17.1

Gesetz über den Datenschutz

(DSchG)

vom 12.10.2023 (Fassung in Kraft getreten am 01.01.2024)

Präambel

Datenschutz – G

Der Grosse Rat des Kantons Freiburg

gestützt auf Artikel 12 Abs. 1 der Verfassung des Kantons Freiburg vom 16. Mai 2004 (KV);

nach Einsicht in die Botschaft 2023-CE-149 des Staatsrats vom 26. Juni 2023;

auf Antrag dieser Behörde,

beschliesst:

1 Allgemeine Bestimmungen

Art. 1 Zweck

Dieses Gesetz bezweckt den Schutz der Grundrechte von Personen, deren Daten bearbeitet werden.

Art. 2 Persönlicher Geltungsbereich

Das Gesetz gilt für folgende öffentliche Organe:

1. die Organe des Staates, der Gemeinden und der übrigen juristischen Personen des öffentlichen Rechts;
2. Privatpersonen und Organe privater Institutionen, soweit sie öffentlich-rechtliche Aufgaben erfüllen.

Es gilt für anerkannte Kirchen, es sei denn, sie haben Datenschutzbestimmungen erlassen, die ein angemessenes Schutzniveau gewährleisten, und eine eigene Aufsichtsbehörde eingesetzt.

Art. 3 Sachlicher Geltungsbereich

Dieses Gesetz gilt für jegliche Bearbeitung von Personendaten, die von einem öffentlichen Organ im Sinne von Artikel 2 ausgeführt wird.

Ausgenommen sind:

1. die Bearbeitungen von Daten, die im Rahmen von laufenden Zivilverfahren, Strafverfahren und Verfahren der Verwaltungsjustizbehörden durchgeführt werden;
2. die Bearbeitungen von Daten, die dem ausschliesslich persönlichen Gebrauch der Person dienen, die sie durchführt;
3. die Bearbeitungen von Daten, die von einem öffentlichen Organ im wirtschaftlichen Wettbewerb mit Personen des Privatrechts durchgeführt werden.

Art. 4 Definitionen

Die folgenden Ausdrücke bedeuten:

1. Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen;
2. betroffene Person: natürliche oder juristische Person, über die Daten bearbeitet werden;
3. besonders schützenswerte Personendaten:

1.

Daten zu den religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten;

2.

Daten zur Gesundheit, zur Intimsphäre oder zur Zugehörigkeit zu einer Rasse oder Ethnie;

3.

genetische Daten;

4.

biometrische Daten, mit denen eine natürliche Person eindeutig identifiziert wird;

5.

Daten zu Massnahmen der Sozialhilfe;

6.

Daten zu Betreibungen oder zu strafrechtlichen und administrativen Sanktionen.

1. Bearbeitung: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere die Beschaffung, Speicherung, Aufbewahrung, Verwendung, Umarbeitung, Bekanntgabe, Verknüpfung, Auslagerung, Löschung, Archivierung und Vernichtung;
2. Abrufverfahren: ein automatisierter Datenbekanntgabemodus, bei dem die Empfängerin oder der Empfänger der Daten aufgrund einer Bewilligung des Verantwortlichen für die Bearbeitung selber und ohne vorherige Kontrolle über den Zeitpunkt und den Umfang der Bekanntgabe entscheidet;
3. Profiling: jede Art der automatisierten Verarbeitung von Personendaten, die darin besteht, dass diese Personendaten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser Person zu analysieren oder vorherzusagen;
4. Auslagerung: eine qualifizierte Form der Auftragsbearbeitung, welche die Nutzung von Computerressourcen beinhaltet, die über ein Kommunikationsnetz aus der Ferne zugänglich sind, um Daten zu speichern, zu bearbeiten und auszutauschen (Cloud Computing);
5. Verantwortlicher: öffentliches Organ, das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung von Personendaten entscheidet;
6. Auftragsbearbeiter: private Person oder öffentliches Organ, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet;
7. Bearbeitungsregister: Onlineverzeichnis, in dem die von den öffentlichen Organen ausgeführten Bearbeitungstätigkeiten verzeichnet sind;
8. Verletzung der Sicherheit von Personendaten: jede Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.

2 Grundsätze für die Bearbeitung von Personendaten

2.1 Allgemeine Bedingungen der Rechtmässigkeit der Bearbeitung

Art. 5 Gesetzliche Grundlage

Das öffentliche Organ darf Personendaten nur dann bearbeiten, wenn es in einer gesetzlichen Bestimmung vorgesehen wird oder wenn die Erfüllung einer gesetzlichen Aufgabe dies erfordert.

Besonders schützenswerte Personendaten dürfen nur bearbeitet werden, wenn:

1. es in einem Gesetz im formellen Sinn ausdrücklich vorgesehen wird oder
2. es für die Erfüllung einer Aufgabe, die in einem Gesetz im formellen Sinne klar definiert wird, unerlässlich ist und der Zweck des Bearbeitens keine besonderen Risiken für die Grundrechte der betroffenen Personen birgt.

Profiling-Aktivitäten und die Bearbeitung von Personendaten, deren Zwecke oder Modalitäten ein hohes Risiko für die Grundrechte der betroffenen Personen bergen, dürfen nur durchgeführt werden, wenn es in einem Gesetz im formellen Sinne ausdrücklich vorgesehen wird.

Ausnahmsweise ist keine gesetzliche Grundlage erforderlich, um Personendaten, einschliesslich besonders schützenswerte, zu bearbeiten, wenn die Bearbeitung nötig ist, um wesentliche Interessen der betroffenen Person oder einer oder eines Dritten zu wahren.

Art. 6 Einwilligung

Ausser in den Fällen nach Artikel 5 kann die betroffene Person im Einzelfall in die Bearbeitung ihrer Personendaten einwilligen.

Die betroffene Person willigt nur gültig ein, wenn sie ihren Willen frei ausdrückt und nachdem sie in angemessener Weise über den Zweck der Bearbeitung aufgeklärt wurde. Die Einwilligung muss ausdrücklich sein, wenn sie sich auf die Bearbeitung besonders schützenswerter Personendaten oder auf Profiling-Aktivitäten bezieht. Die Einwilligung wird jedoch vermutet, wenn die Person ihre Daten selbst frei zugänglich gemacht hat.

Jede Bearbeitung von Daten, die nicht auf den Grundlagen nach Artikel 5 beruht, muss von einem sichtbaren und leicht verständlichen Hinweis auf ihren freiwilligen Charakter begleitet werden.

Wenn sich die Bearbeitung auf die Einwilligung der betroffenen Person stützt, muss der Verantwortliche in der Lage sein, das Vorhandensein einer solchen Einwilligung zu beweisen.

Die Einwilligung kann jederzeit ohne Angabe von Gründen widerrufen werden. Aus technischen Gründen kann aber für die tatsächliche Umsetzung der Widerrufung der Einwilligung eine vernünftige Frist nötig sein.

Art. 7 Zweckbindung

Personendaten dürfen nur für eine bestimmte und erkennbare Verwendung beschafft werden. Sie dürfen später nur zu diesem Zweck oder zu einem Zweck, der mit diesem nach Treu und Glauben vereinbar ist, bearbeitet werden.

Die Fälle, in denen die betroffene Person in eine Änderung der Zweckbestimmung eingewilligt hat, bleiben vorbehalten.

Art. 8 Verhältnismässigkeit

Die Daten und die Art ihrer Bearbeitung müssen für den Zweck der Bearbeitung nötig, geeignet und nicht übertrieben sein.

Art. 9 Richtigkeit

Das öffentliche Organ, das Personendaten bearbeitet, achtet darauf, dass diese richtig sind. Es ergreift alle geeigneten Massnahmen, um falsche oder für den Zweck, für den sie beschafft und bearbeitet werden, unvollständige Daten zu berichtigen, zu ergänzen, zu löschen oder zu vernichten.

