Gesetz über den Schutz personenbezogener Daten im Rahmen der Anwendung des Schengen-Besitzstands im Strafbereich (LPrDS) - Anwendungsbereich (LPRDS)

1. Dieses Gesetz betrifft den Schutz natürlicher Personen in Bezug auf die Verarbeitung personenbezogener Daten zum Zwecke der Prävention und Aufdeckung von Straftaten, sowie der diesbezüglichen Ermittlungen und Strafverfolgungen oder der Vollstreckung von Strafurteilen im Rahmen der Anwendung des Schengener Besitzstands und im Rahmen der Anwendung internationaler Abkommen, die mit der Europäischen Union oder mit Staaten abgeschlossen wurden, die mit der Schweiz durch eines der Assoziierungsabkommen an Schengen (Schengen-Staaten) gebunden sind.

2. Dieses Gesetz findet keine Anwendung auf die Rechte der betroffenen Personen im Rahmen von anhängigen Verfahren vor Bundesgerichten oder kantonalen Gerichten oder im Rahmen von anhängigen Verfahren, die durch die Strafprozessordnung [A] oder durch das Gesetz vom 20. März 1981 über die internationale Rechtshilfe in Strafsachen [B] geregelt sind, noch im Rahmen des Schutzes vor Bedrohungen der öffentlichen Sicherheit und der Prävention solcher Bedrohungen; diese werden durch das anwendbare Verfahrensrecht geregelt.

1. Unter genetischen Daten versteht man die Informationen, die sich auf das genetische Erbe einer Person beziehen und durch eine genetische Analyse gewonnen werden, einschließlich des DNA-Profils.

2. Unter biometrischen Daten versteht man personenbezogene Daten, die aus einer spezifischen technischen Verarbeitung resultieren und sich auf die körperlichen, physiologischen oder verhaltensbezogenen Merkmale einer natürlichen Person beziehen, die deren eindeutige Identifizierung ermöglichen oder bestätigen.

3. Unter Profiling versteht man jede Form der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, diese Daten zur Bewertung bestimmter persönlicher Aspekte einer natürlichen Person zu verwenden, insbesondere zur Analyse oder Vorhersage von Elementen in Bezug auf die wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Verhalten, Aufenthaltsort oder Bewegungen dieser Person.

4. Unter automatisierter individueller Entscheidung versteht man jede Entscheidung, die ausschließlich auf der Grundlage einer automatisierten Verarbeitung personenbezogener Daten, einschließlich des Profilings, getroffen wird und rechtliche Auswirkungen auf die betroffene Person hat oder sie in signifikanter Weise betrifft.

5. Genetische oder biometrische Daten sind sensible Daten im Sinne des Gesetzes vom 11. September 2007 über den Schutz personenbezogener Daten [C] (LPrD).

6. Der Beauftragte im Sinne dieses Gesetzes ist derjenige, der durch das LPrD [C] eingesetzt wurde.

7. Unter einer Verletzung der Datensicherheit versteht man jede Verletzung der Sicherheit, unabhängig davon, ob sie absichtlich oder rechtswidrig erfolgt, die zum Verlust personenbezogener Daten, zu deren Änderung, Löschung oder Vernichtung oder zu deren Offenlegung oder unbefugtem Zugang führt. Die Verletzung kann durch einen Dritten verursacht werden, aber der Urheber kann auch ein Mitarbeiter sein, der seine Befugnisse überschreitet oder fahrlässig handelt. Eine Verletzung der Datensicherheit kann einen Kontrollverlust der betroffenen Person über ihre Daten oder einen Missbrauch dieser Daten zur Folge haben. Sie kann auch eine Verletzung der Persönlichkeit bewirken, indem sie beispielsweise zur Offenlegung von Informationen führt, die die Person geheim halten wollte.

1. Der Verantwortliche für die Verarbeitung informiert die betroffene Person über jede automatisierte Einzelentscheidung, die sie betrifft, bevor diese Entscheidung getroffen wird; er qualifiziert diese Entscheidung als solche.

2. Auf Verlangen der betroffenen Person gibt der Verantwortliche für die Verarbeitung ihr die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass das angewandte Verfahren ihr mitgeteilt wird und dass die Entscheidung von einer natürlichen Person überprüft wird.

3. Absatz 2 dieses Artikels findet keine Anwendung, wenn der betroffenen Person ein Rechtsbehelf gegen die Entscheidung zusteht.

