235.1Liechtensteinisches LandesgesetzblattLiechtensteinisches LandesgesetzblattJahrgang 2018Jahrgang 2018 Nr. 272Nr. 272 ausgegeben am 7. Dezember 2018ausgegeben am 7. Dezember 2018Datenschutzgesetz (DSG)Datenschutzgesetz (DSG)vom 4. Oktober 2018Dem nachstehenden vom Landtag gefassten Beschluss erteile IchMeineZustimmung:1I. Allgemeine BestimmungenI. Allgemeine BestimmungenA. Zweck, Anwendungsbereich und BegriffsbestimmungenA. Zweck, Anwendungsbereich und BegriffsbestimmungenArt. 1Zweck1)Dieses Gesetz bezweckt den Schutz der Persönlichkeit und derGrundrechte von natürlichen Personen beiderVerarbeitung ihrer perso-nenbezogenen Daten.2) Es dient zudem:a)derDurchführung derVerordnung (EU) 2016/ 679 desEuropäischenParlaments und desRates vom 27.April 2016 zum Schutz natürlicherPersonen beiderVerarbeitung personenbezogener Daten, zum freienDatenverkehr und zur Aufhebung der Richtlinie 95/46/EG(Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1) ;b)derUmsetzung derRichtlinie (EU) 2016/ 680 desEuropäischen Parla-ments und desRates vom 27.April 2016 zum Schutz natürlicher Per-sonen beiderVerarbeitung personenbezogener Daten durch diezustän-digen Behörden zum Zwecke derVerhütung, Ermittlung, Aufdeckungoder Verfolgung von Straftaten oder derStrafvollstreckung sowie zumFassung: 01.01.2021 1freien Datenverkehr und zurAufhebung desRahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89) .3)Die jeweils geltende Fassung derinAbs. 2genannten Rechtsvor-schriften ergibt sich ausderKundmachung derBeschlüsse desGemein-samen EWR-Ausschusses und derStaatsverträge zur WeiterentwicklungdesSchengen-Besitzstands imLiechtensteinischen Landesgesetzblatt nachArt. 3 Bst. c und k des Kundmachungsgesetzes.Art. 2Anwendungsbereich1)Dieses Gesetz giltfürdieVerarbeitung personenbezogener Datendurch öffentliche Stellen. Für nicht-öffentliche Stellen giltdieses Gesetzfürdieganz oder teilweise automatisierte Verarbeitung personenbezogenerDaten sowie die nichtautomatisierte Verarbeitung personenbezogenerDaten, dieineinem Dateisystem gespeichert sind oder gespeichert werdensollen, esseidenn, dieVerarbeitung durch natürliche Personen erfolgt zurAusübung ausschliesslich persönlicher oder familiärer Tätigkeiten.2)Spezialgesetzliche Bestimmungen über den Datenschutz gehen denVorschriften dieses Gesetzes vor. Regeln sieeinen Sachverhalt, fürdendieses Gesetz gilt, nicht oder nicht abschliessend, finden dieVorschriftendieses Gesetzes subsidiär Anwendung. DieVerpflichtung zurWahrung vonGeheimhaltungspflichten oder von Berufs- oder Amtsgeheimnissen bleibtunberührt.3)Dieses Gesetz findet Anwendung auföffentliche Stellen. Auf nicht-öffentliche Stellen findet es Anwendung, sofern:a)derVerantwortliche oder Auftragsverarbeiter personenbezogene Datenim Inland verarbeitet;b)dieVerarbeitung personenbezogener Daten imRahmen derTätigkeiteneiner inländischen Niederlassung desVerantwortlichen oder Auftrags-verarbeiters erfolgt; oderc)derVerantwortliche oder Auftragsverarbeiter zwar keine Niederlassungineinem EWR-Mitgliedstaat hat,eraber indenAnwendungsbereich derVerordnung (EU) 2016/679 fällt.Sofern dieses Gesetz nicht nach Satz 2Anwendung findet, gelten fürdenVerantwortlichen oder Auftragsverarbeiter nur Art. 9 bis 20 und 39 bis 44.4)Für Verarbeitungen personenbezogener Daten durch öffentlicheStellen imRahmen von nicht indieAnwendungsbereiche derVerordnung235.1 DSG2 Fassung: 01.01.2021(EU) 2016/ 679 und derRichtlinie (EU) 2016/ 680 fallenden Tätigkeiten,finden dieVerordnung (EU) 2016/ 679und Kapitel Iund IIdieses Gesetzesentsprechend Anwendung, soweit nicht indiesem Gesetz oder einemanderen Gesetz Abweichendes geregelt ist.5) Dieses Gesetz findet keine Anwendung auf:a)Beratungen imLandtag und inKommissionen desLandtags sowie imRichterauswahlgremium;b) hängige Zivilverfahren und Verwaltungsbeschwerdeverfahren;c) hängige Verfahren vor dem Staatsgerichtshof;d) die Tätigkeiten der Finanzkontrolle des Landes.6)Dieses Gesetz findet keine Anwendung, soweit dasEWR-Recht, ins-besondere die Verordnung (EU) 2016/679, unmittelbar gilt.Art. 3Begriffe und Bezeichnungen1) Im Sinne dieses Gesetzes gelten als:a) "öffentliche Stellen":1.dieOrgane desStaates, derGemeinden und vonKörperschaften, Stif-tungen und Anstalten des öffentlichen Rechts;2.nicht-öffentliche Stellen, soweit sieinErfüllung derihnen übertra-genen öffentlichen Aufgaben tätig sind;b) "nicht-öffentliche Stellen":1.natürliche und juristische Personen sowie rechtsfähige Personenge-sellschaften, diedem Privatrecht unterstehen, soweit sienicht unterBst. a Ziff. 2 fallen;2.öffentliche Stellen nach Bst. aZiff. 1,wenn sieprivatwirtschaftlichhandeln.2)Unter den indiesem Gesetz verwendeten Personen- und Funkti-onsbezeichnungen sind Angehörige des weiblichen und männlichenGeschlechts zu verstehen.DSG 235.1Fassung: 01.01.2021 3B. Rechtsgrundlagen der Verarbeitung personenbezogener DatenB. Rechtsgrundlagen der Verarbeitung personenbezogener DatenArt. 4Verarbeitung personenbezogener Daten durch öffentliche StellenDieVerarbeitung personenbezogener Daten durch eine öffentliche Stelleistzulässig, wenn siezurErfüllung derinderZuständigkeit desVerant-wortlichen liegenden Aufgabe oder inAusübung öffentlicher Gewalt, diedem Verantwortlichen übertragen wurde, erforderlich ist.Art. 5Videoüberwachung öffentlich zugänglicher Räume1)DieBeobachtung öffentlich zugänglicher Räume mitoptisch-elektro-nischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit:a) sie erforderlich ist:1. zur Aufgabenerfüllung öffentlicher Stellen;2. zur Wahrnehmung des Hausrechts; oder3.zur Wahrnehmung berechtigter Interessen fürkonkret festgelegteZwecke; undb)keine Anhaltspunkte bestehen, dass schutzwürdige Interessen derBetrof-fenen überwiegen.2)BeiderVideoüberwachung folgender Anlagen und Einrichtungen giltderSchutz von Leben, Gesundheit oder Freiheit von dort aufhältigen Per-sonen als ein besonders wichtiges Interesse:a)öffentlich zugängliche grossflächige Anlagen, wie insbesondere Sport-,Versammlungs- und Vergnügungsstätten, Einkaufszentren oder Park-plätze; oderb)Fahrzeuge und öffentlich zugängliche grossflächige Einrichtungen desöffentlichen Verkehrs.3)Der Umstand derBeobachtung und derName und dieKontaktdatendesVerantwortlichen sind durch geeignete Massnahmen zum frühestmögli-chen Zeitpunkt erkennbar zu machen.4)DieSpeicherung oder Verwendung vonnach Abs. 1und 2erhobenenDaten istzulässig, wenn siezum Erreichen desverfolgten Zwecks erforder-lich istund keine Anhaltspunkte bestehen, dass schutzwürdige InteressenderBetroffenen überwiegen. Abs. 2giltentsprechend. Für einen anderenZweck dürfen sienur weiterverarbeitet werden, soweit dies zurAbwehr235.1 DSG4 Fassung: 01.01.2021von Gefahren fürdiestaatliche oder öffentliche Sicherheit, zur Abwehreiner schweren Gefahr fürLeib, Leben, Freiheit oder Eigentum sowie zurVerfolgung vonStraftaten oder zurBeweissicherung erforderlich ist;indenletztgenannten Fällen kann dieLandespolizei dieÜbermittlung dererho-benen Daten verlangen.5)Werden durch Videoüberwachung erhobene Daten einer bestimmtenPerson zugeordnet, sobesteht diePflicht zurInformation derbetroffenenPerson über dieVerarbeitung nach Art. 13und 14derVerordnung (EU)2016/679. Art. 32 gilt entsprechend.6)Die Daten sind unverzüglich zulöschen, wenn siezurErreichungdesZwecks nicht mehr erforderlich sind oder schutzwürdige Interessen derBetroffenen einer weiteren Speicherung entgegenstehen.7)Der Einsatz einer Videoüberwachung muss vorderInbetriebnahmebeider Datenschutzstelle gemeldet werden. Von einer Meldung ausge-nommen sind Bildübermittlungen inEchtzeit ohne Aufzeichnungs- odersonstige weitere Verarbeitungsmöglichkeit. Die Regierung regelt dasNähere mit Verordnung.8)Wer vorsätzlich gegen dieMeldepflicht nach Abs. 7verstösst, wirdvon der Datenschutzstelle wegen Übertretung mit Busse biszu5000Franken bestraft. Art. 40 Abs. 3 bis 6 findet entsprechende Anwendung.C. Datenschutzbeauftragte öffentlicher StellenC. Datenschutzbeauftragte öffentlicher StellenArt. 6Benennung1)Öffentliche Stellen benennen einen Datenschutzbeauftragten. Diesgiltauch füröffentliche Stellen nach Art. 3Abs. 1Bst. bZiff. 2,dieprivat-wirtschaftlich handeln.2)Für mehrere öffentliche Stellen kann unter Berücksichtigung ihrerOrganisationsstruktur und ihrer Grösse eingemeinsamer Datenschutzbe-auftragter benannt werden.3)Der Datenschutzbeauftragte wird aufderGrundlage seiner berufli-chen Qualifikation und insbesondere seines Fachwissens benannt, daseraufdem Gebiet desDatenschutzrechts und derDatenschutzpraxis besitzt,sowie aufder Grundlage seiner Fähigkeit zur Erfüllung der inArt. 8genannten Aufgaben.DSG 235.1Fassung: 01.01.2021 54)Der Datenschutzbeauftragte kann Beschäftigter deröffentlichen Stellesein oder seine Aufgaben aufderGrundlage eines Dienstleistungsvertragserfüllen.5)Die öffentliche Stelle veröffentlicht dieKontaktdaten des Daten-schutzbeauftragten und teilt diese Daten der Datenschutzstelle mit.Art. 7Stellung1)Die öffentliche Stelle stellt sicher, dass derDatenschutzbeauftragteordnungsgemäss und frühzeitig inallemitdem Schutz personenbezogenerDaten zusammenhängenden Fragen eingebunden wird.2)Dieöffentliche Stelle unterstützt denDatenschutzbeauftragten beiderErfüllung seiner Aufgaben nach Art. 8,indem siediefürdieErfüllung dieserAufgaben erforderlichen Ressourcen und den Zugang zupersonenbezo-genen Daten und Verarbeitungsvorgängen sowie diezurErhaltung seinesFachwissens erforderlichen Ressourcen zur Verfügung stellt.3)Dieöffentliche Stelle stellt sicher, dass derDatenschutzbeauftragte beiderErfüllung seiner Aufgaben keine Anweisungen bezüglich derAusübungdieser Aufgaben erhält. Der Datenschutzbeauftragte berichtet unmittelbarderLeitung deröffentlichen Stelle. Der Datenschutzbeauftragte darf vonderöffentlichen Stelle wegen derErfüllung seiner Aufgaben nicht abberufenoder benachteiligt werden.4)Die Abberufung des Datenschutzbeauftragten istnur inentspre-chender Anwendung von Art. 24 des Staatspersonalgesetzes zulässig.5)Betroffene Personen können den Datenschutzbeauftragten zuallenmitderVerarbeitung ihrer personenbezogenen Daten und mitderWahr-nehmung ihrer Rechte nach derVerordnung (EU) 2016/ 679, diesem Gesetzsowie anderen Gesetzen über den Datenschutz imZusammenhang ste-henden Fragen zuRate ziehen. Der Datenschutzbeauftragte istzurVer-schwiegenheit über die Identität der betroffenen Person sowie überUmstände, die Rückschlüsse auf die betroffene Person zulassen, ver-pflichtet, soweit er nicht davon durch die betroffene Person befreit wird.6)Wenn derDatenschutzbeauftragte beiseiner Tätigkeit Kenntnis vonDaten erhält, fürdiederLeitung oder einer beideröffentlichen Stellebeschäftigten Person ausberuflichen Gründen einZeugnisverweigerungs-recht zusteht, steht dieses Recht auch dem Datenschutzbeauftragten undden ihm unterstellten Beschäftigten zu.Über dieAusübung dieses Rechts235.1 DSG6 Fassung: 01.01.2021entscheidet diePerson, derdasZeugnisverweigerungsrecht ausberuflichenGründen zusteht, esseidenn, dass diese Entscheidung inabsehbarer Zeitnicht herbeigeführt werden kann. Soweit dasZeugnisverweigerungsrechtdesDatenschutzbeauftragten reicht, unterliegen seine Akten und andereDokumente einem Beschlagnahmeverbot.Art. 8Aufgaben1)Dem Datenschutzbeauftragten obliegen neben deninderVerordnung(EU) 2016/679 genannten Aufgaben zumindest folgende Aufgaben:a)Unterrichtung und Beratung deröffentlichen Stelle und derBeschäf-tigten, dieVerarbeitungen durchführen, hinsichtlich ihrer Pflichten nachdiesem Gesetz und sonstigen Vorschriften über den Datenschutz, ein-schliesslich derzurUmsetzung derRichtlinie (EU) 2016/ 680erlassenenGesetze;b)Überwachung derEinhaltung dieses Gesetzes und sonstiger Vorschriftenüber denDatenschutz, einschliesslich derzurUmsetzung derRichtlinie(EU) 2016/ 680erlassenen Gesetze, sowie derStrategien deröffentlichenStelle fürden Schutz personenbezogener Daten, einschliesslich derZuweisung von Zuständigkeiten, derSensibilisierung und derSchulungderanden Verarbeitungsvorgängen beteiligten Beschäftigten und derdiesbezüglichen Überprüfungen;c)Beratung imZusammenhang mit derDatenschutz-Folgenabschätzungund Überwachung ihrer Durchführung nach Art. 66;d) Zusammenarbeit mit der Datenschutzstelle;e)Tätigkeit alsAnlaufstelle fürdieDatenschutzstelle inmitderVerarbei-tung zusammenhängenden Fragen, einschliesslich dervorherigen Kon-sultation nach Art. 68und gegebenenfalls Beratung zuallen sonstigenFragen.2)ImFall eines beieinem Gericht bestellten Datenschutzbeauftragtenbeziehen sich dieAufgaben nach Abs. 1nicht aufdasHandeln desGerichtsim Rahmen seiner justiziellen Tätigkeit.3)Der Datenschutzbeauftragte kann andere Aufgaben und Pflichtenwahrnehmen. Die öffentliche Stelle stellt sicher, dass derartige Aufgabenund Pflichten nicht zu einem Interessenkonflikt führen.4)Der Datenschutzbeauftragte trägt beiderErfüllung seiner Aufgabendem mit den Verarbeitungsvorgängen verbundenen Risiko gebührendDSG 235.1Fassung: 01.01.2021 7Rechnung, wobei erdieArt, den Umfang, dieUmstände und dieZweckeder Verarbeitung berücksichtigt.D. DatenschutzstelleD. DatenschutzstelleArt. 9Stellung und Organisation1)DieDatenschutzstelle istdienationale Aufsichtsbehörde nach Art. 51der Verordnung (EU) 2016/679 und Art. 41 der Richtlinie (EU) 2016/680.2)Die Datenschutzstelle besteht ausdem Leiter derDatenschutzstelleund dem übrigen Personal.3)Soweit sich ausderVerordnung (EU) 2016/ 679oder diesem Gesetznicht etwas anderes ergibt, findet aufdasDienstverhältnis desLeiters derDatenschutzstelle und des übrigen Personals der Datenschutzstelle dasStaatspersonalgesetz sinngemäss Anwendung.Art. 10Zuständigkeit1)Die Datenschutzstelle istzuständig fürdieAufsicht über dievonöffentlichen und nicht-öffentlichen Stellen vorgenommenen Verarbei-tungen.2) Die Datenschutzstelle ist nicht zuständig für die Aufsicht über:a)dievon derRegierung imRahmen ihrer Tätigkeit vorgenommenen Ver-arbeitungen;b)dievondenGerichten imRahmen ihrer justiziellen Tätigkeit vorgenom-menen Verarbeitungen.235.1 DSG8 Fassung: 01.01.2021Art. 11Unabhängigkeit1)DieDatenschutzstelle handelt beiderErfüllung ihrer Aufgaben undbeiderAusübung ihrer Befugnisse völlig unabhängig. Sieunterliegt wederdirekter noch indirekter Beeinflussung von aussen und ersucht weder umWeisung noch nimmt sie Weisungen entgegen.2)Die Datenschutzstelle unterliegt derPrüfung durch dieFinanzkon-trolle nach dem Finanzkontrollgesetz.Begründung und Beendigung von DienstverhältnissenArt. 12a) Leiter der Datenschutzstelle1)Der Landtag wählt denLeiter derDatenschutzstelle aufVorschlag derRegierung für eine Dauer von sechs Jahren. Die Wiederwahl ist möglich.2)Endet dasDienstverhältnis mitAblauf derVertragsdauer, sokann dieRegierung inbegründeten Fällen dasDienstverhältnis biszurAnstellungeines Nachfolgers um bis zu sechs Monate verlängern.3)Das Dienstverhältnis des Leiters der Datenschutzstelle endet mitAblauf der Vertragsdauer; vorbehalten bleibt Abs. 4.4)Das Dienstverhältnis desLeiters derDatenschutzstelle kann von derRegierung nur gekündigt bzw. aufgelöst werden, wenn:a)erwegen Krankheit oder Unfall anderErfüllung derAufgaben verhin-dert ist; oderb) ein wichtiger Grund für eine fristlose Auflösung vorliegt.Art. 13b) Übriges Personal der Datenschutzstelle1)Das übrige Personal derDatenschutzstelle wird aufVorschlag desLeiters der Datenschutzstelle von der Regierung angestellt.2)Bestimmungen über dieVersetzung und dieBeendigung desDienst-verhältnisses nach Art. 16und 18bis27desStaatspersonalgesetzes findenaufdasübrige Personal derDatenschutzstelle mitderMassgabe Anwen-dung, dass dieVersetzung oder Beendigung desDienstverhältnisses durchdie Regierung eines Antrags des Leiters der Datenschutzstelle bedarf.DSG 235.1Fassung: 01.01.2021 9Art. 14Rechte und Pflichten1)Der Leiter derDatenschutzstelle sieht von allen mitden Aufgabenseines Amtes nicht zuvereinbarenden Handlungen abund übtwährendseiner Amtszeit keine andere mitseinem Amt nicht zuvereinbarende ent-geltliche oder unentgeltliche Tätigkeit aus. Der Leiter derDatenschutzstelledarf weder dem Landtag, derRegierung, einem Gericht oder einer Ver-waltungsbehörde angehören noch dieFunktion eines Gemeindevorstehersoder eines Gemeinderates einer liechtensteinischen Gemeinde ausüben. Mitseiner Bestellung scheidet eraussolchen Ämtern aus. Erdarf nicht gegenEntgelt aussergerichtliche Gutachten abgeben.2)Der Leiter derDatenschutzstelle istberechtigt, über Personen, dieihm inseiner Eigenschaft alsLeiter derDatenschutzstelle Tatsachen anver-traut haben, sowie über diese Tatsachen selbst dasZeugnis zuverweigern.Dies giltauch fürdasübrige Personal derDatenschutzstelle mitderMass-gabe, dass über dieAusübung dieses Rechts derLeiter derDatenschutzstelleentscheidet. Soweit dasZeugnisverweigerungsrecht desLeiters derDaten-schutzstelle reicht, darf dieVorlegung oder Auslieferung von Akten oderanderen Dokumenten von ihm nicht gefordert werden.3)Der Leiter derDatenschutzstelle ist,auch nach Beendigung seinesDienstverhältnisses, verpflichtet, über dieihm inAusübung seines Amtesbekanntgewordenen Angelegenheiten Verschwiegenheit zubewahren. Diesgiltnicht fürMitteilungen imdienstlichen Verkehr oder über Tatsachen,dieoffenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltungbedürfen. Der Leiter der Datenschutzstelle entscheidet nach pflichtge-mässem Ermessen, obund inwieweit erüber solche Angelegenheiten vorGericht oder aussergerichtlich aussagt oder Erklärungen abgibt; wenn ernicht mehr imAmt ist,istdieGenehmigung desamtierenden Leiters derDatenschutzstelle erforderlich. Unberührt bleibt diegesetzlich begründetePflicht, Straftaten anzuzeigen.4)Für den Leiter derDatenschutzstelle und dasübrige Personal derDatenschutzstelle gelten dieArt. 