Gesetz über die Information der Öffentlichkeit, den Datenschutz und das Archivwesen

Öffentliche Organe dürfen Personendaten nur bearbeiten, wenn

1. dafür eine Rechtsgrundlage besteht, oder

2. dies zur Erfüllung einer rechtlichen Aufgabe des bearbeitenden Organs erforderlich ist, oder

3. die betroffene Person eingewilligt hat, oder

4. die Einwilligung der betroffenen Person nicht oder nur mit unverhältnismässigem Aufwand erhältlich gemacht werden kann und die Einwilligung aufgrund der Umstände vorausgesetzt werden kann.

Die Bearbeitung von besonders schützenswerten Personendaten und das Profiling sind nur zulässig, wenn

1. dafür eine gesetzliche Grundlage besteht, oder

2. dies für die Erfüllung einer klar umschriebenen gesetzlichen Aufgabe erforderlich ist, oder

3. die betroffene Person eingewilligt hat, oder

4. die Einwilligung der betroffenen Person nicht oder nur mit unverhältnismässigem Aufwand erhältlich gemacht werden kann und die Datenbearbeitung ausschliesslich im Interesse der betroffenen Person liegt.

…

Grundsätzlich ist das Prinzip der Datenvermeidung und Datensparsamkeit zu beachten, insbesondere beim Einsatz von Informatiksystemen.

Personendaten müssen richtig und, soweit es der Zweck des Bearbeitens verlangt, vollständig sein.

Die Beweislast für die Richtigkeit der Daten trägt das verantwortliche öffentliche Organ.

Personendaten dürfen nur zu dem Zweck bearbeitet werden, der

1. bei der Beschaffung angegeben wurde,

2. aus den Umständen ersichtlich ist, oder

3. gesetzlich vorgesehen ist.

Personendaten müssen durch angemessene organisatorische und technische Massnahmen gegen unbefugtes Bearbeiten geschützt werden.

Das verantwortliche öffentliche Organ ist verpflichtet, den Nachweis zu erbringen, dass es die Datenschutzbestimmungen einhält. Der Regierungsrat regelt die Einzelheiten durch Verordnung.

Das öffentliche Organ beschafft die Personendaten nach Möglichkeit bei der betroffenen Person selbst. Es informiert diese über jede Beschaffung von Daten. Die Informationspflicht gilt auch, wenn die Daten bei Dritten beschafft werden. Die Information umfasst insbesondere Angaben über

1. das verantwortliche öffentliche Organ samt Kontaktdaten,

2. die bearbeiteten Daten oder die Kategorien der bearbeiteten Daten,

3. die Rechtsgrundlage und den Zweck des Bearbeitens,

4. die Empfängerinnen oder Empfänger der Daten oder deren Kategorien, falls die Daten Dritten bekannt gegeben werden und

5. die Rechte der betroffenen Person.

Die Informationspflicht entfällt, wenn

1. die betroffene Person bereits über die Angaben gemäss Absatz 1 verfügt,

2. das Bearbeiten der Personendaten gesetzlich ausdrücklich vorgesehen ist oder

3. die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist.

Die Übermittlung der Informationen kann unter denselben Voraussetzungen eingeschränkt werden wie die Auskunft über die eigenen Personendaten (§ 25).

Personendaten können unter Vorbehalt besonderer Geheimhaltungsbestimmungen inner- und ausserkantonalen öffentlichen Organen bekannt gegeben werden, wenn

1. die Voraussetzungen gemäss den §§ 8 und 9 erfüllt sind oder

2. dies zur Erfüllung einer klar umschriebenen gesetzlichen Aufgabe des datenempfangenden Organs erforderlich ist. Vorbehalten bleiben besondere Geheimhaltungsbestimmungen.

…

Personendaten dürfen ins Ausland bekannt gegeben werden, wenn ein angemessener Schutz der Persönlichkeit betroffener Personen, namentlich durch eine genügende Gesetzgebung, gewährleistet ist.

Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, können Personendaten ins Ausland nur bekannt gegeben werden, wenn die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen oder privaten Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist.

