Gesetz über den Datenschutz

Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden.

Dieses Gesetz gilt für die Bearbeitung von Daten natürlicher und juristischer Personen durch kantonale und kommunale Organe.

Es ist nicht anwendbar auf:

1. das nicht hoheitliche Handeln von Organen bei der Teilnahme am wirtschaftlichen Wettbewerb;

2. Geschäfte, über welche die Stimmberechtigten oder der Landrat beschliessen;

3. hängige Zivilprozesse, Strafverfahren sowie staats- und verwaltungsrechtliche Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren;

4. die öffentlichen Register des Privatrechtsverkehrs;

5. verwaltungsinterne Akten wie Notizbücher und Agenden, die als persönliche Arbeitsmittel dienen.

Für private Personen und Bundesorgane gelten die Vorschriften des DSG².

Die folgenden Begriffe bedeuten:

• 1. Personendaten (Daten): alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen;

• 2. betroffene Personen: natürliche oder juristische Personen, über die Daten bearbeitet werden;

• 3. besonders schützenswerte Daten: Daten über:

• a) religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten;

• b) Gesundheit, Intimsphäre oder Rassenzugehörigkeit;

• c) Massnahmen der sozialen Hilfe;

• d) administrative oder strafrechtliche Verfolgungen und Sanktionen;

• 4. Persönlichkeitsprofil: eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt;

• 5. Bearbeiten: jeder Umgang mit Daten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten;

• 6. Bekanntgeben: das Zugänglichmachen von Daten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen;

• 7. Datensammlung: jeder Bestand von Daten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind;

• 8. Organe:

• a) Behörden oder Verwaltungsstellen des Kantons, der Gemeinden und Gemeindeverbände sowie der kantonalen und kommunalen selbständigen öffentlichrechtlichen Körperschaften und Anstalten;

• b) Personen, soweit sie mit öffentlichen Aufgaben von Behörden oder Verwaltungsstellen im Sinne von lit. a betraut sind;

• 9. Inhaberin oder Inhaber der Datensammlung: Organe, die über den Zweck und den Inhalt der Datensammlung entscheiden;

• 10. Gesetz im formellen Sinn:

• a) Erlasse und Beschlüsse im Sinne von Art. 3 lit. j DSG³;

• b) kantonale Gesetze, kommunale Reglemente sowie alle übrigen referendumspflichtigen kantonalen und kommunalen Erlasse.

Daten dürfen nur rechtmässig bearbeitet werden.

Ihre Bearbeitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.

Daten dürfen nur zu dem Zweck bearbeitet werden, der:

1. bei der Beschaffung angegeben wurde;

2. aus den Umständen ersichtlich ist; oder

3. gesetzlich vorgesehen ist.

Die Beschaffung von Daten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein.

Ist für die Datenbearbeitung die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt. Bei der Bearbeitung von besonders schützenswerten Daten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen.

Wer Daten bearbeitet, hat sich über deren Richtigkeit zu vergewissern.

Jede betroffene Person kann verlangen, dass unrichtige Daten berichtigt werden.

Daten dürfen nicht ins Ausland bekanntgegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.

Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, können Daten ins Ausland nur bekanntgegeben werden, wenn:

1. hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten;

2. die betroffene Person im Einzelfall zugestimmt hat;

3. die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist;

4. die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen;

5. die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.

Die Aufsichtsstelle muss über die Garantien nach Abs. 2 Ziff. 1 informiert werden.

Daten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugte Bearbeitung geschützt werden.

Der Regierungsrat erlässt Vorschriften über die Mindestanforderungen an die Datensicherheit.

Die Inhaberin oder der Inhaber einer Datensammlung ist verpflichtet, die betroffene Person über die Beschaffung von besonders schützenswerten Daten oder Persönlichkeitsprofilen zu informieren. Diese Informationspflicht gilt auch dann, wenn die Daten bei Dritten beschafft werden.

Der betroffenen Person sind mindestens mitzuteilen:

1. die Inhaberin oder der Inhaber der Datensammlung;

2. der Zweck der Datenbearbeitung;

3. die Kategorien der Datenempfängerinnen und Datenempfänger, wenn eine Datenbekanntgabe vorgesehen ist.

Wenn Daten nicht bei der betroffenen Person beschafft werden, hat deren Information spätestens bei Beginn der Speicherung der Daten oder, wenn auf die Speicherung verzichtet wird, mit der ersten Bekanntgabe an Dritte zu erfolgen.

