Datenschutzgesetz (DSG)

Vom 28. September 2000 (Stand 1. September 2020)

Der Kantonsrat des Kantons Zug,

gestützt auf § 41 Abs. 1 Bst. b der Kantonsverfassung, *

beschliesst:

1. Allgemeine Bestimmungen

§ 1

Zweck

1

Dieses Gesetz bezweckt, Grundrechte von natürlichen Personen zu schützen, über die Organe Daten bearbeiten. *

§ 2

Begriffe

1

§ 3

Geltungsbereich

1

Das Gesetz gilt für das Bearbeiten von Personendaten durch Organe. *

2

Es wird nicht angewendet auf

3

Abweichende Regelungen in formellen Gesetzen bleiben vorbehalten.

4

Die Rechte und Ansprüche der betroffenen Personen in Verfahren der Zivil- und Strafrechtspflege (inklusive Verfahren der internationalen Rechtshilfe) sowie der Verwaltungsrechtspflege richten sich nach dem anwendbaren Verfahrensrecht. *

2. Grundsätze beim Bearbeiten von Personendaten *

§ 4

Richtigkeit, Datenbeschaffung, Zweckbestimmung, Verhältnismässigkeit *

1

Personendaten: *

§ 5

Voraussetzungen für das Bearbeiten von Personendaten *

1

Die Organe dürfen Personendaten bearbeiten, sofern *

2

Die Organe dürfen besonders schützenswerte Personendaten bearbeiten oder ein Profiling vornehmen, sofern *

§ 5a *

Voraussetzungen für das Bearbeiten von Personendaten zu einem nicht personenbezogenen Zweck

1

Die Organe dürfen Personendaten für einen nicht personenbezogenen Zweck, namentlich für Statistik, Forschung oder Planung, bearbeiten, sofern

§ 5b *

Voraussetzungen für das Bekanntgeben von Personendaten

1

Die Organe dürfen Personendaten und besonders schützenswerte Personendaten oder Ergebnisse eines Profilings bekanntgeben, sofern:

§ 5c *

Voraussetzungen für das Bekanntgeben von Personendaten zu einem nicht personenbezogenen Zweck

1

Sofern dies nicht durch eine besondere Geheimhaltungspflicht ausgeschlossen ist, kann ein Organ Personendaten bekanntgeben an

2

Die Empfängerin oder der Empfänger hat sich schriftlich zu verpflichten, die Personendaten zu anonymisieren oder pseudonymisieren, sobald es der Bearbeitungszweck zulässt, und Auswertungen nur so bekanntzugeben, dass keine Rückschlüsse auf betroffene Personen möglich sind.

3

Die private Empfängerin oder der private Empfänger hat sich zudem schriftlich zu verpflichten, die Personendaten nicht für andere Zwecke zu bearbeiten, sie nicht weiterzugeben und für die Informationssicherheit zu sorgen.

§ 5d *

Verantwortung des Organs

1

Die Verantwortung für das Bearbeiten von Personendaten trägt das Organ, das über den Zweck, die Mittel und den Umfang der Bearbeitung entscheidet.

2

Bearbeiten mehrere Organe einen gemeinsamen Datenbestand, regeln sie die Verantwortung.

3

Das Organ muss den Nachweis erbringen können, dass es die Datenschutzbestimmungen einhält.

§ 6

Auftragsdatenbearbeitung *

1

Ein Organ kann das Bearbeiten von Personendaten Dritten übertragen, wenn *

2

Das Organ stellt mittels Auflagen, Vereinbarungen oder in anderer Weise sicher, dass die Auftragsdatenbearbeiterin oder der -bearbeiter die Informationssicherheit gewährleistet und die Rechte der betroffenen Person wahrt. *

3

Das Organ bleibt für den gesetzmässigen Umgang mit den Personendaten verantwortlich. *

4

Die Auftragsdatenbearbeiterin oder der -bearbeiter darf die Bearbeitung nur mit vorgängiger schriftlicher Zustimmung des Organs einer anderen Auftragsdatenbearbeiterin oder einem anderen -bearbeiter übertragen. *

§ 6a *

Informationspflicht

1

Das Organ informiert die betroffene Person über die Beschaffung von Personendaten. Die Informationspflicht gilt auch, wenn Personendaten bei Dritten beschafft werden.

2

Das Organ orientiert spätestens bei der Beschaffung insbesondere über

3

Werden die Personendaten nicht bei der betroffenen Person beschafft, muss diese spätestens einen Monat nach Beschaffung der Daten informiert werden. Werden die Personendaten vor Ablauf dieser Frist bekanntgegeben, muss die betroffene Person zum Zeitpunkt der Bekanntgabe informiert werden.

