Die kantonalen Datenschützer ziehen Bilanz

Die Aufsichtsstelle Datenschutz des Kantons Baselland hatte im vergangenen Jahr alle Hände voll zu tun. Verschiedene Fälle beschäftigten die sieben Mitarbeitenden. Der Jahresbericht zeigt, wie breit das Spektrum der behandelten Fragen inzwischen ist.

vs. Die Aufsichtsstelle Datenschutz (ASD) des Kantons Baselland blickt auf ein arbeitsintensives Jahr 2024 zurück. Mit 378 neu eröffneten Geschäftsdossiers und 74 eingereichten Projekten zur sogenannten Vorabkonsultation verzeichnete die Behörde erneut hohe Fallzahlen. Dies geht aus dem soeben veröffentlichten Jahresbericht der ASD hervor, die derzeit sieben Mitarbeitende zählt.

Neben Beratungen und Kontrollen haben die kantonalen Datenschützerinnen und Datenschützer auch Stellungnahmen für den Landrat und die Medien verfasst – insgesamt 140 Mal. Laut Bericht ist die ASD mit «komplexen und umfassenden Aufgabenstellungen» konfrontiert worden. Wie weit der Datenschutz heute reicht, zeigen die behandelten Fälle, wovon die «Volksstimme» einige vorstellt.

Spitalseelsorge
Ein Fall betraf die Weitergabe von Patientendaten durch ein Spital an Pfarrpersonen. Auch wenn die Patienten explizit zustimmen müssen, war die Rechtsgrundlage der Datenweitergabe nicht mehr klar: Die entsprechende Verordnung stützt sich auf eine längst aufgehobene Bestimmung im Spitalgesetz. Trotzdem beurteilte die Aufsichtsstelle das Vorgehen des Spitals als rechtmässig – dank der eingeholten Einwilligungen der betroffenen Patienten.

Einbürgerungen
Eine Gemeinde fragte, ob Gesuchstellende nur in abgekürzter Form in der Einladung zur Bürgergemeindeversammlung genannt werden dürfen – zum Beispiel als «M. Müller». Die ASD bejahte dies: Das Interesse der Privatsphäre gehe jenem der Öffentlichkeit diesbezüglich ein Stück weit vor. Besonders bei Internetveröffentlichungen sei Zurückhaltung geboten – Initialen statt Klarnamen seien angebracht und genügten.

Asylstatistik
Im Berichtsjahr behandelte die ASD eine Anfrage eines Dorfchronisten, der die Herkunftsländer von Asylbewerbern für einen Artikel veröffentlichen wollte. Solche Angaben seien grundsätzlich öffentlich zugänglich, solange sie anonymisiert sind, befanden die Datenschützer. Besonders bei kleinen Gruppen und wenigen Herkunftsländern müsse jedoch sorgfältig geprüft werden, ob Rückschlüsse auf Einzelpersonen ausgeschlossen sind.

Steuergeheimnis
Ebenfalls heikel war ein Anliegen aus einer anderen Ortschaft. Ein Gemeinderat wollte für die Finanzplanung wissen, welche Personen die zehn grössten Steuerzahler in der Gemeinde sind. Die ASD erteilte dem Gesuch eine klare Absage. Es bestehe keine gesetzliche Grundlage für die Weitergabe solcher Informationen an einen Gemeinderat. Eine anonymisierte Liste sei hingegen zulässig – und ausreichend.

Offene Arbeitsplätze
Anhand eines anderen Falls zeigten sich exemplarisch die Herausforderungen der digitalen Arbeitswelt. Flexible Arbeitsplatzmodelle wie Grossraumbüros mit geteilten Tischen bergen Risiken für die Vertraulichkeit von Personendaten. Die ASD erinnerte daran, dass auch innerhalb einer Behörde der Zugriff auf Daten auf das Notwendige zu beschränken sei. Technischer Sichtschutz, «Clean Desk»-Vorgaben und klare Zugangsregelungen seien unabdingbar.

Parkieren unter Beobachtung
Beim neuen Parkraumbewirtschaftungssystem einer Gemeinde stellte sich die Frage, ob das Erfassen von Autokennzeichen auch bei kostenlosen Kurzzeitparkierern rechtmässig ist. Die ASD bejahte dies – das entsprechende Gemeindereglement diene als gesetzliche Grundlage. Wichtig sei jedoch, dass die Daten spätestens nach 24 Stunden anonymisiert werden, sofern keine Parkbussen drohen.

«Whatsapp» und Co. an Schulen
Eine Primarschule wandte sich an die Aufsichtsstelle mit dem Wunsch, eine digitale Kommunikationslösung verbindlich einzusetzen. Die Datenschützer stellten klar: Ohne ausdrückliche gesetzliche Grundlage kann ein digitaler Kanal nur auf freiwilliger Basis genutzt werden. Die Schule bliebe jedoch auch in diesem Fall für die Sicherheit der übermittelten Personendaten verantwortlich. Bei erhöhtem Risiko – etwa durch Auftragsdatenbearbeitung in einer Cloud – sei zwingend eine Vorabkonsultation bei der ASD durchzuführen.

Zusammenfassend hält der Jahresbericht fest, dass die Digitalisierung auch den Datenschutz im Baselbiet vor neue Herausforderungen stellt. Die Datenschützer heben dabei drei Themen hervor, die für öffentliche Organe zunehmend an Bedeutung gewinnen: der Einsatz von Künstlicher Intelligenz (KI), die Nutzung von Cloud-Lösungen wie «Microsoft 365» (siehe Kasten) und die rechtssichere Auslagerung von Datenverarbeitung an externe Dienstleister.

Auf diese Aspekte gelte es, Augenmerk zu legen, so die ASD. Die unabhängige Aufsichtsstelle kontrolliert die Einhaltung der Datenschutzvorgaben bei kantonalen Behörden, Gemeinden und bei Privaten mit öffentlichem Auftrag.

Warnung an die Gemeinden

vs. Beim Einsatz des Programms «Microsoft 365» des amerikanischen Software-Entwicklers Microsoft äussert die Aufsichtsstelle Datenschutz (ASD) rechtliche Bedenken. Sowohl der Kanton als auch «immer mehr» Gemeinden im Baselbiet befassten sich mit der Umstellung auf die Cloud-Version der heute lokal installierten Office-Produkte. Die ASD hebt hervor, dass dabei besonders schützenswerte Daten nur mit grosser Zurückhaltung bearbeitet werden dürfen. Eine echte Ende-zu-Ende-Verschlüsselung sei mit den Standardlösungen nicht möglich. Zwar bieten verschiedene Anbieter Zusatzfunktionen an. Doch aus Sicht der Behörde genügt dies nicht, um einen Zugriff Dritter technisch auszuschliessen.
Da Gemeinden häufig sensible Personendaten verarbeiten – etwa in der Sozialhilfe, im Schulwesen oder im Steuerbereich – sei der flächendeckende Einsatz von «Microsoft 365» in der Cloud derzeit nicht vertretbar. Die ASD verweist auf die Konsultationspflicht gemäss Datenschutzgesetz und empfiehlt den Gemeinden, Alternativen zu prüfen.