text: \n  \nxx.xx.xx \n\nSignatur/G-Nr. OWSJD.412 Seite 1 | 27 \n\n \nBericht des Sicherheits- und Sozialdepartements \nzum Entwurf eines Nachtrags zum Gesetz über \nden Datenschutz \n \n\n24. November 2022 \n\n \n\n \n\n \n\n \n\n \n\n \n\n  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 2 | 27 \n\n \n\nZusammenfassung ...................................................................................................................... 3 \n\n \n\nI. Ausgangslage ...................................................................................................................... 5 \n\n1. Totalrevision des eidgenössischen Datenschutzrechts ......................................... 5 \n\n2. Revisionsgründe ......................................................................................................... 5 \n\n3. Verbindlichkeit des europäischen Rechts für die Kantone .................................... 5 \n\n4. Schengen-Evaluierung ............................................................................................... 5 \n\n5. Auftrag ......................................................................................................................... 6 \n\n \n\nII. Regelungsnotwendigkeit und Anpassungsbedarf .......................................................... 7 \n\n6. Regelungsnotwendigkeit ........................................................................................... 7 \n\n6.1 Keine Notwendigkeit aufgrund des nDSG ............................................................ 7 \n\n6.2 Weiterentwicklung des europäischen Datenschutzrechts .................................... 7 \n\n \n\n7. Anpassungsbedarf...................................................................................................... 7 \n\n7.1 Verordnung (EU) 2016/679 ................................................................................... 7 \n\n7.2 Richtlinie (EU) 2016/680 ....................................................................................... 8 \n\n7.3 SEV 108+ .............................................................................................................. 9 \n\n7.4 Kantonales Recht.................................................................................................. 9 \n\n \n\n8. Grundzüge der kantonalen Vorlage ........................................................................ 10 \n\n8.1 Konzeptionelle Überlegungen ............................................................................. 10 \n\n8.2 Anpassungen im kantonalen Recht .................................................................... 12 \n\n \n\nIII. Erläuterungen zu den einzelnen Artikeln ....................................................................... 14 \n\n9. Ziffer I: Nachtrag zum Datenschutzgesetz ............................................................. 14 \n\n9.1 Ingress und Geltungsbereich .............................................................................. 14 \n\n9.2 Allgemeine Datenschutzbestimmungen ............................................................. 15 \n\n9.3 Besondere Datenschutzbestimmungen (neu) .................................................... 18 \n\n9.4 Organisation und Verfahren ................................................................................ 19 \n\n9.5 Übergangs- und Schlussbestimmungen ............................................................. 24 \n\n \n\n10. Ziffer II: Fremdänderungen ...................................................................................... 24 \n\n10.1 Gesetz über den Erwerb und den Verlust des Kantons– und \n\nGemeindebürgerrechts ....................................................................................... 24 \n\n10.2 Verordnung über das Einwohnerregister ............................................................ 24 \n\n10.3 Vollziehungsverordnung zum Bundesgesetz über die Ausländerinnen und \n\nAusländer sowie zum Asylgesetz ....................................................................... 25 \n\n10.4 Verordnung über das Staatsarchiv ..................................................................... 25 \n\n10.5 Gesetz über die Harmonisierung der amtlichen Register ................................... 26 \n\n10.6 Polizeigesetz ....................................................................................................... 26 \n\n \n\n11. Ziffer III: Fremdaufhebungen ................................................................................... 26 \n\n \n\n12. Ziffer IV: Inkrafttreten................................................................................................ 26 \n\n \n\nIV. Auswirkungen .................................................................................................................... 27 \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 3 | 27 \n\n \n\nZusammenfassung \n\nDas Datenschutzrecht bezweckt den Schutz der Persönlichkeit und der Grundrechte von \n\nPersonen, über die Daten bearbeitet werden. Datenschutz ist demnach Persönlichkeits- und \n\nGrundrechtsschutz bei der Datenbearbeitung. Die Regelungen des Datenschutzrechts sollen \n\nder Informationserfassung durch Staat und Private Grenzen setzen und dem Einzelnen in \n\ndiesem Umfang das Recht auf informationelle Selbstbestimmung geben. Dieses Recht, der \n\nOffenlegung der eigenen Persönlichkeit Grenzen zu setzen, dient dem Schutz der Pri-\n\nvatsphäre, aber auch der unbeeinflussten Ausübung der Freiheitsrechte. Die enorme Ent-\n\nwicklung der Kommunikationstechnik führt dazu, dass die Schutzvorkehren häufiger und um-\n\nfassender in der Gesetzgebung ihren Niederschlag finden. Eine wichtige Voraussetzung, \n\ndass der Datenschutz überhaupt wirksam werden kann, ist die Schaffung vermehrter Trans-\n\nparenz bei der Datenbearbeitung. Damit können Betroffene gezielt ihre Rechte wahrnehmen \n\nund es wird ein offenes, gesetzmässiges Verwaltungshandeln gefördert. \n\nDas Datenschutzrecht geht dem Öffentlichkeitsprinzip vor. Währendem das Datenschutz-\n\nrecht den Schutz der Persönlichkeit und der Grundrechte von Privaten bezweckt, regelt das \n\nÖffentlichkeitsprinzip den Zugang Privater zu amtlichen Dokumenten. \n\nMit dem Beitritt zu verschiedenen internationalen Vereinbarungen verpflichteten sich Bund \n\nund Kantone, einen europäischen Datenschutzstandard einzuführen. Der Kanton Obwalden \n\ntat dies mit dem Gesetz über den Datenschutz vom 25. Januar 2008 (kDSG; GDB 137.1), \n\nwelches 1. November 2008 vollständig in Kraft trat.  \n\nSeither hat sich das europäische Datenschutzrecht weiterentwickelt: \n\n– Die Europäische Union hat ihre Datenschutzgesetzgebung am 27. April 2016 revidiert und ei-\n\nnerseits die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung \n\npersonenbezogener Daten und andererseits die Richtlinie (EU) 2016/680 zum Schutz natürli-\n\ncher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts er-\n\nlassen; die Verordnung wie auch die Richtlinie sind am 25. Mai 2018 in Kraft getreten.  \n\nMit dem Schengen-Assoziierungsabkommen hat die Schweiz sich verpflichtet, jede Weiter-\n\nentwicklung des Schengen-Besitzstands zu akzeptieren, umzusetzen und anzuwenden. \n\nIm Rahmen der Schengen-Evaluation überprüft die Europäische Union regelmässig, ob \n\ndie Schengen-Staaten und damit auch die Schweiz – und ihre Kantone – diesen Ver-\n\npflichtungen nachkommen. Die Richtlinie (EU) 2016/680 entspricht einer Weiterentwick-\n\nlung des Schengen-Besitzstands, weshalb die nächste Schengen-Evaluation voraussicht-\n\nlich die Prüfung der Umsetzung der Richtlinie beinhalten wird. \n\n– Des Weiteren hat der Europarat ein Änderungsprotokoll zur Modernisierung des Übereinkom-\n\nmens vom 28. Januar 1981 zum Schutz des Menschen bei der automatischen Verarbeitung \n\npersonenbezogener Daten zur Unterzeichnung aufgelegt (SEV 108+). Der Bundesrat wird das \n\nÄnderungsprotokoll ratifizieren. Voraussichtlich wird es am 11. Oktober 2023 in Kraft treten und \n\ndamit für Bund und Kantone verbindlich werden.  \n\nEs gilt nun diese Weiterentwicklungen nachzuvollziehen. Die europäischen Erlasse sind \n\nnicht unmittelbar anwendbar und bedürfen der Umsetzung ins eidgenössische und kanto-\n\nnale Recht. Der Kanton Obwalden pflegt im Datenschutzrecht das Prinzip der sogenannten \n\nNettogesetzgebung, wodurch in Bezug auf das Grundsätzliche auf das Bundesrecht verwie-\n\nsen wird. Da dieses bereits totalrevidiert und an die europäische Gesetzgebung angepasst \n\nwurde, entspricht das kantonale Recht im Wesentlichen bereits dem übergeordneten Recht. \n\nTrotzdem bedarf es punktueller Änderungen im kDSG: \n\n– Geltungsbereich (Ausnahmen reduzieren);  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 4 | 27 \n\n \n\n– Grundsätze der Datenbearbeitung (Datenschutznachweis und Benachrichtigungspflicht einfüh-\n\nren); \n\n– Vorabkontrolle (durch Vorabkonsultation ersetzen); \n\n– Register der Datensammlungen (durch Verzeichnisse der Datenbearbeitungstätigkeiten erset-\n\nzen);  \n\n– beratende Personen für Datenschutz (neu); \n\n– Regelungskompetenzen des Obergerichts im Bereich der Strafbehörden (neu); \n\n– elektronische Informations-, Geschäftsverwaltungs- und Datenablagesysteme (eine gesetzliche \n\nGrundlage für alle öffentlichen Organe schaffen); \n\n– beauftragte Person für Datenschutz (Sensibilisierungspflicht und Verfügungsrecht einführen); \n\n– Ausnahmen von der Aufsicht (neu). \n\nErgänzend dazu werden einzelne datenschutzrechtliche Lücken in den kantonalen Sacher-\n\nlassen geschlossen. Der Entwurf eines Nachtrags zum kantonalen Datenschutzgesetz \n\nwurde in seinem Umfang schlank, aber effektiv gehalten. Der Praxis wurde der notwendige \n\nSpielraum belassen. Der Vollzugsaufwand für die öffentlichen Organe und die beauftragte \n\nPerson für Datenschutz wurde soweit als möglich gering gehalten.   \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 5 | 27 \n\n \n\nAusgangslage \n\nTotalrevision des eidgenössischen Datenschutzrechts \n\nAufgrund einer Evaluation des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG; \n\nSR 235.1) und mit Blick auf die technologische Entwicklung und das fortgeschrittene EU-Recht be-\n\nschloss der Bundesrat, das Datenschutzrecht des Bundes zu revidieren. In der Folge hat das Par-\n\nlament die Vorlage des Bundesrats in zwei Etappen aufgeteilt.  \n\n \n\nIn der ersten Etappe hat das Parlament am 28. September 2018 das Bundesgesetz über die Um-\n\nsetzung der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung per-\n\nsonenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von \n\nStraftaten oder der Strafvollstreckung (Weiterentwicklung des Schengen-Besitzstands; AS 2019 \n\n625) beschlossen. Darin enthalten war auch das neue Bundesgesetz über den Datenschutz im \n\nRahmen der Anwendung des Schengen-Besitzstands in Strafsachen (SDSG; SR 235.3). Die Man-\n\ntelgesetzgebung wurde am 1. März 2019 in Kraft gesetzt.  \n\n \n\nIn einer zweiten Etappe haben die eidgenössischen Räte am 25. September 2020 das totalrevi-\n\ndierte Bundesgesetz über den Datenschutz (nDSG; BBl 2020 7639) verabschiedet. Die Referen-\n\ndumsfrist ist unbenutzt abgelaufen und das Bundesgesetz rechtsgültig geworden. In der Folge hat \n\nder Bundesrat vom 23. Juni bis am 14. Oktober 2021 die Vernehmlassung zur revidierten Verord-\n\nnung zum Bundesgesetz über den Datenschutz durchgeführt. Es ist vorgesehen, das neue Daten-\n\nschutzgesetz samt Verordnung auf den 1. September 2023 in Kraft zu setzen.  \n\n \n\n \n\nRevisionsgründe \n\nInhaltlich hatte die Revision zum Ziel, das DSG den veränderten technologischen und gesell-\n\nschaftlichen Verhältnissen anzupassen. Insbesondere die Transparenz von Datenbearbeitungen \n\nsollte verbessert und die Selbstbestimmung der betroffenen Personen über ihre Daten gestärkt \n\nwerden.  \n\n \n\nWeiter sollte die Revision es der Schweiz erlauben, das revidierte Datenschutzübereinkommen \n\nSEV 108+ des Europarats zu ratifizieren, die Schengen-relevante Richtlinie (EU) 2016/680 über \n\nden Datenschutz in Strafsachen umzusetzen sowie die schweizerische Datenschutzgesetzgebung \n\nden Anforderungen der Verordnung (EU) 2016/679 anzunähern. \n\n \n\n \n\nVerbindlichkeit des europäischen Rechts für die Kantone \n\nDie Richtlinie (EU) 2016/680 und das revidierte Datenschutzübereinkommen SEV 108+ sind auch \n\nfür die Kantone bindend. Diese müssen ihre Gesetzgebungen insoweit anpassen, als das kanto-\n\nnale Recht die neuen europäischen Anforderungen nicht erfüllt (BBl 2017 7007). \n\n \n\nWenige Kantone haben ihre Datenschutzgesetzgebungen bereits revidiert. Bei der grossen Mehr-\n\nheit der Kantone ist die Revision erst im Gange. Einzelne Kantone haben damit noch nicht begon-\n\nnen (SJZ 2021 S. 919). \n\n \n\n \n\nSchengen-Evaluierung \n\nMit dem Schengen-Assoziierungsabkommen hat die Schweiz sich verpflichtet, dass die Bearbei-\n\ntung von Personendaten bei der Schengen-Zusammenarbeit dem geltenden Gemeinschaftsrecht \n\nim Bereich des Datenschutzes, insbesondere der Richtlinie 95/46/EG und dem Rahmenbeschluss \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 6 | 27 \n\n \n\n2008/977/JI entspricht. Weiter hat die Schweiz sich verpflichtet, jede Weiterentwicklung des \n\nSchengen-Besitzstands zu akzeptieren, umzusetzen und anzuwenden. \n\n \n\nIm Rahmen der Schengen-Evaluation überprüft die Europäische Union regelmässig, ob die \n\nSchengen-Staaten und damit auch die Schweiz – und ihre Kantone – den Verpflichtungen nach-\n\nkommen (BBl 2017 6965). Die ersten beiden Evaluierungen durchlief die Schweiz in den Jahren \n\n2008 und 2013. Die dritte Evaluierung wurde im Jahr 2018 durchgeführt. Im Jahre 2023 sollte die \n\nSchweiz einer weiteren Schengen-Evaluation unterzogen werden. Diese wird nun allerdings auf \n\neinen noch unbekannten Zeitpunkt verschoben. \n\n \n\nDie Richtlinie (EU) 2016/680 entspricht einer Weiterentwicklung des Schengen-Besitzstands, wes-\n\nhalb die nächste Schengen-Evaluation voraussichtlich die Prüfung der Umsetzung dieser Richtli-\n\nnie beinhalten wird (BBl 2017 6991 und 7171). Weiter wird bei der nächsten Evaluation darüber \n\nBericht zu erstatten sein, wie der Bund und die Kantone die Empfehlungen aus der letzten Evalua-\n\ntion umgesetzt haben. Zu erwähnen ist hier insbesondere die Empfehlung, die Befugnisse der be-\n\nauftragten Personen für Datenschutz auszubauen, indem diesen Entscheidungskompetenzen und \n\nbestenfalls sogar Sanktionsmöglichkeiten eingeräumt werden (BBl 2017 6965; vgl. dazu auch den \n\nDurchführungsbeschluss des Rates zur Festlegung einer Empfehlung zur Beseitigung der 2018 \n\nbei der Evaluierung der Anwendung des Schengen-Besitzstands im Bereich des Datenschutzes \n\ndurch die Schweiz festgestellten Mängel vom 8. März 2019 [ST 7281 2019 INIT]). \n\n \n\n \n\nAuftrag \n\nIn der integrierten Aufgaben- und Finanzplanung (IAFP) 2021 bis 2026 ist unter dem Sicherheits- \n\nund Sozialdepartement (Amt für Justiz) ab dem Jahr 2021 die Nachführung des internationalen \n\nDatenschutzrechts ("Nachtrag zum Datenschutzgesetz") vorgesehen. \n\n \n\nDies entspricht dem Ziel Nr. 0 der Amtsdauerplanung des Regierungsrats 2018 bis 2022. Mit Be-\n\nschluss vom 21. Juni 2022 (Nr. 535) erteilte der Regierungsrat dem Sicherheits- und Sozialdepar-\n\ntement den Projektauftrag zur Revision des kantonalen Datenschutzrechts. Eine entsprechende \n\nMedienmitteilung wurde verbreitet.  \n\n \n\nDie Vorgaben des Projektauftrags lauteten folgendermassen:  \n\n– das Prinzip der Nettogesetzgebung im Datenschutzrecht soll beibehalten werden; \n\n– das übergeordnete Datenschutzrecht soll dort umgesetzt werden, wo eine Notwendigkeit für \n\nden Nachvollzug besteht; die Anpassungen sollen in ihrem Umfang gering, aber effektiv sein; \n\n– anderweitiger kantonaler Handlungsbedarf ist zu berücksichtigen, soweit ein Einbezug in die \n\nRevision des Datenschutzrechts Sinn macht und in Einklang mit dem Grundsatz der Einheit \n\nder Materie steht; \n\n– die Kosten für die Umsetzung wie auch für die spätere Praxis sind bei allen Lösungsvarianten \n\nstets vor Augen zu halten.  \n\n \n\n \n\n  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 7 | 27 \n\n \n\nRegelungsnotwendigkeit und Anpassungsbedarf \n\nRegelungsnotwendigkeit \n\n \n\nKeine Notwendigkeit aufgrund des nDSG \n\nDas eidgenössische Datenschutzrecht wurde totalrevidiert, vor allem aufgrund der Entwicklungen \n\nim europäischen Recht, aber auch weil der Bund aufgrund einer Gesetzesevaluation Verbesse-\n\nrungsbedarf festgestellt hat. Allerdings zwingt die Revision des eidgenössischen Datenschutz-\n\nrechts den Kanton Obwalden grundsätzlich nicht, sein Datenschutzrecht anzupassen.  \n\n \n\nVielmehr ist es das neue europäische Datenschutzrecht, aufgrund dessen der Kanton Obwalden \n\nseine Datenschutzgesetzgebung revidieren muss. Denn das europäische Recht ist unmittelbar \n\ndurch den kantonalen Gesetzgeber im kantonalen Recht umzusetzen; dem Bund fehlt eine verfas-\n\nsungsrechtliche Kompetenz, das Datenschutzrecht auch für die Kantone zu regeln.  \n\n \n\nWeiterentwicklung des europäischen Datenschutzrechts \n\nBei den europäischen Entwicklungen geht es um die Nachführungen des Datenschutzrechts durch \n\ndie Europäische Union und den Europarat: \n\n– Die Europäische Union hat am 27. April 2016 ihre Datenschutzgesetzgebung revidiert. Diese \n\numfasst zwei Rechtsakte: Einerseits die Verordnung (EU) 2016/679 zum Schutz natürlicher \n\nPersonen bei der Verarbeitung personenbezogener Daten. Sie löst die Richtlinie 95/46/EG zum \n\nSchutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien \n\nDatenverkehr ab. Und andererseits die Richtlinie (EU) 2016/680 zum Schutz natürlicher Perso-\n\nnen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts; sie hebt den \n\nRahmenbeschluss 2008/977/JI auf. Die Richtlinie ist Teil des Schengen-Besitzstands; sie ist \n\nauch von Bund und Kantonen umzusetzen. Die Verordnung wie auch die Richtlinie sind am \n\n25. Mai 2018 in Kraft getreten. \n\n– Die Schweiz ist Mitglied des Europarates. Am 2. Oktober 1997 hat sie das Übereinkommen \n\nvom 28. Januar 1981 zum Schutz des Menschen bei der automatischen Verarbeitung perso-\n\nnenbezogener Daten ratifiziert (SEV 108; SR 0.235.1). Das Zusatzprotokoll vom 8. November \n\n2001 (SEV 181) bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung \n\nwurde durch die Schweiz am 20. Dezember 2007 ratifiziert. Am 18. Oktober 2018 hat das Mi-\n\nnisterkomitee nun ein Änderungsprotokoll zur Unterzeichnung aufgelegt, welches das Überein-\n\nkommen modernisieren soll (SEV 108+). Mit Bundesbeschluss vom 19. Juni 2020 ermächtigten \n\ndie eidgenössischen Räte den Bundesrat zur Ratifizierung. Der Bundesrat wird das Änderungs-\n\nprotokoll mit dem Inkrafttreten des nDSG ratifizieren. Daraufhin wird das SEV 108+ am 11. Ok-\n\ntober 2023 in Kraft treten, sofern bis zu diesem Zeitpunkt mindestens 38 Vertragsstaaten dem \n\nProtokoll angehören. Mit dem Inkrafttreten ist das SEV 108+ durch Bund und Kantone umzu-\n\nsetzen. \n\n \n\nBeide Erlasse bezwecken im Wesentlichen ein höheres Schutzniveau für die Bearbeitung von per-\n\nsonenbezogenen Daten und den erleichterten Austausch derselben zwischen den Vertragsstaa-\n\nten. Die Richtlinie (EU) 2016/680 und das modernisierte SEV 108+ sind nicht unmittelbar anwend-\n\nbar; sie bedürfen beide der Umsetzung ins eidgenössische und kantonale Recht. \n\n \n\n \n\nAnpassungsbedarf \n\n \n\nVerordnung (EU) 2016/679 \n\nBund und Kantone sind nicht verpflichtet, die Verordnung (EU) 2016/679 zu übernehmen, da es \n\nsich dabei – nach der Europäischen Union – nicht um eine Weiterentwicklung des Schengen-\n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 8 | 27 \n\n \n\nBesitzstands handelt. Aber doch ist sie in Zusammenhang mit dem digitalen Binnenmarkt in Eu-\n\nropa relevant. Die Europäische Union entscheidet jeweils, ob der Datentransfer in einen Drittstaat \n\n– wie die Schweiz – ohne zusätzliche Massnahmen möglich ist. In diesem Zusammenhang prüft \n\nsie, ob der Drittstatt ein angemessenes Datenschutzniveau garantiert.  \n\n \n\nDer Angemessenheitsbeschluss setzt nicht voraus, dass alles, was in der Verordnung (EU) \n\n2016/679 vorgesehen ist, vom Bund und den Kantonen übernommen werden muss; möglich sind \n\nauch andere Regelungen, welche ein angemessenes Schutzniveau garantieren. Zudem ist vor al-\n\nlem die Wirtschaft im internationalen Datenaustausch auf den Angemessenheitsbeschluss anwie-\n\nsen. Der wirtschaftliche Datenaustausch im digitalen Binnenmarkt ist allerdings nicht Gegenstand \n\ndes kantonalen Datenschutzrechts. Daher versucht die vorliegende Revision nicht – anders als die \n\nRevision des nDSG (BBl 2017 6970), welches die Datenbearbeitung durch die Privaten regelt –, \n\nsich der Verordnung (EU) 2016/679 anzunähern (zum Ganzen: digma 2017 S. 58; BBl 2017 6964 \n\nf.). Nichtsdestotrotz geschieht die Übernahme teilweise automatisch, nämlich über den Verweis in \n\nArt. 2 Abs. 1 kDSG.  \n\n \n\nRichtlinie (EU) 2016/680 \n\nDie Richtlinie schützt personenbezogene Daten, die zum Zweck der Verhütung, Ermittlung, Aufde-\n\nckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes \n\nvor und der Abwehr von Gefahren für die öffentliche Sicherheit, bearbeitet werden.  \n\n \n\nDie Richtlinie wurde von der Europäischen Union als Schengen-relevant erklärt. Das Schengen-\n\nAssoziierungsabkommen wurde am 26. Oktober 2004 vom Bundesrat unterzeichnet und am \n\n5. Juni 2005 von den Schweizer Stimmberechtigten angenommen. Damit sind Bund und Kantone \n\nverpflichtet, den durch die Richtlinie (EU) 2016/680 gesetzten neuen Schengen-Standard ins lan-\n\ndesinterne Recht zu übernehmen, will die Schweiz im Schengen-Assoziierungsabkommen blei-\n\nben. \n\n \n\nDie wichtigsten Forderungen der Richtlinie (EU) 2016/680 sind: \n\n– die Ausnahmen vom Geltungsbereich sind aufzuheben; \n\n– die verschiedenen Kategorien betroffener Personen sind zu unterscheiden; \n\n– zwischen personenbezogenen Daten und Überprüfung der Qualität der personenbezogenen \n\nDaten ist zu unterscheiden; \n\n– die Datenbearbeitung muss rechtmässig sein, indem sie im Wesentlichen auf einer gesetzli-\n\nchen Grundlage beruht; \n\n– es sind Informations-, Auskunfts-, Berichtigungs- und Beschwerderechte der betroffenen Per-\n\nsonen vorzusehen; \n\n– der Datenschutz hat (auch) durch Technikgestaltung und datenschutzfreundliche Voreinstellun-\n\ngen zu erfolgen; \n\n– für die Löschung (oder Anonymisierung) von Personendaten und für die regelmässige Überprü-\n\nfung der Notwendigkeit der Speicherung müssen angemessene Fristen festgelegt werden, de-\n\nren Einhaltung über verfahrensrechtliche Vorkehren sicherzustellen ist; \n\n– die Verarbeitungstätigkeiten sind in einem Verzeichnis zu führen; bestehen hohe Risiken, sind \n\nDatenschutz-Folgenabschätzungen durchzuführen und die "Aufsichtsbehörde" (beauftragte \n\nPerson für Datenschutz) bezüglich der Ergebnisse vorab zu konsultieren;  \n\n– es sind Melde- und Benachrichtigungspflichten für bestimmte Datenschutzverletzungen vorzu-\n\nsehen; \n\n– es sind unabhängige und qualifizierte "Aufsichtsbehörden" einzusetzen, mit:  \n\n– wirksamen Untersuchungsbefugnissen; \n\n– effektiven Einwirkungsbefugnissen (z.B. Befugnis zur Anordnung von vorschriftsgemässen \n\nBearbeitungen, gegebenenfalls durch Berichtigung oder Löschung der Daten); \n\n– es dürfen personenbezogene Daten nur an ein Drittland übermittelt werden, wenn ein Ange-\n\nmessenheitsbeschluss der Europäische Kommission vorliegt. \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 9 | 27 \n\n \n\n \n\nDie Richtlinie (EU) 2016/680 muss nur im Rahmen der Schengener Zusammenarbeit im Straf-\n\nrechtsbereich umgesetzt werden. Sie gilt für die Straf- und Strafvollzugsorgane gemäss Art. 3 \n\nZiff. 