Gesetz über die Information und den Datenschutz

Dieses Gesetz regelt den Umgang der öffentlichen Organe mit Informationen.

Es bezweckt:

1. das Handeln der öffentlichen Organe transparent zu gestalten und damit die freie Meinungsbildung und die Wahrnehmung der demokratischen Rechte zu fördern, soweit nicht überwiegende öffentliche oder private Interessen entgegenstehen, und

2. die Grundrechte von natürlichen Personen zu schützen, über welche die öffentlichen Organe Personendaten bearbeiten.

Dieses Gesetz gilt für alle öffentlichen Organe gemäss § 3 Abs. 1.

Es findet keine Anwendung, soweit ein öffentliches Organ am wirtschaftlichen Wettbewerb teilnimmt und dabei privatrechtlich handelt. Für das Bearbeiten von Personendaten ist das Bundesgesetz über den Datenschutz (DSG) vom 19. Juni 1992¹ anwendbar. Die Aufsicht wird von der oder dem Datenschutzbeauftragten gemäss §§ 37ff. ausgeübt, ausser bei öffentlichen Organen, die ausschliesslich am wirtschaftlichen Wettbewerb teilnehmen und dabei privatrechtlich handeln.

1. …

2. …

3. …

In hängigen Verfahren der Zivil- und Strafrechtspflege sowie der Verfassungs- und Verwaltungsgerichtsbarkeit richten sich die Rechte und Ansprüche der betroffenen Person, die Informationspflicht des öffentlichen Organs bei der Beschaffung von Personendaten, die Bekanntgabe von Personendaten an Verfahrensbeteiligte, die Information der Öffentlichkeit und der allgemeine Informationszugangsanspruch der Öffentlichkeit ausschliesslich nach dem anwendbaren Verfahrensrecht.

Abweichende und ergänzende Bestimmungen in anderen Gesetzen bleiben vorbehalten, sofern sie den Schutz der Grundrechte von Personen, über welche die öffentlichen Organe Personendaten bearbeiten, im Sinne dieses Gesetzes sicherstellen.

Der Regierungsrat sorgt dafür, dass interkantonale Institutionen mit baselstädtischer Beteiligung einen gleichwertigen Datenschutz gewährleisten.

Öffentliche Organe im Sinne dieses Gesetzes sind:

1. die Organisationseinheiten des Kantons und der Gemeinden, die eine öffentliche Aufgabe erfüllen;

2. die Organisationseinheiten der juristischen Personen des kantonalen und kommunalen öffentlichen Rechts, die eine öffentliche Aufgabe erfüllen;

3. Private, soweit ihnen von Kanton oder Gemeinden die Erfüllung öffentlicher Aufgaben übertragen ist.

Informationen im Sinne dieses Gesetzes sind alle Aufzeichnungen, welche die Erfüllung einer öffentlichen Aufgabe betreffen, unabhängig von ihrer Darstellungsform und ihrem Informationsträger.

Personendaten sind Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.

Besondere Personendaten sind:

• a) Personendaten, bei deren Bearbeitung eine besondere Gefahr der Grundrechtsverletzung besteht (sensitive Personendaten), insbesondere:

• 1. Angaben über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten;

• 2. Angaben über die Gesundheit, das Erbgut (genetische Daten), die persönliche Geheimsphäre, das Sexualleben, die sexuelle Orientierung oder die ethnische Herkunft;

• 3. Angaben über Massnahmen der sozialen Hilfe;

• 4. Angaben über administrative oder strafrechtliche Verfolgungen und Sanktionen und

• 5. mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, welche die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen (biometrische Daten).

• b) Zusammenstellungen von Informationen, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlauben (Persönlichkeitsprofil).

Bearbeiten ist jeder Umgang mit Informationen, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten sowie das Durchführen logischer oder rechnerischer Operationen mit diesen Informationen.

Bekanntgeben ist jedes Zugänglichmachen von Informationen wie das Einsichtgewähren, Weitergeben oder Veröffentlichen.

Profiling ist jede automatisierte Auswertung von Informationen, um wesentliche persönliche Merkmale zu analysieren oder Entwicklungen, insbesondere bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel vorherzusagen.

Auftragsdatenbearbeiterin oder Auftragsdatenbearbeiter ist die private Person oder das öffentliche Organ, die oder das im Auftrag des für die Bearbeitung veröffentlichen öffentlichen Organs Informationen bearbeitet.

Das öffentliche Organ gestaltet den Umgang mit Informationen so, dass es rasch, umfassend und sachlich informieren kann.

Das öffentliche Organ verwaltet seine Informationen nach den Vorschriften über die Aktenführung gemäss dem Archivgesetz.

Die Verantwortung für den Umgang mit Informationen trägt dasjenige öffentliche Organ, das die Informationen zur Erfüllung seiner gesetzlichen Aufgaben bearbeitet.

Bearbeiten mehrere öffentliche Organe einen gemeinsamen Informationsbestand, regeln sie die Verantwortung und legen fest, welches öffentliche Organ die Gesamtverantwortung trägt.

Das öffentliche Organ muss nachweisen können, dass es die Datenschutzbestimmungen einhält. Der Regierungsrat regelt das Nähere für die kantonale Verwaltung. Für die Gerichte, die Gemeinden, die weiteren Körperschaften und die selbständigen Anstalten gilt die Regelung des Kantons sinngemäss, soweit sie keine eigene erlassen.

Das öffentliche Organ kann das Bearbeiten von Informationen Dritten übertragen, wenn:

1. keine rechtliche Bestimmung oder vertragliche Vereinbarung entgegensteht und

2. sichergestellt wird, dass die Informationen nur so bearbeitet werden, wie es das öffentliche Organ tun dürfte.

Es bleibt für den Umgang mit Informationen nach diesem Gesetz verantwortlich.

