body_key: UR

parent_type: affair

name: LA.2023-0230 I. Bericht und Antrag des Regierungsrats

text: \n \n\n \n\n \n\nBericht und Antrag \n\ndes Regierungsrats \n\nan den Landrat \n\n_______________________________ \n \n\n \n\n \n28. März 2023 \n\n  \n\nNr. 2023-185 R-362-11 Bericht und Antrag des Regierungsrats an den Landrat zur Totalrevision des \n\nGesetzes über den Schutz von Personendaten (Kantonales Datenschutzgesetz; KDSG) \n\n \n\nI. Zusammenfassung \n\n \n\nVerschiedene Neuerungen im internationalen Recht im Bereich Datenschutz sowie die immer weiter \n\nfortschreitende technische Entwicklung machen Anpassungen des Datenschutzrechts in der Schweiz \n\nnotwendig. Während der Bund zuständig ist, den Datenschutz bei der Bearbeitung durch Private und \n\ndurch die Bundesverwaltung zu regeln, ist der Kanton zuständig, die Regeln für die Datenbearbeitung \n\ndurch die Behörden des Kantons und der Gemeinden zu regeln. Der Bund hat eine Totalrevision des \n\nBundesgesetzes über den Datenschutz (DSG; SR 235.1) bereits beschlossen. Mit dieser Vorlage soll \n\nauch das kantonale Gesetz über den Schutz von Personendaten (Datenschutzgesetz [KDSG]; \n\nRB 2.2511) einer Totalrevision unterzogen werden. \n\n \n\nDas KDSG stärkt den Datenschutz insgesamt. Es regelt Bereiche, die bisher nicht oder nur rudimentär \n\nnormiert waren, namentlich die in der digitalen Welt nicht mehr wegzudenkende Datenbearbeitung \n\ndurch beauftragte Dritte (Auftragsdatenbearbeitung), aber z. B. auch die Datensicherheit. Daten-\n\nschutz-Folgenabschätzungen sollen das Verantwortungsbewusstsein der Behörden im Umgang mit \n\nDatenschutz erhöhen. Die Transparenz der Datenbearbeitung sowie die Kontrollmöglichkeiten der be-\n\ntroffenen Person werden punktuell verbessert und nicht zuletzt werden die Stellung und die Befug-\n\nnisse der oder des Datenschutzbeauftragten gestärkt. \n\n \n\n \n\n \n\n  \n\n\n\n2 \n  \n\n  \n\nInhaltsübersicht \n\n \n\nI. Zusammenfassung \n\nII. Ausführlicher Bericht \n\n1. Ausgangslage \n\n2. Grundzüge der Vorlage \n\n3. Finanzielle und personelle Auswirkungen \n\n4. Vernehmlassung \n\n5. Bemerkungen zu den einzelnen Bestimmungen \n\nIII. Antrag \n\n \n\n \n\n \n\n  \n\n\n\n3 \n  \n\n  \n\nII. Ausführlicher Bericht \n\n \n\n1. Ausgangslage \n\n \n\n1.1 International \n\n \n\nAuf internationaler Ebene wurde in den letzten Jahren im Bereich Datenschutz verschiedentlich \n\nneues Recht geschaffen oder bestehendes revidiert und weiterentwickelt. 2016 ist etwa die Daten-\n\nschutz-Grundverordnung (DSGVO) der Europäischen Union (EU) in Kraft getreten. Diese ist für die \n\nSchweiz grundsätzlich nicht verbindlich. Allerdings gilt die DSGVO in manchen Fällen auch für Daten-\n\nbearbeitungen ausserhalb der EU, z. B. wenn diese im Zusammenhang damit stehen, betroffenen \n\nPersonen in der EU Waren oder Dienstleistungen anzubieten. Somit sind Schweizer Gewerbetrei-\n\nbende, die ihr Angebot auch im EU-Raum anbieten, gehalten, die DSGVO zu befolgen. Umgekehrt \n\nkönnen aber auch Personen in der Schweiz, deren Daten im EU-Raum bearbeitet werden (z. B. von \n\neinem in der EU niedergelassenen Versandhändler), sich auf die DSGVO berufen und die daraus flies-\n\nsenden Rechte geltend machen. Ausserdem ist die Schweiz insgesamt gefordert, ihr Datenschutzni-\n\nveau der DSGVO anzupassen. Denn eine Übermittlung von personenbezogenen Daten aus einem EU-\n\nMitgliedsstaat in die Schweiz ist nur noch möglich, wenn die Schweiz weiterhin als Drittstaat mit ei-\n\nnem angemessenen Datenschutzniveau eingestuft wird. \n\n \n\nGleichzeitig mit der DSGVO hat die EU die Richtlinie 2016/680 zum Datenschutz in der Strafverfol-\n\ngung verabschiedet. Anders als die DSGVO ist die Richtlinie nicht direkt anwendbar, sondern muss \n\nvon den EU-Mitgliedstaaten erst im nationalen Recht umgesetzt werden. Über das Schengener Asso-\n\nziierungsabkommen1 ist auch die Schweiz verpflichtet, diese Richtlinie umzusetzen. \n\n \n\n2018 wurde die revidierte Datenschutzkonvention des Europarats Nr. 108 verabschiedet. Diese geht \n\nweniger weit