Tätigkeitsbericht 2021 - Stadt Winterthur
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Tätigkeitsbericht 2021
Datenschutzbeauftragte der Stadt Winterthur
Mensch in Bewegung | Verwaltung im Wandel
Die Covid-19-Pandemie hat nicht nur negative Auswirkungen: Sie kurbelt auch
die Kreativität und den Wandel in der Verwaltung an. Der erhöhte Bedarf an
Daten beschleunigt die Weiterentwicklung des Datenzugangs und der Informa-
tionsverarbeitung. Die klassische Prüftätigkeit hat sich dadurch über die letzten
10 Jahre hinweg begleitend zur Beratung und zum Datenschutzaudit verlagert.
Narcisa Wolf, Datenschutzbeauftragte
Datenaufsicht Stadt Winterthur \\ im April 2022
An das Stadtparlament
Sehr geehrte Frau Präsidentin Sorgo
Liebe Kolleginnen und Kollegen
Sehr geehrte Damen und Herren
Ich freue mich, Ihnen den Tätigkeitsbericht der Datenaufsicht der Stadt Winterthur für das Jahr 2021
zu unterbreiten. Nach einer kurzen Betrachtung der Schwerpunkte und einem Überblick über die all-
gemeinen Grundlagen für die Arbeit der Behörde:
gehe ich im Besonderen auf die unterschiedlichen Tätigkeiten der Datenschutzbeauftragten
an sich ein,
bringe ich ausgesuchte Fälle aus der Praxis zur Sprache,
und ergänze den Bericht mit einigen Schlussbemerkungen zu Interna und dem Ausblick 2022/2023.
Aufgrund der Arbeitsintensität und Steuerung des Arbeitspensums unserer Behörde, habe ich mich
dazu entschlossen, im Bericht Schwerpunktthemen zu präsentieren. Eine Zusammenfassung auf den
ersten Seiten soll Ihnen in aller Kürze einen sinnvollen Überblick über unsere Tätigkeiten verschaffen.
Mit vorzüglicher Hochachtung.
Winterthur, 30. April 2022
Narcisa Wolf
Datenschutzbeauftragte
§ 39 Informations- und Datenschutzgesetz des Kantons Zürich (nachfolgend IDG; LS 170.4)
Gemäss § 39 des kantonalen Gesetzes über die Information und den Datenschutz berichtet die oder der Daten-
schutzbeauftragte dem Wahlorgan periodisch über Umfang und Schwerpunkte der Tätigkeiten, über wichtige
Feststellungen und Beurteilungen sowie über die Wirkung des Gesetzes. Der vorliegende Bericht bezieht sich
auf das Kalenderjahr 2021.Veröffentlicht wird der Bericht auf der Webseite der Datenaufsicht der Stadt
Winterthur.
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 2Inhaltsverzeichnis
1. Vorwort...................................................................................................................... 4
2. Zusammenfassung................................................................................................... 5
3. Die Datenaufsichtsstelle der Stadt Winterthur stellt sich vor .............................. 6
4. Fälle aus der Praxis: ausgewählte Dossiers .......................................................... 8
5. Internes ................................................................................................................... 18
6. Anhang .................................................................................................................... 19
Impressum
Herausgeberin
Datenaufsicht Stadt Winterthur
Marktgasse 53
8400 Winterthur
datenaufsicht@win.ch
Quelle Titelbild
© Stadtverwaltung Winterthur
Layout
www.tollkirsch.ch
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 31. Vorwort
Weltweit stehen Terrorismus-, Geldwäscherei-, Kor-
ruptions-, Internetkriminalitätsbekämpfung und die
Frage nach der öffentlichen Sicherheit immer noch
zuoberst in der Rangordnung auf der Traktandenliste.
Im Zentrum dieser Auseinandersetzungen steht damit
auch die Frage, wie weit der Datenschutz angesichts
dieser Bedrohungen gehen soll bzw. darf. Das ist eine
durchaus legitime Frage, denn das Datenschutzrecht Grusswort
bewegt sich keinesfalls im «luftleeren» Raum. In der
Rechtswirklichkeit kommt der Datenschutz in der Der Tätigkeitsbericht 2021 ist der 11. der Be-
Schweiz bisher ohne ein explizites Grundrecht auf in- hörde, aber der 1. in meiner Amtszeit. Er steht im
formationelle Selbstbestimmung aus. Zeichen des Schutzes der Grundrechte in Krisen-
zeiten und neuer Wertschöpfung durch fortschrei-
Der Datenschutz wird traditionell als Teilbereich des tende Digitalisierung. Das europäische Daten-
Grundrechts auf Schutz der Privatsphäre konzipiert, schutzrecht beeinflusst die Rechtsentwicklungen
und zwar als Schutz vor dem Missbrauch persönlicher in der Schweiz erheblich. Wohin steuert das eu-
Daten durch den Staat oder private Dritte. So heisst ropäische Datenschutzrecht? Und welchen Spiel-
es in der Bundesverfassung: «Jede Person hat An- raum hat die Schweiz bei dessen Übernahme?
spruch auf Schutz vor Missbrauch ihrer persönlichen Stehen wir bei Datenschutz und Sicherheit am
Daten». Personendaten sind nicht nur in materieller, Beginn einer neuen Ära?
sondern auch in ideeller Hinsicht ein «wertvolles
Gut», weil es in einer demokratischen und rechts- Sie finden den Tätigkeitsbericht 2021: hier.
staatlichen Gesellschaft nicht angeht, dass der
Mensch nicht einmal mehr über eine minimale Kon-
trolle über die Verwendung von Daten, die ihn betref- Trotz Corona schnellten vor allem die Beratungszah-
fen, verfügt. Das sogenannte informationelle Selbst- len in der Sommerzeit weiter in die Höhe.
bestimmungsrecht bildet einen wichtigen Grundsatz
unserer gesellschaftlichen Ordnung (siehe auch Once- Mein Vorgänger, Herr Philipp Glass, dem ich an die-
Only-Prinzip1 / Nationale Datenbewirtschaftung - NaDB: hier). ser Stelle für seine Arbeit als Datenschutzbeauftragter
Dieser Herausforderung hat man sich als Datenschüt- meine Anerkennung und meinen Dank aussprechen
zerin zu stellen. Die positive Wirkung der Digitalisie- möchte, hat bereits in seinem ersten Tätigkeitsbericht
rung wird sich dann für alle entfalten, wenn dieser darauf hingewiesen, dass eine der Aufgaben des Da-
Wandel in der Mitte der Gesellschaft transparent ver- tenschutzbeauftragten sei, aktiv zur Entwicklung des
ankert ist, von allen gesellschaftlichen Gruppen gleich Datenschutzbewusstseins beizutragen. Ich werde in
gut angenommen wird und die Chancen der Digitali- diesem Bemühen konsequent weiterfahren und freue
sierung allen Bevölkerungsgruppen offenstehen. Da- mich schon jetzt auf die enge Zusammenarbeit in
bei liegt es an der Gesellschaft selbst, zu definieren, der Stadtverwaltung sowie auf Sie, liebe Leserinnen
wie viel öffentliche Sicherheit sie wünscht und wie viel und Leser, die ich gerne in meiner Montags-Sprech-
Schutz der Privatsphäre sie dafür «opfern» will. Wie stunde begrüsse.
fast alles wurde auch der Alltag meiner Behörde An-
fang letzten Jahres von der Corona-Pandemie be- Narcisa Wolf
stimmt. Diese führte uns 2021 eindrücklich vor Augen, Datenschutzbeauftragte der Stadt Winterthur
wie unabdingbar eine sichere digitale Infrastruktur für
das Funktionieren unserer Gesellschaft ist. Ich fragte
mich zu Beginn im Mai 2021, wie sich Homeoffice und
die anhaltende Pandemie wohl auf die Anzahl Ge-
schäfte für mein Amt auswirken würden.
