Gesetz über den Datenschutz

Dieses Gesetz regelt das Bearbeiten von Daten natürlicher und juristischer Personen durch öffentliche Organe.

Es gilt für die kantonalen und kommunalen Behörden und Amtsstellen sowie andere öffentlich-rechtliche Körperschaften und Anstalten und Personen, soweit sie öffentliche Aufgaben erfüllen.

Das Gesetz ist nicht anwendbar auf:

1. privatrechtlich handelnde öffentliche Organe;

2. hängige Verfahren der Zivil-, Verwaltungs- und Strafrechtspflege;

3. Geschäfte des Kantonsrats und seiner Kommissionen;

4. öffentliche Register des Privatrechtsverkehrs;

5. verwaltungsinterne Arbeitsmittel, die dem persönlichen Gebrauch dienen.

Vorbehalten bleiben Datenschutzregelungen in der Sachgesetzgebung, namentlich über die Bearbeitung von Gerichtsakten, Patientendaten und Einwohnerkontrolldaten.

Soweit dieses Gesetz keine abweichenden Vorschriften enthält, gelten sinngemäss die Vorschriften des Bundesgesetzes über den Datenschutz.

Bearbeiten öffentliche Organe gemeinsam oder mit Dritten Personendaten aus einer Datensammlung, so trägt der Inhaber oder die Inhaberin der Datensammlung die Verantwortung; jedes öffentliche Organ bleibt für seinen Bereich verantwortlich.

Personendaten sind in der Regel bei der betroffenen Person oder aus der Datensammlung eines öffentlichen Organs zu beschaffen.

Eine andere Beschaffung von Personendaten ist ausnahmsweise zulässig, soweit dieses Gesetz nicht entgegensteht.

Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung muss für die betroffene Person erkennbar sein.

Birgt die geplante Bearbeitung von Personendaten besondere Risiken für die Rechte und Freiheiten der betroffenen Person in sich, so muss diese vorher durch das öffentliche Organ der beauftragten Person für Datenschutz unterbreitet und von dieser geprüft werden.

Die öffentlichen Organe müssen der beauftragten Person für den Datenschutz sämtliche Datensammlungen zur Registrierung im Register der Datensammlungen anmelden.

Nicht in das Register aufgenommen werden Datensammlungen:

1. die nur kurzfristig geführt werden;

2. deren Inhalt rechtmässig veröffentlicht ist;

3. die reine Hilfsdatensammlungen sind.

Das Register ist öffentlich und von jedermann einsehbar.

Die öffentlichen Organe gemäss Art. 5 der Verordnung über das Staatsarchiv bieten dem Staatsarchiv alle Personendaten an, die sie nicht mehr ständig benötigen.

Sie vernichten die vom Staatsarchiv als nicht archivwürdig bezeichneten Personendaten, ausser wenn diese:

1. anonymisiert sind und für amtliche oder statistische Zwecke weiter verwendet werden;

2. zu Beweis- oder Sicherheitszwecken aufbewahrt werden müssen.

Für die kommunalen öffentlichen Organe gelten Absatz 1 und 2 sinngemäss.

Öffentlich zugängliche Orte dürfen zum Schutz von Personen und Sachen mit technischen Geräten überwacht werden, wenn:

1. die Überwachung in geeigneter Weise erkennbar gemacht wird;

2. die gespeicherten Personendaten nach spätestens 100 Tagen gelöscht oder innerhalb dieser Frist mit einem Strafantrag bzw. einer Strafanzeige der Polizei übergeben werden und

3. die beauftragte Person für den Datenschutz vorgängig über die Einführung einer Überwachung informiert wurde.

Das Anbringen von Überwachungsgeräten wird von jenem öffentlichen Organ angeordnet, dem das Benützungsrecht oder die Hoheit über den zu überwachenden Ort zusteht.

Der Regierungsrat ist auf kantonaler Ebene für jene Erlasse, Verfügungen und Entscheide zuständig, die gemäss Bundesgesetzgebung über den Datenschutz auf Bundesebene dem Bundesrat zustehen.

Er erlässt die zum Vollzug erforderlichen Ausführungsbestimmungen. Er kann insbesondere folgende Bereiche im Einzelnen regeln:

1. Bearbeiten, Beschaffen, Bekanntgabe, besondere Formen der Bearbeitung im Rahmen des Bundesrechts (Art. 2 Abs. 1 dieses Gesetzes);

2. Verantwortlichkeit bei gemeinsamer Datenbearbeitung mehrerer öffentlicher Organe (Art. 2 Abs. 2 dieses Gesetzes);

3. Mindestanforderung an die Datensicherheit (Art. 7 DSG);

4. Register der Datensammlungen (Art. 5 dieses Gesetzes);

5. Modalitäten des Auskunftsrechts (Art. 8 DSG);

6. Anspruch auf Massnahmen (Art. 25 DSG);

7. kostenpflichtige Amtshandlungen.

Der Kantonsrat wählt auf die verfassungsmässige Amtsdauer eine Person als Beauftragte für den Datenschutz sowie eine Stellvertretung.

Die beauftragte Person für Datenschutz erfüllt ihre Aufgabe unabhängig und selbstständig; die Bestimmungen von Art. 21 ff. des Gesetzes über die Gerichtsorganisation betreffend die Gerichtsverwaltung sind sinngemäss anwendbar.

