Verordnung zum Kantonalen Datenschutzgesetz

Das öffentliche Organ erbringt den Nachweis der Einhaltung der Datenschutzbestimmungen, indem mindestens folgende Punkte im Zusammenhang mit den Bearbeitungstätigkeiten dokumentiert werden:

1. die Prozesse der Datenbearbeitung;

2. die verantwortlichen Personen;

3. die rechtlichen Grundlagen für die Datenbearbeitung;

4. die Datenschutzrisiken und die getroffenen Massnahmen.

Das öffentliche Organ kann den Nachweis insbesondere erbringen durch:

1. Geschäftsordnungen und andere allgemeine Festlegungen zu Geschäftsprozessen und zur betrieblichen Organisation;

2. Weisungen zu Datenbearbeitungen und zum Umgang mit Personendaten, einschliesslich der Löschung und der Archivierung;

3. Informationssicherheits- und Datenschutzkonzepte sowie Datenschutz-Folgenabschätzungen;

4. Konzepte für den Zugriff auf Informationen und Informatikmittel;

5. Berichte zum Umgang mit meldepflichtigen Verletzungen der Datensicherheit;

6. sonstige Unterlagen und Hilfsmittel über die sichere Datenbearbeitung.

Die öffentlichen Organe stellen mit angemessenen organisatorischen und technischen Massnahmen sicher, dass die Personendaten:

1. nur Berechtigten zugänglich sind (Vertraulichkeit);

2. verfügbar sind, wenn sie benötigt werden (Verfügbarkeit);

3. nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität);

4. nachvollziehbar bearbeitet werden (Nachvollziehbarkeit).

Die Angemessenheit der technischen und organisatorischen Massnahmen richtet sich insbesondere nach folgenden Kriterien:

1. dem Schutzbedarf der bearbeiteten Daten, der sich aus dem Zweck, der Art, dem Umfang und den Umständen der Datenbearbeitung ergibt;

2. der Einschätzung der möglichen Risiken für die betroffenen Personen;

3. dem Stand der Technik.

Die Massnahmen sind periodisch auf ihre Zweck- und Verhältnismässigkeit zu überprüfen und gegebenenfalls anzupassen.

Zur Gewährleistung der Datensicherheit können insbesondere die folgenden technischen und organisatorischen Massnahmen ergriffen werden:

1. Zugangsbeschränkungen zu Einrichtungen: unbefugten Personen ist der Zugang zu Einrichtungen, in denen Sach- und Personendaten bearbeitet werden, zu verwehren;

2. Benutzerkontrollen: unbefugten Personen ist die Benutzung von Informatikmitteln, mit denen Sach- und Personendaten bearbeitet werden, zu verwehren;

3. Datenträgerkontrollen: unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen;

4. Zugriffsbeschränkungen: der Zugriff ist auf diejenigen Sach- und Personendaten zu beschränken, welche die berechtigten Personen für die Erfüllung ihrer Aufgabe benötigen;

5. Bearbeitungsbeschränkungen: das unbefugte Bearbeiten von Sach- und Personendaten wird verhindert;

6. Eingabekontrollen: bei der Verwendung von Informatikmitteln muss nachträglich überprüft werden können, welche Sach- und Personendaten zu welcher Zeit und von welcher Person bearbeitet wurden;

7. Empfängeridentifikation: die Empfängerinnen oder Empfänger, denen Sach- und Personendaten bekannt gegeben werden, müssen identifiziert werden können;

8. Kontinuitätssicherung: Vorkehrungen werden getroffen, damit bei einem Ausfall von Informatikmitteln wichtige Funktionen möglichst rasch weiter erfüllt werden können;

9. Generationenfolgesicherung: Vorkehrungen werden getroffen, damit Sach- und Personendaten infolge technologischen Wandels beim Einsatz von Informatikmitteln dauerhaft erhalten werden können.

Die öffentlichen Organe protokollieren bei der automatisierten Bearbeitung von Personendaten zumindest das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten, wenn die präventiven Massnahmen den Datenschutz nicht gewährleisten und ein solches System auf dem Markt verfügbar ist.