84und 85desSteuergesetzes nicht. Diesgiltnicht, soweit dieSteuerbehörden dieKenntnis fürdieDurchführungeines Verfahrens wegen einer Steuerstraftat sowie eines damit zusammen-hängenden Steuerverfahrens benötigen, anderen Verfolgung einzwin-gendes öffentliches Interesse besteht, oder soweit essich umvorsätzlich fal-sche Angaben desAuskunftspflichtigen oder derfürihntätigen Personenhandelt. Stellt dieDatenschutzstelle einen Datenschutzverstoss fest, istsie235.1 DSG10 Fassung: 01.01.2021befugt, diesen anzuzeigen und diebetroffene Person hierüber zuinfor-mieren.5)Der Leiter derDatenschutzstelle darf alsZeuge aussagen, esseidenn,die Aussage würde:a)dem Wohl desLandes Nachteile bereiten, insbesondere Nachteile fürdieSicherheit oder die Beziehungen zu anderen Staaten; oderb) Grundrechte verletzen.6)Betrifft dieAussage nach Abs. 5laufende oder abgeschlossene Vor-gänge, diedem Zuständigkeitsbereich derRegierung zuzurechnen sind odersein könnten, darf derLeiter derDatenschutzstelle nurinAbstimmung mitderRegierung aussagen. Diese darf dieGenehmigung nurverweigern, wennes das Wohl des Landes erfordert.7)Der Leiter derDatenschutzstelle erlässt einOrganisationsreglement,das der Regierung zur Kenntnis gebracht wird.Art. 15Aufgaben1)Die Datenschutzstelle hatneben den inderVerordnung (EU) 2016/679 genannten die folgenden Aufgaben:a)dieAnwendung dieses Gesetzes und sonstiger Vorschriften über denDatenschutz, einschliesslich der zur Umsetzung der Richtlinie (EU)2016/680 erlassenen Gesetze, zu überwachen und durchzusetzen;b)dieÖffentlichkeit fürdieRisiken, Vorschriften, Garantien und Rechte imZusammenhang mitderVerarbeitung personenbezogener Daten zusen-sibilisieren und siedarüber aufzuklären, wobei spezifische Massnahmenfür Kinder besondere Beachtung finden;c)denLandtag, dieRegierung und andere Einrichtungen und Gremien überlegislative und administrative Massnahmen zum Schutz derRechte undFreiheiten natürlicher Personen inBezug aufdieVerarbeitung personen-bezogener Daten zu beraten;d)dieVerantwortlichen und dieAuftragsverarbeiter fürdieihnen ausdiesem Gesetz und sonstigen Vorschriften über den Datenschutz, ein-schliesslich denzurUmsetzung derRichtlinie (EU) 2016/ 680erlassenenGesetze, entstehenden Pflichten zu sensibilisieren;e)aufAnfrage jeder betroffenen Person Informationen über dieAusübungihrer Rechte aufgrund dieses Gesetzes und sonstiger Vorschriften überdenDatenschutz, einschliesslich derzurUmsetzung derRichtlinie (EU)DSG 235.1Fassung: 01.01.2021 112016/ 680erlassenen Gesetze, zurVerfügung zustellen und gegebenen-falls zudiesem Zweck mitdenAufsichtsbehörden inanderen Mitglied-staaten zusammenzuarbeiten;f)sich mitBeschwerden einer betroffenen Person oder Beschwerden einerStelle, einer Organisation oder eines Verbandes nach Art. 55derRicht-linie (EU) 2016/ 680 zubefassen, den Gegenstand derBeschwerde inangemessenem Umfang zuuntersuchen und den Beschwerdeführerinnerhalb einer angemessenen Frist über denFortgang und dasErgebnisder Untersuchung zuunterrichten, insbesondere, wenn eine weitereUntersuchung oder Koordinierung miteiner anderen Aufsichtsbehördenotwendig ist;g)mitanderen Aufsichtsbehörden zusammenzuarbeiten, auch durch Infor-mationsaustausch, und ihnen Amtshilfe zuleisten, umdieeinheitlicheAnwendung und Durchsetzung dieses Gesetzes und sonstiger Vor-schriften über den Datenschutz, einschliesslich derzurUmsetzung derRichtlinie (EU) 2016/680 erlassenen Gesetze, zu gewährleisten;h)Untersuchungen über dieAnwendung dieses Gesetzes und sonstigerVorschriften über den Datenschutz, einschliesslich derzurUmsetzungderRichtlinie (EU) 2016/ 680erlassenen Gesetze, durchzuführen, auchaufderGrundlage von Informationen einer anderen Aufsichtsbehördeoder einer anderen Behörde;i)massgebliche Entwicklungen zuverfolgen, soweit siesich aufdenSchutzpersonenbezogener Daten auswirken, insbesondere dieEntwicklung derInformations- und Kommunikationstechnologie und der Geschäfts-praktiken;k)Beratung inBezug aufdieinArt. 68genannten Verarbeitungsvorgängezu leisten; undl)Beiträge zur Tätigkeit des Europäischen Datenschutzausschusses zuleisten.2)ImAnwendungsbereich der Richtlinie (EU) 2016/ 680 nimmt dieDatenschutzstelle zudem die Aufgabe nach Art. 60 wahr.3)ZurErfüllung derinAbs. 1Bst.cgenannten Aufgabe kann dieDaten-schutzstelle zuallen Fragen, dieimZusammenhang mitdem Schutz per-sonenbezogener Daten stehen, von sich ausoder aufAnfrage Stellung-nahmen anden Landtag oder eine seiner Kommissionen, dieRegierung,sonstige Einrichtungen und Stellen richten. Auf Ersuchen desLandtags,einer seiner Kommissionen oder derRegierung geht dieDatenschutzstelle235.1 DSG12 Fassung: 01.01.2021ferner Hinweisen aufAngelegenheiten und Vorgänge desDatenschutzes beiden öffentlichen Stellen nach.4)Die Datenschutzstelle erleichtert dasEinreichen derinAbs. 1Bst.fgenannten Beschwerden durch Massnahmen wieetwa dieBereitstellungeines Beschwerdeformulars, dasauch elektronisch ausgefüllt werden kann,ohne dass andere Kommunikationsmittel ausgeschlossen werden.5)DieErfüllung derAufgaben derDatenschutzstelle istfürdiebetrof-fene Person unentgeltlich. Beioffenkundig unbegründeten oder, insbeson-dere imFall von häufiger Wiederholung, exzessiven Anfragen kann dieDatenschutzstelle eine angemessene Gebühr aufderGrundlage desAuf-wands verlangen oder sich weigern, aufgrund derAnfrage tätig zuwerden.Indiesem Fall trägt dieDatenschutzstelle dieBeweislast fürden offen-kundig unbegründeten oder exzessiven Charakter derAnfrage. DieRegie-rung regelt das Nähere über die Gebühr mit Verordnung.Art. 16TätigkeitsberichtDie Datenschutzstelle erstellt einen Jahresbericht über ihre Tätigkeit,dereine Liste derArten dergemeldeten Verstösse und derArten dergetrof-fenen Massnahmen, einschliesslich der verhängten Sanktionen und derMassnahmen nach Art. 58Abs. 2derVerordnung (EU) 2016/ 679, enthaltenkann. Sieübermittelt den Bericht dem Landtag und derRegierung zurKenntnisnahme und macht ihn der Öffentlichkeit, dem EuropäischenDatenschutzausschuss und der EFTA-Überwachungsbehörde zugänglich.Art. 17Befugnisse1)Die Datenschutzstelle nimmt imAnwendungsbereich derVerord-nung (EU) 2016/ 679 dieBefugnisse nach Art. 58derVerordnung (EU)2016/ 679wahr. Kommt dieDatenschutzstelle zudem Ergebnis, dass Ver-stösse gegen dieVorschriften über den Datenschutz oder sonstige MängelbeiderVerarbeitung personenbezogener Daten vorliegen, teilt siedies derzuständigen spezifischen Aufsichtsbehörde mitund gibt dieser vorderAus-übung derBefugnisse desArt. 58Abs. 2Bst.bbisg,iund jderVerordnung(EU) 2016/ 679gegenüber dem Verantwortlichen Gelegenheit zurStellung-nahme innerhalb einer angemessenen Frist. Von derEinräumung derGele-genheit zur Stellungnahme kann abgesehen werden, wenn eine sofortigeEntscheidung wegen Gefahr imVerzug oder imöffentlichen Interesse not-DSG 235.1Fassung: 01.01.2021 13wendig erscheint oder ihreinzwingendes öffentliches Interesse entgegen-steht. Die Stellungnahme sollauch eine Darstellung derMassnahmen ent-halten, dieaufgrund derMitteilung derDatenschutzstelle getroffen wordensind.2)Stellt dieDatenschutzstelle beiDatenverarbeitungen durch nicht-öffentliche oder öffentliche Stellen zuZwecken ausserhalb desAnwen-dungsbereichs derVerordnung (EU) 2016/ 679 Verstösse gegen dieVor-schriften dieses Gesetzes oder gegen andere Vorschriften über den Daten-schutz oder sonstige Mängel beiderVerarbeitung oder Nutzung personen-bezogener Daten fest, sobeanstandet siedies gegenüber dem Verantwort-lichen. ImFall einer öffentlichen Stelle informiert siezusätzlich dieRegie-rung über dieBeanstandung. Siegibt dem Verantwortlichen, imFalle eineröffentlichen Stelle zusätzlich auch derRegierung, Gelegenheit zueiner Stel-lungnahme innerhalb einer von ihrzubestimmenden angemessenen Frist.DieDatenschutzstelle kann von einer Beanstandung absehen oder aufeineStellungnahme verzichten, insbesondere wenn essich umunerhebliche oderinzwischen beseitigte Mängel handelt. Die Stellungnahme soll auch eineDarstellung derMassnahmen enthalten, dieaufgrund derBeanstandung derDatenschutzstelle getroffen worden sind. Die Datenschutzstelle kann denVerantwortlichen auch davor warnen, dass beabsichtigte Verarbeitungsvor-gänge voraussichtlich gegen indiesem Gesetz enthaltene und andere aufdiejeweilige Datenverarbeitung anzuwendende Vorschriften über den Daten-schutz verstossen.3) Die Befugnisse der Datenschutzstelle erstrecken sich auch auf:a)von öffentlichen oder nicht-öffentlichen Stellen erlangte personenbezo-gene Daten über denInhalt und dienäheren Umstände desBrief-, Post-und Fernmeldeverkehrs; undb)personenbezogene Daten, dieeinem Amtsgeheimnis, insbesondere demSteuergeheimnis nach Art. 83 des Steuergesetzes, unterliegen.4)Dieöffentlichen oder nicht-öffentlichen Stellen sind verpflichtet, derDatenschutzstelle und den von ihrmitderÜberwachung derEinhaltungder Vorschriften über den Datenschutz beauftragten Personen:a)nach vorgängiger Verständigung durch dieDatenschutzstelle oder beauf-tragten Personen Zugang zuden Grundstücken und Räumen, ein-schliesslich aller Datenverarbeitungsanlagen und -geräte, sowie zuallenpersonenbezogenen Daten und Informationen, diezurErfüllung ihrerAufgaben notwendig sind, zu gewähren; undb)alle Informationen, diefürdieErfüllung ihrer Aufgaben erforderlichsind, bereitzustellen. ImFall nicht-öffentlicher Stellen kann derInfor-235.1 DSG14 Fassung: 01.01.2021mationspflichtige dieInformation verweigern, wenn deren Bereitstel-lung ihnselbst oder einen derin§108Abs. 1derStrafprozessordnungbezeichneten Angehörigen derGefahr strafgerichtlicher Verfolgung aus-setzen würde. Der Informationspflichtige ist darauf hinzuweisen.5)DieKontrolltätigkeit nach Abs. 4istunter möglichster Schonung derRechte deröffentlichen oder nicht-öffentlichen Stellen und Dritter auszu-üben.6)Die Datenschutzstelle berät und unterstützt dieDatenschutzbeauf-tragten mitRücksicht aufderen typische Bedürfnisse. Siekann dieAbbe-rufung desDatenschutzbeauftragten verlangen, wenn erdiezurErfüllungseiner Aufgaben erforderliche Fachkunde nicht besitzt oder imFalldesArt.38Abs. 6derVerordnung (EU) 2016/ 679einschwerwiegender Interessen-konflikt vorliegt.7)Die Datenschutzstelle darf dievon ihrgespeicherten Daten nurfürZwecke derAufsicht verarbeiten; hierbei darf sieDaten anandere Auf-sichtsbehörden übermitteln. Eine Verarbeitung zueinem anderen Zweck istüber Art. 6 Abs. 4 der Verordnung (EU) 2016/679 hinaus zulässig, wenn:a)offensichtlich ist,dass sieimInteresse derbetroffenen Person liegt undkein Grund zuderAnnahme besteht, dass sieinKenntnis desanderenZwecks ihre Einwilligung verweigern würde;b)siezurAbwehr erheblicher Nachteile fürdasGemeinwohl oder einerGefahr fürdieöffentliche Sicherheit, dieVerteidigung oder dienationaleSicherheit oder zur Wahrung erheblicher Belange des Gemeinwohlserforderlich ist; oderc)siezurVerfolgung von Straftaten, zurVollstreckung oder zum Vollzugvon Strafen oder Massnahmen desStrafgesetzbuches oder von Erzie-hungsmassnahmen oder weiteren Massnahmen imSinne desJugendge-richtsgesetzes oder zur Vollstreckung von Geldbussen erforderlich ist.E. Vertretung im Europäischen Datenschutzausschuss und Zusammenar-E. Vertretung im Europäischen Datenschutzausschuss und Zusammenar-beit mit anderen Aufsichtsbehördenbeit mit anderen AufsichtsbehördenArt. 18Vertretung im Europäischen DatenschutzausschussDieDatenschutzstelle vertritt dasLand imEuropäischen Datenschutz-ausschuss.DSG 235.1Fassung: 01.01.2021 15Art. 19Zusammenarbeit mit anderen AufsichtsbehördenVor Übermittlung eines Standpunktes andieAufsichtsbehörden andererEWR-Mitgliedstaaten, dieEFTA-Überwachungsbehörde oder den Euro-päischen Datenschutzausschuss beteiligt die Datenschutzstelle anderenationale Aufsichtsbehörden nach Art. 85und 91derVerordnung (EU)2016/679, sofern diese von der Angelegenheit betroffen sind.F. RechtsschutzF. RechtsschutzArt. 20Rechtsmittel1)Gegen Entscheidungen und Verfügungen derDatenschutzstelle kannbinnen vier Wochen abZustellung Beschwerde beiderBeschwerdekom-mission für Verwaltungsangelegenheiten erhoben werden.2)Gegen Entscheidungen und Verfügungen derBeschwerdekommis-sion fürVerwaltungsangelegenheiten kann binnen vier Wochen abZustel-lung Beschwerde beim Verwaltungsgerichtshof erhoben werden; diesesRecht steht auch der Datenschutzstelle zu.3)DieDatenschutzstelle darf Entscheidungen und Verfügungen gegen-über einer öffentlichen Stelle die aufschiebende Wirkung nicht entziehen.II. Durchführungsbestimmungen für Verarbeitungen zuII. Durchführungsbestimmungen für Verarbeitungen zuZwecken nach Art. 2 der Verordnung (EU) 2016/679Zwecken nach Art. 2 der Verordnung (EU) 2016/679A. Rechtsgrundlagen der Verarbeitung personenbezogener DatenA. Rechtsgrundlagen der Verarbeitung personenbezogener Daten1. Verarbeitung besonderer Kategorien personenbezogener Daten und1. Verarbeitung besonderer Kategorien personenbezogener Daten undVerarbeitung zu anderen ZweckenVerarbeitung zu anderen ZweckenArt. 21Verarbeitung besonderer Kategorien personenbezogener Daten1)Abweichend vonArt. 9Abs. 1derVerordnung (EU) 2016/ 679istdieVerarbeitung besonderer Kategorien personenbezogener Daten imSinnevon Art. 9 Abs. 1 der Verordnung (EU) 2016/679 zulässig:235.1 DSG16 Fassung: 01.01.2021a) durch öffentliche und nicht-öffentliche Stellen, wenn sie:1.erforderlich ist,umdieausdem Recht dersozialen Sicherheit und desSozialschutzes erwachsenden Rechte auszuüben und dendiesbezüg-lichen Pflichten nachzukommen;2.zum Zweck derGesundheitsvorsorge, fürdieBeurteilung derArbeits-fähigkeit desBeschäftigten, fürdiemedizinische Diagnostik, dieVer-sorgung oder Behandlung imGesundheits- oder Sozialbereich oderfürdieVerwaltung vonSystemen und Diensten imGesundheits- undSozialbereich oder aufgrund eines Vertrags derbetroffenen Personmiteinem Angehörigen eines Gesundheitsberufs erforderlich istunddiese Daten von ärztlichem Personal oder durch sonstige Personen,dieeiner entsprechenden Geheimhaltungspflicht unterliegen, oderunter deren Verantwortung verarbeitet werden; oder3.ausGründen desöffentlichen Interesses imBereich deröffentlichenGesundheit, wie des Schutzes vor schwerwiegenden grenzüber-schreitenden Gesundheitsgefahren oder zurGewährleistung hoherQualitäts- und Sicherheitsstandards beiderGesundheitsversorgungund beiArzneimitteln und Medizinprodukten erforderlich ist;ergän-zend zudeninAbs. 2genannten Massnahmen sind insbesondere dieberufsrechtlichen und strafrechtlichen Vorgaben zurWahrung desBerufsgeheimnisses einzuhalten;b) durch öffentliche Stellen, wenn sie:1.ausGründen eines überwiegenden öffentlichen Interesses zwingenderforderlich ist;2.zurAbwehr einer erheblichen Gefahr fürdieöffentliche Sicherheiterforderlich ist;3.zur Abwehr erheblicher Nachteile fürdas Gemeinwohl oder zurWahrung erheblicher Belange desGemeinwohls zwingend erforder-lich ist; oder4.auszwingenden Gründen derVerteidigung oder derErfüllung über-oder zwischenstaatlicher Verpflichtungen einer öffentlichen StelledesLandes aufdem Gebiet derKrisenbewältigung oder Konfliktver-hinderung oder für humanitäre Massnahmen erforderlich istund soweit dieInteressen desVerantwortlichen anderDatenverarbei-tung indenFällen desBst. bdieInteressen derbetroffenen Person über-wiegen.2)Inden Fällen desAbs. 