Die Informationspflicht der Inhaberin oder des Inhabers der Datensammlung entfällt, wenn die betroffene Person bereits informiert wurde oder, in Fällen nach Abs. 3, wenn:

1. die Speicherung oder die Bekanntgabe der Daten ausdrücklich durch ein Gesetz im formellen Sinn vorgesehen ist;

2. die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist.

Die Datenbearbeitung kann durch Vereinbarung oder Gesetz Dritten übertragen werden, wenn:

1. die Daten nur so bearbeitet werden, wie die Auftraggeberin oder der Auftraggeber selbst es tun dürfte;

2. keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet.

Die Auftraggeberin oder der Auftraggeber muss sich insbesondere vergewissern, dass der Dritte die Datensicherheit gewährleistet.

Für den Datenschutz ist jenes Organ verantwortlich, das die Daten in Erfüllung seiner gesetzlichen Aufgaben bearbeitet oder bearbeiten lässt.

Bearbeiten mehrere Organe Daten aus einer gemeinsamen Datensammlung, trägt in erster Linie die Inhaberin oder der Inhaber der Datensammlung die Verantwortung; jedes Organ bleibt für seinen Bereich verantwortlich.

Der Inhaberin oder dem Inhaber der Datensammlung ist die Durchführung von Kontrollen über die Einhaltung der Datenschutzbestimmungen bei den andern Organen zu gestatten.

Organe dürfen Daten bearbeiten, wenn dafür eine gesetzliche Grundlage besteht.

Besonders schützenswerte Daten und Persönlichkeitsprofile dürfen sie nur bearbeiten, wenn ein Gesetz im formellen Sinn es ausdrücklich vorsieht oder wenn ausnahmsweise:

1. es für eine in einem Gesetz im formellen Sinn klar umschriebene Aufgabe unentbehrlich ist;

2. der Regierungsrat es im Einzelfall bewilligt, weil die Rechte der betroffenen Person nicht gefährdet sind;

3. die betroffene Person im Einzelfall eingewilligt oder ihre Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.

Bei systematischen Erhebungen, namentlich mit Fragebogen, geben die Organe den Zweck und die Rechtsgrundlage der Bearbeitung, die Kategorien der an der Datensammlung Beteiligten sowie der Datenempfängerinnen und Datenempfänger bekannt.

Organe dürfen Daten bekannt geben, wenn dafür Rechtsgrundlagen im Sinne von Art. 11 bestehen oder wenn:

1. die Daten für die Empfängerin oder den Empfänger im Einzelfall zur Erfüllung ihrer beziehungsweise seiner gesetzlichen Aufgabe unentbehrlich sind;

2. die betroffene Person im Einzelfall eingewilligt hat;

3. die betroffene Person ihre Daten allgemein zugänglich gemacht und eine Bekanntgabe nicht ausdrücklich untersagt hat; oder

4. die Empfängerin oder der Empfänger glaubhaft macht, dass die betroffene Person die Einwilligung verweigert oder die Bekanntgabe sperrt, um die Durchsetzung von Rechtsansprüchen oder die Wahrnehmung anderer schutzwürdiger Interessen zu verwehren; der betroffenen Person ist vorher wenn möglich Gelegenheit zur Stellungnahme zu geben.

Besteht eine gesetzliche Ermächtigung oder Verpflichtung hierzu oder tut das datenempfangende Organ dar, es sei unter Vorbehalt von Geheimhaltungsvorschriften zur Bearbeitung der verlangten Daten berechtigt, dürfen Daten öffentlichen Organen auch durch ein Abrufverfahren zugänglich gemacht werden. Besonders schützenswerte Daten und Persönlichkeitsprofile dürfen durch ein Abrufverfahren nur zugänglich gemacht werden, wenn ein Gesetz im formellen Sinn es ausdrücklich vorsieht.

Organe lehnen die Bekanntgabe ab, schränken sie ein oder verbinden sie mit Auflagen, wenn es verlangt wird durch:

1. wesentliche öffentliche Interessen oder offensichtlich schutzwürdige Interessen der betroffenen Person; oder

2. gesetzliche Geheimhaltungspflichten oder besondere Datenschutzvorschriften.

