Gesetz über den Schutz von Personendaten

(Kantonales Datenschutzgesetz) Vom 07.03.1994 (Stand 01.12.2021)

1 Zweck, Begriffe und Geltungsbereich *

Art. 1 Zweck

1. Dieses Gesetz dient dem Schutz der Grundrechte von Personen, über die öffentliche Organe Daten bearbeiten.

Art. 2 Begriffe

1. Die folgenden Ausdrücke bedeuten:
   1. Personendaten (Daten): alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen
   2. betroffene Personen: natürliche oder juristische Personen, über die Daten bearbeitet werden
   3. öffentliche Organe: Behörden und Dienststellen des Kantons und der Gemeinden, öffentlich-rechtliche Körperschaften und Anstalten sowie Personen, soweit sie mit öffentlichen Aufgaben betraut sind
   4. besonders schützenswerte Personendaten:
   Daten über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten Daten über die Gesundheit, die Intimsphäre oder die ethnische Herkunft Daten über Massnahmen der sozialen Hilfe Daten über administrative oder strafrechtliche Verfolgungen und Sanktionen genetische Daten biometrische Daten e) Profiling: die automatisierte Auswertung von Daten, um wesentliche persönliche Merkmale zu analysieren oder persönliche Entwicklungen vorherzusagen f) Bearbeiten: jeder Umgang mit Daten, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten g) Bekanntgeben: das Zugänglichmachen von Personendaten, wie das Einsichtgewähren, Weitergeben oder Veröffentlichen h) … i) formelles Gesetz: kantonales Gesetz oder entsprechender, dem Referendum unterliegender Gemeindeerlass

Art. 3 Geltungbereich

1. Dieses Gesetz gilt für das Bearbeiten von Personendaten durch öffentliche Organe, unabhängig von den dabei angewandten Mitteln und Verfahren.
2. Während hängigen Verfahren der Zivil-, Straf- und Verwaltungsrechtspflege richten sich die Rechte und Ansprüche der betroffenen Personen sowie die Einsichtsrechte Dritter nach dem anwendbaren Verfahrensrecht.
3. Für das privatrechtliche Handeln öffentlicher Organe gelten die bundesrechtlichen Bestimmungen für das Bearbeiten von Personendaten durch private Personen.
4. Richterliche Behörden unterstehen nicht der Aufsichtsstelle gemäss Art. 23 ff.

2 Allgemeine Datenschutzbestimmungen *

Art. 4 Grundsätze *

1. Personendaten dürfen bearbeitet werden, wenn:
   1. dafür eine gesetzliche Grundlage besteht oder
   2. dies zur Erfüllung der gesetzlich umschriebenen Aufgaben geeignet und erforderlich ist oder
   3. die betroffene Person ausdrücklich zustimmt oder ihre Zustimmung nach den Umständen unzweifelhaft vorausgesetzt werden darf
2. Das Bearbeiten von Personendaten hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.
3. Personendaten müssen richtig und, soweit es der Zweck des Bearbeitens verlangt, vollständig sein.
4. Die bearbeiteten Daten müssen zur Erreichung des Zwecks, zu dem sie bearbeitet werden, geeignet und erforderlich sein und dürfen nicht länger bearbeitet werden, als es zur Zweckerreichung erforderlich ist.
5. Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, der aus den Umständen ersichtlich oder der gesetzlich vorgesehen ist.

Art. 5

1. Besonders schützenswerte Personendaten dürfen nur bearbeitet werden oder ein Profiling darf nur vorgenommen werden, wenn:
   1. ein formelles Gesetz es ausdrücklich vorsieht oder es für eine in einem formellen Gesetz klar umschriebene Aufgabe unentbehrlich ist oder
   2. die betroffene Person ausdrücklich zugestimmt hat oder ihre Zustimmung nach den Umständen unzweifelhaft vorausgesetzt werden darf

