Datenschutzgesetz

(DSG) Vom 20.01.2009 (Stand 25.06.2019)

1. I. Allgemeine Bestimmungen

Art. 1 Begriffe

1. In diesem Erlass bedeuten:
   1. Personendaten: Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen;
   2. besonders schützenswerte Personendaten: Angaben über:
   religiöse, weltanschauliche sowie politische Ansichten und Tätigkeiten. Ausgenommen sind Angaben über die Mitgliedschaft bei einer Religionsgemeinschaft, einer Organisation oder einer politischen Partei, wenn die betroffene Person diese selbst bekannt gegeben hat oder für ein öffentliches Amt kandidiert; Gesundheit, Intimsphäre und ethnische Zugehörigkeit; genetische Daten; biometrische Daten, die eine natürliche Person eindeutig identifizieren; Leistungen und Massnahmen der sozialen Hilfe; strafrechtliche sowie disziplinarische Verfahren und Sanktionen; c) betroffene Person: natürliche Person, über die Personendaten bearbeitet werden; d) Persönlichkeitsprofil: Zusammenstellung von Personendaten, welche die Beurteilung der Persönlichkeit einer natürlichen Person erlaubt; dbis) Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen; e) Bearbeitung: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere die Beschaffung, Aufbewahrung, Verwendung, Umarbeitung, Bekanntgabe, Archivierung, Löschung oder Vernichtung von Personendaten sowie die Durchführung logischer oder rechnerischer Operationen mit diesen Personendaten; ebis) Verletzung der Datensicherheit: jede Verletzung der Sicherheit, die ungeachtet der Absicht oder der Widerrechtlichkeit dazu führt, dass Personendaten verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden; f) Bekanntgabe von Personendaten: Zugänglichmachen von Personendaten sowie Gewährung von Einsicht, Weitergabe und Veröffentlichung; g) Datensammlung: Bestand von Personendaten, der nach Personen erschlossen oder erschliessbar ist; h) öffentliches Organ: Organ, Behörde oder Dienststelle von: Kanton; selbständiger öffentlich-rechtlicher Anstalt des Kantons; Gemeinde selbständigem öffentlich-rechtlichem Gemeindeunternehmen; Gemeindeverband und Zweckverband; i) Empfängerin oder Empfänger: natürliche oder juristische Person, die vom öffentlichen Organ Personendaten erhält; j) Fachstelle für Datenschutz: von Kanton und Gemeinde eingesetztes Organ für Aufsicht und Beratung im Datenschutz; k) Rechtsgrundlage: Erlass mit allgemein verbindlichen Bestimmungen, insbesondere Gesetz und Verordnung. Der Verordnung sind vom fakultativen Referendum ausgenommene Vollzugsvorschriften von Gemeinden gleichgestellt; l) Gesetz: Erlass, der nach Art. 67 der Kantonsverfassung vom 10. Juni 2001 von den Stimmberechtigten ausdrücklich oder stillschweigend angenommen wurde, sowie zwischenstaatliche Vereinbarungen, denen nach Massgabe ihres Inhalts Verfassungs- oder Gesetzesrang zukommt. Dem Gesetz sind die Gemeindeordnung sowie das rechtsetzende Reglement und die rechtsetzende Vereinbarung gleichgestellt.

Art. 2 Geltungsbereich, a) Grundsatz

1. Dieser Erlass regelt die Bearbeitung von Personendaten durch öffentliche Organe. 1bis Dem öffentlichen Organ sind Private gleichgestellt, wenn sie Staatsaufgaben erfüllen.
2. Er wird nicht angewendet:
   1. wenn das öffentliche Organ am wirtschaftlichen Wettbewerb teilnimmt und dabei nicht hoheitlich handelt;
   2. auf Personendaten, die von einer im Dienst- oder Auftragsverhältnis mit dem öffentlichen Organ stehenden natürlichen Person zum ausschliesslich persönlichen Gebrauch bearbeitet werden und anderen Personen weder ausgehändigt werden noch ihnen zugänglich sind;
   3. …
   4. auf Personendaten, die das zuständige Archiv von Kanton und Gemeinde dauerhaft aufbewahrt.
3. In hängigen Verfahren der Zivil-, der Straf- und der gerichtlichen Verwaltungsrechtspflege sowie in hängigen Rechtshilfeverfahren richten sich die Rechte und Ansprüche nach dem jeweiligen Verfahrensrecht.

Art. 2a b) kantonale Statistik

1. Es werden im Rahmen der kantonalen Statistik nicht angewendet:
   1. Art. 4 Abs. 1 dieses Erlasses bei Verwendung von Daten für statistische Zwecke;
   2. Art. 4 Abs. 2 dieses Erlasses auf die Indirekterhebung von statistischen Daten nach dem Statistikgesetz.

