Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03122.jsonl.gz/682

In einem kürzlich ergangenen Urteil hat das Bundesgericht einen Leistungsvertrag geprüft, bei dem es um die Übertragung der Führung von Sekundarklassen an eine private Institution im Kanton St. Gallen ging. Interessant ist dabei zweierlei: 1) Welche gesetzliche Grundlage braucht der strittige Leistungsvertrag?2) Kann der Leistungsvertrag allenfalls selbst eine gesetzliche Grundlage darstellen?
Obwohl öffentlich-rechtliche Verträge (oder verwaltungsrechtliche Verträge, die beiden Begriffe werden in der Schweiz meist synonym verwendet) zum juristischen Alltag gehören, ist oftmals nicht klar, wie eingehend solche Verträge gesetzlich abgestützt sein müssen. Das Legalitätsprinzip verlangt, dass jedes staatliche Handeln auf einer gesetzlichen Grundlage fusst (Art. 5 BV); gleichzeitig kommt dem Vertrag als Handlungsform im öffentlichen Recht aber nur dann ein eigener Platz zu, wenn die Parteien damit auch Inhalte vereinbaren können, die sich nicht in einer wortwörtlichen Niederschrift von Gesetzesbestimmungen erschöpfen. Dieses Spannungsfeld kann im Einzelfall beträchtliche Rechtsunsicherheit mit sich bringen.
Im Urteil vom 5. November 2021 (Verfahren 2C_136/2020 und 2C_137/2020) hat das Bundesgericht zu dieser Thematik zwei interessante Bausteine geliefert. Es ging konkret um die politische Gemeinde Wil (die “Stadt”), die ursprünglich mit dem Kloster St. Katharina (das “Kloster”), einer öffentlich-rechtlichen Körperschaft, einen Vertrag über die Führung einer Mädchensekundarschule geschlossen hatte. Dieser Vertrag wurde nach einigen Jahren angepasst, was Anlass zum hier besprochenen Verfahren gab. Einerseits übernahm im Zuge dieser Anpassung die vom Kloster gegründete privatrechtliche Stiftung St. Katharina (die “Stiftung”) die Führung der Schule, andererseits wollte nun die Stadt mitbestimmen, welche Schülerinnen aus der Gemeinde an der Privatschule die Sekundarstufe besuchen durften.
Gegen den Beschluss des Stadtparlaments Wil, der den abgeänderten Vertrag guthiess, wurde Abstimmungsbeschwerde geführt. Mit Beschwerden in öffentlich-rechtlichen Angelegenheiten wird u.a. geltend gemacht, dass der Vertrag über keine genügende gesetzliche Grundlage verfüge.
Einen eleganten Ausweg aus der Frage nach der gesetzlichen Grundlage lieferte die Rechtsnatur und Tragweite des Vertrags, die das Bundesgericht zuerst analysiert (Erwägung 4.1): Beim Vertrag über die Übertragung der Führung von Mädchensekundarklassen an die Stiftung handle es sich um einen öffentlich-rechtlichen Leistungsvertrag. Damit werde inhaltlich eine staatliche Aufgabe, nämlich die “Beschulung” von Jugendlichen an der Sekundarstufe, an eine private Leistungserbringerin übertragen. Sowohl aufgrund der Kantonsverfassung des Kantons St. Gallen als auch der Rechtsprechung des Bundesgerichts bedarf eine solche Übertragung einer gesetzlichen Grundlage. Handelt es sich um eine wichtige Regelung, muss diese auf der Normstufe des Gesetzes festgehalten werden.
Zum Einwand, es handle sich bei der vorliegenden Übertragung nicht um eine wichtige Regelung, fand das Bundesgericht klare Worte (E. 4.3.1):
“Das Argument überzeugt nicht. Der Entscheid einer Gemeinde, einer privaten Institution die Führung von Sekundarschulklassen anzuvertrauen, hat weitreichende Folgen, sowohl für die betroffenen Schülerinnen und Schüler als auch für den Schulbetrieb der öffentlichen Schule. Wenn auch durch die öffentliche Aufsicht über die Privatschulen grundsätzlich gewährleistet wird, dass die vom Kathi beschulten Schülerinnen einen der öffentlichen Schule gleichwertigen Unterricht erhalten, so tangiert die Vereinbarung wesentliche Grundrechtspositionen der Wiler Schüler und Schülerinnen. Wenn auch keine Verpflichtung seitens der Wiler Schülerinnen besteht, das Kathi zu besuchen, so wirken sich dessen Zugangsbedingungen diskriminierend auf die Schülerinnen und Schüler aus Wil aus, da nur eine beschränkte Anzahl Mädchen und keine Buben Zugang zum Kathi erhalten. Des Weiteren wirft die religiös geprägte Ausrichtung des Kathi die Frage auf, ob der Anspruch der Wiler Schülerinnen auf einen konfessionell neutral geführten Unterricht (Art. 15 Abs. 3 BV) gewährleistet ist. Schliesslich gilt es zu berücksichtigen, dass die staatliche Finanzierung einer Privatschule zur Folge hat, dass der öffentlichen Schule Finanzmittel entzogen werden, was sich negativ auf die Qualität des Leistungsangebots der öffentlichen Schule auswirken kann.”