Die Protokollierung muss Aufschluss geben über die Identität der Person, welche die Bearbeitung vorgenommen hat, die Art, das Datum und die Uhrzeit der Bearbeitung sowie gegebenenfalls die Identität der Empfängerin oder des Empfängers der Daten.

Die Durchführung einer Testphase ist für die praktische Umsetzung einer Datenbearbeitung unentbehrlich, wenn eine der folgenden Bedingungen erfüllt ist:

1. Die Erfüllung einer Aufgabe erfordert technische Neuerungen, deren Auswirkungen zunächst evaluiert werden müssen;

2. Die Erfüllung einer Aufgabe erfordert bedeutende organisatorische oder technische Massnahmen, deren Wirksamkeit zunächst geprüft werden muss, insbesondere bei der Zusammenarbeit mit Organen anderer Gemeinwesen und Organisationen, welche von Gemeinwesen geschaffen werden;

3. Die Erfüllung einer Aufgabe erfordert, dass die Personendaten im Abrufverfahren zugänglich sind.

Das öffentliche Organ, das den Pilotversuch durchführt, holt die Stellungnahme der Aufsichtsstelle ein.

Es stellt der Aufsichtsstelle alle zur Beurteilung der Bewilligungsfähigkeit des Pilotversuchs notwendigen Unterlagen zur Verfügung, insbesondere:

1. eine allgemeine Beschreibung des Pilotversuchs;

2. einen Bericht, der nachweist, dass die Erfüllung der gesetzlich vorgesehenen Aufgaben eine Bearbeitung erfordert und dass eine Testphase vor dem Inkrafttreten des Gesetzes unentbehrlich ist;

3. eine Beschreibung der Sicherheits- und Datenschutzmassnahmen;

4. den Entwurf einer Verordnung, welche die Einzelheiten der Bearbeitung regelt, oder das Konzept einer Verordnung.

Die Stellungnahme ist der Regierung vorzulegen, bevor sie über ein Bewilligungsgesuch entscheidet.

Soweit die Bearbeitung durch eine Auftragsbearbeiterin oder einen Auftragsbearbeiter nicht gesetzlich vorgesehen ist, sind mindestens folgende Punkte vertraglich zu regeln:

1. Gegenstand und Umfang der übertragenen Aufgaben;

2. Wahrung des Amtsgeheimnisses sowie besonderer Geheimhaltungspflichten;

3. Verantwortlichkeiten;

4. technische und organisatorische Massnahmen zur Wahrung des Datenschutzes und der Datensicherheit;

5. Ort der Datenbearbeitung;

6. Kontrolle der Auftragserfüllung;

7. Beizug von Dritten;

8. bei Pflichtverletzung vorgesehene Sanktionen;

9. Vertragsdauer und Voraussetzungen der Vertragsauflösung sowie deren Folgen, insbesondere die Rückführung und Löschung der Daten;

10. anwendbares Recht und Gerichtsstand.

Die vorgängige Genehmigung des öffentlichen Organs, die der Auftragsbearbeiterin oder dem Auftragsbearbeiter erlaubt, zur Datenbearbeitung Dritte beizuziehen, kann spezifischer oder allgemeiner Art sein.

Bei einer allgemeinen Genehmigung informiert die Auftragsbearbeiterin oder der Auftragsbearbeiter das verantwortliche öffentliche Organ über jede beabsichtigte Änderung betreffend den Beizug oder die Ersetzung anderer Dritter. Das verantwortliche öffentliche Organ kann diese Änderung ablehnen.

Das öffentliche Organ kann für die Beurteilung, ob die Gesetzgebung eines Empfängerstaats einen angemessenen Schutz gewährleistet, auf die vom Bund getroffene Beurteilung der Angemessenheit des Datenschutzes eines Staates, eines Gebiets, eines spezifischen Sektors in einem Staat oder eines internationalen Organs gemäss Artikel 8 der Verordnung über den Datenschutz³ abstellen.

Wurde die Aufsichtsstelle über die Garantien gemäss Artikel 12 Absatz 3 des Kantonalen Datenschutzgesetzes⁴ informiert, so gilt die Informationspflicht für alle weiteren Bekanntgaben als erfüllt, die unter denselben Garantien erfolgen, soweit die Kategorien der Empfängerinnen und Empfänger, der Zweck der Bearbeitung und die Datenkategorien im Wesentlichen unverändert bleiben.

