Ric tig - Datenschutzbeauftragte des Kantons ...
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Tä
ti
gk
ei
ts
be
ri
ch
t
20
20
Datenschutzbeauftragte des Kantons Zürich 1 Vorwort / KurzbeschriebVorwort
2
«Auch in der Krise muss der Staat dem
Vertrauen der Bevölkerung in den Umgang mit
ihren Personendaten gerecht werden.»
Datenschutzbeauftragte des Kantons ZürichVorwort
Datenschutz
beauftragte des
Kantons Zürich
Vorwort
Die Beauftragte berichtet dem Wahlorgan periodisch über Umfang und
Schwerpunkte der Tätigkeiten, über wichtige Feststellungen und Beurtei-
lungen sowie über die Wirkung des Gesetzes. Der Bericht wird veröffent-
licht (§ 39 IDG). Der vorliegende Tätigkeitsbericht deckt den Zeitraum vom
1. Januar 2020 bis und mit 31. Dezember 2020 ab und ist im Internet unter
www.datenschutz.ch publiziert.
Der Tätigkeitsbericht 2020 ist der 26. der Behörde, aber der 1. in meiner
Amtszeit. Er zeigt, wie die Grundrechte auch in Krisensituationen, wie
3
wir sie aktuell mit der Corona-Pandemie erleben, ihre Funktion haben und
Wirkung erzielen. Das Grundrecht auf Privatsphäre und informationelle
Selbstbestimmung war im vergangenen Jahr ein zentrales Thema. Im
Rahmen der Massnahmen zur Pandemiebekämpfung wurden grosse Men
gen an Personendaten erhoben, weitergegeben und ausgewertet. Gleich
zeitig entwickelte sich der Trend der Digitalisierung in diesem Umfeld rasch
weiter. Die Beratung und die Aufsicht im Datenschutz sind die Vorausset-
zung, damit die Grundrechte in unserer demokratischen und freien Gesell
schaft gewährleistet bleiben.
Dr. iur. Dominika Blonski
Datenschutzbeauftragte des Kantons Zürich
Datenschutzbeauftragte des Kantons ZürichInhaltsverzeichnis
6 12
Übersicht Homeoffice,
aber sicher!
7 Teil der Lösung in der Krise
10 Entwicklungsschwerpunkte
13 Regeln für das Homeoffice
14 Komplexe Fragen zur digitalen
Zusammenarbeit
16 Prorektor-Wahl per Videokonferenz
17 Corona-Pandemie und Privatsp
häre
– als Video
4
31 41
Überlegen in der Wirksame neue
Digitalisierung Instrumente
32 Impulsprogramm Datenschutz 42 Datenschutz-Folgenabschätzung wird Pflicht
34 G o-live der neuen Kantonswebsite 43 Datenschutzvorfälle müssen gemeldet werden
35 Informationsrichtlinien für die
Datenschutzbeauftragte des Kantons Zürich
Verwaltung
36 Elektronische Kommunikation in
der Justiz
37 Mitwirkungspflicht im Asylverfahren
38 M
ehr Informationssicherheit in den
Gemeinden
39 Zurückblicken und vorausschauen18 22
Fernunterricht, In der Krise ist nicht
der bildet alles anders
19 Fragen zum digitalen Unterricht 23 Auch in der Krise nicht alles offenlegen
21 Datenschutz online lernen 25 Datenschutz im Datenüberfluss
27 Mit Doodle zum Gottensdienst anmelden
28 Gemeindeversammlung im Fernsehen
29 Universalschlüssel zu den Bibliotheken
30 Rayonverbot mit Electronic Monitoring
5
46 47
Impressum Kontakt Datenschutzbeauftragte des Kantons ZürichVorwort / Kurzbeschrieb
Übersicht
6
7 Teil der Lösung in der Krise
10 Entwicklungsschwerpunkte
Datenschutzbeauftragte des Kantons ZürichÜbersicht
Teil der Lösung
in der Krise
Die Corona-Pandemie hat unseren Alltag in zahlreichen Lebens
bereichen wesentlich verändert. Das zeigte sich auch bei den Tätig-
keiten der Datenschutzbeauftragten im Jahr 2020. Zwar hat die
Digitalisierung ihre Arbeit schon in den letzten Jahren geprägt. Doch
in der Krise benötigten die öffentlichen Organe sowie die Einwoh
nerinnen und Einwohner schnelle Lösungen. Die Datenschutzbeauf-
tragte unterstützte sie pragmatisch.
«Wir hören dich nicht – du bist noch stumm Gefahren einer Digitalisierung, die nicht
geschaltet.» Diese Aussage fällt in jeder Video datenschutzkonform umgesetzt wird. Es wird
konferenz. Sie macht uns darauf aufmerksam, einfach etwas gemacht. Aber es gibt auch
dass wir das Mikrofon anstellen sollen, wenn andere Bereiche, die die Gefahren erkennen
wir sprechen möchten. 2020 mussten wir viele und versuchen, sie einzudämmen.
neue Gewohnheiten lernen. Videokonferenzen
finden meist im heimischen, provisorisch ein Ganz unabhängig davon, wie herausfordernd
7
gerichteten Büro – im Homeoffice – statt. Auch die Umstände sein mögen, bleiben die öffent
der Schulunterricht der Kinder wurde teilweise lichen Organe verantwortlich für die Personen-
in ein virtuelles Umfeld verlegt. Die Trennung daten der Einwohnerinnen und Einwohner.
zwischen Freizeit und Arbeit, privat und Sie dürfen diese nur bearbeiten, wenn dies im
beruflich, schwand. Gesetz vorgesehen ist, und sie müssen sie
schützen, indem sie die organisatorisch-tech-
Die Datenschutzbeauftragte wurde mit Fragen nischen Vorgaben einhalten. Auch wenn ausser
von öffentlichen Organen, aber auch von gewöhnliche Zeiten nach aussergewöhnlichen
Einwohnerinnen und Einwohnern überhäuft. Massnahmen verlangen, dürfen datenschutz-
Sie sorgten sich um den Datenschutz im rechtliche und sicherheitstechnische Aspekte
Homeoffice, im Fernunterricht, beim Contact nicht vernachlässigt werden. Zudem tragen
Tracing, bei der Meldepflicht bei der Rück die Mitarbeitenden öffentlicher Organe die
kehr aus Risikoländern, bei der Abfrage von Verantwortung dafür, wie sie ihre Arbeit im un
Sommerferien-Reisedestinationen bei Schul gewohnten Umfeld organisieren.
kindern oder in Bezug auf Impfdaten. Die
Datenschutzbeauftragte unterstützte unkom Die Medien berichteten ausgiebig über die
pliziert und praxisbezogen bei der Umsetzung Datenbearbeitungen im Zusammenhang mit
der Massnahmen. Sie veröffentlichte eine der Corona-Pandemie. Die Reaktionen der
Produkteliste und Regeln fürs Homeoffice Bevölkerung haben gezeigt, dass sie sich sehr
und zeigte die datenschutzrechtlichen für ihr Grundrecht auf Datenschutz interessiert
Datenschutzbeauftragte des Kantons Zürich
Vorgaben auf. und seine Einhaltung bei den öffentlichen
Organen auch einfordert. Die öffentlichen
Die Beobachtungen und Diskussionen in der Organe sind in der Ausnahmesituation mehr
Corona-Pandemie führen aus der Perspektive denn je in der Pflicht, diese Erwartungen zu
des Datenschutzes und der Informations erfüllen und dem Vertrauen der Einwohnerin-
sicherheit zu zwei Erkenntnissen: Die Pandemie nen und Einwohner in den Umgang mit den
bewirkte einen Digitalisierungsschub und der Personendaten gerecht zu werden.
Umgang mit diesem war sehr unterschiedlich.
