Gesetz über den Datenschutz

Zum Schutz der Persönlichkeit regelt dieses Gesetz die Bearbeitung von Daten durch öffentliche Organe.

Die Bestimmungen dieses Gesetzes gelten für jedes Bearbeiten von Personendaten, unabhängig von den verwendeten Mitteln oder Verfahren, soweit nicht andere Gesetze besondere Vorschriften enthalten.

Den Bestimmungen dieses Gesetzes unterstehen als öffentliche Organe im Sinne dieses Gesetzes:

1. der Staat, die Gemeinden, die Organisationen des kantonalen öffentlichen Rechtes mit eigener Rechtspersönlichkeit und die Personen, die mit öffentlichen Aufgaben dieser Gemeinwesen betraut sind, seien sie Behördemitglieder, Beamte oder Angestellte, seien sie vollamtlich, nebenamtlich, ständig oder vorübergehend tätig;

2. private Organisationen und Einzelpersonen, soweit ihnen öffentliche Aufgaben übertragen sind.

Dieses Gesetz gilt bei privatrechtlicher Tätigkeit nicht.

Personendaten sind Angaben über natürliche oder juristische Personen, sofern diese bestimmt oder bestimmbar sind.

Besonders schützenswerte Personendaten sind namentlich Angaben über:

1. die religiöse, weltanschauliche oder politische Ansicht oder Betätigung;

2. den persönlichen Geheimbereich;

3. den seelischen, geistigen oder körperlichen Zustand;

4. Massnahmen der sozialen Hilfe oder der fürsorgerischen Betreuung;

5. Straftaten und die dafür verhängten Strafen oder Massnahmen.

Bearbeitung von Personendaten ist jeder Umgang mit Personendaten wie das Erheben, Aufbewahren, Verwenden, Verändern, Bekanntgeben oder Vernichten.

Datensammlung ist jede nach Personen erschlossene oder erschliessbare Erfassung von Personendaten.

Personendaten dürfen nur bearbeitet werden, soweit hiefür eine gesetzliche Grundlage besteht oder dies einer gesetzlichen Aufgabe dient.

Personendaten und die Art, wie sie bearbeitet werden, müssen für die Erfüllung der Aufgaben geeignet und erforderlich sein.

Personendaten dürfen nicht für einen Zweck verwendet oder bekanntgegeben werden, der nach Treu und Glauben mit dem ursprünglichen Zweck unvereinbar ist.

Besonders schützenswerte Personendaten dürfen nur bearbeitet werden, sofern sich entweder die Zulässigkeit aus einer ausdrücklichen gesetzlichen Grundlage ergibt oder eine gesetzliche Aufgabe die Bearbeitung zwingend erfordert oder aber der Betroffene ausdrücklich zustimmt oder seine Zustimmung vorausgesetzt werden darf, weil er entsprechende öffentliche Leistungen beansprucht.

Personendaten müssen richtig und vollständig sein, soweit es der Zweck der Bearbeitung verlangt.

Für den Datenschutz ist verantwortlich, wer Personendaten bearbeitet oder bearbeiten lässt.

Verwenden mehrere Stellen Personendaten aus einer gemeinsamen Datensammlung, ist ein Organ zu bezeichnen, welches für den Datenschutz die Hauptverantwortung trägt.

Personendaten für Datensammlungen sind nach Möglichkeit bei der betroffenen Person selbst zu erheben.

Werden Personendaten systematisch, namentlich mittels Fragebogen erhoben, müssen Rechtsgrundlage und Zweck der Bearbeitung bekanntgegeben werden. In den übrigen Fällen sind diese Angaben der befragten Person auf Wunsch bekanntzugeben, es sei denn, die Erfüllung der gesetzlichen Aufgabe würde dadurch gefährdet.

Die Bearbeitung von Personendaten muss vorab durch die Aufsichtsstellen gemäss § 17 geprüft werden, wenn sie besondere Risiken für die Rechte und Freiheiten der betroffenen Personen beinhalten kann.

Personendaten dürfen öffentlichen Organen nur bekanntgegeben werden, sofern

1. das verantwortliche Organ hiezu gesetzlich ermächtigt ist oder

2. das empfangende Organ nachweist, dass es die Personendaten zur Erfüllung seiner gesetzlichen Aufgabe benötigt oder

3. der Betroffene ausdrücklich zugestimmt hat oder seine Zustimmung nach den Umständen vorausgesetzt werden darf.

Personendaten dürfen unter Vorbehalt des Amtsgeheimnisses Privaten nur bekanntgegeben werden, sofern

1. das verantwortliche Organ hiezu gesetzlich ermächtigt ist oder

2. der Betroffene ausdrücklich zugestimmt hat oder seine Zustimmung nach den Umständen vorausgesetzt werden darf.

Personendaten, die in allgemein zugänglichen amtlichen oder amtlich bewilligten Veröffentlichungen enthalten sind, dürfen nur in dem Umfang und entsprechend der Ordnung bekanntgegeben werden, wie sie veröffentlicht sind.