Öffentliche Organe haben ihren vorgesetzten Behörden Personendaten bekannt zu geben, wenn diese die Daten im Rahmen ihrer Aufsichtstätigkeit benötigen.

Öffentliche Organe geben Privaten Personendaten nur bekannt, wenn

1. sie dazu gesetzlich verpflichtet sind, oder

2. die Bekanntgabe nötig ist, um eine gesetzliche Aufgabe erfüllen zu können, oder

3. die um Auskunft ersuchende Person glaubhaft macht, dass sie ohne die Bekanntgabe an der Durchsetzung von Rechtsansprüchen gehindert wird, oder

4. die betroffene Person eingewilligt hat.

Öffentliche Organe haben sich vor der Bekanntgabe von Personendaten an Dritte über deren Identität zu vergewissern.

Die Einwohnerkontrolle kann privaten Dritten im Einzelfall auf Gesuch hin Namen, Vornamen, Alter, Bürgerort und Adresse einer Person weitergeben, wenn diese berechtigte Interessen glaubhaft machen.

Werden diese Personendaten ausschliesslich für ideelle Zwecke verwendet und von privaten Dritten nicht weitergegeben, können sie nach bestimmten Kriterien geordnet bekannt gegeben werden.

Jede Person kann verlangen, dass die sie betreffenden Personendaten nicht an private Dritte weitergegeben werden.

Die Einwohnerkontrolle stellt das einfache Ausüben dieses Sperrrechts durch geeignete Vorkehren sicher.

Führt die vorgesehene Datenbearbeitung voraussichtlich zu einem erhöhten Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person, muss das öffentliche Organ vorgängig eine Datenschutz-Folgenabschätzung durchführen.

Die Datenschutz-Folgenabschätzung umschreibt die geplante Bearbeitung, die Risiken für die Persönlichkeit und die Grundrechte der betroffenen Person sowie die Massnahmen, die vorgesehen sind, um das Risiko einer Verletzung der Persönlichkeit und der Grundrechte der betroffenen Person zu verringern.

Das öffentliche Organ gibt der beauftragten Person für Öffentlichkeit und Datenschutz Kenntnis, wenn

1. aus der Datenschutz-Folgenabschätzung hervorgeht, dass die Bearbeitung ein erhöhtes Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person zur Folge hätte, oder

2. die Form der Bearbeitung insbesondere bei Verwendung neuer Technologien, Mechanismen oder Verfahren ein erhöhtes Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person zur Folge hätte.

Die beauftragte Person für Öffentlichkeit und Datenschutz gibt innert zwei Monaten nach Erhalt aller erforderlichen Informationen eine Empfehlung gemäss § 32 Abs. 3 ab, wenn die geplante Bearbeitung Vorschriften über den Datenschutz verletzen würde. Sie kann die Frist um einen Monat verlängern.

Die beauftragte Person für Öffentlichkeit und Datenschutz kann auf Antrag des verantwortlichen öffentlichen Organs oder von Amtes wegen die versuchsweise Durchführung der Datenbearbeitung empfehlen, wenn die praktische Umsetzung eine Testphase zwingend erforderlich macht, weil die Erfüllung der Aufgabe

1. technische Neuerungen erfordert, deren Auswirkungen zunächst evaluiert werden müssen, oder

2. bedeutende organisatorische oder technische Massnahmen erfordert, deren Wirksamkeit zunächst geprüft werden muss, insbesondere die Zusammenarbeit zwischen öffentlichen Organen.

Das verantwortliche öffentliche Organ hat die vorgesehene Datenbearbeitung spätestens zwei Jahre nach der Empfehlung gemäss Absatz 3 erneut zur Vorab-Konsultation vorzulegen.

Das öffentliche Organ meldet der beauftragten Person für Öffentlichkeit und Datenschutz unverzüglich eine unbefugte Datenbearbeitung oder den Verlust von Daten, es sei denn, die Verletzung der Datensicherheit führt voraussichtlich nicht zu einem Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person.

