Botschaft zum Nachtrag kDSG

text: \n  \n22.23.01 \n\nSignatur/G-Nr. OWSJD.412 Seite 1 | 31 \n\n \nBotschaft des Regierungsrats zu einem Nachtrag \nzum Gesetz über den Datenschutz \n \n27. März 2023 \n \n \n \n \n \nFrau Präsidentin \nSehr geehrte Damen und Herren Kantonsräte \n \nWir unterbreiten Ihnen die Botschaft zu einem Nachtrag zum Gesetz über den Datenschutz mit \ndem Antrag, auf die Vorlage einzutreten. \n \n \nIm Namen des Regierungsrats \nLandammann: Christoph Amstad \nLandschreiber: Nicole Frunz Wallimann \n \n \n \n \n \n \n  \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 2 | 31 \n\n \n\nZusammenfassung ...................................................................................................................... 3 \n \n\nI. Ausgangslage ...................................................................................................................... 5 \n\n1. Totalrevision des eidgenössischen Datenschutzrechts ......................................... 5 \n\n2. Revisionsgründe ......................................................................................................... 5 \n\n3. Verbindlichkeit des europäischen Rechts für die Kantone .................................... 5 \n\n4. Schengen-Evaluierung ............................................................................................... 5 \n\n5. Auftrag ......................................................................................................................... 6 \n \n\nII. Regelungsnotwendigkeit und Anpassungsbedarf .......................................................... 7 \n\n6. Regelungsnotwendigkeit ........................................................................................... 7 \n\n6.1 Keine Notwendigkeit aufgrund des nDSG ............................................................ 7 \n\n6.2 Weiterentwicklung des europäischen Datenschutzrechts .................................... 7 \n \n\n7. Anpassungsbedarf...................................................................................................... 7 \n\n7.1 Verordnung (EU) 2016/679 ................................................................................... 7 \n\n7.2 Richtlinie (EU) 2016/680 ....................................................................................... 8 \n\n7.3 SEV 108+ .............................................................................................................. 8 \n\n7.4 Kantonales Recht.................................................................................................. 9 \n \n\n8. Grundzüge der kantonalen Vorlage .......................................................................... 9 \n\n8.1 Konzeptionelle Überlegungen ............................................................................... 9 \n\n8.2 Anpassungen im kantonalen Recht .................................................................... 11 \n \n\nIII. Vernehmlassungsverfahren ............................................................................................. 13 \n \n\nIV. Erläuterungen zu den einzelnen Artikeln ....................................................................... 14 \n\n9. Ziffer I: Nachtrag zum Datenschutzgesetz ............................................................. 14 \n\n9.1 Ingress und Geltungsbereich .............................................................................. 14 \n\n9.2 Allgemeine Datenschutzbestimmungen ............................................................. 15 \n\n9.3 Besondere Datenschutzbestimmungen (neu) .................................................... 19 \n\n9.4 Organisation und Verfahren ................................................................................ 20 \n\n9.5 Übergangs- und Schlussbestimmungen ............................................................. 25 \n \n\n10. Ziffer II: Fremdänderungen ...................................................................................... 25 \n\n10.1 Gesetz über den Erwerb und den Verlust des Kantons– und \nGemeindebürgerrechts ............................................................................................... 25 \n\n10.2 Verordnung über das Einwohnerregister ............................................................ 26 \n\n10.3 Vollziehungsverordnung zum Bundesgesetz über die Ausländerinnen und \nAusländer sowie zum Asylgesetz ............................................................................... 26 \n\n10.4 Verordnung über das Staatsarchiv ..................................................................... 26 \n\n10.5 Gesetz über die Harmonisierung der amtlichen Register ................................... 27 \n\n10.6 Polizeigesetz ....................................................................................................... 29 \n \n\n11. Ziffer III: Fremdaufhebungen ................................................................................... 30 \n \n\n12. Ziffer IV: Inkrafttreten................................................................................................ 30 \n \n\nV. Auswirkungen .................................................................................................................... 30 \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 3 | 31 \n\n \n\nZusammenfassung \n\nDas Datenschutzrecht bezweckt den Schutz der Persönlichkeit und der Grundrechte von \nPersonen, über die Daten bearbeitet werden. Datenschutz ist demnach Persönlichkeits- und \nGrundrechtsschutz bei der Datenbearbeitung. Die Regelungen des Datenschutzrechts sollen \nder Informationserfassung durch Staat und Private Grenzen setzen und dem Einzelnen in \ndiesem Umfang das Recht auf informationelle Selbstbestimmung geben. Dieses Recht, der \nOffenlegung der eigenen Persönlichkeit Grenzen zu setzen, dient dem Schutz der Pri-\nvatsphäre, aber auch der unbeeinflussten Ausübung der Freiheitsrechte. Die enorme Ent-\nwicklung der Kommunikationstechnik führt dazu, dass die Schutzvorkehren häufiger und um-\nfassender in der Gesetzgebung ihren Niederschlag finden. Eine wichtige Voraussetzung, \ndass der Datenschutz überhaupt wirksam werden kann, ist die Schaffung vermehrter Trans-\nparenz bei der Datenbearbeitung. Damit können Betroffene gezielt ihre Rechte wahrnehmen \nund es wird ein offenes, gesetzmässiges Verwaltungshandeln gefördert. \n\nDas Datenschutzrecht geht dem Öffentlichkeitsprinzip vor. Währendem das Datenschutz-\nrecht den Schutz der Persönlichkeit und der Grundrechte von Privaten bezweckt, regelt das \nÖffentlichkeitsprinzip den Zugang Privater zu amtlichen Dokumenten. \n\nMit dem Beitritt zu verschiedenen internationalen Vereinbarungen verpflichteten sich Bund \nund Kantone, einen europäischen Datenschutzstandard einzuführen. Der Kanton Obwalden \ntat dies mit dem Gesetz über den Datenschutz vom 25. Januar 2008 (kDSG; GDB 137.1), \nwelches am 1. November 2008 vollständig in Kraft trat.  \n\nSeither hat sich das europäische Datenschutzrecht weiterentwickelt: \n\n– Die Europäische Union hat ihre Datenschutzgesetzgebung am 27. April 2016 revidiert und ei-\nnerseits die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung \npersonenbezogener Daten und andererseits die Richtlinie (EU) 2016/680 zum Schutz natürli-\ncher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts er-\nlassen; die Verordnung wie auch die Richtlinie sind am 25. Mai 2018 in Kraft getreten.  \n\nMit dem Schengen-Assoziierungsabkommen hat die Schweiz sich verpflichtet, jede Weiter-\nentwicklung des Schengen-Besitzstands zu akzeptieren, umzusetzen und anzuwenden. \nIm Rahmen der Schengen-Evaluation überprüft die Europäische Union regelmässig, ob \ndie Schengen-Staaten und damit auch die Schweiz – und ihre Kantone – diesen Ver-\npflichtungen nachkommen. Die Richtlinie (EU) 2016/680 entspricht einer Weiterentwick-\nlung des Schengen-Besitzstands, weshalb die nächste Schengen-Evaluation voraussicht-\nlich die Prüfung der Umsetzung der Richtlinie beinhalten wird. \n\n– Des Weiteren hat der Europarat ein Änderungsprotokoll zur Modernisierung des Übereinkom-\nmens vom 28. Januar 1981 zum Schutz des Menschen bei der automatischen Verarbeitung \npersonenbezogener Daten zur Unterzeichnung aufgelegt (SEV 108+). Der Bundesrat wird das \nÄnderungsprotokoll ratifizieren. Voraussichtlich wird es am 11. Oktober 2023 in Kraft treten und \ndamit für Bund und Kantone verbindlich werden.  \n\nEs gilt nun diese Weiterentwicklungen nachzuvollziehen. Die europäischen Erlasse sind \nnicht unmittelbar anwendbar und bedürfen der Umsetzung ins eidgenössische und kanto-\nnale Recht. Der Kanton Obwalden pflegt im Datenschutzrecht das Prinzip der sogenannten \nNettogesetzgebung, wodurch in Bezug auf das Grundsätzliche auf das Bundesrecht verwie-\nsen wird. Da dieses bereits totalrevidiert und an die europäische Gesetzgebung angepasst \nwurde, entspricht das kantonale Recht im Wesentlichen bereits dem übergeordneten Recht. \nTrotzdem bedarf es punktueller Änderungen im kDSG: \n\n– Geltungsbereich (Ausnahmen reduzieren);  \n\n– Grundsätze der Datenbearbeitung (Datenschutznachweis und Benachrichtigungspflicht einfüh-\nren); \n\n– Vorabkontrolle (durch Vorabkonsultation ersetzen); \n\n– Register der Datensammlungen (durch Verzeichnisse der Datenbearbeitungstätigkeiten erset-\nzen);  \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 4 | 31 \n\n \n\n– beratende Personen für Datenschutz (neu); \n\n– Regelungskompetenzen des Obergerichts im Bereich der Strafbehörden (neu); \n\n– elektronische Informations-, Geschäftsverwaltungs- und Datenablagesysteme (eine gesetzliche \nGrundlage für alle öffentlichen Organe schaffen); \n\n– beauftragte Person für Datenschutz (Sensibilisierungspflicht und Verfügungsrecht einführen); \n\n– Ausnahmen von der Aufsicht (neu). \n\nErgänzend dazu werden einzelne datenschutzrechtliche Lücken in den kantonalen Sacher-\nlassen geschlossen. Der Entwurf eines Nachtrags zum kantonalen Datenschutzgesetz \nwurde in seinem Umfang schlank, aber effektiv gehalten. Der Praxis wurde der notwendige \nSpielraum belassen. Der Vollzugsaufwand für die öffentlichen Organe und die beauftragte \nPerson für Datenschutz wurde soweit als möglich gering gehalten.   \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 5 | 31 \n\n \n\nI. Ausgangslage \n\n1. Totalrevision des eidgenössischen Datenschutzrechts \nAufgrund einer Evaluation des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG; \nSR 235.1) und mit Blick auf die technologische Entwicklung und das fortgeschrittene EU-Recht be-\nschloss der Bundesrat, das Datenschutzrecht des Bundes zu revidieren. In der Folge hat das Par-\nlament die Vorlage des Bundesrats in zwei Etappen aufgeteilt.  \n \nIn der ersten Etappe hat das Parlament am 28. September 2018 das Bundesgesetz über die Um-\nsetzung der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung per-\nsonenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von \nStraftaten oder der Strafvollstreckung (Weiterentwicklung des Schengen-Besitzstands; AS 2019 \n625) beschlossen. Darin enthalten war auch das neue Bundesgesetz über den Datenschutz im \nRahmen der Anwendung des Schengen-Besitzstands in Strafsachen (SDSG; SR 235.3). Die Man-\ntelgesetzgebung wurde am 1. März 2019 in Kraft gesetzt.  \n \nIn einer zweiten Etappe haben die eidgenössischen Räte am 25. September 2020 das totalrevi-\ndierte Bundesgesetz über den Datenschutz (nDSG; BBl 2020 7639) verabschiedet. Die Referen-\ndumsfrist ist unbenutzt abgelaufen und das Bundesgesetz rechtsgültig geworden. In der Folge hat \nder Bundesrat vom 23. Juni bis am 14. Oktober 2021 die Vernehmlassung zur revidierten Verord-\nnung zum Bundesgesetz über den Datenschutz durchgeführt. Es ist vorgesehen, das neue Daten-\nschutzgesetz samt Verordnung auf den 1. September 2023 in Kraft zu setzen.  \n \n \n\n2. Revisionsgründe \nInhaltlich hatte die Revision zum Ziel, das DSG den veränderten technologischen und gesell-\nschaftlichen Verhältnissen anzupassen. Insbesondere die Transparenz von Datenbearbeitungen \nsollte verbessert und die Selbstbestimmung der betroffenen Personen über ihre Daten gestärkt \nwerden.  \n \nWeiter sollte die Revision es der Schweiz erlauben, das revidierte Datenschutzübereinkommen \nSEV 108+ des Europarats zu ratifizieren, die Schengen-relevante Richtlinie (EU) 2016/680 über \nden Datenschutz in Strafsachen umzusetzen sowie die schweizerische Datenschutzgesetzgebung \nden Anforderungen der Verordnung (EU) 2016/679 anzunähern. \n \n \n\n3. Verbindlichkeit des europäischen Rechts für die Kantone \nDie Richtlinie (EU) 2016/680 und das revidierte Datenschutzübereinkommen SEV 108+ sind auch \nfür die Kantone bindend. Diese müssen ihre Gesetzgebungen insoweit anpassen, als das kanto-\nnale Recht die neuen europäischen Anforderungen nicht erfüllt (BBl 2017 7007). \n \nEinige Kantone haben ihre Datenschutzgesetzgebungen bereits revidiert. Bei der Mehrheit der \nKantone ist die Revision im Gange.  \n \n \n\n4. Schengen-Evaluierung \nMit dem Schengen-Assoziierungsabkommen hat die Schweiz sich verpflichtet, dass die Bearbei-\ntung von Personendaten bei der Schengen-Zusammenarbeit dem geltenden Gemeinschaftsrecht \nim Bereich des Datenschutzes, insbesondere der Richtlinie 95/46/EG und dem Rahmenbeschluss \n2008/977/JI entspricht. Weiter hat die Schweiz sich verpflichtet, jede Weiterentwicklung des \nSchengen-Besitzstands zu akzeptieren, umzusetzen und anzuwenden. \n \nIm Rahmen der Schengen-Evaluation überprüft die Europäische Union regelmässig, ob die \nSchengen-Staaten und damit auch die Schweiz – und ihre Kantone – den Verpflichtungen nach-\nkommen (BBl 2017 6965). Die ersten beiden Evaluierungen durchlief die Schweiz in den Jahren \n2008 und 2013. Die dritte Evaluierung wurde im Jahr 2018 durchgeführt. Im Jahre 2023 sollte die \nSchweiz einer weiteren Schengen-Evaluation unterzogen werden. Diese wird nun allerdings auf \neinen noch unbekannten Zeitpunkt verschoben. \n \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 6 | 31 \n\n \n\nDie Richtlinie (EU) 2016/680 entspricht einer Weiterentwicklung des Schengen-Besitzstands, wes-\nhalb die nächste Schengen-Evaluation voraussichtlich die Prüfung der Umsetzung dieser Richtli-\nnie beinhalten wird (BBl 2017 6991 und 7171). Weiter wird bei der nächsten Evaluation darüber \nBericht zu erstatten sein, wie der Bund und die Kantone die Empfehlungen aus der letzten Evalua-\ntion umgesetzt haben. Zu erwähnen ist hier insbesondere die Empfehlung, die Befugnisse der be-\nauftragten Personen für Datenschutz auszubauen, indem diesen Entscheidungskompetenzen und \nbestenfalls sogar Sanktionsmöglichkeiten eingeräumt werden (BBl 2017 6965; vgl. dazu auch den \nDurchführungsbeschluss des Rates zur Festlegung einer Empfehlung zur Beseitigung der 2018 \nbei der Evaluierung der Anwendung des Schengen-Besitzstands im Bereich des Datenschutzes \ndurch die Schweiz festgestellten Mängel vom 8. März 2019 [ST 7281 2019 INIT]). \n \n \n\n5. Auftrag \nIn der integrierten Aufgaben- und Finanzplanung (IAFP) 2021 bis 2026 ist unter dem Sicherheits- \nund Sozialdepartement (Amt für Justiz) ab dem Jahr 2021 die Nachführung des internationalen \nDatenschutzrechts ("Nachtrag zum Datenschutzgesetz") vorgesehen. \n \nDies entspricht dem Ziel Nr. 0 der Amtsdauerplanung des Regierungsrats 2018 bis 2022. Mit Be-\nschluss vom 21. Juni 2022 (Nr. 535) erteilte der Regierungsrat dem Sicherheits- und Sozialdepar-\ntement den Projektauftrag zur Revision des kantonalen Datenschutzrechts. Eine entsprechende \nMedienmitteilung wurde verbreitet.  \n \nDie Vorgaben des Projektauftrags lauteten folgendermassen:  \n– das Prinzip der Nettogesetzgebung im Datenschutzrecht soll beibehalten werden; \n– das übergeordnete Datenschutzrecht soll dort umgesetzt werden, wo eine Notwendigkeit für \n\nden Nachvollzug besteht; die Anpassungen sollen in ihrem Umfang gering, aber effektiv sein; \n– anderweitiger kantonaler Handlungsbedarf ist zu berücksichtigen, soweit ein Einbezug in die \n\nRevision des Datenschutzrechts Sinn macht und in Einklang mit dem Grundsatz der Einheit \nder Materie steht; \n\n– die Kosten für die Umsetzung wie auch für die spätere Praxis sind bei allen Lösungsvarianten \nstets vor Augen zu halten.  \n\n \n \n\n  \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 7 | 31 \n\n \n\nII. Regelungsnotwendigkeit und Anpassungsbedarf \n\n6. Regelungsnotwendigkeit \n \n\n6.1 Keine Notwendigkeit aufgrund des nDSG \nDas eidgenössische Datenschutzrecht wurde totalrevidiert, vor allem aufgrund der Entwicklungen \nim europäischen Recht, aber auch weil der Bund aufgrund einer Gesetzesevaluation Verbesse-\nrungsbedarf festgestellt hatte. Allerdings zwingt die Revision des eidgenössischen Datenschutz-\nrechts den Kanton Obwalden grundsätzlich nicht, sein Datenschutzrecht anzupassen.  \n \nVielmehr ist es das neue europäische Datenschutzrecht, aufgrund dessen der Kanton Obwalden \nseine Datenschutzgesetzgebung revidieren muss. Denn das europäische Recht ist unmittelbar \ndurch den kantonalen Gesetzgeber im kantonalen Recht umzusetzen; dem Bund fehlt eine verfas-\nsungsrechtliche Kompetenz, das Datenschutzrecht auch für die Kantone zu regeln.  \n \n\n6.2 Weiterentwicklung des europäischen Datenschutzrechts \nBei den europäischen Entwicklungen geht es um die Nachführungen des Datenschutzrechts durch \ndie Europäische Union und den Europarat: \n\n– Die Europäische Union hat am 27. April 2016 ihre Datenschutzgesetzgebung revidiert. Diese \numfasst zwei Rechtsakte: Einerseits die Verordnung (EU) 2016/679 zum Schutz natürlicher \nPersonen bei der Verarbeitung personenbezogener Daten. Sie löst die Richtlinie 95/46/EG zum \nSchutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien \nDatenverkehr ab. Und andererseits die Richtlinie (EU) 2016/680 zum Schutz natürlicher Perso-\nnen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts; sie hebt den \nRahmenbeschluss 2008/977/JI auf. Die Richtlinie ist Teil des Schengen-Besitzstands; sie ist \nauch von Bund und Kantonen umzusetzen. Die Verordnung wie auch die Richtlinie sind am \n25. Mai 2018 in Kraft getreten. \n\n– Die Schweiz ist Mitglied des Europarates. Am 2. Oktober 1997 hat sie das Übereinkommen \nvom 28. Januar 1981 zum Schutz des Menschen bei der automatischen Verarbeitung perso-\nnenbezogener Daten ratifiziert (SEV 108; SR 0.235.1). Das Zusatzprotokoll vom 8. November \n2001 (SEV 181) bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung \nwurde durch die Schweiz am 20. Dezember 2007 ratifiziert. Am 18. Oktober 2018 hat das Mi-\nnisterkomitee nun ein Änderungsprotokoll zur Unterzeichnung aufgelegt, welches das Überein-\nkommen modernisieren soll (SEV 108+). Mit Bundesbeschluss vom 19. Juni 2020 ermächtigten \ndie eidgenössischen Räte den Bundesrat zur Ratifizierung. Der Bundesrat wird das Änderungs-\nprotokoll mit dem Inkrafttreten des nDSG ratifizieren. Daraufhin wird das SEV 108+ am 11. Ok-\ntober 2023 in Kraft treten, sofern bis zu diesem Zeitpunkt mindestens 38 Vertragsstaaten dem \nProtokoll angehören. Mit dem Inkrafttreten ist das SEV 108+ durch Bund und Kantone umzu-\nsetzen. \n\n \nBeide Erlasse bezwecken im Wesentlichen ein höheres Schutzniveau für die Bearbeitung von per-\nsonenbezogenen Daten und den erleichterten Austausch derselben zwischen den Vertragsstaa-\nten. Die Richtlinie (EU) 2016/680 und das modernisierte SEV 108+ sind nicht unmittelbar anwend-\nbar; sie bedürfen beide der Umsetzung ins eidgenössische und kantonale Recht. \n \n \n\n7. Anpassungsbedarf \n \n\n7.1 Verordnung (EU) 2016/679 \nBund und Kantone sind nicht verpflichtet, die Verordnung (EU) 2016/679 zu übernehmen, da es \nsich dabei – nach der Europäischen Union – nicht um eine Weiterentwicklung des Schengen-Be-\nsitzstands handelt. Aber doch ist sie in Zusammenhang mit dem digitalen Binnenmarkt in Europa \nrelevant. Die Europäische Union entscheidet jeweils, ob der Datentransfer in einen Drittstaat – wie \ndie Schweiz – ohne zusätzliche Massnahmen möglich ist. In diesem Zusammenhang prüft sie, ob \nder Drittstatt ein angemessenes Datenschutzniveau garantiert.  \n \nDer Angemessenheitsbeschluss setzt nicht voraus, dass alles, was in der Verordnung (EU) \n2016/679 vorgesehen ist, vom Bund und den Kantonen übernommen werden muss; möglich sind \nauch andere Regelungen, welche ein angemessenes Schutzniveau garantieren. Zudem ist vor \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 8 | 31 \n\n \n\nallem die Wirtschaft im internationalen Datenaustausch auf den Angemessenheitsbeschluss an-\nwiesen. Der wirtschaftliche Datenaustausch im digitalen Binnenmarkt ist allerdings nicht Gegen-\nstand des kantonalen Datenschutzrechts. Daher versucht die vorliegende Revision nicht – anders \nals die Revision des nDSG (BBl 2017 6970), welches auch die Datenbearbeitung durch die Priva-\nten regelt –, sich der Verordnung (EU) 2016/679 anzunähern (zum Ganzen: digma 2017 S. 58; \nBBl 2017 6964 f.). Nichtsdestotrotz geschieht die Übernahme teilweise automatisch, nämlich über \nden Verweis in Art. 2 Abs. 1 kDSG.  \n \n\n7.2 Richtlinie (EU) 2016/680 \nDie Richtlinie schützt personenbezogene Daten, die zum Zweck der Verhütung, Ermittlung, Aufde-\nckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes \nvor und der Abwehr von Gefahren für die öffentliche Sicherheit, bearbeitet werden.  \n \nDie Richtlinie wurde von der Europäischen Union als Schengen-relevant erklärt. Das Schengen-\nAssoziierungsabkommen wurde am 26. Oktober 2004 vom Bundesrat unterzeichnet und am \n5. Juni 2005 von den Schweizer Stimmberechtigten angenommen. Damit sind Bund und Kantone \nverpflichtet, den durch die Richtlinie (EU) 2016/680 gesetzten neuen Schengen-Standard ins lan-\ndesinterne Recht zu übernehmen, will die Schweiz im Schengen-Assoziierungsabkommen blei-\nben. \n \nDie wichtigsten Forderungen der Richtlinie (EU) 2016/680 sind: \n– die Ausnahmen vom Geltungsbereich sind aufzuheben; \n– die verschiedenen Kategorien betroffener Personen sind zu unterscheiden; \n– zwischen personenbezogenen Daten und Überprüfung der Qualität der personenbezogenen \n\nDaten ist zu unterscheiden; \n– die Datenbearbeitung muss rechtmässig sein, indem sie im Wesentlichen auf einer gesetzli-\n\nchen Grundlage beruht; \n– es sind Informations-, Auskunfts-, Berichtigungs- und Beschwerderechte der betroffenen Per-\n\nsonen vorzusehen; \n– der Datenschutz hat (auch) durch Technikgestaltung und datenschutzfreundliche Voreinstellun-\n\ngen zu erfolgen; \n– für die Löschung (oder Anonymisierung) von Personendaten und für die regelmässige Überprü-\n\nfung der Notwendigkeit der Speicherung müssen angemessene Fristen festgelegt werden, de-\nren Einhaltung über verfahrensrechtliche Vorkehren sicherzustellen ist; \n\n– die Verarbeitungstätigkeiten sind in einem Verzeichnis zu führen; bestehen hohe Risiken, sind \nDatenschutz-Folgenabschätzungen durchzuführen und die "Aufsichtsbehörde" (beauftragte \nPerson für Datenschutz) bezüglich der Ergebnisse vorab zu konsultieren;  \n\n– es sind Melde- und Benachrichtigungspflichten für bestimmte Datenschutzverletzungen vorzu-\nsehen; \n\n– es sind unabhängige und qualifizierte "Aufsichtsbehörden" einzusetzen, mit:  \n– wirksamen Untersuchungsbefugnissen; \n– effektiven Einwirkungsbefugnissen (z.B. Befugnis zur Anordnung von vorschriftsgemässen \n\nBearbeitungen, gegebenenfalls durch Berichtigung oder Löschung der Daten); \n– es dürfen personenbezogene Daten nur an ein Drittland übermittelt werden, wenn ein Ange-\n\nmessenheitsbeschluss der Europäische Kommission vorliegt. \n \nDie Richtlinie (EU) 2016/680 muss nur im Rahmen der Schengener Zusammenarbeit im Straf-\nrechtsbereich umgesetzt werden. Sie gilt für die Straf- und Strafvollzugsorgane gemäss Art. 3 \nZiff. 7 der Richtlinie (EU) 2016/680 (vgl. auch BBl 2017 6992). Die Gerichte und unabhängigen \nJustizbehörden können im Rahmen ihrer justiziellen Tätigkeit von der Aufsicht ausgenommen wer-\nden. \n \n\n7.3 SEV 108+ \nDie Unterzeichnung des Änderungsprotokolls zum SEV 108 soll unter anderem bewirken, dass die \nEuropäische Union der Schweiz ein angemessenes Datenschutzniveau bestätigt. Dadurch bleibt \nder datenrechtliche Zugang zum europäischen Markt weiterhin uneingeschränkt gewährleistet (BBl \n2017 6970). Mit der Ratifizierung wird das SEV 108+ für Bund und Kantone verbindlich. Sie müs-\nsen dieses auf alle Datenbearbeitungen anwenden und ihre Rechtsordnungen entsprechend an-\npassen. Ausgeschlossen vom Geltungsbereich sind nur Datenbearbeitungen, die eine Person im \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 9 | 31 \n\n \n\nRahmen ausschliesslich persönlicher oder familiärer Tätigkeiten ausführt (Art. 3 Abs. 1bis SEV \n108+).  \n \nDie wichtigsten Forderungen des SEV 108+ sind:  \n– die Ausnahmen vom Geltungsbereich sind stark zu beschränken;  \n– die Datenverarbeitung muss rechtmässig und verhältnismässig sein; \n– sensible Daten müssen durch zusätzliche Sicherheiten geschützt werden; \n– bei erheblichen Datenschutzverletzungen besteht eine Meldepflicht; \n– vor jeder Datenbearbeitung sind die möglichen Auswirkungen einer Datenverarbeitung zu prü-\n\nfen (vgl. Datenschutz-Folgenabschätzung); \n– der Schutz von personenbezogenen Daten ist durch technische oder organisatorische Mass-\n\nnahmen sicherzustellen; \n– die Rechte der betroffenen Personen sind auszuweiten (Auskunftsrechte, Recht auf aktive In-\n\nformierung über die Datenbearbeitung, Standpunktberücksichtigung bei Datenbearbeitungen \ndurch automatisierte Einzelentscheidungen, Festlegung der Bedingungen für die Einwilligung in \ndie Datenbearbeitung); \n\n– die Einhaltung der Datenschutzvorschriften muss nachgewiesen werden können; \n– es ist ein Sanktions- und Rechtsmittelsystem einzuführen; \n– es dürfen Personendaten in ein Drittland nur übermittelt werden, wenn das Schutzniveau der \n\nMitgliedstaaten einer regionalen internationalen Organisation eingehalten ist, wenn der Be-\ntroffene eingewilligt hat oder wenn ein bestimmter Ausnahmefall vorliegt; \n\n– es sind unabhängige Aufsichtsbehörden einzusetzen, mit: \n– der Aufgabe, die Einhaltung des Datenschutzrechts zu gewährleisten und die Öffentlichkeit \n\nund die für die Bearbeitung Verantwortlichen für den Datenschutz zu sensibilisieren; \n– der Befugnis, Ermittlungen durchzuführen und gegen Datenschutzverletzungen einzuschrei-\n\nten, verbindliche und anfechtbare Entscheidungen zu fällen, die vor Gericht angefochten \nwerden können, und verwaltungsrechtliche Sanktionen zu verhängen; \n\n– dem Recht, Verstösse gegen die Datenschutzvorschriften anzuzeigen und Anliegen vor Ge-\nricht zu vertreten. \n\n \nEin grosser Teil des Inhalts des SEV 108+ wird auch in der Richtlinie (EU) 2016/680 geregelt. Al-\nlerdings ist die Richtlinie detaillierter ausgeführt. \n \n\n7.4 Kantonales Recht \nDas kDSG trat am 1. November 2008 vollständig in Kraft. Vereinzelt finden sich auch in anderen \nkantonalen Erlassen Datenschutzbestimmungen. Bis heute wurde das kantonale Datenschutz-\nrecht nur wenigen Änderungen unterzogen. Neben der Nachführung des europäischen Rechts ist \ndaher auch kantonaler Handlungsbedarf zu berücksichtigen. Dies soweit datenschutzrechtliche \nLücken bestehen, die mit Blick auf die Praxis zwingend zu regeln sind und den Rahmen der vorlie-\ngenden Gesetzgebung nicht sprengen. \n \n \n\n8. Grundzüge der kantonalen Vorlage \n \n\n8.1 Konzeptionelle Überlegungen \nDie Umsetzung des Anpassungsbedarfs soll – im Sinne des regierungsrätlichen Auftrags – in ih-\nrem Umfang schlank, aber effektiv sein. Der Praxis ist der notwendige Spielraum zu belassen. Der \nVollzugsaufwand für die öffentlichen Organe und die beauftragte Person für Datenschutz soll auf \ndas Notwendigste reduziert werden. Änderungen sollen sich in das Recht und die Praxis des Kan-\ntons Obwalden harmonisch einfügen.  \n \nDaraus ergeben sich für den Nachtrag zum kDSG folgende konzeptionelle Überlegungen:  \n\n– Der Kanton Obwalden pflegt im Datenschutzrecht das Prinzip der Nettogesetzgebung. Details \nund Besonderes werden im kDSG explizit geregelt. Ebenso Themen, für die nicht auf die Bun-\ndesgesetzgebung verwiesen werden soll. Im Übrigen aber und insbesondere in Bezug auf das \nGrundsätzliche verweist das kantonale Recht auf das Bundesrecht (Art. 2 Abs. 1 kDSG; vgl. die \nÜberlegungen von Beat Rudin zu einem Datenschutzgesetz für alle öffentlichen Organe von \nBund und Kantonen, in: digma 2017 S. 59). Demgemäss haben die öffentlichen Organe wie \nauch die Bürger zur Feststellung ihrer Rechte und Pflichten auch das eidgenössische Daten-\nschutzgesetz heranzuziehen. Dieses Vorgehen hat sich bewährt und garantiert, dass im \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 10 | 31 \n\n \n\nKanton Obwalden der bundesrechtliche Datenschutzstandard gilt, der in der Regel auch den \neuropäischen Anforderungen entspricht. An diesem Prinzip der Nettogesetzgebung ist festzu-\nhalten. Demnach erfolgen im kantonalen Datenschutzrecht lediglich Anpassungen, wenn:  \n– der Geltungsbereich des kDSG betroffen ist; \n– die Organisation und das Verfahren im kDSG betroffen sind, namentlich die Wahl, Stellung, \n\nAufgaben und Befugnisse der beauftragten Person für Datenschutz;  \n– eine andere Regelung gelten soll, als das Bundesrecht es vorsieht; \n– dies zur Füllung einer datenschutzrechtlichen Lücke erforderlich ist, sei es in den besonde-\n\nren Bestimmungen des kDSG oder in einem Sacherlass. \n\n– Der hier einzuführende Datenschutzstandard ergibt sich primär aus den neuen europäischen \nRechtserlassen. Die Konferenz der Kantonsregierungen hat diesen Standard im Leitfaden vom \n2. Februar 2017 festgehalten (KdK-Leitfaden). Mit diesem Hilfsmittel sollen die Kantone die \nVollständigkeit ihrer Datenschutzgesetzgebung überprüfen und den noch bestehenden Hand-\nlungsbedarf im Hinblick auf das geforderte Schutzniveau feststellen können. An dieser Weglei-\ntung orientiert sich auch die vorliegende Revision. \n\n– Die Bestimmungen der Richtlinie (EU) 2016/680, die sich mit den Anforderungen des SEV \n108+ decken, gelten uneingeschränkt für alle Datenbearbeitungen und öffentlichen Organe in \nder Schweiz. Sie werden daher auch für den Kanton Obwalden übernommen. Eine vollständige \nÜbernahme in das kantonale Recht ist aber nicht notwendig, da das neue europäische Recht \nfür den Kanton Obwalden bereits über den Verweis in Art. 2 Abs. 1 kDSG auf das nachgeführte \nBundesrecht gilt. Damit besteht lediglich ein punktueller Anpassungsbedarf im kantonalen \nRecht. \n\n– Dagegen sollen die Anforderungen der Richtlinie (EU) 2016/680, die über das SEV 108+ hin-\naus gehen und nur für die zuständigen Behörden nach Art. 3 Ziff. 7 der Richtlinie (EU) \n2016/680 gelten, nicht auf alle öffentlichen Organe des Kantons Obwalden ausgedehnt werden \n(es betrifft dies z.B. die beratenden Personen für Datenschutz, die Mitteilungspflicht bei Berich-\ntigungsmassnahmen, die Verzeichnisse der Datenbearbeitungstätigkeiten, die Vorabkonsultati-\nonspflicht; nicht aber die Regelungen betreffend die Auftragsverarbeiter [die Regelungen wer-\nden als allgemeiner Datenschutzstandard erachtet]). Da der Bund die Anforderungen der Richt-\nlinie (EU) 2016/680 für alle seine öffentlichen Organe übernommen hat, um einen flächende-\nckend gleichen Datenschutzstandard auf dem Niveau des europäischen Rechts zu erhalten, \nmuss der Verweis in Art. 2 Abs. 1 kDSG, der zur Übernahme des Bundesrechts für alle öffentli-\nchen Organe im Kanton Obwalden führen würde, eingeschränkt werden auf die zuständigen \nBehörden nach Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680. Ähnliche Einschränkungen verfolgen \nauch andere Kantone (z.B. Luzern, Basel-Landschaft, Basel-Stadt, Glarus). \n\n– Als zuständige Behörden nach Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680 gelten staatliche Stel-\nlen, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die \nStrafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öf-\nfentliche Sicherheit, zuständig sind (Bst. a). Des Weiteren sind dies alle anderen Stellen oder \nEinrichtungen, denen durch das Recht der Mitgliedstaaten – hier durch das kantonale Recht – \ndie Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Auf-\ndeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschliesslich des Schut-\nzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, übertragen wurde (Bst. b).  \n\nAls zuständige Behörden kommen nicht nur die Justizbehörden, die Polizei oder andere Straf-\nverfolgungsbehörden in Frage, sondern auch alle anderen Stellen oder Einrichtungen, denen \ndie Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse für die Zwecke der Richtlinie \n(EU) 2016/680 übertragen wurden. Dazu zählen auch Tätigkeiten in Fällen, in denen nicht von \nvornherein bekannt ist, ob es sich um Straftaten handelt oder nicht. Solche Tätigkeiten können \nferner die Ausübung hoheitlicher Gewalt durch Ergreifung von Zwangsmitteln umfassen, wie \npolizeiliche Tätigkeiten bei Demonstrationen, grossen Sportveranstaltungen und Ausschreitun-\ngen. Sie umfassen auch die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe, die der \nPolizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des \nSchutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen \nfür durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer \nStraftat führen können, erforderlich ist (Ziff. 11 und 12 der Erwägungen der Richtlinie [EU] \n2016/680).  \n\nIm Kanton Obwalden gelten als zuständige Behörden nach Art. 3 Ziff. 7 der Richtlinie (EU) \n2016/680 die Gerichte (inklusive Steuerrekurskommission), die Staatsanwaltschaft, die Dienst-\nstelle Straf- und Massnahmenvollzug, die Polizei, die Steuerverwaltung sowie die \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 11 | 31 \n\n \n\nÜbertretungsstrafbehörden und allfällige weitere Kontrollorgane. Unter den Kantonen gibt es \nzurzeit keine einheitliche Definition für den Begriff der zuständigen Behörden. Der Geltungsbe-\nreich ergibt sich ausschliesslich aus dem europäischen Recht und dürfte durch die Praxis noch \nkonkretisiert werden. Die betreffenden Behörden im Kanton Obwalden können im Wesentli-\nchen durch den Begriff der Straf- und Strafvollzugsbehörden erfasst werden (die Strafbehörden \nsind in Art. 12 der Schweizerischen Strafprozessordnung vom 5. Oktober 2007 [StPO; SR \n312.0] definiert). Der Begriff kann allerdings nicht abschliessend sein, da die Richtlinie noch \nweitere Behörden zu erfassen vermag. In diesem Sinne ist er zu ungenau und dient lediglich \nals Orientierungshilfe. Daher soll für die genaue Bestimmung der öffentlichen Organe, welche \ndie erhöhten Anforderungen der Richtlinie erfüllen müssen, zusätzlich auf Art. 3 Ziff. 7 der \nRichtlinie (EU) 2016/680 verwiesen werden. Eine solche statische Aussenverweisung ist un-\nproblematisch und nicht unüblich im Rahmen des Nachvollzugs des europäischen Rechts. Sie \nträgt zur korrekten Erschliessung des europäischen Rechts und zur Verringerung des Recht-\nsetzungsbedarfs, aber letztlich auch zur Verkürzung des Gesetzestexts bei. Die Aussenverwei-\nsung steht daher im Einklang mit dem vom kDSG verfolgten Prinzip der "Nettogesetzgebung". \nDie Technizität und die erschwerte Verständlichkeit des kDSG werden dadurch nur marginal \nerhöht. Im Übrigen wurden sie bislang nicht bemängelt, zumal bei Unklarheiten die beauftragte \nPerson für Datenschutz und neu auch die beratenden Personen für Datenschutz Hilfestellung \nanbieten könnten (Art. 5a und Art. 10 Abs. 2 Bst. b E-kDSG; vgl. auch Leitfaden für die Ausar-\nbeitung von Erlassen des Bundes, 4. Auflage, Bern 2019, N 739 ff.). Der gesetzliche Begriff für \ndie unter die Richtlinie (EU) 2016/680 fallenden öffentlichen Organe soll demnach "Straf- und \nStrafvollzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680" lauten. \n\n– Sollten die Anforderungen der Richtlinie (EU) 2016/680 später in weiteren oder allen staatli-\nchen Bereichen umzusetzen sein, sei dies, weil es sachgerecht erscheint, sei dies, weil es das \nübergeordnete Recht verlangt, können Regierungsrat und Obergericht – je in ihren Aufsichts-\nbereichen – die entsprechenden Regelungen auf weitere öffentliche Organe ausdehnen (Art. 8 \nAbs. 4 E-kDSG). Damit bleibt die kantonale Gesetzgebung bei einer Weiterentwicklung des Da-\ntenschutzrechts flexibel. \n\n– Die europäischen Datenschutzstandards gelten auch für die kommunale Ebene. Da jedoch \nviele Anwendungsfälle das kantonale Recht betreffen, besteht auf kommunaler Ebene weniger \nRegelungsbedarf. Der Geltungsbereich des kantonalen Datenschutzrechts bezieht daher wei-\nterhin alle Ebenen des Kantons Obwalden ein. Die kommunalen Körperschaften, insbesondere \ndie Einwohnergemeinden bleiben dadurch von der gesetzgeberischen Umsetzung des interna-\ntionalen Rechts weitestgehend verschont.  \n\n– Bei der Formulierung von neuen kantonalen Regelungen wurden die geltenden oder erst im \nEntwurf bestehenden Datenschutzgesetzgebungen des Bundes und der Kantone, soweit zwi-\nschen diesen eine gewisse Homogenität erkennbar war, berücksichtigt. \n\n \n\n8.2 Anpassungen im kantonalen Recht \nGestützt auf die dargelegten konzeptionellen Überlegungen ist das kantonale Datenschutzrecht \n(punktuell) in folgenden Bereichen anzupassen: \n\n– Geltungsbereich:  \n\n– Der Schutz für juristische Personen kann aufgehoben werden. \n\n– Die generellen Ausnahmen vom Geltungsbereich sind aufzuheben. \n\n– Allgemeine Datenschutzbestimmungen: \n\n– Grundsätze: Die Nachweispflicht für öffentliche Organe, dass die Datenschutzvorschriften \neingehalten werden, ist einzuführen; die Mitteilungspflicht bei Datenberichtigungsmassnah-\nmen ist einzuführen, jedoch zu begrenzen auf die Straf- und Strafvollzugsorgane. \n\n– Datenquellen: Der Grundsatz der Erkennbarkeit der Datenbeschaffung kann im kantonalen \nRecht aufgehoben werden, da er bereits im Bundesrecht geregelt ist (Prinzip der Nettoge-\nsetzgebung). \n\n– Vorabkontrolle: Diese ist durch die Vorabkonsultation abzulösen, allerdings beschränkt auf \ndie Straf- und Strafvollzugsorgane. \n\n– Register der Datensammlungen: Die Registerführungspflicht der beauftragten Person für \nDatenschutz kann aufgehoben werden; dagegen ist die Pflicht der öffentlichen Organe zur \nFührung eines Verzeichnisses der Datenbearbeitungstätigkeiten umzusetzen, allerdings be-\nschränkt auf die Straf- und Strafvollzugsorgane. \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 12 | 31 \n\n \n\n– Beratende Person für Datenschutz: Die Funktion ist neu einzuführen, allerdings beschränkt \nauf die Straf- und Strafvollzugsorgane. \n\n– Archivieren und Vernichten von Personendaten: Die Pflicht, Fristen für die Aufbewahrung \noder Überprüfung der Aufbewahrung vorzusehen, ist zu statuieren, soll aber nur für die \nStraf- und Strafvollzugsorgane gelten. \n\n– Besondere Datenschutzbestimmungen: \n\n– Elektronische Informations-, Geschäftsverwaltungs- und Datenablagesysteme: Es ist eine \ngesetzliche Grundlage für alle öffentlichen Organe einzuführen. \n\n– Organisation und Verfahren: \n\n– Delegationsnormen: Die beispielhafte Aufzählung der Bereiche, in denen die zum Vollzug \nerforderlichen Ausführungsbestimmungen erlassen werden können, soll entsprechend den \nneu einzuführenden Instituten ergänzt werden; die Delegationsnorm soll zudem erweitert \nwerden auf das Obergericht. \n\n– Beauftragte Person für Datenschutz:  \n\n– Wahl und Stellung: Die Wahlvoraussetzungen sind zu ergänzen; neu sollen fachspezifi-\nsche Kennnisse vorausgesetzt sein.  \n\n– Aufgaben: Die Vermittlungspflicht kann aufgehoben werden; die Pflicht zur Sensibilisie-\nrung der öffentlichen Organe und der Öffentlichkeit muss eingeführt werden; die Pflicht \nzur Behandlung von Vorabkonsultationen ist anstelle der Vorabkontrolle zu statuieren, \nallerdings wird sie nur noch für die Straf- und Strafvollzugsorgane relevant sein; die \nPflicht zur Führung eines Registers der Datensammlungen ist aufzuheben. \n\n– Ausnahmen von der Aufsicht: Die sachgerechten und nach dem europäischen Recht mögli-\nchen Ausnahmen von der Aufsicht sollen statuiert werden. \n\n– Sachverhaltsabklärung, Verfügung und Rechtsmittel:  \n\n– Das Verfügungsrecht der beauftragten Person für Datenschutz ist einzuführen. \n\n– Im Gegenzug ist das Beschwerderecht der öffentlichen Organe bzw. der übergeordneten \nBehörden gegen die Verfügungen neu zu regeln. \n\n– Fremdänderungen: \n\n– In den Sacherlassen sollen einzelne datenschutzrechtliche Lücken gefüllt werden. \n\n– Der Begriff der Persönlichkeitsprofile ist anzupassen, da er mit dem nDSG aufgehoben \nund an seiner Stelle der Begriff des Profilings eingeführt wird (BBl 2017 7021 f.); die bei-\nden Begriffe decken nicht dasselbe ab; als Profiling ist die automatisierte Auswertung \nvon Personendaten mit Hilfe von computergestützten Analysetechniken zu betrachten \n(Art. 5 Bst. f nDSG), dagegen erfolgt noch kein Profiling, wenn eine Ansammlung von \nDaten ohne Auswertung vorliegt (Art. 3 Bst. d DSG); der Begriff des Persönlichkeitspro-\nfils in den kantonalen Erlassen geht neu nicht über den Begriff des Datenbearbeitens \nhinaus (Art. 5 Bst. d nDSG), unabhängig davon, ob es Personendaten oder besonders \nschützenswerte Personendaten betrifft, weshalb er fast überall ersatzlos gestrichen wer-\nden kann (vgl. BBl 2017 7109 ff.). \n\n \nVerzichtet werden soll auf die Umsetzung verschiedener Punkte: \n\n– Aufgrund des Prinzips der Nettogesetzgebung soll keine Regelung erfolgen: der Begriffsdefini-\ntionen (Art. 5 nDSG), der qualifizierten Anforderungen an das Bearbeiten besonders schüt-\nzenswerter Personendaten und das Profiling (Art. 34 nDSG), der Auftragsdatenbearbeitung \n(Art. 9 nDSG), der Informationspflicht und deren Einschränkung bei der Beschaffung von Per-\nsonendaten (Art. 19 ff. nDSG), des Anspruchs auf Unterlassung, Beseitigung und Feststellung \nwiderrechtlicher Datenbearbeitungen (Art. 41 nDSG), der automatisierten Einzelentscheidun-\ngen (Art. 21 nDSG), der Datenschutz-Folgenabschätzungen (Art. 22 nDSG), der Meldepflichten \nbei Datenschutzverletzungen (Art. 23 f. nDSG; vgl. aber Art. 10 Abs. 3 Bst. c E-kDSG), des In-\nhalts der Verzeichnisse der Datenbearbeitungstätigkeiten (Art. 12 nDSG). \n\n– Aufgrund von bereits vorhandenen Regelungen im kantonalen Verwaltungsverfahrensrecht ist \ndarauf zu verzichten, der beauftragten Person für Datenschutz eine spezielle Befugnis einzu-\nräumen, um vorsorgliche Massnahmen anordnen oder gegen das öffentliche Organ aufsichts-\nrechtliche Anzeige einreichen zu können. \n\n– Auf die Einführung von Sanktionen gegen die öffentlichen Organe ist zu verzichten. \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 13 | 31 \n\n \n\n– Der Begriff der Datensammlungen ist nicht aufzuheben, da er nach wie vor auch in anderen Er-\nlassen der kantonalen Rechtssammlung von praktischer Bedeutung ist (für die Begriffsdefini-\ntion wird – auch nach Inkraftsetzung des nDSG – auf Art. 3 Bst. g und i DSG verwiesen; so \nauch die Kantone Aargau, Appenzell Innerrhoden, Appenzell Ausserrhoden, Schwyz). Die be-\nauftragte Person für Datenschutz Schwyz/Obwalden/Nidwalden (DSB) hat im Vernehmlas-\nsungsverfahren angeregt, den Begriff in der ganzen kantonalen Gesetzgebung aufzuheben.  \n\n \nFür die ausführliche Begründung wird – soweit erforderlich – auf die Erläuterungen zu den einzel-\nnen Artikeln verwiesen. \n \n \n\nIII. Vernehmlassungsverfahren \n\nZur Vorlage wurden nebst einigen Praxisfragen nur wenige Änderungsbegehren eingereicht, die \nvor allem Detailpunkte betrafen. Ein Hauptthema der Eingaben war die operative Umsetzung. Die \neingegangenen Rückmeldungen wurden tabellarisch ausgewertet. Die Entwürfe wurden entspre-\nchend angepasst. \n \nDer zeitnahe rechtliche Nachvollzug des europäischen Rechts wurde gesamthaft betrachtet als \nnotwendig, sachgerecht und verhältnismässig kommentiert.  \n \nFast alle Vernehmlassungsteilnehmenden sprachen sich für die Beibehaltung des Prinzips der \nNettogesetzgebung aus. Ebenso dass der Vollzugsaufwand für die öffentlichen Organe gering ge-\nhalten werden soll. Praktisch alle Teilnehmenden erachteten daher eine schlanke Gesetzgebung, \nwelche sich auf das Notwendigste beschränkt, als zielführend.  \n \nEinzig die GLP würde es begrüssen, wenn generell die strengeren Vorgaben für die Straf- und \nStrafvollzugsorgane auch für alle anderen öffentlichen Organe übernommen würden. Dies sei eine \nVereinfachung für die Rechtsanwendung und soll vor allem aus Gründen der Transparenz gesche-\nhen, da die komplexe Datenschutzmaterie nur schwer verständlich sei.  \n \nWeniger weit geht die SVP, welche lediglich die Meldepflicht bei Berichtigungsmassnahmen über \ndie Straf- und Strafvollzugsbehörden hinaus auf alle öffentlichen Organe ausdehnen möchte.  \nDie Kirchgemeinden fordern eine gesetzliche Grundlage, welche den Zugriff auf die kantonale Da-\ntenplattform (KDPF) gewährleistet. Die Daten würden unter anderem in Zusammenhang mit der \nAnmeldung von Taufen, den Eheschliessungen, den Kirchenaustritten bzw. -wiedereintritten etc. \nbenötigt.  \n \nDie GLP wirft die Frage auf, ob die Ausnahmen von der Aufsicht betreffend Kantons- und \nRegierungsrat unter dem neuen europäischen Datenschutzrecht möglich sind. Sie ist der Ansicht, \ndass die Ausnahmen von der Aufsicht so restriktiv wie möglich gehandhabt werden sollten.  \n \nDer Datenschutzbeauftragte, dessen fachliche Beurteilung bereits bei den Vorarbeiten und im Mit-\nberichtsverfahren erwartet wurde, übergab erst nach Ablauf der Vernehmlassungsfrist eine Stel-\nlungnahme. Im Wesentlichen schlägt er vor, das Prinzip der Nettogesetzgebung aufzugeben und \neine Vollgesetzgebung zu erarbeiten. Generell vertritt er die Meinung, dass die kantonalen Behör-\nden nicht in der Lage seien, nur jene Daten zu bearbeiten, die sie für ihre gesetzliche Aufgabe be-\nnötigen würden. Schon deshalb seien die gesetzlichen Grundlagen nach einengender zu formulie-\nren. Inhaltlich vertritt er im Wesentlichen die Ansicht, es müssten alle Organe, nicht nur die Straf- \nund Strafvollzugsbehörden, ein Verzeichnis der Datenbearbeitungstätigkeit führen. Zudem dürfe \nder Regierungsrat – gestützt auf die im erläuternden Bericht abgegebene Begründung – nicht von \nder Aufsicht durch den DSB ausgenommen werden. Schliesslich gab der DSB verschiedene re-\ndaktionelle und auf die spätere Rechtsanwendung bezogene Empfehlungen ab, die hier aber nicht \nvon Bedeutung sind. \n \n \n\n  \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 14 | 31 \n\n \n\nIV. Erläuterungen zu den einzelnen Artikeln \n\n9. Ziffer I: Nachtrag zum Datenschutzgesetz \n \nDie Ausführungen in der Botschaft des Regierungsrats zum Entwurf eines Gesetzes über den Da-\ntenschutz vom 24. September 2007 (Botsch. kDSG) haben im Grundsatz weiterhin ihre Bedeutung \nund werden nachfolgend nicht wiederholt. \n \n \n\n9.1 Ingress und Geltungsbereich \n\nIngress \n \nDer Regelungsbedarf des kDSG ergab sich ursprünglich aus Art. 37 DSG. Die Bestimmung legt \neinerseits fest, dass die Datenschutz-Regelungen des Bundes immer dann Anwendung finden, \nwenn kantonale Datenschutzvorschriften fehlen oder keinen angemessenen Schutz gewährleis-\nten. Andererseits verpflichtet die Bestimmung die Kantone dazu, eine beauftragte Person für Da-\ntenschutz einzusetzen.  \n \nArt. 37 DSG wird mit der Inkraftsetzung des nDSG ersatzlos aufgehoben, da alle Kantone über \neine genügende Datenschutzgesetzgebung verfügen und die Anforderungen des europäischen \nRechts direkt von den Kantonen umzusetzen sind. Das kDSG kann sich neu weder auf das nDSG \nabstützen, noch ist es eine Ausführungsgesetzgebung dazu. Der Ingress ist daher entsprechend \nanzupassen. \n \n\nArt.  1 Geltungsbereich \n \nAbs. 1: Der Schutzbereich des Gesetzes soll sich neu lediglich auf die Daten von natürlichen Per-\nsonen beschränken. Im SEV 108+, in der Richtlinie (EU) 2016/680, in den Regelungen der meis-\nten ausländischen Gesetzgeber, im nDSG sowie in den meisten (revidierten) kantonalen Regelun-\ngen ist der Schutz von Daten juristischer Personen nicht mehr vorgesehen. Dies weil er von gerin-\nger praktischer Bedeutung ist.  \n \nAbs. 3: Die Richtlinie (EU) 2016/680 und das SEV 108+ sehen praktisch keine Ausnahmen vom \nGeltungsbereich mehr vor. Zudem dürfen allfällige Ausnahmen nicht mehr pauschal verfasst sein. \nDies schränkt die Regelungsmöglichkeiten der Kantone in diesem Punkt stark ein. Es sind daher \nverschiedene Aufhebungen und Konkretisierungen vorzunehmen: \n\n– Bst. a bleibt unverändert: Soweit ein öffentliches Organ am wirtschaftlichen Wettbewerb teil-\nnimmt und dabei privatrechtlich handelt, kann diese Datenbearbeitung weiterhin vom Geltungs-\nbereich ausgeschlossen werden. Diesfalls sollen – wie bisher – die entsprechenden Regeln \ndes eidgenössischen Datenschutzgesetzes zur Anwendung gelangen. Allerdings bleibt wohl \ndie kantonale Aufsichtsbehörde für privatrechtlich handelnde öffentliche Organe zuständig und \nin diesem Umfang auch die kantonale Gesetzgebung anwendbar. Allein dies ist eine Frage der \nKompetenzabgrenzung, die sich durch Auslegung des übergeordneten Rechts ergibt, und nicht \nim kDSG zu regeln ist (vgl. auch Epiney, zur Abgrenzung des Anwendungsbereichs des Daten-\nschutzgesetzes des Bundes und der kantonalen Datenschutzgesetze in: Jusletter 2. März \n2015).  \n\n– Bst. b: Die Bearbeitung von Personendaten in Verfahren der Zivil-, Straf- und Verwaltungs-\nrechtspflege darf nicht mehr vom Geltungsbereich ausgenommen werden. Die Regelung ist da-\nher aufzuheben. Vgl. aber die Erläuterungen zu Art. 1 Abs. 5 E-kDSG. \n\n– Bst. c: Auch die Bearbeitung von Personendaten durch den "Kantonsrat und seine Kommissio-\nnen" darf vom Geltungsbereich nicht mehr ausgenommen werden. Vgl. aber die Erläuterungen \nzu Art. 11a E-kDSG (Ausnahmen von der Aufsicht). \n\n– Bst. d: Die Regelung ist aufgrund des übergeordneten Rechts aufzuheben. Es betrifft die öf-\nfentlichen Register des Privatrechtsverkehrs, für welche die Kantone zuständig sind (z.B. \nGrundbuch, Handelsregister, Betreibungs- und Konkursregister). Allerdings werden diese Re-\ngister, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 15 | 31 \n\n \n\nPersonen, durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthal-\nten die Spezialbestimmungen keine Regelung, so ist das kantonale bzw. über die Verweisung \ndas eidgenössische Datenschutzgesetz anwendbar (BBl 2017 7016 f.).  \n\n– Bst. e bleibt unverändert: Personendaten, die insbesondere von einer im Dienst- oder Auftrags-\nverhältnis mit dem öffentlichen Organ stehenden natürlichen Person zum ausschliesslich per-\nsönlichen Gebrauch bearbeitet werden und anderen Personen weder ausgehändigt werden \nnoch ihnen zugänglich sind, bleiben vom Geltungsbereich ausgeschlossen (Art. 2 Abs. 2 Bst. a \nnDSG; Art. 3 Abs. 1bis SEV 108+). In der Regel sind damit handschriftliche oder elektronische \nNotizen gemeint, die als Gedankenstütze für die Erstellung von amtlichen Akten dienen. \n\n \nIm Vernehmlassungsverfahren regte der DSB an, auch die Ausnahmen von Art. 1 Abs. 3 Bst. a \nund e E-kDSG zu streichen. Die beiden Ausnahmen haben allerdings nach wie vor praktische Be-\ndeutung (so auch KDK-Leitfaden Ziff. 2.2 ff., Art. 2 Abs. 2 nDSG und – soweit ersichtlich – die \nKantone Freiburg, Bern, Zürich, Aargau, Luzern, Basel-Landschaft, Glarus, St. Gallen). \n \nAbs. 5 (neu): Nach dem geltenden Recht sind hängige Verfahren der Zivil-, Straf- und Verwal-\ntungsrechtspflege vom Geltungsbereich des kDSG ausgenommen (Art. 1 Abs. 3 Bst. b kDSG). Die \ndadurch zur Anwendung gelangenden Prozessordnungen enthalten ihrerseits die nötigen Rege-\nlungen (insbesondere zur Beschaffung und Bekanntgabe von Personendaten sowie zu den Rech-\nten der betroffenen Personen und zur Aufsicht), um die Persönlichkeit und die Grundrechte der \nbeteiligten Personen zu schützen. Keine Ausnahmen vom Geltungsbereich sind heute vorgesehen \nfür die erstinstanzlichen Verwaltungsverfahren sowie das verwaltungsinterne Rechtsmittelverfah-\nren im Sinne von Art. 67 Abs. 1 des Staatsverwaltungsgesetzes vom 8. Juni 1997 (StVG; GDB \n130.1; Botsch. kDSG, S. 14).  \n \nGemäss der Richtlinie (EU) 2016/680 und dem SEV 108+ dürfen nun auch die Verfahren der Zi-\nvil-, Straf- und Verwaltungsrechtspflege nicht mehr vom Geltungsbereich ausgenommen werden. \nEntsprechend ist Art. 1 Abs. 3 Bst. b kDSG aufzuheben. Nichtsdestotrotz gewährleisten die Pro-\nzess- und Verfahrensordnungen aber einen adäquaten Datenschutz. Sie sollen daher neu als be-\nreichsspezifisches Datenschutzrecht gelten, das dem kDSG vorgeht. Ausgenommen von diesem \nVorrang sind die erstinstanzlichen Verwaltungsverfahren. Auf diese Verfahren soll das kDSG wei-\nterhin anwendbar sein. Andernfalls wäre praktisch der grösste Teil der Verwaltungstätigkeit vom \nGeltungsbereich ausgeschlossen (vom Vorrang profitieren neu auch die Rechtsmittelverfahren \nz.B. nach Art. 67 Abs. 1 StVG oder Art. 88 Kantonsverfassung vom 19. Mai 1968 [KV; GDB 101]; \nzum Ganzen: BBl 2017 7014 f.; Rudin, Überholte Ausnahmen beim Geltungsbereich, digma 2016 \nS. 122 ff.; Maurer-Lambrou/Kunz, BSK DSG, Basel 2014, Art. 2 N 38; vgl. auch die Erläuterungen \nzu Art. 11a E-kDSG [Ausnahmen von der Aufsicht]).  \n \nAuf den Begriff der "hängigen" Verfahren wird verzichtet. Die massgebende Verfahrensordnung \nsoll auch nach Abschluss des Verfahrens anwendbar bleiben, soweit sie nicht das kDSG für an-\nwendbar erklärt (vgl. Art. 99 StPO; diesfalls würde für die Gerichtsbehörden wohl Art. 27 GOG als \nbereichsspezifisches Datenschutzrecht vorgehen). \n \n \n\n9.2 Allgemeine Datenschutzbestimmungen \n\nArt.  2 Grundsätze \n \nAbs. 1: Redaktionelle Änderung (in Zusammenhang mit der Anpassung im Ingress). \n \nIm Vernehmlassungsverfahren wurde die Beibehaltung des Prinzips der Nettogesetzgebung – mit \nAusnahme des DSB – von allen Teilnehmern begrüsst. Der DSB hätte sich die Abkehr zu einer \nVollgesetzgebung gewünscht. Am Prinzip der Nettogesetzgebung, wodurch in Bezug auf das \nGrundsätzliche auf das Bundesrecht verwiesen wird, wird festgehalten. \n \nAbs. 3 (neu): Nach Art. 4 Abs. 4 der Richtlinie (EU) 2016/680 und Art. 8bis Ziff. 1 SEV 108+ müs-\nsen die öffentlichen Organe die Einhaltung der Datenschutzbestimmungen nachweisen können. \nDabei geht es vor allem um die Einhaltung der Grundsätze des Datenschutzrechts (z.B. Recht-\nmässigkeit, Treu und Glauben, Verhältnismässigkeit und Zweckbindung). Das nDSG hat – soweit \nersichtlich – keine allgemeine Regelung dazu, auf die verwiesen werden könnte.  \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 16 | 31 \n\n \n\n \nIm Vernehmlassungsverfahren wurde der Nachweis durch eine Zertifizierung mit sogenannten ISO \nStandards von SVP und FDP abgelehnt und als nicht sinnvoll sowie aufwendig bezeichnet. Da-\nnach sollte der Nachweis auf pragmatische und unbürokratische Weise erbracht werden können. \nDiesfalls ist aber festzulegen, welche Dokumente notwendig sind, um den Nachweis zu erbringen \n(KdK-Leitfaden, Ziff. 4.10). Diese Festlegung ist in erster Linie Aufgabe der beauftragten Person \nfür Datenschutz (in Zusammenarbeit mit den betroffenen öffentlichen Organen). Der Nachweis ist \ninsbesondere durch die Datenschutz-Folgenabschätzung und die einschlägigen Organisationsvor-\nschriften, Informationssicherheitsrichtlinien und Zugriffskonzepte zu erbringen. Die Umsetzung \n(z.B. Detaillierungsgrad eines Zugriffskonzepts) soll sich nach dem Risiko richten. Die Anforderun-\ngen werden bei gewöhnlichen Personendaten relativ gering, bei besonders schützenswerten Per-\nsonendaten sicher höher sein. Soweit erforderlich kann der Nachweis mittels kantonaler Vollzugs-\nerlasse (Art. 8 E-kDSG) näher bestimmt werden. \n \nDer DSB regte an, die Bestimmung sei dahingehend zu präzisieren, dass die Organe den "Nach-\nweis erbringen 'müssen' (und nicht nur 'können müssen')". Allein dies widerspricht dem Wortlaut \nder europäischen Gesetzgebung (so auch KdK-Leitfaden Ziff. 4.10 und z.B. der Kanton Zug). \n \nAbs. 4 (neu): Mit der neuen Regelung sollen die Anforderungen von Art. 16 Abs. 5 und 6 der \nRichtlinie (EU) 2016/680 umgesetzt werden. Danach muss vorgesehen werden, dass das öffentli-\nche Organ die Berichtigung von Personendaten jener Behörde, von der die unrichtigen Daten \nstammen, mitteilt, so dass diese Behörde ihrerseits die Daten berichtigen kann (z.B. Personenda-\nten zur Identität, wie Name, Vorname, Geschlecht, Geburtsdatum, Staatsangehörigkeit, Geburts-\nort). Zudem muss das Organ die Empfängerinnen und Empfänger der Daten über die Berichti-\ngungsmassnahmen in Kenntnis setzen, damit die unrichtigen Daten nicht in Unkenntnis weiterbe-\narbeitet werden. Die Benachrichtigungen können unter Umständen mit unverhältnismässigem Auf-\nwand verbunden oder sogar unmöglich sein. Diesfalls kann auf sie verzichtet werden (KdK-Leitfa-\nden, Ziff. 6.5). Art. 16 Abs. 5 und 6 der Richtlinie (EU) 2016/680 gilt nur für die Straf- und Strafvoll-\nzugsorgane. Es ist nicht erforderlich, dass andere öffentliche Organe dieser Benachrichtigungs-\npflicht unterstellt werden. \n \nIm Vernehmlassungsverfahren hat die SVP angeregt, dass im Sinne der Betroffenen alle Behör-\nden und nicht nur die Straf- und Strafvollzugsorgane der Benachrichtigungspflicht bei "fehlerhaf-\nten, nicht korrekten Daten" unterstellt werden sollten. Der rechtmässigen und daher richtigen Da-\ntenbearbeitung wird bereits Rechnung getragen (vgl. Art. 6 Abs. 1 und 5 und Art. 41 Abs. 2 \nnDSG). Es besteht daher im heutigen Zeitpunkt kein Bedarf, dass alle öffentlichen Organe auf die \nProzesse gemäss der Richtlinie (EU) 2016/680 verpflichtet werden. Sollte dennoch eine Ausdeh-\nnung der Pflicht notwendig werden, können der Regierungsrat und das Obergericht die Benach-\nrichtigungspflicht für weitere öffentliche Organe als anwendbar erklären. \n\nArt.  3 Datenquellen \n \nAbs. 3: Die Erkennbarkeit der Datenbeschaffung und der Datenbearbeitung wird in Art. 6 Abs. 3 \nnDSG allgemein geregelt. Die kantonale Regelung kann aufgehoben werden, um Wiederholungen \nzu vermeiden. Die Bundesregelung gilt dann aufgrund des Verweises in Art. 2 Abs. 1 kDSG.  \n \n\nArt.  4 Vorabkonsultation \n \nAbs. 1: Die Regelung soll die heutige "Vorabkontrolle" ablösen (KdK-Leitfaden, Ziff. 6.3). Die \nPflicht, bei hohen Bearbeitungsrisiken die beauftragte Person für Datenschutz zu konsultieren, \nwird nicht durch das SEV 108+, sondern lediglich durch Art. 28 der Richtlinie (EU) 2016/680 und \nArt. 36 der Verordnung (EU) 2016/679 vorgeschrieben. Letztere Bestimmung ist vor allem für den \ninternationalen Datenaustausch im Bereich der Wirtschaft relevant (digma 2017 S. 58; BBl 2017 \n6964 f.), den das kantonale Gesetz aber nicht zum Gegenstand hat. Demnach erstreckt sich die \nKonsultationspflicht nur auf die Straf- und Strafvollzugsorgane nach Art. 3 Ziff. 7 der Richtlinie \n(EU) 2016/680. \n \nArt. 23 nDSG regelt die Pflicht zur Vorabkonsultation flächendeckend für alle Organe (BBl 2017 \n6992 f.). Mit dem Verweis in Art. 2 Abs. 1 kDSG würde sich die Konsultationspflicht auch auf alle \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 17 | 31 \n\n \n\nöffentlichen Organe des Kantons Obwalden erstrecken. Mit Blick auf eine effiziente und effektive \nDatenschutzgesetzgebung soll die Konsultationspflicht jedoch nur für die Bearbeitungsrisiken der \nStraf- und Strafvollzugsorgane gelten. Der Verweis auf das Bundesgesetz ist daher durch eine Be-\nstimmung im kDSG einzuschränken.  \n \nDer DSB weist im Vernehmlassungsverfahren darauf hin, dass alle öffentlichen Organe, nicht nur \ndie Straf- und Strafvollzugsorgane, Datenschutz-Folgenabschätzungen machen müssen, was \nselbstverständlich zutrifft. \n \nVon dieser Einschränkung unberührt bleibt die Obliegenheit aller öffentlichen Organe, der beauf-\ntragten Person für Datenschutz die Entwürfe von Erlassen und zu Massnahmen, die für den Da-\ntenschutz von erheblicher Bedeutung sind, zur Stellungnahme vorzulegen (Art. 10 Abs. 2 Bst c \nkDSG [Beratungsaufgabe der beauftragten Person für Datenschutz]). \n \nSollte es dereinst notwendig sein, die Konsultationspflicht nach Art. 23 nDSG auf weitere oder alle \nkantonalen und kommunalen öffentlichen Organe auszudehnen, sei es zur Verstärkung des prä-\nventiven Datenschutzes (Vorabkonsultation als Folge der Datenschutz-Folgenabschätzung [BBl \n2017 7062 f.]) oder sei es aufgrund höherer Anforderungen des europäischen Rechts an das kan-\ntonale Datenschutzniveau (Art. 36 der Verordnung [EU] 2016/679), steht diese Kompetenz dem \nRegierungsrat und dem Obergericht zu (Art. 8 Abs. 4 E-kDSG). \n \nAbs. 2: Analog Art. 23 Abs. 2 nDSG soll neu eine Bearbeitungsfrist von zwei bzw. drei Monaten für \ndie beauftragte Person gelten. Teilt die beauftragte Person ihre Einwände samt konkreten und ge-\neigneten Massnahmen nicht innert Frist dem öffentlichen Organ mit, kann dieses davon ausgehen, \ndass die beauftragte Person keine Einwände gegen die geplanten Massnahmen hat. Dies dient \neiner effizienten Arbeitsweise und soll dazu beitragen, dass die Einwände der beauftragten Person \nbereits bei Beginn eines Projekts einfliessen.  \n \nIm Gesetzgebungsverfahren (vgl. Art. 28 Ziff. 2 Richtlinie (EU) 2016/680) erfolgt die Konsultation \nder beauftragten Person nach den Regeln des Mitberichtsverfahrens. Es versteht sich von selbst, \ndass in diesem Fall die Fristen des Mitwirkungsverfahrens gelten. \n \nAbs. 3: Gemäss Art. 28 Ziff. 3 der Richtlinie (EU) 2016/680 hat der Kanton Obwalden vorzusehen, \ndass die Aufsichtsbehörde eine Liste der Verarbeitungsvorgänge erstellen kann, die der Pflicht zur \nvorherigen Konsultation unterliegen. Die beauftragte Person hat sich dabei auf die Bearbeitungs-\nvorgänge mit hohem Risiko zu beschränken; dies auch aus Gründen der Effizienz. Das hohe Ri-\nsiko bemisst sich nach Art. 22 Abs. nDSG (Art. 2 Abs. 1 kDSG). \n \n\nArt.  5 Verzeichnis der Datenbearbeitungstätigkeiten (neu) \n \nDie Führung und Veröffentlichung eines "Registers der Datensammlungen" durch die beauftragte \nPerson für Datenschutz wird vom übergeordneten Recht nicht mehr verlangt. Die entsprechende \nRegelung soll daher aufgehoben werden (vgl. Art. 10 Abs. 3 Bst. d E-kDSG). Dagegen müssen \nnach Art. 24 der Richtlinie (EU) 2016/680 die zuständigen Behörden neu ein Verzeichnis über die \nDatenbearbeitungstätigkeiten in ihrem Zuständigkeitsbereich führen. Dieses Verzeichnis ist der \nbeauftragten Person für Datenschutz auf Anfrage zuzustellen; die öffentlichen Organe müssen das \nVerzeichnis nicht von sich aus melden.  \n \nDie Regelung gilt nur für die Straf- und Strafvollzugsorgane (vgl. KdK-Leitfaden, Ziff. 6.7; so auch \ndie Kantone Zug, Basel-Landschaft, Schaffhausen, Luzern, St. Gallen, Glarus, Aargau); digma \n2017 S. 65). Das Bundesrecht dehnt die Pflicht, ein solches Verzeichnis zu führen, auf die Daten-\nbearbeitungen sämtlicher Organe aus (BBl 2017 7035 f.). Über den Verweis in Art. 2 Abs. 1 kDSG \nwürde dies auch für den Kanton Obwalden gelten. Dagegen wird hier vorgeschlagen, die Pflicht \nzur Führung eines solchen Verzeichnisses nicht über die Straf- und Strafvollzugsorgane hinaus \nauf andere öffentliche Organe auszudehnen. Der Inhalt des Verzeichnisses soll sich dann aber \nwiederum nach dem eidgenössischen Datenschutzgesetz bestimmen (Art. 12 nDSG). \n \nIm Vernehmlassungsverfahren begrüssten insbesondere alle Einwohnergemeinden die Aufhebung \nder Registerführungspflicht für Datensammlungen. Der DSB vertrat die Auffassung, nicht nur die \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 18 | 31 \n\n \n\nStraf- und Strafvollzugsorgane, sondern alle öffentlichen Organe seien verpflichtet, ein solches \nVerzeichnis zur führen (was wie dargelegt nicht stimmt). Er weist weiter darauf hin, dass er die \nVerzeichnisse für den Kanton oder die Gemeinden nicht führen werde. Dagegen fordert die SVP, \ndass die beauftragte Person für Datenschutz im Sinne der Transparenz die Verzeichnisse weiter-\nhin führen soll. \n\nArt.  5a  Beratende Person für Datenschutz (neu) \n \nAbs. 1: Gestützt auf Art. 32 der Richtlinie (EU) 2016/680 müssen die zuständigen Behörden eine \nberatende Person für Datenschutz benennen. Die Pflicht zur Bezeichnung einer solchen betrifft \naber nur die Straf- und Strafvollzugsbehörden. Die Gerichte und die unabhängigen Justizbehörden \nkönnen zudem im Rahmen ihrer justiziellen Tätigkeit von dieser Pflicht befreit werden.  \n \nDas eidgenössische Datenschutzgesetz regelt die beratende Person für Datenschutz in Art. 10 \nnDSG. Allerdings ist es nicht erforderlich, über den Bereich der Straf- und Strafvollzugsorgane hin-\naus in anderen staatlichen Bereichen solche Personen einzusetzen. Es wird deshalb davon abge-\nsehen, die Funktion flächendeckend einzuführen. Der Verweis auf das Bundesrecht (Art 2 Abs. 1 \nkDSG) ist daher mittels einer kantonalen Regelung zu konkretisieren, wobei die gerichtlichen und \nanderen unabhängigen Straforgane (z.B. Gerichte, Steuerrekurskommission und die Staatsanwalt-\nschaft) im Rahmen ihrer justiziellen Tätigkeit von dieser Pflicht befreit werden sollen. \n \nAbs. 2: Die betreffenden öffentlichen Organe bezeichnen selbst eine geeignete Person innerhalb \nihrer Organisationseinheit. Es soll aber die Möglichkeit bestehen, dass der Regierungsrat und das \nObergericht für mehrere Organisationseinheiten eine gemeinsame Person bezeichnen können. \nDamit soll der Struktur und der Grösse der Organisationseinheiten im Kanton Obwalden Rech-\nnung getragen werden können (vgl. Art. 32 Abs. 3 Richtlinie [EU] 2016/680). \n \nAbs. 3: Der beratenden Person soll – aufgrund ihrer Fachkenntnisse – die Aufgabe der Daten-\nschutz-Folgenabschätzung übertragen werden. Auf Hinweis des DSB wird hier noch erwähnt, \ndass sich im Übrigen die Aufgaben der beratenden Person nach Art. 10 Abs. 2 nDSG richten, so-\nweit Regierungsrat oder Obergericht die Aufgaben nicht selber regeln (Art. 8 Abs. 2 Bst. j und Abs. \n3 E-kDSG). \n \n\nArt.  6 Archivieren und Vernichten von Personendaten \n \nAbs. 1a: Nach Art. 6 Abs. 4 nDSG müssen Personendaten vernichtet oder anonymisiert werden, \nsobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Diese Verpflichtung ergibt sich \naus dem allgemeinen Verhältnismässigkeitsgrundsatz (vgl. Art. 5 Ziff. 4 Bst. e SEV 108+ und \nArt. 4 Abs. 1 Bst. e Richtlinie [EU] 2016/680). Darüber hinaus verlangt nun aber Art. 5 der Richtli-\nnie (EU) 2016/680, dass die Mitgliedstaaten – hier der Kanton Obwalden – "vorsehen", dass für \ndie Löschung von personenbezogenen Daten oder eine regelmässige Überprüfung der Notwen-\ndigkeit ihrer Speicherung angemessene Fristen bestimmt werden. Durch verfahrensrechtliche Vor-\nkehrungen ist sicherzustellen, dass diese Fristen eingehalten werden. \n \nDie Verpflichtung, Fristen für die Aufbewahrung oder Überprüfung der Aufbewahrung vorzusehen, \nist also in der Gesetzgebung ausdrücklich zu statuieren. Allerdings nur für die Straf- und Strafvoll-\nzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680. Soweit ersichtlich beinhaltet das \nnDSG keine, über den allgemeinen Verhältnismässigkeitsgrundsatz hinausgehenden speziellen \nBestimmungen zur Umsetzung von Art. 5 der Richtlinie (EU) 2016/680. Entsprechende Einzelbe-\nstimmungen sind lediglich in den Sacherlassen des Bundes zu finden (z.B. in der Schweizerischen \nStrafprozessordnung [StPO; SR 312.0]). Da diese über den Verweis von Art. 2 Abs. 1 kDSG nicht \nzur Anwendung gelangen, hat die Umsetzung direkt im kDSG zu erfolgen. Damit wird auch sicher-\ngestellt, dass in einem späteren Zeitpunkt über den Verweis in Art. 2 Abs. 1 kDSG nicht eine uner-\nwünschte Regelung des eidgenössischen Datenschutzgesetzes übernommen werden muss. \n \nDass für mehrere Straforgane gemeinsame Aufbewahrungsregelungen erlassen werden können, \nsieht bereits Art. 27 Abs. 1 des Gesetzes über die Gerichtsorganisation vom 22. September 1996 \n(GOG; GDB 134.1) vor, wonach das Obergericht ein Reglement über die Aufbewahrungsdauer \nder Gerichtsakten erlässt. Betroffen von der neuen Regelung sind aber auch jene Straf- und \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 19 | 31 \n\n \n\nStrafvollzugsorgane, die in den Zuständigkeitsbereich des Regierungsrats fallen. Dieser kann in \nAusführungsbestimmungen ebenfalls gemeinsame Fristen für die Aufbewahrung oder Überprü-\nfung der Aufbewahrung vorsehen, weshalb die entsprechende Delegationsnorm ergänzt wird (Art. \n8 Abs. 2 Bst. a E-kDSG). \n \n \n\n9.3 Besondere Datenschutzbestimmungen (neu) \n \nFür die bessere Lesbarkeit des Gesetzes wurde ein neuer Titel eingefügt, der die speziellen Best-\nimmungen des kDSG erfassen soll. \n \n\nArt.  7a  Informations-, Geschäftsverwaltungs- und Datenablagesysteme (neu) \n \nIn den kantonalen und kommunalen Informations-, Geschäftsverwaltungs- und Datenablagesyste-\nmen werden Personendaten, unter Umständen auch besonders schützenswerte Personendaten, \nvon öffentlichen Organen gemeinsam bearbeitet und im Sinne eines Abrufverfahrens untereinan-\nder zugänglich gemacht. Es kann auch vorkommen, dass Dritten der Zugriff auf diese Systeme \ngewährt wird, allenfalls im Rahmen von E-Government-Lösungen (z. B. Bundesorganen, interkan-\ntonalen Konferenzen, privaten Unternehmen oder Bürgern). Eine solche Bearbeitung von Perso-\nnendaten bedarf aus datenschutzrechtlicher Sicht einer besonderen formell-gesetzlichen Grund-\nlage (vgl. dazu Art. 36 nDSG; BBl 2017 7114). \n \nVor allem in der kantonalen Verwaltung, aber auch bei den Gerichten und den kommunalen Kör-\nperschaften, existieren heute zahlreiche Informations-, Geschäftsverwaltungs- und Datenablage-\nsysteme (Tribuna, Axioma, eXpert, Records Management System [RMS], Geres eCH, KLIB-\nnet/KESBweb, NSP HRM etc.), in denen Personendaten, auch besonders schützenswerte Perso-\nnendaten, gemeinsam bearbeitet werden. Die Digitalisierung der Verwaltung wird entsprechende \nBearbeitungsprozesse vermehrt notwendig machen. Allerdings bedarf es hierzu der notwendigen \ngesetzlichen Grundlagen. Für grössere Informatikprojekte wurden diese Grundlagen teilweise \nschon geschaffen. Man findet sie in den einschlägigen Sachgesetzgebungen (z.B. Art. 179, 179b, \n189a, 190a Steuergesetz vom 30. Oktober 1994 [StG; GDB 641.4] oder Art. 4 ff. Gesetz über die \nHarmonisierung der amtlichen Register vom 4. Dezember 2008 [kRHG; GDB 131.4]). Kleineren \nSoftware-Implementierungen fehlen dagegen entsprechende gesetzliche Grundlagen. \n \nDiese Lücke soll durch eine formell-gesetzliche Grundlage geschlossen werden, welche die ge-\nmeinsame Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Personen-\ndaten, in Informations-, Geschäftsverwaltungs- und Datenablagesystemen regelt. Die vorgeschla-\ngene Bestimmung stellt die Rechtsgrundlage dar (Auffangbestimmung), um solche Daten per Ab-\nrufverfahren bekanntzugeben. Die gesetzliche Grundlage, die es den öffentlichen Organen er-\nlaubt, für einen bestimmten Zweck Personendaten zu bearbeiten, muss sich aber nach wie vor \naus den Sacherlassen ergeben (Art. 34 nDSG; nicht zu verwechseln mit Art. 7a Abs. 1 Bst. e E-\nkDSG, die in Ergänzung zur Bst. a weitere Datenbearbeitungsvorgänge erfassen soll). Da die \nneue kantonale Regelung einen allgemeingültigen Datenschutzgrundsatz umsetzt, soll sie auch \nfür die öffentlichen Organe auf kommunaler Ebene gelten, die dadurch von der Einführung einer \neigenen Regelung befreit werden.  \n \nIm Vernehmlassungsverfahren äusserte sich der DSB dahingehend, dass er die Idee einer sol-\nchen Regelung nachvollziehen könne. Allerdings sei er nicht sicher, ob das Bestimmtheitsgebot \nerfüllt sei. Denn das Bearbeitungsrecht müsse sich aus dem Gesetz ergeben (in diesem Sinne ist \ndie neue Regelung zu verstehen, wie oben explizit dargelegt wird). Generell empfehle er, die Zu-\nlässigkeit der Datenbekanntgabe abzuschwächen, um den „Begehrlichkeiten“ der öffentlichen Or-\ngane entgegenzuwirken. \n \nDie neue Regelung lehnt sich an die Lösung des Bundes für seine Geschäftsverwaltungssysteme \n(vgl. Art. 57hbis Regierungs- und Verwaltungsorganisationsgesetz [nRVOG; SR 172.010], in der \nFassung vom 25. September 2020). Ähnliche Bestimmungen haben auch die Kantone Glarus und \nLuzern eingeführt. Andere Kantone besitzen punktuelle Regelungen in ihren Sacherlassen. \n \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 20 | 31 \n\n \n\nDie Daten juristischer Personen fallen nicht mehr in den Geltungsbereich des kDSG. Aufgrund des \nLegalitätsprinzips bedarf aber jedes staatliche Handeln – und damit auch die Bearbeitung der Da-\nten juristischer Personen durch die öffentlichen Organe – einer gesetzlichen Grundlage. Aus die-\nsem Grund erfasst die Regelung in Art. 7a E-kDSG auch die Daten juristischer Personen (vgl. \ndazu auch BBl 2017 7107). Die besonders schützenswerten Daten juristischer Personen werden \nin Art. 57r RVOG umschrieben, jene der natürlichen Personen im nDSG. Soweit erforderlich kann \ndie Bestimmung durch kantonale Vollzugserlasse (Art. 8 E-kDSG) näher geregelt werden, auch \ndie Voraussetzungen der Datenbearbeitungen und die Einschränkungen der Bekanntgabe. \n \n \n\n9.4 Organisation und Verfahren \n\nArt.  8 Regierungsrat und Obergericht \n \nÜberschrift: Vgl. dazu die nachfolgenden Ausführungen. \n \nAbs. 2: Die Bestimmung enthält eine beispielhafte Aufzählung der Bereiche, in denen die zum \nVollzug erforderlichen Ausführungsbestimmungen erlassen werden können. Über die Vollzugsge-\nsetzgebung kann bei Bedarf auch die – über den Verweis in Art. 2 Abs. 1 kDSG – anwendbare \nBundesgesetzgebung konkretisiert werden, beispielsweise wenn diese im Kanton Obwalden zu \nbürokratischen oder ineffizienten Abläufen führt. Für die Umsetzung der Datenschutz-Folgenab-\nschätzung etwa gilt Art. 22 Abs. 3 nDSG. Eine solche Einschätzung soll einfach, verständlich und \nschnell vollzogen werden können. Hier könnte über Ausführungsbestimmungen Inhalt und Umfang \nder Einschätzungen geregelt werden.  \n \nDie Regelungsbereiche sollen korrespondierend zu den neuen Instituten und Artikeln im Nachtrag \nergänzt werden. Es wird auf die diesbezüglichen Erläuterungen verwiesen. Die Hinweise auf das \neidgenössische Datenschutzgesetz wurden nachgeführt.  \n \nAbs. 3: Aus praktischen Überlegungen heraus soll das Obergericht für seinen Aufsichtsbereich die \nerforderlichen Vollzugsbestimmungen in Form von Reglementen selbst erlassen können. Dies ins-\nbesondere im Bereich der Richtlinie (EU) 2016/680, welche die Straf- und Strafvollzugsorgane be-\ntrifft. In diesem Bereich besteht eine geteilte Aufsicht, die sich auch in den Delegationsnormen wi-\nderspiegeln soll. Dem Obergericht unterstehen die Gerichte und die Staatsanwaltschaft, dem Re-\ngierungsrat die Polizei, allfällige Kontroll- und Übertretungsstraforgane und die Dienststelle Straf- \nund Massnahmenvollzug. \n \nAbs. 4: Es kann dereinst erforderlich sein, das Datenschutzniveau generell oder in bestimmten Be-\nreichen zu erhöhen. In diesem Fall können der Regierungsrat und das Obergericht – je in ihrem \nAufsichtsbereich – die Regelungen für die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der \nRichtlinie (EU) 2016/680 für weitere öffentliche Organe auf kantonaler und kommunaler Ebene als \nanwendbar erklären. Dies soll über Ausführungsbestimmungen und Reglemente geschehen. \n \n\nArt.  9 Beauftragte Person für Datenschutz \n \nAbs. 1: Gemäss Art. 43 Abs. 2 Richtlinie [EU] 2016/680 müssen die Beauftragte Person sowie ihre \nStellvertretung über die – für die Erfüllung der Aufgaben und Ausübung der Befugnisse – erforder-\nliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbe-\nzogener Daten verfügen. Diese Forderung soll als Wahlvoraussetzung im kantonalen Recht statu-\niert werden.  \n \nIm Vernehmlassungsverfahren wendete die SVP ein, die beauftragte Person für Datenschutz \nsollte qualifiziert und nicht spezialisiert sein. Mit Blick auf das gemeinsame Datenschutzorgan \nwurde eine analoge Formulierung wie im Kanton Schwyz gewählt.  \n  \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 21 | 31 \n\n \n\nArt.  10  b. Aufgaben \n \nAbs. 1: Gemäss Art. 37 Abs. 2 DSG müssen die Kantone ein Kontrollorgan bestimmen, welches \nfür die Einhaltung der minimalen Datenschutzvorgaben des Bundesgesetzes sorgt. Mit der Statu-\nierung von Art. 10 Abs. 1 kDSG und insbesondere dem darin enthaltenen Verweis auf das Bun-\ndesrecht ist der kantonale Gesetzgeber dieser Forderung nachgekommen. Mit dem nDSG werden \nArt. 37 Abs. 2 DSG und die Minimalvorgaben des Bundes für die Kantone ersatzlos aufgehoben. \nDamit fehlt Art. 10 Abs. 1 kDSG der rechtliche Zweck, weshalb die Bestimmung ebenfalls ersatz-\nlos gestrichen werden kann. Dass die beauftragte Person für Datenschutz nicht nur kantonales, \nsondern auch kommunales Kontrollorgan ist, hat in Art. 10 Abs. 1 kDSG keine eigenständige Be-\ndeutung, da dies bereits aus dem Geltungsbereich hervorgeht (Art. 1 Abs. 2 kDSG; vgl. auch die \nErläuterungen zur Anpassung des Ingresses).  \n \nAbs. 2: Art. 46 der Richtlinie (EU) 2016/680 und Art. 12bis SEV 108+ konkretisieren und strukturie-\nren die Aufgaben der beauftragten Person für Datenschutz neu. Die Regelungen schreiben zudem \nwirksamere Untersuchungs- und effektivere Einwirkungsbefugnisse vor, deren Umsetzung die Mit-\ngliedstaaten – hier der Kanton Obwalden – gewährleisten muss. Soweit erforderlich ist dies im \nkDSG nachzuführen: \n\n– Bst. b: Die Vermittlung zwischen öffentlichen Organen und/oder betroffenen Personen ist vom \nübergeordneten Recht nicht vorgeschrieben (KdK-Leitfaden, Ziff. 8.4g). Soweit ersichtlich ge-\nlangte die Regelung bislang nicht oft zur Anwendung (vgl. Tätigkeitsbericht DSB 2020 und \n2021). Im Bestreben, einen effizienten und effektiven Datenschutz im Kanton Obwalden zu ge-\nwährleisten, kann die Regelung gestrichen werden. \n\n– Bst. b1 (neu): Explizit aufzuführen ist neu die Aufgabe der Sensibilisierung der öffentlichen Or-\ngane und der Bevölkerung für datenschutzrechtliche Belange.  \n\n– Das europäische Recht schreibt vor, dass die Aufsichtsbehörde die massgeblichen Entwicklun-\ngen verfolgen muss, soweit sie sich auf den Schutz personenbezogener Daten auswirken, ins-\nbesondere die Entwicklung der Informations- und Kommunikationstechnologie. Es versteht sich \nvon selbst, dass diese Aufgabe zum Pflichtenheft der beauftragten Person für Datenschutz ge-\nhört und daher nicht explizit ins Gesetz aufzunehmen ist. \n\n \nAbs. 3: Aufgrund der neuen Aufgabenstruktur müssen auch die Tätigkeiten der beauftragten Per-\nson für Datenschutz angepasst werden: \n\n– Bst. b: Die Vorabkonsultation löst die heutige Regelung der "Vorabkontrolle" ab (KdK-Leitfaden, \nZiff. 6.3). Die Bestimmung wurde an die europäischen Begrifflichkeiten angepasst. Inhaltlich \nbetrifft die Konsultationspflicht lediglich noch die Straf- und Strafvollzugsbehörden, weshalb die \nTätigkeit der beauftragten Person für Datenschutz hier eine Erleichterung erfährt. Vgl. auch die \nErläuterungen zu Art. 4 E-kDSG.  \n\nIm Vernehmlassungsverfahren empfahl der DSB die Formulierung „Stellungnahme zu Daten-\nschutz-Folgenabschätzungen“, anstatt „Stellungnahme zu Vorabkonsultationen“. \n\n– Bst. c: Gemäss Art. 7 Ziff. 2 SEV 108+ und Art. 30 f. der Richtlinie (EU) 2016/680 hat das ver-\nantwortliche öffentliche Organ eine Verletzung der Datensicherheit der beauftragten Person für \nDatenschutz zu „melden“ sowie – je nach den Umständen – die betroffene Person zu benach-\nrichtigen. Inhaltlich ist Art. 24 nDSG anwendbar. Die Tätigkeit der beauftragten Person für Da-\ntenschutz, die Meldung entgegenzunehmen und zu prüfen, könnte neu unter den Passus "Be-\nhandlung von Eingaben" gemäss Art. 10 Abs. 3 Bst. c kDSG subsumiert werden. Der Klarheit \nhalber soll aber die Behandlung von solchen Meldungen als neue Tätigkeit der beauftragten \nPerson für Datenschutz in Art. 10 Abs. 3 Bst. c kDSG ergänzt werden. \n\n– Bst. d: Nach geltendem Recht muss die beauftrage Person für Datenschutz ein Register der \nDatensammlungen führen. Diese Pflicht entfällt. Die Tätigkeit in Art. 10 Abs. 3 Bst. d kDSG \nkann daher ersatzlos gestrichen werden. Im Gegenzug müssen die Straf- und Strafvollzugsbe-\nhörden ein Verzeichnis über die Datenbearbeitungstätigkeiten in ihrem Zuständigkeitsbereich \nführen, das auf Anfrage der beauftragten Person für Datenschutz zuzustellen ist (vgl. die Erläu-\nterungen zu Art. 5 E-kDSG). Damit entfallen für die beauftragte Person für Datenschutz nicht \nnur die Registerpflicht, sondern auch wesentliche Kontrollaufgaben.  \n\nIm Vernehmlassungsverfahren vertritt der DSB auch an dieser Stelle die Auffassung, dass alle \nöffentlichen Organe ein Verzeichnis zu führen haben. Die SVP dagegen schlägt vor, dass die \nbisherige Registerführungspflicht bei der beauftragten Person verbleiben soll. \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 22 | 31 \n\n \n\n– Bst. f: Der DSB schlägt vor, den Rechenschaftsbericht neu im Rhythmus von zwei Jahren, an-\nstatt jährlich herauszugeben. Dies bedinge aber eine Absprache mit den Kantonen Schwyz und \nNidwalden. \n\nZurzeit ist diesbezüglich kein Handlungsbedarf ersichtlich. Aufgrund der verspäteten Eingabe \ndes DSB sind solche Absprachen auch nicht mehr möglich. Es wird vorgeschlagen, den Begriff \n„jährlich“ zu streichen damit die Aufsichtskommission in einem späteren Zeitpunkt mit den Kan-\ntonen Schwyz und Nidwalden festlegen kann, ob der Rhythmus verändert werden soll. \n\n \n\nArt. 11a d. Ausnahmen von der Aufsicht (neu) \n \nAusnahmen vom Geltungsbereich des kDSG dürfen grundsätzlich nicht mehr statuiert werden. \nDas heisst, dass alle öffentlichen Organe des Kantons Obwalden bei der Verarbeitung von Perso-\nnendaten dem kantonalen Datenschutzrecht unterstehen. Davon zu unterscheiden ist die Frage, \nüber welche Verarbeitungen die beauftragte Person für Datenschutz eine Aufsicht haben soll.  \n \nRechtsprechende Tätigkeit: Gemäss Art. 45 Abs. 2 der Richtlinie (EU) 2016/680 ist die Aufsichts-\nbehörde nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätig-\nkeit vorgenommenen Verarbeitungen von Personendaten. Weiter kann nach der Richtlinie vorge-\nsehen werden, dass die Aufsichtsbehörde auch nicht zuständig ist für die Überwachung der von \nanderen unabhängigen Justizbehörden im Rahmen ihrer justiziellen Tätigkeit vorgenommenen \nVerarbeitungen. Ähnlich bestimmt Art. 12bis Ziff. 9 SEV 108+, dass die Aufsichtsbehörde nicht zu-\nständig ist im Falle von Verarbeitungen, die von Organen in Ausübung ihrer Rechtsprechungsbe-\nfugnisse ausgeführt werden.  \n \nSomit lässt das SEV 108+ Ausnahmen bei allen Verarbeitungen zu, die von einem öffentlichen Or-\ngan – Gericht oder Verwaltungsbehörde – in Zusammenhang mit seiner rechtsprechenden Tätig-\nkeit erfolgt sind. Geht man davon aus, dass unter dem Begriff der Rechtsprechung die Tätigkeit \nvon Rechtsmittelinstanzen gemeint ist, kann im Umkehrschluss gefolgert werden, dass alle Verar-\nbeitungen in Zusammenhang mit erstinstanzlichen, in der Regel nichtstreitigen Verfahren, der Auf-\nsicht nicht entzogen werden dürfen. Auch die Richtlinie (EU) 2016/680 lässt nach dem Gesagten \nAusnahmen bei allen Verarbeitungen zu, die in Ausübung von justiziellen Tätigkeiten erfolgt sind. \nSie schränkt aber die Ausnahmen auf Gerichte und unabhängige Justizbehörden ein. Für die \nStraf- und Strafvollzugsbehörden bedeutet dies, dass lediglich die Verarbeitungen von Gerichtsbe-\nhörden inklusive der Staatsanwaltschaft von der Aufsicht ausgenommen werden dürfen, nicht aber \njene in den erstinstanzlichen Verfahren, beispielsweise in den Verfahren der Übertretungsstrafbe-\nhörden, der Polizei und der Dienststelle Straf- und Massnahmenvollzug. Da die Richtlinie im Kan-\nton Obwalden nicht gesamthaft auf alle Organe angewendet wird, deckt sich ihr Ausnahmebereich \netwa mit jenem des SEV 108+. Mithin also können von der Aufsicht durch die beauftragte Person \nalle Verarbeitungen ausgenommen werden, die von Gerichten, unabhängigen Straforganen oder \nRechtsmittelinstanzen (z.B. Departemente und Regierungsrat; vgl. z.B. im Kanton Schwyz) im \nRahmen von rechtsprechenden oder justiziellen Tätigkeiten erfolgt sind, nicht aber die Verarbei-\ntungen im Rahmen von erstinstanzlichen Verfahren. \n \nDemgemäss wird vorgeschlagen – mit Ausnahme des erstinstanzlichen Verwaltungsverfahrens – \njene Verarbeitungen im Kanton Obwalden von der Aufsicht der beauftragten Person für Daten-\nschutz auszunehmen, die von Gerichten, unabhängigen Straforganen oder Rechtsmittelinstanzen \nim Rahmen ihrer rechtsprechenden oder justiziellen Tätigkeit erfolgt sind. Dies rechtfertigt sich \nauch aus folgenden Gründen. Die Verfahren der Zivil-, Straf- und Verwaltungsrechtspflege werden \nvom Geltungsbereich des kDSG nicht mehr ausgeschlossen, sondern unterstehen neu dem be-\nreichsspezifischen Datenschutzrecht der Prozessordnungen (vgl. dazu die Erläuterungen zu Art. 1 \nAbs. 5 E-kDSG). Die Überprüfung, ob die entsprechenden Persönlichkeits- und Grundrechte im \nvorgängigen Verfahren eingehalten wurden, wird in erster Linie von den Rechtsmittelinstanzen \nwahrgenommen (vgl. die Erläuterungen zu Art. 1 Abs. 5 E-kDSG).  \n \nKantonsrat und Regierungsrat: Nicht ausgeschlossen vom Geltungsbereich sind auch die Verar-\nbeitungen von Personendaten durch den Kantonsrat und den Regierungsrat. Die Richtlinie (EU) \n2016/680 ist nur auf Straf- und Strafvollzugsorgane anwendbar und – soweit ersichtlich – deshalb \nnicht massgebend für den Kantonsrat und den Regierungsrat. Das SEV 108+ schliesst nicht expli-\nzit aus, dass der Kantonsrat und der Regierungsrat von der Aufsicht ausgenommen werden \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 23 | 31 \n\n \n\nkönnen. Der KdK-Leitfaden (Ziff. 8.2) führt dazu aus: „Allenfalls können aufgrund der Gewaltentei-\nlung auch das kantonale Parlament und die kantonale Exekutive von der Aufsicht (…) ausgenom-\nmen werden.“ Der Bund und verschiedene Kantone haben von dieser Möglichkeit Gebrauch ge-\nmacht. \n \nEs wird vorgeschlagen, dass die Verarbeitungen des Kantonsrats, seiner Kommissionen, des \nRatspräsidiums oder der Ratsleitung nicht der Aufsicht durch die beauftragte Person für Daten-\nschutz unterstehen soll. Die Ausnahme erfolgt aus Gründen der Gewaltenteilung. Andernfalls \nkönnte der Kantonsrat seiner parlamentarischen Oberaufsicht nicht mehr nachkommen. Hinzu \nkommt, dass das Gesetz über den Kantonsrat vom 21. April 2005 (Kantonsratsgesetz [KRG]; GDB \n132.1) und die Geschäftsordnung des Kantonsrats vom 21. April 2005 (GDB 132.11) zahlreiche \nBestimmungen enthalten, welche den Umgang mit Informationen regeln und als bereichsspezifi-\nsches Datenschutzrecht die Persönlichkeits- und Grundrechte gewährleisten (Art. 1 Abs. 4 kDSG). \nAus ähnlichen Überlegungen sind – analog zum eidgenössischen Datenschutzgesetz (Art. 2 Abs. \n2 Bst. b nDSG; BBl 2017 7018) und den revidierten Gesetzgebungen verschiedener Kantone (z.B. \nBasel-Landschaft, Basel-Stadt, Glarus, St. Gallen) – die Datenverarbeitungen des Regierungsrats \n(als Behörde) über die Rechtsprechungstätigkeit hinausgehend von der Aufsicht durch die beauf-\ntragte Person auszunehmen. Im Vernehmlassungsverfahren vertrat die GLP die Ansicht, die \nAusnahmen von der Aufsicht seien so restriktiv wie möglich zu handhaben. Der DSB führte aus, \ndass die Ausnahme nicht so erfolgen müsse, da der Regierungsrat nicht seine Aufsichtsbehörde \nsei. \n \nIm Ergebnis wird vorgeschlagen, die folgenden Organe von der Aufsicht auszunehmen: \n– den Kantonsrat und seine Organe;  \n– den Regierungsrat;  \n– die Gerichtsbehörden, im Rahmen der rechtsprechenden Tätigkeit;  \n– die Staatsanwaltschaft, im Rahmen ihrer Tätigkeit im Strafverfahren (z.B. im Bereich der häusli-\n\nchen Gewalt amtet die Staatsanwaltschaft als "normale" Verwaltungsbehörde); \n– die übrigen öffentlichen Organe, im Rahmen der rechtsprechenden Tätigkeit (darunter fallen \n\nAmtsstellen, Kommissionen, Behörden oder Personen, sei es im Kanton, in den Gemeinden \noder in anderen öffentlichen-rechtlichen Körperschaften [z.B. nach Art. 107 ff. KV]). \n\n \n\nArt. 14 c. Sachverhalt, Verfügung und Rechtsmittel \n \nDie beauftragte Person für Datenschutz besitzt im Rahmen ihrer heutigen Befugnisse bereits um-\nfassende Untersuchungs- und effektive Einwirkungsbefugnisse (Art. 11 kDSG). Nach Art. 12bis \nZiff. 2 Bst. c und d sowie Ziff. 6 SEV 108+ und Art. 47 Abs. 2 Bst. b und c sowie Abs. 5 und Art. 57 \nder Richtlinie (EU) 2016/680 muss die beauftragte Person für Datenschutz neu befugt sein, bei \nVerstössen gegen das Datenschutzrecht Verfügungen und verwaltungsrechtliche Sanktionen zu \nerlassen. Sind schutzwürdige Interessen gefährdet oder verletzt, muss sie zudem die Befugnis ha-\nben, vorsorglich eine Datenbearbeitung zu untersagen. Es ist vorzusehen, dass die Verfügungen \nauch vor Gericht angefochten werden können. Schliesslich muss die beauftragte Person für Da-\ntenschutz das Recht haben, im Falle von Datenschutzverletzungen bei gerichtlichen Instanzen \nKlage zu erheben und bei den Aufsichtsbehörden Anzeigen einzureichen (KdK-Leitfaden, Ziff. 8.5c \n– 8.5f).  \n \nÜberschrift: Redaktionelle Anpassung (es geht hier nicht um die Aufsicht, sondern um das Verwal-\ntungsverfahren, namentlich um die Sachverhaltserhebung, die Verfügungskompetenzen sowie die \nRechtsmittel). \n \nAbs. 3: Mutmasslicher Verursacher der Datenschutzverletzung und damit Partei im Verwaltungs-\nverfahren ist das betreffende öffentliche Organ. Der Klarheit halber wird Satz 2 von Art. 14 Abs. 3 \nkDSG dahingehend geändert, dass die übergeordnete Behörde des öffentlichen Organs über den \nAntrag der beauftragten Person für Datenschutz zu orientieren ist. \n \nIm Vernehmlassungsverfahren hat der DSB als Alternative vorgeschlagen, dass gegenüber dem \nöffentlichen Organ nicht ein Antrag zu stellen, sondern eine Empfehlung zu erlassen sei. Entspre-\nche das öffentliche Organ dieser nicht, könne der DSB die Empfehlung ganz oder teilweise in \nForm einer anfechtbaren Verfügung erlassen. Der Grundmechanismus „Antrag – Verfügung“ hat \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 24 | 31 \n\n \n\nsich bislang bewährt. Einer Empfehlung fehlt zudem die nötige Verbindlichkeit und eventuell auch \nKlarheit (analog z.B. Bern, Freiburg; Appenzell Ausserrhoden [kein Vorverfahren]).  \n \nAbs. 4: Kommt das öffentliche Organ einem Antrag der beauftragten Person für Datenschutz nicht \nvollumfänglich nach, so kann diese zur Durchsetzung der Massnahmen (neu) eine Verfügung er-\nlassen. Die Verfügungsmöglichkeit ist jedoch beschränkt auf Fälle, bei denen eine erhebliche Ver-\nletzung von Bestimmungen über den Datenschutz vorliegen (vgl. dazu beispielsweise BBl 2017 \n7057). Das Verfahren richtet sich nach dem StVG und seinen Ausführungserlassen, namentlich \nder Verordnung über das Verwaltungs- und Verwaltungsbeschwerdeverfahren vom 29. Januar \n1998 (VwVV; GDB 133.21). Damit ist auch die Möglichkeit der Anordnung von vorsorglichen Mas-\nsnahmen geregelt (Art. 68 StVG und Art. 5 Abs. 1 VwVV).  \n \nZudem steht der beauftragten Person für Datenschutz jederzeit das Recht zu, mit einer Anzeige \nan die Aufsichtsbehörde des öffentlichen Organs zu gelangen. Denn Tatsachen, die ein Einschrei-\nten gegen eine Behörde oder Amtsstelle im öffentlichen Interesse als erforderlich erscheinen las-\nsen, können der Aufsichtsbehörde jederzeit angezeigt werden, sofern der Erlass einer anfechtba-\nren Verfügung oder die Erhebung einer Beschwerde nicht möglich ist (Art. 23 Abs. 1 VwVV). Das \nAnzeigerecht ergibt sich aber auch aus Art. 301 StPO. Zu erwähnen ist zudem die Anzeigepflicht \nder beauftragten Person für Datenschutz, die sich aus Art. 60e GOG ergibt. \n \nDie Anpassung als „kann-Bestimmung“ in Art. 14 Abs. 4 E-kDSG erscheint jedoch sinnvoll; sie \nlässt der beauftragten Person für Datenschutz mehr Spielraum. \n \nAbs. 5: Erlässt die beauftragte Person für Datenschutz neu eine Verfügung, und ist diese fehler-\nhaft, muss dagegen Beschwerde erhoben werden können. Daher muss neu das Beschwerderecht \nder öffentlichen Organe näher geregelt werden (Art. 67 Abs. 3 Bst. b StVG). Grundsätzlich ist das \nbetroffene öffentliche Organ als Verfügungsadressat mit dem Entscheid beschwert und daher \nauch zur Beschwerdeerhebung legitimiert. Um eine einheitliche Handhabung innerhalb der kanto-\nnalen Verwaltung sicherzustellen, soll das Beschwerderecht von Abteilungen und Dienststellen \noder anderen untergeordneten Verwaltungseinheiten durch das zuständige Amt ausgeübt werden. \nDie übrigen (hierarchisch aufgebauten) Organisationseinheiten können ebenfalls eine andere \nStelle bezeichnen, die für die Beschwerdeeinreichung zuständig sein soll. In diesem Zusammen-\nhang erscheint es sachgerecht, sich an den Regelungen des neuen kantonalen Gesetzes über \ndas Öffentlichkeitsprinzip vom 1. Dezember 2022 (OeG; GDB 131.1) zu orientieren. Ob demnach \ndas betroffene öffentliche Organ oder ein übergeordnetes Organ die Beschwerde einreicht, soll \nsich sinngemäss nach Art. 10 Abs. 1 OeG bestimmen (vgl. Botschaft des Regierungsrats zu einem \nGesetz über das Öffentlichkeitsprinzip vom 13. Juni 2022, S. 33 f.). Da die Verfügung die Daten-\nschutzverletzung eines öffentlichen Organs betrifft, mithin also es um ein Verhältnis zwischen dem \nöffentlichen Organ und der beauftragten Person für Datenschutz geht, steht der betroffenen Per-\nson gegen die Verfügung kein Beschwerderecht zu. Hebt die Beschwerdeinstanz die Verfügung \nder beauftragten Person für Datenschutz auf, muss dieser ebenfalls das Beschwerderecht für den \nWeiterzug zustehen. \n \nAuch der Rechtsmittelweg orientiert sich passenderweise am OeG. Daher soll sich die Zuständig-\nkeit der Beschwerdeinstanzen sinngemäss nach Art. 10 Abs. 3 OeG bestimmen (beispielsweise \nsind also Anordnungen der beauftragten Person für Datenschutz gegenüber dem Kantonsgericht \nvon dessen Präsidien beim Verwaltungsgericht anzufechten [Art. 10 Abs. 1 Satz 2 und Abs. 3 \nBst. a OeG]).  \n \nIm Vernehmlassungsverfahren hat der DSB empfohlen, die Rechtsmittelinstanzen aus Transpa-\nrenzgründen nicht durch einen Verweis auf das Öffentlichkeitsgesetz, sondern explizit im kDSG zu \nstatuieren. Der dynamische Verweis entspricht im Kanton Obwalden der gängigen Gesetzge-\nbungstechnik und wird aufgrund seiner Vorteile häufig verwendet. Zudem richtet sich der Verweis \nnur an die öffentlichen Organe, denen die Anwendung zugemutet werden kann. \n \nEs versteht sich von selbst, dass die beauftragte Person für Datenschutz keine Anordnungen ge-\ngenüber dem Verwaltungsgericht treffen kann (KdK-Leitfaden, Ziff. 8.5.c), da dies mit dem Prinzip \nder Gewaltenteilung nicht vereinbar wäre. Ebensowenig gegenüber dem Obergericht. Andernfalls \ndürften hier praktische Schwierigkeiten in der Anwendung entstehen. Denn das Verwaltungsge-\nricht bildet (lediglich) eine Abteilung des Obergerichts. \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 25 | 31 \n\n \n\n \nDie internationalen Rechtsgrundlagen sehen wirksame, verhältnismässige und abschreckende \nSanktionen bei Verstössen gegen die Datenschutzbestimmungen vor. Es wird allerdings vorge-\nschlagen, auf die Statuierung von expliziten Sanktionsbefugnissen der beauftragten Person für \nDatenschutz gegenüber den öffentlichen Organen zu verzichten. Insbesondere Bussen innerhalb \nder Verwaltung, und letztlich aus demselben Budget, machen keinen Sinn (KdK-Leitfaden, \nZiff. 8.5f). \n \n \n\n9.5 Übergangs- und Schlussbestimmungen \n \nEs bedarf keiner speziellen Übergangsbestimmungen. \n \n \n\n10. Ziffer II: Fremdänderungen \n \n\n10.1 Gesetz über den Erwerb und den Verlust des Kantons– und Gemeindebürgerrechts vom \n\n17. Mai 1992 (BRG; GDB 111.2) \n\nArt. 17b Bearbeitung von Personendaten \n \nDie Bestimmung wird redaktionell an den Wortlaut des neuen Bundesrechts angepasst (vgl. die \nAusführungen zu Kapitel II.8.2). Die SVP lehnte in der Vernehmlassung die Ergänzung ab. Der \nDSB macht auf den grossen Ermessensspielraum aufmerksam, der sich durch die Änderung \nergibt, und dass nur die zur Erfüllung des gesetzlichen Auftrags notwendigen Daten bearbeitet \nwerden dürften. \n \n\nArt. 17c Amtshilfe \n \nDie Erteilung des Bürgerrechts hängt naturgemäss mit dem Wohnsitz zusammen. Einbürgerungs-\nwillige Personen müssen einen ununterbrochenen Mindestaufenthalt von mehreren Jahren im \nKanton und in der gleichen Gemeinde nachweisen, damit ihnen das Bürgerrecht erteilt werden \nkann (Art. 5 BRG). Wer nur im Kanton Obwalden angemeldet ist, ohne sich tatsächlich hier aufzu-\nhalten, erfüllt die Wohnsitzvoraussetzungen nicht. Erforderlich ist unter anderem, dass am Wohn-\nsitz familiäre, berufliche oder schulische Beziehungen bestehen, die den Lebensmittelpunkt reflek-\ntieren. \n \nUm den Lebensmittelpunkt einer gesuchstellenden Person während der massgebenden Wohnsitz-\ndauer feststellen zu können, müssen in einzelnen seltenen Fällen die Daten betreffend den durch-\nschnittlichen Strom- und Wasserbezug für diese Zeit vom zuständigen Werk einverlangt werden. \nDie Einbürgerungsbehörden erheben diese Daten im Rahmen der Sachverhaltsfeststellung. Der \nKlarheit halber soll Art. 17c Abs. 1 BRG, der die Amtshilfe im Einbürgerungsverfahren unter den \nkantonalen und kommunalen öffentlichen Organen regelt, diesbezüglich konkretisiert werden. \n \nIm Vernehmlassungsverfahren erachtete die GLP den Umstand, dass die Behörden für die Abklä-\nrung zur Erteilung des Bürgerrechts die Daten von Strom- und Wasserbezug vom zuständigen \nWerk einverlangen, als zu weitgehend. Ausserdem ist die GLP der Ansicht, dass eine solche Ab-\nfrage einer expliziten gesetzlichen Grundlage bedürfe. Der DSB wies darauf hin, dass der Daten-\nbezug betreffend Strom- und Wasserverbrauch nur in den erwähnten Einzelfällen geschehen dürfe \nund dass die Aufzählung der Adressaten abschliessend sei. \n \n \n  \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 26 | 31 \n\n \n\n10.2 Verordnung über das Einwohnerregister vom 4. Dezember 2008 (GDB 113.11; ERV) \n\nIngress \n \nDie Zitierung der Kantonsverfassung, die im Ingress als gesetzliche Grundlage der ERV aufgeführt \nwird, ist mit einer Abkürzung zu versehen, da diese in Art. 2 Abs. 2a E-ERV benötigt wird. \n\nArt.  2 Bekanntgabe von Daten an private Personen oder Organisationen \n \nAbs. 2a (neu): Den Korporationen, Teilsamen und Alpgenossenschaften können heute lediglich im \nEinzelfall und auf Anfrage hin Name, Vorname, Geschlecht, Adresse, Beruf, Geburtsdatum, Hei-\nmatort, Staatsangehörigkeit sowie die Wohnortsanmeldung und -abmeldung einer Person bekannt \ngegeben werden. Und dies auch nur, wenn ein berechtigtes Interesse glaubhaft gemacht wird.  \n \nAllerdings bedürfen diese Körperschaften zur Führung ihrer Bürgerregister regelmässig der ent-\nsprechenden Grundangaben aus den Einwohnerregistern der jeweiligen Gemeinden. Mit der \nneuen Regelung soll es den Einwohnerregisterstellen der Gemeinden ermöglicht werden, die be-\ntreffenden Körperschaften über allfällige Änderungen der Grundangaben zu informieren. \n \n\nArt.  3 Kanton / a. Aufsicht \n \nÜberschrift / Abs. 3 (neu): Wie in allen Verwaltungsbereichen gibt es auch im Registerwesen öf-\nfentliche Organe, die sich mit Aufsichtstätigkeiten befassen. Bei den Einwohnerregistern ist der \nRegierungsrat die zuständige Aufsichtsbehörde. Das Amt für Justiz nimmt die Aufsicht über die \nRegisterführung für den Regierungsrat wahr (Art. 3 Abs. 1 Bst. b Ziff. 12 und Art. 4 Abs. 1 Bst. b \nZiff. 13 Ausführungsbestimmungen über die Aufgaben und Gliederung der Departemente vom \n4. Juni 2002 [GDB 133.111]).  \n \nDie Tätigkeit besteht vorwiegend aus dem Instruieren der Beschwerdeentscheide, aber auch aus \nder Klärung von rechtlichen oder operativen Anfragen. Hierfür wird Einsicht in die Registerdaten \ngenommen (GERES eCH), um z.B. die Bewirtschaftung bestimmter Daten des Merkmalkatalogs \nzu analysieren. In diesem Sinne werden die Registerdaten, worunter sich auch schützenswerte \nPersonendaten befinden, im Rahmen der Aufsichtstätigkeit bearbeitet. Hierfür bedarf es daten-\nschutzrechtlich einer Grundlage in einem Gesetz im formellen Sinn (vgl. Art. 34 Abs. 2 oder 3 \nnDSG) \n \n\nDie Aufsichtsaufgabe im Bereich der Einwohnerregister ist lediglich in einer Verordnung geregelt, \nweshalb zusätzlich eine gesetzliche Grundlage im übergeordneten Registerharmonisierungsge-\nsetz zu schaffen ist (vgl. Art. 10 Abs. 2 E-kRHG). Der DSB hat im Vernehmlassungsverfahren die \nAnsicht vertreten, dass die neue Bestimmung zu ungenau bzw. zu unbestimmt sei.  \n \n \n\n10.3 Vollziehungsverordnung zum Bundesgesetz über die Ausländerinnen und Ausländer so-\n\nwie zum Asylgesetz vom 30. November 2007 (GDB 113.21) \n\nArt. 32a  Datenbearbeitung \n \nRedaktionelle Anpassung (vgl. die Ausführungen zu Kapitel II.8.2). \n \n \n\n10.4 Verordnung über das Staatsarchiv vom 18. Oktober 1996 (GDB 131.21) \n\nArt. 10  Beschränkungen der Einsichtnahme \n \nAbs. 1: Redaktionelle Anpassung (vgl. die Ausführungen zu Kapitel II.8.2). \n \n \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 27 | 31 \n\n \n\n10.5 Gesetz über die Harmonisierung der amtlichen Register vom 4. Dezember 2008 \n\n(GDB 131.4; kRHG) \n \n\nArt. 4  Kantonale Datenplattform \n \nAbs. 2: Auch die Bürgergemeinden müssen Zugriff auf diejenigen Daten der kantonalen Daten-\nplattform haben, die sie zur Erfüllung ihrer gesetzlichen Aufgaben benötigen (vgl. Art. 96 ff. KV). \n \nAbs. 3: Die Daten sollen allen Gemeindearten kostenlos zur Verfügung stehen; somit auch den \nBürgergemeinden und den Kirchgemeinden. \n \n\nArt.  4a Datenzugang für Kirchgemeinden (neu) \n \nIm Rahmen einer Anfrage des Informatikleistungszentrum Obwalden – Nidwalden im Jahre 2022 \nkritisierte der DSB, dass die gesetzlichen Grundlagen der Kirchgemeinden für einen Zugriff auf die \nkantonale Datenplattform (KDPF) ungenügend oder jedenfalls unklar seien.  \n \nDer Verband der röm.-kath. Kirchgemeinden Obwalden, die Kirchgemeinden Kerns, Sachseln, \nAlpnach, Giswil und Lungern sowie die Ev.-ref. Kirchgemeinde Obwalden beantragen nun, es sei \neine gesetzliche Grundlage zu schaffen, damit die Kirchgemeinden auf die KDPF und auf die zur \nErfüllung der kirchlichen Aufgaben notwendigen Daten zugreifen dürfen. Die Kirchgemeinden wür-\nden diese Daten unter anderem in Zusammenhang mit der Anmeldung von Taufen, den Ehe-\nschliessungen, den Kirchenaustritten bzw. Wiedereintritten etc. benötigen. Die Notwendigkeit des \nDatenbezugs ergebe sich aus den gesetzlichen Aufgaben der röm.-kath. Pfarreien bzw. aus den \ngesetzlichen Aufgaben des ev.-ref. Pfarramts. \n \nAllgemein: Die röm.-katholische Kirchgemeinde ist eine Körperschaft, die durch das staatliche \nRecht des Kantons, das Staatskirchenrecht, gebildet und beherrscht wird. Ihr steht die Pfarrei ge-\ngenüber als Institution des kirchlichen Rechts (duales System). Pfarrei ist Kirche. Ihr obliegen \nWortverkündung und Sakramentenspendung. Sie ist im Kirchenrecht entstanden und für sie sind \nder Pfarrer und der Bischof zuständig. Pfarrei und Kirchgemeinde sind Reduktionen von Kirche \nund Staat auf ein Ortsgebiet. In diesem Dualismus gibt es Fragen der Rechtskollision und der Ab-\ngrenzung von Zuständigkeiten. Gemäss Art. 105 Abs. 1 KV haben die katholischen Kirchgemein-\nden vorwiegend die Aufgabe, die Geistlichen zu wählen (Präsentation) und für den Finanzbedarf \nder Pfarreien Vorsorge zu treffen. Darüber hinaus können sie noch weitere Aufgaben überneh-\nmen. Die Kirchgemeinden sind organisatorisch und finanziell autonom. Im Rahmen der kantonalen \nGesetzgebung regeln sie das Verhältnis zwischen Kirchgemeinde und Kirche selbstständig, insbe-\nsondere in ihren Kirchgemeindeordnungen. Die katholischen Konfessionsangehörigen der Ein-\nwohnergemeinde bilden die katholische Kirchgemeinde. Ursprünglich, d.h. im Zeitpunkt des In-\nkrafttretens der heute geltenden Kantonsverfassung, führten die Einwohnergemeinden die Aufga-\nben der katholischen Kirchgemeinden aus, bis dann die heutigen katholischen Kirchgemeinden \ngegründet wurden (Art. 101 Abs. 1 KV; vgl. zum Ganzen: OGVE 2018/19 Nr. 46). \n \nDie ev.-ref. Kirchgemeinde ist – im Gegensatz zur röm.-kath. Kirchgemeinde – als Kirche im \nRechtssinn zu betrachten. Sie hat keine andere Kirchenstruktur als die staatskirchenrechtliche. \nDie evangelische Kirchenorganisation stellt einen Monismus dar. Sie ist einerseits Trägerin der in-\nnerkirchlichen Belange (Lehre, Verkündung, Kult und Seelsorge), wobei ihr dabei Selbstständig-\nkeit und Autonomie zukommt (Art. 106 Abs. 1 KV); in diesen Bereich kann der Staat nicht eingrei-\nfen. Die Kirchgemeinde ist aber anderseits auch im staatskirchlichen Recht konstituierte Kirchge-\nmeinde und untersteht in ihren äussern Belangen (Organisation, Finanzen, Personelles, Gebäude \netc.) der Aufsicht des Staates. Die Kirchgemeinde hat also die Doppelfunktion, für die inneren und \näussern Belange besorgt zu sein. Die Organe der Kirchgemeinde sind für die äusseren und die \ninneren Angelegenheiten zuständig. Neben diesen Organen – aber innerhalb der Kirchgemeinde – \nbesteht das Pfarramt. Die Pfarrerin oder der Pfarrer leitet die inneren Angelegenheiten – unter der \nAufsicht des Kirchgemeinderats – und ist verantwortlich für Gottesdienst, Taufe und Abendmahl, \nvollzieht kirchliche Trauungen und Abdankungen, erteilt den kirchlichen Unterricht und ist Seelsor-\nger der Gemeinde. Er führt zudem die kirchlichen Register (vgl. dazu Art. 26 der \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 28 | 31 \n\n \n\nKirchenorganisation der Evangelisch-reformierten Kirchgemeinde Obwalden [alter Kantonsteil] \nvom 30. November 1989 [GDB 160.2]). \n \nAbs. 1: Die Kirchgemeinden benötigen zur Erfüllung der kirchlichen Aufgaben Daten aus der \nKDPF. Die vorliegende Regelung gewährleistet einen solchen Zugriff. Die kirchlichen Aufgaben \nmüssen sich allerdings in einer gesetzlichen Grundlage widerspiegeln. Über die Verfassung hin-\naus bestehen für die Kirchgemeinden keine wesentlichen gesetzlichen Grundlagen auf kantonaler \nEbene. Die Kirchgemeinden sind grundsätzlich autonom in der Regelung ihrer Belange und ihres \nVerhältnisses zur Kirche. Insoweit ergeben sich die Aufgaben der Kirchgemeinden insbesondere \naus den Kirchgemeindeordnungen (andernfalls müssen diese entsprechend ergänzt werden; nicht \nin den Aufgabenbereich der Kirchgemeinden fällt die Erhebung der Kirchensteuern; diese Aufgabe \nvollzieht zurzeit der Kanton). In diesem Umfang soll den Kirchgemeinden das Datenbezugsrecht \nbezüglich der KDPF gewährleistet sein. Nötigenfalls kann der Regierungsrat den Umfang der Da-\ntenlieferungen an die Kirchgemeinden in Ausführungsbestimmungen konkretisieren (Art. 2 Abs. 2 \nkRHG). \n \nIn Engelberg wurde bislang keine röm.-kath. Kirchgemeinde gegründet. Dies führt zum Umstand, \ndass, soweit kirchgemeinderechtliche Aufgaben zu erfüllen sind, die Einwohnergemeinde Engel-\nberg die Rolle der Kirchgemeinde einnimmt. Da dies bereits aus der Entstehungsgeschichte der \nKirchgemeinden herausgeht (Art. 101 Abs. 1 KV), wurde darauf verzichtet, dies im vorliegenden \nEntwurf speziell abzubilden. \n \nEs versteht sich von selbst, dass eine Änderung der Daten, wenn sie nicht von der betroffenen \nPerson der Einwohnerregisterstelle gemeldet wird, durch die Kirchgemeinden zu melden sind (z.B. \ndie Meldung von Neumitgliedern, die bereits in der Einwohnergemeinde Wohnsitz haben; Art. 14 \nAbs. 1 und 4 ERV). \n \nAbs. 2: Der röm.