Gesetz über den Datenschutz

Dieses Gesetz regelt das Bearbeiten von Daten natürlicher Personen durch öffentliche Organe.

Es gilt für die kantonalen und kommunalen Behörden und Amtsstellen sowie andere öffentlich-rechtliche Körperschaften und Anstalten und Personen, soweit sie öffentliche Aufgaben erfüllen.

Das Gesetz ist nicht anwendbar auf:

• a. privatrechtlich handelnde öffentliche Organe;

• b.–d. …

• e. verwaltungsinterne Arbeitsmittel, die dem persönlichen Gebrauch dienen.

Vorbehalten bleiben Datenschutzregelungen in der Sachgesetzgebung, namentlich über die Bearbeitung von Gerichtsakten, Patientendaten und Einwohnerkontrolldaten.

In Verfahren der Zivil-, Straf- und Verwaltungsrechtspflege richten sich die Rechte und Ansprüche der betroffenen Personen nach dem anwendbaren Verfahrensrecht. Auf das erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.

Soweit dieses Gesetz keine abweichenden Vorschriften enthält, gelten sinngemäss die Vorschriften des Bundesgesetzes über den Datenschutz (DSG)².

Bearbeiten öffentliche Organe gemeinsam oder mit Dritten Personendaten aus einer Datensammlung, so trägt der Inhaber oder die Inhaberin der Datensammlung die Verantwortung; jedes öffentliche Organ bleibt für seinen Bereich verantwortlich.

Das öffentliche Organ muss den Nachweis erbringen können, dass es die Datenschutzbestimmungen einhält.

Die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680³ benachrichtigen die Behörde, von der die Personendaten stammen, sowie die Empfängerinnen und Empfänger, denen die Personendaten bekannt gegeben wurden, über getroffene Berichtigungsmassnahmen, soweit dies mit verhältnismässigem Aufwand möglich ist.

Personendaten sind in der Regel bei der betroffenen Person oder aus der Datensammlung eines öffentlichen Organs zu beschaffen.

Eine andere Beschaffung von Personendaten ist ausnahmsweise zulässig, soweit dieses Gesetz nicht entgegensteht.

…

Ergibt eine Datenschutz-Folgenabschätzung der Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680, dass die geplante Bearbeitung von Personendaten trotz den vorgesehenen Massnahmen hohe Risiken für die Rechte und Freiheiten der betroffenen Person zur Folge hat, holt das planende Organ vorgängig die Stellungnahme der beauftragten Person für Datenschutz ein.

Die beauftragte Person für Datenschutz teilt dem planenden Organ innerhalb von zwei Monaten ihre Einwände gegen die geplante Bearbeitung mit. Diese Frist kann um einen Monat verlängert werden, wenn es sich um eine komplexe Datenbearbeitung handelt.

Die beauftragte Person für Datenschutz kann die Datenbearbeitungsvorgänge bezeichnen, die ihr vorzulegen sind.

Die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680 führen die notwendigen Verzeichnisse ihrer Datenbearbeitungstätigkeiten und stellen diese Verzeichnisse auf Anfrage der beauftragten Person für Datenschutz zur Verfügung.

…

Die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680 bezeichnen innerhalb ihrer Organisationseinheit eine für den Datenschutz zuständige Person (beratende Person für Datenschutz). Die Zuständigkeit erfasst nicht die justizielle Tätigkeit der Gerichte und der anderen unabhängigen Straforgane.

Der Regierungsrat und das Obergericht können für mehrere Organisationseinheiten eine gemeinsame Person bezeichnen.

Die beratende Person für Datenschutz nimmt auch die Datenschutz-Folgenabschätzung vor.

Die öffentlichen Organe gemäss Art. 5 der Verordnung über das Staatsarchiv⁴ bieten dem Staatsarchiv alle Personendaten an, die sie nicht mehr ständig benötigen.

Die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680 legen für alle Personendaten Fristen für die Aufbewahrung oder für die Beurteilung fest, ob die Daten zur Aufgabenerfüllung noch benötigt oder dem Staatsarchiv angeboten werden.

Die öffentlichen Organe vernichten die vom Staatsarchiv als nicht archivwürdig bezeichneten Personendaten, ausser wenn diese:

1. anonymisiert sind und für amtliche oder statistische Zwecke weiter verwendet werden;

2. zu Beweis- oder Sicherheitszwecken aufbewahrt werden müssen.

Für die kommunalen öffentlichen Organe gelten Absatz 1 und 2 sinngemäss.

Öffentlich zugängliche Orte dürfen zum Schutz von Personen und Sachen mit technischen Geräten überwacht werden, wenn:

1. die Überwachung in geeigneter Weise erkennbar gemacht wird;

2. die gespeicherten Personendaten nach spätestens 100 Tagen gelöscht oder innerhalb dieser Frist mit einem Strafantrag bzw. einer Strafanzeige der Polizei übergeben werden und

3. die beauftragte Person für Datenschutz vorgängig über die Einführung einer Überwachung informiert wurde.