Art. 5a Informationspflicht beim Beschaffen von Personendaten

1. Das öffentliche Organ ist verpflichtet, die betroffene Person über die Beschaffung von Personendaten zu informieren; diese Informationspflicht gilt auch dann, wenn die Daten bei Dritten beschafft werden.
2. Der betroffenen Person sind mindestens mitzuteilen:
   1. das verantwortliche öffentliche Organ samt Kontaktdaten
   2. die Rechtsgrundlage und der Zweck des Bearbeitens
   3. die Kategorien der Datenempfänger, wenn eine Datenbekanntgabe vorgesehen ist
   4. die bearbeiteten Daten oder die Kategorien der bearbeiteten Daten
   5. die Rechte der betroffenen Person
3. Die Übermittlung der Informationen kann unter denselben Voraussetzungen eingeschränkt werden wie die Auskunft über die eigenen Daten (Art. 19).
4. Die Informationspflicht entfällt, wenn:
   1. das Bearbeiten der Daten ausdrücklich durch das Gesetz vorgesehen ist oder
   2. die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist oder
   3. die betroffene Person bereits über die Informationen nach Abs. 2 verfügt

Art. 6 Verantwortung

1. Für den Datenschutz ist jenes öffentliche Organ verantwortlich, das – alleine oder zusammen mit anderen – über den Zweck und die Mittel der Bearbeitung von Daten entscheidet.
2. Bearbeiten mehrere öffentliche Organe Personendaten aus einem gemeinsamen Informationsbestand, ist ein öffentliches Organ zu bezeichnen, das die Hauptverantwortung für den Datenschutz trägt.

Art. 7 Erhebung

1. Personendaten sind in der Regel bei der betroffenen Person selbst zu erheben.
2. …

Art. 8 Bekanntgabe: allgemein

1. Personendaten dürfen von öffentlichen Organen bekanntgegeben werden, wenn:
   1. dafür gesetzliche Grundlagen bestehen
   2. der Empfänger die Daten zur Erfüllung seiner gesetzlichen Aufgaben benötigt
   3. die betroffene Person ausdrücklich zugestimmt hat oder ihre Zustimmung nach den Umständen vorausgesetzt werden darf oder
   4. die betroffene Person ihre Daten allgemein zugänglich gemacht hat
2. Der Regierungsrat regelt die Bekanntgabe von Personendaten für Adressbücher und ähnliche Nachschlagewerke von allgemeinem Interesse.
3. Die Bekanntgabe von besonders schützenswerten Personendaten und Resultaten eines Profilings richtet sich nach Art. 5.

Art. 9 Bekanntgabe: durch die Führung des Einwohnerregisters *

1. Die Stelle, die das Einwohnerregister führt, gibt einer privaten Person oder Organisation im Einzelfall auf Gesuch ohne Einschränkung Name, Vorname, Adresse, Datum von Zu- und Wegzug sowie Beruf einer Person bekannt.
2. Zuzugsort und Wegzugsort, Geburtsdatum, Geschlecht, Zivilstand und Heimatort einer Person werden bekanntgegeben, wenn ein berechtigtes Interesse glaubhaft gemacht wird.
3. Werden diese Daten mit Ausschluss von Zu- und Wegzugsort ausschliesslich für schützenswerte ideelle Zwecke verwendet und nicht an Dritte weitergegeben, so können sie nach bestimmten Gesichtspunkten geordnet bekanntgegeben werden.
4. Weitere Personendaten können bekanntgegeben werden, wenn ein besonders schützenswertes Interesse nachgewiesen wird.

Art. 10 Bekanntgabe: Einschränkungen

1. Das öffentliche Organ lehnt die Bekanntgabe von Personendaten ab, schränkt sie ein oder verbindet sie mit Auflagen, wenn:
   1. wesentliche öffentliche Interessen oder offensichtlich schutzwürdige Interessen einer betroffenen Person es verlangen oder
   2. gesetzliche Geheimhaltungspflichten oder besondere Datenschutzvorschriften es verlangen

