Verordnung zum Gesetz über die Information der Öffentlichkeit, den Datenschutz und das Archivwesen

Die öffentlichen Organe haben bei der elektronischen Bearbeitung von Personendaten zur Einhaltung der Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit und Nachvollziehbarkeit sowie der Löschfristen insbesondere folgende Massnahmen zu ergreifen:

1. Zugangskontrolle: unbefugten Personen ist der Zugang zu Einrichtungen, in denen Personendaten verarbeitet werden, zu verwehren,

2. Datenträgerkontrolle: unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen,

3. Transportkontrolle: bei der Bekanntgabe von Personendaten sowie beim Transport von Datenträgern ist zu verhindern, dass die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können,

4. Bekanntgabekontrolle: Datenempfänger, denen Personendaten mittels Einrichtungen zur Datenübertragung bekannt gegeben werden, müssen identifiziert werden können,

5. Speicherkontrolle: unbefugte Eingabe in den Speicher sowie unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter Personendaten sind zu verhindern,

6. Benutzerkontrolle: die Benutzung von automatisierten Datenverarbeitungssystemen mittels Einrichtungen zur Datenübertragung durch unbefugte Personen ist zu verhindern,

7. Zugriffskontrolle: der Zugriff der berechtigten Personen ist auf diejenigen Personendaten zu beschränken, die sie für die Erfüllung ihrer Aufgabe benötigen,

8. Eingabekontrolle: in elektronischen Systemen muss nachträglich überprüft werden können, welche Personendaten zu welcher Zeit und von welcher Person eingegeben wurden,

9. Wiederherstellung: Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können,

10. Zuverlässigkeit, Integrität: Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen, auftretende Fehlfunktionen gemeldet werden und gespeicherte Personendaten nicht durch Fehlfunktionen des Systems beschädigt werden können.

Die Massnahmen orientieren sich nach dem Zweck, der Art und dem Umfang der Datenbearbeitung sowie den möglichen Gefahren für die Persönlichkeitsrechte betroffener Personen. Sie sind periodisch auf ihre Zweck- und Verhältnismässigkeit hin zu überprüfen und den technischen Entwicklungen anzupassen.

Öffentliche Organe legen ihr Datensicherheitskonzept fest und bestimmen die Aufbewahrungsfristen der von ihnen bearbeiteten Daten unter Beachtung der Anbietepflichten gemäss Archivgesetzgebung.

Spätestens ein Jahr nach Ablauf einer befristeten Anbietepflicht gemäss Archivgesetzgebung oder zehn Jahre nach ihrer Anlage sind vom Archiv nicht übernommene Personendaten zu löschen, ausser sie werden aufgrund einer nachweisbaren Überprüfung für die Aufgabenerfüllung oder zu Beweiszwecken weiterhin benötigt. Die Überprüfung ist spätestens nach zehn Jahren zu wiederholen. Sonderbestimmungen in anderen Erlassen bleiben vorbehalten.

Öffentliche Organe dokumentieren beim Betrieb eines elektronischen Systems zur Bearbeitung von Personendaten die zur Gewährleistung der Datensicherheit getroffenen Massnahmen sowie deren Überprüfung und Aktualisierung.

Zugriffe auf Personendaten sind wie folgt zu protokollieren, wenn die Einhaltung der Schutzziele nicht auf andere Art gewährleistet wird:

• a) Zugriffe von Systemadministratoren

• b) Zugriffe von Nutzenden zur

• 1. Authentifizierung und Autorisierung,

• 2. Dateneingabe und -veränderung,

• 3. Dateneinsicht,

• 4. Datenübermittlung,

• 5. Datenlöschung.

Die Protokolle sind während eines Jahres revisionsgerecht festzuhalten. Sie dürfen ausschliesslich zur Überprüfung der Rechtmässigkeit der Datenbearbeitung und der Sicherstellung der Informations- und Informatiksicherheit verwendet werden.