Art. 10 Aufbewahrungsfrist

Personendaten, die für den Zweck der Bearbeitung nicht mehr nötig sind, werden vernichtet oder anonymisiert. Die Bestimmungen über die Archivierung bleiben vorbehalten.

Mit geeigneten Schutzmassnahmen können sie insofern für längere Zeit aufbewahrt werden, soweit sie gemäss Artikel 26 ausschliesslich zu Zwecken, die sich nicht auf die Person beziehen, dienen.

Art. 11 Besondere Sorgfaltspflicht

Das öffentliche Organ, das besonders schützenswerte Personendaten bearbeitet, Profiling betreibt oder Daten zu Zwecken oder nach Modalitäten, die ein erhöhtes Risiko der Verletzung der Grundrechte mit sich bringt, bearbeitet, muss alle nötigen Massnahmen ergreifen, um dieses Risiko zu verringern.

2.2 Zusätzliche Bedingungen für bestimmte Formen der Bearbeitung

Art. 12 Beschaffen von Daten – Informationspflicht

Der Verantwortliche informiert die betroffene Person angemessen über das Beschaffen von Personendaten.

Wenn die Personendaten direkt bei der betroffenen Person beschafft werden, gibt ihr der Verantwortliche mindestens folgende Informationen:

1. der Verantwortliche und seine Kontaktdaten;
2. der Zweck der Bearbeitung;
3. allenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen die Personendaten bekanntgegeben werden;
4. Informationen dazu, ob das Beschaffen der Daten obligatorisch oder freiwillig ist.

Werden Personendaten bei einem anderen Organ oder bei Dritten beschafft, so teilt der Verantwortliche der betroffenen Person so bald wie möglich, aber spätestens bei ihrer ersten Verwendung die Informationen nach Absatz 1 und die Art der beschafften Daten mit.

Art. 13 Beschaffen von Daten – Ausnahmen von der Informationspflicht

Der Verantwortliche ist von der Informationspflicht entbunden, wenn:

1. die betroffene Person bereits über die entsprechenden Informationen verfügt;
2. es unmöglich ist, die betroffene Person zu informieren, oder die Information nur mit unverhältnismässigem Aufwand möglich ist;
3. die Daten aufgrund einer gesetzlichen Pflicht beschafft werden, ausser sie werden direkt bei der betroffenen Person beschafft.

Ausserdem kann unter denselben Voraussetzungen und aus denselben Gründen wie denjenigen nach Artikel 29 Abs. 1 von der Informationspflicht abgewichen werden.

Art. 14 Bekanntgabe von Daten – Voraussetzung

Personendaten dürfen nur dann systematisch bekanntgegeben, weitergegeben, verbreitet oder zugänglich gemacht werden, wenn es in einer gesetzlichen Bestimmung vorgesehen wird.

Personendaten können im Einzelfall bekanntgegeben werden, wenn:

1. das Bekanntgeben für die Erfüllung der gesetzlichen Aufgaben des Verantwortlichen oder der Datenempfängerin oder des Datenempfängers unerlässlich ist;
2. die betroffene Person in das Bekanntgeben eingewilligt hat;
3. die private Person, welche die Daten anfordert, ein Interesse an der Bekanntgabe nachweisen kann, das dem Interesse der betroffenen Person an der Geheimhaltung der Daten vorgeht.

Im Fall nach Absatz 2 Bst. c wird die betroffene Person vorher aufgefordert, Stellung zu nehmen, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismässigem Aufwand verbunden.

Der Zugang zu Personendaten über ein Abrufverfahren, namentlich ein Online-Zugriff, darf nur gewährt werden, wenn es in einer gesetzlichen Bestimmung vorgesehen wird.

Art. 15 Bekanntgabe von Daten – Zusätzliche Bedingungen für die grenzüberschreitende Bekanntgabe

Die Übermittlung von Personendaten einer natürlichen Person an einen ausländischen Staat oder ein internationales Organ ist nur soweit zulässig, als in einem Entscheid des Bundesrats bezeugt wird, dass der Empfängerstaat oder das internationale Organ ein angemessenes Datenschutzniveau gewährleistet.

Fehlt ein solcher Entscheid, so dürfen die Daten nur bekanntgegeben werden, wenn:

1. hinreichende, insbesondere vertragliche, vereinbarte, technische und/oder organisatorische, Garantien einen angemessenen Schutz im Ausland gewährleisten;
2. die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist;
3. die betroffene Person im Einzelfall der Bekanntgabe ausdrücklich zugestimmt hat;
4. die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags steht und es sich um Personendaten einer Vertragspartei handelt;
5. die Bekanntgabe im Einzelfall nötig ist, um das Leben oder die körperliche Integrität der betroffenen Person oder einer Drittperson zu schützen.

Die oder der Öffentlichkeits- und Datenschutzbeauftragte (die oder der Beauftragte) wird vor der Bekanntgabe von Personendaten ins Ausland rechtzeitig über die Garantien nach Absatz 2 Bst. a informiert. Auf Anfrage kann sie oder er jederzeit Informationen erhalten, um zu überprüfen, ob eine Bekanntgabe von Daten ins Ausland den Anforderungen nach den Buchstaben b‒e entspricht.

Nicht als Bekanntgabe ins Ausland wird die einfache Veröffentlichung von Daten auf einer Website, die der Öffentlichkeit offensteht, betrachtet.

Art. 16 Bekanntgabe von Daten – Einschränkungen

Die Bekanntgabe wird abgelehnt, eingeschränkt oder mit Auflagen verbunden, wenn:

1. ein überwiegendes öffentliches Interesse oder ein schutzwürdiges Interesse der betroffenen Person oder eines Dritten es gebietet, oder
2. eine gesetzliche Geheimhaltungspflicht oder eine besondere Datenschutzbestimmung dies erfordert.

Art. 17 Bekanntgabe von Daten – Vorbehalte

Die Bekanntgabe von Personendaten, die bei der Einwohnerkontrolle oder im Kantonalen Bezugssystem eingetragen sind, wird in den entsprechenden Gesetzen geregelt.

Die öffentliche Bekanntgabe von Personendaten richtet sich ausserdem nach der Gesetzgebung über die Information und den Zugang zu Dokumenten.

Art. 18 Auslagerung – Grundsätze

Die Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Daten, kann unter den in diesem Gesetz festgelegten Bedingungen ausgelagert werden.

Die Daten müssen jederzeit auf dem Gebiet der Schweiz oder auf dem Gebiet eines Staates, der ein angemessenes Schutzniveau gewährleistet, bearbeitet werden.

Wenn die Auslagerung eine Delegation von Aufgaben an Dritte im Sinne von Artikel 54 KV[1] zur Folge hat, gelten die besonderen Anforderungen gemäss dieser Bestimmung.

Einmal pro Legislaturperiode legt der Staatsrat im Rahmen seines Richtplans der Digitalisierung eine Bestandesaufnahme zur Auslagerung der Datenbearbeitung vor.

Art. 19 Auslagerung – Verantwortung

Das öffentliche Organ, das eine Auslagerung vornimmt, bleibt für den Schutz der Personendaten, insbesondere für die Vertraulichkeit und die Dauerhaftigkeit ihrer Aufbewahrung und Nutzung, verantwortlich. Insbesondere:

1. ergreift es die Vorsichtsmassnahmen, die bei der Wahl des Auftragsbearbeiters, den Weisungen an diesen und der Aufsicht über diesen aufgrund der Umstände geboten sind;
2. gewährleistet es den Schutz und die Sicherheit der Daten und seiner eigenen Informationssysteme, indem es einen Vertrag abschliesst, der mindestens Folgendes beschreibt:

1.

den Gegenstand, die Art, den Zweck und die Dauer der Auslagerung;

2.

die betroffenen Datenkategorien;

3.

die Pflichten und die Rechte jeder Partei;

4.

die Rechte und die Möglichkeiten der Kontrolle über den Auftragsbearbeiter;

5.

das an den Auftragsbearbeiter gerichtete Verbot, ohne vorherige Genehmigung durch den Verantwortlichen seinerseits einen weiteren Auftragsbearbeiter mit der Bearbeitung zu beauftragen;

6.

die Pflicht des Auftragsbearbeiters, den Verantwortlichen unverzüglich zu informieren, wenn er aufgrund eines ausländischen Ge-setzes oder eines richterlichen Entscheids die Daten einer auslän-dischen Behörde bekanntgeben muss oder Gefahr läuft, dass er es tun muss.