Art. 11 Bekanntgabe: Sperrung

1. Die betroffene Person kann vom öffentlichen Organ die Bekanntgabe ihrer Daten an private Personen und Organisationen sperren lassen.
2. Die Bekanntgabe ist trotz Sperrung zulässig, wenn:
   1. das öffentliche Organ hiezu gesetzlich verpflichtet ist oder
   2. der Gesuchsteller glaubhaft macht, dass ihn die Sperrung in der Verfolgung eigener Rechte gegenüber der betroffenen Person behindert

Art. 11a Bekanntgabe: Bekanntgabe an europäische Staaten

1. Für die Bekanntgabe von Personendaten an ausländische Stellen der Europäischen Union sowie Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und des Übereinkommens des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung von personenbezogenen Daten (SEV Nr. 108) gelten neben dem übergeordneten Recht und dem Staatsvertragsrecht die Bestimmungen gemäss Art. 8 ff. sinngemäss.

Art. 11b Bekanntgabe: Bekanntgabe von Personendaten an Drittstaaten

1. An Drittstaaten dürfen Personendaten unter Vorbehalt von Art. 8 ff. nur bekannt gegeben werden, sofern diese ein angemessenes Datenschutzniveau gemäss Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung von personenbezogenen Daten (SEV Nr. 108) gewährleisten.
2. Die Angemessenheit des Datenschutzniveaus wird in Anlehnung an die Vorgaben des Bundes und unter Berücksichtigung aller Umstände beurteilt, die für die Datenübermittlung von Bedeutung sind.
3. Gewährleistet ein Drittstaat kein angemessenes Datenschutzniveau, so können ihm Personendaten im Einzelfall bekannt gegeben werden, wenn:
   1. die betroffene Person ohne jeden Zweifel eingewilligt hat; handelt es sich um besonders schützenswerte Personendaten oder Persönlichkeitsprofile, so muss die Einwilligung ausdrücklich sein
   2. die Bekanntgabe erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen oder
   3. die Bekanntgabe zur Wahrung überwiegender öffentlicher Interessen oder zur Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist
4. Die Übermittlung unterbleibt, soweit Grund zur Annahme besteht, dass sie gegen die schweizerische Rechtsordnung verstossen würde oder die Übermittlung der ordre public widerspricht.
5. Personendaten können bekannt gegeben werden, wenn im Einzelfall hinreichende vertragliche Garantien einen angemessenen Schutz der betroffenen Person gewährleisten.

Art. 12 Bearbeiten für nicht personenbezogene Zwecke

1. Personendaten dürfen für nicht personenbezogene Zwecke, wie die Statistik, Planung, Wissenschaft oder Forschung, bearbeitet werden, wenn:
   1. die Daten anonymisiert werden, sobald es der Zweck des Bearbeitens erlaubt und
   2. die Ergebnisse so veröffentlicht werden, dass die betreffenden Personen nicht bestimmbar sind
   3. die Zustimmung des Datenschutzbeauftragten vorliegt
2. Das verantwortliche Organ darf Personendaten an private Personen oder Organisationen bekanntgeben, wenn zudem gewährleistet ist, dass die Personendaten nicht an Dritte weitergegeben werden und dass für die Datensicherheit gesorgt ist.
3. Bei der Datenbekanntgabe an Dritte ist eine Vereinbarung abzuschliessen. Es kann eine Konventionalstrafe vorgesehen werden für den Fall, dass die Datenschutzbestimmungen nicht eingehalten werden.
4. In diesen Fällen finden Art. 4 Abs. 4 sowie Art. 5 und 8 keine Anwendung.

Art. 13 Bearbeiten im Auftrag

1. Das verantwortliche öffentliche Organ kann ein anderes öffentliches Organ oder Dritte mit dem Bearbeiten von Personendaten beauftragen, wenn:
   1. der Übertragung keine rechtliche Bestimmung oder vertragliche Vereinbarung entgegensteht und
   2. sichergestellt wird, dass die Daten nur so bearbeitet werden, wie es das verantwortliche öffentliche Organ tun dürfte
2. Der Datenschutz ist durch Vereinbarung, Auflagen oder auf andere Weise sicherzustellen. Der Regierungsrat regelt das Nähere durch Verordnung.
3. Die beauftragte Stelle darf ohne vorgängige schriftliche Zustimmung des auftraggebenden öffentlichen Organs die Datenbearbeitung keiner weiteren Stelle übertragen.
4. Das auftraggebende öffentliche Organ bleibt für den Umgang mit den Daten nach diesem Gesetz verantwortlich.