Die Informationspflicht gilt ebenfalls als erfüllt, wenn Daten gestützt auf Modellverträge oder Standardvertragsklauseln übermittelt werden, die vom eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erstellt oder anerkannt wurden, und wenn die Aufsichtsstelle vom verantwortlichen öffentlichen Organ in allgemeiner Form über die Verwendung dieser Modellverträge oder Standardvertragsklauseln informiert wurde.

Werden Personendaten mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich gemacht, gilt dies nicht als Übermittlung ins Ausland.

Sollen Personendaten für einen nicht personenbezogenen Zweck bekannt gegeben werden, so hat die Empfängerin oder der Empfänger mindestens folgende Angaben zu liefern:

1. Bezeichnung der Empfängerin oder des Empfängers;

2. Kurzbeschreibung des Vorhabens;

3. Umschreibung der benötigten Personendaten;

4. Ablauf und Art der Datenbearbeitung;

5. Angaben über die zum Schutz der Personendaten vorzukehrenden Massnahmen.

Das öffentliche Organ holt bei der Empfängerin oder dem Empfänger eine Verpflichtungserklärung ein, dass die Vorgaben von Artikel 13 Absatz 1 Litera a des Kantonalen Datenschutzgesetzes⁵ erfüllt werden. Es kann die Bekanntgabe von Personendaten mit weiteren Auflagen zum Schutz der Personendaten versehen.

Die betroffene Person kann ihre Rechte beim verantwortlichen öffentlichen Organ schriftlich oder mündlich geltend machen.

Das verantwortliche öffentliche Organ muss angemessene Massnahmen treffen, um die betroffene Person zu identifizieren. Diese ist zur Mitwirkung verpflichtet.

Das verantwortliche öffentliche Organ macht die Personendaten soweit möglich in der zum amtlichen Gebrauch erstellten Form zugänglich. Die Auskunft kann auf elektronischem Weg erteilt werden, wenn die Übermittlung vor dem Zugriff unberechtigter Dritter ausreichend geschützt ist.

Im Einvernehmen mit dem verantwortlichen öffentlichen Organ kann die betroffene Person ihre Daten an Ort und Stelle einsehen. Die Auskunft kann mündlich erteilt werden, wenn die betroffene Person einverstanden ist.

Das verantwortliche öffentliche Organ, welches den Widerspruch erhalten hat, bestätigt die Vornahme des Widerspruchs in geeigneter Form. Es sorgt dafür, dass andere öffentliche Organe, welche von ihm die betroffenen Personendaten erhalten, über den Widerspruch informiert werden.

Verlangt die betroffene Person die Aufhebung des Widerspruchs, teilt sie dies dem verantwortlichen öffentlichen Organ schriftlich mit.

Ein unverhältnismässiger Aufwand liegt insbesondere vor, wenn:

1. die betroffene Person wiederholt in derselben Angelegenheit ein Gesuch stellt;

2. die betroffene Person trotz Aufforderung des verantwortlichen Organs ihrer Mitwirkungspflicht nicht nachkommt; oder

3. mit der Gesuchsbearbeitung ein hoher Sach- oder Zeitaufwand verbunden ist.

Das verantwortliche öffentliche Organ muss der betroffenen Person die Höhe der Kosten vor der Auskunftserteilung mitteilen. Bestätigt die betroffene Person das Gesuch nicht innerhalb von zehn Tagen, so gilt es als zurückgezogen.

Bestehende Informatiksysteme, die eine Protokollierung gemäss Artikel 5 nicht vorsehen, können bis zum Ende ihres Lebenszyklus weiterbetrieben werden. Artikel 5 ist zu beachten, wenn sie durch ein neues System ersetzt werden.

Bestehende Vereinbarungen über die Auftragsbearbeitung bleiben bis zu ihrem Ablauf gültig. Sie haben Artikel 8 und Artikel 9 zu beachten, wenn sie verlängert oder angepasst werden.