Zug filmt mehr, als es der Datenschützerin lieb ist

Der Job der Datenschutzbeauftragten ist der einer unabhängigen Aufsichts- und Beratungsbehörde. Sie prüft Projekte, berät und behandelt Fragen der Verwaltung, Gemeinden und von Dritten, gibt Stellungnahmen zu relevanten Gesetzesänderungen oder Erlassen ab, sensibilisiert Verwaltung und Öffentlichkeit und prüft, ob die Verwaltung die rechtlichen Vorgaben auch einhält.

Kampf gegen Windmühlen – respektive mehr Stellen

Zumindest sollte die Datenschutzstelle alle diese Aufgaben wahrnehmen können. Doch: Offensichtlich fehlen ihr dafür die Ressourcen. Obwohl der Kanton Zug jährlich Überschüsse im dreistelligen Millionenbereich verzeichnet, lehnte er die beantragte zusätzliche Juristenstelle Ende 2022 erneut ab. Bereits Ende 2020 war er gegen die zusätzliche Stelle und meinte, die Datenschutzstelle müsse die Ressourcen nur besser einsetzen (zentralplus berichtete).

Und auch im Budgetprozess 2024 lehnt die Regierung die Stellenerhöhung ab. Im dazugehörenden Bericht schreibt sie dazu knapp, die Datenschutzstelle sei bereits «mit ausreichend personellen Ressourcen ausgestattet». Zwar setzten sich in der Budgetdebatte SP, ALG, GLP und vereinzelte Mitte-Politiker für die Erhöhung ein – doch letztlich folgte der Rat mit 44 zu 30 Stimmen der Ablehnung der Regierung.

In der Praxis bleiben deswegen wichtige Aufgaben auf der Strecke. Für die Kontrolle konnte die Datenschutzstelle in den letzten drei Jahren praktisch keine Ressourcen aufwenden.

Nachdem eine zusätzliche Stelle nun zum dritten Mal abgelehnt wurde, gibt die Datenschutzbeauftragte Yvonne Jöhri vorerst auf, wie sie auf Anfrage sagt. Im Bericht 2023 erwähnt sie daher, wo die Stelle künftig den Gürtel enger schnallt: Sie verzichtet künftig öfters auf ausführliche Stellungnahmen zu Projekten und überlässt dies den jeweiligen Rechtsdiensten der Verwaltungen. Dazu will sie allerdings den Austausch mit den jeweiligen Rechtsdiensten fördern.

Fehlende Begründung für Kameras – trotzdem bewilligt

Fehlende Ressourcen sind jedoch nicht das einzige Problem, mit dem sich die Datenschutzstelle herumschlägt. So schreibt sie in ihrem Bericht etwa: «Die Datenschutzstelle stellt fest, dass Videoüberwachungen entgegen ihren Empfehlungen bewilligt und umgesetzt werden; dies, obschon deren Verhältnismässigkeit kritisiert wurde und/oder wesentliche Angaben zur Gewährleistung der Informationssicherheit der Anlagen fehlen oder mangelhaft sind.»

Als Beispiel nennt Jöhri auf Anfrage etwa die Kameras beim Schulhaus Acher in Unterägeri, die sie auch im Tätigkeitsbericht 2021 scharf kritisierte. So konnte die Gemeinde auch nach Nachfrage nicht erklären, weshalb eine Videoüberwachung verhältnismässig sei. Beispielsweise konnte Unterägeri nicht ausführen, wie oft es zu Sachbeschädigungen komme und wie schwer der Schaden sei. Zudem rückte die Gemeinde auch nach Aufforderung von Jöhri nicht mit weiteren Informationen heraus, inwiefern das gesammelte Videomaterial geschützt wird. Und unter welchen Umständen die Polizei auf die Videos zugreifen dürfte.

Ähnliches kritisierte Jöhri Ende 2023 auch bei den Kameras bei der Ägerihalle in Unterägeri (zentralplus berichtete). Auch hier war es für sie unmöglich zu beurteilen, ob die Kameras verhältnismässig sind. Denn im Gesuch fehlten die Anzahl und die genauen Installationsplätze der Kameras, Details zu Vorfällen, die eine Videoüberwachung nötig machten und auch hier sei es nicht klar, ob die Daten sicher sind. Zumal die Daten zu lange aufbewahrt würden. Ihr abschliessendes Fazit: Das Gesuch könne nicht bewilligt werden. Gut einen Monat später bewilligt der Gemeinderat die Videoüberwachung trotzdem.