2. II. Bearbeitung von Personendaten

Art. 3 Verantwortlichkeit

1. Wer Personendaten bearbeitet oder bearbeiten lässt, ist für die Einhaltung des Datenschutzes verantwortlich.
2. Bearbeiten mehrere öffentliche Organe Personendaten einer Datensammlung, bezeichnen sie das für die Einhaltung des Datenschutzes verantwortliche Organ. Bei Uneinigkeit entscheidet die kantonale Fachstelle für Datenschutz.
3. Das öffentliche Organ ist für die Einhaltung der Datenschutzbestimmungen beweispflichtig.

Art. 4 Grundsätze

1. Das öffentliche Organ bearbeitet Personendaten nach Massgabe des Zwecks, der in der Rechtsgrundlage festgelegt ist, bei der Beschaffung angegeben wurde oder aus den Umständen ersichtlich ist.
2. Es stellt sicher, dass die Beschaffung der Personendaten und der Zweck ihrer Bearbeitung für die betroffene Person erkennbar und die Personendaten richtig und, nach Massgabe der Verwendung, vollständig sind.
3. Es trifft organisatorische und technische Massnahmen zur Sicherung der Daten vor Verlust und Entwendung sowie unbefugter Kenntnisnahme und unbefugtem Bearbeiten.

Art. 5 Voraussetzungen

1. Die Bearbeitung von Personendaten ist zulässig, wenn eine Rechtsgrundlage besteht oder die Bearbeitung zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist.
2. Die Bearbeitung von besonders schützenswerten Personendaten, Persönlichkeitsprofilen sowie Profiling ist zulässig, wenn:
   1. das Gesetz die Bearbeitung vorsieht oder
   2. die Bearbeitung zur Erfüllung einer gesetzlichen Aufgabe unentbehrlich ist oder
   3. die betroffene Person:
   im Einzelfall ausdrücklich sowie in Kenntnis von Zweck und Art der vorgesehenen Bearbeitung eingewilligt hat oder ihre Daten allgemein zugänglich gemacht hat.

Art. 6 Besondere Fälle, a) Systematische Beschaffung

1. Das öffentliche Organ gibt bei einer systematischen Beschaffung von Personendaten durch Fragebogen oder andere Formen von Umfragen bei einer Vielzahl von Personen bekannt:
   1. Zweck und Rechtsgrundlage der Bearbeitung;
   2. an der Beschaffung beteiligte Behörde oder Dienststelle;
   3. die Kategorien der Empfängerinnen und Empfänger der beschafften Personendaten.

Art. 7 b) Bearbeitung für nicht personenbezogenen Zweck

1. Das öffentliche Organ anonymisiert Personendaten, die es für einen nicht personenbezogenen Zweck, insbesondere für Statistik, Planung und Forschung, bearbeitet, sobald der Zweck der Bearbeitung die Anonymisierung zulässt.
2. Es stellt sicher, dass bei Bekanntgabe des Ergebnisses Rückschlüsse auf betroffene Personen ausgeschlossen sind.
3. Es kann Personendaten einem anderen öffentlichen Organ oder Dritten zur Bearbeitung für einen nicht personenbezogenen Zweck überlassen, wenn die Empfängerin oder der Empfänger Gewähr bietet und sich schriftlich verpflichtet:
   1. die Verpflichtungen nach Abs. 1 und 2 dieser Bestimmung zu erfüllen;
   2. die Personendaten nicht weiterzugeben.

Art. 8 …

Art. 8a Datenschutz-Folgenabschätzung

1. Das öffentliche Organ erstellt vorgängig eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen kann. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, kann eine gemeinsame Abschätzung erstellt werden.
2. Das hohe Risiko ergibt sich, insbesondere bei Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Es liegt namentlich vor:
   1. bei der umfangreichen Bearbeitung von besonders schützenswerten Personendaten oder von Persönlichkeitsprofilen;
   2. bei einem Profiling.
3. Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Grundrechte.

Art. 8b Vorabkonsultation

1. Das öffentliche Organ legt der Fachstelle für Datenschutz zur Vorabkonsultation vor:
   1. Rechtsetzungsprojekte, die den Datenschutz betreffen;
   2. Vorhaben zur Bearbeitung von Personendaten, die zu einem hohen Risiko für die Grundrechte der betroffenen Personen führen.
2. Die Vorabkonsultation erfolgt in der Regel innert zwei Wochen ab Gesuchseingang, längstens innert sechs Wochen.
3. Die Fachstelle für Datenschutz bezeichnet die wesentlichen Bearbeitungsvorgänge, die ihr vorzulegen sind.