als die Rechtsakte der EU, sondern definiert lediglich Mindeststandards. Die Schweiz \n\nhat das Abkommen ebenfalls unterzeichnet. Die Konvention ist jedoch nicht direkt anwendbar, son-\n\ndern muss erst im nationalen Recht umgesetzt werden. \n\n \n\n1.2 Schweiz \n\n \n\nUm die zuvor genannten internationalen Verpflichtungen anzugehen, aber auch um die aufgrund der \n\nrasanten technologischen Entwicklungen mittlerweile aufgetretenen Schwächen des Datenschutzes \n\nzu beheben, hat der Bund beschlossen, das eidgenössische Datenschutzrecht einer Totalrevision zu \n\nunterziehen. Das Parlament hat die Vorlage des Bundesrats zur Totalrevision des Bundesgesetzes \n\nüber den Datenschutz (DSG; SR 235.1) in zwei Etappen aufgeteilt. In einer ersten Etappe wurde aus-\n\nschliesslich die Schengen-relevante EU-Richtlinie 2016/680 zum Datenschutz in der Strafverfolgung \n\numgesetzt. Dazu wurden 2019 übergangsweise ein neues Schengen-Datenschutzgesetz (SDSG; \n\nSR 235.3) in Kraft gesetzt und weitere Bundesgesetze angepasst. \n\n \n\nIn einer zweiten Etappe wurde die eigentliche Totalrevision des DSG beschlossen (BBl 2020 7639), die \n\n                                                             \n1 Abkommen zwischen der Schweizerischen Eidgenossenschaft, der Europäischen Union und der Europäischen Gemein-\nschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands \n(SR 0.362.31) \n\n\n\n4 \n  \n\n  \n\nunter anderem die Datenschutzkonvention Nr. 108 des Europarats umsetzt und das schweizerische \n\nDatenschutzrecht der DSGVO der EU annähert. Das neue DSG und die dazugehörende Verordnung \n\nzum Bundesgesetz über den Datenschutz (VDSG; SR 235.11) treten am 1. September 2023 in Kraft. \n\n \n\n1.3 Kanton \n\n \n\nDas Datenschutzrecht in der Schweiz ist föderalistisch aufgebaut. Während der Bund zuständig ist, \n\nden Datenschutz für private Datenbearbeitende und für die Bundesverwaltung zu regeln, ist es Sache \n\nder Kantone, die Datenschutzregeln für die Behörden der Kantone und der Gemeinden zu bestim-\n\nmen. \n\n \n\nDas kantonale Gesetz über den Schutz von Personendaten (Datenschutzgesetz [KDSG]; RB 2.2511) \n\nstammt aus dem Jahr 1994 und wurde letztmals auf den 1. Januar 2008 angepasst. Schon damals \n\nging es hauptsächlich darum, den gestiegenen europäischen Anforderungen Rechnung zu tragen. Un-\n\nabhängig von den beschriebenen Entwicklungen auf europäischer und eidgenössischer Ebene zeigen \n\nsich beim Vollzug des KDSG mittlerweile auch sonst einige Schwächen. Das Gesetz hat mit den tech-\n\nnischen Entwicklungen im Bereich der Datenbearbeitung nicht mitgehalten und ist spürbar in die \n\nJahre gekommen, sodass der Änderungsbedarf offenkundig ist. Auch wenn der Kanton völkerrecht-\n\nlich nicht direkt verpflichtet ist, das erwähnte internationale Recht umzusetzen, trägt auch das kanto-\n\nnale Recht letztlich seinen Teil zum schweizerischen Datenschutzniveau bei. Somit sind auch bei der \n\nvorliegenden Revision die internationalen Standards selbstverständlich nicht ausser Acht zu lassen. \n\n \n\n2. Grundzüge der Vorlage \n\n \n\nSchon bisher hat sich das Urner Datenschutzrecht stark am eidgenössischen orientiert. Deshalb wird \n\ndie Totalrevision des DSG zum Anlass genommen, auch das kantonale Gesetz komplett zu überarbei-\n\nten. Die Revision verfolgt dabei verschiedene Ziele: So sind vor allem die festgestellten Schwächen zu \n\nbeseitigen und die Anforderungen des internationalen Rechts umzusetzen. Und auch wenn sich die \n\nRegeln für Privatpersonen und die Bundesverwaltung nicht unbesehen auf die kantonale und die \n\nkommunalen Verwaltungen übertragen lassen, soll sich das neue Recht soweit wie möglich und sinn-\n\nvoll ans eidgenössische Recht anlehnen. Das vereinfacht den Vollzug, z. B. in der Zusammenarbeit \n\nüber die Kantonsgrenzen hinweg. \n\n \n\nAnfang 2017 hat die Konferenz der Kantonsregierungen (KdK) einen umfangreichen tabellarischen \n\nLeitfaden veröffentlicht, der den Anpassungsbedarf bei kantonalen Datenschutzgesetzen im Hinblick \n\nauf die Datenschutzreform der EU und