Gesetz

über den Schutz von Personendaten

(Datenschutzgesetz)

Zweck
§ 1. Dieses Gesetz dient dem Schutz der Grundrechte von Personen, über die öffentliche Organe Daten bearbeiten.

Begriffe
§ 2. Die folgenden Ausdrücke bedeuten:

a) Personendaten, Daten: Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen;

b) betroffene Personen: natürliche oder juristische Personen, über die Daten bearbeitet werden;

c) öffentliche Organe: Behörden oder Amtsstellen des Kantons und der Gemeinden, andere öffentliche Einrichtungen sowie Personen, die mit öffentlichen Aufgaben betraut sind;

d) besonders schützenswerte Personendaten: Daten, bei denen wegen ihrer Bedeutung, der Art ihrer Bearbeitung oder ihrer Verknüpfung mit anderen Daten eine besondere Gefahr einer Persönlichkeitsverletzung besteht, wie Daten über:

1. die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten;

2. die Gesundheit, den persönlichen Geheimbereich oder die Rassenzugehörigkeit;

3. Massnahmen der sozialen Hilfe;

4. strafrechtliche Verfolgungen und Sanktionen;

f) Bearbeiten: jeder Umgang mit Daten, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben oder Vernichten von Daten;

g) Bekanntgeben: das Zugänglichmachen von Daten, wie das Einsichtgewähren, Weitergeben oder Veröffentlichen;

h) Datensammlung: jeder Bestand von Daten, der so aufgebaut ist, dass die Daten nach den betroffenen Personen erschliessbar sind.

Geltungsbereich
§ 3. Dieses Gesetz gilt für das Bearbeiten von Personendaten durch öffentliche Organe, unabhängig von den dabei angewandten Mitteln und Verfahren.

Es gilt nicht

a) wenn ein Organ am wirtschaftlichen Wettbewerb teilnimmt und dabei nicht hoheitlich handelt;

b) in hängigen Verfahren der Zivil-, Verwaltungs- und Strafrechtspflege;

c) soweit der Regierungsrat für öffentlich-rechtlich anerkannte kirchliche Körperschaften und deren Einrichtungen Ausnahmen vorsieht.

II. Grundsätze für das Bearbeiten von Personendaten

Allgemeine Voraussetzungen
§ 4. Personendaten dürfen bearbeitet werden, wenn eine gesetzliche Grundlage besteht.

Personendaten müssen richtig und, soweit es der Zweck des Bearbeitens verlangt, vollständig sein.

Das Bearbeiten von Personendaten muss für die Erfüllung der Aufgaben geeignet und erforderlich sein.

Daten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, der aus den Umständen ersichtlich ist oder der gesetzlich vorgesehen wird.

Daten müssen durch angemessene organisatorische und technische Massnahmen gegen unbefugtes Bearbeiten geschützt werden.

Besonders schützenswerte Personendaten und Persönlichkeitsprofile
§ 5. Besonders schützenswerte Personendaten und Persönlichkeitsprofile dürfen nur bearbeitet werden, wenn

a) sich die Zulässigkeit aus einer gesetzlichen Grundlage klar ergibt,

b) es zur Erfüllung einer gesetzlich klar umschriebenen Aufgabe unentbehrlich ist oder

c) die betroffene Person im Einzelfall eingewilligt hat, ihre Daten allgemein zugänglich gemacht hat oder ihre Zustimmung vorausgesetzt werden darf.

Verantwortliches Organ
§ 6. Für den Datenschutz ist das Organ verantwortlich, das die Personendaten zur Erfüllung seiner Aufgaben bearbeitet oder bearbeiten lässt.

Bearbeiten mehrere Organe Personendaten einer gemeinsamen Datensammlung, wird das Organ bezeichnet, das die Hauptverantwortung für den Datenschutz trägt. Jedes Organ bleibt für seinen Bereich verantwortlich.

Datenbeschaffung
§ 7. Personendaten sind in der Regel bei der betroffenen Person zu beschaffen.

Werden Personendaten systematisch, namentlich mit Fragebogen, erhoben, so müssen Rechtsgrundlage und Zweck der Bearbeitung bekanntgegeben werden. In den übrigen Fällen sind diese Angaben der befragten Person auf Wunsch bekanntzugeben, ausser wenn dadurch die Erfüllung der gesetzlichen Aufgabe gefährdet wird.