7 der Richtlinie (EU) 2016/680 (vgl. auch BBl 2017 6992). Die Gerichte und unabhängigen \n\nJustizbehörden können im Rahmen ihrer justiziellen Tätigkeit von der Aufsicht ausgenommen wer-\n\nden. \n\n \n\nSEV 108+ \n\nDie Unterzeichnung des Änderungsprotokolls zum SEV 108 soll unter anderem bewirken, dass die \n\nEuropäische Union der Schweiz ein angemessenes Datenschutzniveau bestätigt. Dadurch bleibt \n\nder datenrechtliche Zugang zum europäischen Markt weiterhin uneingeschränkt gewährleistet (BBl \n\n2017 6970). Mit der Ratifizierung wird das SEV 108+ für Bund und Kantone verbindlich. Sie müs-\n\nsen dieses auf alle Datenbearbeitungen anwenden und ihre Rechtsordnungen entsprechend an-\n\npassen. Ausgeschlossen vom Geltungsbereich sind nur Datenbearbeitungen, die eine Person im \n\nRahmen ausschliesslich persönlicher oder familiärer Tätigkeiten ausführt (Art.3 Abs. 1bis SEV \n\n108+).  \n\n \n\nDie wichtigsten Forderungen des SEV 108+ sind:  \n\n– die Ausnahmen vom Geltungsbereich sind stark zu beschränken;  \n\n– die Datenverarbeitung muss rechtmässig und verhältnismässig sein; \n\n– sensible Daten müssen durch zusätzliche Sicherheiten geschützt werden; \n\n– bei erheblichen Datenschutzverletzungen besteht eine Meldepflicht; \n\n– vor jeder Datenbearbeitung sind die möglichen Auswirkungen einer Datenverarbeitung zu prü-\n\nfen (vgl. Datenschutz-Folgenabschätzung); \n\n– der Schutz von personenbezogenen Daten ist durch technische oder organisatorische Mass-\n\nnahmen sicherzustellen; \n\n– die Rechte der betroffenen Personen sind auszuaufisciweiten (Auskunftsrechte, Recht auf ak-\n\ntive Informierung über die Datenbearbeitung, Standpunktberücksichtigung bei Datenbearbei-\n\ntungen durch automatisierte Einzelentscheidungen, Festlegung der Bedingungen für die Einwil-\n\nligung in die Datenbearbeitung); \n\n– die Einhaltung der Datenschutzvorschriften muss nachgewiesen werden können; \n\n– es ist ein Sanktions- und Rechtsmittelsystem einzuführen; \n\n– es dürfen Personendaten in ein Drittland nur übermittelt werden, wenn das Schutzniveau der \n\nMitgliedstaaten einer regionalen internationalen Organisation eingehalten ist, wenn der Be-\n\ntroffene eingewilligt hat oder wenn ein bestimmter Ausnahmefall vorliegt; \n\n– es sind unabhängige Aufsichtsbehörden einzusetzen, mit: \n\n– der Aufgabe, die Einhaltung des Datenschutzrechts zu gewährleisten und die Öffentlichkeit \n\nund die für die Bearbeitung Verantwortlichen für den Datenschutz zu sensibilisieren; \n\n– der Befugnis, Ermittlungen durchzuführen und gegen Datenschutzverletzungen einzuschrei-\n\nten, verbindliche und anfechtbare Entscheidungen zu fällen, die vor Gericht angefochten \n\nwerden können, und verwaltungsrechtliche Sanktionen zu verhängen; \n\n– dem Recht, Verstösse gegen die Datenschutzvorschriften anzuzeigen und Anliegen vor Ge-\n\nricht zu vertreten. \n\n \n\nEin grosser Teil des Inhalts des SEV 108+ wird auch in der Richtlinie (EU) 2016/680 geregelt. Al-\n\nlerdings ist die Richtlinie detaillierter ausgeführt. \n\n \n\nKantonales Recht \n\nDas kDSG trat am 1. November 2008 vollständig in Kraft. Vereinzelt finden sich auch in anderen \n\nkantonalen Erlassen Datenschutzbestimmungen. Bis heute wurde das kantonale Datenschutz-\n\nrecht nur wenigen Änderungen unterzogen. Neben der Nachführung des europäischen Rechts ist \n\ndaher auch kantonaler Handlungsbedarf zu berücksichtigen. Dies soweit datenschutzrechtliche \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 10 | 27 \n\n \n\nLücken bestehen, die mit Blick auf die Praxis zwingend zu regeln sind und den Rahmen der vorlie-\n\ngenden Gesetzgebung nicht sprengen. \n\n \n\n \n\nGrundzüge der kantonalen Vorlage \n\n \n\nKonzeptionelle Überlegungen \n\nDie Umsetzung des Anpassungsbedarfs soll – im Sinne des regierungsrätlichen Auftrags – in ih-\n\nrem Umfang schlank, aber effektiv sein. Der Praxis ist der notwendige Spielraum zu belassen. Der \n\nVollzugsaufwand für die öffentlichen Organe und die beauftragte Person für Datenschutz soll auf \n\ndas Notwendigste reduziert werden. Änderungen sollen sich in das Recht und die Praxis des Kan-\n\ntons Obwalden harmonisch einfügen.  \n\n \n\nDaraus ergeben sich für den Nachtrag zum kDSG folgende konzeptionelle Überlegungen:  \n\n– Der Kanton Obwalden pflegt im Datenschutzrecht das Prinzip der Nettogesetzgebung. Details \n\nund Besonderes werden im kDSG explizit geregelt. Ebenso Themen, für die nicht auf die Bun-\n\ndesgesetzgebung verwiesen werden soll. Im Übrigen aber und insbesondere in Bezug auf das \n\nGrundsätzliche verweist das kantonale Recht auf das Bundesrecht (Art. 2 Abs. 1 kDSG; vgl. die \n\nÜberlegungen von Beat Rudin zu einem Datenschutzgesetz für alle öffentlichen Organe von \n\nBund und Kantonen, in: digma 2017 S. 59). Demgemäss haben die öffentlichen Organe wie \n\nauch die Bürger zur Feststellung ihrer Rechte und Pflichten auch das eidgenössische Daten-\n\nschutzgesetz heranzuziehen. Dieses Vorgehen hat sich bewährt und garantiert, dass im Kan-\n\nton Obwalden der bundesrechtliche Datenschutzstandard gilt, der in der Regel auch den euro-\n\npäischen Anforderungen entspricht. An diesem Prinzip der Nettogesetzgebung ist festzuhalten. \n\nDemnach erfolgen im kantonalen Datenschutzrecht lediglich Anpassungen, wenn:  \n\n– der Geltungsbereich des kDSG betroffen ist; \n\n– die Organisation und das Verfahren im kDSG betroffen sind, namentlich die Wahl, Stellung, \n\nAufgaben und Befugnisse der beauftragten Person für Datenschutz;  \n\n– eine andere Regelung gelten soll, als das Bundesrecht es vorsieht; \n\n– dies zur Füllung einer datenschutzrechtlichen Lücke erforderlich ist, sei es in den besonde-\n\nren Bestimmungen des kDSG oder in einem Sacherlass. \n\n– Der hier einzuführende Datenschutzstandard ergibt sich primär aus den neuen europäischen \n\nRechtserlassen. Die Konferenz der Kantonsregierungen hat diesen Standard im Leitfaden vom \n\n2. Februar 2017 festgehalten (KdK-Leitfaden). Mit diesem Hilfsmittel sollen die Kantone die \n\nVollständigkeit ihrer Datenschutzgesetzgebung überprüfen und den noch bestehenden Hand-\n\nlungsbedarf im Hinblick auf das geforderte Schutzniveau feststellen können. An dieser Weglei-\n\ntung orientiert sich auch die vorliegende Revision. \n\n– Die Bestimmungen der Richtlinie (EU) 2016/680, die sich mit den Anforderungen des SEV \n\n108+ decken, gelten uneingeschränkt für alle Datenbearbeitungen und öffentlichen Organe in \n\nder Schweiz. Sie werden daher auch für den Kanton Obwalden übernommen. Eine vollständige \n\nÜbernahme in das kantonale Recht ist aber nicht notwendig, da das neue europäische Recht \n\nfür den Kanton Obwalden bereits über den Verweis in Art. 2 Abs. 1 kDSG auf das nachgeführte \n\nBundesrecht gilt. Damit besteht lediglich ein punktueller Anpassungsbedarf im kantonalen \n\nRecht. \n\n– Dagegen sollen die Anforderungen der Richtlinie (EU) 2016/680, die über das SEV 108+ hin-\n\naus gehen und nur für die zuständigen Behörden nach Art. 3 Ziff. 7 der Richtlinie (EU) \n\n2016/680 gelten, nicht auf alle öffentlichen Organe des Kantons Obwalden ausgedehnt werden \n\n(es betrifft dies z.B. die beratenden Personen für Datenschutz, die Mitteilungspflicht bei Berich-\n\ntigungsmassnahmen, die Verzeichnisse der Datenbearbeitungstätigkeiten, die Vorabkonsultati-\n\nonspflicht; nicht aber die Regelungen betreffend die Auftragsverarbeiter [die Regelungen wer-\n\nden als allgemeiner Datenschutzstandard erachtet]). Da der Bund die Anforderungen der Richt-\n\nlinie (EU) 2016/680 für alle seine öffentlichen Organe übernommen hat, um einen \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 11 | 27 \n\n \n\nflächendeckend gleichen Datenschutzstandard auf dem Niveau des europäischen Rechts zu \n\nerhalten, muss der Verweis in Art. 2 Abs. 1 kDSG, der zur Übernahme des Bundesrechts für \n\nalle öffentlichen Organe im Kanton Obwalden führen würde, eingeschränkt werden auf die zu-\n\nständigen Behörden nach Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680. Ähnliche Einschränkungen \n\nverfolgen auch andere Kantone (z.B. Luzern, Basel-Landschaft, Basel-Stadt, Schwyz, Glarus). \n\n– Als zuständige Behörden nach Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680 gelten staatliche Stel-\n\nlen, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die \n\nStrafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öf-\n\nfentliche Sicherheit, zuständig sind (Bst. a). Des Weiteren sind dies alle anderen Stellen oder \n\nEinrichtungen, denen durch das Recht der Mitgliedstaaten – hier durch das kantonale Recht – \n\ndie Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Auf-\n\ndeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschliesslich des Schut-\n\nzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, übertragen wurde (Bst. b).  \n\nAls zuständige Behörden kommen nicht nur die Justizbehörden, die Polizei oder andere Straf-\n\nverfolgungsbehörden in Frage, sondern auch alle anderen Stellen oder Einrichtungen, denen \n\ndie Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse für die Zwecke der Richtlinie \n\n(EU) 2016/680 übertragen wurden. Dazu zählen auch Tätigkeiten in Fällen, in denen nicht von \n\nvornherein bekannt ist, ob es sich um Straftaten handelt oder nicht. Solche Tätigkeiten können \n\nferner die Ausübung hoheitlicher Gewalt durch Ergreifung von Zwangsmitteln umfassen, wie \n\npolizeiliche Tätigkeiten bei Demonstrationen, grossen Sportveranstaltungen und Ausschreitun-\n\ngen. Sie umfassen auch die Aufrechterhaltung der öffentlichen Ordnung als Aufgabe, die der \n\nPolizei oder anderen Strafverfolgungsbehörden übertragen wurde, soweit dies zum Zweck des \n\nSchutzes vor und der Abwehr von Bedrohungen der öffentlichen Sicherheit und Bedrohungen \n\nfür durch Rechtsvorschriften geschützte grundlegende Interessen der Gesellschaft, die zu einer \n\nStraftat führen können, erforderlich ist (Ziff. 11 und 12 der Erwägungen der Richtlinie [EU] \n\n2016/680).  \n\nIm Kanton Obwalden gelten als zuständige Behörden nach Art. 3 Ziff. 7 der Richtlinie (EU) \n\n2016/680 die Gerichte (inklusive Steuerrekurskommission), die Staatsanwaltschaft, die Dienst-\n\nstelle Straf- und Massnahmenvollzug, die Polizei, die Steuerverwaltung sowie die Übertre-\n\ntungsstrafbehörden und allfällige weitere Kontrollorgane. Unter den Kantonen gibt es zurzeit \n\nkeine einheitliche Definition für den Begriff der zuständigen Behörden. Der Geltungsbereich \n\nergibt sich ausschliesslich aus dem europäischen Recht und dürfte durch die Praxis noch kon-\n\nkretisiert werden. Die betreffenden Behörden im Kanton Obwalden können im Wesentlichen \n\ndurch den Begriff der Straf- und Strafvollzugsbehörden erfasst werden (die Strafbehörden sind \n\nin Art. 12 der Schweizerischen Strafprozessordnung vom 5. Oktober 2007 [StPO; SR 312.0] \n\ndefiniert). Der Begriff kann allerdings nicht abschliessend sein, da die Richtlinie noch weitere \n\nBehörden zu erfassen vermag. In diesem Sinne ist er zu ungenau und dient lediglich als Orien-\n\ntierungshilfe. Daher soll für die genaue Bestimmung der öffentlichen Organe, welche die erhöh-\n\nten Anforderungen der Richtlinie erfüllen müssen, zusätzlich auf Art. 3 Ziff. 7 der Richtlinie (EU) \n\n2016/680 verwiesen werden. Eine solche statische Aussenverweisung ist unproblematisch und \n\nnicht unüblich im Rahmen des Nachvollzugs des europäischen Rechts. Sie trägt zur korrekten \n\nErschliessung des europäischen Rechts und zur Verringerung des Rechtsetzungsbedarfs, aber \n\nletztlich auch zur Verkürzung des Gesetzestexts bei. Die Aussenverweisung steht daher im \n\nEinklang mit dem vom kDSG verfolgten Prinzip der "Nettogesetzgebung". Die Technizität und \n\ndie erschwerte Verständlichkeit des kDSG werden dadurch nur marginal erhöht. Im Übrigen \n\nwurden sie bislang nicht bemängelt, zumal bei Unklarheiten die beauftragte Person für Daten-\n\nschutz und neu auch die beratenden Personen für Datenschutz Hilfestellung anbieten könnten \n\n(Art. 5a und Art. 10 Abs. 2 Bst. b E-kDSG; vgl. auch Leitfaden für die Ausarbeitung von Erlas-\n\nsen des Bundes, 4. Auflage, Bern 2019, N 739 ff.). Der gesetzliche Begriff für die unter die \n\nRichtlinie (EU) 2016/680 fallenden öffentlichen Organe soll demnach "Straf- und Strafvollzugs-\n\norgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680" lauten. \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 12 | 27 \n\n \n\n– Sollten die Anforderungen der Richtlinie (EU) 2016/680 später in weiteren oder allen staatli-\n\nchen Bereichen umzusetzen sein, sei dies, weil es sachgerecht erscheint, sei dies, weil es das \n\nübergeordnete Recht verlangt, können Regierungsrat und Obergericht – je in ihren Aufsichts-\n\nbereichen – die entsprechenden Regelungen auf weitere öffentliche Organe ausdehnen (Art. 8 \n\nAbs. 4 E-kDSG). Damit bleibt die kantonale Gesetzgebung bei einer Weiterentwicklung des Da-\n\ntenschutzrechts flexibel. \n\n– Die europäischen Datenschutzstandards gelten auch für die kommunale Ebene. Da jedoch \n\nviele Anwendungsfälle das kantonale Recht betreffen, besteht auf kommunaler Ebene weniger \n\nRegelungsbedarf. Der Geltungsbereich des kantonalen Datenschutzrechts bezieht daher wei-\n\nterhin alle Ebenen des Kantons Obwalden ein. Die kommunalen Körperschaften, insbesondere \n\ndie Einwohnergemeinden bleiben dadurch von der gesetzgeberischen Umsetzung des interna-\n\ntionalen Rechts weitestgehend verschont.  \n\n– Bei der Formulierung von neuen kantonalen Regelungen wurden die geltenden oder erst im \n\nEntwurf bestehenden Datenschutzgesetzgebungen des Bundes und der Kantone, soweit zwi-\n\nschen diesen eine gewisse Homogenität erkennbar war, berücksichtigt. \n\n \n\nAnpassungen im kantonalen Recht \n\nGestützt auf die dargelegten konzeptionellen Überlegungen ist das kantonale Datenschutzrecht \n\n(punktuell) in folgenden Bereichen anzupassen: \n\n– Geltungsbereich:  \n\n– Der Schutz für juristische Personen kann aufgehoben werden. \n\n– Die generellen Ausnahmen vom Geltungsbereich sind aufzuheben. \n\n– Allgemeine Datenschutzbestimmungen: \n\n– Grundsätze: Die Nachweispflicht für öffentliche Organe, dass die Datenschutzvorschriften \n\neingehalten werden, ist einzuführen; die Mitteilungspflicht bei Datenberichtigungsmassnah-\n\nmen ist einzuführen, jedoch zu begrenzen auf die Straf- und Strafvollzugsorgane. \n\n– Datenquellen: Der Grundsatz der Erkennbarkeit der Datenbeschaffung kann im kantonalen \n\nRecht aufgehoben werden, da er bereits im Bundesrecht geregelt ist (Prinzip der Nettoge-\n\nsetzgebung). \n\n– Vorabkontrolle: Diese ist durch die Vorabkonsultation abzulösen, allerdings beschränkt auf \n\ndie Straf- und Strafvollzugsorgane. \n\n– Register der Datensammlungen: Die Registerführungspflicht der beauftragten Person für \n\nDatenschutz kann aufgehoben werden; dagegen ist die Pflicht der öffentlichen Organe zur \n\nFührung eines Verzeichnisses der Datenbearbeitungstätigkeiten umzusetzen, allerdings be-\n\nschränkt auf die Straf- und Strafvollzugsorgane. \n\n– Beratende Person für Datenschutz: Die Funktion ist neu einzuführen, allerdings beschränkt \n\nauf die Straf- und Strafvollzugsorgane. \n\n– Archivieren und Vernichten von Personendaten: Die Pflicht, Fristen für die Aufbewahrung \n\noder Überprüfung der Aufbewahrung vorzusehen, ist zu statuieren, soll aber nur für die \n\nStraf- und Strafvollzugsorgane gelten. \n\n– Besondere Datenschutzbestimmungen: \n\n– Elektronische Informations-, Geschäftsverwaltungs- und Datenablagesysteme: Es ist eine \n\ngesetzliche Grundlage für alle öffentlichen Organe einzuführen. \n\n– Organisation und Verfahren: \n\n– Delegationsnormen: Die beispielhafte Aufzählung der Bereiche, in denen die zum Vollzug \n\nerforderlichen Ausführungsbestimmungen erlassen werden können, soll entsprechend den \n\nneu einzuführenden Instituten ergänzt werden; die Delegationsnorm soll zudem erweitert \n\nwerden auf das Obergericht. \n\n– Beauftragte Person für Datenschutz:  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 13 | 27 \n\n \n\n– Wahl und Stellung: Die Wahlvoraussetzungen sind zu ergänzen; neu sollen fachspezifi-\n\nsche Kennnisse vorausgesetzt sein.  \n\n– Aufgaben: Die Vermittlungspflicht kann aufgehoben werden; die Pflicht zur Sensibilisie-\n\nrung der öffentlichen Organe und der Öffentlichkeit muss eingeführt werden; die Pflicht \n\nzur Behandlung von Vorabkonsultationen ist anstelle der Vorabkontrolle zu statuieren, \n\nallerdings wird sie nur noch für die Straf- und Strafvollzugsorgane relevant sein; die \n\nPflicht zur Führung eines Registers der Datensammlungen ist aufzuheben. \n\n– Ausnahmen von der Aufsicht: Die sachgerechten und nach dem europäischen Recht mögli-\n\nchen Ausnahmen von der Aufsicht sollen statuiert werden. \n\n– Sachverhaltsabklärung, Verfügung und Rechtsmittel:  \n\n– Das Verfügungsrecht der beauftragten Person für Datenschutz ist einzuführen. \n\n– Im Gegenzug ist das Beschwerderecht der öffentlichen Organe bzw. der übergeordneten \n\nBehörden gegen die Verfügungen neu zu regeln. \n\n– Fremdänderungen: \n\n– In den Sacherlassen sollen einzelne datenschutzrechtliche Lücken gefüllt werden. \n\n– Der Begriff der Persönlichkeitsprofile ist anzupassen, da er mit dem nDSG aufgehoben \n\nund an seiner Stelle der Begriff des Profilings eingeführt wird (BBl 2017 7021 f.); die bei-\n\nden Begriffe decken nicht dasselbe ab; als Profiling ist die automatisierte Auswertung \n\nvon Personendaten mit Hilfe von computergestützten Analysetechniken zu betrachten \n\n(Art. 5 Bst. f nDSG), dagegen erfolgt noch kein Profiling, wenn eine Ansammlung von \n\nDaten ohne Auswertung vorliegt (Art. 3 Bst. d DSG); der Begriff des Persönlichkeitspro-\n\nfils in den kantonalen Erlassen geht neu nicht über den Begriff des Datenbearbeitens \n\nhinaus (Art. 5 Bst. d nDSG), unabhängig davon, ob es Personendaten oder besonders \n\nschützenswerte Personendaten betrifft, weshalb er fast überall ersatzlos gestrichen wer-\n\nden kann (vgl. BBl 2017 7109 ff.). \n\n \n\nVerzichtet werden soll auf die Umsetzung verschiedener Punkte: \n\n– Aufgrund des Prinzips der Nettogesetzgebung soll keine Regelung erfolgen: der Begriffsdefini-\n\ntionen (Art. 5 nDSG), der qualifizierten Anforderungen an das Bearbeiten besonders schüt-\n\nzenswerter Personendaten und das Profiling (Art. 34 nDSG), der Auftragsdatenbearbeitung \n\n(Art. 9 nDSG), der Informationspflicht und deren Einschränkung bei der Beschaffung von Per-\n\nsonendaten (Art. 19 ff. nDSG), des Anspruchs auf Unterlassung, Beseitigung und Feststellung \n\nwiderrechtlicher Datenbearbeitungen (Art. 41 nDSG), der automatisierten Einzelentscheidun-\n\ngen (Art. 21 nDSG), der Datenschutz-Folgenabschätzungen (Art. 22 nDSG), der Meldepflichten \n\nbei Datenschutzverletzungen (Art. 23 f. nDSG; vgl. aber Art. 10 Abs. 3 Bst. c E-kDSG), des In-\n\nhalts der Verzeichnisse der Datenbearbeitungstätigkeiten (Art. 12 nDSG). \n\n– Aufgrund von bereits vorhandenen Regelungen im kantonalen Verwaltungsverfahrensrecht ist \n\ndarauf zu verzichten, der beauftragten Person für Datenschutz eine spezielle Befugnis einzu-\n\nräumen, um vorsorgliche Massnahmen anordnen oder gegen das öffentliche Organ aufsichts-\n\nrechtliche Anzeige einreichen zu können. \n\n– Auf die Einführung von Sanktionen gegen die öffentlichen Organe ist zu verzichten. \n\n– Der Begriff der Datensammlungen ist nicht aufzuheben, da er nach wie vor von praktischer Be-\n\ndeutung ist (für die Begriffsdefinition wird – auch nach Inkraftsetzung des nDSG – auf Art. 3 \n\nBst. g und i DSG verwiesen). \n\n \n\nFür die ausführliche Begründung wird – soweit erforderlich – auf die Erläuterungen zu den einzel-\n\nnen Artikeln verwiesen. \n\n \n\n \n\n  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 14 | 27 \n\n \n\nErläuterungen zu den einzelnen Artikeln \n\nZiffer I: Nachtrag zum Datenschutzgesetz \n\n \n\nDie Ausführungen in der Botschaft des Regierungsrats zum Entwurf eines Gesetzes über den Da-\n\ntenschutz vom 24. September 2007 (Botsch. kDSG) haben im Grundsatz weiterhin ihre Bedeutung \n\nund werden nachfolgend nicht wiederholt. \n\n \n\n \n\nIngress und Geltungsbereich \n\nIngress \n\n \n\nDer Regelungsbedarf des kDSG ergab sich ursprünglich aus Art. 37 DSG. Die Bestimmung legt \n\neinerseits fest, dass die Datenschutz-Regelungen des Bundes immer dann Anwendung finden, \n\nwenn kantonale Datenschutzvorschriften fehlen oder keinen angemessenen Schutz gewährleis-\n\nten. Andererseits verpflichtet die Bestimmung die Kantone dazu, eine beauftragte Person für Da-\n\ntenschutz einzusetzen.  \n\n \n\nArt. 37 DSG wird mit der Inkraftsetzung des nDSG ersatzlos aufgehoben, da alle Kantone über \n\neine genügende Datenschutzgesetzgebung verfügen und die Anforderungen des europäischen \n\nRechts direkt von den Kantonen umzusetzen sind. Das kDSG kann sich neu weder auf das nDSG \n\nabstützen, noch ist es eine Ausführungsgesetzgebung dazu. Der Ingress ist daher entsprechend \n\nanzupassen. \n\n \n\nArt.  1 Geltungsbereich \n\n \n\nAbs. 1: Der Schutzbereich des Gesetzes soll sich neu lediglich auf die Daten von natürlichen Per-\n\nsonen beschränken. Im SEV 108+, in der Richtlinie (EU) 2016/680, in den Regelungen der meis-\n\nten ausländischen Gesetzgeber, im nDSG sowie in den meisten (revidierten) kantonalen Regelun-\n\ngen ist der Schutz von Daten juristischer Personen nicht mehr vorgesehen. Dies weil er von gerin-\n\nger praktischer Bedeutung ist.  \n\n \n\nAbs. 3: Die Richtlinie (EU) 2016/680 und das SEV 108+ sehen praktisch keine Ausnahmen vom \n\nGeltungsbereich mehr vor. Zudem dürfen allfällige Ausnahmen nicht mehr pauschal verfasst sein. \n\nDies schränkt die Regelungsmöglichkeiten der Kantone in diesem Punkt stark ein. Es sind daher \n\nverschiedene Aufhebungen und Konkretisierungen vorzunehmen: \n\n– Bst. a bleibt unverändert: Soweit ein öffentliches Organ am wirtschaftlichen Wettbewerb teil-\n\nnimmt und dabei privatrechtlich handelt, kann diese Datenbearbeitung weiterhin vom Geltungs-\n\nbereich ausgeschlossen werden. Diesfalls sollen – wie bisher – die entsprechenden Regeln \n\ndes eidgenössischen Datenschutzgesetzes zur Anwendung gelangen. Allerdings bleibt wohl \n\ndie kantonale Aufsichtsbehörde für privatrechtlich handelnde öffentliche Organe zuständig und \n\nin diesem Umfang auch die kantonale Gesetzgebung anwendbar. Allein dies ist eine Frage der \n\nKompetenzabgrenzung, die sich durch Auslegung des übergeordneten Rechts ergibt, und nicht \n\nim kDSG zu regeln ist (vgl. auch Epiney, zur Abgrenzung des Anwendungsbereichs des Daten-\n\nschutzgesetzes des Bundes und der kantonalen Datenschutzgesetze in: Jusletter 2. März \n\n2015).  \n\n– Bst. b: Die Bearbeitung von Personendaten in Verfahren der Zivil-, Straf- und Verwaltungs-\n\nrechtspflege darf nicht mehr vom Geltungsbereich ausgenommen werden. Die Regelung ist da-\n\nher aufzuheben. Vgl. aber die Erläuterungen zu Art. 1 Abs. 5 E-kDSG. \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 15 | 27 \n\n \n\n– Bst. c: Auch die Bearbeitung von Personendaten durch den "Kantonsrat und seine Kommissio-\n\nnen" darf vom Geltungsbereich nicht mehr ausgenommen werden. Vgl. aber die Erläuterungen \n\nzu Art. 11a E-kDSG (Ausnahmen von der Aufsicht). \n\n– Bst. d: Die Regelung ist aufgrund des übergeordneten Rechts aufzuheben. Es betrifft die öf-\n\nfentlichen Register des Privatrechtsverkehrs, für welche die Kantone zuständig sind (z.B. \n\nGrundbuch, Handelsregister, Betreibungs- und Konkursregister). Allerdings werden diese Re-\n\ngister, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Perso-\n\nnen, durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die \n\nSpezialbestimmungen keine Regelung, so ist das kantonale bzw. über die Verweisung das eid-\n\ngenössische Datenschutzgesetz anwendbar (BBl 2017 7016 f.).  \n\n– Bst. e bleibt unverändert: Personendaten, die insbesondere von einer im Dienst- oder Auftrags-\n\nverhältnis mit dem öffentlichen Organ stehenden natürlichen Person zum ausschliesslich per-\n\nsönlichen Gebrauch bearbeitet werden und anderen Personen weder ausgehändigt werden \n\nnoch ihnen zugänglich sind, bleiben vom Geltungsbereich ausgeschlossen (Art. 2 Abs. 2 Bst. a \n\nnDSG; Art. 3 Abs. 1bis SEV 108+). In der Regel sind damit handschriftliche oder elektronische \n\nNotizen gemeint, die als Gedankenstütze für die Erstellung von amtlichen Akten dienen. \n\n \n\nAbs. 5 (neu): Nach dem geltenden Recht sind hängige Verfahren der Zivil-, Straf- und Verwal-\n\ntungsrechtspflege vom Geltungsbereich des kDSG ausgenommen (Art. 1 Abs. 3 Bst. b kDSG). Die \n\ndadurch zur Anwendung gelangenden Prozessordnungen enthalten ihrerseits die nötigen Rege-\n\nlungen (insbesondere zur Beschaffung und Bekanntgabe von Personendaten sowie zu den Rech-\n\nten der betroffenen Personen und zur Aufsicht), um die Persönlichkeit und die Grundrechte der \n\nbeteiligten Personen zu schützen. Keine Ausnahmen vom Geltungsbereich sind heute vorgesehen \n\nfür die erstinstanzlichen Verwaltungsverfahren sowie das verwaltungsinterne Rechtsmittelverfah-\n\nren im Sinne von Art. 67 Abs. 1 des Staatsverwaltungsgesetzes vom 8. Juni 1997 (StVG; GDB \n\n130.1; Botsch. kDSG, S. 14).  \n\n \n\nGemäss der Richtlinie (EU) 2016/680 und dem SEV 108+ dürfen nun auch die Verfahren der Zi-\n\nvil-, Straf- und Verwaltungsrechtspflege nicht mehr vom Geltungsbereich ausgenommen werden. \n\nEntsprechend ist Art. 1 Abs. 3 Bst. b kDSG aufzuheben. Nichtsdestotrotz gewährleisten die Pro-\n\nzess- und Verfahrensordnungen aber einen adäquaten Datenschutz. Sie sollen daher neu als be-\n\nreichsspezifisches Datenschutzrecht gelten, das dem kDSG vorgeht. Ausgenommen von diesem \n\nVorrang sind die erstinstanzlichen Verwaltungsverfahren. Auf diese Verfahren soll das kDSG wei-\n\nterhin anwendbar sein. Andernfalls wäre praktisch der grösste Teil der Verwaltungstätigkeit vom \n\nGeltungsbereich ausgeschlossen (vom Vorrang profitieren neu auch die Rechtsmittelverfahren \n\nz.B. nach Art. 67 Abs. 1 StVG oder Art. 88 Kantonsverfassung vom 19. Mai 1968 [KV; GDB 101]; \n\nzum Ganzen: BBl 2017 7014 ff.; Rudin, Überholte Ausnahmen beim Geltungsbereich, digma 2016 \n\nS. 122 ff.; Maurer-Lambrou/Kunz, BSK DSG, Basel 2014, Art. 2 N 38; vgl. auch die Erläuterungen \n\nzu Art. 11a E-kDSG [Ausnahmen von der Aufsicht]).  \n\n \n\nAuf den Begriff der "hängigen" Verfahren wird verzichtet. Die massgebende Verfahrensordnung \n\nsoll auch nach Abschluss des Verfahrens anwendbar bleiben, soweit sie nicht das kDSG für an-\n\nwendbar erklärt (vgl. Art. 99 StPO; diesfalls würde für die Gerichtsbehörden wohl Art. 27 GOG als \n\nbereichsspezifisches Datenschutzrecht vorgehen). \n\n \n\nAllgemeine Datenschutzbestimmungen \n\nArt.  2 Grundsätze \n\n \n\nAbs. 1: Redaktionelle Änderung (in Zusammenhang mit der Anpassung im Ingress). \n\n \n\nAbs. 3 (neu): Nach Art. 4 Abs. 4 der Richtlinie (EU) 2016/680 und Art. 10 Abs. 1 SEV 108+ müs-\n\nsen die öffentlichen Organe die Einhaltung der Datenschutzbestimmungen nachweisen können. \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 16 | 27 \n\n \n\nDabei geht es vor allem um die Einhaltung der Grundsätze des Datenschutzrechts (z.B. Recht-\n\nmässigkeit, Treu und Glauben, Verhältnismässigkeit und Zweckbindung). Das nDSG hat – soweit \n\nersichtlich – keine allgemeine Regelung dazu, auf die verwiesen werden könnte. Der Nachweis \n\nkann unter anderem durch eine Zertifizierung mit sogenannten ISO Standards erbracht werden. \n\nAndernfalls ist festzulegen, welche Dokumente notwendig sind, um den Nachweis zu erbringen \n\n(KdK-Leitfaden, Ziff. 4.10). Diese Festlegung ist in erster Linie Aufgabe der beauftragten Person \n\nfür Datenschutz (in Zusammenarbeit mit den betroffenen öffentlichen Organen). Soweit erforder-\n\nlich kann der Nachweis mittels kantonaler Vollzugserlasse (Art. 8 E-kDSG) näher bestimmt wer-\n\nden. \n\n \n\nAbs. 4 (neu): Mit der neuen Regelung sollen die Anforderungen von Art. 16 Abs. 5 und 6 der \n\nRichtlinie (EU) 2016/680 umgesetzt werden. Danach muss vorgesehen werden, dass das öffentli-\n\nche Organ die Berichtigung von Personendaten jener Behörde, von der die unrichtigen Daten \n\nstammen, mitteilt, so dass diese Behörde ihrerseits die Daten berichtigen kann. Zudem muss das \n\nOrgan die Empfängerinnen und Empfänger der Daten über die Berichtigungsmassnahmen in \n\nKenntnis setzen, damit die unrichtigen Daten nicht in Unkenntnis weiterbearbeitet werden. Die Be-\n\nnachrichtigungen können unter Umständen mit unverhältnismässigem Aufwand verbunden oder \n\nsogar unmöglich sein. Diesfalls kann auf sie verzichtet werden (KdK-Leitfaden, Ziff. 6.5). Art. 16 \n\nAbs. 5 und 6 der Richtlinie (EU) 2016/680 gilt nur für die Straf- und Strafvollzugsorgane. Es ist \n\nnicht erforderlich, dass andere öffentliche Organe dieser Benachrichtigungspflicht unterstellt wer-\n\nden. \n\n \n\nArt.  3 Datenquellen \n\n \n\nAbs. 3: Die Erkennbarkeit der Datenbeschaffung und der Datenbearbeitung wird in Art. 6 Abs. 3 \n\nnDSG allgemein geregelt. Die kantonale Regelung kann aufgehoben werden, um Wiederholungen \n\nzu vermeiden. Die Bundesregelung gilt dann aufgrund des Verweises in Art. 2 Abs. 1 kDSG.  \n\n \n\nArt.  4 Vorabkonsultation \n\n \n\nDie Regelung soll die heutige "Vorabkontrolle" ablösen (KdK-Leitfaden, Ziff. 6.3). Die Pflicht, bei \n\nhohen Bearbeitungsrisiken die beauftragte Person für Datenschutz zu konsultieren, wird nicht \n\ndurch das SEV 108+, sondern lediglich durch Art. 28 der Richtlinie (EU) 2016/680 und Art. 36 der \n\nVerordnung (EU) 2016/679 vorgeschrieben. Letztere Bestimmung ist vor allem für den internatio-\n\nnalen Datenaustausch im Bereich der Wirtschaft relevant (digma 2017 S. 58; BBl 2017 6964 f.), \n\nden das kantonale Gesetz aber nicht zum Gegenstand hat. Demnach erstreckt sich die Konsultati-\n\nonspflicht nur auf die Straf- und Strafvollzugsorgane nach Art. 3 Ziff. 7 der Richtlinie (EU) \n\n2016/680. \n\n \n\nArt. 23 nDSG regelt die Pflicht zur Vorabkonsultation flächendeckend für alle Organe (BBl 2017 \n\n6992 f.). Mit dem Verweis in Art. 2 Abs. 1 kDSG würde sich die Konsultationspflicht auch auf alle \n\nöffentlichen Organe des Kantons Obwalden erstrecken. Mit Blick auf eine effiziente und effektive \n\nDatenschutzgesetzgebung soll die Konsultationspflicht jedoch nur für die Bearbeitungsrisiken der \n\nStraf- und Strafvollzugsorgane gelten. Der Verweis auf das Bundesgesetz ist daher durch eine Be-\n\nstimmung im kDSG einzuschränken.  \n\n \n\nVon dieser Einschränkung unberührt bleibt die Pflicht aller öffentlichen Organe, der beauftragten \n\nPerson für Datenschutz die Entwürfe von Erlassen und zu Massnahmen, die für den Datenschutz \n\nvon erheblicher Bedeutung sind, zur Stellungnahme vorzulegen (Art. 10 Abs. 2 Bst c kDSG). \n\n \n\nSollte es dereinst notwendig sein, die Konsultationspflicht nach Art. 23 nDSG auf weitere oder alle \n\nkantonalen und kommunalen öffentlichen Organe auszudehnen, sei es zur Verstärkung des \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 17 | 27 \n\n \n\npräventiven Datenschutzes (Vorabkonsultation als Folge der Datenschutz-Folgenabschätzung \n\n[BBl 2017 7062 f.]) oder sei es aufgrund höherer Anforderungen des europäischen Rechts an das \n\nkantonalen Datenschutzniveau (Art. 36 der Verordnung [EU] 2016/679), steht diese Kompetenz \n\ndem Regierungsrat und dem Obergericht zu (Art. 8 Abs. 4 E-kDSG). \n\n \n\nArt.  5 Verzeichnis der Datenbearbeitungstätigkeiten (neu) \n\n \n\nDie Führung und Veröffentlichung eines "Registers der Datensammlungen" durch die beauftragte \n\nPerson für Datenschutz wird vom übergeordneten Recht nicht mehr verlangt. Die entsprechende \n\nRegelung soll daher aufgehoben werden (vgl. Art. 10 Abs. 3 Bst. d E-kDSG). Dagegen müssen \n\nnach Art. 24 der Richtlinie (EU) 2016/680 die zuständigen Behörden neu ein Verzeichnis über die \n\nDatenbearbeitungstätigkeiten in ihrem Zuständigkeitsbereich führen. Dieses Verzeichnis ist der \n\nbeauftragten Person für Datenschutz auf Anfrage zuzustellen; die öffentlichen Organe müssen das \n\nVerzeichnis nicht von sich aus melden. Die Regelung gilt nur für die Straf- und Strafvollzugsor-\n\ngane (vgl. KdK-Leitfaden, Ziff. 6.7; digma 2017 S. 65).  \n\n \n\nDas Bundesrecht dehnt die Pflicht, ein solches Verzeichnis zu führen, auf die Datenbearbeitungen \n\nsämtlicher Organe aus (BBl 2017 7035 f.). Über den Verweis in Art. 2 Abs. 1 kDSG würde dies \n\nauch für den Kanton Obwalden gelten. Dagegen wird hier vorgeschlagen, die Pflicht zur Führung \n\neines solchen Verzeichnisses nicht über die Straf- und Strafvollzugsorgane hinaus auf andere öf-\n\nfentliche Organe auszudehnen. Der Inhalt des Verzeichnisses soll sich dann aber wiederum nach \n\ndem eidgenössischen Datenschutzgesetz bestimmen (Art. 12 nDSG). \n\nArt.  5a  Beratende Person für Datenschutz (neu) \n\n \n\nAbs. 1: Gestützt auf Art. 32 der Richtlinie (EU) 2016/680 müssen die zuständigen Behörden eine \n\nberatende Person für Datenschutz benennen. Die Pflicht zur Bezeichnung einer solchen betrifft \n\naber nur die Straf- und Strafvollzugsbehörden. Die Gerichte und die unabhängigen Justizbehörden \n\nkönnen zudem im Rahmen ihrer justiziellen Tätigkeit von dieser Pflicht befreit werden.  \n\n \n\nDas eidgenössische Datenschutzgesetz regelt die beratende Person für Datenschutz in Art. 10 \n\nnDSG. Allerdings ist es nicht erforderlich, über den Bereich der Straf- und Strafvollzugsorgane hin-\n\naus in anderen staatlichen Bereichen solche Personen einzusetzen. Es wird deshalb davon abge-\n\nsehen, die Funktion flächendeckend einzuführen. Der Verweis auf das Bundesrecht (Art 2 Abs. 1 \n\nkDSG) ist daher mittels einer kantonalen Regelung zu konkretisieren, wobei die gerichtlichen und \n\nanderen unabhängigen Straforgane (z.B. Gerichte, Steuerrekurskommission und die Staatsanwalt-\n\nschaft) im Rahmen ihrer justiziellen Tätigkeit von dieser Pflicht befreit werden sollen. \n\n \n\nAbs. 2: Die betreffenden öffentlichen Organe bezeichnen selbst eine geeignete Person innerhalb \n\nihrer Organisationseinheit. Es soll aber die Möglichkeit bestehen, dass der Regierungsrat und das \n\nObergericht für mehrere Organisationseinheiten eine gemeinsame Person bezeichnen können. \n\nDamit soll der Struktur und der Grösse der Organisationseinheiten im Kanton Obwalden Rech-\n\nnung getragen werden können (vgl. Art. 32 Abs. 3 Richtlinie [EU] 2016/680). \n\n \n\nAbs. 3: Der beratenden Person soll – aufgrund ihrer Fachkenntnisse – die Aufgabe der Daten-\n\nschutz-Folgenabschätzung übertragen werden. \n\n \n\n  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 18 | 27 \n\n \n\nArt.  6 Archivieren und Vernichten von Personendaten \n\n \n\nAbs. 1a: Nach Art. 6 Abs. 4 nDSG müssen Personendaten vernichtet oder anonymisiert werden, \n\nsobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Diese Verpflichtung ergibt sich \n\naus dem allgemeinen Verhältnismässigkeitsgrundsatz (vgl. Art. 5 Ziff. 4 Bst. e SEV 108+ und \n\nArt. 4 Abs. 1 Bst. e Richtlinie [EU] 2016/680). Darüber hinaus verlangt nun aber Art. 5 der Richtli-\n\nnie (EU) 2016/680, dass die Mitgliedstaaten – hier der Kanton Obwalden – "vorsehen", dass für \n\ndie Löschung von personenbezogenen Daten oder eine regelmässige Überprüfung der Notwen-\n\ndigkeit ihrer Speicherung angemessene Fristen bestimmt werden. Durch verfahrensrechtliche Vor-\n\nkehrungen ist sicherzustellen, dass diese Fristen eingehalten werden. \n\n \n\nDie Verpflichtung, Fristen für die Aufbewahrung oder Überprüfung der Aufbewahrung vorzusehen, \n\nist also in der Gesetzgebung ausdrücklich zu statuieren. Allerdings nur für die Straf- und Strafvoll-\n\nzugsorgane gemäss Art. 3 Ziff. 7 der Richtlinie (EU) 2016/680. Soweit ersichtlich beinhaltet das \n\nnDSG keine, über den allgemeinen Verhältnismässigkeitsgrundsatz hinausgehenden speziellen \n\nBestimmungen zur Umsetzung von Art. 5 der Richtlinie (EU) 2016/680. Entsprechende Einzelbe-\n\nstimmungen sind lediglich in den Sacherlassen des Bundes zu finden (z.B. in der Schweizerischen \n\nStrafprozessordnung [StPO; SR 312.0]). Da diese über den Verweis von Art. 2 Abs. 1 kDSG nicht \n\nzur Anwendung gelangen, hat die Umsetzung direkt