Der Regierungsrat regelt die Bekanntgabe von Personendaten für Adressbücher oder ähnliche Nachschlagewerke von allgemeinem Interesse.

Personendaten dürfen an Empfänger, welche der Rechtshoheit von Staaten oder Organisationen unterliegen, die nicht Vertragspartei des Übereinkommens zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten sind, nur übermittelt werden, wenn diese Staaten oder Organisationen einen angemessenen Schutz für die beabsichtigte Datenübermittlung bieten.

Vorbehalten bleiben die Zustimmung der betroffenen Person im Einzelfall und Art. 2 Abs. 2 des Zusatzprotokolls vom 8. November 2001 zum Abkommen gemäss Abs. 1.

Die Bekanntgabe von Personendaten kann aus wichtigen öffentlichen oder schutzwürdigen privaten Interessen eingeschränkt oder mit Auflagen verbunden werden.

Werden Personendaten für nicht personenbezogene Zwecke, insbesondere für solche der Statistik, Planung, Wissenschaft oder Forschung, bearbeitet, dürfen sie nicht mehr personenbezogen verwendet oder weitergegeben und die Ergebnisse nicht so bekanntgegeben werden, dass Rückschlüsse auf Betroffene möglich sind.

Das verantwortliche Organ darf Personendaten an Private bekanntgeben, sofern zusätzlich gewährleistet ist, dass sie nicht an Dritte weitergegeben werden und dass für die Datensicherung gesorgt ist.

Werden die Personendaten ausschliesslich für nicht personenbezogene Zwecke bearbeitet, sind § 4 Abs. 3 sowie § 8 und § 9 nicht anwendbar.

Werden Personendaten durch Dritte bearbeitet, ist der Datenschutz im Sinne dieses Gesetzes vom verantwortlichen Organ durch Vertrag oder Verfügung sicherzustellen.

Ohne ausdrückliche Ermächtigung darf der Dritte Personendaten nur für das verantwortliche Organ verwenden und nur diesem bekanntgeben.

Wer Personendaten bearbeitet, sorgt für deren angemessene Sicherung vor Verlust, Entwendung, unbefugter Bearbeitung oder Kenntnisnahme.

Öffentlich zugängliche Orte dürfen zum Schutz von Personen und Sachen mit technischen Geräten überwacht werden, wenn

1. die Überwachung in geeigneter Weise erkennbar gemacht wird,

2. die gespeicherten Personendaten nach 100 Tagen gelöscht oder innerhalb dieser Frist mit einer Strafanzeige der Polizei übergeben werden und

3. die Aufsichtsstellen gemäss § 17 vorgängig über die Einführung einer Überwachung informiert wurden.

Das Anbringen von Überwachungsgeräten wird von jenem öffentlichen Organ angeordnet, dem das Benützungsrecht oder die Hoheit über den zu überwachenden Ort zusteht.

Das verantwortliche öffentliche Organ sorgt dafür, dass die Personendaten vor dem Zugriff unbefugter Personen geschützt sind. Es regelt die Zugangsberechtigung.

Das verantwortliche Organ führt ein Register über die von ihm angelegten Datensammlungen.

Das Register enthält für jede Datensammlung Angaben über die Rechtsgrundlage, den Zweck und die Mittel der Bearbeitung, die Art und die Herkunft der Personendaten, die an der Datensammlung beteiligten Organe sowie die regelmässigen Empfänger der Personendaten.

Nicht in das Register aufgenommen werden Datensammlungen, die

1. nur kurzfristig bestehen;

2. rechtmässig veröffentlicht sind;

3. von der Polizei oder anderen Organen der Strafverfolgung in einzelnen Verfahren geführt werden;

4. ausschliesslich persönliche Arbeitsmittel sind und nicht anderweitig verwendet werden.

Der Kanton führt ein zentrales Register seiner Datensammlungen.

Gemeinden und die anderen öffentlich-rechtlichen Körperschaften führen ein eigenes zentrales Register.

Das verantwortliche Organ legt für jede Datensammlung fest, wann Personendaten zu vernichten sind.

Vorbehalten bleiben die Bestimmungen des Gesetzes über Aktenführung und Archivierung¹.

Der Regierungsrat wählt einen Datenschutz- und Öffentlichkeitsbeauftragten, der seine Aufgaben unabhängig erfüllt.

Dieser beaufsichtigt die Bearbeitung von Daten durch:

1. Organe des Kantons sowie kantonaler öffentlich-rechtlicher Körperschaften und Anstalten,

2. private Personen und Organe von privaten Organisationen, soweit ihnen kantonale öffentliche Aufgaben übertragen sind.

Die Gemeinden bezeichnen eigene Aufsichtsstellen.

Der Datenschutz- und Öffentlichkeitsbeauftragte hat folgende Aufgaben:

1. Er überwacht die Einhaltung der Vorschriften über den Datenschutz;

2. er berät die betroffenen Personen über ihre Rechte;

3. er vermittelt zwischen betroffenen Personen und den verantwortlichen Organen;

4. er berät die Organe in Fragen des Datenschutzes und der Datensicherung;

5. er nimmt die ihm durch das Gesetz über das Öffentlichkeitsprinzip übertragenen Aufgaben wahr.

