Gesetz über den Schutz von Personendaten

Begriffe und Geltungsbereich

9) onen, auf eine be-

14) über die Gesundheit, die Intimsphäre oder die eth- Zweck Begriffe

5. genetische Daten,

6. biometrische Daten; e) Profiling: die automatisierte Auswertung von Daten, um we- sentliche persönliche Merkmale zu analysieren oder persönli- che Entwicklungen vorherzusagen;

14) f) Bearbeiten: jeder Umgang mit Daten, insbesondere das Be- schaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bek anntgeben, Archivieren, Löschen oder Vernichten von Daten; 14) g) Bekanntgeben: das Zugänglichmachen von Personendaten, wie das Einsichtgewähren, Weitergeben oder Veröffentl h) ... 15) i) formelles Gesetz: kantonales Gesetz oder entsprechender, dem Ref erendum unterliegender Gemeindeerlass.

Art. 3

1 Dieses Gesetz gilt für das Bearbeiten von Personendaten durch öffentliche Organe, unabhängig von den dabei angewandten Mi teln und Verfah ren.

2 Während hängigen Verfahren der Zivil -, Straf - und Verwal rechtspflege richten sich die Rechte und Ansprüche der betroffe- nen Personen sowie die Einsichtsrechte Dritter nach dem anwend- baren Verfahrensrecht.

14)

3 Für das privatrechtliche Handeln öffentlicher Organe gelten die bundesrechtlichen Bestimmungen f ür das Bearbeiten von Pers nendaten durch private Personen.

4 Richterliche Behörden unterstehen nicht der Aufsichtsstelle ge- mäss Art. 23 ff.

16) II. All gemeine Datenschutzbestimmungen

Art. 4

1 Personendaten dürfen bearbeitet werden, wenn 14) a) dafür eine gesetzliche Grundlage besteht, oder b) dies zur Erfüllung der gesetzlich umschriebenen Aufgaben ge- eignet und erforderlich ist oder c) die betroffene Person ausdrücklich zustimmt oder ihre Zustim- mung nach den Umständen unzweifelhaft vorausgesetzt wer- den darf.

2 Das Bearbeiten von Personendaten hat nach Treu und Glau zu erfol gen und muss verhältnismässig sein. 9) Geltungbereich Grundsätze

9) Daten müssen zur Erreichung des Zwecks, zu

9) der gesetzlich vorgesehen ist. 10)

14)

9) die Daten bei Dritten beschafft Datenbekannt- Informations - pflicht beim Beschaffen von Personendaten

14)

c) die betroffene P erson bereits über die Informationen nach Abs.

2 verfügt.

Art. 6 14)

1 Für den Datenschutz ist jenes öffentliche Organ verantwortlich, das - alleine oder zusammen mit anderen - über den Zweck und die Mittel der Bearbeitung von Daten entschei det.

2 Bearbeiten mehrere öffentliche Organe Personendaten aus ei- nem gemeinsamen Informationsbestand, ist ein öffentliches Organ zu bezeichnen, das die Hauptverantwortung für den Datenschutz trägt.

Art. 7

1 Personendaten sind in der Regel bei der betroffenen Person selbst zu erheben.

...

15)

Art. 8

1 Personendaten dürfen von öffentlichen Organen bekanntgegeben we rden, wenn: a) dafür gesetzliche Grundlagen bestehen; b) der Empfänger die Daten zur Erfüllung seiner gesetzlichen Auf gaben be nötigt; c) die betroffene Person ausdrücklich zugestimmt hat oder ihre Zustimmung nach den Umständen vorausgesetzt werden darf oder d) die betroffene Person ihre Daten allgemein zugänglich ge- macht hat.

2 Der Regierungsrat regelt die Bekanntgabe von Personendaten für Adressbücher und ähnliche Nachschlagewerke von allgemeinem Interesse.

