Datenschutzverordnung

Die verantwortliche Behörde bestätigt die Anordnung der Datensperre von Personendaten (Art. 13 KDSG²) der Gesuchstellerin oder dem Gesuchsteller schriftlich.

Das Gesuch um Datensperrung und die Bestätigung können auf elektronischem Weg erfolgen, wenn die verantwortliche Behörde angemessene Massnahmen getroffen hat, um

1. die Identifizierung der betroffenen Person sicherzustellen und

2. die persönlichen Daten der betroffenen Person bei der Gesuchsbehandlung vor dem Zugriff unberechtigter Dritter zu schützen.

Werden Personendaten mittels automatisierter Informations- und Kommunikationsdienste zwecks Information der Öffentlichkeit zugänglich gemacht, so stellt die verantwortliche Behörde sicher, dass die Rechtsgrundlage auch die Datenbekanntgabe ins Ausland erlaubt.

Wurde die Aufsichtsstelle über die Garantien gemäss Artikel 14a Absatz 2 Buchstabe a KDSG³ informiert, so gilt die Informationspflicht für alle weiteren Bekanntgaben als erfüllt, die unter denselben Garantien erfolgen, soweit die Kategorien der Empfängerinnen oder der Empfänger, der Zweck der Bearbeitung und die Datenkategorien im Wesentlichen unverändert bleiben.

Die Informationspflicht gilt ebenfalls als erfüllt, wenn Daten gestützt auf Modellverträge oder Standardvertragsklauseln übermittelt werden, die vom eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erstellt oder anerkannt wurden, und die Aufsichtsstelle von der verantwortlichen Behörde in allgemeiner Form über die Verwendung dieser Modellverträge oder Standardvertragsklauseln informiert wurde.

Die verantwortliche Behörde trifft Massnahmen, um sicherzustellen, dass die Empfängerin oder der Empfänger die Garantien beachtet.

Die verantwortliche Behörde, die Personendaten bearbeitet oder ein Datenkommunikationsnetz zur Verfügung stellt, sorgt mit technischen und organisatorischen Massnahmen für die Vertraulichkeit, die Verfügbarkeit und die Richtigkeit der Daten (Art. 17 KDSG). Insbesondere schützt sie die Systeme gegen folgende Risiken:

1. unbefugte oder zufällige Vernichtung,

2. zufälligen Verlust,

3. technische Fehler,

4. Fälschung, Diebstahl oder widerrechtliche Verwendung,

5. unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen.

Die Massnahmen müssen angemessen sein. Insbesondere tragen sie folgenden Kriterien Rechnung:

1. Zweck der Datenbearbeitung,

2. Art und Umfang der Datenbearbeitung,

3. Einschätzung der möglichen Risiken für die betroffenen Personen,

4. gegenwärtigem Stand der Technik.

Die Risiken und Massnahmen sind periodisch zu überprüfen.

Die verantwortliche Behörde trifft insbesondere bei der elektronischen Bearbeitung von Personendaten die folgenden technischen und organisatorischen Massnahmen:

1. Zugangskontrolle: Unbefugten Personen ist der Zugang zu den Einrichtungen, in denen Personendaten bearbeitet werden, zu verwehren;

2. Personendatenträgerkontrolle: Unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen;

3. Transportkontrolle: Bei der Bekanntgabe von Personendaten sowie beim Transport von Datenträgern ist zu verhindern, dass die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können;

4. Bekanntgabekontrolle: Datenempfänger, denen Personendaten mittels Einrichtungen zur Datenübertragung bekannt gegeben werden, müssen identifiziert werden können;

5. Speicherkontrolle: Die unbefugte Eingabe in den Speicher sowie die unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter Personendaten sind zu verhindern;

6. Benutzerkontrolle: Die Benutzung von automatisierten Datenbearbeitungssystemen mittels Einrichtungen zur Datenübertragung durch unbefugte Personen ist zu verhindern;

7. Zugriffskontrolle: Der Zugriff der berechtigten Personen ist auf diejenigen Personendaten zu beschränken, die sie für die Erfüllung ihrer Aufgabe benötigen;

8. Eingabekontrolle: In automatisierten Systemen muss nachträglich überprüft werden können, welche Personendaten zu welcher Zeit und von welcher Person eingegeben wurden.

Die Datensammlungen sind so zu gestalten, dass die betroffenen Personen ihr Auskunftsrecht und ihr Recht auf Berichtigung wahrnehmen können.