1sind angemessene und spezifische Mass-nahmen zurWahrung derInteressen derbetroffenen Person vorzusehen.DSG 235.1Fassung: 01.01.2021 17Unter Berücksichtigung desStands derTechnik, derImplementierungs-kosten und derArt, desUmfangs, derUmstände und derZwecke derVerarbeitung sowie derunterschiedlichen Eintrittswahrscheinlichkeit undSchwere dermitderVerarbeitung verbundenen Risiken fürdieRechte undFreiheiten natürlicher Personen können dazu insbesondere gehören:a)technisch organisatorische Massnahmen, um sicherzustellen, dass dieVerarbeitung nach der Verordnung (EU) 2016/679 erfolgt;b)Massnahmen, diegewährleisten, dass nachträglich überprüft und festge-stellt werden kann, obund von wem personenbezogene Daten einge-geben, verändert oder entfernt worden sind;c) Sensibilisierung der an Verarbeitungsvorgängen Beteiligten;d) Benennung eines Datenschutzbeauftragten;e)Beschränkung desZugangs zudenpersonenbezogenen Daten innerhalbder verantwortlichen Stelle und von Auftragsverarbeitern;f) Pseudonymisierung personenbezogener Daten;g) Verschlüsselung personenbezogener Daten;h)Sicherstellung derFähigkeit, Vertraulichkeit, Integrität, Verfügbarkeitund Belastbarkeit derSysteme und Dienste imZusammenhang mitderVerarbeitung personenbezogener Daten, einschliesslich derFähigkeit,dieVerfügbarkeit und den Zugang beieinem physischen oder techni-schen Zwischenfall rasch wiederherzustellen;i)zurGewährleistung derSicherheit derVerarbeitung dieEinrichtung einesVerfahrens zur regelmässigen Überprüfung, Bewertung und Evaluie-rung der Wirksamkeit der technischen und organisatorischen Mass-nahmen; oderk)spezifische Verfahrensregelungen, dieimFall einer Übermittlung oderVerarbeitung fürandere Zwecke dieEinhaltung derVorgaben diesesGesetzes sowie der Verordnung (EU) 2016/679 sicherstellen.Art. 22Verarbeitung zu anderen Zwecken durch öffentliche Stellen1)DieVerarbeitung personenbezogener Daten zueinem anderen Zweckalszudemjenigen, zudem dieDaten erhoben wurden, durch öffentlicheStellen im Rahmen ihrer Aufgabenerfüllung ist zulässig, wenn:a)offensichtlich ist,dass sieimInteresse derbetroffenen Person liegt undkein Grund zuderAnnahme besteht, dass sieinKenntnis desanderenZwecks ihre Einwilligung verweigern würde;235.1 DSG18 Fassung: 01.01.2021b)Angaben derbetroffenen Person überprüft werden müssen, weil tatsäch-liche Anhaltspunkte für deren Unrichtigkeit bestehen;c)siezurAbwehr erheblicher Nachteile fürdasGemeinwohl oder einerGefahr fürdieöffentliche Sicherheit, dieVerteidigung oder dienationaleSicherheit, zurWahrung erheblicher Belange desGemeinwohls oder zurSicherung des Steuer- und Zollaufkommens erforderlich ist;d)siezurVerfolgung von Straftaten, zurVollstreckung oder zum Vollzugvon Strafen oder Massnahmen desStrafgesetzbuches oder von Erzie-hungsmassnahmen oder weiteren Massnahmen imSinne desJugendge-richtsgesetzes oder zur Vollstreckung von Geldbussen erforderlich ist;e)siezur Abwehr einer schwerwiegenden Beeinträchtigung der Rechteeiner anderen Person erforderlich ist; oderf)sieder Wahrnehmung von Aufsichts- und Kontrollbefugnissen, derRechnungsprüfung oder derDurchführung von Organisationsuntersu-chungen desVerantwortlichen dient; dies giltauch fürdieVerarbeitungzuAusbildungs- und Prüfungszwecken durch den Verantwortlichen,soweit schutzwürdige Interessen derbetroffenen Person dem nicht ent-gegenstehen.2)Die Verarbeitung besonderer Kategorien personenbezogener DatenimSinne von Art. 9Abs. 1der Verordnung (EU) 2016/ 679 zueinemanderen Zweck alszudemjenigen, zudem dieDaten erhoben wurden, istzulässig, wenn dieVoraussetzungen desAbs. 1und einAusnahmetatbe-stand nach Art. 9Abs. 2derVerordnung (EU) 2016/ 679oder nach Art. 21vorliegen.Art. 23Verarbeitung zu anderen Zwecken durch nicht-öffentliche Stellen1)DieVerarbeitung personenbezogener Daten zueinem anderen Zweckalszudemjenigen, zudem dieDaten erhoben wurden, durch nicht-öffent-liche Stellen ist zulässig, wenn:a) sie erforderlich ist:1.zurAbwehr vonGefahren fürdiestaatliche oder öffentliche Sicherheitoder zur Verfolgung von Straftaten; oder2.zurGeltendmachung, Ausübung oder Verteidigung zivilrechtlicherAnsprüche; undb)dieInteressen derbetroffenen Person andem Ausschluss derVerarbei-tung nicht überwiegen.DSG 235.1Fassung: 01.01.2021 192)Die Verarbeitung besonderer Kategorien personenbezogener DatenimSinne von Art. 9Abs. 1der Verordnung (EU) 2016/ 679 zueinemanderen Zweck alszudemjenigen, zudem dieDaten erhoben wurden, istzulässig, wenn dieVoraussetzungen desAbs. 1und einAusnahmetatbe-stand nach Art. 9Abs. 2derVerordnung (EU) 2016/ 679oder nach Art. 21vorliegen.Art. 24Datenübermittlungen durch öffentliche Stellen1)DieÜbermittlung personenbezogener Daten durch öffentliche Stellenanöffentliche Stellen istzulässig, wenn siezurErfüllung derinderZustän-digkeit derübermittelnden Stelle oder desDritten, andendieDaten über-mittelt werden, liegenden Aufgaben erforderlich istund dieVorausset-zungen vorliegen, dieeine Verarbeitung nach Art. 22zulassen würden. DerDritte, andendieDaten übermittelt werden, darf diese nurfürdenZweckverarbeiten, zudessen Erfüllung sieihm übermittelt werden. Eine Verarbei-tung für andere Zwecke ist unter den Voraussetzungen des Art. 22 zulässig.2)DieÜbermittlung personenbezogener Daten durch öffentliche Stellenan nicht-öffentliche Stellen ist zulässig, wenn:a)siezurErfüllung derinderZuständigkeit derübermittelnden Stelle lie-genden Aufgaben erforderlich istund dieVoraussetzungen vorliegen,die eine Verarbeitung nach Art. 22 zulassen würden;b)derDritte, andendieDaten übermittelt werden, einberechtigtes Inter-esse anderKenntnis derzuübermittelnden Daten glaubhaft darlegt unddiebetroffene Person kein schutzwürdiges Interesse andem Ausschlussder Übermittlung hat; oderc)siezur Geltendmachung, Ausübung oder Verteidigung rechtlicherAnsprüche erforderlich istund derDritte sich gegenüber derübermittelnden öffentlichen Stelle ver-pflichtet hat,dieDaten nurfürdenZweck zuverarbeiten, zudessen Erfül-lung sieihm übermittelt werden. Eine Verarbeitung fürandere Zwecke istzulässig, wenn eine Übermittlung nach Satz 1zulässig wäre und dieüber-mittelnde Stelle zugestimmt hat.3)Die Übermittlung besonderer Kategorien personenbezogener DatenimSinne von Art. 9Abs. 1derVerordnung (EU) 2016/ 679 istzulässig,wenn dieVoraussetzungen desAbs. 1oder 2und einAusnahmetatbestandnach Art. 9Abs. 2derVerordnung (EU) 2016/ 679oder nach Art. 21vor-liegen.235.1 DSG20 Fassung: 01.01.20212. Besondere Verarbeitungssituationen2. Besondere VerarbeitungssituationenArt. 25Einschränkung des Auskunftsrechts für Medienschaffende1)Werden personenbezogene Daten ausschliesslich zur Veröffentli-chung imredaktionellen Teil eines periodisch erscheinenden Mediums ver-arbeitet, sokann derVerantwortliche dieAuskunft nach Art. 15derVer-ordnung (EU) 2016/679 verweigern, einschränken oder aufschieben, wenn:a)diepersonenbezogenen Daten Aufschluss über dieInformationsquellengeben;b) Einblick in Entwürfe für Publikationen gegeben werden müsste; oderc) die freie Meinungsbildung des Publikums gefährdet würde.2)Medienschaffende können dieAuskunft nach Art. 15derVerordnung(EU) 2016/ 679 zudem verweigern, einschränken oder aufschieben, wennihnen dieVerarbeitung personenbezogener Daten ausschliesslich alsper-sönliches Arbeitsinstrument dient.Art. 26DatengeheimnisWer personenbezogene Daten verarbeitet oder verarbeiten lässt, hatper-sonenbezogene Daten ausVerarbeitungen, dieihm aufgrund seiner berufli-chen Beschäftigung anvertraut wurden oder zugänglich gemacht gewordensind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten,geheim zuhalten, soweit kein rechtlich zulässiger Grund füreine Offenle-gung der anvertrauten oder zugänglich gewordenen Daten besteht.Art. 27Datenverarbeitung zu wissenschaftlichen oder historischen Forschungs-zwecken und zu statistischen Zwecken1)Abweichend vonArt. 9Abs. 1derVerordnung (EU) 2016/ 679istdieVerarbeitung besonderer Kategorien personenbezogener Daten imSinnevon Art. 9Abs. 1derVerordnung (EU) 2016/ 679auch ohne Einwilligungfürwissenschaftliche oder historische Forschungszwecke oder fürstatisti-sche Zwecke zulässig, wenn dieVerarbeitung zudiesen Zwecken erforder-lich istund dieInteressen desVerantwortlichen anderVerarbeitung dieInteressen derbetroffenen Person aneinem Ausschluss derVerarbeitungDSG 235.1Fassung: 01.01.2021 21überwiegen. Der Verantwortliche sieht angemessene und spezifische Mass-nahmen zurWahrung derInteressen derbetroffenen Person nach Art. 21Abs. 2 Satz 2 vor.2)Fürimöffentlichen Interesse liegende wissenschaftliche oder histori-sche Forschungszwecke oder statistische Zwecke darf derVerantwortlicheallepersonenbezogenen Daten, dienicht unter Abs. 1Satz 1fallen, ver-arbeiten, wenn dieVerarbeitung zudiesen Zwecken erforderlich istundwenn:a) die Daten öffentlich zugänglich sind;b)dieDaten fürdenVerantwortlichen pseudonymisierte personenbezogeneDaten sind und derVerantwortliche dieIdentität derbetroffenen Personmit rechtlich zulässigen Mitteln nicht bestimmen kann; oderc)dieEinholung derEinwilligung derbetroffenen Person mangels ihrerErreichbarkeit unmöglich istoder sonst einen unverhältnismässigenAufwand bedeutet.Abs. 1 Satz 2 gilt entsprechend. Art. 4 bleibt unberührt.3)DieBestimmungen von Abs. 1und 2gelten auch fürpersonenbezo-gene Daten, diederVerantwortliche fürandere Untersuchungen oder auchandere Zwecke zulässigerweise ermittelt hat.4)DieindenArt. 15,16,18und 21derVerordnung (EU) 2016/ 679vor-gesehenen Rechte derbetroffenen Person sind insoweit beschränkt, alsdieseRechte voraussichtlich dieVerwirklichung derForschungs- oder Statistik-zwecke unmöglich machen oder ernsthaft beinträchtigen und dieBeschrän-kung fürdieErfüllung derForschungs- oder Statistikzwecke notwendigist.Das Recht aufAuskunft nach Art. 15derVerordnung (EU) 2016/ 679besteht darüber hinaus nicht, wenn dieDaten fürZwecke derwissenschaft-lichen Forschung erforderlich sind und dieAuskunftserteilung einen unver-hältnismässigen Aufwand erfordern würde.5)Ergänzend zuden inArt. 21Abs. 2genannten Massnahmen sindzuwissenschaftlichen oder historischen Forschungszwecken oder zustatis-tischen Zwecken verarbeitete personenbezogene Daten zuanonymisieren,sobald dies nach dem Forschungs- oder Statistikzweck möglich ist,esseidenn, berechtigte Interessen derbetroffenen Person stehen dem entgegen.Bisdahin sind dieMerkmale gesondert zuspeichern, mitdenen Einzelan-gaben über persönliche oder sachliche Verhältnisse einer bestimmten oderbestimmbaren Person zugeordnet werden können. Siedürfen mitdenEin-zelangaben nur zusammengeführt werden, soweit derForschungs- oderStatistikzweck dies erfordert.235.1 DSG22 Fassung: 01.01.20216)Der Verantwortliche darf personenbezogene Daten nurveröffentli-chen, wenn diebetroffene Person eingewilligt hatoder dies fürdieDarstel-lung von Forschungsergebnissen unerlässlich ist.Art. 28Datenverarbeitung zu Zwecken der Personen-, Familien- und genealo-gischen Forschung sowie der Führung und Veröffentlichung von Famili-enchroniken und BiografienDie Verarbeitung von personenbezogenen Daten istauch ohne Ein-willigung derbetroffenen Person zuZwecken derPersonen-, Familien-und genealogischen Forschung sowie derFührung und Veröffentlichungvon Familienchroniken und Biografien zulässig, wenn dieVerarbeitung zudiesen Zwecken erforderlich ist.Sofern essich umdieVerarbeitung beson-derer Kategorien personenbezogener Daten imSinne von Art. 9Abs. 1derVerordnung (EU) 2016/ 679 handelt, istdies abweichend von Art. 9Abs. 1derVerordnung (EU) 2016/ 679zulässig, wenn dieVerarbeitung zudiesen Zwecken erforderlich istund dieInteressen desVerantwortlichen dieInteressen derbetroffenen Personen aneinem Ausschluss derVerarbeitungüberwiegen. Der Verantwortliche sieht angemessene und spezifische Mass-nahmen zurWahrung derInteressen derbetroffenen Person nach Art. 21Abs. 2 Satz 2 vor.Art. 29Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwe-cken1)Abweichend vonArt. 9Abs. 1derVerordnung (EU) 2016/ 679istdieVerarbeitung besonderer Kategorien personenbezogener Daten imSinnevon Art. 9Abs. 1derVerordnung (EU) 2016/ 679zulässig, wenn siefürimöffentlichen Interesse liegende Archivzwecke erforderlich ist.Der Verant-wortliche sieht angemessene und spezifische Massnahmen zurWahrung derInteressen der betroffenen Person nach Art. 21 Abs. 2 Satz 2 vor.2)Für imöffentlichen Interesse liegende Archivzwecke, diekeine per-sonenbezogenen Ergebnisse zum Ziel haben, darf derVerantwortliche allepersonenbezogenen Daten, dienicht unter Abs. 1Satz 1fallen, verarbeiten,wenn die Verarbeitung zu diesen Zwecken erforderlich ist und wenn:a) die Daten öffentlich zugänglich sind;DSG 235.1Fassung: 01.01.2021 23b)dieDaten fürdenVerantwortlichen pseudonymisierte personenbezogeneDaten sind und derVerantwortliche dieIdentität derbetroffenen Personmit rechtlich zulässigen Mitteln nicht bestimmen kann; oderc)dieEinholung derEinwilligung derbetroffenen Person mangels ihrerErreichbarkeit unmöglich istoder sonst einen unverhältnismässigenAufwand bedeutet.Abs. 1 Satz 2 gilt entsprechend. Art. 4 bleibt unberührt.3)DieBestimmungen von Abs. 1und 2gelten auch fürpersonenbezo-gene Daten, diederVerantwortliche fürandere Untersuchungen oder auchandere Zwecke zulässigerweise ermittelt hat.4)Das Recht aufAuskunft derbetroffenen Person nach Art. 15derVer-ordnung (EU) 2016/ 679besteht nicht, wenn dasArchivgut nicht durch denNamen derPerson erschlossen istoder keine Angaben gemacht werden, diedasAuffinden desbetreffenden Archivguts mitvertretbarem Verwaltungs-aufwand ermöglichen.5)Das Recht aufBerichtigung derbetroffenen Person nach Art. 16derVerordnung (EU) 2016/ 679 besteht nicht, wenn diepersonenbezogenenDaten zuArchivzwecken imöffentlichen Interesse verarbeitet werden.Bestreitet diebetroffene Person dieRichtigkeit der personenbezogenenDaten, istihrdieMöglichkeit einer Gegendarstellung einzuräumen. Daszuständige Archiv istverpflichtet, dieGegendarstellung den Unterlagenhinzuzufügen.6)DieinArt. 18Abs. 1Bst. a,bund d,Art. 20und 21derVerordnung(EU) 2016/ 679 vorgesehenen Rechte bestehen nicht, soweit diese Rechtevoraussichtlich dieVerwirklichung derimöffentlichen Interesse liegendenArchivzwecke unmöglich machen oder ernsthaft beeinträchtigen und dieAusnahmen für die Erfüllung dieser Zwecke erforderlich sind.Art. 30Rechte der betroffenen Person und aufsichtsbehördliche Befugnisse imFall von Geheimhaltungspflichten1)Für dieRechte derbetroffenen Person nach Art. 14,15und 34derVerordnung (EU) 2016/679 gilt Folgendes:a)diePflicht zurInformation derbetroffenen Person nach Art. 14Abs. 1bis4derVerordnung (EU) 2016/ 679besteht ergänzend zuden inArt.14Abs. 5derVerordnung (EU) 2016/ 679genannten Ausnahmen nicht,soweit durch ihre Erfüllung Informationen offenbart würden, die:235.1 DSG24 Fassung: 01.01.20211. einer gesetzlichen Geheimhaltungspflicht unterliegen; oder2.ihrem Wesen nach, insbesondere wegen derüberwiegenden berech-tigten Interessen eines Dritten, geheim gehalten werden müssen;b)dasRecht aufAuskunft derbetroffenen Person nach Art. 15derVerord-nung (EU) 2016/ 679besteht nicht, soweit durch dieAuskunft Informa-tionen offenbart würden, die:1. einer gesetzlichen Geheimhaltungspflicht unterliegen; oder2.ihrem Wesen nach, insbesondere wegen derüberwiegenden berech-tigten Interessen eines Dritten, geheim gehalten werden müssen;c)diePflicht zur Benachrichtigung nach Art. 34derVerordnung (EU)2016/ 679 besteht ergänzend zuderinArt. 34Abs. 3derVerordnung(EU) 2016/ 679 genannten Ausnahme nicht, soweit durch dieBenach-richtigung Informationen offenbart würden, die:1. einer gesetzlichen Geheimhaltungspflicht unterliegen; oder2.ihrem Wesen nach, insbesondere wegen derüberwiegenden berech-tigten Interessen eines Dritten, geheim gehalten werden müssen.Abweichend von derAusnahme nach Bst. cZiff. 2istdiebetroffenePerson nach Art. 34derVerordnung (EU) 2016/ 679zubenachrichtigen,wenn dieInteressen derbetroffenen Person, insbesondere unter Berück-sichtigung drohender Schäden, gegenüber dem Geheimhaltungsinteresseüberwiegen.2)Werden Daten Dritter imZuge derAufnahme oder imRahmen einesMandatsverhältnisses aneinen Berufsgeheimnisträger übermittelt, sobesteht diePflicht derübermittelnden Stelle zurInformation derbetrof-fenen Person nach Art. 13Abs. 3derVerordnung (EU) 2016/ 679 nicht,sofern nicht dasInteresse derbetroffenen Person anderInformationsertei-lung überwiegt.3)Gegenüber den in§121 Abs. 1,3und 4des Strafgesetzbuchesgenannten Personen oder deren Auftragsverarbeitern bestehen dieUntersu-chungsbefugnisse derDatenschutzstelle nach Art. 58Abs. 1Bst. eund fderVerordnung (EU) 2016/ 679nicht, soweit dieInanspruchnahme derBefug-nisse zueinem Verstoss gegen dieGeheimhaltungspflichten dieser Personenführen würde. Erlangt dieDatenschutzstelle imRahmen einer Untersu-chung Kenntnis von Daten, dieeiner Geheimhaltungspflicht imSinne desSatzes 1unterliegen, giltdieGeheimhaltungspflicht auch fürdieDaten-schutzstelle.DSG 235.1Fassung: 01.01.2021 25Art. 31Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften1)DieVerwendung eines Wahrscheinlichkeitswerts über einbestimmteszukünftiges Verhalten einer natürlichen Person zum Zweck derEntschei-dung über dieBegründung, Durchführung oder Beendigung eines Vertrags-verhältnisses mit dieser Person (Scoring) ist nur zulässig, wenn:a) die Vorschriften des Datenschutzrechts eingehalten wurden;b)diezurBerechnung desWahrscheinlichkeitswerts genutzten Daten unterZugrundelegung eines wissenschaftlich anerkannten mathematisch-sta-tistischen Verfahrens nachweisbar fürdieBerechnung derWahrschein-lichkeit des bestimmten Verhaltens erheblich sind;c)fürdieBerechnung desWahrscheinlichkeitswerts nicht ausschliesslichAnschriftendaten genutzt wurden; undd)imFall derNutzung von Anschriftendaten diebetroffene Person vorBerechnung desWahrscheinlichkeitswerts über dievorgesehene Nut-zung dieser Daten unterrichtet worden ist;dieUnterrichtung istzudokumentieren.2)DieVerwendung eines vonAuskunfteien ermittelten Wahrscheinlich-keitswerts über dieZahlungsfähig- und Zahlungswilligkeit einer natürli-chen Person istimFall derEinbeziehung von Informationen über Forde-rungen nurzulässig, soweit dieVoraussetzungen nach Abs. 1vorliegen undnursolche Forderungen über eine geschuldete Leistung, dietrotz Fälligkeitnicht erbracht worden ist, berücksichtigt werden:a)diedurch einen Exekutionstitel nach Art. 1derExekutionsordnung fest-gestellt worden sind;b)dienach Art. 66der Insolvenzordnung festgestellt und nicht vomSchuldner in der Prüfungstagsatzung bestritten worden sind;2c) die der Schuldner ausdrücklich anerkannt hat;d) bei denen:1.derSchuldner nach Eintritt derFälligkeit derForderung mindestenszweimal schriftlich gemahnt worden ist;2. die erste Mahnung mindestens vier Wochen zurückliegt;3.derSchuldner zuvor, jedoch frühestens beiderersten Mahnung, übereine mögliche Berücksichtigung durch eine Auskunftei unterrichtetworden ist; und4. der Schuldner die Forderung nicht bestritten hat; oder235.1 DSG26 Fassung: 01.01.2021e)deren zugrunde liegendes Vertragsverhältnis aufgrund von Zahlungs-rückständen fristlos gekündigt werden kann und bei denen derSchuldner zuvor über eine mögliche Berücksichtigung durch eine Aus-kunftei unterrichtet worden ist.3)DieZulässigkeit derVerarbeitung, einschliesslich derErmittlung vonWahrscheinlichkeitswerten, vonanderen bonitätsrelevanten Daten nach all-gemeinem Datenschutzrecht bleibt unberührt.B. Rechte der betroffenen PersonB. Rechte der betroffenen PersonArt. 