In manchen Bereichen besteht weiterhin weder
das Bewusstsein noch das Interesse für dieÜbersicht
Ist in der Krise wirklich alles anders? unterstützt die Entscheidungsfindung, ob ein
Beim Datenschutz handelt es sich um ein Projekt oder eine geplante Datenbearbeitung
Grundrecht. Jede Bearbeitung von Personen- der Datenschutzbeauftragten zur Vorabkont-
daten ist ein Eingriff in dieses Grundrecht. rolle vorgelegt werden muss. Schon bisher
Grundrechte können eingeschränkt werden, mussten öffentliche Organe dafür eine Risiko
wenn bestimmte Voraussetzungen erfüllt einschätzung durchführen. Neu ist nur die
sind. Ob eine Datenbearbeitung und damit ein ausdrückliche gesetzliche Pflicht, ein entspre
Eingriff in das Grundrecht auf Privatsphäre chendes Dokument zu erstellen.
zulässig ist, wird immer nach dem gleichen
Schema überprüft – auch oder gerade während Seit Inkrafttreten des revidierten Gesetzes sind
Krisen. In einer Krise kann die Überprüfung öffentliche Organe verpflichtet, Datenschutz-
aber zu einem anderen Ergebnis führen als sonst. vorfälle an die Datenschutzbeauftragte zu
Dies zeigt die Corona-Pandemie sehr anschau melden. Meldepflichtig ist beispielsweise, wenn
lich. Auch Datenbearbeitungen, die in Zusam sich ein Hacker Zugriff auf Daten verschafft
menhang mit der Pandemie erfolgen, brauchen oder auch wenn ein Mitarbeiter oder eine Mitar
eine rechtliche Grundlage und es muss ein beiterin einen USB-Stick mit Personendaten
öffentliches Interesse vorhanden sein. Die Ein verloren hat.
dämmung einer Infektionskrankheit liegt im
öffentlichen Interesse, weil sie die Infrastruktur Neu kann die Datenschutzbeauftragte eine
des Gesundheitswesens gefährlich stark bean Verfügung aussprechen, wenn sich ein Organ
sprucht. Aufgrund des Epidemiengesetzes nicht an ihre Empfehlung hält. Sie kann bei
wurden Bestimmungen erlassen, die Daten spielsweise den Abbruch einer Datenbearbei-
bearbeitungen erlauben beispielsweise zur tung oder die Löschung von Daten verfügen.
Rückverfolgung von Infektionen. Somit besteht Dies stärkt die Datenschutzrechte der Ein
eine gesetzliche Grundlage. Die Datenbear wohnerinnen und Einwohner.
beitung muss allerdings auch noch geeignet
und erforderlich sein, um das Ziel erreichen Mit der Selbstdeklaration hat die Datenschutz-
zu können, nämlich die Ausbreitung des Virus beauftragte ein neues Instrument entwickelt,
zu bekämpfen. Sonst ist sie nicht verhältnis- mit dem Gemeinden die Einhaltung der daten
mässig. Wäre die Angabe der Kontaktdaten schutzrechtlichen und sicherheitstechnischen
freiwillig, könnten nicht alle betroffenen Vorgaben einschätzen und verbessern können.
Personen eruiert werden. Die Datenbearbei- Die Unterlagen der Datenschutzbeauftragten
8
tung wäre nicht geeignet, um das Ziel zu unterstützen dabei, eine Übersicht der beste
erreichen. Nicht erforderlich für die Rückverfol- henden IT-Infrastruktur zu bekommen, die Risi-
gung möglicher Infektionen wäre beispielsweise ken zu beurteilen und Verbesserungsmassnah-
die Erfassung von Berufsangaben oder des men zu ergreifen. Gemeinden können mit
Fingerabdrucks. Die rechtliche Grundlage und diesem neuen Datenschutzreview ihre immer
das öffentliche Interesse für die so flächen komplexer werdenden IT-Infrastrukturen
deckende Erfassung der Kontaktdaten beste professionell dokumentieren. Dank dem Daten
hen allerdings nur während der Pandemie. In schutzreview mit Selbstdeklaration kann die
anderen Umständen wäre diese Massnahme Datenschutzbeauftragte die Reichweite ihrer
nicht verhältnismässig. Das Gleiche gilt für Kontrollen stark erweitern.
alle anderen Grundrechte, die während der
Pandemie eingeschränkt wurden, beispielsweise Am 1. Mai 2020 trat Dominika Blonski als neue
die Wirtschaftsfreiheit, als gewisse Betriebe Datenschutzbeauftragte ihr Amt an. Sie war im
während bestimmter Zeiten nicht öffnen durf Dezember 2019 vom Kantonsrat als Nachfolge-
ten, oder die Versammlungsfreiheit. rin von Bruno Baeriswyl gewählt worden, der
altershalber zurücktrat.
Neue Instrumente, neue Datenschutzbeauf
tragte und eine grössere Datenschutzbehörde Der Kantonsrat hat im Dezember 2019 das Bud
Das Jahr 2020 bringt für den Datenschutz im get der Datenschutzbeauftragten um drei
Kanton Zürich einige Neuerungen. Das revidierte Arbeitsstellen erhöht. Die drei Stellen wurden
Gesetz über die Information und den Daten im Verlauf des Jahres besetzt. Mit diesen
Datenschutzbeauftragte des Kantons Zürich
schutz (IDG) sieht neue Instrumente für Daten zusätzlichen Ressourcen möchte die Daten
bearbeiter und die Datenschutzbeauftragte vor. schutzbeauftragte insbesondere die Aufsicht
über die Datenbearbeitungen stärken.
Die Datenschutz-Folgenabschätzung soll helfen,
bei neuen Datenbearbeitungen im Voraus die
Risiken für die Privatsphäre einzuschätzen und
zu minimieren. Die unterstützenden Dokumente
wurden in die Projektmethode Hermes integ
riert, die bei allen Digitalisierungsprojekten
der kantonalen Verwaltung eingesetzt werden
muss. Die Datenschutz-FolgenabschätzungÜbersicht
Unermüdlich für die Freiheitsrechte
Nach gut 25 Jahren als Datenschutzbeauf-
tragter des Kantons Zürich ist Bruno
Baeriswyl Ende April 2020 in Pension
gegangen. Er nahm seine Arbeit 1994 auf,
In welcher Gesellschaft wollen wir leben? also bevor das erste Datenschutzgesetz
Die Öffentlichkeit diskutierte im letzten des Kantons am 1. Januar 1995 in Kraft trat.
Jahr mehr denn je über Datenschutz. Das Schlagwort Digitalisierung bestand
Oft zeigt sich, dass wenig bekannt ist über damals noch nicht. Die Entwicklung, die
die Grundsätze des Datenschutzes. damit gemeint ist, war jedoch schon in
Was ist Datenschutz eigentlich? Wie vollem Gang. Die elektronischen
funktioniert Datenschutz? Datenbearbeitungen nahmen schon in den
1990er-Jahren schnell zu. Die Ansprüche
Datenschutz ist ein Grundrecht. Daraus an die Behörde wuchsen ständig. Der
leiten sich juristische Bedingungen Beitritt der Schweiz zum Schengen-
ab. Bei Datenbearbeitungen müssen also Abkommen führte zu einem weiteren
bestimmte Vorgaben eingehalten Ausbau der Aufgaben. Zunächst war der
werden. Viel bedeutender und stark Datenschutzbeauftragte der Justiz
unterschätzt ist jedoch die gesell direktion angegliedert. Doch die
schaftliche Dimension. Denn Grundrechte Aufsichtsfunktion der Behörde verlangte
schützen die Werte einer Gemeinschaft, nach vollständiger Unabhängigkeit. Bruno
wie das Recht auf Leben, das Baeriswyl setzte sich bis zum letzten
Diskriminierungsverbot oder das Recht auf Arbeitstag unermüdlich für den Daten-
eine freie Meinungsbildung. Sie legen schutz und die Persönlichkeitsrechte auch
die Basis für die Beantwortung der Frage in der digitalisierten Gesellschaft ein.