Art. 14 Informationssicherheit *

1. Personendaten sind durch angemessene technische und organisatorische Massnahmen vor Verlust, Entwendung und unbefugtem Bearbeiten zu schützen.
2. Das öffentliche Organ muss nachweisen können, dass es die Datenschutzbestimmungen einhält. Der Regierungsrat regelt das Nähere durch Verordnung.

Art. 14a Meldung von Datenschutzverletzungen

1. Das öffentliche Organ meldet der Aufsichtsstelle ohne unangemessene Verzögerung eine Datenschutzverletzung, die zu einem hohen Risiko für die Grundrechte der betroffenen Person führt.
2. Werden Daten von einer dritten Stelle im Auftrag bearbeitet, hat diese das öffentliche Organ unverzüglich über Datenschutzverletzungen zu informieren.
3. Das öffentliche Organ informiert ausserdem die betroffene Person, wenn es zu deren Schutz erforderlich ist oder die Aufsichtsstelle dies verlangt.
4. Die Information der betroffenen Person kann unter Benachrichtigung der Aufsichtsstelle eingeschränkt oder aufgehoben werden, wenn überwiegende öffentliche oder private Geheimhaltungsinteressen dies erfordern.
5. Eine Datenschutzverletzung liegt vor, wenn bearbeitete Personendaten verloren gehen oder unbeabsichtigt oder unrechtmässig vernichtet, verändert oder bekannt gegeben werden oder wenn Unbefugte Zugang zu solchen Daten erhalten haben.

Art. 14b Datenschutz-Folgenabschätzung

1. Beabsichtigt das öffentliche Organ eine Bearbeitung von Personendaten, die voraussichtlich ein erhöhtes Risiko für die Grundrechte der betroffenen Person mit sich bringt, führt es eine Datenschutz-Folgenabschätzung durch.
2. Die Datenschutz-Folgenabschätzung umschreibt die geplante Bearbeitung, die Risiken für die Grundrechte der betroffenen Person sowie die Massnahmen, die vorgesehen sind, um das Risiko einer Verletzung der Grundrechte der betroffenen Person zu vermeiden.

Art. 14c Vorabkonsultation

1. Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung ein hohes Risiko für die Grundrechte der betroffenen Person zur Folge hat, so holt das öffentliche Organ vorgängig die Stellungnahme der Aufsichtsstelle ein.
2. Die Aufsichtsstelle teilt dem öffentlichen Organ innert angemessener Frist allfällige Einwände gegen die geplante Bearbeitung mit. Sie kann Massnahmen nach Art. 26 ergreifen.

3 …

Art. 15–16a …

Art. 17 Vernichtung und Archivierung

1. Nicht mehr benötigte Personendaten sind zu vernichten. Vorbehalten bleiben die Vorschriften über die Archivierung.
2. Der Regierungsrat erlässt Vorschriften über die kantonalen öffentlichen Archive. Diese gelten sinngemäss für die anderen Gemeinwesen, sofern diese nicht eigene Bestimmungen erlassen. Der Regierungsrat kann die Bearbeitung besonders schützenswerter Personendaten abweichend von Art. 5 regeln.
3. Die Vernichtung nicht mehr benötigter Personendaten ist aufzuschieben, solange berechtigter Grund zu der Annahme besteht, dass eine Löschung die schutzwürdigen Interessen der betroffenen Person beeinträchtigen würde.

Art. 17a Information der Empfänger von Personendaten

1. Das öffentliche Organ informiert die Empfängerinnen und Empfänger von Personendaten über jede Berichtigung, Löschung oder Vernichtung von Personendaten sowie über Vermerke gemäss Art. 20 Abs. 3, sofern anzunehmen ist, dass die Daten durch die Empfängerinnen und Empfänger noch bearbeitet werden.
2. Von der Mitteilung kann abgesehen werden, soweit sie nur mit unverhältnismässigem Aufwand möglich ist.