§ 6b *

Ausnahmen von der Informationspflicht und Einschränkungen

1

Die Informationspflicht entfällt, wenn

2

Die Information kann unter den Voraussetzungen von § 14 Abs. 1 eingeschränkt werden.

§ 7

Informationssicherheit *

1

Die Organe sorgen durch angemessene technische und organisatorische Massnahmen für die Sicherheit aller Personendaten. Personendaten sind insbesondere vor Verlust, Fälschung, Entwendung, Kenntnisnahme, Kopieren und Bearbeiten durch Unbefugte zu sichern. *

2

Der Regierungsrat erlässt innerhalb eines Jahres nach Inkrafttreten dieses Gesetzes entsprechende Vorschriften, insbesondere über die Sicherheitsgrundsätze und das Bewilligungsverfahren im Bereich des elektronischen Datenaustausches. *

§ 7a *

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

1

Organe sind verpflichtet, die Datenbearbeitung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden.

2

Die technischen und organisatorischen Massnahmen müssen insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie den Risiken, welche die Bearbeitung für die Grundrechte der betroffenen Personen mit sich bringt, angemessen sein.

3

Organe sind zudem verpflichtet, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt.

§ 7b *

Datenschutz-Folgenabschätzung

1

Beabsichtigt ein Organ, Daten einer grösseren Anzahl von betroffenen Personen mit elektronischen Mitteln zu bearbeiten oder eine solche Datenbearbeitung wesentlich zu ändern, führt es eine Datenschutz-Folgenabschätzung durch.

2

Die Datenschutz-Folgenabschätzung enthält mindestens

3

Das Organ legt der Datenschutzstelle Vorhaben zur Bearbeitung von Personendaten, die aufgrund der Art der Bearbeitung oder der zu bearbeitenden Personendaten zu einem hohen Risiko einer Verletzung der Grundrechte der betroffenen Personen führen, zur Stellungnahme vor.

§ 7c *

Meldung von Datenschutzverletzungen

1

Das Organ meldet der Datenschutzstelle unverzüglich eine Datenschutzverletzung, es sei denn, diese führt voraussichtlich nicht zu einem Risiko einer Verletzung der Grundrechte der betroffenen Personen.

2

Eine Datenschutzverletzung liegt vor, wenn Personendaten unabsichtlich oder unrechtmässig

3

Die Auftragsdatenbearbeiterin oder der -bearbeiter informiert das auftraggebende Organ unverzüglich über eine Datenschutzverletzung.

4

Das Organ informiert die betroffenen Personen, wenn die Umstände dies erfordern oder die Datenschutzstelle dies verlangt. Die Information kann unter denselben Voraussetzungen eingeschränkt werden wie die Auskunft über die eigenen Personendaten.

§ 7d *

Weitere Pflichten

1

Das Organ teilt Empfängerinnen und Empfängern von Personendaten jede Berichtigung, Löschung oder Vernichtung, Datenschutzverletzungen sowie Bestreitungsvermerke mit, es sei denn, die Mitteilung ist nicht oder nur mit unverhältnismässigem Aufwand möglich.

§ 8 *

…

§ 9

Sperrung der Bekanntgabe

1

Eine betroffene Person kann bei einem Organ voraussetzungslos die Bekanntgabe ihrer Personendaten an Private sperren lassen. *

1a

Die Organe machen in geeigneter Weise auf das Sperrrecht aufmerksam. *

2

Die Sperrung wird nach Eintreffen des Gesuchs sofort wirksam. Das Gesuch muss schriftlich erfolgen und sich auf bestimmte Datenbestände eines Organs beziehen. Die Sperrung ist schriftlich zu bestätigen. *

3

Das Organ verweigert die Sperrung oder hebt sie auf, wenn

§ 10

Einschränkung der Bekanntgabe an Organe

1

Das Organ lehnt die Bekanntgabe von Personendaten an ein anderes Organ ab, schränkt sie ein oder verbindet sie mit Auflagen, wenn dem *

§ 10a *

Grenzüberschreitende Datenbekanntgabe

1

Personendaten dürfen nicht ins Ausland bekanntgegeben werden, wenn dadurch die Persönlichkeit der betroffenen Person gefährdet wird. Eine Gefährdung liegt insbesondere bei Fehlen einer Gesetzgebung vor, die einen angemessenen Schutz gewährleistet. *

2

Fehlt eine Gesetzgebung gemäss Abs. 1, dürfen Personendaten ins Ausland nur bekanntgegeben werden, wenn eine der folgenden Voraussetzungen erfüllt ist: *

3

Eine Datenbekanntgabe ins Ausland darf nicht erfolgen, wenn dadurch in schwerwiegender Weise gegen die öffentliche Ordnung verstossen würde.