«Wie möchten wir als Gesellschaft Dafür war und ist er immer noch weit über
zusammenleben?». die Kantonsgrenzen bekannt. An der
Jubiläumsveranstaltung zu 25 Jahren
Die Freiheitsrechte sind wichtige Pfeiler der Datenschutzgesetzgebung im Kanton
liberalen Gesellschaft. Zu diesen Zürich sagte er: «Auf der ganzen Welt
gehört das Grundrecht auf Privatsphäre werden dieselben Technologien entwickelt
9
und auf persönliche Freiheit, die und eingesetzt, unabhängig vom
auch das Grundrecht auf Datenschutz politischen und gesellschaftlichen System.
beinhalten. In einer Gemeinschaft Totalitäre Staaten sehen in ihnen eine
ohne dieses Grundrecht sind die Menschen Möglichkeit zur Überwachung und zur
manipulierbar. Sie können ihre Manipulation der Bevölkerung. In
Freiheiten nicht ausleben, die für das demokratischen und liberalen Gesellschaf-
Funktionieren des demokratischen ten steht das Grundrecht auf persönliche
Rechtsstaats nötig sind. Individuen können Freiheit im Vordergrund. Der Gesetzgeber
nur selbstbestimmt leben, wenn steht in der Pflicht, die notwendigen
sie auch darüber bestimmen können, welche Rahmenbedingungen zu schaffen.»
persönlichen Informationen bekannt
sind und welche eben geheim gehalten Die Bedeutung seines Engagements hätte
werden. Dies beeinflusst die nicht besser illustriert werden können
freie Entfaltung der Persönlichkeit und als durch die Ereignisse der letzten Arbeits
verändert das Verhalten der Personen. tage. Mit dem Lockdown stellten sich
plötzlich sehr akut genau die Fragen nach
Grundrechte gelten aber nicht schrankenlos. den Risiken der Digitalisierung, die
Sie können unter bestimmten Voraus Baeriswyl 25 Jahre lang zur Diskussion
setzungen eingeschränkt werden, ohne stellte. Die Stellen, die sich diesen
dabei verletzt zu werden. Dafür Anforderungen schon früher angenommen
braucht es eine rechtliche Regelung, ein hatten, konnten mit den neuen Umständen
Datenschutzbeauftragte des Kantons Zürich
öffentliches Interesse daran und das im Jahr 2020 besser umgehen als andere.
Ganze muss verhältnismässig sein. Und je Bei seiner Verabschiedung im Kantonsrat
nach Situation ist eine weitergehende drückte er seine Zuversicht aus: «Wenn
Einschränkung zulässig oder eben nicht. ich sehe, dass der Kantonsrat auch in
Krisenzeiten seine Rolle wahrnimmt, dann
bin ich überzeugt, dass die Freiheitsrechte
bei Ihnen in guten Händen sind.»Übersicht
Entwicklungs
schwerpunkte
Der Konsolidierte Entwicklungs- und Finanzplan (KEF) der Daten-
schutzbeauftragten enthält vier Leistungsindikatoren und zwei
Wirkungsindikatoren. Für das Jahr 2020 zeigen sie eine Verlagerung
der Tätigkeiten, die sich aus der besonderen Situation aufgrund
der Corona-Pandemie ergeben hat.
Mit der Verbreitung des Homeoffice und des Stabil blieben hingegen die weiteren beiden
Homeschooling seit dem ersten Quartal 2020 Leistungsindikatoren Aus- und Weiterbildungen
nahm der Einsatz von Produkten zum virtuellen sowie Vernehmlassungen. Bei beiden bewegt
Zusammenarbeiten oder zum virtuellen Unter sich der Indikator im Durchschnitt: Die Aus- und
richten stark zu. Dadurch stiegen die Anfragen Weiterbildungsaktivität wie auch die Stellung
bei der Datenschutzbeauftragten zu diesen nahmen im Rahmen von Vernehmlassungen
Themen an. Dieser Trend blieb das ganze Jahr konnten im geplanten Umfang ausgeführt
hindurch bestehen. Kontinuierlich stellten werden.
sich datenschutzrechtliche Fragen im Zusam
10
menhang mit der Bekämpfung des Corona Der Einfluss der Pandemie zeigt sich auch bei
virus. Entsprechend zeigt der Leistungsindikator den Wirkungsindikatoren. Die Anzahl Besuche
Beratungen eine deutliche Entwicklung. Die rinnen und Besucher auf der Website verdoppel-
Datenschutzbeauftragte führte 2020 etwa te sich beinahe. Das zeigt einerseits, dass die
ein Drittel mehr Beratungen durch als 2019. Informationen auf der Website in der Auswahl
und der Qualität dem Bedürfnis der Nutze
Auch die Entwicklung des zweiten Leistungs rinnen und Nutzer entsprechen. Andererseits
indikators Kontrollen zeigt die besondere illustriert die starke Besucherzunahme das
Situation im Berichtsjahr auf. Kontrollen laufen steigende Informationsbedürfnis der Mitar
in drei Phasen ab. Zunächst fordert die beitenden der öffentlichen Organe, aber auch
Datenschutzbeauftragte öffentliche Organe der Bevölkerung. Die Website ist kontinuierlich
auf, Unterlagen einzureichen, und prüft weiterzuentwickeln, um diesen Anliegen
sie. In einem zweiten Schritt besucht sie die gerecht zu werden. Am zweiten Wirkungsindi-
öffentlichen Organe vor Ort, um Interviews kator Massnahmenumsetzung kann abgelesen
durchzuführen und einen Augenschein zu werden, dass die Nachkontrollen konstant
nehmen. Abschliessend verfasst sie einen ihre Wirkung zeigen. Mit den Nachkontrollen
Bericht gestützt auf die Erkenntnisse aus den kontrolliert die Datenschutzbeauftragte
beiden ersten Schritten. Die Massnahmen die Umsetzung der Massnahmen, die in Kon
zur Eindämmung der Pandemie verhinderten trollberichten festgehalten werden.
die Kontrollen vor Ort. Die öffentlichen Organe
Datenschutzbeauftragte des Kantons Zürich
waren auch im Verlauf des Jahres nicht für
virtuell durchgeführte Kontrollen eingerichtet.
Dies führte zu einer Verminderung der Anzahl
der durchgeführten Kontrollen.Übersicht
KEF 2019 2020
Beratungen Dieser Leistungsindikator im KEF misst die 650 657 856
Anzahl der Beratungen von öffentlichen
Organen und Privatpersonen in Fragen
des Datenschutzes und der Informations-
sicherheit.
Kontrollen Dieser Leistungsindikator im KEF misst die 60 30 10
Anzahl der Kontrollen (Datenschutzreviews)
der Anwendung der rechtlichen, techni-
schen und organisatorischen Vorschriften
in öffentlichen Organen.
Aus- und Dieser Leistungsindikator im KEF misst die 20 27 27
Weiterbildungen durchgeführten Weiterbildungsangebote
11
für öffentliche Organe (Seminare, Kurse,
Workshops und Referate).
Vernehmlassungen Dieser Leistungsindikator im KEF gibt 18 25 13
Auskunft über die Anzahl der Vernehmlas-
sungsantworten, Stellungnahmen und
Mitberichte.
Massnahmen Dieser Wirkungsindikator im KEF misst die 80 % 66 % 52 %
umsetzung prozentuale Umsetzung der Massnahmen,
die nach Datenschutzreviews zur Behebung
von Mängeln vorgeschlagen wurden.
Website-Besuche Dieser Wirkungsindikator im KEF gibt 45 000 47 618 79 705
Auskunft über die Nutzung der Informa-
tionsangebote.
Datenschutzbeauftragte des Kantons ZürichVorwort / Kurzbeschrieb
Homeoffice,
aber sicher!
13 Regeln für das Homeoffice
12
14 Komplexe Fragen zur digitalen
Zusammenarbeit
16 Prorektor-Wahl per Videokonferenz
17 Corona-Pandemie und Privat
sphäre – als Video
Datenschutzbeauftragte des Kantons ZürichHomeoffice, aber sicher!
