Ausführungsreglement zum kantonalen Gesetz über den Schutz personenbezogener Daten (RLPDP) (RLPDP)

… [1]

[1] Art. aufgehoben durch R 17.9.2008; in Kraft ab 1.10.2008 – AB 2008, 554.

[2] 1 Die Datenbank oder Personalstammdatei ist ein Archiv oder eine Menge von Archiven personenbezogener Daten, die in elektronischer oder computergestützter Form von einer oder mehreren Stellen verarbeitet werden.

2 Auf die Datenbank finden die Vorschriften über die Archive personenbezogener Daten sinngemäss Anwendung, unter Vorbehalt spezifischer Sicherheitsbedürfnisse.

[2] Art. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 – BU 2008, 554.

Es gelten als Kopien oder Arbeitsinstrumente im Sinne von Art. 19 Abs. 3 Bst. c) des Gesetzes, die Sammlungen von Personendaten, welche die Gesamtheit oder einen Teil eines bereits im Zentralen Register gemeldeten Datenbestandes enthalten oder ausschliesslich der Arbeitserleichterung dienen.

1 Das verantwortliche Organ

a) prüft von Amtes wegen die Rechtmässigkeit jeder Bearbeitung von Personendaten;

b) kontrolliert, dass die Erhebung so organisiert ist, dass die Rechte der betroffenen Person, insbesondere das Recht auf Information und das Recht auf Berichtigung, eingehalten werden.

2 Zwecks Gewährleistung der Einhaltung der Datenschutzbestimmungen teilt das verantwortliche Organ dem Kantonalen Datenschutzbeauftragten (nachfolgend: Beauftragter) in seiner Eigenschaft als kantonale Aufsichts- und Kontrollbehörde die Absicht mit, eine systematische Bearbeitung von Personendaten vorzunehmen. [3]

Bearbeitung durch mehrere Organe

[3] Abs. geändert durch V 17.9.2008; in Kraft seit 1.10.2008 - BBl 2008, 554.

[4] Die Nutzung einer Personendatenbank durch mehrere verantwortliche Organe einer Bank oder die Bearbeitung von Personendaten, die sich im Datenarchiv eines anderen verantwortlichen Organs befinden, durch ein Organ unterliegt der Mitteilungspflicht gegenüber dem Beauftragten.

Datenerhebung

(Art. 9 DSG) Ausnahmen

[4] Art. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

Die Ausnahmen nach Art. 9 Abs. 1 des Gesetzes sind zulässig, wenn die Sammlung zur Erfüllung eines einer Gerichts- oder Verwaltungsbehörde erteilten Auftrags notwendig ist.

Das verantwortliche Organ muss die betroffene Person informieren, wenn ihre Personendaten für einen anderen als den ursprünglichen Zweck verwendet werden.

1 Die verantwortliche Stelle prüft von Amtes wegen die Vereinbarkeit der Zwecke ihrer Bearbeitung mit denjenigen des Empfängers der Übermittlung.

2 Bei Unvereinbarkeit teilt die verantwortliche Stelle dies dem Beauftragten unverzüglich mit. [5]

[5] Abs. geändert durch V 17.9.2008; in Kraft seit 1.10.2008 - ABl 2008, 554.

1 Das zuständige Organ entscheidet auf Gesuch über die Übermittlung von Personendaten an private Personen oder Organisationen.

2 Bei Gesuchen um systematische oder periodische Übermittlung von Personendaten muss das Gesuch enthalten

a) die Angaben betreffend den Gesuchsteller;

b) die Art der zu übermittelnden Daten;

c) den Zweck, für welchen die Daten verwendet werden sollen.

1 Die Übermittlung von Personendaten hat vorab durch den Abschluss einer Vereinbarung zwischen der datenbesitzenden verantwortlichen Stelle und dem Empfänger zu erfolgen.

2 Die Vereinbarung hat Folgendes zu enthalten

a) die gesetzliche Grundlage;

b) die Liste der zu übermittelnden Personendaten;

c) die Herkunft der Personendaten;

d) die Verpflichtung des Empfängers, der betroffenen Person das Recht auf Auskunft und Informationen über die Herkunft der Daten zu gewährleisten;

e) die dem Empfänger obliegenden Sicherheitsmassnahmen;

f) den Vorbehalt zugunsten des Beauftragten, die Verwendung der übermittelten Daten jederzeit kontrollieren zu können; [6]

g) die Verpflichtung des Empfängers, die Grundsätze der Gesetzgebung über den Datenschutz einzuhalten;

h) die zu Lasten des Empfängers gehenden Kosten;

i) die Höhe der Konventionalstrafe, die im Falle der Verletzung der Pflichten durch den Empfänger angewandt wird.

