Kantonale Datenschutzverordnung

Das Bearbeiten von Personendaten ist unbefugt, wenn es gegen die Bestimmungen des Kantonalen Gesetzes über den Schutz von Personendaten (Kantonales Datenschutzgesetz, KDSG) vom 2. Juli 1990², gegen geschriebenes und ungeschriebenes Verfassungsrecht des Bundes oder des Kantons oder gegen die übrige Rechtsordnung verstösst.

Das Bearbeiten von Personendaten ist verhältnismässig, wenn

1. die Form des Bearbeitens und der Inhalt der Personendaten geeignet sind, die Erfüllung der öffentlichen Aufgabe zu ermöglichen oder unter Vorbehalt von § 5 Absatz 2b KDSG zu erleichtern, und

2. von verschiedenen in Frage kommenden Formen des Bearbeitens und Kategorien von Personendaten jene gewählt werden, welche die Persönlichkeit der betroffenen Person möglichst schonen; technische Voreinstellungen sind so auszugestalten, dass das Bearbeiten auf das für den Verwendungszweck nötige Mindestmass beschränkt wird.

Freien, unbeaufsichtigten Zugang zu Räumen, in denen Personendaten bearbeitet werden, haben nur Personen im Rahmen ihrer Dienstpflichten.

Die Organe bestimmen die zum Bearbeiten von Personendaten berechtigten Personen und deren Zugriffsrechte. Der Zugriff auf Personendaten ist auf denjenigen Personenkreis zu beschränken, der die Daten zur Erfüllung seiner Aufgaben benötigt.

Die Organe legen die weiteren technischen und organisatorischen Massnahmen zur Einhaltung des Datenschutzes einschliesslich der Datensicherheit fest. Die Massnahmen sind ab der Planung der Datenbearbeitung vorzusehen und die Personendaten insbesondere vor Einsichtnahme, Veränderung, Löschung und Übermittlung durch Unbefugte zu schützen.

Beim Einsatz von Mitteln der Informatik sind die Vorschriften der Informatiksicherheitsverordnung vom 22. November 2016³ zu beachten.

Jede Bearbeitung von Daten von verknüpften Datenbanken ist zu protokollieren. Die Zugriffsprotokolle dürfen nur von dem oder der Beauftragten für den Datenschutz oder bei Verdacht auf Verstoss gegen Normen der Rechtsordnung von der untersuchenden Stelle eingesehen werden. Sie sind sechs Monate beziehungsweise spätestens bis zum Abschluss eines Straf-, Zivil- oder Verwaltungsverfahrens aufzubewahren und danach zu vernichten

Das verantwortliche Organ muss die Einhaltung der Datenschutzbestimmungen nachweisen können. Es kann den Nachweis insbesondere erbringen mit

1. Geschäftsordnungen und anderen allgemeinen Festlegungen zu Geschäftsprozessen und betrieblicher Organisation,

2. Weisungen zu Datenbearbeitungen und zum Umgang mit Personendaten, einschliesslich der Löschung und der Archivierung,

3. Informationssicherheits- und Datenschutzkonzepten gemäss § 9 der Informatiksicherheitsverordnung⁴,

4. Konzepten für den Zugriff auf Informationen und Informatikmittel gemäss § 13 der Informatiksicherheitsverordnung,

5. Berichten zur Gewährleistung der Sicherheit von Personendaten, insbesondere nach Datenschutzvorfällen (§ 6b),

6. Datenschutz-Folgenabschätzungen (§ 6c),

7. Verzeichnissen, insbesondere dem Verzeichnis der Datenbearbeitungstätigkeiten (§ 9),

8. sonstigen Unterlagen und Hilfsmitteln über die sichere Datenbearbeitung.

Die vorhandenen Unterlagen gemäss Absatz 1 sind dem oder der Beauftragten für den Datenschutz auf Anfrage zur Verfügung zu stellen.

Das verantwortliche Organ ergreift bei unbefugten Datenbearbeitungen Abhilfemassnahmen und beurteilt das Risiko für Persönlichkeits- und Grundrechtsverletzungen. Datenschutzvorfälle sind zu dokumentieren.

Ein hohes Risiko gemäss § 7 Absatz 1 KDSG besteht insbesondere, wenn besonders schützenswerte Personendaten oder eine grosse Anzahl von Personen betroffen sind oder wenn der mögliche Schaden für die betroffenen Personen schwerwiegend ist.

