text:
152.04

    Datenschutzgesetz *

    (KDSG)

    vom 19.02.1986 (Stand 01.11.2020)

    Der Grosse Rat des Kantons Bern,

      auf Antrag des Regierungsrates,

    beschliesst:

1 Allgemeine Bestimmungen

Art. 1

Zweck

1

Dieses Gesetz dient dem Schutz von Personen vor missbräuchlicher Datenbearbeitung durch Behörden.

Art. 2

Begriffe

1

Personendaten sind Angaben über eine bestimmte oder bestimmbare natürliche oder juristische Person.

2

Als Datensammlung gilt jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach den betroffenen Personen erschliessbar sind.

3

Als Register im Sinne von Artikel 18 gilt ein Verzeichnis der Datensammlungen. *

4

Das Bearbeiten von Personendaten umfasst jeden Umgang mit Personendaten, wie das Beschaffen, Aufbewahren, Verändern, Verknüpfen, Bekanntgeben oder Vernichten.

5

Bekanntgeben ist jedes Zugänglichmachen von Personendaten, wie das Einsichtgewähren, Auskunftgeben, Weitergeben oder Veröffentlichen.

6

Behörden im Sinne dieses Gesetzes sind *

        a *

        Amtsstellen des Kantons und der Gemeinden mit ihren Mitarbeitern,

        b *

        Organe von Körperschaften und Anstalten sowie Private, soweit ihnen öffentliche Aufgaben übertragen sind,

        c *

        Organe der Landeskirchen und ihrer regionalen Einheiten.

7

Aufsichtsstellen im Sinne dieses Gesetzes sind *

        a *

        die kantonale Aufsichtsstelle gemäss Artikel 32,

        b *

        die von Gemeinden, gemeinderechtlichen Körperschaften sowie von den Landeskirchen und ihrer regionalen Einheiten bezeichneten Stellen gemäss Artikel 33 Absatz 1.

Art. 3

Besonders schützenswerte Personendaten

1

Besonders schützenswerte Personendaten sind Angaben über

        a

        die religiöse, weltanschauliche oder politische Ansicht, Zugehörigkeit und Betätigung sowie die Rassenzugehörigkeit;

        b

        den persönlichen Geheimbereich, insbesondere den seelischen, geistigen oder körperlichen Zustand;

        c

        Massnahmen der sozialen Hilfe oder fürsorgerischen Betreuung;

        d

        polizeiliche Ermittlungen, Strafverfahren, Straftaten und die dafür verhängten Strafen oder Massnahmen.

Art. 4

Geltungsbereich

1

Dieses Gesetz gilt für jedes Bearbeiten von Personendaten durch Behörden.

2

Es findet keine Anwendung,

        a

        wenn eine Behörde mit privaten Personen im wirtschaftlichen Wettbewerb steht und nicht hoheitlich handelt. Die Aufsicht richtet sich jedoch nach den Artikeln 32–37;

        b

        wenn ein Mitarbeiter einer Behörde Personendaten zu ausschliesslich persönlichem Gebrauch bearbeitet, namentlich um über ein persönliches Arbeitsmittel zu verfügen;

        c *

        auf hängige Verfahren der Zivil- oder Strafrechtspflege, auf hängige Verfahren der Verwaltungsrechtspflege mit Ausnahme der Verwaltungsverfahren sowie auf Ermittlungen einer parlamentarischen Untersuchungskommission.

2 Bearbeiten von Personendaten

Art. 5

Zulässigkeit
      a allgemein

1

Personendaten dürfen nur bearbeitet werden, wenn das Gesetz ausdrücklich dazu ermächtigt oder wenn das Bearbeiten der Erfüllung einer gesetzlichen Aufgabe dient.

2

Der Zweck des Bearbeitens muss bestimmt sein.

3

Die Personendaten und die Art des Bearbeitens müssen für die Aufgabenerfüllung geeignet und notwendig sein.

4

Personendaten dürfen nicht für einen Zweck bearbeitet werden, der nach Treu und Glauben mit dem Zweck unvereinbar ist, für den sie ursprünglich beschafft oder der Behörde bekanntgegeben worden sind. Vorbehalten bleiben die Artikel 10, 12 und 15.

5

Das Amtsgeheimnis oder besondere Geheimhaltungspflichten bleiben vorbehalten.

Art. 6

b besonders schützenswerte Personendaten

1

Besonders schützenswerte Personendaten dürfen nur bearbeitet werden, wenn zusätzlich

        a

        die Zulässigkeit sich aus einer gesetzlichen Grundlage klar ergibt, oder

        b

        die Erfüllung einer gesetzlichen Aufgabe es zwingend erfordert, oder

        c

        die betroffene Person ausdrücklich zugestimmt hat.

Art. 7

Richtigkeit

1

Personendaten müssen richtig und, soweit es der Zweck des Bearbeitens verlangt, auch vollständig sein.

Art. 8

Verantwortung

1

Für den Datenschutz ist jene Behörde verantwortlich, die die Personendaten zur Erfüllung ihrer gesetzlichen Aufgaben bearbeitet oder bearbeiten lässt.

2

Bearbeiten mehrere Behörden Personendaten einer Datensammlung, so ist eine zu bezeichnen, die für den Datenschutz insgesamt sorgt. Jede Behörde bleibt für ihren Bereich verantwortlich.

Art. 9

Beschaffen

1

Personendaten sind in der Regel bei der betroffenen und nicht bei einer anderen privaten Person zu beschaffen.

2

Die verwaltungsinterne Datenbeschaffung ist zulässig, wenn dieses Gesetz nicht entgegensteht.

3

Besteht keine gesetzliche Auskunftspflicht, muss auf die Freiwilligkeit der Auskunft hingewiesen werden.

4

Die gesetzliche Grundlage und der Zweck der Bearbeitung müssen den befragten Personen angegeben werden, wenn

        a

        diese es verlangen oder

        b

        Personendaten systematisch, namentlich mittels Fragebogen, erhoben werden.

Art. 10

Bekanntgabe
      a an Behörden

1

Personendaten werden einer anderen Behörde bekanntgegeben, wenn

        a

        die verantwortliche Behörde zur Erfüllung ihrer Aufgabe gesetzlich dazu verpflichtet oder ermächtigt ist, oder

        b

        die Behörde, die Personendaten verlangt, nachweist, dass sie zu deren Bearbeitung gesetzlich befugt ist und keine Geheimhaltungspflicht entgegensteht, oder

        c

        trotz Unvereinbarkeit der Zwecke die betroffene Person ausdrücklich zugestimmt hat oder es in ihrem Interesse liegt.

2

Die Einwohnerkontrolle gewährt zu amtlichen Zwecken Einsicht in das Register der Niedergelassenen und Aufenthalter und erteilt Auskunft.

Art. 11

b an private Personen
      1. im allgemeinen

1

Personendaten werden privaten Personen bekanntgegeben, wenn

        a

        die verantwortliche Behörde zur Erfüllung ihrer Aufgabe gesetzlich dazu verpflichtet oder ermächtigt ist oder

        b

        die betroffene Person ausdrücklich zugestimmt hat oder es in ihrem Interesse liegt.

2

Personendaten, die in einer allgemein zugänglichen amtlichen oder amtlich bewilligten Veröffentlichung enthalten sind, dürfen auf Anfrage in dem Umfang und in der Reihenfolge bekanntgegeben werden, wie sie veröffentlicht sind.

3

Der Regierungsrat regelt die Bekanntgabe von Personendaten für Adressbücher und ähnliche Nachschlagewerke von allgemeinem Interesse oder mit langer Tradition.

Art. 12

2. durch die Einwohnerkontrolle

1

Die Einwohnerkontrolle gibt einer privaten Person auf Gesuch Namen, Vornamen, Beruf, Geschlecht, Adresse, Zivilstand, Heimatort, Datum des Zu- und Wegzuges sowie Jahrgang einer Einzelperson bekannt, wenn der Gesuchsteller ein schützenswertes Interesse glaubhaft macht.

2

Das Gemeindereglement kann unter den gleichen Voraussetzungen zudem die Bekanntgabe von Titel und Sprache einer Einzelperson gestatten. *

3

Das Gemeindereglement kann die systematisch geordnete Bekanntgabe der Daten gemäss Absatz 1 in allgemeiner Weise oder zu näher umschriebenen Zwecken gestatten.

Art. 13

3. Recht auf Sperrung

1

Jede betroffene Person kann die Bekanntgabe ihrer Daten sperren lassen, wenn sie ein schützenswertes Interesse nachweist.

2

Die Bekanntgabe ist trotz Sperre zulässig, wenn

        a

        die verantwortliche Behörde zur Bekanntgabe gesetzlich verpflichtet ist oder

        b

        die betroffene Person rechtsmissbräuchlich handelt.

3

Die betroffene Person kann Daten im Sinne von Artikel 12 Absatz 2 und die systematisch geordnete Bekanntgabe der Daten gemäss Artikel 12 Absatz 3 ohne Nachweis eines schützenswerten Interesses sperren lassen.

Art. 14

c gemeinsame Bestimmung

1

Die Bekanntgabe von Personendaten kann aus überwiegenden öffentlichen oder besonders schützenswerten privaten Interessen verweigert, eingeschränkt oder mit Auflagen verbunden werden.

2

Stehen Personendaten unter dem Schutz besonderer Geheimhaltungsvorschriften, so dürfen sie nur bekanntgegeben werden, wenn der Empfänger einer entsprechenden Geheimhaltungspflicht untersteht.

Art. 14a *

d ins Ausland

1

Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.

2

Trotz fehlender Gesetzgebung, die einen angemessenen Schutz gewährleistet, können Personendaten ins Ausland bekannt gegeben werden, wenn

        a

        hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten,

        b

        die betroffene Person im Einzelfall eingewilligt hat,

        c

        die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags steht und es sich um Personendaten des Vertragspartners handelt,

        d

        die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist,

        e

        die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen oder

        f

        die Bekanntgabe innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfindet, sofern die Beteiligten Datenschutzregeln unterstehen, welche einen angemessenen Schutz gewährleisten.

3

Die Aufsichtsstelle muss vor der Bekanntgabe der Personendaten ins Ausland rechtzeitig über die Garantien nach Absatz 2 Buchstabe a informiert werden.

Art. 15

Bearbeiten für Forschung, Praxisbildung, Statistik oder Planung *

1

Eine verantwortliche Behörde kann Personendaten zu einem nicht personenbezogenen Zweck, namentlich für Forschung, Praxisbildung, Statistik oder Planung, bearbeiten, wenn sie *

        a

        die Personendaten, sobald es der Bearbeitungszweck erlaubt, anonymisiert oder zumindest ohne direkte Personenkennzeichnung verwendet und

        b

        die Ergebnisse der Bearbeitung so bekanntgibt, dass die betroffenen Personen nicht bestimmbar sind.

2

Die verantwortliche Behörde kann Personendaten zur Bearbeitung für nicht personenbezogene Zwecke bekanntgeben, wenn Gewähr besteht, dass der Empfänger

        a

        die in Absatz 1 aufgestellten Anforderungen erfüllt,

        b

        die Personendaten nicht an Dritte weitergibt und

        c

        für die Datensicherung sorgt.

Art. 16

Bearbeiten im Auftrag

1

Wer Personendaten im Auftrag einer Behörde bearbeitet, untersteht dem Gesetz wie der Auftraggeber. Zur Bekanntgabe von Personendaten an Dritte bedarf er der ausdrücklichen Zustimmung des Auftraggebers.

Art. 17

Datensicherung

1

Wer Personendaten bearbeitet, sorgt für ihre Sicherung.

Art. 17a *

Vorabkontrolle

1

Beabsichtigt eine Behörde, Personendaten einer grösseren Anzahl von Personen elektronisch zu bearbeiten, unterbreitet sie die beabsichtigte Datenbearbeitung vor deren Beginn der Aufsichtsstelle zur Stellungnahme, wenn

        a

        zweifelhaft ist, ob eine genügende Rechtsgrundlage besteht,

        b

        besonders schützenswerte Personendaten bearbeitet werden,

        c

        eine besondere Geheimhaltungspflicht besteht oder

        d

        technische Mittel mit besonderen Risiken für die Rechte und Freiheiten der betroffenen Personen eingesetzt werden.

2

Sie unterbreitet der Aufsichtsstelle ebenso wesentliche Änderungen solcher Datenbearbeitungen.

3

Die Aufsichtsstelle gibt auf Ersuchen der verantwortlichen Behörde bereits im Rahmen der Vorabkontrolle eine Empfehlung im Sinn von Artikel 35 Absatz 3 ab.

3 Datensammlungen

Art. 18

Register

1

Die Aufsichtsstelle veröffentlicht im Internet ein Register der im Kanton, in der Gemeinde oder in einer anderen gemeinderechtlichen Körperschaft sowie in der Landeskirche oder in ihrer regionalen Einheit angelegten Datensammlungen. *

2

Das Register enthält für jede Datensammlung die Angaben über

        a

        die Rechtsgrundlage;

        b

        die verantwortlichen Behörden;

        c

        den Zweck und die Mittel der Bearbeitung;

        d

        Art und Umfang der bearbeiteten Personendaten;

        e

        die Personendaten, die andern Behörden oder privaten Personen regelmässig bekanntgegeben werden sowie die Empfänger;

        f

        die ordentliche Aufbewahrungszeit der Personendaten.

3

Nicht in das Register aufgenommen werden Datensammlungen, die *

        a

        nur kurzfristig geführt werden oder

        b

        rechtmässig veröffentlicht sind.

4

Die verantwortliche Behörde erstellt den ihre Datensammlungen betreffenden Teil des Registers nach den Vorgaben der Aufsichtsstelle und führt diesen nach. *

5

Die Gemeinden und die anderen gemeinderechtlichen Körperschaften sowie die Landeskirchen und ihre regionalen Einheiten können *

        a

        die Zuständigkeit zur Erstellung und Nachführung des Registers abweichend von Absatz 4 regeln;

        b *

        von der Veröffentlichung des Registers im Internet absehen.