3 Erfolgt die Übermittlung von Personendaten periodisch, muss die Vereinbarung überdies die Häufigkeit der Übermittlung und den Hinweis auf die letzte Aktualisierung der Daten enthalten.

Datenübermittlung für Adressierungen

[6] Bst. geändert durch R vom 17.9.2008; in Kraft seit 1.10.2008 – BBl 2008, 554.

1 Die Übermittlung von Personendaten zum Zweck der Erstellung von Adressverzeichnissen und ähnlichen Publikationen muss Gegenstand einer Vereinbarung sein.

2 Übermittelt werden dürfen Name, Vorname und Adresse.

[8] **1** Die verantwortliche Stelle, die Personendaten ins Ausland übermitteln will, muss die allgemeinen Grundsätze des Datenschutzgesetzes (DSG) beachten und sich vorgängig von der Angemessenheit des Datenschutzes im Bestimmungsstaat überzeugen.

**2** Vor der Übermittlung ins Ausland informiert sie den Beauftragten über die Garantien und Datenschutzregeln gemäss Artikel 14a Absatz 2 Buchstabe a DSG.

**3** Die Informationspflicht gilt als erfüllt, wenn die Daten mittels vom Beauftragten erstellter oder anerkannter Musterverträge oder Standardklauseln übermittelt werden und die verantwortliche Stelle den Beauftragten allgemein über die Anwendung dieser Musterverträge oder Standardklauseln informiert.

**4** Der Beauftragte veröffentlicht eine Liste dieser Musterverträge oder Standardklauseln.

**5** Die verantwortliche Stelle kann auch andere Garantien anwenden, wie eine spezifische Datenschutzkonvention oder Klauseln in anderen Verträgen; diese besonderen Garantien müssen ein angemessenes Schutzniveau gewährleisten.

**6** Die verantwortliche Stelle trifft geeignete Massnahmen, um zu gewährleisten, dass der Empfänger die Garantien und Datenschutzregeln einhält.

**7** Der Beauftragte prüft die ihm mitgeteilten Garantien und Datenschutzregeln (Art. 14a Abs. 2 DSG) und teilt der verantwortlichen Stelle das Ergebnis seiner Prüfung innert 30 Tagen nach Erhalt der Information mit.

[8] Art. eingeführt durch R 17.9.2008; in Kraft seit 1.10.2008 – BU 2008, 554.

[9] 1 Zur Beurteilung der Angemessenheit des Datenschutzes bei einer Datenübermittlung ins Ausland kann die verantwortliche Stelle sich auf die von den Bundesbehörden veröffentlichte und nachgeführte Liste der Staaten stützen, welche über eine Gesetzgebung verfügen, die einen angemessenen Datenschutz gewährleistet.

2 Der Beauftragte pflegt und koordiniert die notwendige Information.

[9] Art. eingefügt durch R 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

1 Die Übermittlung von Personendaten an Personen oder Dienststellen, die Statistiken erarbeiten, oder an Forschungsinstitute ist an den Abschluss einer Vereinbarung zu knüpfen.

2 Die verantwortliche Stelle vergewissert sich, dass

a) keine Rechtsnorm die Übermittlung ausschliesst;

b) die Personendaten so bearbeitet werden, dass eine Identifizierung einer bestimmten Person möglichst erschwert wird.

Datensicherheit (Art. 17 DSG)

1 Das zuständige Organ trifft alle geeigneten Massnahmen zur Gewährleistung der Datensicherheit in Abhängigkeit von der Art der bearbeiteten Daten (neutrale oder sensible Daten).

2 Der Beauftragte kann die Wirksamkeit der Sicherheitsmassnahmen jederzeit überprüfen und Weisungen für deren Verstärkung erteilen. [10]

[10] Abs. geändert durch R vom 17.9.2008; in Kraft seit 1.10.2008 – BU 2008, 554.

[11] Das verantwortliche Organ teilt dem Beauftragten jede Einrichtung, Zerstörung oder Änderung von Archiven mit Personendaten mit.

Zentrales Register (Art. 20 DSG)

[11] Art. geändert durch R. vom 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

1 Das Zentralregister enthält Angaben über die Bezeichnung des Archivs, die verantwortliche Stelle, die Art der Bearbeitung, die Rechtsgrundlage und die Natur der Daten.