Erkenntnis 1: Mit der Feststellung, es handle sich um die eigentliche Übertragung einer staatlichen Aufgabe, werden die Anforderungen an die gesetzliche Verankerung des Leistungsvertrags angehoben. Vorliegend bedarf es also eines Gesetzes, und die Analyse der gerichtlichen Instanzen führte zum Schluss, dass weder das Volksschulgesetz noch die Gemeindeordnung der Stadt Wil die nötige(n) Bestimmung(en) enthielten.
Im Übrigen: Was noch zu einer staatlichen Aufgabe gehört und was nicht, ist ebenfalls oftmals unklar. Insbesondere stellt sich beim Beizug privater Leistungserbringer jeweils die Frage, ob die eigentliche staatliche Aufgabe ausgelagert werde, oder nur eine Tätigkeit, die mittelbar zur Erfüllung staatlicher Aufgaben beiträgt [1]. Vorliegend fällt die Antwort jedoch klar aus: Ja, der Betrieb einer Sekundarschule ist als Erfüllung einer staatlichen Aufgabe zu verstehen.
Die Stiftung brachte gegen die obenerwähnte Erkenntnis das Argument vor, es handle sich beim Vertrag selbst um eine gesetzliche Grundlage; dies deswegen, weil er dem fakultativen Referendum unterstanden hätte und somit die politischen Rechte, die zur Schaffung eines Gesetzes dazugehören, geltend gemacht werden konnten.
Dieser Ansatz ist deswegen spannend, weil mit der Erkenntnis, der Vertrag selbst stelle eine genügende gesetzliche Grundlage dar, die oben gefundene Lücke (Erkenntnis 1) sogleich wieder gefüllt werden könnte.
Das Bundesgericht meinte dazu, was ein formelles Gesetz sei und ein solches ausmache, ergebe sich aus dem kantonalen Recht. Diesbezüglich könne auch ein Vertrag in Frage kommen (E. 5.2):
“Je nachdem vermag auch ein Vertrag, der dem fakultativen Referendum unterlag, selber als gesetzliche Grundlage zu dienen […]. Dasselbe gilt für Konkordate […]. “
Vorliegend war es dem Bundesgericht aus prozessualen Gründen nicht möglich, selbst zu prüfen, ob das massgebliche Gemeindegesetz des Kantons St. Gallen es erlaube, den Vertrag selbst als gesetzliche Grundlage anzunehmen. Es hat das Urteil der Vorinstanz aufgehoben und die Sache zur Prüfung dieser noch offenen Frage zurückgewiesen.
Erkenntnis 2: Wenn die nötige materielle gesetzliche Abstützung eines öffentlich-rechtlichen Vertrags unklar verbleibt, kann je nach Situation der Vertrag selbst in einem Verfahren verabschiedet werden, die ihm die Gesetzeseigenschaft zukommen lässt.
***
Verträge des öffentlichen Rechts und die korrekte gesetzliche Verankerung einer Vorgehensweise gehören zu unseren Spezialitäten: Kommen Sie gerne mit uns ins Gespräch.
[1] Vgl. dazu etwa Bernhard Rütsche, Was sind öffentliche Aufgaben?, in: recht 2013, S. 153-162; weitere Referenzen dazu: Esther Zysset, Nachträgliche staatliche Einwirkung auf den verwaltungsrechtlichen Vertrag mit Privaten, Basel 2020, S. 89-91.
Seit Inkrafttreten der DSGVO sind drastische Sanktionen, allen voran hohe Bussen, im Bereich des Datenschutzes Realität geworden. Auch in der Schweiz wurde das Datenschutzrecht angepasst, auf Bundesebene das DSG und in den Kantonen die Datenschutzgesetze, die für kantonale öffentliche Organe gelten. Diese bringen neue, einschneidende Pflichten mit sich. In diesem Text beleuchten wir die Frage, was bei Nichteinhaltung geschieht: Haben auch kantonale öffentliche Organe nun mit schweren Sanktionen und insb. hohen Bussen zu rechnen?
Hohe Bussen bei Verstössen gegen das Datenschutzrecht sind in Europa zur Praxis geworden. Als Beispiel unter mehreren: Im Sommer 2021 sorgte die luxemburgische Datenschutzbehörde für Schlagzeilen, weil sie dem Technologiekonzern Amazon eine Rekord-Busse in der Höhe von 746 Millionen Euro auferlegte.
Auch wenn die DSGVO auf Tätigkeiten von Behörden in der Schweiz in den meisten Fällen nicht anwendbar sein wird (und selbst dann, wenn sie anwendbar sein sollte, ausserhalb des EU-Raums der Vollzug nur beschränkt möglich ist), so führen verschiedene für die Schweiz verbindliche internationale Rechtsinstrumente dazu, dass das schweizerische Datenschutzrecht in weiten Teilen inhaltlich dem Europäischen gleichwertig auszufallen hat (wie wir im Update hier berichteten).
Wie sieht die Situation für kantonale Behörden aus, die Personendaten bearbeiten? Mit welchen Sanktionen haben sie bei einem allfälligen Datenschutzverstoss zu rechnen?