32Informationspflicht bei Erhebung von personenbezogenen Daten bei derbetroffenen Person1)DiePflicht zurInformation derbetroffenen Person nach Art. 13Abs.3derVerordnung (EU) 2016/ 679besteht ergänzend zuderinArt. 13Abs. 4derVerordnung (EU) 2016/ 679genannten Ausnahme dann nicht, wenn dieErteilung der Information über die beabsichtigte Weiterverarbeitung:a)eine Weiterverarbeitung analog gespeicherter Daten betrifft, beidersichderVerantwortliche durch dieWeiterverarbeitung unmittelbar andiebetroffene Person wendet, derZweck mit dem ursprünglichen Erhe-bungszweck nach der Verordnung (EU) 2016/ 679 vereinbar ist,dieKommunikation mit der betroffenen Person nicht indigitaler Formerfolgt und dasInteresse derbetroffenen Person anderInformationser-teilung nach denUmständen desEinzelfalls, insbesondere mitBlick aufdenZusammenhang, indem dieDaten erhoben wurden, alsgering anzu-sehen ist;b)imFalleiner öffentlichen Stelle dieordnungsgemässe Erfüllung derinderZuständigkeit desVerantwortlichen liegenden Aufgaben imSinne vonArt. 23Abs. 1Bst. abisederVerordnung (EU) 2016/ 679 gefährdenwürde und dieInteressen desVerantwortlichen anderNichterteilungder Information die Interessen der betroffenen Person überwiegen;c)dieöffentliche Sicherheit oder Ordnung gefährden oder sonst dem WohldesLandes Nachteile bereiten würde und dieInteressen desVerantwort-lichen anderNichterteilung derInformation dieInteressen derbetrof-fenen Person überwiegen;d)die Geltendmachung, Ausübung oder Verteidigung rechtlicherAnsprüche beeinträchtigen würde und dieInteressen desVerantwortli-DSG 235.1Fassung: 01.01.2021 27chen anderNichterteilung derInformation dieInteressen derbetrof-fenen Person überwiegen; odere)eine vertrauliche Übermittlung von Daten anöffentliche Stellengefährden würde.2)Unterbleibt eine Information derbetroffenen Person nach MassgabedesAbs. 1,ergreift derVerantwortliche geeignete Massnahmen zum Schutzder berechtigten Interessen der betroffenen Person, einschliesslich derBereitstellung derinArt. 13Abs. 1und 2derVerordnung (EU) 2016/ 679genannten Informationen fürdieÖffentlichkeit inpräziser, transparenter,verständlicher und leicht zugänglicher Form ineiner klaren und einfachenSprache. Der Verantwortliche hält schriftlich fest, auswelchen Gründen ervoneiner Information abgesehen hat.DieSätze 1und 2finden indenFällendes Abs. 1 Bst. d und e keine Anwendung.3)Unterbleibt dieBenachrichtigung inden Fällen desAbs. 1wegeneines vorübergehenden Hinderungsgrundes, kommt derVerantwortlichederInformationspflicht unter Berücksichtigung derspezifischen UmständederVerarbeitung innerhalb einer angemessenen Frist nach Fortfall desHin-derungsgrundes, spätestens jedoch innerhalb von zwei Wochen, nach.Art. 33Informationspflicht, wenn die personenbezogenen Daten nicht bei derbetroffenen Person erhoben wurden1)DiePflicht zurInformation derbetroffenen Person nach Art. 14Abs.1,2und 4derVerordnung (EU) 2016/ 679besteht ergänzend zudeninArt.14Abs. 5derVerordnung (EU) 2016/ 679und derinArt. 30Abs. 1Bst. agenannten Ausnahme nicht, wenn die Erteilung der Information:a) im Fall einer öffentlichen Stelle:1.dieordnungsgemässe Erfüllung derinderZuständigkeit desVerant-wortlichen liegenden Aufgaben imSinne vonArt. 23Abs. 1Bst.abise der Verordnung (EU) 2016/679 gefährden würde; oder2.dieöffentliche Sicherheit oder Ordnung gefährden oder sonst demWohl des Landes Nachteile bereiten würdeund deswegen dasInteresse derbetroffenen Person anderInformations-erteilung zurücktreten muss;b) im Fall einer nicht-öffentlichen Stelle:1.die Geltendmachung, Ausübung oder Verteidigung rechtlicherAnsprüche beeinträchtigen würde oder dieVerarbeitung Daten aus235.1 DSG28 Fassung: 01.01.2021zivilrechtlichen Verträgen beinhaltet und der Verhütung vonSchäden durch Straftaten dient, sofern nicht dasberechtigte Interessederbetroffenen Person anderInformationserteilung überwiegt; oder2.diezuständige öffentliche Stelle gegenüber dem Verantwortlichenfestgestellt hat, dass dasBekanntwerden derDaten dieöffentlicheSicherheit oder Ordnung gefährden oder sonst dem Wohl desLandesNachteile bereiten würde; imFallderDatenverarbeitung fürZweckederStrafverfolgung bedarf eskeiner Feststellung nach dem erstenHalbsatz.2)Unterbleibt eine Information derbetroffenen Person nach MassgabedesAbs. 1,ergreift derVerantwortliche geeignete Massnahmen zum Schutzder berechtigten Interessen der betroffenen Person, einschliesslich derBereitstellung derinArt. 14Abs. 1und 2derVerordnung (EU) 2016/ 679genannten Informationen fürdieÖffentlichkeit inpräziser, transparenter,verständlicher und leicht zugänglicher Form ineiner klaren und einfachenSprache. Der Verantwortliche hält schriftlich fest, auswelchen Gründen ervon einer Information abgesehen hat.3)Bezieht sich dieInformationserteilung aufdieÜbermittlung perso-nenbezogener Daten durch öffentliche Stellen andieLandespolizei fürihreAufgabenerfüllung imRahmen desStaatsschutzes, istsienurmitZustim-mung der Landespolizei zulässig.Art. 34Auskunftsrecht der betroffenen Person1)Das Recht aufAuskunft derbetroffenen Person nach Art. 15derVer-ordnung (EU) 2016/ 679besteht ergänzend zudeninArt. 27Abs. 4,Art. 29Abs. 4 und Art. 30 Abs. 1 Bst. b genannten Ausnahmen nicht, wenn:a)diebetroffene Person nach Art. 33Abs. 1Bst. a,bZiff. 2oder Abs. 3nicht zu informieren ist; oderb) die Daten:1.nurdeshalb gespeichert sind, weil sieaufgrund gesetzlicher oder sat-zungsmässiger Aufbewahrungsvorschriften nicht gelöscht werdendürfen; oder2.ausschliesslich Zwecken derDatensicherung oder derDatenschutz-kontrolle dienenDSG 235.1Fassung: 01.01.2021 29und dieAuskunftserteilung einen unverhältnismässigen Aufwand erfor-dern würde sowie eine Verarbeitung zuanderen Zwecken durch geeig-nete technische und organisatorische Massnahmen ausgeschlossen ist.2)DieGründe derAuskunftsverweigerung sind zudokumentieren. DieAblehnung derAuskunftserteilung istgegenüber derbetroffenen Person zubegründen, soweit nicht durch dieMitteilung dertatsächlichen und recht-lichen Gründe, aufdiedieEntscheidung gestützt wird, dermitderAus-kunftsverweigerung verfolgte Zweck gefährdet würde. Diezum Zweck derAuskunftserteilung andiebetroffene Person und zuderen Vorbereitunggespeicherten Daten dürfen nur fürdiesen Zweck sowie fürZwecke derDatenschutzkontrolle verarbeitet werden; fürandere Zwecke istdieVerar-beitung nach Massgabe desArt. 18derVerordnung (EU) 2016/ 679einzu-schränken.3)Wird derbetroffenen Person durch eine öffentliche Stelle keine Aus-kunft erteilt, soistdieAuskunft aufVerlangen derbetroffenen Person derDatenschutzstelle zuerteilen, soweit nicht dieRegierung imEinzelfall fest-stellt, dass dadurch dieSicherheit desLandes gefährdet würde. DieMittei-lung derDatenschutzstelle andiebetroffene Person über dasErgebnis derdatenschutzrechtlichen Prüfung darf keine Rückschlüsse aufdenErkennt-nisstand desVerantwortlichen zulassen, sofern dieser nicht einer weiterge-henden Auskunft zustimmt.4)Das Recht derbetroffenen Person aufAuskunft über personenbezo-gene Daten, diedurch eine öffentliche Stelle weder automatisiert verarbeitetnoch nicht automatisiert verarbeitet und ineinem Dateisystem gespeichertwerden, besteht nur, soweit diebetroffene Person Angaben macht, diedasAuffinden derDaten ermöglichen, und derfürdieErteilung derAuskunfterforderliche Aufwand nicht ausser Verhältnis zudem von derbetroffenenPerson geltend gemachten Informationsinteresse steht.Art. 35Recht auf Löschung1)Isteine Löschung imFall nicht automatisierter oder automatisierterDatenverarbeitung wegen derbesonderen ArtderVerarbeitung oder Spei-cherung nicht oder nur mitunverhältnismässig hohem Aufwand möglichund istdasInteresse derbetroffenen Person anderLöschung alsgeringanzusehen, besteht dasRecht derbetroffenen Person aufund diePflichtdesVerantwortlichen zurLöschung personenbezogener Daten nach Art. 17Abs. 1derVerordnung (EU) 2016/ 679ergänzend zuden inArt. 17Abs.235.1 DSG30 Fassung: 01.01.20213derVerordnung (EU) 2016/ 679genannten Ausnahmen nicht. IndiesemFall tritt andieStelle einer Löschung dieEinschränkung derVerarbeitungnach Art. 18derVerordnung (EU) 2016/ 679. Die Sätze 1und 2findenkeine Anwendung, wenn diepersonenbezogenen Daten unrechtmässig ver-arbeitet wurden.2)Ergänzend zuArt. 18Abs. 1Bst. bund cderVerordnung (EU) 2016/679giltAbs. 1Satz 1und 2entsprechend imFall desArt. 17Abs. 1Bst. aund dderVerordnung (EU) 2016/ 679, solange und soweit derVerantwort-liche Grund zuderAnnahme hat,dass durch eine Löschung schutzwürdigeInteressen derbetroffenen Person beeinträchtigt würden. Der Verantwort-liche unterrichtet diebetroffene Person über dieEinschränkung derVer-arbeitung, sofern sich dieUnterrichtung nicht alsunmöglich erweist odereinen unverhältnismässigen Aufwand erfordern würde.3)Ergänzend zuArt. 17Abs. 3Bst. bderVerordnung (EU) 2016/ 679giltAbs. 1entsprechend imFall desArt. 17Abs. 1Bst. aderVerordnung(EU) 2016/ 679, wenn einer Löschung satzungsgemässe oder vertraglicheAufbewahrungsfristen entgegenstehen.Art. 36WiderspruchsrechtDas Recht aufWiderspruch nach Art. 21Abs. 1derVerordnung (EU)2016/ 679 gegenüber einer öffentlichen Stelle besteht nicht, soweit anderVerarbeitung einzwingendes öffentliches Interesse besteht, dasdieInter-essen derbetroffenen Person überwiegt, oder eine gesetzliche Bestimmungzur Verarbeitung verpflichtet.Art. 37Automatisierte Entscheidungen im Einzelfall einschliesslich Profiling1)Das Recht nach Art. 22Abs. 1der Verordnung (EU) 2016/ 679,keiner ausschliesslich aufeiner automatisierten Verarbeitung beruhendenEntscheidung unterworfen zuwerden, besteht über dieinArt. 22Abs. 2Bst. aund cderVerordnung (EU) 2016/ 679genannten Ausnahmen hinausnicht, wenn die Entscheidung im Rahmen:a) der Leistungserbringung nach einem Versicherungsvertrag ergeht und1. die Festsetzung der Versicherungsprämie betrifft;2. dem Begehren der betroffenen Person stattgegeben wurde; oderDSG 235.1Fassung: 01.01.2021 313.dieEntscheidung auf der Anwendung verbindlicher Entgeltrege-lungen für Heilbehandlungen beruht;b)derWahrnehmung derSorgfaltspflichten beiAufnahme einer Geschäfts-beziehung, derrisikoadäquaten Überwachung sowie derRisikobewer-tung nach den Art. 5, 9 und 9a des Sorgfaltspflichtgesetzes ergeht;c)desKreditgeschäfts nach Art. 3Abs. 3Bst. bdesBankengesetzes ergeht;oderd)derErbringung einer Wertpapierdienstleistung oder Wertpapierneben-dienstleistung nach Art. 3Abs. 4desBankengesetzes oder Art. 3desVermögensverwaltungsgesetzes ergeht.2)MitAusnahme vonAbs. 1Bst.aZiff. 2und Bst.bhatderVerantwort-liche angemessene Massnahmen zurWahrung derberechtigten Interessenderbetroffenen Person zutreffen, wozu mindestens dasRecht aufErwir-kung desEingreifens einer Person seitens desVerantwortlichen, aufDarle-gung deseigenen Standpunktes und aufAnfechtung derEntscheidung zählt;derVerantwortliche informiert diebetroffene Person über diese Rechte spä-testens zum Zeitpunkt derMitteilung, ausdersich ergibt, dass dem Antragderbetroffenen Person nicht vollumfänglich stattgegeben wird oder diebetroffene Person von derautomatisierten Entscheidung negativ betroffensein könnte.3)Entscheidungen nach Abs. 1Bst. adürfen aufderVerarbeitung vonGesundheitsdaten imSinne von Art. 4Ziff. 15derVerordnung (EU) 2016/679beruhen. Der Verantwortliche sieht angemessene und spezifische Mass-nahmen zurWahrung derInteressen derbetroffenen Person nach Art. 21Abs. 2 Satz 2 vor.C. Pflichten der Verantwortlichen und AuftragsverarbeiterC. Pflichten der Verantwortlichen und AuftragsverarbeiterArt. 38Datenschutzbeauftragte nicht-öffentlicher Stellen1)IstdieBenennung eines Datenschutzbeauftragten beinicht-öffentli-chen Stellen zwingend vorgeschrieben, soistdieAbberufung desDaten-schutzbeauftragten nur unter den Voraussetzungen derarbeitsrechtlichenBestimmungen über diefristlose Auflösung auswichtigen Gründen nach §1173a Art. 53 ABGB zulässig.2)Der Datenschutzbeauftragte istzurVerschwiegenheit über dieIden-tität derbetroffenen Person sowie über Umstände, dieRückschlüsse aufdie235.1 DSG32 Fassung: 01.01.2021betroffene Person zulassen, verpflichtet, soweit ernicht davon durch diebetroffene Person befreit wird.3)Wenn derDatenschutzbeauftragte beiseiner Tätigkeit Kenntnis vonDaten erhält, fürdiedem Verantwortlichen oder Auftragsverarbeiter einZeugnisverweigerungsrecht zusteht, steht dieses Recht auch dem Daten-schutzbeauftragten und den ihm unterstellten Beschäftigten zu.Über dieAusübung dieses Rechts entscheidet diePerson, derdasZeugnisverweige-rungsrecht zusteht, esseidenn, dass diese Entscheidung inabsehbarer Zeitnicht herbeigeführt werden kann. Soweit dasZeugnisverweigerungsrechtdesDatenschutzbeauftragten reicht, unterliegen seine Akten und andereDokumente einem Beschlagnahmeverbot.Art. 39Akkreditierung1)DieErteilung derBefugnis, alsZertifizierungsstelle nach Art. 43Abs.1Satz 1derVerordnung (EU) 2016/ 679tätig zuwerden, erfolgt durch dieLiechtensteinische Akkreditierungsstelle.2)DieRegierung kann dasNähere über dieAkkreditierung mitVerord-nung regeln.D. StrafbestimmungenD. StrafbestimmungenArt. 40Übertretungen nach der Verordnung (EU) 2016/6791)Von derDatenschutzstelle wird wegen Übertretung mitBusse nachAbs. 2bestraft, wer-wenn auch nurfahrlässig -nach Massgabe vonArt. 83Abs. 4bis6derVerordnung (EU) 2016/ 679gegen dieBestimmungen derVerordnung (EU) 2016/679 verstösst.2) Die Busse beträgt:a)indenFällen nach Art. 83Abs. 4derVerordnung (EU) 2016/ 679: biszu11Millionen Franken oder imFall einer juristischen Person von biszu2%ihres gesamten weltweit erzielten Jahresumsatzes desvorangegan-genen Geschäftsjahres, je nachdem, welcher der Beträge höher ist;b)indenFällen nach Art. 83Abs. 5und 6derVerordnung (EU) 2016/ 679:biszu22Millionen Franken oder imFall einer juristischen Person vonbiszu4%ihres gesamten weltweit erzielten Jahresumsatzes desvoran-gegangenen Geschäftsjahres, je nachdem, welcher der Beträge höher ist.DSG 235.1Fassung: 01.01.2021 333)DieDatenschutzstelle hatBussen gegen juristische Personen zuver-hängen, wenn dieÜbertretungen inAusübung geschäftlicher Verrichtungenderjuristischen Person (Anlasstaten) durch Personen begangen werden, dieentweder allein oder alsMitglied desVerwaltungsrats, derGeschäftsleitung,desVorstands oder Aufsichtsrats derjuristischen Person oder aufgrundeiner anderen Führungsposition innerhalb derjuristischen Person gehandelthaben, aufgrund derer sie:a) befugt sind, die juristische Person nach aussen zu vertreten;b) Kontrollbefugnisse in leitender Stellung ausüben; oderc)sonst massgeblichen Einfluss aufdieGeschäftsführung derjuristischenPerson ausüben.4)FürÜbertretungen, welche von Mitarbeitern derjuristischen Person,wenngleich nicht schuldhaft, begangen werden, istdiejuristische Personauch dann verantwortlich, wenn dieÜbertretung dadurch ermöglicht oderwesentlich erleichtert worden ist,dass dieinAbs. 3genannten Personenesunterlassen haben, dieerforderlichen und zumutbaren Massnahmen zurVerhinderung derartiger Anlasstaten zu ergreifen.5)DieVerantwortlichkeit derjuristischen Person fürdieAnlasstat unddieStrafbarkeit derinAbs. 3genannten Personen oder von Mitarbeiternnach Abs. 4wegen derselben Tatschliessen einander nicht aus. DieDaten-schutzstelle kann von derBestrafung einer natürlichen Person absehen,wenn fürdenselben Verstoss bereits eine Busse gegen diejuristische Personverhängt wird und keine besonderen Umstände vorliegen, die einemAbsehen von der Bestrafung entgegenstehen.6)DieDatenschutzstelle wird denKatalog desArt. 83Abs. 2bis6derVerordnung (EU) 2016/ 679sozurAnwendung bringen, dass dieVerhält-nismässigkeit gewahrt wird. Insbesondere beierstmaligen Verstössen wirddieDatenschutzstelle imEinklang mitArt. 