Verordnung zum Gesetz über die digitale Verwaltung

Verordnung zum Gesetz über die digitale Verwaltung (VDVG) Vom 5. März 2024 (Stand 1. April 2024) Gestützt auf Art. 45 Abs. 1 der Kantonsverfassung 1 ) von der Regierung erlassen am 5. März 2024

1. Auslagerung

Art. 1 Auslagerung

1. Verantwortlichkeit

1 Die Verwaltungsbehörde, welche die Bearbeitung von Daten oder die Verwaltung von Informatiklösungen auslagert, bleibt verantwortlich für die Einhaltung der An - forderungen an den Datenschutz und die Datensicherheit.

2 Wenn die Auslagerung mehrere Behörden betrifft, ist eine hauptverantwortliche Behörde zu bestimmen.

Art. 2 2. Anforderungskriterien

1 Mittels Vereinbarung, Auflage oder auf andere geeignete Weise sind mindestens folgende Punkte zu regeln: a) Inhalt der Dienstleistung; b) Wahrung des Amtsgeheimnisses sowie besonderer Geheimhaltungspflichten; c) Verantwortlichkeiten; d) technische und organisatorische Massnahmen zur Wahrung des Datenschutzes und der Datensicherheit; e) Ort der Datenbearbeitung; f) Nachweismöglichkeit und Audits; g) Beizug von Dritten; h) Rückführung und Löschung der Daten.

1) BR 110.100

2. Basisdienste

Art. 3 Basisdienste

1 Als Basisdienste gelten: a) ein Portal für Leistungen der Behörden und für die Interaktion mit den Behör - den (E-Government-Portal); b) ein E-Konto und die zentrale Verwaltung der Identitäten von Benutzerinnen und Benutzern (Identity and Access Management); c) ein Dienst zur elektronischen Signierung unterschriftsbedürftiger Dokumente (Signatur-Service); d) Dienste zum Austausch von Mitteilungen und Dokumenten mit Behörden über das E-Government-Portal (Zustellplattform); e) ein Dienst zur zentralen und einheitlichen Erstellung und Verwaltung von Webformularen zwecks Erbringung von Dienstleistungen über das E-Govern - ment-Portal oder über eine Webseite (Formulardienst).

Art. 4 Integration bestehender Dienstleistungen

1 Bestehende Dienstleistungen über das Internet können in ihrer bisherigen Form weiterbetrieben werden. Sie sind zusätzlich über das E-Government-Portal anzubie - ten, soweit dies sinnvoll und technisch machbar ist.

3. E-Government-Portal

3.1. ZUSTÄNDIGKEITEN

Art. 5 Zuständige Verwaltungseinheit

1 Die Stabstelle Digitale Verwaltung ist die für den administrativen Betrieb des E- Government-Portals und die damit verbundenen Basisdienste zuständige Verwal - tungseinheit.

Art. 6 Für die Informatik zuständige Verwaltungseinheit

1 Das Amt für Informatik ist die für die Informatik zuständige Verwaltungseinheit.

3.2. E-KONTO

Art. 7 Eröffnung

1 Die Eröffnung eines E-Kontos erfolgt über ein elektronisches Formular.

2 Zur Eröffnung des E-Kontos müssen mindestens die Kontodaten gemäss Arti - kel 17 Absatz 1 Litera a bis Litera e des Gesetzes über die digitale Verwaltung 1 ) angegeben werden.

3 Jede Benutzerin und jeder Benutzer kann nur über ein E-Konto verfügen.

Art. 8 Doublettenprüfung

1 Bei der Eröffnung der Kontos findet zur Doublettenprüfung ein Abgleich der ein - gegebenen Daten mit den bestehenden Konten statt.

2 Wird beim Abgleich ein bestehendes E-Konto gefunden, kann dieses weitergenutzt oder reaktiviert werden. Dies gilt nicht, wenn das Konto nach Artikel 16 Ab - satz 2 Litera a des Gesetzes über die digitale Verwaltung 2 ) durch die zuständige Be - hörde gesperrt wurde.

Art. 9 Zustimmung zu den Rechten und Pflichten

1 Die Benutzerinnen und Benutzer sind über ihre Rechte und Pflichten bei der Eröff - nung des E-Kontos und bei jeder Änderung der Rechte und Pflichten rechtzeitig in geeigneter Weise zu informieren.

2 Die Benutzerinnen und Benutzer haben den Rechten und Pflichten bei der Eröff - nung des E-Kontos und bei jeder Änderung der Rechte und Pflichten zuzustimmen. Die Nutzung des E-Kontos kann eingeschränkt werden, solange den geänderten Be - stimmungen nicht zugestimmt wird.

3 Die Zustimmung ist durch die für die Informatik zuständige Verwaltungseinheit in geeigneter Weise aufzuzeichnen.

Art. 10 Vertretung natürlicher Personen

1 Der Umfang der Vertretungsbefugnis ist klar zu definieren, insbesondere hinsicht - lich der betroffenen Dienstleistungen.

