Gesetz über den Datenschutz

Dieses Gesetz dient dem Schutz der Grundrechte von Personen, über welche öffentliche Organe Daten bearbeiten.

Öffentliches Organ (Organ) ist, wer öffentliche Aufgaben des Kantons, der Gemeinden oder von Körperschaften und Anstalten des öffentlichen Rechts erfüllt.

Personendaten (Daten) sind Angaben über eine natürliche Person oder über eine Personenvereinigung (betroffene Person), soweit diese bestimmt oder bestimmbar ist.

Besonders schützenswerte Personendaten sind Daten über

1. religiöse, weltanschauliche oder politische Ansichten und Tätigkeiten,

2. die Intimsphäre, die Gesundheit, die ethnische Herkunft sowie genetische oder biometrische Daten,

3. Verfahren und Massnahmen im Bereich des Kindes- und Erwachsenenschutzes, der Sozialhilfe und des Strafrechts.

Ein Persönlichkeitsprofil ist eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.

Eine Bearbeitung von Personendaten ist jeder Umgang mit Daten, wie die Beschaffung, Aufbewahrung, Verwendung, Veränderung, Bekanntgabe oder Vernichtung.

Profiling ist die automatisierte Bearbeitung von Daten zur Bewertung wesentlicher Aspekte einer natürlichen Person, insbesondere um ihre Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönlichen Vorlieben, Interessen, Zuverlässigkeit, ihr Verhalten, ihren Aufenthaltsort oder Ortswechsel zu analysieren oder vorherzusagen.

Eine Datensammlung ist eine Sammlung von Daten, die nach der betroffenen Person erschlossen oder erschliessbar ist.

Dieses Gesetz gilt, soweit nicht eidgenössisches oder besonderes kantonales Recht vorgeht, für jede Bearbeitung von Daten, unabhängig von den dabei angewandten Mitteln und Verfahren.

Dem Gesetz unterstehen alle Organe mit Ausnahme derjenigen der kirchlichen Körperschaften; vorbehalten bleiben Art. 8 Abs. 3 und Art. 15.

Organe dürfen Daten bearbeiten, wenn und solange dies für die Erfüllung einer gesetzlichen Aufgabe erforderlich ist.

Besonders schützenswerte Daten und Persönlichkeitsprofile dürfen nur bearbeitet werden, wenn es für die in einem formellen Gesetz klar umschriebene Aufgabe unentbehrlich ist. Sinngemäss gilt dies auch für jedes Profiling.

Die Daten dürfen nicht wider Treu und Glauben und nur zu dem bei der Beschaffung angegebenen, aus den Umständen ersichtlichen oder gesetzlich vorgeschriebenen Zweck bearbeitet werden.

Vorbehalten bleiben die besonderen Bestimmungen über das Archivwesen.³

Daten müssen richtig sein.

Für den Datenschutz ist das Organ verantwortlich, welches die Daten zur Erfüllung seiner Aufgabe bearbeitet oder bearbeiten lässt.

Bearbeiten mehrere Organe Daten einer Datensammlung, so ist ein Organ zu bezeichnen, welches die Hauptverantwortung trägt.

Das verantwortliche Organ ist verpflichtet, die betroffenen Personen in geeigneter Form über die Beschaffung von Daten zu informieren; die Informationspflicht besteht auch dann, wenn die Daten bei Dritten beschafft werden.

Die Informationspflicht umfasst die Angaben, die erforderlich sind, um die Rechte nach diesem Gesetz ausüben zu können. Dazu gehören mindestens:

1. die Identität und die Kontaktdaten des verantwortlichen Organs;

2. die Rechtsgrundlage und der Zweck der Datenbearbeitung;

3. die Kategorien der bearbeiteten Daten;

4. der Empfängerkreis, falls Daten weitergegeben werden;

5. die Kontaktdaten des Datenschutz-Kontrollorgans.