Datenschutzvorfälle mit hohem Risiko sind spätestens nach drei Tagen seit Erkennen dem oder der Beauftragten für den Datenschutz zu melden. Die Meldung umfasst mindestens Angaben über

1. die Art der Verletzung der Datensicherheit,

2. die Kategorie der betroffenen Personendaten und der betroffenen Personen sowie, soweit möglich, die Anzahl der betroffenen Personen,

3. die wahrscheinlichen Auswirkungen für die betroffenen Personen,

4. umgesetzte oder geplante Schutzmassnahmen oder Massnahmen zur Behebung der Folgen der Verletzung der Datensicherheit.

Auftragsdatenbearbeiter haben Vorkommnisse gemäss Absatz 1 dem verantwortlichen Organ zu melden.

Der oder die Beauftragte für den Datenschutz stellt ein Meldeverfahren bereit. Er oder sie kann dem verantwortlichen Organ Empfehlungen zu Risikobeurteilungen abgeben.

Das verantwortliche Organ nimmt eine Abschätzung der Folgen für den Schutz von Personendaten bei Vorhaben zur Datenbearbeitung vor, insbesondere bei der Einführung und technischen Weiterentwicklung von Informatikmitteln. Es beurteilt das Risiko für Persönlichkeits- und Grundrechtsverletzungen.

Ein hohes Risiko gemäss § 7a Absatz 1 KDSG besteht insbesondere, wenn für die Datenbearbeitung neue technische Bearbeitungsformen, ein Profiling oder ein Abrufverfahren vorgesehen sind oder wenn besonders schützenswerte Personendaten in grossem Umfang oder von mehreren Organen in verknüpften Datenbanken bearbeitet werden.

Die Datenschutz-Folgenabschätzung enthält Angaben über

1. die Datenbearbeitung,

2. die Risiken für die Persönlichkeits- und Grundrechte der betroffenen Personen und ihre Bewertung,

3. die technischen und organisatorischen Massnahmen, die vorgesehen sind, um die Risiken einer Verletzung der Persönlichkeits- und Grundrechte der betroffenen Personen zu verringern.

Auf Datenschutz-Folgenabschätzung und Vorabkonsultation kann verzichtet werden, soweit die Mitwirkung des oder der Beauftragten für den Datenschutz im Sinn von Absatz 3 in der Projektorganisation des Vorhabens oder im Vernehmlassungsverfahren zu einem rechtsetzenden Erlass gewährleistet ist.

Die Staatsanwaltschaft, die Luzerner Polizei und für den Aufgabenbereich des Strafvollzugs die Dienststelle Militär, Zivilschutz und Justizvollzug bezeichnen einen Datenschutzberater oder eine Datenschutzberaterin. Die anderen kantonalen Dienststellen können einen Datenschutzberater oder eine Datenschutzberaterin bezeichnen.

Der Name und die Kontaktdaten des Datenschutzberaters oder der Datenschutzberaterin sind dem oder der Beauftragten für den Datenschutz bekannt zu geben und zu veröffentlichen.

Der oder die Beauftragte für den Datenschutz sorgt für die Schulung der Datenschutzberaterinnen und -berater.

Soweit nicht ein Rechtssatz dazu verpflichtet oder ermächtigt, dürfen Personendaten, die von der Polizei ausserhalb hängiger Strafverfahren zur Verhütung oder Verfolgung strafbarer Handlungen bearbeitet werden, nichtpolizeilichen Organen oder Dritten nur auf schriftliches Gesuch hin und nur mit Einwilligung des Vorstehers oder der Vorsteherin des Justiz- und Sicherheitsdepartementes⁵ bekanntgegeben werden. Im Gesuch ist darzulegen, dass die Voraussetzungen des § 9 Absatz 1b bzw. des § 10 Absatz 1b KDSG erfüllt sind.

Für das Bekanntgeben bestimmter Personendaten kann der Vorsteher oder die Vorsteherin des Justiz- und Sicherheitsdepartementes seine Befugnis zur Einwilligung an die Polizeikommandanten delegieren.

Das Anonymisieren von Personendaten für die Bekanntgabe in Anwendung des Öffentlichkeitsprinzips umfasst das Verändern von Personendaten einschliesslich der damit verbundenen Informationen zu den persönlichen Verhältnissen derart, dass die Informationen nicht mehr oder nur mit unverhältnismässig grossem Aufwand einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

Das öffentliche Interesse an den amtlichen Informationen kann ausnahmsweise das Interesse an der Geheimhaltung von Personendaten überwiegen, namentlich wenn

1. die Zugänglichmachung einem besonderen Informationsinteresse der Öffentlichkeit dient, insbesondere diejenige von Vorkommnissen von grosser Tragweite in der Verwaltung, oder

2. die betroffene Person zum Gemeinwesen in einer rechtlichen oder faktischen Beziehung steht, aus der ihr bedeutende Vorteile erwachsen, insbesondere durch die Ausrichtung von Staatsbeiträgen.