Die Einwohnerkontrolle kann auf Gesuch hin Dritten bekannt geben:

• 1. Einzelauskünfte über Name, Vorname, Geschlecht und aktuelle Adresse (bei Wegzug Wegzugsdatum und ‑ort) voraussetzungslos; Gesuch und Auskunft können schriftlich oder mündlich erfolgen;

• 2. Einzelauskünfte über Geburtsdatum, Zivilstand, Heimatort, Staatsangehörigkeit und Zuzugsort, soweit ein schutzwürdiges Interesse glaubhaft gemacht wird; Gesuch und Auskunft erfolgen schriftlich;

• 3. Sammelauskünfte über Name, Vorname, Geschlecht, Geburtsdatum, aktuelle Adresse und die in einem bestimmten Zeitraum zugezogenen Personen, soweit:

• a) ein Interesse glaubhaft gemacht wird;

• b) die Daten für einen ideellen Zweck verwendet werden;

• c) die nachfragende natürliche oder juristische Person Wohnsitz beziehungsweise Sitz im Kanton hat.

Die Sammelauskünfte können nach einem oder mehreren der vorgenannten Merkmale sortiert bekanntgegeben werden. Gesuch und Auskunft erfolgen schriftlich. Die Gesuchstellerinnen und Gesuchsteller haben sich unterschriftlich zu verpflichten, die Daten ausschliesslich zum angegebenen Zweck zu verwenden und sie nicht weiterzugeben.

…

Eine betroffene Person, die ein schutzwürdiges Interesse glaubhaft macht, kann von der Inhaberin oder dem Inhaber der Datensammlung verlangen, dass es die Bekanntgabe von bestimmten Daten sperrt.

Das Organ verweigert die Sperrung oder hebt sie auf, wenn:

1. eine Rechtspflicht zur Bekanntgabe besteht;

2. die Erfüllung seiner Aufgabe sonst gefährdet wäre.

Organe dürfen Daten für nicht personenbezogene Zwecke, insbesondere für Forschung, Planung und Statistik bearbeiten, wenn:

1. die Daten anonymisiert werden, sobald es der Zweck der Bearbeitung erlaubt;

2. die Empfängerin oder der Empfänger die Daten nur mit Zustimmung des Organs weitergibt;

3. die Ergebnisse so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind.

Die Anforderungen der folgenden Bestimmungen müssen nicht erfüllt sein:

1. Art. 4 Abs. 3 über den Zweck der Bearbeitung;

2. Art. 11 Abs. 2 über die Rechtsgrundlagen für die Bearbeitung von besonders schützenswerten Daten und Persönlichkeitsprofilen;

3. Art. 13 Abs. 1 über die Bekanntgabe von Daten.

Öffentlich zugängliche Orte dürfen zum Schutz von Personen und Sachen mit technischen Geräten wie insbesondere Bildaufzeichnungsgeräten überwacht werden, wenn:

1. die Überwachung in geeigneter Weise erkennbar gemacht wird;

2. die gespeicherten Daten nach spätestens 30 Tagen gelöscht oder innerhalb dieser Frist mit einem Strafantrag beziehungsweise einer Strafanzeige der Polizei übergeben werden;

3. die Aufsichtsstelle vorgängig über die Einführung der Überwachung informiert wurde.

Der Einsatz technischer Geräte kann von jener Instanz angeordnet werden, der das Benützungsrecht oder die Hoheit über den zu überwachenden Ort zusteht.

Werden Daten zur Erfüllung gesetzlicher Aufgaben oder zu Beweis- oder Sicherungszwecken nicht mehr benötigt, sind sie zu vernichten, sofern sie nicht gemäss den Bestimmungen der Archivgesetzgebung⁴ zu archivieren sind.

Der Kanton, die Gemeinden, die Gemeindeverbände sowie die kantonalen und kommunalen selbständigen öffentlichrechtlichen Körperschaften und Anstalten führen je ein öffentliches Register über die Datensammlungen ihrer Organe.

Die Aufsichtsstelle führt:

1. das Register des Kantons;

2. ein zentrales Register der übrigen registrierten Datensammlungen.

Sie kann den anderen Registerführungspflichtigen Weisungen erteilen. Änderungen im Register sind der Aufsichtsstelle zu melden.

Das Register enthält für jede Datensammlung Angaben über:

1. die Inhaberin oder den Inhaber der Datensammlung;

2. die Rechtsgrundlage;

3. den Zweck, die Mittel und das Verfahren der Datenbearbeitung;

4. die Art und die Herkunft der Daten;

5. die regelmässigen Empfängerinnen und Empfänger der Daten;

6. andere an der Datensammlung beteiligte Organe;

7. den Aufenthaltsort von Kopien.

Nicht in das Register aufzunehmen sind Datensammlungen, die:

1. nur kurzfristig geführt werden;

2. rechtmässig veröffentlicht sind;

3. Hilfsdatensammlungen darstellen.

Jede Person kann die Register einsehen.

Jede Person kann von der Inhaberin oder vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bestehen oder bearbeitet werden.