§ 11

Anonymisieren und Vernichten von Personendaten *

1

Organe müssen Personendaten, die sie nicht mehr benötigen, anonymisieren oder vernichten, soweit die Daten nicht unmittelbaren Beweiszwecken dienen oder dem zuständigen Archiv abzuliefern sind. *

3. Rechte der betroffenen Personen *

§ 12

Verzeichnis der Bearbeitungstätigkeiten *

1

Die Justiz- und Strafverfolgungsbehörden führen ein Verzeichnis ihrer Bearbeitungstätigkeiten und veröffentlichen dieses. *

2

… *

3

Das Verzeichnis enthält für jede Bearbeitungstätigkeit deren Bezeichnung, das verantwortliche Organ, die Rechtsgrundlagen, den Zweck und, wenn möglich, die Aufbewahrungsdauer. *

4

… *

5

… *

§ 13

Auskunftsrecht *

1

Jede Person kann vom Organ Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann, insbesondere *

2

… *

3

Gesundheitsdaten können der betroffenen Person durch eine von ihr bezeichnete Ärztin oder einen von ihr bezeichneten Arzt mitgeteilt werden. *

§ 14

Einschränkung des Auskunftsrechts *

1

Ein Organ darf die Auskunft über Personendaten aus überwiegenden Interessen der Öffentlichkeit oder Dritter begründet einschränken, mit Auflagen versehen, aufschieben oder verweigern. *

2

Bei einer Auftragsdatenbearbeitung ist das Organ zuständig, das die Datenbearbeitung übertragen hat. *

§ 15

Ansprüche bei widerrechtlichem Bearbeiten von Personendaten *

1

Wer ein schützenswertes Interesse hat, kann vom Organ verlangen, dass es

2

Die betroffene Person kann insbesondere vom Organ verlangen, dass es

3

Bestreitet das Organ die Unrichtigkeit von Personendaten, obliegt ihm der Beweis für die Richtigkeit. Die betroffene Person hat bei der Abklärung mitzuwirken. *

4

Kann aufgrund der Natur der Personendaten weder deren Richtigkeit noch deren Unrichtigkeit festgestellt werden, insbesondere bei Werturteilen, kann die betroffene Person die Aufnahme eines Bestreitungsvermerks verlangen. Der Bestreitungsvermerk ist den bestrittenen Daten beizufügen. *

§ 16

Ablehnung von Gesuchen

1

Entspricht ein Organ einem Gesuch aufgrund dieses Gesetzes nicht, erlässt es einen begründeten, mit einer Rechtsmittelbelehrung versehenen Entscheid.

§ 16a *

Formloser Rechtsbehelf

1

Die oder der Datenschutzbeauftragte behandelt Eingaben von betroffenen Personen betreffend die Missachtung von Vorschriften dieses Gesetzes und informiert innerhalb von höchstens drei Monaten über das Ergebnis oder den Stand der Abklärungen.

§ 17

Kosten

1

Auskunft und Einsicht durch die betroffenen Personen sind kostenlos.

2

Jede Person kann von den sie betreffenden Daten Kopien verlangen. In der Regel werden dafür keine Kosten erhoben.

3

… *

4. Wahl, Rechtsstellung, Aufgaben *

§ 18 *

Kantonale Datenschutzstelle

1

Der Kanton schafft eine Datenschutzstelle.

2

Der Kantonsrat wählt eine in Datenschutzfragen ausgewiesene Fachperson als Datenschutzbeauftragte oder Datenschutzbeauftragten auf eine Amtsdauer von vier Jahren. Die Wahl erfolgt mindestens sechs Monate vor Beginn der Amtsperiode. *

3

Die Datenschutzstelle erfüllt die Aufgaben nach diesem Gesetz unabhängig. Administrativ ist sie der Staatskanzlei zugeordnet.