Art. 9 Bearbeitung durch Dritte

1. Das öffentliche Organ kann die Bearbeitung von Personendaten an Dritte übertragen, wenn die Übertragung nicht durch Gesetz oder Verordnung ausgeschlossen ist und die beauftragten Dritten Gewähr für die datenschutzrechtlich einwandfreie Bearbeitung bieten.
2. Es stellt die Einhaltung des Datenschutzes sicher und legt insbesondere fest, dass die Personendaten:
   1. nur so bearbeitet werden, wie das öffentliche Organ es selbst tun dürfte;
   2. nach den für das öffentliche Organ geltenden gesetzlichen Bestimmungen bearbeitet werden;
   3. vor Verlust und Entwendung sowie unbefugter Kenntnisnahme und unbefugtem Bearbeiten gesichert werden.
3. Es prüft durch geeignete regelmässige Kontrollen, ob der Datenschutz eingehalten wird. Stellt es die Nichteinhaltung von Auflagen nach Abs. 2 dieser Bestimmung oder Verstösse gegen andere Datenschutzvorschriften fest, macht es die Übertragung rückgängig.
4. Die Weiterübertragung der Datenbearbeitung bedarf der vorgängigen schriftlichen Zustimmung des auftraggebenden öffentlichen Organs.

Art. 9a Meldung von Verletzungen der Datensicherheit

1. Das öffentliche Organ meldet der Fachstelle für Datenschutz so rasch wie möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Grundrechte der betroffenen Person führt.
2. In der Meldung nennt es wenigstens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen, um die Verletzung zu beheben.
3. Der Dritte, der Personendaten im Auftrag bearbeitet, meldet dem öffentlichen Organ so rasch wie möglich eine Verletzung der Datensicherheit.
4. Das öffentliche Organ informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder die Fachstelle für Datenschutz es verlangt.
5. Es kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn:
   1. dies aufgrund überwiegender Interessen Dritter erforderlich ist;
   2. dies aufgrund überwiegender öffentlicher Interessen, insbesondere zur Wahrung der inneren oder äusseren Sicherheit der Schweiz, erforderlich ist;
   3. die Mitteilung der Information eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden kann;
   4. die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert oder
   5. die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist.

Art. 10 Archivierung und Vernichtung

1. Das öffentliche Organ bietet dem zuständigen Archiv von Kanton oder Gemeinde innert angemessener Frist die Personendaten an, die es nicht mehr benötigt. Vorbehalten bleiben besondere Bestimmungen über die Archivierung.
2. Das öffentliche Organ vernichtet umgehend die vom zuständigen Archiv als nicht archivwürdig bezeichneten Personendaten. Ausgenommen sind Personendaten, deren Vernichtung schutzwürdige Interessen der betroffenen Person verletzen könnte.
3. Auf die Vernichtung kann verzichtet werden, wenn die Personendaten:
   1. anonymisiert sind;
   2. vom öffentlichen Organ unmittelbar nach Mitteilung des zuständigen Archivs anonymisiert werden.

Art. 10a Bearbeitung durch Justizbehörden und Polizei

1. Die Justizbehörden und die Polizei führen ein Verzeichnis ihrer Bearbeitungstätigkeiten.
2. Das Verzeichnis enthält wenigstens:
   1. die Identität des öffentlichen Organs;
   2. den Bearbeitungszweck;
   3. eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten;
   4. die Kategorien der Empfängerinnen und Empfänger;
   5. die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer;
   6. eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit;
   7. falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates und die Garantien bei der Bekanntgabe von Personendaten nach der Bundesgesetzgebung über den Datenschutz.
3. Bei Bearbeitung von Personendaten im Auftrag enthält das Verzeichnis:
   1. Angaben zur Identität des Dritten und des auftraggebenden öffentlichen Organs;
   2. Angaben zu den Kategorien von Bearbeitungen, die im Auftrag des öffentlichen Organs durchgeführt werden;
   3. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit;
   4. falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates und die Garantien bei der Bekanntgabe von Personendaten nach der Bundesgesetzgebung über den Datenschutz.
4. Das öffentliche Organ meldet das Verzeichnis der Fachstelle für Datenschutz.

