Gesetz über den Schutz von Personendaten

Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden.

Dieses Gesetz gilt für jedes Bearbeiten von Personendaten natürlicher Personen durch Behörden des Kantons, der Gemeinden sowie der öffentlich-rechtlichen Körperschaften und Anstalten.

Es ist nicht anwendbar, wenn Personendaten aus rechtlichen, historischen oder wissenschaftlichen Gründen bereits im Staatsarchiv oder anderen zuständigen öffentlichen Archiven archiviert sind oder gemäss Artikel 15 noch archiviert werden und ihre Bearbeitung aufgrund ihres Alters keine schutzwürdigen Interessen von Personen mehr verletzen kann.

Nimmt eine Behörde am wirtschaftlichen Wettbewerb teil und handelt dabei nicht hoheitlich, gelten sinngemäss die Regeln des Bundesrechts für die Datenbearbeitung durch private Personen. Vorbehalten bleiben die Bestimmungen über die Aufsichtsstelle.

Die Rechte und Ansprüche von betroffenen Personen während hängigen Verfahren der Zivil- und Strafrechtspflege sowie während staats- und verwaltungsrechtlichen Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren richten sich ausschliesslich nach dem jeweils anwendbaren Verfahrensrecht.

Abweichende und ergänzende Vorschriften bleiben vorbehalten, sofern sie den Schutz vor widerrechtlicher Bearbeitung von Personendaten im Sinne dieses Gesetzes sicherstellen.

Die folgenden Ausdrücke bedeuten:

• a) Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen

• b) besonders schützenswerte Personendaten:

• 1. Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten

• 2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie

• 3. genetische Daten

• 4. biometrische Daten, die eine natürliche Person eindeutig identifizieren

• 5. Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen

• 6. Daten über Massnahmen der sozialen Hilfe

• c) Datensammlung: jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach den betroffenen Personen erschliessbar sind

• d) Bearbeiten: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten

• e) Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen

• f) Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden

• g) Behörden: alle Organe und Dienststellen des Kantons, der Gemeinden, der öffentlich-rechtlichen Anstalten und Körperschaften sowie Kommissionen und private Personen, die mit der Erfüllung öffentlicher Aufgaben betraut sind

• h) verantwortliche Behörde: Behörde, die alleine oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet

• i) Auftragsbearbeiterin oder Auftragsbearbeiter: private Person oder Behörde, die im Auftrag der verantwortlichen Behörde Personendaten bearbeitet

Personendaten dürfen nur bearbeitet werden, wenn:

1. dafür eine gesetzliche Grundlage besteht oder

2. das Bearbeiten zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist

Für die Bearbeitung besonders schützenswerter Personendaten oder für ein Profiling ist eine Grundlage in einem Gesetz im formellen Sinn erforderlich, es sei denn, die Bearbeitung ist für eine in einem Gesetz im formellen Sinn festgelegte Aufgabe unentbehrlich.

Die Behörden sorgen dafür, dass Personendaten richtig und, soweit es der Zweck des Bearbeitens verlangt, vollständig und aktualisiert sind.

Personendaten dürfen nur rechtmässig, verhältnismässig und nach dem Grundsatz von Treu und Glauben bearbeitet werden. Sie dürfen nicht für einen Zweck bearbeitet werden, der mit dem Zweck der ursprünglichen Beschaffung unvereinbar ist.

Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einer Auftragsbearbeiterin oder einem Auftragsbearbeiter übertragen werden, wenn:

1. die Daten so bearbeitet werden, wie die verantwortliche Behörde selbst es tun dürfte und

2. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet

Die verantwortliche Behörde muss sich insbesondere vergewissern, dass die Auftragsbearbeiterin oder der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.

Die Auftragsbearbeiterin oder der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung der verantwortlichen Behörde einem Dritten übertragen.

Sie oder er kann dieselben Rechtfertigungsgründe geltend machen wie die verantwortliche Behörde.