Das öffentliche Organ informiert ausserdem die betroffene Person, wenn es zu deren Schutz erforderlich ist oder die beauftragte Person für Öffentlichkeit und Datenschutz es verlangt. Die Information kann eingeschränkt oder aufgeschoben werden, wenn überwiegende öffentliche Interessen dies erfordern.

Die Auftragsbearbeitenden informieren das verantwortliche öffentliche Organ unverzüglich über eine unbefugte Datenbearbeitung.

Lässt ein öffentliches Organ Personendaten durch Dritte bearbeiten, stellt es den Datenschutz durch Vereinbarungen, Auflagen oder in anderer Weise sicher. Insbesondere dürfen Auftragsdatenbearbeitende Bearbeitungen von Personendaten ohne vorgängige schriftliche Zustimmung des öffentlichen Organs keinen weiteren Auftragnehmenden übertragen.

Das öffentliche Organ bleibt für die Einhaltung des Datenschutzes verantwortlich. Die Rechte der Betroffenen sind ihm gegenüber geltend zu machen.

Öffentliche Organe dürfen Personendaten für nicht personenbezogene Zwecke, insbesondere für Forschung, Planung und Statistik, bearbeiten oder an Dritte bekannt geben, wenn die

1. Personendaten anonymisiert werden, sobald es der Zweck des Bearbeitens erlaubt,

2. Empfängerin oder der Empfänger die Personendaten nur mit Zustimmung des öffentlichen Organs weitergibt und

3. Ergebnisse so veröffentlicht werden, dass die betroffenen Personen nicht erkennbar sind.

Nicht erfüllt sein müssen die

1. allgemeinen Voraussetzungen gemäss den §§ 8 und 11,

2. Vorschriften über die Bekanntgabe von Personendaten gemäss den §§ 14–16.

Öffentliche Organe dürfen öffentlich zugängliche Räume mit optisch-elektronischen Anlagen beobachten, wenn dies zur Erfüllung einer öffentlichen Aufgabe oder zur Wahrnehmung eines Hausrechts erforderlich ist und keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Die Überwachung ist von der beauftragten Person für Öffentlichkeit und Datenschutz bewilligen zu lassen. Die Bewilligung kann mit Auflagen verbunden werden.

Der Umstand der Beobachtung, der Aufzeichnung und die verantwortliche Behörde sind durch geeignete Massnahmen erkennbar zu machen.

Werden durch Überwachung erhobene Personendaten einer bestimmten Person zugeordnet, ist diese über eine Bearbeitung zu informieren. Vorbehalten bleiben abweichende Bestimmungen in anderen Erlassen, namentlich des Straf- und Strafprozessrechts.

Werden Personendaten zur Erfüllung der gesetzlichen Aufgabe sowie zu Sicherungs- und Beweiszwecken nicht mehr benötigt, sind sie von der verantwortlichen Behörde zu vernichten.

Vorbehalten bleiben die Bestimmungen über das Archivwesen.

Der Regierungsrat regelt durch Verordnung die Löschfristen und die Massnahmen zur regelmässigen Überprüfung, ob die Personendaten noch benötigt werden.

Die Justizleitung regelt in einem Reglement die Archivierung von Akten der Gerichte und der Schlichtungsbehörden sowie die Aufbewahrungsdauer, die Ablieferung an das Staatsarchiv und deren Vernichtung.

Jede Person kann von der verantwortlichen Behörde Auskunft darüber verlangen, welche Personendaten über sie in deren Personendatensammlung bearbeitet werden. Sie hat die Art der personenbezogenen Personendaten, über die Auskunft erteilt werden soll, näher zu bezeichnen.

Niemand kann zum Voraus auf das Auskunftsrecht verzichten.

Die betroffene Person erhält auf Verlangen oder anstelle der Auskunft Einsicht in ihre Personendaten.