Art. 19

Vernichtung und Archivierung

1

Nicht mehr benötigte Daten sind zu vernichten.

2

Die verantwortliche Behörde legt für jede Datensammlung fest, wann die Personendaten zu vernichten sind.

3

Personendaten dürfen über diesen Zeitpunkt hinaus nur aufbewahrt werden, soweit sie

        a

        Sicherungs- oder Beweiszwecken dienen;

        b

        für die wissenschaftliche Forschung von Bedeutung sind.

4

Vorbehalten bleiben besondere Aufbewahrungsvorschriften sowie die Vorschriften über die öffentlichen Archive.

4 Rechte der betroffenen Person

Art. 20

Einsicht in das Register

1

Jede Person kann in das Register der Datensammlungen Einsicht nehmen.

Art. 21

Auskunft
      a Grundsatz

1

Jede Person kann von der verantwortlichen Behörde Auskunft verlangen, welche Daten über sie in einer Datensammlung bearbeitet werden. Sie hat sich über ihre Identität auszuweisen.

2

Auf dieses Recht kann nicht zum voraus verzichtet werden.

3

Die Auskunft wird in allgemeinverständlicher Form und auf Verlangen schriftlich erteilt.

4

Die betroffene Person erhält auf Verlangen Einsicht in ihre Daten, wenn nicht wichtige und überwiegende öffentliche Interessen oder besonders schützenswerte Interessen Dritter entgegenstehen.

Art. 22

b Einschränkungen

1

Die Auskunft kann soweit verweigert oder aufgeschoben werden, als ein Gesetz dies verlangt oder besonders schützenswerte Interessen Dritter es erfordern.

2

Kann die Auskunft dem Gesuchsteller selber nicht erteilt werden, weil sie ihn zu stark belasten würde, so kann sie einer Person seines Vertrauens gegeben werden.

Art. 23

Berichtigung

1

Jede Person hat Anspruch darauf, dass unrichtige oder nicht notwendige Personendaten über sie berichtigt oder vernichtet werden.

2

Bestreitet die verantwortliche Behörde die Unrichtigkeit, so hat sie die Richtigkeit der Personendaten zu beweisen. Die betroffene Person hat im Rahmen des Zumutbaren bei der Abklärung mitzuwirken.

3

Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten, insbesondere von solchen, die eine Wertung menschlichen Verhaltens enthalten, bewiesen werden, so kann die betroffene Person verlangen, dass eine angemessene Gegendarstellung aufgenommen wird.

Art. 24

Andere Ansprüche

1

Jede Person hat Anspruch darauf, dass Personendaten, die widerrechtlich bearbeitet worden sind, vernichtet oder sonst die Folgen der Widerrechtlichkeit beseitigt werden.

2

Weist die betroffene Person ein schützenswertes Interesse nach, so ist der Entscheid den von ihr bezeichneten Behörden und Dritten bekanntzugeben.

Art. 25

Haftung

1

Für den Schaden, den ihre Behörden, Organe, Angestellten und Beauftragten durch widerrechtliches Bearbeiten von Personendaten den betroffenen Personen zufügen, haften *

        a *

        der Kanton,

        b *

        die Gemeinden,

        c *

        Körperschaften, Anstalten und Private, soweit ihnen öffentliche Aufgaben übertragen sind,

        d *

        die Landeskirchen und ihre regionalen Einheiten.

2

Sofern es die Schwere der Verletzung rechtfertigt und diese nicht anders wieder gutgemacht werden kann, so besteht Anspruch auf Genugtuung.

3

Wurde der Schaden vorsätzlich oder grobfahrlässig verursacht, steht dem Ersatzpflichtigen der Rückgriff zu.

5 Verfahren und Rechtsschutz

Art. 26 *

Anwendbare Bestimmungen

1

Soweit dieses Gesetz nicht anderes bestimmt, gelten für das Verfahren und den Rechtsschutz die Bestimmungen der für das betreffende Rechtsgebiet anwendbaren Verfahrensordnung.

Art. 27 *

      …

Art. 28

Anfechtungsobjekte

1

Anfechtbar sind Verfügungen der verantwortlichen Behörde, insbesondere Bescheide über Gesuche nach Artikel 21–24 sowie deren Verweigern und Verzögern.

Art. 29

Behördenbeschwerde

1

Zur Beschwerde befugt sind auch Behörden, deren Begehren abgelehnt werden.

Art. 30 *

      …

Art. 31 *

Gebühren

1

Für die Einsichtnahme und für Auskünfte nach den Artikeln 20 und 21 werden keine Gebühren erhoben.

6 Aufsicht

Art. 32 *

a Kanton

1

Der Grosse Rat wählt auf Antrag des Regierungsrates eine Beauftragte oder einen Beauftragten für Datenschutz als Leiterin oder Leiter der kantonalen Aufsichtsstelle. Er achtet darauf, dass die oder der Beauftragte für Datenschutz beide Amtssprachen beherrscht.[1]

2

Die Amtsdauer der oder des Beauftragten beträgt vier Jahre.

3

Die kantonale Aufsichtsstelle ist administrativ der Direktion für Inneres und Justiz zugeordnet. *

Art. 33

b Gemeinden und andere gemeinderechtliche Körperschaften sowie Landeskirchen und ihre regionalen Einheiten *

1

Gemeinden und andere gemeinderechtliche Körperschaften sowie die Landeskirchen und ihre regionalen Einheiten bezeichnen für ihren Bereich eine eigene Aufsichtsstelle. *

2

Die kantonale Aufsichtsstelle übt die Oberaufsicht aus.

Art. 33a *

Unabhängigkeit

1

Die Aufsichtsstelle erfüllt die Aufgaben nach diesem Gesetz selbständig und unabhängig. Sie ist nur der Verfassung und dem Gesetz verpflichtet.

2

Für die Haushaltführung, die Ausgaben und Ausgabenbewilligungen sowie die Steuerung von Finanzen und Leistungen der kantonalen Aufsichtsstelle gilt die Gesetzgebung über die Steuerung von Finanzen und Leistungen, soweit dieses Gesetz keine besonderen Vorschriften enthält.

3

Die kantonale Aufsichtsstelle legt jährlich ihre Leistungsziele fest und leitet daraus ihren Bedarf an Ressourcen ab. Sie erstellt den Aufgaben- und Finanzplan und den Voranschlag für ihren Bereich und legt die Produkte und Produktgruppen fest. Der Regierungsrat übernimmt diese unverändert in den Aufgaben- und Finanzplan und Voranschlag des Kantons. Er kann sie zuhanden des Grossen Rates kommentieren.

4

Die kantonale Aufsichtsstelle entscheidet im Rahmen der mit dem Voranschlag bewilligten Mittel über die Anstellung von Personal. Sie bewilligt die laufenden Betriebsausgaben im Rahmen des Voranschlags abschliessend. Für Investitionen gelten die ordentlichen Ausgabenbefugnisse.

5

Die Aufsichtsstellen der Gemeinden und der anderen gemeinderechtlichen Körperschaften sowie der Landeskirchen und ihrer regionalen Einheiten müssen über hinreichende eigene Ausgabenbefugnisse verfügen, die nicht durch Anordnungen anderer Behörden eingeschränkt werden dürfen. *

Art. 33b *

Besondere Rechnung der kantonalen Aufsichtsstelle

1

Die kantonale Aufsichtsstelle für Datenschutz führt eine Besondere Rechnung gemäss Artikel 36 des Gesetzes vom 26. März 2002 über die Steuerung von Finanzen und Leistungen (FLG[2]).

2

In Abweichung von Artikel 36 Absatz 2 FLG regelt der Grosse Rat die Art und Weise der Rechnungsführung durch Dekret.

Art. 34 *

Aufgaben

1

Die Aufsichtsstelle

        a

        führt im Sinn von Artikel 18 das Register der Datensammlungen;

        b

        überwacht die Anwendung der Vorschriften über den Datenschutz;

        c

        nimmt die Vorabkontrollen nach Artikel 17a vor;

        d

        behandelt Eingaben von Betroffenen betreffend die Missachtung von Vorschriften dieses Gesetzes als aufsichtsrechtliche Anzeigen;

        e

        berät die betroffenen Personen über ihre Rechte;

        f

        vermittelt zwischen betroffenen Personen und verantwortlichen Behörden;

        g

        berät die verantwortlichen Behörden in Fragen des Datenschutzes und macht Vorschläge zur Verbesserung;

        h

        überwacht die Datensicherung;

        i

        wahrt die Interessen von Personen, denen keine oder nur eine beschränkte Auskunft erteilt werden kann;

        k

        nimmt Stellung zu Vorlagen über Erlasse und andere Massnahmen, soweit sie für den Datenschutz erheblich sind;

        l

        reicht auf Ersuchen von Verfügungs- und Rechtsmittelbehörden Vernehmlassungen zu Datenschutzfragen ein;

        m

        informiert die Öffentlichkeit periodisch über ihre Tätigkeit;

        n

        arbeitet mit den anderen Aufsichtsstellen im Kanton Bern sowie mit denjenigen anderer Kantone, des Bundes und des Auslands zusammen und sorgt für den sachdienlichen Informationsaustausch.

2

Sofern Rechte nach Abschnitt IV dieses Gesetzes gemäss besonderer Gesetzgebung eingeschränkt werden dürfen, orientiert die Aufsichtsstelle die Betroffenen über die aufgrund von Eingaben nach Absatz 1 Buchstabe d erfolgte Überprüfung, auch wenn die Betroffenen dies nicht verlangen.

Art. 35

Arbeitsweise und Verfahren *

1

Die verantwortlichen Behörden sind verpflichtet, die Aufsichtsstelle bei der Erfüllung ihrer Aufgaben zu unterstützen.

2

Die Aufsichtsstelle kann bei Behörden, ungeachtet allfälliger Geheimhaltungspflichten, schriftliche oder mündliche Auskünfte einholen. Sie kann Einsicht in alle Unterlagen von bestimmten Bearbeitungen nehmen, Besichtigungen durchführen und sich Bearbeitungen vorführen lassen.

3

Sie empfiehlt in Form eines mit einer Begründung versehenen Antrags die Beseitigung von Verstössen und Mängeln. *

4

Wenn die verantwortliche Behörde dem Antrag der Aufsichtsstelle gemäss Absatz 3 nicht oder nur zum Teil stattgeben will, erlässt sie innert 30 Tagen eine entsprechende Verfügung oder einen entsprechenden Beschluss. *

5

Die Aufsichtsstelle kann die Verfügung oder den Beschluss nach Absatz 4 anfechten. Verfahren und Zuständigkeit richten sich nach Artikel 26. *

6

Werden schutzwürdige Interessen einer betroffenen Person offensichtlich gefährdet oder verletzt, fordert die Aufsichtsstelle die verantwortliche oder deren vorgesetzte Behörde auf, die erforderlichen Massnahmen unverzüglich zu ergreifen.

Art. 36

Verschwiegenheitspflicht

1

Die Aufsichtsstelle ist hinsichtlich der Personendaten zur gleichen Verschwiegenheit verpflichtet wie die Behörde, die sie bearbeitet.

2

Im übrigen ist sie zur Verschwiegenheit verpflichtet, wenn die Natur der Angelegenheit oder besondere Vorschriften die Geheimhaltung erfordern.

Art. 36a *

Zusammenarbeit mit andern Körperschaften

1

Die kantonale Aufsichtsstelle kann zur Erfüllung ihrer Aufgaben gemäss Artikel 34 mit Datenschutzaufsichtsorganen anderer öffentlich-rechtlicher Körperschaften zusammenarbeiten.

2

Art und Umfang der Zusammenarbeit werden in einer schriftlichen Vereinbarung umschrieben. Der oder die Beauftragte für Datenschutz ist für deren Unterzeichnung zuständig.

3

Datenschutzaufsichtsorgane anderer öffentlich-rechtlicher Körperschaften können im Kanton Bern Aufgaben der Datenschutzaufsicht wahrnehmen, soweit dies vereinbart ist.

4

Die kantonale Aufsichtsstelle kann in andern öffentlich-rechtlichen Körperschaften Aufgaben der Datenschutzaufsicht wahrnehmen, soweit dies vereinbart ist.

Art. 37

Rechenschaftspflicht

1

Die kantonale Aufsichtsstelle erstattet dem Grossen Rat und dem Regierungsrat jährlich einen Bericht über ihre Tätigkeit. Sie weist in diesem Bericht insbesondere auch auf erkannte Mängel und wünschbare Änderungen hin. *

2

In Fällen von allgemeinem Interesse informiert die kantonale Aufsichtsstelle die Öffentlichkeit, nach Orientierung des zuständigen Direktionsvorstehers bzw. des Staatsschreibers.

3

Die Gemeinden und anderen gemeinderechtlichen Körperschaften sowie die Landeskirchen und ihre regionalen Einheiten regeln die Berichterstattung ihrer Aufsichtsstellen. *

7 Schlussbestimmungen

Art. 38 *

Ausführungsbestimmungen

1

Der Regierungsrat erlässt die zum Vollzug dieses Gesetzes erforderlichen Bestimmungen. Er kann

        a

        die Direktionen zum Erlass solcher Bestimmungen ermächtigen, soweit der Gegenstand der Regelung stark technischen Charakter hat oder rasch wechselnden Verhältnissen unterworfen oder von untergeordneter Bedeutung ist;

        b

        die zuständige Stelle der Finanzdirektion zum Erlass von Verwaltungsverordnungen ermächtigen.