4

Das Personalrecht ist auf die Datenschutzbeauftragte oder den Datenschutzbeauftragten nur insoweit anwendbar, als es mit den Bestimmungen des Datenschutzgesetzes vereinbar ist. *

5

Das Finanzhaushaltgesetz und das Archivgesetz sind auf die Datenschutzstelle nur insoweit anwendbar, als sie mit den Bestimmungen des Datenschutzgesetzes vereinbar sind. *

§ 18a *

Unvereinbarkeit, öffentliches Nebenamt und Nebenerwerb *

1

Die oder der Datenschutzbeauftragte darf keine Tätigkeit ausüben, die sie oder ihn in der Unabhängigkeit der Amtsführung beeinträchtigen könnte oder die in anderer Weise mit den Aufgaben der Datenschutzstelle unvereinbar ist. Insbesondere darf sie oder er nebst der Anstellung als Datenschutzbeauftragte oder Datenschutzbeauftragter keine leitende Funktion in einer politischen Partei ausüben und bei Trägern öffentlicher Aufgaben im Kanton Zug weder angestellt sein noch ein öffentliches Amt bekleiden. *

2

Die Ausübung eines öffentlichen Nebenamts oder einer Nebenerwerbstätigkeit, welche mit der beruflichen Tätigkeit als Datenschutzbeauftragte oder Datenschutzbeauftragter in einem Zusammenhang steht, bedarf der Bewilligung durch die Justizprüfungskommission. *

3

… *

§ 18b *

Ausstand

1

Für den Ausstand der oder des Datenschutzbeauftragten gelten sinngemäss die gleichen Regelungen wie für die Mitglieder des Verwaltungsgerichts. Die oder der Datenschutzbeauftragte entscheidet selbst über ihren oder seinen Ausstand.

§ 18c *

Budget

1

Die Datenschutzstelle erstellt ein eigenes Budget und leitet es an den Regierungsrat zuhanden des Kantonsrats weiter. Der Regierungsrat kann dem Kantonsrat einen davon abweichenden Antrag vorlegen.

2

Die oder der Datenschutzbeauftragte vertritt das Budget der Datenschutzstelle im Kantonsrat.

3

Die Datenschutzstelle verfügt im Rahmen ihres Budgets über eigene Ausgabenbefugnisse.

§ 18d *

Mitarbeitende, Stellvertretung

1

Die oder der Datenschutzbeauftragte stellt die erforderlichen Mitarbeitenden gemäss den Bestimmungen des Personalrechts selber an und regelt die Stellvertretung.

2

Die Mitarbeitenden der Datenschutzstelle arbeiten ausschliesslich nach den Weisungen der oder des Datenschutzbeauftragten.

3

Gegen personalrechtliche Massnahmen der oder des Datenschutzbeauftragten kann beim Verwaltungsgericht Beschwerde eingereicht werden.

§ 18e *

Unabhängige Datenschutzstellen der Gemeinden

1

Gemeinden können für ihre Aufgabenbereiche eigene unabhängige Datenschutzstellen schaffen. Sie arbeiten mit der kantonalen Datenschutzstelle unter deren Aufsicht zusammen.

2

Die Datenschutzstellen von Gemeinden erfüllen für ihren Bereich sinngemäss die gleichen Aufgaben wie die kantonale Datenschutzstelle.

3

Ist in einer Gemeinde keine eigene Datenschutzstelle vorhanden, ist für den Datenschutz die kantonale Datenschutzstelle zuständig.

§ 19

Aufgaben

1

Die oder der Datenschutzbeauftragte *

2

Die Datenschutzstellen der Gemeinden üben sinngemäss dieselben Aufgaben aus.

§ 19a *

Vorabkonsultation *

1

… *

2

Die Datenschutzstelle nimmt Stellung zu Vorhaben der Organe zu Datenbearbeitungen, die aufgrund der Art der Bearbeitung oder der zu bearbeitenden Personendaten zu einem hohen Risiko für die Grundrechte der betroffenen Personen führen. *

3

Die Datenschutzstelle erstellt eine Liste derjenigen Bearbeitungsvorgänge, die vorab zur Konsultation zu unterbreiten sind. *

§ 20 *

Befugnisse

1

Die Datenschutzstelle kann ungeachtet allfälliger Geheimhaltungsvorschriften bei den Organen Auskünfte über das Bearbeiten von Personendaten einholen, Einsicht in die Unterlagen nehmen und sich Datenbearbeitungen vorführen lassen. *

2

Ergibt die Abklärung, dass Datenschutzvorschriften verletzt werden, fordert sie das Organ mittels Empfehlung auf, die erforderlichen Massnahmen zu ergreifen. Die zuständige vorgesetzte Behörde ist zu orientieren.

2a

Das Organ teilt der Datenschutzstelle mit, ob es der Empfehlung folgt oder nicht. *

3

Wird die Aufforderung nicht befolgt oder abgelehnt, unterbreitet sie die Angelegenheit dem zuständigen Gemeinderat (gemeindliche Angelegenheit) bzw. dem Regierungsrat (kantonale Angelegenheit) zum Entscheid. Der Entscheid wird der betroffenen Person und der Datenschutzstelle in Form einer Verfügung mitgeteilt.