Sie steht unter der Aufsicht des Kantonsrats. Administrativ ist sie einem Departement oder der Staatskanzlei zugeordnet.

Die beauftragte Person, die Stellvertretung sowie ihre Hilfspersonen unterstehen den gleichen Geheimhaltungsvorschriften wie das die Daten bearbeitende öffentliche Organ; dies gilt auch nach der Beendigung der Funktion.

Der Regierungsrat kann, unter Wahrung des Wahl- und Aufsichtsrechts des Kantonsrats, durch Vereinbarung die Aufgaben der beauftragten Person für Datenschutz einer geeigneten Person bzw. Stelle eines anderen Kantons übertragen oder mit anderen Kantonen ein gemeinsames Organ für diese Aufgaben errichten.

Die beauftragte Person für Datenschutz ist kantonales und kommunales Kontrollorgan im Sinne des Bundesgesetzes über den Datenschutz.

Die beauftragte Person für Datenschutz:

1. überwacht die Anwendung der Vorschriften über den Datenschutz;

2. berät die öffentlichen Organe und betroffenen Personen in Fragen des Datenschutzes und vermittelt zwischen ihnen;

3. nimmt Stellung zu Entwürfen von Erlassen und zu Massnahmen, die für den Datenschutz von erheblicher Bedeutung sind;

4. legt Rechenschaft über ihre Tätigkeit ab.

Die beauftragte Person für Datenschutz erfüllt diese Aufgaben, indem sie insbesondere:

1. Kontrollen bei den öffentlichen Organen durchführt;

2. geplante Datenbearbeitungen, die besondere Risiken für die Rechte und Freiheiten der betroffenen Personen in sich bergen, vor der Inbetriebnahme überprüft;

3. Eingaben behandelt, die den Datenschutz betreffen;

4. das Register der Datensammlungen führt;

5. mit den Kontrollorganen der andern Kantone, des Bundes und des Auslandes zusammen arbeitet;

6. zuhanden des Kantonsrats jährlich einen Rechenschaftsbericht erstellt.

Die beauftragte Person für Datenschutz kann wichtige Feststellungen und Massnahmen im Bereich des Datenschutzes veröffentlichen.

Die beauftragte Person für Datenschutz ist befugt, ungeachtet allfälliger Geheimhaltungspflichten, bei den öffentlichen Organen oder beauftragten Dritten:

1. alle für die Erfüllung des Kontrollauftrags erforderlichen Informationen über Daten und deren Bearbeitung einzuholen;

2. Einsicht in alle Datensammlungen, Unterlagen und Akten zu nehmen;

3. Besichtigungen durchzuführen;

4. sich Bearbeitungen vorführen zu lassen.

Sie kann für einzelne Aufgaben Sachverständige beiziehen.

Die öffentlichen Organe sind verpflichtet, die beauftragte Person für Datenschutz bei der Erfüllung ihrer Aufgabe zu unterstützen.

Das Verfahren richtet sich nach dem Staatsverwaltungsgesetz.

Wird dem Gesuch einer Person namentlich um Auskunft, Einsicht oder Erfüllung eines Anspruchs im Sinne von Art. 25 des Bundesgesetzes über den Datenschutz nicht vollumfänglich entsprochen, so erlässt das öffentliche Organ eine anfechtbare Verfügung, wenn es die betroffene Person verlangt.

Die Verfügung ist auch der beauftragten Person für Datenschutz mitzuteilen, der ein Beschwerderecht zusteht.

Die beauftragte Person für Datenschutz wird von sich aus oder auf Anzeige hin tätig.

Sie klärt den Sachverhalt von Amtes wegen ab.

Ergibt die Abklärung, dass Datenschutzbestimmungen verletzt werden, so beantragt die beauftragte Person für Datenschutz dem öffentlichen Organ oder dessen übergeordneter Behörde Massnahmen.

Wird dem Antrag nicht vollumfänglich entsprochen, so erlässt das öffentliche Organ oder die Behörde eine anfechtbare Verfügung.

Der beauftragten Person für Datenschutz steht das Beschwerderecht zu.

Auskunft und Einsicht durch die betroffene Person sind in der Regel kostenlos.

Mit Busse oder Freiheitsstrafe bis zu drei Jahren wird bestraft, wer:

1. als Dritter Personendaten im Auftrag eines öffentlichen Organs bearbeitet und dabei die Daten auftragswidrig verwendet oder bekannt gibt;

2. als Dritter Personendaten für nicht personenbezogene Zwecke von einem öffentlichen Organ zur Bearbeitung erhält und die Daten zweckwidrig verwendet oder bekannt gibt.

Im Übrigen gelten die Bestimmungen des Gesetzes über das kantonale Strafrecht.

Die Bestimmungen sind anwendbar auf Datenbearbeitungen, die nach Inkrafttreten dieses Gesetzes erfolgt sind.

Die Bearbeitung bestehender Datensammlungen ist innert zwei Jahren nach Inkrafttreten dieses Gesetzes an das neue Recht anzupassen.

...

Der Regierungsrat bestimmt, wann dieses Gesetz in Kraft tritt. Es unterliegt dem fakultativen Referendum.