1Once-Only ist eine der Säulen der Strategie für den Digitalen Binnenmarkt und eines der Grundprinzipien des EU-eGovernment-Aktions-
plans 2016–2020. Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss
und den Ausschuss der Regionen: Strategie für einen digitalen Binnenmarkt für Europa, abgerufen am 2. Mai 2022: hier.
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 42. Zusammenfassung
Immer wieder stellt sich angesichts der Einzelfälle die Frage, wie es gelingen kann, dass meine
Behörde nicht durch andere wichtige Projektaufgaben gelähmt wird. Denn auch diese werden nicht
weniger umfangreich – im Gegenteil: Die Komplexität von Beratungsanfragen nimmt analog zu immer
komplexeren Datenbearbeitungsmodellen und Verwaltungsprozessen kontinuierlich zu.
Folgerichtig soll das Vertrauen der Bürgerinnen und Bürger, bei Geschäftspartnern, IT-Providern und
kantonalen Behörden durch konforme Datenschutzpraktiken gestärkt werden. Die Digitalisierung
geniesst somit eine ausgeprägte Eigendynamik: Veraltete Verfahren werden modernisiert, ganz neue
Services, wie etwa Cloud-Computing oder KI-Lösungen überschwemmen den Markt. Eine agile Be-
ratung, Vorkontrollen und ein jährliches Datenschutzauditprogramm sollen in der Verwaltung sicher-
stellen, dass Datenbearbeitungsprozesse den datenschutzrechtlichen Anforderungen genügen und
beispielsweise CRM-Systeme oder HR-Applikationen sowie App-Entwicklungen den Datenschutzvor-
gaben mit hoher Akzeptanz entsprechen.
Im Fokus eines Datenschutzaudits stehen aber auch der Mensch und seine Sensibilisierung für Da-
tenschutz und Datensicherheit. Geschäfte, die aufgrund Datenschutzverstösse eine schnelle Reaktion
erfordern, sollen rechtskonform und zeitnah abgeschlossen werden können. Durch die Sensibilisie-
rung für einen digitalen Selbstschutz sollen «Betroffenenrechte» gestärkt und das Beschwerde-Risiko
in der Verwaltung minimiert werden.
Digitale Verwaltung
Kein Datenschutz ohne technische und organisatori- Die operativ-technische Umsetzung des Datenschut-
sche Massnahmen (TOM)! Damit Technik und zes stellt viele Fachbereiche der Stadt Winterthur vor
Verwaltungs-Organisation synchron ineinandergrei- grosse Herausforderungen. Die Digitalisierung der
fen, arbeitet die Datenschutzbeauftragte eng mit allen Winterthurer Verwaltung ist weiter fortgeschritten und
Fachbereichen und den Teams der IT- und der Infor- hat immer wieder zu neuen und komplexen Projekten
mationssicherheit etc. zusammen. Das Resultat dieses geführt. Gleichzeitig hat die Corona-Pandemie die Di-
Zusammenwirkens: massgeschneiderte und griffige gitalisierung vorangetrieben, was zu einem breit ange-
Datenschutzlösungen für die Verwaltung. Die Daten- legten Einsatz von IT-Lösungen und Kommunikations-
schutzbeauftragte berät in diversen Datenschutzbe- mitteln geführt und die Arbeitsweise der Verwaltung
langen rund um die kantonalen, nationalen und inter- verändert hat. Sie hat auch grosse Veränderungen
nationalen regulatorischen Anforderungen. Zum Zug und drastische Einschränkungen der Privatsphäre
kommen nach ISO/IEC 27701 Best-Practice-Empfeh- und der Selbstbestimmung mit sich gebracht, da sys-
lungen und ISO/IEC 27001 als sinnvolle Ergänzung tematisches Beschaffen von persönlichen Daten
zu ISDS/ISMS-Konzepten und Datenschutzfolgeab- durch den Staat, aber auch durch private Akteure die
schätzungen (DPIA). Im Bereich Datenschutz und Da- Frage der Selbstbestimmung nachhaltig verändert ha-
tensicherheit hat die Arbeitsauslastung kontinuierlich ben dürften. In dieser Zeit hat die Datenschutzbeauf-
zugenommen und wird weiter zunehmen (+ 15% bis tragte pragmatisch und eng mit den Fachbereichen
+ 20%). Allerdings sind nicht nur zahlenmässig mehr und anderen Datenschutzbehörden von Kantonen zu-
Geschäftsfälle zu bearbeiten, sondern sie sind auch sammengearbeitet.
komplexer geworden und erfordern: Zeit, Schulung,
Vorbereitung, Sachverständigung und spezifische
Kenntnisse bezogen auf verschiedene Akteure.
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 5Datenschutzaudit durch Stadtparlamentsbeschluss
Die Datenaufsicht erarbeitete 2021 eine Datenschutz- Das Audit dient damit auch als Indikator für das Digi-
strategie und ein Auditprogramm für das kommende talisierungsvorhaben der Verwaltung. Formell ist der
Jahr 2022. Die für den Datenschutz sachlich zustän- Entscheid zur Pensumerhöhung von der Parlaments-
dige Aufsichtskommission und die Datenaufsicht ei- leitung2 gefallen. Dagegen gab es keinerlei Opposi-
nigten sich im Oktober 2021 darauf, das Arbeitspen- tion im Stadtparlament.
sum während drei Monaten (3) um fünfzehn Prozent
(15%) zu erhöhen, damit vom Stadtparlament das ge- Die Datenaufsicht hat am 1. März 2022 die Arbeit auf-
wünschte Datenschutzaudit durchgeführt werden genommen. Ich danke dem Fachbereich für das ent-
kann. Dieses soll gewährleisten, dass einzelne Daten- gegengebrachte Vertrauen. Über das Audit-Resultat
schutzkonzepte oder Produkte den Massgaben des wird im Tätigkeitsbericht 2022 vollumfänglich berich-
IDG genügen und ein Höchstmass an Sicherheit ge- tet.
währleisten.
3. Die Datenaufsicht der Stadt Winterthur stellt sich vor
Wer sind wir?
Die Datenaufsichtsstelle der Stadt Winterthur besteht Mit der Ratsleitung findet in der Regel ein jährliches
im Moment nur aus der Datenschutzbeauftragten und Gespräch statt. Die Datenschutzbeauftragte übt das
operiert autark. Organisatorisch ist die Datenauf- Amt unabhängig aus und untersteht keinem inhaltli-
sichtsstelle dem Stadtrat, also dem Parlament der chen Weisungsrecht.
Stadt Winterthur, zugeordnet; in administrativer Hin-
sicht der Ratsleitung des Grossen Gemeinderates.
Was tun wir?
Bei der Stadtverwaltung Winterthur arbeiten rund in direkter oder indirekter Weise. Wann immer die
5000 Angestellte. Die Stadtverwaltung besteht aus Stadtverwaltung personenbezogene Informationen
sieben Departementen, die jeweils von einem Stadt- bearbeitet, gilt es, mit diesen richtig umzugehen. Da-
ratsmitglied geleitet werden. So vielfältig und unter- bei ist nicht nur die Einhaltung gesetzlicher Regelun-
schiedlich die Aufgaben und Tätigkeiten der Stadtver- gen anzustreben; Ziel ist es auch, ethisch «richtige»
waltung sind, eine Gemeinsamkeit teilen die meisten und damit nachhaltige Ergebnisse zu ermöglichen.
Angestellten dennoch: Sie alle arbeiten mit unter- Data Governance braucht Datenethik als Bestandteil
schiedlichen Datensätzen bzw. Informationen, die sie und auch als Systemgrenze3. Es gehört folgerichtig zu
erhalten oder beschaffen, weiterbearbeiten und mit den wichtigsten Aufgaben der Datenschutzbeauftrag-
anderen austauschen. Zahlreiche dieser Informatio- ten, die Stadtverwaltung Winterthur im Umgang mit
nen betreffen uns Bürgerinnen und Bürger, Patientin- Personendaten zu beraten, zu unterstützen und neu
nen und Patienten, Kundinnen und Kunden, Schüle- zu auditieren. Konkret gehören folgende Aufgaben
rinnen und Schüler, Mitarbeiterinnen und Mitarbeiter zum Tätigkeitsbereich der Datenaufsicht
2
SRS 3.1-1 – Verordnung über die/den Datenschutzbeauftragte/n der Stadt Winterthur – Stadt Winterthur – hier.