58derVerordnung (EU) 2016/679vonihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauchmachen.7)Gegen Behörden und sonstige öffentliche Stellen werden keine Bussenverhängt.Art. 41Unbefugtes Beschaffen von personenbezogenen DatenWer unbefugt personenbezogene Daten, dienicht freizugänglich sind,auseiner Datenverarbeitung beschafft, istaufVerlangen desVerletzten vom235.1 DSG34 Fassung: 01.01.2021Landgericht wegen Vergehens mitFreiheitsstrafe biszusechs Monaten oderGeldstrafe bis zu 360 Tagessätzen zu bestrafen.Art. 42Verletzung des Datengeheimnisses1)Wer vorsätzlich geheime, personenbezogene Daten unbefugt einemanderen zugänglich macht, veröffentlicht oder verwertet, von denen erbeiderAusübung seines Berufes, derdieKenntnis solcher Daten erfordert,erfahren hat,istaufVerlangen desVerletzten vom Landgericht wegen Ver-gehens mitFreiheitsstrafe biszusechs Monaten oder Geldstrafe biszu360Tagessätzen zu bestrafen.2)Wer dieTatbegeht, umsich oder einem anderen einen Vermögens-vorteil zuzuwenden oder einem anderen einen Nachteil zuzufügen, istaufVerlangen desVerletzten mit Freiheitsstrafe biszueinem Jahr oder mitGeldstrafe bis zu 360 Tagessätzen zu bestrafen.3)Ebenso istzubestrafen, wer vorsätzlich geheime, personenbezogeneDaten unbefugt einem anderen zugänglich macht, veröffentlicht oder ver-wertet, vondenen erbeiseiner Tätigkeit fürdenGeheimhaltungspflichtigenoder während der Ausbildung bei diesem erfahren hat.4)Das unbefugte einem anderen zugänglich machen oder veröffentli-chen geheimer, personenbezogener Daten istauch nach Beendigung derBerufsausübung oder der Ausbildung strafbar.Art. 43VerwendungsverbotEine Meldung nach Art. 33derVerordnung (EU) 2016/ 679 oder eineBenachrichtigung nach Art. 34Abs. 1derVerordnung (EU) 2016/ 679darfineinem Strafverfahren nach Art. 41und 42gegen den Meldepflichtigenoder Benachrichtigenden oder seine in§108 Abs. 1derStrafprozessord-nung bezeichneten Angehörigen nurmitZustimmung desMeldepflichtigenoder Benachrichtigenden verwendet werden.DSG 235.1Fassung: 01.01.2021 35E. HaftungE. HaftungArt. 44Haftung und Recht auf Schadenersatz1)Jede Person, derwegen eines Verstosses gegen dieVerordnung (EU)2016/ 679 oder gegen dieBestimmungen desKapitels Ioder IIeinmate-rieller oder immaterieller Schaden entstanden ist,hatAnspruch aufScha-denersatz gegen denVerantwortlichen oder gegen denAuftragsverarbeiternach Art. 82derVerordnung (EU) 2016/ 679. ImEinzelnen gelten fürdiesenSchadenersatzanspruch dieallgemeinen Bestimmungen des bürgerlichenRechts.2)Hat derVerantwortliche oder Auftragsverarbeiter einen Vertreternach Art. 27Abs. 1derVerordnung (EU) 2016/ 679benannt, giltdieser auchalsbevollmächtigt, Zustellungen inzivilgerichtlichen Verfahren entgegen-zunehmen. Art. 12 des Zustellgesetzes bleibt unberührt.III. Bestimmungen für Verarbeitungen zu Zwecken nachIII. Bestimmungen für Verarbeitungen zu Zwecken nachArt. 1 Abs. 1 der Richtlinie (EU) 2016/680Art. 1 Abs. 1 der Richtlinie (EU) 2016/680A. Anwendungsbereich, Begriffsbestimmungen und allgemeine Grund-A. Anwendungsbereich, Begriffsbestimmungen und allgemeine Grund-sätze für die Verarbeitung personenbezogener Datensätze für die Verarbeitung personenbezogener DatenArt. 45AnwendungsbereichDieVorschriften dieses Kapitels gelten fürdieVerarbeitung personenbe-zogener Daten durch diefürdieVerhütung, Ermittlung, Aufdeckung oderVerfolgung von Straftaten oder derStrafvollstreckung zuständigen öffent-lichen Stellen, soweit sieDaten zum Zweck derErfüllung dieser Aufgabenverarbeiten. Die öffentlichen Stellen gelten dabei alsVerantwortliche. DieVerhütung von Straftaten imSinne desSatzes 1umfasst den Schutz vorund dieAbwehr von Gefahren fürdieöffentliche Sicherheit. Die Sätze 1und 2finden zudem Anwendung aufdiejenigen öffentlichen Stellen, diefürdieVollstreckung vonStrafen, vonMassnahmen derStrafgesetzgebung, vonErziehungsmassnahmen oder weiteren Massnahmen imSinne desJugend-gerichtsgesetzes und von Geldbussen zuständig sind. Soweit dieses KapitelVorschriften für Auftragsverarbeiter enthält, gilt es auch für diese.235.1 DSG36 Fassung: 01.01.2021Art. 46BegriffsbestimmungenIm Sinne dieses Kapitels gelten als:a)"personenbezogene Daten": alleInformationen, diesich aufeine iden-tifizierte oder identifizierbare natürliche Person (betroffene Person)beziehen; alsidentifizierbar wird eine natürliche Person angesehen, diedirekt oder indirekt, insbesondere mittels Zuordnung zueiner Kennungwieeinem Namen, zueiner Kennnummer, zuStandortdaten, zueinerOnline-Kennung oder zueinem oder mehreren besonderen Merkmalen,dieAusdruck der physischen, physiologischen, genetischen, psychi-schen, wirtschaftlichen, kulturellen oder sozialen Identität dieser Personsind, identifiziert werden kann;b)"Verarbeitung": jeder mitoder ohne Hilfe automatisierter Verfahren aus-geführte Vorgang oder jede solche Vorgangsreihe imZusammenhangmitpersonenbezogenen Daten wiedasErheben, dasErfassen, dieOrga-nisation, dasOrdnen, dieSpeicherung, dieAnpassung, dieVeränderung,dasAuslesen, dasAbfragen, dieVerwendung, dieOffenlegung durchÜbermittlung, Verbreitung oder eine andere Form derBereitstellung,den Abgleich, dieVerknüpfung, dieEinschränkung, dasLöschen oderdie Vernichtung;c)"Einschränkung derVerarbeitung": dieMarkierung gespeicherter per-sonenbezogener Daten mitdem Ziel, ihre künftige Verarbeitung einzu-schränken;d)"Profiling": jede Art derautomatisierten Verarbeitung personenbezo-gener Daten, diedarin besteht, dass diese personenbezogenen Daten ver-wendet werden, umbestimmte persönliche Aspekte, diesich aufeinenatürliche Person beziehen, zubewerten, insbesondere um Aspektebezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönlicheVorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oderOrtswechsel dieser natürlichen Person zuanalysieren oder vorherzu-sagen;e)"Pseudonymisierung": dieVerarbeitung personenbezogener Daten ineiner Weise, dass diepersonenbezogenen Daten ohne Hinzuziehungzusätzlicher Informationen nicht mehr einer spezifischen betroffenenPerson zugeordnet werden können, sofern diese zusätzlichen Informa-tionen gesondert aufbewahrt werden und technischen und organisatori-schen Massnahmen unterliegen, diegewährleisten, dass diepersonenbe-DSG 235.1Fassung: 01.01.2021 37zogenen Daten nicht einer identifizierten oder identifizierbaren natürli-chen Person zugewiesen werden;f)"Dateisystem": jede strukturierte Sammlung personenbezogener Daten,dienach bestimmten Kriterien zugänglich sind, unabhängig davon, obdiese Sammlung zentral, dezentral oder nach funktionalen oder geogra-fischen Gesichtspunkten geordnet geführt wird;g)"Verantwortlicher": diezuständige Behörde, dieallein oder gemeinsammitanderen über dieZwecke und Mittel derVerarbeitung von perso-nenbezogenen Daten entscheidet;h)"Auftragsverarbeiter": eine natürliche oder juristische Person, Behörde,Einrichtung oder andere Stelle, diepersonenbezogene Daten imAuftragdes Verantwortlichen verarbeitet;i)"Empfänger": eine natürliche oder juristische Person, Behörde, Einrich-tung oder andere Stelle, der personenbezogene Daten offengelegtwerden, unabhängig davon, obessich beiihrumeinen Dritten handeltoder nicht; Behörden, dieimRahmen eines bestimmten Untersuchungs-auftrags nach dem EWR/ Schengen-Recht oder anderen Gesetzen perso-nenbezogene Daten erhalten, gelten jedoch nicht alsEmpfänger; dieVer-arbeitung dieser Daten durch diegenannten Behörden erfolgt imEin-klang mitdengeltenden Datenschutzvorschriften gemäss denZweckender Verarbeitung;k)"Verletzung desSchutzes personenbezogener Daten": eine VerletzungderSicherheit, die,obunbeabsichtigt oder unrechtmässig, zurVernich-tung, zum Verlust, zurVeränderung oder zurunbefugten Offenlegungvon beziehungsweise zum unbefugten Zugang zupersonenbezogenenDaten führt, dieübermittelt, gespeichert oder aufsonstige Weise verar-beitet wurden;l)"genetische Daten": personenbezogene Daten zuden ererbten odererworbenen genetischen Eigenschaften einer natürlichen Person, dieein-deutige Informationen über diePhysiologie oder dieGesundheit diesernatürlichen Person liefern und insbesondere ausderAnalyse einer bio-logischen Probe der betroffenen natürlichen Person gewonnen wurden;m)"biometrische Daten": mitspeziellen technischen Verfahren gewonnenepersonenbezogene Daten zudenphysischen, physiologischen oder ver-haltenstypischen Merkmalen einer natürlichen Person, diedieeindeutigeIdentifizierung dieser natürlichen Person ermöglichen oder bestätigen,insbesondere Gesichtsbilder oder daktyloskopische Daten;n)"Gesundheitsdaten": personenbezogene Daten, diesich aufdiekörper-liche oder geistige Gesundheit einer natürlichen Person, einschliesslich235.1 DSG38 Fassung: 01.01.2021der Erbringung von Gesundheitsdienstleistungen, beziehen und ausdenen Informationen über deren Gesundheitszustand hervorgehen;o) "besondere Kategorien personenbezogener Daten":1.Daten, ausdenen dierassische oder ethnische Herkunft, politischeMeinungen, religiöse oder weltanschauliche Überzeugungen oder dieGewerkschaftszugehörigkeit hervorgehen;2. genetische Daten;3.biometrische Daten zureindeutigen Identifizierung einer natürlichenPerson;4. Gesundheitsdaten; und5. Daten zum Sexualleben oder zur sexuellen Orientierung;p)"Aufsichtsbehörde": eine von einem EWR/ Schengen-Staat nach Art. 41derRichtlinie (EU) 2016/ 680eingerichtete unabhängige staatliche Stelle;q)"internationale Organisation": eine völkerrechtliche Organisation undihre nachgeordneten Stellen oder jede sonstige Einrichtung, diedurcheine zwischen zwei oder mehr Staaten geschlossene Übereinkunft oderauf der Grundlage einer solchen Übereinkunft geschaffen wurde;r)"Einwilligung": jede freiwillig fürden bestimmten Fall, ininformierterWeise und unmissverständlich abgegebene Willensbekundung inFormeiner Erklärung oder einer sonstigen eindeutigen bestätigenden Hand-lung, mitderdiebetroffene Person zuverstehen gibt, dass siemitderVerarbeitung der siebetreffenden personenbezogenen Daten einver-standen ist.Art. 47Allgemeine Grundsätze für die Verarbeitung personenbezogener DatenPersonenbezogene Daten müssen:a) auf rechtmässige Weise und nach Treu und Glauben verarbeitet werden;b)fürfestgelegte, eindeutige und rechtmässige Zwecke erhoben und nichtineiner mitdiesen Zwecken nicht zuvereinbarenden Weise verarbeitetwerden;c)dem Verarbeitungszweck entsprechen, fürdasErreichen desVerarbei-tungszwecks erforderlich sein und ihre Verarbeitung nicht ausser Ver-hältnis zu diesem Zweck stehen;d)sachlich richtig und erforderlichenfalls aufdem neuesten Stand sein;dabei sind alleangemessenen Massnahmen zutreffen, damit personen-DSG 235.1Fassung: 01.01.2021 39bezogene Daten, dieimHinblick aufdieZwecke ihrer Verarbeitungunrichtig sind, unverzüglich gelöscht oder berichtigt werden;e)nicht länger alsesfürdieZwecke, fürdiesieverarbeitet werden, erfor-derlich ist,ineiner Form gespeichert werden, diedieIdentifizierung derbetroffenen Personen ermöglicht; undf)ineiner Weise verarbeitet werden, dieeine angemessene Sicherheit derpersonenbezogenen Daten gewährleistet; hierzu gehört auch eindurchgeeignete technische und organisatorische Massnahmen zugewährleis-tender Schutz vorunbefugter oder unrechtmässiger Verarbeitung, unbe-absichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsich-tigter Schädigung.B. Rechtsgrundlagen der Verarbeitung personenbezogener DatenB. Rechtsgrundlagen der Verarbeitung personenbezogener DatenArt. 48Verarbeitung besonderer Kategorien personenbezogener Daten1)Die Verarbeitung besonderer Kategorien personenbezogener Datenistnurzulässig, wenn siezurAufgabenerfüllung unbedingt erforderlich istund:a) ein Gesetz es ausdrücklich vorsieht;b) der Wahrung lebenswichtiger Interessen einer Person dient; oderc)sich aufpersonenbezogene Daten bezieht, dievonderbetroffenen Personoffensichtlich selbst öffentlich gemacht worden sind.2)Werden besondere Kategorien personenbezogener Daten verarbeitet,sind geeignete Garantien fürdieRechtsgüter derbetroffenen Personen vor-zusehen. Geeignete Garantien können insbesondere sein:a)spezifische Anforderungen andieDatensicherheit oder dieDatenschutz-kontrolle;b) die Festlegung von besonderen Aussonderungsprüffristen;c) die Sensibilisierung der an Verarbeitungsvorgängen Beteiligten;d)dieBeschränkung desZugangs zudenpersonenbezogenen Daten inner-halb der verantwortlichen Stelle;e) die von anderen Daten getrennte Verarbeitung;f) die Pseudonymisierung personenbezogener Daten;g) die Verschlüsselung personenbezogener Daten; oder235.1 DSG40 Fassung: 01.01.2021h)spezifische Verfahrensregelungen, dieimFall einer Übermittlung oderVerarbeitung fürandere Zwecke dieRechtmässigkeit derVerarbeitungsicherstellen.Art. 49Verarbeitung zu anderen ZweckenEine Verarbeitung personenbezogener Daten zueinem anderen Zweckalszudemjenigen, zudem sieerhoben wurden, istzulässig, wenn essichbeidem anderen Zweck umeinen derinArt. 45genannten Zwecke handelt,derVerantwortliche befugt ist,Daten zudiesem Zweck zuverarbeiten, unddieVerarbeitung zudiesem Zweck erforderlich und verhältnismässig ist.Die Verarbeitung personenbezogener Daten zueinem anderen, inArt. 45nicht genannten Zweck istzulässig, wenn dafür eine gesetzliche Grundlagebesteht.Art. 50Verarbeitung zu archivarischen, wissenschaftlichen und statistischenZweckenPersonenbezogene Daten dürfen imRahmen derinArt. 45genanntenZwecke inarchivarischer, wissenschaftlicher oder statistischer Form ver-arbeitet werden, wenn hieran einöffentliches Interesse besteht und geeig-nete Garantien fürdieRechtsgüter derbetroffenen Personen vorgesehenwerden. Solche Garantien können ineiner sozeitnah wie möglich erfol-genden Anonymisierung derpersonenbezogenen Daten, inVorkehrungengegen ihre unbefugte Kenntnisnahme durch Dritte oder inihrer räumlichund organisatorisch von densonstigen Fachaufgaben getrennten Verarbei-tung bestehen.Art. 51Einwilligung1)Soweit dieVerarbeitung personenbezogener Daten nach Massgabeeiner gesetzlichen Bestimmung auf der Grundlage einer Einwilligungerfolgen kann, muss derVerantwortliche dieEinwilligung derbetroffenenPerson nachweisen können.2)Erfolgt dieEinwilligung derbetroffenen Person nach Abs. 1durcheine schriftliche Erklärung, dienoch andere Sachverhalte betrifft, muss dasErsuchen umEinwilligung inverständlicher und leicht zugänglicher FormDSG 235.1Fassung: 01.01.2021 41ineiner klaren und einfachen Sprache soerfolgen, dass esvon denanderenSachverhalten klar zu unterscheiden ist.3)Die betroffene Person hatdasRecht, ihre Einwilligung nach Abs.1jederzeit zuwiderrufen. Durch den Widerruf derEinwilligung wird dieRechtmässigkeit deraufgrund derEinwilligung biszum Widerruf erfolgtenVerarbeitung nicht berührt. Diebetroffene Person istvorAbgabe derEin-willigung hiervon in Kenntnis zu setzen.4)Die Einwilligung nach Abs. 1istnur wirksam, wenn sieaufderfreien Entscheidung derbetroffenen Person beruht. BeiderBeurteilung, obdieEinwilligung freiwillig erteilt wurde, müssen dieUmstände derErtei-lung berücksichtigt werden. Diebetroffene Person istaufdenvorgesehenenZweck derVerarbeitung hinzuweisen. Istdies nach den Umständen desEinzelfalles erforderlich oder verlangt diebetroffene Person dies, istsieauch über die Folgen der Verweigerung der Einwilligung zu belehren.5)Soweit besondere Kategorien personenbezogener Daten verarbeitetwerden, muss sich dieEinwilligung nach Abs. 1ausdrücklich aufdieseDaten beziehen.Art. 52Verarbeitung auf Weisung des VerantwortlichenJede einem Verantwortlichen oder einem Auftragsverarbeiter unter-stellte Person, dieZugang zupersonenbezogenen Daten hat, darf dieseDaten ausschliesslich aufWeisung desVerantwortlichen verarbeiten, esseidenn, dass sie gesetzlich zur Verarbeitung verpflichtet ist.Art. 53DatengeheimnisMit Datenverarbeitung befasste Personen dürfen personenbezogeneDaten nicht unbefugt verarbeiten (Datengeheimnis). Siesind beiderAuf-nahme ihrer Tätigkeit dem Datengeheimnis zuverpflichten. Das Datenge-heimnis besteht auch nach der Beendigung ihrer Tätigkeit fort.Art. 54Automatisierte Einzelentscheidung1)Eine ausschliesslich aufeiner automatischen Verarbeitung beruhendeEntscheidung, diemit einer nachteiligen Rechtsfolge fürdiebetroffene235.1 DSG42 Fassung: 01.01.2021Person verbunden istoder sieerheblich beeinträchtigt, istnur zulässig,wenn dafür eine gesetzliche Grundlage besteht.2)Entscheidungen nach Abs. 1dürfen nicht aufbesonderen Kategorienpersonenbezogener Daten beruhen, sofern nicht geeignete Massnahmenzum Schutz derRechtsgüter sowie derberechtigten Interessen derbetrof-fenen Personen getroffen wurden.3)Profiling, daszurFolge hat,dass betroffene Personen aufderGrund-lage von besonderen Kategorien personenbezogener Daten diskriminiertwerden, ist verboten.C. Rechte der betroffenen PersonC. Rechte der betroffenen PersonArt. 55Allgemeine Informationen zu DatenverarbeitungenDer Verantwortliche hat inallgemeiner Form und für jedermannzugänglich Informationen zur Verfügung zu stellen über:a) die Zwecke der von ihm vorgenommenen Verarbeitungen;b)dieimHinblick aufdieVerarbeitung ihrer personenbezogenen Datenbestehenden Rechte derbetroffenen Personen aufAuskunft, Berichti-gung, Löschung und Einschränkung der Verarbeitung;c)denNamen und dieKontaktdaten desVerantwortlichen und deroder desDatenschutzbeauftragten;d) das Recht, die Datenschutzstelle anzurufen; unde) die Erreichbarkeit der Datenschutzstelle.Art. 56Benachrichtigung betroffener Personen1)IstdieBenachrichtigung betroffener Personen über dieVerarbeitungsiebetreffender personenbezogener Daten inspezialgesetzlichen Bestim-mungen, insbesondere beiverdeckten Massnahmen, vorgesehen oder ange-ordnet, sohatdiese Benachrichtigung zumindest diefolgenden Angaben zuenthalten:a) die in Art. 55 genannten Angaben;b) die Rechtsgrundlage der Verarbeitung;DSG 235.1Fassung: 01.01.2021 43c)diefürdieDaten geltende Speicherdauer oder, falls dies nicht möglich ist,die Kriterien für die Festlegung dieser Dauer;d)gegebenenfalls dieKategorien von Empfängern derpersonenbezogenenDaten; unde)erforderlichenfalls weitere Informationen, insbesondere, wenn dieper-sonenbezogenen Daten ohne Wissen derbetroffenen Person erhobenwurden.2)IndenFällen desAbs. 