Bekanntgabe von Personendaten
a) im allgemeinen
§ 8. Öffentliche Organe dürfen Personendaten bekanntgeben, wenn dafür gesetzliche Grundlagen bestehen oder wenn

a) die Daten für den Empfänger im Einzelfall zur Erfüllung seiner öffentlichen Aufgaben notwendig sind;

b) die betroffene Person im Einzelfall eingewilligt hat oder die Einwilligung nach den Umständen vorausgesetzt werden darf;

c) die betroffene Person ihre Daten allgemein zugänglich gemacht hat.

Der Regierungsrat regelt die Bekanntgabe von Personendaten für Adressbücher und ähnliche Nachschlagewerke von allgemeinem Interesse.

b) durch die Einwohnerkontrolle
§ 9. Die Einwohnerkontrolle gibt einer privaten Person oder Organisation im Einzelfall auf Gesuch ohne Einschränkung Name, Vorname, Adresse, Datum von Zu- und Wegzug sowie Beruf einer Person bekannt.

Zuzugsort und Wegzugsort, Geburtsdatum, Geschlecht, Zivilstand und Heimatort einer Person werden bekanntgegeben, wenn ein berechtigtes Interesse glaubhaft gemacht wird.

Werden diese Daten mit Ausschluss von Zu- und Wegzugsort ausschliesslich für schützenswerte ideelle Zwecke verwendet und nicht an Dritte weitergegeben, so können sie nach bestimmten Gesichtspunkten geordnet bekanntgegeben werden.

Weitere Personendaten können bekanntgegeben werden, wenn ein besonders schützenswertes Interesse nachgewiesen wird.

c) Einschränkungen
§ 10. Das öffentliche Organ lehnt die Bekanntgabe ab, schränkt sie ein oder verbindet sie mit Auflagen, wenn

a) wesentliche öffentliche Interessen oder offensichtlich schützenswerte Interessen einer betroffenen Person es verlangen oder

b) gesetzliche Geheimhaltungspflichten oder besondere Datenschutzvorschriften es verlangen.

d) Sperrung
§ 11. Die betroffene Person kann die Bekanntgabe ihrer Daten an private Personen und Organisationen sperren lassen.

Die Bekanntgabe ist trotz Sperrung zulässig, wenn a) das öffentliche Organ hiezu gesetzlich verpflichtet ist oder b) die gesuchstellende Person oder Organisation glaubhaft macht, dass die Sperrung sie in der Verfolgung eigener Rechte gegenüber der betroffenen Person behindert.

Bearbeiten für nicht personenbezogene Zwecke
§ 12. Personendaten dürfen für nicht personenbezogene Zwecke, insbesondere in der Forschung, Planung und Statistik, bearbeitet werden, wenn

a) die Daten anonymisiert werden, sobald es der Zweck des Bearbeitens erlaubt;

b) die Ergebnisse so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind.

Personendaten dürfen für nicht personenbezogene Zwecke bekanntgegeben werden, wenn

a) keine Geheimhaltungspflicht oder andere Bestimmung dies ausschliesst,

b) Rückschlüsse auf die betroffenen Personen möglichst erschwert sind und

c) eine private Person oder Organisation für die Einhaltung der Bearbeitungsvorschriften gemäss Abs. 1 Gewähr bietet und die Daten nur mit Zustimmung des verantwortlichen Organs weitergibt.

Die Bestimmungen über die Vereinbarkeit der Zwecke über die Rechtsgrundlagen für das Bearbeiten von besonders schützenswerten Personendaten und Persönlichkeitsprofilen und über die Bekanntgabe von Personendaten sind nicht anwendbar.

Bearbeiten im Auftrag
§ 13. Beauftragt das verantwortliche Organ ein anderes öffentliches Organ oder Dritte mit dem Bearbeiten von Personendaten, ist der Datenschutz durch Auflagen, Vereinbarungen oder auf andere Weise sicherzustellen.

Ohne anderslautende ausdrückliche Ermächtigung darf die beauftragte Stelle Personendaten nur für das auftraggebende Organ verwenden und nur diesem bekanntgeben.

Vernichtung und Archivierung von Personendaten
§ 14. Nicht mehr benötigte Personendaten sind zu vernichten.