Die verantwortliche Behörde protokolliert die automatisierte Bearbeitung von besonders schützenswerten Personendaten oder von Personendaten, die einer besonderen Geheimhaltungspflicht unterstehen, wenn die präventiven Massnahmen den Datenschutz nicht gewährleisten können.

Eine Protokollierung hat insbesondere dann zu erfolgen, wenn sonst nicht nachträglich festgestellt werden kann, ob die Daten für diejenigen Zwecke bearbeitet wurden, für die sie erhoben oder bekannt gegeben wurden.

Die Protokolle sind während eines Jahres revisionsgerecht aufzubewahren. Sie sind ausschliesslich denjenigen Stellen zugänglich, denen die Überwachung der Datenschutzvorschriften obliegt, und dürfen nur für diesen Zweck verwendet werden. Abweichende Vorgaben in der Gesetzgebung oder in Betriebsbewilligungen bleiben vorbehalten.

Technische Mittel mit besonderen Risiken für die Rechte und Freiheiten der betroffenen Personen im Sinne von Artikel 17a Absatz 1 Buchstabe d KDSG liegen insbesondere vor, wenn Personendaten

1. auf Datenträgern gespeichert werden, welche die betroffene Person mit sich trägt,

2. auf RFID-Chips (passive Funkfrequenzidentifikationstransponder) gespeichert werden,

3. über Drahtlosverbindungen übertragen werden, soweit es nicht um Funktelefonverbindungen und Drahtlosverbindungen von Zahlterminals geht, deren Sicherheit für den Geschäftsverkehr bereits geprüft worden ist,

4. mit Bildaufzeichnungs- und Bearbeitungsgeräten erhoben werden.

Gleiches gilt, wenn

1. besonders schützenswerte Personendaten über öffentliche Netze übertragen werden,

2. Privaten aus dem Internet ein eingeschränkter Zugriff auf Daten aus einer Personendatenbank gewährt werden soll.

Eine wesentliche Änderung im Sinne von Artikel 17a Absatz 2 KDSG liegt insbesondere vor, wenn

1. die Mittel oder der Zweck der Datenbearbeitung in erheblicher Weise ändern oder

2. die Änderung für sich allein die Voraussetzungen für eine Vorabkontrolle erfüllt.

Ändert lediglich der Umfang einer Datenbearbeitung, bildet dies keine wesentliche Änderung.

Gemeinden und andere gemeinderechtliche Körperschaften können auf eine Vorabkontrolle verzichten, wenn

1. sie Datenbearbeitungssysteme oder -programme einsetzen, für die eine Zertifizierung nach Artikel 11 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG)⁴ vorliegt und diese sowohl die Informatiksicherheit als auch den Datenschutz insgesamt umfasst oder

2. die Datenbearbeitung einschliesslich der elektronisch archivierten Datenbearbeitungen weniger als 500 Personen betrifft.

Für die Informatikprojekte des Kantons und für Informatikprojekte, an die der Kanton nach der besonderen Gesetzgebung Abgeltungen gewährt, regelt die Finanzdirektion durch Direktionsverordnung

1. die Analyse der Informatiksicherheit und des Datenschutzes,

2. die Vorabkontrolle und deren Zeitpunkt,

3. die Vorgaben für die Informatiksicherheit und den Datenschutz.

Datensammlungen werden nicht in das Register aufgenommen, wenn sie

1. während höchstens zweier Jahre verwendet werden,

2. im Staats- oder Gemeindearchiv aufbewahrt werden oder

3. in Form von Jahrbüchern der Öffentlichkeit zugänglich sind.

Die Auskunft oder der begründete Entscheid über die Einschränkung des Auskunftsrechts (Art. 21 und 22 KDSG) ist spätestens innert 30 Tagen seit dem Eingang des Auskunftsbegehrens zu erteilen. Kann die Auskunft nicht innert 30 Tagen erteilt werden, so muss die verantwortliche Behörde die Gesuchstellerin oder den Gesuchsteller darüber benachrichtigen und ihr oder ihm die Frist mitteilen, in der die Auskunft erfolgen wird.

Das Auskunftsbegehren und die Auskunftserteilung können auf elektronischem Weg erfolgen, wenn die verantwortliche Behörde angemessene Massnahmen getroffen hat, um

1. die Identifizierung der betroffenen Person sicherzustellen und

2. die persönlichen Daten der betroffenen Person bei der Auskunftserteilung vor dem Zugriff unberechtigter Dritter zu schützen.