Das Anbringen von Überwachungsgeräten wird von jenem öffentlichen Organ angeordnet, dem das Benützungsrecht oder die Hoheit über den zu überwachenden Ort zusteht.

Personendaten und Daten juristischer Personen, einschliesslich besonders schützenswerter Daten, dürfen von öffentlichen Organen in elektronischen Informations-, Geschäftsverwaltungs- und Datenablagesystemen bearbeitet werden, wenn sie dazu dienen:

1. Geschäfte zu bearbeiten;

2. Arbeitsabläufe zu organisieren;

3. festzustellen, ob Daten über eine bestimmte Person bearbeitet werden;

4. den Zugang zu amtlichen Dokumenten zu erleichtern;

5. die gesetzlichen Aufgaben zu erfüllen.

Anderen öffentlichen Organen oder Dritten darf Zugriff auf Personendaten und Daten juristischer Personen, einschliesslich besonders schützenswerter Daten, gewährt werden, wenn die für die Bekanntgabe erforderliche gesetzliche Grundlage vorhanden ist.

Der Regierungsrat ist auf kantonaler Ebene für jene Erlasse, Verfügungen und Entscheide zuständig, die gemäss Bundesgesetzgebung über den Datenschutz auf Bundesebene dem Bundesrat zustehen.

Er erlässt die zum Vollzug erforderlichen Ausführungsbestimmungen. Er kann insbesondere folgende Bereiche im Einzelnen regeln:

1. Bearbeiten, Beschaffen, Bekanntgabe, Aufbewahrung, besondere Formen der Bearbeitung im Rahmen des Bundesrechts (Art. 2 Abs. 1 dieses Gesetzes);

2. Verantwortlichkeit bei gemeinsamer Datenbearbeitung mehrerer öffentlicher Organe (Art. 2 Abs. 2 dieses Gesetzes);

3. Mindestanforderung an die Datensicherheit (Art. 8 DSG);

4. …

5. Modalitäten des Auskunftsrechts (Art. 25 bis 29 DSG);

6. Anspruch auf Massnahmen (Art. 41 DSG);

7. kostenpflichtige Amtshandlungen;

8. Nachweis des Datenschutzes (Art. 2 Abs. 3 dieses Gesetzes);

9. Verzeichnis der Datenbearbeitungstätigkeiten (Art. 5 dieses Gesetzes);

10. beratende Person für Datenschutz (Art. 5a dieses Gesetzes);

11. Informations-, Geschäftsverwaltungs- und Datenablagesysteme (Art. 7a dieses Gesetzes);

12. Inhalt und Umfang der Datenschutz-Folgenabschätzung (Art. 22 DSG).

Das Obergericht erlässt in seinem Aufsichtsbereich die zum Vollzug erforderlichen Reglemente, insbesondere jene für die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680.

Der Regierungsrat und das Obergericht können die Regelungen für die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680 für weitere öffentliche Organe als anwendbar erklären.

Der Kantonsrat wählt auf die verfassungsmässige Amtsdauer eine Person als Beauftragte für den Datenschutz sowie eine Stellvertretung.

Die beauftragte Person für Datenschutz erfüllt ihre Aufgabe unabhängig und selbstständig; die Bestimmungen von Art. 21 ff. des Gesetzes über die Gerichtsorganisation⁶ betreffend die Gerichtsverwaltung sind sinngemäss anwendbar.

Sie steht unter der Aufsicht des Kantonsrats. Administrativ ist sie einem Departement oder der Staatskanzlei zugeordnet.

Die beauftragte Person, die Stellvertretung sowie ihre Hilfspersonen unterstehen den gleichen Geheimhaltungsvorschriften wie das die Daten bearbeitende öffentliche Organ; dies gilt auch nach der Beendigung der Funktion.

Der Regierungsrat kann, unter Wahrung des Wahl- und Aufsichtsrechts des Kantonsrats, durch Vereinbarung die Aufgaben der beauftragten Person für Datenschutz einer geeigneten Person bzw. Stelle eines anderen Kantons übertragen oder mit anderen Kantonen ein gemeinsames Organ für diese Aufgaben errichten.

…

Die beauftragte Person für Datenschutz:

• a. überwacht die Anwendung der Vorschriften über den Datenschutz;

• b. berät die öffentlichen Organe und betroffenen Personen in Fragen des Datenschutzes;

• b1. sensibilisiert die öffentlichen Organe für ihre datenschutzrechtlichen Pflichten und die Öffentlichkeit für die Anliegen des Datenschutzes;

• c. nimmt Stellung zu Entwürfen von Erlassen und zu Massnahmen, die für den Datenschutz von erheblicher Bedeutung sind;

• d. legt Rechenschaft über ihre Tätigkeit ab.