Die Inhaberin oder der Inhaber der Datensammlung muss der betroffenen Person mitteilen:

1. alle über sie in der Datensammlung vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten;

2. den Zweck und gegebenenfalls die Rechtsgrundlagen der Bearbeitung sowie die Kategorien der bearbeiteten Daten, der an der Sammlung Beteiligten sowie der Datenempfängerinnen und Datenempfänger.

Daten über die Gesundheit kann die Inhaberin oder der Inhaber der Datensammlung der betroffenen Person durch eine von ihr bezeichnete Ärztin oder einen von ihr bezeichneten Arzt mitteilen lassen.

Lässt die Inhaberin oder der Inhaber der Datensammlung Daten durch einen Dritten bearbeiten, bleibt sie beziehungsweise er auskunftspflichtig. Der Dritte ist auskunftspflichtig, wenn er die Inhaberin oder den Inhaber nicht bekannt gibt oder diese keinen Wohnsitz im Kanton haben.

Die Auskunft ist in der Regel schriftlich, in Form eines Ausdrucks oder einer Fotokopie zu erteilen.

Niemand kann im Voraus auf das Auskunftsrecht verzichten.

Die Inhaberin oder der Inhaber der Datensammlung kann die Information nach Art. 8 oder die Auskunft nach Art. 22 verweigern, einschränken oder aufschieben, soweit:

1. ein Gesetz im formellen Sinn dies vorsieht;

2. es wegen überwiegender öffentlicher oder privater Interessen erforderlich ist;

3. die Information oder die Auskunft den Zweck einer Strafuntersuchung oder eines andern Untersuchungsverfahrens in Frage stellt.

Wer ein schutzwürdiges Interesse hat, kann von der Inhaberin oder vom Inhaber der Datensammlung verlangen, dass sie beziehungsweise er:

1. die widerrechtliche Datenbearbeitung unterlässt;

2. die Folgen einer widerrechtlichen Bearbeitung beseitigt;

3. die Widerrechtlichkeit der Bearbeitung feststellt.

Kann weder die Richtigkeit noch die Unrichtigkeit von Daten bewiesen werden, so hat das Organ einen entsprechenden Vermerk anzubringen.

Die betroffene Person kann insbesondere verlangen, dass das Organ:

1. Daten berichtigt, vernichtet oder die Bekanntgabe an Dritte sperrt;

2. seinen Entscheid, namentlich die Berichtigung, Vernichtung, Sperre oder den Vermerk über die Bestreitung Dritten mitteilt.

Wird dem Gesuch um Auskunft oder um Erfüllung eines Anspruches im Sinne von Art. 24 nicht vollumfänglich entsprochen und verlangt es die betroffene Person, erlässt das Organ eine anfechtbare Verfügung.

Diese ist zusätzlich der Aufsichtsstelle mitzuteilen.

Der Regierungsrat wählt auf die verfassungsmässige Amtsdauer eine Beauftragte oder einen Beauftragten für den Datenschutz als Aufsichtsstelle.

Die Aufsichtsstelle erfüllt ihre Aufgaben unabhängig und ist der Staatskanzlei administrativ zugeordnet.

Der Regierungsrat kann die Aufgaben der Aufsichtsstelle einer Stelle eines anderen Kantons übertragen oder mit anderen Kantonen eine gemeinsame Aufsichtsstelle einrichten.

Die Aufsichtsstelle ist das Kontrollorgan im Sinne von Art. 37 Abs. 2 DSG⁵ und:

1. überwacht die Einhaltung der Vorschriften über den Datenschutz durch die Organe, indem sie von Amtes wegen oder auf Anzeige hin Kontrollen durchführt;

2. berät die Organe in Fragen des Datenschutzes;

3. erteilt betroffenen Personen Auskunft über ihre Rechte;

4. vermittelt zwischen den Organen und betroffenen Personen in allen Anständen über den Datenschutz;

5. nimmt frühzeitig Stellung zu Erlassen und Projekten, die Aspekte des Datenschutzes berühren können, insbesondere im Sinne einer Vorabkontrolle bei der beabsichtigten Datenbearbeitung mit besonderen Risiken für die Rechte und Freiheiten der Personen;

6. orientiert die Organe über wesentliche Anliegen des Datenschutzes;

7. veröffentlicht Stellungnahmen;

8. arbeitet mit Kontrollorganen anderer Kantone, des Bundes und des Auslandes zusammen;

9. erstattet dem Regierungsrat jährlich Bericht, der öffentlich zugänglich gemacht wird.