3. III. Bekanntgabe von Personendaten

Art. 11 Personendaten, a) Grundsatz

1. Die Bekanntgabe von Personendaten ist zulässig, wenn:
   1. eine Rechtsgrundlage besteht oder
   2. die betroffene Person eingewilligt hat oder
   3. die Bekanntgabe im Interesse der betroffenen Person liegt und deren Einwilligung nicht eingeholt werden kann oder
   4. ein wesentliches öffentliches Interesse besteht, welches das schutzwürdige Interesse der betroffenen Person an der Geheimhaltung der Personendaten überwiegt, oder
   5. Empfängerin oder Empfänger ein schutzwürdiges Interesse glaubhaft macht, welches das schutzwürdige Interesse der betroffenen Person an der Geheimhaltung der Personendaten überwiegt.
2. Das öffentliche Organ gibt Personendaten einer Behörde des Bundes, eines anderen Kantons oder einem anderen öffentlichen Organ bekannt, wenn die Empfängerin oder der Empfänger die Personendaten zur Erfüllung einer gesetzlichen Aufgabe benötigt.

Art. 12 b) Einschränkung der Bekanntgabe

1. Das öffentliche Organ schränkt die Bekanntgabe von Personendaten ein oder verbindet sie mit Auflagen, wenn:
   1. besondere Bestimmungen über den Datenschutz es verlangen oder
   2. öffentliche oder schutzwürdige private Interessen es verlangen.

Art. 13 Besonders schützenswerte Personendaten und Persönlichkeitsprofile

1. Die Bekanntgabe von besonders schützenswerten Personendaten und Persönlichkeitsprofilen ist zulässig, wenn:
   1. das Gesetz die Bekanntgabe vorsieht oder
   2. die betroffene Person eingewilligt hat oder
   3. die Bekanntgabe im Interesse der betroffenen Person liegt und deren Einwilligung nicht eingeholt werden kann.
2. Das öffentliche Organ gibt besonders schützenswerte Personendaten und Persönlichkeitsprofile einer Behörde des Bundes, eines anderen Kantons oder einem anderen öffentlichen Organ bekannt, wenn die Personendaten für die Empfängerin oder den Empfänger zur Erfüllung einer ihr oder ihm übertragenen gesetzlichen Aufgabe unentbehrlich sind.

Art. 14 Besondere Fälle, a) Bekanntgabe für gemeinnützige und schutzwürdige ideelle Zwecke

1. Das öffentliche Organ kann auf Anfrage Name, Vorname, Geburtsdatum, Adresse sowie Zuzug in den Kanton oder die Gemeinde und Wegzug aus dem Kanton oder der Gemeinde bekannt geben, wenn die Empfängerin oder der Empfänger Gewähr bietet und sich schriftlich verpflichtet, die Personendaten ausschliesslich für gemeinnützige oder schutzwürdige ideelle Zwecke zu verwenden und nicht weiterzugeben.

Art. 15 b) Abrufverfahren

1. Die Bekanntgabe von Personendaten im Abrufverfahren ist zulässig, wenn dieses in einer Rechtsgrundlage vorgesehen ist.
2. Die Bekanntgabe von besonders schützenswerten Personendaten im Abrufverfahren ist zulässig, wenn dieses im Gesetz vorgesehen ist.

Art. 16 c) Bekanntgabe ins Ausland

1. Die Bekanntgabe von Personendaten ins Ausland richtet sich sachgemäss nach den Bestimmungen der Bundesgesetzgebung über den Datenschutz.
2. Das öffentliche Organ informiert vor der Bekanntgabe die zuständige Fachstelle für Datenschutz über die von der Bundesgesetzgebung geforderten Garantien, wenn der Staat nicht auf der von der oder vom eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten veröffentlichten Liste der Staaten mit angemessener Datenschutzgesetzgebung aufgeführt ist.
3. Die kantonale Fachstelle für Datenschutz beschafft bei der oder beim eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten Informationen über den Datenschutz im Ausland. Sie stellt die Informationen zur Verfügung:
   1. den öffentlichen Organen in ihrem Zuständigkeitsbereich;
   2. den Fachstellen der Gemeinden zur Weiterleitung an die öffentlichen Organe in deren Zuständigkeitsbereich.

3bis. III^bis. Automatisierte Datenbearbeitung im Rahmen von Pilotversuchen*

Art. 16a Bewilligung

1. Die Regierung kann, nachdem sie die Stellungnahme der Fachstelle für Datenschutz eingeholt hat, vor Erlass eines Gesetzes die automatisierte Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen im Pilotversuch bewilligen, wenn:
   1. die Aufgaben, die diese Bearbeitung erforderlich machen, in einem Gesetz geregelt sind;
   2. ausreichende Massnahmen zur Verhinderung von Persönlichkeitsverletzungen getroffen werden;
   3. die praktische Umsetzung einer Datenbearbeitung eine Testphase vor dem Erlass des Gesetzes zwingend erfordert.
2. Die praktische Umsetzung einer Datenbearbeitung kann eine Testphase zwingend erfordern, wenn:
   1. die Erfüllung einer Aufgabe technische Neuerungen erfordert, deren Auswirkungen zunächst evaluiert werden müssen oder
   2. die Erfüllung einer Aufgabe bedeutende organisatorische oder technische Massnahmen erfordert, deren Wirksamkeit zunächst geprüft werden muss, insbesondere bei der Zusammenarbeit zwischen öffentlichen Organen oder
   3. sie die Übermittlung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen in einem Abrufverfahren erfordert.
3. Die Regierung bezeichnet das für die Durchführung des Pilotversuchs zuständige öffentliche Organ und regelt die Modalitäten der automatisierten Datenbearbeitung in einer Verordnung.