Die Informationspflicht entfällt, wenn

1. die betroffene Person bereits über die entsprechenden Angaben verfügt;

2. aus der Rechtsgrundlage der Datenbearbeitung klar hervorgeht, welche Daten zu welchem Zweck bearbeitet werden;

3. die Information einen unverhältnismässigen Aufwand erfordert oder sonst überwiegende öffentliche Interessen dagegen sprechen.

Vor jeder systematischen Bearbeitung von Personendaten prüft das verantwortliche Organ das Risiko für eine damit verbundene Beeinträchtigung von Grundrechten der betroffenen Personen und beschränkt es soweit möglich und zumutbar durch technische und organisatorische Massnahmen.

Ist das Risiko für eine Beeinträchtigung von Grundrechten hoch, insbesondere nach Art, Umfang, Umständen oder Zweck der Bearbeitung, so sind Folgenabschätzung und Massnahmen zu dokumentieren und dem Datenschutz-Kontrollorgan zur Vorabkonsultation vorzulegen.

Die Dokumentation enthält wenigstens eine allgemeine Beschreibung der geplanten Bearbeitungsvorgänge, eine Bewertung der Risiken und eine Darstellung und Bewertung der Massnahmen.

Daten können anderen Organen bekannt gegeben werden, wenn

1. das verantwortliche Organ dazu rechtlich verpflichtet oder ermächtigt ist,

2. die Empfängerin oder der Empfänger die Daten im Einzelfall zur Erfüllung der gesetzlichen Aufgaben benötigt oder

3. die betroffene Person ausdrücklich zugestimmt hat oder ihre Zustimmung nach den Umständen vorausgesetzt werden darf.

Besonders schützenswerte Daten dürfen nur bekannt gegeben werden, wenn

1. das verantwortliche Organ aufgrund einer klaren Rechtsgrundlage dazu verpflichtet oder ermächtigt ist,

2. für die Empfängerin oder den Empfänger die Daten im Einzelfall zur Erfüllung einer rechtlichen klar umschriebenen Aufgabe unentbehrlich sind oder

3. die betroffene Person ausdrücklich zugestimmt hat.

Untersteht die Empfängerin oder der Empfänger nicht diesem Gesetz, so werden die Daten nur bekannt gegeben, wenn sichergestellt ist, dass die Bearbeitung nach den Grundsätzen dieses Gesetzes erfolgt.

Daten können Privaten bekannt gegeben werden, wenn

1. das verantwortliche Organ dazu rechtlich verpflichtet oder ermächtigt ist oder

2. die betroffene Person ausdrücklich zugestimmt hat oder ihre Zustimmung nach den Umständen vorausgesetzt werden darf.

Besonders schützenswerte Daten dürfen nur bekannt gegeben werden, wenn

1. das verantwortliche Organ aufgrund einer klaren Rechtsgrundlage dazu verpflichtet oder ermächtigt ist oder

2. die betroffene Person ausdrücklich zugestimmt hat.

Die Einwohnerkontrolle gibt Privaten im Einzelfall auf Gesuch Name, Vorname, Adresse sowie Zu- und Wegzug einer Person bekannt.

Sie gibt im Einzelfall auf Gesuch Geburtsdatum, Zivilstand, Bürgerort und Beruf bekannt, wenn die Gesuchstellerin oder der Gesuchsteller ein schutzwürdiges Interesse glaubhaft macht.

Sie kann diese Daten systematisch geordnet bekannt geben, wenn sichergestellt ist, dass sie ausschliesslich für schutzwürdige ideelle Zwecke verwendet und nicht an Drittpersonen weitergegeben werden.

Die betroffene Person kann die Bekanntgabe ihrer Daten an Dritte sperren lassen.

Die Bekanntgabe ist trotz Sperrung zulässig, wenn

1. das verantwortliche Organ dazu rechtlich verpflichtet ist oder

2. im Gesuch glaubhaft gemacht wird, dass die Sperrung rechtsmissbräuchlich erfolgte.