1. Verantwortliche der Verarbeitung sind verpflichtet, bereits bei der Konzeption der Verarbeitung technische und organisatorische Maßnahmen zu ergreifen, damit die Verarbeitung den Anforderungen des Datenschutzes entspricht und insbesondere die Grundsätze dieser Gesetzgebung einhält.

2. Die technischen und organisatorischen Maßnahmen müssen angemessen sein, insbesondere unter Berücksichtigung des Stands der Technik, der Art der Verarbeitung, ihres Umfangs sowie des Risikos, das die Verarbeitung der betreffenden Daten für die Grundrechte der betroffenen Personen darstellt.

3. Verantwortliche der Verarbeitung sind verpflichtet, durch geeignete Voreinstellungen sicherzustellen, dass die Verarbeitung auf das für den beabsichtigten Zweck erforderliche Minimum beschränkt bleibt.

1. Eine formelle gesetzliche Grundlage ist erforderlich, um eine Verarbeitungsart zu begründen, die die Grundrechte oder ein Profiling beeinträchtigen kann.

2. Eine formelle gesetzliche Grundlage ist nicht erforderlich, wenn

a. ein Schutzbedürfnis für das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten besteht, oder

b. die betroffene Person ihre personenbezogenen Daten jedermann zugänglich gemacht hat, oder

c. die betroffene Person der Verarbeitung nicht ausdrücklich widersprochen hat.

1. Die Verantwortlichen führen ein Verzeichnis der Verarbeitungstätigkeiten.

2. Das Verzeichnis des Verantwortlichen enthält mindestens die folgenden Angaben

a. den Namen des Verantwortlichen;

b. den Zweck der Bearbeitung;

c. eine Beschreibung der Kategorien der betroffenen Personen und der Kategorien der bearbeiteten Personendaten;

d. die Kategorien der Empfänger;

e. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

f. soweit möglich, eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit;

g. den Drittstaat oder die internationale Organisation, an den bzw. die Personendaten bekanntgegeben werden, sowie die vorgesehenen Garantien für den Schutz der Personendaten.

1. Sieht der Verantwortliche eine Bearbeitung vor, die ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen kann, so führt er vorgängig eine Datenschutz-Folgenabschätzung durch. Sieht er mehrere gleichartige Bearbeitungsvorgänge vor, so kann er eine gemeinsame Folgenabschätzung erstellen.

2. Ob ein hohes Risiko vorliegt, hängt insbesondere bei der Verwendung neuer Technologien von der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung ab. Ein solches Risiko liegt namentlich in folgenden Fällen vor

a. die Bearbeitung von besonders schützenswerten Personendaten oder von Persönlichkeitsprofilen in grossem Umfang;

b. das Profiling.

3. Die Folgenabschätzung enthält eine Beschreibung der vorgesehenen Bearbeitung, eine Bewertung der Risiken für die Grundrechte der betroffenen Person sowie die vorgesehenen Massnahmen zum Schutz dieser Grundrechte.

1. Der Verantwortliche für die Verarbeitung konsultiert den Datenschutzbeauftragten vor der Verarbeitung, wenn die Datenschutz-Folgenabschätzung ergibt, dass die Verarbeitung ohne risikomindernde Maßnahmen des Verantwortlichen ein hohes Risiko für die Grundrechte der betroffenen Person darstellen würde.

2. Der Datenschutzbeauftragte übermittelt dem Verantwortlichen für die Verarbeitung innerhalb von zwei Monaten seine Einwände gegen die geplante Verarbeitung. Diese Frist kann um einen Monat verlängert werden, wenn es sich um eine komplexe Datenverarbeitung handelt.

3. Hat der Datenschutzbeauftragte Einwände gegen die geplante Verarbeitung, schlägt er dem Verantwortlichen für die Verarbeitung geeignete Maßnahmen vor.

1. Der Verantwortliche meldet dem Préposé unverzüglich die Fälle von Datenschutzverletzungen, die voraussichtlich ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen.

2. Die Meldung muss mindestens die Art der Datenschutzverletzung, ihre Folgen und die getroffenen oder beabsichtigten Massnahmen zur Behebung enthalten.

3. Der Auftragsbearbeiter meldet dem Verantwortlichen unverzüglich jeden Fall einer Datenschutzverletzung.

4. Der Verantwortliche informiert die betroffene Person, wenn dies zu ihrem Schutz notwendig ist oder wenn der Préposé dies verlangt.