Eine Auftragsdatenbearbeiterin beziehungsweise ein Auftragsdatenbearbeiter darf ohne vorgängige schriftliche Zustimmung des auftraggebenden öffentlichen Organs die Datenbearbeitung keiner weiteren Auftragsdatenbearbeiterin und keinem weiteren Auftragsdatenbearbeiter übertragen.

Das öffentliche Organ schützt Informationen durch angemessene organisatorische und technische Massnahmen.

Die Massnahmen richten sich nach den folgenden Schutzzielen:

1. Informationen dürfen nicht unrechtmässig zur Kenntnis gelangen (Vertraulichkeit);

2. Informationen müssen richtig und vollständig sein (Integrität);

3. Informationen müssen bei Bedarf vorhanden sein (Verfügbarkeit);

4. Informationsbearbeitungen müssen einer Person zugerechnet werden können (Zurechenbarkeit);

5. Veränderungen von Informationen müssen erkennbar und nachvollziehbar sein (Nachvollziehbarkeit).

Die zu treffenden Massnahmen richten sich nach der Art der Information, nach Art und Zweck der Verwendung und nach dem jeweiligen Stand der Technik.

Der Regierungsrat regelt das Nähere für die kantonale Verwaltung, der Gemeinderat für die kommunale Verwaltung. Für die Gerichte, die Gemeinden, die weiteren Körperschaften und die selbständigen Anstalten gilt die Regelung des Kantons sinngemäss, soweit sie keine eigene erlassen.

Ein öffentliches Organ darf Personendaten bearbeiten, wenn

1. dafür eine gesetzliche Grundlage besteht oder

2. dies zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist.

Besondere Personendaten dürfen bearbeitet und ein Profiling darf vorgenommen werden, wenn

1. ein Gesetz dazu ausdrücklich ermächtigt oder verpflichtet oder

2. es für eine in einem Gesetz klar umschriebene Aufgabe zwingend notwendig ist.

Das Bearbeiten von Personendaten hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.

Personendaten dürfen nur so lange bearbeitet werden, als es zur Erfüllung der gesetzlichen Aufgabe erforderlich ist.

Der Regierungsrat kann, nachdem er im Rahmen einer Vorabkonsultation nach § 13 die Beurteilung der oder des Datenschutzbeauftragten eingeholt hat, vor Inkrafttreten eines Gesetzes die Bearbeitung von besonderen Personendaten oder ein Profiling bewilligen, wenn:

1. die Aufgaben, die diese Bearbeitung erforderlich machen, in einem Gesetz geregelt sind,

2. ausreichende Massnahmen zur Verhinderung von Persönlichkeitsverletzungen getroffen werden und

3. die praktische Umsetzung einer Datenbearbeitung eine Testphase vor dem Wirksamwerden des Gesetzes zwingend erfordert.

Die praktische Umsetzung einer Datenbearbeitung kann eine Testphase dann zwingend erfordern, wenn:

1. die Erfüllung einer Aufgabe technische Neuerungen erfordert, deren Auswirkungen zunächst evaluiert werden müssen,

2. die Erfüllung einer Aufgabe bedeutende organisatorische oder technische Massnahmen erfordert, deren Wirksamkeit zunächst geprüft werden muss, insbesondere bei der Zusammenarbeit mit öffentlichen Organen des Bundes und anderer Kantone und Privaten; oder

3. sie die Übermittlung von besonderen Personendaten oder Resultaten eines Profilings an Dritte mittels eines Abrufverfahrens erfordert.

Pilotprojekte sind auf maximal fünf Jahre zu befristen.

Jedes Pilotprojekt ist zu evaluieren.

Der Regierungsrat regelt die Modalitäten der Datenbearbeitung in einer Verordnung.

Ein öffentliches Organ darf Personendaten zu einem nicht personenbezogenen Zweck, namentlich für Statistik, Planung oder Forschung, bearbeiten, wenn es:

1. diese Daten nicht mehr für einen personenbezogenen Zweck verwendet oder weitergibt und

2. diese Daten anonymisiert oder pseudonymisiert, sobald es der Bearbeitungszweck erlaubt, und

3. die Ergebnisse der Bearbeitung nur so bekannt gibt, dass keine Rückschlüsse auf betroffene Personen möglich sind.

…

Personendaten müssen richtig und, soweit es der Verwendungszweck erfordert, vollständig sein.

Das öffentliche Organ, das Personendaten bearbeitet, hat sich über deren Richtigkeit zu vergewissern.

Es sind alle angemessenen Massnahmen zu treffen, damit Daten berichtigt oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind.

Personendaten dürfen nur zu dem Zweck bearbeitet werden, zu dem sie erhoben worden sind, soweit nicht eine gesetzliche Grundlage ausdrücklich eine weitere Verwendung vorsieht oder die betroffene Person im Einzelfall einwilligt.

Das verantwortliche öffentliche Organ prüft bei jedem Vorhaben für eine Personendatenbearbeitung, ob voraussichtlich ein hohes Risiko für die Grundrechte der betroffenen Personen besteht. Das hohe Risiko ergibt sich, insbesondere bei Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung.

Besteht voraussichtlich ein hohes Risiko, ist eine Datenschutz-Folgenabschätzung durchzuführen.

Die Folgenabschätzung enthält mindestens:

1. eine allgemeine Beschreibung der geplanten Bearbeitungsvorgänge;

2. eine Bewertung der in Bezug auf die Grundrechte der betroffenen Personen bestehende Risiken sowie

3. eine Darstellung und Bewertung der geplanten Abhilfemassnahmen, Garantien, Sicherheitsvorkehren und Verfahren, durch die der Schutz der Grundrechte der Personen sichergestellt und der Nachweis erbracht werden soll, dass dieses Gesetz eingehalten wird.