3EDSA: Entwurf von Leitlinien zum «Verantwortlichen» und zum «Auftragsverarbeiter» (Link: Guidelines 07/2020 on the concepts
of controller and processor in the GDPR, Version 1.0, 2. September 2020)
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 6Videoüberwachungsmassnahmen
Anfragen und Gesuche aus der Stadtverwaltung der Stadtverwaltung überprüfen
behandeln Das Thema Videoüberwachung stellt für die Datenauf-
Regelmässig wird die Datenaufsichtsstelle von Fach- sicht eine Schwerpunktthematik für das Jahr 2021 dar.
mitarbeitenden, Rechtsdiensten oder Führungskräften Mit Beschluss vom 10. Juli 2013 hat der Stadtrat eine
der Stadtverwaltung gebeten, Informationsgewinnung Videoordnung erlassen, die den städtischen Ämtern
bzw. Informationsbearbeitungen der Stadtverwaltung und Bereichen im Sinne einer generellen Dienstanwei-
aus datenschutzrechtlicher Perspektive zu beurteilen. sung darlegt, welche Voraussetzungen beim Einsatz
Dabei geht es beispielsweise darum, ob Personenda- von Videoüberwachungsanlagen im öffentlichen
ten mit anderen Verwaltungsstellen ausgetauscht Raum zu berücksichtigen sind. In der Verordnung ist
oder ob Informationen veröffentlicht werden dürfen, vorgeschrieben, dass städtische Verwaltungsstellen
über welche Personendaten Auskunft zu erteilen oder für ihre Überwachungsmassnahmen Reglemente er-
wie bei Videoüberwachungsmassnahmen umzuge- lassen und diese der Datenaufsichts-stelle zur Prü-
hen ist. fung unterbreiten. Mittlerweile setzen mehrere städti-
sche Verwaltungsstellen Videoüberwachung ein und
haben hierfür Reglemente erlassen. Der Beratungs-
und Prüfungsaufwand der Datenaufsichtsstelle in die-
sem Bereich ist gestiegen, auch weil die Reglemente
von Zeit zu Zeit neu geschrieben oder angepasst wer-
Projekte der Stadtverwaltung
den müssen, aber auch weil die Datenschutzbeauf-
Heutzutage gibt es kaum noch Daten, die nicht mittels
tragte vermehrt Augenschein vor Ort (Hot-Spot Ent-
moderner Informations- und Kommunikationstechnik
wicklung) nehmen muss. Weitere Ausführungen zum
(ICT) bearbeitet werden. In der Stadtverwaltung Win-
Thema Videoüberwachung folgen im Kapitel 4.
terthur müssen sämtliche Projekte, die ICT betreffen,
den sogenannten Informationssicherheits- und Daten-
schutz-Prozess (ISDS-Prozess) durchlaufen. Bei den-
jenigen Projekten, die aus datenschutzrechtlicher
Sicht eine erhöhte Sensibilität aufweisen, führt die Da-
tenaufsicht eine sogenannte Vorabkontrolle vor Um- Bei Stadtratsgeschäften und Gesetzgebungs-
setzung einer Datenbearbeitung gemäss § 10 IDG verfahren mitwirken
und in Abstimmung mit dem Fachbereich durch. Dabei Bei Anträgen an den Stadtrat, welche Belange des
wird geprüft, ob sämtliche Rahmenbedingungen – in Datenschutzes betreffen, wird die Datenaufsichts-
rechtlicher, organisatorischer und technischer Hin- stelle zur Stellungnahme bzw. zum Mitberichtsverfah-
sicht – eingehalten werden. Bei weniger sensiblen ren eingeladen. Werden rechtliche Grundlagen der
Projekten steht nicht die Prüfung der datenschutz- Stadtverwaltung neu geschaffen oder angepasst und
rechtlichen Anforderungen im Vordergrund, sondern beinhalten diese auch datenschutzrechtlichen The-
vielmehr die «begleitende Beratung» durch die Daten- men, ist die Datenaufsichtsstelle in die entsprechen-
schutzbeauftragte. Im Berichtsjahr stellte die Stadtver- den Gesetzgebungsprojekte involviert.
waltung der Datenaufsichtsstelle rund 12 Projekt-be-
urteilungen und Vorabkontrollen zur Prüfung und/oder
Beratung zu.
Anfragen und Gesuche von Privatpersonen
beantworten
Wenden sich Privatpersonen mit Fragen oder Be-
schwerden an die Datenaufsichtsstelle, führt dies oft
zu umfangreichen Abklärungen, auch im Hinblick auf
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 7Zuständigkeiten und Weiterleitung an den Kanton, ge- der Stadtverwaltung aufzeigen und zu entsprechen-
gebenenfalls an den Bund. Solche «Anstösse von den Korrekturen führen.
aussen» haben einen positiven Synergie-Effekt, kön-
nen Fehler oder Lücken bei Datenbearbeitungen in
Internes Auditprogramm durchführen Aus- und Weiterbildung durchführen
Ein Datenschutzaudit ist eine «freiwillige» Prüfung der In unserer Gesellschaft sind Daten zu einem der wich-
Datenschutzkonformität der Verwaltungsstellen, die tigsten Güter geworden. Das Datenschutzrecht und
Daten bearbeiten. Es dient dazu, den Ist-Zustand hin- die Datensicherheit betreffen das gesamte Spektrum
sichtlich Erfassung, Speicherung und Weitergabe der Stadtverwaltung Winterthur und bringen aufgrund
personenbezogener Daten festzustellen. Ein solches des gesellschaftlichen und technologischen Wandels
Audit umfasst Gespräche mit Mitarbeitenden, Doku- neue Fragestellungen mit sich, wobei Schulungen un-
mentenprüfungen und Untersuchungen der Systeme abdingbar sind. Ein entsprechendes Schulungsmodul
und Prozesse. Basierend auf den Ergebnissen wer- wurde für «My Learn» seitens Personalentwicklung
den dann Massnahmen vorgeschlagen und Hand- als Weiterbildungsangebot initiiert und wird mit Unter-
lungsempfehlungen ausgesprochen, die zu einem stützung der Datenschutzbeauftragten zurzeit erarbei-
idealen Soll-Zustand in der Verwaltungseinheit führen tet.
sollen. Die Zielvorgabe besteht darin, im Jahreszyklus
ein Auditprogramm durchzuführen. Eine regelmässige
Überprüfung der Datenschutzkonformität in der Ver-
waltung dient nicht nur der rechtlichen Absicherung
gegenüber der IDG-Anforderungsspanne. Die Audits
stärken zudem das Vertrauen von Bürgerinnen und
Bürgern, Kundschaft, Partnern und Mitarbeitenden in
der Stadtverwaltung. Ein Auditbericht wird für 2022 zur
Verfügung stehen.
4. Fälle aus der Praxis: ausgewählte Dossiers
Parkuhren mit Kontrollschildereingabe
Im Zuge des städtischen Gesamtverkehrskonzepts
hat die Stadtpolizei Winterthur den Auftrag erhalten,
Digitales Parkieren
eine moderne digitale Lösung für das Beantragen von
Parkkarten und das Bezahlen von Parkgebühren ein- Der Datenschutz ist eine heikle Frage im Zusam-
zuführen. Der Zuschlag für diesen Auftrag wurde ans menhang mit Parking-Apps: Angegeben werden
Schweizer Parkplatzbewirtschaftungs-Unternehmen muss zum Parkieren nämlich das Kontrollschild
Digitalparking AG in Dietikon vergeben. Deren Anwen- des Autos. Es bräuchte wenig, um daraus ein Be-
dung «Parkingpay» funktioniert sowohl als App auf wegungsprofil des Nutzers zu erstellen.
dem Handy wie auch als Lösung auf dem Computer.