Art. 39

Inkrafttreten

1

Der Regierungsrat bestimmt, wann dieses Gesetz in Kraft[3] tritt. Er kann einzelne Bestimmungen, insbesondere die Vorschriften über die Aufsicht, vorzeitig in Kraft setzen.

    Bern, 19. Februar 1986

      Im Namen des Grossen Rates

      Der Präsident: Rentsch

      Der Staatsschreiber: Nuspliger

    1986 d 108 | f 112


type: legislation

jurisdiction: Switzerland

text:
152.040.1

    Datenschutzverordnung

    (DSV)

    vom 22.10.2008 (Stand 01.11.2020)

    Der Regierungsrat des Kantons Bern,

      gestützt auf Artikel 38 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG)[1]

      auf Antrag der Justiz-, Gemeinde- und Kirchendirektion,

    beschliesst:

1 Datensperrung

Art. 1

1

Die verantwortliche Behörde bestätigt die Anordnung der Datensperre von Personendaten (Art. 13 KDSG[2]) der Gesuchstellerin oder dem Gesuchsteller schriftlich.

2

Das Gesuch um Datensperrung und die Bestätigung können auf elektronischem Weg erfolgen, wenn die verantwortliche Behörde angemessene Massnahmen getroffen hat, um

        a

        die Identifizierung der betroffenen Person sicherzustellen und

        b

        die persönlichen Daten der betroffenen Person bei der Gesuchsbehandlung vor dem Zugriff unberechtigter Dritter zu schützen.

2 Bekanntgabe ins Ausland

Art. 2

Veröffentlichung in elektronischer Form

1

Werden Personendaten mittels automatisierter Informations- und Kommunikationsdienste zwecks Information der Öffentlichkeit zugänglich gemacht, so stellt die verantwortliche Behörde sicher, dass die Rechtsgrundlage auch die Datenbekanntgabe ins Ausland erlaubt.

Art. 3

Informationspflicht

1

Wurde die Aufsichtsstelle über die Garantien gemäss Artikel 14a Absatz 2 Buchstabe a KDSG[3] informiert, so gilt die Informationspflicht für alle weiteren Bekanntgaben als erfüllt, die unter denselben Garantien erfolgen, soweit die Kategorien der Empfängerinnen oder der Empfänger, der Zweck der Bearbeitung und die Datenkategorien im Wesentlichen unverändert bleiben.

2

Die Informationspflicht gilt ebenfalls als erfüllt, wenn Daten gestützt auf Modellverträge oder Standardvertragsklauseln übermittelt werden, die vom eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erstellt oder anerkannt wurden, und die Aufsichtsstelle von der verantwortlichen Behörde in allgemeiner Form über die Verwendung dieser Modellverträge oder Standardvertragsklauseln informiert wurde.

3

Die verantwortliche Behörde trifft Massnahmen, um sicherzustellen, dass die Empfängerin oder der Empfänger die Garantien beachtet.

3 Technische und organisatorische Massnahmen

Art. 4

Grundsatz

1

Die verantwortliche Behörde, die Personendaten bearbeitet oder ein Datenkommunikationsnetz zur Verfügung stellt, sorgt mit technischen und organisatorischen Massnahmen für die Vertraulichkeit, die Verfügbarkeit und die Richtigkeit der Daten (Art. 17 KDSG). Insbesondere schützt sie die Systeme gegen folgende Risiken:

        a

        unbefugte oder zufällige Vernichtung,

        b

        zufälligen Verlust,

        c

        technische Fehler,

        d

        Fälschung, Diebstahl oder widerrechtliche Verwendung,

        e

        unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen.

2

Die Massnahmen müssen angemessen sein. Insbesondere tragen sie folgenden Kriterien Rechnung:

        a

        Zweck der Datenbearbeitung,

        b

        Art und Umfang der Datenbearbeitung,

        c

        Einschätzung der möglichen Risiken für die betroffenen Personen,

        d

        gegenwärtigem Stand der Technik.

3

Die Risiken und Massnahmen sind periodisch zu überprüfen.

Art. 5

Besondere Massnahmen

1

Die verantwortliche Behörde trifft insbesondere bei der elektronischen Bearbeitung von Personendaten die folgenden technischen und organisatorischen Massnahmen:

        a

        Zugangskontrolle: Unbefugten Personen ist der Zugang zu den Einrichtungen, in denen Personendaten bearbeitet werden, zu verwehren;

        b

        Personendatenträgerkontrolle: Unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen;

        c

        Transportkontrolle: Bei der Bekanntgabe von Personendaten sowie beim Transport von Datenträgern ist zu verhindern, dass die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können;

        d

        Bekanntgabekontrolle: Datenempfänger, denen Personendaten mittels Einrichtungen zur Datenübertragung bekannt gegeben werden, müssen identifiziert werden können;

        e

        Speicherkontrolle: Die unbefugte Eingabe in den Speicher sowie die unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter Personendaten sind zu verhindern;

        f

        Benutzerkontrolle: Die Benutzung von automatisierten Datenbearbeitungssystemen mittels Einrichtungen zur Datenübertragung durch unbefugte Personen ist zu verhindern;

        g

        Zugriffskontrolle: Der Zugriff der berechtigten Personen ist auf diejenigen Personendaten zu beschränken, die sie für die Erfüllung ihrer Aufgabe benötigen;

        h

        Eingabekontrolle: In automatisierten Systemen muss nachträglich überprüft werden können, welche Personendaten zu welcher Zeit und von welcher Person eingegeben wurden.

2

Die Datensammlungen sind so zu gestalten, dass die betroffenen Personen ihr Auskunftsrecht und ihr Recht auf Berichtigung wahrnehmen können.

Art. 6

Protokollierung

1

Die verantwortliche Behörde protokolliert die automatisierte Bearbeitung von besonders schützenswerten Personendaten oder von Personendaten, die einer besonderen Geheimhaltungspflicht unterstehen, wenn die präventiven Massnahmen den Datenschutz nicht gewährleisten können.

2

Eine Protokollierung hat insbesondere dann zu erfolgen, wenn sonst nicht nachträglich festgestellt werden kann, ob die Daten für diejenigen Zwecke bearbeitet wurden, für die sie erhoben oder bekannt gegeben wurden.

3

Die Protokolle sind während eines Jahres revisionsgerecht aufzubewahren. Sie sind ausschliesslich denjenigen Stellen zugänglich, denen die Überwachung der Datenschutzvorschriften obliegt, und dürfen nur für diesen Zweck verwendet werden. Abweichende Vorgaben in der Gesetzgebung oder in Betriebsbewilligungen bleiben vorbehalten.

4 Vorabkontrolle

Art. 7

Begriffe

1

Technische Mittel mit besonderen Risiken für die Rechte und Freiheiten der betroffenen Personen im Sinne von Artikel 17a Absatz 1 Buchstabe d KDSG liegen insbesondere vor, wenn Personendaten

        a

        auf Datenträgern gespeichert werden, welche die betroffene Person mit sich trägt,

        b

        auf RFID-Chips (passive Funkfrequenzidentifikationstransponder) gespeichert werden,

        c

        über Drahtlosverbindungen übertragen werden, soweit es nicht um Funktelefonverbindungen und Drahtlosverbindungen von Zahlterminals geht, deren Sicherheit für den Geschäftsverkehr bereits geprüft worden ist,

        d

        mit Bildaufzeichnungs- und Bearbeitungsgeräten erhoben werden.

2

Gleiches gilt, wenn

        a

        besonders schützenswerte Personendaten über öffentliche Netze übertragen werden,

        b

        Privaten aus dem Internet ein eingeschränkter Zugriff auf Daten aus einer Personendatenbank gewährt werden soll.

3

Eine wesentliche Änderung im Sinne von Artikel 17a Absatz 2 KDSG liegt insbesondere vor, wenn

        a

        die Mittel oder der Zweck der Datenbearbeitung in erheblicher Weise ändern oder

        b

        die Änderung für sich allein die Voraussetzungen für eine Vorabkontrolle erfüllt.

4

Ändert lediglich der Umfang einer Datenbearbeitung, bildet dies keine wesentliche Änderung.

Art. 8

Verzicht auf Vorabkontrolle

1

Gemeinden und andere gemeinderechtliche Körperschaften können auf eine Vorabkontrolle verzichten, wenn

        a

        sie Datenbearbeitungssysteme oder -programme einsetzen, für die eine Zertifizierung nach Artikel 11 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG)[4] vorliegt und diese sowohl die Informatiksicherheit als auch den Datenschutz insgesamt umfasst oder

        b

        die Datenbearbeitung einschliesslich der elektronisch archivierten Datenbearbeitungen weniger als 500 Personen betrifft.

Art. 9

Delegation

1

Für die Informatikprojekte des Kantons und für Informatikprojekte, an die der Kanton nach der besonderen Gesetzgebung Abgeltungen gewährt, regelt die Finanzdirektion durch Direktionsverordnung

        a

        die Analyse der Informatiksicherheit und des Datenschutzes,

        b

        die Vorabkontrolle und deren Zeitpunkt,

        c

        die Vorgaben für die Informatiksicherheit und den Datenschutz.

5 Register der Datensammlungen

Art. 10

1

Datensammlungen werden nicht in das Register aufgenommen, wenn sie

        a

        während höchstens zweier Jahre verwendet werden,

        b

        im Staats- oder Gemeindearchiv aufbewahrt werden oder

        c

        in Form von Jahrbüchern der Öffentlichkeit zugänglich sind.

6 Auskunftsrecht

Art. 11

Modalitäten

1

Die Auskunft oder der begründete Entscheid über die Einschränkung des Auskunftsrechts (Art. 21 und 22 KDSG) ist spätestens innert 30 Tagen seit dem Eingang des Auskunftsbegehrens zu erteilen. Kann die Auskunft nicht innert 30 Tagen erteilt werden, so muss die verantwortliche Behörde die Gesuchstellerin oder den Gesuchsteller darüber benachrichtigen und ihr oder ihm die Frist mitteilen, in der die Auskunft erfolgen wird.

2

Das Auskunftsbegehren und die Auskunftserteilung können auf elektronischem Weg erfolgen, wenn die verantwortliche Behörde angemessene Massnahmen getroffen hat, um

        a

        die Identifizierung der betroffenen Person sicherzustellen und

        b

        die persönlichen Daten der betroffenen Person bei der Auskunftserteilung vor dem Zugriff unberechtigter Dritter zu schützen.

Art. 12

Auskunft über Daten von verstorbenen Personen

1

Wird Auskunft über Daten von verstorbenen Personen verlangt, so ist sie zu erteilen, wenn die Gesuchstellerin oder der Gesuchsteller ein Interesse an der Auskunft nachweist und keine überwiegenden Interessen von Angehörigen der verstorbenen Person oder von Dritten entgegenstehen. Bei naher Verwandtschaft sowie Ehe oder eingetragener Partnerschaft mit der verstorbenen Person gilt dieser Nachweis als erbracht. Vorbehalten bleiben besondere Geheimhaltungspflichten.

7 Datenschutzaufsichtsstelle, Kontaktstellen für Datenschutz

Art. 13

Dokumentation

1

Die verantwortlichen Behörden legen der Aufsichtsstelle alle Vorlagen über Erlasse und andere Massnahmen nach Artikel 34 Absatz 1 Buchstabe k KDSG vor, welche die Bearbeitung von Personendaten und den Datenschutz betreffen.

2

Die Direktionen und die Staatskanzlei teilen der kantonalen Aufsichtsstelle ihre Verfügungen und Entscheide im Bereich des Datenschutzes in anonymisierter Form mit.

Art. 14

Gemeinden, Ausgabenbefugnis

1

Treffen die Gemeinden und die anderen gemeinderechtlichen Körperschaften keine abweichende Regelung, verfügen ihre Aufsichtsstellen pro Jahr über folgende Ausgabenbefugnis:

        a

        1000 Franken für Kleinstkörperschaften gemäss Artikel 64a der Gemeindeverordnung[5],

        b

        5000 Franken für Gemeinden bis 10 000 Einwohner und für die andern gemeinderechtlichen Körperschaften,

        c

        10 000 Franken für Gemeinden mit mehr als 10 000 Einwohnern.

Art. 15

Kontaktstelle für Datenschutz

1

Die Staatskanzlei und die Direktionen bezeichnen jeweils mindestens eine Kontaktstelle für Datenschutz. Diese

        a

        berät die Organisationseinheiten in Datenschutzfragen,

        b

        leitet Anfragen, die sie nicht selber beantworten kann, an die kantonale Datenschutzaufsichtsstelle weiter,

        c

        unterstützt die verantwortlichen Organe und Benützerinnen und Benützer,

        d

        fördert die Information und die Ausbildung der Mitarbeiterinnen und Mitarbeiter,

        e

        wirkt beim Vollzug der Datenschutzvorschriften mit.

2

Bezeichnen die Direktionen und die Staatskanzlei keine anderen Stellen, sind die Rechtsdienste der Direktionen und der Staatskanzlei bzw. die Amtsjuristinnen und -juristen Kontaktstelle.

3

Die Beratung der gemeinderechtlichen Körperschaften in allgemeinen Datenschutzfragen erfolgt durch das Amt für Gemeinden und Raumordnung der Direktion für Inneres und Justiz. Zu fachspezifischen Datenschutzfragen erfolgt die Beratung durch die je zuständigen Rechtsdienste der Direktionen und der Staatskanzlei bzw. die Amtsjuristinnen und -juristen. Die kantonale Datenschutzaufsichtsstelle bleibt Anlaufstelle für die Datenschutzaufsichtsstellen gemeinderechtlicher Körperschaften. *

8 Verfahren und Rechtsschutz

Art. 16

Zuständigkeiten der Behörden der Verwaltungsrechtspflege

1

Die Zuständigkeiten der Behörden der Verwaltungsrechtspflege richten sich grundsätzlich nach den Bestimmungen des Gesetzes über die Verwaltungsrechtspflege.