Das verantwortliche öffentliche Organ legt der oder dem Datenschutzbeauftragten frühzeitig zur Vorabkonsultation vor:

1. Rechtsetzungsprojekte, die das Bearbeiten von Personendaten betreffen oder die für den Umgang mit Informationen erheblich sind, und

2. Vorhaben zur Bearbeitung von Personendaten, die aufgrund der Art der Bearbeitung oder der zu bearbeitenden Daten zu einem hohen Risiko für die Grundrechte der betroffenen Personen führen.

Die oder der Datenschutzbeauftragte erstellt eine Liste der Bearbeitungsvorgänge, die zur Vorabkonsultation zu unterbreiten sind.

Das öffentliche Organ trifft bei Datenbearbeitungen von Anfang an Massnahmen, die das Risiko von Verletzungen der Grundrechte verringern und solchen Verletzungen vorbeugen.

Es stellt mittels geeigneter Voreinstellungen sicher, dass standardmässig nur diejenigen Personendaten bearbeitet werden, die für den jeweiligen Verwendungszweck erforderlich sind.

Das verantwortliche öffentliche Organ informiert die betroffene Person über jede Beschaffung von Personendaten. Diese Informationspflicht gilt auch, wenn die Daten bei Dritten beschafft werden.

Die Information umfasst insbesondere Angaben über:

1. das verantwortliche öffentliche Organ samt Kontaktdaten;

2. die bearbeiteten Daten oder die Kategorien der bearbeiteten Daten;

3. die Rechtsgrundlage und den Zweck des Bearbeitens;

4. die Datenempfangenden oder die Kategorien der Datenempfangenden, falls die Daten Dritten bekannt gegeben werden, und

5. die Rechte der betroffenen Person.

Die Informationspflicht entfällt, wenn:

1. die betroffene Person bereits über die Informationen nach Abs. 2 verfügt;

2. wenn das Bearbeiten der Personendaten gesetzlich ausdrücklich vorgesehen ist oder

3. die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist.

Die Übermittlung der Informationen kann unter denselben Voraussetzungen eingeschränkt werden wie der Zugang zu den eigenen Personendaten.

Die Personen-ID ist eine nicht sprechende und unveränderliche Nummer, die eine Person eindeutig identifiziert.

Sie ist für den Austausch und die Verknüpfung von Personendaten zwischen und innerhalb von öffentlichen Organen gemäss § 3 Abs. 1 lit. a und b in systematischer Weise und ausschliesslich intern zu verwenden.

Eine Personen-ID wird einer natürlichen oder juristischen Person zugewiesen, die im Kanton Basel-Stadt Wohnsitz bzw. Sitz hat oder wenn dies für den Verkehr mit den öffentlichen Organen erforderlich ist. Die Zuweisung erfolgt durch eine zentrale Stelle.

Die zuständige Stelle legt Vorgaben für die korrekte Verwendung der Personen-ID fest und kontrolliert deren Einhaltung.

Nicht mehr benötigte Personendaten, die von der gemäss Archivgesetz zuständigen Stelle als nicht archivwürdig beurteilt werden, sind vom öffentlichen Organ zu vernichten.

Für Informationsbestände, die Personendaten enthalten, sind Fristen für die Vernichtung beziehungsweise für die Überprüfung, ob die Daten zur Aufgabenerfüllung noch erforderlich sind, festzulegen.

Das verantwortliche öffentliche Organ meldet der oder dem Datenschutzbeauftragten ohne unangemessene Verzögerung eine Datenschutzverletzung.

Die Auftragsdatenbearbeiterin oder der Auftragsdatenbearbeiter informiert das auftraggebende öffentliche Organ unverzüglich über eine Datenschutzverletzung.

Eine Datenschutzverletzung liegt vor, wenn durch eine Verletzung der Informationssicherheit bearbeitete Personendaten unwiederbringlich vernichtet werden oder verloren gehen, unbeabsichtigt oder unrechtmässig verändert oder offenbart werden oder Unbefugte Zugang zu solchen Personendaten erhalten.

Eine Meldepflicht besteht nicht, wenn die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für die Grundrechte der betroffenen Person führt.

Das öffentliche Organ informiert die betroffenen Personen, wenn die Umstände dies erfordern oder der oder die Datenschutzbeauftragte es verlangt.

Die Benachrichtigung der betroffenen Personen kann ganz oder teilweise unterbleiben oder aufgeschoben werden, wenn eine Einschränkung gemäss § 29 zulässig ist.

Die Departemente der kantonalen Verwaltung, die Gerichte und die Einwohner- und Bürgergemeinden bezeichnen eine Datenschutzberaterin oder einen Datenschutzberater.

Der Regierungsrat bestimmt zusätzlich die Bereiche, Abteilungen und Stabsstellen der kantonalen Verwaltung sowie die öffentlich-rechtlichen Anstalten des kantonalen Rechts, die eine eigene Datenschutzberaterin oder einen eigenen Datenschutzberater zu bezeichnen haben. Er berücksichtigt dabei die Art und Menge der von diesen bearbeiteten Personendaten.

Diese Person hat die folgenden Aufgaben:

1. sie berät und unterstützt bei der Bearbeitung von Personendaten;

2. sie unterstützt bei der Vornahme der Datenschutz-Folgenabschätzungen gemäss § 12a Abs. 1;

3. sie arbeitet mit der oder dem Datenschutzbeauftragten zusammen.

An öffentlichen, allgemein oder nicht allgemein zugänglichen Orten darf Videoüberwachung, bei welcher Personen identifiziert werden können, nur zum Schutz von Personen und Sachen vor strafbaren Handlungen beziehungsweise zur Verfolgung solcher strafbarer Handlungen eingesetzt werden.

Die Videoüberwachung ist örtlich und zeitlich auf das zur Erreichung des konkreten Zwecks Erforderliche zu beschränken.

