Systematische Verwendung der AHV-Nummer durch Behörden

Seit 1. Januar 2022 dürfen Behörden die AHV-Nummer systematisch auch ausserhalb der AHV verwenden. Damit wird die AHV-Nummer zu einem generellen Personenidentifikator. Die Änderung des AHVG ermöglicht es den Behörden, auch den kantonalen, die AHV-Nummer systematisch als Personenidentifikator zu verwen­den, sofern die Erfüllung ihrer gesetzlichen Aufgaben es erfordert. Ziel der neuen Regelung ist es, Verwechslungen bei der Bearbeitung von Personendossiers zu vermeiden, zur Umsetzung der e-Government-Strategie beizu­tragen, Personendaten rasch und automatisch zu aktualisieren und damit die Effizienz der Verwaltung zu steigern (Medienmitteilung des Bundesrates vom 17.11.2021).

Art. 153b ff. AHVG liefert neu die ausdrückliche gesetzliche Grundlage im Sinne des DSchG für die Ver­wendung der AHV-Nummer als Personenidentifikator. Die Artikel 153b ff. AHVG stellen somit die generelle Erlaubnisnorm für die systematische Verwendung der AHV-Nummer durch die Behörden dar.

Die AHV-Nummer ist ein Personenidentifikator und erlaubt die eindeutige Zuordnung von Informationen zu einer konkreten Person (BGer, Urteil vom 28. Februar 2022, 1C_425/2020, E. 3.3 – 3-4; BBl 2019 7367). Sie dient damit in einer Sammlung mit Personendaten der eindeutigen Personenidentifikation und damit der besseren Qualität des Datenbestands (BGer, Urteil vom 28. Februar 2022, 1C_425/2020, E. 3; BBl 2019 7375). Die AHV-Nummer darf ausserhalb der AHV nur zu administrativen Zwecken verwendet werden. Einzig für diesen Zweck – d.h. für die sichere und fehlerfreie Identifikation von Personen – ist die systematische Verwen­dung der AHV-Nummer ohne weitere, ausdrückliche gesetzliche Grundlage erlaubt.

Für alle weiteren Verwendungen der AHV-Nummer, d.h. ausserhalb des Zwecks der Identifikation, ist eine ausdrückliche gesetzliche Grundlage in einem kantonalen Gesetz notwendig. Eine ausdrückliche gesetzliche Grundlage, welche eine Behörde oder Stelle zur systematischen Verwendung der AHV-Nummer berechtigt, braucht es u.a. (Aufzählung nicht abschliessend):

• wenn Organisationen oder Personen ausserhalb der Verwaltung mit öffentlichen Aufgaben betraut sind; hier muss das anwendbare Recht die systematische Verwendung der AHV-Num­mer ausdrücklich vorsehen;
• wenn Datenbanken zusammengeführt und verknüpft werden sol­len;
• wenn ein Datenaustausch zwischen den Behörden anhand der AHV-Nummer durchgeführt werden soll (BBl 2019 7381).

Gemäss Art. 153b AHVG gilt eine Verwendung der AHV-Nummer dann als systematisch, wenn die ganze AHV-Nummer, ein Teil davon oder eine geänderte Form dieser Nummer mit Personendaten verbunden wird und diese Daten in strukturierter Form in einer Datensammlung gesammelt werden. Entscheidendes Kriterium ist dabei, ob der essenzielle, kennzeichnende Teil der AHV-Nummer in eine Datensammlung aufgenommen und darin dauerhaft gespeichert wird (BBl 2019 7386). Die systematische Verwendung umfasst damit nicht die Verwendung im Einzelfall, sondern die dauerhafte Verwendung der AHV-Nummern in einer unbegrenzten Anzahl in einer Datensammlung; als wichtiges Kriterium gilt diesbezüglich die (auch kurzfristige) Speicherung.

«Eine unsystematische Verwendung der AHV-Nummer liegt vor, wenn die AHV-Nummer verwendet wird, aber nicht gespeichert und mit Personendaten verknüpft ist» (so die Definition der ZAS). Der Begriff «unsystematisch» ist gesetzlich nicht definiert, wird aber in der Praxis verwendet. Eine unsystematische Verwendung liegt beispielsweise vor, wenn die AHV-Nummer verwendet wird, um eine Kennung des Dossiers zu suchen, ohne dass diese gespeichert wird. Gemäss Zentraler Ausgleichskasse ZAS bedarf es aber gleichwohl eine gesetzliche Grundlage. Hingegen ist nicht erforderlich, dass die Nutzung der ZAS gemeldet wird (ZAS zur unsystematischen Verwendung der AHV-Nummer Unsystematische Verwendung der AHV-Nummer (admin.ch).