im kDSG zu erfolgen. Damit wird auch sicher-\n\ngestellt, dass in einem späteren Zeitpunkt über den Verweis in Art. 2 Abs. 1 kDSG nicht eine uner-\n\nwünschte Regelung des eidgenössischen Datenschutzgesetzes übernommen werden muss. \n\n \n\nDass für mehrere Straforgane gemeinsame Aufbewahrungsregelungen erlassen werden können, \n\nsieht bereits Art. 27 Abs. 1 des Gesetzes über die Gerichtsorganisation vom 22. September 1996 \n\n(GOG; GDB 134.1) vor, wonach das Obergericht ein Reglement über die Aufbewahrungsdauer \n\nder Gerichtsakten erlässt. Betroffen von der neuen Regelung sind aber auch jene Straf- und Straf-\n\nvollzugsorgane, die in den Zuständigkeitsbereich des Regierungsrats fallen. Dieser kann in Aus-\n\nführungsbestimmungen ebenfalls gemeinsame Fristen für die Aufbewahrung oder Überprüfung \n\nder Aufbewahrung vorsehen, weshalb die entsprechende Delegationsnorm ergänzt wird (Art. 8 \n\nAbs. 2 Bst. a E-kDSG). \n\n \n\n \n\nBesondere Datenschutzbestimmungen (neu) \n\n \n\nFür die bessere Lesbarkeit des Gesetzes wurde ein neuer Titel eingefügt, der die speziellen Best-\n\nimmungen des kDSG erfassen soll. \n\n \n\nArt.  7a  Informations-, Geschäftsverwaltungs- und Datenablagesysteme (neu) \n\n \n\nIn den kantonalen und kommunalen Informations-, Geschäftsverwaltungs- und Datenablagesyste-\n\nmen werden Personendaten, unter Umständen auch besonders schützenswerte Personendaten, \n\nvon öffentlichen Organen gemeinsam bearbeitet und im Sinne eines Abrufverfahrens untereinan-\n\nder zugänglich gemacht. Es kann auch vorkommen, dass Dritten der Zugriff auf diese Systeme \n\ngewährt wird, allenfalls im Rahmen von E-Government-Lösungen (z. B. Bundesorganen, interkan-\n\ntonalen Konferenzen, privaten Unternehmen oder Bürgern). Eine solche Bearbeitung von Perso-\n\nnendaten bedarf aus datenschutzrechtlicher Sicht einer besonderen formell-gesetzlichen Grund-\n\nlage (vgl. dazu Art. 36 nDSG; BBl 2017 7114). \n\n \n\nVor allem in der kantonalen Verwaltung, aber auch bei den Gerichten und den kommunalen Kör-\n\nperschaften, existieren heute zahlreiche Informations-, Geschäftsverwaltungs- und Datenablage-\n\nsysteme (Tribuna, Axioma, eXpert, Records Management System [RMS], Geres eCH, KLIB-\n\nnet/KESBweb, NSP HRM etc.), in denen Personendaten, auch besonders schützenswerte \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 19 | 27 \n\n \n\nPersonendaten, gemeinsam bearbeitet werden. Die Digitalisierung der Verwaltung wird entspre-\n\nchende Bearbeitungsprozesse vermehrt notwendig machen. Allerdings bedarf es hierzu der not-\n\nwendigen gesetzlichen Grundlagen. Für grössere Informatikprojekte wurden diese Grundlagen \n\nteilweise schon geschaffen. Man findet sie in den einschlägigen Sachgesetzgebungen (z.B. Art. \n\n179, 179b, 189a, 190a Steuergesetz vom 30. Oktober 1994 [StG; GDB 641.4] oder Art. 4 ff. Ge-\n\nsetz über die Harmonisierung der amtlichen Register vom 4. Dezember 2008 [kRHG; GDB \n\n131.4]). Kleineren Software-Implementierungen fehlen dagegen entsprechende gesetzliche \n\nGrundlagen. \n\n \n\nDiese Lücke soll durch eine formell-gesetzliche Grundlage geschlossen werden, welche die ge-\n\nmeinsame Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Personen-\n\ndaten, in Informations-, Geschäftsverwaltungs- und Datenablagesystemen regelt. Die vorgeschla-\n\ngene Bestimmung stellt die Rechtsgrundlage dar, um solche Daten per Abrufverfahren bekanntzu-\n\ngeben. Die gesetzliche Grundlage, die es den öffentlichen Organen erlaubt, für einen bestimmten \n\nZweck Personendaten zu bearbeiten, muss sich aber nach wie vor aus den Sacherlassen ergeben \n\n(Art. 34 nDSG; nicht zu verwechseln mit der Bst. e, die in Ergänzung zur Bst. a weitere Datenbear-\n\nbeitungsvorgänge erfassen soll). Die neue Regelung lehnt sich an die Lösung des Bundes für \n\nseine Geschäftsverwaltungssysteme (vgl. Art. 57hbis Regierungs- und Verwaltungsorganisations-\n\ngesetz vom 21. März 1997 [RVOG; SR 172.010]). Ähnliche Bestimmungen haben auch der Kan-\n\nton Glarus und der Kanton Luzern eingeführt. Andere Kantone besitzen punktuelle Regelungen in \n\nihren Sacherlassen. Da die neue kantonale Regelung einen allgemeingültigen Datenschutzgrund-\n\nsatz umsetzt, soll sie auch für die öffentlichen Organe auf kommunaler Ebene gelten, die dadurch \n\nvon der Einführung einer eigenen Regelung befreit werden.  \n\n \n\nDie Daten juristischer Personen fallen nicht mehr in den Geltungsbereich des kDSG. Aufgrund des \n\nLegalitätsprinzips bedarf aber jedes staatliche Handeln – und damit auch die Bearbeitung der Da-\n\nten juristischer Personen durch die öffentlichen Organe – einer gesetzlichen Grundlage. Aus die-\n\nsem Grund erfasst die Regelung in Art. 7a E-kDSG auch die Daten juristischer Personen (vgl. \n\ndazu auch BBl 2017 7107). Die besonders schützenswerten Daten juristischer Personen werden \n\nin Art. 57r RVOG umschrieben, jene der natürlichen Personen im nDSG. Soweit erforderlich kann \n\ndie Bestimmung durch kantonale Vollzugserlasse (Art. 8 E-kDSG) näher geregelt werden, auch \n\ndie Voraussetzungen der Datenbearbeitungen und die Einschränkungen der Bekanntgabe. \n\n \n\n \n\nOrganisation und Verfahren \n\nArt.  8 Regierungsrat und Obergericht \n\n \n\nÜberschrift: Vgl. dazu die nachfolgenden Ausführungen. \n\n \n\nAbs. 2: Die Bestimmung enthält eine beispielhafte Aufzählung der Bereiche, in denen die zum \n\nVollzug erforderlichen Ausführungsbestimmungen erlassen werden können. Über die Vollzugsge-\n\nsetzgebung kann bei Bedarf auch die – über den Verweis in Art. 2 Abs. 1 kDSG – anwendbare \n\nBundesgesetzgebung konkretisieren werden.  \n\n \n\nDie Regelungsbereiche sollen korrespondierend zu den neuen Instituten und Artikeln im Nachtrag \n\nergänzt werden. Es wird auf die diesbezüglichen Erläuterungen verwiesen. Die Hinweise auf das \n\neidgenössische Datenschutzgesetz wurden nachgeführt.  \n\n \n\nAbs. 3: Aus praktischen Überlegungen heraus soll das Obergericht für seinen Aufsichtsbereich die \n\nerforderlichen Vollzugsbestimmungen in Form von Reglementen selbst erlassen können. Dies ins-\n\nbesondere im Bereich der Richtlinie (EU) 2016/680, welche die Straf- und Strafvollzugsorgane be-\n\ntrifft. In diesem Bereich besteht eine geteilte Aufsicht, die sich auch in den Delegationsnormen \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 20 | 27 \n\n \n\nwiderspiegeln soll. Dem Obergericht unterstehen die Gerichte und die Staatsanwaltschaft, dem \n\nRegierungsrat die Polizei, allfällige Kontroll- und Übertretungsstraforgane und die Dienststelle \n\nStraf- und Massnahmenvollzug. \n\n \n\nAbs. 4: Es kann dereinst erforderlich sein, das Datenschutzniveau generell oder in bestimmten Be-\n\nreichen zu erhöhen. In diesem Fall können der Regierungsrat und das Obergericht – je in ihrem \n\nAufsichtsbereich – die Regelungen für die Straf- und Strafvollzugsorgane gemäss Art. 3 Ziff. 7 der \n\nRichtlinie (EU) 2016/680 für weitere öffentliche Organe auf kantonaler und kommunaler Ebene als \n\nanwendbar erklären. Dies soll über Ausführungsbestimmungen und Reglemente geschehen. \n\n \n\nArt.  9 Beauftragte Person für Datenschutz \n\n \n\nAbs. 1: Gemäss Art. 43 Abs. 2 Richtlinie [EU] 2016/680 müssen die Beauftragte Person sowie ihre \n\nStellvertretung über die – für die Erfüllung der Aufgaben und Ausübung der Befugnisse – erforder-\n\nliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbe-\n\nzogener Daten verfügen. Diese Forderung soll als Wahlvoraussetzung im kantonalen Recht statu-\n\niert werden. Mit Blick auf das gemeinsame Datenschutzorgan wurde eine analoge Formulierung \n\nwie im Kanton Schwyz gewählt.  \n\n \n\nArt.  10  b. Aufgaben \n\n \n\nAbs. 1: Gemäss Art. 37 Abs. 2 DSG müssen die Kantone ein Kontrollorgan bestimmen, welches \n\nfür die Einhaltung der minimalen Datenschutzvorgaben des Bundesgesetzes sorgt. Mit der Statu-\n\nierung von Art. 10 Abs. 1 kDSG und insbesondere dem darin enthaltenen Verweis auf das Bun-\n\ndesrecht ist der kantonale Gesetzgeber dieser Forderung nachgekommen. Mit dem nDSG werden \n\nArt. 37 Abs. 2 DSG und die Minimalvorgaben des Bundes für die Kantone ersatzlos aufgehoben. \n\nDamit fehlt Art. 10 Abs. 1 kDSG der rechtliche Zweck, weshalb die Bestimmung ebenfalls ersatz-\n\nlos gestrichen werden kann. Dass die beauftragte Person für Datenschutz nicht nur kantonales, \n\nsondern auch kommunales Kontrollorgan ist, hat in Art. 10 Abs. 1 kDSG keine eigenständige Be-\n\ndeutung, da dies bereits aus dem Geltungsbereich hervorgeht (Art. 1 Abs. 2 kDSG; vgl. auch die \n\nErläuterungen zur Anpassung des Ingresses).  \n\n \n\nAbs. 2: Art. 46 der Richtlinie (EU) 2016/680 und Art. 12bis SEV 108+ konkretisieren und strukturie-\n\nren die Aufgaben des beauftragten für Datenschutz neu. Die Regelungen schreiben zudem wirk-\n\nsamere Untersuchungs- und effektivere Einwirkungsbefugnisse vor, deren Umsetzung die Mit-\n\ngliedstaaten – hier der Kanton Obwalden – gewährleisten muss. Soweit erforderlich ist dies im \n\nkDSG nachzuführen: \n\n– Bst. b: Die Vermittlung zwischen öffentlichen Organen und/oder betroffenen Personen ist vom \n\nübergeordneten Recht nicht vorgeschrieben (KdK-Leitfaden, Ziff. 8.4g). Soweit ersichtlich ge-\n\nlangte die Regelung bislang nicht oft zur Anwendung (vgl. Tätigkeitsbericht DSB 2020 und \n\n2021). Im Bestreben, einen effizienten und effektiven Datenschutz im Kanton Obwalden zu ge-\n\nwährleisten, kann die Regelung gestrichen werden. \n\n– Bst. b1 (neu): Explizit aufzuführen ist neu die Aufgabe der Sensibilisierung der öffentlichen Or-\n\ngane und der Bevölkerung für datenschutzrechtliche Belange.  \n\n– Das europäische Recht schreibt vor, dass die Aufsichtsbehörde die massgeblichen Entwicklun-\n\ngen verfolgen muss, soweit sie sich auf den Schutz personenbezogener Daten auswirken, ins-\n\nbesondere die Entwicklung der Informations- und Kommunikationstechnologie. Es versteht sich \n\nvon selbst, dass diese Aufgabe zum Pflichtenheft der beauftragten Person für Datenschutz ge-\n\nhört und daher nicht explizit ins Gesetz aufzunehmen ist. \n\n \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 21 | 27 \n\n \n\nAbs. 3: Aufgrund der neuen Aufgabenstruktur müssen auch die Tätigkeiten der beauftragten Per-\n\nson für Datenschutz angepasst werden: \n\n– Bst. b: Die Vorabkonsultation löst die heutige Regelung der "Vorabkontrolle" ab (KdK-Leitfaden, \n\nZiff. 6.3). Die Bestimmung wurde an die europäischen Begrifflichkeiten angepasst. Inhaltlich \n\nbetrifft die Konsultationspflicht lediglich noch die Straf- und Strafvollzugsbehörden, weshalb die \n\nTätigkeit der beauftragten Person für Datenschutz hier eine Erleichterung erfährt. Vgl. auch die \n\nErläuterungen zu Art. 4 E-kDSG.  \n\n– Bst. c: Gemäss Art. 7 Ziff. 2 SEV 108+ und Art. 30 f. der Richtlinie (EU) 2016/680 hat das ver-\n\nantwortliche öffentliche Organ eine Verletzung der Datensicherheit der beauftragten Person für \n\nDatenschutz zu melden sowie – je nach den Umständen – die betroffene Person zu benach-\n\nrichtigen. Inhaltlich ist Art. 24 nDSG anwendbar. Die Tätigkeit der beauftragten Person für Da-\n\ntenschutz, die Meldung entgegenzunehmen und zu prüfen, könnte neu unter den Passus "Be-\n\nhandlung von Eingaben" gemäss Art. 10 Abs. 3 Bst. c kDSG subsumiert werden. Der Klarheit \n\nhalber soll aber die Behandlung von solchen und ähnlichen Meldungen als neue Tätigkeit der \n\nbeauftragten Person für Datenschutz statuiert werden. \n\n– Bst. d: Nach geltendem Recht muss die beauftrage Person für Datenschutz ein Register der \n\nDatensammlungen führen. Diese Pflicht entfällt. Die Tätigkeit in Art. 10 Abs. 3 Bst. b kDSG \n\nkann daher ersatzlos gestrichen werden. Im Gegenzug müssen die Straf- und Strafvollzugsbe-\n\nhörden ein Verzeichnis über die Datenbearbeitungstätigkeiten in ihrem Zuständigkeitsbereich \n\nführen, das auf Anfrage der beauftragten Person für Datenschutz zuzustellen ist (vgl. die Erläu-\n\nterungen zu Art. 5 E-kDSG). Damit entfallen für die beauftragte Person für Datenschutz nicht \n\nnur die Registerpflicht, sondern auch wesentliche Kontrollaufgaben.  \n\n \n\nArt. 11a d. Ausnahmen von der Aufsicht (neu) \n\n \n\nAusnahmen vom Geltungsbereich des kDSG dürfen grundsätzlich nicht mehr statuiert werden. \n\nDas heisst, dass alle öffentlichen Organe des Kantons Obwalden bei der Verarbeitung von Perso-\n\nnendaten dem kantonalen Datenschutzrecht unterstehen. Davon zu unterscheiden ist die Frage, \n\nüber welche Verarbeitungen die beauftragte Person für Datenschutz eine Aufsicht haben soll.  \n\n \n\nGemäss Art. 45 Abs. 2 der Richtlinie (EU) 2016/680 ist die Aufsichtsbehörde nicht zuständig für \n\ndie Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verar-\n\nbeitungen von Personendaten. Weiter kann nach der Richtlinie vorgesehen werden, dass die Auf-\n\nsichtsbehörde auch nicht zuständig ist für die Überwachung der von anderen unabhängigen Jus-\n\ntizbehörden im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen. Ähnlich be-\n\nstimmt Art. 12bis Ziff. 9 SEV 108+, dass die Aufsichtsbehörde nicht zuständig ist im Falle von Ver-\n\narbeitungen, die von Organen in Ausübung ihrer Rechtsprechungsbefugnisse ausgeführt werden.  \n\n \n\nSomit lässt das SEV 108+ Ausnahmen bei allen Verarbeitungen zu, die von einem öffentlichen Or-\n\ngan – Gericht oder Verwaltungsbehörde – in Zusammenhang mit seiner rechtsprechenden Tätig-\n\nkeit erfolgt sind. Geht man davon aus, dass unter dem Begriff der Rechtsprechung die Tätigkeit \n\nvon Rechtsmittelinstanzen gemeint ist, kann im Umkehrschluss gefolgert werden, dass alle Verar-\n\nbeitungen in Zusammenhang mit erstinstanzlichen, in der Regel nichtstreitigen Verfahren der Auf-\n\nsicht nicht entzogen werden dürfen. Die Richtlinie (EU) 2016/680 lässt ebenfalls Ausnahmen bei \n\nallen Verarbeitungen zu, die in Ausübung von justiziellen Tätigkeiten erfolgt sind. Sie schränkt \n\naber die Ausnahmen auf Gerichte und unabhängige Justizbehörden ein. Für die Straf- und Straf-\n\nvollzugsbehörden bedeutet dies, dass lediglich die Verarbeitungen von Gerichtsbehörden inklusive \n\nder Staatsanwaltschaft von der Aufsicht ausgenommen werden dürfen, nicht aber jene in den erst-\n\ninstanzlichen Verfahren, beispielsweise in den Verfahren der Übertretungsstrafbehörden, der Poli-\n\nzei und der Dienststelle Straf- und Massnahmenvollzug. Da die Richtlinie im Kanton Obwalden \n\nnicht gesamthaft auf alle Organe angewendet wird, deckt sich ihr Ausnahmebereich etwa mit je-\n\nnem des SEV 108+. Mithin also können von der Aufsicht durch die beauftragte Person alle \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 22 | 27 \n\n \n\nVerarbeitungen ausgenommen werden, die von Gerichten, unabhängigen Straforganen oder \n\nRechtsmittelinstanzen (z.B. Departemente und Regierungsrat) im Rahmen von rechtsprechenden \n\noder justiziellen Tätigkeiten erfolgt sind, nicht aber die Verarbeitungen im Rahmen von erstinstanz-\n\nlichen Verfahren. \n\n \n\nDie Verfahren der Zivil-, Straf- und Verwaltungsrechtspflege werden vom Geltungsbereich des \n\nkDSG nicht mehr ausgeschlossen, sondern unterstehen neu dem bereichsspezifischen Daten-\n\nschutzrecht der Prozessordnungen (vgl. dazu die Erläuterungen zu Art. 1 Abs. 5 E-kDSG). Die \n\nÜberprüfung, ob die entsprechenden Persönlichkeits- und Grundrechte im vorgängigen Verfahren \n\neingehalten wurden, wird in erster Linie von den Rechtsmittelinstanzen wahrgenommen (vgl. die \n\nErläuterungen zu Art. 1 Abs. 5 E-kDSG). Daher rechtfertigt es sich – mit Ausnahme des erstin-\n\nstanzlichen Verwaltungsverfahrens – jene Verarbeitungen von der Aufsicht der beauftragten Per-\n\nson für Datenschutz auszunehmen, die von Gerichten, unabhängigen Straforganen oder Rechts-\n\nmittelinstanzen im Rahmen ihrer rechtsprechenden oder justiziellen Tätigkeit erfolgt sind.  \n\n \n\nNicht ausgeschlossen vom Geltungsbereich sind auch die Verarbeitungen von Personendaten \n\ndurch den Kantonsrat und den Regierungsrat. Allerdings sollen die Verarbeitungen des Kantons-\n\nrats, seiner Kommissionen, des Ratspräsidiums oder der Ratsleitung nicht der Aufsicht durch die \n\nbeauftragte Person für Datenschutz unterstehen. Die Ausnahme erfolgt aus Gründen der Gewal-\n\ntenteilung. Andernfalls könnte der Kantonsrat seiner parlamentarischen Oberaufsicht nicht mehr \n\nnachkommen. Hinzu kommt, dass das Gesetz über den Kantonsrat vom 21. April 2005 (Kantons-\n\nratsgesetz [KRG]; GDB 132.1) und die Geschäftsordnung des Kantonsrats vom 21. April 2005 \n\n(GDB 132.11) zahlreiche Bestimmungen enthalten, welche den Umgang mit Informationen regeln \n\nund als bereichsspezifisches Datenschutzrecht die Persönlichkeits- und Grundrechte gewährleis-\n\nten (Art. 1 Abs. 4 kDSG). Aus ähnlichen Überlegungen sind – analog zum eidgenössischen Daten-\n\nschutzgesetz (Art. 2 Abs. 2 Bst. b nDSG; BBl 2017 7018) und den revidierten Gesetzgebungen \n\nverschiedener Kantone – die Datenverarbeitungen des Regierungsrats über die Rechtspre-\n\nchungstätigkeit hinausgehend von der Aufsicht durch die beauftragte Person auszunehmen.  \n\n \n\nIn Sinne dieser Ausführungen werden folgende Organe von der Aufsicht ausgenommen: \n\n– der Kantonsrat und seine Organe; \n\n– der Regierungsrat; \n\n– die Gerichtsbehörden, im Rahmen der rechtsprechenden Tätigkeit; \n\n– die Staatsanwaltschaft, im Rahmen ihrer Tätigkeit im Strafverfahren (z.B. im Bereich der häusli-\n\nchen Gewalt amtet die Staatsanwaltschaft als "normale" Verwaltungsbehörde); \n\n– die übrigen öffentlichen Organe, im Rahmen der rechtsprechenden Tätigkeit (darunter fallen \n\nAmtsstellen, Kommissionen, Behörden oder Personen, sei es im Kanton, in den Gemeinden \n\noder in anderen öffentlichen-rechtlichen Körperschaften [z.B. nach Art. 107 ff. KV]). \n\n \n\nArt. 14 c. Sachverhalt, Verfügung und Rechtsmittel \n\n \n\nDie beauftragte Person für Datenschutz besitzt im Rahmen ihrer heutigen Befugnisse bereits um-\n\nfassende Untersuchungs- und effektive Einwirkungsbefugnisse (Art. 11 kDSG). Nach Art. 12bis \n\nZiff. 2 Bst. c und d sowie Ziff. 6 SEV 108+ und Art. 47 Abs. 2 Bst. b und c sowie Abs. 5 und Art. 57 \n\nder Richtlinie (EU) 2016/680 muss die beauftragte Person für Datenschutz neu befugt sein, bei \n\nVerstössen gegen das Datenschutzrecht Verfügungen und verwaltungsrechtliche Sanktionen zu \n\nerlassen. Sind schutzwürdige Interessen gefährdet oder verletzt, muss sie zudem die Befugnis ha-\n\nben, vorsorglich eine Datenbearbeitung zu untersagen. Es ist vorzusehen, dass die Verfügungen \n\nauch vor Gericht angefochten werden können. Schliesslich muss die beauftragte Person für Da-\n\ntenschutz das Recht haben, im Falle von Datenschutzverletzungen bei gerichtlichen Instanzen \n\nKlage zu erheben und bei den Aufsichtsbehörden Anzeigen einzureichen (KdK-Leitfaden, Ziff. 8.5c \n\n– 8.5f).  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 23 | 27 \n\n \n\n \n\nÜberschrift: Redaktionelle Anpassung (es geht hier nicht um die Aufsicht, sondern um das Verwal-\n\ntungsverfahren, namentlich um die Sachverhaltserhebung, die Verfügungskompetenzen sowie die \n\nRechtsmittel). \n\n \n\nAbs. 3: Mutmasslicher Verursacher der Datenschutzverletzung und damit Partei im Verwaltungs-\n\nverfahren ist das betreffende öffentliche Organ. Der Klarheit halber wird Satz 2 von Art. 14 Abs. 3 \n\nkDSG dahingehend geändert, dass die übergeordnete Behörde des öffentlichen Organs über den \n\nAntrag der beauftragten Person für Datenschutz zu orientieren ist. \n\n \n\nAbs. 4: Kommt das öffentliche Organ einem Antrag der beauftragten Person für Datenschutz nicht \n\nvollumfänglich nach, so kann diese zur Durchsetzung der Massnahmen (neu) eine Verfügung er-\n\nlassen. Die Verfügungsmöglichkeit ist jedoch beschränkt auf Fälle, bei denen eine erhebliche Ver-\n\nletzung von Bestimmungen über den Datenschutz vorliegen (vgl. dazu beispielsweise BBl 2017 \n\n7057). Das Verfahren richtet sich nach dem StVG und seinen Ausführungserlassen, namentlich \n\nder Verordnung über das Verwaltungs- und Verwaltungsbeschwerdeverfahren vom 29. Januar \n\n1998 (VwVV; GDB 133.21). Damit ist auch die Möglichkeit der Anordnung von vorsorglichen Mas-\n\nsnahmen geregelt (Art. 68 StVG und Art. 5 Abs. 1 VwVV).  \n\n \n\nZudem steht der beauftragten Person für Datenschutz jederzeit das Recht zu, mit einer Anzeige \n\nan die Aufsichtsbehörde des öffentlichen Organs zu gelangen. Denn Tatsachen, die ein Einschrei-\n\nten gegen eine Behörde oder Amtsstelle im öffentlichen Interesse als erforderlich erscheinen las-\n\nsen, können der Aufsichtsbehörde jederzeit angezeigt werden, sofern der Erlass einer anfechtba-\n\nren Verfügung oder die Erhebung einer Beschwerde nicht möglich ist (Art. 23 Abs. 1 VwVV). Das \n\nAnzeigerecht ergibt sich aber auch aus Art. 301 StPO. Zu erwähnen ist zudem die Anzeigepflicht \n\nder beauftragten Person für Datenschutz, die sich aus Art. 60e GOG ergibt. \n\n \n\nAbs. 5: Erlässt die beauftragte Person für Datenschutz neu eine Verfügung, und ist diese fehler-\n\nhaft, muss dagegen Beschwerde erhoben werden können. Daher muss neu das Beschwerderecht \n\nder öffentlichen Organe näher geregelt werden (Art. 67 Abs. 3 Bst. b StVG). Grundsätzlich ist das \n\nbetroffene öffentliche Organ als Verfügungsadressat mit dem Entscheid beschwert und daher \n\nauch zur Beschwerdeerhebung legitimiert. Um eine einheitliche Handhabung innerhalb der kanto-\n\nnalen Verwaltung sicherzustellen, soll das Beschwerderecht von Abteilungen und Dienststellen \n\noder anderen untergeordneten Verwaltungseinheiten durch das zuständige Amt ausgeübt werden. \n\nDie übrigen (hierarchisch aufgebauten) Organisationseinheiten können ebenfalls eine andere \n\nStelle bezeichnen, die für die Beschwerdeeinreichung zuständig sein soll. In diesem Zusammen-\n\nhang erscheint es sachgerecht, sich an den Regelungen des neuen kantonalen Gesetzes über \n\ndas Öffentlichkeitsprinzip (OeG) zu orientieren. Ob demnach das betroffene öffentliche Organ oder \n\nein übergeordnetes Organ die Beschwerde einreicht, soll sich sinngemäss nach Art. 10 Abs. 1 \n\nOeG bestimmen (vgl. Botschaft des Regierungsrats zu einem Gesetz über das Öffentlichkeitsprin-\n\nzip vom 13. Juni 2022, S. 33 f.). Da die Verfügung die Datenschutzverletzung eines öffentlichen \n\nOrgans betrifft, mithin also es um ein Verhältnis zwischen dem öffentlichen Organ und der beauf-\n\ntragten Person für Datenschutz geht, steht der betroffenen Person gegen die Verfügung kein Be-\n\nschwerderecht zu. Hebt die Beschwerdeinstanz die Verfügung der beauftragten Person für Daten-\n\nschutz auf, muss dieser ebenfalls das Beschwerderecht für den Weiterzug zustehen. \n\n \n\nAuch der Rechtsmittelweg orientiert sich passenderweise am OeG. Daher soll sich die Zuständig-\n\nkeit der Beschwerdeinstanzen sinngemäss nach Art. 10 Abs. 3 OeG bestimmen (beispielsweise \n\nsind also Anordnungen der beauftragten Person für Datenschutz gegenüber dem Kantonsgericht \n\nvon dessen Präsidien beim Verwaltungsgericht anzufechten [Art. 10 Abs. 1 Satz 2 und Abs. 3 \n\nBst. a OeG]).  \n\n \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 24 | 27 \n\n \n\nEs versteht sich von selbst, dass die beauftragte Person für Datenschutz keine Anordnungen ge-\n\ngenüber dem Verwaltungsgericht treffen kann (KdK-Leitfaden, Ziff. 8.5.c), da dies mit dem Prinzip \n\nder Gewaltenteilung nicht vereinbar wäre. Ebensowenig gegenüber dem Obergericht. Andernfalls \n\ndürften hier praktische Schwierigkeiten in der Anwendung entstehen. Denn das Verwaltungsge-\n\nricht bildet (lediglich) eine Abteilung des Obergerichts. \n\n \n\nDie internationalen Rechtsgrundlagen sehen wirksame, verhältnismässige und abschreckende \n\nSanktionen bei Verstössen gegen die Datenschutzbestimmungen vor. Es wird allerdings vorge-\n\nschlagen, auf die Statuierung von expliziten Sanktionsbefugnissen der beauftragten Person für \n\nDatenschutz gegenüber den öffentlichen Organen zu verzichten. Insbesondere Bussen innerhalb \n\nder Verwaltung, und letztlich aus demselben Budget, machen keinen Sinn (KdK-Leitfaden, \n\nZiff. 