1kann derVerantwortliche dieBenachrichti-gung insoweit und solange aufschieben, einschränken oder unterlassen, wieandernfalls:a) die Erfüllung der in Art. 45 genannten Aufgaben,b) die öffentliche Sicherheit oderc) Rechtsgüter Dritterbeeinträchtigt würden, wenn das Interesse ander Vermeidung dieserGefahren das Informationsinteresse der betroffenen Person überwiegt.3)Bezieht sich dieBenachrichtigung aufdieÜbermittlung personenbe-zogener Daten andieLandespolizei fürihre Aufgabenerfüllung imRahmendes Staatsschutzes, ist sie nur mit Zustimmung der Landespolizei zulässig.4)ImFall derEinschränkung nach Abs. 2giltArt. 57Abs. 7entspre-chend.Art. 57Auskunftsrecht1)Der Verantwortliche hatbetroffenen Personen aufAntrag Auskunftdarüber zuerteilen, obersiebetreffende Daten verarbeitet. Betroffene Per-sonen haben darüber hinaus das Recht, Informationen zu erhalten über:a)diepersonenbezogenen Daten, dieGegenstand derVerarbeitung sind,und die Kategorie, zu der sie gehören;b) die verfügbaren Informationen über die Herkunft der Daten;c) die Zwecke der Verarbeitung und deren Rechtsgrundlage;d)dieEmpfänger oder dieKategorien von Empfängern, gegenüber denendieDaten offengelegt worden sind, insbesondere beiEmpfängern inDrittstaaten oder bei internationalen Organisationen;e)diefürdieDaten geltende Speicherdauer oder, falls dies nicht möglich ist,die Kriterien für die Festlegung dieser Dauer;235.1 DSG44 Fassung: 01.01.2021f)dasBestehen eines Rechts aufBerichtigung, Löschung oder Einschrän-kung der Verarbeitung der Daten durch den Verantwortlichen;g) das Recht nach Art. 60, die Datenschutzstelle anzurufen; undh) Angaben zur Erreichbarkeit der Datenschutzstelle.2)Abs. 1giltnicht fürpersonenbezogene Daten, dienurdeshalb ver-arbeitet werden, weil sieaufgrund gesetzlicher Aufbewahrungsvorschriftennicht gelöscht werden dürfen oder dieausschliesslich Zwecken derDaten-sicherung oder derDatenschutzkontrolle dienen, wenn dieAuskunftsertei-lung einen unverhältnismässigen Aufwand erfordern würde und eine Verar-beitung zuanderen Zwecken durch geeignete technische und organisatori-sche Massnahmen ausgeschlossen ist.3)Von der Auskunftserteilung istabzusehen, wenn diebetroffenePerson keine Angaben macht, diedasAuffinden derDaten ermöglichen,und deshalb derfürdieErteilung derAuskunft erforderliche Aufwandausser Verhältnis zudem von derbetroffenen Person geltend gemachtenInformationsinteresse steht.4)Der Verantwortliche kann unter den Voraussetzungen desArt. 56Abs. 2von derAuskunft nach Abs. 1Satz 1absehen oder dieAuskunftser-teilung nach Abs. 1 Satz 2 teilweise oder vollständig einschränken.5)Bezieht sich dieAuskunftserteilung aufdieÜbermittlung personen-bezogener Daten andieLandespolizei fürihre Aufgabenerfüllung imRahmen desStaatsschutzes, istsienurmitZustimmung derLandespolizeizulässig.6)Der Verantwortliche hatdiebetroffene Person über dasAbsehen vonoder dieEinschränkung einer Auskunft unverzüglich schriftlich zuunter-richten. Dies giltnicht, wenn bereits dieErteilung dieser Informationen eineBeeinträchtigung imSinne von Art. 56Abs. 2mitsich bringen würde. DieUnterrichtung nach Satz 1istzubegründen, esseidenn, dass dieMitteilungderGründe den mitdem Absehen von oder derEinschränkung derAus-kunft verfolgten Zweck gefährden würde.7)Wird diebetroffene Person nach Abs. 6über dasAbsehen von oderdieEinschränkung derAuskunft unterrichtet, kann sieihrAuskunftsrechtauch über dieDatenschutzstelle ausüben. Der Verantwortliche hatdiebetroffene Person über diese Möglichkeit sowie darüber zuunterrichten,dass sienach Art. 60dieDatenschutzstelle anrufen oder eine rechtsmittel-fähige Verfügung verlangen kann. Macht diebetroffene Person von ihremRecht nach Satz 1Gebrauch, istdieAuskunft aufihrVerlangen derDaten-schutzstelle zuerteilen, soweit nicht dieRegierung imEinzelfall feststellt,DSG 235.1Fassung: 01.01.2021 45dass dadurch dieSicherheit desLandes gefährdet würde. DieDatenschutz-stelle hatdiebetroffene Person zumindest darüber zuunterrichten, dassalle erforderlichen Prüfungen erfolgt sind oder eine Überprüfung durchsiestattgefunden hat. Diese Mitteilung kann dieInformation enthalten,obdatenschutzrechtliche Verstösse festgestellt wurden. DieMitteilung derDatenschutzstelle andiebetroffene Person darf keine Rückschlüsse aufden Erkenntnisstand desVerantwortlichen zulassen, sofern dieser keinerweitergehenden Auskunft zustimmt. Der Verantwortliche darf dieZustim-mung nurinsoweit und solange verweigern, wieernach Abs. 4von einerAuskunft absehen oder sieeinschränken könnte. DieDatenschutzstelle hatzudem diebetroffene Person über ihrRecht aufgerichtlichen Rechtsschutzzu unterrichten.8)Der Verantwortliche hatdiesachlichen oder rechtlichen Gründe fürdie Entscheidung zu dokumentieren.Art. 58Rechte auf Berichtigung und Löschung sowie Einschränkung der Verar-beitung1)Die betroffene Person hatdas Recht, von dem Verantwortlichenunverzüglich dieBerichtigung siebetreffender unrichtiger Daten zuver-langen. Insbesondere imFall von Aussagen oder Beurteilungen betrifft dieFrage derRichtigkeit nicht denInhalt derAussage oder Beurteilung. WenndieRichtigkeit oder Unrichtigkeit derDaten nicht festgestellt werden kann,tritt andieStelle derBerichtigung eine Einschränkung derVerarbeitung. Indiesem Fall hatderVerantwortliche diebetroffene Person zuunterrichten,bevor erdieEinschränkung wieder aufhebt. Die betroffene Person kannzudem dieVervollständigung unvollständiger personenbezogener Datenverlangen, wenn dies unter Berücksichtigung der Verarbeitungszweckeangemessen ist.2)Die betroffene Person hatdas Recht, von dem Verantwortlichenunverzüglich dieLöschung siebetreffender Daten zuverlangen, wenn derenVerarbeitung unzulässig ist,deren Kenntnis fürdieAufgabenerfüllungnicht mehr erforderlich istoder diese zurErfüllung einer rechtlichen Ver-pflichtung gelöscht werden müssen.3)Anstatt diepersonenbezogenen Daten zulöschen, kann derVerant-wortliche deren Verarbeitung einschränken, wenn:a)Grund zuder Annahme besteht, dass eine Löschung schutzwürdigeInteressen einer betroffenen Person beeinträchtigen würde;235.1 DSG46 Fassung: 01.01.2021b)dieDaten zuBeweiszwecken inVerfahren, dieZwecken desArt. 45dienen, weiter aufbewahrt werden müssen; oderc)eine Löschung wegen derbesonderen ArtderSpeicherung nicht oder nurmit unverhältnismässigem Aufwand möglich ist.Inihrer Verarbeitung nach Satz 1eingeschränkte Daten dürfen nurzudemZweck verarbeitet werden, der ihrer Löschung entgegenstand.4)Hat der Verantwortliche eine Berichtigung vorgenommen, hatereiner Stelle, dieihm diepersonenbezogenen Daten zuvor übermittelt hat,dieBerichtigung mitzuteilen. InFällen derBerichtigung, Löschung oderEinschränkung derVerarbeitung nach denAbs. 1bis3hatderVerantwort-liche Empfängern, denen dieDaten übermittelt wurden, diese Massnahmenmitzuteilen. Der Empfänger hatdieDaten zuberichtigen, zulöschen oderihre Verarbeitung einzuschränken.5)Der Verantwortliche hatdiebetroffene Person über einAbsehen vonderBerichtigung oder Löschung personenbezogener Daten oder über dieanderen Stelle tretende Einschränkung derVerarbeitung schriftlich zuunter-richten. Dies giltnicht, wenn bereits dieErteilung dieser Informationen eineBeeinträchtigung imSinne von Art. 56Abs. 2mitsich bringen würde. DieUnterrichtung nach Satz 1istzubegründen, esseidenn, dass dieMitteilungderGründe denmitdem Absehen vonderUnterrichtung verfolgten Zweckgefährden würde.6) Art. 57 Abs. 7 und 8 findet entsprechende Anwendung.Art. 59Verfahren für die Ausübung der Rechte der betroffenen Person1)Der Verantwortliche hatmitbetroffenen Personen unter Verwendungeiner klaren und einfachen Sprache inpräziser, verständlicher und leichtzugänglicher Form zu kommunizieren.2)BeiAnträgen hatderVerantwortliche diebetroffene Person unbe-schadet desArt. 57Abs. 6und desArt. 58Abs. 5unverzüglich schriftlichdarüber in Kenntnis zu setzen, wie verfahren wurde.3)Die Erteilung von Informationen nach Art. 55,dieBenachrichti-gungen nach den Art. 56und 65und dieBearbeitung von Anträgen nachdenArt. 57und 58erfolgen unentgeltlich. Beioffenkundig unbegründetenoder exzessiven Anträgen nach den Art. 57und 58kann derVerantwort-liche entweder eine angemessene Gebühr verlangen oder sich weigern, auf-grund desAntrags tätig zuwerden. Indiesem Fallmuss derVerantwortlicheDSG 235.1Fassung: 01.01.2021 47den offenkundig unbegründeten oder exzessiven Charakter desAntragsbelegen können.4)Hat derVerantwortliche begründete Zweifel anderIdentität einerbetroffenen Person, dieeinen Antrag nach denArt. 57oder 58gestellt hat,kann ervon ihrzusätzliche Informationen anfordern, diezurBestätigungihrer Identität erforderlich sind.Art. 60Anrufung der Datenschutzstelle1)Jede betroffene Person kann sich unbeschadet anderweitiger Rechts-behelfe miteiner Beschwerde andieDatenschutzstelle wenden, wenn siederAuffassung ist,beiderVerarbeitung ihrer personenbezogenen Datendurch öffentliche Stellen zuden inArt. 45genannten Zwecken inihrenRechten verletzt worden zusein. Dies giltnicht fürdieVerarbeitung vonpersonenbezogenen Daten durch Gerichte, soweit diese dieDaten imRahmen ihrer justiziellen Tätigkeit verarbeitet haben. DieDatenschutzstellehatdiebetroffene Person über denStand und dasErgebnis derBeschwerdezuunterrichten und siehierbei aufdieBeschwerdemöglichkeit nach Art. 20hinzuweisen.2)Die Datenschutzstelle hateine beiihreingelegte Beschwerde übereine Verarbeitung, dieindieZuständigkeit einer Aufsichtsbehörde ineinemanderen EWR/ Schengen-Staat fällt, unverzüglich andiezuständige Auf-sichtsbehörde desanderen Staates weiterzuleiten. Siehatindiesem Fall diebetroffene Person über dieWeiterleitung zuunterrichten und ihraufderenErsuchen weitere Unterstützung zu leisten.D. Pflichten der Verantwortlichen und AuftragsverarbeiterD. Pflichten der Verantwortlichen und AuftragsverarbeiterArt. 61Auftragsverarbeitung1)Werden personenbezogene Daten imAuftrag eines Verantwortlichendurch andere Personen oder Stellen verarbeitet, hatderVerantwortliche fürdieEinhaltung derVorschriften dieses Gesetzes und anderer Vorschriftenüber denDatenschutz zusorgen. DieRechte derbetroffenen Personen aufAuskunft, Berichtigung, Löschung, Einschränkung derVerarbeitung undSchadenersatz sind indiesem Fallgegenüber dem Verantwortlichen geltendzu machen.235.1 DSG48 Fassung: 01.01.20212)EinVerantwortlicher darf nursolche Auftragsverarbeiter mitderVer-arbeitung personenbezogener Daten beauftragen, diemitgeeigneten tech-nischen und organisatorischen Massnahmen sicherstellen, dass dieVerar-beitung imEinklang mitden gesetzlichen Anforderungen erfolgt und derSchutz der Rechte der betroffenen Personen gewährleistet wird.3)Auftragsverarbeiter dürfen ohne vorherige schriftliche GenehmigungdesVerantwortlichen keine weiteren Auftragsverarbeiter hinzuziehen. HatderVerantwortliche dem Auftragsverarbeiter eine allgemeine GenehmigungzurHinzuziehung weiterer Auftragsverarbeiter erteilt, hatderAuftragsver-arbeiter den Verantwortlichen über jede beabsichtigte Hinzuziehung oderErsetzung zuinformieren. Der Verantwortliche kann indiesem Fall dieHinzuziehung oder Ersetzung untersagen.4)Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiterhinzu, sohaterdiesem dieselben Verpflichtungen ausseinem Vertrag mitdem Verantwortlichen nach Abs. 5aufzuerlegen, dieauch fürihngelten,soweit diese Pflichten fürdenweiteren Auftragsverarbeiter nicht schon auf-grund anderer Vorschriften verbindlich sind. Erfüllt einweiterer Auftrags-verarbeiter diese Verpflichtungen nicht, sohaftet derihnbeauftragendeAuftragsverarbeiter gegenüber dem Verantwortlichen fürdieEinhaltungder Pflichten des weiteren Auftragsverarbeiters.5)DieVerarbeitung durch einen Auftragsverarbeiter hataufderGrund-lage eines Vertrags oder eines anderen Rechtsinstruments zuerfolgen, deroder dasden Auftragsverarbeiter anden Verantwortlichen bindet und deroder dasden Gegenstand, dieDauer, dieArt und den Zweck derVerar-beitung, dieArtderpersonenbezogenen Daten, dieKategorien betroffenerPersonen und dieRechte und Pflichten desVerantwortlichen festlegt. DerVertrag oder dasandere Rechtsinstrument haben insbesondere vorzusehen,dass der Auftragsverarbeiter:a)nur aufdokumentierte Weisung desVerantwortlichen handelt; istderAuftragsverarbeiter derAuffassung, dass eine Weisung rechtswidrig ist,hat er den Verantwortlichen unverzüglich zu informieren;b)gewährleistet, dass diezurVerarbeitung derpersonenbezogenen Datenbefugten Personen zurVertraulichkeit verpflichtet werden, soweit siekeiner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;c)denVerantwortlichen mitgeeigneten Mitteln dabei unterstützt, dieEin-haltung derBestimmungen über dieRechte derbetroffenen Person zugewährleisten;d)allepersonenbezogenen Daten nach Abschluss derErbringung derVer-arbeitungsleistungen nach Wahl desVerantwortlichen zurückgibt oderDSG 235.1Fassung: 01.01.2021 49löscht und bestehende Kopien vernichtet, wenn nicht eine gesetzlicheVerpflichtung zur Speicherung der Daten besteht;e)dem Verantwortlichen alleerforderlichen Informationen, insbesonderedienach Art. 75erstellten Protokolle, zum Nachweis derEinhaltungseiner Pflichten zur Verfügung stellt;f)Überprüfungen, dievon dem Verantwortlichen oder einem von diesembeauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt;g)dieinden Abs. 3und 4aufgeführten Bedingungen fürdieInanspruch-nahme der Dienste eines weiteren Auftragsverarbeiters einhält;h) alle nach Art. 63 erforderlichen Massnahmen ergreift; undi)unter Berücksichtigung derArtderVerarbeitung und derihm zurVerfü-gung stehenden Informationen denVerantwortlichen beiderEinhaltungder in den Art. 63 bis 66 und 68 genannten Pflichten unterstützt.6)Der Vertrag imSinne von Abs. 5istschriftlich oder elektronischabzufassen.7)EinAuftragsverarbeiter, derdieZwecke und Mittel derVerarbeitungunter Verstoss gegen diese Vorschrift bestimmt, giltinBezug aufdiese Ver-arbeitung als Verantwortlicher.Art. 62Gemeinsam VerantwortlicheLegen zwei oder mehr Verantwortliche gemeinsam dieZwecke unddieMittel derVerarbeitung fest, gelten siealsgemeinsam Verantwortliche.Gemeinsam Verantwortliche haben ihre jeweiligen Aufgaben und daten-schutzrechtlichen Verantwortlichkeiten intransparenter Form ineiner Ver-einbarung festzulegen, soweit diese nicht bereits ineinem Gesetz festgelegtsind. Aus derVereinbarung muss insbesondere hervorgehen, wer welchenInformationspflichten nachzukommen hatund wie und gegenüber wembetroffene Personen ihre Rechte wahrnehmen können. Eine entsprechendeVereinbarung hindert diebetroffene Person nicht, ihre Rechte gegenüberjedem der gemeinsam Verantwortlichen geltend zu machen.Art. 63Anforderungen an die Sicherheit der Datenverarbeitung1)Der Verantwortliche und der Auftragsverarbeiter haben unterBerücksichtigung desStands derTechnik, derImplementierungskosten, der235.1 DSG50 Fassung: 01.01.2021Art, desUmfangs, derUmstände und derZwecke derVerarbeitung sowiederEintrittswahrscheinlichkeit und derSchwere dermitderVerarbeitungverbunden Risiken fürdieRechte und Freiheiten natürlicher Personen dieerforderlichen technischen und organisatorischen Massnahmen zutreffen,umbeiderVerarbeitung personenbezogener Daten eindem Risiko ange-messenes Schutzniveau zugewährleisten, insbesondere imHinblick aufdieVerarbeitung besonderer Kategorien personenbezogener Daten. Der Ver-antwortliche hathierbei dieeinschlägigen allgemein anerkannten techni-schen Richtlinien und Empfehlungen inder Informationstechnik zuberücksichtigen.2)Die inAbs. 