Sobald Sie als Behörde Personendaten bearbeiten, sind Sie für Datenschutz und Datensicherheit verantwortlich – auch dann, wenn Sie die Bearbeitung auslagern und wenn diese von uns geprüft worden ist.
Wenn andere Behörden beteiligt sind
Sind mehrere Behörden an einer Datenbearbeitung beteiligt, muss geregelt sein, welche Behörde für welchen Teil verantwortlich ist (z. B. via Erlass, Weisung oder schriftliche Vereinbarung). Fehlt eine solche Regelung, sind alle beteiligten Behörden für die gesamte Bearbeitung verantwortlich. Sie veröffentlichen die Regelung oder teilen sie betroffenen Personen auf Anfrage mit.
Wenn Dritte beauftragt werden
Grundsätzlich können Behörden auch Dritte mit der Bearbeitung von Personendaten beauftragen, wenn
- die Daten nur so bearbeitet werden, wie es der Behörde selbst erlaubt wäre,
- keine vertragliche Geheimhaltungspflicht entgegensteht,
- die Datensicherheit gewährleistet ist und
- keine unzulässige Bekanntgabe an einen Staat ohne angemessenes Datenschutzniveau erfolgt.
Die beauftragten Dritten dürfen die Bearbeitung nur mit vorgängiger Zustimmung der Behörde an weitere Personen übertragen. Wichtig: Die Verantwortung bleibt in jedem Fall bei der Behörde. Sie muss mit dem Auftragsdatenbearbeiter einen Vertrag abschliessen, der insbesondere beinhaltet:
- Gegenstand und Umfang der Datenbearbeitung
- Geheimhaltungspflichten
- Massnahmen zum Schutz der Personendaten
- Kontrolle der datenschutzkonformen Auftragserfüllung
- Vertragsdauer
- Voraussetzungen für die Vertragsauflösung
Mehr Details finden Sie in der Kantonalen Datenschutzverordnung (KDSV).
Wenn Daten im Ausland bearbeitet werden
Haben die beauftragten Dritten ihren Sitz im Ausland oder werden Personendaten im Ausland bearbeitet, muss die Behörde sicherstellen, dass dort ein angemessener Datenschutz besteht – sei es durch einen völkerrechtlichen Vertrag, einen Feststellungsbeschluss des Bundesrates nach DSG oder durch andere hinreichende Garantien.