2

Gegen Verfügungen von Anstalten und Körperschaften des Kantons sowie von Privaten, die kantonale öffentliche Aufgaben erfüllen, kann bei jener Direktion Beschwerde geführt werden, welche die Aufsicht wahrnimmt oder welche dem Fachbereich am nächsten steht.

3

Gegen Verfügungen von Organen des Grossen Rates kann das Plenum angerufen werden.

9. Schlussbestimmungen

Art. 17

Änderung von Erlassen

1

Folgende Erlasse werden geändert:

        1.

        Verordnung vom 26. Oktober 1994 über die Information der Bevölkerung (Informationsverordnung; IV)[6]

        2.

        Verordnung vom 26. Juni 1996 über das Vernehmlassungs- und das Mitberichtsverfahren (VMV)[7]

        3.

        Verordnung über die Organisation und die Aufgaben der Justiz-, Gemeinde- und Kirchendirektion vom 18. Oktober 1995 (Organisationsverordnung JGK; OrV JGK)[8]

        4.

        Verordnung über die Gebühren der Kantonsverwaltung vom 22. Februar 1995 (Gebührenverordnung; GebV)[9]

        5.

        Spitalversorgungsverordnung vom 30. November 2005 (SpVV)[10]

Art. 18

Inkrafttreten

1

Diese Verordnung tritt am 1. Januar 2009 in Kraft.

    Bern, 22. Oktober 2008

      Im Namen des Regierungsrates

      Die Präsidentin: Egger-Jenzer

      Der Staatsschreiber: Nuspliger

    08-119


text:
152.040.2

    Direktionsverordnung
    über Informationssicherheit und Datenschutz

    (ISDS DV)

    vom 03.01.2011 (Stand 01.04.2011)

    Die Finanzdirektion des Kantons Bern,

      gestützt auf Artikel 38 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG[1]) und Artikel 9 der Datenschutzverordnung vom 22. Oktober 2008 (DSV[2])

    beschliesst:

1 Allgemeine Bestimmungen

Art. 1

Gegenstand

1

Diese Verordnung regelt die Grundsätze und das Verfahren zur Umsetzung von Informationssicherheit und Datenschutz (ISDS) beim Einsatz von Informations- und Telekommunikationstechnologie (ICT) durch die Kantonsverwaltung.

Art. 2

Geltungsbereich

1

Diese Verordnung gilt für Projekte, Anwendungen und Komponenten der ICT.

2

Sie gilt für die ganze Kantonsverwaltung.

3

Bei der Gewährung von Abgeltungen im Sinne des Staatsbeitragsgesetzes vom 16. September 1992 (StBG [3]) für ICT-Projekte, deren Datenbearbeitungen dem KDSG unterstehen, haben die Gesuchstellerinnen und Gesuchsteller entweder die materiellen Bestimmungen dieser Verordnung (Art. 5 und die fachlichen Weisungen gemäss Art. 12) oder die Bestimmungen eines ausgewiesenen, anerkannten und gleichwertigen ISDS-Standards einzuhalten.

Art. 3

Verantwortlichkeiten

1

Verantwortlich für ISDS sind diejenigen Stellen, die Daten, insbesondere Personendaten, zur Erfüllung ihrer gesetzlichen Aufgaben bearbeiten oder durch Dritte bearbeiten lassen (verantwortliche Stellen).

2

Bearbeiten mehrere Stellen Daten gemeinsam, so ist schriftlich festzulegen, welche Stelle für ISDS die Hauptverantwortung trägt.

Art. 4

Pflichten der verantwortlichen Stelle

1

Die verantwortliche Stelle sorgt dafür, dass bei allen ICT-Anwendungen, mit denen Personendaten bearbeitet werden, die gesetzlichen und vertraglichen Datenschutzvorschriften eingehalten werden und dass bei der Bearbeitung von Daten die Informationssicherheit in angemessener Weise gewährleistet ist.

2 ISDS bei der Abwicklung von ICT-Projekten

Art. 5

ISDS-Analyse und ISDS-Konzept

1

Bei jedem ICT-Projekt bestimmt der Projektausschuss im Rahmen der Projektorganisation eine ISDS-Verantwortliche oder einen ISDS-Verantwortlichen.

2

Die verantwortliche Stelle beurteilt in der Phase Voranalyse mit einer ISDS-Analyse die datenschutzrechtliche Konformität des Vorhabens und bestimmt mit einer Schutzbedarfsklassifizierung, ob bei dem Projekt erhöhte ISDS-Anforderungen bestehen.

3

Erhöhte ISDS-Anforderungen bestehen insbesondere, wenn

        a

        der Wiederbeschaffungswert der Infrastruktur hoch ist,

        b

        ein Ausfall der ICT-Systeme von mehr als einem Arbeitstag gravierende Folgen für die Auftragserfüllung hat,

        c

        eine Wiederherstellung der Daten mit erheblichen Problemen oder Kosten verbunden ist,

        d

        die bearbeiteten Daten besonderen gesetzlichen oder vertraglichen Geheimhaltungsvorschriften unterliegen (z.B. dem Berufsgeheimnis) oder

        e

        eine Datenschutzverletzung für die Betroffenen spürbar nachteilige Folgen hat, was in der Regel bei der Bearbeitung von besonders schützenswerten Personendaten der Fall ist.

4

Ergibt die ISDS-Analyse, dass keine erhöhten ISDS-Anforderungen bestehen, sorgt die verantwortliche Stelle dafür, dass auf den Zeitpunkt der Inbetriebnahme der ICT-Anwendung die massgeblichen Datenschutzvorgaben eingehalten werden und die Informationssicherheit mindestens durch die Umsetzung der ISDS-Grundschutzmassnahmen gewährleistet ist.

5

Ergibt die ISDS-Analyse, dass erhöhte ISDS-Anforderungen bestehen, ist spätestens in der Phase Konzept ein ISDS-Konzept zu erstellen. Im Rahmen dieses Konzepts sind auf der Grundlage einer Risikoanalyse

        a

        die nach Umsetzung der ISDS-Grundschutzmassnahmen für eine angemessene Informationssicherheit und einen angemessenen Datenschutz zusätzlich erforderlichen organisatorischen und technischen Massnahmen zu bestimmen sowie

        b

        die Voraussetzungen dafür zu schaffen, dass diese auf den Zeitpunkt der Inbetriebnahme der ICT-Anwendung umgesetzt werden.

Art. 6

Unterlagen für die Bewilligung von ICT-Projekten und der entsprechenden Ausgaben

1

Anträge auf Kreditbewilligungen und Unterlagen zur Vorabkontrolle von Datenbearbeitungen (Art. 17a KDSG) enthalten die erarbeiteten ISDS-Unterlagen. Diese sind von der oder dem ISDS-Verantwortlichen des Projekts zu visieren.

2

Bestehen bei einem Vorhaben erhöhte ISDS-Anforderungen, enthält der Antrag auf Kreditbewilligung eine Stellungnahme der kantonalen Datenschutzaufsichtsstelle, die beurteilt, ob das KDSG und die anderen ISDS-Bestimmungen eingehalten werden (Vorabkontrollbericht).

3

ISDS-Unterlagen, die der kantonalen Datenschutzaufsichtsstelle zur Stellungnahme unterbreitet werden, sind gleichzeitig auch dem Informationssicherheitsbeauftragten des Kantons (IT-SIBE) (Art. 10) zuzustellen.

4

Bei der Gewährung von Abgeltungen an mit ISDS-Auflagen versehene Projekte, für die ein anderer ISDS-Standard gewählt wurde (Art. 2 Abs. 3), treten die nach Massgabe des gewählten ISDS-Standards erforderlichen Dokumente an die Stelle von ISDS-Analyse und -Konzept. In diesem Fall finden Absatz 2 und 3 unabhängig davon Anwendung, ob bei dem Vorhaben erhöhte ISDS-Anforderungen bestehen oder nicht, und auf Anfrage hin sind auch die Unterlagen, die den gewählten ISDS-Standard selbst definieren, zuzustellen.

Art. 7

Konsequenzen bei Nichteinhalten

1

Fehlen die ISDS-Analyse bzw. ein aktuelles ISDS-Konzept oder ergibt sich aus den Abklärungen, dass das Projekt nicht datenschutzkonform oder die Informationssicherheit nicht gewährleistet ist, so erteilt der Auftraggeber die Freigabe der weiterführenden Projektierungsphase nur unter der Bedingung der Behebung der Mängel, und der Betrieb darf nicht vor der Mängelbehebung aufgenommen werden.

2

Die Informationssicherheit ist insbesondere dann nicht gewährleistet, wenn bei der Inbetriebnahme der ICT-Anwendung noch als hoch bewertete Sicherheitsrisiken bestehen.

3 ISDS bei bestehenden ICT-Anwendungen

Art. 8

1

Für die ICT-Anwendungen, die nicht bereits im Projektstadium Gegenstand einer ISDS-Analyse waren, ist eine solche zu erstellen.

2

Für die Anwendungen, bei denen sich auf Grund der Schutzbedarfsklassifizierung ein erhöhter Schutzbedarf ergibt, ist ein ISDS-Konzept zu erstellen, das namentlich eine Risikoanalyse und eine verbindliche Massnahmenplanung zur Beseitigung hoher Risiken umfasst.

4 ISDS bei ICT-Komponenten

Art. 9

1

ICT-Komponenten sind die körperlichen oder unkörperlichen Teile der ICT-Infrastruktur, die zur elektronischen Datenbearbeitung durch Anwendungen dienen, beispielsweise Geräte mit oder ohne eigene Bearbeitungsfunktionen, Prozesse oder Dienstleistungsangebote («services»).

2

Für ICT-Komponenten, deren Informationssicherheit und Datenschutz nicht bereits Gegenstand des ISDS-Konzepts eines Projekts oder einer Anwendung sind, ist mindestens der ISDS-Grundschutz sicherzustellen.

3

Ergibt sich aus ISDS-Anforderungen an Projekte oder Anwendungen, für welche die ICT-Komponenten eingesetzt werden, ein weitergehender Schutzbedarf, nimmt die für das Projekt verantwortliche Stelle die entsprechenden Sicherheits- und Schutzmassnahmen vor oder sorgt für deren Vornahme durch die für die ICT-Komponenten verantwortliche Stelle.

4

Die Umsetzung der Sicherheits- und Schutzmassnahmen wird in geeigneter Form protokolliert. Der kantonalen Datenschutzaufsichtsstelle und der oder dem IT-SIBE ist auf Anfrage Einsicht in die Dokumentation zu gewähren.

5 Aufsicht und Ausführungsbestimmungen

Art. 10

Aufsicht

1

Die Aufsicht über die Einhaltung der Datenschutzvorgaben und die Gewährleistung der Informationssicherheit obliegt für die Bearbeitung von Personendaten der kantonalen Datenschutzaufsichtsstelle (Art. 34 KDSG).

2

Die kantonale Datenschutzaufsichtsstelle arbeitet mit der oder dem IT-SIBE zusammen und wird durch den oder die IT-SIBE bei ihrer Aufsicht unterstützt.

3

Der oder dem IT-SIBE obliegt die Aufsicht über die Gewährleistung der Informationssicherheit bei Tätigkeiten, bei denen keine Personendaten bearbeitet werden. Sie oder er kann zur Mitarbeit in beratender Funktion in ICT-Projekten eingeladen werden.

4

ISDS-relevante Weisungen der Stellen, für die diese Verordnung gilt (Art. 2 Abs. 2), sind spätestens eine Woche vor ihrem Erlass der kantonalen Datenschutzaufsichtsstelle und der oder dem IT-SIBE informationshalber zuzustellen. In ISDS-relevante Rechtsetzungsvorhaben sind die kantonale Datenschutzaufsichtsstelle und die oder der IT-SIBE in geeigneter Weise einzubeziehen.

Art. 11

IT-SIVE

1

Die Direktionen und die Staatskanzlei bezeichnen eine Informationssicherheitsverantwortliche oder einen Informationssicherheitsverantwortlichen (IT-SIVE) als hauptsächliche Kontaktstelle der oder des IT-SIBE.

Art. 12

Weisungen des Amtes für Informatik und Organisation

1

Das Amt für Informatik und Organisation (KAIO) erlässt nach Konsultation der Direktionen, der Staatskanzlei und der kantonalen Datenschutzaufsichtsstelle und der kantonalen Informatikkonferenz (KIK) die erforderlichen Ausführungsweisungen, namentlich über

        a

        die bei ICT-Vorhaben durchzuführende ISDS-Analyse und Schutzbedarfsklassifizierung,

        b

        das bei ICT-Vorhaben zu erstellende ISDS-Konzept,

        c

        den zu beachtenden ISDS-Grundschutz,

        d

        allgemeine ISDS-Geschäftsbedingungen des Kantons (AGB ISDS), die für ICT-Vorhaben verbindlich einzuhalten bzw. vorzugeben sind.

2

Die allgemeinen ISDS-Geschäftsbedingungen gemäss Absatz 1 Buchstabe d können vorsehen, dass vertragliche Regelungen die im Einzelfall gestützt auf Absatz 1 Buchstaben a bis c erarbeiteten ISDS-Grundlagen enthalten müssen.

3

Das KAIO stellt geeignete Hilfsmittel (Erläuterungen, Checklisten usw.) zur Verfügung und sorgt für ein angemessenes Beratungs- und Schulungsangebot.

Art. 13

Inkrafttreten

1

Diese Verordnung tritt am 1. April 2011 in Kraft.