Der Einsatz von Videoüberwachung ist durch geeignete Massnahmen unter Angabe der verantwortlichen Stelle erkennbar zu machen.

Allfällige Aufzeichnungen, Kopien und Ausdrucke müssen in der Regel spätestens innert einer Woche vernichtet werden. Ausnahmsweise kann das Reglement eine längere Frist festlegen, wenn dies zur Erreichung des konkreten Zwecks erforderlich ist und das Risiko einer Persönlichkeitsverletzung durch technische und organisatorische Vorkehren minimiert wird.

Vorbehalten bleibt die Verwendung für ein straf- oder zivilrechtliches Verfahren; in diesem Fall sind die Aufzeichnungen zusammen mit der Anzeige oder der Klage den zuständigen Behörden zu übergeben.

Für jedes Videoüberwachungssystem muss vor seiner Inbetriebnahme ein Reglement erlassen werden, das insbesondere den Zweck des Systems, die Verantwortlichkeit und die Löschungsfrist regelt.

Zuständig für den Erlass der Reglemente sind:

1. die Departemente bei Systemen im Verantwortungsbereich kantonaler öffentlicher Organe;

2. der Gemeinderat bei Systemen im Verantwortungsbereich kommunaler öffentlicher Organe;

3. der Gerichtsrat bei Systemen im Verantwortungsbereich von Gerichten;

4. das oberste Führungsorgan selbständiger Anstalten und Körperschaften des öffentlichen Rechts bei Systemen in ihrem Verantwortungsbereich.

Das Reglement ist jeweils auf eine Dauer von maximal vier Jahren zu befristen. Vor einer allfälligen Verlängerung ist die Wirksamkeit der Videoüberwachung zu evaluieren.

Vor dem Erlass und der Verlängerung eines Reglements ist das Vorhaben der oder dem Datenschutzbeauftragten zur Vorabkonsultation vorzulegen.

Die Reglemente sind der Öffentlichkeit leicht zugänglich zu machen.

Soweit durch die Bekanntgabe der Kamerastandorte oder anderer Einsatzdetails die Zweckerreichung verunmöglicht wird, kann auf deren Veröffentlichung verzichtet werden.

Der Regierungsrat regelt das Nähere für die kantonale Verwaltung. Für die Gerichte, die Gemeinden, die weiteren Körperschaften und die selbständigen Anstalten gilt die Regelung des Kantons sinngemäss, soweit sie keine eigene erlassen.

Das öffentliche Organ kann zur Sicherstellung der Qualität der Informationsbearbeitung seine Verfahren, seine Organisation und seine technischen Einrichtungen durch eine unabhängige und anerkannte Stelle prüfen und bewerten lassen.

Das öffentliche Organ informiert die Öffentlichkeit über Angelegenheiten von allgemeinem Interesse in seinem Tätigkeitsbereich.

Von allgemeinem Interesse sind Informationen, die Belange von öffentlichem Interesse betreffen und für die Meinungsbildung und zur Wahrung der demokratischen Rechte der Bevölkerung von Bedeutung sind.

Das öffentliche Organ stellt Informationen über seinen Aufbau, seine Zuständigkeiten und über Ansprechpersonen zur Verfügung.

Der Regierungsrat regelt die Informationstätigkeit für die kantonale Verwaltung. Für die Gerichte, die Gemeinden, die weiteren Körperschaften und die selbständigen Anstalten gilt die Regelung des Kantons sinngemäss, soweit sie keine eigene erlassen.

Das öffentliche Organ gibt Personendaten bekannt, wenn

1. eine gesetzliche Bestimmung dazu verpflichtet oder ermächtigt, oder

2. dies zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist oder

3. im Einzelfall die betroffene Person ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe in ihrem Interesse liegt und ihre Zustimmung in guten Treuen vorausgesetzt werden darf.

Besondere Personendaten oder Resultate eines Profilings gibt das öffentliche Organ bekannt, wenn:

1. ein Gesetz dazu ausdrücklich verpflichtet oder ermächtigt oder

2. dies zur Erfüllung einer in einem Gesetz klar umschriebenen Aufgabe zwingend notwendig ist oder

3. im Einzelfall die betroffene Person ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe in ihrem Interesse liegt und ihre Zustimmung in guten Treuen vorausgesetzt werden darf.

Das öffentliche Organ kann anderen öffentlichen Organen im Kanton, in anderen Kantonen oder im Bund Personendaten zur Bearbeitung für einen nicht personenbezogenen Zweck, namentlich für Statistik, Planung oder Forschung, bekannt geben, sofern dies nicht durch eine besondere Geheimhaltungsbestimmung ausgeschlossen ist.

Die Empfängerin oder der Empfänger hat sich zu verpflichten:

1. die Personendaten zu anonymisieren oder zu pseudonymisieren, sobald es der Bearbeitungszweck zulässt, und

2. die Auswertungen nur so bekannt zu geben, dass keine Rückschlüsse auf betroffene Personen möglich sind.

…

Privaten kann das öffentliche Organ Personendaten zur Bearbeitung für Zwecke der Forschung bekannt geben, sofern dies nicht durch eine besondere Geheimhaltungsbestimmung ausgeschlossen ist und sich die Empfängerin oder der Empfänger zusätzlich zu den Anforderungen von Abs. 2 verpflichtet:

1. die Personendaten nicht für andere Zwecke zu bearbeiten und

2. die Personendaten nicht an Dritte weiterzugeben und

3. für die Informationssicherheit zu sorgen.

Unter den gleichen Voraussetzungen kann die richterliche Behörde den in einem kantonalen Anwaltsregister nach dem Bundesgesetz über die Freizügigkeit der Anwältinnen und Anwälte (Anwaltsgesetz, BGFA) vom 23. Juni 2000² eingetragenen Anwältinnen und Anwälte zum Zweck der Berufsausübung Urteile mit Personendaten bekannt geben, sofern die Urteile nicht bereits in anonymisierter Form vorliegen.