4

Die Datenschutzstelle ist berechtigt, gegen die Verfügung nach Abs. 3 und gegen den Entscheid der Beschwerdebehörde Beschwerde zu führen.

§ 20a *

Amtsgeheimnis *

1

Die oder der Datenschutzbeauftragte sowie die Mitarbeitenden der Datenschutzstelle sind hinsichtlich Tatsachen und Wahrnehmungen, die sie in Ausübung ihrer Tätigkeit erfahren, zur Verschwiegenheit verpflichtet. Sie dürfen Kenntnisse, die sie bei ihrer Tätigkeit erlangt haben, nur so weit bekanntgeben, als es zur Erfüllung ihrer Aufgaben erforderlich ist. Das Amtsgeheimnis besteht nach Beendigung des Dienstverhältnisses weiter. *

2

Zur Mitteilung geheim zu haltender Tatsachen und Wahrnehmungen an Drittpersonen und Amtsstellen sowie zur Erfüllung der Zeugnispflicht in verwaltungsrechtlichen Verfahren bedürfen die oder der Datenschutzbeauftragte und die Mitarbeitenden der Datenschutzstelle der Entbindung vom Amtsgeheimnis durch die betroffene Person oder die Justizprüfungskommission. *

3

Die oder der Datenschutzbeauftragte sowie die Mitarbeitenden der Datenschutzstelle sind von der strafprozessualen Anzeigepflicht entbunden. *

4

Die Schweigepflicht der oder des Datenschutzbeauftragten entfällt insoweit, als es sich zur Verhinderung von Verbrechen oder Vergehen als nötig erweist. In diesen Fällen ist sie oder er zur strafprozessualen Anzeige berechtigt, aber nicht verpflichtet. *

§ 21

Unterstützung durch die Organe

1

Die Organe unterstützen die Datenschutzstelle bei der Erfüllung ihrer Aufgaben.

5. Rechtspflege und Strafbestimmung

§ 22

Grundsatz

1

Die Rechtspflege richtet sich nach dem Gesetz über den Rechtsschutz in Verwaltungssachen vom 1. April 1976[2].

§ 23

Einsprache

1

Gegen Entscheide der Organe kann Einsprache erhoben werden.

§ 24

Strafbestimmung

1

Wer vorsätzlich gegen Datenschutzbestimmungen dieses Gesetzes oder anderer Erlasse verstösst, wird mit Busse bestraft. *

2

Mit Busse wird auch bestraft, wer vorsätzlich gegen Verpflichtungen in Vereinbarungen verstösst, die auf § 5c Abs. 2 oder 3, § 6 Abs. 2 dieses Gesetzes oder auf § 57f^bis Abs. 2 Bst. c Gemeindegesetz[3] beruhen. *

§ 25

Verfahren bei Haftungsansprüchen

1

Wird die betroffene Person durch eine natürliche oder juristische Person geschädigt, die Datenbearbeitung im Auftrag eines Organs ausführt, so haftet das auftragserteilende Organ aufgrund des Verantwortlichkeitsgesetzes[4].

2

Im Verfahren um Feststellung der Widerrechtlichkeit des Bearbeitens von Daten ist gleichzeitig über die geltend gemachten Schadenersatz- und Genugtuungsansprüche zu entscheiden.

3

Im Übrigen kommt das Verantwortlichkeitsgesetz[5] zur Anwendung.

6. Übergangs- und Schlussbestimmungen

§ 26

Anpassung an das neue Recht

1

… *

2

Folgende Gesetze werden wie folgt geändert:

§ 26a *

Übergangsbestimmung

1

Die Wahl der oder des Datenschutzbeauftragten durch den Kantonsrat erfolgt erstmalig für die Amtsperiode 2015–2018.

2

Die Anstellung der oder des Datenschutzbeauftragten untersteht bis am 31. Dezember 2014 bisherigem Recht.

3

Die oder der bisherige Datenschutzbeauftragte kann vom Kantonsrat unter Wahrung des Besitzstandes für die Amtsperiode 2015–2018 nach neuem Recht gewählt werden.

§ 27

Inkrafttreten

1

Dieses Gesetz tritt nach unbenützter Referendumsfrist (§ 34 der Kantonsverfassung) oder nach der Annahme durch das Volk am Tage nach der Veröffentlichung im Amtsblatt in Kraft[7].

1. [1] BGS 111.1
2. [2] BGS 162.1
3. [3] BGS 171.1
4. [4] BGS 154.11
5. [5] BGS 154.11
6. [6] GS 22, 19 (BGS 152.3)
7. [7] Inkrafttreten am 9. Dezember 2000

Änderungstabelle – Nach Beschluss

Änderungstabelle – Nach Artikel