    Bern, 3. Januar 2011

      Die Finanzdirektorin:Simon

    11-12


text:
152.041.1

    Verordnung
    über die Bekanntgabe von Personaldaten *

    (Personaldatenbekanntgabeverordnung, PDBV)

    vom 14.12.2005 (Stand 01.01.2015)

    Der Regierungsrat des Kantons Bern,

      in Ausführung von Artikel 16 des Gesetzes vom 2. November 1993 über die Information der Bevölkerung (Informationsgesetz, IG)[1], Artikel 5 und 38 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG)[2] und Artikel 109 Absatz 1 des Personalgesetzes vom 16. September 2004 (PG)[3],

      auf Antrag der Finanzdirektion, *

    beschliesst:

Art. 1

Geltungsbereich

1

Diese Verordnung gilt für die Bekanntgabe von Personaldaten durch oder im Auftrag von Behörden oder anderer Träger öffentlicher Aufgaben, mit Ausnahme der Gemeinden, an Private und an andere Behörden.

Art. 2

Betroffene Personen

1

Nach Massgabe dieser Verordnung dürfen Personaldaten der folgenden Personen bekannt gegeben werden:

        a

        Behördenmitglieder sowie Mitarbeiterinnen und Mitarbeiter der Kantonsverwaltung oder anderer Träger öffentlicher Aufgaben,

        b

        Beauftragte des Kantons und andere Personen, die im Zusammenhang mit der Erfüllung behördlicher Aufgaben Informatiksysteme oder -dienstleistungen benutzen, die der Kanton anbietet oder vermittelt.

Art. 3

Grundsätze der Datenbekanntgabe

1

Personaldaten dürfen nach Massgabe dieser Verordnung nur in dem Umfang und auf die Weise bekannt gegeben werden, wie es

        a

        zur Nutzung der Informatiksysteme oder -dienstleistungen, die der Kanton anbietet oder vermittelt, erforderlich ist oder

        b

        zur Gewährleistung der Erreichbarkeit der betroffenen Personen oder Organisationen angebracht ist,

        c *

        zur Identifikation der betroffenen Personen notwendig ist,

        d *

        Vollzug der Informationsgesetzgebung dient.

2

Die Datenbekanntgabe darf im Rahmen der Voraussetzungen von Absatz 1 auf jede Art und Weise erfolgen. Sie darf namentlich automatisiert und mit oder ohne Suchfunktion erfolgen.

3

Bilder oder Stimmwiedergaben von bestimmten oder bestimmbaren Personen dürfen nur mit ihrer Zustimmung einem unbestimmten oder grossen Personenkreis zugänglich gemacht werden. *

4

Für die Bekanntgabe von Personaldaten, über die sich diese Verordnung nicht im Einzelnen äussert, gilt die weitere Datenschutzgesetzgebung. *

Art. 4

Externe Bekanntgabe

1

Folgende Daten dürfen nach Massgabe von Artikel 3 der Öffentlichkeit, dem Personenkreis gemäss Artikel 2 und den mit Verwaltung und Betrieb der jeweiligen Informatiksysteme oder -dienstleistungen oder mit Zutrittskontrollen betrauten Stellen bekannt gegeben werden: *

        a

        Name und Vorname,

        b

        Funktion,

        c

        Anrede und Titel,

        d

        verwendete Amtssprache,

        e

        berufliche Postadresse,

        f

        berufliche E-Mail-Adresse,

        g

        berufliche Telefon- und Telefaxnummer,

        h

        organisatorische Einordnung in der Verwaltung oder Unternehmung,

        i

        Angaben über die Stellvertretung und über das Sekretariat,

        k

        technische Daten im Zusammenhang mit den genutzten Informatiksystemen oder -dienstleistungen, namentlich öffentliche digitale Schlüssel, Signaturen oder Zertifikate,

        l *

        Bilder oder Stimmwiedergaben.

2

Von der Datenbekanntgabe an die Öffentlichkeit ist abzusehen, wenn die betroffenen Personen ein entgegenstehendes, überwiegendes privates oder öffentliches Interesse glaubhaft machen. Artikel 3 Absatz 3 bleibt vorbehalten. *

Art. 5

Interne Bekanntgabe

1

Folgende Daten dürfen nach Massgabe von Artikel 3 dem Personenkreis gemäss Artikel 2 sowie den mit Verwaltung und Betrieb der jeweiligen Informatiksysteme oder -dienstleistungen betrauten Stellen bekannt gegeben werden:

        a

        berufliche Pagernummer,

        b

        Personenkürzel,

        c

        Benutzeridentifikation,

        d

        Bürostandort,

        e

        Kommunikationsprotokolle und -informationen,

        f

        Verteilerlisten.

Art. 6

Hervorhebung externer Mitarbeitender

1

Werden in Verzeichnissen sowohl Personen im Sinne von Artikel 2 Buchstabe a wie auch von Artikel 2 Buchstabe b geführt, sind Letztere besonders zu kennzeichnen.

Art. 7

Inkrafttreten

1

Diese Verordnung tritt am 1. Februar 2006 in Kraft.

    Bern, 14. Dezember 2005

      Im Namen des Regierungsrates

      Die Präsident: Annoni

      Der Staatsschreiber: Nuspliger

    06-12


text:
152.042

    Verordnung
    über die Informations- und Telekommunikationstechnik der Kantonsverwaltung

    (ICTV)

    vom 24.01.2018 (Stand 01.03.2021)

    Der Regierungsrat des Kantons Bern,

      gestützt auf Artikel 21 Absatz 1 des Gesetzes vom 20 Juni 1995 über die Organisation des Regierungsrates und der Verwaltung (Organisationsgesetz, OrG)[1],

    beschliesst:

1 Allgemeine Bestimmungen

Art. 1

Gegenstand und Ziel

1

Diese Verordnung regelt

        a

        die Führung und Steuerung der Informations- und Telekommunikationstechnik (ICT) in der Kantonsverwaltung,

        b

        die Aufgaben der damit befassten Verwaltungsstellen.

2

Sie hat zum Ziel, die Effektivität, Effizienz und Steuerung des Einsatzes der ICT sicherzustellen.

3

Vorbehalten bleiben Vorschriften der besonderen Gesetzgebung und über besondere Aspekte wie Informationssicherheit und Datenschutz (ISDS) oder Beschaffungen. *

Art. 2

Geltungsbereich

1

Die Verordnung gilt für die zentrale und die dezentrale Kantonsverwaltung.

2

Sie gilt auch für weitere kantonale Behörden, soweit sie ICT-Leistungen der Verwaltung nutzen, namentlich für

        a

        den Grossen Rat,

        b

        die Gerichtsbehörden und die Staatsanwaltschaft,

        c

        Aufsichtsbehörden.

3

Sie gilt nicht für

        a

        andere organisatorisch selbstständige Träger öffentlicher Aufgaben des Kantons,

        b

        ICT-Systeme zur Steuerung technischer Prozesse, wie Gebäudetechnik oder Verkehrsleitung.

Art. 3

Begriffe und Abkürzungen

1

In dieser Verordnung bedeuten:

        a

        DIR/STA/JUS: die Direktionen, die Staatskanzlei und die Justizbehörden,

        b

        Fachamt: Das fachlich zuständige Amt oder die einem Amt gleichgestellte Organisationseinheit,

        c

        GSK: Generalsekretärenkonferenz,

        d

        KAIO: Amt für Informatik und Organisation,

        e

        OIA: Operativer ICT-Ausschuss,

        f

        Open Source: Software, die von der Inhaberin oder vom Inhaber des Urheberrechts als Quelltext öffentlich verfügbar gemacht wird und deren Lizenz allen Personen unterschiedslos, kostenlos und ohne Rücksicht auf den Zweck die Nutzung, Änderung und Weiterverbreitung der Software einschliesslich daraus abgeleiteter Werke erlaubt,

        g *

        SIA: Strategischer ICT-Ausschuss,

        h *

        WAN: Weitbereichsdatennetz der Kantonsverwaltung (wide area network).

2

Die ICT gliedert sich in folgende drei Schichten:

        a

        Fachapplikationen: Applikationen sowie dazugehörige Dienstleistungen und Hardware, die zur Unterstützung von spezialisierten Verwaltungsprozessen oder Anforderungen eingesetzt werden,

        b

        Konzernapplikationen: Applikationen sowie dazugehörige Dienstleistungen und Hardware, die wesentliche Verwaltungsprozesse und breit abgestützte Anforderungen unterstützen, und grundsätzlich von allen DIR/STA/JUS genutzt werden müssen,

        c

        ICT-Grundversorgung: ICT-Systeme und -Dienstleistungen in den Bereichen Arbeitsplatz, Netzwerk und Kommunikation einschliesslich der dafür erforderlichen Applikationsplattformen (Server) sowie die Applikationsplattformen für Fach- und Konzernapplikationen.

2 Aufbauorganisation und Aufgaben

2.1 Grundsätze

Art. 4

Behörden und Gremien

1

Die nachstehend genannten Behörden und Gremien führen und steuern die ICT.

Art. 5

Dreischichtenmodell

1

Verantwortlich sind

        a

        für die einzelnen Fachapplikationen: das Fachamt,

        b

        für die Konzernapplikationen: das KAIO oder das Fachamt gemäss der besonderen Gesetzgebung oder dem Entscheid des SIA,

        c

        für die ICT-Grundversorgung: das KAIO.

2.2 Regierungsrat

Art. 6

1

 Der Regierungsrat

        a

        steuert die ICT strategisch und finanziell,

        b

        erlässt eine Strategie über den Einsatz der ICT (ICT-Strategie) und aktualisiert sie regelmässig,

        c

        erlässt die Eigentümerstrategie über die Bedag Informatik AG,

        d

        nimmt die ihm durch die Gesetzgebung zugewiesenen weiteren Aufgaben im Bereich der ICT wahr.

2.3 Finanzdirektion

Art. 7

1

Die Finanzdirektion

        a

        nimmt auf Direktionsebene die direktionsübergreifenden Aufgaben im Bereich ICT wahr,

        b

        stellt dem Regierungsrat Antrag für ICT-Geschäfte, welche die gesamte Verwaltung betreffen, und vertritt diese im Regierungsrat sowie im Grossen Rat und in seinen Kommissionen,

        c

        überwacht und steuert die Arbeit des SIA im Auftrag des Regierungsrates,

        d

        konkretisiert die Aufträge des Regierungsrates und beauftragt den SIA mit ihrer Umsetzung,

        e

        kann zu wichtigen Geschäften die Meinung der GSK einholen oder den SIA mit anderen Konsultationen auf Verwaltungsstufe beauftragen,

        f

        legt dem Regierungsrat Ergebnisse und Empfehlungen des SIA und der GSK mit einer Beurteilung vor.

2.4 Direktionen, Staatskanzlei und Justizbehörden (DIR/STA/JUS)

Art. 8

1

Die DIR/STA/JUS

        a

        setzen die Vorschriften über die ICT in ihrem Aufgabenbereich um,

        b

        gestalten ihre Geschäftsprozesse und deren Unterstützung durch die ICT,

        c

        bearbeiten die zur Aufgabenerfüllung notwendigen Informationen,

        d

        verantworten mit ihren Fachämtern die Entwicklung, die Wartung und die Erneuerung der Fach- und Konzernapplikationen in ihrem Aufgabenbereich,

        e

        nehmen gegenüber dem KAIO für die ICT-Grundversorgung die Rolle als Leistungsbezügerinnen ein, einschliesslich das Festlegen ihrer Anforderungen, die Überwachung der Leistungserbringung, eine regelmässige Berichterstattung und die Beilegung von Meinungsverschiedenheiten in einem vom SIA bestimmten Eskalationsverfahren,

        f

        gewährleisten ISDS beim ICT-Einsatz in ihrem Aufgabenbereich.

2

Die Fachämter der DIR/STA/JUS erlassen Verfügungen gemäss Artikel 35 Absatz 4 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG)[2] über Empfehlungen der Datenschutzaufsichtsstelle in Form eines begründeten Antrags auf Beseitigung von Verstössen und Mängeln, deren Grund in der technischen oder organisatorischen Ausgestaltung der Fach- oder Konzernapplikationen im Aufgabenbereich der Fachämter liegt.

2.5 Strategischer ICT-Ausschuss (SIA)

Art. 9

Aufgaben

1

Der SIA nimmt im Auftrag des Regierungsrates oder der Finanzdirektion die Steuerung der ICT wahr, unter Vorbehalt der Aufgaben der ihm übergeordneten Organe.

2

Der SIA

        a

        steuert die Umsetzung der ICT-Strategie,

        b

        legt Prozesse zur laufenden Steuerung der ICT fest und steuert über diese die Weiterentwicklung der ICT,

        c

        entscheidet über Ausnahmen von der ICT-Strategie und anderen Weisungen betreffend die ICT,

        d

        kann den Projektausschuss für wichtige ICT-Projekte bilden,

        e

        nimmt zuhanden der Finanzdirektion und des Regierungsrates zu ICT-Angelegenheiten Stellung,

        f

        behandelt Meinungsverschiedenheiten zwischen DIR/STA/JUS oder den ihnen nachgeordneten Stellen über ICT-Angelegenheiten. Kann er eine Meinungsverschiedenheit nicht beilegen, stellt die DIR/STA/JUS, die den SIA damit befasst hat, dem Regierungsrat einen Antrag auf Entscheid.

3

Er kann Weisungen zur Umsetzung dieser Verordnung und der ICT-Strategie erlassen.

4

Er fällt Entscheide nach Möglichkeit im Konsens. Ist dies nicht möglich, legt die oder der Vorsitzende den Entscheid des SIA auf der Grundlage der geführten Diskussion fest.

5

Die Mitglieder des SIA

        a

        koordinieren in ihren DIR/STA/JUS die Umsetzung der Entscheide des SIA und bilden so die Schnittstelle zur ICT-Führung,

        b

        stellen sicher, dass Probleme im Zusammenhang mit ICT-Angelegenheiten bei Bedarf im SIA behandelt werden.

