Wer trägt die Verantwortung?

Im Einzelfall abklären

Werden Dienste Dritter in Anspruch genommen, sollte grundsätzlich in jedem einzelnen Fall abgeklärt werden, wie das zum Einsatz kommende Kommunikationsmittel in Bezug auf die Datenspeicherung und Datensicherheit operiert. Dem risikobasierten Ansatz entsprechend, der dem Datenschutzrecht inhärent ist, muss der Einsatz neuer Kommunikationsmittel immer in Relation zu den infrage stehenden Daten und deren Sensitivität geprüft werden. So ist es wesentlich unkritischer, Push-Meldungen zu Terminen für die Abfallentsorgung über WhatsApp zu versenden, als beispielsweise sensitive Informationen über Schülerinnen und Schüler auszutauschen. Aus Gründen des Datenschutzes (oder Amtsgeheimnisses) kann es im Einzelfall geboten sein, auf die Verwendung eines bestimmten Tools zu verzichten – sei es ein Kommunikationsmittel oder ein IT-Service.

Shared Responsibility

Die Verantwortung für die Einhaltung der Datenschutzvorschriften liegt nicht nur beim Dienstanbieter, dessen Lösung von der öffentlichen Hand genutzt wird, sondern im Sinne der «Shared Responsibility» auch bei der Behörde oder Amtsstelle, die den Dienst einsetzt. Kantonale Verwaltungen und Amtsstellen haben dabei auch die für sie geltenden kantonalen Datenschutzbestimmungen zu berücksichtigen. Die Nutzung von Applikationen oder sozialen Netzwerken kann nämlich je nach Kanton Vorabkontrollen unterliegen.

Anspruchsvoller Spagat

Aufgrund des demnächst in Kraft tretenden neuen Datenschutzgesetzes des Bundes werden auch die kantonalen Datenschutzgesetze aktualisiert. Die diesbezüglichen Entwicklungen sind im Auge zu behalten, denn sie können unter Umständen dazu führen, dass eine bisherige Nutzung in Zukunft nicht mehr oder nur unter erhöhten Informations- oder Dokumentationspflichten möglich ist. Mehr als private Unternehmen unterliegt die öffentliche Hand dem Spagat zwischen dem Bedürfnis der Bevölkerung nach einer einfachen digitalen Kommunikation mit den Behörden einerseits und dem Datenschutz anderseits.