Die Aufsichtsstelle kann ungeachtet allfälliger Geheimhaltungsbestimmungen bei den Organen Auskünfte über die Datenbearbeitung einholen, Einsicht in Datensammlungen, Unterlagen und Akten nehmen und sich die Datenbearbeitung vorführen lassen. Sie kann für einzelne Aufgaben externe Expertinnen und Experten beiziehen.

Sie untersteht denselben Geheimhaltungsbestimmungen wie das die Daten bearbeitende Organ, dies auch nach der Beendigung der Berufsausübung.

Die Organe sind verpflichtet, die Aufsichtsstelle bei der Erfüllung ihrer Aufgaben zu unterstützen.

Ergeben die Abklärungen der Aufsichtstelle, dass Datenschutzvorschriften verletzt werden, empfiehlt sie der Inhaberin oder dem Inhaber der Datensammlung, die Bearbeitung zu ändern oder zu unterlassen.

Sie orientiert über ihre Empfehlungen:

• 1. bei Behörden oder Verwaltungsstellen:

• a) des Kantons die zuständige Direktion oder die Staatskanzlei;

• b) der Gemeinden den administrativen Rat;

• c) der Gemeindeverbände den Vorstand;

• d) der kantonalen und kommunalen selbständigen öffentlichrechtlichen Körperschaften und Anstalten die Geschäftsleitung;

• 2. bei Personen, soweit sie mit öffentlichen Aufgaben betraut sind, die zu orientierende Instanz gemäss Ziff. 1.

Wird eine Empfehlung nicht befolgt oder abgelehnt, so kann die Aufsichtsstelle die Angelegenheit der orientierten Instanz zum Entscheid vorlegen.

Der Entscheid wird der betroffenen Person und der Aufsichtsstelle in Form einer Verfügung mitgeteilt.

Verfügungen gestützt auf Art. 25 und Art. 30 in Verbindung mit Art. 29 Abs. 2 Ziff. 1 lit. a–c können binnen 20 Tagen nach erfolgter Zustellung mit Beschwerde beim Regierungsrat angefochten werden.

Die übrigen Verfügungen sowie die Beschwerdeentscheide des Regierungsrates können binnen 20 Tagen nach erfolgter Zustellung mit Beschwerde beim Verwaltungsgericht angefochten werden.

Die Aufsichtsstelle kann die Rechtsmittel des kantonalen Rechts ergreifen.

Die Organe und die Aufsichtsstelle erheben für Gesuche von Personen, die von den ihnen nach diesem Gesetz zustehenden Kontrollrechten Gebrauch machen, keine Gebühren.

Von gesuchstellenden Personen kann eine Gebühr von höchstens Fr. 1'000.– verlangt werden bei:

1. Gesuchen, die einen grossen Aufwand erfordern;

2. wiederholt oder rechtsmissbräuchlich erhobenen Gesuchen.

Die Gebührenpflicht nach der Gebührengesetzgebung⁶ für die Bekanntgabe von Daten an Dritte bleibt vorbehalten, sofern sie nicht ausschliesslich ideellen Zwecken dient.

Mit Busse bis Fr. 100'000.– wird bestraft:

1. wer Sammelauskünfte im Sinne von Art. 14 Abs. 1 Ziff. 3 nicht für ideelle Zwecke verwendet oder sie an Dritte weitergibt;

2. wer für nicht personenbezogene Zwecke überlassene Daten nach Art. 16 zweckwidrig verwendet oder sie an Dritte weitergibt.

Die Register der Datensammlungen sind binnen eines Jahres nach dem Inkrafttreten dieses Gesetzes zu erstellen.

Die Datensammlungen sind binnen zweier Jahre nach dem Inkrafttreten dieses Gesetzes dem neuen Recht anzupassen. Der Regierungsrat kann diese Frist aus wichtigen Gründen für einzelne Datensammlungen erstrecken.

Das Gesetz vom 27. April 1980 über die Niederlassung der Schweizer⁷ wird wie folgt geändert: …

Das Gesetz vom 3. Juni 1998 über das öffentlichrechtliche Arbeitsverhältnis (Personalgesetz)⁸ wird wie folgt geändert: …

Die Verordnung vom 12. Juni 1975 über das Staatsarchiv⁹ wird wie folgt geändert: …

Das Gesetz vom 26. April 1987 über das Polizeiwesen (Polizeigesetz)¹⁰ wird wie folgt geändert: …

Der Regierungsrat erlässt die zum Vollzug dieses Gesetzes erforderlichen Bestimmungen.

Dieses Gesetz untersteht dem fakultativen Referendum.

Der Regierungsrat legt den Zeitpunkt des Inkrafttretens¹¹ fest.