3 Die Bekanntgabe von besonders schützenswerten Personenda- ten und Resultaten eines Profilings richtet sich nach Art. 5. 16)

Art. 9

1 Die Stelle, die das Einwohnerregister führt, gibt einer privaten Person oder Organisation im Einzelfall auf Gesuch ohne Ei schränkung Name, Vorname, Adresse, Datum von Zu- und Weg- zug sowie Beruf einer Person bekannt. 12)

2 Zuzugsort und Wegzugsort , Geburtsdatum, Geschlecht, Z stand und Heimatort einer Person werden bekanntgegeben, wenn ein berechtigtes I nteresse glaubhaft gemacht wird. Verantwortung Erhebung Bekanntgabe a) allgemein b) durch die Führung des Einwohner - registers

12)

und Wegzugsort erwendet und z- nteressen einer betroffenen Person es verlangen oder rschriften es verlangen. der automa-

14) c) Einschrä n - kungen d) Sperrung e) Bekan ntgabe an europäische Staaten f) Bekanntgabe von Personen- daten an Drittstaaten

Umstände beurteilt, die für die Datenübermittlung von Bedeutung sind. 14)

3 Gewährleistet ein Drittstaat kein angemessenes Datenschutzni- veau, so können ihm Personendaten im Einzelfall bekannt gege- ben werden, wenn: a) die betroffene Person ohne jeden Zweifel eingewilligt hat; han- delt es sich um besonders schützenswerte Personendaten o- der Pers önlichkeitsprofile, so muss die Einwilligung ausdrüc lich sein; b) die Bekanntgabe erforderlich ist, um das Leben oder die kör- perliche Integrität der betroffenen Person zu schützen; oder c) die Bekanntgabe zur Wahrung überwiegender öffentlicher Int ressen oder z ur Feststellung, Ausübung oder Durchsetzung von Rechtsan sprüchen vor Gericht unerlässlich ist.

4 Die Übermittlung unterbleibt, soweit Grund zur Annahme besteht, dass sie gegen die schweizerische Rechtsordnung verstossen würde oder die Übermittlung der ordr e public widerspricht.

5 Personendaten können bekannt gegeben werden, wenn im Ei zelfall hinreichende vertragliche Garantien einen angemessenen Schutz der betrof fenen Person gewährleisten.

Art. 12

1 Personendat en dürfen für nicht personenbezogene Zwecke, wie die Statistik, Planung, Wissenschaft oder Forschung, bearbeitet werden, wenn: a) die Daten anonymisiert werden, sobald es der Zweck des B arbeitens erlaubt, und b) die Ergebnisse so veröffentlicht werden, dass die betreffenden Pers onen nicht bestimmbar sind; c) die Zustimmung des Datenschutzbeauftragten vorliegt. 10)

2 Das verantwortliche Organ darf Personendaten an private Pers nen oder Organisationen bekanntgeben, wenn zudem gewährlei tet ist, dass die Personendaten nicht an Dritte weitergegeben wer- den und dass für die D atensicherheit gesorgt ist.

3 Bei der Datenbekanntgabe an Dritte ist eine Vereinbarung abz schliessen. Es kann eine Konventionalstrafe vorgesehen werden für den Fall, dass die Datenschutzbestimmungen nicht eingehalten werden.

4 In diesen Fällen finden Art. 4 Abs. 4 sowie Art. 5 und 8 keine A wendung.

10) Bearbeiten für nicht personen- bezogene Zwecke

Datenbearbei-

16) dritten Stelle im Auftrag bearbeitet, hat letzung liegt vor, wenn bearbeitete Perso- Bearbeiten im Auftrag Informations - sicherheit 14) Meldung von Datenschutz - verletzungen

vernichtet, verändert oder bekannt gegeben werden oder wenn Unbefugte Zugang zu solchen Daten erhalten haben.

Art. 14b 16)

1 Beabsichtigt das öffentliche Organ eine Bearbeitung von Perso- nendaten, die voraussichtlich ein erhöhtes Risiko für die Grund- rechte der betroffenen Person mit sich bringt, führt es eine Daten- schutz -Folgenabschätzung durch.

2 Die Datenschutz -Folgenabschätzung umschreibt die geplante Bearbeitung, die Risiken für die Grundrechte der betroffenen Per- son sowie die Massnahmen, die vorgesehen sind, um das Risiko einer Verletzung der Grundrechte der betroffenen Person zu ver- meiden.