Die Stellen und Personen, die zur systematischen Verwendung der AHV-Nummer berechtigt sind, wer­den in Art. 153c AHVG abschliessend aufgezählt. Neben der Bundesverwaltung und den dezentralisierten Einheiten der Bundesverwaltung sind zur systematischen Verwendung der AHV-Nummer kantonaler Ebene berechtigt

• die Kantons- und Gemeindebehörden bzw. -verwaltungen,
• die Organisationen und Personen des öffentlichen oder privaten Rechts (ausserhalb der obi­gen Behörden), die aufgrund von kantonalem oder kommunalem Recht oder durch Vertrag mit öffentlichen Verwaltungsaufgaben betraut sind; erforderlich ist allerdings hier, dass das anwendbare Recht die systematische Verwendung der AHV-Nummer vorsieht. Art. 153c Abs. 1 Ziffer 4 AHVG verlangt damit, dass für die ausgelagerte bzw. die Dritten übertragene Bear­beitung die systematische Verwendung der AHV-Nummer, sofern sie für die Aufgabenerfüllung notwendig ist, gesetzlich vorgesehen ist;
• sowie die Bildungsinstitutionen (wie bereits bisher).

Aufgrund der Einschränkung des Berechtigungskreises auf Kantons- und Gemeindebehörden sowie Bildungsinstitutionen dürfen Organisationen und Personen des öffentlichen oder privaten Rechts, die eine öffentliche Aufgabe erfüllen, die AHV-Nummer nicht systematisch verwenden; ausgenommen bleibt eine ausdrückliche gesetzliche Grundlage, welche sie dazu ermächtigt. Mit anderen Worten muss eine eigentliche Delegation oder Funktionsübertragung an Dritte gemäss Artikel 54 Kantonsverfassung ausdrücklich gesetzlich vorgesehen sein wie auch die Ermächtigung zur systematischen Verwendung der AHV-Nummer (vgl. Abgrenzung zur Auftragsbearbeitung unten).

Gemäss Botschaft zur Revision des AHVG sind auch interkantonale und überkommunale Einheiten ausserhalb der Verwaltung gemäss Art. 153c Abs. 1 Ziff. 3 AHVG angesiedelt. Soll die AHV-Nummer von solchen Einheiten systematisch verwendet werden, muss eine entsprechende gesetzliche Grund­lage geschaffen werden (BBl 2019 7386).

Aufgrund der aktuellen Gesetzgebung ist die systematische Verwendung der AHV-Nummer durch kirchliche Organisationen nicht zulässig (Fehlen einer gesetzlichen Grundlage für die systematische Verwendung der AHV-Nummer durch öffentlich-rechtliche anerkannte Kirche).

Das öffentliche Organ, das Personendaten von einem Dritten (Auftragsbearbeiter) bearbeiten lässt, bleibt für den Datenschutz verantwortlich; es muss die korrekte Ausführung des Auftrags durch den Auftragsbearbeiter gewährleisten (Art. 37 DSchG). Soll eine Auftragsbearbeitung auch die (systematische) Verwendung der AHV-Nummer, soweit überhaupt zulässig, beinhalten, muss die Behörde dafür sorgen, dass die Sicherheits- und Datenschutzmassnahmen, wie sie das AHVG vorschreibt, auf allen Ebenen, inklusive des Auftragsbearbeiters, eingehalten werden. Diese umfassen auch die Kontrolle und die Überwachung der Schnittstellen. Aufgrund des Risikopotentials, die mit einer externen Bearbeitung der AHV-Nummer verbunden ist, empfiehlt die Behörde hier Zurückhaltung. Auf jeden Fall wird die Behörde nicht darum herumkommen, eine Datenschutzfolgenabschätzung sowie ein ISDS-Konzept vorzulegen (vgl. nachfolgend).

Will eine Behörde die AHV-Nummer systematisch verwenden, muss sie verschiedene Voraussetzungen erfüllen: Bundesrecht verlangt die Regelung der Verantwortlichkeiten, Schulung und Dokumentation. Es sind zum einen technische und organisatorische Massnahmen sowie die Erstellung eines ISDS-Konzepts (Konzept Informationssicherheit und Datenschutz), um den Datenschutz sowie die Daten- und Informationssicherheit zu gewährleisten (Art. 153d AHVG) (BBl 2019 7382), anderseits sieht das Gesetz die Pflicht zur Durchführung von Risikoanalysen (Art 153e AHVG) sowie neue Mitwirkungspflichten (Art. 153f. AHVG) vor.  Die Bestimmungen zur Einschränkung der Bekanntgabe der AHV-Nummer (Art. 153g AHVG) sind nicht neu, werden neu jedoch im AHVG ver­ankert. Die Bestimmungen sind als Anhang beigeheftet.