Daten können in allgemein zugänglichen Veröffentlichungen bekannt gegeben werden, wenn

1. kein schutzwürdiges Interesse der betroffenen Person beeinträchtigt wird und diese nach vorausgegangener Information nicht zum Voraus gegen die Veröffentlichung Einsprache erhoben hat oder

2. das verantwortliche Organ dazu rechtlich verpflichtet oder ermächtigt ist.

Die Bekanntgabe von Daten kann aus überwiegenden öffentlichen oder aus schutzwürdigen Interessen der betroffenen Person eingeschränkt, mit Auflagen verbunden oder verweigert werden.

Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.

Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, so können Personendaten ins Ausland nur bekannt gegeben werden, wenn:

1. hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten;

2. die betroffene Person im Einzelfall eingewilligt hat;

3. die Bekanntgabe im Einzelfall für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist;

4. die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen;

5. die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.

Das Organ kann ungeachtet von Art. 4 Abs. 2 und 4 sowie Art. 8 bis 11 Daten für einen nicht personenbezogenen Zweck, namentlich für Statistik, Planung und Forschung, bearbeiten, wenn

1. die Daten anonymisiert werden, sobald der Stand der Bearbeitung es erlaubt, und

2. die Ergebnisse der Bearbeitung so bekannt gegeben werden, dass Rückschlüsse auf die betroffene Person nicht möglich sind.

Eine Datenbearbeitung kann, sofern keine gesetzliche oder vertragliche Regelung entgegensteht, einer Drittperson übertragen werden. Die Drittperson darf die Daten nur so bearbeiten, wie das auftraggebende Organ selbst es tun dürfte.

Das auftraggebende Organ vergewissert sich vor der Übertragung, dass die Drittperson in der Lage ist, die Datensicherheit zu gewährleisten. Es stellt den Datenschutz durch Auflagen, Vereinbarungen oder auf andere Weise sicher.

Die weitere Übertragung durch die Drittperson bedarf der vorgängigen schriftlichen Zustimmung des auftraggebenden Organs.

Wer Daten bearbeitet, sichert sie durch technische und organisatorische Vorkehrungen vor Verlust, Entwendung sowie unbefugter Kenntnisnahme und Bearbeitung.

Wenn eine Verletzung der Datensicherheit dazu führt, dass Daten verlorengehen, vernichtet oder verändert oder Unbefugten zugänglich gemacht werden, meldet das verantwortliche Organ dies unverzüglich dem Datenschutz-Kontrollorgan und orientiert mitbetroffene Datenempfänger. Besteht kein Risiko für eine Beeinträchtigung von Grundrechten, entfällt die Meldepflicht.

Das verantwortliche Organ informiert in Absprache mit dem Datenschutz-Kontrollorgan die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder anderweitig zur Wahrung der Grundrechte angezeigt erscheint.

Es kann die Information an die betroffene Person einschränken oder darauf verzichten, wenn öffentliche oder private Geheimhaltungsinteressen überwiegen.

Geschieht die Verletzung der Datensicherheit bei einer Bearbeitung durch eine Drittperson, hat diese unverzüglich das auftraggebende Organ zu benachrichtigen. Dieses hat sodann gemäss Abs. 1 bis 3 vorzugehen.

Die Organe überprüfen jährlich ihre Daten. Nicht mehr benötigte Daten werden dem zuständigen Archiv zur Archivierung angeboten. Verzichtet dieses nach den Vorschriften des Archivwesens⁴ auf eine Aufbewahrung, sind die Daten innert Jahresfrist zu vernichten.

Der Kanton, die Gemeinden und die öffentlich-rechtlichen Körperschaften und Anstalten führen je ein zentrales Register ihrer Datensammlungen.

Die Organe des Kantons führen ein Register der in ihrem Verantwortungsbereich bestehenden Datensammlungen.

Die Register sind öffentlich und enthalten für jede Datensammlung Angaben über

1. die Art und die Herkunft der Daten,

2. die Rechtsgrundlage, den Zweck und die Mittel der Bearbeitung,

3. das verantwortliche Organ,

4. die regelmässigen Empfängerinnen und Empfänger der Daten oder von Kopien sowie

5. die Zugriffsberechtigung auf Datensammlungen.