5. Der Verantwortliche kann die Information der betroffenen Person in folgenden Fällen einschränken, aufschieben oder unterlassen

a. wenn die überwiegenden Interessen eines Dritten dies erfordern;

b. wenn ein überwiegendes öffentliches Interesse, insbesondere die Wahrung der inneren oder äusseren Sicherheit des Kantons oder der Schweiz, dies erfordert;

c. wenn die Information der betroffenen Person geeignet ist, eine Untersuchung, ein Ermittlungsverfahren oder ein Verwaltungsverfahren oder gerichtliches Verfahren zu gefährden;

d. wenn die Erfüllung der Informationspflicht unmöglich ist oder einen unverhältnismässigen Aufwand erfordert;

e. wenn die Information der betroffenen Person auf gleichwertige Weise durch eine öffentliche Mitteilung gewährleistet ist.

1. Die Verantwortlichen ernennen einen Datenschutzberater. Sie können einen gemeinsamen Berater ernennen.

2. Der Datenschutzberater muss folgende Voraussetzungen erfüllen

a. er verfügt über die erforderlichen Fachkenntnisse;

b. er übt keine Tätigkeiten aus, die mit seinen Aufgaben als Datenschutzberater unvereinbar sind.

3. Der Datenschutzberater nimmt insbesondere folgende Aufgaben wahr

a. er berät die Verantwortlichen;

b. er fördert die Information und Schulung der Mitarbeitenden;

c. er wirkt an der Anwendung der Datenschutzvorschriften mit und schlägt Massnahmen vor, wenn sich herausstellt, dass Datenschutzvorschriften verletzt wurden.

1. Wer ein schutzwürdiges Interesse hat, kann vom Verantwortlichen verlangen

a. dass er ein unrechtmässiges Bearbeiten unterlässt;

b. dass er die Folgen eines unrechtmässigen Bearbeitens beseitigt;

c. dass er die Widerrechtlichkeit einer Bearbeitung feststellt.

2. Der Antragsteller kann insbesondere verlangen, dass der Verantwortliche

a. die Personendaten berichtigt, löscht oder vernichtet;

b. seinen Entscheid, insbesondere betreffend Berichtigung, Löschung oder Vernichtung der Daten, Widerspruch gegen eine Bekanntgabe oder Vermerk des streitigen Charakters der Personendaten gemäss Absatz 4 des vorliegenden Artikels, veröffentlicht oder Dritten mitteilt.

3. Anstelle der Löschung oder Vernichtung der Personendaten schränkt der Verantwortliche die Bearbeitung in folgenden Fällen ein

a. die Richtigkeit der Daten wird von der betroffenen Person bestritten und deren Richtigkeit oder Unrichtigkeit kann nicht festgestellt werden;

b. überwiegende Interessen Dritter es verlangen;

c. ein überwiegendes öffentliches Interesse, insbesondere die innere oder äussere Sicherheit des Kantons oder der Schweiz, es verlangt;

d. die Löschung oder Vernichtung der Daten eine Untersuchung, eine Ermittlung oder ein Verwaltungs- oder Gerichtsverfahren beeinträchtigen könnte.

4. Kann die Richtigkeit oder Unrichtigkeit eines Personendatums nicht festgestellt werden, versieht der Verantwortliche das Datum mit einem Vermerk seines streitigen Charakters.

5. Das Verfahren richtet sich nach dem Gesetz vom 28. Oktober 2008 über das Verwaltungsverfahren [D] (VwVG).

1. Der Beauftragte leitet von Amts wegen oder auf Anzeige hin eine Untersuchung gegen den Verantwortlichen oder den Auftragsverarbeiter ein, wenn Anhaltspunkte vorliegen, die darauf hindeuten, dass eine Verarbeitung personenbezogener Daten gegen Datenschutzbestimmungen verstoßen könnte.

2. Er kann auf die Einleitung einer Untersuchung verzichten, wenn der Verstoß gegen die Datenschutzvorschriften von geringer Bedeutung ist.

3. Der Verantwortliche oder der Auftragsverarbeiter stellt dem Beauftragten alle Auskünfte und Unterlagen zur Verfügung, die dieser für die Untersuchung benötigt.

4. Wenn die betroffene Person der Urheber der Anzeige ist, informiert der Beauftragte diese über das weitere Vorgehen und das Ergebnis einer eventuellen Untersuchung.

1. Hält der Verantwortliche oder der Auftragsverarbeiter seine Mitwirkungspflicht nicht ein, kann der Beauftragte im Rahmen des Untersuchungsverfahrens namentlich anordnen

a. den Zugang zu allen für die Untersuchung notwendigen Informationen, Unterlagen, Verzeichnissen der Bearbeitungstätigkeiten und Personendaten;

b. den Zugang zu Räumlichkeiten und Anlagen;

c. die Befragung von Zeugen;

d. Gutachten.

