name: Vorlage des Regierungsrates vom 21.05.2019, ADS 19-43

text: \nVorlage des Regierungsrates vom 21. Mai 2019 \n\nBericht und Antrag 19-43 \n\ndes Regierungsrats des Kantons Schaffhausen \n\nan den Kantonsrat \n\nbetreffend Änderung des Gesetzes über den Schutz von Personendaten \n\n(Kantonales Datenschutzgesetz)  \n\nSehr geehrter Herr Präsident \n\nSehr geehrte Damen und Herren \n\n \n\nWir unterbreiten Ihnen hiermit Bericht und Antrag zur Änderung des Gesetzes über den Schutz von \n\nPersonendaten (Kantonales Datenschutzgesetz) vom 7. März 1994 1). \n\n \n\nDie vorzunehmenden Änderungen sind einerseits notwendig, um der fortschreitenden Digitalisierung \n\nim Bereich des Datenschutzes Rechnung zu tragen. Andererseits ist die Schweiz verpflichtet, be-\n\nstimmte neue Vorgaben des europäischen Rechts in die innerstaatliche Rechtsordnung umzuset-\n\nzen. Die neuen Bestimmungen sollen dabei insbesondere die Rechte der von Datenbearbeitungen \n\nbetroffenen Personen stärken, indem die Anforderungen an die Transparenz bei Datenbearbeitun-\n\ngen erhöht und datenbearbeitende Behörden für Themen des Datenschutzes sensibilisiert werden. \n\nAusserdem soll die Unabhängigkeit der kantonalen Aufsichtsstelle gestärkt werden. \n\n \n\nZur Ausarbeitung des revidierten Datenschutzgesetzes wurde unter Zuhilfenahme eines von der \n\nKonferenz der Kantonsregierungen erarbeiteten Leitfadens analysiert, welcher zwingende Anpas-\n\nsungsbedarf im kantonalen Datenschutzgesetz aufgrund der neuen europäischen Vorgaben be-\n\nsteht. Gestützt darauf wurde ein Vorentwurf der anzupassenden Bestimmungen erarbeitet und ein \n\nVernehmlassungsverfahren unter Einbezug der politischen Parteien, der Gemeinden und der kan-\n\ntonalen Verwaltung durchgeführt. Der vorliegende Gesetzesentwurf wurde schliesslich unter Be-\n\nrücksichtigung der eingegangenen Vernehmlassungsergebnisse erarbeitet. Er beschränkt sich auf \n\ndie aufgrund der europäischen Normen zwingend notwendigen Anpassungen. \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n1) SHR 174.100. \n\n\n\n 2 \n\nI. Ausgangslage \n\nDie Gesetzgebung im Bereich des Datenschutzes befasst sich mit dem Umgang mit Personendaten, \n\ndas heisst mit Daten, die sich auf bestimmte oder bestimmbare Personen beziehen. Verfügt ein \n\nDritter - sei dies ein öffentliches Organ oder eine juristische oder natürliche Person - über Daten \n\neiner anderen Person, ist zu regeln, wie diese Daten bearbeitet werden dürfen. Kern des Daten-\n\nschutzrechts ist der Schutz der Persönlichkeit der von einer Datenbearbeitung betroffenen Person, \n\ninsbesondere deren Recht auf informationelle Selbstbestimmung. Die Datenschutzgesetze regeln \n\ndeshalb, wie der Inhaber der Daten mit diesen umzugehen hat, welche Rechte der von der Bearbei-\n\ntung betroffenen Person zukommen und wie die Aufsicht über Datenbearbeitungen zu gestalten ist. \n\n \n\nIn der Schweiz ist es Aufgabe des Bundes, Datenbearbeitungen durch Private und öffentliche Or-\n\ngane des Bundes zu regeln. Dieser Aufgabe ist der Bund mit Erlass des Bundesgesetzes über den \n\nDatenschutz (DSG) vom 19. Juni 1992 2) nachgekommen. \n\n \n\nDen Kantonen obliegt die Regelung von Datenbearbeitungen durch kantonale und kommunale öf-\n\nfentliche Organe. Im Kanton Schaffhausen ist diesbezüglich insbesondere das kantonale Daten-\n\nschutzgesetz relevant. \n\n \n\nDie rasante technologische Entwicklung der letzten Jahre hat dazu geführt, dass Datenbearbeitun-\n\ngen heute sehr weitgehend auf elektronischem Weg geschehen. Dies bedeutet einerseits, dass die \n\nnationale Gesetzgebung sich dieser Entwicklung anzupassen hat, um die Entstehung rechtsfreier \n\nRäume zu vermeiden. Andererseits bringen Digitalisierung und Globalisierung auch mit sich, dass \n\ndem grenzüberschreitenden Datenverkehr immer grössere Bedeutung zukommt. In diesem Zusam-\n\nmenhang sind internationale Vereinbarungen und Rechtssetzungsakte im Bereich des Datenschut-\n\nzes von wachsender Relevanz. Aus den genannten Gründen haben die Europäische Union und der \n\nEuroparat ihre Datenschutzgesetzgebungen jüngst umfassend revidiert. Diese Revisionen haben \n\nAuswirkungen auf die Gesetzgebung der Schweiz und zwar sowohl auf jene des Bundes wie auch \n\nauf jene der Kantone. Soweit die Rechtsetzungszuständigkeit beim Bund liegt, nimmt dieser die \n\nAnpassungen in der derzeit laufenden Revision des Bundesgesetzes über den Datenschutz vor. Im \n\nKanton Schaffhausen resultiert Anpassungsbedarf im kantonalen Datenschutzgesetz.  \n\nII. Relevante europäische Rechtssetzungsakte \n\nFür die Schweiz sind im europäischen Kontext folgende neuen oder umfassend revidierten Rechts-\n\nsetzungsakte von Bedeutung: \n\n \n\n \n\n \n\n \n\n \n\n2) SR 235.1, derzeit in Totalrevision. \n\n\n\n 3 \n\n1. Verordnung (EU) 2016/679 \n\nIn der Europäischen Union ist die Verordnung (EU) 2016/679 der grundlegende Datenschutzerlass. \n\nEs handelt sich um einen neuen Rechtssetzungsakt der Europäischen Union, der Ende Mai 2018 \n\nGeltung erlangte. Die Verordnung regelt hauptsächlich den Schutz von Personen, deren Daten im \n\nRahmen des Binnenmarkts bearbeitet werden. Sie gilt sowohl für Private als auch für den öffentli-\n\nchen Sektor. Die Bestimmungen der Verordnung (EU) 2016/679 sind nicht schengenrelevant und \n\ndamit für die Schweiz nicht verbindlich. Dies bedeutet aber nicht, dass die Verordnung in der \n\nSchweiz gänzlich ausser Acht gelassen werden kann. Die Schweiz ist auf einen funktionierenden \n\nDatenaustausch mit der Europäischen Union angewiesen. Dies gilt einerseits für die international \n\ntätige Wirtschaft, die mit Blick auf den elektronischen Handel vom Marktzutritt in den EU-Raum ab-\n\nhängig ist. Andererseits sind auch die Behörden auf einen funktionierenden Datenaustausch ange-\n\nwiesen. Die Verordnung (EU) 2016/679 legt Minimalstandards fest, die in Drittstaaten eingehalten \n\nwerden müssen, damit das dortige Datenschutzniveau als angemessen beurteilt wird. Der Ange-\n\nmessenheitsbeschluss der Europäischen Kommission ist Voraussetzung für den Datentransfer zwi-\n\nschen der Europäischen Union und der Schweiz ohne zusätzliche Massnahmen. Will die Schweiz \n\nim bisherigen Rahmen vom europäischen Datenaustausch profitieren können, hat sie ein angemes-\n\nsenes Datenschutzniveau im Sinne der Verordnung zu garantieren.  \n\n2. Richtlinie (EU) 2016/680 \n\nDie Richtlinie (EU) 2016/680 bildet Teil des Schengener-Assoziierungs-Abkommens und ist seit dem \n\n5. Mai 2016 in Kraft. Sie wurde von der Schweiz am 1. August 2016 notifiziert und ist damit für die \n\nSchweiz verbindlich. Allerdings ist sie sowohl in den EU-Mitgliedstaaten als auch in der Schweiz \n\nnicht direkt anwendbar, sondern bedarf der Umsetzung in das jeweilige nationale Recht. Um den \n\nSchengen-Verpflichtungen nachzukommen, war vorgesehen, die Richtlinie innert zwei Jahren, bis \n\nam 1. August 2018, in die innerstaatliche Rechtsordnung umzusetzen. Die Richtlinie hat einen ein-\n\ngeschränkten Geltungsbereich und ist darauf ausgerichtet, personenbezogene Daten zu schützen, \n\ndie zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der \n\nStrafvollstreckung bearbeitet werden. Sie soll ein hohes Schutzniveau für diese sensiblen Daten \n\ngewährleisten und gleichzeitig den Austausch dieser Daten zwischen den zuständigen Behörden \n\nder verschiedenen Schengen-Staaten erleichtern. Sie gilt sowohl für grenzüberschreitende Daten-\n\nbearbeitungen als auch für Datenbearbeitungen, die von den Polizei- und Justizbehörden auf inner-\n\nstaatlicher Ebene durchgeführt werden. \n\n3. Übereinkommen SEV 108 \n\nNebst der Europäischen Union hat auch der Europarat seine datenschutzrechtliche Gesetzgebung \n\nrevidiert, namentlich das von der Schweiz ratifizierte Übereinkommen zum Schutz des Menschen \n\nbei der automatischen Verarbeitung personenbezogener Daten (Übereinkommen Nr. 108 der \n\nSammlung der Europäischen Verträge, kurz: Übereinkommen SEV 108). Der beratende Ausschuss \n\ndes Übereinkommens SEV 108 hat einen Entwurf zur Revision erarbeitet. Das Änderungsprotokoll \n\nzum Übereinkommen muss vom Ministerkomitee noch definitiv verabschiedet werden. Substantielle \n\n\n\n 4 \n\nÄnderungen des Revisionsentwurfs sind aber nicht mehr zu erwarten. Mit der Revision des nationa-\n\nlen Rechts soll sichergestellt werden, dass dieses mit dem revidierten Übereinkommen SEV 108 \n\nvereinbar ist und die Schweiz auch das revidierte Übereinkommen ratifizieren kann. Das Überein-\n\nkommen SEV 108 soll den Datenschutz auf internationaler Ebene vereinheitlichen und verbessern. \n\nDadurch wird auch der Schutz der Schweizer Bürgerinnen und Bürger verstärkt, wenn ihre Perso-\n\nnendaten im Ausland bearbeitet werden. Auch trägt das Übereinkommen dazu bei, die Bekanntgabe \n\nvon Daten zwischen den Vertragsparteien zu vereinfachen. Die Schweizer Unternehmen erhalten \n\nso einen besseren Zugang zu den Märkten dieser Länder. Das Übereinkommen ist auf alle Daten-\n\nbearbeitungen im öffentlichen und privaten Sektor anwendbar und in den nationalen Rechtsordnun-\n\ngen der Vertragsparteien umzusetzen.  \n\nIII. Nationale Gesetzgebung \n\n1. Bund \n\nUm den dargelegten gesetzgeberischen Entwicklungen des Europarates und der Europäischen \n\nUnion Rechnung zu tragen und die aufgrund der rasanten technologischen Entwicklung entstande-\n\nnen Schwächen des Datenschutzgesetzes zu beheben, wird das Bundesgesetz über den Daten-\n\nschutz derzeit totalrevidiert. Im September 2017 hat der Bundesrat nach durchgeführtem Vernehm-\n\nlassungsverfahren die Botschaft zur Totalrevision des DSG sowie den Entwurf (E-DSG) veröffent-\n\nlicht. Im Zusammenhang mit dieser Revision will der Bund zudem in zahlreichen weiteren Erlassen \n\nAnpassungen des materiellen Datenschutzrechts vornehmen (z.B. im Zivilprozessrecht, Strafrecht, \n\nStrafprozessrecht etc.). \n\n \n\nDer Nationalrat beschloss in der Sommersession 2018, die Revision des Datenschutzrechts in zwei \n\nEtappen anzugehen. Jene Anpassungen, welche aufgrund der Richtlinie (EU) 2016/680 erforderlich \n\nsind und damit nur Datenbearbeitungen durch Bundesorgane betreffen, wurden angesichts der \n\nDringlichkeit zuerst vorgenommen und das Bundesgesetz über den Datenschutz im Rahmen der \n\nAnwendung des Schengen-Besitzstands in Strafsachen (Schengen-Datenschutzgesetz, SDSG 3)) \n\nverabschiedet und per 1. März 2019 in Kraft gesetzt. Das SDSG wird voraussichtlich nur während \n\nkurzer Zeit gelten. Es ist geplant, die erlassenen Bestimmungen im Rahmen einer zweiten Revisi-\n\nonsetappe wieder in das eidgenössische Datenschutzgesetz zu integrieren. Diese zweite Etappe \n\nder Revision, welche die Totalrevision des Bundesgesetzes über den Datenschutz umfasst und ins-\n\nbesondere die Datenbearbeitungen durch Private regeln soll, wird frühestens in der Sommersession \n\n2019 im Nationalrat behandelt.  \n\n2. Kanton Schaffhausen \n\nDa die Gesetzgebung des Europarates und der Europäischen Union auch die Datenbearbeitung \n\ndurch kantonale und kommunale Behörden betrifft, ist im Kanton Schaffhausen das Gesetz über den \n\nSchutz von Personendaten zu revidieren. \n\n \n\n3) SR 235.3. \n\n\n\n 5 \n\nIm kantonalen Vernehmlassungsverfahren wurde seitens eines Vernehmlassungsteilnehmers an-\n\ngeregt, mit dieser Revision zuzuwarten, bis das eidgenössische Datenschutzgesetz verabschiedet \n\nist. Aus Sicht des Regierungsrats ist ein weiteres Zuwarten mit der vorliegenden Revision nicht an-\n\ngebracht. Die Umsetzung der Richtlinie (EU) 2016/680 ins innerstaatliche Recht hätte grundsätzlich \n\nbereits bis am 1. August 2018 erfolgen müssen. Mit einem weiteren Zuwarten würden die von der \n\nSchweiz gegenüber der Europäischen Union eingegangenen Verpflichtungen verletzt. Entspre-\n\nchend hat denn auch der Bund die in diesem Zusammenhang relevanten Verpflichtungen mit dem \n\nSDSG bereits umgesetzt. Es ist davon auszugehen, dass diese Bestimmungen keine substantiellen \n\nÄnderungen erfahren werden, wenn das SDSG wieder in das eidgenössische Datenschutzgesetz \n\nintegriert wird. Das SDSG enthält bereits die zentralen Bestimmungen, welche die Datenbearbeitung \n\ndurch Behörden betreffen. Die weiteren parlamentarischen Beratungen werden grösstenteils die Re-\n\ngelung von Datenbearbeitungen durch Private zum Gegenstand haben, welche ohnehin ausserhalb \n\ndes Geltungsbereichs des kantonalen Datenschutzgesetzes liegen. Die bundesrechtlichen Rege-\n\nlungen für behördliche Datenbearbeitungen stehen mit anderen Worten bereits jetzt weitestgehend \n\nfest. Vor diesem Hintergrund haben auch zahlreiche andere Kantone die erforderlichen Anpassun-\n\ngen ihrer kantonalen Datenschutzgesetze vorgenommen.  \n\nIV. Die wichtigsten Änderungen des kantonalen Datenschutzgesetzes im Überblick \n\n1. Vorbemerkung \n\nDas geltende Datenschutzrecht, sowohl auf Bundesebene als auch auf kantonaler Ebene, unter-\n\nscheidet nicht zwischen Daten natürlicher und juristischer Personen (vgl. Art. 1 und Art. 2 it. a und \n\nb). Bearbeiten Behörden Daten juristischer Personen, gelten daher die gleichen Voraussetzungen \n\nwie bei der Bearbeitung von Daten natürlicher Personen. Juristischen Personen, deren Daten bear-\n\nbeitet werden, kommen die gleichen Rechte zu wie natürlichen Personen. \n\n \n\nDer Bund sieht vor, Daten juristischer Personen künftig vom Schutzbereich des Datenschutzgeset-\n\nzes auszunehmen (Art. 2 Abs. 1 E-DSG). Dieses soll nur noch auf natürliche Personen Anwendung \n\nfinden. Begründet wird der Entscheid damit, dass die datenschutzrechtlichen Bestimmungen der \n\nEuropäischen Union und des Europarates sowie der meisten ausländischen Rechtsordnungen kei-\n\nnen solchen Schutz vorsehen. Die praktische Bedeutung des Schutzes von Daten juristischer Per-\n\nsonen wird als gering beurteilt, da dieser durch andere spezifische Gesetze hinreichend gewährleis-\n\ntet sei (Persönlichkeitsschutz, unlauterer Wettbewerb, Urheberrecht). Die Kantone sind nicht ver-\n\npflichtet, die vom Bund vorgesehene Anpassung des Geltungsbereichs ebenfalls vorzunehmen. \n\n \n\n \n\n \n\n \n\n \n\n \n\n \n\n\n\n 6 \n\nAuf Bundesebene macht die Aufhebung des Schutzes von Daten juristischer Personen eine Reihe \n\nvon neuen Bestimmungen in anderen Bundesgesetzen notwendig, insbesondere im Regierungs- \n\nund Verwaltungsorganisationsgesetz vom 21. März 1997 4). So sind unter anderem die Bekanntgabe \n\nvon Daten juristischer Personen, der Zugang zu amtlichen Dokumenten mit Daten juristischer Per-\n\nsonen und die Auskunftsrechte gesetzlich zu regeln 5). Auch bei einer Änderung des Geltungsbe-\n\nreichs des kantonalen Datenschutzgesetzes wären sämtliche Gesetzesgrundlagen, welche Bear-\n\nbeitungen von Personendaten berühren, auf Anpassungsbedarf zu prüfen. Ausserdem wären an \n\ngeeigneter Stelle neue gesetzliche Bestimmungen zu schaffen, die einerseits gewährleisten, dass \n\nDaten juristischer Personen weiterhin hinreichend geschützt sind und anderseits, dass sie weiterhin \n\nAuskunft über Datenbearbeitungen erhalten, die sie betreffen. Letztlich würde der Schutz von Daten \n\njuristischer Personen lediglich vom Datenschutzgesetz in andere Gesetze verlagert. Der Nutzen ei-\n\nner solchen Verlagerung ist nicht ersichtlich. Umgekehrt ist auch nicht ersichtlich, welchen Nachteil \n\nes mit sich bringt, wenn das kantonale Datenschutzgesetz weiterhin sowohl auf Personendaten na-\n\ntürlicher als auch juristischer Personen Anwendung findet. \n\n \n\nIm vorliegenden Gesetzesentwurf wird daher davon abgesehen, Daten juristischer Personen vom \n\nGeltungsbereich des kantonalen Datenschutzgesetzes auszunehmen. Soweit die Vernehmlas-\n\nsungsteilnehmer sich zu dieser Entscheidung geäussert haben, wurde die vorgeschlagene Lösung \n\nausdrücklich begrüsst. Ein Vernehmlassungsteilnehmer hat richtigerweise darauf hingewiesen, dass \n\ndie konkreten Folgen unterschiedlicher Anwendungsbereiche der Datenschutzgesetze von Bund \n\nund Kanton schwer abzuschätzen und die Situation deshalb auf jeden Fall im Auge zu behalten sei. \n\nDie diesbezüglichen Entwicklungen werden aufmerksam zu verfolgen sein. Gegenwärtig besteht \n\naus Sicht der Regierung aber kein Anlass, juristische Personen vom Geltungsbereich des kantona-\n\nlen Datenschutzgesetzes auszunehmen.  \n\n2. Transparenzbestimmungen \n\nZentralstes Anliegen der Richtlinie (EU) 2016/680 und des Übereinkommens SEV 108 ist die Erhö-\n\nhung der Transparenz gegenüber den von Datenbearbeitungen betroffenen Personen. Die für Da-\n\ntenbearbeitungen verantwortlichen öffentlichen Organe treffen daher verschiedene neue Pflichten. \n\nDazu gehören die Pflicht zur Vornahme einer Datenschutz-Folgenschabschätzung, eine umfas-\n\nsende Informationspflicht und die Pflicht, den betroffenen Personen Verletzungen von Datenschutz-\n\nbestimmungen mitzuteilen. \n\n \n\nBei der Datenschutz-Folgenabschätzung hat das verantwortliche öffentliche Organ zu dokumentie-\n\nren, welche Risiken bei einer geplanten Datenbearbeitung für die Grundrechte der betroffenen Per-\n\nsonen bestehen und welche Massnahmen zum Schutz der Grundrechte vorzusehen sind. Bereits \n\nbisher durften automatisierte Verfahren zur Bearbeitung von personenbezogenen  \n\n \n\n \n\n4) SR 172.010. \n\n5) vgl. Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung \n\nweiterer Erlasse zum Datenschutz vom 15. September 2017 \n\n\n\n 7 \n\nDaten, die mit besonderen Risiken für die Rechte und Freiheit der betroffenen Personen verbunden \n\nsein konnten, nur eingesetzt werden, wenn sichergestellt war, dass den Risiken mit geeigneten tech-\n\nnischen oder organisatorischen Massnahmen begegnet wird (Art. 16a). Die Pflicht konnte nur erfüllt \n\nwerden, wenn bei geplanten Vorhaben geprüft wurde, ob im Zusammenhang mit dem Vorhaben \n\nbesondere Risiken bestehen und wie diesen gegebenenfalls zu begegnen ist. Wurden diese Vorha-\n\nben, wie gesetzlich vorgesehen (Art. 16a Abs. 2), dem Datenschutzbeauftragten zur Genehmigung \n\nunterbreitet, verlangte dieser bereits bisher vom verantwortlichen öffentlichen Organ, dass die Risi-\n\nken, die mit der geplanten Bearbeitung einhergehen sowie die diesbezüglich geplanten Massnah-\n\nmen dokumentiert werden. In dieser Hinsicht stellt die Datenschutz-Folgenabschätzung keine \n\ngrosse Neuerung in der Tätigkeit der öffentlichen Organe dar. \n\n \n\nNeu festzuhalten ist sodann eine umfassende Informationspflicht von öffentlichen Organen bei der \n\nBeschaffung von Personendaten. Bisher hatte eine Information der betroffenen Person nur zu erfol-\n\ngen, wenn die Personendaten systematisch erhoben wurden (Art. 7 Abs. 2). Allerdings darf und soll \n\neine Ausnahme von der neuen umfassenden Informationspflicht bestehen, wenn die Datenbearbei-\n\ntung durch das öffentliche Organ gesetzlich vorgesehen ist. Dies dürfte bei einem Grossteil der Da-\n\ntenbearbeitungen der Fall sein, da Datenbearbeitungen durch öffentliche Organe stets einer gesetz-\n\nlichen Grundlage bedürfen. Es wird daher nur wenig Mehraufwand erwartet.  \n\nDas Gleiche gilt für die neu festzuhaltende Meldepflicht von Datenschutzverletzungen an den Da-\n\ntenschutzbeauftragten. Zu melden sind insbesondere unbefugte Bearbeitungen oder der Verlust von \n\nPersonendaten, sofern diese zu einer Gefährdung der Grundrechte der betroffenen Person führen \n\n(zum Beispiel durch einen Hacker-Angriff). Da solch gravierende Verletzungen die absolute Aus-\n\nnahme darstellen, wird der mit dieser Verpflichtung einhergehende Mehraufwand für die öffentlichen \n\nOrgane minimal sein. \n\n \n\nHinzu kommt, dass der Entwurf des neuen kantonalen Datenschutzgesetzes eine Aufhebung der \n\nallgemeinen Registerführungspflicht über Datensammlungen vorsieht (Art. 15). Die europäischen \n\nNormen verlangen die Führung von Registern über Datenbearbeitungstätigkeiten nur im Bereich der \n\nStrafverfolgung und des Strafvollzugs. Künftig sind daher nur noch die Polizei, die Staatsanwalt-\n\nschaft und die Justizvollzugsbehörde zu verpflichten, ein Register über Datenbearbeitungstätigkei-\n\nten zu führen (Art. 17b). Im Übrigen ist angesichts der neuen Transparenzbestimmungen eine um-\n\nfassende Information der betroffenen Personen auch ohne die Führung eines Registers hinreichend \n\ngewährleistet. Eine Aufrechterhaltung der Registerführungspflicht über Datensammlungen ist auch \n\ndeshalb nicht mehr gerechtfertigt, weil der Begriff der Datensammlung nicht mehr aussagekräftig ist \n\n(vgl. Erläuterungen in Synopse). Die Abschaffung der Registerführungspflicht vermindert den Auf-\n\nwand der öffentlichen Organe im Zusammenhang mit Datenbearbeitungen.  \n\n3. Stärkung der kantonalen Aufsichtsstelle \n\nEin weiteres wichtiges Anliegen der Revisionen ist es, die Datenschutzbeauftragten in ihrer Stellung \n\nzu stärken. Im Kanton Schaffhausen kamen der kantonalen Aufsichtsstelle bereits bisher weitge-\n\n\n\n 8 \n\nhende Befugnisse zu: Sie konnte insbesondere verbindliche Verfügungen, auch in Form vorsorgli-\n\ncher Massnahmen, zulasten der verantwortlichen öffentlichen Organe erlassen. Diese Möglichkeiten \n\nmüssen auch künftig bestehen bleiben. \n\n \n\nGestärkt werden soll die Unabhängigkeit der kantonalen Aufsichtsstelle. Neu soll im Kanton Schaff-\n\nhausen gesetzlich festgehalten werden, dass der oder die kantonale Datenschutzbeauftragte keine \n\nanderen öffentlichen Ämter bekleiden und keine leitenden Funktionen in politischen Parteien ausü-\n\nben darf. Eine Abwahl aus dem Amt soll ferner nur dann zulässig sein, wenn Amtspflichten in schwe-\n\nrer Weise vorsätzlich oder grobfahrlässig verletzt werden. \n\n \n\nDa die technologischen Entwicklungen der letzten Jahre und die fortschreitende Digitalisierung die \n\nAufgaben der Aufsichtsstelle zunehmend komplexer werden lassen, ist es denkbar, dass die kanto-\n\nnale Aufsichtsstelle in Zukunft auf grössere personelle Ressourcen angewiesen sein wird. Künftig \n\nsoll deshalb die Möglichkeit bestehen, dass der Aufsichtsstelle durch die Wahlbehörde Kooperatio-\n\nnen mit Aufsichtsstellen anderer Kantone oder der Beizug von Fachpersonal genehmigt wird. Diese \n\nRegelung wurde von den Vernehmlassungsteilnehmern grundsätzlich begrüsst, wobei Kooperatio-\n\nnen mit anderen Kantonen tendenziell bevorzugt werden.  \n\nV. Finanzielle und personelle Auswirkungen \n\nFür datenbearbeitende kommunale und kantonale Behörden entsteht aufgrund der Gesetzesrevi-\n\nsion ein minimaler Mehraufwand. Dieser wird jedoch dadurch ausgeglichen, dass die Abschaffung \n\nder allgemeinen Registerführungspflicht die Behörden entlastet. Unter Umständen werden bei der \n\nStaatsanwaltschaft, der Polizei und der Justizvollzugsbehörde Aus- und Weiterbildungskosten für \n\ndie zu ernennenden Datenschutzberater anfallen. Der hierfür allenfalls anfallende finanzielle Mehr-\n\naufwand ist voraussichtlich aber überschaubar. \n\n \n\nGanz grundsätzlich bringt es die fortschreitende Digitalisierung mit sich, dass die Aufgaben der Be-\n\nhörden im Bereich Datenschutz zunehmend komplexer werden und für alle Beteiligten ein gewisser \n\nMehraufwand entsteht. Von der zunehmenden Komplexität der Aufgaben besonders betroffen ist \n\naber die kantonale Aufsichtsstelle. \n\n \n\nDerzeit besteht die kantonale Aufsichtsstelle aus einer Person, welche ihre Aufgaben nebenamtlich, \n\nim Mandatsverhältnis und unter Vorgabe des kantonalen Budgets wahrnimmt. Das Arbeitspensum \n\nbewegte sich in den letzten Jahren zwischen 20% und 30%. Es ist möglich, dass mit steigender \n\nArbeitsbelastung und einer Zunahme der Anforderungen an die fachspezifischen Anforderungen \n\nkünftig Kooperationen mit anderen Kantonen erforderlich werden und ein erhöhter Bedarf an perso-\n\nnellen und finanziellen Ressourcen entsteht. Mittelfristig ist mit einem moderaten Anstieg der Kosten \n\nfür die Aufsichtsstelle zu rechnen, der allerdings nicht genau beziffert werden kann. Eine Aufsto-\n\nckung der personellen Ressourcen der kantonalen Aufsichtsstelle auf 250 Stellenprozente, wie sie \n\nseitens eines Vernehmlassungsteilnehmers angeregt wurde, ist aus Sicht der Regierung derzeit \n\nnicht angezeigt. Die Entwicklung des Aufwands der Aufsichtsstelle wird aber auf jeden Fall im Auge \n\n\n\n 9 \n\nzu behalten sein. Sollte ein Mehrbedarf an Mitteln und Stellen für die Aufsichtsstelle festgestellt wer-\n\nden, wäre dieser vom Regierungsrat wie bisher mit dem Budget beim Kantonsrat zu beantragen \n\noder mittels Nachtragskredit einzuholen.  \n\nVI. Weitere Rückmeldungen aus dem Vernehmlassungsverfahren \n\nNebst den bereits erwähnten Rückmeldungen aus dem Vernehmlassungsverfahren wurde seitens \n\nder Vernehmlassungsteilnehmer in verschiedenen anderen Bereichen Handlungsbedarf verortet. \n\nBeispielweise sei mit Blick auf die mächtigen Datensammler wie Google, Facebook, Amazon usw. \n\nzu prüfen, ob ein Gerichtsstand zur Durchsetzung von Persönlichkeitsrechten im Kanton Schaffhau-\n\nsen geschaffen werden könne. Auch Internet-Provider seien mehr in die Pflicht zu nehmen, indem \n\nsie zu verpflichten seien, für Schäden, die aufgrund von IT-Kriminalität entstehen, aufzukommen. \n\nWeiter gibt der mangelnde Schutz von Minderjährigen im Internet Anlass zur Sorge und es wird \n\ngefordert, die Bekämpfung von Cyberkriminalität gesetzlich anzugehen. \n\n \n\nDiese Vorbringen und Anregungen haben durchaus ihre Berechtigung und zeigen, wie breit die im \n\nZusammenhang mit dem Datenschutz stehenden Herausforderungen gestreut sind. Zu beachten ist \n\naber, dass der Kanton bei seiner Gesetzgebung an die vom Bund vorgegebenen Kompetenzord-\n\nnungen gebunden ist. Im Zusammenhang mit Datenbearbeitungen hat der Kanton lediglich die Kom-\n\npetenz, Datenbearbeitungen durch kantonale Behörden zu regeln. Die Kompetenz zur Regelung der \n\nPflichten privater Datenbearbeiter wie Facebook, Google, Amazon und von Internet-Providern liegt \n\nbeim Bund, ebenso die dazugehörige Festlegung der Folgen von Pflichtverletzungen durch diese \n\nDatenbearbeiter. Auch im Bereich des Zivilrechts (Persönlichkeitsschutz) und des Strafrechts (Cy-\n\nberkriminalität) liegen die Gesetzgebungskompetenzen beim Bund. Für den Erlass entsprechender \n\nRegelungen im kantonalen Datenschutzgesetz besteht daher kein Raum. \n\n \n\nIn der Vernehmlassung ebenfalls gefordert wurde, dass die Verwendung von AHV-Nummern für die \n\nkantonale Verwaltung freizugeben sei. In diesem Zusammenhang sei auf die laufende Revision des \n\nBundesgesetzes über die Alters- und Hinterlassenenversicherung (AHVG 6)) verwiesen, mit welcher \n\nder Bund plant, die Verwendung der AHV-Nummer durch Behörden generell zuzulassen, um effizi-\n\nentere und kostengünstigere Verwaltungsabläufe zu fördern. Das diesbezügliche Vernehmlas-\n\nsungsverfahren wurde vom Bund bereits durchgeführt und der Regierungsrat hat die entsprechen-\n\nden Änderungsvorschläge in seiner Vernehmlassungsantwort grundsätzlich begrüsst. Im Geltungs-\n\nbereich des kantonalen Datenschutzgesetzes besteht in diesem Zusammenhang derzeit kein Re-\n\ngelungsbedarf. \n\n \n\nAuf die weiteren Vorbringen der Vernehmlassungsteilnehmer wird im Rahmen der Erläuterungen zu \n\nden einzelnen Gesetzesbestimmungen eingegangen. \n\n \n\n \n\n6) SR 831.10 \n\n\n\n 10 \n\nVII. Erläuterungen zu den einzelnen Gesetzesbestimmungen \n\nArt. 2  Begriffe \n\nArt. 2 lit. d \n\nDie Bestimmung definiert, welche Daten zur Kategorie der besonders schützenswerten Personen-\n\ndaten gehören. Für die Bearbeitung solcher Daten gelten besonders strenge Voraussetzungen (Art. \n\n5). In die Kategorie der besonders schützenswerten Personendaten fallen unter anderem Daten \n\nüber die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit einer Person. Der Begriff der \n\nRasse ist in Bezug auf Menschen nicht wissenschaftlicher Natur. Seine Verwendung ist nicht mehr \n\nzeitgemäss. Er ist durch den Begriff der ethnischen Herkunft zu ersetzen. \n\n \n\nIn die Kategorie der besonders schützenswerten Personendaten sind neu genetische Daten und \n\nbiometrische Daten ausdrücklich aufzunehmen. Genetische Daten sind Informationen über das Erb-\n\ngut einer Person, die durch eine genetische Untersuchung gewonnen werden; darin eingeschlossen \n\nist auch das DNA-Profil. Biometrische Daten sind mit speziellen technischen Verfahren gewonnene \n\npersonenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkma-\n\nlen einer natürlichen Person, welche die eindeutige Identifizierung dieser Person ermöglichen oder \n\nbestätigen. Die Aufnahme dieser Begriffe macht redaktionelle Anpassungen der vorangehenden Zif-\n\nfern notwendig. \n\n \n\nArt. 2 lit. e \n\nSowohl auf Bundesebene als auch in den europäischen Normen wird das Profiling als besonders \n\n"gefährliche" Art der Datenbearbeitung eingeführt. Das Profiling ersetzt den bisher verwendeten Be-\n\ngriff des Persönlichkeitsprofils. Der Begriff des Profilings nimmt auf die Art des Bearbeitens von \n\nPersonendaten Bezug (dynamisch). Demgegenüber knüpfte der bisher verwendete Begriff des Per-\n\nsönlichkeitsprofils an die Art der Daten an (statisch). \n\n \n\nBei der Vornahme eines Profilings werden die über eine Person vorhandenen Daten ausgewertet, \n\num Aussagen über ihr künftiges Verhalten oder weitere Eigenschaften der Person zu treffen. Zu \n\ndenken ist beispielsweise an Aussagen über die Arbeitsleistung, die wirtschaftlichen Verhältnisse, \n\ndie Gesundheit, die Vorlieben, den Aufenthaltsort, die Mobilität oder das Gefahrenpotential.  \n\nEin Vernehmlassungsteilnehmer hat angeregt, das Profiling in einem eigenen Absatz zu regeln, um \n\ndessen Bedeutung besonderen Ausdruck zu verleihen. Gesetzessystematisch drängt sich aber die \n\nvorgeschlagene Regelung der Definition als neue bzw. geänderte lit. e auf. Am Schutzbereich ändert \n\nsich nichts. Es wird deshalb an der bereits im Vernehmlassungsverfahren vorgeschlagenen Variante \n\nfestgehalten. \n\n \n\nArt. 2 lit. f \n\nDie Formulierung wird an die Bestimmungen des Bundesrechts und des europäischen Rechts an-\n\ngepasst.  \n\n \n\n \n\n\n\n 11 \n\nArt. 2 lit. h (aufgehoben) \n\nvgl. Erläuterungen zu Art. 15 \n\nArt. 3 Geltungsbereich \n\nArt. 3 Abs. 2 und 4 (neu) \n\nBisher wurden hängige Verfahren der Zivil-, Verwaltungs- und Strafrechtspflege generell vom Gel-\n\ntungsbereich des Datenschutzgesetzes ausgenommen. Eine solch generelle Ausnahme für gericht-\n\nliche Verfahren ist aufgrund der europäischen Vorgaben nicht mehr zulässig. Zwar können und sol-\n\nlen auch künftig in hängigen Verfahren der Rechtspflege betreffend Informationsansprüche (Akten-\n\neinsichtsrechte Dritter sowie Rechte der Parteien) die entsprechenden Prozessordnungen zur An-\n\nwendung kommen. Das Datenschutzgesetz soll aber insbesondere hinsichtlich der Bestimmung der \n\nfür die Bearbeitung verantwortlichen Behörde, die Datensicherheit etc. zur Anwendung kommen. \n\n \n\nKeine Anwendung soll dem Datenschutzgesetz zukommen, soweit in einem Verfahren die entspre-\n\nchenden Prozessordnungen zur Anwendung gelangen. Im Bereich des Strafprozessrechts wird da-\n\nmit nicht nur das gerichtliche Verfahren erfasst, sondern auch das in der eidgenössischen Strafpro-\n\nzessordnung geregelte Vorfahren der Ermittlungs- und Untersuchungsbehörden. \n\n \n\nEin Vernehmlassungsteilnehmer bemängelt die in Abs. 2 getroffene Regelung als zu wenig klar. Die \n\nBestimmung legt aber unmissverständlich fest, für welche Bereiche das Datenschutzgesetz in ge-\n\nrichtlichen Verfahren nicht zur Anwendung gelangt, nämlich soweit in hängigen Verfahren die Rechte \n\nder von den Datenbearbeitungen betroffenen Personen sowie die Akteneinsichtsrechte Dritter be-\n\ntroffen sind. Wie eine genauere Formulierung aussehen sollte, wurde vom Vernehmlassungsteilneh-\n\nmer nicht näher erläutert. \n\n \n\nAuch im Bereich der Aufsicht darf und soll aus Gründen der richterlichen Unabhängigkeit weiterhin \n\neine generelle Ausnahme vom Geltungsbereich der datenschutzrechtlichen Bestimmungen für Ge-\n\nrichte vorgesehen werden. Gerichte unterstehen damit nicht der kantonalen Aufsichtsstelle gemäss \n\nArt. 23 ff.. Sie haben die Aufsicht selbständig zu regeln. Soweit öffentliche Organe privatrechtlich \n\nhandeln und ohne hoheitliche Befugnisse am wirtschaftlichen Wettbewerb teilnehmen, darf weiterhin \n\neine Ausnahme vom Geltungsbereich des kantonalen Datenschutzgesetzes vorgesehen werden. \n\nEs ist damit weiterhin zulässig, die für private Datenbearbeiter anwendbaren Regeln des Bundes-\n\ndatenschutzgesetzes in diesem Fällen auch für öffentliche Organe für anwendbar zu erklären. Der \n\nbestehende Abs. 3 kann daher beibehalten werden.  \n\nArt. 4  \n\nArt. 4 Abs. 1 \n\nEin Vernehmlassungsteilnehmer hat darauf hingewiesen, dass die Bearbeitung "normaler" Perso-\n\nnendaten gemäss bestehendem Art. 4 stets einer gesetzlichen Grundlage bedürfe und die Einwilli-\n\ngung der betroffenen Person, anders als bei besonders schützenswerten Personendaten, die ge-\n\nsetzliche Grundlage nicht ersetze. Im Resultat bestünden deshalb höhere Anforderungen an die \n\n\n\n 12 \n\nBearbeitung "normaler" Personendaten als an die Bearbeitung besonders schützenswerter Perso-\n\nnendaten. \n\n \n\nAusserdem sei aufgrund der Formulierung in Abs. 1 nicht klar, ob für die Bearbeitung eine ausdrück-\n\nliche gesetzliche Grundlage bestehen müsse, oder ob es ausreiche, wenn die Datenbearbeitung im \n\nRahmen eines gesetzlichen Auftrags erfolge. \n\n \n\nDiese Vorbringen sind berechtigt. Tatsächlich ist nicht einzusehen, weshalb die Einwilligung der be-\n\ntroffenen Person bei der Bearbeitung "normaler" Personendaten die gesetzliche Grundlage nicht zu \n\nersetzen vermögen soll, bei besonders schützenswerten Personendaten hingegen schon. Art. 4 ist \n\nentsprechend anzupassen. Der Klarheit halber ist sodann festzuhalten, dass behördliche Datenbe-\n\narbeitungen auch dann zulässig sind, wenn sie zur Erfüllung der gesetzlich umschriebenen Aufga-\n\nben geeignet und erforderlich sind. Dies entspricht der bereits heute angewandten Praxis.  \n\nArt. 5 \n\nFür das neu einzuführende Profiling haben die gleichen Anforderungen zu gelten wie für die Bear-\n\nbeitung besonders schützenswerter Personendaten (vgl. Ausführungen zu Art. 2 lit. e). Ein Profiling \n\ndarf entsprechend nur vorgenommen werden, wenn eine gesetzliche Grundlage in Form eines for-\n\nmellen Gesetzes besteht oder wenn die betroffene Person der Bearbeitung ausdrücklich zugestimmt \n\nhat bzw. ihre Zustimmung unzweifelhaft vorausgesetzt werden darf. \n\nArt. 5a  Informationspflicht beim Beschaffen von Personendaten   \n\nArt. 5a Abs. 1-4 \n\nArt. 5a verpflichtete den Inhaber einer Datensammlung bisher, die betroffene Person über die Be-\n\nschaffung von besonders schützenswerten Personendaten und Persönlichkeitsprofilen zu informie-\n\nren. Art. 7bis des Übereinkommens SEV 108 und Art. 13 der Richtlinie (EU) 2016/680 verlangen nun, \n\ndass das verantwortliche öffentliche Organ die betroffene Person über sämtliche Beschaffungen von \n\nPersonendaten informiert, unabhängig davon, ob es sich um besonders schützenswerte Daten han-\n\ndelt. Diese generelle Informationspflicht trägt dem Hauptanliegen der Revision nach einer verbes-\n\nserten Transparenz bei der Datenbearbeitung Rechnung. Die Informationspflicht hat auch zu gelten, \n\nwenn die Daten bei Dritten beschafft werden. Sie entfällt, wenn die betroffene Person bereits über \n\ndie Informationen verfügt, die Bearbeitung gesetzlich vorgesehen ist oder die Information nicht oder \n\nnur mit unverhältnismässigem Aufwand möglich ist. Da Datenbearbeitungen durch öffentliche Or-\n\ngane ohnehin nur zulässig sind, wenn dafür eine gesetzliche Grundalge besteht (Art 4 Abs. 1) und \n\nbei Vorliegen einer gesetzlichen Grundlage für die Bearbeitung keine Informationspflicht besteht, \n\nwird der allgemeinen Informationspflicht indessen bei behördlichen Datenbearbeitungen wenig prak-\n\ntische Bedeutung zukommen. \n\n \n\nDie Information muss nicht zwingend individuell erfolgen, sondern ist auch in allgemeiner Form z.B. \n\nauf einer Homepage zulässig. Das verantwortliche öffentliche Organ muss aber sicherstellen, dass \n\n\n\n 13 \n\ndie betroffene Person die Information tatsächlich zur Kenntnis nehmen kann. Werden Daten syste-\n\nmatisch erhoben (z.B. auf Anmelde-/Gesuchsformularen) können die Angaben direkt auf dem For-\n\nmular angebracht werden. \n\n \n\nIn Verfahren der Zivil-/Straf- und Verwaltungsrechtspflege richten sich die Informationsansprüche \n\nweiterhin nach dem anwendbaren Verfahrensrecht (vgl. Art. 3). \n\n \n\nVerschiedene Vernehmlassungsteilnehmer kritisieren die vorgeschlagene Bestimmung als zu rest-\n\nriktiv. Es wird vorgeschlagen, die Informationspflicht auf besonders schützenswerte Personendaten \n\nzu beschränken oder Ausnahmen gemäss Abs. 4 zu erweitern, indem beispielsweise keine "aus-\n\ndrückliche" gesetzliche Grundlage gefordert werde. Eine weniger restriktive Formulierung, insbeson-\n\ndere eine Beschränkung der Informationspflicht auf besonders schützenswerte Personendaten, \n\nwäre aber mit den europäischen Normen nicht vereinbar. Zur in Abs. 4 geforderten "ausdrücklichen" \n\ngesetzlichen Grundlage ist erläuternd zu bemerken, dass eine solche gegeben ist, wenn aus der \n\nfraglichen Gesetzesbestimmung für die betroffene Person hervorgeht, zu welchem Zweck welche \n\nDaten von ihr erhoben werden und was mit diesen geschieht. Ist dies nicht der Fall, hat eine Infor-\n\nmation nach Abs. 2 zu erfolgen. \n\n \n\nFerner wurde in der Vernehmlassung darauf hingewiesen, dass eine Informationspflicht nur bei der \n\nBeschaffung von Personendaten bei Dritten Sinn mache. Würden die Daten bei der betroffenen \n\nPerson erhoben, sei diese automatisch über die Beschaffung informiert. Dies trifft nur teilweise zu, \n\ndenn es reicht eben gerade nicht aus, wenn die betroffene Person zwar über die Beschaffung Be-\n\nscheid weiss, aber nicht darüber aufgeklärt wird, gestützt auf welche Grundlage die Erhebung er-\n\nfolgt, wozu und von wem die Daten verwendet werden und welche Rechte sie im Zusammenhang \n\nmit der Datenbearbeitung hat.  \n\nArt. 6  Verantwortung \n\nArt. 6 Abs. 1 und 2 \n\nArt. 6 regelt, welches öffentliche Organ die Verantwortung für die rechtmässige Bearbeitung von \n\nPersonendaten trägt. Die Definition des verantwortlichen öffentlichen Organs wird mit jener des Bun-\n\ndesrechts, der Richtlinie (EU) 2016/680 sowie des Übereinkommens SEV 108 in Einklang gebracht. \n\nDie Aufhebung des Begriffs der Datensammlung (vgl. Art. 2 lit. h) macht sodann eine Anpassung \n\nvon Abs. 2 notwendig. \n\nArt. 7  Erhebung \n\nArt. 7 Abs. 2 (aufgehoben) \n\nDie neue und umfassende Informationspflicht bei der Beschaffung von Personendaten von Art. 5a \n\nmacht eine besondere Regelung für die systematische Erhebung von Personendaten überflüssig. \n\n  \n\n\n\n 14 \n\nArt. 8 Bekanntgabe a) allgemein \n\nArt. 8 Abs. 3 (neu) \n\nDie Bekanntgabe von Daten stellt eine Form des Bearbeitens dar (vgl. Art. 2 lit. f). Die Bekanntgabe \n\nvon besonders schützenswerten Personendaten und von Resultaten eines Profilings ist daher nur \n\nunter den erhöhten Anforderungen von Art. 5 zulässig. Der Klarheit halber ist ausdrücklich auf diesen \n\nUmstand hinzuweisen. \n\n \n\nDas kantonale Organisationsgesetz vom 18. Februar 1985 7) stellt für die Bekanntgabe von beson-\n\nders schützenswerten Personendaten keine hinreichende gesetzliche Grundlage dar. Zwar ist in \n\ndessen Art. 8a als Ausfluss des Öffentlichkeitsprinzips unter gewissen Voraussetzungen für jeder-\n\nmann ein Einsichtsrecht in amtliche Akten vorgesehen. Besonders schützenwerte Personendaten \n\nwerden dort aber nicht ausdrücklich erwähnt, weshalb das Organisationsgesetz nicht als hinrei-\n\nchende formellgesetzliche Grundlage im Sinne von Art. 5 gesehen werden kann. Verlangt eine Per-\n\nson gestützt auf Art. 8a des Organisationsgesetzes Einsicht in amtliche Dokumente, die besonders \n\nschützenswerte Personendaten enthalten, dürfen diese mit anderen Worten nur bekannt gegeben \n\nwerden, wenn die betroffene Person dem ausdrücklich zustimmt. Ansonsten ist zu prüfen, ob eine \n\nAnonymisierung der Daten möglich oder das Einsichtsgesuch abzuweisen ist.  \n\nArt. 11a  e) Bekanntgabe an europäische Staaten \n\nArt. 11a und 11b regeln die Voraussetzungen für die Bekanntgabe von Daten an ausländische Staa-\n\nten. Art. 11a hält fest, dass für die Bekanntgabe an Mitgliedstaaten der Europäischen Union sowie \n\ndes Europäischen Wirtschaftsraums die gleichen Voraussetzungen gelten wie für die Bekanntgabe \n\nim Inland. Bei diesen Staaten wird mit anderen Worten ohne weiteres davon ausgegangen, dass sie \n\nüber ein angemessenes Datenschutzniveau verfügen. Da sämtliche Mitgliedstaaten des Überein-\n\nkommen SEV 108 über ein gleichwertiges und angemessenes Datenschutzniveau verfügen müs-\n\nsen, darf eine Vertragspartei die Weitergabe von Personendaten an eine andere Vertragspartei nicht \n\nvon einer besonderen Genehmigung abhängig machen (Art. 12 Ziff. 1 des Übereinkommens SEV \n\n108). Art. 11a muss daher richtigerweise festhalten, dass auch die Bekanntgabe an Mitgliedstaaten \n\ndes Übereinkommens SEV 108 an keine weitergehenden Voraussetzungen geknüpft ist, als die in-\n\nnerstaatliche Datenbekanntgabe. \n\nArt. 11b  f) Bekanntgabe von Personendaten an Drittstaaten \n\nArt. 11b Abs. 1 und 2 \n\nUnter Drittstaaten sind in Abgrenzung zur Regelung von Art. 11a Staaten zu verstehen, die weder \n\nMitglied der Europäischen Union noch des Europäischen Wirtschaftsraums oder Vertragspartei des \n\nÜbereinkommens SEV 108 sind. An diese Staaten dürfen Daten nur bekannt gegeben werden, wenn \n\ndort ein angemessenes Datenschutzniveau gewährleistet ist. Zur Beurteilung der An- \n\n \n\n \n\n7) SHR 172.100. \n\n\n\n 15 \n\ngemessenheit des Datenschutzniveaus wurde bisher fälschlicherweise auf Art. 2 Ziff. 2 des Zusatz-\n\nprotokolls des Europarats vom 8. November 2001 zum Übereinkommen zum Schutz des Menschen \n\nbei der automatischen Verarbeitung von personenbezogenen Daten (SEV Nr. 108) verwiesen. Rich-\n\ntigerweise ist auf das Übereinkommen SEV 108 zu verweisen, welches die grundsätzlichen Leitlinien \n\ndafür enthält, wie ein Staat ein angemessenes Datenschutzniveau zu gestalten hat. \n\n \n\nIm Hinblick auf die Beurteilung, ob ein Staat ein angemessenes Datenschutzniveau gewährleistet, \n\nveröffentlichte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) bisher eine \n\nListe, in welcher die Staaten mit einer angemessenen Datenschutzgesetzgebung aufgeführt sind. \n\nDer Entwurf des revidierten Datenschutzgesetzes des Bundes sieht vor, dass künftig der Bundesrat \n\ndie Angemessenheit der ausländischen Gesetzgebungen und deren Anwendung prüft und die Re-\n\nsultate in einer Verordnung festhält. Sehen sich kantonale Behörden mit der Frage konfrontiert, ob \n\nein Drittstaat über ein angemessenes Datenschutzniveau verfügt, sind die entsprechenden Vorga-\n\nben und Prüfungsergebnisse des Bundes zu beachten. \n\nArt. 13 Bearbeiten im Auftrag \n\nArt. 13 Abs. 1 und 2 sowie Abs. 3 und 4 (neu) \n\nArt. 13 schafft die gesetzliche Grundlage dafür, dass öffentliche Organe eine dritte Stelle mit der \n\nBearbeitung von Daten beauftragen können. Die Bestimmung ist von grosser praktischer Bedeutung \n\nund findet auf eine Vielzahl von Fällen Anwendung. Aufgrund der technologischen Entwicklung der \n\nletzten Jahre haben elektronische Datenbearbeitungen stark zugenommen. Gerade in diesem Be-\n\nreich sind öffentliche Organe vermehrt darauf angewiesen, Informatikleistungen von Dritten in An-\n\nspruch zu nehmen. Solche Dienstleistungen können beispielsweise in Betrieb und Wartung von IT-\n\nInfrastruktur oder Software bestehen, im Hosting von Websites oder Analysetools oder in der Inan-\n\nspruchnahme von Cloud Services. Auftragsdatenbearbeitungen im Sinne des Gesetzes liegen aber \n\nauch dann vor, wenn ein Dritter für das öffentliche Organ ein "Produkt" aus Informationen des öf-\n\nfentlichen Organs herstellt. Dies ist beispielsweise der Fall, wenn ein Dritter im Auftrag des öffentli-\n\nchen Organs ein Gutachten verfasst oder das Inkasso für ausstehende Rechnungen ausgelagert \n\nwird. Beim beauftragten Dritten kann es sich um andere öffentliche Organe oder um Private handeln \n\nund die Bearbeitungen können im Kanton Schaffhausen oder ausserhalb stattfinden. \n\n \n\nArt. 22 f. RL 2016/680 stellt klare Voraussetzungen für das Bearbeiten von Personendaten durch \n\neinen Dritten auf. Es darf nur mit Auftragsdatenbearbeitenden zusammengearbeitet werden, die hin-\n\nreichende Garantien dafür bieten, dass durch geeignete technische und organisatorische Massnah-\n\nmen sichergestellt wird, dass die Bearbeitung gesetzeskonform erfolgt und die Rechte der betroffe-\n\nnen Personen gewährleistet sind. Das öffentliche Organ bleibt für die Rechtmässigkeit der Bearbei-\n\ntung verantwortlich. Die Übertragung auf weitere Auftragsdatenbearbeitende darf nur mit schriftlicher \n\nGenehmigung des verantwortlichen öffentlichen Organs erfolgen.  \n\n\n\n 16 \n\nArt. 14 Informationssicherheit (neuer Randtitel) \n\nArt. 14 verpflichtet die öffentlichen Organe, Daten durch technische und organisatorische Massnah-\n\nmen vor Verlust, Entwendung und unbefugtem Bearbeiten zu schützen. Der im Randtitel verwendete \n\nBegriff der Datensicherung ist überholt und missverständlich. Stattdessen soll der Begriff der Infor-\n\nmationssicherheit im Randtitel verwendet werden. \n\n \n\nArt. 14 Abs. 2 (neu)  \n\nNeu ist vom verantwortlichen öffentlichen Organ nachzuweisen, dass die Bestimmungen der Infor-\n\nmationssicherheit bei sämtlichen Datenbearbeitungen eingehalten werden. Der Nachweis ist durch \n\nden Erlass geeigneter Organisationsvorschriften, Informationssicherheitsrichtlinien und Zugriffskon-\n\nzepte zu erbringen und in der kantonalen Datenschutzverordnung näher zu regeln.  \n\nArt. 14a Meldung von Datenschutzverletzungen (neu) \n\nGemäss Art. 7 Ziff. 2 des Übereinkommens SEV 108 und Art. 30 und 31 der Richtlinie (EU) 2016/680 \n\nist eine Meldung von Datenschutzverletzungen durch das verantwortliche öffentliche Organ an die \n\nAufsichtsstelle und an die betroffene Person vorzusehen. \n\n \n\nDer Begriff der Datenschutzverletzung wird in Abs. 5 definiert. Demnach sind darunter der unbeab-\n\nsichtigte Verlust der Daten oder deren Vernichtung zu verstehen, die unbeabsichtigte oder unrecht-\n\nmässige Veränderung oder Offenbarung an einen Dritten oder Fälle, in denen sich Dritte unbefugt \n\nZugang zu den Daten beschaffen. In diesen Fällen hat eine Meldung des öffentlichen Organs an die \n\nkantonale Aufsichtsstelle zu erfolgen. Dies allerdings nur dann, wenn die Verletzung voraussichtlich \n\nzu einem hohen Risiko für die Grundrechte der betroffenen Person führt. Im Vernehmlassungsent-\n\nwurf wurde in diesem Zusammenhang noch der Begriff der "Gefährdung von Grundrechten" verwen-\n\ndet. Dieser stiess von verschiedenen Seiten auf Kritik, da er zu unklar sei. Im vorliegenden Entwurf \n\nwird nun der Begriff des "hohen Risikos für die Grundrechte" verwendet. Auch hierbei handelt es \n\nsich um einen unbestimmten Rechtsbegriff, welcher der Konkretisierung durch Rechtsanwendung \n\nund Rechtsprechung bedarf. Der gleiche Begriff wird im SDSG und in der Richtlinie (EU) 2016/680 \n\nverwendet. Zur Konkretisierung wird also auf Erläuterungen und Entscheide zu diesen Bestimmun-\n\ngen abgestützt werden können. Grundsätzlich darf der Begriff nicht zu weit ausgelegt werden. Es \n\ngeht bei der Einschränkung vielmehr darum, Bagatellfälle, (z.B. wenn verlorene Daten ohne weitere \n\nFolgen über ein Backup wieder hergestellt werden können) von der Meldepflicht auszunehmen. \n\n \n\nWerden Daten im Auftrag bearbeitet, hat die beauftragte Stelle Datenschutzverletzungen unverzüg-\n\nlich dem verantwortlichen öffentlichen Organ mitzuteilen (Abs. 2), welches die Aufsichtsstelle und \n\ngegebenenfalls die betroffene Person zu informieren hat. Dieses Vorgehen steht im Einklang mit der \n\nBestimmung von Art. 13, wonach das öffentliche Organ für Datenbearbeitungen verantwortlich \n\nbleibt. Bei der Erteilung des Auftrags ist sicherzustellen, dass die beauftragte Stelle sich an die Mit-\n\nteilungspflicht hält. Im Vernehmlassungsverfahren wurde darauf hingewiesen, dass Abs. 1 den Be-\n\ngriff "ohne unangemessene Verzögerung" verwende, während in Abs. 2 eine "unverzügliche" Mel-\n\ndung vorgesehen sei. Es seien einheitliche Begriffe zu verwenden. Die genannte Unterscheidung ist \n\n\n\n 17 \n\njedoch gewollt und soll deutlich machen, dass die Meldung von Auftragsdatenbearbeitenden an das \n\nverantwortliche öffentliche Organ weniger Aufschub zulässt, als dies bei der Meldung des öffentli-\n\nchen Organs an die Aufsichtsstelle der Fall ist. Beide Meldungen haben aber natürlich so rasch wie \n\nmöglich zu erfolgen. \n\n \n\nDie betroffene Person ist über die Datenschutzverletzung zu informieren, wenn dies zu ihrem Schutz \n\nerforderlich ist (zu denken ist etwa an Änderungen von Zugangsdaten oder Passwörtern) oder wenn \n\ndie kantonale Aufsichtsstelle dies verlangt (Abs. 3). Die Information der betroffenen Person kann \n\naber eingeschränkt oder aufgehoben werden, wenn überwiegende öffentliche oder private Geheim-\n\nhaltungsinteressen vorliegen (Abs. 4). Auf entsprechende Anregung im Vernehmlassungsverfahren \n\nwird vorgesehen, dass der Verzicht auf eine Information der betroffenen Person gestützt auf Abs. 4 \n\nstets der Aufsichtsstelle zu melden ist. So ist sichergestellt, dass die Information nicht in ungerecht-\n\nfertigter Weise unterbleibt. \n\n \n\nEin Vernehmlassungsteilnehmer hat beantragt, die vorgeschlagene Bestimmung ersatzlos zu strei-\n\nchen. Dies mit der Begründung, die strafrechtlichen Folgen bei unbeabsichtigtem Handeln seien \n\nnicht klar, fahrlässiges und grobfahrlässiges Handeln dürfe nicht belangt werden. Es ist in diesem \n\nZusammenhang darauf hinzuweisen, dass es sich bei Art. 14a nicht um eine Strafbestimmung han-\n\ndelt. Ob eine Datenschutzverletzung auf ein strafbares Verhalten der Behörden zurückzuführen ist, \n\nist anhand des Strafgesetzbuches, nicht des Datenschutzgesetzes zu beurteilen. Art. 14a soll ledig-\n\nlich den Schutz der von Datenschutzverletzungen betroffenen Personen sicherstellen bzw. generell \n\neinen ausreichenden Datenschutz gewährleisten. In diesem Zusammenhang spielt es keine Rolle, \n\nob eine Verletzung vorsätzlich oder fahrlässig erfolgt ist, die Aufsichtsstelle und die betroffene Per-\n\nson müssen in beiden Fällen über die Verletzung informiert werden.  \n\nArt. 14b  Datenschutz-Folgenabschätzung (neu) \n\nDie übergeordneten Rechtsgrundlagen (namentlich Art. 8bis Ziff. 3 des Übereinkommens SEV 108 \n\nund Art. 27 der Richtlinie (EU) 2016/680) statuieren für geplante Datenschutzvorhaben die Pflicht \n\nzur Vornahme einer sogenannten "Datenschutz-Folgenabschätzung" durch das verantwortliche öf-\n\nfentliche Organ. Dieses Instrument dient dazu, Risiken zu erkennen und zu bewerten, welche für die \n\nbetroffene Person durch den Einsatz bestimmter Datenbearbeitungen entstehen können. Auf der \n\nBasis der Abschätzung sollen gegebenenfalls angemessene Massnahmen definiert werden, um \n\ndiese Risiken für die betroffene Person zu bewältigen. Dem verantwortlichen öffentlichen Organ er-\n\nlaubt die Abschätzung, allfällige datenschutzrechtliche Probleme präventiv anzugehen. \n\n \n\nEine Datenschutz-Folgenabschätzung ist nicht bei jeder geplanten Bearbeitung vorzunehmen, son-\n\ndern nur dann, wenn die vorgesehene Bearbeitung voraussichtlich zu einem erhöhten Risiko für die \n\nGrundrechte der betroffenen Person führen kann. Davon ist beispielsweise auszugehen, wenn es \n\nsich um eine umfangreiche Bearbeitung besonders schützenswerter Personendaten handelt oder \n\nwenn öffentliche Bereiche systematisch und umfangreich überwacht werden. Ergibt sich aus der \n\n\n\n 18 \n\nDatenschutz-Folgenabschätzung, dass die Bearbeitung tatsächlich ein hohes Risiko für die Grund-\n\nrechte der betroffenen Person mit sich bringt, ist das Vorhaben der Aufsichtsstelle zur Vorabkonsul-\n\ntation zu unterbreiten (vgl. Art. 14c). \n\n \n\nAuch Art. 8bis Ziff. 2 des Übereinkommens SEV 108 und Art. 27 der Richtlinie (EU) 2016/680 sehen \n\ndie Verpflichtung vor, bei Vorhaben für Personendatenverarbeitungen eine Datenschutz-Folgenab-\n\nschätzung vorzunehmen. \n\n \n\nZwar war das Instrument der Datenschutzfolgenabschätzung bisher im Gesetz nicht verankert. \n\nWurde dem kantonalen Datenschutzbeauftragten aber ein automatisiertes Verfahren zur Verarbei-\n\ntung von personenbezogenen Daten zur Vorabkontrolle unterbreitet (alter Art. 16a), verlangte dieser \n\nvom öffentlichen Organ bereits bisher die nun ausdrücklich in Art. 14b genannten Auskünfte. In die-\n\nsem Sinne ändert sich in der Praxis für die öffentlichen Organe wenig. \n\nArt. 14c Vorabkonsultation (neu) \n\nErgibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung ein hohes Ri-\n\nsiko für die Grundrechte der betroffenen Person zur Folge hat, ist eine Stellungnahme der kantona-\n\nlen Aufsichtsstelle einzuholen. Ziel der Vorabkonsultation ist es, den Datenschutz rechtzeitig sicher-\n\nzustellen. Die Vorabkonsultation entspricht inhaltlich im Wesentlichen der Vorabkontrolle gemäss \n\nbisherigem Art. 16a. \n\n \n\nDie Aufsichtsstelle hat dem verantwortlichen Organ innert angemessener Frist allfällige Einwände \n\nmitzuteilen. Da im Vernehmlassungsverfahren vorgebracht wurde, es bestünden nicht in jedem Fall \n\nEinwendungen der Aufsichtsstelle, ist im vorliegenden Entwurf von "allfälligen Einwänden" und nicht \n\nmehr nur von "Einwänden" die Rede. Ist die Aufsichtsstelle der Ansicht, dass die geplante Bearbei-\n\ntung Datenschutzvorschriften verletzt und weigert sich das öffentliche Organ, geeignete Massnah-\n\nmen zum Schutz der Daten zu treffen, kann sie Massnahmen nach Art. 26 ergreifen. \n\nArt. 15 Register (aufgehoben) \n\nDatenbestände, die so aufgebaut sind, dass sie nach einer bestimmten Person erschliessbar sind, \n\nwurden bisher als Datensammlungen bezeichnet. Die öffentlichen Organe waren verpflichtet, über \n\ndie bei ihnen vorhandenen Datensammlungen ein öffentliches Register zu führen. Die kantonale \n\nAufsichtsstelle hatte sodann ein zentrales Register über sämtliche bei den öffentlichen Organen \n\nvorhandenen Datensammlungen zu führen (Art. 16). Die Register sollten Transparenz darüber \n\nschaffen, welche Daten zu welchem Zweck von Behörden über einzelne Personen gesammelt wer-\n\nden. Der Begriff der Datensammlung hat angesichts der technologischen Entwicklungen an Bedeu-\n\ntung und Schärfe verloren. Es bezieht sich auf in Karteikartensystemen oder Ordnern nach Namen \n\nabgelegte Daten. Heute ist praktisch jede elektronische Ablage von Dokumenten mittels Suchfunk-\n\ntion nach bestimmten Personen erschliessbar und als Datensammlung im Sinne der gesetzlichen \n\nDefinition zu beurteilen. \n\n \n\n\n\n 19 \n\nAngesichts dieser Entwicklung sagt das Vorhandensein einer nach Namen aufgebauten Daten-\n\nsammlung nicht mehr viel darüber aus, welche Daten, die von öffentlichen Organen bearbeitet wer-\n\nden, in Bezug zu einer bestimmten Person gesetzt werden können. Der Zusammenzug von Daten \n\naus elektronischen Ablagen erlaubt auch dann umfassende Aussagen über eine betroffene Person, \n\nwenn keine eigentlich nach Namen aufgebaute Datensammlung vorhanden ist. Um für die betroffe-\n\nnen Personen weiterhin Transparenz zu schaffen, ist es zielführender, sie mit umfassenden Infor-\n\nmations- und Auskunftsrechten zu versehen. Im revidierten Datenschutzgesetz werden die Behör-\n\nden entsprechend verpflichtet, betroffene Personen über jede Datenbeschaffung zu informieren und \n\nnicht wie bisher nur über die Beschaffung besonders schützenswerter Personendaten (vgl. Art. 5a). \n\nAuch haben betroffene Personen Anspruch darauf, jederzeit von den Behörden Auskunft darüber \n\nzu erhalten, welche Daten zu welchem Zweck über sie konkret bearbeitet werden (vgl. Art. 19). \n\n \n\nDie allgemeine Registerführungspflicht ist daher aufzuheben. Einzig im besonders sensiblen Bereich \n\nder Strafverfolgung (Polizei, Staatsanwaltschaft, Justizvollzug) verlangen die europäischen Normen \n\nweiterhin die Führung eines Registers. Diese Registerführungspflicht wird neu in Art. 17b geregelt. \n\n \n\nSoweit die Vernehmlassungsteilnehmer sich zur Aufhebung der Registerführungspflicht geäussert \n\nhaben, wurde diese begrüsst. Lediglich ein Vernehmlassungsteilnehmer hat sich für die Beibehal-\n\ntung der Pflicht ausgesprochen, um den Betroffenen den bestmöglichen Datenschutz zu gewähr-\n\nleisten. Da die Registerführungspflicht für die öffentlichen Organe mit einem beträchtlichen Aufwand \n\nverbunden ist, der für die von den Datenbearbeitungen betroffenen Personen entstehende Mehrwert \n\nnach der vorliegenden Revision indessen marginal, wird an der vorgeschlagenen Aufhebung der \n\nRegisterführungspflicht festgehalten.  \n\nArt. 16 zentrales Register (aufgehoben) \n\nDa die allgemeine Registerführungspflicht aufgehoben wird, ist auch kein zentrales Register durch \n\ndie Aufsichtsstelle mehr zu führen (vgl. vorstehende Ausführungen zu Art. 15 sowie zu Art. 2 lit. h).   \n\nArt. 16a Vorabkontrolle (aufgehoben) \n\nDas Instrument der Vorabkontrolle wird aufgehoben und durch die weitgehend identische Vorabkon-\n\nsultation ersetzt (vgl. Art. 14c). \n\nArt. 17 Vernichtung und Archivierung  \n\nArt. 17 Abs. 1 \n\nDa der Begriff der Datensammlung aufzuheben ist (vgl. Art. 2 lit. h), muss vom verantwortlichen \n\nöffentlichen Organ auch nicht mehr festgelegt werden, wann Datensammlungen zu vernichten sind.  \n\nArt. 17a Information der Empfänger von Personendaten (neu) \n\nWerden Personendaten berichtigt, gelöscht, vernichtet oder mit dem Vermerk versehen, dass ihre \n\nRichtigkeit bestritten ist, sich aber weder Richtigkeit noch Unrichtigkeit beweisen lässt, sind sämtli-\n\nche Stellen und Personen, welche die Daten vorgängig empfangen haben, über diese Vorgänge zu \n\n\n\n 20 \n\ninformieren. Diese Mitteilungspflicht wird von Art. 16 Abs. 5 der Richtlinie (EU) 2016/680 gefordert. \n\nAuf entsprechende Anregung im Vernehmlassungsverfahren wurde im Gesetz ausdrücklich ergänzt, \n\ndass die Empfänger nur dann zu informieren sind, wenn anzunehmen ist, dass die Daten von ihnen \n\nnoch verwendet werden. Werden berichtigte Daten automatisiert in die Datensysteme der Empfän-\n\nger übertragen, ist der Informationspflicht genüge getan. \n\n \n\nVon einer Mitteilung darf nur abgesehen werden, wenn sie nicht oder nur mit unverhältnismässigem \n\nAufwand erfolgen kann. Davon darf nicht leichthin ausgegangen werden. Das verantwortliche öffent-\n\nliche Organ muss in der Regel zumindest versuchen, eine entsprechende Mitteilung vorzunehmen. \n\nIm Vernehmlassungsverfahren wurde angeregt, eine Meldepflicht sämtlicher Fälle an die Aufsichts-\n\nstelle vorzusehen, bei denen von einer Mitteilung abgesehen wird. Eine solche Meldepflicht würde \n\neinen beträchtlichen Aufwand einerseits für die datenbearbeitenden Behörden, insbesondere aber \n\nfür die Aufsichtsstelle mit sich bringen. Dieser Aufwand steht in keinem angemessenen Verhältnis \n\nzum Schutz, der die Bestimmung für betroffene Personen bietet. Von einer entsprechenden Ergän-\n\nzung wurde daher abgesehen.  \n\nArt. 17b Strafverfolgung und Justizvollzug, a) Register (neu)  \n\nGemäss Art. 24 der Richtlinie (EU) 2016/680 sind die Strafverfolgungs- und Strafvollzugsbehörden \n\nzu verpflichten, ein Register über Datenbearbeitungstätigkeiten zu führen. Bisher bestand eine ent-\n\nsprechende Registerführungspflicht für alle öffentlichen Organe. Neu sind nur noch die Polizei, die \n\nStaatsanwaltschaft und die Justizvollzugsbehörde zur Führung solcher Register verpflichtet. Der \n\nnotwendige Mindestinhalt der Register entspricht dem bisher in Art. 15 umschriebenen. \n\nArt. 17c b) Datenschutzberatung (neu) \n\nArt. 32-34 der Richtlinie (EU) 2016/680 verlangen, dass die Strafverfolgungs- und Strafvollzugsbe-\n\nhörden innerhalb ihrer Organisation einen sogenannten Datenschutzberater oder eine Datenschutz-\n\nberaterin zu ernennen (in der Richtlinie als "Datenschutzbeauftragte" bezeichnet) haben. Die Daten-\n\nschutzberater sind von der Behörde selbst zu benennen und in alle mit dem Schutz personenbezo-\n\ngener Daten zusammenhängenden Fragen einzubinden. Sie haben die Mitarbeitenden der Behörde \n\nbei der Bearbeitung von Personendaten und der Einhaltung von Datenschutzvorschriften und der \n\nDatensicherheit zu beraten und zu unterstützen. Sodann beraten sie die Behörde im Zusammen-\n\nhang mit der Durchführung von Datenschutz-Folgenabschätzungen (vgl. Art. 14b). Ausserdem fun-\n\ngieren sie als Anlaufstelle für die kantonale Aufsichtsstelle. \n\n \n\nIn der Vernehmlassung wurde angeregt, anstelle des Begriffs "Datenschutzberatung" den Begriff \n\n"Datenschutzverantwortliche" zu verwenden. Dieser Begriff würde allerdings ein falsches Bild ver-\n\nmitteln. Die für die Datenschutzberatung zuständigen Personen tragen keine formelle Verantwortung \n\nfür die korrekte Datenbearbeitung durch die Behörde. Sie sollen lediglich kompetente Ansprechper-\n\nsonen für datenschutzrechtliche Fragestellungen sein. \n\n\n\n 21 \n\nArt. 18 Auskunftsrecht; a) Grundsatz der Transparenz und Informationsanspruch \n\nIm Sinne einer redaktionellen Berichtigung ist im Randtitel der Buchstabe a) einzufügen, da der \n\nfolgende Art. 19 unter Buchstabe b) die Einschränkungen des Auskunftsrechts regelt. \n\n \n\nDa der Begriff der Datensammlung aufgehoben wird (vgl. Art. 2 lit. h), kann Abs. 1 aufgehoben \n\nwerden. Dem Auskunftsrecht gemäss Abs. 1 kommt angesichts der umfassenden Informations- und \n\nAuskunftsrechte hinsichtlich sämtlicher Datenbeschaffungen und Datenbearbeitungen durch öffent-\n\nliche Organe ohnehin keine relevante selbständige Bedeutung mehr zu. So ist die betroffene Person \n\ngrundsätzlich von Amtes wegen über sämtliche Datenbeschaffungen zu informieren (vgl. Art. 5a). \n\nAuch ist ihr aufgrund der Änderungen von Abs. 2 von den Behörden auf Verlangen Auskunft darüber \n\nzu erteilen, ob und welche Daten über sie bearbeitet werden und zwar unabhängig davon, ob die \n\nDaten sich in einer Datensammlung befinden oder nicht. Der betroffenen Person sind die gleichen \n\nAngaben zu machen wie bei der Information über Datenbeschaffungen gemäss Art. 5a. Zusätzlich \n\nist über die Dauer der Aufbewahrung sowie über die Herkunft der Daten zu informieren. \n\n \n\nAuf entsprechende