1genannten Massnahmen können unter anderem diePseudonymisierung und Verschlüsselung personenbezogener Datenumfassen, soweit solche Mittel inAnbetracht der Verarbeitungszweckemöglich sind. Die Massnahmen nach Abs. 1 sollen dazu führen, dass:a)dieVertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit derSys-teme und Dienste imZusammenhang mitderVerarbeitung aufDauersichergestellt werden; undb)dieVerfügbarkeit derpersonenbezogenen Daten und derZugang zuihnen beieinem physischen oder technischen Zwischenfall rasch wieder-hergestellt werden können.3)ImFalleiner automatisierten Verarbeitung haben derVerantwortlicheund derAuftragsverarbeiter nach einer Risikobewertung Massnahmen zuergreifen, die Folgendes bezwecken:a)Verwehrung desZugangs zuVerarbeitungsanlagen, mitdenen dieVerar-beitung durchgeführt wird, für Unbefugte (Zugangskontrolle);b)Verhinderung des unbefugten Lesens, Kopierens, Veränderns oderLöschens von Datenträgern (Datenträgerkontrolle);c)Verhinderung derunbefugten Eingabe von personenbezogenen Datensowie derunbefugten Kenntnisnahme, Veränderung und Löschung vongespeicherten personenbezogenen Daten (Speicherkontrolle);d)Verhinderung derNutzung automatisierter Verarbeitungssysteme mitHilfe von Einrichtungen zur Datenübertragung durch Unbefugte(Benutzerkontrolle);e)Gewährleistung, dass diezur Benutzung eines automatisierten Verar-beitungssystems Berechtigten ausschliesslich zudenvon ihrer Zugangs-berechtigung umfassten personenbezogenen Daten Zugang haben(Zugangskontrolle);DSG 235.1Fassung: 01.01.2021 51f)Gewährleistung, dass überprüft und festgestellt werden kann, anwelcheStellen personenbezogene Daten mit Hilfe von Einrichtungen zurDatenübertragung übermittelt oder zurVerfügung gestellt wurden oderwerden können (Übertragungskontrolle);g)Gewährleistung, dass nachträglich überprüft und festgestellt werdenkann, welche personenbezogenen Daten zuwelcher Zeit und von weminautomatisierte Verarbeitungssysteme eingegeben oder verändertworden sind (Eingabekontrolle);h)Gewährleistung, dass beiderÜbermittlung personenbezogener Datensowie beim Transport von Datenträgern dieVertraulichkeit und Inte-grität der Daten geschützt werden (Transportkontrolle);i)Gewährleistung, dass eingesetzte Systeme imStörungsfall wiederherge-stellt werden können (Wiederherstellbarkeit);k)Gewährleistung, dass alleFunktionen desSystems zurVerfügung stehenund auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit);l)Gewährleistung, dass gespeicherte personenbezogene Daten nicht durchFehlfunktionen des Systems beschädigt werden können (Dateninte-grität);m)Gewährleistung, dass personenbezogene Daten, dieimAuftrag verar-beitet werden, nurentsprechend denWeisungen desAuftraggebers ver-arbeitet werden können (Auftragskontrolle);n)Gewährleistung, dass personenbezogene Daten gegen Zerstörung oderVerlust geschützt sind (Verfügbarkeitskontrolle);o)Gewährleistung, dass zuunterschiedlichen Zwecken erhobene personen-bezogene Daten getrennt verarbeitet werden können (Trennbarkeit).4)EinZweck nach Abs. 3Bst. bbisfkann insbesondere durch dieVer-wendung vondem Stand derTechnik entsprechenden Verschlüsselungsver-fahren erreicht werden.Art. 64Meldung von Verletzungen des Schutzes personenbezogener Daten andie Datenschutzstelle1)Der Verantwortliche hateine Verletzung desSchutzes personenbe-zogener Daten unverzüglich und möglichst innerhalb von 72Stunden,nachdem sieihm bekannt geworden ist,derDatenschutzstelle zumelden, esseidenn, dass dieVerletzung voraussichtlich nicht zueinem Risiko fürdieRechte und Freiheiten natürlicher Personen führt. Erfolgt dieMeldung an235.1 DSG52 Fassung: 01.01.2021dieDatenschutzstelle nicht innerhalb von 72Stunden, soistdieVerzöge-rung zu begründen.2)EinAuftragsverarbeiter hateine Verletzung desSchutzes personenbe-zogener Daten unverzüglich dem Verantwortlichen zu melden.3)DieMeldung nach Abs. 1hatzumindest folgende Informationen zuenthalten:a)eine Beschreibung derArtderVerletzung desSchutzes personenbezo-gener Daten, die,soweit möglich, Angaben zuden Kategorien und derungefähren Anzahl derbetroffenen Personen, zudenbetroffenen Kate-gorien personenbezogener Daten und zuderungefähren Anzahl derbetroffenen personenbezogenen Datensätze zu enthalten hat;b)denNamen und dieKontaktdaten deroder desDatenschutzbeauftragtenoder einer sonstigen Person oder Stelle, dieweitere Informationenerteilen kann;c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung; undd)eine Beschreibung dervondem Verantwortlichen ergriffenen oder vorge-schlagenen Massnahmen zurBehandlung derVerletzung und dergetrof-fenen Massnahmen zurAbmilderung ihrer möglichen nachteiligen Aus-wirkungen.4)Wenn dieInformationen nach Abs. 3nicht zusammen mitderMel-dung übermittelt werden können, hatderVerantwortliche sieunverzüglichnachzureichen, sobald sie ihm vorliegen.5)Der Verantwortliche hatVerletzungen desSchutzes personenbezo-gener Daten zudokumentieren. DieDokumentation hatallemitdenVor-fällen zusammenhängenden Tatsachen, deren Auswirkungen und dieergrif-fenen Abhilfemassnahmen zu umfassen.6)Soweit von einer Verletzung desSchutzes personenbezogener Datenpersonenbezogene Daten betroffen sind, dievon einem oder aneinen Ver-antwortlichen ineinem anderen EWR/ Schengen-Staat übermittelt wurden,sind dieinAbs. 3genannten Informationen dem dortigen Verantwortlichenunverzüglich zu übermitteln.7)Das Verwendungsverbot nach Art. 43findet entsprechende Anwen-dung.8)Weitere Pflichten desVerantwortlichen zuBenachrichtigungen überVerletzungen des Schutzes personenbezogener Daten bleiben unberührt.DSG 235.1Fassung: 01.01.2021 53Art. 65Benachrichtigung betroffener Personen bei Verletzungen des Schutzespersonenbezogener Daten1)Hat eine Verletzung desSchutzes personenbezogener Daten vor-aussichtlich einhohes Risiko fürdieRechte und Freiheiten natürlicherPersonen zurFolge, sohatderVerantwortliche diebetroffenen Personenunverzüglich über den Vorfall zu benachrichtigen.2)DieBenachrichtigung nach Abs. 1hatinklarer und einfacher Sprachedie Art der Verletzung des Schutzes personenbezogener Daten zubeschreiben und zumindest dieinArt. 64Abs. 3Bst. bbisdgenanntenInformationen und Massnahmen zu enthalten.3)Von derBenachrichtigung nach Abs. 1kann abgesehen werden, wenn:a)derVerantwortliche geeignete technische und organisatorische Sicher-heitsvorkehrungen getroffen hatund diese Vorkehrungen aufdievonder Verletzung des Schutzes personenbezogener Daten betroffenenDaten angewandt wurden; dies giltinsbesondere fürVorkehrungen wieVerschlüsselungen, durch diedieDaten fürunbefugte Personen unzu-gänglich gemacht wurden;b)derVerantwortliche durch imAnschluss andieVerletzung getroffeneMassnahmen sichergestellt hat,dass aller Wahrscheinlichkeit nach keineerhebliche Gefahr im Sinne von Abs. 1 mehr besteht; oderc)dies mit einem unverhältnismässigen Aufwand verbunden wäre; indiesem Fall hatstattdessen eine öffentliche Bekanntmachung oder eineähnliche Massnahme zuerfolgen, durch diediebetroffenen Personenvergleichbar wirksam informiert werden.4)Wenn derVerantwortliche diebetroffenen Personen über eine Verlet-zung desSchutzes personenbezogener Daten nicht benachrichtigt hat,kanndieDatenschutzstelle förmlich feststellen, dass ihrer Auffassung nach dieinAbs. 3genannten Voraussetzungen nicht erfüllt sind. Hierbei hatsiedieWahrscheinlichkeit zuberücksichtigen, dass dieVerletzung zueinem hohenRisiko im Sinne von Abs. 1 führt.5)Die Benachrichtigung derbetroffenen Personen nach Abs. 1kannunter deninArt. 56Abs. 2genannten Voraussetzungen aufgeschoben, ein-geschränkt oder unterlassen werden, soweit nicht dieInteressen derbetrof-fenen Person aufgrund desvon derVerletzung ausgehenden hohen Risikosim Sinne von Abs. 1 überwiegen.235.1 DSG54 Fassung: 01.01.20216)Das Verwendungsverbot nach Art. 43findet entsprechende Anwen-dung.Art. 66Durchführung einer Datenschutz-Folgenabschätzung1)Hat eine Form derVerarbeitung, insbesondere beiVerwendung neuerTechnologien, aufgrund der Art, des Umfangs, der Umstände und derZwecke derVerarbeitung voraussichtlich einhohes Risiko fürdieRechteund Freiheiten dernatürlichen Personen zurFolge, sohatderVerantwort-liche vorab eine Abschätzung derFolgen dervorgesehenen Verarbeitungs-vorgänge für die betroffenen Personen durchzuführen.2)FürdieUntersuchung mehrerer ähnlicher Verarbeitungsvorgänge mitähnlich hohen Risiken kann eine gemeinsame Datenschutz-Folgenabschät-zung vorgenommen werden.3)Der Verantwortliche hatdieDatenschutzstelle anderDurchführungder Folgenabschätzung zu beteiligen.4)Die Folgenabschätzung hatden Rechten dervon derVerarbeitungbetroffenen Personen Rechnung zutragen und zumindest Folgendes zuenthalten:a)eine systematische Beschreibung dergeplanten Verarbeitungsvorgängeund der Zwecke der Verarbeitung;b)eine Bewertung derNotwendigkeit und Verhältnismässigkeit derVerar-beitungsvorgänge in Bezug auf deren Zweck;c)eine Bewertung derRisiken fürdieRechte und Freiheiten derbetroffenenPersonen; undd)dieMassnahmen, mitdenen bestehenden Risiken abgeholfen werden soll,einschliesslich derGarantien, derSicherheitsvorkehrungen und derVer-fahren, durch diederSchutz personenbezogener Daten sichergestelltund dieEinhaltung dergesetzlichen Vorgaben nachgewiesen werdensollen.5)Soweit erforderlich, hat der Verantwortliche eine Überprüfungdurchzuführen, obdieVerarbeitung den Massgaben folgt, diesich ausderFolgenabschätzung ergeben haben.DSG 235.1Fassung: 01.01.2021 55Art. 67Zusammenarbeit mit der DatenschutzstelleDer Verantwortliche hatmit derDatenschutzstelle beiderErfüllungihrer Aufgaben zusammenzuarbeiten.Art. 68Anhörung der Datenschutzstelle1)Der Verantwortliche hatvor derInbetriebnahme von neu anzule-genden Dateisystemen die Datenschutzstelle anzuhören, wenn:a)auseiner Datenschutz-Folgenabschätzung nach Art. 66hervorgeht, dassdieVerarbeitung einhohes Risiko fürdieRechte und Freiheiten natür-licher Personen zurFolge hätte, wenn derVerantwortliche keine Abhil-femassnahmen treffen würde; oderb)dieForm derVerarbeitung, insbesondere beiderVerwendung neuerTechnologien, Mechanismen oder Verfahren, einhohes Risiko fürdieRechte und Freiheiten der betroffenen Personen zur Folge hat.DieDatenschutzstelle kann eine Liste derVerarbeitungsvorgänge erstellen,die der Pflicht zur Anhörung nach Satz 1 unterliegen.2) Der Datenschutzstelle sind im Fall des Abs. 1 vorzulegen:a) die nach Art. 66 durchgeführte Datenschutz-Folgenabschätzung;b)gegebenenfalls Angaben zuden jeweiligen Zuständigkeiten desVerant-wortlichen, dergemeinsam Verantwortlichen und deranderVerarbei-tung beteiligten Auftragsverarbeiter;c) Angaben zu den Zwecken und Mitteln der beabsichtigten Verarbeitung;d)Angaben zudenzum Schutz derRechtsgüter derbetroffenen Personenvorgesehenen Massnahmen und Garantien; unde) Name und Kontaktdaten der oder des Datenschutzbeauftragten.Auf Verlangen sind ihrzudem allesonstigen Informationen zuübermitteln,diesiebenötigt, umdieRechtmässigkeit derVerarbeitung sowie insbeson-dere dieinBezug aufdenSchutz derpersonenbezogenen Daten derbetrof-fenen Personen bestehenden Gefahren und diediesbezüglichen Garantienbewerten zu können.3)Falls dieDatenschutzstelle derAuffassung ist,dass diegeplante Ver-arbeitung gegen gesetzliche Vorgaben verstossen würde, insbesondere weilderVerantwortliche dasRisiko nicht ausreichend ermittelt oder keine aus-235.1 DSG56 Fassung: 01.01.2021reichenden Abhilfemassnahmen getroffen hat, kann siedem Verantwort-lichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeit-raums von sechs Wochen nach Einleitung derAnhörung schriftliche Emp-fehlungen unterbreiten, welche Massnahmen noch ergriffen werden sollten.Die Datenschutzstelle kann diese Frist umeinen Monat verlängern, wenndiegeplante Verarbeitung besonders komplex ist.Siehatindiesem Fallinnerhalb eines Monats nach Einleitung derAnhörung den Verantwortli-chen und gegebenenfalls denAuftragsverarbeiter über dieFristverlängerungzu informieren.4)Hat diebeabsichtigte Verarbeitung erhebliche Bedeutung fürdieAuf-gabenerfüllung desVerantwortlichen und istsiedaher besonders dringlich,kann ermitderVerarbeitung nach Beginn derAnhörung, aber vorAblaufderinAbs. 3Satz 1genannten Frist beginnen. Indiesem Fallsind dieEmp-fehlungen derDatenschutzstelle imNachhinein zuberücksichtigen undsind dieArt und Weise derVerarbeitung daraufhin gegebenenfalls anzu-passen.Art. 69Verzeichnis von Verarbeitungstätigkeiten1)Der Verantwortliche hateinVerzeichnis aller Kategorien von Verar-beitungstätigkeiten zuführen, dieinseine Zuständigkeit fallen. Dieses Ver-zeichnis hat die folgenden Angaben zu enthalten:a)denNamen und dieKontaktdaten desVerantwortlichen und gegebenen-falls desgemeinsam mitihm Verantwortlichen sowie den Namen unddie Kontaktdaten der oder des Datenschutzbeauftragten;b) die Zwecke der Verarbeitung;c)dieKategorien von Empfängern, gegenüber denen diepersonenbezo-genen Daten offengelegt worden sind oder noch offengelegt werdensollen;d)eine Beschreibung derKategorien betroffener Personen und derKatego-rien personenbezogener Daten;e) gegebenenfalls die Verwendung von Profiling;f)gegebenenfalls dieKategorien von Übermittlungen personenbezogenerDaten anStellen ineinem Drittstaat oder aneine internationale Organi-sation;g) Angaben über die Rechtsgrundlage der Verarbeitung;DSG 235.1Fassung: 01.01.2021 57h)dievorgesehenen Fristen fürdieLöschung oder dieÜberprüfung derErforderlichkeit derSpeicherung derverschiedenen Kategorien perso-nenbezogener Daten; undi)eine allgemeine Beschreibung der technischen und organisatorischenMassnahmen nach Art. 63.2)Der Auftragsverarbeiter hateinVerzeichnis aller Kategorien vonVer-arbeitungen zuführen, dieerimAuftrag eines Verantwortlichen durch-führt, das Folgendes zu enthalten hat:a)den Namen und dieKontaktdaten desAuftragsverarbeiters, jedes Ver-antwortlichen, indessen Auftrag derAuftragsverarbeiter tätig ist,sowiegegebenenfalls des Datenschutzbeauftragten;b)gegebenenfalls Übermittlungen vonpersonenbezogenen Daten anStellenineinem Drittstaat oder aneine internationale Organisation unterAngabe des Staates oder der Organisation; undc)eine allgemeine Beschreibung der technischen und organisatorischenMassnahmen nach Art. 63.3)DieindenAbs. 1und 2genannten Verzeichnisse sind schriftlich oderelektronisch zu führen.4)Verantwortliche und Auftragsverarbeiter haben aufVerlangen ihreVerzeichnisse der Datenschutzstelle zur Verfügung zu stellen.Art. 70Datenschutz durch Technikgestaltung und datenschutzfreundliche Vor-einstellungen1)Der Verantwortliche hatsowohl zum Zeitpunkt derFestlegung derMittel fürdieVerarbeitung alsauch zum Zeitpunkt derVerarbeitung selbstangemessene Vorkehrungen zutreffen, diegeeignet sind, dieDatenschutz-grundsätze wieetwa dieDatenminimierung wirksam umzusetzen, und diesicherstellen, dass diegesetzlichen Anforderungen eingehalten und dieRechte der betroffenen Personen geschützt werden. Erhathierbei denStand derTechnik, dieImplementierungskosten und dieArt, denUmfang,dieUmstände und dieZwecke derVerarbeitung sowie dieunterschiedlicheEintrittswahrscheinlichkeit und Schwere dermitderVerarbeitung verbun-denen Risiken fürdieRechte und Freiheiten natürlicher Personen zuberücksichtigen. Insbesondere sind dieVerarbeitung personenbezogenerDaten und dieAuswahl und Gestaltung von Datenverarbeitungssystemenandem Ziel auszurichten, nurdieerforderlichen personenbezogenen Daten235.1 DSG58 Fassung: 01.01.2021zuverarbeiten. Personenbezogene Daten sind zum frühestmöglichen Zeit-punkt zuanonymisieren oder zupseudonymisieren, soweit dies nach demVerarbeitungszweck möglich ist.2)Der Verantwortliche hatgeeignete technische und organisatorischeMassnahmen zutreffen, diesicherstellen, dass durch Voreinstellungengrundsätzlich nur solche personenbezogenen Daten verarbeitet werdenkönnen, deren Verarbeitung fürdenjeweiligen bestimmten Verarbeitungs-zweck erforderlich ist.Dies betrifft dieMenge dererhobenen Daten, denUmfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. DieMassnahmen müssen insbesondere gewährleisten, dass dieDaten durchVoreinstellungen nicht automatisiert einer unbestimmten Anzahl von Per-sonen zugänglich gemacht werden können.Art. 71Unterscheidung zwischen verschiedenen Kategorien betroffener Per-sonenDer Verantwortliche hatbeiderVerarbeitung personenbezogener Datensoweit wie möglich zwischen den verschiedenen Kategorien betroffenerPersonen zuunterscheiden. Dies betrifft insbesondere folgende Kategorien:a)Personen, gegen dieeinbegründeter Verdacht besteht, dass sieeineStraftat begangen haben;b)Personen, gegen dieeinbegründeter Verdacht besteht, dass sieinnaherZukunft eine Straftat begehen werden;c) verurteilte Straftäter;d)Opfer einer Straftat oder Personen, beidenen bestimmte Tatsachendarauf hindeuten, dass sie Opfer einer Straftat sein könnten; unde)andere Personen wieinsbesondere Zeugen, Hinweisgeber oder Personen,diemitdeninBst. abisdgenannten Personen inKontakt oder Verbin-dung stehen.Art. 72Unterscheidung zwischen Tatsachen und persönlichen EinschätzungenDer Verantwortliche hatbeider Verarbeitung soweit wie möglichdanach zuunterscheiden, obpersonenbezogene Daten aufTatsachen oderaufpersönlichen Einschätzungen beruhen. Zudiesem Zweck soller,soweitdies imRahmen derjeweiligen Verarbeitung möglich und angemessen ist,Beurteilungen, dieaufpersönlichen Einschätzungen beruhen, alssolcheDSG 235.1Fassung: 01.01.2021 59kenntlich machen. Esmuss ausserdem feststellbar sein, welche Stelle dieUnterlagen führt, diederaufeiner persönlichen Einschätzung beruhendenBeurteilung zugrunde liegen.Art. 73Verfahren bei Übermittlungen1)Der Verantwortliche hatangemessene Massnahmen zuergreifen, umzugewährleisten, dass personenbezogene Daten, dieunrichtig oder nichtmehr aktuell sind, nicht übermittelt oder sonst zur Verfügung gestelltwerden. Zudiesem Zweck hater,soweit dies mitangemessenem Aufwandmöglich ist,dieQualität derDaten vorihrer Übermittlung oder Bereitstel-lung zuüberprüfen. Beijeder Übermittlung personenbezogener Daten haterzudem, soweit dies möglich und angemessen ist,Informationen beizu-fügen, dieesdem Empfänger gestatten, dieRichtigkeit, dieVollständigkeitund die Zuverlässigkeit der Daten sowie deren Aktualität zu beurteilen.2)Gelten fürdieVerarbeitung vonpersonenbezogenen Daten besondereBedingungen, sohatbeiDatenübermittlungen dieübermittelnde Stelle denEmpfänger aufdiese Bedingungen und diePflicht zuihrer Beachtung hin-zuweisen. DieHinweispflicht kann dadurch erfüllt werden, dass dieDatenentsprechend markiert werden.3)Die übermittelnde Stelle darf auf Empfänger inanderen EWR/Schengen-Staaten und aufEinrichtungen und sonstige Stellen, dienach TitelVKapitel 4und 5desVertrags über dieArbeitsweise derEuropäischenUnion errichtet wurden, keine Bedingungen anwenden, dienicht auch fürentsprechende innerstaatliche Datenübermittlungen gelten.Art. 74Berichtigung und Löschung personenbezogener Daten sowie Einschrän-kung der Verarbeitung1)Der Verantwortliche hatpersonenbezogene Daten zuberichtigen,wenn sie unrichtig sind.2)Der Verantwortliche hatpersonenbezogene Daten unverzüglich zulöschen, wenn ihre Verarbeitung unzulässig ist,siezur Erfüllung einerrechtlichen Verpflichtung gelöscht werden müssen oder ihre Kenntnis fürseine Aufgabenerfüllung nicht mehr erforderlich ist.235.1 DSG60 Fassung: 01.01.20213)Art. 58Abs. 3und 4istentsprechend anzuwenden. Sind unrichtigepersonenbezogene Daten oder personenbezogene Daten unrechtmässigübermittelt worden, ist auch dies dem Empfänger mitzuteilen.4)Unbeschadet gesetzlich festgesetzter Höchstspeicher- oder Lösch-fristen hatderVerantwortliche fürdieLöschung von personenbezogenenDaten oder eine regelmässige Überprüfung derNotwendigkeit ihrer Spei-cherung angemessene Fristen vorzusehen und durch verfahrensrechtlicheVorkehrungen sicherzustellen, dass diese Fristen eingehalten werden.Art. 75Protokollierung1)Inautomatisierten Verarbeitungssystemen haben Verantwortlicheund Auftragsverarbeiter mindestens diefolgenden Verarbeitungsvorgängezu protokollieren:a) Erhebung;b) Veränderung;c) Abfrage;d) Offenlegung einschliesslich Übermittlung;e) Kombination; undf) Löschung.2)DieProtokolle über Abfragen und Offenlegungen müssen esermög-lichen, dieBegründung, dasDatum und dieUhrzeit dieser Vorgänge und soweit wiemöglich dieIdentität derPerson, diediepersonenbezogenen Datenabgefragt oder offengelegt hat,und dieIdentität desEmpfängers derDatenfestzustellen.3)DieProtokolle dürfen ausschliesslich fürdieÜberprüfung derRecht-mässigkeit derDatenverarbeitung durch denDatenschutzbeauftragten, dieDatenschutzstelle und diebetroffene Person sowie fürdieEigenüberwa-chung, fürdieGewährleistung derIntegrität und Sicherheit derpersonen-bezogenen Daten und für Strafverfahren verwendet werden.4)Die Protokolldaten sind amEnde desaufderen Generierung fol-genden Jahres zu löschen.5)Der Verantwortliche und derAuftragsverarbeiter haben dieProto-kolle der Datenschutzstelle auf Verlangen zur Verfügung zu stellen.DSG 235.1Fassung: 01.01.2021 61Art. 76Vertrauliche Meldung von VerstössenDer Verantwortliche hatzuermöglichen, dass ihm vertrauliche Mel-dungen über inseinem Verantwortungsbereich erfolgende Verstösse gegenDatenschutzvorschriften zugeleitet werden können.E. Datenübermittlungen an Drittstaaten und an internationale Organisa-E. Datenübermittlungen an Drittstaaten und an internationale Organisa-tionentionenArt. 