Regeln für das
Homeoffice
Datenschutzfreundliche Anwendungen gewährleisten noch kein
sicheres Homeoffice. Vielmehr sind einfache, aber wirkungsvolle
Regeln für die Einrichtung und das Verhalten bei der Arbeit zu Hause
zu beachten. Die Datenschutzbeauftragte publizierte einen Leit
faden, der kurz und bündig die wesentlichen Punkte zusammenfasst.
Die öffentliche Diskussion drehte sich um Einfache Massnahmen können ein gutes Min
technische Voraussetzungen für die Zusam destmass an Sicherheit gewährleisten. Jedoch
menarbeit auf Distanz. Diese waren grund muss das Bewusstsein für die Risiken vorhan
legend für das Funktionieren der Verwaltung den sein. Der Schwatz bei der Kaffeemaschine
und anderer Institutionen im ersten Jahr im Büro ist weit weniger verfänglich, als ein
der Corona-Pandemie. Doch blieben die Risiken Gespräch mit dem Partner oder der Partnerin
kaum beachtet, die damit verbunden waren, beim Teekochen in der privaten Wohnung. Das
dass plötzlich Personendaten und heikle Homeoffice verlangt nach kleinen Verhaltens-
Geschäftsdaten nicht mehr im gesicherten anpassungen aller Mitarbeitenden, die zur
13
Umfeld des Büros, sondern im Wohnzimmer täglichen Routine werden müssen.
bearbeitet wurden. Der private Computer
diente zum Beispiel nicht mehr nur dem Gamen, Die Datenschutzbeauftragte beleuchtet im
sondern es wurden darauf beispielsweise die Leitfaden 8 Regeln für das Homeoffice auch die
Personendaten von Sozialhilfeempfängerinnen technischen Aspekte, die den Datenschutz
und Sozialhilfeempfängern bearbeitet. Da im Homeoffice gewährleisten. Wenn mit privaten
die Schulen geschlossen waren, hielten sich auch Geräten gearbeitet wird oder Geräte im Einsatz
Kinder in der Nähe des behelfsmässig einge sind, die nicht zentral über die Informatik
richteten Arbeitsplatzes am Esstisch auf und abteilung gewartet werden, ist die Eigenverant-
hörten bei der Videokonferenz mit. wortung besonders wichtig. Auch im klassi-
schen Büroumfeld gelingen Angriffe auf die
Die Herausforderung fängt also mit dem Informationssicherheit meist über die Mitar
richtigen Arbeitsplatz innerhalb der eigenen beitenden – Stichwort Social Engineering.
vier Wände an. Wo kann ungehindert am Wenn in privaten Räumlichkeiten gearbeitet
Bildschirm gearbeitet werden, ohne dass Dritte wird, nimmt dieses Risiko stark zu. Im Home
Einblick in die Informationen bekommen? office bestehen zusätzliche Ablenkungsfaktoren.
Wie kann ungestört und ohne Zuhörende aus Ein Mausklick, der zu schnell oder zu viel
dem Familienumfeld telefoniert werden? gemacht wird, kann zu grösserem Schaden
Auch im digitalen Zeitalter bestehen analoge führen, auch weil sich private und geschäftliche
Probleme: Wie können Papiere verwahrt Informationen auf dem benutzten Gerät ver
Datenschutzbeauftragte des Kantons Zürich
und ungehindert bearbeitet werden, ohne Infor mischen. Bei der Arbeit zu Hause sind deshalb
mationen offenzulegen? Was kann in der Routinen strikt einzuhalten, E-Mails von un
Altpapiersammlung entsorgt werden? Diese bekannten Absendern besonders zu prüfen
wenigen Fragen zeigen, was alles zu beachten ist. sowie System- und Softwareaktualisierungen
regelmässig zu installieren.
8 Regeln für das Homeoffice auf
w ww.datenschutz.chHomeoffice, aber sicher!
Komplexe Fragen
zur digitalen
Zusammenarbeit
Aussergewöhnliche Zeiten verlangen nach aussergewöhnlichen
Massnahmen. Dennoch dürfen sicherheitsrelevante Aspekte
nicht vernachlässigt werden. Die neue Situation im Homeoffice
verunsicherte die Mitarbeitenden öffentlicher Organe. Die
Datenschutzbeauftragte publizierte deshalb zu Beginn des ersten
Lockdowns eine Produkteliste für die digitale Zusammenarbeit.
Öffentliche Organe tragen eine besondere Die Entscheidung für ein bestimmtes Produkt
14
Verantwortung für die Personendaten der liegt beim öffentlichen Organ. Es bleibt für
Einwohnerinnen und Einwohner. Datenschutz die Personendaten verantwortlich und darf
funktioniert präventiv. Wenn Personendaten auch unter Druck die Sicherheit der Personen-
in die falschen Hände geraten sind, kann daten nicht vernachlässigen. Nicht jedes
die Kontrolle darüber nicht mehr zurückerlangt Produkt ist für jeden Zweck geeignet. Das öffent-
werden. liche Organ muss in jedem einzelnen Fall
überlegen, zu welchem Zweck ein digitales
Soforthilfe geleistet Produkt genutzt werden soll. Für die Auswahl
Homeoffice und Homeschooling kamen eines Produkts spielt die Art der bearbeiteten
plötzlich. Das weitere Funktionieren der Personendaten ebenso eine Rolle wie die
Verwaltung und des Schulbetriebs war nur Geschäftsbedingungen des Anbieters. Das
dank digitaler Produkte möglich. Schnelles öffentliche Organ muss wissen, welches Recht
Handeln war auch für die Datenschutzbeauf- angewendet wird, welcher Gerichtsstand gilt,
tragte angesagt. Sie prüfte die am meisten ob ein Kontrollrecht verankert ist, wo die
angefragten Produkte zur digitalen Zusam- Daten bearbeitet und welche Cookies ein
menarbeit summarisch und veröffentlichte gesetzt werden. Die Möglichkeiten der Daten-
innert wenigen Tagen eine Produkteliste auf verschlüsselung sind von zentraler Bedeutung.
ihrer Website. In- und ausländische Daten- Die Anforderungen stehen im Leitfaden der
schutzstellen, aber auch Bildungsdirektionen Datenschutzbeauftragten Bearbeiten im
und Bildungsministerien verwiesen während Auftrag konkretisiert. In einer umfassenden
des Lockdowns auf die Zürcher Datenschutz- Analyse sind die Risiken im Einzelfall abzu
Datenschutzbeauftragte des Kantons Zürich
website. wägen mit Blick auf die vom Gesetz geforder-
ten Massnahmen und von den Anbietern
erfüllten Anforderungen.Homeoffice, aber sicher!
Risikoanalyse vor dem Einsatz Microsoft 365 in der Verwaltung
Datenschutzkonforme oder zumindest daten Organe der Verwaltung möchten Microsoft 365
schutzfreundliche Messengers und Video datenschutzkonform nutzen. Sie drängen auf
konferenzsysteme auszuwählen, ist schwierig. eine Antwort der Datenschutzbeauftragten. Die
Die Plattformen verfügen über unterschiedliche Konferenz der schweizerischen Datenschutz
Funktionen von der reinen Kommunikation beauftragten privatim unterstützte die Schwei
über das Teilen von Dokumenten bis zum zerische Informatikkonferenz (SIK) bei Verhand
Speichern des Gesprächsinhalts. Aber allen lungen mit Microsoft. Daraus entstand der
Produkten ist gemeinsam, dass sie die Anfor SIK-Rahmenvertrag, in dem für Datenschutz-
derungen einer Auslagerung respektive einer belange die Anwendung von schweizerischem
Auftragsdatenbearbeitung erfüllen müssen. Recht und ein schweizerischer Gerichtsstand
Beim Anbieter einer Kommunikationsplatt verankert sind. Trotzdem muss auch bei dieser
form fallen zudem viele Randdaten wie Name, Auslagerung eine Risikoabwägung vorgenom-
IP-Adresse oder Dauer des Gesprächs an. men werden. Es gilt zu beurteilen, mit welchen
Diese werden in einer Cloud gespeichert und Produkten des Microsoft-365-Pakets welche
in vielen Fällen bis zum Löschen des Kontos Personendaten ausgelagert werden sollen.
aufbewahrt. Neben dem Ort der Speicherung sind die
Zugriffsberechtigungen und die Art der Ver
Die Datenschutzbeauftragte prüfte Messen- schlüsselung zu berücksichtigen. Zusätzlich
gers und Videokonferenzsysteme anhand der sind ausländische Gesetze wie der CLOUD
Dokumente, welche die Anbieter zur Verfügung Act zu beachten. In diesem Zusammenhang
stellten. Sie veröffentlichte ein Merkblatt sind Personendaten unter speziellen Geheim
Messengers und Videokonferenzsysteme mit nispflichten wie dem Berufs- oder Steuer
einer Beurteilung nach den wichtigsten geheimnis im Rahmen der Risikoanalyse
Kriterien. besonders zu berücksichtigen.