1. überträgt es dem Auftragsbearbeiter keine Bearbeitung, die es nicht selber ausführen darf;
2. sorgt es dafür, dass es die von einer Auslagerung betroffenen Daten rechtzeitig zurückbekommen kann, namentlich damit es den Auftragsbearbeiter wechseln, die Daten wieder bei sich bearbeiten oder sie dem Historischen Archiv abliefern kann;
3. macht es den Auftragsbearbeiter auf seine Geheimhaltungspflichten aufmerksam, insbesondere auf das Amtsgeheimnis und/oder das Berufsgeheimnis.

Bei der Kantonsverwaltung übernehmen das sachlich zuständige Organ und das Amt, das für die Informatik zuständig ist[2], gemeinsam die Verantwortung für die Umsetzung und die Kontrolle der Vorschriften über die Auslagerung. Fälle, in denen das sachlich zuständige Organ seine Informatiksysteme ganz oder teilweise autonom verwaltet, bleiben vorbehalten.

Wenn die Auslagerung mehrere verschiedene Organe desselben Gemeinwesens betrifft, wird ein hauptverantwortliches Organ bezeichnet. Im Übrigen gilt Absatz 2.

Art. 20 Auslagerung – Sicherheitsmassnahmen

Die Integrität, die Authentizität, die Verfügbarkeit und die Vertraulichkeit der ausgelagerten Personendaten sowie die Dauerhaftigkeit ihrer Aufbewahrung und Nutzung müssen durch geeignete organisatorische und technische Massnahmen, die der Entwicklung der verfügbaren Technologien angepasst sind, sichergestellt werden.

Die Definition der Sicherheitsmassnahmen berücksichtigt das Risiko, welches das Bearbeiten der fraglichen Daten für die Grundrechte der betroffenen Personen mit sich bringt.

Wenn die Auslagerung Daten betrifft, die für den Betrieb der Verwaltung unentbehrlich sind, muss die Fortführung der ausgelagerten Tätigkeiten bei einem Zwischenfall mit einem angemessenen Dispositiv sichergestellt werden.

Art. 21 Auslagerung – Massnahmen für besonders schützenswerte Personendaten

Die Bearbeitung von besonders schützenswerten Personendaten und die Bearbeitung von Daten, die einer gesetzlichen oder vertraglichen Geheimhaltungspflicht unterliegen, darf dann ausgelagert werden, wenn die Vertraulichkeit gegenüber dem Auftragsbearbeiter sichergestellt ist, so dass dieser auf deren Inhalt keinen Zugriff hat.

Wenn der Auftragsbearbeiter aus technischen Gründen unbedingt Zugriff auf die Daten haben muss, werden im Auslagerungsvertrag die nötigen besonderen Anforderungen festgelegt, insbesondere die Verpflichtung des Auftragsbearbeiters, nur mit ausdrücklicher Zustimmung des öffentlichen Organs, das die Daten auslagert, auf den Inhalt der Daten zuzugreifen, und die Pflicht, ein Zugriffsjournal zu führen.

Bei der Auslagerung von Daten, die einer gesetzlichen Geheimhaltungspflicht unterliegen, stellt der Verantwortliche sicher, dass der Auftragsbearbeiter den Status einer Hilfsperson des Geheimnisträgers hat.

Art. 22 Pilotprojekte, welche die Bearbeitung bestimmter Datenkategorien beinhalten

Wenn ein Pilotprojekt im Sinne von Artikel 35 des E-Government-Gesetzes vom 18. Dezember 2020 (E-GovG)[3] die Bearbeitung besonders schützenswerter Personendaten oder andere Arten der Bearbeitung im Sinn von Artikel 5 Abs. 3 beinhaltet, so unternimmt das für das Pilotprojekt verantwortliche Organ Folgendes:

1. es übermittelt der Kantonalen Behörde für Öffentlichkeit, Datenschutz und Mediation (Aufsichtsbehörde) spätestens einen Monat vor seiner Übermittlung an den Staatsrat das Dossier nach Artikel 35 Abs. 2 Bst. d E-GovG[4];
2. es übermittelt der Aufsichtsbehörde spätestens einen Monat vor seiner Übermittlung an den Staatsrat den Evaluierungsbericht nach Artikel 35a Abs. 2 E-GovG[5];
3. es ergreift die erforderlichen Massnahmen, um den Schutz der Grundrechte und der Personendaten der betroffenen Personen während der gesamten Dauer des Pilotprojekts zu gewährleisten.

Die Unterlagen des Pilotprojekts und der Evaluierungsbericht müssen jeweils mindestens einen Teil enthalten, der sich mit der Bearbeitung von Personendaten und deren Schutz befasst.

Die Aufsichtsbehörde kann zum Inhalt der Unterlagen des Pilotprojekts und des Evaluierungsberichts Stellung nehmen. Ihre Stellungnahme wird dem Staatsrat mitgeteilt.

Art. 23 Archivierung

Personendaten unterliegen der Gesetzgebung über die Archivierung; ihre Archivwürdigkeit wird in Zusammenarbeit mit den für das historische Archiv zuständigen Organen bestimmt.

Art. 24 Löschen und Vernichten

Personendaten, deren Aufbewahrung keinem Zweck mehr dient und die nicht archivwürdig sind, werden so bald wie möglich mit geeigneten Mitteln, welche die gesicherte Beseitigung gewährleisten, gelöscht oder vernichtet.

Die Datenträger werden beim Recycling oder beim Ersetzen zerstört, wenn das Risiko besteht, dass unbefugte Personen besonders schützenswerte Personendaten, die gelöscht wurden, einsehen könnten.

Art. 25 Videoüberwachung

Die Vorschriften über die Videoüberwachung befinden sich in der einschlägigen Gesetzgebung.

2.3 Bearbeitung von Daten für nicht personenbezogene Zwecke

Art. 26 Vorschriften

Die öffentlichen Organe dürfen Personendaten bearbeiten und für nicht personenbezogene Zwecke, namentlich für die Forschung, die Planung und die Statistik, unter folgenden Voraussetzungen bekanntgeben:

1. die Daten werden vernichtet oder anonymisiert, sobald der Bearbeitungszweck dies erlaubt;
2. die Empfängerin oder der Empfänger gibt die Daten nur mit dem Einverständnis der Person oder des Organs, die oder das sie ihm weitergegeben hat, Dritten bekannt;
3. besonders schützenswerte Personendaten werden Privatpersonen nur in einer Form, in der es nicht möglich ist, die betroffenen Personen zu identifizieren, weitergegeben;
4. die Ergebnisse müssen so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind.

Die Artikel 5 Abs. 2 und 3, 7 und 14 Abs. 1 gelten nicht.

Privatpersonen, die von einem öffentlichen Organ Personendaten für die Bearbeitung zu nicht personenbezogenen Zwecken erhalten, verpflichten sich schriftlich, die nötigen Vorsichtsmassnahmen zu ergreifen, um die Persönlichkeit der betroffenen Personen zu schützen.

3 Rechte der betroffenen Personen

Art. 27 Auskunftsrecht – Grundsätze

Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.