Bei systematischen Erhebungen, namentlich mit Fragebogen, gibt die Behörde den Zweck und die Rechtsgrundlage des Bearbeitens bekannt.

Die verantwortliche Behörde erstellt vorgängig eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann eine gemeinsame Abschätzung erstellt werden.

Das hohe Risiko ergibt sich, insbesondere bei Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Es liegt namentlich vor:

1. bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten

2. wenn systematisch umfangreiche öffentliche Bereiche überwacht werden

Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte.

Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz der von der verantwortlichen Behörde vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, so holt sie vorgängig die Stellungnahme der beauftragten Person für Datenschutz ein.

Die beauftragte Person für Datenschutz teilt der verantwortlichen Behörde innerhalb von zwei Monaten ihre Einwände gegen die geplante Bearbeitung mit. Diese Frist kann um einen Monat verlängert werden, wenn es sich um eine komplexe Datenbearbeitung handelt.

Hat die beauftragte Person für Datenschutz Einwände gegen die geplante Bearbeitung, so schlägt sie der verantwortlichen Behörde geeignete Massnahmen vor.

Personendaten dürfen nur bekanntgegeben werden, wenn:

1. hierzu eine gesetzliche Grundlage gemäss Artikel 4 Absatz 1 und 2 besteht

2. die Bekanntgabe der Daten für die Empfängerin oder den Empfänger zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist

3. die betroffene Person der Bekanntgabe ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe im Interesse der betroffenen Person liegt und ihre Zustimmung vorausgesetzt werden darf

4. die Bekanntgabe notwendig ist, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es nicht möglich ist, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen

5. die betroffene Person ihre Daten allgemein zugänglich gemacht und eine Bekanntgabe nicht ausdrücklich untersagt hat oder

6. die Empfängerin oder der Empfänger glaubhaft macht, dass die betroffene Person die Einwilligung verweigert oder Widerspruch gegen die Bekanntgabe einlegt, um ihr oder ihm die Durchsetzung von Rechtsansprüchen oder die Wahrnehmung anderer schutzwürdiger Interessen zu verwehren; der betroffenen Person ist vorgängig Gelegenheit zur Stellungnahme zu geben, es sei denn, dies ist unmöglich oder mit unverhältnismässigem Aufwand verbunden

Personendaten, die in allgemein zugänglichen amtlichen oder amtlich bewilligten Veröffentlichungen enthalten sind, dürfen nur in dem Umfang und entsprechend der Ordnung bekanntgegeben werden, wie sie veröffentlicht sind.

Die verantwortliche Behörde lehnt die Bekanntgabe ab, schränkt sie ein oder verbindet sie mit Auflagen, wenn:

1. wesentliche öffentliche Interessen oder offensichtlich schutzwürdige Interessen der betroffenen Person es verlangen oder

2. gesetzliche Geheimhaltungspflichten oder besondere Datenschutzvorschriften es verlangen

Personendaten dürfen in Länder der Europäischen Union sowie in Vertragsstaaten des Übereinkommens 108 des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bekannt gegeben werden, wenn die Voraussetzungen erfüllt sind, die für die Bekanntgabe von Daten im Inland erfüllt sein müssen.

In Drittstaaten dürfen Personendaten nur bekannt gegeben werden, wenn zusätzlich zu den Voraussetzungen nach Absatz 1 eine der Voraussetzungen von Artikel 16 des Bundesgesetzes über den Datenschutz (SR 235.1) erfüllt ist.

Abweichend von Absatz 1 und 2 dürfen Personendaten ins Ausland bekanntgegeben werden, wenn:

• a) die Bekanntgabe notwendig ist:

• 1. für die Wahrung eines überwiegenden öffentlichen Interesses

• 2. für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde

• 3. um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder einer Drittperson zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen

• b) die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat

• c) die Daten aus einem gesetzlich vorgesehenen Register stammen, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind

Werden Personendaten zur Information der Öffentlichkeit mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich gemacht, so gilt dies nicht als Bekanntgabe ins Ausland, auch wenn die Daten vom Ausland aus zugänglich sind.