Fangen wir mit der ersten Frage an: Welche Gesetze sind überhaupt anwendbar? In erster Linie sind das jeweils die kantonalen Datenschutzgesetze des Trägerkantons der Behörde. Dazu sind gewisse Minimalstandards aus Staatsverträgen zu beachten: So etwa die Schengen-Richtlinie 2016/680, die als Pendant der DSGVO dasselbe Datenschutzniveau für die Strafverfolgung und -vollstreckung einführt, das Übereinkommen des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (SEV Nr. 108, hiernach «Konvention 108»), sowie das Protokoll zur Änderung der Konvention 108 (SEV Nr. 223). Letzteres ist noch nicht in Kraft getreten, wurde von der Schweiz aber bereits unterzeichnet. Viele Kantone entschieden sich, die Vorgaben der Schengen-Richtlinie gleich für das ganze kantonale Recht zu übernehmen, um unterschiedliche Datenschutzniveaus in verschiedenen Behörden zu verhindern (für eine Darstellung des Zusammenspiels dieser Rechtsgrundlagen sei noch einmal auf unser Update verwiesen).
Was geben diese Minimalstandards im Bereich der Sanktionen vor und wie werden sie in den Kantonen umgesetzt? Art. 10 der Konvention 108 nimmt die unterzeichnenden Staaten in die Pflicht, «geeignete Sanktionen und Rechtsmittel» gegen Datenschutzverstösse zu treffen. Mit dem Änderungsprotokoll werden diese zu «geeignete[n] gerichtliche[n] und aussergerichtliche[n] Sanktionen und Rechtsmitteln[n].» Art. 57 der Schengen-Richtlinie 2016/680 hält fest, dass die Sanktionen «wirksam, verhältnismässig und abschreckend» sein müssen. Bussen als solche werden vom völkerrechtlichen Minimalstandard nicht vorgegeben.
Zwar haben einige kantonale Gesetzgeber Sanktions-Artikel in das kantonale Datenschutzgesetz eingeführt, welche Bussen androhen (vgl. §40 IDG ZH, §51 IDG BS). Die in den soeben zitierten Beispielen jeweils vorgesehenen Sanktionen gelten allerdings nur gegenüber beauftragten Dritten, nicht jedoch für das betreffende öffentliche Organ selbst.
Dass öffentliche Organe keine Bussen bezahlen müssen, kann aus fiskalischer Perspektive nachvollzogen werden: Büsst ein öffentliches Organ das andere, wechselt das Steuergeld von einer staatlichen Kasse in die andere. Die DSGVO, die in den EU-Mitgliedstaaten auch auf deren öffentliche Organe anwendbar ist, sieht ihrerseits auch eine Öffnungsklausel vor, wonach die Mitgliedstaaten im nationalen Recht definieren können, ob Bussen auch für öffentliche Organe gelten oder nicht (Art. 83 Abs. 7 DSGVO). Entsprechend sind in einigen EU-Mitgliedstaaten für öffentliche Behörden ebenfalls keine Bussen vorgesehen.
Kantonale Behörden unterstehen aber der Kontrolle und der Weisungsbefugnis der jeweiligen kantonalen Datenschutzbehörde (vgl. §30 ff. IDG ZH, §37 ff. IDG BS). Diese kann sich Datenbearbeitungen genau ansehen (§35 IDG ZH), Empfehlungen erlassen (§36 IDG ZH) und bei missachteten Empfehlungen auch Verwaltungsmassnahmen verfügen: So kann sie anordnen, dass die Bearbeitung von Personendaten ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernichtet werden.
Ferner spielt in der Praxis die Sorge über Reputationsschäden eine einigermassen grosse Rolle – diese können sich dann ergeben, wenn Datenschutzverstösse öffentlich bekannt werden, wie dies jüngst die Einwohnergemeinde Rolle schmerzlich erfahren musste.
Zum Zeitpunkt unserer Recherche waren die neusten Tätigkeitsberichte für 2021 der untersuchten Kantone noch nicht verfügbar. Dem Tätigkeitsbericht des Datenschutzbeauftragten Basel Stadt 2017-2019 ist zu entnehmen, dass in den Jahren des Berichtszeitraums je 2-4 Kontrollen durchgeführt wurden (vgl. S. 26 ff. hier). Ganz schlagkräftig ist die Aufsichtsstelle damit noch nicht. Allerdings macht die Kontrollaufgabe auch nur einen kleinen Teil der ca. 600 Stellenprozent starken Behörde aus.
Der damalige Datenschutzbeauftragte Zürich führte mit seinem rund 1000 Stellenprozent starken Team im Jahr 2019 immerhin 30 Kontrollen durch. Das Ziel von 40 Kontrollen pro Jahr konnte aus Ressourcengründen nicht erreicht werden, wie dem Tätigkeitsbericht 2019 (S. 10 hier) zu entnehmen ist. Im Krisenjahr 2020 verlagerten sich die Tätigkeitsschwerpunkte, weshalb die jetzige Datenschutzbeauftragte in diesem Jahr trotz mehr Personalressourcen insgesamt nur 10 Kontrollen durchführen konnte (S. 11 hier).
Der gesamteuropäische Trend hin zu einem schlagkräftigeren Datenschutzrecht ist auch in den Kantonen angekommen. So sind dort vielerorts die Pflicht zur Meldung von Datenschutzverstössen oder zur Durchführung von Datenschutz-Folgenabschätzungen bereits Realität. Auch wenn die kantonalen Aufsichtsstellen sich bis anhin noch zurückhalten mit Kontrollen und Sanktionen, so ist jedoch zu erwarten, dass sie diese in den kommenden Jahren ausweiten werden. Für kantonale Behörden heisst das, dass sie gut beraten sind, sich mit den neusten Entwicklungen des Datenschutzrechts auseinanderzusetzen und namentlich dafür zu sorgen, dass organisationsintern Prozesse und Verantwortlichkeiten so definiert sind, dass der Datenschutz im Alltag umgesetzt werden kann und dies auch dann, wenn ihnen keine hohen Bussen drohen.