Öffentliche Organe dürfen Personendaten anderen Organen oder Privaten, die nicht der Rechtshoheit eines Staates oder einer Organisation unterstehen, welche dem Europaratsübereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten beigetreten sind, nur bekannt geben, wenn

1. die Gesetzgebung des Empfängerstaates einen angemessenen Schutz gewährleistet oder

2. durch vertragliche Vereinbarungen ein angemessener Schutz garantiert wird oder

3. dies im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist oder

4. im Einzelfall die betroffene Person ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe in ihrem Interesse liegt und ihre Zustimmung in guten Treuen vorausgesetzt werden darf.

Das öffentliche Organ führt ein vollständiges Verzeichnis seiner Verfahren, bei denen Personendaten bearbeitet werden.

Die Verzeichnisse sind der Öffentlichkeit leicht zugänglich zu machen, insbesondere durch öffentliche Datennetze.

Der Regierungsrat regelt in der Verordnung den Inhalt des Verzeichnisses und die Ausnahmen von der Veröffentlichungspflicht.

Jede Person hat Anspruch auf Zugang zu den bei einem öffentlichen Organ im Sinne von § 3 Abs. 1 lit. a und b dieses Gesetzes vorhandenen Informationen, ausgenommen zu Aufzeichnungen, die nicht fertig gestellt sind.

In hängigen Verwaltungs- und Verwaltungsrekursverfahren richtet sich der Anspruch auf Zugang zu Informationen nach dem massgeblichen Verfahrensrecht.

Jede Person hat Anspruch darauf zu wissen, ob bei einem öffentlichen Organ Personendaten über sie vorhanden sind, und gegebenenfalls auf Zugang zu diesen eigenen Personendaten.

Der Zugang umfasst:

1. alle Personendaten zur gesuchstellenden Person;

2. alle verfügbaren Informationen über die Herkunft der Personendaten, wenn sie nicht bei der betroffenen Person erhoben worden sind und

3. die weiteren Angaben nach § 15 Abs. 2.

Jede betroffene Person kann vom öffentlichen Organ verlangen, dass es kostenlos:

1. unrichtige Personendaten berichtigt oder, falls die Berichtigung nicht möglich ist, vernichtet;

2. das widerrechtliche Bearbeiten von Personendaten unterlässt;

3. die Folgen des widerrechtlichen Bearbeitens von Personendaten beseitigt, insbesondere die sie betreffenden Personendaten löscht oder ihre Bekanntgabe an Dritte sperrt;

4. die Widerrechtlichkeit des Bearbeitens von Personendaten schriftlich feststellt.

Das schutzwürdige Interesse der betroffenen Person wird vermutet.

Die Berichtigung, Vernichtung oder Löschung von Personendaten und die Sperrung der Bekanntgabe an Dritte ist ausserdem jenen Personen oder Stellen, denen die Daten zuvor bekannt gegeben worden sind, mitzuteilen, soweit dies nicht unmöglich oder mit unverhältnismässigem Aufwand verbunden ist.

Der Regierungsrat regelt das Nähere.

Die betroffene Person kann beim öffentlichen Organ die Bekanntgabe ihrer Personendaten an Private schriftlich sperren lassen.

Das öffentliche Organ macht in geeigneter Weise auf das Sperrrecht aufmerksam.

Die Bekanntgabe ist trotz Sperrung zulässig, wenn:

1. das öffentliche Organ zur Bekanntgabe gesetzlich verpflichtet ist oder

2. die Bekanntgabe zur Erfüllung einer gesetzlichen Aufgabe zwingend notwendig ist oder

3. die um Bekanntgabe ersuchende Person glaubhaft macht, dass die Personendaten zur Durchsetzung ihrer Rechtsansprüche erforderlich sind.

Ist ein Gesuch nach Abs. 3³ lit. c nicht von vornherein abzuweisen, gibt das öffentliche Organ der betroffenen Person Gelegenheit zur Stellungnahme innert angemessener Frist. Den Entscheid eröffnet es in Form einer anfechtbaren Verfügung, wenn es die betroffene Person oder die Gesuch stellende Person verlangt.

Jede Person hat das Recht, sich mit einer aufsichtsrechtlichen Anzeige an die Datenschutzbeauftragte oder den Datenschutzbeauftragten zu wenden, wenn sie der Ansicht ist, dass ein öffentliches Organ, eine Auftragsbearbeiterin oder ein Auftragsbearbeiter bei der Bearbeitung von sie betreffenden Personendaten gegen die datenschutzrechtlichen Vorschriften verstösst.

Der anzeigenden Person kommt in diesem Verfahren keine Parteistellung zu.

Die oder der Datenschutzbeauftragte informiert sie innert drei Monaten über den Stand beziehungsweise das Ergebnis der Abklärungen und die Erledigung.

Das öffentliche Organ hat die Bekanntgabe von oder den Zugang zu Informationen im Einzelfall ganz oder teilweise zu verweigern oder aufzuschieben, wenn eine besondere gesetzliche Geheimhaltungspflicht oder ein überwiegendes öffentliches oder privates Interesse entgegensteht.

Ein öffentliches Interesse liegt insbesondere vor, wenn die Bekanntgabe der oder der Zugang zur Information:

1. die Sicherheit des Staates oder die öffentliche Sicherheit gefährdet oder

2. die Beziehungen zu einem anderen Kanton, zum Bund oder zum Ausland beeinträchtigt oder

3. den freien Meinungs- und Willensbildungsprozess der öffentlichen Organe beeinträchtigt oder

4. die Position in Verhandlungen beeinträchtigt oder

5. die zielkonforme Durchführung konkreter behördlicher, insbesondere polizeilicher Massnahmen beeinträchtigt.