Datenschutz spielt erst nach Umsetzung eine Rolle

Was die Datenschutzbeauftragte im Bericht ebenfalls kritisiert: Häufig wird sie – trotz gesetzlicher Vorgaben – viel zu spät konsultiert. Gemäss Datenschutzgesetz müssen Kantone und Gemeinden bei datenschutzrechtlich heiklen Projekten vorab die Datenschutzstelle konsultieren. Dazu gehört etwa der Einsatz von neuen Technologien und Videokameras, E-Government-Anwendungen wie die Steuersoftware, automatisierte Entscheidungsfindung oder Datenverarbeitungen, durch die eine Person eindeutig identifiziert oder analysiert werden könnte.

«In der Praxis ist dies leider häufig (noch) nicht der Fall. Sinn und Zweck der präventiven Vorabkonsultation werden dadurch unterlaufen», schreibt Jöhri im Vorwort. Oftmals befänden sich die Gemeinden oder die Verwaltung bereits in der Umsetzungsphase oder seien kurz davor. So entstehe der Eindruck, die Behörden führten die datenschutzrechtlichen Abklärungen nur für die Datenschutzstelle durch. Als Beispiel nennt sie die Einführung von Microsoft Teams und Office 365 in der Verwaltung. Erforderliche Unterlagen zur Vorabprüfung habe sie nie erhalten. Und auch auf Nachfrage konnte die Verwaltung beispielsweise nicht sagen, wer letztlich die Verantwortung für die Datensicherheit trägt.

Auf Anfrage hält Jöhri fest, dass die jeweiligen Organe den Schutz der Daten sicherstellen müssen. Deshalb müssten sie auch genügend Zeit und Ressourcen einplanen, damit die Datenschutzstelle das Projekt präventiv prüfen könne. Sie fügt jedoch an: Zug sei längst nicht der einzige Kanton, der sich damit schwertue.

In anderen Kantonen hat Datenschutzbeauftragter mehr zu sagen

Aber: Im Gegensatz zu anderen Kantonen kann die Zuger Datenschutzbeauftragte nur Empfehlungen abgeben. Werden diese nicht umgesetzt, kann sie den Entscheid zur nächsthöheren Exekutive weiterziehen. Doch will die Regierung diese nicht befolgen, müsste sie den Entscheid vor Gericht anfechten – wofür ihr wiederum die Ressourcen fehlen. Anders ist es beispielsweise in den Kantonen Aargau und Uri: Dort kann die Datenschutzbeauftragte bei Nichtbefolgen der Empfehlungen Verfügungen aussprechen.

Dies sei basierend auf einer europarechtlichen Vorgabe, die die Kantone wegen der Schengen-Verträge übernehmen müsste, wie Yvonne Jöhri auf Anfrage ausführt. Viele Kantone hätten ihre Datenschutzgesetze bereits dahingehend angepasst. Jedoch hat Zug explizit auf eine Verfügungskompetenz für die Datenschutzstelle verzichtet.

Datenschutz als Alibiübung?

Der Datenschutz kann also nur Empfehlungen unterbreiten, die die Regierung – wenn sie will – getrost ignorieren kann. Unterläuft sie damit nicht den Sinn der Datenschutzstelle? Wieso stattet die Regierung die Stelle abermals nicht mit den benötigten Stellen aus? Und wieso erhält die Datenschutzstelle wichtige Dokumente zur Vorabklärung erst bei der Umsetzungsphase? Als zentralplus die Zuger Verwaltung mit diesen und weiteren Fragen konfrontiert, verweist diese zuerst auf die Datenschutzbeauftragte, da sie für Medienanfragen zum Tätigkeitsbericht zuständig sei.

Auf erneutes Nachhaken mauert die Verwaltung: «Die kantonale Verwaltung kann in dieser Angelegenheit, die die Datenschutzstelle betrifft, keine Auskunft erteilen. Dies, weil eine Auskunft politische Wertungen enthalten könnte», schreibt Kommunikationsleiterin Alexandra Kühn zurück. Und verweist auf die Budgetdebatte Ende 2023.

Sprich: Die Zuger Regierung will weder erklären, wieso sie die Datenschutzstelle nicht mit entsprechenden Stellen ausstattet, noch sich rechtfertigen, wenn es um ihre datenschutzrechtlichen Versäumnisse geht. Oder, um es in den Worten von Yvonne Jöhri in der Budgetdebatte im November 2023 zu sagen: «Eine Datenschutzstelle, der die erforderlichen Ressourcen fehlen, ist nicht mehr als ein Feigenblatt.»