Art. 10

Organisation

1

Dem SIA gehören an:

        a

        die Finanzdirektorin oder der Finanzdirektor als Vorsitzende oder Vorsitzender,

        b

        die Amtsvorsteherin oder der Amtsvorsteher des KAIO,

        c

        je eine Vertreterin oder ein Vertreter der DIR/STA/JUS, in der Regel die Generalsekretärin oder der Generalsekretär, deren oder dessen Stellvertreterin oder Stellvertreter oder eine Amtsvorsteherin oder ein Amtsvorsteher mit Aufgaben im Bereich der ICT.

2

Die DIR/STA/JUS bezeichnen als Vertreterinnen und Vertreter im SIA Personen, die

        a

        über die nötige Entscheidungskompetenz und Durchsetzungsfähigkeit innerhalb der DIR/STA/JUS und über fachtechnische ICT-Kompetenz verfügen,

        b

        die ICT ihrer DIR/STA/JUS, die Geschäftsanforderungen an sie sowie die finanzielle und personelle Resourcensituation und- planung ihrer DIR/STA/JUS gut kennen.

Art. 11

Geschäftsstelle

1

Das KAIO betreibt die Geschäftsstelle des SIA.

2

Die Geschäftsstelle

        a

        bereitet Geschäfte und Sitzungen vor,

        b

        protokolliert Sitzungen und sorgt für die Nachbereitung,

        c

        beschafft im Auftrag des SIA Informationen und erledigt weitere Aufgaben für den SIA.

2.6 Generalsekretärenkonferenz (GSK)

Art. 12

1

Die GSK kann zu ICT-Angelegenheiten Stellung nehmen.

2.7 Amt für Informatik und Organisation (KAIO)

Art. 13

ICT-Grundversorgung

1

Das KAIO stellt die ICT-Grundversorgung der Verwaltung sicher. Dazu

        a

        erhebt es die Anforderungen der DIR/STA/JUS und konzipiert die Leistungen,

        b

        steuert und koordiniert es die Leistungserbringerinnen,

        c *

        gewährleistet es den Informationssicherheitsgrundschutz für die ICT-Grundversorgung.

2

Es beschafft zentral Leistungen für die ICT-Grundversorgung und für Konzernapplikationen. Betriebsleistungen beschafft es grundsätzlich bei externen Anbieterinnen, mit Ausnahme des Supports der ersten Ebene.

Art. 14

Unterstützung

1

Das KAIO unterstützt die Steuerung und die interdirektionalen Gremien der ICT. Dazu

        a

        dokumentiert es die ICT-Standards und die Unternehmensarchitektur der Verwaltung und entwickelt sie weiter,

        b

        führt es das Portfolio der ICT-Applikationen, -Projekte und -Leistungen der Kantonsverwaltung.

2

Es unterstützt die Anwenderinnen und Anwender der ICT mit Informationen, Schulung und mit dem Support der ersten Ebene über einen Service Desk und vor Ort.

Art. 15

Weitere ICT-Leistungen

1

Das KAIO führt zentrale elektronische Personendatensammlungen für die Aufgabenerfüllung der Behörden, soweit die besondere Gesetzgebung dies vorsieht.

2

Es erbringt weitere ICT-Leistungen für Organisationseinheiten der Verwaltung und andere kantonale oder kommunale Träger öffentlicher Aufgaben auf der Basis von Leistungsvereinbarungen.

Art. 15a *

WAN-Nutzung

1

Die Behörden nach Artikel 2 Absatz 6 sowie deren Beauftragten nach Artikel 16 KDSG erhalten einen Zugang zum WAN des Kantons, sofern dies zur Erfüllung ihrer gesetzlichen oder vertraglichen Aufgaben erforderlich ist.

2

Der Zugang zum WAN erfolgt über vom KAIO gelieferte Router, über VPN-Token oder über VDI.

3

Gegenüber den Behörden und Beauftragten mit eigener Rechtspersönlichkeit verfügt das KAIO die Bedingungen und Auflagen für den Zugang zum WAN, insbesondere

        a

        die Rechtsgrundlage und den Zweck des WAN-Zugangs,

        b

        die Art und Menge der vom Kanton zur Verfügung gestellten Zugangsausrüstung nach Massgabe der Grösse der Behörde,

        c

        die Verpflichtung zur Einhaltung der ISDS-Vorschriften,

        d

        die Kosten und Gebühren.

4

Die Bedingungen und Auflagen entsprechen sinngemäss denjenigen, die gemäss den verwaltungsinternen Weisungen für die an das WAN angeschlossenen Behörden der Kantonsverwaltung gelten.

Art. 15b *

Kosten der WAN-Nutzung

1

Die WAN-Nutzung durch die Behörden der Kantonsverwaltung ohne Rechtspersönlichkeit sowie die Einwohner-, Burger- und Kirchgemeinden erfolgt kostenlos.

2

Für die WAN-Nutzung durch die anderen autonomen Trägerinnen und Trägern öffentlicher Aufgaben der Kantonsverwaltung und nach den Bestimmungen des Gemeindegesetzes oder des Gesetzes über die Landeskirchen werden die externen Kosten des KAIO auferlegt.

3

WAN-Nutzende, die auch einen kommerziellen Zweck verfolgen, werden sowohl die internen als auch die externen Kosten auferlegt.

Art. 16

Weitere Aufgaben

1

Das KAIO setzt die Gesetzgebung über die Harmonisierung amtlicher Register um.

2

Es kann im Auftrag der für die Applikation verantwortlichen Behörden Software, über deren Rechte der Kanton verfügt, unter den Bedingungen einer Open-Source-Lizenz veröffentlichen.

3

Es erlässt fachliche Weisungen zur Nutzung der von ihm vermittelten Leistungen.

4

Es erlässt Verfügungen gemäss Artikel 35 Absatz 4 KDSG über Empfehlungen der Datenschutzaufsichtsstelle in Form eines begründeten Antrags auf Beseitigung von Verstössen und Mängeln, deren Grund in der technischen oder organisatorischen Ausgestaltung der ICT-Grundversorgung liegt.

2.8 Operativer ICT-Ausschuss (OIA)

Art. 17

1

Der OIA ist das Koordinations- und Konzeptgremium für fachtechnische Fragen der ICT unter der Leitung und Verwaltung des KAIO.

2

Er unterstützt und berät das KAIO und den SIA.

3

Ihm gehören die Amtsvorsteherin oder der Amtsvorsteher des KAIO als Vorsitzende oder Vorsitzender sowie je eine Vertreterin oder ein Vertreter der DIR/STA/JUS an. Er kann weitere Personen beiziehen.

4

Er setzt Fachgruppen ein, um die Entwicklung in Spezialgebieten seines Aufgabenbereichs zu verfolgen und um seine Arbeit zu unterstützen.

3 Ablauforganisation

Art. 18

ICT-Prozesse

1

Der SIA regelt die für die gesamte Verwaltung geltenden Prozesse der ICT durch Weisungen.

Art. 19

ICT-Kostenmanagement

1

Das ICT-Kostenmanagement

        a

        stellt die Transparenz der Gestehungskosten und der Verwendung der in der ganzen Verwaltung eingesetzten ICT-Leistungen her,

        b

        weist die Kostenentwicklung aus, namentlich durch eine jährliche Berichterstattung,

        c

        stellt Einsparungen dem Zusatzbedarf betreffend Menge und Qualität gegenüber,

        d

        schafft mit Kennzahlen und Zielgrössen Anreize, den Resourceneinsatz zu optimieren.

2

Das KAIO verrechnet grundsätzlich externe (durch Dritte anfallende) Kosten der von ihm vermittelten Leistungen verursachergerecht den DIR/STA/JUS oder ihren Ämtern. Eigenleistungen des KAIO werden nicht weiterverrechnet.

4 Schlussbestimmungen

Art. 20

Änderungen von Erlassen

1

Folgende Erlasse werden geändert:

        a

        Verordnung vom 18. Oktober 1995 über die Organisation des Regierungsrates (Organisationsverordnung RR; OrV RR)[3],

        b

        Verordnung vom 18. Oktober 1995 über die Organisation und die Aufgaben der Volkswirtschaftsdirektion (Organisationsverordnung VOL; OrV VOL)[4],

        c

        Verordnung vom 29. November 2000 über die Organisation und die Aufgaben der Gesundheits- und Fürsorgedirektion (Organisationsverordnung GEF; OrV GEF)[5],

        d

        Verordnung vom 18. Oktober 1995 über die Organisation und die Aufgaben der Polizei- und Militärdirektion (Organisationsverordnung POM; OrV POM)[6],

        e

        Verordnung vom 18. Oktober 1995 über die Organisation und die Aufgaben der Finanzdirektion (Organisationsverordnung FIN; OrV FIN)[7],

        f

        Verordnung vom 27. November 2002 über die Organisation und die Aufgaben der Erziehungsdirektion (Organisationsverordnung ERZ; OrV ERZ)[8],

        g

        Verordnung vom 9. September 2009 über die Organisation und Steuerung der dezentralen Verwaltung der Justiz-, Gemeinde- und Kirchendirektion (OSDV)[9].

Art. 21

Inkrafttreten

1

Diese Verordnung tritt am 1. März 2018 in Kraft.

    Bern, 24. Januar 2018

      Im Namen des Regierungsrates

      Der Präsident: Pulver

      Der Staatsschreiber: Auer

    18-012


text:
152.043

    Einführungsverordnung zur EU-Datenschutzrichtlinie 2016/680 über den Schutz personenbezogener Daten

    (Einführungsverordnung zur EU-Datenschutzrichtlinie, EV EDS)

    vom 04.07.2018 (Stand 01.09.2018)

    Der Regierungsrat des Kantons Bern,

      gestützt auf Artikel 88 Absatz 3 der Kantonsverfassung[1],

    beschliesst:

Art. 1

Gegenstand und Geltungsbereich

1

Diese Verordnung regelt die Einführung der EU-Richtlinie 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates[2].

2

Sie findet Anwendung auf die Behörden, die zuständig sind für die Verarbeitung personenbezogener Daten zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (Art. 1 Abs. 1 der EU-Richtlinie 2016/680).

Art. 2

Profiling

1

Profiling ist die Bewertung bestimmter Merkmale einer Person auf der Grundlage von automatisiert bearbeiteten Personendaten, insbesondere um die Arbeitsleistung, die wirtschaftlichen Verhältnisse, die Gesundheit, das Verhalten, die Vorlieben, den Aufenthaltsort oder die Mobilität zu analysieren oder vorherzusagen.

2

Es ist unter den Voraussetzungen von Artikel 5 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG)[3] zulässig.

3

Führt es zu einem schwerwiegenden Eingriff in die Grundrechte der betroffenen Person, ist es unter den Voraussetzungen von Artikel 6 KDSG zulässig.

4

Die Bestimmungen der Artikel 10 bis 14a KDSG über die Bekanntgabe von Personendaten gelten auch für die Resultate eines Profilings, sofern sie Personendaten enthalten.

Art. 3

Nachweis der Einhaltung der Datenschutzbestimmungen

1

Die verantwortliche Behörde muss nachweisen können, dass sie die Datenschutzbestimmungen von Artikel 4 Absätze 1 bis 3 der EU-Richtlinie 2016/680 einhält.

Art. 4

Informationspflicht bei der Beschaffung von Personendaten
      1. Grundsatz

1

Die verantwortliche Behörde informiert die betroffene Person über jede Beschaffung von Daten. Diese Informationspflicht gilt auch, wenn die Daten bei Dritten beschafft werden.

2

Die Information umfasst insbesondere Angaben über

        a

        die verantwortliche Behörde samt Kontaktdaten,

        b

        die bearbeiteten Daten oder die Kategorien der bearbeiteten Daten,

        c

        die Rechtsgrundlage und den Zweck des Bearbeitens,

        d

        die Datenempfängerinnen und Datenempfänger oder die Kategorien der Datenempfängerinnen und Datenempfänger, falls die Daten Dritten bekannt gegeben werden, und

        e

        die Rechte der betroffenen Person.

3

Die Information erfolgt

        a

        durch entsprechende Angaben im öffentlich zugänglichen Register der Datensammlungen nach Artikel 18 KDSG,

        b

        auf der Internetseite der verantwortlichen Behörde oder

        c

        durch Mitteilung an die betroffene Person.

Art. 5

2. Ausnahmen

1

Auf die Information kann verzichtet werden, wenn

        a

        die betroffene Person bereits über die Informationen nach Artikel 4 Absatz 2 verfügt,

        b

        das Bearbeiten der Personendaten gesetzlich ausdrücklich vorgesehen ist oder

        c

        die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist.

2

Die Übermittlung der Informationen kann überdies unter denselben Voraussetzungen eingeschränkt werden wie der Zugang zu den eigenen Personendaten.

Art. 6

Mitteilung an die Empfängerinnen und Empfänger der Personendaten

1

Die verantwortliche Behörde teilt denjenigen Behörden oder Privaten, denen sie Personendaten bekanntgegeben hatte (Art. 10 bis 14a KDSG), mit, wenn Daten aufgrund der Artikel 23 oder 24 KDSG berichtigt oder vernichtet worden sind.

2

Die Mitteilung kann unterbleiben, wenn sie nicht möglich ist oder mit unverhältnismässigem Aufwand verbunden wäre.

Art. 7

Bearbeiten im Auftrag (Art. 16 KDSG)

1

Wer im Sinne von Artikel 16 KDSG Personendaten im Auftrag einer Behörde bearbeitet (Auftragsdatenbearbeiterinnen und Auftragsdatenbearbeiter), darf ohne deren vorgängige schriftliche Zustimmung die Datenbearbeitung keiner weiteren Auftragsdatenbearbeiterin und keinem weiteren Auftragsdatenbearbeiter übertragen.