Was ist eigentlich ein digitales Park-
bewirtschaftungssystem?
Ein Parkplatzbewirtschaftungssystem beinhaltet ne- Daneben verläuft eigenständig das Bussenverfahren.
ben Daten über die eigentliche Bewirtschaftung auch An diesen modernen Systemen, sind die Stadt, der
Daten über den Zahlungs- und den Kontrollvorgang. App-Anbieter und die Nutzenden beteiligt. Mit Bezug
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 8auf das Verhältnis zwischen der Stadt und dem App- Dauerparkieren heikel sind, sollte ein «Anonymes Par-
Anbieter handelt es sich um einen typischen Fall von kieren» ohne Online-Registrierungs-Zwang weiterhin
Outsourcing. Der App-Anbieter handelt im Auftrag der möglich sein. Allerdings muss dieser Zweck für die
Stadt, erhebt die Daten, bietet diverse Zahlungs- betroffenen Personen erkennbar sein, resp. sie sind
abwicklungen an und betreibt die Datenbank. Wichtig darüber sowie über den Kennzeichen-Erfassungs-,
ist, dass dieser Vertrag den Zweck möglichst genau Speicherungs- und Löschungs-Zyklus zu informieren.
umschreibt, Bestimmungen betreffend die Sicherheit Im Rahmen der Auftragsbearbeitung sollte zur Erfül-
beinhaltet und insbesondere die regelmässige Lö- lung des Grundsatzes der Erkennbarkeit bzw. der In-
schung der Daten bestimmt. Will ein Nutzender die formationspflicht die Stadt dafür sorgen, dass keine
Parkgebühr via App bezahlen, tritt er in eine eigen- problematische Vermischung von Zwecken der Stadt-
ständige Vertragsbeziehung mit dem App-Anbieter. verwaltung mit Zwecken der privaten Anbieter erfolgt,
Dabei handelt es sich um ein privatrechtliches Verhält- welche für die Nutzenden nicht erkennbar ist. Es ist zu
nis. Diese Unterscheidung ist insbesondere in Bezug empfehlen, dass die Stadt Winterthur die Nutzenden
auf die Aufbewahrung von Daten wichtig. Zu unter- selbst mittels Datenschutzerklärungen und Daten-
scheiden ist im Weiteren zwischen der Abwicklung der schutzfolgeabschätzungen darüber in Kenntnis setzt,
Parkplatzbenützung und dem Bussenverfahren. Es wie, von wem unter Verantwortung der Verwaltung
handelt sich dabei um zwei unterschiedliche Verfah- und zu welchem Zweck die Daten (darunter die Kfz-
ren, welche auf unterschiedlichen gesetzlichen Nummer) bearbeitet werden (resp. die Betreiber der
Grundlagen beruhen. Park-Apps entsprechend dazu verpflichtet). Grund-
sätzlich ist es ferner möglich, Park-Apps verhältnis-
Die datenschutzrechtlichen Grundsätze des IDG sind mässig und holistisch auszugestalten. Allerdings sollte
von den Datenbearbeitern einzuhalten und zu gewähr- im Einzelfall geprüft werden, welche Daten zu den vor-
leisten. Das IDG des Kantons Zürich bezweckt, das gesehenen Zwecken (Bezahlung von Parkierungsge-
Handeln öffentlicher Organe transparent zu gestalten, bühren mittels App und Kfz-Kontrolle) erforderlich sind
um damit die freie Meinungsbildung sowie die Wahr- und wie (und wie lange) sie bearbeitet werden müssen
nehmung der demokratischen Rechte zu fördern und – 48h, 72h oder 7 Tage oder 15 Tage.
die Kontrolle des staatlichen Handelns zu erleichtern
(§ 1 Abs. 2 lit. a IDG). Zudem sollen mit dem IDG die Als Fazit meinerseits lässt sich festhalten, dass die zu-
Grundrechte von Bürgerinnen und Bürgern geschützt nehmende digitale Parkplatzbewirtschaftung die Stadt
werden, deren Daten von öffentlichen Organen bear- Winterthur vor eine erhebliche rechtliche Herausforde-
beitet werden (§ 1 Abs. 2 lit. b IDG). Diese Bestim- rung stellen wird. Technische Hilfsmittel wie Smart-
mungen (Auftragsbearbeitung) gelten im Rahmen ei- phone-Apps können das bargeldlose Bezahlen von
ner Übertragung an Dritte nach § 6 Abs. 1 und Abs. 2 Parkgebühren zwar attraktiv machen. Für eine verant-
IDG letztlich auch synchron für den Park-App-Betrei- wortungsvolle Digitalisierung braucht es jedoch flä-
ber. Die Stadt Winterthur ist – als Auftraggeber und chendeckende Transparenz über die Rechtsverhält-
verantwortlich bleibendes öffentliches Organ – ge- nisse zwischen der (i) Stadt Winterthur als
setzlich dazu verpflichtet, sicherzustellen, dass die Verantwortliche, (ii) den «Parking-App»-Betreibern,
Datenbearbeitung durch den «Parking-App»-Betrei- (iii) dem Kontrollorgan, (iv) der Datenaufsicht sowie (v)
ber in Übereinstimmung mit den öffentlich-rechtlichen den Parkplatz-Nutzenden.
Bestimmungen des/r IDG/IDV erfolgt und muss diesen
vertraglich entsprechend verpflichten.
Aktivitäten der Datenaufsicht
Die Datenaufsicht hat diverse Risikoabschätzungen
sowohl regulatorisch als auch technisch überprüft
und im Kontext diverser Anfragen von Bürgerinnen
und Bürgern Empfehlungen an den Stadtrat abgege-
ben. Grundsätzlich lässt sich als primärer Zweck für
die Stadt Winterthur die Zahlung von Parkierungsge-
bühren mittels App, aber auch die Kontrolle der erfolg-
ten Zahlung ausmachen. Da Bewegungsprofile bei
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 9Schwerpunktthema: Videoüberwachungsmassnahmen
Digitale Technologien prägen zunehmend Kindheit
und Jugend: von der Videoüberwachung im Säug-
Videoüberwachung
lingsalter über den Lernroboter im Kindergarten bis hin
zum durch Künstliche Intelligenz gesteuerten Lern- Die Videoüberwachung ist im öffentlichen Raum
assistenten für den individuellen Bildungserfolg. Wo- grundsätzlich unzulässig. Menschen haben oft
rüber jedoch wenig reflektiert wird, sind Privatheit-, keine Wahl, ob sie ein überwachtes Gebiet betre-
Überwachungs- und Datenschutzfragen in diesem ten wollen –der Datenschutz beginnt genau am
sensiblen und wichtigen gesellschaftlichen Bereich. Perimeter. Privatpersonen können sich nicht auf
Videoüberwachungsmassnahmen nehmen im Win- die Sicherheit als Überwachungsgrund berufen.
terthurer Alltag rasant zu, sei es in den Schulen, Spi- Denn das ist Aufgabe der Polizei und untersteht
tälern, Bibliotheken, Bussen, im Theater, in der Eis- somit nicht der Entscheidung des Einzelnen.
halle, Tiefgaragen, Wohnhäusern, mit Drohnen oder Grundrechte und Sicherheit müssen sich aller-
Dashcams, bei der Abfallproblematik oder zwecks dings nicht gegenseitig ausschliessen. Wenn Vi-
Einbruch-Prävention, oder in Schwimmbädern. Wer deoüberwachungssysteme pragmatisch auf der
Menschen so aufnimmt, dass sie identifizierbar sind, Basis der beiden Grundsätze der Selektivität und
bearbeitet Personendaten und muss deshalb das Da- der Verhältnismässigkeit eingesetzt werden, kön-
tenschutzrecht zwingend berücksichtigen. Die Daten- nen sie den Sicherheitserfordernissen gerecht
schutzbeauftragte hat sich 2021 intensiv mit solchen werden und zugleich unsere Privatsphäre achten.