Art. 17b Strafverfolgung und Justizvollzug: Register

1. Die Polizei, die Staatsanwaltschaft und die Justizvollzugsbehörde führen öffentliche Register über die Datenbearbeitungstätigkeiten in ihren Zuständigkeitsbereichen.
2. Die Register enthalten Angaben über die Rechtsgrundlage, den Zweck und die Mittel der Bearbeitung sowie die Art, Herkunft und regelmässigen Empfänger der Personendaten.

Art. 17c Strafverfolgung und Justizvollzug: Datenschutzberatung

1. Die Polizei, die Staatsanwaltschaft und die Justizvollzugsbehörde benennen innerhalb ihrer Organisation eine für den Datenschutz zuständige Person.
2. Diese hat folgende Aufgaben:
   1. sie berät und unterstützt die Mitarbeitenden bei der Bearbeitung von Personendaten hinsichtlich der Einhaltung der Datenschutzvorschriften und der Datensicherheit
   2. sie nimmt Datenschutz-Folgenabschätzungen gemäss Art. 14b vor
   3. sie ist Ansprechperson der Aufsichtsstelle gemäss Art. 23 ff.

4 Rechte der betroffenen Personen

Art. 18 Auskunftsrecht: Grundsatz der Transparenz und Informationsanspruch *

1. …
2. Jede Person erhält auf Verlangen in allgemein verständlicher Form Auskunft darüber, ob und wenn ja welche Daten über sie von einem öffentlichen Organ bearbeitet werden. Die Auskunft erfolgt in der Regel schriftlich. Sie enthält mindestens die Angaben nach Art. 5a Abs. 2 sowie Angaben über die Aufbewahrungsdauer und Herkunft der Daten. Auf Wunsch werden im Rahmen des Auskunftsrechts die Belege als Ausdruck, Kopie oder in elektronischer Form abgegeben. 2bis Von der Auskunftspflicht ausgenommen sind Daten, die ausschliesslich als persönliche Arbeitsmittel dienen, namentlich persönliche Notizen.
3. Die Auskunft erfolgt in der Regel kostenlos. Eine angemessene Gebühr kann unter vorgängiger Bekanntgabe der Höhe verlangt werden, wenn:
   1. zum Schutz berechtigter Interessen Dritter administrativ aufwendige Massnahmen zu treffen sind
   2. der Antrag rechtsmissbräuchlich ist, namentlich bei exzessiven Anträgen in derselben Angelegenheit

Art. 19 Auskunftsrecht: Einschränkung

1. Die Auskunft kann aufgeschoben, eingeschränkt oder verweigert werden, wenn eine gesetzliche Bestimmung, überwiegende öffentliche oder schutzwürdige Interessen von Dritten dies erfordern.
2. …

Art. 20 Berichtigung

1. Unrichtige Personendaten sind auf Verlangen kostenlos innert einer angemessenen Frist zu berichtigen.
2. Bestreitet das verantwortliche Organ die Unrichtigkeit, obliegt ihm der Beweis für die Richtigkeit der Personendaten, wenn der Gegenbeweis dem Gesuchsteller nicht ohne weiteres zumutbar ist.
3. Kann weder die Richtigkeit noch die Unrichtigkeit von Daten bewiesen werden, bringt das verantwortliche Organ bei den Daten einen entsprechenden Vermerk an.

Art. 21 Unterlassungsanspruch und andere Rechte

1. Wer ein schutzwürdiges Interesse dartut, kann vom verantwortlichen Organ verlangen, dass es:
   1. ein widerrechtliches Bearbeiten von Personendaten unterlässt
   2. Personendaten, die widerrechtlich erhoben, aufbewahrt oder verwendet worden sind, vernichtet oder sonstwie die Folgen des widerrechtlichen Bearbeitens beseitigt werden
   3. die Widerrechtlichkeit des Bearbeitens feststellt

Art. 22 Rechtsschutz

1. Entspricht ein Organ einem Begehren aufgrund dieses Gesetzes nicht, erlässt es einen begründeten Entscheid.
2. Gegen diese Entscheide kann innert 20 Tagen Rekurs gemäss Art. 16 ff. des Gesetzes über den Rechtsschutz in Verwaltungssachen erhoben werden. Für die öffentlich-rechtlich anerkannten kirchlichen Körperschaften und ihre Anstalten gelten deren Organisationsbestimmungen.