Befristet auf ein Jahr, mit Option auf Verlängerung
Wir sind eine kleine, moderne und aufstrebende Anwaltskanzlei, spezialisiert auf den öffentlichen Sektor und das öffentliche Recht. Ich (Esther Zysset) bin im Datenschutzrecht tätig, erstelle Rechtsgutachten und übernehme allgemeine Tätigkeiten eines Rechtsdienstes im öffentlichen Sektor (Verträge, Gesetzgebung, juristische Abklärungen, etc.). Zur Unterstützung in diesen Tätigkeiten sowie auch beim Business development (Blogposts, Mitarbeit an juristischen Publikationen, ggf. weitere Marketingtätigkeiten) suche ich dich:
Ich biete ein flexibles, freundliches Arbeitsumfeld, zeitgemässe Arbeitsbedingungen sowie die Möglichkeit, bei Interesse zusätzliche Aufgaben zu übernehmen und dich weiterzuentwickeln. Für Fragen stehe ich zur Verfügung und freue mich auf deine komplette Bewerbung an <email-pii>! Bei gleichen Qualifikationen werden Frauen bevorzugt.
Am Donnerstag, 25. November 2021, 10h30, beleuchten wir an unserem zweiten Webinar der Serie “Der digitale Staat” das Rohmaterial der digitalen Transformation: Daten. Ein Gespräch mit Matthias Mazenauer (Statistisches Amt Kt. Zürich) und Prof. Dr. Diego Kuonen (Statoo Consulting & Universität Genf) über Vertrauen in Daten, den nötigen kulturellen Sinneswandel und Einiges mehr. Mehr Informationen sowie das Anmeldeformular gibt es hier:
https://derdigitalestaat.ch/der-digitale-staat-zum-zweiten/
Der Anlass ist kostenlos und richtet sich primär, aber nicht exklusiv, an interessierte Personen aus dem öffentlichen Sektor. Wir freuen uns auf Ihre Anmeldung!
Jedes staatliche Handeln braucht eine gesetzliche Grundlage. Dieser Beitrag liefert Hinweise dazu, wann und wie der staatliche Einsatz künstlicher Intelligenz in eine Rechtsnorm gegossen werden sollte.
Der Einsatz künstlicher Intelligenz (KI) – in einem sehr breiten Sinn verstanden als qualifizierte Automatisierungsprozesse[1] – ermöglicht es auch im öffentlichen Sektor, effizienter und effektiver zu arbeiten sowie aus grossen Datenmengen Nutzen zu ziehen.
Einige Anwendungen stellen lediglich eine alternative Weise dar, eine bereits zuvor erfüllte Aufgabe zu erledigen; so gibt etwa ein Chatbot Informationen zu Krankenkassen-Verbilligungen, die in der Vergangenheit jeweils von einem Mitarbeiter zusammengetragen wurde. Andere bringen jedoch neue Risiken mit sich – etwa sogenanntes «personenbezogenes Predictive Policing», das darauf fokussiert, vorab «gefährliche Personen, sog. ‘Gefährder’, zu identifizieren und durch eine frühzeitige Intervention insbesondere schwere Gewaltdelikte zu verhindern»[2]. Hier kann aus der Anwendung ein grosses Risiko für die Grundrechte derjenigen Personen entstehen, die als Gefährder identifiziert werden, weil Datenattribute basierend auf Typisierungen in der Vergangenheit zu einer Risikoprognose und damit polizeilichen Massnahmen führen können. In diesem Fall bietet die Anwendung Informationen (den errechneten Risikograd) und eröffnet basierend darauf Handlungsmöglichkeiten (die Polizeipatrouille wird basierend auf den Risikograd aktiv), wie sie vor dem Einsatz der neuen Technologie nicht möglich waren.
Wie bei jedem staatlichen Handeln taucht in diesem Kontext sogleich das Stichwort «Legalitätsprinzip» auf. Die Bundesverfassung fordert prominent (Art. 5 Abs. 1 BV): «Grundlage und Schranke staatlichen Handelns ist das Recht.» Wann brauche ich also eine gesetzliche Grundlage, um eine KI-Anwendung genügend rechtlich abzusichern, und wie hat sie auszusehen?
Das Legalitätsprinzip erfüllt folgende Funktionen[3]:
Aus diesen beiden Dingen lassen sich wiederum folgende Forderungen ableiten:
Unter diesem Titel werden folgende Anliegen zusammengefasst:
Aus diesen rechtsstaatlichen Funktionen leitet die juristische Lehre wiederum ab, dass eine Norm genügend bestimmt zu sein hat und alle Elemente aufweisen muss, die notwendig sind, um die obigen drei Anliegen zu verwirklichen (sogenanntes «Erfordernis der genügenden Normdichte»).