Das verantwortliche Organ legt für jede Datensammlung fest, wann die Personendaten zu vernichten sind. Vorbehalten bleiben die Bestimmungen über die öffentlichen Archive FN3.

Der Regierungsrat regelt die Bearbeitung von besonders schützenswerten Personendaten, die im Staatsarchiv archiviert sind. Er ist dabei nicht an die Voraussetzungen gemäss § 5 gebunden.

III. Registrierung von Datensammlungen

Register
§ 15. Das verantwortliche Organ führt ein öffentliches Register der von ihm angelegten Datensammlungen.

Das Register enthält für jede Datensammlung mindestens Angaben über die Rechtsgrundlage, den Zweck und die Mittel der Bearbeitung, die Art und die Herkunft der bearbeiteten Personendaten sowie die an der Datensammlung beteiligten Stellen und die regelmässigen Datenempfänger.

Nicht in das Register aufgenommen werden Datensammlungen, die

a) nur kurzfristig verwendet werden;

b) rechtmässig veröffentlicht sind;

c) nur Kopien oder Bearbeitungsmittel sind;

d) ausschliesslich persönliche Arbeitsmittel sind.

Wird durch die Registrierung einer Datensammlung die Erfüllung einer gesetzlichen Aufgabe in schwerer Weise beeinträchtigt, so kann das verantwortliche Organ im Einvernehmen mit der Aufsichtsstelle eine andere Form der Veröffentlichung oder ausnahmsweise den Verzicht auf eine Veröffentlichung vorsehen.

Zentrales Register
§ 16. Die Aufsichtsstelle für den Datenschutz im kantonalen Bereich führt ein zentrales, öffentliches Register der gemäss § 15 registrierten Datensammlungen.

Der Regierungsrat regelt Inhalt, Umfang und Veröffentlichung des zentralen Registers.

Gemeinden und andere öffentliche Einrichtungen können ein eigenes zentrales Register der Datensammlungen führen oder vom Regierungsrat mit der Führung eines solchen Registers beauftragt werden.

IV. Rechte der betroffenen Personen

Auskunft
a) Grundsatz
§ 17. Jede Person, die sich ausgewiesen hat, kann vom verantwortlichen Organ Auskunft verlangen, welche Daten über sie in dessen Datensammlungen bearbeitet werden.

b) Einschränkungen
§ 18. Die Auskunft darf aufgeschoben, eingeschränkt oder verweigert werden, wenn eine gesetzliche Bestimmung, überwiegende öffentliche Interessen oder überwiegende schützenswerte Interessen Dritter dies verlangen.

Wenn die Auskunft zu einem unverhältnismässigen Verwaltungsaufwand führen würde, kann sie vom Nachweis eines schützenswerten Interesses der gesuchstellenden Person abhängig gemacht werden.

Andere Rechte
§ 19. Wer ein schützenswertes Interesse hat, kann vom verantwortlichen Organ verlangen, dass es

a) das widerrechtliche Bearbeiten von Personendaten unterlässt;

b) die Folgen eines widerrechtlichen Bearbeitens beseitigt;

c) die Widerrechtlichkeit des Bearbeitens feststellt.

Insbesondere kann verlangt werden, dass das verantwortliche Organ

a) Daten berichtigt oder vernichtet;

b) den Entscheid oder die Berichtigung Dritten mitteilt oder veröffentlicht.

Kann weder die Richtigkeit noch die Unrichtigkeit von Daten bewiesen werden, bringt das verantwortliche Organ bei den Daten einen entsprechenden Vermerk an.

Bestreitet das verantwortliche Organ die Unrichtigkeit von Daten, obliegt ihm der Beweis für die Richtigkeit, wenn der Beweis der gesuchstellenden Person nicht ohne weiteres zugemutet werden kann.

Behandlung von Begehren
§ 20. Entspricht ein Organ einem Begehren aufgrund dieses Gesetzes nicht, erlässt es einen begründeten Entscheid.

Bearbeiten mehrere Organe Personendaten aus einer gemeinsamen Datensammlung, kann die betroffene Person ihre Rechte bei jedem beteiligten Organ geltend machen.

V. Aufsicht

Aufsichtsstelle
a) Kanton
§ 21. Der Regierungsrat wählt als Aufsichtsstelle eine Beauftragte oder einen Beauftragten für den Datenschutz auf eine Amtsdauer von vier Jahren. Das Nähere regelt eine Verordnung FN2.