Art. 8

Meldung von Verletzungen des Datenschutzes
      1. An die Aufsichtsstelle

1

Die verantwortliche Behörde meldet der zuständigen Aufsichtsstelle für Datenschutz (Aufsichtsstelle) unverzüglich, das heisst möglichst binnen 72 Stunden, eine Verletzung des Datenschutzes. Die Meldung besteht in einer Beschreibung der Verletzung und deren Auswirkungen sowie der ergriffenen und vorgesehenen Massnahmen zur Wiederherstellung des Schutzes bzw. zur Abschwächung der Folgen der Verletzung.

2

Eine Verletzung des Datenschutzes liegt vor, wenn die Datensicherheit so verletzt wird, dass bearbeitete Personendaten unwiederbringlich vernichtet werden oder verloren gehen, unbeabsichtigt oder unrechtmässig verändert oder offenbart werden oder dass Unbefugte Zugang zu solchen Personendaten erhalten.

3

Eine Meldepflicht besteht nicht, wenn die Verletzung des Datenschutzes voraussichtlich nicht zu einem Risiko für die Grundrechte der betroffenen Person führt.

Art. 9

2. An die betroffenen Personen

1

Die verantwortliche Behörde informiert die betroffenen Personen, wenn die Umstände dies erfordern oder die Aufsichtsstelle es verlangt. Die Benachrichtigung hat insbesondere zu erfolgen, wenn die betroffenen Personen zur Abwendung des Schadens Massnahmen ergreifen können.

2

Die Benachrichtigung kann unterbleiben, wenn

        a

        die verantwortliche Behörde technische und organisatorische Sicherheitsvorkehrungen getroffen hat, die im konkreten Fall den Eintritt eines Schadens bei der betroffenen Person verhindert haben,

        b

        durch nachträgliche Vorkehrungen sichergestellt werden konnte, dass für die Grundrechte der betroffenen Personen aller Wahrscheinlichkeit nach kein hohes Risiko mehr besteht oder

        c

        es mit unverhältnismässigem Aufwand verbunden wäre; in diesem Fall erfolgt die Benachrichtigung durch eine öffentliche Bekanntmachung.

3

Die Benachrichtigung der betroffenen Personen kann ausserdem ganz oder teilweise eingeschränkt oder aufgeschoben werden, wenn öffentliche oder private Geheimhaltungsinteressen überwiegen.

Art. 10

3. Beim Bearbeiten im Auftrag (Art. 16 KDSG)

1

Wer Personendaten im Auftrag einer Behörde bearbeitet, informiert die auftraggebende Behörde unverzüglich über eine Verletzung des Datenschutzes. Artikel 8 Absatz 1 Satz 2 und Absatz 2 gelten sinngemäss.

Art. 11

Prozessvertretung (Art. 26 KDSG)

1

Zur Prozessvertretung sind gemeinnützige Organisationen zugelassen, die sich nach ihren Statuten mit den Anliegen des Datenschutzes befassen.

Art. 12

Aufsichtsrechtliche Anzeigen (Art. 34 Abs. 1 Bst. d KDSG)

1

Die Aufsichtsstelle informiert die betroffenen Personen innerhalb von höchstens drei Monaten seit Eingang einer aufsichtsrechtlichen Anzeige über das Ergebnis oder den Stand der Abklärungen.

Art. 13

Inkrafttreten und Befristung

1

Diese Verordnung tritt am 1. September 2018 in Kraft und gilt bis zum 31. August 2023.

    Bern, 4. Juli 2018

      Im Namen des Regierungsrates

      Der Präsident: Neuhaus

      Der Staatsschreiber: Auer

    18-055


text:
152.05

    Gesetz
    über die zentralen Personendatensammlungen

    (Personendatensammlungsgesetz, PDSG)

    vom 10.03.2020 (Stand 01.01.2022)

    Der Grosse Rat des Kantons Bern,

      gestützt auf die Artikel 8 Absätze 2 bis 4, Artikel 10 Absatz 1, Artikel 12 Absatz 1 und Artikel 21 Absatz 1 des Bundesgesetzes vom 23. Juni 2006 über die Harmonisierung der Einwohnerregister und anderer amtlicher Personenregister (Registerharmonisierungsgesetz, RHG)[1] sowie Artikel 50e Absatz 3 des Bundesgesetzes vom 20. Dezember 1946 über die Alters- und Hinterlassenenversicherung (AHVG)[2],

      auf Antrag des Regierungsrates

    beschliesst:

1 Allgemeine Bestimmungen

Art. 1

Zweck

1

Dieses Gesetz bezweckt

        a

        die effiziente zentrale Bearbeitung von Personendaten,

        b

        den Aufbau, die Vereinheitlichung und den Betrieb von zentralen Personendatensammlungen,

        c

        die richtige und vollständige sowie sichere und einheitliche Führung der Personendaten nach Massgabe ihres Inhalts und Verwendungszwecks,

        d

        die Harmonisierung der Personendaten.

2

Es dient damit als Grundlage für die elektronische Verwaltungsführung im Rahmen der gesetzlichen Aufgabenerfüllung der Behörden des Kantons.

Art. 2

Geltungsbereich

1

Dieses Gesetz gilt für die Behörden nach Artikel 2 Absatz 6 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG)[3].

Art. 3

Gegenstand

1

Dieses Gesetz regelt

        a

        die Bearbeitung der Daten von natürlichen oder juristischen Personen in zentralen Personendatensammlungen,

        b

        die Umsetzung des RHG.

Art. 4

Begriffe

1

In diesem Gesetz bedeuten

        a

        Personendatensammlung: Eine Datensammlung nach Artikel 2 Absatz 2 des KDSG;

        b

        Zentrale Personendatensammlung: Eine elektronische Personendatensammlung, die das Bearbeiten der Personendaten durch mehrere Behörden ermöglicht und als zentrale Personendatensammlung bezeichnet wird;

        c

        Merkmal: Eigenschaft einer Person, die objektiv erfasst und beschrieben werden kann (Art. 3 Bst. f RHG);

        d

        Basisprofil: Eine bezeichnete Gruppe von Merkmalen, die keine besonders schützenswerten Personendaten enthalten, kein Profiling nach der einschlägigen Gesetzgebung ermöglichen und deren Bekanntgabe nicht nach Artikel 14 KDSG eingeschränkt ist, z. B. Name, Vornamen und Korrespondenzsprache;

        e

        Standardprofil: Eine bezeichnete Gruppe von Merkmalen, die auch besonders schützenswerte Personendaten enthalten können;

        f

        Funktionalität: Eine besondere Art der Datenbearbeitung, die mit der Software der Datensammlung möglich ist, z. B. die Kombination von verschiedenen Personendaten, die Festlegung des örtlichen, zeitlichen oder sachlichen Umfangs der Datensammlung oder die Erteilung von Bearbeitungsrechten;

        g

        Benutzerkonto: Eine auf eine natürliche Person oder auf ein System lautende Berechtigung für den Zugriff auf eine Personendatensammlung;

        h

        Abrufverfahren: Datenbezug aus zentralen Personendatensammlungen mittels Internet-Zugriff;

        i

        Meldeverfahren: Datenbekanntgabe mittels Meldung über die zentrale Informatik- und Kommunikationsplattform des Bundes (Sedex).

Art. 5

Grundsätze

1

Der Kanton führt zentrale Personendatensammlungen, die den Behörden zur Erfüllung ihrer gesetzlichen Aufgaben zur Verfügung stehen.

2

Eine zentrale Personendatensammlung enthält diejenigen Merkmale, die von mehreren Behörden zur Erfüllung ihrer gesetzlichen Aufgaben nach der besonderen Gesetzgebung des Bundes und des Kantons benötigt werden und bearbeitet werden dürfen.

3

Die mit dem Vollzug der besonderen Gesetzgebung betrauten Behörden können in zentralen Personendatensammlungen im Abruf- oder Meldeverfahren diejenigen Personendaten bearbeiten, die sie zur Erfüllung ihrer gesetzlichen Aufgaben benötigen.

4

Soweit für die Erfüllung ihrer gesetzlichen Aufgaben zwingend erforderlich, können die Behörden in zentralen Personendatensammlungen auch besonders schützenswerte Personendaten bearbeiten. Der Anhang 1 legt die einzelnen Daten, Datenkategorien und Funktionalitäten fest und ordnet diese den betreffenden Gesetzen zu.

2 Inhalt, Organisation und Zugriff

Art. 6

Inhalt

1

Eine zentrale Personendatensammlung verfügt über ein Basisprofil und über so viele Standardprofile und Funktionalitäten wie nötig.

Art. 7

Organisation

1

Der Regierungsrat bezeichnet die zentralen Personendatensammlungen durch Verordnung und regelt dabei

        a

        den Zweck der Personendatensammlung;

        b

        die innerhalb einer Direktion, der Staatskanzlei oder der Justiz für die Personendatensammlung verantwortliche Behörde;

        c

        die in der Datensammlung enthaltenen Personendaten;

        d

        den örtlichen und zeitlichen Datenumfang;

        e

        die besonders schützenswerten Personendaten;

        f

        das Basisprofil;

        g

        die Standardprofile;

        h

        die Funktionalitäten, die ein Profiling ermöglichen oder die in anderer Form besonders schützenswerte Personendaten erzeugen;

        i

        die Behörden, die trotz Sperre der Datenbekanntgabe nach Artikel 14 KDSG nach der besonderen Gesetzgebung zugriffsberechtig sind;[4]

        k

        den Zeitpunkt und die weiteren Modalitäten der Vernichtung der Personendaten;

        l

        die besonderen Anforderungen an die Informationssicherheit und den Datenschutz;

        m

        die weiteren technischen, organisatorischen und finanziellen Einzelheiten;

        n

        allfällige Einschränkungen für die Bearbeitung von Personendatensammlungen.

Art. 8

Berechtigungen für den Zugriff

1

Der Regierungsrat regelt durch Verordnung die Berechtigung für den Zugriff auf zentrale Personendatensammlungen.

2

Er kann vorsehen, dass

        a

        die Direktionen, die Staatskanzlei und die Justiz die Zugriffsrechte ihrer unterstellten Organisationseinheiten sowie der anderen Trägerinnen und Träger öffentlicher Aufgaben in ihrem Aufgabenbereich durch Direktionsverordnungen oder Reglemente regeln,

        b

        die Behörden nach dem Gemeindegesetz vom 16. März 1998 (GG)[5] und dem Gesetz vom 21. März 2018 über die bernischen Landeskirchen (Landeskirchengesetz, LKG)[6] die Zugriffsrechte ihrer unterstellten Organisationseinheiten sowie beaufsichtigten anderen Trägerinnen und Trägern öffentlicher Aufgaben durch Verordnung regeln.

Art. 9

Voraussetzungen für den Zugriff

1

Wer Berechtigungsregeln nach Artikel 8 erlässt,

        a

        sieht den Zugriff auf zentrale Personendatensammlungen nur vor, wenn für die Datenbearbeitung eine ausreichende gesetzliche Grundlage nach Massgabe der Datenschutzgesetzgebung besteht;

        b

        stellt sicher, dass die berechtigten Behörden nur über diejenigen Personendaten, Funktionalitäten und Zugriffsrechte verfügen, die sie zur Erfüllung ihrer gesetzlichen Aufgaben benötigen, und Gewähr für die Einhaltung der Informationssicherheits- und Datenschutzvorschriften bieten.

Art. 10

Zugriff auf Basisprofile

1

Der Regierungsrat kann vorsehen, dass Basisprofile allen Behörden zur Verfügung stehen, die diese Personendaten zur Erfüllung der gesetzlichen Aufgaben benötigen.

Art. 11

Prüfung, Anwendung und Publikation der Berechtigungsregeln

1

Wer Berechtigungsregeln nach Artikel 8 erlässt, legt sie vorgängig der zuständigen Datenschutzaufsichtsstelle zur Stellungnahme vor (Art. 34 Abs. 1 Bst. k KDSG). Die Stellungnahme kann in der Form eines begründeten Antrags erfolgen (Art. 35 Abs. 3 KDSG).

2

Die für eine zentrale Personendatensammlung verantwortliche Organisationseinheit stellt sicher, dass die Benutzerkonti gemäss den Berechtigungsregeln verwaltet werden.

3

Sie veröffentlicht die Verordnungen der Behörden nach GG und LKG im Internet, nachdem die Publikation nach den Vorschriften der Gemeindegesetzgebung stattgefunden hat.

3 Identifikationsnummern

Art. 12

1

Die Behörden des Kantons nutzen als Personen-Identifikationsnummer die Versichertennummer gemäss AHVG, die Unternehmens- oder eine andere Identifikationsnummer des Bundes, wenn die Bedingungen der Bundesgesetzgebung erfüllt sind.

2

Der Regierungsrat kann für den Kanton eine eigene Identifikationsnummer für natürliche und juristische Personen durch Verordnung vorsehen.

4 Datenverantwortung, Informationssicherheit und Datenschutz

Art. 13

Datenverantwortung

1

Die Behörde, die nach der besonderen Gesetzgebung für die Erfassung und Aktualisierung von Personendaten zuständig ist, verantwortet die Richtigkeit und die Vollständigkeit der entsprechenden Merkmale in den zentralen Personendatensammlungen.

2

Der Regierungsrat kann vorsehen, dass das Einsichtsrecht nach Artikel 21 Absatz 4 KDSG in zentrale Personendatensammlungen durch die betroffene Person direkt und auf elektronischem Weg ausgeübt werden kann.

Art. 14

Informationssicherheit und Datenschutz

1

Jede Behörde, die eine zentrale Personendatensammlung betreibt, auf eine solche zugreift oder deren Personendaten in anderer Weise bearbeitet, ist in ihrem Herrschaftsbereich für die Informationssicherheit und den Datenschutz nach Massgabe der Datenschutz- und besonderen Gesetzgebung verantwortlich.