5 Aufsicht

Art. 23 Aufsichtsstelle: Kanton

1. Der Regierungsrat wählt als verwaltungsunabhängige Aufsichtsstelle eine kantonale Datenschutzbeauftragte oder einen kantonalen Datenschutzbeauftragten mit entsprechender fachlicher Qualifikation für eine Amtsdauer von vier Jahren. 1bis Der oder die kantonale Datenschutzbeauftragte darf kein anderes öffentliches Amt und keine Funktion ausüben, welche Interessenkonflikte befürchten lässt.
2. Eine Abberufung ist nur zulässig bei:
   1. vorsätzlicher oder grobfährlässiger Verletzung der Amtspflichten in schwerer Weise oder
   2. dauerndem Verlust der Amtsfähigkeit
3. Die Aufsichtsstelle erfüllt ihre Aufgaben in völliger Unabhängigkeit; sie verfügt über ein eigenes Budget. 3bis Die Wahlbehörde kann bei Bedarf Kooperationen mit Aufsichtsstellen anderer Kantone oder die Anstellung von Fachpersonal genehmigen.
4. Vorbehältlich der nachfolgenden Bestimmungen wird das Nähere in einer Verordnung festgelegt.

Art. 24 Aufsichtsstelle: Gemeinden und öffentliche Einrichtungen

1. Der Regierungsrat kann die Gemeinden und öffentlichen Einrichtungen ermächtigen, eine eigene Aufsichtsstelle einzurichten. Besteht keine solche, ist die kantonale Aufsichtsstelle zuständig.

Art. 25 Aufgaben

1. Die Aufsichtsstelle:
   1. überwacht die Einhaltung der Datenschutzvorschriften
   2. erteilt den betroffenen Personen Auskunft über ihre Rechte
   3. vermittelt zwischen verantwortlichen Organen und betroffenen Personen
   4. behandelt Eingaben von betroffenen Personen und gibt Empfehlungen gemäss Art. 26 Abs. 2 ab
   5. berät die verantwortlichen Organe in Fragen des Datenschutzes und der Datensicherheit, nimmt Stellung zu Erlassen, die für den Datenschutz erheblich sind und ist nach eigenem Ermessen berechtigt, diese Stellungnahmen zu veröffentlichen
   6. arbeitet zur Erfüllung der Kontrollaufgabe mit den Kontrollorganen der anderen Kantone, des Bundes und des Auslandes zusammen
   7. ist kantonales Kontrollorgan bei der bundesrechtlichen Aufgabenerfüllung im Sinne der Bundesdatenschutzgesetzgebung
   8. sensibilisiert die öffentlichen Organe für ihre datenschutzrechtlichen Pflichten und die Öffentlichkeit für die Anliegen des Datenschutzes
   9. verfolgt die für den Schutz von Personendaten massgeblichen Entwicklungen
2. Über ihre Tätigkeit erstattet sie dem Wahlorgan jährlich oder nach Bedarf Bericht. Diese Berichte werden unverändert veröffentlicht.