Anfragen befasst:
Einsatz Videoüberwachung (lnterventions-Zufahrt für Blaulichtorganisationen) ver-
Anfahrt auf Baustellenperimeter ursacht werden. Die Videoüberwachung für die be-
Bezirksanlage Winterthur sagte Baustelle wurde demnach auf die datenschutz-
Ort: Baustelle Hermann-Götz-Strasse, Winterthur rechtlichen Anforderungen individuell überprüft.
Zweck der Installation: Regelung Zurzeit prüft die Datenaufsicht eine erweiterte Lösung,
und Überwachung der Baustellenzufahrt um per Analytics-Software (KI-Algorithmus) grössere
Fahrzeuge detektieren zu können, um bei der Baustel-
Das Ziel dieser Videoüberwachung ist, dass der Lo- lenausfahrt automatisch eine «Ampel» zu steuern.
gistiker auf der Baustelle einen erweiterten Blick
erhält, wann exakt ein Lastwagen auf die Hermann-
Götz-Strasse einbiegt. Die erweiterte Sicht ist als rele- Einsatz Videoüberwachung(en)
vantes Überwachungssystem einzustufen, weil an- des Polizeigebäudes POM4, Winterthur
sonsten eine Komponente im gesamten Ausführungs- Ort: Polizeigebäude Obermühlestr., Winterthur
prozess der Logistik nicht gesteuert werden kann, Zweck der Installation: Sicherheitsmassnahmen
nämlich die vorhandene kritische Verkehrssituation.
Es gilt sicherzustellen, dass keine gefährlichen Kreu- Die Datenaufsicht hat diesbezüglich die ersten
zungsmanöver stattfinden. Gerade auch bei geschlos- Schritte einer Vorabkontrolle und eines Datenschutz-
sener Baustellenzufahrt muss dies eng überwacht konzepts samt Empfehlungen vor Ort im Rohbau vor-
werden, weil sonst die Lastwagen einen gefährlichen genommen. Eine End-Abnahme ist für 2022 geplant.
Stau verursachen. Die Verkehrs- und Personensicher- Das entsprechende Reglement wird auf der Website
heit bzw. die Aufrechterhaltung des Verkehrsflusses der Stadtverwaltung und eine direkte Veröffentlichung
auf der Hauptstrasse (Lindstrasse) soll gewährleistet der Dienstanweisung auf der Website der Stadtpolizei
bleiben, der öffentliche Verkehr darf nicht beeinträch- demnächst publiziert.
tigt werden, zudem dürfen keine Blockierungen und
Rückstaus insbesondere im Bereich des unter Betrieb
stehenden Gefängnisses und des Bezirksgerichts
4 Informationen hier verfügbar: pombau.ch
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 10Projektarbeit
Schnittstelle NEST EWK – ZLPro – Prototyp wurde entwickelt und die Synergien der Fea-
Beurteilung technischer Datenschutz tures in der JugendApp (jugendinfo.ch) genutzt, so-
dass die App in die technische Infrastruktur eingebun-
Im Projekt «Schnittstelle NEST EWK – ZLPro» geht den werden kann.
es um die Realisierung einer Schnittstelle aus dem
NEST-EWK-System der Einwohnerkontrolle der Stadt Beurteilung
Winterthur für die Fallführungsapplikation ZLPro des Die geplante App-Nutzung betrifft eine grosse Anzahl
Bereichs Zusatzleistungen innerhalb der Hauptabtei- von Personen bzw. Personenkreise. Durch das Teilen
lung Sozialversicherungen. Bislang erfolgte die Da- der Inhalte (insbesondere sind dies Informationen aus
tenübernahme aus dem NEST-EWK-System durch bzw. zu der Fallbearbeitung, Chat-Inhalte, Zielverein-
die Fallführenden im Bereich Zusatzleistungen mittels barungen sowie Informationen zu vereinbarten Termi-
Zugriff über das NEST EWK Web-Info-Center. Die nen) werden sowohl personenbezogene Daten, sen-
Daten wurden anschliessend manuell übernommen. sible als auch besonders schützenswerte Daten wie
Dies wurde nun durch eine applikatorischen Schnitt- Gesundheitsdaten, Religionszugehörigkeit, Massnah-
stelle automatisiert – sowohl der initiale Import der be- men sozialer Hilfe und/oder Sanktionen aufbewahrt.
treffenden EWK-Daten beim Anlegen eines neuen Diese Daten sind gemäss § 3 Abs. 4 lit. a und
Falls/Dossiers in ZLPro als auch die Verarbeitung von lit. b IDG zu qualifizieren. Das Projekt unterlag aus
Mutationsmeldungen inkl. Erstellung der Dispositio- diesen Gründen der Vorabkontrolle durch die Daten-
nen in ZLPro. Ein Informationssicherheits- und Daten- schutzbeauftragte i. S. d. § 10 IDG i. V. m.
schutzkonzept (ISDS) wurde auf Basis einer Schutz- § 24 Abs. 1 lit. b und e IDV, was sich als grosse Her-
bedarfsanalyse erstellt, wobei datenschutzrechtliche ausforderung für den Fachbereich herausstellte.
Anforderungen sowie Datenflussanalysen gemäss Ri-
sikomatrix abgefangen und miteinbezogen wurden. Im Hinblick auf die Nutzung der App waren verschie-
Die implementierte Schnittstelle sowie die notwendi- dene Mechanismen zur Sicherheit zu beachten und
gen applikatorischen Anpassungen in ZLPro orientier- entsprechende Schutzmassnahmen vorzubereiten.
ten sich an der entsprechend für die Stadt Zürich im- Vorausgesetzt war eine sichere Konfiguration des mo-
plementierten Lösung. Neben diesen projekt- bilen Gerätes auf der Anwenderseite. Es wurden tech-
bezogenen Massnahmen, welche erfüllt wurden, gab nische Parameter mittels Datenschutz-Assessment
es «departementsbezogene» bzw. längerfristige Mas- geprüft: Registrierungsmerkmale, Server-Perfor-
snahmen, welche dem zuständigen Fachbereich mance, Datentransfer und Datenzugriff, Schnittstel-
adressiert wurden, u. a. die risikobasierte Kategorisie- len, Sicherheitsanforderungen des Datenbearbei-
rung der in ZLPro verwalteten Daten. Dieser und all- tungskanals, Verschlüsselungen. Rechtliche
fällige weitere Punkte sollen ausserhalb des Projekts Anforderungen sind ebenfalls geprüft worden. Gleich-
längerfristig angegangen werden, beispielsweise in- zeitig sind Nutzungsbedingungen und eine Daten-
nerhalb eines IT-Audits bzw. Datenschutzaudits. schutzerklärung gemäss Empfehlungen der Daten-
schutzbeauftragten ausgearbeitet worden.