Art. 15

Sperren und Einschränkungen der Datenbekanntgabe

1

Auskunfts- und Adresssperren nach Artikel 13 KDSG sowie Einschränkungen der Datenbekanntgabe nach Artikel 14 KDSG sind in den zentralen Personendatensammlungen umzusetzen.

2

Die betroffene Person kann Sperren oder Einschränkungen der Datenbekanntgabe bei der zuständigen Behörde vornehmen oder löschen lassen.

Art. 16

Datenvernichtung

1

Personendaten, die gemäss Feststellung der verantwortlichen Behörde nach Artikel 13 nicht mehr in den zentralen Personendatensammlungen geführt werden dürfen, sind nach den Fristen der besonderen Gesetzgebung und den Verordnungen des Regierungsrates zur entsprechenden zentralen Personendatensammlung zu vernichten.

5 Kosten für Fehlerbehebung und Datenlieferung

Art. 17

1

Der Regierungsrat regelt, ob und nach welchen Kriterien der Aufwand, der durch die vorschriftswidrige Erfassung oder Veränderung von Personendaten verursacht worden ist, von der für den Betrieb verantwortlichen Organisationseinheit den Verursacherinnen und Verursachern in Rechnung gestellt wird.

2

Er regelt die Verrechnung der Kosten für die Nutzung der Informatik- und Telekommunikationsmittel der Kantonsverwaltung.

3

Er kann vorsehen, dass für die Lieferung von Personendaten an Behörden ausserhalb der zentralen Kantonsverwaltung Gebühren erhoben werden, wenn die Personendaten auch kommerziell genutzt werden.

6 Registerwesen

Art. 18

Elektronische Registerführung

1

Der Kanton betreibt eine zentrale Personendatensammlung zur Erfüllung der Aufgaben gemäss dem RHG sowie dem Gesetz vom 12. September 1985 über Niederlassung und Aufenthalt der Schweizer (GNA)[7].

2

Die zentrale Personendatensammlung enthält insbesondere auch diese besonders schützenswerten Personendaten:

        a

        Konfession,

        b

        Angaben über den persönlichen Geheimbereich, insbesondere den seelischen, geistigen und körperlichen Zustand,

        c

        Ausweis- und Schriftensperre nach Artikel 237 Absatz 2 Buchstabe b der Schweizerischen Strafprozessordnung vom 5. Oktober 2007 (Strafprozessordnung, StPO)[8],

        d

        Angaben zum Kindes- und Erwachsenenschutz,

        e

        Angaben zum Haushalt,

        f

        Funktionalitäten nach Artikel 7 Absatz 1 Buchstabe h.

3

Sie dient den Behörden auch für ihre weitere Erfüllung gesetzlicher Aufgaben.

Art. 19

Einwohnerregister

1

Die Gemeinden führen das Einwohnerregister einschliesslich der Fremdenkontrolle sowie das Stimmregister elektronisch.

2

Der Regierungsrat kann hierfür durch Verordnung den Gemeinden Hard- und Software zur Verfügung stellen lassen oder vorsehen, dass sie bei der Registerführung technisch oder finanziell unterstützt werden.

Art. 20

Datenlieferung durch die Gemeinden

1

Die Gemeinden übermitteln die Personendaten ihrer Einwohnerregister laufend an die zentrale Personendatensammlung nach Artikel 18 Absatz 1.

2

Der Regierungsrat bezeichnet eine sichere Übermittlungsplattform, worüber die Datenlieferung zu erfolgen hat.

3

Er regelt die weiteren technischen, organisatorischen und finanziellen Einzelheiten durch Verordnung.

Art. 21

Datenlieferung durch den Kanton

1

Die vom Regierungsrat bezeichnete Behörde stellt sicher, dass die von der Bundesgesetzgebung bestimmten Personendaten an die zuständige Bundesbehörde übermittelt werden.

2

Der Regierungsrat regelt die technischen, organisatorischen und finanziellen Einzelheiten durch Verordnung.

Art. 22

Meldung einer Person

1

Wenn eine Person bei der Einwohnerkontrolle sie betreffende Daten ändern lässt, muss sie diese Änderung den kantonalen Behörden, die auf die entsprechenden Personendatensammlungen zugreifen können, nicht mehr melden. Bundesrechtliche Meldepflichten bleiben vorbehalten.

2

Die Einwohnerkontrolle teilt der betroffenen Person mit, welche Meldepflichten mit der Änderungsmeldung erfüllt sind.

3

Erhalten zuständige Behörden Kenntnis von einem meldepflichtigen Sachverhalt, fordern sie die betroffene Person mit angemessener Nachfrist zur Meldung auf.

Art. 23

Datenvernichtung

1

Personendaten, die gemäss Meldung der Gemeinde nicht mehr in den von der Meldepflicht betroffenen Registern geführt werden müssen, werden von der verantwortlichen Organisationseinheit spätestens fünf Jahre nach der Meldung der Gemeinde vernichtet.

7 Übergangs- und Schlussbestimmungen

Art. 24

Konkurrenz- und Übergangsbestimmung

1

Artikel 5 Absatz 4 inklusive Anhang 1 geht abweichenden Bestimmungen anderer Gesetze über die Bearbeitung besonders schützenswerter Personendaten in zentralen Personendatensammlungen vor.

2

Absatz 1 gilt, bis besondere Gesetze die Bearbeitung besonders schützenswerter Personendaten in ihrem Anwendungsbereich abschliessend regeln.

Art. 25

Änderung eines Erlasses

1

Das Steuergesetz vom 21. Mai 2000 (StG)[9] wird geändert.

Art. 26

Aufhebung eines Erlasses

1

Das Gesetz vom 28. November 2006 über die Harmonisierung amtlicher Register (RegG)[10] wird aufgehoben.

Art. 27

Inkrafttreten

1

Der Regierungsrat bestimmt den Zeitpunkt des Inkrafttretens.

8 Anhang 1 zu Artikel 5 Absatz 4

Art. A1-1

1

Die Daten, Datenkategorien und Funktionalitäten nach Artikel 5 Absatz 4 sind

        a

        Konfession,

        b

        Angaben über den persönlichen Geheimbereich, insbesondere den seelischen, geistigen und körperlichen Zustand,

        c

        Ausweis- und Schriftensperre nach Artikel 237 Absatz 2 Buchstabe b StPO,

        d

        Angaben zum Kindes- und Erwachsenenschutz,

        e

        Angaben zum Haushalt,

        f

        Funktionalitäten nach Artikel 7 Absatz 1 Buchstabe h.

2

Bei der Erfüllung der Aufgaben gemäss den nachfolgenden Gesetzen ist die Bearbeitung der aufgelisteten Daten, Datenkategorien und Funktionalitäten zulässig, sofern die Verhältnismässigkeit gewahrt bleibt (Art. 5 Abs. 3 KDSG):

        Nr.

        Gesetz

        Daten, Datenkategorien und Funktionalitäten (Abs. 1)

        I.

        Bundesgesetze

        1.

        Schweizerische Zivilprozessordnung (Zivilprozessordnung, ZPO; SR 272)

        a, d, e, f

        2.

        Schweizerische Strafprozessordnung (Strafprozessordnung, StPO; SR 312.0)

        a, c, d, e, f

        3.

        Schweizerische Jugendstrafprozessordnung (Jugendstrafprozessordnung, JStPO; SR 312.1)

        a, c, d, e, f

        4.

        Bundesgesetz über die Armee und die Militärverwaltung (Militärgesetz, MG; SR 510.10)

        c, d, e, f

        5.

        Bundesgesetz über den Bevölkerungsschutz und den Zivilschutz (Bevölkerungs- und Zivilschutzgesetz, BZG; SR 520.1)

        d, e, f

        6.

        Bundesgesetz über die Wehrpflichtersatzabgabe (WPEG; SR 661)

        c, d

        7.

        Bundesgesetz über die Registrierung von Krebserkrankungen (Krebsregistrierungsgesetz, KRG; SR 818.33)

        d, f

        8.

        Bundesgesetz über die Invalidenversicherung (IVG; SR 831.20)

        d, f

        9.

        Bundesgesetz über die Krankenversicherung (KVG; SR 832.10)

        d, f

        10.

        Bundesgesetz über die Unfallversicherung (UVG; SR 832.20)

        d, f

        II.

        Gesetze Kanton Bern

        1.

        Gesetz über das Kantons- und Gemeindebürgerrecht (Kantonales Bürgerrechtsgesetz, KBüG; BSG 121.1)

        c, d, e, f

        2.

        Gesetz über Niederlassung und Aufenthalt der Schweizer (GNA; BSG122.11)

        a, c, d, e, f

        3.

        Gesetz über die politischen Rechte (PRG; BSG 141.1)

        f

        4.

        Gesetz über die Regierungsstatthalterinnen und Regierungsstatthalter (RStG; BSG 152.321)

        d, e, f

        5.

        Personalgesetz (PG; BSG 153.01)

        a, b, d, f

        6.

        Gesetz über die Organisation der Gerichtsbehörden und der Staatsanwaltschaft (GSOG; BSG 161.1)

        a, c, d, e, f

        7.

        Gesetz betreffend die Einführung des Schweizerischen Zivilgesetzbuches (EG ZGB; BSG 211.1)

        d, e, f

        8.

        Gesetz über den Kindes- und Erwachsenenschutz (KESG; BSG 213.316)

        b, d, e, f

        9.

        Einführungsgesetz zum Bundesgesetz vom 16. Dezember 1983 über den Erwerb von Grundstücken durch Personen im Ausland (EG BewG; BSG 215.126.1)

        d, e, f

        10.

        Gesetz betreffend die Handänderungssteuer (HG; BSG 215.326.2)

        f

        11.

        Kantonales Geoinformationsgesetz (KGeolG; BSG 215.341)

        f

        12.

        Einführungsgesetz zur Zivilprozessordnung, zur Strafprozessordnung und zur Jugendstrafprozessordnung (EG ZSJ; BSG 271.1)

        a, c, d, e, f

        13.

        Gesetz über den Justizvollzug (Justizvollzugsgesetz, JVG; BSG 341.1)

        c, d, e, f

        14.

        Gesetz über die bernischen Landeskirchen (Landeskirchengesetz, LKG; BSG 410.11)

        a, d, f

        15.

        Volksschulgesetz (VSG; BSG 432.210)

        d, e, f

        16.

        Mittelschulgesetz (MiSG; BSG 433.12)

        d, e

        17.

        Gesetz über die Berufsbildung, die Weiterbildung und die Berufsberatung (BerG; BSG 435.11)

        d, e

        18.

        Gesetz über die Ausbildungsbeiträge (ABG; BSG 438.31)

        d

        19.

        Kantonales Bevölkerungsschutz- und Zivilschutzgesetz (KBZG; BSG 521.1)

        d, f

        20.

        Polizeigesetz (PolG; BSG 551.1)

        c, d, e, f

        21.

        Gesetz über die Steuerung von Finanzen und Leistungen (FLG; BSG 620.0)

        f

        22.

        Gesetz über die Finanzkontrolle (Kantonales Finanzkontrollgesetz, KFKG; BSG 622.1)

        a, b, d, e, f

        23.

        Steuergesetz (StG; BSG 661.11)

        a, c, d, e, f

        24.

        Gesetz über See- und Flussufer (See- und Flussufergesetz, SFG; BSG 704.1)

        f

        25.

        Baugesetz (BauG; BSG 721.0)

        f

        26.

        Strassengesetz (SG; BSG 732.11)

        f

        27.

        Gesetz über Gewässerunterhalt und Wasserbau (Wasserbaugesetz, WBG; BSG 751.11)

        f

        28.

        Spitalversorgungsgesetz (SpVG; BSG 812.11)

        d, f

        29.

        Kantonales Gewässerschutzgesetz (KGSchG; BSG 821.0)

        f

        30.

        Gesetz über die Abfälle (Abfallgesetz, AbfG; BSG 822.1)

        f

        31.

        Gesetz über die Familienzulagen (KFamZG; BSG 832.71)

        d, f

        32.

        Einführungsgesetz zum Bundesgesetz über die Alters- und Hinterlassenenversicherung (EG AHVG; BSG 841.11)

        d, f

        33.

        Einführungsgesetz zum Bundesgesetz über Ergänzungsleistungen zur Alters-, Hinterlassenen- und Invalidenversicherung (EG ELG; BSG 841.31)

        d, f

        34.

        Gesetz betreffend die Einführung der Bundesgesetze über die Kranken-, die Unfall- und die Militärversicherung (EG KUMV; BSG 842.11)

        d, e, f

        35.

        ... *

        ... *

        36.

        Feuerschutz- und Feuerwehrgesetz (FFG; BSG 871.11)

        d, e, f

        37.

        ... *

        ... *

        38.

        Hundegesetz (BSG 916.31)

        d, e

        39.

        Gesetz über Jagd und Wildtierschutz (JWG; BSG 922.11)

        f

        40.

        Gastgewerbegesetz (GGG; BSG 935.11)

        d, e, f

        41.

        Einführungsgesetz zum Ausländer- und Integrationsgesetz sowie zum Asylgesetz (EG AIG und AsylG; BSG 122.20)

        c, d, e, f

    Bern, 10. März 2020

      Im Namen des Grossen Rates

      Der Präsident: Zaugg-Graf

      Der Generalsekretär: Trees

      Auszug aus dem Protokoll des Regierungsrates vom 12. August 2020

      Der Regierungsrat stellt fest, dass vom Referendumsrecht zum Gesetz über die zentralen Personendatensammlungen (Personendatensammlungsgesetz, PDSG) innerhalb der festgesetzten Frist kein Gebrauch gemacht worden ist.

      Das Gesetz ist in die Bernische Amtliche Gesetzessammlung aufzunehmen.

      Für getreuen Protokollauszug

      Der Staatsschreiber: Auer

      RRB Nr. 53 vom 20. Januar 2021:

      Inkraftsetzung auf den 1. März 2021

    21-005