Vor dem Einsatz eines Produkts muss das Schrems II oder der ungenügende Schutz
öffentliche Organ entscheiden, welches Produkt durch das Privacy Shield
für die jeweilige Kommunikation geeignet ist. Im letzten Sommer stufte der Eidgenössische
Für sensitive Bereiche wie die Strafverfolgung Datenschutz- und Öffentlichkeitsbeauftragte
oder im Spitalbereich können gewisse Produkte die USA als Land mit nicht angemessenem
ungeeignet sein. Der konkrete Sachverhalt Datenschutzniveau ein. Er reagierte damit
15
ist auch hier zu berücksichtigen. Ein Produkt auf ein Urteil des Europäischen Gerichtshofs,
kann in einem Spital vielleicht intern zum in dem der Datenschutz durch das Privacy-
Austausch im administrativen Bereich genutzt Shield-Abkommen als ungenügend eingeschätzt
werden, ist aber ungeeignet für die Nutzung wird (Schrems II). Auch die Standardvertrags-
in Bereichen, in denen auch Patientendaten klauseln sind allein nicht ausreichend für einen
übermittelt werden. Das Merkblatt Messengers Transfer von Personendaten in Länder ohne
und Videokonferenzsysteme unterstützt bei angemessenen Datenschutz. Deshalb müssen
dieser Risikoabwägung mit Fragen und Tipps: neue Wege gesucht werden, um die Personen-
daten angemessen zu schützen. Verschiedene
• Zu welchem Zweck soll die Software Stellen erarbeiten Lösungsansätze. Auf euro
eingesetzt werden? päischer Ebene werden die Standardvertrags-
• Welche Arten von Informationen sollen klauseln revidiert.
ausgetauscht werden?
• In welchem Bereich soll die Software Nutzen öffentliche Organe Cloud-Dienste,
eingesetzt werden? die einen Transfer von Personendaten in die
• Welches Recht ist anwendbar und welcher USA beinhalten, müssen sie mit einer Kombi
Gerichtsstand gilt? nation von rechtlichen und organisatorisch-
• Wo werden die Randdaten gespeichert: technischen Massnahmen einen angemessenen
im EU-Raum, in der Schweiz oder in anderen Schutz sicherstellen. Eine hybride Cloud, bei
Ländern? der ein Teil der Personendaten lokal gespeichert
• Gibt es eine Verschlüsselung? wird, oder zusätzliche vertragliche Absiche
Datenschutzbeauftragte des Kantons Zürich
• Gibt es eine Zwei-Faktor-Authentifizierung? rungen vermindern beispielsweise das Risiko.
Weitere Möglichkeiten sind etwa Verschlüsse-
Nach der Auswahl einer Anwendung muss lung der Personendaten, wenn der Schlüssel
entschieden werden, welche weiteren Massnah beim öffentlichen Organ liegt, oder die Pseudo
men je nach Nutzung umgesetzt werden sollen. nymisierung der Personendaten.
So kann das Speichern von Dokumenten und
Gesprächsinhalten gesperrt oder das Atten Die Datenschutzbeauftragte informiert
tion Tracking deaktiviert werden. auf ihrer Website www.datenschutz.ch über die
Entwicklungen in diesem Bereich.Homeoffice, aber sicher!
Prorektor-Wahl
per Videokonfe
renz
Informationen in Bewerbungsdossiers stellen Persönlichkeits
profile und somit besondere Personendaten dar. Sie bedürfen
eines besonderen Schutzes bei der Bearbeitung. Die Datenschutz
beauftragte beantwortete die Frage, ob die Wahl des Prorektors
einer Berufsschule als Videokonferenz durchgeführt werden darf.
In der Praxis werden dem Gesamtkonvent alle
Bewerbungsunterlagen vorgestellt. Die Daten
schutzbeauftragte hat dies als unverhältnis-
16
mässig beurteilt. Zwar wird bei den Bewerben-
den eine Einwilligung eingeholt. Diese kommt
jedoch nicht freiwillig zustande, da sie für
die Teilnahme am Bewerbungsverfahren vor
ausgesetzt wird. Bei der digitalen Durch
führung des Verfahrens bestehen zusätzliche
Risiken für die Persönlichkeitsrechte, da
die Bewerbungsunterlagen hier einfacher
weiterverbreitet werden können. Die Ver
hältnismässigkeit, aber auch die Informations-
sicherheit sind deshalb noch stärker zu
berücksichtigen. Die Aufnahmefunktion des
Videokonferenztools ist zu deaktivieren
und den Teilnehmenden ist die Aufnahme
mit Hinweis auf die Strafbarkeit zu unter
sagen. Die Wahl selber ist entweder brieflich
oder mit verschlüsselten E-Mails durch
zuführen, damit das Wahlgeheimnis gewähr
leistet ist.
Datenschutzbeauftragte des Kantons ZürichHomeoffice, aber sicher!
Corona-Pandemie
und Privatsphäre
– als Video
Die Öffentlichkeit diskutierte im letzten Jahr ausgiebig über Privat-
sphäre und Datenschutz. Oft zeigte sich, dass die Grundsätze
dieser Grundrechte wenig bekannt sind. Dies trifft nicht zu auf die
Teilnehmenden des Datenschutz-Video-Wettbewerbs. Ihre
Beiträge beschäftigen sich mit der Frage, wie viel Persönliches wir
in Zeiten von Corona freiwillig und unfreiwillig preisgeben.
Die Zugangsweisen der jungen Videomaker
17
und Youtuber sowie die Aspekte, die sie
in ihren Videos behandeln, könnten nicht
unterschiedlicher sein. Beim erstplatzierten
Beitrag handelt es sich um eine kleine
Tragikomödie. Sehr prägnant illustriert der
Kurzfilm die Tücken des Homeoffice: In
einem Videocall offenbart ein geschätzter
M itarbeiter Einblicke in sein Privatleben, die
seinen Chef quasi gegen den eigenen
Willen dazu bringen, ihn zu entlassen. Die
weiteren ausgezeichneten Videos befassen
sich mit der allgemeinen Unsicherheit in
der bedrohlichen Krisensituation. Der
zweitplatzierte Beitrag nutzt dafür eine
witzige Animation, während das dritt
platzierte Video auf schnelle und direkte
Tiktok-Ästhetik setzt. Wie viele persönliche
Informationen muss ich zur Eindämmung
der Virusverbreitung bekanntgeben?
Und bin ich sicher, dass meine Solidarität
nicht missbraucht wird?
Datenschutzbeauftragte des Kantons ZürichVorwort / Kurzbeschrieb
Fernunterricht,
der bildet
18
19 Fragen zum digitalen Unterricht
21 Datenschutz online lernen
Datenschutzbeauftragte des Kantons ZürichFernunterricht, der bildet
Fragen zum digi
talen Unterricht
Plötzlich mussten Schulen den Bildungsauftrag im Fernunterricht
erfüllen. Die Datenschutzbeauftragte sah sich mit einer grossen
Anzahl Anfragen konfrontiert. Sie prüfte Plattformen und Anwen-
dungen und sensibilisierte die Schulen und Lehrpersonen für die
datenschutzrechtlichen Fallen.