Anregung in der Vernehmlassung wurde im vorliegenden Entwurf ein neuer Abs. \n\n2bis eingefügt, der klarstellt, dass persönliche Arbeitsmittel, namentlich persönliche Notizen, nicht \n\nvom Auskunftsrecht erfasst werden. Eine entsprechende Bestimmung kannte das bisherige Recht \n\nauch für Datensammlungen (Art. 15 Abs. 3 lit. b). Weitergehende Ausnahmen vom Recht auf Aus-\n\nkunft sind aufgrund der europäischen Normen nicht zulässig. \n\n \n\nDie Auskunftserteilung hat dem Grundsatz nach weiterhin kostenlos zu erfolgen (Abs. 3). Sind zum \n\nSchutz berechtigter Interessen Dritten aufwendige administrative Massnahme zu treffen, darf von \n\nder zuständigen Behörde eine angemessene Gebühr verlangt werden (lit. a). Gemeint sind damit \n\ninsbesondere Fälle, bei denen zum Schutz von Persönlichkeitsrechten Dritter umfangreiche Anony-\n\nmisierungsmassnahmen (Schwärzungen) vorzunehmen sind. Eine angemessene Gebühr kann fer-\n\nner verlangt werden, wenn der Auskunftsantrag rechtsmissbräuchlich ist, namentlich bei exzessiven \n\nAnträgen in derselben Angelegenheit oder bei offensichtlicher Unbegründetheit (lit. b). Diese Be-\n\nstimmung wurde aufgrund verschiedener Rückmeldungen in der Vernehmlassung leicht angepasst, \n\num zu verdeutlichen, dass nicht leichthin von diesen Ausnahmen ausgegangen werden darf. Auch \n\nist darauf hinzuweisen, dass die Gebühr angemessen sein muss. Verursacht ein rechtsmissbräuch-\n\nlicher Antrag keinen oder einen vernachlässigbaren Aufwand für die Behörde, ist die Erhebung einer \n\nGebühr nicht gerechtfertigt.  \n\nArt. 19 b) Einschränkung  \n\nAbs. 2 (aufgehoben) \n\nDie Transparenz bei Datenbearbeitungen ist ein Kernanliegen des Datenschutzrechts. Einschrän-\n\nkungen des Auskunftsrechts der betroffenen Person sind daher nur in engen Grenzen zulässig. Die \n\nbisher vorgesehenen Möglichkeiten der Einschränkung bei Vorliegen von überwiegenden öffentli-\n\nchen Interessen (z.B. Schutz vor Vereitelung einer Strafverfolgung) oder schutzwürdigen Interessen \n\nDritter (z.B. Schutz weiterer betroffener Personen) sind weiterhin zulässig (Abs. 1). Die bisher in \n\n\n\n 22 \n\nAbs. 2 vorgesehene Regelung, wonach das Auskunftsrecht vom Vorliegen eines schutzwürdigen \n\nInteresses des Gesuchstellers abhängig gemacht werden kann, wenn dessen Geltendmachung zu \n\neinem unverhältnismässigen Verwaltungsaufwand führen würde, ist demgegenüber nicht mit den \n\neuropäischen Normen vereinbar. Das Recht, Auskunft über die persönlichen Daten zu erhalten, ist \n\nTeil des Persönlichkeitsrechts. Das Vorliegen eines schutzwürdigen Interesses kann daher stets \n\nvorausgesetzt werden. Verursacht die Erteilung der Auskunft einen grossen administrativen Auf-\n\nwand, um berechtigte Interessen Dritter zu schützen, kann eine angemessene Gebühr für die Aus-\n\nkunftserteilung verlangt werden (Art. 18 Abs. 3). Eine weitergehende Einschränkung des Rechts auf \n\nAuskunft ist nicht angezeigt.  \n\nArt. 20 Berichtigung \n\nArt. 20 Abs. 1 \n\nPersonendaten, die von öffentlichen Organen bearbeitet werden, müssen richtig sein. Ist dies nicht \n\nder Fall, hat die betroffene Person Anspruch auf Berichtigung der Daten. An das Vorliegen eines \n\nschutzwürdigen Interesses sind in diesem Zusammenhang geringe Anforderungen zu stellen. \n\nGrundsätzlich stellt das Interesse an der Korrektheit der eigenen Daten für sich ein schutzwürdiges \n\nInteresse dar. \n\n \n\nBerichtigungen müssen kostenlos und innert angemessener Frist vorgenommen werden. Gegen-\n\nwärtig sind die Kosten für Berichtigungen in der Kantonalen Datenschutzverordnung geregelt. Dem-\n\nnach sind Berichtigungen nur dann kostenlos, wenn dadurch eine Widerrechtlichkeit behoben wer-\n\nden kann (§ 14 Abs. 3 lit. a der kantonalen Datenschutzverordnung). Diesbezüglich ist eine generelle \n\nUnentgeltlichkeit auf Gesetzesstufe vorzusehen. Im Rahmen der Totalrevision der kantonalen Da-\n\ntenschutzverordnung ist § 14 entsprechend zu überarbeiten.  \n\nArt. 23 Aufsichtsstelle, a) Kanton \n\nArt. 23 Abs. 1bis (neu) und Abs. 2 (geändert), Abs. 3bis (neu) \n\nDer oder die kantonale Datenschutzbeauftragte hat seine oder ihre Aufgaben als kantonales Kon-\n\ntrollorgan unabhängig wahrzunehmen. Die Unabhängigkeit ist auch in institutioneller Hinsicht zu ga-\n\nrantieren. Im Sinne einer Unvereinbarkeitsbestimmung ist daher neu festzuhalten, dass der oder die \n\nDatenschutzbeauftragte kein anderes öffentliches Amt bekleiden und keine leitende Funktion in ei-\n\nner politischen Partei wahrnehmen darf. Nachdem verschiedene Vernehmlassungsteilnehmer da-\n\nrauf hingewiesen haben, dass die Unabhängigkeit auch durch die Mitgliedschaft in anderen Interes-\n\nsengruppen gefährdet sein könne, wurde im Gesetz eine entsprechende Ergänzung eingefügt. \n\n \n\nAusnahmen dürfen vom Regierungsrat nur bewilligt werden, wenn die Unabhängigkeit des oder der \n\nDatenschutzbeauftragten dadurch nicht gefährdet ist. Aufgrund entsprechender Einwände in der \n\nVernehmlassung wird letzteres neu ausdrücklich im Gesetz festgehalten. Ebenfalls angeregt wurde \n\nein gänzliches Absehen von der Möglichkeit Ausnahmen zu bewilligen. Eine solche Regelung würde \n\n\n\n 23 \n\nden Kandidatenkreis aber zu sehr einschränken. Auch das Bundesrecht kennt im Übrigen die Mög-\n\nlichkeit der Erteilung von Ausnahmebewilligungen für den Eidgenössischen Datenschutz- und Öf-\n\nfentlichkeitsbeauftragten (Art. 26b DSG, Art. 41 E-DSG). \n\n \n\nDie Unabhängigkeit des oder der Datenschutzbeauftragten ist nur dann garantiert, wenn der Abwahl \n\nenge Grenzen gesetzt sind. Bisher erklärte das Gesetz eine Abwahl bei Vorliegen von wichtigen \n\nsachlichen Gründen als zulässig. Diese Bestimmung ist dahingehend zu konkretisieren, als wichtige \n\nsachliche Gründe einzig in der vorsätzlichen oder grobfährlässigen schweren Verletzung von Amts-\n\npflichten oder der dauernden Amtsunfähigkeit erblickt werden dürfen. Ein Vernehmlassungsteilneh-\n\nmer hat diese Bestimmung als zu eng kritisiert. Die Regelung entspricht aber der auch auf Bundes-\n\nebene vorgesehenen (Art. 26a DSG, Art. 40 E-DSG). \n\n \n\nDer neue Abs. 3bis ermöglicht es dem Regierungsrat, der kantonalen Aufsichtsstelle die Zusammen-\n\narbeit mit Aufsichtsstellen anderer Kantone oder die Anstellung von weiterem Fachpersonal zu ge-\n\nnehmigen. Damit soll dem Umstand Rechnung getragen werden, dass bei der kantonalen Aufsichts-\n\nstelle aufgrund der fortschreitenden Digitalisierung und technologischen Entwicklungen in Zukunft \n\nein erhöhter Bedarf an personellen Ressourcen entstehen kann. Um auf einen allfälligen Mehrbedarf \n\nrasch reagieren zu können und so einen effektiven Datenschutz sicherzustellen, liegt die Genehmi-\n\ngungskompetenz bei der Wahlbehörde der Aufsichtsstelle. \n\nArt. 25 Aufgaben \n\nArt. 25 Abs. 1 lit. h - i (neu) \n\nDie Aufgaben der Aufsichtsstelle sind entsprechend Art. 12bis Ziff. 2 lit. e des Übereinkommens SEV \n\n108 und Art. 46 Abs. 1 lit. b und d der Richtlinie (EU) 2016/680 zu erweitern. Die Aufsichtsstelle hat \n\ndie verantwortlichen öffentlichen Organe und die Öffentlichkeit für Anliegen des Datenschutzes zu \n\nsensibilisieren. Sodann hat sie die massgeblichen Entwicklungen in der Informations- und Kommu-\n\nnikationstechnologie zu verfolgen, soweit sie sich auf den Schutz von Personendaten auswirken.  \n\nArt. 26b Beschwerde und Anzeigebefugnis \n\nArt. 26b Abs. 1 \n\nDer Verweis in Art. 26b Abs. 1 auf Art. 30 des Gesetzes über den Rechtsschutz in Verwaltungssa-\n\nchen vom 20. September 1971 (Verwaltungsrechtspflegegesetz) 8) ist unvollständig, da er nur die \n\nBeschwerde wegen Rechtsverweigerung oder Rechtsverzögerung umfasst. Die Aufsichtsstelle soll \n\naber nicht nur Beschwerde erheben können, wenn eine Behörde in ungerechtfertigter Weise untätig \n\nbleibt, sondern generell, wenn Datenschutzvorschriften in grober Weise verletzt werden. Entspre-\n\nchend ist in Art. 26b Abs. 1 auch auf Art. 31 des Verwaltungsrechtspflegegesetzes zu verweisen. \n\n \n\n \n\n \n\n \n\n8) SHR 174.000. \n\n\n\n 24 \n\nSehr geehrter Herr Präsident, \n\nSehr geehrte Damen und Herren \n\n \n\nAufgrund der vorstehenden Ausführungen beantragen wir Ihnen, auf die Vorlage einzutreten und \n\ndem im Anhang beigefügten Entwurf für eine Änderung des Kantonalen Datenschutzgesetzes zu-\n\nzustimmen. \n\n \n\nSchaffhausen, 21. Mai 2019 Im Namen des Regierungsrates \n\n Der Präsident: \n\n Ernst Landolt \n\n  \n\n Der Staatsschreiber: \n\n Dr. Stefan Bilger \n\n \n\n \n\n \n\nAnhang: \n\n- Änderung des Kantonalen Datenschutzgesetzes \n\n\n\n Anhang \n\nGesetz \n\nüber den Schutz von Personendaten \n\n(Kantonales Datenschutzgesetz) \n\nÄnderung vom … \n\nDer Kantonsrat Schaffhausen, \n\nbeschliesst als Gesetz:  \n\nI. \n\nDas Datenschutzgesetz vom 7. März 1994 wird wie folgt geändert: \n\nArt. 2 lit. d-h \n\nd) besonders schützenswerte Personendaten: \n\n1. Daten über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen An-\nsichten oder Tätigkeiten, \n\n2. Daten über die Gesundheit, die Intimsphäre oder die ethnische Herkunft, \n\n3. Daten über Massnahmen der sozialen Hilfe, \n\n4. Daten über administrative oder strafrechtliche Verfolgungen und Sanktionen, \n\n5. genetische Daten,  \n\n6. biometrische Daten; \n\ne) Profiling: die automatisierte Auswertung von Daten, um wesentliche persönliche Merk-\nmale zu analysieren oder persönliche Entwicklungen vorherzusagen; \n\nf) Bearbeiten: jeder Umgang mit Daten, insbesondere das Beschaffen, Speichern, Aufbe-\nwahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten \nvon Daten; \n\nh) Aufgehoben \n\nArt. 3 Abs. 2 und Abs. 4 (neu) \n\n2 Während hängigen Verfahren der Zivil-, Straf- und Verwaltungsrechtspflege richten sich die \nRechte und Ansprüche der betroffenen Personen sowie die Einsichtsrechte Dritter nach dem \nanwendbaren Verfahrensrecht. \n\n4 Richterliche Behörden unterstehen nicht der Aufsichtsstelle gemäss Art. 23 ff. \n\nArt. 4 Abs. 1 \n\n1 Personendaten dürfen bearbeitet werden, wenn \n\na) dafür eine gesetzliche Grundlage besteht, oder \n\nb) dies zur Erfüllung der gesetzlich umschriebenen Aufgaben geeignet und erforderlich ist \noder \n\nc) die betroffene Person ausdrücklich zustimmt oder ihre Zustimmung nach den Umständen \nunzweifelhaft vorausgesetzt werden darf. \n\n\n\n \n\nArt. 5 Ingress \n\nBesonders schützenswerte Personendaten dürfen nur bearbeitet werden oder ein Profiling \ndarf nur vorgenommen werden, wenn: \n\nArt. 5a \n\n1 Das öffentliche Organ ist verpflichtet, die betroffene Person über die Beschaffung von Per-\nsonendaten zu informieren; diese Informationspflicht gilt auch dann, wenn die Daten bei Drit-\nten beschafft werden. \n\n2 Der betroffenen Person sind mindestens mitzuteilen: \n\na) der Inhaber der Datensammlung das verantwortliche öffentliche Organ samt Kontaktda-\nten; \n\nb) die Rechtsgrundlage und der Zweck des Bearbeitens; \n\nc) die Kategorien der Datenempfänger, wenn eine Datenbekanntgabe vorgesehen ist; \n\nd) die bearbeiteten Daten oder die Kategorien der bearbeiteten Daten; \n\ne) die Rechte der betroffenen Person.  \n\n3 Die Übermittlung der Informationen kann unter denselben Voraussetzungen eingeschränkt \nwerden wie die Auskunft über die eigenen Daten (Art. 19). \n\n4 Die Informationspflicht entfällt, wenn: \n\na) das Bearbeiten der Daten ausdrücklich durch das Gesetz vorgesehen ist oder \n\nb) die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist oder \n\nc) die betroffene Person bereits über die Informationen nach Abs. 2 verfügt. \n\nArt. 6 \n\n1 Für den Datenschutz ist jenes öffentliche Organ verantwortlich, das - alleine oder zusam-\nmen mit anderen - über den Zweck und die Mittel der Bearbeitung von Daten entscheidet. \n\n2 Bearbeiten mehrere öffentliche Organe Personendaten aus einem gemeinsamen Informa-\ntionsbestand, ist ein öffentliches Organ zu bezeichnen, das die Hauptverantwortung für den \nDatenschutz trägt. \n\nArt. 7 Abs. 2 \n\nAufgehoben \n\nArt. 8 Abs. 3 (neu) \n\n3 Die Bekanntgabe von besonders schützenswerten Personendaten und Resultaten eines \nProfilings richtet sich nach Art. 5. \n\nArt. 11a \n\nFür die Bekanntgabe von Personendaten an ausländische Stellen der Europäischen Union \nsowie Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und des \nÜbereinkommens des Europarates zum Schutz des Menschen bei der automatischen Ver-\narbeitung von personenbezogenen Daten (SEV Nr. 108) gelten neben dem übergeordneten \nRecht und dem Staatsvertragsrecht die Bestimmungengemäss Art. 8 ff. sinngemäss. \n\nArt. 11b Abs. 1 und 2 \n\n1 An Drittstaaten dürfen Personendaten unter Vorbehalt von Art. 8 ff. nur bekannt gegeben \nwerden, sofern diese ein angemessenes Datenschutzniveau gemäss Übereinkommen des \nEuroparates zum Schutz des Menschen bei der automatischen Verarbeitung von personen-\nbezogenen Daten (SEV Nr. 108) gewährleisten. \n\nInformations-\npflicht beim \nBeschaffen \nvon Perso-\nnendaten \n\n\n\n \n\n2 Die Angemessenheit des Datenschutzniveaus wird in Anlehnung an die Vorgaben des Bun-\ndes und unter Berücksichtigung aller Umstände beurteilt, die für die Datenübermittlung von \nBedeutung sind.  \n\nArt. 13 \n\n1 Das verantwortliche öffentliche Organ kann ein anderes öffentliches Organ oder Dritte mit \ndem Bearbeiten von Personendaten beauftragen, wenn \n\na) der Übertragung keine rechtliche Bestimmung oder vertragliche Vereinbarung entgegen-\nsteht und \n\nb)  sichergestellt wird, dass die Daten nur so bearbeitet werden, wie es das verantwortliche \nöffentliche Organ tun dürfte.  \n\n2 Der Datenschutz ist durch Vereinbarung, Auflagen oder auf andere Weise sicherzustellen. \nDer Regierungsrat regelt das Nähere durch Verordnung. \n\n(neu) \n3 Die beauftragte Stelle darf ohne vorgängige schriftliche Zustimmung des auftraggebenden \nöffentlichen Organs die Datenbearbeitung keiner weiteren Stelle übertragen.  \n\n(neu) \n4 Das auftraggebende öffentliche Organ bleibt für den Umgang mit den Daten nach diesem \nGesetz verantwortlich. \n\nArt. 14 Marginalie und Abs. 2 \n\n2 Das öffentliche Organ muss nachweisen können, dass es die Datenschutzbestimmungen \neinhält. Der Regierungsrat regelt das Nähere durch Verordnung. \n\nArt. 14a (neu) \n\n1 Das öffentliche Organ meldet der Aufsichtsstelle ohne unangemessene Verzögerung eine \nDatenschutzverletzung, die zu einem hohen Risiko für die Grundrechte der betroffenen Per-\nson führt.  \n\n2 Werden Daten von einer dritten Stelle im Auftrag bearbeitet, hat diese das öffentliche Organ \nunverzüglich über Datenschutzverletzungen zu informieren. \n\n3 Das öffentliche Organ informiert ausserdem die betroffene Person, wenn es zu deren \nSchutz erforderlich ist oder die Aufsichtsstelle dies verlangt.  \n\n4 Die Information der betroffenen Person kann unter Benachrichtigung der Aufsichtsstelle \neingeschränkt oder aufgehoben werden, wenn überwiegende öffentliche oder private Ge-\nheimhaltungsinteressen dies erfordern.  \n\n5 Eine Datenschutzverletzung liegt vor, wenn bearbeitete Personendaten unbeabsichtigt ver-\nnichtet werden oder verloren gehen, unbeabsichtigt oder unrechtmässig verändert oder be-\nkannt gegeben werden oder wenn Unbefugte Zugang zu solchen Daten erhalten. \n\nArt. 14b (neu)  \n\n1 Beabsichtigt das öffentliche Organ eine Bearbeitung von Personendaten, die voraussicht-\nlich ein erhöhtes Risiko für die Grundrechte der betroffenen Person mit sich bringt, führt es \neine Datenschutz-Folgenabschätzung durch.  \n\n2 Die Datenschutz-Folgenabschätzung umschreibt die geplante Bearbeitung, die Risiken für \ndie Grundrechte der betroffenen Person sowie die Massnahmen, die vorgesehen sind, um \ndas Risiko einer Verletzung der Grundrechte der betroffenen Person zu vermeiden. \n\n \n\n \n\n \n\nInformations-\nsicherheit  \n\nMeldung von \nDatenschutz-\nverletzungen  \n\nDatenschutz-\nFolgenab-\nschätzung  \n\n\n\n \n\nArt. 14c (neu) \n\n1 Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung ein \nhohes Risiko für die Grundrechte der betroffenen Person zur Folge hat, so holt das öffentli-\nche Organ vorgängig die Stellungnahme der Aufsichtsstelle ein. \n\n2 Die Aufsichtsstelle teilt dem öffentlichen Organ innert angemessener Frist allfällige Ein-\nwände gegen die geplante Bearbeitung mit. Sie kann Massnahmen nach Art. 26 ergreifen.  \n\nIII. Datensammlung \n\nTitel aufgehoben \n\nArt. 15 \n\nAufgehoben \n\nArt. 16 \n\nAufgehoben \n\nArt. 16a \n\nAufgehoben \n\nArt. 17 Abs. 1 \n\n1 Nicht mehr benötigte Personendaten sind zu vernichten. Vorbehalten bleiben die Vorschrif-\nten über die Archivierung. \n\nArt. 17a (neu) \n\n1 Das öffentliche Organ informiert die Empfängerinnen und Empfänger von Personendaten \nüber jede Berichtigung, Löschung oder Vernichtung von Personendaten sowie über Ver-\nmerke gemäss Art. 20 Abs. 3, sofern anzunehmen ist, dass sie Daten durch die Empfänge-\nrinnen und Empfänger noch bearbeitet werden. \n\n2 Von der Mitteilung kann abgesehen werden, soweit sie nur mit unverhältnismässigem Auf-\nwand möglich ist. \n\nArt. 17b (neu) \n\n1 Die Polizei, die Staatsanwaltschaft und die Justizvollzugsbehörde führen öffentliche Regis-\nter über die Datenbearbeitungstätigkeiten in ihren Zuständigkeitsbereichen. \n\n2 Die Register enthalten Angaben über die Rechtsgrundlage, den Zweck und die Mittel der \nBearbeitung sowie die Art, Herkunft und regelmässigen Empfänger der Personendaten.  \n\nArt. 17c (neu) \n\n1 Die Polizei, die Staatsanwaltschaft und die Justizvollzugsbehörde benennen innerhalb ihrer \nOrganisation eine für den Datenschutz zuständige Person. \n\n2 Diese hat folgende Aufgaben:  \n\na) sie berät und unterstützt die Mitarbeitenden bei der Bearbeitung von Personendaten hin-\nsichtlich der Einhaltung der Datenschutzvorschriften und der Datensicherheit; \n\nb)  sie nimmt Datenschutz-Folgenabschätzungen gemäss Art. 14b vor; \n\nc) sie ist Ansprechperson der Aufsichtsstelle gemäss Art. 23 ff.. \n\n \n\n \n\n \n\nVorabkonsul-\ntation  \n\nInformation \nder Empfän-\nger von Per-\nsonendaten  \n\nStrafverfol-\ngung und Jus-\ntizvollzug \na) Register \n\nb) Daten-\nschutzbera-\ntung \n\n\n\n \n\nArt. 18  \n\n1 Aufgehoben \n\n2 Jede Person erhält auf Verlangen in allgemein verständlicher Form Auskunft darüber, ob \nund wenn ja welche Daten über sie von einem öffentlichen Organ bearbeitet werden. Die \nAuskunft erfolgt in der Regel schriftlich in Form eines Ausdrucks oder einer Fotokopie. Sie \nenthält mindestens die Angaben nach Art. 5a Abs. 2 sowie Angaben über die Aufbewah-\nrungsdauer und Herkunft der Daten. \n\n2bis Von der Auskunftspflicht ausgenommen sind Daten, die ausschliesslich als persönliche \nArbeitsmittel dienen, namentlich persönliche Notizen.  \n\n3 Die Auskunft erfolgt in der Regel kostenlos. Eine angemessene Gebühr kann verlangt wer-\nden, wenn: \n\na) zum Schutz berechtigter Interessen Dritter administrativ aufwendige Massnahmen zu tref-\nfen sind; \n\nb) der Antrag rechtsmissbräuchlich ist, namentlich bei exzessiven Anträgen in derselben An-\ngelegenheit oder bei offensichtlicher Unbegründetheit. \n\nArt. 19 Abs. 2 \n\nAufgehoben \n\nArt. 20 Abs. 1 \n\n1 Wer ein schutzwürdiges Interesse darlegt, kann vom öffentlichen Organ verlangen, dass \nunrichtige Personendaten kostenlos und innert angemessener Frist berichtigt werden. \n\nArt. 23 Abs. 1bis (neu), Abs. 2 und Abs. 3bis (neu) \n\n1bis Der oder die kantonale Datenschutzbeauftragte darf kein anderes öffentliches Amt und \nkeine leitende Funktion in einer politischen Partei ausüben oder Mitglied in einer anderen \nInteressengruppe sein, die Zielkonflikte befürchten lässt. Der Regierungsrat kann Ausnah-\nmen bewilligen, sofern die Unabhängigkeit dadurch nicht gefährdet ist. \n\n2 Eine Abwahl ist nur zulässig bei: \n\na) vorsätzlicher oder grobfährlässiger Verletzung der Amtspflichten in schwerer Weise; oder \n\nb) dauerndem Verlust der Amtsfähigkeit.  \n\n3bis Die Wahlbehörde kann bei Bedarf Kooperationen mit Aufsichtsstellen anderer Kantone \noder die Anstellung von Fachpersonal genehmigen.  \n\nArt. 25 Abs. 1 lit. h - i (neu) \n\n1 Die Aufsichtsstelle \n\nh) sensibilisiert die öffentlichen Organe für ihre datenschutzrechtlichen Pflichten und die Öf-\nfentlichkeit für die Anliegen des Datenschutzes; \n\ni) verfolgt die für den Schutz von Personendaten massgeblichen Entwicklungen. \n\nArt. 26b Abs. 1 \n\n1 Stellt die Aufsichtsstelle grobe Verletzungen von Datenschutzvorschriften durch ein öffent-\nliches Organ fest, so erhebt sie Aufsichtsbeschwerde gemäss Art. 30 f. des Verwaltungs-\nrechtspflegegesetzes. \n\n  \n\n\n\n \n\nII. \n1 Dieses Gesetz untersteht dem Referendum. \n\n2 Der Regierungsrat bestimmt das Inkrafttreten. \n\n3 Dieses Gesetz ist im Amtsblatt zu veröffentlichen und in die kantonale Gesetzessammlung \naufzunehmen. \n\n \n\n \n\nSchaffhausen, … Im Namen des Kantonsrates \n\n Der Präsident: \n\n  \n\n Die Sekretärin: \n\n\n\t19-43\n\t19-43 Anhang\n\n