77Allgemeine Voraussetzungen1)DieÜbermittlung personenbezogener Daten anStellen inDrittstaatenoder aninternationale Organisationen istbeiVorliegen derübrigen fürDatenübermittlungen geltenden Voraussetzungen zulässig, wenn:a)dieStelle oder internationale Organisation fürdieinArt. 45genanntenZwecke zuständig ist; undb)dieEuropäische Kommission nach Art. 36Abs. 3derRichtlinie (EU)2016/ 680einen Angemessenheitsbeschluss gefasst hat,welcher inLiech-tenstein anwendbar ist.2)DieÜbermittlung personenbezogener Daten hattrotz desVorliegenseines Angemessenheitsbeschlusses imSinne von Abs. 1Bst. bund deszuberücksichtigenden öffentlichen Interesses anderDatenübermittlung zuunterbleiben, wenn imEinzelfall eindatenschutzrechtlich angemessenerund dieelementaren Grundrechte wahrender Umgang mitdenDaten beimEmpfänger nicht hinreichend gesichert istoder sonst überwiegende schutz-würdige Interessen einer betroffenen Person entgegenstehen. Bei seinerBeurteilung hatderVerantwortliche massgeblich zuberücksichtigen, obderEmpfänger imEinzelfall einen angemessenen Schutz derübermitteltenDaten garantiert.3)Wenn personenbezogene Daten, die aus einem anderen EWR/Schengen-Staat übermittelt oder zurVerfügung gestellt wurden, nach Abs.1übermittelt werden sollen, muss diese Übermittlung zuvor von derzuständigen Stelle desanderen EWR/ Schengen-Staats genehmigt werden.Übermittlungen ohne vorherige Genehmigung sind nur dann zulässig,wenn dieÜbermittlung erforderlich ist,umeine unmittelbare und ernst-hafte Gefahr fürdieöffentliche Sicherheit eines Staates oder fürdiewesent-lichen Interessen eines EWR/ Schengen-Staates abzuwehren, und dievor-235.1 DSG62 Fassung: 01.01.2021herige Genehmigung nicht rechtzeitig eingeholt werden kann. ImFall desSatzes 2istdieStelle desanderen EWR/ Schengen-Staats, diefürdieErtei-lung der Genehmigung zuständig gewesen wäre, unverzüglich über dieÜbermittlung zu unterrichten.4)Der Verantwortliche, derDaten nach Abs. 1übermittelt, hatdurchgeeignete Massnahmen sicherzustellen, dass derEmpfänger dieübermit-telten Daten nur dann anandere Drittstaaten oder andere internationaleOrganisationen weiterübermittelt, wenn derVerantwortliche diese Über-mittlung zuvor genehmigt hat. BeiderEntscheidung über dieErteilungder Genehmigung hatder Verantwortliche alle massgeblichen Faktorenzuberücksichtigen, insbesondere dieSchwere derStraftat, den Zweck derursprünglichen Übermittlung und dasindem Drittstaat oder derinternatio-nalen Organisation, andasoder andiedieDaten weiterübermittelt werdensollen, bestehende Schutzniveau fürpersonenbezogene Daten. Eine Geneh-migung darf nur dann erfolgen, wenn auch eine direkte Übermittlung andenanderen Drittstaat oder dieandere internationale Organisation zulässigwäre. Die Zuständigkeit fürdieErteilung derGenehmigung kann auchabweichend geregelt werden.Art. 78Datenübermittlung bei geeigneten Garantien1)Liegt entgegen Art. 77Abs. 1Bst. bkein Beschluss nach Art. 36Abs.3derRichtlinie (EU) 2016/ 680vor, isteine Übermittlung beiVorliegen derübrigen Voraussetzungen des Art. 77 auch dann zulässig, wenn:a)ineinem rechtsverbindlichen Instrument geeignete Garantien fürdenSchutz personenbezogener Daten vorgesehen sind; oderb)derVerantwortliche nach Beurteilung aller Umstände, diebeiderÜber-mittlung eine Rolle spielen, zuderAuffassung gelangt ist,dass geeigneteGarantien für den Schutz personenbezogener Daten bestehen.2)Der Verantwortliche hatÜbermittlungen nach Abs. 1Bst. bzudoku-mentieren. Die Dokumentation hatden Zeitpunkt derÜbermittlung, dieIdentität desEmpfängers, den Grund derÜbermittlung und dieübermit-telten personenbezogenen Daten zuenthalten. SieistderDatenschutzstelleauf Verlangen zur Verfügung zu stellen.3)Der Verantwortliche hatdieDatenschutzstelle zumindest jährlichüber Übermittlungen zuunterrichten, dieaufgrund einer Beurteilung nachAbs. 1Bst. berfolgt sind. InderUnterrichtung kann erdieEmpfänger unddie Übermittlungszwecke angemessen kategorisieren.DSG 235.1Fassung: 01.01.2021 63Art. 79Datenübermittlung ohne geeignete Garantien1)Liegt entgegen Art. 77Abs. 1Bst. bkein Beschluss nach Art. 36Abs.3derRichtlinie (EU) 2016/ 680vorund liegen auch keine geeigneten Garan-tienimSinne vonArt. 78Abs. 1vor, isteine Übermittlung beiVorliegen derübrigen Voraussetzungen nach Art. 77auch dann zulässig, wenn dieÜber-mittlung erforderlich ist:a) zum Schutz lebenswichtiger Interessen einer natürlichen Person;b) zur Wahrung berechtigter Interessen der betroffenen Person;c)zurAbwehr einer gegenwärtigen und erheblichen Gefahr fürdieöffent-liche Sicherheit eines Staates;d) im Einzelfall für die in Art. 45 genannten Zwecke; odere)imEinzelfall zur Geltendmachung, Ausübung oder Verteidigung vonRechtsansprüchen imZusammenhang mit den inArt. 45genanntenZwecken.2)Der Verantwortliche hatvon einer Übermittlung nach Abs. 1abzu-sehen, wenn dieGrundrechte derbetroffenen Person dasöffentliche Inter-esse an der Übermittlung überwiegen.3) Für Übermittlungen nach Abs. 1 gilt Art. 78 Abs. 2 entsprechend.Art. 80Sonstige Datenübermittlung an Empfänger in Drittstaaten1)Verantwortliche können beiVorliegen derübrigen fürdieDatenüber-mittlung inDrittstaaten geltenden Voraussetzungen imbesonderen Einzel-fallpersonenbezogene Daten unmittelbar annicht inArt. 77Abs. 1Bst. agenannte Stellen inDrittstaaten übermitteln, wenn dieÜbermittlung fürdieErfüllung ihrer Aufgaben unbedingt erforderlich ist und:a)imkonkreten Fall keine Grundrechte derbetroffenen Person dasöffent-liche Interesse an einer Übermittlung überwiegen;b)dieÜbermittlung andieinArt. 77Abs. 1Bst. agenannten Stellen wir-kungslos oder ungeeignet wäre, insbesondere weil sienicht rechtzeitigdurchgeführt werden kann; undc)derVerantwortliche dem Empfänger dieZwecke derVerarbeitung mit-teilt und ihndarauf hinweist, dass dieübermittelten Daten nurindemUmfang verarbeitet werden dürfen, indem ihre Verarbeitung fürdieseZwecke erforderlich ist.235.1 DSG64 Fassung: 01.01.20212)ImFall desAbs. 1hatderVerantwortliche dieinArt. 77Abs. 1Bst.agenannten Stellen unverzüglich über dieÜbermittlung zuunterrichten,sofern dies nicht wirkungslos oder ungeeignet ist.3)Für Übermittlungen nach Abs. 1giltArt. 78Abs. 2und 3entspre-chend.4)BeiÜbermittlungen nach Abs. 1hatderVerantwortliche den Emp-fänger zuverpflichten, dieübermittelten personenbezogenen Daten ohneseine Zustimmung nurfürdenZweck zuverarbeiten, fürdensieübermitteltworden sind.5)Abkommen imBereich derjustiziellen Zusammenarbeit inStrafsa-chen und der polizeilichen Zusammenarbeit bleiben unberührt.F. Zusammenarbeit der AufsichtsbehördenF. Zusammenarbeit der AufsichtsbehördenArt. 81Gegenseitige Amtshilfe1)Die Datenschutzstelle hat den Datenschutzaufsichtsbehörden inanderen EWR/ Schengen-Staaten Informationen zuübermitteln und Amts-hilfe zuleisten, soweit dies füreine einheitliche Umsetzung und Anwen-dung derRichtlinie (EU) 2016/ 680erforderlich ist.Die Amtshilfe betrifftinsbesondere Auskunftsersuchen und aufsichtsbezogene Massnahmen, bei-spielsweise Ersuchen umKonsultation oder umVornahme von Nachprü-fungen und Untersuchungen.2)Die Datenschutzstelle hatallegeeigneten Massnahmen zuergreifen,umAmtshilfeersuchen unverzüglich und spätestens innerhalb eines Monatsnach deren Eingang nachzukommen.3) Die Datenschutzstelle darf Amtshilfeersuchen nur ablehnen, wenn:a)siefürdenGegenstand desErsuchens oder fürdieMassnahmen, diesiedurchführen soll, nicht zuständig ist; oderb) ein Eingehen auf das Ersuchen gegen Gesetze verstossen würde.4)Die Datenschutzstelle hat die ersuchende Aufsichtsbehörde desanderen EWR/ Schengen-Staates über dieErgebnisse oder gegebenenfallsüber denFortgang derMassnahmen zuinformieren, diegetroffen wurden,umdem Amtshilfeersuchen nachzukommen. SiehatimFall desAbs. 3dieGründe für die Ablehnung des Ersuchens zu erläutern.DSG 235.1Fassung: 01.01.2021 655)DieDatenschutzstelle hatdieInformationen, umdiesievonderAuf-sichtsbehörde desanderen EWR/ Schengen-Staates ersucht wurde, inderRegel elektronisch und in einem standardisierten Format zu übermitteln.6)DieDatenschutzstelle hatAmtshilfeersuchen kostenfrei zuerledigen,soweit sienicht imEinzelfall mitderAufsichtsbehörde desanderen EWR/Schengen-Staates die Erstattung entstandener Ausgaben vereinbart hat.7)EinAmtshilfeersuchen derDatenschutzstelle hatalleerforderlichenInformationen zuenthalten; hierzu gehören insbesondere derZweck unddieBegründung desErsuchens. DieaufdasErsuchen übermittelten Infor-mationen dürfen ausschliesslich zudem Zweck verwendet werden, zudemsie angefordert wurden.G. Haftung und SanktionenG. Haftung und SanktionenArt. 82Schadenersatz und Entschädigung1)Hat einVerantwortlicher einer betroffenen Person durch eine Ver-arbeitung personenbezogener Daten, dienach diesem Gesetz oder nachanderen aufihre Verarbeitung anwendbaren Vorschriften rechtswidrig war,einen Schaden zugefügt, isteroder sein Rechtsträger derbetroffenen Personzum Schadenersatz verpflichtet. DieErsatzpflicht entfällt, soweit beieinernicht automatisierten Verarbeitung derSchaden nicht aufeinVerschuldendes Verantwortlichen zurückzuführen ist.2)Wegen eines Schadens, dernicht Vermögensschaden ist,kann diebetroffene Person eine angemessene Entschädigung in Geld verlangen.3)Lässt sich beieiner automatisierten Verarbeitung personenbezogenerDaten nicht ermitteln, welche von mehreren beteiligten Verantwortlichenden Schaden verursacht hat, sohaftet jeder Verantwortliche beziehungs-weise sein Rechtsträger.4)Hat beiderEntstehung desSchadens einVerschulden derbetroffenenPerson mitgewirkt, sind die§§1301 bis1304 desAllgemeinen bürgerlichenGesetzbuches entsprechend anzuwenden.5)Ersatzansprüche verjähren indrei Jahren nach Ablauf desTages, andem der Schaden dem Geschädigten bekanntgeworden ist.235.1 DSG66 Fassung: 01.01.2021Art. 83StrafbestimmungFür dieVerarbeitungen personenbezogener Daten durch öffentlicheStellen imRahmen vonTätigkeiten nach Art. 45Satz 1,3oder 4finden Art.41 und 42 entsprechende Anwendung.IV. Besondere Bestimmungen für Verarbeitungen imIV. Besondere Bestimmungen für Verarbeitungen imRahmen von nicht in die Anwendungsbereiche der Verord-Rahmen von nicht in die Anwendungsbereiche der Verord-nung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fal-nung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fal-lenden Tätigkeitenlenden TätigkeitenArt. 84Verarbeitung personenbezogener Daten im Rahmen von nicht in dieAnwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie(EU) 2016/680 fallenden Tätigkeiten1)DieÜbermittlung personenbezogener Daten aneinen Drittstaat oderansupra- oder internationale Organisationen imRahmen von nicht indieAnwendungsbereiche derVerordnung (EU) 2016/ 679 und derRichtlinie(EU) 2016/ 680fallenden Tätigkeiten istüber diebereits nach derVerord-nung (EU) 2016/ 679zulässigen Fälle hinaus auch dann zulässig, wenn siezur Erfüllung eigener Aufgaben auszwingenden Gründen derVerteidi-gung oder zurErfüllung vertraglicher Verpflichtungen desStaates aufdemGebiet derKrisenbewältigung oder Konfliktverhinderung oder fürhuma-nitäre Massnahmen erforderlich ist.Der Empfänger istdarauf hinzuweisen,dass dieübermittelten Daten nurzudem Zweck verwendet werden dürfen,zu dem sie übermittelt wurden.2)Für Verarbeitungen imRahmen von nicht indieAnwendungsbe-reiche derVerordnung (EU) 2016/ 679und derRichtlinie (EU) 2016/ 680fal-lenden Tätigkeiten durch dieLandespolizei giltArt. 17Abs. 4nicht, soweitdieRegierung imEinzelfall feststellt, dass dieErfüllung derdort genanntenPflichten die Sicherheit des Landes gefährden würde.3)Für Verarbeitungen imRahmen von nicht indieAnwendungsbe-reiche derVerordnung (EU) 2016/ 679 und derRichtlinie (EU) 2016/ 680fallenden Tätigkeiten durch öffentliche Stellen besteht keine Informations-pflicht nach Art. 13 Abs. 1 und 2 der Verordnung (EU) 2016/679, wenn:DSG 235.1Fassung: 01.01.2021 67a) es sich um Fälle des Art. 32 Abs. 1 Bst. a bis c handelt; oderb)durch ihre Erfüllung Informationen offenbart würden, dienach einemGesetz oder ihrem Wesen nach, insbesondere wegen derüberwiegendenberechtigten Interessen eines Dritten, geheim gehalten werden müssen,und deswegen dasInteresse derbetroffenen Person anderErteilung derInformation zurücktreten muss.4)Istdiebetroffene Person inden Fällen nach Abs. 3nicht zuinfor-mieren, besteht auch kein Recht aufAuskunft. Art. 32Abs. 2und Art. 33Abs. 2 finden keine Anwendung.V. Übergangs- und SchlussbestimmungenV. Übergangs- und SchlussbestimmungenArt. 85DurchführungsverordnungenDie Regierung erlässt diezurDurchführung dieses Gesetzes notwen-digen Verordnungen, insbesondere über:a)dieVoraussetzungen, unter welchen eine öffentliche Stelle personenbezo-gene Daten durch einen Dritten verarbeiten lassen oder fürDritte verar-beiten darf;b) die Meldung von Videoüberwachungen nach Art. 5;c)dieinLiechtenstein anwendbaren Angemessenheitsbeschlüsse derEU-Kommission nach Art. 45derVerordnung (EU) 2016/ 679und dievonderEU-Kommission erlassenen Standarddatenschutzklauseln nach Art.46 der Verordnung (EU) 2016/679;d) die Gebühren für Amtshandlungen der Datenschutzstelle.Art. 86Aufhebung bisherigen RechtsDas Datenschutzgesetz (DSG) vom 14.März 2002, LGBl. 2002 Nr.55,in der geltenden Fassung, wird aufgehoben.235.1 DSG68 Fassung: 01.01.2021Art. 87Datenschutzbeauftragter und übriges PersonalDer nach bisherigem Recht gewählte Datenschutzbeauftragte über-nimmt nach Inkrafttreten dieses Gesetzes dieLeitung derDatenschutzstelle(Art. 12)und übtdiese Funktion nach Massgabe desneuen Rechts biszum31.Dezember 2025 weiterhin aus. Die bestehenden Dienstverhältnisse desübrigen Personals der Datenschutzstelle bleiben weiterhin aufrecht.Art. 88Datenschutzkommission1)Mit dem Inkrafttreten dieses Gesetzes endet dieMandatsdauer derbestehenden Datenschutzkommission.2)Diezum Zeitpunkt desInkrafttretens dieses Gesetzes beiderDaten-schutzkommission hängigen Beschwerdeverfahren oder Verfahren inZusammenhang mitEmpfehlungen derDatenschutzstelle werden von derBeschwerdekommission fürVerwaltungsangelegenheiten nach dem bishe-rigen Recht behandelt.Art. 89Videoüberwachungen1)Nach bisherigem Recht erteilte Bewilligungen fürVideoüberwa-chungen bleiben bis zum Ablauf der Geltungsdauer aufrecht.2)Istbeabsichtigt, dieVideoüberwachung nach Ablauf derGeltungs-dauer derBewilligung fortzusetzen, hateine Meldung nach Art. 5Abs. 7zuerfolgen.Art. 90Akkreditierungen und ZertifizierungenNach bisherigem Recht erteilte Akkreditierungen und Zertifizierungenbleiben biszum Ablauf ihrer Geltungsdauer aufrecht. Auf zum ZeitpunktdesInkrafttretens dieses Gesetzes beiderAkkreditierungs- oder Zertifizie-rungsstelle hängige Akkreditierungs- oder Zertifizierungsverfahren findetdas bisherige Recht Anwendung.DSG 235.1Fassung: 01.01.2021 69Art. 91InkrafttretenDieses Gesetz tritt unter Vorbehalt desungenutzten Ablaufs derRefe-rendumsfrist am1.Januar 2019 inKraft, andernfalls amTagnach derKund-machung.In Stellvertretung des Landesfürsten:gez. AloisErbprinzgez. Adrian HaslerFürstlicher Regierungschef235.1 DSG70 Fassung: 01.01.20211Bericht und Antrag sowie Stellungnahme der Regierung Nr. 36/2018 und 69/20182Art. 31 Abs. 2 Bst. b abgeändert durch LGBl. 2020 Nr. 389 .DSG 235.1Fassung: 01.01.2021 71