Wer bis hierhin gelesen hat, wird sich fragen: Was heisst das jetzt? Es kommt natürlich (wie immer!) darauf an, und zwar darauf, in welchem Masse die fünf erwähnten Anliegen der Vorherrschaft des Volkswillens, der Gewaltenteilung, der Vorhersehbarkeit staatlichen Handelns, des Schutzes vor Willkür und der Gleichbehandlung im gegebenen Szenario zu finden sind. Die Ausgestaltung einer konkreten gesetzlichen Grundlage wird sich in folgenden zwei Schritten eruieren lassen:
Für die eingangs erwähnten Beispiele lässt sich so aufgrund der betroffenen Funktionen des Legalitätsprinzips Folgendes skizzenhaft behaupten:
Erstens: Ein Chatbot, der eine Behörde dabei unterstützt, eine ihrer Aufgaben dadurch zu erledigen, dass er eine Anfrage sprachlich analysiert und bestehende öffentliche Formulare (ohne Personendaten) herausgibt, braucht keine spezifische gesetzliche Grundlage. Seine Verwendung ist bereits von der allgemeinen Aufgabenerfüllung der Behörde gedeckt (die wiederum in einem Gesetz festgehalten sein sollte!), führt zu keinen Grundrechtseingriffen und weckt daher weder demokratische noch rechtsstaatliche Bedenken.
Zweitens: Personenbezogenes «Predictive Policing» bedarf einer gesetzlichen Grundlage. Werden Datenattribute einer Person zusammengeführt, analysiert und für eine Vorhersage genutzt, wonach die betreffende Person ein Delikt begehen könnte, so ruft dies die Anliegen des Schutzes vor Willkür, der Vorhersehbarkeit staatlichen Handelns und der Gleichbehandlung auf den Plan. Es ist zu vermuten, dass die Aufnahme auf eine Gefährderliste je nach Situation zu einer erhöhten polizeilichen Aufmerksamkeit führt und je nach Verlauf in einer späteren Festnahme münden kann, also unter Umständen zu gewichtigen Eingriffen in die Rechtsstellung der Person. Das demokratische Anliegen führt zum selben Schluss: Hier ist es allen voran die gesellschaftliche Dimension dieser neuen Vorgehensweise, die einer eingehenden politischen Diskussion und daher einer parlamentarischen Norm bedürfen. Werden damit der Polizei zusätzlich neue Aufgaben auferlegt und werden neue Möglichkeiten des Eingriffs in das Leben des Einzelnen geschaffen, müssen auf höchster gesetzlicher Ebene, also vom Parlament als Legislative in einem formellen Gesetz, Regelungen getroffen werden.
Diese Regelungen zum Predictive Policing müssten zudem Folgendes festhalten (genügende Normdichte):
Ist ein selbstlernendes System im Einsatz, ist auch sicherzustellen, dass die Nachvollziehbarkeit auf Dauer gewährleistet ist, u.a. um dem Recht der betroffenen Person auf Begründung eines behördlichen Entscheids (Teil des Anspruchs auf rechtliches Gehör, Art. 29 Abs. 2 BV) nachzukommen oder Diskriminierungen vorzubeugen (Art. 8 Abs. 2 BV). Daneben sind auch weitere grundrechtliche Anforderungen zu beachten.
Public Sector Law berät Gemeinwesen regelmässig bei gesetzgeberischen Projekten. Das Verfassen von Gesetzen im Wortlaut gehört zu unseren Kernkompetenzen. Kommen Sie mit uns ins Gespräch!
[1] Der Einfachheit halber basiert die hier verwendete Terminologie auf derjenigen der Studie «Einsatz Künstlicher Intelligenz in der Verwaltung: rechtliche und ethische Fragen», Schlussbericht vom 28. Februar 2021, Universität Basel, Prof. Nadja Braun Binder, in Zusammenarbeit mit AlgorithmWatch. Vgl. dazu S. 10-11 des Schlussberichts.
[2] Monika Simmler, Simone Brunner, Kuno Schedler, «Smart Criminal Justice – Eine empirische Studie zum Einsatz von Algorithmen in der Schweizer Polizeiarbeit und Strafrechtspflege», Studienbericht vom 10. Dezember 2020, S. 6. Gerne weisen wir darauf hin, dass diese Studie in einem Detailgrad auf verschiedene in Polizei- und Justizwesen aktuell eingesetzte Anwendungen eingeht und diese auch auf ihre Legalität einschätzt, wie es vorliegend nicht möglich ist. Entsprechend empfehlenswert ist die Lektüre des ganzen Studienberichts.
[3] Vgl. zum Ganzen Pierre Tschannen/Ulrich Zimmerli/Markus Müller, Allgemeines Verwaltungsrecht, 4. Aufl. Bern 2014, § 19 n. 12 ff. Zu den Funktionen des Legalitätsprinzips ebenfalls sehr aufschlussreich ist der folgende Aufsatz: Isabelle Häner, Die Einwilligung der betroffenen Person als Surrogat der gesetzlichen Grundlage bei individuell-konkreten Staatshandlungen, ZBl 103/2002, S. 57 ff.
[4] Vgl. dazu Tschannen/Zimmerli/Müller, § 19 n. 4.
Am 8. Juni 2021 hat der Ständerat der Schaffung einer Nationalen Menschenrechtsinstitution als Erstrat zugestimmt. Damit geht es einen Schritt weiter in einem Projekt, das die Schweiz seit 2002 beschäftigt. Worum geht es und wieso dauerte es so lange?
Das Konzept der Nationalen Menschenrechtsinstitution (NMRI) wurde 1993 an der Weltkonferenz über Menschenrechte in Wien lanciert. In der gemeinsamen Schlusserklärung wurde jeder Staat dazu angehalten, eine unabhängige Menschenrechtsinstitution einzurichten. Die UNO-Generalversammlung in Paris bestätigte die Erklärung noch im gleichen Jahr. Die sogenannten Pariser Prinzipien sehen insbesondere vor, dass die NMRI gesetzlich verankert und unabhängig ist, über ein umfassendes Mandat zum Schutz und zur Förderung der Menschenrechte verfügt, pluralistisch zusammengesetzt ist und eine ausreichende (staatliche) Grundfinanzierung erhält.