Die beauftragte Person für Datenschutz erfüllt diese Aufgaben, indem sie insbesondere:

1. Kontrollen bei den öffentlichen Organen durchführt;

2. Stellung nimmt im Rahmen von Vorabkonsultationen;

3. Eingaben und Meldungen behandelt, die den Datenschutz betreffen;

4. …

5. mit den Kontrollorganen der andern Kantone, des Bundes und des Auslandes zusammen arbeitet;

6. zuhanden des Kantonsrats einen Rechenschaftsbericht erstellt.

Die beauftragte Person für Datenschutz kann wichtige Feststellungen und Massnahmen im Bereich des Datenschutzes veröffentlichen.

Die beauftragte Person für Datenschutz ist befugt, ungeachtet allfälliger Geheimhaltungspflichten, bei den öffentlichen Organen oder beauftragten Dritten:

1. alle für die Erfüllung des Kontrollauftrags erforderlichen Informationen über Daten und deren Bearbeitung einzuholen;

2. Einsicht in alle Datensammlungen, Unterlagen und Akten zu nehmen;

3. Besichtigungen durchzuführen;

4. sich Bearbeitungen vorführen zu lassen.

Sie kann für einzelne Aufgaben Sachverständige beiziehen.

Die öffentlichen Organe sind verpflichtet, die beauftragte Person für Datenschutz bei der Erfüllung ihrer Aufgabe zu unterstützen.

Von der Aufsicht der beauftragten Person für Datenschutz sind ausgenommen:

1. der Kantonsrat;

2. der Regierungsrat;

3. die Gerichtsbehörden im Rahmen ihrer rechtsprechenden Tätigkeit;

4. die Staatsanwaltschaft im Rahmen ihrer Tätigkeit im Strafverfahren;

5. die übrigen kantonalen und kommunalen öffentlichen Organe im Rahmen ihrer rechtsprechenden Tätigkeit.

Das Verfahren richtet sich nach dem Staatsverwaltungsgesetz⁷.

Wird dem Gesuch einer Person namentlich um Auskunft, Einsicht oder Erfüllung eines Anspruchs im Sinne von Art. 25 des Bundesgesetzes über den Datenschutz nicht vollumfänglich entsprochen, so erlässt das öffentliche Organ eine anfechtbare Verfügung, wenn es die betroffene Person verlangt.

Die Verfügung ist auch der beauftragten Person für Datenschutz mitzuteilen, der ein Beschwerderecht zusteht.

Die beauftragte Person für Datenschutz wird von sich aus oder auf Anzeige hin tätig.

Sie klärt den Sachverhalt von Amtes wegen ab.

Ergibt die Abklärung, dass Datenschutzbestimmungen verletzt werden, so beantragt die beauftragte Person für Datenschutz dem öffentlichen Organ Massnahmen. Die übergeordnete Behörde ist zu orientieren.

Wird dem Antrag nicht vollumfänglich entsprochen, so kann die beauftragte Person für Datenschutz bei erheblichen Datenschutzverletzungen eine anfechtbare Verfügung erlassen. Gegenüber dem Obergericht und dem Verwaltungsgericht kann keine Verfügung erlassen werden.

Dem öffentlichen Organ und der beauftragten Person für Datenschutz stehen das Beschwerderecht zu. Das für die Beschwerdeeinreichung zuständige öffentliche Organ bestimmt sich sinngemäss nach Art. 10 Abs. 1 und die anzurufenden Beschwerdeinstanzen nach Art. 10 Abs. 3 des Gesetzes über das Öffentlichkeitsprinzip⁸.

Auskunft und Einsicht durch die betroffene Person sind in der Regel kostenlos.

Mit Busse oder Freiheitsstrafe bis zu drei Jahren wird bestraft, wer:

1. als Dritter Personendaten im Auftrag eines öffentlichen Organs bearbeitet und dabei die Daten auftragswidrig verwendet oder bekannt gibt;

2. als Dritter Personendaten für nicht personenbezogene Zwecke von einem öffentlichen Organ zur Bearbeitung erhält und die Daten zweckwidrig verwendet oder bekannt gibt.

Im Übrigen gelten die Bestimmungen des Gesetzes über das kantonale Strafrecht⁹.

Die Bestimmungen sind anwendbar auf Datenbearbeitungen, die nach Inkrafttreten dieses Gesetzes erfolgt sind.

Die Bearbeitung bestehender Datensammlungen ist innert zwei Jahren nach Inkrafttreten dieses Gesetzes an das neue Recht anzupassen.

...¹⁰

Der Regierungsrat bestimmt, wann dieses Gesetz in Kraft tritt.¹¹ Es unterliegt dem fakultativen Referendum.