Hauptaugenmerk war der Umstand, dass durch die
Mobile App: Trendentwicklung Bearbeitung zahlreicher Personendaten ein Persön-
lichkeitsprofil entstehen könnte. Ein Persönlichkeits-
Zum Sachverhalt profil entsteht bei der Zusammenstellung von Informa-
Der Fachbereich Soziales hat in Kooperation mit dem tionen, die dann unmittelbar eine Beurteilung
Verein «Jugendarbeit.digital» eine Applikation erstellt, wesentlicher Aspekte der Persönlichkeit einer Person
die den Klientinnen und Klienten der sozialen Dienst- erlaubt. Persönlichkeitsprofile sind besondere Perso-
leistungsinstitution via «privatem» Mobiltelefon und nendaten per se, für deren Bearbeitung höhere daten-
den Betreuungspersonen via Geschäfts-Computer schutzrechtliche Anforderungen zu erfüllen sind. Das
Zugriff auf Inhalte der Fallbearbeitung erlauben soll. Projektteam hat nach der Vorabkontrolle grünes Licht
Dabei erhalten sowohl die Betreuungsperson als auch zum Pilottest erhalten mit der dringenden Auflage um
die Klientin bzw. der Klient online Zugang zu diversen Verzicht von Biometrie. Es wurde ausserdem in den
Datenverarbeitungsprozessen. Ein funktionsfähiger Nutzungsbedingungen festgehalten, dass ein
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 11«Screen Lock» mit automatischer Sperre bei Inaktivi- chende Amtsstelle vor Ort seitens Datenschutzbeauf-
tät standardmässig aktiviert sein muss. Sofern Pass- tragte aufgesucht und datenschutzrechtliche Parame-
wörter dennoch auf dem Gerät gespeichert werden, ter wurden aufgefangen. Damit eine Massnahme, wel-
sollte auf den Einsatz von starken kryptografischen che in den Persönlichkeitsbereich einer privaten
Verfahren nach dem Stand der Technik zu achten Person eingreift, als verhältnismässig eingestuft wer-
sein. Bei erhöhtem Schutzbedarf wie etwa bei biomet- den kann, muss diese im Hinblick auf den zu errei-
rischen Daten ist eine Speicherung der Zugangsdaten chenden Zweck geeignet und notwendig sein. Ausser-
im Allgemeinen nicht zulässig, da mit dieser Funktion, dem muss der angestrebte Zweck in einem
die meist als Komfortmerkmal zur App-Bedienung ein- vernünftigen Verhältnis zum Eingriff in den Persönlich-
gesetzt wird, das notwendige Schutz-niveau bei Ver- keitsbereich der privaten Person stehen. Grundsätz-
lust des Gerätes nicht erreicht werden kann. lich gilt: Bei begründetem Verdacht einer Straftat leitet
die Staatsanwaltschaft zunächst ein Ermittlungsver-
Schlussfolgerung fahren ein. Mit Unterstützung durch verschiedene Er-
Eine zentrale Rolle bei der datenschutzgerechten Ge- mittlungspersonen sammelt die zuständige Staatsan-
staltung (sog. «Privacy by Design»-Grundkonzept) waltschaft nach dem sog. Freibeweisverfahren alle
spielte die Datenschutz-Compliance und -Awareness Informationen, die den Verdacht bestätigen oder aus-
eine grosse Rolle im Projekt. Bereits im Entwicklungs- räumen könnten. Ein zulässiges Mittel zur Informati-
prozess der App war zu erwarten, dass zur Vermei- onsbeschaffung kann dabei auch die Abfrage von Da-
dung erhöhter Entwicklungs- und Nachbesserungs- ten bei den Schulen sein:
kosten darauf hingewirkt werden muss, kritische
Schwachstellen im Vornherein zu vermeiden und Attribut Geeignetheit: Diese Massnahme ist geeig-
die Sicherheit der App auf ein Niveau zu setzen, das net, um den Täterkreis auf diejenigen Personen einzu-
den datenschutzrechtlichen Anforderungen entspricht schränken, welche die Taten tatsächlich begangen
(§ 7 IDG). Dieser Umstand wurde leicht überschätzt, haben, und um basierend hierauf weitere Massnah-
allerdings mit Unterstützung der Datenaufsicht und men (z. B. Einvernahmen) zu ergreifen, um die Täter-
Mitwirkung der IDW korrigiert. Die Datenaufsicht bietet schaft feststellen zu können. Daher ist die angefor-
weiterhin Unterstützung und behält sich vor, gemäss derte Datenbearbeitung geeignet gewesen, um eine
§ 35, 36 IDG eine zyklische Kontrolle (Datenschutz- Strafuntersuchung einzuleiten.
audit) vorzunehmen.
Attribut Erforderlichkeit: Die ergriffenen Massnah-
men zielen auf die Identifikation der Täter. Für eine
Begleitende Beratung: Beurteilung der Anzeige bei den zuständigen Strafverfolgungsbehör-
Datenbearbeitung zur Anstrengung eines den ist grundsätzlich ein erster Anhaltspunkt nötig, da-
Strafverfahrens im Schulwesen mit ein Strafverfahren gegen eine bestimmte Person
eingeleitet werden kann. Daher kann es erforderlich
Zum Sachverhalt sein, in diesem Rahmen eine «Schranke des Daten-
Eine Strafverfolgungsbehörde aus Winterthur hat in schutzes» zu öffnen, sprich eine «Persönlichkeitsver-
der Untersuchung einer Straftat darum ersucht, dass letzung» festzustellen, da somit die Erfolgswahr-
folgende Akten herausgegeben werden: aktuelle Klas- scheinlichkeit der Überführung des Täters erheblich
senspiegel (Fotos) inkl. dazugehöriger Klassenlisten. gesteigert wird, so auch im vorliegenden Fall.
Es stellte sich die Frage, unter welchen Voraussetzun-
gen eine Schule solche Anfragen datenschutz-kon- Attribut Verhältnismässigkeit/Zumutbarkeit: Unab-
form beantworten sollte. hängig von urheberrechtlichen Überlegungen besteht
bei Fotos das Recht am eigenen Bild. Dies bedeutet,
Aktivitäten der Datenaufsicht dass die abgebildeten Personen in der Regel darüber
Ende September 2021 wurde die Datenschutzbeauf- entscheiden, ob und in welcher Form ein Bild aufge-
tragte der Stadt Winterthur beauftragt, die «bereits er- nommen und veröffentlicht werden darf. Aus diesem
folgte» Datenaushändigung zu bewerten. Eine Er- Grund dürfen Fotos meist nur dann veröffentlicht/be-
stempfehlung wurde unmittelbar telefonisch kannt gegeben werden, wenn die darauf Abgebildeten
ausgesprochen. Im Oktober 2021 wurde die entspre- ihr Einverständnis gegeben haben. Zur Feststellung
einer Straftat vertritt der Eidgenössische Datenschutz-
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 12und Öffentlichkeitsbeauftragte (EDÖB) allerdings die Schlussfolgerung
Meinung, dass es zuzumuten ist, einer Strafuntersu- Verlangt eine Strafverfolgungsbehörde im Rahmen ei-
chung ausgesetzt zu werden, solange der Person nes Strafverfahrens Bilder und stützt sich dabei auf
hierdurch – bei Unschuld – keine ernsthaften Nach- eine Verfügung, so ist das Herausgeben der Bilder ge-
teile erwachsen, in casu nicht ersichtlich. rechtfertigt. Stellt die Behörde die Anfrage ausserhalb
eines Strafverfahrens, kann ein überwiegendes öffent-
Die Amtshilfe/Privilegierung der Aufdeckung oder liches Interesse die Herausgabe auch ohne Verfügung
Verfolgung von Straftaten: In gerichtlichen Verfah- rechtfertigen. Ob ein solches vorliegt, muss aufgrund
ren, wie in casu Anfragen von Polizei/Staatsanwalt- einer Interessenabwägung beurteilt werden. Dieser
schaft, benötigen Lehrpersonen eine schriftliche Er- Entscheid kann heikel sein und sollte sich stets auf die
mächtigung (als Entbindung vom Amtsgeheimnis) von nachfolgenden Überlegungen stützen: Zunächst wird
der vorgesetzten Stelle (in casu wohl: Schulpräsiden- geprüft, wer die Herausgabe verlangt. Anschliessend
tin). Bei solchen gerichtlichen Verfahren sind nicht die muss geprüft werden, zu welchem Zweck die Bilder
kantonalen Datenschutzbestimmungen, sondern ist benötigt werden. Daher sollte die schriftliche Anfrage
die jeweilige Prozessordnung anwendbar, hier Art. 44 stets eine Begründung enthalten. Eine Herausgabe
i. V. m. Art. 194 StPO. ohne Verfügung ist nur dann gerechtfertigt, wenn da-
mit schwerwiegende Interessen geschützt werden sol-
len; bei Anfragen ohne Begründung oder zu Bagatell-
zwecken sollte die Herausgabe begründet verweigert
werden.