Das Auskunftsrecht gilt namentlich für folgende Informationen:

1. der Verantwortliche und seine Kontaktdaten;
2. bearbeitete Personendaten;
3. Zweck und allenfalls rechtliche Grundlagen der Bearbeitung;
4. Aufbewahrungsfrist der Personendaten oder, wenn das nicht möglich ist, die Kriterien, um diese zu bestimmen;
5. die verfügbaren Informationen über die Herkunft der Personendaten;
6. allenfalls Logik und Kriterien einer Massnahme oder eines Entscheids, die oder der aufgrund einer automatisierten Bearbeitung von Daten ergriffen oder gefällt wurde;
7. allenfalls Empfängerinnen und Empfänger oder die Empfängerkategorien, denen diese Daten bekanntgegeben werden, und die Informationen nach Artikel 15 Abs. 3.

Lässt ein öffentliches Organ Daten durch einen Auftragsbearbeiter bearbeiten, so bleibt es verpflichtet, die Daten bekanntzugeben und die verlangten Auskünfte zu erteilen.

Niemand darf im Voraus auf das Auskunftsrecht verzichten.

Art. 28 Auskunftsrecht – Modalitäten

Wer das Auskunftsrecht geltend macht, muss seine Identität nachweisen.

Die Auskünfte werden in der Regel schriftlich auf einem physischen Träger oder elektronisch erteilt. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten auch vor Ort einsehen.

Das Verfahren ist kostenlos. Der Staatsrat kann Ausnahmen vorsehen.

Art. 29 Auskunftsrecht – Einschränkungen

Der Verantwortliche kann die Auskunft verweigern, einschränken oder auf-schieben, wenn und soweit:

1. es in einem Gesetz im formellen Sinn vorgesehen wird;
2. ein überwiegendes öffentliches Interesse es gebietet, namentlich wenn die Auskunft ein laufendes Verfahren oder eine laufende Untersuchung beeinträchtigen könnte;
3. das überwiegende Interesse eines Dritten es gebietet;
4. das Auskunftsgesuch offensichtlich missbräuchlich ist, namentlich aufgrund der Wiederholung.

Die Bekanntgabe von Daten, die im historischen Archiv abgelegt sind, kann ebenfalls verweigert, eingeschränkt oder aufgeschoben werden, wenn die Behandlung des Gesuchs nicht mit einer rationellen Verwaltungsführung vereinbar ist und die betroffene Person kein schutzwürdiges Interesse geltend macht.

Der Verantwortliche muss angeben, aus welchem Grund er die Auskunft verweigert, einschränkt oder aufschiebt.

Art. 30 Daten verstorbener Personen

Auf Verlangen gewährt der Verantwortliche kostenlos Einsicht in die Personendaten einer verstorbenen Person, wenn:

1. die ersuchende Person ein Interesse daran hat, diese Auskünfte zu erhalten, und
2. kein überwiegendes öffentliches oder privates Interesse, insbesondere der verstorbenen Person oder ihrer Angehörigen, entgegensteht.

Ein Interesse an der Einsichtnahme besteht, wenn ein nahes Verwandtschaftsverhältnis, eine Ehe oder eine eheähnliche Gemeinschaft mit der verstorbenen Person vorliegt.

Für den Zugang zu Daten, die dem Berufsgeheimnis unterliegen, bleibt Artikel 321 StGB[6] vorbehalten.

Art. 31 Einsprache gegen die Bekanntgabe von Personendaten

Die betroffene Person kann gegen das Bekanntgeben bestimmter Personendaten durch den Verantwortlichen Einsprache einlegen.

Personendaten dürfen trotz Einsprache von Seiten der betroffenen Person bekanntgegeben werden, wenn:

1. es gesetzlich vorgesehen ist;
2. die Unterlassung der Mitteilung die Erfüllung der Aufgaben des öffentlichen Organs gefährden könnte;
3. die Person, welche die Daten anfordert, eine Privatperson ist und die beiden folgenden Bedingungen erfüllt sind:

1.

es existieren keine rechtlichen Hindernisse für die Bekanntgabe;

2.

die Gesuchstellerin oder der Gesuchsteller beweist, dass die betroffene Person sich wahrscheinlich der Bekanntgabe nur widersetzt, um sie oder ihn daran zu hindern, rechtliche Forderungen oder andere rechtmässige Interessen geltend zu machen.

In den Situationen nach Absatz 2 Bst. c wird die betroffene Person soweit möglich vorgängig angehört. Der Verantwortliche entscheidet über die Bekanntgabe mit einem Entscheid.

Die Artikel 11 und 27 Abs. 1 Bst. c und Abs. 2 des Gesetzes vom 9. September 2009 über die Information und den Zugang zu Dokumenten (InfoG)[7] bleiben vorbehalten.

Art. 32 Datenübertragbarkeit

Die betroffene Person kann vom Verantwortlichen verlangen, dass er ihr die sie betreffenden Personendaten in einem häufig verwendeten elektronischen Format zur Verfügung stellt, wenn die folgenden Bedingungen erfüllt sind:

1. der Verantwortliche bearbeitet Personendaten automatisiert; und
2. in der Sondergesetzgebung ist ausdrücklich das Bestehen eines Rechts auf Übertragbarkeit vorgesehen, oder der Verantwortliche hat von sich aus beschlossen, eine solche Möglichkeit einzuführen.

Sofern die Voraussetzungen nach Absatz 1 erfüllt sind und kein unverhältnismässiger Aufwand nötig ist, kann die betroffene Person ausserdem vom Verantwortlichen verlangen, dass er die sie betreffenden Personendaten einem anderen Verantwortlichen übermittelt.

Der Verantwortliche händigt die Personendaten kostenlos aus oder übermittelt sie. Die Spezialgesetzgebung bleibt vorbehalten.

Art. 33 Abwehrklagen

Wer ein schutzwürdiges Interesse hat, kann vom Verantwortlichen verlangen, dass er:

1. die widerrechtliche Bearbeitung von Personendaten unterlässt;
2. die widerrechtliche Bearbeitung beendet;
3. die Widerrechtlichkeit einer Bearbeitung feststellt.

Sie oder er kann insbesondere verlangen, dass der Verantwortliche:

1. falsche Daten über sie oder ihn berichtigt oder Daten löscht, deren Aufbewahrung keinem Zweck mehr dient;
2. die Bearbeitung von bestimmten Daten über sie oder ihn, namentlich die Änderung und die Bekanntgabe an Dritte, vorübergehend einschränkt;
3. bei Daten, die sie oder ihn betreffen und bei denen weder die Richtigkeit noch die Unrichtigkeit bewiesen werden kann, einen entsprechenden Vermerk anbringt;
4. einen Entscheid über sie oder ihn veröffentlicht oder Dritten mitteilt.

Personendaten in Archivbeständen oder in öffentlich zugänglichen Beständen dürfen weder berichtigt noch vernichtet werden. Die betroffene Person oder jede Person, die ein schutzwürdiges Interesse hat, kann jedoch verlangen, dass die Einrichtung den Zugang zu den umstrittenen Daten einschränkt und/oder einen entsprechenden Vermerk anbringt.

Art. 34 Verfahren und Rechtsmittel

Für Entscheide, die nach diesem Abschnitt getroffen werden, gilt das Gesetz über die Verwaltungsrechtspflege[8]. Gegen diese Entscheide kann Beschwerde eingereicht werden.

Ausser wenn sich die betroffene Person dagegen wehrt, teilt das Organ, das den Entscheid gemäss Absatz 1 gefällt hat, ihn der Aufsichtsbehörde mit.

Die Aufsichtsbehörde kann gegen den Entscheid Beschwerde erheben.

Art. 35 Schadenersatz und Genugtuung

Die Person, die einen Schaden erleidet, weil die Bestimmungen dieses Gesetzes verletzt wurden, kann Schadenersatz- und Genugtuungsansprüche gemäss dem Gesetz über die Haftung der Gemeinwesen und ihrer Amtsträger[9] geltend machen.

Sie kann von der Richterin oder vom Richter verlangen, dass sie oder er das Urteil vollständig oder teilweise veröffentlicht oder Dritten mitteilen lässt.