8.5f). \n\n \n\n \n\nÜbergangs- und Schlussbestimmungen \n\n \n\nEs bedarf keiner speziellen Übergangsbestimmungen. \n\n \n\n \n\nZiffer II: Fremdänderungen \n\n \n\nGesetz über den Erwerb und den Verlust des Kantons– und Gemeindebürgerrechts vom 17. Mai \n\n1992 (BRG; GDB 111.2) \n\nArt. 17b Bearbeitung von Personendaten \n\n \n\nRedaktionelle Anpassung (vgl. die Ausführungen zu Kapitel 0). \n\n \n\nArt. 17c Amtshilfe \n\n \n\nDie Erteilung des Bürgerrechts hängt naturgemäss mit dem Wohnsitz zusammen. Einbürgerungs-\n\nwillige Personen müssen einen ununterbrochenen Mindestaufenthalt von mehreren Jahren im \n\nKanton und in der gleichen Gemeinde nachweisen, damit ihnen das Bürgerrecht erteilt werden \n\nkann (Art. 5 BRG). Wer nur im Kanton Obwalden angemeldet ist, ohne sich tatsächlich hier aufzu-\n\nhalten, erfüllt die Wohnsitzvoraussetzungen nicht. Erforderlich ist unter anderem, dass am Wohn-\n\nsitz familiäre, berufliche oder schulische Beziehungen bestehen, die den Lebensmittelpunkt reflek-\n\ntieren. \n\n \n\nUm den Lebensmittelpunkt einer gesuchstellenden Person während der massgebenden Wohnsitz-\n\ndauer feststellen zu können, müssen in einzelnen Fällen die Daten betreffend den durchschnittli-\n\nchen Strom- und Wasserbezug für diese Zeit vom zuständigen Werk einverlangt werden. Die Ein-\n\nbürgerungsbehörden erheben diese Daten im Rahmen der Sachverhaltsfeststellung. Der Klarheit \n\nhalber soll Art. 17c Abs. 1 BRG, der die Amtshilfe im Einbürgerungsverfahren unter den kantona-\n\nlen und kommunalen öffentlichen Organen regelt, diesbezüglich konkretisiert werden. \n\n \n\n \n\nVerordnung über das Einwohnerregister vom 4. Dezember 2008 (GDB 113.11; ERV) \n\nIngress \n\n \n\nDie Zitierung der Kantonsverfassung, die im Ingress als gesetzliche Grundlage der ERV aufgeführt \n\nwird, ist mit einer Abkürzung zu versehen, da diese in Art. 2 Abs. 2a E-ERV benötigt wird. \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 25 | 27 \n\n \n\nArt.  2 Bekanntgabe von Daten an private Personen oder Organisationen \n\n \n\nAbs. 2a (neu): Den Korporationen, Teilsamen und Alpgenossenschaften kann heute lediglich im \n\nEinzelfall und auf Anfrage hin Name, Vorname, Geschlecht, Adresse, Beruf, Geburtsdatum, Hei-\n\nmatort, Staatsangehörigkeit sowie die Wohnortsanmeldung und -abmeldung einer Person bekannt \n\ngegeben werden. Und dies auch nur, wenn ein berechtigtes Interesse glaubhaft gemacht wird.  \n\n \n\nAllerdings bedürfen diese Körperschaften zur Führung ihrer Bürgerregister regelmässig der ent-\n\nsprechenden Grundangaben aus den Einwohnerregistern der jeweiligen Gemeinden. Mit der \n\nneuen Regelung soll es den Einwohnerregisterstellen der betreffenden Gemeinden ermöglicht \n\nwerden, die betreffenden Körperschaften über allfällige Änderungen der Grundangaben zu infor-\n\nmieren. \n\n \n\nArt.  3 Kanton / a. Aufsicht \n\n \n\nÜberschrift / Abs. 3 (neu): Wie in allen Verwaltungsbereichen gibt es auch im Registerwesen öf-\n\nfentliche Organe, die sich mit Aufsichtstätigkeiten befassen. Bei den Einwohnerregistern ist der \n\nRegierungsrat die zuständige Aufsichtsbehörde. Das Amt für Justiz nimmt die Aufsicht über die \n\nRegisterführung für den Regierungsrat wahr (Art. 3 Abs. 1 Bst. b Ziff. 12 und Art. 4 Abs. 1 Bst. b \n\nZiff. 13 Ausführungsbestimmungen über die Aufgaben und Gliederung der Departemente vom \n\n4. Juni 2002 [GDB 133.111]).  \n\n \n\nDie Tätigkeit besteht vorwiegend aus dem Instruieren der Beschwerdeentscheide, aber auch aus \n\nder Klärung von rechtlichen oder operativen Anfragen. Hierfür wird Einsicht in die Registerdaten \n\ngenommen (GERES eCH), um z.B. die Bewirtschaftung bestimmter Daten des Merkmalkatalogs \n\nzu analysieren. In diesem Sinne werden die Registerdaten, worunter sich auch schützenswerte \n\nPersonendaten befinden, im Rahmen der Aufsichtstätigkeit bearbeitet. Hierfür bedarf es daten-\n\nschutzrechtlich einer Grundlage in einem Gesetz im formellen Sinn (vgl. Art. 34 Abs. 2 oder 3 \n\nnDSG) \n\n \n\nDie Aufsichtsaufgabe im Bereich der Einwohnerregister ist lediglich in einer Verordnung geregelt, \n\nweshalb zusätzlich eine gesetzliche Grundlage im übergeordneten Registerharmonisierungsge-\n\nsetz zu schaffen ist (vgl. Art. 10 Abs. 2 E-kRHG). \n\n \n\n \n\nVollziehungsverordnung zum Bundesgesetz über die Ausländerinnen und Ausländer sowie zum \n\nAsylgesetz vom 30. November 2007 (GDB 113.21) \n\nArt. 32a  Datenbearbeitung \n\n \n\nRedaktionelle Anpassung (vgl. die Ausführungen zu Kapitel 0). \n\n \n\n \n\nVerordnung über das Staatsarchiv vom 18. Oktober 1996 (GDB 131.21) \n\nArt. 10 Beschränkungen der Einsichtnahme \n\n \n\nAbs. 1: Redaktionelle Anpassung (vgl. die Ausführungen zu Kapitel 0). \n\n \n\n \n\n  \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 26 | 27 \n\n \n\nGesetz über die Harmonisierung der amtlichen Register vom 4. Dezember 2008 \n\n(GDB 131.4; kRHG) \n\nArt.  10  Datenschutz \n\n \n\nAbs. 2 (neu): Vgl. dazu die Erläuterung zu Art. 3 E-ERV.  \n\n \n\n \n\nPolizeigesetz vom 11. März 2010 (GDB 510.1) \n\nArt.  37 Datenbearbeitung und Datenbearbeitungssysteme \n\n \n\nAbs. 2: Redaktionelle Anpassung (vgl. die Ausführungen zu Kapitel 0). \n\n \n\nArt. 40 Vernichtung von Daten und Löschung von Aufzeichnungen \n\n \n\nAbs. 1: Aus Sicht der Archivtätigkeit steht die absolute Formulierung in Art. 40 PolG (Vernichtung \n\nder Daten von Amtes wegen) – die nicht nur die Personendaten, sondern alle Arten von Daten er-\n\nfasst – im Widerspruch zum Archivierungsvorbehalt in Art. 6 kDSG, insbesondere aber zu Art. 5 \n\nAbs. 1 der Verordnung über das Staatsarchiv. Danach hat eine Vernichtung erst zu erfolgen, wenn \n\ndie Daten nicht mehr benötigt werden und das Staatsarchiv diese als nicht archivwürdig bezeich-\n\nnet hat. Aus polizeilicher Sicht rechtfertigen sich jedoch Ausnahmen vom Archivierungsvorbehalt. \n\nDie Polizei wird bereits vor der Eröffnung eines Strafverfahrens präventiv und zur Verhinderung \n\noder Erkennung von Straftaten tätig. Dazu darf sie auch nicht verifizierte Daten und Verdachtsda-\n\nten bearbeiten (Art. 37 Abs. 3 PolG). Dies tut sie insbesondere im Polizeijournal, in welches Mel-\n\ndungen ohne Verifizierung Eingang finden und im Nachgang grundsätzlich nicht berichtigt werden. \n\nDa diese Daten weder verifiziert noch kontextualisiert sind, ist einerseits der Mehrwert für die Ar-\n\nchivierung fragwürdig, andererseits ist das Reputationsrisiko für die betroffenen Personen ungleich \n\nhöher als bei Daten aus formellen Ermittlungen. Diese stehen im Kontext eines konkreten Straf-\n\nverfahrens und bilden in ihrer Gesamtheit das Produkt einer objektiven und ausgewogenen Ermitt-\n\nlungstätigkeit. Auch Daten von Überwachungssystemen und anderen Polizeibehörden sind kaum \n\narchivwürdig. Und sie müssen teilweise innert einer festgelegten Frist automatisiert gelöscht wer-\n\nden oder unterliegen gar nicht originär der Datenherrschaft der Kantonspolizei. Diese Daten, wie \n\nauch die nicht verifizierten Daten des Polizeijournals, sind von der Archivpflicht auszunehmen. \n\nErst mit der Rapportierung eines Falls durch die Kantonspolizei werden die erhobenen Daten in \n\neine verwertbare Form gebracht, im polizeilichen Informationssystem systematisch erfasst und im \n\nPolizeirapport kontextualisiert. Diese "Falldaten" sind dem Staatsarchiv anzubieten. Dem Staatsar-\n\nchiv natürlich ebenfalls anzubieten sind die Daten, welche sich aus der Verwaltungstätigkeit der \n\nKantonspolizei ergeben. In diesem Sinne ist die Regelung zu konkretisieren. \n\n \n\n \n\nZiffer III: Fremdaufhebungen  \n\n \n\nEs gibt keine Fremdaufhebungen. \n\n \n\n \n\nZiffer IV: Inkrafttreten  \n\n \n\nDie vorliegenden Rechtsänderungen bedürfen keiner speziellen Übergangsbestimmungen. Allen-\n\nfalls bedarf die Umsetzung des neuen Rechts mehr Zeit als erwartet. Dem Regierungsrat wird die \n\nKompetenz übertragen, das Inkrafttreten zu bestimmen. Darin enthalten ist auch die Befugnis, den \n\n\n\nBericht des Sicherheits- und Sozialdepartements zum Entwurf eines Nachtrags zum Gesetz über den Datenschutz \n\nSignatur/G-Nr. OWSJD.412 Seite 27 | 27 \n\n \n\nNachtrag gestaffelt in Kraft zu setzen. Notfalls kann damit einer Verzögerung bei der Umsetzung \n\ndes neuen Rechts begegnet werden. \n\n \n\n \n\nAuswirkungen \n\nDie fortschreitende Digitalisierung und die daraus entstehenden Datenschutzproblematiken führen \n\nganz allgemein zu komplexeren Fragestellungen und zu einer Verlagerung der Kontrolltätigkeit in \n\nden technischen Aufsichtsbereich. Diesem Umstand ist Rechnung zu tragen im Rahmen des Bud-\n\ngets und der Aufgaben- und Finanzplanung. Davon zu unterscheiden sind die finanziellen Auswir-\n\nkungen, die mit dem Inkrafttreten des vorliegenden Nachtrags und im Hinblick auf die Umsetzung \n\ndes neuen europäischen Datenschutzrechts entstehen.  \n\n \n\nDie Abschätzung des konkreten finanziellen Aufwands ist schwierig. Einige Kantone gehen davon \n\naus, dass die Umsetzung des europäischen Rechts keine grossen finanziellen Auswirkungen ha-\n\nben wird. Die Mehrheit der Kantone geht davon aus, dass sich die neuen Aufgaben schrittweise \n\nentwickeln und die Aufwände mit der Zeit wachsen werden. Diese Kantone arbeiten vorerst mit \n\nden vorhandenen Ressourcen weiter, um diese nach einer gewissen Zeit (z.B. einer Amtsdauer) \n\nzu evaluieren. Nur wenige Kantone sehen personelle Aufstockungen vor, unter anderem aufgrund \n\nder Einrichtung eines neuen Datenschutzkontrollorgans. \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\nBeilage: \n\n- Entwurf Synopse \n\n\n\tZusammenfassung\n\tAusgangslage\n\tTotalrevision des eidgenössischen Datenschutzrechts\n\tRevisionsgründe\n\tVerbindlichkeit des europäischen Rechts für die Kantone\n\tSchengen-Evaluierung\n\tAuftrag\n\n\tRegelungsnotwendigkeit und Anpassungsbedarf\n\tRegelungsnotwendigkeit\n\tKeine Notwendigkeit aufgrund des nDSG\n\tWeiterentwicklung des europäischen Datenschutzrechts\n\n\tAnpassungsbedarf\n\tVerordnung (EU) 2016/679\n\tRichtlinie (EU) 2016/680\n\tSEV 108+\n\tKantonales Recht\n\n\tGrundzüge der kantonalen Vorlage\n\tKonzeptionelle Überlegungen\n\tAnpassungen im kantonalen Recht\n\n\n\tErläuterungen zu den einzelnen Artikeln\n\tZiffer I: Nachtrag zum Datenschutzgesetz\n\tIngress und Geltungsbereich\n\tAllgemeine Datenschutzbestimmungen\n\tBesondere Datenschutzbestimmungen (neu)\n\tOrganisation und Verfahren\n\tÜbergangs- und Schlussbestimmungen\n\n\tZiffer II: Fremdänderungen\n\tGesetz über den Erwerb und den Verlust des Kantons– und Gemeindebürgerrechts vom 17. Mai 1992 (BRG; GDB 111.2)\n\tVerordnung über das Einwohnerregister vom 4. Dezember 2008 (GDB 113.11; ERV)\n\tVollziehungsverordnung zum Bundesgesetz über die Ausländerinnen und Ausländer sowie zum Asylgesetz vom 30. November 2007 (GDB 113.21)\n\tVerordnung über das Staatsarchiv vom 18. Oktober 1996 (GDB 131.21)\n\tGesetz über die Harmonisierung der amtlichen Register vom 4. Dezember 2008 (GDB 131.4; kRHG)\n\tPolizeigesetz vom 11. März 2010 (GDB 510.1)\n\n\tZiffer III: Fremdaufhebungen\n\tZiffer IV: Inkrafttreten\n\n\tAuswirkungen\n\n


body_key: OW

parent_type: affair

format: application/pdf

text: \n 34.12.02 \n\nP.S.: Änderungen und Ergänzungen gegenüber der Vorlage des Regierungs-\nrats vom 3. April 2012 sind randvermerkt und unterstrichen, Wegfallen-\ndes ist durchgestrichen. \n\nKantonsratsbeschluss \nüber Rahmenkredite 2012 bis 2015 für Programm-\nvereinbarungen mit dem Bund im Umweltbereich \n\nÄnderungsanträge der CVP-Fraktion vom 22. Mai 2012 \n\n \n\n2. Für die Umsetzung der Programmvereinbarungen im Umweltbereich mit \ndem Bund in den Jahren 2012 bis 2015 werden zulasten der Erfolgs-\nrechnung Rahmenkredite von insgesamt Fr. 3 150 0003 410 000.– bewil-\nligt. Diese verteilen sich auf die Bereiche: \n\na. Natur und Landschaft Fr.\n 1 910 0002 170 000.– \n\nb. Biodiversität im Wald Fr. 485 000.– \nc. Waldwirtschaft Fr. 410 000.– \nd. Wild- und Wasservogelschutzgebiete Fr. 345 000.– \n\n \n\n\n