Dringliche Anfrage im Kantonsrat Lernplattformen datenschutzfreundlich
Nach dem ersten Corona-Lockdown reichten einsetzen
Kantonsrätinnen und Kantonsräte verschiedener Lernplattformen ermöglichen eine zeit- und
19
Parteien eine dringliche Anfrage ein zum Ein ortsunabhängige Vermittlung von Wissen und
satz von Videokonferenz- und Meeting-Tools in sind im Fernunterricht unentbehrlich. Auf
Volksschulen. Darin nahmen sie Bezug auf den einfache und schnelle Weise können Lehrper-
Produktekatalog für digitale Zusammenarbeit sonen mit den Schülerinnen und Schülern
in der Corona-Krise, den die Datenschutzbe- kommunizieren, ihnen Aufgaben zuteilen und
auftragte auf ihrer Website veröffentlicht hatte. Prüfungen durchführen. Dabei werden viele
Die Bildungsdirektion ersuchte die Datenschutz Personendaten der Lernenden aufgezeichnet,
beauftragte um einen Mitbericht. die zur Erfüllung des Bildungsauftrag der
Schule nicht notwendig sind. Darunter fallen
Die Datenschutzbeauftragte bekräftigte, dass Zeitpunkt und benötigte Zeit für das Erledigen
jedem Einsatz von digitalen Produkten eine einer Aufgabe. Daraus können Persönlich
Risikoanalyse vorausgehen muss. Der Produk keitsprofile erstellt werden. Die Schule darf
tekatalog diente während der Krise zur diese Personendaten nicht auswerten.
Unterstützung bei dieser Risikoanalyse. Die
Datenschutzbeauftragte hatte die Produkte Beim Einsatz einer Lernsoftware bearbeiten
des Katalogs summarisch geprüft. Dabei fokus die Produkteanbieter Personendaten. Die
sierte sie auf Eigenschaften, die einen daten Schule bleibt allerdings für die Personendaten
schutzkonformen Einsatz ausschliessen verantwortlich. Die eingesetzten Produkte
würden. Falls solche nicht gefunden wurden, müssen deshalb sorgfältig ausgewählt werden.
stufte sie aufgrund der Krisensituation die Die Schule muss einen Vertrag abschliessen,
Datenschutzbeauftragte des Kantons Zürich
Nutzung für vorläufig zulässig ein. Die Daten der die notwendigen Bestimmungen für den
schutzbeauftragte fasste im Mitbericht die Schutz der Personendaten enthält. Da in der
technischen und rechtlichen Hauptkriterien Regel Personendaten der Lernenden betroffen
zusammen, die für den Entscheid über den sind, müssen schweizerisches Recht anwendbar
Einsatz von digitalen Produkten massgebend und ein schweizerischer Gerichtsstand ver
sind, etwa die Sensitivität der Personendaten, ankert sein. Zudem sind geeignete Schutz-
die darüber gespeichert oder geteilt werden, massnahmen zu bestimmen und vertraglich
der Standort der Datenspeicherung oder die festzuhalten. Am besten erstellt die Schule
Verschlüsselung der Personendaten. ein Konzept mit den wichtigsten Punkten. Dazu
gehören die Kategorisierung der Personen-
daten nach deren Sensitivität und dieFernunterricht, der bildet
Bestimmung technischer Massnahmen wie Ver Fragen zu berücksichtigen. Die Datenschutz
schlüsselung. Die Aufbewahrungsfristen müssen beauftragte zeigte auf, dass die lokal gehostete
festgelegt werden, wie auch eine allfällige Open-Source-Anwendung Matomo zur
Protokollierung der Zugriffe, das Vorgehen zur Erstellung von Nutzungsstatistiken genutzt
Authentifizierung und die Anforderungen werden kann.
an Passwörter oder E-Mail-Adressen. Ein Rollen-
und Berechtigungskonzept gewährleistet die Die Beratung der Datenschutzbeauftragten
Transparenz darüber, wer zu welchen Zwecken bewirkte den Ersatz der Tools, die unzulässiger-
Zugriff auf die Personendaten hat. Das öffentli weise Personendaten übermitteln, durch
che Organ hat das Produkt so zu konfigurieren, datenschutzkonforme Lösungen. Diese Erfah
dass nicht notwendige (Rand-)Daten gar nicht rungen zeigen, dass datenschutzkonforme
erhoben werden, falls dies möglich ist. Lösungen möglich sind, auch wenn eine unvor
hergesehene Krisensituation keinen Zeitverlust
Die Schulen müssen die Lernenden und bei erlaubt. Voraussetzung dafür sind aufmerk
jüngeren Kindern auch ihre Eltern informieren same und sensibilisierte Nutzerinnen und
über die Art, den Umfang, den Zweck und Nutzer, die auf Produkteanbieter treffen, die
die Bearbeitung respektive die Nutzung der datenschutzkonforme Produkte anbieten
Personendaten. wollen. So können Schulen und Lernende päda
gogisch wertvolle Produkte datenschutzkon-
Tracker in Lernplattformen form in Anspruch nehmen und ein Fernunter-
Zu Beginn der Corona-Krise vergrösserte sich richt, der bildet, kann aufgegleist werden.
das Angebot an Lernplattformen und digitalen
Produkten für den Fernunterricht schnell. Kamerazwang in Vorlesungen
Die Datenschutzbeauftragte machte darauf Der Einsatz von Videokonferenzsystemen
aufmerksam, dass bei einem unkontrollierten führte zu einer besonders grossen Nachfrage
Einsatz digitaler Produkte Persönlichkeits nach Unterstützung. Hier stellten sich Fragen
profile entstehen können. Sie rät deshalb zur zur Auswahl spezifischer datenschutzfreund-
anonymisierten oder pseudonymisierten licher Produkte als auch zur konkreten Anwen
Nutzung. Die Eltern und die Schülerinnen und dung, da die Lösungen verschiedene Funk
Schüler sind über mögliche Auswertungen tionen zur Verfügung stellen. Zentral ist
zu informieren. Die Schulen müssen sich in jedem die Frage, zu welchem Zweck ein Videokonfe-
Fall überlegen, zu welchem Zweck digitale renzsystem eingesetzt werden soll.
20
Produkte genutzt werden sollen.
Eine Hochschule verordnete ihren Studierenden
Schulen mussten sehr schnell vom Präsenz- einen Kamerazwang bei Online-Vorlesungen.
unterricht auf Fernunterricht umstellen. Die Weiter forderte sie, dass Profilbilder hoch
Registrierung der Schülerinnen und Schüler geladen würden. Auch Hochschulen dürfen nur
für die Lernplattformen erfolgte ohne Infor die Daten erheben und bearbeiten, die für
mation der Eltern. Oft wurde nicht abgeklärt, ihre Aufgabenerfüllung erforderlich sind. Die
was der Einsatz eines Produktes längerfristig Datenschutzbeauftragte hat festgehalten,
bedeuten kann. Personendaten, die einmal dass eine Pflicht, die Kamera bei Videokonfe-
in einer ungeeigneten Datenbank gespeichert renzsystemen einzuschalten, unter gewissen
wurden, werden sehr wahrscheinlich nie wieder Umständen gerechtfertigt sein kann, bei
gelöscht. Die Datenschutzbeauftragte wies spielsweise in Fällen von Pflichtvorlesungen
darauf hin, dass das öffentliche Organ die oder in der damaligen Lockdown-Situation
Verantwortung für die Personendaten trägt. bei online stattfindenden Prüfungen. Die Daten
Es hat vor der Wahl eines Produkts die Risiken schutzbeauftragte sah jedoch keinen Grund,
der Nutzung abzuklären. weshalb Studierende Profilbilder auf ihr Konto
beispielsweise bei Zoom laden müssten. Sie
Aufmerksame, sensibilisierte Eltern informierten beurteilte diese Forderung der Hochschule als
die Datenschutzbeauftragte über proble unverhältnismässig. Die Datenschutzbeauf-
matische Tracker in Lernplattformen für Grund- tragte riet den Betroffenen, mit der Schule in
schülerinnen und -schüler. Verschiedene den Dialog zu treten.