Die Aufsichtsstelle überwacht die Anwendung dieses Gesetzes durch öffentliche Organe.

b) Gemeinden und öffentliche Einrichtungen
§ 22. Mit Zustimmung des Regierungsrates können die Gemeinden und öffentlichen Einrichtungen eine eigene Aufsichtsstelle bestellen. Wo keine solche besteht, ist die kantonale Aufsichtsstelle für den Datenschutz zuständig.

Der Regierungsrat kann verlangen, dass Gemeinden und öffentliche Einrichtungen eine eigene Aufsichtsstelle bestellen.

Aufgaben
§ 23. Die Aufsichtsstelle

a) überwacht die Anwendung der Vorschriften über den Datenschutz;

b) berät in Zusammenarbeit mit den Fachstellen der Verwaltung die verantwortlichen Organe in Fragen des Datenschutzes und der Datensicherung;

c) erteilt den betroffenen Personen Auskunft über ihre Rechte;

d) vermittelt zwischen betroffenen Personen und verantwortlichen Organen;

e) orientiert die verantwortlichen Organe über wesentliche Anliegen des Datenschutzes.

Sie erstattet dem Wahlorgan jährlich oder nach Bedarf Bericht. Diese Berichte werden veröffentlicht.

Befugnisse
§ 24. Die Aufsichtsstelle kann ungeachtet allfälliger Geheimhaltungspflichten bei öffentlichen Organen oder beauftragten Dritten schriftlich oder mündlich Auskünfte über das Bearbeiten von Personendaten einholen, Einsicht in Unterlagen und Akten nehmen und sich Bearbeitungen vorführen lassen, soweit es für ihre Tätigkeit notwendig ist.

Schweigepflicht
§ 25. Mitglieder, Mitarbeiterinnen und Mitarbeiter der Aufsichtsstelle sind hinsichtlich Personendaten, die sie bei ihrer Tätigkeit zur Kenntnis nehmen, zur gleichen Verschwiegenheit verpflichtet wie das bearbeitende Organ.

Im übrigen sind sie zur Verschwiegenheit verpflichtet, wenn die Natur der Angelegenheit oder besondere Geheimhaltungsvorschriften es erfordern.

Die Schweigepflicht gilt auch nach Beendigung des Amts- oder Dienstverhältnisses.

VI. Straf- und Schlussbestimmungen

Strafbestimmung
§ 26. Wer als beauftragte Person für das Bearbeiten von Personendaten ohne anderslautende ausdrückliche Ermächtigung des auftraggebenden Organs Personendaten für sich oder andere verwendet oder anderen bekanntgibt, wird mit Haft oder Busse bestraft.

Die Untersuchung und Beurteilung von Widerhandlungen obliegt den Statthalterämtern.

Änderung bisherigen Rechts
§ 27. Das Verwaltungsrechtspflegegesetz vom 24. Mai 1959 wird wie folgt geändert:

. . . FN5

Übergangsbestimmungen
a) Datensammlungen
§ 28. Innert zwei Jahren nach Inkrafttreten dieses Gesetzes haben die verantwortlichen Organe für bestehende Datensammlungen

a) die Registrierung zu veranlassen;

b) den Zeitpunkt für die Vernichtung der Daten festzulegen;

c) die vorgeschriebene Datensicherung einzurichten.

Der Regierungsrat kann auf begründetes Gesuch hin die Übergangsfrist erstrecken.

b) Datenschutzerlasse
§ 29. Bestehende Datenschutzregelungen sind von den Behörden, die sie erlassen haben, innert zwei Jahren nach Inkrafttreten dieses Gesetzes aufzuheben oder an dieses Gesetz anzupassen.

Bei Inkrafttreten dieses Gesetzes bereits hängige Verfahren betreffend Persönlichkeitsverletzung durch Datenbearbeitung werden nach früherem Recht erledigt.

Inkrafttreten
§ 30. Dieses Gesetz untersteht der Volksabstimmung. Der Regierungsrat bestimmt den Zeitpunkt des Inkrafttretens FN4.

___________

FN1 OS 52, 452.
FN2 236.11.
FN3 432.1 f.
FN4 In Kraft seit 1. Januar 1995 (OS 52, 990).
FN5 Text siehe OS 52, 452.