42

4. Exkurs: Welchen Sinn macht eine solche Bestimmung? Soweit die Gemeinde kantonales oder eidgenössisches Recht anzuwenden hat, muss sie sich grundsätzlich zu Aspekten des Datenschutzes gar nicht wei- ter äussern. Soweit ihr hingegen eigenständige Kompetenzen zustehen, sollte sie da- tenschutzrechtliche Fragestellungen in den entsprechenden gemeindlichen Spezialerlassen regeln. Man kann sich somit ohne Weiteres vorstellen, die eingangs aufgeführte Be- stimmung in der Gemeindeordnung wegzulassen. Auf der anderen Seite kann es aber sinnvoll sein, die Verwaltung daran zu erinnern, wie sie bezüglich des Datenschutzes vorzugehen hat. Unter Beachtung der vorstehenden Ausführungen hat die Gemeinde hier einen gewissen Spielraum. Pflegt sie einen eher strengen, «puritanischen» Ge- setzesstil, wird sie auf eine solche Bestimmung verzichten. Zieht sie hingegen einen eher informativen, «erzieherischen» Gesetzesstil vor, kann sie grundsätzlich eine entsprechende Bestimmung aufführen. Fazit Hat die Gemeinde Bundesrecht oder kantonales Recht oder gegebenenfalls darauf gestütztes gemeindliches Ausführungsrecht anzuwenden, darf sie sich nicht auf einen bloss «zweckmässigen» Datenschutz beschränken. Vielmehr hat sie das entsprechende Recht – unter Einschluss des Datenschutzrechts – umfassend gemäss den entsprechenden Vorgaben anzuwenden. In Bereichen, in denen der Gemeinde eine eigenständige Gesetzgebungs- kompetenz zusteht, kann sie sich – unter Beachtung der Vorgaben des über- geordneten kantonalen beziehungsweise Bundesrechts – auf einen «zweck- mässigen» Datenschutz beschränken. II. Zur Zulässigkeit der Übermittlung von Personaldaten ins Ausland Ausgangslage Eine Zuger Verwaltungsstelle beauftragte ein privates schweizerisches Un- ternehmen, Persönlichkeitstests beziehungsweise Assessments bei ihrem lei- tenden Verwaltungspersonal durchzuführen. Die Betroffenen hatten diverse Tests an ihrem PC am eigenen Arbeitsplatz zu absolvieren. Um diese Tests überhaupt durchführen zu können, mussten die Mitarbeitenden zwingend ihr Einverständnis geben, dass die Testauswertung in Deutschland vorgenommen werden darf. Zudem wurden sie dabei auch darüber informiert, dass – im Fal- le von Anständen – deutsches Rechtzur Anwendung käme. 257

Fragestellung Muss sich der Zuger Verwaltungsmitarbeitende gefallen lassen, dass seine Personendaten ins Ausland übermittelt und dort bearbeitet werden? Ist eine Verweisung auf die Anwendbarkeit des deutschen Rechts zulässig? Aus der Stellungnahme des Datenschutzbeauftragten

1. Vorweg Es wird im Folgenden davon ausgegangen, dass die Durchführung der Tests in der vorgenommenen Ausgestaltung an und für sich rechtmässig ist, und es wird nicht geprüft, ob die Mitarbeitenden ihre Zustimmung zur Durchführung des Tests erteilen müssen oder ob der Arbeitgeber befugt ist, solche ver- pflichtend anzuordnen.

2. Rechtslage

a) Die Auslagerung des Assessments und die Datenbearbeitung im Rah- men der Evaluation der Tests an ein schweizerisches Privatunternehmen ist im Rahmen von § 6 des Zuger Datenschutzgesetzes (DSG, BGS 157.1) grundsätz- lich zulässig. Die Daten dürfen dabei durch den Beauftragten nur in dem Rah- men bearbeitet werden, wie es auch der Auftraggeber selber tun darf.

b) Die Auslagerung von Datenbearbeitungen ins Ausland ist grundsätzlich ebenfalls denkbar. Dabei sind sinngemäss die Vorgaben von Art. 6 des Eid- genössischen Datenschutzgesetzes (Eidg. DSG, SR 235.1) einzuhalten. Bezüglich der hier zur Diskussion stehenden Personendaten aus dem Assessment ist eine Datenbearbeitung im Ausland grundsätzlich möglich. Da- bei hat der Auftraggeber – somit die kantonale Verwaltung – jedoch gegen- über dem beauftragten Unternehmen vertraglich abzusichern, dass sämtliche datenschutzrechtlichen Vorgaben eingehalten werden. Exkurs: Bezüglich Daten der kantonalen Verwaltung, die den hoheitlichen Bereich im engeren Sinne betreffen – zu denken wäre etwa an die Bereiche Polizei, Steuern, Schule etc. – wären hingegen die diesbezüglichen datenschutzrecht- lichen Rahmenbedingungen viel strenger, so dass eine Auslagerung solcher Da- ten ins Ausland kaum je in Frage kommen kann.

c) Eine Datenbearbeitung in Deutschland ist grundsätzlich zulässig, da Deutschland über einen Datenschutz verfügt, der dem schweizerischen gleich- wertig ist.

d) Die Verwaltungsstelle hat mit dem schweizerischen Unternehmen ins- besondere die folgenden Aspekte vertraglichzu regeln: 258

– soweit die Datenbearbeitung in Deutschland vorgenommen werden soll, an welche Stelle in Deutschland die Daten genau übermittelt werden;

– dass der deutsche Datenbearbeiter die Daten nicht weitergeben darf, die Daten nicht für andere bzw. eigene Zwecke verwenden darf, die Daten nach Auftragserfüllung zurückzugeben bzw. vollständig zu vernichten hat und kei- ne Kopien anfertigen darf;

– dass sämtliche Datenübertragungen, so sie via ungesicherte Netze – wie es das Internet eines ist – übertragen werden, ausschliesslich verschlüsselt er- folgen (§ 3 der Zuger Verordnung über die Nutzung von Internet und E-Mail, BGS 154.28).

e) Wichtig für die Mitarbeitenden, die von dieser Datenbearbeitung be- troffen sind: für sie ist – etwa im Falle von Anständen – ausschliesslich ihr Ar- beitgeberAnsprechsperson, somit die Zuger Verwaltungsstelle. Im Weiteren ist dieses Rechtsverhältnis ausschliesslich dem Zuger Personalrecht beziehungs- weise Datenschutzrecht unterworfen. Die Mitarbeitenden müssen sich somit weder an die beauftragte schweizerische Firma, noch etwa gar an den deut- schen Datenbearbeiter halten, sollten sich aufgrund der vorliegenden Daten- bearbeitung eine Persönlichkeitsverletzung oder ein Schaden einstellen. Gleich verhält es sich, wenn sie die ihnen aufgrund des Zuger Daten- schutzgesetzes zustehende Rechte wahrnehmen wollen, etwa Einsicht oder Berichtigung ihrer eigenen Daten (etc.). Fazit Die Auslagerung der Datenbearbeitung ist möglich, im vorliegenden Bei- spiel ist selbst auch eine Datenbearbeitung in Deutschland grundsätzlich zuläs- sig. Für die betroffenen Mitarbeitenden ist aber in dieser Sache ausschliesslich ihr Arbeitgeber, somit die Zuger Verwaltung, zuständig. Zur Anwendung kommt das Zuger Recht. Die Betroffenen haben sich somit in keinem Fall dem deutschen Recht zu unterwerfen; ihre diesbezügliche Zustimmung ist unbe- achtlich. 259