Technische und organisatorische Massnahmen (sog. TOM’s)

Es handelt sich um Massnahmen, die bereits unter geltendem Recht auf die Datenbearbeitung An­wendung finden. Da die systematische Verwendung der AHV-Nummer die Gefahr von unzulässigen Verknüpfungen von Datenbanken erhöht, ist die Anwendung und Beachtung der Massnahmen unab­dingbar. Die Schaffung von Informations- und Informatiksicherheit ist keine Einzelmassnahme, son­dern ein kontinuierlicher Prozess (allgemein wird auf das Merkblatt der ÖDSMB zu den Massnahmen verwiesen). Die Wiedergabe der Gesetzesbestimmungen findet sich im Anhang.

Als wichtigste Mass­nahmen seien genannt:

• die Begrenzung der Anzahl der auf Datenbanken mit den AHV-Nummern zugreifenden Perso­nen je nach Aufgabenprofil (Prinzip der Verhältnismässigkeit)
• Bezeichnung eine für die systematische Verwendung der AHV-Nummer zuständige Person; diese hat das ISDS-Konzept zur Kenntnis zu nehmen und bei dessen Verletzung die erforderli­chen Massnahmen durchzusetzen (BBl 2019, 7389)
• das Erstellen eines ISDS-Konzepts (Art. 153d Bst. d AHVG; BBl 2019, 7389), das die relevanten Risikofaktoren nach den Kriterien der Verfügbarkeit, Vertraulichkeit, Integrität und Nachvoll­ziehbarkeit bewertet
• Authentifizierung der zugreifenden Personen
• Schulung der zugangs- und zugriffsberechtigten Personen
• sichere Datenübertragung
• Verschlüsselung bei Übertragung über ein öffentliches Netz
• Virenschutz
• Firewall
• die Aufzeichnung von wichtigen Abläufen innerhalb der Informationssysteme und deren Aus­wertung
• Überwachung der Schnittstellen von IT-Systemen.

Risikoanalysen

Risikoanalysen müssen regelmässig durchgeführt werden, insbesondere wenn Institutionen des öf­fentlichen und privaten Rechts mit öffentlichen Aufgaben betraut werden und sie aufgrund kantona­len Rechts die AHV-Nummer verwenden dürfen; das Gleiche gilt auch für Bildungsinstitutionen (vgl. Art. 153e AHVG). Die Risikoanalysen können im Rahmen der vorgesehenen Kontrollen im Hinblick auf den Datenschutz durchgeführt werden; als zusätzlicher Punkt ist dabei neu die systematische Ver­wendung der AHV-Nummer zu berücksichtigen (BBl 2019 7384). Die Risikoanalysen ermöglichen, un­erlaubte Zusammenführungen von Datenbanken zu erkennen und eine aussagekräftige Einschätzung der Gesamtrisiken abzugeben (BBl 2019 7390).

Mitwirkungspflichten

Die Behörden, welche die AHV-Nummer systematisch verwenden, haben Mitwirkungspflichten ge­genüber der Zentralen Ausgleichskasse (ZAS). So müssen sie der ZAS die systematische Verwendung melden, müssen Kontrollen durch die ZAS zulassen und Auskünfte erteilen und von der ZAS angeord­nete Korrekturen vornehmen (Art. 153f AHVG).

Bekanntgabe der AHV-Nummer

Die Bekanntgabe von Daten beinhaltet ein grosses Risikopotential für Datenschutzverlet­zungen. Art. 153g AHVG regelt die bereits bislang geltenden Rahmenbedingungen, unter welchen die AHV-Nummer bekannt gegeben werden darf: Es muss eine Interessenabwägung erfolgen, wobei der Bekanntgabe keine of­fensichtlich schützenswerten Interessen der betroffenen Person entgegenstehen dürfen, die Bekannt­gabe ist für die Erfüllung der Aufgaben sowohl der mitteilenden wie auch der empfangenden Behörde erforderlich. Möglich ist die Bekanntgabe selbstverständlich auch mit Einwilligung der betroffenen Person.

Weitere Hinweise zur AHV-Nummer finden Sie auf der Webseite des Bundesamtes für Sozialversiche­rungen BSV sowie zur Zentralen Aus­gleichskasse ZAS