…

Öffentliche Organe führen bei jeder Einführung und Erweiterung einer informatikgestützten Anwendung mit Personendaten oder bei Veränderungen der Technologie, die vorausichtlich zu einem erhöhten Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person führt, eine Datenschutz-Folgenabschätzung durch. Ein erhöhtes Risiko ist insbesondere anzunehmen, wenn

1. das System Profiling ermöglicht,

2. besonders schützenswerte Personendaten bearbeitet werden,

3. Bearbeitungen von Personendaten durch Auftragnehmende durchgeführt werden,

4. zwei oder mehrere öffentliche Organe Personendaten in einem gemeinsamen elektronischen System bearbeiten.

Auf die Datenschutz-Folgenabschätzung kann verzichtet werden, sofern und soweit die Datenbearbeitungen in der gesetzlichen Grundlage ausdrücklich geregelt werden.

Öffentliche Organe halten das Ergebnis der Datenschutz-Folgenabschätzung schriftlich fest (§ 17a Abs. 2 IDAG). Der beauftragten Person für Öffentlichkeit und Datenschutz ist eine Kopie zuzustellen, wenn die Anwendung nicht zur Vorab-Konsultation unterbreitet wird.

Die Datenschutz-Folgenabschätzung enthält mindestens:

1. das verantwortliche öffentliche Organ, die rechtliche Grundlage, den Zweck und eine systematische Beschreibung der geplanten Datenbearbeitungen,

2. eine Bewertung der Notwendigkeit und Verhältnismässigkeit der Datenbearbeitungen in Bezug auf den Zweck,

3. eine Bewertung der Risiken für die Persönlichkeit und die Grundrechte der betroffenen Personen unter Beachtung der Schutzziele gemäss § 4 Abs. 1 und

4. die technischen und organisatorischen Massnahmen, die zur Bewältigung der Risiken geplant sind (§ 4 Abs. 1), unter anderem in Bezug auf Datenbearbeitungen durch beauftragte Dritte.

Mit dem Gesuch um Vorab-Konsultation (§ 17b IDAG) reicht das verantwortliche öffentliche Organ die Dokumentation der Datenschutz-Folgenabschätzung ein.

Das öffentliche Organ führt die geplanten Datenverarbeitungen nicht durch, bis die Konsultation abgeschlossen ist.

Die Konsultation ist abgeschlossen, wenn die beauftragte Person für Öffentlichkeit und Datenschutz die Anwendung für unbedenklich erklärt oder eine Empfehlung gemäss § 17b Abs. 2 IDAG abgegeben hat.

Verletzungen der Datensicherheit sind insbesondere Sicherheitsverletzungen, die zur Vernichtung, zum Verlust, zur Veränderung oder zum unbefugten Zugang zu Personendaten führen.

Der Schutz der betroffenen Person erfordert keine Meldung, wenn

1. die technischen und organisatorischen Massnahmen des öffentlichen Organs eine Kenntnisnahme der Personendaten durch Unbefugte verhindert haben oder

2. das öffentliche Organ durch nachfolgende Massnahmen sichergestellt hat, dass aller Wahrscheinlichkeit nach kein erhöhtes Risiko für die Persönlichkeit und die Grundrechte betroffener Personen mehr besteht oder

3. dies mit einem unverhältnismässigen Aufwand verbunden wäre und stattdessen eine öffentliche Bekanntmachung oder eine andere wirksame Informationsmassnahme erfolgt.

Besonders schützenswerte Personendaten sind insbesondere Daten über:

1. die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Tätigkeiten,

2. die Gesundheit, die Intimsphäre oder die ethnische Zugehörigkeit,

3. Massnahmen der sozialen Hilfe,

4. administrative oder strafrechtliche Verfolgungen und Sanktionen.

5. die ererbten oder erworbenen genetischen Eigenschaften einer Person, die eindeutige Informationen über deren Physiologie oder deren Gesundheit liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden Person gewonnen wurden (genetische Daten),

6. die physischen, physiologischen oder verhaltenstypischen Merkmale einer Person, die mit speziellen technischen Verfahren gewonnen werden und die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen (biometrische Daten).