Art. 16b Evaluation

1. Das zuständige öffentliche Organ legt der Regierung spätestens innert zwei Jahren nach Beginn des Pilotversuchs einen Evaluationsbericht vor.
2. Es schlägt die Fortführung oder die Einstellung des Pilotversuchs vor.
3. Der Pilotversuch wird eingestellt, wenn innert fünf Jahren nach dessen Beginn kein Gesetz rechtsgültig geworden ist, das die erforderliche Rechtsgrundlage umfasst.

4. IV. Rechte der betroffenen Person

Art. 17 Auskunft und Einsicht, a) Grundsatz

1. Das öffentliche Organ erteilt der betroffenen Person auf grundsätzlich schriftliches Gesuch hin und gegen Ausweis über die Identität Auskunft, welche Personendaten über sie bearbeitet werden. Die Auskunft erfolgt in der Regel schriftlich.
2. Es gewährt auf Verlangen der betroffenen Person Einsicht in die Personendaten.

Art. 18 b) Beschränkung

1. Das öffentliche Organ lehnt Auskunft und Einsicht ab, schränkt sie ein oder verbindet sie mit Auflagen, soweit öffentliche oder schutzwürdige private Interessen Dritter überwiegen oder ein Gesetz im formellen Sinn dies vorsieht.

Art. 19 c) Gebühr

1. Die Behandlung des Gesuchs um Auskunft und Einsicht ist in der Regel unentgeltlich.

Art. 20 Unrichtige und widerrechtlich bearbeitete Personendaten

1. Die betroffene Person hat Anspruch darauf, dass das öffentliche Organ unrichtige Personendaten kostenlos berichtigt. Kann weder Richtigkeit noch Unrichtigkeit bewiesen werden, bringt das öffentliche Organ bei den Personendaten einen entsprechenden Vermerk an und schränkt deren Bearbeitung ein.
2. Die betroffene Person hat Anspruch darauf, dass das öffentliche Organ: a) die widerrechtliche Bearbeitung von Personendaten unterlässt, unrichtige Daten löscht und deren Bekanntgabe an Dritte sperrt; abis) die Widerrechtlichkeit einer Bearbeitung feststellt; ater) die Folgen eines widerrechtlichen Bearbeitens beseitigt; b) widerrechtlich bearbeitete Personendaten vernichtet.
3. Das öffentliche Organ informiert Empfängerinnen und Empfänger von unrichtigen oder widerrechtlich bearbeiteten Personendaten über die getroffenen Massnahmen. Die Information kann unterbleiben, wenn sie nicht oder nur mit unverhältnismässigem Aufwand möglich ist.

Art. 20a Informationspflicht bei der Beschaffung von Daten, a) Grundsatz

1. Das öffentliche Organ informiert die betroffene Person über die Beschaffung von Personendaten bei Amtsstellen oder Dritten.

Art. 20b b) Beschränkung

1. Die Informationspflicht entfällt, wenn:
   1. die betroffene Person bereits über die Information nach Art. 20a dieses Erlasses verfügt;
   2. wenn das Bearbeiten der Personendaten gesetzlich ausdrücklich vorgesehen ist oder
   3. die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist.
2. Die Übermittlung der Informationen kann unter denselben Voraussetzungen eingeschränkt werden wie das Recht auf Auskunft nach Art. 18 dieses Erlasses.

Art. 21 Sperrung, a) Grundsatz

1. Das öffentliche Organ sperrt auf Gesuch die Bekanntgabe von Personendaten, wenn die betroffene Person ein schutzwürdiges Interesse hat.

Art. 22 b) Bekanntgabe trotz Sperrung

1. Das öffentliche Organ gibt Personendaten trotz Sperrung bekannt, wenn:
   1. eine Rechtspflicht zur Bekanntgabe besteht oder
   2. die Erfüllung einer gesetzlichen Aufgabe verunmöglicht würde oder
   3. die Empfängerin oder der Empfänger glaubhaft macht, dass die Sperrung rechtsmissbräuchlich erwirkt wurde.