Die Idee der NMRI besteht u.a. darin, Fragen der Menschenrechte präventiv und unabhängig von der Verwaltung zu bearbeiten und die Verwaltung sowie auch die Wirtschaft und die Zivilgesellschaft zu beraten. Damit soll die NMRI eine Lücke füllen zwischen dem Handeln der staatlichen Behörden und dem gerichtlichen Rechtsschutz, der wesensgemäss erst nachträglich greift. Ständerat Carlo Sommaruga (SP/GE) brachte das Beispiel überfüllter Untersuchungsgefängnisse – eine Situation, in der präventive Unterstützung der Behörden eine Verbesserung der grundrechtlichen Situation herbeiführen kann und so langwierige Gerichtsverfahren verhindert werden können.
Der Ständerat hat nun dem Entwurf des Bundesrats, der die NMRI im Bundesgesetz über Massnahmen zur zivilen Friedensförderung und zur Stärkung der Menschenrechte verankert, zugestimmt, womit das Geschäft als nächstes in den Nationalrat kommen wird. Eine Kernfrage der Debatte im Ständerat war die Definition der Aufgaben der NMRI – möglichst offen, damit die NMRI neuen Herausforderungen im Bereich der Menschenrechte begegnen kann, oder eher eng, um Kompetenzkonflikte mit bereits bestehenden Behörden zu vermeiden? Der Ständerat entschied sich für Letzteres und stimmte damit der bundesrätlichen Formulierung zu, auch wenn dieser Punkt von einigen Ratsmitgliedern kritisiert wurde, weil nur teilweise kompatibel mit den Pariser Prinzipien.
Damit geht es vorwärts in einem Thema, das bereits seit Langem auf dem Tisch liegt und das dennoch bislang kaum Fortschritte verzeichnete. Auch wenn die Schweiz 1993 noch nicht Mitglied der UNO war, bekannte sie sich bereits früh zu der Resolution von 1993, ohne jedoch selbst Schritte zur Einrichtung einer NMRI zu unternehmen. Ein Postulat forderte den Bundesrat im Jahre 2002 auf, abzuklären, ob in der Schweiz Bedarf einer unabhängigen Menschenrechtsinstitution bestehe. Der Bundesrat kam zum Schluss, dass zwar Bedarf bestehe, dennoch sei es für die Einrichtung einer NMRI zu früh. Deshalb wurde vorerst im Rahmen eines Pilotprojekts das universitäre „Schweizerische Kompetenzzentrum für Menschenrechte“ (SKMR) gegründet, das seine Tätigkeit Anfang 2011 aufnahm. Die externe Evaluation dieser Pilotphase ergab 2015, dass die SKMR nützliche Dienstleistungen erbringt. Gleichzeitig zeigten sich auch Defizite (u.a. hinsichtlich der gesetzlichen Verankerung und ungenügender Unabhängigkeit). Die Verzögerung in der Schaffung einer NMRI dürfte wohl einerseits der als gut befundenen Arbeit des SKMR zuzuschreiben sein, andererseits auch der Tatsache, dass Bemühungen für eine präventive Stärkung der Menschenrechte angesichts dringenderer politischer Themen tendenziell wohl einen schweren Stand haben. Umso mehr ist die Arbeit des Parlaments nun zu begrüssen.
Dank geht an Gian Heimann, Student an der Uni Zürich, für seine Mitwirkung an diesem Beitrag.
Unter dem Titel “der digitale Staat” lassen wir am 29. April 90 Minuten lang ein Forum für Austausch, Wissenstransfer und Vernetzung entstehen. Zum Einen hören wir von der Eidgenössischen Zollverwaltung EZV, die ein umfassendes digitales Transformationsprogramm durchführt. Daraus wird uns ein konkretes Praxisbeispiel vorgestellt. Zum Anderen hat der Bundesrat Ende 2020 beschlossen, den Aufbau eines Kompetenznetzwerks für künstliche Intelligenz in der Bundesverwaltung an die Hand zu nehmen. Was darf man sich davon erhoffen und wohin führt die Reise? Danach bleibt Zeit für Fragen und Austausch.
Der Anlass ist unentgeltlich und richtet sich primär an Mitarbeitende des öffentlichen Sektors jeglicher Ebene (nicht nur Juristinnen und Juristen) – aber auch andere interessierte Personen sind selbstverständlich willkommen. Anmeldungen sind bis 27. April unter <email-pii> möglich. Wir freuen uns auf Sie!
Die staatliche Aufsicht über die elektronischen Identifizierungsdienste (E-ID) wirkt beim Blick in das Gesetz, das am 7. März zur Abstimmung gelangt, nicht gerade schlagkräftig. Doch der Eindruck täuscht, denn zusammen mit den Befugnissen des eidgenössichen Datenschutzbeauftragten (EDÖB) könnte ein ansehnliches Arsenal an Aufsichtsmassnahmen bei Datenschutzmissbräuchen im Zusammenhang mit elektronischen Identitäten zur Anwendung kommen.