4 Durchführung des Datenschutzes

Art. 36 Verantwortung – Im Allgemeinen

Jedes öffentliche Organ, das Personendaten bearbeitet, ist für den Datenschutz verantwortlich.

Bearbeiten mehrere öffentliche Organe zusammen Daten, so ist die Verteilung ihrer Pflichten beim Datenschutz in der Meldung nach Artikel 38 zu regeln, es sei denn, dass sie ausdrücklich aus einer gesetzlichen Bestimmung hervorgeht.

Die Aufteilung der Verantwortung nach Absatz 2 kann der betroffenen Person nicht entgegengehalten werden.

Art. 37 Verantwortung – Auftragsbearbeitung

Das öffentliche Organ, das Personendaten von einem Auftragsbearbeiter bearbeiten lässt, bleibt für die Verpflichtungen nach der Gesetzgebung über den Datenschutz verantwortlich.

Die Bearbeitung von Personendaten kann einem Auftragsbearbeiter übertragen werden, sofern es in einem Vertrag oder einer Vereinbarung vorgesehen wird und die folgenden Bedingungen erfüllt sind:

1. ausgeführt werden nur Bearbeitungen, welche der Verantwortliche selber durchführen dürfte;
2. keine gesetzliche oder vertragliche Geheimhaltungspflicht verbietet es;
3. der Auftragsbearbeiter darf nicht ohne vorherige Bewilligung des Verantwortlichen seinerseits einen Dritten mit dem Bearbeiten beauftragen.

Der Verantwortliche muss insbesondere sicherstellen, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.

Der Auftragsbearbeiter kann die gleichen Rechtfertigungsgründe geltend machen wie der Verantwortliche.

Sofern das Gesetz oder eine Vereinbarung zwischen Organen nichts anderes vorsieht, gelten die Vorschriften über die Auftragsbearbeitung nicht zwischen Organen, die derselben Körperschaft angehören. Artikel 36 Abs. 2 ist anwendbar.

Art. 38 Bearbeitungsregister – Grundsätze

Die Aufsichtsbehörde führt ein öffentliches Register der Bearbeitungstätigkeiten, die von den diesem Gesetz unterstellten Organen ausgeführt werden.

Für jede Bearbeitungstätigkeit enthält dieses Register die folgenden Informationen:

1. der Verantwortliche, bei dem die betroffenen Personen ihre Rechte hauptsächlich geltend machen können;
2. allenfalls die übrigen Verantwortlichen und die Aufteilung der Verantwortung;
3. allenfalls Auftragsbearbeiter und ihre Kontaktdaten;
4. die Bezeichnung, die gesetzliche Grundlage und die Zweckbindung der Bearbeitung;
5. Beschreibung der Kategorien der betroffenen Personen und der Kategorien der bearbeiteten Personendaten;
6. die regelmässigen Datenempfängerinnen und Datenempfänger.

Alle Verantwortlichen melden der Aufsichtsbehörde die von ihnen durchgeführten Bearbeitungstätigkeiten und ihre jeweiligen Änderungen.

Bei der gemeinsamen Bearbeitung von Daten richtet der Verantwortliche, der die Erklärung für die Bearbeitung ausfüllt, eine Kopie an die übrigen Verantwortlichen.

Art. 39 Bearbeitungsregister – Ausnahmen

Soweit sie ausschliesslich zu internen Verwaltungszwecken, die für ein öffentliches Organ typisch sind, durchgeführt werden, unterliegen die folgenden Bearbeitungen nicht der Meldepflicht:

1. Datensammlungen, die nur öffentlich zugängliche Informationen enthalten;
2. Korrespondenzablagen;
3. Adressensammlungen;
4. Lieferanten- und Kundendateien;
5. Führen und Verwalten von Buchhaltungsbelegen, wenn sie Personendaten enthalten;
6. Verwalten und Führen der Dokumente, die im Historischen Archiv abgelegt wurden;
7. Bearbeitungstätigkeiten, die nicht personenbezogene Zwecke betreffen, insbesondere im Rahmen von Forschung, Planung und Statistik.

Auf Stellungnahme der Aufsichtsbehörde kann der Staatsrat für andere Kategorien der Bearbeitung, die offensichtlich kein Risiko für die Rechte der betroffenen Personen darstellen, Ausnahmen von der Meldepflicht vorsehen.

Art. 40 Organisatorische und technische Massnahmen

Der Verantwortliche ist verpflichtet, geeignete technische und organisatorische Massnahmen zu treffen, damit bei der Bearbeitung dieses Gesetz und insbesondere die Grundsätze nach Abschnitt 2.1 beachtet werden. Er tut dies bereits bei der Konzeption der Bearbeitung.

Die getroffenen Massnahmen werden mit denjenigen, mit denen die Informationssicherheit der Verwaltung im Allgemeinen sichergestellt werden soll, und mit den Massnahmen zur Informatiksicherheit harmonisiert.

Der Verantwortliche muss durch geeignete Voreinstellungen sicherstellen, dass die Bearbeitung auf das für den verfolgten Zweck erforderliche Mindestmass beschränkt wird.

Die ergriffenen Massnahmen und die Wahl der Einstellungen werden dokumentiert.

Art. 41 Folgenabschätzung – Grundsätze

Führt eine neue Bearbeitung von Daten voraussichtlich zu einem erhöhten Risiko für die Grundrechte der betroffenen Person, so muss der Verantwortliche vorgängig eine Datenschutz-Folgenabschätzung durchführen.

Ob das Risiko erhöht ist, hängt von der Art, vom Umfang, von den Umständen und von der Zweckbindung der Bearbeitung ab. Es ist namentlich in folgenden Fällen gegeben:

1. grossflächige Bearbeitung von besonders schützenswerten Personendaten;
2. Profiling-Tätigkeiten;
3. systematische Überwachung von grossen Teilen des öffentlichen Raums;
4. Bearbeitungen in einem Umfang oder in einer Intensität mit Technologien, Mechanismen und Verfahren, bei denen das Risiko, dass die Grundrechte der betroffenen Personen beeinträchtigt werden, besonders ausgeprägt ist.

Die Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken aus technischer und rechtlicher Sicht sowie eine Beschreibung der Massnahmen, die zum Schutz der Grundrechte der betroffenen Personen vorgesehen sind.

Art. 42 Folgenabschätzung – Anhörung der Aufsichtsbehörde

Der Verantwortliche hört die Aufsichtsbehörde an, wenn das Ergebnis der Folgenabschätzung bestätigt, dass ein erhöhtes Risiko für die Grundrechte der betroffenen Personen besteht, bei denen besondere Vorsichtsmassnahmen getroffen werden müssen.

Die Aufsichtsbehörde teilt innerhalb von zwei Monaten Einwände und Empfehlungen zur geplanten Bearbeitung mit. Ausnahmsweise kann diese Frist um einen Monat verlängert werden, wenn es sich um eine komplexe Bearbeitung von Daten handelt.

Der Verantwortliche informiert die Aufsichtsbehörde spätestens darüber, welche Folge seinen Empfehlungen gegeben wird, wenn die Bearbeitung, für welche die Folgenabschätzung gemacht wurde, beginnt.

Art. 43 Verletzungen der Datensicherheit – Zu ergreifende Massnahmen

Wenn der Verantwortliche eine Verletzung der Sicherheit der Personendaten feststellt, ergreift er unverzüglich geeignete Massnahmen, um die Verletzung zu beenden und ihre Auswirkungen zu minimieren.

Er hält in einem internen Dokument die Art der Verletzung, die Art der betroffenen Daten und die betroffenen Personenkategorien, die wahrscheinlichen Folgen für letztere und die Massnahmen fest, die ergriffen wurden, um die Situation zu verbessern.

Der Verantwortliche meldet der oder dem Beauftragten so schnell wie möglich Fälle von Verletzungen der Sicherheit von Personendaten, die voraussichtlich ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen.