Art. 23 Verfügung des öffentlichen Organs

1. Das öffentliche Organ erlässt eine Verfügung, wenn es ein zur Durchsetzung ihrer Rechte eingereichtes Gesuch der betroffenen Person abweist.

5. V. Fachstelle für Datenschutz

5.1. 1. Organisation

Art. 24 Fachstelle für Datenschutz in Kanton und Gemeinden

1. Der Kanton setzt die kantonale Fachstelle für Datenschutz ein, die für die Staatsverwaltung und für die selbständigen öffentlich-rechtlichen Anstalten tätig ist.
2. Die Gemeinde setzt die Gemeindefachstelle für Datenschutz ein, die für die Verwaltungsstellen der Gemeinde und die selbständigen öffentlich-rechtlichen Gemeindeunternehmen tätig ist.
3. Sie kann durch Vereinbarung mit einer anderen Gemeinde deren Gemeindefachstelle für Datenschutz als für sie zuständig bezeichnen.

Art. 25 Gemeinsame Fachstelle für Datenschutz für mehrere Gemeinden

1. Die Gemeinde kann durch Vereinbarung mit anderen Gemeinden eine gemeinsame Gemeindefachstelle einsetzen. Die Vereinbarung bestimmt:
   1. die für die administrative Zuordnung zuständige Sitzgemeinde;
   2. den Schlüssel für die Finanzierung der Ausgaben der Gemeindefachstelle.
2. Die Regierung kann Gemeinden verpflichten, eine gemeinsame Gemeindefachstelle einzusetzen, wenn eine wirksame Aufgabenerfüllung und ein wirtschaftlicher Mitteleinsatz es verlangen. Sie legt die Sitzgemeinde und den Schlüssel für die Finanzierung der Ausgaben der Gemeindefachstelle fest, wenn sich die Gemeinden nicht einigen.
3. Für den Gemeindeverband oder den Zweckverband ist die Gemeindefachstelle der Mitgliedgemeinde zuständig, in der sich der Verbandssitz befindet.

Art. 26 Unabhängigkeit

1. Die Fachstelle für Datenschutz erfüllt ihre Aufgaben unabhängig und selbständig.
2. Sie ist administrativ zugeordnet:
   1. im Kanton dem von der Regierung durch Verordnung bezeichneten Departement oder der Staatskanzlei;
   2. in der Gemeinde dem Rat der Gemeinde oder der Sitzgemeinde.

Art. 27 Aufsicht

1. Die Aufsicht übt aus:
   1. die für die Aufsicht von Regierung und Staatsverwaltung zuständige Kommission des Kantonsrates über die kantonale Fachstelle für Datenschutz;
   2. die kantonale Fachstelle für Datenschutz über die Gemeindefachstelle für Datenschutz.

Art. 28 Personal

1. Die Regierung wählt die Leiterin oder den Leiter der kantonalen Fachstelle für Datenschutz für eine Amtsdauer von vier Jahren. Sie kann ihr oder sein Dienstverhältnis bei Amtspflichtverletzung oder fachlichem Ungenügen vor Ablauf der Amtsdauer auflösen. Wahl und Auflösung des Dienstverhältnisses bedürfen der Genehmigung durch das Präsidium des Kantonsrates.
2. Der Rat ernennt die Leiterin oder den Leiter der Gemeindefachstelle für Datenschutz für eine Amtsdauer von vier Jahren. Er kann die Ernennung bei Amtspflichtverletzung oder fachlichem Ungenügen widerrufen. Ernennung und Widerruf bedürfen der Genehmigung durch die Geschäftsprüfungskommission.
3. Setzen mehrere Gemeinden eine gemeinsame Gemeindefachstelle ein, regeln sie das Verfahren und die Zuständigkeit für die Ernennung der Leiterin oder des Leiters und für den Widerruf sowie die Genehmigung durch ein unabhängiges Organ in der Vereinbarung. 3bis Die Leiterin oder der Leiter der Fachstelle für Datenschutz sieht von allen mit den Aufgaben des Amtes nicht zu vereinbarenden Handlungen ab und übt während der Amtszeit keine andere mit dem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit aus.
4. Die Leiterin oder der Leiter der Fachstelle für Datenschutz stellt im Rahmen des Voranschlags die Mitarbeitenden an.
5. Das Dienstverhältnis der Leiterin oder des Leiters sowie der Mitarbeitenden der kantonalen Fachstelle für Datenschutz richtet sich nach dem Personalgesetz vom 25. Januar 2011.