Der Hinweis auf die Öffentlichkeit der zentralen Register des Kantons und der Gemeinden sowie der Ort, wo sie eingesehen werden können, ist durch die Organe jährlich in ihren amtlichen Publikationsorganen zu veröffentlichen.

Nicht registriert werden Datensammlungen, die

1. nicht auf Dauer angelegt sind,

2. nur Kopien oder Bearbeitungsmittel sind oder

3. von einzelnen Personen ausschliesslich als persönliche Arbeitsmittel verwendet werden.

Jede Person kann Einsicht in die Register der Datensammlungen nehmen.

Das verantwortliche Organ erteilt jeder Person Auskunft darüber, welche Daten über sie in einer bestimmten Datensammlung bearbeitet werden und gewährt ihr Einsicht in diese Daten.

Wer um Auskunft oder Einsicht ersucht, hat sich über seine Identität auszuweisen.

Die Auskunft wird in allgemeinverständlicher Form und auf Gesuch hin schriftlich erteilt.

Auskunft und Einsicht können eingeschränkt oder verweigert werden, wenn überwiegende öffentliche Interessen oder schutzwürdige Interessen einer Drittperson dies erfordern.

Wenn die Auskunft an die betroffene Person dieser zu schwerem Nachteil gereichen könnte, kann sie einer dazu bevollmächtigten Person erteilt werden.

Die Einschränkung oder Verweigerung von Auskunft und Einsicht ist zu begründen.

Die betroffene Person und wer sonst ein schutzwürdiges Interesse glaubhaft macht, kann die Berichtigung unrichtiger Daten verlangen.

Bestreitet das Organ die Unrichtigkeit der Daten, so obliegt ihm der Beweis der Richtigkeit. Die betroffene Person hat soweit zumutbar bei der Abklärung mitzuwirken.

Kann weder die Richtigkeit noch die Unrichtigkeit bewiesen werden, so bringt das Organ bei den Daten einen entsprechenden Vermerk an.

Die betroffene Person und wer sonst ein schutzwürdiges Interesse glaubhaft macht, kann verlangen, dass

1. die widerrechtliche Bearbeitung von Daten unterlassen wird,

2. widerrechtlich erhobene, aufbewahrte oder verwendete Daten vernichtet oder die Folgen der widerrechtlichen Bearbeitung anderswie beseitigt werden oder

3. die Widerrechtlichkeit einer Bearbeitung festgestellt wird.

Das verantwortliche Organ entscheidet über Gesuche gemäss Art. 21 bis 24. Die Verfügungen sind dem Datenschutz-Kontrollorgan zuzustellen. Mitbetroffene Datenempfänger sind über Berichtigungen und andere Massnahmen zu informieren.

Verfahren und Rechtsschutz richten sich nach dem Gesetz über die Verwaltungsrechtspflege⁵. Das Datenschutz-Kontrollorgan ist zur Erhebung von Rechtmitteln berechtigt.

…

Der Kantonsrat wählt eine in Datenschutzfragen ausgewiesene Fachperson als unabhängiges und nicht weisungsgebundenes kantonales Datenschutz-Kontrollorgan. Die Wahl erfolgt auf eine Amtsdauer von vier Jahren; Wiederwahl ist zulässig.

Das Datenschutz-Kontrollorgan darf keine andere öffentliche oder private Tätigkeit ausüben, welche die Unabhängigkeit oder das Ansehen des Amtes beeinträchtigen könnte.

Das kantonale Datenschutz-Kontrollorgan übt die Aufsicht über die Anwendung dieses Gesetzes durch den Kanton, die Gemeinden und die öffentlich-rechtlichen Körperschaften und Anstalten aus. Die Kosten trägt der Kanton.

Der Kantonsrat regelt die Entschädigung des Datenschutz-Kontrollorgans mit einer Leistungsvereinbarung. Er kann anstelle der Leistungsvereinbarung eine Unterstellung unter das Personalrecht des Kantons vorsehen; die Unabhängigkeit des Datenschutz-Kontrollorgans darf dadurch nicht beeinträchtigt werden.