Der Verantwortliche sorgt dafür, dass der Auftragsbearbeiter ihm unverzüglich jede Verletzung der Sicherheit der Personendaten meldet, die bei ihm aufgetreten ist.

Art. 44 Verletzungen der Datensicherheit – Meldung an die betroffene Person

Wenn dies aus Gründen der Transparenz erforderlich ist und/oder um der betroffenen Person die Möglichkeit zu geben, geeignete Massnahmen zur Wahrung ihrer Interessen zu ergreifen, informiert der Verantwortliche die betroffene Person über das Auftreten einer Verletzung der Datensicherheit.

In den folgenden Fällen kann er ausnahmsweise die Information der betroffenen Person einschränken, aufschieben oder darauf verzichten:

1. überwiegende Interessen eines Dritten gebieten es;
2. ein überwiegendes öffentliches Interesse, namentlich die innere Sicherheit und die öffentliche Ordnung, gebietet es;
3. mit der Information kann eine laufende Untersuchung, Instruktion oder ein laufendes Justiz- oder Verwaltungsverfahren gefährdet werden;
4. die Informationspflicht kann unmöglich erfüllt werden oder es braucht dazu einen unverhältnismässigen Aufwand.

Wenn eine grosse Anzahl Personen von einer Verletzung der Datensicherheit betroffen ist, kann die Information in Form einer öffentlichen Mitteilung erfolgen. Der Verantwortliche sorgt in diesem Fall dafür, dass die Informationen so umfassend wie möglich sind.

Eine Verletzung der Datensicherheit kann auch auf Ersuchen der oder des Beauftragten gemeldet werden, wenn sie oder er der Meinung ist, dass die Voraussetzungen für eine solche Meldung erfüllt sind.

Art. 45 Ansprechperson für den Datenschutz

Jede Direktion bezeichnet mindestens eine Ansprechperson für den Datenschutz. Diese Funktion kann mit anderen Funktionen, insbesondere im Bereich der Informationssicherheit, kombiniert werden.

Die Ansprechperson für den Datenschutz erfüllt insbesondere folgende Aufgaben:

1. sie sensibilisiert die Verantwortlichen für den Bereich des Datenschutzes;
2. sie berät und unterstützt die Verantwortlichen auf deren Verlangen oder wenn ein Fall dies erfordert;
3. sie wirkt zusammen mit dem Verantwortlichen an der Durchführung der Datenschutz-Folgenabschätzungen nach Artikel 41 mit;
4. sie ist die Hauptansprechpartnerin der Aufsichtsbehörde in allen Fragen des Datenschutzes;
5. sie erfüllt alle anderen Aufgaben, die das Gesetz ihr überträgt.

Die Ansprechperson für Datenschutz übt ihre Aufgaben selbstständig aus. Die Verantwortlichen geben ihr von Amtes wegen oder auf Verlangen alle Informationen, die sie für die Erfüllung ihrer Aufgaben braucht.

Die Ansprechpersonen für den Datenschutz bilden untereinander ein Kompetenznetzwerk. Der Staatsrat regelt die Organisation und die Arbeitsweise des Netzwerks.

Der Staatsrat kann die Pflicht zur Bezeichnung einer Ansprechperson für den Datenschutz über die Direktionen hinaus auch auf andere Einheiten der Kantonsverwaltung ausdehnen.

5 Aufsicht

Art. 46 Im Allgemeinen

Die Aufsicht über den Datenschutz wird auf Kantonsebene und auf Gemeindeebene von der Kantonalen Behörde für Öffentlichkeit, Datenschutz und Mediation (Aufsichtsbehörde) ausgeübt.

5.1 Aufsichtsbehörde

Art. 47 Organisation

Die Aufsichtsbehörde setzt sich aus der Kantonalen Öffentlichkeits-, Datenschutz- und Mediationskommission (der Kommission), der oder dem Öffentlichkeits- und Datenschutzbeauftragten (der oder dem Beauftragten) und der kantonalen Mediatorin oder dem kantonalen Mediator zusammen.

Sie erfüllt die Aufgaben, die ihr aufgrund dieses Gesetzes übertragen werden, durch die Kommission und die Beauftragte oder den Beauftragten.

Die Aufgaben, die sie in den Bereichen des Rechts auf Zugang zu amtlichen Dokumenten und der Mediation für Verwaltungsangelegenheiten wahrnimmt, werden in den einschlägigen Gesetzgebungen geregelt.

Art. 48 Stellung

Die kantonale Aufsichtsbehörde erfüllt ihre Aufgaben unabhängig.

Sie ist der Direktion, der sie angehört, administrativ zugewiesen. Sie verfügt über ein eigenes Sekretariat und die notwendigen Ressourcen, um ihre Aufgaben und die Ausübung ihrer Befugnisse effektiv wahrzunehmen.

Die Behörde verfügt über ein Globalbudget, dessen Betrag alljährlich bei der Verabschiedung des Staatsvoranschlags festgelegt wird. Zuvor richtet sie ihren eigenen Voranschlagsantrag an den Staatsrat. Dieser Antrag wird gemäss Artikel 61 Abs. 1 Bst. a des Gesetzes vom 16. Oktober 2001 über die Organisation des Staatsrates und der Verwaltung[10] behandelt.

Die Mitglieder der Behörde unterstehen ebenso wie deren Mitarbeiterinnen und Mitarbeiter dem Amtsgeheimnis und der Schweigepflicht.

Bei ihrem Amtsantritt und bei jeder späteren Änderung der Situation teilen die Mitglieder der Behörde ihre besonderen privaten und öffentlichen Interessenbindungen mit. Artikel 14 Abs. 1 Bst. b und 2 und 3 InfoG[11] gelten sinngemäss.

Für den Ausstand von Mitgliedern der Behörde gelten die Artikel 21–25 des Gesetzes über die Verwaltungsrechtspflege[12].

Art. 49 Kommission – Zusammensetzung und Organisation

Die kantonale Öffentlichkeits-, Datenschutz- und Mediationskommission setzt sich aus der Präsidentin oder dem Präsidenten und sechs Mitgliedern zusammen, die vom Grossen Rat auf Vorschlag des Staatsrats gewählt werden.

Die Präsidentin oder der Präsident und die Mitglieder müssen in ihrer Gesamtheit über die Kenntnisse verfügen, die zur Erfüllung der Aufgaben der Kommission erforderlich sind; dieser gehören insbesondere eine Juristin oder ein Jurist, eine Fachperson aus dem Gesundheitswesen, eine Informatik- und Datensicherheitsspezialistin oder ein Informatik- und Datensicherheitsspezialist und eine Fachperson aus dem Medienbereich an.

Das Sekretariat der Kommission wird von der oder dem Beauftragten geführt; für die Dossiers in Zusammenhang mit den Mediationstätigkeiten kann das Sekretariat von der kantonalen Mediatorin oder dem kantonalen Mediator geführt werden.

Wenn nötig kann die Kommission Sachverständige beiziehen oder Drittpersonen zu einer Sitzung oder einem Teil einer Sitzung einladen und ihnen gegebenenfalls beratende Stimme geben.

Im Übrigen regelt die Kommission ihre Organisation und ihre Arbeitsweise.

Art. 50 Kommission – Befugnisse

Die Kommission übt die allgemeine Aufsicht auf dem Gebiet des Datenschutzes aus. Sie hat namentlich folgende Befugnisse:

1. sie führt in Zusammenarbeit mit der Direktion, der sie zugewiesen ist, für den Staatsrat das Verfahren zur Ernennung der oder des Beauftragten durch und nimmt zuhanden des Staatsrats Stellung zu den von ihr bevorzugten Kandidatinnen und Kandidaten;
2. sie leitet die Tätigkeit der oder des Beauftragten;
3. sie nimmt Stellung zu Entwürfen von Erlassen, die den Datenschutz berühren, und in den vom Gesetz vorgesehenen Fällen;
4. sie nimmt Stellung zu Pilotprojekten, die gemäss Artikel 22 durchgeführt werden;
5. sie legt Beschwerde gemäss Artikel 34 Abs. 3 ein;
6. sie fällt Entscheide über den Datenschutz gemäss Artikel 58;
7. sie sorgt für die Koordination zwischen den Anforderungen des Datenschutzes und der Ausübung des Rechts auf Zugang zu amtlichen Dokumenten.