Wird Auskunft über Daten von verstorbenen Personen verlangt, so ist sie zu erteilen, wenn die Gesuchstellerin oder der Gesuchsteller ein Interesse an der Auskunft nachweist und keine überwiegenden Interessen von Angehörigen der verstorbenen Person oder von Dritten entgegenstehen. Bei naher Verwandtschaft sowie Ehe oder eingetragener Partnerschaft mit der verstorbenen Person gilt dieser Nachweis als erbracht. Vorbehalten bleiben besondere Geheimhaltungspflichten.

Die verantwortlichen Behörden legen der Aufsichtsstelle alle Vorlagen über Erlasse und andere Massnahmen nach Artikel 34 Absatz 1 Buchstabe k KDSG vor, welche die Bearbeitung von Personendaten und den Datenschutz betreffen.

Die Direktionen und die Staatskanzlei teilen der kantonalen Aufsichtsstelle ihre Verfügungen und Entscheide im Bereich des Datenschutzes in anonymisierter Form mit.

Treffen die Gemeinden und die anderen gemeinderechtlichen Körperschaften keine abweichende Regelung, verfügen ihre Aufsichtsstellen pro Jahr über folgende Ausgabenbefugnis:

1. 1000 Franken für Kleinstkörperschaften gemäss Artikel 64a der Gemeindeverordnung⁵,

2. 5000 Franken für Gemeinden bis 10 000 Einwohner und für die andern gemeinderechtlichen Körperschaften,

3. 10 000 Franken für Gemeinden mit mehr als 10 000 Einwohnern.

Die Staatskanzlei und die Direktionen bezeichnen jeweils mindestens eine Kontaktstelle für Datenschutz. Diese

1. berät die Organisationseinheiten in Datenschutzfragen,

2. leitet Anfragen, die sie nicht selber beantworten kann, an die kantonale Datenschutzaufsichtsstelle weiter,

3. unterstützt die verantwortlichen Organe und Benützerinnen und Benützer,

4. fördert die Information und die Ausbildung der Mitarbeiterinnen und Mitarbeiter,

5. wirkt beim Vollzug der Datenschutzvorschriften mit.

Bezeichnen die Direktionen und die Staatskanzlei keine anderen Stellen, sind die Rechtsdienste der Direktionen und der Staatskanzlei bzw. die Amtsjuristinnen und -juristen Kontaktstelle.

Die Beratung der gemeinderechtlichen Körperschaften in allgemeinen Datenschutzfragen erfolgt durch das Amt für Gemeinden und Raumordnung der Direktion für Inneres und Justiz. Zu fachspezifischen Datenschutzfragen erfolgt die Beratung durch die je zuständigen Rechtsdienste der Direktionen und der Staatskanzlei bzw. die Amtsjuristinnen und -juristen. Die kantonale Datenschutzaufsichtsstelle bleibt Anlaufstelle für die Datenschutzaufsichtsstellen gemeinderechtlicher Körperschaften.

Die Zuständigkeiten der Behörden der Verwaltungsrechtspflege richten sich grundsätzlich nach den Bestimmungen des Gesetzes über die Verwaltungsrechtspflege.

Gegen Verfügungen von Anstalten und Körperschaften des Kantons sowie von Privaten, die kantonale öffentliche Aufgaben erfüllen, kann bei jener Direktion Beschwerde geführt werden, welche die Aufsicht wahrnimmt oder welche dem Fachbereich am nächsten steht.

Gegen Verfügungen von Organen des Grossen Rates kann das Plenum angerufen werden.

Folgende Erlasse werden geändert:

1. Verordnung vom 26. Oktober 1994 über die Information der Bevölkerung (Informationsverordnung; IV)⁶

2. Verordnung vom 26. Juni 1996 über das Vernehmlassungs- und das Mitberichtsverfahren (VMV)⁷

3. Verordnung über die Organisation und die Aufgaben der Justiz-, Gemeinde- und Kirchendirektion vom 18. Oktober 1995 (Organisationsverordnung JGK; OrV JGK)⁸

4. Verordnung über die Gebühren der Kantonsverwaltung vom 22. Februar 1995 (Gebührenverordnung; GebV)⁹

5. Spitalversorgungsverordnung vom 30. November 2005 (SpVV)¹⁰

Diese Verordnung tritt am 1. Januar 2009 in Kraft.