2 Es ist öffentlich und kann jederzeit beim Beauftragten eingesehen werden.

3 Der Beauftragte veröffentlicht die Errichtung und die Aktualisierungen des Zentralregisters im Amtsblatt. [12]

[12] Abs. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - ABl 2008, 554.

Das Zentralregister und das Register der verantwortlichen Stelle können frei eingesehen werden.

Auskunft (Art. 23 DSG)

1 Wer Auskunft vom verantwortlichen Organ erhalten will, muss seine Identität nachweisen.

2 Das verantwortliche Organ informiert die betroffene Person unverzüglich oder innert kurzer Frist über

a) die sie betreffenden, im Archiv verfügbaren Daten;

b) die Rechtsgrundlage, den Bearbeitungszweck, die beteiligten Organe und die regelmässigen Empfänger.

3 Die Auskunft wird schriftlich und, wenn gewünscht, mündlich erteilt oder, wenn die technischen Mittel es erlauben, durch direkte Einsichtnahme.

Einschränkungen (Art. 24 DSG)

1 Die Einschränkung der Einsichtnahme in die Archive wird schriftlich begründet. [13]

2 Vorbehalten bleiben die besonderen Bestimmungen über Gesundheitsdaten.

Berichtigung (Art. 25 LPDP)

[13] Abs. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

Die Berichtigung wird allen regulären Empfängern der personenbezogenen Daten mitgeteilt.

[16] Bei der Ausübung seiner Aufgaben handelt der Beauftragte über den Dienst für den Datenschutz, dessen Leiter er ist.

Kantonale Kommission für den Datenschutz

(Art. 31 ff. des kantonalen Datenschutzgesetzes) [17]

[16] Art. geändert durch V 17.9.2008; in Kraft seit 1.10.2008 – BBl 2008, 554.

[17] Randbemerkung geändert durch V 17.9.2008; in Kraft seit 1.10.2008 – BBl 2008, 554.

[18] 1 Die Kantonale Datenschutzkommission erlässt ein eigenes Reglement betreffend ihre Organisation, Arbeitsweise und Verfahren.

2 Das Reglement wird im Amtsblatt der Gesetze und Verordnungen veröffentlicht.

[18] Art. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

… [19]

Kommunale Aufsichtsbehörden (Art. 31b KDSG)

Kommunales Reglement und Ernennung [20]

[19] Art. aufgehoben durch R 17.9.2008; in Kraft seit 1.10.2008 - AS 2008, 554.

[20] Randtitel geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - AS 2008, 554.

[21] 1 Die Gemeinden können in ihrer Verordnung die Einrichtung eines kommunalen Datenschutzdienstes vorsehen und alle vier Jahre einen kommunalen Datenschutzbeauftragten (nachfolgend: kommunaler Beauftragter) ernennen.

2 Dem kommunalen Beauftragten werden für das Gemeindegebiet die Zuständigkeiten gemäss Art. 30 Bst. a), b), c), d), e), f) des Gesetzes übertragen.

3 Der kommunale Beauftragte erfüllt seine Aufgabe autonom und unabhängig. Die Gemeinde stellt ihm angemessene Ressourcen zur Verfügung.

4 Der kommunale Beauftragte arbeitet, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, mit dem kantonalen Beauftragten zusammen, insbesondere durch den Austausch aller nützlichen Informationen.

[21] Art. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

[22] Der kantonale Beauftragte unterbreitet dem Staatsrat einen Vorentscheid zur Genehmigung der kommunalen Vorschriften über den Schutz personenbezogener Daten.

[22] Art. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

[23] Die Stadtverwaltung teilt dem kantonalen Beauftragten den Namen der als kommunaler Beauftragter ernannten Person mit.

[23] Art. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 – BU 2008, 554.

[24] Der Gemeindebeauftragte übermittelt dem Kantonsbeauftragten eine Kopie des kommunalen Registers der Archive für Personendaten und die entsprechenden Aktualisierungen.

[24] Art. geändert durch R 17.9.2008; in Kraft seit 1.10.2008 - BU 2008, 554.

Die Gemeinden sind gehalten, die kommunalen Satzungen bei Bedarf innerhalb von zwei Jahren nach Inkrafttreten dieser Verordnung zu ändern.

Es wird die Verordnung zur Durchführung des Datenschutzgesetzes vom 5. Juli 1990 aufgehoben.

Diese Verordnung wird im Amtsblatt der Gesetze und Durchführungsverordnungen veröffentlicht und tritt am 1. Januar 2001 in Kraft.

Veröffentlicht im AB 2000 , 386.