Die Kommission erstattet dem Staatsrat zuhanden des Grossen Rates alljährlich einen Bericht über ihre Tätigkeit und über die Tätigkeit der oder des Beauftragten und der kantonalen Mediatorin oder des kantonalen Mediators. Sie kann, sofern dies durch das öffentliche Interesse gerechtfertigt ist, die Öffentlichkeit über ihre Feststellungen informieren.

Art. 51 Beauftragte/r – Ernennung und Stellung

Die oder der Öffentlichkeits- und Datenschutzbeauftragte wird vom Staatsrat für eine individuelle Amtszeit von fünf Jahren ernannt. Diese Anstellung kann erneuert werden.

Während der gesamten Dauer ihrer oder seiner Anstellung darf die oder der Beauftragte keine Tätigkeit ausüben, welche die Unabhängigkeit des Amtes beeinträchtigen könnte oder die auf andere Weise mit den Aufgaben der Aufsichtsbehörde unvereinbar wäre. Die Ausübung eines öffentlichen Nebenamtes oder einer nebenberuflichen Erwerbstätigkeit bedarf der Genehmigung durch die Kommission.

Zum Zeitpunkt der Anstellung und während der gesamten Dauer des Dienstverhältnisses muss die oder der Beauftragte über die für die Ausübung ihrer oder seiner Aufgaben erforderlichen Qualifikationen und/oder Erfahrungen verfügen.

Soweit in diesem Gesetz oder in der dazugehörigen Ausführungsverordnung nichts anderes bestimmt wird, wird das Dienstverhältnis der oder des Beauftragten in der Gesetzgebung über das Staatspersonal geregelt. Die jährliche Beurteilung im Sinne dieser Gesetzgebung wird von der Kommission durchgeführt.

Art. 52 Beauftragte/r – Eneuerung und Beendigung des Dienstverhältnisses

Die Amtszeit der oder des Beauftragten wird stillschweigend verlängert. Der Staatsrat kann jedoch spätestens sechs Monate vor Ablauf der Amtszeit einen Entscheid über die Nichterneuerung treffen. Er bittet zu diesem Zweck um die Stellungnahme der Kommission. Diesem Entscheid müssen triftige Gründe zugrunde liegen.

Die oder der Beauftragte kann den Staatsrat unter Einhaltung einer dreimonatigen Kündigungsfrist ersuchen, die Amtszeit auf das Ende eines Monats zu beenden.

Die oder der Beauftragte wird in folgenden Fällen des Amtes enthoben:

1. sie oder er ist dauerhaft nicht in der Lage ihre oder seine Aufgaben im Sinn der Personalgesetzgebung zu erfüllen;
2. sie oder er hat die Amtspflichten vorsätzlich oder grob fahrlässig in schwerwiegender Weise verletzt.

Der Entscheid, die Beauftragte oder den Beauftragten gemäss Absatz 3 Bst. b des Amtes zu entheben, liegt in der Kompetenz des Staatsrats. Dieser Entscheid kann auf Veranlassung des Staatsrats oder der Kommission getroffen werden. In jedem Fall holt der Staatsrat die Stellungnahme der Kommission ein.

Art. 53 Beauftragte/r – Verhinderung

Ist die oder der Beauftragte dauerhaft verhindert, so ernennt der Staatsrat eine Person ad interim. Das Bezeichnungsverfahren wird gemeinsam von der Kommission und der Direktion, der die Behörde zugewiesen ist, durchgeführt.

Bei punktueller Verhinderung wird er oder sie von einer Person, die von der Kommission dazu bestimmt wird, vertreten.

Art. 54 Beauftragte/r – Aufgaben

Die oder der Beauftragte hat namentlich folgende Aufgaben:

1. sie oder er überwacht die Anwendung der Gesetzgebung über den Datenschutz, namentlich durch systematische Überprüfungen bei den betreffenden Organen;
2. sie oder er gibt Stellungnahmen und Ratschläge zu den ihr vorgelegten Datenbearbeitungen aus rechtlicher und/oder technischer Sicht ab;
3. sie oder er nimmt Stellung und schlägt allenfalls geeignete Massnahmen vor, wenn die Aufsichtsbehörde nach der Durchführung einer Datenschutz-Folgenabschätzung angehört wird;
4. sie oder er informiert und berät die öffentlichen Organe im Bereich des Datenschutzes und unterstützt sie, namentlich bei der Prüfung von Bearbeitungsprojekten;
5. sie oder er wirkt an der Schulung öffentlicher Organe in Datenschutzfragen mit;
6. sie oder er sensibilisiert die Öffentlichkeit für die Fragen des Datenschutzes und erteilt den betroffenen Personen Auskünfte über ihre Rechte;
7. sie oder er behandelt Ersuchen und Anzeigen, die betroffene Personen an die Aufsichtsbehörde richten, wenn sie Datenschutzfragen betreffen;
8. sie oder er führt das Bearbeitungsregister nach Artikel 38;
9. sie oder er leistet ihren Beitrag bei Verletzungen der Sicherheit von Personendaten, die Gegenstand einer Meldung nach Artikel 43 Abs. 3 sind;
10. sie oder er sorgt dafür, dass beim Datenaustausch über die Landesgrenzen hinweg die Rechte der betroffenen Personen beachtet werden;
11. sie oder er gibt Empfehlungen zuhanden öffentlicher Organe ab, die Personendaten bearbeiten, wenn sich zeigt, dass eine oder mehrere Datenschutzbestimmungen nicht eingehalten werden;
12. sie oder er arbeitet mit der oder dem Eidgenössischen Datenschutz‑ und Öffentlichkeitsbeauftragten sowie mit den Aufsichtsbehörden über den Datenschutz der anderen Kantone und des Auslandes zusammen;
13. sie oder er führt die Arbeiten aus, die ihr oder ihm von der Kommission übertragen werden;
14. sie oder er erstattet der Kommission Bericht über ihre oder seine Tätigkeit und Feststellungen.

Art. 55 Selbstkontrolle der Aufsichtsbehörde

Die Aufsichtsbehörde stellt durch geeignete Kontrollmassnahmen, insbesondere in Bezug auf die Datensicherheit, sicher, dass die Beachtung und die richtige Anwendung der kantonalen Datenschutzbestimmungen innerhalb ihrer Behörde gewährleistet ist.

5.2 Kontroll- und Eingriffsbefugnis

Art. 56 Kontrolle durch die Beauftragte oder den Beauftragten

Die oder der Beauftragte ist befugt, von Amtes wegen oder auf Klage hin eine Kontrolle bei einem Verantwortlichen oder einem Auftragsbearbeiter durchzuführen, um zu prüfen, ob er die Datenschutzbestimmungen einhält.

Sie oder er kann namentlich Auskünfte einholen, die Herausgabe von Akten verlangen, Inspektionen durchführen und sich Datenbearbeitungen vorführen lassen.

Gegenüber der kantonalen Aufsichtsbehörde können weder das Amtsgeheimnis noch weitere Geheimhaltungspflichten geltend gemacht werden. Das Berufsgeheimnis bleibt vorbehalten.

Wenn die oder der Beauftragte aufgrund einer Klage der betroffenen Person eine Kontrolle durchführt, informiert sie oder er diese Person über die Folge, die ihrer Klage gegeben wurde, und das Ergebnis einer allfälligen Untersuchung. Die betroffene Person hat keine Parteistellung im Verfahren.