Art. 29 Voranschlag

1. Die Fachstelle für Datenschutz erstellt ihren Abschnitt des Voranschlags selbständig.
2. Die Regierung, in der Gemeinde der Rat, gibt im Voranschlagsentwurf zuhanden des Kantonsrates, in Gemeinden zuhanden des Gemeindeparlamentes oder der Bürgerversammlung, bekannt, ob der von der Fachstelle für Datenschutz erstellte Voranschlag unverändert übernommen wurde. Abweichungen werden begründet.

5.2. 2. Zuständigkeit

Art. 30 Aufgaben

1. Die Fachstelle für Datenschutz:
   1. überprüft auf Anzeige, von sich aus oder nach dem von ihr aufgestellten Prüfprogramm die Einhaltung der Bestimmungen über den Datenschutz. Der anzeigenden Person ist die Art der Erledigung innert drei Monaten mitzuteilen;
   2. berät öffentliche Organe und betroffene Personen in Fragen des Datenschutzes;
   3. kann der Regierung, in Gemeinden dem Rat, den Erlass von Weisungen über technische und organisatorische Massnahmen zur Gewährleistung des Datenschutzes beantragen;
   4. nimmt Stellung zum Entwurf von Erlassen, die:
   Bestimmungen über den Datenschutz enthalten; datenschutzerhebliche Sachverhalte regeln; e) wirkt in Projekten mit, die den Datenschutz betreffen oder Bezüge zum Datenschutz aufweisen; f) sensibilisiert die öffentlichen Organe für ihre datenschutzrechtlichen Pflichten und die Öffentlichkeit für die Anliegen des Datenschutzes; g) arbeitet zur Erfüllung ihrer Aufgaben mit den Organen der anderen Kantone, des Bundes und des Auslands, welche die gleichen Aufgaben erfüllen, zusammen. 1bis Von der Aufsicht der Fachstelle für Datenschutz nach Abs. 1 Bst. a dieser Bestimmung sind ausgenommen: a) Kantonsrat und Regierung, Gemeindeparlament und Rat sowie Gerichte, soweit diese richterlich handeln; b) Datenbearbeitungen in hängigen Verfahren der Zivil-, der Straf- und der gerichtlichen Verwaltungsrechtspflege sowie in hängigen Rechtshilfeverfahren.
2. Die kantonale Fachstelle für Datenschutz berät die Gemeindefachstellen für Datenschutz.
3. Sie nimmt vor Erteilung der Bewilligung nach Art. 16a dieses Erlasses Stellung zur beabsichtigten automatisierten Bearbeitung von Personendaten im Pilotversuch.

Art. 30a Kosten

1. Die Aufgabenerfüllung der Fachstelle für Datenschutz ist für die betroffene Person in der Regel unentgeltlich.
2. Die Fachstelle für Datenschutz kann in offensichtlich unbegründeten oder unverhältnismässig häufigen Fällen die Kosten der betroffenen Person überbinden oder nicht tätig werden.

Art. 31 Einsicht in Daten

1. Die Fachstelle für Datenschutz ist berechtigt, die für die Erfüllung ihrer Aufgaben unentbehrlichen Daten einschliesslich besonders schützenswerter Personendaten und Persönlichkeitsprofile aus den Datensammlungen des öffentlichen Organs einzusehen.

Art. 32 Unterstützung durch Dienststellen

1. Das öffentliche Organ unterstützt die Fachstelle für Datenschutz bei der Erfüllung ihrer Aufgaben, indem es auf deren Verlangen insbesondere:
   1. Auskünfte erteilt;
   2. Unterlagen vorlegt und Einsicht in Unterlagen gewährt;
   3. das Vorgehen bei der Bearbeitung von Personendaten erläutert;
   4. die Bearbeitung von Personendaten vorführt;
   5. Fachinformationen vermittelt.
2. Es ist vom Amtsgeheimnis entbunden.

Art. 33 Empfehlungen

1. Die Fachstelle für Datenschutz gibt Empfehlungen ab und unterbreitet diese dem öffentlichen Organ zur schriftlichen Stellungnahme:
   1. wenn sie Mängel bei der Bearbeitung von Personendaten feststellt;
   2. bei beabsichtigter Bearbeitung von Personendaten mit besonderen Risiken für den Schutz der Grundrechte.

Art. 34 Massnahmen, a) im Kanton

1. Die kantonale Fachstelle für Datenschutz kann beim zuständigen Departement oder bei der Staatskanzlei die Anordnung von Massnahmen beantragen, wenn das öffentliche Organ die Empfehlungen nicht oder nur teilweise umsetzen will oder innert angesetzter Frist keine Stellungnahme abgibt. Handelt das zuständige Departement, die Staatskanzlei oder eine selbständige öffentlich-rechtliche Anstalt des Kantons als öffentliches Organ, ist der Antrag an die Regierung zu richten.
2. Das zuständige Departement, die Staatskanzlei oder die Regierung verfügt Massnahmen, ausgenommen in Fällen, in denen das öffentliche Organ eine Verfügung gegenüber der betroffenen Person erlässt.
3. Der Rechtsschutz richtet sich nach der Gesetzgebung über die Verwaltungsrechtspflege. Die kantonale Fachstelle für Datenschutz ist beschwerdeberechtigt.