2. Er kann für die Dauer der Untersuchung auch provisorische Massnahmen anordnen.

1. Wenn Datenschutzbestimmungen verletzt werden, kann der Beauftragte die Herstellung der Rechtmäßigkeit, die Aussetzung oder die Beendigung der gesamten oder eines Teils der Verarbeitung sowie die Löschung oder Vernichtung der gesamten oder eines Teils der personenbezogenen Daten anordnen.

2. Er kann die Übermittlung personenbezogener Daten ins Ausland aussetzen oder verbieten, wenn diese den anwendbaren gesetzlichen Bestimmungen über die Übermittlung von personenbezogenen Daten an Drittstaaten oder internationale Organisationen widerspricht.

3. Hat der Verantwortliche oder der Auftragsverarbeiter während der Untersuchung die notwendigen Maßnahmen ergriffen, um eine datenschutzkonforme Situation wiederherzustellen, kann sich der Beauftragte darauf beschränken, eine Verwarnung auszusprechen.

4. Die Parteien des Untersuchungsverfahrens, einschließlich der Verantwortlichen, sind befugt, Rechtsmittel einzulegen, auch gegen Entscheidungen über die aufschiebende Wirkung oder einstweilige Maßnahmen.

1. Der Beauftragte kann Informationen oder Personendaten mit einer Datenschutzbehörde eines Schengen-Staates austauschen, um deren jeweilige gesetzliche Aufgaben im Bereich des Datenschutzes zu erfüllen, sofern die folgenden Bedingungen erfüllt sind

a. die Gegenseitigkeit in Bezug auf Amtshilfe ist gewährleistet;

b. die ausgetauschten Informationen und Personendaten werden nur im Rahmen des Verfahrens im Zusammenhang mit dem Schutz der Personendaten verwendet, welches der Amtshilfeanfrage zugrunde liegt;

c. die Empfängerbehörde verpflichtet sich, Berufs-, Geschäfts- oder Fabrikationsgeheimnisse nicht offenzulegen;

d. die Informationen und Personendaten werden Dritten nur mit vorheriger Zustimmung der übermittelnden Behörde mitgeteilt;

e. die Empfängerbehörde verpflichtet sich, die von der übermittelnden Behörde geforderten Auflagen und Nutzungsbeschränkungen einzuhalten.

2. Zur Begründung seines Amtshilfeersuchens oder zur Beantwortung eines Amtshilfeersuchens der ersuchenden Behörde kann der Beauftragte insbesondere folgende Angaben mitteilen

a. den Namen der für die Bearbeitung verantwortlichen Stelle, des Auftragsbearbeiters oder einer anderen am Bearbeitungsvorgang beteiligten Drittstelle;

b. die Kategorien der betroffenen Personen;

c. die Identität der betroffenen Personen, wenn deren Mitteilung für die Erfüllung der gesetzlichen Aufgaben des Beauftragten oder einer Datenschutzbehörde eines Schengen-Staates unerlässlich ist;

d. die bearbeiteten Personendaten oder Kategorien von Personendaten;

e. die Zwecke der Bearbeitungen;

f. die Empfänger oder Kategorien von Empfängern;

g. die technischen und organisatorischen Massnahmen.

3. Bevor er einer Datenschutzbehörde eines Schengen-Staates Informationen übermittelt, die Berufs-, Fabrikations- oder Geschäftsgeheimnisse enthalten könnten, informiert er die Inhaber dieser Geheimnisse und fordert sie zur Stellungnahme auf, es sei denn, dies erweist sich als unmöglich oder würde einen unverhältnismässigen Aufwand erfordern.

1. In Ermangelung einer besonderen Bestimmung, die in diesem Gesetz vorgesehen ist, gilt das kantonale Gesetz über den Schutz personenbezogener Daten [C] (DSchG); die Anwendbarkeit anderer Gesetze bleibt vorbehalten.

2. Das Gesetz über das Verwaltungsverfahren [D] (VwVG) gilt darüber hinaus spezifisch für das Verfahren, das bei der Anwendung der Artikel 11 bis 14 dieses Gesetzes zu befolgen ist.

1. Der Staatsrat ist mit der Ausführung dieses Gesetzes betraut. Er wird den Text gemäß Artikel 84, Absatz 1, Buchstabe a) der Kantonsverfassung veröffentlichen und den Zeitpunkt des Inkrafttretens durch Verordnung festlegen.