09

I. Auslagerung von öffentlichen Aufgaben an Private Aus verschiedenen Gründen werden zunehmend Aufgaben, die bis anhin durch die öffentliche Verwaltung erledigt wurden, an private Unternehmen übertragen. In der Regel ist damit auch die Datenbekanntgabe an und/oder die Datenbearbeitung durch Private verbunden. Wie die Auslagerung aus datenschutzrechtlicher Sicht zu beurteilen ist, soll anhand des folgenden konkreten Beispiels aufgezeigt werden. Fragestellung Können Druck- und Versandaufträge von Steuerunterlagen,5 die bisher verwaltungsintern6 erledigt wurden, an Privatfirmen vergeben werden? Wie ist die Rechtslage bezüglich der folgenden Aspekte: Grundsätze, Grenzen, Rahmenbedingungen, Besonderheiten bezüglich Datenbekanntgabe? Um diesen Auftrag erfüllen zu können, müssen die Adressen sowie wei- tere Angaben über sämtliche steuerpflichtigen natürlichen und juristischen Personen bekannt gegeben werden. Aus den Empfehlungen

1. Rechtslage – die Grundsätze 1.1 Steuergeheimnis Die Geheimhaltungspflicht in Steuersachen ist in §108 Abs. 1 des Steuer- gesetzes (StG; BGS 632.1) wie folgt festgelegt: «b) Geheimhaltungspflicht 1 Wer mit dem Vollzug dieses Gesetzes betraut ist oder dazu beigezogen wird, muss über Tatsachen, die ihr oder ihm in Ausübung ihres oder seines Amtes bekannt werden, und über die Verhandlungen in den Behörden Still- schweigen bewahren und Dritten den Einblick in amtliche Akten verweigern.» Diese Bestimmung geht wesentlich über das Amtsgeheimnis, wie es in §29 des Personalgesetzes (BGS 154.21) i.V.m. §11 der Personalverordnung (BGS 154.211) umschrieben ist, hinaus, beschlägt doch die Geheimhaltungspflicht sämtlicheTatsachen, die den Mitarbeitenden bekannt werden. Das allgemein für die Verwaltungsmitarbeitenden geltende Amtsgeheimnis gemäss Personalgesetz bezieht sich hingegen nur auf Tatsachen, «an denen ein öffentliches Geheimhaltungsinteresse oder ein Persönlichkeitsschutzinteresse besteht oder die gemäss besonderer Vorschrift geheim zu halten sind». 5 Vorbedruck der Steuererklärungsformulare sowie Verpackung und Versand. 6 Durch das ITL (Informationstechnik-Leistungszentrum), das verwaltungsinterner Dienst- leister im Bereiche Informatik ist. 240

Beim Steuergeheimnis handelt es sich somit um ein qualifiziertesAmtsge- heimnis. Hintergrund: Die Steuerpflichtigen müssen den Steuerbehörden eine Vielzahl von persönlichen und heiklen Daten bekannt geben. In der Terminologie des Datenschutzgesetzes handelt es sich vielfach um besonders schützenswerte Personendaten bzw. um Persönlichkeitsprofile (vgl. §2 Bst. b DSG). In persönlicher Hinsicht ist davon auszugehen, dass sich §108 StG nur auf Mitarbeitende der öffentlichen Verwaltung bezieht, geht es doch um Tatsa- chen, die in Ausübung des Amtes bekannt werden. Auf beauftragte externe Personen bezieht sich dagegen §108 StG nicht. Strafrechtlicher Schutz des Amtsgeheimnisses – StGB Art. 320 Wird das Steuergeheimnis verletzt, so kann sich die Frage nach personal- rechtlichen Massnahmen, nach zivilrechtlicher Haftung und auch nach straf- rechtlichen Konsequenzen stellen. Das Amtsgeheimnis erfährt durch die Strafandrohung nach Art. 320 des Strafgesetzbuches einen starken Schutz. Auf beauftragte externe Personen bezieht sich Art. 320 StGB hingegen nicht. 1.2 Auslagern der Datenbearbeitung gemäss Datenschutzgesetz §6 DSG sieht vor: Ausgelagertes Bearbeiten von Daten «1 Das Bearbeiten von Daten kann ausgelagert werden, wenn

a) die Auftraggeberin oder der Auftraggeber dafür sorgt, dass die Daten nur so bearbeitet werden, wie sie oder er es selbst tun dürfte und

b) keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet. 2 Die Einhaltung des Datenschutzes wird durch Auflagen, Vereinbarun- gen oder in anderer Weise sichergestellt.» 1.3 Zum Verhältnis von §108 StG zu §6 DSG Vorweg stellt sich die Frage, ob §108 Abs. 1 StG eine Auslagerung in grundsätzlicher Weise verbietet, somit ein Anwendungsfall von §6 Abs. 1 Bst. b DSG darstellt. Dies scheint nicht der Fall zu sein. §108 StG wendet sich an die Mitarbei- tenden und verbietet ihnen, Informationen nach aussen zu tragen bzw. Drit- ten Einblick in amtliche Akten zu geben. 241