Art. 14c 16)

1 Ergibt sich aus der Datenschutz -Folgenabschätzung, dass die geplante Bearbeitung ein hohes Risiko für die Grundrechte der be- troffenen Person zur Folge hat, so holt das öffentliche Organ vor- gängig die Stellungnahme der Aufsichtsstelle ein.

2 Die Au fsichtsstelle teilt dem öffentlichen Organ innert angemes- sener Frist allfällige Einwände gegen die geplante Bearbeitung mit. Sie kann Massnahmen nach Art. 26 ergreifen. III.

15)

Art. 15

15)

Art. 16

15)

Art. 16a

15)

Art. 17

1 Nicht mehr benötigte Personendaten sind zu vernichten. Vorbe- halten bleiben die Vorschriften über die Archivierung

14)

2 Der Regierungsrat erlässt Vorschriften über die kantonalen öf- fentlichen Archive. Diese gelten sinngemäss für die anderen G meinwesen, sofern diese nicht eigene Bestimmungen erlassen. Der Regierungsrat kann die Bearbeitung besonders schützenswer- ter Personendaten abweichend von Art. 5 regeln. Datenschutz - Folgen- abschätz ung Vorabkonsulta - tion Vernichtung und Archivierung

u- Grund zu der Annahme besteht, e-

13) bei- -Folgenabschätzungen gemäss Art. 14b Information der Empfänger von Personendaten Strafverfolgung und Justizvollzug a) Register b) Daten - schutzberatung

IV. Rechte der betroffenen Personen

Art. 18

... 15)

2 Jede Person erhält auf Verlangen in allgemein verständlicher Form Auskunft darüber, ob und wenn ja welche Daten über sie von einem öffent lichen Organ bearbeitet werden. Die Auskunft erfolgt in der Regel schriftlich. Sie enthält mindestens die Angaben nach

Art. 5a Abs. 2 sowie Angaben über die Aufbewahrungsdauer und Herkunft der Daten. Auf Wunsch werden im Rahmen des Aus-

Form abgegeben.

14)

2bis Von der Auskunftspflicht ausgenommen sind Daten, die aus- schliesslich als persönliche Arbeitsmittel dienen, namentlich per- sönliche Notizen.

16)

3 Die Auskunft erfolgt in der Regel kost enlos. Eine angemessene Gebühr kann unter vorgängiger Bekanntgabe der Höhe verlangt werden, wenn:

14) a) zum Schutz berechtigter Interessen Dritter administrativ auf- wendige Massnahmen zu treffen sind; b) der Antrag rechtsmissbräuchlich ist, namentlich bei exzessiven Anträgen in derselben Angelegenheit.

Art. 19

1 Die Auskunft kann aufgeschoben, eingeschränkt oder verweigert werden, wenn eine gesetzliche Bestimmung, überwiegende öffent- liche oder schutzwürdige Interessen von Dritten dies erfordern.

... 15)

Art. 20

1 Unrichtige Personendaten sind auf Verlangen kostenlos innert ei- ner angemessenen Frist zu berichtigen. 14)

2 Bestreitet das verantwortliche Organ die Unrichtigkeit, obliegt ihm der Beweis für die Richtigkeit der Personendaten, wenn der G genbeweis dem Gesuchsteller nicht ohne weiteres zumutbar ist.

3 Kann weder die Richtigkeit noch die Unrichtigkeit von Daten be- wiesen werden, bringt das verantwortliche Organ bei den Daten ei- nen entspr echenden Vermerk an. Ausk unftsrecht ; a) Grundsatz der Trans - parenz und Informations - anspruch

14) b) Ein - schränkung Berichtigung

i- worden sind, vernichtet oder sonstwie die Folgen ichen Bearbeitens beseitigt werden; a- en gelten deren Orga- s- entsprechender fachlicher Qual i-

16) ung ist nur zulässig bei:

14) g-

16) Unterlas sungs - anspruch und andere Rechte Rechtsschutz Aufsichtsstelle a) Kanton

Art. 24 Der Regierungsrat kann die Gemeinden und öffentlichen Einric tungen ermächtigen, eine eigene Aufsichtsstelle einzurichten. B steht keine sol che, ist die kantonale Aufsichtsstelle zuständig.