Art. 57 Empfehlungen der oder des Beauftragten

Bei einer Verletzung oder einer möglichen Verletzung der Datenschutzvorschriften kann die oder der Beauftragte eine Empfehlung an das betroffene öffentliche Organ richten und es auffordern, innert einer bestimmten Frist die nötigen Abhilfemassnahmen zu treffen.

Handelt es sich um eine unterstellte Verwaltungseinheit, so ergeht die Empfehlung direkt an das hierarchisch übergeordnete Organ.

Das Organ, an das die Empfehlung gerichtet wird, gibt innert der von der oder dem Beauftragen gesetzten Frist eine Stellungnahme zur Folge ab, die es der Empfehlung leisten will, und teilt die Stellungnahme der oder dem Beauftragten mit. Eine fehlende Stellungnahme wird als Ablehnung der Empfehlung betrachtet.

Wird die Empfehlung ganz oder teilweise abgelehnt, so kann die oder der Beauftragte den Fall zum Entscheid an die Kommission weiterleiten.

Wenn das öffentliche Organ im Laufe des Verfahrens die notwendigen Massnahmen zur Wiederherstellung eines datenschutzkonformen Zustandes getroffen hat, stellt die oder der Beauftragte das Verfahren ein und verzichtet auf eine Empfehlung.

Art. 58 Entscheid der Kommission

Die Kommission fällt in den Angelegenheiten, welche die oder der Beauftragte ihr gemäss Artikel 57 Abs. 4 übermittelt, einen Entscheid.

Wenn ein Organ, das diesem Gesetz unterstellt ist, die Bestimmungen über den Datenschutz nicht beachtet, kann die Kommission verfügen, dass die ganze Bearbeitung oder ein Teil davon ausgesetzt, geändert oder eingestellt wird und dass alle Personendaten oder ein Teil davon gelöscht oder vernichtet werden.

Im Falle einer unmittelbar drohenden ernsthaften Bedrohung oder einer Datenschutzverletzung, welche die Rechte einer oder mehrerer betroffener Personen ernsthaft beeinträchtigen könnte, kann die Kommission von Amtes wegen oder auf Verlangen der oder des Beauftragten dringende vorsorgliche Massnahmen verfügen, um die strittige Datenbearbeitung einzuschränken oder auszusetzen, bis sie in der Sache entschieden hat.

Die oder der Beauftragte wirkt mit beratender Stimme am Verfahren vor der Kommission mit. Sie oder er kann mit der Instruktion der Angelegenheit beauftragt werden.

Wenn das betroffene öffentliche Organ im Laufe des Verfahrens die nötigen Massnahmen zur Wiederherstellung eines datenschutzkonformen Zustands ergriffen hat, kann die Kommission das Verfahren einstellen oder lediglich eine Verwarnung aussprechen

Art. 59 Verfahren

Das Verfahren wird im Gesetz über die Verwaltungsrechtspflege[13] geregelt. Das betroffene Organ hat insbesondere das Recht, angehört zu werden; Artikel 58 Abs. 3 bleibt vorbehalten.

Das öffentliche Organ, gegen das sich ein Entscheid der Kommission richtet, kann gegen diesen Entscheid Beschwerde einlegen.

Art. 60 Zusammenarbeit mit anderen Datenschutzbehörden in der Schweiz und im Ausland

Bei der Ausübung ihrer Funktionen kann die Aufsichtsbehörde mit den kantonalen, eidgenössischen und ausländischen Behörden, die mit dem Datenschutz beauftragt sind, zusammenarbeiten.

Sie kann zur Erfüllung ihrer jeweiligen gesetzlichen Aufgaben mit anderen Behörden, die mit dem Datenschutz beauftragt sind, Informationen oder Personendaten austauschen, sofern die folgenden Bedingungen erfüllt sind:

1. die Gegenseitigkeit der Amtshilfe ist sichergestellt;
2. die ausgetauschten Informationen und Personendaten werden nur für das den Personendatenschutz betreffende Verfahren verwendet, das dem Amtshilfeersuchen zugrunde liegt;
3. die Informationen und Personendaten werden Dritten nur bekanntgegeben, wenn die Behörde, die sie übermittelt hat, dies vorgängig genehmigt;
4. die empfangende Behörde verpflichtet sich, das Berufsgeheimnis sowie Geschäfts- und Fabrikationsgeheimnisse zu wahren;
5. die empfangende Behörde verpflichtet sich, die Auflagen und Einschränkungen der Behörde einzuhalten, die ihr die Informationen und Personendaten übermittelt hat.

Bevor die Behörde Informationen, die Berufs-, Fabrikations- oder Geschäftsgeheimnisse enthalten können, an eine andere Behörde, die mit dem Datenschutz beauftragt ist, weiterleitet, informiert sie die Inhaberinnen und Inhaber dieser Geheimnisse und fordert sie auf, Stellung zu nehmen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismässigen Aufwand verbunden.

6 Schluss- und Übergangsbestimmungen

Art. 61 Ausführungsreglement

Der Staatsrat erlässt die nötigen Bestimmungen zur Umsetzung dieses Gesetzes. Diese betreffen namentlich:

1. die Sicherheitsmassnahmen;
2. die Ausübung der Rechte der betroffenen Personen;
3. die Durchführung von Pilotprojekten;
4. die Stellung und die Aufgaben der Ansprechpersonen für den Datenschutz;
5. das Arbeitsverhältnis der Mitglieder der Aufsichtsbehörde.

Art. 62 Übergangsrecht

Für die Bearbeitungen, die bereits am Laufen sind, wenn dieses Gesetz in Kraft tritt, verfügen die Verantwortlichen über eine Frist von zwei Jahren, um die neu vorgeschriebenen Anforderungen zu erfüllen. Die Artikel 43 und 44 sind direkt anwendbar.

Sofern die Zweckbindung des Bearbeitens unverändert bleibt und keine neuen Daten beschafft werden, welche die Durchführung einer Folgenabschätzung rechtfertigen, gelten die Artikel 41 und 42 nicht für Bearbeitungen, die vor dem Inkrafttreten dieses Gesetzes begonnen wurden.

Die Bearbeitungen, die abgeschlossen sind, wenn dieses Gesetz in Kraft tritt, werden im alten Recht geregelt, ausser was die Rechte der betroffenen Person angeht (3. Abschnitt).

Die Artikel 12, 13, 40, 41 und 42 gelten für Bearbeitungstätigkeiten, die durch die Richtlinie (EU) 2016/680[14] ab dem Inkrafttreten dieses Gesetzes geregelt sind.

Art. 63 Anpassung der Gesetzgebung

Die Direktionen verfügen über eine Frist von zwei Jahren ab Inkrafttreten dieses Gesetzes, um die Gesetzgebung, für die sie zuständig sind, an die Anforderungen von Artikel 5 anzupassen.

Art. 64 Dienstverhältnis der oder des Beauftragten

Bei Inkrafttreten des Gesetzes passt die Anstellungsbehörde den Arbeitsvertrag der Stelleninhaberin oder des Stelleninhabers im Einklang mit der Personalgesetzgebung an die Anforderungen des neuen Gesetzes an.

Wird der Vorschlag zur Umwandlung des Arbeitsvertrags abgelehnt, so wird die Situation gemäss den Bestimmungen über die Abschaffung von Stellen im Sinne der Personalgesetzgebung geregelt.

Egress

2023_087

Änderungstabelle – Nach Beschlussdatum

Beschluss	Berührtes Element	Änderungstyp	Inkrafttreten	Quelle (ASF seit 2002)
12.10.2023	Erlass	Grunderlass	01.01.2024	2023_087

Änderungstabelle – Nach Artikel

Berührtes Element	Änderungstyp	Beschluss	Inkrafttreten	Quelle (ASF seit 2002)
Erlass	Grunderlass	12.10.2023	01.01.2024	2023_087