-kath. Kirchgemeinde, welche aus dem staatlichen Recht entstanden ist, steht die \nPfarrei gegenüber, die im katholischen Kirchenrecht gründet (kanonisches Recht). Es ist eine poli-\ntische Frage, ob den kirchenrechtlichen Institutionen der Zugang zu staatlichen Daten – über die \nKirchgemeinden – geöffnet werden soll. Soweit ersichtlich wird dies in der Praxis bereits so gelebt. \nDie staatskirchenrechtliche Tradition im Kanton Obwalden sieht denn auch den Zweck der Kirch-\ngemeinde darin, dem religiösen Leben der Religionsgemeinschaft zuzudienen. Die neue Regelung \nerlaubt den Organen der Kirchgemeinden, im Rahmen der parallelen Strukturen des dualen Sys-\ntems bestimmte Daten aus der KDPF an die kirchenrechtlichen Institutionen weiterzugeben (also \nin den innerkirchlichen Bereich), nämlich die Mitgliederdaten, welche die kirchenrechtlichen Institu-\ntionen zur Erfüllung ihres kirchlichen Auftrags benötigen. Der kirchliche Auftrag, und die damit ver-\nbundenen kirchlichen Aufgaben (z.B. Glaubenslehre, Gottesdienste, Sakramente, Seelsorge), er-\ngeben sich aus dem kanonischen Recht; der kirchliche Auftrag braucht daher nicht zusätzlich noch \ndurch eine staatliche Rechtsgrundlage legitimiert zu sein. Die Kirchgemeinden dürfen also jene \nDaten aus der KDPF an die kirchlichen Institute liefern, die der im kanonischen Recht verankerte \nAuftrag zu seiner Erfüllung bedarf. Kirchenrechtliche Institutionen – die einer Kirchgemeinde ge-\ngenüberstehen – sind im Kanton Obwalden grundsätzlich nur die Pfarreien. Im Sonderfall Engel-\nberg steht der Einwohnergemeinde als kirchenrechtliche Institution die Benediktinerabtei Engel-\nberg gegenüber, welche die Pfarrei im Tal Engelberg betreut.  \n \nDie ev.-ref. Kirchgemeinden im Kanton Obwalden sind Rechtskirchen im Sinne evangelisch-refor-\nmierter Konzeption, also rein staatliche Gemeinden. Nicht nur die äusseren, sondern auch die in-\nneren Belange werden durch die Kirchgemeinde beherrscht und geleitet. Insofern werden Daten, \ndie auf der KDPF abgerufen werden, nicht an eine (selbstständige) kirchenrechtliche Institution \nweitergegeben, sondern innerhalb der Kirchgemeinde von den Kirchgemeindeorganen weitergelei-\ntet, z.B. an die Pfarrerin oder an den Pfarrer. Es wird aber davon ausgegangen, dass auch im in-\nnerkirchlichen Bereich das Datenschutzrecht Anwendung findet. Insoweit gelangt Art. 4a Abs. 2 E-\nkRHG bei den ev.-ref. Kirchgemeinden grundsätzlich nicht zur Anwendung.  \n \nDie kirchenrechtlichen Institutionen erhalten staatliche Daten. Daher haben sie bei der Datenbear-\nbeitung die Vorgaben des Datenschutzgesetzes (und über den Verweis in Art. 2 Abs. 1 kDSG das \nBundesgesetz über den Datenschutz) zu beachten. Insbesondere dürfen die kirchenrechtlichen \nInstitutionen die erhaltenen Daten nur zweckentsprechend und sicher bearbeiten, andernfalls die \nDatenbekanntgabe eingeschränkt oder mit Auflagen versehen werden kann. In erster Linie ist \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 29 | 31 \n\n \n\ndiese Überprüfungsfunktion eine Aufgabe der Kirchgemeinden. Notfalls kann aber auch die zu-\nständige kantonale Behörde Massnahmen ergreifen. Die Aufsicht des Beauftragten für Daten-\nschutz ist bei den kirchenrechtlichen Institutionen wohl ausgeschlossen. \n \n\nArt.  10  Datenschutz \n \nAbs. 2 (neu): Vgl. dazu die Erläuterung zu Art. 3 E-ERV.  \n\nArt. 13  Versichertennummer \n \nDie 13-stellige, „nichtsprechende“, AHV-Nummer wird von den berechtigten Stellen und Institutio-\nnen seit nunmehr 15 Jahren verwendet. Die systematische Verwendung der AHV-Nummer be- \ndurfte bis anhin einer spezifischen Ermächtigung im Spezialgesetz (zum Begriff der systemati- \nschen Verwendung: Art. 153b Bundesgesetz über die Alters- und Hinterlassenenversicherung \n[AHVG; SR 831.10]). Die Gesetzgebung hatte neben den ermächtigten Nutzerinnen und Nutzer \njeweils auch den Verwendungszweck zu bestimmen. \n \nAbs. 1, 3 und 5: Per 1. Januar 2022 verzichtete der Bundesgesetzgeber auf das Erfordernis einer \nspezifischen gesetzlichen Grundlage für jede zusätzliche systematische Verwendung der AHV- \nNummer. Seither besteht im AHVG eine generelle gesetzliche Ermächtigung zur Verwendung der \nAHV-Nummer für die Behörden von Bund, Kantonen und Gemeinden sowie für bestimmte Instituti-\nonen (Art. 153c Abs. 1 Bst. a AHVG). Die zur systematischen Verwendung der AHV-Nummer Be-\nrechtigten müssen dabei verschiedene technische und organisatorische Massnahmen treffen \n(Art. 153d ff. AHVG). Nachdem im Bundesrecht eine generelle Ermächtigung und Regelung be- \nsteht für alle Einheiten der Kantons- und Gemeindeverwaltungen, werden Art. 13 Abs. 1 sowie 3 \nbis 5 kRHG obsolet und können aufgehoben werden.  \n \nAbs. 1 und 2 (neu): Organisationen und Personen des öffentlichen oder privaten Rechts, die aus-\nserhalb der zentralen und dezentralen Verwaltungen stehen und mit Verwaltungsaufgaben betraut \nsind, brauchen allerdings nach wie vor eine Berechtigung im Spezialgesetz. Diese Organisationen \nund Personen dürfen die AHV-Nummer aufgabenbezogen und entsprechend den gesetzlichen \nVorgaben – wie sie primär in den Art. 153b ff. AHVG statuiert sind – verwenden und bekannt ge- \nben. Allerdings bedarf es dafür einer spezialgesetzlichen Ermächtigung. Der Regierungsrat wird \ndaher in Art. 13 Abs. 1 E-kRHG (ferner in Art. 2 Abs. 2 Bst. f kRHG) ermächtigt, die konkret Be- \nrechtigten in den Ausführungsbestimmungen zu benennen. Damit besteht eine flexible, einigerma-\nssen offene Regelung. Gleichzeitig wird die unkontrollierte Verwendung der AHV-Nummer durch \nOrganisationen und Personen ausserhalb der zentralen und dezentralen Verwaltung unterbunden. \nArt. 13 Abs. 2 E-kRHG verweist auf die massgebenden Voraussetzungen für die Verwendung \n(„durch Bundesrecht, kantonales Recht oder kommunales Recht oder durch Vertrag mit Verwal- \ntungsaufgaben betraut“ und soweit „zur Erfüllung ihrer Verwaltungsaufgaben notwendig“). \n \nDas kantonale Spezialgesetz kann im Übrigen weiterhin für bestimmte Verwendungszwecke – \nstatt der AHV-Nummer – sektorielle Personenidentifikatoren vorschreiben (beispielsweise dort, wo \naufgrund besonders sensibler Daten jegliches Risiko betreffend unerlaubter Profilbildung ausge- \nschlossen werden muss). Für eine solche Regelung besteht im Bereich der Harmonisierung der \namtlichen Register zurzeit kein Bedarf. \n \n \n\n10.6 Polizeigesetz vom 11. März 2010 (GDB 510.1) \n\nArt.  37 Datenbearbeitung und Datenbearbeitungssysteme \n \nAbs. 2: Redaktionelle Anpassung (vgl. die Ausführungen zu Kapitel II.8.2). \n \nArt. 40 Vernichtung von Daten und Löschung von Aufzeichnungen \n \nDie absolute Formulierung in Art. 40 PolG (Vernichtung der Daten von Amtes wegen) – die nicht \nnur besonders schützenswerte Personendaten, sondern alle Arten von Daten erfasst – steht im \nWiderspruch zum Archivierungsvorbehalt in Art. 6 kDSG und zu Art. 5 Abs. 1 der Verordnung über \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 30 | 31 \n\n \n\ndas Staatsarchiv. Danach hat eine Vernichtung erst zu erfolgen, wenn die Daten nicht mehr benö-\ntigt werden und das Staatsarchiv diese als nicht archivwürdig bezeichnet hat.  \n \nDie besondere Brisanz polizeilicher Daten aus Überwachung, Fahndung, Ermittlung und Inhaftie-\nrung rechtfertigen jedoch Ausnahmen vom Archivierungsvorbehalt. Die Polizei wird bereits vor der \nEröffnung eines Strafverfahrens präventiv und zur Verhinderung oder Erkennung von Straftaten \ntätig. Dazu darf sie auch nicht verifizierte Daten und Verdachtsdaten bearbeiten (Art. 37 Abs. 3 \nPolG). Dies tut sie insbesondere im Polizeijournal, in welches Meldungen ohne Verifizierung Ein-\ngang finden und im Nachgang grundsätzlich nicht berichtigt werden. Da diese Daten weder verifi-\nziert noch kontextualisiert sind, ist bei ihrer Offenlegung das Reputationsrisiko für die betroffenen \nPersonen ungleich höher als bei Daten aus formellen Ermittlungen. Diese stehen im Kontext eines \nkonkreten Strafverfahrens und bilden in ihrer Gesamtheit das Produkt einer objektiven und ausge-\nwogenen Ermittlungstätigkeit. Zudem besteht das Risiko, dass die zu frühe Offenlegung nament-\nlich von Journaldaten zu sozialen Konflikten führen könnte. Dies bspw. dann, wenn sich aus Jour-\nnaldaten herauslesen lässt, dass eine Nachbarin oder ein Nachbar eine Verdachtsmeldung bei der \nPolizei abgesetzt hat. Da an den Journaldaten jedoch ein historisches Interesse besteht, sollen sie \ndem Staatsarchiv trotzdem angeboten werden. Dies jedoch vorderhand mit der längeren Schutz-\nfrist gemäss Art. 27 Abs. 3 GOG. In Zukunft sollte jedoch, auch aufgrund der generell steigenden \nLebenserwartung, eine insgesamt noch längere Schutzfrist angestrebt werden. \n \nDaten von Überwachungssystemen und von anderen Polizeibehörden, welche bei der Kantonspo-\nlizei ebenfalls bearbeitet werden, sind kaum archivwürdig. Und sie müssen teilweise innert einer \nfestgelegten Frist automatisiert gelöscht werden oder unterliegen gar nicht originär der Datenherr-\nschaft der Kantonspolizei. Diese Daten sind von der Archivpflicht weiterhin gänzlich auszuneh-\nmen. Dem Staatsarchiv anzubieten sind also die Journaldaten, da sie das ganze Spektrum der po-\nlizeilichen Arbeit beleuchten, die kontextualisierten Falldaten und natürlich die Daten, welche sich \naus der Verwaltungstätigkeit der Kantonspolizei ergeben. \n \n \n\n11. Ziffer III: Fremdaufhebungen  \n \nEs gibt keine Fremdaufhebungen. \n \n \n\n12. Ziffer IV: Inkrafttreten  \n \nDie vorliegenden Rechtsänderungen bedürfen keiner speziellen Übergangsbestimmungen. Allen-\nfalls bedarf die Umsetzung des neuen Rechts mehr Zeit als erwartet. Dem Regierungsrat wird die \nKompetenz übertragen, das Inkrafttreten zu bestimmen. Darin enthalten ist auch die Befugnis, den \nNachtrag gestaffelt in Kraft zu setzen. Notfalls kann damit einer Verzögerung bei der Umsetzung \ndes neuen Rechts begegnet werden. \n \n \n\nV. Auswirkungen \n\nDie fortschreitende Digitalisierung und die daraus entstehenden Datenschutzproblematiken führen \nganz allgemein zu komplexeren Fragestellungen und zu einer Verlagerung der Kontrolltätigkeit in \nden technischen Aufsichtsbereich. Diesem Umstand ist Rechnung zu tragen im Rahmen des Bud-\ngets und der Aufgaben- und Finanzplanung. Davon zu unterscheiden sind die finanziellen Auswir-\nkungen, die mit dem Inkrafttreten des vorliegenden Nachtrags und im Hinblick auf die Umsetzung \ndes neuen europäischen Datenschutzrechts entstehen.  \n \nDie Abschätzung des konkreten finanziellen Aufwands ist schwierig. Einige Kantone gehen davon \naus, dass die Umsetzung des europäischen Rechts keine grossen finanziellen Auswirkungen ha-\nben wird. Die Mehrheit der Kantone geht davon aus, dass sich die neuen Aufgaben schrittweise \nentwickeln und die Aufwände mit der Zeit wachsen werden. Diese Kantone arbeiten vorerst mit \nden vorhandenen Ressourcen weiter, um diese nach einer gewissen Zeit (z.B. einer Amtsdauer) \nzu evaluieren. Nur wenige Kantone sehen personelle Aufstockungen vor, unter anderem aufgrund \nder Einrichtung eines neuen Datenschutzkontrollorgans. \n\n\n\nBotschaft des Regierungsrats zu einem Nachtrag zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 31 | 31 \n\n \n\n \nDas Konzept des vorliegenden Nachtrags verfolgt eine schlanke, aber effektive Gesetzgebung. \nDabei soll innerhalb der vorgegebenen Spielräume der Vollzugsaufwand für die öffentlichen Or-\ngane und die beauftragte Person für Datenschutz auf das Notwendige reduziert werden. Für die \nmeisten datenbearbeitenden kantonalen und kommunalen öffentlichen Organe dürfte aufgrund der \nRevision nur ein minimaler Mehraufwand entstehen. Ein wesentlicher Mehraufwand wird voraus-\nsichtlich bei den Straf- und Strafvollzugsorgane anfallen.  \n \nAuch die beauftragte Person für Datenschutz erhält neue Kompetenzen und andere Aufgaben. Die \nTätigkeit wird qualitativ anspruchsvoller. In welchem Ausmass der ressourcenmässige Aufwand \nzunehmen wird, ist noch unklar. Als wesentliche Änderung muss wohl die neue Verfügungsbefug-\nnis betrachtet werden. Ob diese zu grossem Mehraufwand führen wird, darf bezweifelt werden, \nzumal sie auf erhebliche Datenschutzverletzungen beschränkt ist. Zudem bestand ein Be-\nschwerde- und Anzeigerecht bereits bisher, gelangte aber – soweit ersichtlich – nicht oft zur An-\nwendung. Schliesslich werden verschiedene Aufgaben zur Entlastung der beauftragten Person für \nDatenschutz aufgehoben oder zu den öffentlichen Organen verschoben. \n\n \nIm Vernehmlassungsverfahren wurde insbesondere von CVP und FDP gefordert, dass die Neue-\nrungen keinen Stellenausbau nötig machen und entsprechende Lösungen innerhalb der bestehen-\nden Organisation gefunden werden können. \n\n \nInwieweit zusätzliche Ressourcen notwendig sind, hängt jedenfalls auch davon ab, wie die Neue-\nrungen umgesetzt werden. Beispielsweise muss in der Regel bei geplanten Datenbearbeitungen \nneu eine Datenschutz-Folgenabschätzung durchgeführt werden, was zu einem gewissen Mehrauf-\nwand führen wird. Es dürfen aber an diese Einschätzungen keine übermässigen Anforderungen \ngestellt werden. Bestehen bei einer geplanten Datenbearbeitung keine besonderen Risiken und \nfolglich kein Bedarf an besonderen Massnahmen, reicht für das Projekt eine Aktennotiz aus, um \nes zu dokumentieren. \n\n \nVor diesem Hintergrund sollen die öffentlichen Organe und die beauftragte Person für Daten-\nschutz vorerst mit den vorhandenen Ressourcen weiterarbeiten, um diese in einem späteren Zeit-\npunkt zu evaluieren. Sofern notwendig sind dann ressourcenmässige Anpassungen vorzunehmen. \nEin vergleichbares Vorgehen hat auch der Bund gewählt. Sollte dereinst eine Aufstockung der \nRessourcen der beauftragten Person für Datenschutz ins Auge gefasst werden müssen, könnte \nsich auch die Frage der Kostenbeteiligungen z.B. durch die Einwohnergemeinden stellen. \n \n \nBeilagen: \n\n Synopse des Nachtrags zum kDSG \n\n Ergebnisse des Vernehmlassungsverfahrens \n \n\n\n\tZusammenfassung\n\tI. Ausgangslage\n\t1. Totalrevision des eidgenössischen Datenschutzrechts\n\t2. Revisionsgründe\n\t3. Verbindlichkeit des europäischen Rechts für die Kantone\n\t4. Schengen-Evaluierung\n\t5. Auftrag\n\n\tII. Regelungsnotwendigkeit und Anpassungsbedarf\n\t6. Regelungsnotwendigkeit\n\t6.1 Keine Notwendigkeit aufgrund des nDSG\n\t6.2 Weiterentwicklung des europäischen Datenschutzrechts\n\n\t7. Anpassungsbedarf\n\t7.1 Verordnung (EU) 2016/679\n\t7.2 Richtlinie (EU) 2016/680\n\t7.3 SEV 108+\n\t7.4 Kantonales Recht\n\n\t8. Grundzüge der kantonalen Vorlage\n\t8.1 Konzeptionelle Überlegungen\n\t8.2 Anpassungen im kantonalen Recht\n\n\n\tIII. Vernehmlassungsverfahren\n\tIV. Erläuterungen zu den einzelnen Artikeln\n\t9. Ziffer I: Nachtrag zum Datenschutzgesetz\n\t9.1 Ingress und Geltungsbereich\n\t9.2 Allgemeine Datenschutzbestimmungen\n\t9.3 Besondere Datenschutzbestimmungen (neu)\n\t9.4 Organisation und Verfahren\n\t9.5 Übergangs- und Schlussbestimmungen\n\n\t10. Ziffer II: Fremdänderungen\n\t10.1 Gesetz über den Erwerb und den Verlust des Kantons– und Gemeindebürgerrechts vom 17. Mai 1992 (BRG; GDB 111.2)\n\t10.2 Verordnung über das Einwohnerregister vom 4. Dezember 2008 (GDB 113.11; ERV)\n\t10.3 Vollziehungsverordnung zum Bundesgesetz über die Ausländerinnen und Ausländer sowie zum Asylgesetz vom 30. November 2007 (GDB 113.21)\n\t10.4 Verordnung über das Staatsarchiv vom 18. Oktober 1996 (GDB 131.21)\n\t10.5 Gesetz über die Harmonisierung der amtlichen Register vom 4. Dezember 2008 (GDB 131.4; kRHG)\n\t10.6 Polizeigesetz vom 11. März 2010 (GDB 510.1)\n\n\t11. Ziffer III: Fremdaufhebungen\n\t12. Ziffer IV: Inkrafttreten\n\n\tV. Auswirkungen\n\n