Bei Datenbekanntgaben für nicht personenbezogene Zwecke, insbesondere für Forschung, Planung und Statistik kann eine Information der betroffenen Personen unterbleiben. Anderslautende gesetzliche Bestimmungen bleiben vorbehalten.

Werden Daten ausschliesslich zur Einhaltung und Kontrolle der Datensicherheit erhoben und gespeichert, besteht keine Pflicht zur Information der betroffenen Personen.

Werden Daten ausschliesslich zur Einhaltung der Aufbewahrungs- und Archivierungsvorschriften erhoben und gespeichert, besteht keine Pflicht zur Information der betroffenen Personen.

Die Datensperre gemäss § 16 IDAG ist den betroffenen Personen durch die Einwohnerkontrolle schriftlich zu bestätigen.

Das Gesuch um Aufhebung einer Datensperre ist schriftlich zu stellen.

Ein berechtigtes Interesse gemäss § 16 Abs. 1 IDAG liegt namentlich vor, wenn eine rechtliche, wirtschaftliche oder persönliche Beziehung zur Person, über die eine Auskunft eingeholt wird, besteht.

Der ideelle Zweck gemäss § 16 Abs. 2 IDAG ist insbesondere gegeben

1. bei politischen Parteien zur Förderung des politischen Interesses,

2. bei gemeinnützigen Organisationen zur Mitgliederwerbung und für Spendenaufrufe; das ZEWO-Gütesiegel oder die entsprechende Anerkennung durch das Steueramt des Kantons Aargau gilt als Nachweis der Gemeinnützigkeit,

3. bei lokalen und regionalen Vereinen und Organisationen zur Förderung des Gemeinschaftslebens, der Gesundheitsvorsorge, des Sports oder der Kultur.

Die Einwohnerkontrolle kann für die Bekanntgabe von Personendaten gemäss § 16 IDAG die Abgabe einer Erklärung verlangen, in der sich die Gesuchstellerin oder der Gesuchsteller zur Einhaltung von Auflagen verpflichtet, insbesondere zur ausschliesslichen Bearbeitung für den angegebenen Zweck oder zur Einhaltung des Verbots der Weitergabe.

Die Verpflichtungserklärung kann mit der Vereinbarung einer Konventionalstrafe bei Nichteinhaltung der Auflagen verbunden werden.

Werden öffentlich zugängliche Räume mit optisch-elektronischen Anlagen gemäss § 20 IDAG so überwacht, dass eine Personenidentifikation möglich ist, müssen in einem Reglement mindestens folgende Angaben festgehalten sein

1. Zweck der Überwachung,

2. Bezeichnung der Person oder Stelle, die mit der Durchführung der Überwachung betraut wird und die Daten bearbeiten, insbesondere auswerten darf,

3. Bezeichnung der Gebäude und Örtlichkeiten, die überwacht werden,

4. Bestimmung der Überwachungszeiten,

5. Festlegung, ob die Daten gespeichert werden und allenfalls wie lange.

Die optisch-elektronischen Anlagen sind so einzustellen, dass nur die absolut erforderlichen Daten erfasst werden können.

Die erhobenen Daten dürfen nur für den vorgesehenen Zweck verwendet werden. Das öffentliche Organ hat gemäss § 4 die Datensicherheit zu gewährleisten.

Das Reglement ist der beauftragten Person für Öffentlichkeit und Datenschutz mit dem Bewilligungsgesuch (§ 20 Abs. 1 Satz 2 IDAG) einzureichen.