.
Beratung von Privaten
Die Datenschutzstelle ist auch Ansprechstelle für Zum Sachverhalt
Privatpersonen, soweit deren Daten durch die städti- Gemäss Schilderung des Bürgers habe das betref-
schen Organe oder private Institutionen mit Leistungs- fende Betreibungsamt eine E-Mail unautorisiert an
vereinbarungen bearbeitet werden. Die Datenschutz- eine «Dienstadresse» gesendet. Dass diese E-Mail-
stelle gibt Privaten Auskunft über ihre Rechte und Adresse zu einem Gemeinschaftspostfach führt, sei
kann, falls erforderlich, auch zwischen Organen und gemäss Betreibungsamt nicht unmittelbar ersichtlich
betroffenen Personen vermitteln, gegebenenfalls zu- gewesen, da ebendiese personalisiert war. In der be-
ständigkeitshalber weiterleiten. sagten Mail wurde mitgeteilt, dass ein Zahlungsbefehl
offenstehe, es wurden fünf (5) Varianten der Kontakt-
Die Anfragen von Privatpersonen nahmen 2021 stetig aufnahme vorgeschlagen, mitunter als «ultima ratio»
zu. Dies hängt mit der zunehmenden Digitalisierung der Polizeieinsatz am Arbeitsort angekündigt. Durch
zusammen, da im Rahmen der Umstellung auf neue den Umstand, dass es sich hierbei angeblich um eine
Systeme, z. B. im Bereich der Videoüberwachung und Gemeinschafts-Inbox handelte, wurde die E-Mail von
Parkplatzbewirtschaftung, zunehmend Personenda- weiteren unautorisierten Personen gelesen. Da die
ten bekannt zu geben sind bzw. digital erfasst werden. Umstände, die in dieser E-Mail dargestellt wurden, ge-
Die für eine materielle Beurteilung der Anfragen vor- eignet waren, den Ruf zu schädigen, wenn Drittbetei-
zunehmenden Sachverhaltsabklärungen können da- ligte dies mitbekommen, handelt es sich um eine Be-
bei für die Datenaufsicht teilweise mit grossem Auf- arbeitung von Personendaten, die ein Risiko für die
wand verbunden sein. Erwähnenswert ist in dem Persönlichkeitsrechte des Betroffenen begründen
Zusammenhang die Datenschutzbeschwerde samt könnte. Im Ergebnis lag somit eine Bekanntgabe von
Aufsichtsbeschwerde einer Privatperson betreffend besonderen Personendaten im Sinne von § 17 Abs. 1
Zustellung eines Zahlungsbefehls an eine vermeintli- lit. b IDG vor. Die Datenaufsicht hat allerdings in Ab-
che geschäftliche E-Mail-Adresse. klärung mit dem besagten Betreibungsamt die Daten-
bearbeitung zur Erfüllung «gesetzlicher Aufgaben»
i. S. d. § 17 Abs. 2 IDG feststellen können.
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 13Bewertung der Sachlage vom Betreibungsamt zu verlangen, das etwaige wider-
Die Stellungnahme des besagten Betreibungsamtes rechtliche Bearbeiten von Personendaten zu unterlas-
hat die Datenaufsicht erhalten und im kontinuierlichen sen, die Folgen des widerrechtlichen Bearbeitens zu
Dialog geprüft. Darin wird ausgeführt, dass die noch- beseitigen oder die Widerrechtlichkeit des Bearbei-
malige Einladung zur Abholung an die Geschäftsa- tens festzustellen. Da die Bekanntgabe der Betrei-
dresse ein geringeres Risiko für die Persönlichkeits- bung an Kolleginnen und Kollegen sowie damit
rechte darstellte als die im Schuldbetreibungs- und zusammenhängende Umstände beim Arbeitgeber be-
Konkursrecht formell gesetzlich verankerten Hand- reits erfolgt sind und die Kenntnisnahme nicht mehr
lungsmassnahmen: (i) Zustellung der Urkunde an die rückgängig gemacht werden kann, blieb Anfang Jahr
Geschäftsadresse durch Weibel/in oder (ii) Polizei so- lediglich die Möglichkeit der Feststellung einer wider-
wie (iii) öffentliche Publikation mit breitem Wirkungs- rechtlichen Datenbearbeitung offen. Eine Widerrecht-
kreis. Dies insbesondere deshalb, da es sich im Ge- lichkeit der erfolgten Bekanntgabe wie oben ausge-
gensatz zur allgemeinen anonymisierten E-Mail- führt konnte nicht festgestellt werden, weder seitens
Adresse (z. B. info@xmail.com) um eine private/per- Betreibungsamt durch eigene interne Überprüfung
sönliche Geschäfts-Adresse handelte. Der Personen- noch seitens Datenaufsicht der Stadt Winterthur.
kreis mit Zugriff auf eine solche Sammeladresse ist
üblicherweise auf wenige Schlüsselpersonen be-
schränkt, um die Vertraulichkeit zu gewährleisten. Da-
her erscheint das Argument des Betreibungsamtes als
durchaus schlüssig bzw. plausibel, dass nicht damit
gerechnet werden musste, dass nach mehrfach er-
folglosen Zustellversuchen mehr Personen Kenntnis
vom Inhalt erlangen würden, als bei einer (i) Ge-
schäftszustellung via Polizei am Arbeitsplatz oder (ii)
öffentlichen Publikation. Das Betreibungsamt war for-
mell gesetzlich befugt, die Zustellungsart im Ermes-
sen der Verhältnismässigkeit und Erforderlichkeit vor-
zunehmen, was es auch tat, indem es ein milderes
Mittel wählte, als die Zustellung vor Ort via Polizei. Die
Zustellmassnahme via E-Mail, die nicht gekennzeich-
net war, ist aus datenschutzrechtlicher Perspektive als
verhältnismässig einzustufen. Folgerichtig erachtete
die Datenaufsicht das Vorgehen im Hinblick auf das
Datenschutzrecht als durchaus vertretbar. Ein Daten-
schutzverstoss durch eine etwaige unbefugte Offenle-
gung und/oder einen unbefugten Zugang zu perso-
nenbezogene Daten war nicht ersichtlich. Inwiefern
dadurch andere gesetzliche Vorschriften verletzt wur-
den, wie etwa der SchKG-Wirkungskreis, konnte die
Datenaufsicht mangels Zuständigkeit nicht beurteilen.
Schlussfolgerung
Eine Datenschutzbeschwerde per se sieht das IDG
nicht vor, die Datenschutzstelle hat indes die Möglich-
keit, eine Untersuchung einzuleiten, um künftig die
korrekte Bearbeitung von Personendaten sicherzu-
stellen. Beide Datenschutzbeauftragte (2021) haben
diesbezügliche Abklärungen mehrfach vorgenommen
und das Betreibungsamt noch stärker sensibilisiert.