Die verantwortliche Behörde muss der betroffenen Person in allgemein verständlicher Form, in der Regel schriftlich, mitteilen:

1. alle über sie in der Personendatensammlung vorhandenen Personendaten,

2. den Zweck und gegebenenfalls die Rechtsgrundlagen des Bearbeitens, die Kategorien der bearbeiteten Personendaten, die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer, die Herkunft der Personendaten und die Empfängerinnen oder Empfänger der Personendaten,

3. die Rechte der betroffenen Person.

Für die Auskunfts- und Einsichtsgewährung gilt § 15 Abs. 2 sinngemäss.

Auskunft und Einsicht dürfen aufgeschoben, eingeschränkt oder verweigert werden, soweit ein Gesetz oder überwiegende öffentliche oder private Interessen dies verlangen.

Würde die Auskunft oder die Einsicht bei Personendaten aus dem medizinischen oder psychiatrischen Bereich die ersuchende Person zu stark belasten, kann sie einer Person ihres Vertrauens erteilt werden. Sofern die ersuchende Person es ausdrücklich wünscht, ist ihr umfassend Auskunft zu geben oder Einsicht zu gewähren, wenn kein Berufsgeheimnis entgegensteht.

Auf Verlangen ist Auskunft über die Personendaten Verstorbener zu erteilen, wenn die gesuchstellende Person ein Interesse an der Auskunft nachweist und keine überwiegenden öffentlichen oder privaten Interessen, namentlich der Angehörigen der verstorbenen Person oder von Dritten, entgegenstehen. Nahe Verwandtschaft, Ehe, eheähnliche Lebensgemeinschaft sowie registrierte Partnerschaft mit der verstorbenen Person begründen ein Interesse.

Die betroffene Person kann vom öffentlichen Organ verlangen, dass es unrichtige Personendaten berichtigt, ergänzt oder vernichtet. Wenn sie ein schützenswertes Interesse daran hat, kann sie überdies verlangen, dass das öffentliche Organ den Entscheid Dritten mitteilt oder veröffentlicht.

Kann die Behörde die Richtigkeit nicht beweisen, muss sie die Personendaten vernichten. Besteht ein überwiegendes Interesse am Erhalt der Daten, kann die Behörde ausnahmsweise einen entsprechenden Vermerk anbringen. Der Regierungsrat regelt die Voraussetzungen durch Verordnung

Die betroffene Person kann vom öffentlichen Organ verlangen, dass es

1. das widerrechtliche Bearbeiten unterlässt, insbesondere dass die widerrechtlich bearbeiteten Personendaten gelöscht werden,

2. die Folgen eines widerrechtlichen Bearbeitens beseitigt,

3. die Widerrechtlichkeit des Bearbeitens feststellt,

4. den Entscheid Dritten mitteilt oder veröffentlicht, wenn sie ein schützenswertes Interesse hat.

Für den Datenschutz ist jenes öffentliche Organ verantwortlich, das Personendaten bearbeitet oder bearbeiten lässt.

Bearbeiten mehrere öffentliche Organe Personendaten in einer gemeinsamen Personendatensammlung, bezeichnet die vorgesetzte Behörde das öffentliche Organ, das die Hauptverantwortung für den Datenschutz trägt; jedes öffentliche Organ bleibt für seinen Bereich verantwortlich.

Der Regierungsrat wählt auf die Dauer von 8 Jahren eine in Datenschutzfragen ausgewiesene Fachperson als Beauftragte für Öffentlichkeit und Datenschutz sowie deren Stellvertretung. Die Wiederwahl ist zulässig. Die §§ 33–36 des Gesetzes über die Grundzüge des Personalrechts (Personalgesetz, PersG) vom 16. Mai 2000² gelten sinngemäss.

Der Regierungsrat kann die beauftragte Person für Öffentlichkeit und Datenschutz ihres Amtes entheben, wenn sie

1. vorsätzlich oder grobfahrlässig Amtspflichten schwer verletzt hat, oder

2. die Fähigkeit, das Amt auszuüben, auf Dauer verloren hat.

Die beauftragte Person für Öffentlichkeit und Datenschutz erfüllt ihre Aufgaben unabhängig. Der Regierungsrat regelt die administrative Zuordnung durch Verordnung.