Der Datenschutz- und Öffentlichkeitsbeauftragte arbeitet zur Erfüllung der Kontrollaufgaben mit den Aufsichtsstellen der Gemeinden, der Kantone, des Bundes und des Auslandes zusammen.

Er ist hinsichtlich der Personendaten, die er bei seiner Tätigkeit zur Kenntnis nimmt, zur gleichen Verschwiegenheit verpflichtet wie das verantwortliche Organ.

Er legt gegenüber dem Regierungsrat Rechenschaft über seine Tätigkeit ab und informiert ihn und die Öffentlichkeit periodisch über wichtige Feststellungen und Beurteilungen sowie über die Wirkung der Bestimmungen über den Datenschutz.

Der Datenschutz- und Öffentlichkeitsbeauftragte kann:

1. ungeachtet allfälliger Geheimhaltungspflichten Ermittlungen durchführen, alle für die Erfüllung des Kontrollauftrages erforderlichen Informationen über Datenbearbeitungen einholen, Einsicht in alle Unterlagen nehmen, Besichtigungen durchführen und sich Bearbeitungen vorführen lassen;

2. Daten sperren, löschen oder vernichten lassen, eine Datenbearbeitung verbieten oder dem verantwortlichen Organ Anweisungen zur Datenbearbeitung erteilen;

3. gegen Entscheide aufgrund dieses Gesetzes beim zuständigen Departement oder gegen Entscheide der Departemente beim Verwaltungsgericht ein Rechtsmittel einlegen;

4. bei Verstössen gegen das Datenschutzgesetz Strafantrag stellen.

Die verantwortlichen Organe haben den Datenschutz- und Öffentlichkeitsbeauftragten zu unterstützen.

Jedermann kann in die Register der Datensammlungen Einsicht nehmen.

Jedermann kann vom verantwortlichen Organ Einsicht in Daten verlangen, die über ihn in einer im Register enthaltenen Datensammlung vorhanden sind.

Die Einsichtnahme und allfällige Auskunftserteilungen sind grundsätzlich unentgeltlich.

Verursacht die Gewährung der Einsicht oder die Erteilung einer Auskunft einen unverhältnismässigen Verwaltungsaufwand, können hierfür Kosten auferlegt werden.

Die Einsicht in Personendaten kann eingeschränkt oder verweigert werden, wenn wichtige öffentliche oder schutzwürdige private Interessen dies erfordern.

Kann die Einsicht dem Gesuchsteller nicht gewährt werden, weil er zu stark belastet würde, kann sie einer Person seines Vertrauens ermöglicht werden.

Soweit die Gewährung der Einsicht zu einem unverhältnismässigen Verwaltungsaufwand führen würde oder die Personendaten ausschliesslich für nicht personenbezogene Zwecke bearbeitet werden, kann die Einsicht eingeschränkt oder verweigert werden, sofern nicht der Gesuchsteller ein schutzwürdiges Interesse glaubhaft macht.

Wer ein eigenes Interesse dartut, kann verlangen, dass unrichtige Personendaten berichtigt werden.

Bestreitet das verantwortliche Organ die Unrichtigkeit, obliegt ihm der Beweis für die Richtigkeit der Personendaten, sofern der Gegenbeweis dem Gesuchsteller nicht ohne weiteres zumutbar ist.

Kann aufgrund der Natur der Daten weder die Richtigkeit noch die Unrichtigkeit von Personendaten bewiesen werden, insbesondere bei Werturteilen, kann die betroffene Person die Aufnahme einer Gegendarstellung verlangen.

Ein Betroffener kann vom verantwortlichen Organ verlangen, dass:

1. eine widerrechtliche Bearbeitung von Personendaten eingestellt oder unterlassen wird,

2. Personendaten, die widerrechtlich erhoben, aufbewahrt oder verwendet worden sind, vernichtet und die Folgen der widerrechtlichen Bearbeitung beseitigt werden,

3. die Widerrechtlichkeit einer Bearbeitung festgestellt wird.

Wer ein schutzwürdiges Interesse glaubhaft macht, kann vom verantwortlichen Organ verlangen, dass es die Bekanntgabe von bestimmten Personendaten sperrt.

Die Sperrung darf durchbrochen werden, wenn

1. ein Gesetz die Bekanntgabe vorschreibt oder

2. durch die Sperrung die Erfüllung der gesetzlichen Aufgabe des verantwortlichen Organs verunmöglicht wird.

Gegen Entscheide aufgrund dieses Gesetzes kann beim in der Sache zuständigen Departement Rekurs erhoben werden.

Entscheide der Departemente und des Datenschutz- und Öffentlichkeitsbeauftragten unterliegen der Beschwerde an das Verwaltungsgericht.

Wer Personendaten im Auftrag bearbeitet und sie vorsätzlich auftragswidrig verwendet oder bekannt gibt, wird auf Antrag mit Busse bestraft.

Dieses Gesetz tritt nach Annahme durch das Volk auf einen vom Regierungsrat festzusetzenden Zeitpunkt in Kraft.³