Datenschutzbeauftragte des Kantons Zürich
Plattformen erstellten mit Cookies oder
Tracking-Tools personenbezogene Auswertun-
gen. Die Datenschutzbeauftragte unterstützte
die Eltern und die verantwortlichen Anbieter
von Produkten, die verbreitet im Einsatz waren.
In einem Fall waren die Dienste Google Tag
Manager und Google Analytics eingesetzt
worden, bei denen personenbezogene Daten
an das Unternehmen Google übermittelt
werden. Bei der Evaluation von Alternativen sind
rechtliche sowie organisatorisch-technischeFernunterricht, der bildet
Datenschutz
online lernen
Die Ausbildungsaktivitäten der Datenschutzbeauftragten fanden
üblicherweise im Präsenzunterricht statt. Das Online-Lernprogramm
zum Datenschutz war bis 2020 die Ausnahme. Während der Corona-
Krise war einiges anders. Zum Erliegen kamen die Ausbildungs
aktivitäten aber nicht – im Gegenteil.
Verschiebungen und Absagen geplanter Ange- Die Datenschutzbeauftragte war 2020 mit
bote kamen nur selten vor. Der Zertifikatskurs denselben Herausforderungen konfrontiert wie
CAS Datenschutzverantwortliche entstand aus alle Akteurinnen und Akteure im Aus- und
der Zusammenarbeit der Datenschutzbeauf- Weiterbildungsbereich. Bei Präsenzveranstal-
tragten mit der Zürcher Hochschule für Ange tungen galten teilweise strenge Schutzmass-
wandte Wissenschaften (ZHAW). Er konnte nahmen. Andere Angebote erfolgten komplett
2020 planmässig zwei Mal mit hoher Teilneh digital. So bot sich die Gelegenheit, unter-
merzahl durchgeführt werden. Organisatoren schiedliche digitale Kommunikationstechnolo-
21
und Teilnehmende bewerteten die Beiträge gien und -formen einem Praxistest zu unter
der Datenschutzbeauftragten als sehr gut. Auch ziehen. Von dieser Erfahrung konnte die
am CAS im Kindes- und Erwachsenenschutz- Datenschutzbeauftragte in ihrer Beratungs
recht war die Datenschutzbeauftragte wieder tätigkeit im Bildungsbereich stark profitieren.
aktiv und erfolgreich beteiligt. Diese Erkenntnisse helfen, die Beratungs
tätigkeit noch praxisnäher zu gestalten.
Der Input der Datenschutzbeauftragten beim
CAS Digital Leadership in Education der Päda
gogischen Hochschule Zürich (PHZH) stiess
auf besonderes Interesse. Die Corona-Krise
machte die Digitalisierung im Schulbereich zu
einem brennenden Thema. Der Datenschutz
teil im CAS-Programm entwickelte sich zu einer
angeregten Diskussionsrunde. Weiter arbeitete
die Datenschutzbeauftragte mit dem kanto
nalen Personalamt bei einem Ausbildungs
angebot für die Lernenden in der Verwaltung
zusammen. Zudem führte sie mit der Uni
versität Zürich und dem Universitätsspital
Zürich eine Datenschutzlektion für Forschende
Datenschutzbeauftragte des Kantons Zürich
in der Humanmedizin durch. Zu den um
fangreichen Angeboten kamen kürzere Auf
tritte und Referate an verschiedenen Ver
anstaltungen. Hier lassen sich Wissensver
mittlung, Sensibilisierung und Öffentlichkeits-
arbeit erfolgreich und nachhaltig kombinieren.Vorwort / Kurzbeschrieb
In der Krise ist nicht
alles anders
23 Auch in der Krise nicht alles offenlegen
22
25 Datenschutz im Datenüberfluss
27 Mit Doodle zum Gottesdienst anmelden
28 Gemeindeversammlung im Fernsehen
29 Universalschlüssel zu den Bibliotheken
30 Rayonverbot mit Electronic Monitoring
Datenschutzbeauftragte des Kantons ZürichIn der Krise ist nicht alles anders
Auch in der
Krise nicht alles
offenlegen
Gerade in der Krise sind Einwohnerinnen und Einwohner auf den
Schutz ihrer Grundrechte angewiesen. Grundrechte wie der Daten-
schutz dürfen nur eingeschränkt werden, wenn eine rechtliche
Grundlage dies erlaubt und die Einschränkung geeignet und erfor-
derlich ist, einen angestrebten Zweck zu erreichen.
Ein Vater wandte sich kurz vor den Sommer Eltern sofort aufzuklären. Sie wies die Schule
ferien an die Datenschutzbeauftragte. Die auf die Pflicht hin, bisher erhaltene Daten über
Primarschule seines Kindes verlangte in einem Ferienpläne und Destinationen zu löschen.
23
Elternbrief die Offenlegung aller Reisepläne
der Eltern und der Kinder in Länder, für die zum Einheitliche Regelung statt Chaos
damaligen Zeitpunkt Quarantänebestim Die Quarantäneregelungen hatten Konsequen-
mungen galten. zen für den Schulbetrieb nach den Ferien.
Die Datenschutzbeauftragte informierte, dass
Abklärungen der Datenschutzbeauftragten das aktive Abfragen von Reisedestinationen
ergaben, dass die Schule eine Vorlage mit auch nach den Ferien nicht Aufgabe der Schule
Textbausteinen des Volksschulamtes (VSA) und Lehrpersonen sei. Die Schulen bekamen
missverstanden hatte. Die Offenlegung von von verschiedenen Seiten andere Ratschläge.
Reiseplänen vor den Sommerferien ist weder Sie stellten sich die Frage, wie sie nach den
erforderlich noch geeignet, um Ansteckun Schulferien mit der Situation umgehen sollten.
gen mit dem Coronavirus zu verhindern. Die Die Schulen haben eine Fürsorgepflicht und
Eltern sind somit nicht dazu verpflichtet. müssen gewisse Massnahmen zur Prävention
übertragbarer Krankheiten treffen. Das VSA
Auf Nachfrage der Datenschutzbeauftragten wollte mit einem Leitungszirkular für Klarheit
bestätigte das VSA, dass lediglich nach sorgen.
den Ferien eine Informationspflicht der Eltern
gelte, wenn ein Kind infolge Quarantäne Das VSA erinnerte im Leitungszirkular daran,
den Unterricht nicht besuchen kann. Die Vor dass die Eltern für die Einhaltung der Quaran
lage des VSA enthielt keinen Hinweis auf täne selbst verantwortlich sind und darüber
Datenschutzbeauftragte des Kantons Zürich
eine Pflicht zur Information über Reisepläne. bereits vor den Sommerferien informiert worden
Das VSA hatte mit dem Elternbrief vor waren. Es hielt nochmals fest, dass die Schulen
den Sommerferien beabsichtigt, die Eltern keine eigenen Nachforschungen zur Abklärung
und Schülerinnen und Schüler an die Quaran oder Überprüfung der Quarantänepflicht täti
tänebestimmungen zu erinnern und den gen. Die Schule oder das Lehrpersonal sollten
Hinweis anzubringen, dass kein Anspruch auf jedoch die betroffenen Eltern nochmals über
Fernunterricht bestehe. ihre Verantwortlichkeit informieren, wenn
sie vermuteten, dass sich eine Schülerin oder
Die Datenschutzbeauftragte half der Schule ein Schüler in Quarantäne befinden sollte.
noch vor den Sommerferien, die Probleme Wussten sie von der Quarantänepflicht einer
mit dem Elternbrief zu bereinigen, und riet, die Schülerin oder eines Schülers, sollte sieIn der Krise ist nicht alles anders
respektive er nach Hause geschickt sowie die Fluggastdaten zur Kontrolle der
Eltern und der kantonale Schulärztliche Meldepflicht
Dienst informiert werden. Der Schulärztliche In der Sommerferienzeit waren die Fluggesell-
Dienst würde das weitere Vorgehen mit schaften verpflichtet, die Kontaktdaten von
dem Kantonsärztlichen Dienst koordinieren. Flugpassagieren aufzunehmen und dem
Die Quarantäne sollte wie Abwesenheit Bundesamt für Gesundheit (BAG) abzuliefern.
wegen Krankheit behandelt werden. Das BAG sollte die Daten danach an die
Kantone übermitteln, damit diese die Melde
Die Datenschutzbeauftragte beurteilte die pflicht für Reisende aus Risikoländern kontrol
Regelungen des VSA als datenschutzkonform. lieren konnten. Der Kanton Zürich sah in
diesem Vorgehen eine Gefahr von zeitlichen
Fragen zum Gesundheitszustand vor Verzögerungen. Er setzte die Kantonspolizei
Prüfungen ein, um die Kontaktdaten direkt bei den Flug
Eine Hochschule kontaktierte die Datenschutz- gesellschaften abzuholen und der Gesund-
beauftragte in ihren Vorbereitungen auf die heitsdirektion auszuhändigen.