Die beauftragte Person für Öffentlichkeit und Datenschutz verfügt über ein Sekretariat und ein eigenes Budget.

Die beauftragte Person für Öffentlichkeit und Datenschutz darf kein anderes öffentliches Amt, keine leitende Funktion in einer politischen Partei und keine andere Erwerbstätigkeit ausüben. Der Regierungsrat kann Ausnahmen bewilligen. Versieht die beauftragte Person für Öffentlichkeit und Datenschutz ein Teilpensum, darf die Bewilligung einer anderen Erwerbstätigkeit nicht verweigert werden, wenn durch diese Erwerbstätigkeit die Ausübung der Funktion sowie Unabhängigkeit und Ansehen dieser Stelle nicht beeinträchtigt werden.

Die beauftragte Person für Öffentlichkeit und Datenschutz

1. überwacht die Anwendung der Vorschriften über das Öffentlichkeitsprinzip und den Datenschutz,

2. berät die Behörden bei der Anwendung der Vorschriften über das Öffentlichkeitsprinzip und den Datenschutz und erteilt Privaten Auskunft über ihre Rechte,

3. nimmt Stellung zu Entwürfen von rechtsetzenden Erlassen und Massnahmen, die für das Öffentlichkeitsprinzip und den Datenschutz erheblich sind,

4. vermittelt zwischen Behörden und Privaten,

5. sensibilisiert die Bevölkerung, insbesondere schutzbedürftige Personen, in Bezug auf den Datenschutz,

6. verfolgt die massgeblichen Entwicklungen in den Bereichen Datenschutz und Öffentlichkeitsprinzip.

Die beauftragte Person für Öffentlichkeit und Datenschutz ist kantonales Kontrollorgan im Sinne von Art. 37 Abs. 2 des Bundesgesetzes über den Datenschutz.

Die beauftragte Person für Öffentlichkeit und Datenschutz wird von Amtes wegen oder auf Anzeige hin tätig. Dem verantwortlichen öffentlichen Organ ist von einer Anzeige Kenntnis und Gelegenheit zur Stellungnahme zu geben.

Die beauftragte Person für Öffentlichkeit und Datenschutz klärt den Sachverhalt von Amtes wegen ab. Sie hat das Recht, jederzeit bei den verantwortlichen öffentlichen Organen, bei ihren Beauftragten sowie bei Empfängerinnen und Empfängern von Personendaten, ungeachtet einer allfälligen Geheimhaltungspflicht, Auskünfte einzuholen, Akten und Dokumente herauszuverlangen und sich Datenbearbeitungen vorführen zu lassen. Die verantwortlichen öffentlichen Organe und Dritte sind zur Mitwirkung verpflichtet.

Stellt die beauftragte Person für Öffentlichkeit und Datenschutz fest, dass Vorschriften über das Öffentlichkeitsprinzip oder über den Datenschutz verletzt werden, kann sie den verantwortlichen öffentlichen Organen eine Empfehlung abgeben. Das öffentliche Organ hat zu erklären, ob es der Empfehlung folgen wird.

Wird die Privatsphäre betroffener Personen offensichtlich gefährdet oder verletzt, kann die beauftragte Person vorsorglich verfügen, dass die Datenbearbeitung eingeschränkt oder eingestellt wird. Die Beschwerde gegen die vorsorgliche Verfügung hat keine aufschiebende Wirkung.

Lehnt das öffentliche Organ die Befolgung der Empfehlung ab oder entspricht es dieser nicht, kann die beauftragte Person für Öffentlichkeit und Datenschutz die Empfehlung ganz oder teilweise als unentgeltliche Verfügung erlassen.

Das öffentliche Organ, an welches die Verfügung gerichtet ist, kann sie mit Verwaltungsbeschwerde anfechten. Die beauftragte Person für Öffentlichkeit und Datenschutz ist berechtigt, gegen einen allfälligen Entscheid der Beschwerdebehörde Beschwerde beim Verwaltungsgericht zu führen. Der weitere Rechtsweg richtet sich nach dem einschlägigen Bundesrecht.