Über die Organisation und Strukturierung von Arbeitsabläufen bzw. Ar- beitsteilung spricht sich §108 StG jedoch nicht aus – jedenfalls so lange der materielle Gehalt der Bestimmung nicht in grundlegender Weise tangiert ist. 1.4 Zwischenergebnis Die Steuerbehörden bearbeiten eine Vielzahl von besonders schützens- werten Personendaten. Sie unterstehen deswegen einer strengen Geheim- haltungsregelung, die auch strafrechtlich bewehrt ist. Eine Auslagerung ge- wisser Aufgaben an externe Private ist m.E. rechtlich grundsätzlich zulässig. Dabei sind Beauftragte zwingend denselben Sicherheitsvorschriften unter- worfen wie die Verwaltung.

2. Rahmenbedingungen Im Folgenden werden einige Hinweise auf mögliche Sicherheitsmassnah- men für den Fall der Auslagerung der Datenbearbeitung an Drittfirmen ge- geben. Die Hinweise sind nicht abschliessend. Die konkrete Ausgestaltung hängt von den zu bearbeitenden Daten ab – je heikler die zu bearbeitenden Daten, desto weitergehende Massnahmen sind zu ergreifen. Das Amtsgeheimnis verbietet grundsätzlich die Datenbekanntgabe an an- dere Amtsstellen. Auch das Datenschutzgesetz sieht in §5 vor, dass eine Datenbekanntgabe nur in engen Grenzen zulässig ist. Was für die öffentliche Verwaltung gilt, ist erst recht auf Private anwendbar: Der Kreis der Perso- nen, die bei der Arbeitstätigkeit Einsicht in Daten haben, muss möglichst enggefasst werden. Personen, die mit der Datenbearbeitung betraut werden, sind vom Beauf- tragten sorgfältig auszuwählen und zu instruieren. Dem Beauftragten ist es zu untersagen, seinerseits Arbeitsschritte an wei- tere Drittfirmen zu vergeben. Besonders sensible Arbeitsschritte/Datenbearbeitungen sind von zwei Per- sonen (Vorgesetzte/er und Mitarbeiter/in) gleichzeitig auszuführen (= «Vier- Augen-Prinzip»). Jede Person, die Zugang zu Daten hat, muss eine Verpflichtungserklärung unterzeichnen. Darin wird auf folgendes hingewiesen: Bedeutung der Daten- bearbeitung, Verschwiegenheit, Verantwortung, Konsequenzen bei Verstössen. Es ist mittels technischer Massnahmen zu verhindern, dass Mitarbeitende elektronische Daten kopieren bzw. entwenden können. Durch entsprechende EDV-mässige Protokollierungen muss dies jederzeit überprüfbar sein. 242

Technische Massnahmen haben einen Sicherheitsstandard wie sie heute beim ITL bestehen, zu garantieren (Gebäudesicherheit, Brandschutz, Re- dundanz von Systemen/Sicherheitskopien etc.). Bei Verletzung von vertraglichen Verpflichtungen betreffend Datenschutz wird eine Konventionalstrafefällig. Zivil- und strafrechtliche Sanktionen sind vorbehalten.

3. Hinweis zum Datenaustausch mit dem Beauftragten Die Datenlieferung (Adressen sowie weitere Informationen, die auf die Steuerformulare zu drucken sind) hat auf sicherem Weg zu erfolgen (vgl. §7 DSG). Unverschlüsselte Datenübertragung via Internet ist unzulässig.

4. Fazit Meines Erachtens entspricht der bisher durch das ITL erfolgte Formular- druck den Erfordernissen des Datenschutzes bzw. der Datensicherheit. Aus rechtlicher Sicht kann die Datenbearbeitung jedoch grundsätzlich aus- gelagert werden. Zwingend ist diesfalls, dass die entsprechenden Massnah- men ergriffen werden. Es dürfen bezüglich Datenschutz/Datensicherheit kei- nerlei Abstriche zum heutigen Stand gemacht werden. Aus Gründen des Datenschutzes ist die Auftragserfüllung durch kantons- interneStellen der Vergabe eines Auftrages an Drittfirmen klar vorzuziehen. II. Zur Datenbekanntgabe an vorgesetzte Stellen Sachverhalt In einer Gemeinde stellte sich die Frage, welche Daten die Sozialbehörde dem Gemeinderat im Zusammenhang mit den Quartalsabrechnungen be- kannt zu geben hat. Es ging insbesondere darum, ob die Sozialhilfebezüger namentlich und mit den betragsmässigen Bezügen bekannt zu geben sind. Aus den Empfehlungen

1. Rechtslage

a) Grundsätzliches Gemäss §11 Abs. 1 des Sozialhilfegesetzes (BGS 861.4) ist der Gemein- derat die Sozialbehörde. Unter Gemeinderat ist das Gesamtgremium zu ver- stehen. Gemäss §11 Abs. 2 des Sozialhilfegesetzes kann er Aufgaben und Kom- petenzen einer Kommission übertragen. 243