2 Das Vertretungsverhältnis kann jederzeit beidseitig widerrufen werden.

Art. 11 Handeln juristischer Personen

1. Generelle Vorgaben

1 Für den Bezug von Dienstleistungen durch juristische Personen, sind diese einma - lig im System zu erfassen und es sind die berechtigten Benutzerinnen und Benutzer zu benennen.

2 Im Zuge der Erfassung wird mindestens eine Benutzerin oder ein Benutzer als Un - ternehmensvertretung benannt.

3 Die Fachbehörde kann zusätzliche Nachweise der Vertretungsbefugnis einfordern. Diese Vorgaben sind den Benutzerinnen und Benutzern durch die Fachbehörde in geeigneter Weise bekannt zu geben.

1) BR 177.100

2) BR 177.100

Art. 12 2. Erfassung

1 Juristische Personen mit einer Unternehmens-Identifikationsnummer (UID-Num - mer) gemäss dem Bundesgesetz über die Unternehmens-Identifikationsnummer

1 ) (UID-Einheiten) beantragen die Erfassung über das E-Konto einer Benutzerin oder eines Benutzers unter Angabe von Firmenname und UID-Nummer.

2 Nach der Antragsstellung wird ein Aktivierungscode zuhanden der Geschäftslei - tung an die im UID-Register des Bundes hinterlegte Sitzadresse der UID-Einheit ge - sendet.

3 Durch Eingabe des Aktivierungscodes über das E-Konto der dafür benannten Be - nutzerin oder des dafür benannten Benutzers wird die UID-Einheit aktiviert und die entsprechende Person zur Unternehmensvertretung berechtigt.

4 Bei juristischen Personen ohne UID-Nummer erfolgt die Zusendung des Aktivie - rungscodes an die durch die Benutzerin oder den Benutzer eingegebene Adresse. Dienstleistungen gewisser Vertrauensstufen können von der Nutzung durch juristi - sche Personen ohne UID-Nummer ausgenommen werden.

Art. 13 3. Berechtigung

1 Die Unternehmensvertretung kann weitere Benutzerinnen und Benutzer zum Be - zug von Dienstleistungen berechtigen.

2 Die Unternehmensvertretung ist für die Nachführung der berechtigten Benutzerin - nen und Benutzer verantwortlich. Sie wird vom System regelmässig zur Überprü - fung der erteilten Berechtigungen aufgefordert.

3 Das E-Konto der zum Bezug von Dienstleistungen berechtigten Benutzerinnen und Benutzer hat die für die Dienstleistung erforderliche Vertrauensstufe aufzuweisen.

Art. 14 Deaktivierung und Einschränkung

1. Durch die Benutzerin oder den Benutzer

1 Die Benutzerin oder der Benutzer kann die Deaktivierung des eigenen E-Kontos ohne Angabe von Gründen jederzeit in ihrem oder seinem E-Konto veranlassen.

Art. 15 2. Durch eine Behörde

1 Eine Behörde kann eine Deaktivierung oder Einschränkung veranlassen, sofern die Voraussetzungen von Artikel 16 Absatz 2 des Gesetzes über die digitale Verwal - tung

2 ) erfüllt sind.

2 Ein Missbrauch des E-Kontos durch das Konto einer Benutzerin oder eines Benut - zers liegt insbesondere vor, wenn sie oder er gegen die Rechte und Pflichten ver - stösst oder Anzeichen auf eine Kompromittierung des E-Kontos durch Dritte beste - hen.

1) SR 431.03

2) BR 177.100

3 Die Deaktivierung oder Einschränkung ist der Benutzerin oder dem Benutzer auf die im System hinterlegte E-Mail-Adresse mitzuteilen.

4 Die Benutzerin oder der Benutzer kann die Reaktivierung des Kontos oder die Auf - hebung der Einschränkung bei der Behörde beantragen. Die Behörde kann das Ge - such ablehnen, wenn eine Person mehrfach oder in schwerer Weise gegen die Rech - te und Pflichten verstossen hat oder die Gefahr der Kompromittierung noch nicht be - hoben ist.

5 Die betroffene Person kann bei der zuständigen Verwaltungseinheit gemäss Arti - kel 5 den Erlass eines schriftlichen Entscheids über die Verweigerung verlangen.

Art. 16 3. Folgen

1 Mit der Deaktivierung oder Einschränkung besteht kein Zugriff mehr auf die im Portal gespeicherten und die mit dem E-Konto verknüpften Daten. Die Benutzerin oder der Benutzer ist selber für die vorgängige Sicherung der eigenen Daten verant - wortlich.

2 Befindet sich die Benutzerin oder der Benutzer zum Zeitpunkt der Deaktivierung oder Einschränkung in einem hängigen Verfahren, welches gemäss den Bestimmun - gen des Gesetzes über die Verwaltungsrechtspflege

2 ) über das E-Government-Portal als Übermittlungssystem geführt wird, so haben die weiteren Verfahrenshandlungen in Papierform zu erfolgen.