Personendaten dürfen für nicht personenbezogene Zwecke, insbesondere für Forschung, Planung oder Statistik, bearbeiten, wenn:

1. die Daten anonymisiert werden, sobald der Bearbeitungszweck dies erlaubt

2. die verantwortliche Behörde privaten Personen besonders schützenswerte Personendaten nur so bekanntgibt, dass die betroffenen Personen nicht bestimmbar sind

3. die Empfängerin oder der Empfänger Dritten die Daten nur mit der Zustimmung der verantwortlichen Behörde weitergibt, welche die Daten bekanntgegeben hat und

4. die Ergebnisse nur so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind

Die verantwortliche Behörde und die Auftragsbearbeiterin oder der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.

Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden.

Die verantwortliche Behörde meldet der beauftragten Person für Datenschutz so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt.

Die Auftragsbearbeiterin oder der Auftragsbearbeiter meldet der verantwortlichen Behörde so rasch als möglich eine Verletzung der Datensicherheit.

Die verantwortliche Behörde informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder die beauftragte Person für Datenschutz es verlangt. Sie nennt dabei mindestens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen.

Die verantwortliche Behörde kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn:

1. private oder öffentliche Geheimhaltungsinteressen überwiegen

2. die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert oder

3. die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist

Eine Meldung, die aufgrund dieses Artikels erfolgt, darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden.

Der Kanton, die Gemeinden sowie die öffentlich-rechtlichen Körperschaften und Anstalten führen über ihre Datensammlungen ein öffentliches Register.

Das Register enthält für jede Datensammlung Angaben über die Rechtsgrundlage, den Zweck und die Mittel der Bearbeitung, die Art und die Herkunft der bearbeiteten Personendaten sowie die an der Datensammlung beteiligten Stellen und die regelmässigen Datenempfängerinnen und ‑empfänger.

Werden Datensammlungen und Personendaten nicht mehr ständig benötigt, hat die verantwortliche Behörde die allfällige Archivierung mit den zuständigen öffentlichen Archiven abzuklären.

Nicht als archivwürdig bezeichnete Personendaten werden vernichtet, es sei denn, diese:

1. werden anonymisiert oder

2. müssen zu Beweis- oder Sicherheitszwecken oder zur Wahrung der schutzwürdigen Interessen der betroffenen Person aufbewahrt werden

Der Regierungsrat regelt in einem Reglement das Verfahren der Archivierung und die Benützung des Staatsarchivs.

Jede Person kann in die Register der Datensammlungen Einsicht nehmen.

Jede Person kann von der verantwortlichen Behörde Auskunft verlangen, ob Personendaten über sie bearbeitet werden.

Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist.

Lässt die verantwortliche Behörde Personendaten von einer Auftragsbearbeiterin oder einem Auftragsbearbeiter bearbeiten, so bleibt sie auskunftspflichtig.

Niemand kann im Voraus auf das Auskunftsrecht verzichten.

Die Auskunft kann eingeschränkt oder verweigert werden, wenn wichtige öffentliche oder schutzwürdige private Interessen dies erfordern.

Kann die Auskunft der gesuchstellenden Person nicht gewährt werden, weil sie zu stark belastet würde, kann sie einer Person ihres Vertrauens erteilt werden.

Jede Person kann bezüglich ihrer eigenen Daten von der verantwortlichen Behörde verlangen, dass unrichtige Personendaten berichtigt oder ergänzt werden.

Bestreitet die verantwortliche Behörde die Unrichtigkeit, so hat sie die Richtigkeit der Personendaten zu beweisen.

Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten bewiesen werden, insbesondere von solchen, die eine Wertung menschlichen Verhaltens enthalten, kann die betroffene Person die Aufnahme einer Gegendarstellung verlangen.