Der Kantonsrat ist befugt, die Aufgabe des Datenschutz-Kontrollorgans einer kantonsübergreifenden Datenschutzstelle zu übertragen.

Das Datenschutz-Kontrollorgan

• a) überwacht die Einhaltung der Vorschriften über den Datenschutz,

• b) informiert die Öffentlichkeit über den Datenschutz und berät betroffene Personen über ihre Rechte,

• c) behandelt Anzeigen betreffend die Verletzung von Datenschutzvorschriften,

• d) berät die öffentlichen Organe in Fragen des Datenschutzes und kann allgemeine Empfehlungen über den Umgang mit Personendaten erlassen,

• e) prüft Bearbeitungsmethoden vorab, wenn ein hohes Risiko für eine Beeinträchtigung von Grundrechten besteht,

• ebis) nimmt Stellung zu Erlassen, die für den Datenschutz erheblich sind,

• f) arbeitet zur Erfüllung der Kontrollaufgaben mit den Kontrollorganen der anderen Kantone, des Bundes und des Auslandes zusammen und verfolgt die für den Schutz von Personendaten massgeblichen technischen und rechtlichen Entwicklungen,

• g) ermittelt die erforderlichen Personal- und Sachressourcen und beantragt dem Kantonsrat im Rahmen des Voranschlags die notwendigen Kredite,

• h) erstattet dem Kantonsrat jährlich Bericht über seine Tätigkeit.

…

Das Datenschutz-Kontrollorgan eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung, wenn Anzeichen für eine Verletzung von Datenschutzvorschriften bestehen. Es kann eine Datenbearbeitung für die Dauer der Untersuchung vorsorglich untersagen oder einschränken.

Die verantwortlichen Organe und ihre Beauftragten sind dem Datenschutz-Kontrollorgan gegenüber zur Auskunft verpflichtet und gewähren ihm den Zugang zu allen Unterlagen und Daten, die für die Untersuchung erforderlich sind. Das Datenschutz-Kontrollorgan kann sich Datenbearbeitungen vorführen lassen und Auskünfte bei Empfängern von Daten einholen.

Das Datenschutz-Kontrollorgan informiert den Anzeiger innerhalb von drei Monaten über das Ergebnis oder den Stand der Untersuchung.

Stellt das Datenschutz-Kontrollorgan eine wesentliche Verletzung von Datenschutzvorschriften fest, entscheidet es verbindlich über geeignete Abhilfemassnahmen und setzt dem verantwortlichen Organ eine angemessene Frist für deren Umsetzung. Es kann insbesondere anordnen, dass Personendaten gelöscht oder vernichtet oder Datenbearbeitungen angepasst oder eingestellt werden.

Das Datenschutz-Kontrollorgan orientiert die Aufsichtsbehörde des verantwortlichen Organs über die angeordneten Abhilfemassnahmen.

Verfügungen über Abhilfemassnahmen können nach Massgabe des VRPG⁶ mit Beschwerde beim Obergericht angefochten werden.

Die Auskunft, die Gewährung von Einsicht, die Berichtigung und die Sperrung von Daten⁷ erfolgen kostenlos.

Eine Gebühr kann verlangt werden, wenn

1. die Behandlung eines Gesuches einen unverhältnismässigen Aufwand erfordert oder

2. das Gesuch mutwillig gestellt wurde.

Die Anwendung besonderer Gebührentarife⁸ auf andere Verrichtungen bleibt vorbehalten.

Die Gemeinden und die öffentlich-rechtlichen Körperschaften und Anstalten haben ihre zentralen Register⁹ bis spätestens ein Jahr nach Inkrafttreten dieses Gesetzes zu erstellen.

Mit dem Inkrafttreten wird Art. 9 der Verordnung über die Niederlassung und den Aufenthalt von Schweizern¹⁰ aufgehoben.

Dieses Gesetz untersteht dem fakultativen Referendum.¹¹

Der Regierungsrat bestimmt das Inkrafttreten.¹²