Die Debatte im Abstimmungskampf um das Bundesgesetz über die elektronischen Identifizierungsdienste (E-BGEID) tobt intensiv. Der grösste Stein des Anstosses der Gegner: Es ist der Staat selbst, der die E-ID herausgeben sollte; eine derart wichtige Aufgabe solle nicht in die Hand privater Anbieter gelegt werden. Ein Gegenargument der Befürworter: Staatliche IT-Projekte haben sich in der Vergangenheit nicht den besten Ruf eingeholt; es ist besser, wenn der Staat Rahmenbedingungen setzt und für die technische Umsetzung auf das Know-how der Privatwirtschaft setzt. Zudem wäre so oder so zu erwarten, dass der Staat Serverleistung einkaufen würde und somit auch eine “eigene” staatliche E-ID mithilfe privater Dienstleister herausgeben würde. Hinter dem Disput “Staat vs. nicht Staat” liegt die Frage, welche Rolle der Staat in Ausstellung und Betrieb einer digitalen Identität zukommen sollte – welche Rolle nötig ist, um die Ziele des Gesetzes zu erreichen, nämlich u.a. die sichere Identifizierung im elektronischen Geschäftsverkehr unter Privaten und mit Behörden und der Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (Art. 1 Abs. 2 lit. a und b E-BGEID). Die Position “pro staatliche E-ID”, die das Gesetz ablehnt, geht dabei von folgender Annahme aus: “staatliche E-ID” = gut kontrolliert und sicher, “private E-ID” = viel Missbrauchspotential.Im Folgenden soll untersucht werden, wie das staatliche “Involvement” in die E-ID gemäss E-BGEID ausgestaltet ist und welche Aufsichtsmechanismen vorgesehen sind. Ob diese genügend ausfallen oder nicht, darf dann jede Stimmbürgerin und jeder Stimmbürger selbst entscheiden.
Zentrale Aufsichtsbehörde gemäss E-BGEID ist die Eidgenössische E-ID-Kommission (EIDCOM). Sie ist es, die Identity Providers (IdPs), die basierend auf dem E-BGEID Identitäten ausstellen wollen, anerkennt (Art. 13 E-BGEID). Die EIDCOM wird aus fünf bis sieben unabhängigen Sachverständigen zusammengestellt und ist weisungsunabhängig von der Zentralverwaltung (Art. 25 E-BGEID). Ihre Rolle ist es, die Einhaltung des Gesetzes zu überwachen und Entscheide zu treffen, bzw. Verfügungen zu erlassen, die für den Vollzug notwendig sind. Bevor die Befugnisse der EIDCOM etwas genauer unter die Lupe genommen werden, ist zuerst die Liste aller weiteren gemäss Gesetzesentwurf involvierten Bundesbehörden zu erstellen:
Das Bundesamt für Polizei (fedpol) hat u.a. folgende Aufgaben:
Der Bundesrat ist der Superstar des E-BGEID: Er ist diejenige Behörde, die mittels Verordnung viele ausführende Bestimmungen zum Gesetz erlässt. Wenn ich richtig gezählt habe, enthält das E-BGEID dreizehn (13) Delegationsbestimmungen in 35 Artikeln, zu allen möglichen Themen, u.a. genauere Vorschriften zum Ausstellungsprozess, nähere Vorschriften zu den Voraussetzungen für die Anerkennung von IdPs oder zur Ausgestaltung von E-ID-Systemen und Meldepflichten der IdPs. Betrachtet man die lange Liste an Delegationsbefugnissen, so ist tatsächlich zu bedauern, dass der Verordnungsentwurf noch nicht ersichtlich ist.
Zusätzlich zu seiner Verordnungskompetenz wählt der Bundesrat die Mitglieder der EIDCOM sowie die Direktion des EIDCOM-Sekretariats (Art. 25 und 28 E-BGEID). Er genehmigt das Organisationsreglement der EIDCOM (Art. 25 Abs. 6 E-BGEID) und kann bei Marktversagen entscheiden, ein eigenes E-ID-System zu betreiben oder sich an einem IdP beteiligen (Art. 10 Abs. 1 E-BGEID).
Ziel der Aufsicht ist es, die Einhaltung der anwendbaren rechtlichen Vorschriften, hier also des E-BGEID, zu überwachen und durchzusetzen. Wie gut und schlagkräftig diese Aufsicht effektiv ist, bemisst sich an den Instrumenten, das der Behörde im konkreten Fall zur Verfügung steht. Zu denken ist an Auskunfts- und Inspektionsrechte, Widerruf von Bewilligungen, Bussen, etc.; die Liste theoretisch möglicher Aufsichtsinstrumente ist lang. Nur gilt für alles staatliche Handeln das Legalitätsprinzip, d.h. gerade bei Sanktionen ist zu verlangen, dass eine möglichst solide Verankerung in einem vom Parlament erlassenen Gesetz erfolgt (auch wenn hier gewisse Ausnahmen möglich sind).