Jede Person kann bezüglich ihrer eigenen Daten von der verantwortlichen Behörde verlangen, dass:

1. ein widerrechtliches Bearbeiten von Personendaten unterlassen wird

2. die Folgen eines widerrechtlichen Bearbeitens beseitigt werden

3. die Widerrechtlichkeit einer Bearbeitung schriftlich festgestellt wird

Die Einschränkung oder Verweigerung des Rechts auf Einsicht, Berichtigung oder Unterlassung ist der gesuchstellenden Person in Form einer beschwerdefähigen Verfügung zu eröffnen.

Das Verfahren richtet sich nach den Bestimmungen der Verordnung über die Verwaltungsrechtspflege (RB 2.2345).

Einsichtnahme, Auskunft und Berichtigung sind grundsätzlich gebührenfrei.

Ausnahmsweise kann eine Gebühr erhoben werden, wenn die Behandlung eines Auskunftsgesuchs einen erheblichen Verwaltungsaufwand erfordert oder wenn die betroffene Person wiederholt in dieselben Daten Einsicht nimmt oder darüber Auskunft verlangt.

Der Landrat wählt auf Antrag des Regierungsrats die beauftragte Person für Datenschutz sowie eine Stellvertretung. Die Amtsdauer beträgt vier Jahre.

Die beauftragte Person für Datenschutz erfüllt ihre Aufgaben selbstständig, unabhängig, unparteilich und ohne fachliche Weisungsgebundenheit.

Ein öffentliches Amt, eine Nebenbeschäftigung oder eine allfällige zusätzliche Erwerbstätigkeit bedarf der Bewilligung des Regierungsrats. Die Bewilligung wird erteilt, wenn die Tätigkeit die Ausübung der Funktion sowie Unabhängigkeit und Ansehen nicht beeinträchtigt.

Die beauftragte Person für Datenschutz steht unter der Oberaufsicht des Landrats, beantragt ihm die finanziellen Mittel, die erforderlich sind, um ihre Aufgabe zu erfüllen, verfügt über diese Mittel und ist im Rahmen der bewilligten Kredite zuständig, Angestellte zu beschäftigen und deren Arbeitsverhältnis zu regeln. Administrativ ist sie der zuständigen Direktion¹ zugeordnet.

Der Landrat kann die beauftragte Person für Datenschutz vor Ablauf der Amtsdauer des Amtes entheben, wenn diese:

1. vorsätzlich oder grobfahrlässig Amtspflichten schwer verletzt hat oder

2. die Fähigkeit, das Amt auszuüben, auf Dauer verloren hat

Mit Genehmigung des Landrats kann der Regierungsrat die Aufgaben der beauftragten Person für Datenschutz einer geeigneten Person oder Stelle eines andern Kantons übertragen oder mit andern Kantonen ein gemeinsames Organ für diese Aufgaben einrichten.

Die beauftragte Person für Datenschutz ist das kantonale Kontrollorgan für Datenschutz.

Sie:

1. überwacht die Anwendung der Vorschriften über den Datenschutz

2. berät die Behörden bei der Anwendung der Vorschriften über den Datenschutz

3. nimmt Stellung zu Entwürfen von Erlassen und zu Massnahmen, die für den Datenschutz von erheblicher Bedeutung sind

4. vermittelt zwischen Behörden untereinander und zwischen Behörden und Privaten

5. verfolgt die für den Schutz von Personendaten massgeblichen Entwicklungen

6. sensibilisiert die datenbearbeitenden Behörden für ihre datenschutzrechtlichen Pflichten und die Öffentlichkeit für die Anliegen des Datenschutzes

Die beauftragte Person für Datenschutz erfüllt diese Aufgaben, indem sie insbesondere:

1. Kontrollen bei den Behörden durchführt, die diesem Gesetz unterstehen

2. geplante Einrichtungen zu Datenbearbeitungen, die besondere Risiken für die Rechte und Freiheit der betroffenen Personen in sich bergen, vor der Inbetriebnahme überprüft

3. Anfragen und Eingaben, die betroffene Personen hinsichtlich ihrer Rechte auf Datenschutz vorbringen, behandelt und allenfalls Empfehlungen oder Verfügungen gegenüber den verantwortlichen Behörden erlässt

4. mit den Kontrollorganen der anderen Kantone, des Bundes und des Auslands zusammenarbeitet

5. dem Landrat gegenüber regelmässig Rechenschaft über ihre Tätigkeit ablegt. Sie kann wichtige Feststellungen und Massnahmen im Bereich des Datenschutzes veröffentlichen

Nicht der Aufsicht der beauftragten Person für Datenschutz unterstehen Personendatenbearbeitungen in hängigen Verfahren der Zivil- und Strafrechtspflege sowie während staats- und verwaltungsrechtlichen Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren.

Die beauftragte Person für Datenschutz wird von Amtes wegen oder auf Anzeige hin tätig.

Sie klärt den Sachverhalt von Amtes wegen ab und ist berechtigt, bei den verantwortlichen Behörden und bei Auftragsbearbeiterinnen oder Auftragsbearbeitern ungeachtet einer allfälligen Geheimhaltungspflicht Auskünfte einzuholen, Akten und Dokumente herauszuverlangen und sich Datenbearbeitungen vorführen zu lassen. Die verantwortlichen Behörden und die Auftragsbearbeiterinnen oder Auftragsbearbeiter sind zur Mitwirkung verpflichtet.

Stellt die beauftragte Person für Datenschutz fest, dass Vorschriften über den Datenschutz verletzt werden, versucht sie mit der verantwortlichen Behörde oder der Auftragsbearbeiterin oder dem Auftragsbearbeiter eine einvernehmliche Lösung zu finden.

Bei Uneinigkeit kann die beauftragte Person für Datenschutz gegenüber der verantwortlichen Behörde oder der Auftragsbearbeiterin oder dem Auftragsbearbeiter eine Verfügung erlassen.

Verfügungen der beauftragten Person für Datenschutz sind direkt mit Verwaltungsgerichtsbeschwerde beim Obergericht anfechtbar.

Die beauftragte Person für Datenschutz, ihre Stellvertretung sowie ihre Hilfspersonen sind in Bezug auf Informationen und Personendaten, die sie bei ihrer Tätigkeit erfahren, zur gleichen Verschwiegenheit verpflichtet wie die verantwortliche Behörde.

Der Regierungsrat kann zu diesem Gesetz Ausführungsbestimmungen erlassen.

Mit Busse wird bestraft, wer:

1. der beauftragten Person für Datenschutz bei der Abklärung des Sachverhalts vorsätzlich falsche Auskünfte erteilt oder die Mitwirkung verweigert

2. Personendaten im Sinne von Artikel 11 bearbeitet und dabei die Voraussetzungen dieser Bestimmung missachtet

3. Personendaten im Auftrag einer Behörde bearbeitet und dabei die Daten auftragswidrig verwendet oder bekannt gibt

Das Verfahren richtet sich nach den Bestimmungen der Strafrechtspflege.

Das Gesetz vom 20. Februar 1994 über den Schutz von Personendaten (Datenschutzgesetz; DSG) wird aufgehoben.

Die Rechtmässigkeit bestehender Datenbearbeitungen beurteilt sich während längstens zwei Jahren nach Inkrafttreten dieses Gesetzes nach dem alten Recht, wenn der Bearbeitungszweck unverändert bleibt und keine neuen Daten beschafft werden.

Die beauftragte Person für Datenschutz wird erstmals zu Beginn der nächsten Legislaturperiode nach neuem Recht gewählt.

Dieses Gesetz unterliegt der Volksabstimmung. Es tritt am 11. November 2023 in Kraft.