Ein privates Interesse liegt insbesondere vor, wenn

1. die Bekanntgabe von oder der Zugang zu Informationen den Schutz der Privatsphäre beeinträchtigen würde oder

2. durch die Bekanntgabe von oder den Zugang zu Informationen Berufs-, Fabrikations- oder Geschäftsgeheimnisse offenbart oder Urheberrechte verletzt würden oder

3. die Bekanntgabe von oder der Zugang zu Informationen verlangt wird, die dem öffentlichen Organ von Dritten freiwillig mitgeteilt worden sind und deren Geheimhaltung es zugesichert hat.

Würde der Zugang zu den eigenen Personendaten im medizinischen oder psychiatrischen Bereich nach der Beurteilung des öffentlichen Organs die betroffene Person zu stark belasten, kann er einer Person ihres Vertrauens gewährt werden. Sofern die betroffene Person es ausdrücklich wünscht, ist ihr direkt und umfassend Zugang zu ihren Personendaten zu gewähren.

Ist der Zugang zu den bei einem öffentlichen Organ vorhandenen Personendaten nicht schon nach § 29 ganz oder teilweise zu verweigern, so sind diese Personendaten vor der Zugangsgewährung zu anonymisieren.

Ist eine Anonymisierung nicht bzw. nicht vollständig möglich, so darf das öffentliche Organ Zugang zu nicht anonymisierten Personendaten gewähren, wenn:

1. ein überwiegendes öffentliches Interesse am Zugang zu diesen Personendaten besteht oder

2. die Voraussetzungen für die Bekanntgabe von Personendaten nach diesem Gesetz (§§ 20 ff.) erfüllt sind.

Wer Zugang zu Informationen gemäss §§ 25 und 26 erlangen will, stellt schriftlich oder mündlich ein Gesuch, das die gewünschte Information hinreichend genau zu bezeichnen hat.

Die Person, die ein Gesuch auf Zugang zu den eigenen Personendaten stellt, muss sich über ihre Identität ausweisen, ausser wenn ihre Identität für das ersuchte öffentliche Organ zweifelsfrei feststeht.

Bezieht sich ein Gesuch ausschliesslich auf Informationen, die bereits öffentlich sind und auf angemessene Weise zur Verfügung stehen, so tritt das öffentliche Organ unter Verweis auf die Quelle nicht auf das Gesuch ein.

Sind Interessen von Drittpersonen oder von anderen öffentlichen Organen im Sinne von § 29 betroffen, gibt das öffentliche Organ diesen Personen oder Organen Gelegenheit zur Stellungnahme innert angemessener Frist, ausser wenn es auch ohne deren Stellungnahme klar ist, dass der Zugang ganz oder teilweise verweigert werden muss.

Steht der Gewährung des Zugangs zu Informationen nichts entgegen, gewährt das öffentliche Organ der gesuchstellenden Person den Zugang.

Zieht das öffentliche Organ aufgrund seiner Prüfung oder aufgrund der eingeholten Stellungnahmen die vollständige oder teilweise Abweisung des Gesuches in Betracht, teilt es dies der gesuchstellenden Person mit.

Zieht es in Betracht, dem Zugangsgesuch entgegen den eingeholten Stellungnahmen zu entsprechen, teilt es dies den betroffenen Drittpersonen oder anderen öffentlichen Organen mit.

Innert 30 Tagen nach Eingang der Mitteilung gemäss den Abs. 2 und 3 können die gesuchstellende Person und die Drittperson beim öffentlichen Organ den Erlass einer anfechtbaren Verfügung verlangen.

Das öffentliche Organ gewährt Zugang zu den Informationen, indem es

1. die Informationen schriftlich, in Form von Kopien oder auf Datenträgern aushändigt oder

2. mit dem Einverständnis der gesuchstellenden Person die Informationen mündlich mitteilt oder ihr vor Ort Einsicht in die Informationen gewährt.

Auf ein mündlich gestelltes Zugangsgesuch hin kann das öffentliche Organ der gesuchstellenden Person die Informationen mündlich mitteilen.

Das öffentliche Organ hat der gesuchstellenden Person innert 30 Tagen nach Eingang des Gesuches

1. den Zugang zu den Informationen zu gewähren,

2. eine Mitteilung gemäss § 33 Abs. 2 zukommen zu lassen oder,

3. wenn die Frist nicht eingehalten werden kann, unter Angabe der Gründe mitzuteilen, bis wann der Entscheid vorliegen wird.

Für das Verfahren auf Zugang zu Informationen werden in der Regel keine Gebühren erhoben.

Eine angemessene Gebühr nach Aufwand kann erhoben werden, in keinem Fall jedoch für den Zugang zu den eigenen Personendaten:

1. bei aufwändigen Verfahren, wie bei komplizierten Verhältnissen oder bei umfangreichen Anonymisierungen von Informationen;

2. für die Anfertigung von Kopien oder sonstigen Datenträgern für die gesuchstellende Person.

Das öffentliche Organ weist die gesuchstellende Person darauf hin, wenn das Gesuch mit erheblichen Kostenfolgen verbunden ist; in diesem Fall kann es vor der weiteren Gesuchsbearbeitung einen Kostenvorschuss einfordern.

Eignen sich Informationen für eine gewerbliche Nutzung, kann ein Entgelt erhoben werden, das sich nach dem Markt richtet.

Der Regierungsrat erlässt einen Gebührentarif.

Der Kanton führt unter dem Namen «Die Datenschutzbeauftragte» oder «Der Datenschutzbeauftragte» eine unabhängige Aufsichtsstelle.

Er kann die Aufsichtsstelle auf Grund eines Staatsvertrags gemeinsam mit anderen Kantonen führen.