Art. 26 Befugnisse

1. Die Aufsichtsstelle ist befugt, ungeachtet allfälliger Geheimhaltungspflichten Untersuchungen über die Einhaltung der Datenschutzbestimmungen durchzuführen, alle für die Erfüllung des Kontrollauftrages erforderlichen Informationen über Datenbearbeitungen einzuholen, Einsicht in alle Unterlagen zu nehmen, Besichtigungen durchzuführen und sich Bearbeitungen vorführen zu lassen.
2. Stellt die Aufsichtsstelle die Verletzung von Datenschutzvorschriften fest, so kann sie dem verantwortlichen Organ eine Empfehlung abgeben. Die anzeigende Person ist über das Ergebnis der Untersuchung und über den Inhalt der Empfehlung zu informieren.
3. Das verantwortliche Organ nimmt innert 30 Tagen zur Empfehlung Stellung. Diese ist an keine Form gebunden. Lehnt es die Empfehlung teilweise oder vollständig ab, so kann die Aufsichtsstelle eine Empfehlung in der Form einer begründeten Verfügung erlassen.
4. Die Aufsichtsstelle kann zudem:
   1. ein vorläufiges Verbot einer Datenverarbeitung anordnen
   2. die Sperrung, Löschung oder Vernichtung von Daten anordnen
   3. dem Regierungsrat oder dem Kantonsrat über datenschutzrelevante Mängel oder bei Verletzung von datenschutzrechtlichen Vorschriften Bericht erstatten

Art. 26a Rechtsmittel

1. Gegen Verfügungen gemäss Art. 26 Abs. 3 und Abs. 4 lit. a und b kann vom verantwortlichen Organ beim Regierungsrat Rekurs erhoben werden.
2. Gegen Rekursentscheide des Regierungsrates kann die Aufsichtsstelle beim Obergericht Verwaltungsgerichtsbeschwerde erheben.
3. Soweit dieses Gesetz nichts anderes bestimmt, richtet sich das Verfahren und der Rechtsschutz nach den Bestimmungen des Verwaltungsrechtspflegegesetzes.

Art. 26b Beschwerde- und Anzeigebefugnis

1. Stellt die Aufsichtsstelle grobe Verletzungen von Datenschutzvorschriften durch ein öffentliches Organ fest, so erhebt sie Aufsichtsbeschwerde gemäss Art. 30 f. des Verwaltungsrechtspflegegesetzes.
2. Ergeben sich Hinweise auf eine strafbare Handlung, meldet die Aufsichtsstelle dies den Strafverfolgungsbehörden.

Art. 27 Schweigepflicht

1. Die bei der Aufsichtsstelle tätigen Personen sind hinsichtlich Personendaten, die sie bei ihrer Tätigkeit zur Kenntnis nehmen, zur gleichen Verschwiegenheit verpflichtet wie das bearbeitende Organ.
2. Im Übrigen sind sie zur Verschwiegenheit verpflichtet, wenn die Natur der Angelegenheit oder besondere Geheimhaltungsvorschriften es erfordern.
3. Die Schweigepflicht gilt auch nach Beendigung des Amts- oder Dienstverhältnisses.

6 Straf- und Schlussbestimmungen

Art. 28 Strafbestimmung

1. Wer als beauftragte Person für das Bearbeiten von Persondendaten gemäss Art. 13 ohne anderslautende ausdrückliche Ermächtigung des auftraggebenden Organs Personendaten für sich oder andere verwendet oder anderen bekanntgibt, wird mit Busse bestraft.

Art. 29 Aufhebung bisherigen Rechts

1. Der Art. 169 des Gesetzes über das Gemeindewesen für den Kanton Schaffhausen (Gemeindegesetz) vom 9. Juli 1892 wird aufgehoben.

Art. 30 Übergangsbestimmung

1. Innert einem Jahr nach Inkrafttreten dieses Gesetzes haben die verantwortlichen Organe für bestehende Datensammlungen:
   1. die Registrierung vorzunehmen
   2. den Zeitpunkt für die Vernichtung der Daten festzulegen
   3. die Massnahmen zur Datensicherung zu ergreifen
2. Auf begründetes Gesuch hin kann der Regierungsrat diese Übergangsfrist um höchstens ein Jahr verlängern.

Art. 31 Inkrafttreten

1. Dieses Gesetz tritt nach der Annahme durch das Volk auf einen vom Regierungsrat zu bestimmenden Zeitpunkt in Kraft.
2. Es ist im Amtsblatt zu veröffentlichen und in die kantonale Gesetzessammlung aufzunehmen.