Hand   \n\nUnter datenschutzrechtlichen Aspekten fällt manchmal auf, wie \n\nArgumentationsweisen sehr verschiedenartig verlaufen, je nach Interessenlage. \n\nSo können, wenn einerseits raschere, effizientere und kostengünstigere \n\nVerwaltungsprozesse thematisch im Vordergrund stehen oder wenn anderseits \n\ndie je eigene grundrechtliche Betroffenheit einer Person im Mittelpunkt steht, \n\ndie Argumentationsweisen ganz verschiedene Stossrichtungen einnehmen. Es \n\nsind perspektivische Sichtweisen und Interessenkonstellationen, die einerseits \n\nsehr wichtige öffentliche Interessen beinhalten, anderseits aber auch sehr \n\nzentrale Rechtsgüter berühren, sich aber selten gänzlich kongruent in \n\nÜbereinstimmung bringen lassen. Die Digitalisierung nicht nur des privaten, \n\nvielmehr auch des öffentlichen Bereichs bringt unbestreitbar riesige Vorteile, \n\nvermehrte Effizienz und viele Erleichterungen mit sich. Die fortschreitende \n\nDigitalisierung weckt aber andererseits ebenso unbestreitbar ein starkes, \n\nunstillbares Verlangen, einmal vorhandene Daten, und so auch Personendaten, \n\nfür möglichst viele Zwecke verfügbar zu machen. Da mögen bei Einführung neuer \n\nProjekte oder anlässlich der Schaffung von gesetzlichen Grundlagen anfänglich \n \n\n22 Art. 37 DSG Bund; SR 235.1 \n\n\n\n9 \n \n\n \n\nnoch so gute Grundsätze verfolgt und Versprechungen abgegeben werden: Der \n\npraktische Alltag lässt jeweils nicht lange auf sich warten und die Verfügbarkeit \n\nvon vorhandenen Personendaten wird unter irgendeinem leicht zu \n\nvermittelnden Argument oder Titel auszuweiten versucht. An empirischen \n\nBeispielen würde es da wohl nicht fehlen:    \n\nAlle erinnern sich an die Abstimmung über das Referendum gegen die \n\nEinführung eines biometrischen Passes im Mai 2009.  Zwar lehnte eine knappe \n\nMehrheit der Stände den Bundesbeschluss ab, während das dazu nötige \n\nVolksverdikt (schweizerisch: 50.1% Ja zu 49,9% Nein) äusserst knapp ausfiel. \n\nUnser Kanton stimmte, gerade umgekehrt zum gesamtschweizerischen \n\nVolksverdikt, hauchdünn dem Referendum zu mit 49,21% Ja zu 50,79% Nein. Wir \n\nalle haben noch die Argumentationen der befürwortenden Kräfte für die \n\ndamalige Bundes-Vorlage im Kopf, z.B. Stichworte wie »kein polizeilicher Zugriff \n\nauf die entsprechende zentrale Datenbank» usw. Es vergingen keine zwei Jahre, \n\nals im Parlament eine Motion deponiert und in der Folge vom Nationalrat wie \n\nvom Ständerat gutgeheissen wurde, die der Polizei den Zugriff auf die \n\nentsprechende zentrale Datenbank ermöglichen sollte. Es ist ein geradezu \n\nklassisches Beispiel, wie der rasante digitale Fortschritt nicht nur im privaten, \n\nvielmehr auch im öffentlichen Bereich ein exponentielles Wachstum an \n\nVerfügbarkeit von Personendaten ermöglicht und wie gleichzeitig dazu auch der \n\nHunger nach Personendaten seitens öffentlicher Funktionsträgerschaften \n\nproportional zu diesem Wachstum wächst.23  Ein weiteres Beispiel wäre die \n\nAHVN13. Anfänglich wurden klare gesetzliche Leitplanken eingebaut, um die \n\nVerwendung dieses zentralen Personen-Identifikators nach Möglichkeit \n\neinzuschränken.24 Heute ist eine Revision des AHVG im Gang, dahingehend, \n\ndiesen zentralen Personen-Identifikator bei begründetem Bedarf möglichst \n\nflächendeckend auf allen öffentlichen Ebenen einsetzen zu können, trotz auch \n\ngewisser Bedenken von Fachpersonen25.  Und es gäbe weitere Beispiele zu \n\nnennen, wie Errungenschaften digitaler Projekte auch im öffentlichen Bereich \n\nden Personendatenhunger enorm anregen.  \n\nAls weiteres Beispiel möge dienen die Contact-Tracing-App, auch sie eine \n\nwunderbare Errungenschaft des digitalen Fortschritts, die sich in Zeiten von \n\nPandemien als effizientes Instrumentarium gegen eine rasante Ausbreitung von \n\nKrankheiten einsetzen lässt und dadurch den Menschen manche Grundrechte, \n\n \n23 Vgl. auch: Prof. Dr. Beat Rudin, Digitalisierung braucht mehr als Feigenblätter, in digma, 2018, Heft 2, S. 66 \n24 Vgl. Art. 50e AHVG; SR 831.10 und entsprechender Revisionsentwurf \n25 Gutachten Prof. Dr. David Basin, Risk Analysis on Different Usages of the Swiss AHV Number, (ETH Zürich, 27. \nSeptember 2017) \n\n\n\n10 \n \n\n \n\nz.B. Versammlungs- oder Bewegungsfreiheit, auch in Krisenzeiten zumindest \n\nteilweise auszuüben ermöglicht, wenn sie denn soweit als möglich unter \n\nEinhaltung von datenschutzrechtlichen  Rahmenbedingungen programmiert \n\nwird und nach Beendigung einer Pandemie nicht gestützt auf jedes praktische \n\nBedürfnis wieder eingesetzt werden darf. \n\n \n\nIV \n\nBeispiele aus der Beratungstätigkeit \n\n1. \n\nAuslagerung von Personendaten durch die Kantonspolizei zur Bearbeitung an \n\nDritte oder andere Polizeicorps \n\nDie Anfrage beinhaltet die Frage, wie weit es möglich (zulässig) erscheint, \npolizeiliche Daten an Dritte (spezialisierte Firmen), bzw. an eine andere Polizei \nzur Auswertung auszulagern, weil die Auswertung durch eigene Leute mangels \ngeeigneter Infrastruktur unverhältnismässig viel Zeit in Anspruch nehmen und \nauch sehr hohe Kosten betreffend die Ausbildung, Infrastruktur etc. verursachen \nwürde. \n\nDas derzeit geltende Urner Datenschutzgesetz kennt keine Bestimmung, in \nwelcher die Datenbearbeitung durch Dritte explizit geregelt wird, was eigentlich \nein Mangel darstellt, welcher anlässlich einer künftigen Revision dringend \nbehoben werden muss. In vielen kantonalen, aber auch in der  \nDatenschutzgesetzgebung des Bundes ist diese Frage ausdrücklich geregelt, d.h., \neine Auslagerung, bzw. ein Outsourcing unter bestimmten Bedingungen ist \nerlaubt, sofern es die Umstände als notwendig erscheinen lassen26. Aus \ndatenschutzrechtlicher Sicht bin ich der Auffassung, dass es auch der \nöffentlichen Hand in Uri nicht unter allen Umständen untersagt sein kann, die \nBearbeitung von Personendaten auszulagern, wenn es die Situation dringend \nerfordert. In gewissen Gebieten, wie z.B. im Gesundheitsgesetz, wird dies \nindirekt auch ausdrücklich geregelt27, wobei allerdings die Übertragung von \ngesetzlichen Aufgaben mit einer Auftragsdatenbearbeitung inhaltlich nicht \ndeckungsgleich ist. Natürlich haben die öffentlichen Organe die ihnen \nobliegenden gesetzlichen Aufgaben, und die damit verbundene Bearbeitung von \nPersonendaten grundsätzlich in eigener Regie zu erfüllen, solange keine \ngesetzliche Grundlage eine andere Lösung ermöglicht. Aber auch wenn keine \neinschlägige gesetzliche Bestimmung in der Sachgesetzgebung vorhanden ist, \n\n \n26 Vgl. Art. 10a DSG Bund; SR 235.1 \n27 Gesundheitsgesetz Art. 4; RB 30.2111 \n\n\n\n11 \n \n\n \n\nsollte, wenn es die Situation dringend erfordert, eine Auslagerung möglich sein. \n\nGestützt auf diese Annahme erscheint zwar der Wortlaut von Art. 3 Abs. 1 lit. d \nDSG28 nicht direkt auf die unterbreitete Fragestellung anwendbar. Der Begriff \n«mit der Erfüllung öffentlicher Aufgaben betraut zu sein» ist viel umfassender \nals der Begriff der Auftragsdatenbearbeitung und der Gesetzgeber hat wohl \nnicht spezifisch an das Auslagern von Personendaten zur Bearbeitung gedacht. \nBearbeiten Dritte (Privatfirmen) oder z.B. ein anderes Polizeicorps im Auftrag der \nKantonspolizei Personendaten im Rahmen eines Outsourcings, so käme diesen \ndadurch noch kein Behördenstatus zu im Sinne von Art. 3 Abs. 1 lit. d DSG zu. \nHingegen findet sich eine Strafbestimmung im Datenschutzgesetz des Kantons \nUri, die so ausgestaltet ist, dass sich zur Not daraus e contrario schliessen lässt, \ndass ein Outsourcing nicht unter allen Umständen untersagt ist, selbst wenn es \nsich dabei um eine etwas gewagte Interpretation handelt. Das Urner DSG ist in \nseinen Grundsätzen weitgehend, soweit es den öffentlichen Bereich betrifft, \ndem Datenschutzgesetz des Bundes29  nachgebildet. Dieses regelt in Art. 10a \nunter dem Titel „Datenbearbeitung durch Dritte“ die Frage insofern, als die \nDatenbearbeitung durch Vereinbarung oder Gesetz Dritten übertragen werden \nkann, sofern die Daten nur so bearbeitet werden, wie der Auftraggeber (das \nöffentliche Organ) es selber darf und keine gesetzliche oder vertragliche \nGeheimhaltungspflicht es verbietet. Nachdem im Urner DSG die \nAuftragsdatenbearbeitung bis anhin nicht explizit geregelt ist, was als eine echte \nGesetzeslücke betrachtet werden darf und nicht als ein qualifiziertes Schweigen \nbehandelt werden muss, lässt sich gestützt auf Art. 24a Abs. 1 lit. c DSG dennoch \nvertreten, dass das Datenschutzgesetz eine Auftragsdatenbearbeitung nicht \nunter allen Umständen untersagen will und unter den weiter unten \nausgeführten Leitplanken eine Auftragsdatenbearbeitung möglich sein sollte.  \n\nDas Polizeigesetz des Kantons Uri regelt den Umgang mit polizeilichen Daten \nunter Art. 43ff. PolG (RB 3.8111) und erklärt das kantonale DSG subsidiär für \nanwendbar, soweit das Polizeigesetz oder die StPO (SR 312.0) nichts anderes \nbestimmt. Art. 44 und 45 PolG betreffen aus datenschutzrechtlicher Sicht nicht \ndie unterbreitete Fragestellung. Soweit ich sehe, ist mit diesen Bestimmungen \nnicht das eigentliche Auslagern oder Outsourcing einer Datenbearbeitung \ngemeint, die eigentlich der Kantonspolizei obliegt. Vielmehr geht es bei diesen \nBestimmungen,  insbesondere bei Art. 45 PolG, um den gegenseitigen \nDatenaustausch in Form von Hilfestellungen bei der Erfüllung von gesetzlichen \nAufgaben durch das Empfängerorgan der jeweiligen Polizeibehörde und \nallenfalls um Sicherheitsmassnahmen zugunsten von betroffenen privaten \nPersonen. Aufgrund dieser Regelung im Polizeigesetz kann jedoch gesagt \n\n \n28 RB 2.2511 \n29 SR 235.1 \n\n\n\n12 \n \n\n \n\nwerden, dass dieses Gesetz ein Auslagern nicht a priori verbietet, indem es eine \ngesetzliche absolute Geheimhaltungspflicht statuieren würde. \n\nZieht man, wie oben erwähnt, Art. 24a Abs. 1 lit. c DSG e contrario heran, und \nauch mit Blick auf das DSG Bund und andere kantonale Datenschutzgesetze, so \nempfiehlt es sich, bei einer Auslagerung, die immer nur subsidiär erfolgen sollte, \ngewisse Grundsätze zu beachten, wie sie in der Datenschutzrechts-Literatur \nAnerkennung finden. Vorliegend geht es um Outsourcing bei der Kantonspolizei:         \n\n. Verantwortlich für die Bearbeitung von polizeilichen Daten bleibt auch bei \nAuslagerung grundsätzlich die Kantonspolizei, bzw. dasjenige Organ, welches \ninnerhalb der Polizei für diese gesetzliche Aufgabe zuständig ist. Ein \nAuftragnehmer/Auftragnehmerin ist lediglich im Rahmen der vertraglichen \nVereinbarung ermächtigt, Informationen der Kantonspolizei Uri zu bearbeiten. \n\n. Die Kantonspolizei Uri, bzw. dessen zuständiges Organ, muss die rechtliche \nVerfügungsmacht über die zu bearbeitenden Daten behalten. Das bedeutet z.B., \ndass es dem Auftragnehmer jederzeit und ohne Begründungspflicht und \nungeachtet der jeweiligen konkreten vertraglichen Situation den Zugang zu den \nbearbeiteten Daten verwehren können muss, bzw. die vertraglich geregelte \nAuslagerung widerrufen können muss. Die Polizei muss sich vorbehalten, dass \nsie die bearbeiteten Daten jederzeit in einem zum Voraus vereinbarten Format \nheraus verlangen darf und dass der Auftragnehmer sich verpflichten muss, auf \nGeheiss der Kantonspolizei die bearbeiteten Informationen bei sich \nunwiderruflich zu löschen und zu vernichten.   \n\n. Die vom Auftragnehmer bearbeiteten Informationen dürfen ausschliesslich \nzum vertraglich festgelegten Zweck bearbeitet werden (Art. 4 DSG). Weitere \nBearbeitungen für vertragsfremde Zwecke dürfen ohne ausdrückliche \nschriftliche Zustimmung seitens der Kapo Uri nicht erfolgen. \n\n. Eine Bekanntgabe von Informationen an Dritte durch den Auftragnehmer darf \nnicht erfolgen.   \n\n. Es versteht sich, dass ein Auftragnehmer, dessen sämtliche Mitarbeitende, und \nsofern vertraglich zulässig, dessen Unterauftragnehmer, im Rahmen der \nVertragserfüllung einer umfassenden Geheimhaltungs- und Schweigepflicht, sei \nes aufgrund des Amtsgeheimnisses, sei es aufgrund einer vertraglichen \nGeheimhaltungspflicht, unterstehen. Bei der Kantonspolizei beziehen sich diese \nGeheimhaltungspflichten auf sämtliche Systeme, Prozesse und Informationen. \nEntsprechend müssen sie auch innerhalb des Betriebes der beauftragten \nInstitution/Firma, auf sämtlichen Stufen, ungeachtet der hierarchischen \nPosition, gelten. Drängt sich die Auslagerung von besonders schützenswerten \n\n\n\n13 \n \n\n \n\nPersonendaten30 auf, so sollten Mitarbeitende des \nAuftragnehmers/Unterauftragsnehmers, für die Bearbeitung dieser Daten, \nwenn technisch möglich, dem direkten Kontroll- und Weisungsrecht der \nKantonspolizei, bzw. der dortigen zuständigen Stelle, unterstellt sein. \n\n. Beruft sich jemand auf das Öffentlichkeitsprinzip der kantonalen Verwaltung \n(Information auf Anfrage, Art. 6 ff. OeG)31 und ersucht um irgendwelche \nInformationen, welche Daten (Personen- oder Sachdaten) betreffen, die durch \neinen Auftragnehmer bearbeitet werden, so sollte ausdrücklich vereinbart \nwerden, dass das Gesuch lediglich durch die zuständige Stelle der Kantonspolizei \nUri bearbeitet werden darf. \n\n. Die Durchsetzung der Rechte von betroffenen Personen im Sinne von Art. 14ff. \nDSG ist, falls die verantwortliche Stelle der Kantonspolizei oder eine \nBeschwerdeinstanz dem Anspruch stattgibt, vom Auftragnehmer technisch zu \ngarantieren.  \n\n. Der Auftragnehmer kennt die Pflicht der Kantonspolizei, für die vollumfängliche \nSicherheit der bearbeiteten Daten im Sinne von Art. 11 DSG besorgt zu sein. Die \nKantonspolizei orientiert den Auftragnehmer über die Pflichten betreffend \nSchutzbedarf der bearbeiteten Personendaten. Besonders schützenswerte \nPersonendaten verlangen nach einem höheren Schutzbedarf. Der \nAuftragnehmer bietet Gewähr, dass er fachlich und technisch in der Lage ist, \ndiesem Schutzbedarf der Personendaten nachzuleben. Er verfügt über ein \nhinreichendes Sicherheitskonzept, damit die Datensicherheit während und \nausserhalb des Betriebes aufrechterhalten werden kann. Es gelten nach \nMöglichkeit die gängigen Sicherheitsstandards. \n\n. Der Auftragnehmer trifft die organisatorischen Massnahmen und ist fachlich \nund technisch in der Lage, diejenigen Informationen und Datenbestände, die er \nim Auftrag der Kantonspolizei bearbeitet, von den eigenen wie von denjenigen \nanderer Auftraggeber, völlig zu trennen. Der Auftragnehmer verschafft \ngegenüber der Kantonspolizei Transparenz betreffend die Methoden und \nProzesse, die er zur Einhaltung der Datensicherheit anwendet. Die \nKantonspolizei hat das Recht, allfällige sicherheitsrelevante Unterlagen \neinzusehen und sich die betrieblichen Abläufe vorführen zu lassen.  \n\n. Stellen sich ausserordentliche Vorkommnisse ein wie beispielsweise \nDatenverlust, unrechtmässige Zugriffe oder Hackerangriffe, informiert der \nAuftragnehmer die Kantonspolizei umgehend in einem eigens dazu \nvorbereiteten Meldeverfahren.  \n\n \n30 Art. 3 Abs. 1 lit. f DSG \n31 RB 2.2711 \n\n\n\n14 \n \n\n \n\n. Der Auftragnehmer verpflichtet sich, in periodischen Abständen Sicherheits-\nAudits nach anerkannten Standards durchzuführen. Auf Anfrage stellt er der \nKantonspolizei die Berichte unentgeltlich zur Verfügung.   \n\n. Der Auftragnehmer darf Dritte zur Erfüllung des ihm erteilten Auftrages nur \nbeiziehen, wenn die Kantonspolizei schriftlich die Zustimmung erteilt oder er die \nAbsicht einer Erteilung eines Unterauftrages anlässlich der \nVertragsverhandlungen mit der Kantonspolizei offenlegt. Ein allfälliger \nUnterauftragnehmer muss in der Lage sein, sämtliche Verpflichtungen, die sich \nfür den Auftragnehmer aus dem Vertragsverhältnis mit der Kantonspolizei \nergeben, zu erfüllen sowie über die fachlichen und technischen Voraussetzungen \nverfügen.       \n\n. Bei der Wartung und Entwicklung von Systemen des Auftragsnehmers durch \nDritte leistet der Auftragnehmer Gewähr, gemäss den organisatorischen und \ntechnischen Möglichkeiten zu verhindern, dass diese Dritte Einblick in die \nausgelagerten Informationen der Kantonspolizei erhalten. \n\n. Die durch die Kantonspolizei ausgelagerten Daten dürfen grundsätzlich durch \neine andere Polizei oder Dritte nur in der Schweiz bearbeitet, gespeichert und \narchiviert werden. Drängt sich eine Bearbeitung aus unausweichlichen Gründen \nim Ausland auf, so darf dies nur geschehen, wenn die Kriterien von Art. 8a DSG \nvollumfänglich erfüllt sind.  \n\n. Benutzt der Auftragnehmer Cloud Computing, so darf er dies nur mit \nZustimmung der Polizei tun und er hat zu garantieren: \n\n. Der Auftragnehmer informiert und dokumentiert die zuständige Stelle der \nKantonspolizei schriftlich und umfassend über die verwendete Technologie, bzw. \nüber deren Weiterentwicklung. Insbesondere informiert er die zuständige Stelle \nauch über sämtliche möglichen Datenbearbeitungsorte (Serverstandorte). \n\n. Werden besonders schützenswerte Personendaten bearbeitet, dürfen diese \nnur mit einer umfassenden kryptographischen Sicherung in die Cloud einfliessen. \nDiese kryptographische Sicherung muss in jeder Phase der Bearbeitung, bis und \nmit Löschung und Vernichtung der besonders schützenswerten Personendaten, \ndurch den Auftragnehmer garantiert sein. Die zu dieser Sicherung notwendigen \nZertifikate (Schlüssel) verwaltet die Kantonspolizei selbst. \n\n. Die Einhaltung der gegenseitig eingegangenen Vertragsverpflichtungen sollten \nmit einer vertraglich ausgehandelten Konventionalstrafe, unter Vorbehalt der \nGeltendmachung allfälligen weiteren Schadens, abgesichert werden.  \n\n. Es versteht sich, dass die Bezahlung einer Konventionalstrafe nicht von der \nPflicht zur strengen Wahrung der Geheimhaltungspflichten befreit. Auch allfällig \nrelevante strafrechtliche Normen werden dadurch nicht aufgehoben. \n\n\n\n15 \n \n\n \n\n. Der Auftragnehmer sollte ausdrücklich verpflichtet werden, bei Aufhebung des \nVertragsverhältnisses, unbesehen aus welchem Grund, sämtliche Bestände an \nbearbeiteten Informationen auf Geheiss der Kantonspolizei dieser in einem \nvereinbarten Format unverzüglich und unentgeltlich bedingungslos \nherauszugeben. Ein vorläufiger Rückbehalt darf selbst dann nicht stattfinden, \nwenn sich die Vertragsparteien in einem Rechtsstreit befinden sollten. \n\n. Überdies muss die Polizei vom Auftragnehmer verlangen können, nach \nAuflösung des Vertrages sämtliche im Rahmen dieses Vertrages bearbeiteten \nInformationen unentgeltlich zu vernichten und diese Vernichtung entweder \nselbst, oder durch unabhängige Dritte kontrollieren zu lassen. \n\n. Sämtliche Mitarbeitenden des Auftragnehmers oder eines allfälligen \nUnterauftragnehmers unterstehen auch nach Vertragsauflösung als \nHilfspersonen der strengen gesetzlichen Geheimhaltungspflicht. Als \nanwendbares Recht gilt nur schweizerisches Recht.  Als Gerichtsstand gilt der Sitz \nder Kantonspolizei.        \n\n  \n\n2. \n\nAnfrage einer Gemeinde betreffend Kompetenzen eines privaten \nSicherheitsdienstes. \n\nIm Zusammenhang mit dem Freizeit- und Veranstaltungsbetrieb in der \nUmgebung von Sportanlagen, einem Jugendlokal und Jugendtreffpunkt, dem \nSchulhausareal usw., d.h. an öffentlichen Örtlichkeiten einer Gemeinde, bildet \nes das Ziel der Gemeindebehörden, für Ordnung zu sorgen und Littering, \nSachbeschädigungen und Konflikten präventiv vorzubeugen. In diesem \nZusammenhang erteilte der zuständige Gemeinderat einer privaten \nSicherheitsfirma einen Auftrag. In der Offerte/Auftrag (Pflichtenheft) finden sich \nals Schwerpunkte der Tätigkeit der Firma folgende Punkte aufgelistet: „Situation \nbeobachten; Gespräch suchen; auf Verhaltensregeln hinweisen und \ndurchsetzen; Konflikte verbal schlichten; eventuell Ausweise kontrollieren; \nAnsprechpartner der Auftraggeberin informieren oder aufbieten; wenn nötig \nPolizei kontaktieren; Ereignisrapport erstellen.“ In diesem Zusammenhang hat \noffenbar der beauftragte Sicherheitsdienst zwei schulpflichtige Jugendliche im \nUmgelände des Jugendlokals beobachtet, wie sie einen Joint vorbereiteten. Er \nhat den Vorgang fotografiert und ebenso deren ID-Ausweise fotografiert, also \ndie Personalien aufgenommen und dem Gemeinderat die Personendaten mit \ndem Rapport gemeldet. Gleichzeitig hat der Sicherheitsdienst auch den \nSchulleiter informiert, da es sich um zwei schulpflichtige Jugendliche handelte. \nDer Schulleiter seinerseits informierte die Eltern der beiden Jugendlichen, \n\n\n\n16 \n \n\n \n\nwelche über die Information froh waren. \n\nAus diesem Ereignis ergeben sich für die Gemeindebehörden folgende Fragen:  \n\n. Darf der Sicherheitsdienst Fotos machen vom Joint, allenfalls von den \nJugendlichen? \n\n. Darf der Sicherheitsdienst Fotos machen von den Personalausweisen der \nbeiden Jugendlichen? \n\n. Darf die Schulleitung die ihr zugetragene Information verwenden, indem sie \ndiese den Eltern weiterleitete? \n\nDie Regelungen bezüglich der Tätigkeiten (Rechte und Zuständigkeiten) privater \nSicherheitsdienste sind nicht in allen Kantonen einheitlich ausgestaltet. Es gibt \nKantone, die ihnen teilweise (ansatzmässig) hoheitliche Funktionen, gestützt auf \ngesetzliche Grundlagen, übertragen. Im Kanton Uri ist dies, wie auch in vielen \nandern Kantonen, ausdrücklich nicht der Fall32. Es dürfen aufgrund dieser \nBestimmung privaten Sicherheitsdiensten explizit keine hoheitlichen Befugnisse \nübertragen werden. Die Tätigkeit einer privaten Sicherheitsfirma stellt im \nGrunde ausschliesslich eine Präventivaktivität dar, die nicht in die persönliche \nFreiheit anderer Personen, auch nicht von Jugendlichen, eingreifen darf. Findet \nwirklich eine Gefährdung der öffentlichen Sicherheit statt, wo die Erfüllung von \nVergehens- oder Verbrechenstatbeständen zu erwarten sind, bzw. erfüllt \nwurden, so kann und darf gegen Personen nur durch Benachrichtigung der \nöffentlichen polizeilichen Organe vorgegangen werden, es sei denn, es handle \nsich um eine Notstandssituation im Sinne von StGB Art. 17.33 Eine \nGewaltbefugnis in Form eines kurzfristigen Festhaltens eines Störers zu diesem \nZweck ist allerdings erlaubt, jedoch nur im Rahmen des Notwehr-, Notstands- \nund Selbsthilferechts, dies dann, wenn Private, also nicht nur Sicherheitsdienste, \ngestützt auf Art. 218 StPO, Störer oder Straftäter vorläufig festhalten dürfen, um \ndas Rechtsgut einer Person aus einer unmittelbar drohenden, nicht anders \nabwendbaren Gefahr zu retten. Dies jedoch nur unter der Voraussetzung, dass \ndie Polizei nicht rechtzeitig auf den Platz kommen kann und die festzuhaltende \noder abzuwehrende Person bei einem Verbrechen oder Vergehen ertappt oder \nunmittelbar danach angetroffen wird. Oder auch etwa in Fällen, wo die \nÖffentlichkeit aufgefordert wird, bei der Fahndung mitzuhelfen. Es handelt sich \ndabei um sogenannte „Jedermannsrechte“, d.h., ein Recht, das jedermann bei \nallfällig gegebenen Voraussetzungen grundsätzlich zusteht. \n\nVorliegend hat der Sicherheitsdienst offenbar zwei Jugendliche im Schulalter \nbeobachten können, wie sie einen Joint drehen. Es ist offensichtlich, dass, wer \n\n \n32 Art. 59 PolG; RB 3.8111 \n33 SR 311.0 \n\n\n\n17 \n \n\n \n\neinen Joint dreht, sich allenfalls, wenn überhaupt, einer Übertretung schuldig \nmacht34 und niemanden gefährdet. Für ein Vorgehen im Sinne von Art. 218 StPO \nwären in einem solchen Fall die Voraussetzungen nicht erfüllt. \n\nIn der Vereinbarung ist nun unter der Liste, welche das Auftrags-Pflichtenheft \nbeinhaltet, auch „Eventuell Ausweise kontrollieren“ aufgeführt. Dies wäre \nrechtlich für eine private Sicherheitsfirma nur dann zulässig, wenn sie beauftragt \nwäre, allenfalls die Zugangskontrolle zu den Jugendräumlichkeiten – vielleicht \nanlässlich einer Veranstaltung – zu kontrollieren und die um Eintritt ersuchenden \nJugendlichen auffordern würde, sich auszuweisen, beispielsweise für eine \nAlterskontrolle. Aber auch in einem solchen Fall wäre sie zu einer \nAusweiskontrolle nur dann berechtigt, wenn die Jugendlichen freiwillig bereit \nwären, ihren Ausweis zu zeigen. Sind sie es nicht, dürfte eine private \nSicherheitsfirma keine Personalien kontrollieren, sondern einfach die \nJugendlichen abweisen, bzw. ihnen den Zugang verwehren. \n\nGemäss Urner Polizeirecht und auch nach dem Recht der meisten andern \nKantone, handelt es sich bei der Anhaltung und Identitätsfeststellung um eine \nklare polizeiliche Massnahme, somit um eine hoheitliche Befugnis, welche \nauszuüben einer privaten Sicherheitsfirma rechtlich verwehrt ist (Art. 59 PolG).  \n\nBeobachtet eine private Sicherheitsfirma auf dem umliegenden Areal eines \nJugendtreffpunktes, wo sie im Auftrag einer Gemeinde Sicherheitskontrollen \ndurchführt, dass Jugendliche Cannabis konsumieren oder \nVorbereitungshandlungen dazu treffen, darf sie wohl die Jugendlichen darauf \nansprechen, sie darauf hinweisen, dass der Konsum von Cannabis grundsätzlich \nnach wie vor illegal ist. Aber sie darf nicht deren Personalien kontrollieren, indem \nsie von diesen verlangt, sich auszuweisen. Allerdings kann der Sicherheitsmann \noder die Sicherheitsfrau die Polizei anvisieren und diese bitten, ihrerseits \nKontrollen durchzuführen. \n\nAuch wäre es im Sinne des Datenschutzes, aber auch im Sinne des allgemeinen \nPersönlichkeitsschutzes, nicht angängig, gezielt die Jugendlichen in einer solchen \nSituation (da lediglich eine allfällige Übertretung im Raum steht) zu fotografieren \nund die Bilder weiterzureichen. Denn dies liefe darauf hinaus, die \nIdentitätsüberprüfung faktisch auf visuellem Weg vorzunehmen. Ein solches \nVorgehen wäre auch durch Art. 218 StPO nicht gedeckt, da es sich um eine \nÜbertretung handelt.  \n\nEbenso wenig darf ein privater Sicherheitsdienst die ID-Ausweise fotografieren, \nes sei denn, die Jugendlichen hätten ihm die Ausweise ausdrücklich freiwillig \ngezeigt und ihm erlaubt, die Ausweise zu fotografieren. Voraussetzung dazu \n\n \n34 Art. 19a Abs. 1; allenfalls 19b Abs. 1 BetmG; SR 812.121 \n\n\n\n18 \n \n\n \n\nbildet jedoch, dass die Jugendlichen genau um den Umstand wissen, bzw. \naufgeklärt worden sind, dass sie einem privaten Sicherheitsdienst keinen \nAusweis zu zeigen verpflichtet sind. Wären sie im Vorfeld in irgendeiner Form, \nwenn auch nur subtil, eingeschüchtert worden, bewegt sich das Verhalten des \nSicherheitsdienstes im illegalen Bereich. \n\nInsofern ist es nicht statthaft, dass ein privater Sicherheitsdienst dem \nGemeinderat die Personalien der betroffenen Jugendlichen rapportiert, selbst \nwenn er im Auftrag des Gemeinderates arbeitet. Zweifelsohne darf und muss der \nSicherheitsdienst seinem Auftraggeber rapportieren, dass Jugendliche \nbeobachtet wurden, wie sie im Umgelände des Jugendlokals Cannabis \nkonsumierten oder Vorbereitungen dazu trafen. Das zu wissen liegt im \ngesetzlichen Interesse einer Gemeindebehörde.  \n\nDie Identitätskontrolle, d.h. die Ausweiskontrolle eines/einer Jugendlichen stellt \neine Bearbeitung von Personendaten dar. Wird die Kontrolle durch einen \nprivaten Sicherheitsdienst vorgenommen, ohne dass ein Jugendlicher freiwillig \nzustimmt – freiwillig bedeutet in diesem Zusammenhang, dass ein Jugendlicher \nim genauen Wissen um seine Rechte und Pflichten einer Kontrolle zustimmt und \nzwar ohne jegliche unstatthafte Beeinflussung – dann gilt eine derartige \nBearbeitung von Personendaten als nicht rechtens. Art. 59 PolG verbietet \nausdrücklich, dass eine private Sicherheitsfirma gegenüber Personen hoheitliche \nBefugnisse im Sinne von polizeilichen Massnahmen35 ausüben oder sich \naneignen darf.  \n\nAndererseits verlangt Art. 4 Abs. 1, 2 und 3 DSG,36 dass Personendaten \ngrundsätzlich nur gestützt auf eine gesetzliche Grundlage oder zur Erfüllung \neiner gesetzlichen Aufgabe und ganz allgemein nur rechtmässig bearbeitet \nwerden dürfen. Die Überprüfung der persönlichen Identität (Ausweiskontrolle) \nist, als Ausübung einer hoheitlichen Befugnis und polizeilichen Massnahme, \neiner privaten Sicherheitsfirma verwehrt.  \n\nAnders verhielte es sich, wenn die betreffenden Jugendlichen den Vertretern des \nSicherdienstes ohnehin persönlich bekannt waren. Wenn also die Jugendlichen \nihnen ohne jegliche Personenüberprüfung namentlich bekannt gewesen wären, \nwäre eine Meldung dieser Jugendlichen an den Gemeinderat nicht zu \nbeanstanden. Hingegen ist eine direkte Meldung des Sicherheitsdienstes der \nPersonalien an die Schulleitung aufgrund des von ihm wahrzunehmenden \nAuftrages streng genommen nicht korrekt. Zum einen erfüllt der \nSicherheitsdienst einen Auftrag, der ihm vom Gemeinderat erteilt wurde. Der \nGemeindeschreiber handelte wahrscheinlich in Vertretung des Gemeinderates, \n\n \n35 Art. 13ff. PolG \n36 RB 2.2511 \n\n\n\n19 \n \n\n \n\nnicht der Schulbehörden. Aufgrund der kantonalen Schulgesetzgebung erstreckt \nsich der Verantwortungsbereich der Schulbehörden (Schulrat, Schulleitung und \nLehrerschaft) primär, sachlich wie örtlich, auf den Bereich der Schule, allenfalls \nauf das Schulhausareal.  \n\nAus datenschutzrechtlicher Sicht liesse es sich hingegen vertreten, wenn eine \nMitteilung seitens des Gemeinderates an die Schulleitung ergehen würde, sofern \ner aufgrund derartiger Feststellungen zur Überzeugung gelangen und erhebliche \nIndizien darauf hinweisen würden, dass ein schulpflichtiger Jugendlicher ein \nproblematisches Freizeitverhalten, z.B. frühzeitiger und übermässiger \nAlkoholkonsum, oder eben Cannabis-Konsum, erkennen lässt. Dies liesse sich \ngestützt auf Art. 7 DSG dahingehend rechtfertigen, als in erster Linie die \nSchulbehörden, in Zusammenarbeit mit den Eltern, gefordert wären, wenn sich \nernst zu nehmende Anzeichen eines solchen problematischen Freizeitverhaltens \nzeigen sollten. Dies aus der Überlegung, dass das Freizeitverhalten eines/einer \nschulpflichtigen Jugendlichen, soweit es die Entwicklung von deren \nPersönlichkeit mitberührt, zwar formal nicht das schulische Verhalten betrifft, \nsich jedoch pädagogisch nicht gänzlich von diesem Verhalten, und damit vom \nErziehungsauftrag, abtrennen lässt. \n\nDie Mitteilung seitens der Schulleitung an die Eltern scheint mir aus \nDatenschutzgründen bei der vorliegenden Konstellation nicht problematisch. \nDies aus der Überlegung, dass einerseits im Kontext des gesamten Erziehungs- \nund Bildungsauftrages, welchen die Bildungs-Gesetzgebung sowohl einerseits \nden Schulbehörden als anderseits auch den Eltern auferlegt, beide Seiten zu \neiner konstruktiven Zusammenarbeit verpflichtet sind. Hingewiesen sei in \ndiesem Zusammenhang stellvertretend auf Art. 47 Abs. 1 und 2 SchulG.37  \nAnderseits haben alle, oder doch die allermeisten Eltern ein zentrales Interesse \ndaran, zu wissen, nicht was alles ihre Zöglinge konkret in der Freizeit treiben – \nder persönliche Freiraum muss selbstverständlich gewahrt bleiben - jedoch ob \ndas Freizeitverhalten ihrer Jugendlichen sich in einigermassen \nunproblematischen Bahnen bewegt. Unter diesem Gesichtspunkt ist eine \nMitteilung der Schulbehörden an die Eltern, dass ein schulpflichtiger \nJugendlicher beim Cannabis- oder Alkoholkonsum beobachtet wurde, \ndatenschutzrechtlich nicht zu beanstanden. \n\n \n\n \n\n \n\n \n\n \n37 RB 10.1111 \n\n\n\n20 \n \n\n \n\n3. \n\nGewährung des elektronischen Zugriffs auf Steuerdaten durch die Bildungs- \nund Kulturdirektion   \n\nDas Amt für Steuern wurde durch die BKD angefragt, ob zwei Mitarbeiterinnen, \ndie für die Sachbearbeitung von Ausbildungsbeiträgen zuständig sind, ein \ndirekter Zugriff in elektronischer Form auf die relevanten Steuerdaten gewährt \nwerden könne. Die ersuchende Behörde stützt sich bei ihrer Anfrage auf Art. 22 \nder Stipendienverordnung38 und führt im Wesentlichen aus, dass es immer \nwieder vorkomme, dass gesuchstellende Personen unvollständige oder nicht \nmehr aktuelle Unterlagen einreichen würden, sodass die Behörde darauf \nangewiesen sei, die fehlenden Unterlagen beim Amt für Steuern anzufordern.  \n\nDas Amt für Steuern weist in seinen Erläuterungen zu dieser Anfrage darauf hin, \ndass im Jahre 2015 in ca. 350 Fällen im Rahmen von Art. 22 der \nStipendienverordnung Auskunft an die BKD erteilt worden sei. Dabei habe sich \ndie Auskunftserteilung hauptsächlich auf die Monate September/Oktober \nkonzentriert. \n\nGestützt auf Art. 177 des Steuergesetzes39 unterliegt die Steuerverwaltung nebst \ndem allgemeinen Amtsgeheimnis einer relativ strengen besonderen \nGeheimhaltungspflicht. Vorliegend handelt es sich datenschutzrechtlich um die \nKonstellation der Bekanntgabe von Personendaten an eine andere Behörde im \nSinne von Art. 7 DSG40.  Eine solche Bekanntgabe ist grundsätzlich zulässig, wenn \neine gesetzliche Verpflichtung oder Ermächtigung vorliegt (Art. 22 \nStipendienverordnung) oder wenn für den Datenempfänger die Bekanntgabe für \ndie Erfüllung einer gesetzlichen Aufgabe als erforderlich erscheint. In Bezug auf \ndie steuerrechtlichen Personendaten der gesuchstellenden Personen, allenfalls \nihrer unterstützungspflichtigen Angehörigen, sind diese datenschutzrechtlichen \nVoraussetzungen zweifelsohne als erfüllt anzusehen. In diesem Rahmen wurden \nja bis anhin auch immer Auskünfte erteilt.  \n\nArt. 8b DSG erlaubt ein Abrufverfahren, wenn die datenschutzrechtlichen \nVoraussetzungen, welche Art. 7 und 8 DSG vorsehen, grundsätzlich erfüllt sind. \nBezüglich Art. 7 Abs. 2 sind sie vorliegend im Grunde über weite Strecken nicht \nerfüllt. Denn der in Art. 7 DSG erwähnte Vorbehalt einer besonderen \nGeheimhaltungspflicht nimmt im vorliegenden Kontext Bezug auf Art. 177 StG \nund bildet einen Persönlichkeitsschutz gerade auch für jene steuerpflichtigen \nPersonen, die nicht in einem Gesuchs-Verfahren um Gewährung von Stipendien \nstehen, die also nicht in das Segment jener Steuerpflichtigen fallen, die um \n\n \n38 RB 10.2201 \n39 RB 3.2211 \n40 RB 2.2511 \n\n\n\n21 \n \n\n \n\nAusrichtung von Studienbeiträgen ersuchen. Diese Personen besitzen ein \nschutzwürdiges persönliches Interesse, dass ihre Steuerdaten nur jenen privaten \nPersonen, aber auch Amtsstellen, offenbart werden, welche sie zur Erfüllung \neiner gesetzlichen Aufgabe benötigen. Insofern besteht im Sinne von Art. 9 DSG \nauch ein öffentliches Interesse, dass die Geheimhaltungspflicht im Sinne von Art. \n177 StG nur in absolut notwendigen Situationen durchbrochen wird. Art. 177 StG \nAbs. 5 zählt denn auch abschliessend auf, welchen Stellen bei allenfalls \nnotwendigem Bedarf der elektronische Zugang zu Steuerdaten gewährt werden \ndarf, was e contrario bedeutet, dass vorerst die Gewährung eines elektronischen \nZugangs an weitere Stellen untersagt ist. Es liegt also eine gesetzliche Schranke \nvor, über welche sich auch das Amt für Steuern, ohne Revision der Bestimmung, \nnicht hinwegsetzen darf.  \n\nIn diesem Zusammenhang muss nicht weiter darauf eingegangen werden, dass \ndie Ermöglichung eines elektronischen Abrufverfahrens für die Erfüllung von \ngesetzlichen Aufgaben, welche nur die Steuerdaten einer sehr stark \nbeschränkten Anzahl von Steuerpflichtigen erfordern, zumindest eine \npotentielle Durchbrechung der durch Art. 177 StG auferlegten \nGeheimhaltungspflicht darstellt.    \n\nDas Amt für Steuern spricht das Prinzip der Verhältnismässigkeit an und führt \nzwei Beispiele an, wo gegenüber kantonalen Ämtern aufgrund des \nMassengeschäftes und des dadurch bedingten sehr umfangreichen \nMengengerüstes von Anfragen die Auskunftserteilung durch elektronischen \nZugriff erledigt wird. Die beiden vom Amt für Steuern erwähnten elektronischen \nZugriffsmöglichkeiten durch kantonale Ämter sind denn auch durch Art. 177 Abs. \n5 StG ausdrücklich gedeckt.   \n\nGemäss der Definition von Art. 3 Abs. 1 lit. b DSG stellt die Gewährung eines \nelektronischen Zugriffs eine Bearbeitung von Personendaten dar. Art. 4 Abs. 3 \nverlangt, dass Personendaten nur verhältnismässig bearbeitet werden dürfen. \nVor dem Hintergrund dieser Bestimmung dürfte die Voraussetzung von Art. 4 \nAbs. 1 lit. a DSG kaum erfüllt sein, bezieht sich Art. 22 der Stipendienverordnung \ngrundsätzlich doch nur auf die Steuerdaten der gesuchstellenden \nSteuerpflichtigen.  \n\nEs bleibt auch zu beachten, dass Art. 17 und Art. 19 der Stipendienverordnung \ndie gesuchstellenden Personen zu einer detaillierten Mitwirkungspflicht anhält, \ndiese also gemäss den informellen Instruktionen der BKD verpflichtet sind, \ndetaillierte und aktuelle Unterlagen einzureichen. Im Übrigen ist es ihnen auch \nunbenommen, ihrerseits in eigener Regie die vollständigen und aktuellen \nSteuerunterlagen beim Amt für Steuern anzufordern. Art. 22 \nStipendienverordnung verpflichtet andere Behörden, so auch die \n\n\n\n22 \n \n\n \n\nSteuerbehörden, ausdrücklich nur soweit zur Amtshilfe, als dies sich für den \nVollzug der Stipendienverordnung als notwendig erweist. Vor diesem \nHintergrund ist, nebst der gesetzlichen Schranke von Art. 177 Abs. 5 StGB, \nohnehin auf das erwähnte Prinzip der Verhältnismässigkeit abzustellen. \n\nHinsichtlich des Datenschutzes verlangt der Grundsatz der Verhältnismässigkeit, \ndass allgemein nur so viele Personendaten wie nötig und so wenig wie möglich \nbearbeitet werden sollen. Eine Massnahme gilt allgemein dann als \nverhältnismässig, wenn sie einerseits für die Erreichung eines im Gesetz \nverankerten Zweckes (Art. 1 Stipendienverordnung) sich als notwendig erweist, \ndemnach den geringstmöglichen Eingriff darstellt und wenn sie anderseits \ngeeignet und demnach zwecktauglich ist. Überdies soll zwischen dem Zweck und \nder Massnahme ein vernünftiges Verhältnis bestehen (Verhältnismässigkeit im \nengeren Sinn). Dieser Grundsatz gilt ganz allgemein für staatliches Handeln, also \nauch im Bereich der Verwaltung und verpflichtet folgerichtig das Amt für Steuern \nzum geringstmöglichen Eingriff in die Persönlichkeitsrechte derjenigen \nSteuerpflichtigen, welche bei der BKD nicht als Gesuchsteller in Escheinung \ntreten. \n\nDas Amt Steuern legt dar, dass das Mengengerüst der Anfragen im \nZusammenhang mit Stipendiengesuchen im Vergleich mit andern elektronischen \nZugriffen doch relativ bescheiden ausfällt; dass das Handling der \nentsprechenden Applikation „NEST“ aufgrund der Komplexität steuerrechtlicher \nGegebenheiten sich als nicht ganz einfach erweist, derart, dass das Steueramt \nohnehin immer wieder mit weiteren Nachfragen belastet wird, insbesondere \ndann, wenn eine auskunftsersuchende Behörde nicht regelmässig mit dem \nAbfrageprogramm befasst ist. Es kommt wie erwähnt hinzu, dass gestützt auf \nArt.17 und 19 der Stipendienverordnung eine detaillierte Mitwirkungspflicht für \ndie Gesuchsteller statuiert ist, sodass es für die Gesuchsteller aufgrund der Info-\nUnterlagen der BKD zumutbar erscheint, möglichst in eigener Regie vollständige \nund aktuelle Gesuchsunterlagen beizubringen, bzw. zu vervollständigen.  \n\nAngesichts der geschilderten Umstände, der Anfragemengen, und der aufgrund \nder Komplexität nur relativ bedingten Entlastung des Amtes für Steuern \nerscheinen aus datenschutzrechtlicher Sicht die Voraussetzungen auch im \nHinblick auf das Verhältnismässigkeitsprinzip als nicht erfüllt, die in Art. 177 \nstatuierte Geheimhaltungspflicht vorliegend durch die Gewährung eines \nelektronischen Zugriffs zu durchbrechen.                      \n\n   \n\n \n\n \n\n\n\n23 \n \n\n \n\n4. \n\nAnfrage des Kantonsspital Uri betreffend eine minderjährige Patientin \n\nIm Kantonsspital wurde eine minderjährige, jedoch urteilsfähige Patientin \n\nbehandelt. Da offenbar die Jugendliche eine nicht mehr aktuelle Krankenkasse \n\nangegeben hat, will sich das Spital bei den Eltern um die Anschrift der \n\nzuständigen Krankenkasse erkundigen, damit entsprechend Rechnungsstellung \n\nerfolgen kann. Die Mutter der Patientin hat das Spital angerufen und möchte \n\nden Grund der medizinischen Behandlung in Erfahrung bringen. Das \n\nKantonsspital hat der Mutter vorderhand keine diesbezügliche Auskunft erteilt \n\nund möchte die Rechtslage bei der Datenschutzstelle abgeklärt wissen.   \n\nAus datenschutzrechtlicher Sicht haben die Organe des Spitals korrekt reagiert. \nArt. 19c und Art. 305 Abs. 1 ZGB41 bestimmen, dass, unter Vorbehalt der Fälle, in \nwelchen das Gesetz die Zustimmung des gesetzlichen Vertreters vorsieht, \nurteilsfähige, grundsätzlich jedoch infolge Minderjährigkeit handlungsunfähige \nPersonen, die Rechte, die ihnen um ihrer Persönlichkeit willen zustehen, \nselbstständig auszuüben berechtigt sind. Auch die Mehrheit der Lehre vertritt \ndie Auffassung, dass die Liste der im höchstpersönlichen Bereich liegenden \nzustimmungsbedürftigen Geschäfte nicht durch Auslegung erweitert werden \ndürfe42. Das Gesetz regelt also abschliessend, welche höchstpersönlichen Rechte \neiner urteilsfähigen, minderjährigen Person seitens der gesetzlichen Vertretung \nzustimmungsbedürftig sind. Beispielhaft zu denken wäre etwa an Art. 90 Abs. 2 \noder Art. 183 Abs. 2 ZGB. In Bereichen, wo die Höchstpersönlichkeit einer \nminderjährigen, urteilsfähigen Person im Sinne von Art. 19c Abs. 1 ZGB betroffen \nist, d.h., wo es sich um Rechte handelt, die der Person um ihrer Persönlichkeit \nwillen zustehen und daher auch ohne Zustimmung der gesetzlichen Vertretung \nausgeübt werden können, ist die urteilsfähige Jugendliche zu selbstständigem \nHandeln berechtigt und braucht die Zustimmung der sorgeberechtigten Eltern \nnicht einzuholen. \n\nDaraus folgt: Vorliegend handelt es sich um eine 16-jährige Jugendliche, welche \nurteilsfähig ist. Sie hat sich entschlossen, an sich im Kantonsspital eine \nBehandlung durchführen zu lassen. Hierbei handelt es sich um eine medizinische \nBehandlung, welche für die Gesundheit der Betroffenen keine weiteren Folgen \nzeitigt. Insbesondere bleibt dadurch die elterliche Sorge unberührt insofern, als \nes sich nicht um eine Behandlung handelt, welche in der Folge von den \nsorgeberechtigten Eltern spezifische Fürsorgemassnahmen abverlangen würde. \nInsofern sind die Eltern auf die Kenntnis der betreffenden Personendaten nicht \nangewiesen, damit sie ihrer gesetzlichen Aufgabe als Sorgeberechtigte \n\n \n41 SR 210 \n42 Botschaft Erwachsenenschutzrecht BBl 2006 7001, 7095 \n\n\n\n24 \n \n\n \n\nnachkommen können. Gleichzeitig handelt es sich bei der besagten Behandlung \num einen Bereich, welcher besonders schützenswerte Personendaten im Sinne \nvon Art. 3 Abs. 1 lit. f DSG umfasst. Aus datenschutzrechtlicher Sicht dürfen \nsolche Daten ohne ausdrückliches Einverständnis einer minderjährigen, \nurteilsfähigen Jugendlichen auch nicht an die sorgeberechtigten Eltern \nweitergegeben werden. Das geschilderte Arzt-Patienten-Verhältnis in der \nvorliegenden Konstellation wird vom ärztlichen Berufsgeheimnis auch \ngegenüber den sorgeberechtigten Eltern gedeckt und auch durch Art. 321 StGB \ngeschützt.  \n\nZu Recht weist das Spital auf den Umstand hin, dass Indizien eines Verbrechens \noder Vergehens gegen Leib und Leben oder einer Verletzung der sexuellen \nIntegrität nicht vorliegen, bzw. dass das medizinische Personal keine \ndiesbezüglichen Wahrnehmungen machen konnte, welche als entsprechende \nVerdachtsmomente sich aufdrängen würden (Art. 36 Abs 1 lit. c GG)43  In einem \nsolchen Falle würde eine gesetzliche Meldepflicht seitens der zuständigen \nMedizinalpersonen an die Strafverfolgungsbehörden bestehen. \n\nDas Spital kann also zu Recht auf den Datenschutz und die ärztliche \nSchweigepflicht verweisen. Die sorgeberechtigten Eltern bleiben dennoch \nverpflichtet, dem Spital die Anschrift der aktuellen Krankenkasse mitzuteilen.  \n\n \n\n5. \n\nAnfrage vom Rechtsdienst der HotellerieSuisse; Aufbewahrungsfrist von \nPersonendaten aus der Gästekontrolle \n\nDer Rechtsdienst von HotellerieSuisse will eine schweizerische Übersicht über \ndie kantonalen Bestimmungen zur Gästekontrolle in Beherbergungsbetrieben \nzusammenstellen. In Bezug auf Uri findet sich im Gastwirtschaftsgesetz44 keine \nBestimmung, welche die Aufbewahrungsfrist dieser Personendaten regelt. \n\nVorauszuschicken bleibt, dass es sich bei diesen Personendaten sehr wohl um \nsensitive Personendaten handeln kann. In Uri haben Personen, die einen \nBeherbergungsbetrieb gewerbsmässig führen, zuhanden der Kantonspolizei eine \nGästekontrolle zu führen, in die sich der Gast bei seiner Ankunft einzutragen hat. \nDie verantwortliche Person hat sicherzustellen, dass der Eintrag durch \nVorweisen eines gültigen amtlichen Ausweispapiers verifiziert werden kann.45 \nEine Frist, wie lange die Unterlagen aufbewahrt werden müssen, ist in Uri \ndiesbezüglich, konkret bezogen auf das GWG, gesetzlich nicht explizit geregelt. \n\n \n43 RB 30.2111 \n44 RB 70.2111 \n45 Art. 9 Abs. 2 GWG \n\n\n\n25 \n \n\n \n\nNun verhält es sich so, dass es sich bei der Bestimmung von Art. 9 Abs. 2 GWG \nim Grunde um eine kriminalpolizeiliche Vorschrift handelt. Die privaten \nBetreiber von Beherbergungsbetrieben bearbeiten also die Personendaten \n(Gästekontrolle) grundsätzlich im Auftrag des Staates, konkret der Polizei, \nnehmen diesbezüglich also eine gesetzliche Aufgabe wahr.  \n\nDas Datenschutzgesetz des Kantons Uri46 sieht in Art. 13 Abs. 1 vor, dass \nDatensammlungen und Personendaten, die nicht mehr benötigt werden, zu \nvernichten sind (unter Vorbehalt einer allfälligen Anbiete-Pflicht gegenüber dem \nStaatsarchiv, was vorliegend kaum relevant sein dürfte). Das will bedeuten: Auch \ndie öffentliche Hand, welche zwecks Erfüllung einer gesetzlichen Aufgabe \nPersonendaten bearbeitet, darf diese Daten nur solange aufbewahren, als dies \nfür die Erfüllung der Aufgabe notwendig erscheint. \n\nGrundsätzlich handelt es sich bei den Personendaten betreffend die \nGästekontrolle in Beherbergungsbetrieben demnach um polizeiliche Daten, \nwelche rein präventiv bearbeitet werden. Dies geht zum Beispiel aus der \nFormulierung des GWG des Kantons Zug, aber auch aus weiteren \nGastwirtschaftsgesetzgebungen hervor. Im Kanton Zug sind die Betreiber von \nBeherbergungsbetrieben explizit aus „kriminalpolizeilichen Gründen“ \nverpflichtet, Gästekontrollen zu führen. Auch die Gastwirtschaftsgesetze von \nanderen Kantonen verlangen dies aufgrund der gleichen ratio legis, \nbeispielsweise der Kanton Luzern, auch wenn dies nicht überall derart \nausdrücklich ausformuliert ist. Die Gästekontrolle ist jedenfalls überall zuhanden \nder Polizei zu führen, so auch im Kanton Uri. Aufgrund dieser ratio legis handelt \nes sich aus datenschutzrechtlicher Sicht bei den Gästekontrollen eigentlich um \npolizeiliche Daten im Sinne von Art. 43ff. des Urner Polizeigesetzes (PolG).47 Für \npolizeiliche Daten gelten grundsätzlich die Vorschriften des \nDatenschutzgesetzes, soweit im Polizeigesetz oder in der StPO48 nichts anderes \nbestimmt wird. Bezüglich Vernichtung von polizeilichen Daten hält das PolG, in \nÜbereinstimmung mit Art. 13 Abs. 1 DSG fest, dass sie zu vernichten sind, wenn \nfeststeht, dass sie nicht mehr benötigt werden49, spätestens nach einem Jahr, \nsofern sie nicht für ein Straf-, Zivil- oder Verwaltungsverfahren benötigt \nwerden50. Wollte man an einer ausgedehnteren Aufbewahrungsfrist für die \nGästekontrollen festhalten, müsste dies aus datenschutzrechtlicher Sicht \nausdrücklich gesetzlich geregelt werden, so wie es zum Teil in gewissen \nKantonen in der Gastwirtschaftsgesetzgebung der Fall ist, wo auch \nAufbewahrungsfristen von fünf Jahren anzutreffen sind, so z.B. im Kanton \n\n \n46 RB 2.2511 \n47 RB 3.8111 \n48 SR 312.0 \n49 Art. 46 lit. a PolG. \n50 Art.46 lit. b PolG. \n\n\n\n26 \n \n\n \n\nLuzern.51 Dies ist jedoch in Uri nicht der Fall. Das Aufbewahren von \nPersonendaten gilt als Bearbeiten von Daten im Sinne von Art. 4 Abs. 1 lit. b DSG. \nEin Bearbeiten von Personendaten ist nur gestattet, soweit dafür eine \ngesetzliche Grundlage besteht oder wenn es zur Erfüllung einer gesetzlichen \nAufgabe erforderlich ist.52 Überdies ist der Grundsatz der Verhältnismässigkeit \nzu beachten, was insofern von Bedeutung ist, als jeder Gast sich zu registrieren \nhat, ein Umstand, der nach einer kurzen Aufbewahrungsfrist ruft, insbesondere, \nda es sich dabei auch um sensitive Personendaten handeln kann. Des Weiteren \ndürfen Personendaten auch nur zu dem Zweck bearbeitet werden, zu welchem \nsie erhoben wurden. Aus datenschutzrechtlicher Sicht wäre es nicht gestattet, \nPersonendaten, die gestützt auf Art. 9 GWG erhoben wurden, zu andern \nZwecken zu verwenden, bzw. aufzubewahren, es sei denn, eine längere \nAufbewahrungsfrist stütze sich auf eine andere gesetzliche Grundlage wie z.B. \nauf eine prozessuale Bestimmung in einem laufenden Verfahren gegen einen \nbetroffenen Gast. \n\nZusammenfassend kann also gesagt werden, dass bei der jetzigen Rechtslage die \nUnterlagen der Gästekontrolle ohne anderweitige Erfordernisse nicht länger als \nein Jahr aufbewahrt werden dürfen.    \n\n      \n\n6. \n\nAuskunftserteilung einer Einwohnerkontrolle gegenüber der Transportpolizei \nSchweiz \n\nDie Einwohnerkontrolle einer Gemeinde richtet die Anfrage an die \nDatenschutzstelle, wie weit der Transportpolizei Schweiz Personalien betreffend \neine in dieser Gemeinde wohnhafte Person bekannt gegeben werden dürfen?   \n\nDer rechtliche Status der Transportpolizei Schweiz stützt sich auf das BG über die \nSicherheitsorgane der Transportunternehmen im öffentlichen Verkehr.53 Das \nGesetz bezieht sich auf die Eisenbahn-, Seilbahn-, Trolleybus-, Autobus- und \nSchifffahrtsunternehmen im öffentlichen Verkehr mit einer Konzession zum \nPersonentransport. Die Sicherheitsorgane unterteilen sich in Sicherheitsdienst \nund Transportpolizei. Die Sicherheitsorgane können u.a. Ausweiskontrollen \ndurchführen oder Personen, die sich vorschriftswidrig verhalten, anhalten. Die \nTransportpolizei kann überdies angehaltene Personen vorläufig festnehmen \nsowie Gegenstände beschlagnahmen. Sie verfügt demnach eindeutig über ihr \ndurch Gesetz verliehene polizeiliche Hoheitsfunktionen. Im Bereich der \nDatenbearbeitung dürfen die Sicherheitsorgane folgende neben anderen Daten \n\n \n51 Gastgewerbeverordnung, § 22a (Kanton Luzern, Systematische Gesetzessammlung, 981) \n52 Art. 4 Abs. 1 DSG \n53 BGST; SR 745.2 \n\n\n\n27 \n \n\n \n\nbearbeiten: Angaben zur Feststellung der Identität einer Person.54 Den \nSicherheitsorganen, insbesondere der Transportpolizei, kommen gestützt auf \ndiese gesetzliche Grundlage eindeutig polizeiliche Hoheitsfunktionen zu, ähnlich \nwie einer Kantons- oder Gemeindepolizei. Aufgrund dieser gesetzlichen \nGrundlage steht fest, dass die Einwohnerkontrolle im Einklang auch mit dem \nkantonalen Datenschutzrecht der Transportpolizei Schweiz die angeforderten \nPersonalien bekannt geben darf und muss.55. \n\n \n\n7. \n\nBekanntgabe von Personendaten seitens der Kantonspolizei an die KESB \n\nDie KESB ist mit der Fragestellung an die Kantonspolizei herangetreten, wie weit \nes möglich sei, dass die KESB bei Gefährdungsmeldungen ohne weitere \nVoraussetzungen an die Polizei gelangen könne, um von dieser Behörde \nAuskunft zu erhalten, wie weit polizeilich etwas gegen eine betroffene Person \nvorliegen würde, was in Bezug auf den Kindes- oder Erwachsenenschutz von \nBelang sein könnte. Zu denken wäre an Fragen des Inhalts, ob von einer \nbetroffenen Person allenfalls eine Gefahr für sich selber oder für Dritte ausgehen \nkönnte oder ob es Hinweise auf häusliche Gewalt gebe. Des Weiteren möchte \ndie KESB wissen, in welcher Form eine solche Anfrage gegenüber der Polizei zu \nerfolgen hätte. Aus datenschutzrechtlicher Sicht können dazu folgende \nÜberlegungen angestellt werden: \n\nEingangs ist von der Feststellung auszugehen, dass die Polizei, wie jede andere \nBehörde, dem Amtsgeheimnis unterliegt, welches grundsätzlich auch zwischen \nden einzelnen Amtsstellen und Behörden Geltung beansprucht. In Art. 7 Abs. 1 \nDSG ist u.a. festgehalten, dass Behörden einer anderen Behörde Personendaten \nbekannt geben dürfen, sofern hierfür eine gesetzliche Ermächtigung oder \nVerpflichtung besteht oder die Personendaten für die anfragende Behörde zur \nErfüllung ihrer gesetzlichen Aufgabe erforderlich sind. Datenschutzrechtlich \nbildet diese Bestimmung im Zusammenhang mit der von der KESB \nunterbreiteten Fragestellung die Ausgangslage. \n\nEs finden sich verschiedene gesetzliche Bestimmungen, welche die oben \ngenannten datenschutzrechtlichen Voraussetzungen als dahingehend erfüllt \nerscheinen lassen, dass eine Behörde, trotz grundsätzlich bestehendem \nAmtsgeheimnis, Personendaten an die KESB weitergeben darf, zum Teil hierzu \ngar von Amtes wegen verpflichtet ist. Zu denken wäre einmal an die Bestimmung \n\n \n54 Art. 6 Abs. 1 BGST \n55 Art. 7 Abs. 1 lit. a DSG \n\n\n\n28 \n \n\n \n\nvon Art. 364 StGB56 57, welche ganz allgemein Personen, die dem Amtsgeheimnis \noder gar einem Berufsgeheimnis im Sinne von Art. 320 oder 321 StGB \nunterstehen, dazu berechtigt, Meldung an die Kindesschutzbehörden zu \nmachen. Wurde nämlich an einer minderjährigen Person eine strafbare \nHandlung begangen, so darf die an das Amtsgeheimnis gebundene Person oder \nAmtsstelle – und damit wäre auch die Polizei mitgemeint -, dies der \nKindesschutzbehörde melden, sofern es im Interesse der minderjährigen Person \nliegt. Einerseits räumt das Gesetz der Amtsstelle ein gewisses Ermessen ein, \nanderseits ermächtigt das Gesetz die betroffene Behörde zu einer solchen \nMeldung bereits, wenn «bloss» eine strafbare Handlung vorliegt. Es braucht sich \nalso nicht notwendig um ein Verbrechen oder Vergehen zu handeln. Dennoch \ndarf die Meldung nur erfolgen, wenn eine strafbare Handlung mit einiger \nWahrscheinlichkeit bereits begangen wurde, nicht also eine allenfalls strafbare \nHandlung erst bevorsteht. In der Literatur findet sich auch der Hinweis, dass eine \nMeldung nur erstattet werden solle, wenn dem Tatopfer dadurch nicht \ngeschadet wird. Es trifft also den Geheimnisträger die Pflicht sorgfältiger \nAbwägung, wobei in der Literatur zurecht darauf hingewiesen wird, dass \ndiesbezüglich diese Vorschrift nur schwer justiziabel erscheine. Klar erscheint \nhingegen unter diesem Titel, dass eine solche Meldung nicht an irgendwelche \nBehörden, sondern nur an die Kindesschutzbehörde - in Uri ist das die KESB - \nerfolgen dürfe. Vorstellbar erscheint, dass eine solche einschlägige Konstellation \nim Sinne von Art. 364 StGB am ehesten etwa auf dem Hintergrund häuslicher \nGewalt, Kindesmissbrauch oder Kindesmisshandlung in der Verwandtschaft oder \ndurch Dritte, oder wenn unter Umständen erhebliche Indizien in Bezug auf eine \nandauernde Verletzung der Fürsorge- und Erziehungspflicht im Sinne von Art. \n219 StGB vorliegen oder auch im Hinblick auf die ernsthafte Gefährdung weiterer \nunmündiger Personen, gegeben sein könnte.58 Art. 364 StGB beschreibt also \neinen Sachverhalt, ohne dass seitens der KESB eine Anfrage vorliegen würde. \n\nZur weiteren Diskussion der von der KESB unterbreiteten Fragestellung ist \nvorauszuschicken, dass die Verfahrensregeln des Erwachsenenschutzes \ngrundsätzlich auch für das Verfahren betreffend den Kindesschutz sinngemäss \nAnwendung finden59.   \n\nArt. 448 Abs. 4 ZGB hält fest, dass Gerichte und Verwaltungsbehörden unter dem \nTitel «Mitwirkungspflichten und Amtshilfe» die notwendigen Akten \nherausgeben, Bericht erstatten und Auskünfte erteilen, soweit nicht \n\n \n56 SR 311.0 \n57 Art. 364 StGB wurde inzwischen aufgehoben durch Anhang Ziff. 1 des BG vom 15.12.2017, (Kindesschutz) mit \nWirkung ab 01.01.2019 (AS 2018 2947; BBl 2015 3431)  \n58 vgl. Stefan Trechsel, et al., Schweizerisches Strafgesetzbuch, Praxiskommentar, N 3 zu Art. 364 StGB, \nZürich/St. Gallen 2008  \n59 Art. 314 Abs. 1 in Verbindung mit Art. 443ff. ZGB; SR 210 \n\n\n\n29 \n \n\n \n\nschutzwürdige Interessen entgegenstehen. Es ist die bundesrechtliche \nRechtsgrundlage für die Amtshilfe im Bereich des Erwachsenenschutzes60. Für \nden einschlägigen Bereich des Kindesschutzes ist in Art. 317 ZGB zusätzlich \nvorgesehen, dass die Kantone die geeigneten Vorschriften schaffen müssen, um \ndie Zusammenarbeit der Behörden in den Bereichen des zivilrechtlichen \nKindesschutzes, des Jugendstrafrechts und der Jugendhilfe zu sichern. Im Kanton \nUri ist dies beispielsweise teilweise durch den Erlass von Bestimmungen wie Art. \n21 Abs. 2 Sozialhilfegesetz61 oder Art. 36 Abs. 1 lit. c Gesundheitsgesetz62  \ngeschehen, wenn auch die letztere Bestimmung eine Meldepflicht von \nMedizinalpersonen gegenüber den Strafverfolgungsbehörden und nicht direkt \ngegenüber der KESB beinhaltet. Die gestützt auf Art. 448 Abs. 4 ZGB um \nAmtshilfe ersuchte Behörde hat allerdings vorgängig zu prüfen, ob private \nInteressen Dritter oder öffentliche Interessen verletzt werden könnten und eine \nentsprechende Interessenabwägung vorzunehmen. Unter Umständen hat sie \ndie entsprechenden Schutzvorkehrungen zu treffen (Bot Rev ZGB 2006 7081). \nDas Gesuch um Amtshilfe sollte deshalb schriftlich erfolgen und mit einer kurzen \nBegründung versehen sein. Sind jedoch die gesetzlichen Voraussetzungen zur \nAmtshilfe erfüllt, besteht anlog zur Regelung der Meldepflicht eine Pflicht zur \nAmtshilfe63. \n\nLiegt Gefahr im Verzug, Selbstgefährdung einer hilfsbedürftigen Person, d.h. \nernst zu nehmende Anzeichen für suizidale Tendenzen, oder besteht die Gefahr, \ndass eine solche Person ein Verbrechen oder Vergehen gegen Drittpersonen \nbegehen könnte, sodass die Gefahr einer Schädigung von deren körperlichem, \ngeistigem oder materiellem Befinden besteht,64 sind Amtsgeheimnisträger, und \nsomit auch die Polizei, berechtigt, der KESB von sich aus Meldung zu erstatten. \nEs liegt ein Rechtfertigungsgrund im Sinne von Art. 14 StGB vor.65    \n\nIm Weitern sieht Art. 443 ZGB generell ein Melderecht für jedermann vor. Es \nhaben jedoch auch gewisse Meldepflichten in diese Bestimmung Eingang \ngefunden. Handelt es sich um eine Person in amtlicher Tätigkeit, dann ist sie gar \nverpflichtet, - also nicht erst auf Anfrage hin – bei starken Indizien, die auf die \nHilfsbedürftigkeit einer betroffenen Person hinweisen, bei der KESB Meldung zu \nerstatten. In der Literatur wird teilweise darauf hingewiesen, dass der Begriff der \namtlichen Tätigkeit in diesem Kontext weit zu fassen sei. Darunter sei zu \nverstehen jede Tätigkeit einer Person, die als Funktion im Dienste der \nÖffentlichkeit gilt, selbst wenn die betreffende Person nicht in einem rechtlichen \n\n \n60 Bot Rev ZGB 2006, 7081 \n61 RB 20.3421 \n62 RB 30.2111 \n63 CHK-D.Steck, Art. 448 ZGB, N 35ff., Handkommentar zum Schweizer Privatrecht, Schulthess, \nZürich/Basel/Genf 2012 \n64 Art. 453 Abs. 2 ZGB \n65 P. Breitschmid, N 1 – 5 zu Art. 453 ZGB, Handkommentar zum Schweizer Privatrecht, Schulthess 2012 \n\n\n\n30 \n \n\n \n\nBeamten- oder Anstellungsverhältnis zum Gemeinwesen steht.66 67 In Bezug auf \ndie Polizei erscheint es im Lichte dieser Rechtsauffassung ohnehin klar, dass sie \nunter eine Meldepflicht gegenüber der KESB fällt, auch ohne deren Anfrage, \nsofern sie ernst zu nehmende Indizien betreffend die Hilfsbedürftigkeit einer \nPerson feststellt. Diese Meldepflicht bedeutet jedoch noch nicht, dass die Polizei \nvon sich aus über alles Bericht erstatten muss, was polizeilich über eine solche \nPerson vorliegt, sofern keine Gefahr von einer solchen Person für Drittpersonen \nausgeht und auch keine Indizien für eine Selbstgefährdung gegeben sind oder \nauch anderweitige Informationen nicht für ein allfälliges Kindes- oder \nErwachsenenschutzverfahren relevant erscheinen. Art. 443 Abs. 2 Satz 2 ZGB \nsieht weiter vor, dass die Kantone darüber hinaus weitere Meldepflichten \nvorsehen können. Manche Kantone haben von dieser Möglichkeit Gebrauch \ngemacht, so auch Uri in Art. 25 EG/KESR.68  Allerdings trifft diese Erweiterung der \nMeldepflicht die Polizei nicht wirklich, wiederholt doch Art. 25 Abs. 2 EG/KESR in \nBezug auf die allgemeinen Amtspersonen lediglich das, was bereits Art. 443 Abs. \n2 ZGB vorschreibt. Art. 25 EG/KESR macht, streng besehen, von einer \nMeldepflichterweiterung lediglich im Hinblick auf ärztliche Medizinalpersonen \nGebrauch, soweit es eine allfällige Hilfsbedürftigkeit von Kindern betrifft. Erfasst \nist im Grunde nur eine Ausnahmeregelung bezüglich des ärztlichen \nBerufsgeheimnisses, da Lehrpersonen sowie Schulleiter und Schulleiterinnen \nbereits aufgrund von Art. 443 ZGB meldepflichtig sind. \n\nWeiter finden sich Meldepflichten gegenüber der KESB, die auch für die Polizei \nrelevant sein können, in Art. 75 Abs. 2 und 3 StPO69. Insbesondere Absatz 3 wird \ndiesbezüglich von Belang sein, selbst wenn keine Anfrage seitens der KESB \nvorliegt. Wer in diesem Zusammenhang als Strafbehörde gilt, die \nStaatsanwaltschaft oder auch die Polizei, sollte zwischen Staatsanwaltschaft und \nPolizei abgesprochen werden. Im Lichte der gesetzlichen Systematik kommen \nbeide Instanzen in Frage. Implizit lässt sich Art. 75 StPO auch auf das \nJugendstrafverfahren70 anwenden in Verbindung mit Art. 3 Abs. 1 JStPO, \nwährend Art. 31 JStPO im Kanton Uri wohl nur für die Jugendanwaltschaft \nrelevant ist, nachdem diese im Jugendstrafverfahren als Untersuchungsbehörde \nfungiert.71    \n\nZusammenfassend kann aus datenschutzrechtlicher Sicht im Hinblick auf die von \nder KESB unterbreitete Fragestellung gesagt werden, dass wohl Art. 448 Abs. 4 \nZGB sich als die einschlägige gesetzliche Grundlage erweist. Ich verstehe die \n\n \n66 Bot Rev ZGB 2006 7076;   \n67 Michelle Cottier, Regula Schlauri, FamPra, 2005 760ff. \n68 RB 9.2113 \n69 SR 312.0 \n70  Art. 3 Abs. 1 JStPO; SR 312.1 \n71 Art. 64 Abs. 1 GOG; RB 2.3221 \n\n\n\n31 \n \n\n \n\nAnfrage dahingehend, dass die KESB, wenn eine Gefährdungsmeldung an sie \nherangetragen wird und weil sie als Schutzbehörde der Offizialmaxime \nverpflichtet ist, sich routinehaft an die Polizei wenden und von dieser Auskunft \nüber polizeiliche Vorgänge erhalten möchte, soweit solche im Zusammenhang \nmit einem Erwachsenen- oder Kindesschutzverfahren als relevant in Betracht \nfallen. Im Hinblick auf die gesetzlichen Aufgaben, welche der KESB obliegen – ein \nabgerundetes Bild einer allenfalls hilfsbedürftigen Person zu erhalten – erscheint \ndieses Anliegen mit Art. 7 Abs. 1 und 2 DSG vereinbar. Art. 453 ZGB lese ich in \ndiesem Zusammenhang mehr in die Richtung, wo es um eine hilfsbedürftige \nPerson geht, bei der zugleich ernst zu nehmende Indizien bestehen, dass Selbst- \noder auch Fremdgefährdung ein Thema sein könnten, derart, dass gesetzlich \nsowohl für die KESB wie für die Polizei eine Zusammenarbeitspflicht besteht, \naber auch, selbst wenn keine Anfrage seitens der KESB vorliegt, weil vielleicht \ndieser Behörde die betroffene Person noch unbekannt ist, die Polizei gestützt auf \nAbsatz 2 dieser Bestimmung ohnehin berechtigt ist, der KESB Meldung zu \nerstatten.  \n\nAus datenschutzrechtlicher Sicht ist zu empfehlen, dass die Korrespondenz \nzwischen der KESB einerseits und der Polizei andererseits in schriftlicher Form \nerfolgt, d.h., dass sowohl die Anfragen seitens der KESB als auch die Antworten \nseitens der Polizei schriftlich abgewickelt werden. Dies aus der Überlegung, dass \nbei solchen Konstellationen in der Regel ja ohnehin Dossiers angelegt werden. \nVor allem aber auch im Hinblick auf Art. 15 DSG, wo grundsätzlich einer \nbetroffenen Person das Recht eingeräumt wird, unter Vorbehalt \nentgegenstehender privater oder öffentlicher Interessen Einsicht in die sie \nbetreffenden Personendaten zu nehmen, welche durch die Behörden bearbeitet \nwurden, verbunden mit der allfälligen Möglichkeit, eine Berichtigung zu \nverlangen72.   \n\n \n\n8. \n\nBildungs- und Kulturdirektion, Ansprechstelle für Integration; Bekanntgabe \nvon Personendaten an eine andere Behörde \n\nDie bei der Bildungs- und Kulturdirektion angesiedelte Ansprechstelle \nIntegration gelangt mit einer Anfrage betreffend Personendatenbearbeitung in \nForm von Bekanntgabe von Personendaten an eine andere Behörde im Sinne \nvon Art. 7 Datenschutzgesetz an die Datenschutzstelle. \n\nArt. 53 Abs. 4 AIG73 schreibt vor, dass die kantonalen Sozialhilfebehörden \n\n \n72 Art. 17 DSG \n73 SR 142.20; neu Art. 53 Abs. 5 \n\n\n\n32 \n \n\n \n\nstellenlose, anerkannte Asylbewerber und vorläufig aufgenommene Personen \nbei der öffentlichen Arbeitsvermittlung zu melden haben. Gemäss Art. 10a der \nVO über die Integration von Ausländerinnen und Ausländern (VIntA74 75) regeln \ndie Kantone das Verfahren zur Meldung von stellensuchenden anerkannten \nFlüchtlingen und vorläufig aufgenommenen Personen. Dabei gilt die \nMeldepflicht für Personen, die gestützt auf Abklärungen als arbeitsmarktfähig \ngelten. \n\nIm Kanton Uri wurde nun offenbar dieses Verfahren und die Zuständigkeit so \ngeregelt, dass das SRK im Auftrag der Gesundheits-, Sozial- und Umweltdirektion \n(GSUD) zuständig ist für die Unterbringung und die wirtschaftliche und \npersönliche Sozialhilfe von Flüchtlingen und vorläufig aufgenommenen \nPersonen. Des Weiteren ist das SRK im Auftrag der Bildungs- und Kulturdirektion  \n(BKD), wo die Ansprechstelle für Integration angesiedelt ist (Amt für \nVolksschulen), zuständig für die sprachliche und berufliche Integration von \nanerkannten Flüchtlingen und vorläufig aufgenommenen Personen. \n\nUnter Bezugnahme auf Art. 32 BG über die Arbeitsvermittlung und den \nPersonalverleih AVG76 bildet das Amt für Arbeit und Migration das kantonale \nArbeitsamt im Sinne des AVG, und hat in dieser Funktion die Vorschriften des \nAVG zu vollziehen (öffentliche Arbeitsvermittlung etc.)77. \n\nDie Ansprechstelle unterbreitet der Datenschutzstelle nun die Frage, wie weit \naus datenschutzrechtlicher Beurteilung das SRK, das im Auftrag der BKD auch für \ndie sprachliche und berufliche Integration von betroffenen Personen zuständig \nist, Personendaten von betroffenen Migranten im Sinne einer \nPersonendatenbekanntgabe an das Amt für Arbeit und Migration, bzw. an das \nRAV, bearbeiten darf.  \n\nVorliegend handelt es sich also um die Frage der Bekanntgabe von \nPersonendaten an eine andere Behörde. Im Sinne der Legaldefinition von Art. 3 \nAbs. 1 lit. d DSG78 gilt das SRK, soweit es sich mit der Unterbringung sowie \nsprachlichen und beruflichen Integration von Flüchtlingen und vorläufig \naufgenommenen Personen befasst, als Behörde im Sinne des \nDatenschutzgesetzes. Datenschutzrechtlich geht es also um die Frage, wie weit \ndas SRK Personendaten von Personen, welche sich in einem individuellen \nIntegrationsplan befinden, an das RAV als öffentliche Arbeitsvermittlungsstelle \nweitergeben darf. Gemäss Art. 7 DSG dürfen Personendaten an andere \nBehörden – auch das Amt für Arbeit und Migration, bzw. das RAV gilt natürlich \n\n \n74 SR 142.205 \n75 Inzwischen wurde diese Verordnung allerdings revidiert mit Wirkung ab dem 01.01.2019  \n76 SR 823.11 \n77 Art. 4 Abs. 2 lit. a u. b AMV; RB 20.2311 \n78 RB 2.2511 \n\n\n\n33 \n \n\n \n\nim Sinne des DSG als Behörde – nur weiter gegeben werden, wenn hierzu eine \ngesetzliche Verpflichtung oder Ermächtigung besteht oder die Personendaten \nfür die Erfüllung einer gesetzlichen Aufgabe erforderlich sind oder allenfalls, \nwenn es im Interesse einer betroffenen Person liegt und diese ausdrücklich \nzugestimmt hat oder wenn sie verhindert ist, ihre Zustimmung vorausgesetzt \nwerden darf. Diese gesetzliche Verpflichtung scheint gestützt auf Art. 53 Abs. 6 \nAIG79 und Art. 10a Abs. 2 VIntA80 vorzuliegen.  \n\nGemäss Art. 33a AVG sind die mit der Durchführung dieses Gesetzes betrauten \nOrgane befugt, Personendaten und Persönlichkeitsprofile zu bearbeiten oder \nbearbeiten zu lassen, die sie benötigen, um die ihnen übertragenen Aufgaben zu \nerfüllen, namentlich um: \n\nStellensuchende zu erfassen, zu vermitteln und zu beraten; \n\nOffene Stellen zu erfassen, bekanntzugeben oder zuzuweisen; (…). \n\nBesonders schützenswerte Personendaten dürfen bearbeitet werden: \n\nÜber die Gesundheit und die Religionszugehörigkeit der Stellensuchenden, wenn \ndiese Daten für die Vermittlung erforderlich sind (…)81. \n\nIm derzeit noch geltenden Urner Datenschutzgesetz zwar nicht explizit als \nVoraussetzung ausformuliert,82 wird im BG über den Datenschutz, aber auch in \nandern kantonalen Gesetzgebungen und in der Lehre überwiegend verlangt, \ndass die Bearbeitung von besonders schützenswerten Personendaten und \nPersonenprofilen sich auf ein  Gesetz im formellen Sinne abstützen muss, eine \nVoraussetzung, die mit den vorliegenden Gesetzesbestimmungen des AVG  als \nerfüllt betrachtet werden darf.  \n\nDie Arbeitsvermittlung bedingt die Zusammenarbeit diverser Behörden und \nOrgane. Damit wird erforderlich, dass Personendaten ausgetauscht werden. \nVöllig unabhängig vom Umstand, ob es sich bei den Stellensuchenden um \nInländer, Ausländer oder Personen mit dem Status eines anerkannten Flüchtlings \noder einer vorläufig aufgenommenen Person handelt, umfassen solche Daten \nteilweise Informationen über Alter, Ausbildung, berufliche Laufbahn, \nFamilienverhältnisse, teilweise gar, sofern wirklich notwendig, bis hin zu \nmedizinischen Gutachten. Solche Daten beinhalten Informationen direkt die \nPersönlichkeit der Stellensuchenden betreffend, weshalb dem Datenschutz eine \nnicht unerhebliche Bedeutung zukommt83  \n\n \n79 neu Art. 53 Abs. 5 AIG \n80 neu Art. 9 VIntA \n81 Art. 33a Abs. 2 AVG \n82 Vgl. Art. 4 DSG Uri \n83 Vgl. Eva-Maria Bäni, Arbeitsvermittlungsgesetz, Artikelkommentar zu Art. 33a AVG, Stämpfli-Verlag 2014 \n\n\n\n34 \n \n\n \n\nGrundsätzlich hält Art. 33a Abs. 1 AVG in allgemeiner Form fest, welche Stellen \noder Organe zu welchem Zweck zur Personendatenbearbeitung befugt sind. \nDurch die Zweckbindung und gestützt auf das Verhältnismässigkeitsprinzip \nbeschränkt das allgemeine formelle Datenschutzrecht,84  aber auch das \nvorliegend materielle Datenschutzrecht85 die Erhebung und Bearbeitung von \nPersonendaten auf das, was zur Erfüllung der gesetzlichen Aufgaben, \ninsbesondere der Arbeitsvermittlung, zwingend erforderlich ist. Dabei soll der \nDatenschutz, bzw. der Schutz der Persönlichkeit möglichst gewährleistet \nbleiben, anderseits soll laut Gesetz eine Optimierung der Arbeitsvermittlung \ndurch institutionelle Zusammenarbeit angestrebt werden können. Darauf weist \ndas Gesetz nicht zuletzt durch die Formulierung hin, dass die mit dem Vollzug \ndieses Gesetzes betrauten Organe befugt sind, die Personendaten zu bearbeiten \noder auch allenfalls bearbeiten zu lassen.  \n\nAus Art. 33a AVG ergibt sich jedenfalls, dass auch die öffentliche \nArbeitsvermittlungsstelle, das heisst das Amt für Arbeit und Migration, bzw. das \nRAV, dem DSG und somit an die Einhaltung der tragenden \ndatenschutzrechtlichen Grundsätze, wie sie auch in das Urner \nDatenschutzgesetz Eingang fanden, gebunden sind.  \n\nKonkret bedeutet dies, dass Begriffe wie Personendaten,86 Zweckbindung und \nVerhältnismässigkeit,87  besonders schützenswerte Personendaten,88 gemäss \nden datenschutzrechtlichen Grundsätzen zu handhaben sind. Wie bereits \nerwähnt, wird für die Bearbeitung besonders schützenswerter Personendaten in \nder Lehre, in vielen kantonalen Datenschutzgesetzgebungen und auch im BG \nüber den Schutz von Personendaten eine formelle gesetzliche Grundlage \nverlangt. Im derzeit noch geltenden Urner Datenschutzrecht ist dieser Grundsatz \nzwar nicht ausdrücklich erwähnt, wird aber in der Praxis anerkannt. Im Hinblick \nauf die Datenbearbeitung im Zusammenhang mit der öffentlichen \nArbeitsvermittlung ist diese formelle gesetzliche Grundlage jedoch mit Art. 33a \nAbs. 2 AVG eindeutig gegeben. Gleichzeitig wird gerade durch diese gesetzliche \nGrundlage die Bearbeitung besonders schützenswerter Personendaten auch \nwieder eingeschränkt. Daten über Gesundheit oder Religionszugehörigkeit \ndürfen gemäss dieser gesetzlichen Grundlage zwar bearbeitet werden, aber nur, \nsofern diese Daten für die Vermittlung notwendig sind89. Überdies sind die \nArbeitsvermittlungsbehörden befugt, Daten über verfügte oder vorgesehene \nAVIG-Massnahmen zu bearbeiten, sofern diese Daten direkt die Leistungen der \n\n \n84 Art. 4 Abs. 3 DSG \n85 Art. 33a AVG \n86 Art. 3 Abs. 1 lit. a DSG \n87 Art. 4 DSG UR; Art. 33a Abs. 1 lit. a – f AVG  \n88 Art. 3 Abs. 1 lit. f DSG UR \n89 Art. 33a Abs. 2 lit. a AVG \n\n\n\n35 \n \n\n \n\nALV beeinflussen können.90   \n\nAus dem Gesundheitszustand können sich Einschränkungen für die \nArbeitsvermittlung ergeben. Es kann z.B. etwa ein bestehendes Rückenleiden \neiner stellensuchenden Person Probleme in bestimmten Arbeitsbereichen \nverursachen, z.B. auf dem Bau oder bei manchen Arbeitsstellen, wo erhebliche \nLasten von Hand bewegt werden müssen. Ähnliches kann für die \nReligionszugehörigkeit gelten, sofern sich aufgrund dieser \nBekleidungsvorschriften ergeben, die mit Sicherheitsvorschriften in einem \nbestimmten Einsatzbetrieb kollidieren können. Daraus ergibt sich, dass eine \nerfolgreiche Arbeitsvermittlung auf die Erfassung und Kenntnisnahme solcher \nInformationen angewiesen ist.91   \n\nAuch aufgrund des Verhältnismässigkeitsprinzips steht die Bearbeitung von \nsensiblen Personendaten unter der Bedingung der notwendigen Erforderlichkeit \nfür die Vermittlung. Das Verhältnismässigkeitsprinzip besagt in dem \nvorliegenden Kontext, dass solche sensible Informationen «unbedingt» für eine \nerfolgreiche Vermittlung notwendig sein müssen.92 Die Zweckbindung für solche \nPersonendaten bedeutet, dass die Bearbeitung ausschliesslich nur für diesen \nZweck, also im Hinblick auf eine erfolgreiche Vermittlung, bearbeitet werden \ndürfen. Auch obliegt den Arbeitsvermittlungsbehörden die Pflicht, für die \nRichtigkeit solcher Daten zu sorgen, bzw. diese auf ihre Richtigkeit hin zu \nüberprüfen. \n\nZusammengefasst kann gesagt werden, dass die Informationen, welche in diesen \nIntegrationsplänen enthalten sind, den Arbeitsvermittlungsbehörden aus \ndatenschutzrechtlicher Sicht bekannt gegeben werden dürfen. Die \nArbeitsvermittlungsbehörden vermögen aufgrund ihrer fachlichen Kompetenz \nam ehesten zu beurteilen, welche Informationen für eine anstehende \nerfolgreiche Vermittlung Relevanz aufweisen können. Die \nArbeitsvermittlungsbehörden unterliegen ihrerseits selbstverständlich auch \ndem Datenschutzrecht und dürfen eine Weiterbearbeitung dieser Daten nur ins \nAuge fassen, soweit dies für eine erfolgreiche Arbeitsvermittlung als notwendig \nerscheint. Diese Voraussetzungen zu beurteilen fällt naturgemäss von der Sache \nher den Arbeitsvermittlungsbehörden leichter als dem SRK.  \n\nFinden sich allerdings in diesen Integrationsplänen Personendaten, die für jeden \nLaien ersichtlich im Hinblick auf ein künftiges Arbeitsverhältnis absolut keine \nRelevanz aufweisen, dann brauchen davon auch die \nArbeitsvermittlungsbehörden keine Kenntnis zu haben. Zu denken wäre etwa an \n\n \n90 Art. 33a Abs. 2 lit. b AVG \n91 vgl. Staatssekretariat SECO, Weisungen u. Erläuterungen zum Arbeitsvermittlungsgesetz, 173 \n92 Weisung SECO 173; sinngemäss auch BGE 131 II 413, E. 2.5 \n\n\n\n36 \n \n\n \n\nInformationen, die gewisse innerfamiliäre Belange betreffen, schulische Belange \nder Kinder oder etwa abgeschlossene medizinische Behandlungen, welche für \ndas künftige berufliche Fortkommen keine Bedeutung aufweisen. In solchen \nFällen, von denen es natürlich keine abschliessende Erwähnung geben kann, \nbraucht der Personendatenfluss gegenüber der Arbeitsvermittlung nicht zu \nerfolgen. Stellen sich Grenzfälle ein, wo man sich wirklich nicht sicher ist, ob die \nInformationen für die Vermittlung eine Relevanz aufweisen, empfiehlt es sich, es \nder stellensuchenden Person zu überlassen, ob sie die Information an die \nVermittlungsbehörden weitergeben will. \n\n Grundsätzlich ist aus Sicht des Datenschutzes jedoch festzuhalten, dass Art. 33a \nAVG für anerkannte Flüchtlinge und vorläufig aufgenommene Personen die \ngleiche Bedeutung aufweist wie für andere Stellensuchende.   \n\n \n\n9. \n\nAuskünfte von Schulsekretariaten an Dritte für allfällig geschäftliche Zwecke  \n\nDas Schulsekretariat einer Gemeinde gelangt mit der Anfrage an die \nDatenschutzstelle, wie weit es einer Bank, die gerne die Klassen-Adresslisten der \nSchülerschaft für Werbe- oder Geschäftszwecke zur Verfügung hätte, die Listen \naushändigen dürfe. \n\nDie Anfrage betrifft Art. 8 des Datenschutzgesetzes des Kantons Uri93. \nVorausgeschickt sei, dass ein Schulsekretariat im Sinne der Legaldefinition von \nArt. 3 Abs. 1 lit. d DSG als Behörde gilt. Das bedeutet konkret, dass die Tätigkeit \nbei dieser Amtsstelle, soweit diese ein Bearbeiten von Personendaten betrifft, \nim Sinne von Art. 2 Abs. 1 DSG von den Bestimmungen der \nDatenschutzgesetzgebung erfasst wird, bzw. diesem Gesetz untersteht. \n\nWenn nun eine Bank an das Schulsekretariat einer Gemeinde gelangt mit der \nBitte, ihr die Klassen-Adresslisten zuzustellen, so stellt sich die Frage, ob in \ndiesem Sinne die entsprechenden Personendaten bearbeitet werden dürfen. \nBearbeiten von Personendaten bedeutet auch das Bekanntgeben von \nPersonendaten an eine andere Behörde oder an Privatpersonen.   \n\nEine Antwort findet sich unter der Bestimmung von Art. 8 DSG: Personendaten \ndürfen an Private nur bekanntgegeben werden, wenn hierzu eine gesetzliche \nVerpflichtung oder Ermächtigung besteht oder es zur Erfüllung einer \ngesetzlichen Aufgabe erforderlich ist oder es im Interesse der betroffenen \nPerson liegt und diese ausdrücklich zugestimmt hat…. \n\nDiese Voraussetzungen sind vorliegend eindeutig nicht erfüllt. Auch ist keine \n \n\n93 RB 2.2511 \n\n\n\n37 \n \n\n \n\nBestimmung in der kantonalen Schulgesetzgebung bekannt, welche die \nBehörden ermächtigen oder verpflichten würde, einer (juristischen) \nPrivatperson, wie es eine Bank ist, Personendaten aus dem Schulbereich \nherauszugeben. Und zur Erfüllung einer gesetzlichen Aufgabe ist es vorliegend \nauch nicht erforderlich. Werbeinteressen von Banken oder anderen Firmen \nhaben mit den gesetzlichen Aufgaben, denen sich die Schulbehörden widmen, \nkeinen Zusammenhang.  \n\nEine Mitteilung von Klassen-Adresslisten an eine private Person wie eine Bank \nwürde überdies auch aus systematischen Überlegungen quer in der \nGesetzeslandschaft liegen, weil auch den Einwohnerkontrollen die Erteilung von \nAuskünften über Personen gegenüber Dritten zu geschäftlichen Zwecken \nausdrücklich untersagt ist.94 Selbstredend gilt dies natürlich auch in Bezug auf \nPersonen, die nicht die schweizerische Staatsbürgerschaft besitzen.   \n\nDie weitere Frage, welche das Schulsekretariat unterbreitet, betrifft \ngleichlautende Anfragen von Vereinen.  Vereine wie Jugend- und Sportvereine \nverfolgen in der Regel nicht einen kommerziellen, sondern einen ideellen Zweck \nund leisten gerade im Hinblick auf eine sinnvolle Freizeitgestaltung von \nJugendlichen äusserst wertvolle Arbeit. Es gibt Kantone, z.B. Zürich, wo die \nAuskunftserteilung bei den Einwohnerkontrollen ausdrücklich so geregelt ist, \ndass Daten von mehreren Personen nach bestimmten Kriterien geordnet \npraktisch ohne Begründung seitens einer Gesuchstellerin bekannt gegeben \nwerden dürfen, unter der Bedingung, dass sie für einen ausschliesslich ideellen \nZweck verwendet und nicht weiter gegeben werden95.   Der Kanton Uri kennt \nkeine derartige ausdrückliche Bestimmung. In Art. 12 Abs. 4 Gesetz über \nAufenthalt und Niederlassung heisst es lediglich, dass Dritten Auskünfte in \nbeschränktem Masse erteilt werden dürfen, soweit ein berechtigtes Interesse \nnachgewiesen wird. Und diese Bestimmung ist auf die Einwohnerkontrolle \nzugeschnitten, nicht auf den eigentlichen Schulbereich. \n\nAllein gestützt auf Art. 8 DSG können Adresslisten von Klassen auch an Vereine \nnicht ausgehändigt werden. Anderseits erscheint es natürlich als verständlich \nund naheliegend, dass Vereine irgendwie darauf angewiesen sind, dass sie einen \nWeg zu den Jugendlichen finden, damit sie ihren Nachwuchs rekrutieren können. \nUnd was liegt da näher, als eine Klassenliste eines bestimmten Jahrgangs zur \nVerfügung zu haben? \n\nDamit die Schulsekretariate datenschutzrechtlich auf der sicheren Seite sind, \nwürde ich den Schulbehörden folgendes Vorgehen vorschlagen: Die Behörden \nmachen den Vereinen das Angebot, dass diese Werbeschreiben der Schule \n\n \n94 Art. 12 Abs. 4 Gesetz über die Niederlassung und den Aufenthalt der Schweizer; RB 1.4211 \n95 Gesetz über das Meldewesen und die Einwohnerregister, Art. 19, Zürcher Gesetzessammlung 142.1 \n\n\n\n38 \n \n\n \n\n(beispielsweise den Schulleitungen und Lehrkräften, die jene Jahrgänge \nunterrichten, welche das Zielsegment der Jugendlichen bilden) zustellen, die \ndann in der Klasse von den Lehrpersonen an die Schülerinnen und Schüler \nabgegeben werden. Oder vielleicht lässt man einmal eine Vertreterin, einen \nVertreter eines Jugend- oder Sportvereins in der Klasse auftreten, um den Verein \nden Jugendlichen kurz vorzustellen und Werbematerial abzugeben. Nicht gelten \ndiese Vorschläge jedoch für Institutionen, die, wie eine Bank, einen \nkommerziellen Zweck verfolgen.     \n\n \n\n10. \n\nBekanntgabe von Personendaten seitens der KESB an eine Hochschule, \n\nFachbereich soziale Arbeit, zwecks Durchführung eines Forschungsprojekts \n\nDie Hochschule Luzern, Fachbereich soziale Arbeit, will ein Forschungsprojekt \n\nlancieren, welches sich mit der Thematik «Fürsorgepraxis bei \n\nKindesvernachlässigung» befasst. Die Hochschule gelangt an die Kindes- u. \n\nErwachsenenschutzbehörden von verschiedenen Kantonen, u.a. auch an die \n\nKESB Uri. In diesem Zusammenhang gelangt eine Dozentin der Hochschule mit \n\ndem Anliegen an die KESB, vertrauliche Einsicht in einzelne Dossiers zu nehmen, \n\ndie das Thema «Kindesvernachlässigung» beinhalten. Innerhalb dieses Projektes \n\nist vorgesehen, Einsichtnahme in Dossiers zu nehmen, die einerseits im Zeitraum \n\n2009/2010 und anderseits im Zeitraum 2018/2019 erstellt wurden. Ziel der \n\nForschungsarbeit bildet offenbar die Untersuchung des Begriffes \n\n«Kindesvernachlässigung», bzw. dessen Einbettung in die historische \n\nEntwicklung der normativen Handhabung dieses Begriffes. In diesem \n\nZusammenhang ist für die Forschungsarbeit von Interesse die historische und \n\naktuelle Rekonstruktion von bezogen auf diese Thematik sich ereignenden \n\nDiskursen zu Themen wie Familie, Erziehung und Mutterschaft, soweit sie \n\nRelevanz für den normativen Begriff der «Kindesvernachlässigung» aufweisen. \n\nEbenso von Interesse erscheint der Einfluss des Wandels von kontextbezogenen \n\nsozialen Wertvorstellungen auf die Fürsorgepraxis. Untersuchungsthemata \n\nbilden nicht narrative Einzelschicksale, als vielmehr sich ereignende \n\nProzessabläufe, die aus solchen Reihenuntersuchungen sich allenfalls \n\nableitenden Regelhaftigkeiten und allenfalls ein sich daraus ergebender \n\nWissensgewinn, welcher verallgemeinerungsfähiges Potential für künftige \n\nProzessabläufe bereitstellt. \n\nWeitere Bestandteile dieses besagten Forschungskonzepts bilden Interviews mit \nFachpersonen und mit Bezugspersonen, die in die zu untersuchenden Prozesse \n\n\n\n39 \n \n\n \n\ninvolviert sind oder waren.   \n\nDas Forschungsprojekt bildet Teil eines nationalen Forschungsprogramms (NFP \n76), wird vom Schweizerischen Nationalfond finanziert und begleitet, vom SVAM \nbefürwortet und wurde von einer externen Ethikkommission unter ethischen \nAspekten beurteilt.  \n\nDie gesetzliche Grundlage für die Durchführung eines solchen \nForschungsprojektes findet sich im BG über die Förderung der Forschung und \nder Innovation (FIFG)96; insbesondere in dessen Zweckbestimmung, (Art. 1), in \ndessen Legaldefinition (Art. 2 lit. a Ziff. 2), Geltungsbereich (Art. 3) und \nForschungsorgane (Art. 4). \n\nAus der methodologischen Anlage des vorgesehenen Forschungsprojektes ergibt \nsich, dass die Durchführung des Projekts die Einsichtnahmen in Falldossiers als \nunumgänglich erscheinen lässt. Insofern gilt die Voraussetzung für die \nBekanntgabe von Personendaten im Sinne von Art. 7 DSG97 als erfüllt. Die \nProjektleitung als Vertretung der Hochschule Luzern gilt im Sinne des DSG als \nBehörde.98 \n\nEinerseits handelt es sich bei Personendaten, welche die KESB, bzw. vormals die \nVormundschaftsbehörden im Zusammenhang mit dem Thema \n«Kindesvernachlässigung» zu bearbeiten hatten, immer um besonders \nschützenswerte Personendaten im Sinne von Art. 3 Abs. 1 lit. f DSG. Bei \nbesonders schützenswerten Personendaten steht immer auch eine intensive \nGefährdung des Persönlichkeitsschutzes zur Debatte, derart, dass deren \nBearbeitung nur gestützt auf eine gesetzliche Grundlage und unter besonderen \nVorkehren erfolgen darf. Auf der anderen Seite präsentiert die Hochschule \nLuzern ein Forschungsziel, welches im Interesse der Öffentlichkeit und auch im \nInteresse der Erfüllung der künftigen gesetzlichen Aufgaben durch Eltern, durch \ndie KESB und durch weitere Instanzen, denen pädagogische Aufgaben obliegen, \nsteht. \n\nIm Fokus dieser Thematik steht in diesem Zusammenhang Art. 10 DSG. \nPersonendaten dürfen für nicht personenbezogene Zwecke - dies ist vorliegend \ngemäss Forschungsanlage der Fall, da Prozessabläufe, nicht aber biographische \nNarrative im Mittelpunkt stehen - insbesondere für Forschung…..bearbeitet \nwerden, wenn sie anonymisiert werden, sobald der Zweck der Bearbeitung es \nerlaubt und die Ergebnisse so veröffentlicht werden, dass keinerlei Rückschlüsse \nauf direkt oder indirekt betroffene Personen möglich sind. Für die Durchführung \ndes Projekts ist angesichts dieser besonders schützenswerten Personendaten \n\n \n96 SR 420.1 \n97 RB 2.2511 \n98 Art. 3 Abs. 1 lit. d DSG \n\n\n\n40 \n \n\n \n\nund Art. 451 ZGB99 folgendes Vorgehen zu empfehlen: \n\n. Den am Projekt beteiligten Personen werden nur solche Dossiers unterbreitet, \ndie inhaltlich auch wirklich einen klaren Bezug zum Thema des \nForschungsprojektes aufweisen, d.h., wo es um die Frage der \nKindesvernachlässigung ging oder geht.  \n\n. Es wird in einer gegenseitigen Vereinbarung klar definiert, welche Personen \nEinblick in nicht anonymisierte Personendaten erhalten. Jegliche Weitergabe an \nDrittpersonen, auch innerhalb der Hochschule, ist untersagt. \n\n. Es ist zwischen der KESB und dem Projektteam zu vereinbaren, in welcher Form \ndie Einsicht erfolgt (in Räumen der Amtsstelle? Allfällige Kopien? etc.) \n\n. Die am Forschungsprojekt beteiligten Personen erheben Personendaten in \nnicht anonymisierter Form nur so weit, als dies sich für die Erreichung des \nForschungszieles als zwingend notwendig erweist. \n\n. Die an der Forschungsarbeit beteiligten Personen verpflichten sich gegenüber \nder KESB, sämtliche verwendeten Datenträger (in Papier- oder digitaler Form), \ndie Personendaten enthalten, derart zu sichern, dass keine unbefugten Personen \nZugriff zu diesen Personendaten erhalten. \n\n. Die an der Forschungsarbeit beteiligten Personen verpflichten sich gegenüber \nder KESB, sämtliche im Zusammenhang mit dieser Forschungsarbeit erhobenen \nPersonendaten auf allen Arten von Datenträgern zu löschen, bzw. zu vernichten, \nsobald es der Fortgang der Forschungsarbeit erlaubt. \n\n. Die an der Forschungsarbeit beteiligten Personen verpflichten sich gegenüber \nder KESB, keine der erhobenen Personendaten für einen andern Zweck zu \nverwenden als für das im vorliegenden Forschungsprojekt umschriebene \nForschungsziel. \n\n. Die am Forschungsprojekt beteiligten Personen verpflichten sich gegenüber der \nKESB, die Forschungsarbeit in einer Form zu publizieren, die keinerlei \nRückschlüsse auf betroffene Personen zulässt. \n\n. Wenn die KESB dem Anliegen der Beteiligten am Forschungsprojekt \nnachkommt und involvierte Personen für ein Interview mit den Forschenden \nvermittelt, empfiehlt es sich, dass vorgängig gegenüber den Betroffenen eine \nklare Instruktion erfolgt betreffend Inhalt und Zweck der Projekts, der \nFreiwilligkeit des Interviews, der Wahrung der Anonymität etc., derart, dass die \nbefragten Personen genau wissen, zu was sie die Zustimmung erteilen.   \n\n \n\n \n99 SR 210 \n\n\n\n41 \n \n\n \n\n11. \n\nInstallation von Video-Kameras in Abstandszellen der Polizei \n\nIn den Abstands-Zellen auf den Werkhöfen und in der Ankenwaage wurden \ndurch die Kantonspolizei Video-Überwachungsanlagen installiert. Grundsätzlich \nkommt für diesen Sachverhalt einerseits das PolG100, anderseits das kantonale \nDatenschutzgesetz101 zur Anwendung. In Bezug auf polizeiliche Personendaten \nkommt das Datenschutzgesetz subsidiär zur Anwendung. Finden sich also im \nPolizeigesetz und in der Schweizerischen Strafprozessordnung keine speziellen \nBestimmungen, gelangt das DSG und dessen Grundätze zur Anwendung. Der \nStrafprozessordnung lassen sich sachverhaltsbezogen keine einschlägigen \nBestimmungen entnehmen, die für diese Frage als lex specialis gelten würden. \nIn Art. 44 PolG ist festgehalten, dass die Kantonspolizei Daten bearbeiten und \nDatenbearbeitungssysteme aufbauen kann, soweit dies als notwendig und \nzweckmässig erscheint, um ihre Aufgaben zu erfüllen. Diese Bestimmung reicht \njedoch nicht aus, um eine Abstands-Zelle mittels einer \nVideoüberwachungsanlage durchgehend überwachen zu lassen. Gemäss derzeit \ngeltendem kantonalem Recht kommt diesbezüglich sehr wohl das DSG im \nGrundsatze zur Anwendung.  \n\nIn Art. 4 DSG sind die wichtigsten Grundsätze festgehalten, denen nachgelebt \nwerden muss, wenn seitens der Behörden Personendaten bearbeitet werden. \nDas Überwachen einer Person in einem Raum/Abstandszelle mittels einer Video-\nÜberwachungsanlage ist eine klassische Art einer Bearbeitung von \nPersonendaten und stellt einen massiven Eingriff in die persönliche Integrität \neiner betroffenen Person dar. Es handelt sich im Übrigen um eine Art von \nPersonendatenbearbeitung, wo sehr rasch auch besonders schützenswerte \nPersonendaten im Sinne von Art. 3 Abs. 1 lit. f DSG berührt sein können. \nBesonders schützenswerte Personendaten dürfen durch Behörden nur \nbearbeitet werden, wenn dafür entweder eine gesetzliche Grundlage besteht \noder das Bearbeiten von Personendaten für die Erfüllung einer gesetzlichen \nAufgabe auch wirklich als notwendig erscheint. Dabei darf Art. 4 Abs. 1 lit. b nicht \nallzu extensiv ausgelegt werden, denn der Grundsatz der Verhältnismässigkeit \nverlangt, dass eine Bearbeitung nur im Rahmen der Notwendigkeit und der \nGeeignetheit für die Erfüllung einer gesetzlichen Aufgabe erfolgen darf. Gemäss \npolizeilicher Darstellung sind alle vier Zellen im Werkhof Göschenen von einer \ndurchgängigen Video-Überwachung betroffen. Aus datenschutzrechtlicher Sicht \nbestehen ganz erhebliche Zweifel, ob mit einer durchgehenden \nVideoüberwachung aller dieser Zellen, im Hinblick auf alle Personen, die \nvorübergehend darin festgehlten werden und sich dort aufhalten, einerseits das \n\n \n100 RB 3.8111 \n101 RB 2.2511 \n\n\n\n42 \n \n\n \n\nnotwendige Erfordernis für die Erfüllung einer polizeilichen Aufgabe beachtet \nwird und anderseits dem Verhältnismässigkeitsprinzip nachgelebt wird. Ist dem \naber nicht so, dann erweist sich eine durchgehende Überwachung als klar \nrechtswidrig. \n\nEs bleiben in diesem Zusammenhang verschiedenste Fragen offen. So müsste \netwa in folgenden Punkten Klarheit bestehen: In welchem Ausmass werden \ndiese Zellen benutzt? Welche Zwecke mit der Benutzung einer Abstandszelle \nwerden verfolgt? Das können wahrscheinlich sehr verschiedene sein? In welchen \nSituationen erweist sich allenfalls eine durchgehende Überwachung als \nnotwendig? (Zu denken wäre an eine Situation, wo eine in einer Zelle \nfestgehaltene Person unter suizidaler Gefährdung leidet?) Wie sind die Zellen \nräumlich ausgestaltet und welche räumlichen Teile einer Zelle liegen im Fokus \nder Videokamera? Welche Personen sollen oder müssen, wenn sie sich in der \nZelle befinden, überwacht werden? Wann ist die Überwachungsanlage aktiviert? \nWie findet die Information der betroffenen Personen betreffend die \nÜberwachung statt? Wie gestaltet sich eine Auswertung einer allfälligen \nÜberwachung? Handelt es sich um eine Echt-Zeit-Auswertung? Wann und unter \nwelchen Voraussetzungen erfolgt eine Speicherung der Video-Daten? Unter \nwelchen Voraussetzungen und durch wen darf eine nachträgliche Auswertung \nstattfinden? Nach welchem Zeitablauf muss eine Löschung der Daten erfolgen? \nWelche technischen/organisatorischen Massnahmen sind vorgesehen, um eine \nunbefugte Bearbeitung und Auswertung zu verhindern?  Gibt es einen \nSituationsplan betreffend die Standorte der Kameras und der räumlichen \nFokusbereiche? Bestehen Massnahmen, die die Wirksamkeit überprüfen, um \nden gesetzlich zulässigen Rahmen abzugrenzen? \n\nAus datenschutzrechtlicher Sicht müsste in Bezug auf solche Fragen Klarheit \nbestehen, damit eine Überwachung als rechtmässig angesehen werden kann. \nEine generelle durchgehende Überwachung a priori aller Personen, die in einer \nAbstandszelle untergebracht sind, liesse sich datenschutzrechtlich nicht \nlegitimieren.   \n\nGestützt auf Art. 22 Abs. 2 lit. c DSG sollte die Datenschutzstelle vor der \nInstallation vorgängig konsultiert werden, gehört es doch zum Aufgabenbereich \nder Aufsichtsperson, Stellung zu nehmen zu Massnahmen, auch technischer und \norganisatorischer Art, die für den Datenschutz von erheblicher Relevanz sind.  \n\n \n\n \n\n \n\n \n\n\n\n43 \n \n\n \n\n12. \n\nDas Swisscom-Projekt «Schulen ans Internet»  \n\nDie Swisscom unterbreitet den Schulen im Rahmen der Initiative «Schulen ans \nInternet» eine Lösung, die einen sicheren Zugang ins Internet gewährleisten soll. \nJugendlichen soll innerhalb des Schulbetriebes der Zugriff auf relevante Inhalte \nzum Schutz der Jugend, die von den Schulen und Kantonen vorgängig festgelegt \nwerden, verwehrt werden. Swisscom macht geltend, dass bei der von ihr \nentwickelten Lösung dem Anliegen des Jugendmedienschutzes, dem Schutz vor \ngefährlichen Inhalten und dem Datenschutz Genüge getan werde. Die sich \naufdrängende Frage dabei ist, dass Swisscom, um die Filterung sicherzustellen, \neinerseits ein Subunternehmen beizieht, anderseits den verschlüsselten \nDatenverkehr aufbricht, sodass die entschlüsselten Daten Dritten zugänglich \nwerden. Unter der Voraussetzung, dass die Schülerschaft nicht mit eigenen \nGeräten arbeitet, sondern mit solchen, die der Schule gehören, die also nur im \nschulischen Bereich eingesetzt werden, sind im Zusammenhang mit dem \nAngebot der Swisscom-Dienstleistung folgende Angaben, aber auch \nZusicherungen, von Bedeutung und folgende Punkte zu beachten:  \n\n- Zscaler (das beigezogene Subunternehmen) hat seinen Sitz in den USA, wo kein \nebenbürtiges Datenschutzniveau herrscht wie im EU-Raum oder in der Schweiz, \nwas zweifelsohne ein gewisses Risiko beinhaltet. \n\n- Zscaler als Subunternehmen sichert gegenüber der Swisscom die Einhaltung \nder in der Schweiz geltenden gesetzlichen Vorgaben zum Datenschutz sowie der \nVorgaben, welche der EDÖB machte, zu. Diese vertragliche Zusage gegenüber \nSwisscom durch das Subunternehmen trägt zu einer gewissen Risikominderung \nbei. \n\n- Zscaler ist dem SWISS-U.S.Privacy Shield Framework beigetreten. Auch dieser \nUmstand trägt zu einer Risikominderung bei. \n\n- Swisscom bestätigt und stellt sicher, dass alle anwendbaren gesetzlichen \nVerpflichtungen auch auf das Subunternehmen Zscaler übertragen werden. \n\n- Um den Zugang zum Internet in der Schule gemäss jugendrechtlichen Kriterien \nsicherzustellen, wird die Übertragungsverschlüsselung aufgebrochen (SSL \nInspection). \n\n- Nach einer Überprüfung durch Proxy wird mittels zertifizierter Technologie die \nVerschlüsselung wieder vollzogen. \n\n- Es erfolgt diese SSL-Inspection nur im Zuge einer ausdrücklichen Einwilligung \nseitens der jeweils betroffenen Kantone. \n\n- Dem Kanton steht die Möglichkeit offen – dies scheint wichtig – Listen von URL-\n\n\n\n44 \n \n\n \n\nZugängen zu erstellen, wo die URL-Verschlüsselung nicht aufgebrochen wird, \nalso keine SSL-Inspection stattfindet (Whitelists). Damit wird ein Prozess \nimplementiert, der es den Schulen/Kantonen ermöglicht, Listen von Websites \nfestzulegen, wo durch Zscaler keine Entschlüsselung vorgenommen wird.   \n\n- Unter datenschutzrechtlichen Aspekten ist von besonderer Bedeutung, dass \nSwisscom, bzw. das involvierte Subunternehmen Zscaler nicht die Person, also \nden konkreten User identifiziert, auch wenn dies theoretisch schulintern \noffenbar dennoch möglich wäre (Überprüfbarkeit bestimmter User zu einem \nbestimmten Zeitpunkt). \n\n- Unter datenschutzrechtlichen Aspekten erscheint auch als sehr wichtig: Es wird \nvertraglich zugesichert, dass Zugriffe auf Log-Daten ausschliesslich zu Zwecken \nder Service-Erbringung durch das Subunternehmen erfolgen. Und mindestens \nebenso wichtig: Es wird garantiert, dass diese Zugriffe in einem Audit-Log \nüberprüfbar protokolliert werden.  \n\n- Ganz entscheidend auch: Es wird ein nachprüfbares Berechtigungskonzept \nerstellt. Die jeweiligen Administratoren und Administratorinnen werden \nautorisiert, also in der Person definiert. Nur ganz bestimmte Leute werden als \nAdministratorinnen/Administratoren zugelassen. Diese werden sorgfältig \nausgewählt und haben in regelmässigen Abständen Schulungen zu absolvieren \nund Auszüge aus Straf- und Betreibungsregister beizubringen.  \n\n- Ganz wichtig aus datenschutzrechtlichen Überlegungen auch: Die Inhalte der \naufgebrochenen HTTP- und HTTPS-Verbindungen werden nicht gespeichert. Es \nwerden nur Proxys eingesetzt, die selber über keinen physischen Speicherplatz \nverfügen.   \n\nAm Log-Server werden nachfolgende Daten gespeichert: \n\n- IP-Adresse, von welcher der Internet-Zugriff erfolgte; Zeitpunkt des Zugriffs; \nanvisierte URL-Adresse; als Metadaten URL-Kategorie, Browserversion sowie der \nEntscheid gemäss den Filterregeln «erlaubt/blockiert». \n\n- Den jeweiligen Kantonen steht die Möglichkeit offen, in Form von Listen \nfestzulegen, welche Inhaltskategorien und URLs von einer Filterung \nausgenommen werden sollen, und ebenso ganz wichtig, die Möglichkeit, ein \nselbst gewähltes Zertifikat für die Entschlüsselung einzusetzen. \n\nAufgrund dieser Zusicherungen erscheint es aus datenschutzrechtlichen \nÜberlegungen vertretbar, wenn die Bildungs- und Kulturdirektion, Amt für \nVolksschulen, sich an diesem Projekt beteiligt. \n\nUnabdingbare Voraussetzung, dass diesem Projekt zugestimmt werden kann, \nbildet allerdings die Verpflichtung, dass sowohl die Schülerschaft als auch alle \n\n\n\n45 \n \n\n \n\nLehrpersonen, welche im Schulbereich für die Nutzung des Internets unter den \noben erwähnten Rahmenbedingungen in Frage kommen,  eingehend informiert \nwerden, sodass sie wissen, dass die Verschlüsselung ihrer gewählten Internet-\nVerbindungen unter Umständen aufgebrochen und überprüft werden.  \n\nDa es im Grunde die gesetzliche Aufgabe einer Schule darstellt, innerhalb des \nSchulbetriebes und im Zusammenhang mit dem Unterricht dafür besorgt zu sein, \ndass seitens der Schülerschaft keine unrechtmässigen Internet-Zugriffe erfolgen, \nhandelt es sich beim vorliegenden Projekt, bzw. bei der Filtrierung der Internet-\nVerbindungen durch die Swisscom, um eine Auftragsdatenbearbeitung durch die \nSwisscom, wobei die Swisscom diese Auftragsdatenbearbeitung mit Hilfe eines \nSubunternehmens, der Firma Zscaler, wahrnimmt. Mit andern Worten: Es wird \neine gesetzliche Aufgabe, die den zuständigen Schulbehörden obliegt, in Form \nvon Personendatenbearbeitungen einem Dritten übertragen. \n\nDaher wäre es aus datenschutzrechtlicher Sicht wünschenswert, dass die \nAuftragserteilung in Form eines schriftlichen Vertrages erfolgen würde, wo \nzumindest folgende Punkte fixiert werden: \n\n- Swisscom müsste zustimmen, dass ihrerseits, bzw. seitens des ihr gegenüber \nverantwortlichen Subunternehmens Zscaler die technischen Konditionen nicht \nohne das vorgängige ausdrückliche Einverständnis des Kantons geändert werden \ndürfen. \n\n- Swisscom gibt die Garantie ab, dass sie in der Lage ist, jederzeit überprüfen zu \nkönnen, dass das Subunternehmen Zscaler die gesetzlichen Anforderungen, die \nnach schweizerischem Datenschutzrecht verlangt sind, auch wirklich einhält. \n\n-  Swisscom geht nicht ohne vorheriges ausdrückliches Einverständnis der \nzuständigen kantonalen Behörden in dieser Sache ein Vertragsverhältnis mit \neinem andern Subunternehmen ein. \n\n- Swisscom garantiert, dass sie das Berechtigungskonzept von Zscaler einsehen \nund dieses in Bezug auf die Zusicherungen, welche von Zscaler der Swisscom \ngegenüber abgegeben werden, überprüfen kann. \n\n- Die Swisscom garantiert, dass die durch Zscaler vorgenommene Audit-Log-\nProtokollierung durch Swisscom jederzeit eingesehen und überprüft werden \nkann.  \n\n- Die Swisscom kann garantieren, dass die vom Kanton definierten Whitelists \nauch wirklich beachtet werden. \n\n \n\n \n\n\n\n46 \n \n\n \n\n13. \n\nMuss kantonales Recht im Hinblick auf eine anstehende El-Revision unter \ndatenschutzrechtlichen Aspekten angepasst werden?  \n\nDas Amt für Gesundheit gelangt mit der Anfrage an die Datenschutzstelle, wie \nweit kantonales Recht im Hinblick auf eine anstehende EL-Revision unter \ndatenschutzrechtlichen Kriterien angepasst werden sollte?   \n\nEine Anpassung des kantonalen Rechts im Hinblick auf datenschutzrechtliche \nÜberlegungen erscheint im Zusammenhang mit der bevorstehenden EL-Reform \nnicht zwingend notwendig, aber sehr empfehlenswert. Art. 65f. Bundesgesetz \nüber die Krankenversicherung (KVG)102  verpflichtet die Kantone, Versicherten, \ndie in bescheidenen wirtschaftlichen Verhältnissen leben, \nPrämienverbilligungen zu gewähren. Den Kantonen wird dadurch eine \ngesetzliche Aufgabe auferlegt. Gestützt auf diese gesetzliche Grundlage ist in der \nkantonalen Verordnung zum BG über die Krankenversicherung103 unter Art. 2 \nAbs. 1 lit. d festgehalten, dass der Regierungsrat die Vollzugsbestimmungen zur \nPrämienverbilligung im Sinne von Art. 65 KVG erlässt. In Art. 10 der VO zum BG \nüber die Krankenversicherung ist weiter in Nachachtung von Art. 65f. KVG \nfestgehalten, dass der Kanton Versicherten in bescheidenen wirtschaftlichen \nVerhältnissen Prämienverbilligung gewährt. Art. 10a enthält die gesetzliche \nGrundlage, dass die mit der Prämienverbilligung betrauten Personen im \nAbrufverfahren auf Steuerdaten zugreifen dürfen, soweit dies zum Vollzug der \nPrämienverbilligung als notwendig erscheint. Gestützt auf Art. 11 hat der \nRegierungsrat die näheren Bestimmungen über die Prämienverbilligung zu \nerlassen, namentlich Bestimmungen über die Anspruchsvoraussetzungen und \ndie Bemessungsgrundlagen. Art. 12 unterstellt alle Personen, die in irgendeiner \nForm mit dem Vollzug der sozialen Krankenversicherung zu tun haben, also auch \nmit dem Vollzug der Prämienverbilligung betraute Personen, einer \nausdrücklichen Schweigepflicht gegenüber Dritten.  \n\nIm entsprechenden Reglement104, welches der Regierungsrat in Ausführung von \nArt. 2 Abs. 1 lit. d der VO zum BG über die Krankenversicherung erlassen hat, \nwird in der Zweckbestimmung (Art. 1) implizit auf die ursprüngliche gesetzliche \nGrundlage (Art. 65 KVG) verwiesen. Art. 20 regelt, gestützt auf das Bundesrecht, \nden Datenaustausch zwischen Kanton und Versicherern, wobei in Uri \nbekanntlich das Amt für Gesundheit als die Stelle bestimmt wurde, an welche \ndie Versicherer gestützt auf Art. 106b und Art. 106c der VO über die \nKrankenversicherung105 i.V.m. Art. 20 PVR ihre Daten liefern. Gemäss Art. 21 Abs. \n\n \n102 KVG; SR 832.10 \n103 RB 20.2202 \n104 PVR; RB 20.2213 \n105 KVV; SR 832.102 \n\n\n\n47 \n \n\n \n\n2 PVR hat die Sozialversicherungsstelle Uri jeweils dem Amt für Gesundheit eine \nBestandsliste aller Personen, welche Ergänzungsleistungen zur AHV/IV beziehen, \nzukommen zu lassen. Diese Regelung ist gemäss derzeit noch geltendem Recht \neine naheliegende Norm, ist das Amt für Gesundheit doch auf diese \nInformationen im Zusammenhang mit der Prüfung der \nAnspruchsvoraussetzungen und den Bemessungsgrundlagen für \nPrämienverbilligung notwendig angewiesen. Wenn ich das richtig sehe, ist der \nDatenfluss innerhalb des Kantons zwischen dem Amt für Gesundheit und der \nSozialversicherungsstelle (SVS) gemäss geltendem Recht mehrheitlich ein \neinseitiger, d.h., der Datenaustausch fliesst gemäss Art. 21 PVR in der \nHauptsache lediglich von der SVS zum AfG. Soweit ich sehe, hat die Regelung in \nArt. 21 Abs. 2 PVR damit zu tun, dass nach derzeit noch geltendem Bundesrecht \n(Art. 10 Abs. 3 lit. d BG über Ergänzungsleistungen zur Alters-, Hinterlassenen- \nund Invalidenversicherung106 in der Ergänzungsleistungs-Berechnung immer ein \nPauschalbetrag für die obligatorische Krankenversicherung als Ausgaben \nanerkannt wird. In der vorgesehenen Revision dieser Bestimmung ist dies \noffenbar ebenfalls so, jedoch nur, sofern dieser jeweils festgesetzte \nPauschalbetrag die tatsächliche Prämie nicht übersteigt, da andernfalls die \ntatsächliche Prämie als Ausgabenbestandteil anzuerkennen ist. Was als \n«tatsächliche Prämie» zu verstehen ist, ist im Revisionsvorschlag zu ELV unter \nArt. 16d festgehalten.  \n\nTritt diese Regelung betreffend Ausgaben für die Berechnung der \nErgänzungsleistung dereinst in Kraft, dann ist klar, dass nicht nur das AfG für die \nBerechnung der Prämienverbilligung auf die Personendaten der Versicherten \nangewiesen ist, sondern auch die SVS für die Berechnung der \nErgänzungsleistungen, auf welche Daten das AfG seinerseits wiederum für die \nBerechnung der Prämienverbilligung angewiesen ist. \n\nNachdem in Uri die Versicherer ihre Daten dem AfG zur Verfügung stellen \nmüssen, ist es datenschutzrechtlich korrekt, dass unter dem Regime der dereinst \nneuen Regelung das AfG diese Daten auch der SVS zur Verfügung stellt. In Bezug \nauf die Weitergabe dieser Krankenkassenprämiendaten seitens des AfG an die \nSVS, soweit diese zur Prüfung der Anspruchsvoraussetzungen und Berechnung \nder Ergänzungsleistungen notwendig sind, ist dieser Datenfluss durch Art. 7 \nDSG107 abgedeckt. Grundsätzlich reichen aus Sicht des Datenschutzes die \nbestehenden Bestimmungen des PVR aus.  \n\nDennoch erscheint es empfehlenswert, eine kleine Ergänzung im PVR in Hinblick \nauf die Revision des ELG/ELV anzubringen. Dies aus nachfolgenden \n\n \n106 ELG; SR 831.30 \n107 RB 2.2511 \n\n\n\n48 \n \n\n \n\nÜberlegungen: \n\nIn Art. 20 Abs. 2 PVR heisst es, dass die von den Versicherern dem AfG gelieferten \nDaten nur für die Anspruchsprüfung und die Auszahlung der Prämienverbilligung \nverwendet werden dürfen. Diese Klausel beschlägt einen allgemein anerkannten \nGrundsatz des Datenschutzrechts, nämlich der Zweckgebundenheit von \nPersonendaten im Hinblick auf deren Bearbeitung. Im Urner DSG ist dieser \nGrundsatz unter Art. 4 Abs. 3 Satz 2 festgehalten. Im Grunde kommt dieser \nKlausel in Art. 10 Abs. 2 PVR eigentlich nur deklaratorische Bedeutung zu, da \nBehörden grundsätzlich immer verpflichtet sind, die durch sie erhobenen \nPersonendaten nur im Hinblick auf den dafür vorliegenden gesetzlichen Zweck \nzu bearbeiten, für den sie erhoben wurden. Auch die Behörden dürfen \nPersonendaten nie auf Vorrat erheben. Aufgrund der neuen ins Auge gefassten \nRegelung könnte man datenschutzrechtlich argumentieren, dass auch ohne \nÜberarbeitung von Art. 20 Abs. 2 PVR der Zweck, für den die Personendaten bei \nden Versicherern erhoben wurden, auch mit einer Weitergabe an die SVS Uri \nimmer noch abgedeckt wäre, da die SVS diese Personendaten für die \nAnspruchsprüfung und Berechnung der Ergänzungsleistungen benötigt, diese \naber wiederum dem AfG zur Verfügung stehen müssen, um die Voraussetzungen \nfür die PV zu prüfen und diese zu berechnen.  \n\nUm jedoch vollends Klarheit zu schaffen und auf der sicheren Seite zu sein, \nerscheint es datenschutzrechtlich dennoch als empfehlenswert, diese \nBestimmung zu ergänzen. Als Vorschlag könnte vielleicht dienen: \n\n«…Die Daten dürfen zur Anspruchsprüfung und zur Zahlung der \nPrämienverbilligung verwendet werden. Ebenso dürfen sie, soweit dies für den \nVollzug des ELG/ELV sich als notwendig erweist, der SVS Uri übermittelt \nwerden.»    \n\nEs ist dem Datenschützer nicht bekannt, wie gross das Massengeschäft \nbetreffend Ergänzungsleistungen ist, derart, dass sich eine elektronische \nÜbermittlung, bzw. ein Abrufverfahren wirklich aufdrängt. Es wird nicht so \numfangreich sein wie die Prüfung der Prämienverbilligung. Dennoch: Sollte das \nGeschäft jedoch wirklich sehr umfangreich sein, derart, dass es einen riesigen \nMehraufwand bedeuten würde, wenn die Ausgleichskasse für jedes einzelne \nPrüfverfahren beim AfG die entsprechenden Daten anfragen müsste, so wäre \naus datenschutzrechtlicher Sicht gegen ein elektronisches Abrufverfahren nichts \neinzuwenden, da die Voraussetzungen gemäss Art. 7 DSG als erfüllt gelten108. \nNatürlich immer unter der Voraussetzung, dass verlässliche technische und \norganisatorische Sicherheitsmassnahmen getroffen werden.  \n\n \n108 Art. 8b DSG \n\n\n\n49 \n \n\n \n\nSofern es sich also um ein Massengeschäft handelt, derart, dass sich eine \nelektronische Lösung aufdrängt, möchte ich vorschlagen, vielleicht eine \nsinngemässe Bestimmung in das Gesetz über die Ergänzungsleistungen zur \nAHV/IV (RB 20.2421) aufzunehmen: \n\n« Die mit dem Vollzug des ELG/ELV bei der Ausgleichskasse betrauten Personen \nkönnen mittels eines Abrufverfahrens beim Amt für Gesundheit auf die \nnotwendigen Krankenversicherungsdaten greifen.»            \n\n \n\n14. \n\nBekanntgeben von Verfügungen seitens Sozialdienste an weitere \n\nGemeindebehörden \n\nEin Urner Sozialdienst gelangt mit der Anfrage an die Datenschutzstelle, wie weit \n\nVerfügungen der Sozialbehörde (Entscheide im Einzelfall betreffend Art und \n\nAusmass der öffentlichen Sozialhilfe) einer Gemeindekanzlei, bzw. dem \n\nGemeinderat zuzustellen sind? \n\nGestützt auf die Gemeinde-Gesetzgebungen haben sich mehrere Gemeinden \n\nzusammengeschlossen und übertrugen die Aufgaben, welche die KV und das \n\nSozialhilfegesetz109 110 im Bereich des Sozialwesens den Einwohnergemeinden \n\nübertrug, gestützt auf die Gemeindesatzungen einem gemeinsamen regionalen \n\nSozialrat. Der Vertrag wurde in den Gemeinden durch die je zuständigen Organe \n\ngenehmigt. Der regionale Sozialrat gilt für die dem Vertrag beigetretenen \n\nEinwohnergemeinden als die zuständige Sozialhilfebehörde im Sinne von Art. 8 \n\ndes Sozialhilfegesetzes. Die gesetzlichen Aufgaben, die dem regionalen Sozialrat \n\nals Sozialhilfebehörde obliegen, werden in Art. 10 des Gesetzes umschrieben. \n\nGemäss dieser Bestimmung kommen dem regionalen Sozialrat neben \n\nverschiedenen weiteren Obliegenheiten die Aufgaben zu, das Sozialwesen in den \n\nGemeinden zu leiten; die Budget- und Finanzverantwortung des Sozialwesens \n\nder jeweiligen Gemeinde zu übernehmen; den Sozialdienst zu beaufsichtigen \n\nund ihn in seiner Arbeit zu unterstützen. Überdies sind durch die regionale \n\nSozialhilfebehörde laut Art. 35 allfällig bestehende Rückerstattungsansprüche \n\nzugunsten einer betroffenen Wohnsitzgemeinde unter Beachtung der \n\ngesetzlichen Verjährungsfrist mit anfechtbarer Verfügung geltend zu machen.   \n\nEbenso haben die Vertrags-Gemeinden einen gemeinsamen Sozialdienst im \nSinne des Sozialhilfegesetzes eingerichtet. Dem Sozialdienst obliegt laut Gesetz \n\n \n109 RB 1.1101 \n110 RB 20.3421 \n\n\n\n50 \n \n\n \n\nin erster Linie der Vollzug der Sozialhilfe im Einzelfall. Hierfür überträgt ihm das \nGesetz neben andern Funktionen die Aufgaben der Abklärung der persönlichen \nund wirtschaftlichen Sozialhilfe; der Beratung und Betreuung von Menschen in  \npersönlichen, sozialen und materiell schwierigen Lebenslagen; der Entscheid \nüber die Art und das Ausmass der öffentlichen Sozialhilfe im Einzelfall; die \nKlienten-Administration sowie die Sozialberichterstattung zuhanden der \nSozialhilfebehörde über Umfang und Inhalt der Fälle und deren Problemlagen. \n\nIn Art. 20 des Gesetzes sind die Grundsätze festgehalten, gemäss denen die \nSozialhilfe zu gestalten ist, so u.a. vor allem auch die Achtung der persönlichen \nIntegrität der hilfesuchenden Person. In Art. 21 wird explizit auf eine \nSchweigepflicht verwiesen, dahingehend, dass alle, die mit dem Vollzug des \nSozialhilfegesetzes betraut sind – das sind in erster Linie die Sozialhilfebehörde \nund der Sozialdienst - oder zum Vollzug beigezogen werden, über die \nVerhältnisse einer hilfesuchenden Person, über deren Akten – wozu nicht zuletzt \nauch Verfügungen und Entscheide sowie deren ausführliche Begründungen \ngehören – und über die Verhandlungen in den Behörden Stillschweigen zu \nbewahren ist. Dabei handelt es sich nicht einfach lediglich um einen \ndeklaratorischen Hinweis auf das ohnehin geltende Amtsgeheimnis, sondern um \neine besondere gesetzliche Schweigepflicht im Sinne von Art. 7 Abs. 2 \nDatenschutzgesetz111. Gemäss Art. 21 Abs. 2 Sozialhilfegesetz dürfen anderen \nBehörden und Dritten Auskünfte und Akteneinsicht in Einzelfälle nur gewährt \nwerden, wenn die entsprechenden Voraussetzungen des Datenschutzgesetzes \nerfüllt sind.     \n\nAus der Sozialhilfegesetzgebung geht hervor, dass die Sozialhilfebehörde die \nAufgaben erfüllt, die die Kantonsverfassung dem Sozialrat überträgt (Art. 113 \nKV112; Art. 9 Sozialhilfegesetz). Der Sozialdienst hat seinerseits die Sozialhilfe im \nEinzelfall zu vollziehen (Art. 10a Sozialhilfegesetz). Als Behörden im Sinne von \nArt. 3 Abs. 1 lit. d DSG, die mit direkten Vollzugsaufgaben im Hinblick auf \nEinzelfälle betraut sind, gelten demnach der regionale Sozialrat als zuständige \nSozialhilfebehörde für die Vertrags-Gemeinden und Kontrollinstanz des \nSozialdienstes, und anderseits der Sozialdienst mit seinen fachspezifischen \nAufgaben wie Abklärung, Betreuung, Begleitung usw. sowie als verfügende \nInstanz über die Art und das Ausmass der Sozialhilfe im Einzelfall.  \n\nWie bereits erwähnt, gilt gemäss Art. 8 des Sozialhilfegesetzes der Sozialrat in \neiner Gemeinde als Sozialhilfebehörde. Gibt es keinen Sozialrat und ist in der \nGemeindesatzung nichts anderes bestimmt, dann übernimmt der Gemeinderat \nin einer Gemeinde die Aufgaben, welche der Sozialhilfebehörde, bzw. dem \nSozialrat obliegen. Wurde in der Gemeindesatzung jedoch eine andere Lösung \n\n \n111 RB 2.2511 \n112 RB 1.1101 \n\n\n\n51 \n \n\n \n\ngetroffen, d.h. wurden die Aufgaben, die das Sozialhilfegesetz im Bereich der \nöffentlichen Sozialhilfe den Einwohnergemeinden überbindet, einer regionalen \nBehörde  übertragen, dann fungiert der  Sozialrat als Vollzugsbehörde im \nHinblick auf das Sozialhilfegesetz, und zwar in Bezug auf sämtliche Vertrags-\nGemeinden, und keine andere örtliche Gemeindebehörde. Dies geht auch \ndeutlich aus Art. 4 des durch die beteiligten Gemeinden abgeschlossenen \nVertrages hervor. Es ist auch der regionale Sozialrat, und nicht ein Gemeinderat, \ndem die Aufsicht über den regionalen Sozialdienst zusteht, dies auch in Bezug \nauf die Einzelfälle, die in finanzieller Hinsicht je eine konkret betroffene \nWohnsitzgemeinde belasten können. \n\nUnter datenschutzrechtlichen Überlegungen wäre es also nicht korrekt, wenn \nder Sozialdienst die Entscheide gemäss Art. 10a lit. f mit vollem Inhalt direkt den \njeweiligen Gemeinderäten, bzw. den Gemeindekanzleien zustellen würde. Der \nregionale Sozialrat kann die Verfügungen den betroffenen Gemeinden, bzw. den \nGemeinderäten soweit zur Kenntnis bringen, als die betroffene \nWohnsitzgemeinde durch die finanziellen Auswirkungen eines Einzelfalles \ntangiert und belastet wird. Im finanzpolitischen Bereich haben die Gemeinderäte \nja auch spezifische gesetzliche Aufgaben wahrzunehmen, sodass eine \nBearbeitung von Personendaten im Umfang dieser Aufgaben als mit dem \nDatenschutzrecht konform erscheint (Art. 7 DSG).  \n\nDies bedeutet jedoch nicht, dass den Gemeindekanzleien oder Gemeinderäten \ndie Verfügungen im Sinne von Art. 10a lit. f Sozialhilfegesetz mit ihrem \nvollständigen Inhalt zur Kenntnis gebracht werden dürfen, da in derartige \nVerfügungen, insbesondere in die entsprechenden Begründungen, \nInformationen einfliessen, die erfahrungsgemäss als besonders schützenswerte \nPersonendaten im Sinne von Art. 3 Abs. 1 lit. f DSG zu werten sind. Angesichts \nder in Art. 21 Abs. 2 Sozialhilfegesetz festgeschriebenen besonderen \ngesetzlichen Geheimhaltungspflicht und des Umstandes, dass für die \nWeiterleitung der vollständigen Verfügungen an die Gemeindekanzleien im \nSinne von Art. 10a lit. f Sozialhilfegesetz die Voraussetzungen von Art. 7 Abs.  1 \nund 2 DSG nicht erfüllt sind, dürfen unter datenschutzrechtlichen Aspekten \nInformationen betreffend Klienten nur soweit weitergeleitet werden, als dies für \ndie gesetzliche Handhabung der finanziellen Auswirkungen auf eine \nWohnsitzgemeinde unter dem Titel von Art. 37 Sozialhilfegesetz zwingend \nerforderlich erscheint, es sei denn, eine betroffene hilfesuchende Person erteilt \nin voller Kenntnis der Umstände ihr ausdrückliches Einverständnis, dass ein \nEntscheid gemäss Art. 10a lit. f Sozialhilfegesetz der Gemeindekanzlei, bzw. dem \nGemeinderat vollumfänglich zur Kenntnis gebracht wird.    \n\nAnders verhielte es sich, wenn eine Verfügung mit Verwaltungsbeschwerde \nangefochten wird und die Satzung einer Gemeinde, bevor der Regierungsrat \n\n\n\n52 \n \n\n \n\ngestützt auf die Verordnung über die Verwaltungsrechtspflege113 als \nBeschwerdeinstanz angerufen werden kann, ein gemeindeinternes Rechtsmittel \nbereitstellt, wie es Art. 46 Sozialhilfegesetz als Möglichkeit vorgesehen ist. In \neiner derartigen Konstellation wäre dem zuständigen Gemeinderat eine \nVerfügung mit ihrem vollen Inhalt zur Kenntnis zu bringen, was durch eine \nbetroffene hilfesuchende Person, die sich beschwert fühlt und einen Entscheid \ndes Sozialdienstes anfechten will, ohnehin zu geschehen hätte. Dies gilt aber nur \nfür den Fall, als eine Verfügung auch wirklich angefochten wird.  \n\n \n\n15.   \n\nDigitalisierung der Schulenderhebungen  \n\nDie Bildungs- und Kulturdirektion, Abteilung Berufs- und Studien- und \nLaufbahnberatung, legt der Datenschutzstelle das Konzept der Digitalisierung \nder Schulenderhebung vor. Im Zusammenhang mit den Rahmenbedingungen \ndieses Konzeptes werden aus datenschutzrechtlicher Sicht insbesondere die \nfolgenden Punkte begrüsst: \n\n- Alle Informationen fliessen unter einer SSL-Verschlüsselung. \n\n- Das Datensicherheitskonzept ist derart ausgestaltet, dass die \nZugangsberechtigungen der einzelnen Personenkategorien an klar geregelte \nPasswortanforderungen gebunden sind (Art. 10 DSG).  \n\n- Der Zugang zu den Datensätzen wird nur registrierten Personen ermöglicht und \nwird differenziert gemäss Funktion und Stellung (gesetzlichen Aufgaben der \nzugangsberechtigten Personen) ausgestaltet (Art. 7 DSG).   \n\n- Zugangsberechtigte Personen auf Seiten des Betreibers und der \nBerufsberatung werden der ausdrücklichen Verpflichtung unterworfen, alle in \ndiesem Zusammenhang zur Kenntnis genommenen und bearbeiteten \nPersonendaten mit Verschwiegenheit zu behandeln und auch das \ndatenschutzrechtliche Gebot der Zweckgebundenheit zu beachten (Art. 4 Abs. 3 \nDSG). Dasselbe gilt auch für die an der Plattform-Administration beteiligten \nPersonen. \n\n- Der Betreiber macht sich zum Grundsatz, die Sicherheit der Datenplattform \ngegen allfällige Cyber-Angriffe nach Möglichkeit zu gewährleisten (Art. 10 DSG). \n\n- Besonders wichtig: Der Server der Datenplattform befindet sich in der Schweiz. \nDie betroffenen Personendaten werden nach Schulabschluss anonymisiert und \nder jährliche, für die Öffentlichkeit bestimmte Bericht wird in anonymisierter \n\n \n113 VRPV; RB 2.2345 \n\n\n\n53 \n \n\n \n\nForm ins Netz gestellt (Art. 11 DSG).   \n\nGestützt auf die dargelegten Rahmenbedingungen des geplanten Vorhabens und \nangesichts der Art der Personendaten, die auf dieser Plattform bearbeitet \nwerden, sind die datenschutzrechtlichen Kriterien für das geplante Projekt als \nerfüllt zu betrachten. \n\n \n\nV \n\nBeratungs- und Auskunftstätigkeit \n\nIn der Berichtszeitspanne fanden in ausführlicher schriftlicher Form 185 \nBeratungen gegenüber Privaten und Behörden statt.  Hinzu kommen relativ viele \nmündliche Auskünfte, die aufgrund telefonischer Anfragen gegeben wurden.     \n\n \n\nVI \n\nMitberichte/Vernehmlassungen \n\nDie Datenschutzstelle hat auch eine Reihe von Stellungnahmen, Mitberichten \nund Vernehmlassungen verfasst im Zusammenhang mit dem Erlass von \nReglementen, Verordnungen oder Gesetzen in verschiedenen Rechtsgebieten. \nDie Stellungnahmen erfolgten immer nur beschränkt auf datenschutzrechtliche \nAspekte.     \n\n \n\nVII \n\nN-SIS-Kontrolle \n\nIm Rahmen der Schengen-Verpflichtungen, welche die Schweiz mit dem Ab- \nschluss des Assoziierungsabkommens mit der EU betreffend die Umsetzung, \nAnwendung und Entwicklung des Schengen-Besitzstandes114 eingegangen ist, \nsind die Mitgliedstaaten verpflichtet, bei den Endnutzern des Schengen-\nInformationssystems (SIS) Datenschutzkontrollen durchzuführen. Bei den \nperiodisch durchzuführenden Inspektionen der Schengener-Kontrollbehörden, \ndie auf nationaler Ebene stattfinden, bilden die durch die nationalen \nDatenschutzbehörden durchgeführten Kontrollen jeweils ebenfalls Gegenstand \nder Schengen-Evaluationen. Der Datenschutzbeauftragte hat bei der \nKantonspolizei im Jahre 2017 eine Kontrolle in Bezug auf die Nutzung des \nSchengener-Informationssystems durch die Kantonspolizei durchgeführt. Das \nmethodische Vorgehen wurde so gewählt, als beim fedpol die Logfiles über eine \n\n \n114 SR 0.362.31 \n\n\n\n54 \n \n\n \n\nZeitspanne von einer Woche betreffend die Abfragen der Kantonspolizei durch \nden Datenschutzbeauftragten angefordert wurden. Die Woche wurde so \nausgewählt, dass sie relativ zeitnah der durchzuführenden Kontrolle lag, sodass \ndie in die Kontrolle einbezogenen Beamten sich auch einigermassen an die \nAbfragen erinnern können. Aus der sehr grossen Menge von Logfiles wurden \neine gewisse Anzahl von Abfragen stichprobeweise ausgewählt (nur Personen- , \nkeine Fahrzeugabfragen), dem Polizeikommando zugestellt mit dem Ersuchen, \nsie den betreffenden Polizeibeamtinnen und Polizeibeamten zur Stellungnahme \nvorzulegen und dazu kurz begründend Stellung nehmen zu lassen.  \n\nEs konnte festgestellt werden, dass innerhalb dieser Kontrolle den \nantwortenden Polizeibeamten klar war, dass auf jede RIPOL-Abfrage hin \ndigitalisiert gleichzeitig immer auch eine Abfrage über das Schengener-\nInformationssystem erfolgt, bzw. im Schengener-Informationssystem \nabgeglichen wird. Die betroffenen Personen vermochten ihre Abfragetätigkeit \nnachvollziehbar zu begründen und der Datenschützer gewann den Eindruck, \ndass das Polizeipersonal sehr wohl in Bezug auf die Datenschutzproblematik \nsensibilisiert ist und keine willkürlichen Abfragen erfolgten. Auch konnte sich der \nDatenschützer überzeugen, dass aufgrund der Funktionen und des \nAufgabenbereichs, welche die stichprobemässig befragten Personen, welche die \nAbfragen tätigten, bei der Polizei ausüben und wahrnehmen, die \nZugriffsberechtigung zu den Informationssystemen zurecht besitzen.  \n\n \n\nVIII \n\nÖffentlichkeitsgesetz \n\nIm Zusammenhang mit dem Gesetz über das Öffentlichkeitsprinzip der \nkantonalen Verwaltung115 erfolgten vereinzelt telefonische mündliche Anfragen, \ndie auch mündlich beantwortet wurden. Im Zusammenhang mit dem \nÖffentlichkeitsgesetz erfolgen beim Datenschützer relativ wenige Anfragen. Wie \nviele Anfragen bei direkt betroffenen Amtsstellen erfolgen, derart, dass eine \ndirekte Einigung erfolgt und Einsichtsgesuchen stattgegeben oder zumindest \nteilweise stattgegeben wird, ist dem Datenschützer nicht bekannt. Grundsätzlich \nist die Datenschutzstelle ja nur involviert, wenn zwischen Gesuchsteller und \neiner Amtsstelle Uneinigkeit herrscht.  \n\nEin Einigungsverfahren wurde in der Berichtszeit durchgeführt. Eine \nPrivatperson ersuchte um Einsicht in verschiedene Unterlagen einer \nTourismusorganisation, die einerseits Aufgaben gestützt auf Gemeindegesetz \nerfüllt, anderseits aber auch seitens des Kantons als Tourismusorganisation \n\n \n115 OeG; RB 2.2711 \n\n\n\n55 \n \n\n \n\nanerkannt ist und teilweise über kantonale Mittel verfügt, indem sie auch \nkantonale öffentliche Aufgaben wahrnimmt. Die Differenzen zwischen der \nPrivatperson einerseits und der Tourismusorganisation andererseits drehten \nsich anfänglich um die Frage, wie weit das Öffentlichkeitsgesetz auf den \nkonkreten Sachverhalt  Anwendung findet, ist unser OeG in seinem \nGeltungsbereich doch nur auf Behörden des Kantons, oder auf Dritte, soweit sie \nöffentliche Aufgaben erfüllen, die ihnen vom Kanton übertragen wurden, \nzugeschnitten.  Der Datenschützer vertrat bei der konkret gegebenen \nKonstellation die Rechtsauffassung, dass das Öffentlichkeitsgesetz Anwendung \nfindet, dies in der Überlegung, dass einerseits das OeG auch private Dritte als \nBehörden im Sinne des Gesetzes definiert, sofern sie kantonale öffentliche \nAufgaben wahrnehmen,116 und dass andererseits das kantonale \nTourismusgesetz117 sowie das Tourismusreglement118 die besagte \nTourismusorganisation als solche im Sinne des Gesetzes anerkennt, ihr \nkantonale öffentliche Aufgaben überträgt und sie teilweise auch mit Mittel \nausstattet. \n\nUm in den Status der Anerkennung zu gelangen, müssen laut Tourismusgesetz \ngewisse Voraussetzungen erfüllt sein. So muss eine Tourismusorganisation \nneben der Erfüllung weiterer Vorgaben über genügend finanzielle Mittel \nverfügen119 und sie muss glaubhaft machen können, dass ihre anderweitigen \nEinnahmen für die Erfüllung dieser Aufgaben ohne öffentliche Gelder drei Viertel \ndes für die Region berechneten Kantonsbeitrages gemäss Art. 16 erreichen. \nPräzisiert wird diese Bestimmung in Art. 5 Abs. 1 des Tourismusreglementes, wo \nausgeführt ist, dass eine Tourismusorganisation durch Vereinbarungen, \nAbsichtserklärungen und/oder Erfahrungswerte glaubhaft zu machen hat, dass \nihre Einnahmen, ohne öffentliche Einnahmen nach dem Tourismusgesetz, drei \nViertel des für die Region berechneten Kantonsbeitrages nach Art. 16 des \nTourismusgesetzes erreichen. Des Weiteren wird in Art. 5 Abs. 3 des TourR \nausdrücklich festgehalten, dass wenn eine Gemeinde mehr als den gesetzlich \nvorgesehenen Beitrag bezahlt, weil sie beispielsweise von den touristischen \nLeistungsträgern und von Dritten eine Abgabe zur Förderung des Tourismus \neinzieht, dann zählt der Betrag, welcher den gesetzlichen Gemeinde-Beitrag \nübersteigt, ebenfalls zu den Einnahmen der Tourismusorganisation dazu. \n\nDas bedeutet im Grunde, dass die Beherbergungsgebühren, welche von den \nZahlungspflichtigen eingezogen werden, zwar primär gestützt auf \nGemeinderecht erhoben werden, dass jedoch anderseits die nämlichen \nBeherbergungsgebühren, sofern sie der Tourismusorganisation, insbesondere \n\n \n116 Art. 2 Abs. 2 lit. b OeG \n117 TourG; RB 70.2411 \n118 TourR; RB 70.2415  \n119 Art. 8 Abs. 1 lit. b TourG \n\n\n\n56 \n \n\n \n\nallenfalls über den gesetzlichen Gemeindebeitrag hinaus, weitergeleitet werden, \nals Teil von deren finanziellen Mitteln und Einnahmen im Sinne des kantonalen \nTourismusgesetzes gelten. Sie bilden damit einen integrierenden Bestandteil für \ndie Erfüllung der Voraussetzung, als Tourismusorganisation durch den Kanton \nanerkannt zu werden. Damit lässt sich ohne Zwang sagen, dass die \nTourismusorganisation auch im Hinblick auf die Verwendung der \nBeherbergungsgebühren nicht nur als Leistungserbringer im Auftrag der \nbetroffenen Gemeinden wirkt, sondern ebenso eine gesetzliche Aufgabe im \nAuftrag des Kantons wahrnimmt.  \n\nEs fand schliesslich eine Einigungs-Zusammenkunft statt und der Privatperson \nwurde in Teile der von ihr anbegehrten Unterlagen Einsicht gewährt.  \n\n   \n\nIX \n\nPrivatim und Zentralschweizer Datenschutzstellen \n\nDer Datenschutzbeauftragte nimmt, wenn es ihm terminlich möglich ist, auch \nregelmässig an den Frühjahrs- und Herbsttagungen von privatim, der \nVereinigung der Schweizer Datenschutzbeauftragten teil. Im Jahre 2017 wurde \ndie Herbsttagung auf Einladung des Kantons Uri im Rathaus in Altdorf \ndurchgeführt. Diese Tagungen dienen der fachlichen Meinungsbildung, der \nWeiterbildung und des Informations- und Erfahrungsaustausches. An den \nTagungen werden jeweils aktuelle Probleme, die den Datenschutz betreffen, \nerörtert in Form von Fachreferaten und anschliessenden Diskussionen. Auch \nwurden innerhalb von privatim vor Jahren fünf fachliche Arbeitsgruppen \ngebildet. Mitglieder sind die meisten Kantone sowie einige Städte. Gerade für \neine kleine Datenschutzstelle, wie sie im Kanton Uri besteht, erweist sich die \nMitgliedschaft bei privatim als wichtig und nützlich. \n\nAuch findet ein regemässiger Gedankenaustausch mit den Datenschutzstellen \nder Zentralschweizer Kantone statt. \n\n \n\nX \n\nVeranstaltungen \n\nIn der Berichtszeit hat eine Veranstaltung stattgefunden. Die Datenschutzstelle \nwurde von der KESB Uri für ein Referat angefragt. Die Kinder- und \nErwachsenenschutzbehörde führt alljährlich eine Instruktions- und \nWeiterbildungsveranstaltung mit privaten Beiständinnen und Beiständen durch. \nFür die im Herbst 2018 geplante Veranstaltung wurde der Datenbeauftragte von \nder KESB eingeladen, eine Einführung zu geben in die wichtigsten \n\n\n\n57 \n\ndatenschutzrechtlichen Aspekte und Fragestellungen, die sich anlässlich auch \neiner Mandatsführung durch eine Privatperson ergeben können. Das Referat \nbehandelte in komprimierter Form die wichtigsten grundrechtlichen \nFragestellungen, in welche der Datenschutz eingebettet ist; die Strukturierung \nder gesetzlichen Regelung des formellen Datenschutzes in der Schweiz; zentrale \ndatenschutzrechtliche Begriffe und Grundsätze. Das Hauptgewicht um die \nAusführungen drehte sich um das materielle Datenschutzrecht, soweit es sich \nfür eine Mandatsführung im Kindes- und Erwachsenenschutzrecht als relevant \nerweist, wie Bestimmungen Art. 413ff. ZGB; Art. 443f. ZGB. Es entwickelte sich \nanschliessend eine rege Fragerunde.    \n\nXI \n\nRevision des kantonalen Datenschutzgesetzes \n\nWie bereits oben dargestellt ruft die abgeschlossene Reform des \nDatenschutzrechts im europäischen Raum auch nach einer Revision des \nDatenschutzrechts in der Schweiz, und zwar auf Bundes- wie auf kantonaler \nEbene.  So besteht auch in Bezug auf das Urner Datenschutzrecht erheblicher \nRevisions-Bedarf. Der Datenschutzbeauftragte hat zuhanden der Justizdirektion \neine Reihe von Revisionsvorschlägen unterbreitet und sich dabei vor allem an \nden neuen, für die Schweiz verbindlichen RL (EU) 2016/680 und an der \nrevidierten EKonv108+ orientiert, die, sofern das Parlament und weitere Staaten \ndie Genehmigung für die Ratifizierung erteilen wird, was zu hoffen ist, in Kraft \ntreten wird, sofern fünf Vertragsstaaten es genehmigen und in der Folge \nratifizieren werden. \n\nDaraus resultiert, dass das Urner Datenschutzgesetz aufgrund der sich \nereignenden Rechtsentwicklung ebenfalls in vielen Punkten als \nüberholungsbedürftig erscheint. Nebst einigen Begriffserweiterungen drängt \nsich eine Revision, bzw. Einführung erweiterter Bestimmungen auf in den \nBereichen der Auftragsdatenbearbeitung, der Vorabkonsultation, der \nDatenschutzfolgenabschätzung, der Datensperrung, des grenzüberschreitenden \nDatenverkehrs, allfälliger Abrufverfahren, insbesondere wenn besonders \nschützenswerte Personendaten betroffen sind, in Bereichen allfälliger \nautomatisierter Entscheidungsverfahren,   Rechte von betroffenen Personen, \nMeldepflichten bei Datenschutzverletzungen oder etwa im Bereich von \nRegelungen betreffend die Stellung der Datenschutzbeauftragten.  \n\n\n\n58 \n\nXII \n\nAusblick \n\nIn den letzten Jahren fanden zwischen dem Datenschutzbeauftragten einerseits \nund der Koordinationsstelle Organisationsentwicklung und E-Government sowie \ndem Kanzleidirektor-Stellvertreter/Informationsbeauftragen  andererseits in \nregelmässigen Abständen Zusammenkünfte statt, bei denen der Datenschützer \nim Rahmen der E-Government-Strategie über die anstehenden Projekte \ninformiert und instruiert wurde. Für die Datenschützer sind derartige \nZusammenkünfte sehr wertvoll, wird der Datenschutzbeauftragte doch \ndiesbezüglich sehr informativ auf dem neuesten Stand gehalten. Er erhält so die \nMöglichkeit, sich auch anderweitig kundig zu machen, wie es um den Verlauf der \nEntwicklung von E-Government steht und wo sich allenfalls Schwachstellen \nereignen könnten. Der Datenschutzbeauftragte weiss diese \nInformationssitzungen sehr zu schätzen. \n\nEs ist jedoch nicht von der Hand zu weisen, dass auch im Bereich der öffentlichen \nHand und ausserhalb des eigentlichen Rahmens von «E-Government» die rasch \nvoranschreitende Digitalisierung auch vor der eigentlichen Verwaltungstätigkeit \nnicht Halt macht. Auch von der Verwaltung wird eine speditive, effiziente und \nkostengünstige Arbeitsweise erwartet und diese Anforderungen rufen in der \nheutigen Zeit sehr bald nach digitalen Projekten, teilweise auch sehr komplexer \nArt. Dies ist auch der Grund, dass sowohl anlässlich der Revision des \neuropäischen wie nationalen Datenschutzrechts praktisch überall \nBestimmungen betreffend einer Datenschutzfolgenabschätzung eingeführt \nwerden, die vor allem dann  greifen sollen, wenn in einem Verwaltungs-Bereich \nneue digitale Technologien zur Bewältigung von gesetzlichen Aufgaben \neingeführt werden sollen. Dies ruft nach Ressourcen, die auch eine technische \nIT-Kompetenz beinhalten. Eine seriöse datenschutzrechtliche Beurteilung \nsolcher Projekte erfordert im Grunde, dass auch die technischen Prozesse \ndigitalen Inhalts eines solchen Projektes genau verstanden werden, um in eine \nBeurteilung miteinfliessen zu können. Die Datenschutzstellen grösserer Kantone \nverfügen bereits jetzt teilweise über derartige personelle Ressourcen. Im \nHinblick auf diese Entwicklung müssten sich kleine Kantone wie Uri überlegen, \nwie sie vielleicht in Zusammenarbeit mit andern Kantonen derartige personelle \nRessourcen im eigentlichen technischen IT-Bereich bereitstellen können, sodass \nsie anlässlich einer allenfalls anstehenden Datenschutzfolgenabschätzung im \nHinblick auf die Einführung neuer komplexer IT-Technologien ebenfalls \npersonelle Ressourcen für die technische Beurteilung abrufen könnten. Der \nderzeitige Datenschutzbeauftragte des Kantons Uri wäre jedenfalls in dieser \nHinsicht überfordert.      \n\n\n\n\n