3.3. DATENSCHUTZ UND DATENSICHERHEIT

Art. 17 Authentisierung

1 Um sich für eine Dienstleistung in einer Fachanwendung zu authentisieren, muss die Benutzerin oder der Benutzer: a) die von der Fachbehörde definierte Vertrauensstufe aufweisen; und b) einmalig mit der Fachanwendung verknüpft worden sein.

2 Für den Zugriff auf die Fachanwendung sind entsprechend dem Schutzbedarf der bearbeiteten Daten verschiedene Vertrauensstufen vorgesehen: a) Vertrauensstufe 0: öffentliche Daten; b) Vertrauensstufe 1: Grundschutzbedarf; c) Vertrauensstufe 2: erhöhter Schutzbedarf; d) Vertrauensstufe 3: sehr hoher Schutzbedarf.

Art. 18 Erlangung einer höheren Vertrauensstufe

1 Eine höhere Vertrauensstufe kann erlangt werden, indem die Benutzerin oder der Benutzer: a) ein amtliches Identifizierungsverfahren durchläuft; oder

2) BR 370.100

b) eine elektronische Identifizierungseinheit vorweist, welche die Vorgaben der jeweiligen Vertrauensstufe erfüllt.

2 Die Anforderungen zur Erlangung einer Vertrauensstufe richten sich nach dem Qualitätsmodell zur Authentifizierung von Subjekten (Standard eCH-0170).

Art. 19 Amtliche Identifizierung

1 Das amtliche Identifizierungsverfahren wird durchgeführt durch: a) persönliche Vorsprache bei einer Identifizierungsstelle; oder b) ein nach aktuellem Stand der Technik sicheres Online-Identifizierungsverfah - ren.

2 Die zuständige Verwaltungseinheit definiert die Identifizierungsprozesse und Iden - tifizierungsstellen und hat die Vorgaben für jede Vertrauensstufe zu publizieren.

3 Der Nachweis über das Durchlaufen des Identifizierungsprozesses kann im E-Kon - to gespeichert werden.

Art. 20 Verknüpfung mit der Fachanwendung

1 Die Verknüpfung eines E-Kontos mit einer Fachanwendung wird hergestellt, so - fern die Kontodaten mit den entsprechenden Daten in der Fachapplikation überein - stimmen. Je nach Vertrauensstufe kann die Eingabe weiterer Daten verlangt werden, welche der Benutzerin oder dem Benutzer bekannt sind.

2 Sofern Kontodaten nicht in einer Fachanwendung gespeichert sind, können diese mit der Einwilligung der Benutzerin oder des Benutzers der Fachanwendung zur Verfügung gestellt werden.

3 Die Personendaten aus den Fachanwendungen werden während der Verknüpfung im E-Konto zwischengespeichert.

4 Bei erfolgreicher Verknüpfung wird die Benutzeridentifizierungsnummer aus der Fachanwendung dauerhaft im E-Konto gespeichert.

Art. 21 Verwendung elektronischer Identifizierungseinheiten

1 Als anerkannte, elektronische Identifizierungseinheiten gelten: a) SwissID; b) gemäss bundesrechtlichen Vorgaben anerkannte elektronische Identifizie - rungseinheiten.

2 Die Daten aus der anerkannten elektronischen Identifizierungseinheit werden mit dem Einverständnis der Benutzerin oder des Benutzers im E-Konto gespeichert.

3 Die für die Informatik zuständige Verwaltungseinheit definiert unter Beachtung bundesrechtlicher Vorgaben, welche Vertrauensstufen die elektronischen Identifizie - rungseinheiten erfüllen.

Art. 22 Protokollierung

1 Die Speicherung umfasst die zugreifende Benutzerin oder den zugreifenden Benut - zer, den Zeitpunkt des Zugriffs sowie die Art der vorgenommenen Handlungen.

2 Die Protokolle können von einem beschränkten Personenkreis eingesehen und kontrolliert werden.

3 Die gespeicherten Daten werden nach zwölf Monaten gelöscht. Vorbehalten blei - ben abweichende Aufbewahrungsfristen der anwendbaren Spezialgesetzgebung.

Art. 23 Auslagerung von Datenbearbeitungen

1 Die zuständige Verwaltungseinheit kann Dritte mit Datenbearbeitungen im Zusam - menhang mit dem E-Konto, namentlich der Durchführung des Identifizierungspro - zesses und der Sicherstellung der Benutzerunterstützung, beauftragen.

4. Schlussbestimmungen

Art. 24 Übergangsbestimmungen

1 Bestehende Vereinbarungen, Auflagen oder auf andere geeignete Weise getroffene Abreden zur Auslagerung bleiben bis zu ihrem Ablauf gültig. Sie müssen bei einer allfälligen Erneuerung den Bestimmungen dieser Verordnung angepasst werden.

Änderungstabelle - Nach Beschluss Beschluss Inkrafttreten Element Änderung AGS Fundstelle

05.03.2024 01.04.2024 Erlass Erstfassung 2024-007

Änderungstabelle - Nach Artikel Element Beschluss Inkrafttreten Änderung AGS Fundstelle Erlass 05.03.2024 01.04.2024 Erstfassung 2024-007