Prüfungen, die nach dem Lockdown wieder vor
Ort stattfinden sollten. Den Prüfungskandi- Die Datenschutzbeauftragte erfuhr von diesem
datinnen und -kandidaten sollte schriftlich Vorgehen zunächst aus den Medien. Nach
mitgeteilt werden, dass sie nur an den Prüfungen träglich entstand ein konstruktiver Austausch
teilnehmen dürfen, wenn sie sich absolut mit der Sicherheitsdirektion. Sie konsultierte
gesund fühlen. Zusätzlich erarbeitete die die Datenschutzbeauftragte zu den Bemühun-
Schule einen Fragebogen zum Gesundheits gen des Kantons, das bereits praktizierte
zustand der Kandidatinnen und Kandidaten. Vorgehen mit dem BAG schriftlich zu regeln.
Der Kanton Zürich übernahm die digitale
Personendaten dürfen bearbeitet werden, wenn Erfassung der Kontaktkarten der Fluggesell-
dies zur Erfüllung der gesetzlich umschriebe- schaften auch für andere Kantone. Die
nen Aufgaben geeignet und erforderlich ist. Die Datenschutzbeauftragte erhielt die Gelegen-
Bearbeitung besonderer Personendaten wie heit, das Vorgehen bei der Erfassung der
Gesundheitsdaten muss in einem formellen Kontaktdaten vor Ort zu überprüfen. Gestützt
Gesetz geregelt sein. auf ihre Beobachtungen regte sie Anpassungen
der Bearbeitungsprozesse an.
Die Datenschutzbeauftragte hielt fest, dass für
24
den Fragebogen zum Gesundheitszustand
verschiedene Bestimmungen als rechtliche
Grundlage herbeigezogen werden können.
Der Einsatz des Fragebogens muss jedoch auch
durch ein öffentliches Interesse gerechtfertigt
und verhältnismässig sein.
Die Hochschule wollte mit dem Fragebogen
Personen davon abhalten, trotz Krankheit oder
Symptomen an den Prüfungen zu erscheinen.
Die Datenschutzbeauftragte befand, dass
das Abfragen von Krankheitserscheinungen
oder Unwohlbefinden für diesen Zweck
nicht geeignet sei. Die Befragten könnten den
Fragebogen trotz Krankheit mit «gesund»
oder «keine Symptome» ausfüllen. Die Daten
schutzbeauftragte schlug vor, die Punkte
des Fragebogens als Hinweis in die vorbereitete
Covid-Richtlinie für Prüfungen aufzunehmen.
Alle Prüfungskandidatinnen und -kandidaten
seien darüber aufzuklären, dass sie bei Vor
Datenschutzbeauftragte des Kantons Zürich
liegen von Symptomen nicht an einer Prüfung
erscheinen dürfen. Zu Dokumentations
zwecken und um die Hürde für die Umgehung
zu erhöhen, könnte verlangt werden, die
Kenntnisnahme der Regeln mit der Unterschrift
zu bestätigen. Dadurch wird dieselbe Wirkung
erzielt wie durch den Fragebogen, ohne
dass Gesundheitsdaten gespeichert werden.In der Krise ist nicht alles anders
Datenschutz im
Datenüberfluss
Die Gesundheitsdirektion musste beim Contact Tracing grosse
Mengen Personendaten bearbeiten. Dabei handelte es sich um
Gesundheitsdaten und somit besondere Personendaten. Dies ver-
langte besondere Aufmerksamkeit beim Datenschutz. Die betrof
fenen Personen mussten sich auch in Krisenzeiten auf den Schutz
ihrer Privatsphäre verlassen können. Die Gesundheitsdirektion
arbeitete eng mit der Datenschutzbeauftragten zusammen.
Kontrolle über Contact-Tracing-Daten kann, beispielsweise durch die Verwendung
behalten verschlüsselter E-Mails und Excel-Dokumente
Mitte Juli 2020 wurde die Gesundheitsdirektion sowie dem Einsatz von sicheren Webtransfers.
beauftragt, die Kapazitäten des Contact
Tracings auszubauen, um die Nachverfolgung Covid-19-Schutzkonzepte und der Schutz
25
von mindestens 100 Neuinfektionen pro Tag der Personendaten
gewährleisten zu können. Sie vergab einen Teil Eine Kantonsratsanfrage befasste sich mit dem
des Contact Tracings an eine private Firma, Schutz von Personendaten im Rahmen von
um den Kantonsärztlichen Dienst zu entlasten. Covid-19-Schutzkonzepten. Für die Antwort
Die Gesundheitsdirektion wandte sich an lud die Gesundheitsdirektion die Datenschutz-
die Datenschutzbeauftragte, um die Einhaltung beauftragte zum Mitbericht ein. Die Daten-
der datenschutzrechtlichen Vorgaben bei schutzbeauftragte wies darauf hin, dass die
diesem Outsourcing zu überprüfen. Die Daten Datenbearbeitung durch private Betriebe
schutzbeauftragte gab rasch konkrete wie Restaurants unter die Aufsicht des Eid
Anregungen zur Erstellung eines Informations genössischen Datenschutz- und Öffentlich-
sicherheitskonzeptes sowie zu den daten- keitsbeauftragten (EDÖB) fallen. Die Daten
schutzrechtlichen Bestimmungen. Somit konnte schutzbeauftragte ist für die Aufsicht über die
sichergestellt werden, dass die Gesundheits Datenbearbeitungen der öffentlichen Organe
direktion die Verantwortung und die Kontrolle im Kanton Zürich zuständig. Bei Anfragen im
über die Contact-Tracing-Daten und ihre Zusammenhang mit der datenschutzrechtlichen
Sicherheit behält. Umsetzung der Schutzkonzepte durch öffent
liche Organe hat sie diese beraten.
Sicherer Umgang mit Daten quarantäne
pflichtiger Personen Bedenken bei Angabe von Kundenkontakten
Aufgrund von Vorschriften des Bundes müssen Die Datenschutzbeauftragte erhielt eine
sich Personen bei der Einreise aus einem Risiko Anfrage einer gemeinnützigen Institution, die
Datenschutzbeauftragte des Kantons Zürich
land bei der Gesundheitsdirektion melden und junge Erwachsene zur Berufsintegration
in Quarantäne gehen. Die Gesundheitsdirektion berät. Die jungen Erwachsenen werden von der
wollte diese Meldepflicht für die Einreisenden IV und vom RAV vermittelt. Die Institution
so einfach wie möglich gestalten. Dafür musste wollte wissen, wie sie mit der Aufforderung zur
sie im Sommer 2020 innert weniger Tagen ein Weitergabe der Kontaktangaben umgehen
mehrsprachiges Online-Formular bereitstellen. solle. Die Personendaten geben Auskunft über
Die Datenschutzbeauftragte beriet die Gesund die aktuelle soziale oder gesundheitliche
heitsdirektion, wie sie die Informations Situation der Personen. Sie sind deshalb als
sicherheit bei der Bearbeitung der Daten von sensitiv einzustufen. Die Datenschutzbeauf-
quarantänepflichtigen Personen einhalten tragte erklärte, dass die Bekanntgabe derSie können auch lesen