Art. 35 b) in der Gemeinde

1. Die Gemeindefachstelle für Datenschutz kann beim Rat die Anordnung von Massnahmen beantragen, wenn das öffentliche Organ die Empfehlungen nicht oder nur teilweise umsetzen will oder innert angesetzter Frist keine Stellungnahme abgibt. Handelt der Rat, ein Gemeinde- oder Zweckverband oder ein selbständiges öffentlich-rechtliches Gemeindeunternehmen als öffentliches Organ, ist der Antrag an das zuständige Departement zu richten.
2. Der Rat oder das zuständige Departement verfügt Massnahmen, ausgenommen in Fällen, in denen das öffentliche Organ eine Verfügung gegenüber der betroffenen Person erlässt.
3. Der Rechtsschutz richtet sich nach der Gesetzgebung über die Verwaltungsrechtspflege. Die Gemeindefachstelle für Datenschutz ist rekurs- und beschwerdeberechtigt.

Art. 35a Anordnungen

1. Die Fachstelle für Datenschutz kann bei erheblichen Verletzungen der Datensicherheit eine Verfügung erlassen, wenn absehbar ist, dass das öffentliche Organ eine Empfehlung ablehnen oder ihr keine Folge leisten wird.
2. Das öffentliche Organ kann die Verfügung innert vierzehn Tagen mit Rekurs bei der Verwaltungsrekurskommission anfechten.
3. Ist das öffentliche Organ ein oberes Gericht, kann es die Verfügung innert vierzehn Tagen mit Beschwerde beim Verwaltungsgericht anfechten.

Art. 36 Berichterstattung

1. Die Fachstelle für Datenschutz erstattet der Regierung, in Gemeinden dem Rat oder bei der gemeinsam eingesetzten Gemeindefachstelle den beteiligten Räten, jährlich Bericht über:
   1. die Anwendung des Datenschutzrechts und die Einhaltung des Datenschutzes;
   2. Umfang und Schwerpunkte der Prüftätigkeit;
   3. Feststellungen und deren Beurteilung.
2. Die kantonale Fachstelle für Datenschutz berichtet dem Kantonsrat jährlich über ihre Tätigkeit. Der Kantonsrat nimmt vom Bericht Kenntnis.

6. VI. Register über Datensammlungen

Art. 37 Führung

1. Die Fachstelle für Datenschutz führt das Register über die in ihrem Zuständigkeitsbereich vorhandenen Datensammlungen.
2. Für die Führung des Registers über Datensammlungen bei Privaten, die Staatsaufgaben erfüllen, ist zuständig:
   1. die kantonale Fachstelle für Datenschutz bei Erfüllung von kantonalen Aufgaben;
   2. die Gemeindefachstelle für Datenschutz bei Erfüllung von Gemeindeaufgaben.

Art. 38 Inhalt

1. Das Register informiert insbesondere über:
   1. Rechtsgrundlage und Zweck;
   2. Mittel der Bearbeitung;
   3. Art und Herkunft der Personendaten;
   4. Dritte, die Daten eingeben und verändern dürfen;
   5. regelmässige Empfängerinnen und Empfänger.
2. Das Register über Datensammlungen ist periodisch, wenigstens jedoch jährlich zu aktualisieren.
3. Es ist öffentlich.

Art. 39 Meldung von Änderungen

1. Das öffentliche Organ meldet der zuständigen Fachstelle für Datenschutz Änderungen:
   1. im Bestand der von ihm geführten Datensammlungen;
   2. von für den Inhalt des Registers massgeblichen Sachverhalten.
2. Es meldet:
   1. neue Datensammlungen vor deren Eröffnung;
   2. übrige Änderungen jährlich auf Beginn des nächsten Kalenderjahres.

7. VII. Schlussbestimmungen

Art. 40 Strafbestimmung

1. Auf Antrag wird mit Busse bestraft:
   1. wer Personendaten im Auftrag des öffentlichen Organs bearbeitet und sich dabei vorsätzlich auftragswidrig verhält;
   2. wer Personendaten, die ihm vom öffentlichen Organ nach Art. 14 dieses Erlasses bekannt gegeben wurden, zweckwidrig verwendet oder weitergibt.

Art. 47 Vollzugsbeginn

1. Die Regierung bestimmt den Vollzugsbeginn dieses Erlasses.