Die oder der Datenschutzbeauftragte erfüllt die Aufgaben weisungsunabhängig.

Die Aufsichtsstelle ist organisatorisch dem Büro des Grossen Rates zugeordnet.

Der Kontrolle durch die Datenschutzbeauftragte oder den Datenschutzbeauftragten unterstehen nicht:

1. die Mitglieder des Grossen Rates und der Grosse Rat als Behörde und

2. der Regierungsrat als Behörde;

3. Datenbearbeitungen in hängigen Verfahren der Zivil- und Strafrechtspflege und

4. Datenbearbeitungen in hängigen Verfahren der Verfassungs- und Verwaltungsgerichtsbarkeit.

Die Aufsichtsstelle wird von einer in Datenschutzfragen ausgewiesenen Fachperson (der oder dem Beauftragten) geleitet. Die Besoldung erfolgt analog den Zivilgerichtspräsidentinnen und Zivilgerichtspräsidenten des Kantons Basel-Stadt.

Der Grosse Rat wählt die Beauftragte oder den Beauftragten auf Antrag seiner Wahlvorbereitungskommission auf eine feste Amtsdauer von sechs Jahren. Der Wahlvorschlag ist dem Regierungsrat zur Stellungnahme vorzulegen. Wiederwahl ist möglich.

Das Amt der oder des Beauftragten kann auf zwei Personen mit maximal 100 Stellenprozenten aufgeteilt werden.

Die oder der Beauftragte kann bei schwerwiegender Amtspflichtverletzung oder bei fachlichem Ungenügen vom Grossen Rat mit Zweidrittelsmehrheit vor Ablauf der Amtsdauer abgewählt werden.

Die oder der Beauftragte darf kein anderes öffentliches Amt, kein Verwaltungsratsmandat, keine leitende Funktion in einer politischen Partei und keine andere Erwerbstätigkeit ausüben. Der Grosse Rat kann Ausnahmen bewilligen.

Versieht die oder der Beauftragte ein Teilpensum der Aufsichtsstelle, so darf sie oder er mit Zustimmung der Wahlvorbereitungskommission eine andere Erwerbstätigkeit ausüben oder eine solche aufnehmen. Die Wahlvorbereitungskommission erteilt ihre Zustimmung nicht, wenn wichtige Gründe entgegenstehen.

Das Personalrecht des Kantons ist auf die Beauftragte oder den Beauftragten und die weiteren Mitarbeitenden anwendbar, soweit dieses Gesetz nichts anderes vorsieht.

Die oder der Beauftragte ist im Rahmen des vom Grossen Rat genehmigten Budgets für die Personalgeschäfte der weiteren Mitarbeitenden der Aufsichtsstelle und für personalrechtliche Massnahmen zuständig. Das Rechtsmittelverfahren richtet sich nach §§ 40ff. Personalgesetz.

Das Büro des Grossen Rates entscheidet über die Einreihung des Personals nach Anhörung des Zentralen Personaldienstes⁴. Die Einreihung erfolgt nach den im Lohngesetz vom 18. Januar 1995 vorgesehenen Grundsätzen der Arbeitsbewertung.

Verfügungen, welche Einreihungen betreffen, sowie die Ablehnung, ein Verfahren betr. Einreihung durchzuführen, können innert 30 Tagen von der Stelleninhaberin oder dem Stelleninhaber mit Einsprache beim Büro des Grossen Rates angefochten werden. Dieses entscheidet nach Anhörung der Begutachtungskommission.

Die Aufsichtsstelle erstellt ihr Budget selbständig.

Die Landgemeinden können für den kommunalen Bereich eine eigene Aufsichtsstelle führen.

Sehen sie davon ab oder erfüllt die kommunale Aufsichtsstelle die Anforderungen an die Unabhängigkeit nicht, so ist die oder der kantonale Datenschutzbeauftragte zuständig.

Die oder der kommunale Beauftragte und allfällige weitere Mitarbeitende dürfen zusätzlich keine anderen behördlichen Funktionen in der Gemeinde wahrnehmen.

Die §§ 44 bis 50 gelten für die kommunale Aufsichtsstelle in ihrem Zuständigkeitsbereich.

Die oder der Datenschutzbeauftragte

1. kontrolliert nach einem autonom aufzustellenden Prüfprogramm die Anwendung der Bestimmungen über den Umgang mit Informationen;

2. nimmt Stellung zu Rechtsetzungs- und anderen Vorhaben, die ihr oder ihm nach § 13 zur Vorabkonsultation vorzulegen sind;

3. berät die öffentlichen Organe in Fragen des Umgangs mit Informationen;

4. berät die betroffenen Personen über ihre Rechte;

5. vermittelt zwischen betroffenen Personen und öffentlichen Organen;

6. behandelt aufsichtsrechtliche Anzeigen nach § 28a;

7. sensibilisiert die öffentlichen Organe für ihre datenschutzrechtlichen Pflichten und die Öffentlichkeit für die Anliegen des Datenschutzes und der Transparenz;

8. verfolgt die für den Schutz von Personendaten und das Öffentlichkeitsprinzip massgeblichen Entwicklungen.

Die oder der Datenschutzbeauftragte kann bei öffentlichen Organen, bei Auftragsdatenbearbeiterinnen und Auftragsdatenbearbeitern sowie bei Drittpersonen, die von einem öffentlichen Organ Personendaten erhalten haben, ungeachtet allfälliger Geheimhaltungspflichten, schriftlich oder mündlich Auskunft über Datenbearbeitungen einholen, Einsicht in alle Unterlagen nehmen, Besichtigungen durchführen und sich Bearbeitungen vorführen lassen.