Auftragnehmende für die Bearbeitung von Personendaten sind vom öffentlichen Organ unter besonderer Berücksichtigung der von jenen getroffenen technischen und organisatorischen Massnahmen sorgfältig auszuwählen. Durch Vertrag oder Auflagen sind festzulegen:

1. Gegenstand und Dauer des Auftrags,

2. Umfang, Art und Zweck der vorgesehenen Datenbearbeitung, die Art der Daten und der Kreis der Betroffenen,

3. die zur Einhaltung der Datensicherheit zu treffenden technischen und organisatorischen Massnahmen, deren Kontrolle und Dokumentation,

4. Durchsetzung von Ansprüchen betroffener Personen,

5. Verpflichtung zur Verschwiegenheit und Überbindung dieser Pflicht auf alle Datenbearbeitenden,

6. allfällige Berechtigung zur Vergabe von Unteraufträgen,

7. Kontrollrechte des auftraggebenden öffentlichen Organs und entsprechende Duldungs- und Mitwirkungspflichten des Auftragnehmenden,

8. Mitteilungspflicht des Auftragnehmenden bei Verletzungen der Datensicherheit,

9. Weisungsbefugnis des öffentlichen Organs,

10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmenden gespeicherter Daten.

Stellt die Bearbeitung von Personendaten nicht die Hauptpflicht des Auftragnehmenden dar, haben sich die Vereinbarung oder die Auflagen sinngemäss am Inhalt gemäss Abs. 1 zu orientieren.

Nahe Verwandte, die ein Einsichtsrecht gemäss § 26 IDAG haben, sind Personen, die mit den Verstorbenen in gerader Linie oder bis zum Grad der Geschwisterkinder verwandt oder verschwägert waren.

Personendaten, die vom verantwortlichen öffentlichen Organ nicht als richtig bewiesen werden können, sind nur dann nicht zu löschen und stattdessen mit einem entsprechenden Vermerk zu versehen, wenn ansonsten keine dem Zweck der Datensammlung entsprechenden amtlichen Daten zu dieser Person mehr bestehen würden.

Das Archivgut des Staatsarchivs umfasst

1. Archivgut des Aargaus aus der Zeit der Rechtsvorgänger des Kantons bis 1798 sowie der helvetischen Kantone Aargau, Baden und Fricktal (eingeschlossen das Archivgut der aufgehobenen geistlichen Institutionen),

2. Archivgut der öffentlichen Organe des Kantons seit 1803,

3. weiteres Archivgut, das für die Kantons-, Orts- und Personengeschichte von Bedeutung ist, und dem Staatsarchiv zu Eigentum oder als Depositum – von Institutionen, Organisationen, natürlichen und juristischen Personen – geschenkt oder anvertraut wird oder auf andere Weise in den Besitz des Staatsarchivs gelangt,

4. …

5. eine Handbibliothek.

Das Archivgut steht der Öffentlichkeit zur Einsicht offen.

Die Einsichtnahme in Archivgut von Nachlässen und Deposita richtet sich nach den Bestimmungen der Übernahmeverträge.

Einzelheiten regelt das Staatsarchiv in einer Benutzungsordnung, die vom Regierungsrat zu genehmigen ist. Die Benutzungsordnung regelt ausserdem in Grundzügen Ausleihe und gewerbliche Nutzung gemäss den §§ 28 und 29.

Das Staatsarchiv kann für Dritte Nachforschungen vornehmen.

…

…

Das Staatsarchiv kann Archivgut für wissenschaftliche Forschung sowie zu Ausstellungszwecken für angemessene Zeit ausleihen, sofern sachgerechte Behandlung und Sicherheit gewährleistet sind.

Das Staatsarchiv regelt im Einzelfall die Voraussetzungen und das Verfahren zur gewerblichen Nutzung des Archivguts.

Die entsprechenden Verträge sind zu ihrer Gültigkeit von der Vorsteherin oder dem Vorsteher des Departements Bildung, Kultur und Sport zu unterzeichnen.

Die Fachaufsicht über das Staatsarchiv übt eine Archivkommission von fünf bis sieben Mitgliedern aus. Sie unterstützt und berät den Regierungsrat bei der Förderung und Koordination des Archivwesens im Kanton.

Der Regierungsrat wählt die Mitglieder der Archivkommission und deren Präsidentin oder Präsidenten auf die Dauer von vier Jahren.