Nun zu den eigentlichen Aufsichtsmassnahmen, denn hier wird es interessant. Der Entwurf sieht vor, dass die EIDCOM insbesondere für die Anerkennung von IdP und den Entzug der Anerkennung zuständig ist sowie für die “Anordnung von Massnahmen” (Art. 26 Abs. 2 lit. a i.V.m. Art. 19 E-BGEID). Ferner kann sie im Streitfall über Fragen des Zugangs zur E-ID und zur Interoperabilität entscheiden (Art. 26 Abs. 2 lit. c E-BGEID). Einigermassen explizit wird das Gesetz mit einer Art Massnahmen-Generalklausel in Art. 19, wo die EIDCOM befähigt wird, Massnahmen anzuordnen “zur Wiederherstellung des rechtmässigen Zustandes”, wenn ein IdP Gesetz, Ausführungsbestimmungen oder von der EIDCOM auferlegte Pflichten missachtet. Der Entzug der Anerkennung ist dabei die einzige explizit im Gesetz ausformulierte Sanktion, was aus gesetzgeberischer Sicht durchaus etwas heikel erscheint. Der EIDCOM werden weder der Erlass von Bussen noch spezifische Untersuchungs-, Inspektions- oder Auditbefugnisse eingeräumt; das Sekretariat der Kommission erhält aber die Befugnis, selbständig Verfügungen zu erlassen und in den Betrieb eines IdP einzugreifen, “sofern die Verhältnisse es erfordern” (Art. 27 Abs. 3 und 4 E-BGEID).
Was die im E-BGEID fehlenden Untersuchungsbefugnisse anbelangt, so dürfte das Verwaltungsverfahrensgesetz (Bundesgesetz über das Verwaltungsverfahren VwVG, SR 172.021) zumindest teilweise in die Bresche springen: Es ist anwendbar auf Verfahren in Verwaltungssachen, die durch Verfügungen eidgenössischer Kommissionen zu erledigen sind (Art. 1 Abs. 1 und 2 lit. d VwVG). Es sieht vor, dass die Behörde den Sachverhalt von Amtes wegen abklären kann und dazu verschiedene Beweismittel, darunter immerhin Dokumente (“Urkunden”) und den “Augenschein”, beiziehen kann (Art. 12 VwVG). Die Mitwirkungspflicht von IdPs dürfte vorliegend im Rahmen des VwVG aber beschränkt ausfallen. Daneben werden der EIDCOM vor allem beratende und informelle Instrumente in die Hand gelegt (Art. 26 E-BGEID).
Was allerdings in der Praxis bedeutsam werden könnte – und in diesem langen Text bisher gänzlich ignoriert wurde – ist die Rolle des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Auch der Entwurf des E-ID-Gesetzes gibt sich dazu eher wortkarg; namentlich bei der Anerkennung von IdPs sieht es vor, dass der EDÖB vorgängig anzuhören ist (Art. 13 Abs. 1 E-BGEID). Da die Bestimmungen des Bundesgesetzes über den Datenschutz (DSG) auch auf den Betrieb der E-ID-Systeme anwendbar sein werden, sind für die Frage nach der Aufsicht auch die Kompetenzen des EDÖB einzuberechnen.
Gemäss dem neuen DSG, das voraussichtlich 2022 in Kraft treten dürfte, wird der EDÖB von Amtes wegen oder auf Anzeige hin Untersuchungen durchführen können, bei denen auch diejenigen Massnahmen angeordnet werden können, die im E-BGEID fehlen: Zugang zu allen relevanten Unterlagen und Personendaten, zu Räumlichkeiten und Anlagen, Zeugeneinvernahmen, Begutachtungen durch Sachverständige (Art. 49-50 DSG neu). Er kann Verwaltungsmassnahmen (Art. 51 DSG neu) und einschneidende Bussen anordnen (Art. 60-64 DSG neu). Das DSG sieht im Gegensatz zum E-BGEID auch eine Koordinationsbestimmung vor, wonach auch Aufsichtsbehörden des Bundesrechts den EDÖB zur Stellungnahme einladen, bevor sie in datenschutzrechtlichen Angelegenheiten eine Verfügung erlassen. Wenn sowohl gemäss E-BGEID und DSG Verfahren laufen, sind beide zu koordinieren (Art. 53 DSG neu).
Aus gesetzgeberischer Sicht ist zu bedauern, dass nicht präzisere Verhaltenspflichten und Sanktionen bereits auf Gesetzesstufe im E-BGEID verankert werden, denn die weitgehende Delegation auf Verordnungsebene bringt gewisse Abstriche in der demokratischen Abstützung und in der Rechtssicherheit mit sich. Dies liegt gerade hinsichtlich der Befugnisse der EIDCOM wohl am Gesetzgebungsprozess, bei dem das Parlament in den Beratungen die EIDCOM nachträglich eingefügt hat – eine Ergänzung, die wiederum hinsichtlich der staatlichen Aufsicht und Kontrolle klar zu begrüssen ist. Umso wichtiger wird es sein, dass die Verordnung(en) des Bundesrats präzise verfasst werden und dass im Ausüben der Aufsichtsinstrumente die Verhältnismässigkeit hochgehalten wird.
Der Umweg über das Datenschutzgesetz zeigt, dass die allgemeine Aufsicht bei Annahme des Gesetzes eingehender ausfallen dürfte, als dies das E-BGEID selbst vermuten lässt. Sofern es sich also um allgemeine Datenschutzverstösse bei IdPs handelt (und nicht um spezifische Pflichten aus dem E-BGEID), sind ab Inkrafttreten des neuen DSG schlagkräftige staatliche Aufsichtsinstrumente vorhanden, um diese zu ahnden.
Beschaffungsrecht
Bildungsrecht
Compliance
Datenschutz
Diplomanerkennung
eGovernment
Gesundheitsrecht
Grundrechte
Heilmittelrecht Compliance
Public Procurement Law
Rechtsprechung
Regulierung im digitalen Zeitalter
Staatsrecht
Swiss Public Law
Uncategorized