Die öffentlichen Organe, die Auftragsdatenbearbeiterinnen und Auftragsdatenbearbeiter sowie Drittpersonen, die von einem öffentlichen Organ Personendaten erhalten haben, sind verpflichtet, die Aufsichtsstelle bei der Erfüllung ihrer Aufgaben zu unterstützen. Sie wirken insbesondere an der Feststellung des Sachverhaltes mit.

Die Berichte, welche die oder der Datenschutzbeauftragte im Rahmen der Kontrolltätigkeit erstellt, und die ihnen zugrunde liegenden Materialien sind nicht öffentlich zugänglich im Sinne von § 25 Abs. 1.

Die oder der Datenschutzbeauftragte kann zum Umgang mit Informationen Empfehlungen abgeben.

Das öffentliche Organ, an welches die Empfehlung gerichtet ist, hat gegenüber der oder dem Datenschutzbeauftragten zu erklären, ob es der Empfehlung folgen will.

Wenn ein öffentliches Organ erklärt, der Empfehlung der oder des Datenschutzbeauftragten nicht folgen zu wollen, oder tatsächlich der Empfehlung nicht folgt, kann die oder der Datenschutzbeauftragte die Empfehlung oder Teile davon als Weisung in Form einer Verfügung erlassen, wenn

1. die Empfehlung das Bearbeiten von Personendaten betrifft und

2. das Interesse an der Durchsetzung schwer wiegt.

Keine Weisung kann gegenüber dem Appellationsgericht erlassen werden.

Die oder der Datenschutzbeauftragte kann direkt eine Weisung erlassen, wenn absehbar ist, dass das öffentliche Organ eine Empfehlung ablehnen oder ihr keine Folge leisten wird.

Werden schutzwürdige Interessen offensichtlich gefährdet oder verletzt, so kann die oder der Datenschutzbeauftragte anordnen, dass das öffentliche Organ die Bearbeitung bis zur erfolgten Überprüfung durch das Appellationsgericht einschränkt oder einstellt.

Das öffentliche Organ, an welches die Weisung gerichtet ist, kann sie mit einem Rekurs nach den allgemeinen Vorschriften beim Appellationsgericht anfechten.

Die oder der Datenschutzbeauftragte arbeitet zur Erfüllung ihrer oder seiner Aufgaben mit den Organen der anderen Kantone, des Bundes und des Auslandes, welche die gleichen Aufgaben erfüllen, zusammen.

Die oder der Beauftragte und die Mitarbeitenden unterstehen bezüglich der Informationen, die sie bei ihrer Tätigkeit zur Kenntnis nehmen, der gleichen Pflicht zur Verschwiegenheit wie das bearbeitende öffentliche Organ.

Die Pflicht zur Verschwiegenheit gilt über die Beendigung der Funktion hinaus.

Die oder der Datenschutzbeauftragte erstattet der Wahlbehörde und der Öffentlichkeit periodisch und bei Bedarf Bericht über Umfang und Schwerpunkte der Tätigkeiten, über wichtige Feststellungen und Beurteilungen sowie über die Wirkung des Gesetzes.

…

Mit Busse bestraft wird, wer:

1. als Auftragsdatenbearbeiterin oder Auftragsdatenbearbeiter gemäss § 7 ohne ausdrückliche Ermächtigung des auftraggebenden öffentlichen Organs vorsätzlich oder fahrlässig Personendaten für sich oder andere verwendet oder anderen bekannt gibt oder

2. als Auftragsdatenbearbeiterin oder Auftragsdatenbearbeiter gemäss § 7 ohne vorgängige schriftliche Einwilligung des auftraggebenden öffentlichen Organs die Datenbearbeitung einer weiteren Auftragsdatenbearbeiterin und einem weiteren Auftragsdatenbearbeiter überträgt.

Wer Personendaten, die sie oder er von einem öffentlichen Organ zum Bearbeiten zu nicht personenbezogenen Zwecken erhalten hat, vorsätzlich oder fahrlässig entgegen der Verpflichtung gemäss § 22 Abs. 4 für andere Zwecke bearbeitet oder an Dritte weitergibt, wird mit Busse bestraft.

1. Aufenthaltsgesetz Das Gesetz über das Aufenthaltswesen (Aufenthaltsgesetz) vom 16. September 1998⁶ wird wie folgt geändert: 2. Organisationsgesetz Das Gesetz betreffend die Organisation des Regierungsrates und der Verwaltung des Kantons Basel-Stadt (Organisationsgesetz) vom 22. April 1976⁷ wird wie folgt geändert: 3. Archivgesetz Das Gesetz über das Archivwesen (Archivgesetz) vom 11. September 1996⁸ wird wie folgt geändert: 4. Personalgesetz Das Personalgesetz vom 17. November 1999⁹ wird wie folgt geändert: 5. Steuergesetz Das Gesetz über die direkten Steuern (Steuergesetz) vom 12. April 2000¹⁰ wird wie folgt geändert: 6. Einführungsgesetz zum Bundesgesetz über die Invalidenversicherung für eine IV-Stelle Basel-Stadt Das Einführungsgesetz zum Bundesgesetz über die Invalidenversicherung für eine IV-Stelle Basel-Stadt vom 19. Januar 1994¹¹ wird wie folgt geändert:

Mit dem Wirksamwerden dieses Gesetzes wird das Gesetz über den Schutz von Personendaten (Datenschutzgesetz) vom 18. März 1992 aufgehoben.

Innerhalb zweier Jahre nach Wirksamwerden dieses Gesetzes sind die Verzeichnisse der Informationsbestände mit Personendaten gemäss § 24 zu veröffentlichen.

Der Regierungsrat kann die Frist auf begründetes Gesuch hin um ein Jahr verlängern.

Dieses Gesetz ist zu publizieren. Der Regierungsrat bestimmt nach Eintritt der Rechtskraft den Zeitpunkt der Wirksamkeit.¹²