Art. 25

1 Die Aufsichtsstelle a) überwacht die Einhaltung der Datenschutzvorschriften; b) erteilt den betroffenen Personen Auskunft über ihre Rechte; c) vermittelt zwischen verantwortlichen Organen und betroffenen Pers onen; d) behandelt Eingaben von betroffenen Personen und gibt fehlungen gemäss Art. 26 Abs. 2 ab;

9) e) berät die verantwortlichen Organe in Fragen des Datenschut- zes und der Datensicherheit, nimmt Stellung zu Erlassen, die für den Datenschutz erheblich sind und ist nach eigenem E messen berechtigt, diese Stellungnahmen zu veröffentl ichen; f) arbeitet zur Erfüllung der Kontrollaufgabe mit den Kontrollorga- nen der anderen Kantone, des Bundes und des Auslandes z sammen;

10) g) ist kantonales Kontrollorgan bei der bundesrechtlichen Aufga- benerfüllung im Sinne der Bundesdatenschutzgesetzge- bung

11) ;

10) h) sensibilisiert die öffentlichen Organe für ihre datenschutzrecht- lichen Pflichten und die Öffentlichkeit für die Anliegen des Da- tenschutzes;

16) i) verfolgt die für den Schutz von Personendaten massgeblichen Entwicklungen.

16)

2 Über ihre Tätigkeit erstattet sie dem Wahlorgan jährlich oder nach Bedarf Bericht. Diese Berichte werden unverändert veröffent- licht.

Art. 26

1 Die Aufsichtsstelle ist befugt, ungeachtet allfälliger Geheimhal- tungspflichten Untersuchungen über die Einhaltung der Daten- schutzbestimmungen durchzuführen, alle für die Erfüllung des Kontrollauftrages erforderlichen Informationen über Datenbearbei- tungen einzuholen, Einsicht in alle Unterlagen zu nehmen, Besich- tigungen durchzuführen und sich Bearbeitungen vorführen zu las- sen.

2 Stellt die Aufsichtsstelle die Verletzung von Datenschutzvorschri ten fest, so kann sie dem verantwortlichen Organ eine Empfehlung b) Gemeinden und öffentliche Einrichtungen Aufgaben Befugnisse

Empfehlung zu informieren. - begründeten Verfügung ordnen; e- oder bei Verletzung von datenschutzrechtlichen ekursentscheide des Regierungsrates kann die Auf- spflegegesetzes. r- Rechtsmittel B eschwerde - und Anzeige- befugnis Schweigepflicht

3 Die Schweigepflicht gilt auch nach Beendigung des Amts Diens tverhältnisses. VI. Straf - und Schlussbestimmungen

Art. 28 Wer als beauftragte Person für das Bearbeiten von Persondenda-

ten gemäss Art. 13 ohne anderslautende ausdrückliche Ermächt gung des auftraggebenden Organs Personendaten für sich oder andere verwendet oder anderen bekanntgibt, wird mit Busse straft.

Art. 29 Der Art. 169 des Gesetzes über das Gemeindewesen für den Kan-

ton Schaffhausen (Gemeindegesetz) vom 9. Juli 1892

4) wird auf- geho ben.

Art. 30

1 Innert einem Jahr nach Inkrafttreten dieses Gesetzes haben die verant wortlichen Organe für bestehende Datensammlungen a) die Registrierung vorzunehmen; b) den Zeitpunkt für die Vernicht ung der Daten festzulegen; c) die Massnahmen zur Datensicherung zu ergreifen.

2 Auf begründetes Gesuch hin kann der Regierungsrat diese Über- gangs frist um höchstens ein Jahr verlängern.

Art. 31

1 Dieses Gesetz tritt nach der Annahme durch das Vol k auf einen vom R egierungsrat zu bestimmenden Zeitpunkt in Kraft

2 Es ist im Amtsblatt zu veröffentlichen

6) und in die kantonale G setze ssammlung aufzunehmen. Straf - bestimmung Aufhebung bisherigen Rechts Übergangs - bestimmung Inkrafttreten

pril 1995. a nuar p- G vom 7. Mai 2007, in Kraft getreten am 1. Se p- am G vom 2. April 2012, in Kraft getreten am 1. No-

14. Juni 2021, in Kraft getreten am 1. De-