Der Bürger selbst hat gemäss § 21 IDG das Recht,
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 14Melde- und Abwicklungsprozess Datenschutzverletzungen
Öffentliche Organe müssen Datenschutzvorfälle un- und Freiheiten besteht. Neben der Meldefrist, nämlich
verzüglich melden – soweit eruirbar, wenn die Grund- unmittelbar ab Kenntnisnahme, gibt es bestimmte In-
rechte auf informationelle Selbstbestimmung halte, die die Meldung an die zuständige Aufsichtsbe-
beziehungsweise auf Privatsphäre der betroffenen hörde berücksichtigen muss, mitunter eine Beschrei-
Personen gefährdet sein könnten. Ein Datenschutz- bung der Art der Verletzung des Schutzes
vorfall liegt vor, wenn personenbezogene Daten un- personenbezogener Daten, soweit möglich mit An-
wiederbringlich vernichtet werden, verloren gehen, gabe der Kategorien und der ungefähren Zahl der be-
unbeabsichtigt oder unrechtmässig verändert oder troffenen Personen, der Kategorien und der ungefäh-
Unbefugten zugänglich gemacht werden. In zwei Fäl- ren Zahl der betroffenen personenbezogenen
len wurden nicht nur personenbezogene Daten, son- Datensätze. Können die Informationen nicht zur glei-
dern auch sensible Daten Unbefugten zugänglich ge- chen Zeit bereitgestellt werden, können sie ohne un-
macht. angemessene weitere Verzögerung schrittweise zur
Verfügung gestellt werden. Es zeigt sich: Sich auf eine
Ein Datenschutzvorfall muss gemeldet werden, wenn Meldefrist allein zu konzentrieren, reicht nicht aus. Es
er zu einer Gefährdung der Grundrechte auf informa- ist notwendig, den kompletten Meldeprozess zu über-
tionelle Selbstbestimmung beziehungsweise auf Pri- prüfen und anzupassen. Der verantwortliche Fachbe-
vatsphäre von betroffenen Personen führen kann. Be- reich muss jede Datenschutzverletzung dahingehend
stehen Zweifel, ob Grundrechte gefährdet sind, ist überprüfen, ob die Datenpanne «voraussichtlich nicht
ebenfalls Meldung zu erstatten. Die Bestimmung über zu einem Risiko» für den Betroffenen führt. Und das
die Meldepflicht ist mit dem revidierten IDG am nicht nur bei einer Datenpanne mit besonders sensib-
1. Juni 20205 in Kraft getreten. Eine Meldung an die len Daten. Die Datenaufsicht wird ab Juli 2022 ein in-
Aufsichtsbehörde hat bei einer Datenschutzverletzung ternes Merkblatt zur Verfügung stellen. Verwaltungs-
immer zu erfolgen. Ausnahme: Die Datenpanne führt intern sollte im Intranet die Möglichkeit geschaffen
«voraussichtlich nicht zu einem Risiko» für den Be- werden, dass sich Mitarbeitenden darüber informieren
troffenen. Eine betroffene Person muss nur benach- können, wie im Falle eines Datenschutzvorfalles vor-
richtigt werden, wenn ein hohes Risiko für ihre Rechte zugehen ist.
Prüfung Erlass einer neuen Verordnung «Parkieren Winterthur» – Velostationen
Mit dem Erlass einer neuen Verordnung «Parkieren Die Datenaufsicht wurde mit der Bitte um Prüfung er-
Winterthur» soll für den bestehenden Eigenwirt- sucht, ob es sich im vorliegenden Fall der Bereitstel-
schaftsbetrieb eine saubere rechtliche Grundlage in lung von Veloabstellplätzen um eine Teilnahme am
Form eines generell-abstrakten Erlasses geschaffen wirtschaftlichen Wettbewerb i. S. v. § 2 Abs. 2 IDG
werden. Neu soll auch der Betrieb von Velostationen handelt bzw. ob dem gewählten Vorgehen – Beizug
in den Eigenwirtschaftsbetrieb integriert werden. Swiss-Pass der SBB – datenschutzrechtliche Beden-
Dadurch kann auf ein Synergiepotenzial bei den Park- ken im Weg stehen.
häusern zurückgegriffen werden.
5 Datenschutzvorfälle sind zu melden, wenn die Grundrechte von betroffenen Personen gefährdet sind (§ 12a Abs. 1). § 12a Abs. 2 und 3
IDG regeln die Information an die betroffenen Personen.
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 15 Geltungsbereich IDG SwissPass – anhaltende Datenschutz-
Problematik und -Risiken
Ein öffentliches Organ fällt nicht in den Anwendungs-
bereich des IDG, soweit es am (i) wirtschaftlichen Der neue SwissPass geriet frühzeitig im Hinblick auf
Wettbewerb teilnimmt und dabei (ii) nicht hoheitlich den Datenschutz unter hohe Kritik. Beispielsweise
handelt. Beide Voraussetzungen müssen kumulativ hiess es 2016, die Sammlung der Daten (Big Data) er-
vorliegen. Ziel dieser Bestimmung ist es, öffentliche mögliche es zu jeder Zeit, ein Bewegungsprofil (Profi-
Organe, die ihre Leistungen in Konkurrenz mit ande- ling/Tracking) von Kundinnen und Kunden zu erstel-
ren privaten Personen am Markt anbieten, nicht durch len. Das potenzielle Bewegungsprofil von
spezifische, auf den öffentlich-rechtlichen Sektor aus- Fahrradfahrern bleibt somit kritisch im Wirkungskreis
gerichteten Bestimmungen zu Datenschutz so einzu- des Datenschutzes zu betrachten. Wenn die Velo-App
schränken, dass allenfalls ein Wettbewerbsnachteil mit der SwissPass-Kalibrierung in einer gemeinsamen
entstehen könnte. Ob ein öffentliches Organ am wirt- Schnittstelle münden, werden unmittelbar nach der
schaftlichen Wettbewerb teilnimmt, ist aufgrund einer Datenerhebung und vor der weiteren Verarbeitung IP-
Gesamtbetrachtung zu entscheiden. Als Kriterien sind Adressen gesammelt. Pseudonymisierungs- und Ano-
diverse Beurteilungsparameter seitens Datenaufsicht nymisierungsanforderungen sollten überprüft werden
kommuniziert worden. bei der technischen Datenschutzumsetzung («Privacy
by Design/Default»-Anforderungen). Wenn die letzten
Hinweis bzgl. Anwendbarkeit DSG-Bund: Der Gesetz- drei Stellen der IP-Adresse gelöscht und die Informa-
geber geht davon aus, dass mit dem Ausschluss eines tionen so anonymisiert werden, sind die Datenschutz-
öffentlichen Organs aus dem Geltungsbereich des rechtlichen Anforderungen konform abgefangen.
IDG automatisch das DSG-Bund zur Anwendung Wenn keine Verknüpfung der IP-Adresse via Velo-App
kommt. Dies ist allerdings nicht offensichtlich, da das mit anderen Informationen via SwissPass erfolgt, die
DSG-Bund nur für private Personen und Bundesor- eine Identifikation und/oder Commerce-Tracking von
gane gilt, weshalb öffentlich-rechtlich organisierte Or- Besuchern ermöglichen, so ist der Data-Governance-
gane des Kantons nach Wortlaut als Datenbearbeiter Zyklus nicht mit dem Risiko behaftet, Betroffenen-
nicht darunterfallen. Dass sie hingegen privatrechtlich rechte zu verletzen. Diese Kalibrierungen müssten in
handeln, davon muss in weiter Auslegung des DSG- den Nutzungsbedingungen und in der Datenschutzer-
Bund und unter Berücksichtigung der konkreten Um- klärung der Velo-App nachzulesen sein.
stände ausgegangen werden, sodass sie folglich in
den Wirkungskreis ebendieser fallen. Die Frage ist Schlussfolgerung
nicht nur für das öffentliche Organ von Bedeutung, da Die Datenaufsicht steht der Verknüpfung der Velo-App
es wissen muss, nach welchen Bestimmungen es sich mit dem SwissPass-Kanal punktuell leicht kritisch ge-
zu richten hat, sondern auch für die betroffenen Per- genüber. Datensicherheit (Bewegungs-Profiling stark
sonen in Bezug auf die Geltendmachung ihrer Rechte, ausgeprägt) und Datenschutztransparenz würden
da ein Verfahren sich hier nach dem Zivilrecht richtet. dem Datenminimierungs-Grundsatz entgegenstehen.
Die datenschutzrechtliche Aufsicht müsste dann durch Ob genügend Transparenz im Bereich der Daten-
den EDÖB sichergestellt werden. sammlung und Datenbearbeitung via
SwissPass/EDÖB erreicht wurde, kann meinerseits
Schlussfolgerung nicht abschliessend bestätigt werden.
IDG ist gemäss obgenannten Kriterien in der Gesamt-
heit kumulativer Beurteilungskriterien anwendbar.
Tätigkeitsbericht 2021 der Datenschutzbeauftragten der Stadt Winterthur \\ 16Sie können auch lesen