Die Fristen zur Einholung der Einwilligung oder zur Anhörung betroffener Personen gemäss § 11a Absätze 3 und 4 KDSG betragen in der Regel 10 Tage.

Zur Veröffentlichung von Personendaten dürfen bekanntgegeben werden:

1. für Adressbücher und ähnliche Nachschlagewerke: Name, Vorname, Titel, Firma und Adresse von Personen und Personengesellschaften sowie deren Eigentum an Grundstücken am Wohnort oder Sitz;

2. für das Verzeichnis der Fahrzeughalterinnen und -halter⁶ und Schiffshalterinnen und -halter: Name, Vorname oder Firma und Adresse von Inhaberinnen und Inhabern eines Kontrollschildes;

3. für den Staatskalender, Behördenverzeichnisse und ähnliche Nachschlagewerke: Name, Vorname, Titel, Beruf, Geburtsjahr, Adresse, Heimatort sowie Funktion von Personen, die im öffentlichen Dienst stehen oder gestanden haben;

4. für Zeitschriften und andere periodische Veröffentlichungen und Mitteilungen: Personendaten im Zusammenhang mit Geburten, Todesfällen, Verkündungen und Trauungen nach Massgabe der Verordnung über das Zivilstandswesen⁷.

Vorbehalten bleiben die Sperre von Personendaten gemäss § 11 Absatz 4 KDSG und andere rechtmässig zugelassene Ausnahmen von der Veröffentlichung.

Auf das Bekanntgeben der Personendaten gemäss Absatz 1 besteht kein Rechtsanspruch.

Das bekanntgebende Organ informiert den Beauftragten oder die Beauftragte für den Datenschutz vor der grenzüberschreitenden Bekanntgabe über die Garantien nach § 12a Absatz 2a KDSG. Ist die vorgängige Information nicht möglich, so hat sie unmittelbar nach der Bekanntgabe zu erfolgen.

Die Informationspflicht gilt als erfüllt für alle Bekanntgaben, die unter denselben Garantien erfolgen, soweit die Kategorien der Empfänger, der Zweck der Bearbeitung und die Datenkategorien unverändert bleiben.

Das bekanntgebende Organ trifft angemessene Massnahmen, um sicherzustellen, dass der Empfänger die Garantien beachtet.

Die Staatsanwaltschaft, die Luzerner Polizei und für den Aufgabenbereich des Strafvollzugs die Dienststelle Militär, Zivilschutz und Justizvollzug führen ein vollständiges Verzeichnis der Verfahren, in denen Personendaten bearbeitet werden.

Sie veröffentlichen die Mindestangaben gemäss § 14 Absatz 2 KDSG auf ihrer Webseite.

Das Verzeichnis kann zusätzlich Angaben enthalten über

1. die Vornahme von Profilings,

2. die Bekanntgabe von Personendaten ins Ausland,

3. Löschfristen,

4. technische und organisatorische Massnahmen der Datenbearbeitung gemäss § 6.

Ist das Bearbeiten von Personendaten einem anderen Organ oder Dritten übertragen, sorgt das verantwortliche Organ dafür, dass der Auftragsdatenbearbeiter das Verzeichnis der Datenbearbeitungstätigkeiten erstellt.

Das Gesuch der betroffenen Person um Auskunft über Personendaten der Polizei ist schriftlich beim Kommando der Luzerner Polizei⁸ zu stellen.

Soweit die Auskunft im Sinn von § 19 Absatz 2 des Gesetzes verweigert wird, kann der Entscheid dahin lauten, dass keine Personendaten bearbeitet werden, über die Auskunft zu erteilen ist.

Die Einsichtnahme in Personendaten, die Auskunft über Personendaten sowie deren Berichtigung oder Beseitigung sind in der Regel kostenfrei.

Kosten können erhoben werden, wenn die Behandlung eines Gesuchs einen unverhältnismässigen Verwaltungsaufwand erfordert oder wenn die betroffene Person wiederholt in dieselben Daten Einsicht nimmt oder darüber Auskunft verlangt.

Die Verzeichnisse der Datenbearbeitungstätigkeiten gemäss § 9 sind bis zum 1. September 2022 zu erstellen.

Die Verordnung tritt am 1. März 1991 in Kraft. Sie ist zu veröffentlichen