Die beauftragte Person für Öffentlichkeit und Datenschutz

1. behandelt Anzeigen von betroffenen Personen und informiert sie innerhalb von höchstens drei Monaten über das Ergebnis der Untersuchung oder den Stand der Abklärungen.

2. arbeitet zur Erfüllung der Kontrollaufgaben mit den Datenschutzbehörden der anderen Kantone, des Bundes und des Auslandes zusammen,

3. legt dem Grossen Rat und dem Regierungsrat im Rahmen des Jahresberichts Rechenschaft über ihre Tätigkeit ab und berichtet über wichtige Feststellungen sowie die Beurteilung und Wirkung der Datenschutzbestimmungen.

Die beauftragte Person für Öffentlichkeit und Datenschutz sowie allfällige von ihr zur Aufgabenerfüllung beigezogene Dritte unterliegen für Tatsachen, von denen sie anlässlich ihrer Tätigkeit Kenntnis erhalten, dem Amtsgeheimnis.

Ansprüche gemäss den §§ 5, 23 und 28 können mündlich oder schriftlich bei der verantwortlichen Behörde geltend gemacht werden. Der Gegenstand des Anspruchs ist näher zu bezeichnen.

Zieht die Behörde die teilweise oder vollständige Abweisung des Gesuchs in Betracht, hat sie der gesuchstellenden Person vorgängig Mitteilung zu machen.

Sind schutzwürdige Interessen Dritter betroffen, ist diesen vor Erlass der Verfügung das rechtliche Gehör zu gewähren. Zieht das öffentliche Organ in Betracht, dem Zugangsgesuch entgegen der eingeholten Stellungnahme zu entsprechen, hat es den Drittpersonen vorgängig Mitteilung zu machen.

Innert 30 Tagen nach Eingang der Mitteilung gemäss § 36 Abs. 1 und 2 können die gesuchstellende Person oder die Drittperson beim öffentlichen Organ den Erlass einer anfechtbaren Verfügung verlangen.

Soweit dieses Gesetz nichts anderes bestimmt, richten sich das Verfahren und der Rechtsschutz nach dem Gesetz über die Verwaltungsrechtspflege (Verwaltungsrechtspflegegesetz, VRPG) vom 9. Juli 1968³.

Gegen letztinstanzliche Verfügungen und Entscheide der Verwaltungsbehörden kann Beschwerde beim Verwaltungsgericht erhoben werden.

Gesuche an das Obergericht und Beschwerden gegen Entscheide der unteren richterlichen Behörden werden durch die Justizleitung beurteilt.

Werden in der Beschwerde weitere Rechtsverletzungen geltend gemacht, entscheidet das in der Hauptsache zuständige Gericht.

Die erstinstanzliche Behandlung von Gesuchen gemäss den §§ 5, 16, 23 und 28 erfolgt grundsätzlich unentgeltlich.

Eine angemessene Gebühr kann erhoben werden bei

1. aufwendigen Verfahren, wie bei komplizierten Verhältnissen oder bei umfangreichen Anonymisierungen von Dokumenten,

2. der Erstellung von Kopien für Gesuchstellende.

…

…

…

Wer als Auftragnehmerin oder Auftragnehmer für das Bearbeiten von Personendaten ohne ausdrückliche Ermächtigung des auftraggebenden Organs Personendaten für sich oder andere verwendet oder anderen bekannt gibt, wird mit Busse bis zu Fr. 10'000.– bestraft.

Handelt die Täterin oder der Täter aus Gewinnsucht, ist das Gericht an diesen Höchstbetrag nicht gebunden.

Strafbar ist die vorsätzliche oder fahrlässige Widerhandlung.

Im Übrigen gelten die Bestimmungen des Schweizerischen Strafgesetzbuches vom 21. Dezember 1937⁴.

Verfolgung und Beurteilung der Widerhandlungen richten sich nach den Vorschriften des Strafprozessrechts.