die Europaratskonvention Nr. 108 aufzeigt. Basierend auf ei-\n\nnem ersten Vorentwurf für das neue eidgenössische DSG schlägt der Leitfaden auch mögliche Lösun-\n\ngen vor. Die Revision des eidgenössischen Rechts war von schwierigen Diskussionen geprägt, was \n\nletztlich zur Etappierung der Umsetzung und zu zeitlichen Verzögerungen geführt hat. Der beschlos-\n\nsene Gesetzestext weicht deshalb zum Teil wesentlich vom ursprünglichen Vorentwurf ab. Damit er-\n\nweist sich der KdK-Leitfaden, der sich auf den erwähnten Vorentwurf zum DSG stützt, zumindest teil-\n\nweise als veraltet. Aus diesem Grund übernimmt das KDSG die Empfehlungen der KdK nur teilweise. \n\nIm Wesentlichen folgt das KDSG dem eidgenössischen Recht, wie es letztlich beschlossen wurde. \n\n \n\nIn Übereinstimmung mit den internationalen Bestrebungen und dem neuen Bundesrecht stärkt auch \n\n\n\n5 \n  \n\n  \n\ndas KDSG den Datenschutz insgesamt. Es regelt Bereiche, die bisher nicht oder nur rudimentär nor-\n\nmiert waren. So wird die heutzutage nicht mehr wegzudenkende, mit zunehmender Digitalisierung \n\nsogar noch zunehmende Datenbearbeitung durch beauftragte Dritte (Auftragsdatenbearbeitung) neu \n\nausdrücklich geregelt. Datenschutz befasst sich vor allem mit dem Schutz der Persönlichkeit der be-\n\ntroffenen Personen. Dies ist aber nur möglich, wenn auch der Schutz der Daten selbst gewährleistet \n\nist. Diese Datensicherheit war bisher jedoch kaum Thema im Gesetz und wird neu ebenfalls aus-\n\ndrücklich geregelt. Die Datenschutz-Folgenabschätzung ist ein neues Instrument, mit dem das Ver-\n\nantwortungsbewusstsein der Behörden im Umgang mit Datenschutz erhöht werden soll. Des Weite-\n\nren verbessert das neue KDSG punktuell die Transparenz der Datenbearbeitung sowie die Kontroll-\n\nmöglichkeiten der betroffenen Personen. Und nicht zuletzt werden die Stellung und die Befugnisse \n\nder oder des Datenschutzbeauftragten gestärkt. So soll beispielsweise neu die Wahl durch den Land-\n\nrat und nicht mehr durch den Regierungsrat erfolgen. \n\n \n\nWie erwähnt werden nicht sämtliche Regelungen des Bundes übernommen. Beispielsweise verzich-\n\ntet das KDSG auf die allgemeine Einführung von Datenschutzberatenden, wie sie der Bund vorsieht. \n\nAuch der KdK-Leitfaden sieht keine allgemeine Notwendigkeit von Datenschutzberatenden vor, son-\n\ndern höchstens in bereichsspezifischen Gesetzen. \n\n \n\nWie schon bisher bleibt das KDSG ein eigentliches Rahmengesetz. Es regelt die Grundsätze und Prin-\n\nzipien des Datenschutzes, z. B. die Notwendigkeit einer gesetzlichen Grundlage als Voraussetzung für \n\neine rechtmässige Datenbearbeitung. Welche gesetzliche Grundlage aber im Einzelfall die Datenbear-\n\nbeitung erlaubt, muss stets die jeweils anwendbare Spezialgesetzgebung beantworten. \n\n \n\n3. Finanzielle und personelle Auswirkungen \n\n \n\nEs liegt auf der Hand, dass steigende Anforderungen im Bereich Datenschutz und Datensicherheit \n\nkaum ohne finanziellen und personellen Mehraufwand bewältigt werden können. Allerdings ist die-\n\nser Mehraufwand nur bedingt auf das KDSG zurückzuführen. So ist etwa das neue Instrument der Da-\n\ntenschutz-Folgenabschätzung im Grundsatz sowohl im Recht des Europarats als auch der EU vorgese-\n\nhen. Darauf zu verzichten, wird kaum möglich sein. Dass der Aufwand im Bereich Datensicherheit \n\nweiter steigt, ist weniger eine Folge der neuen Regelungen als vielmehr der zunehmenden Digitalisie-\n\nrung und der damit verbundenen steigenden Internet-Kriminalität geschuldet. Mit Mehraufwand ist \n\nauch bei konsequenter Führung der öffentlichen Register der Datensammlungen zu rechnen. Diese \n\nPflicht ist aber nicht neu, sondern wurde bisher lediglich vernachlässigt. \n\n \n\nAls Rahmengesetz regelt das KDSG nur die Grundsätze. Bei der Umsetzung besteht durchaus Spiel-\n\nraum, sodass die finanziellen und personellen Auswirkungen nicht im Voraus bezifferbar sind. Jedoch \n\nkönnen einige Punkte näher beleuchtet werden: \n\n \n\n- Die neu geregelte Datenschutz-Folgenabschätzung führt offenkundig zu Mehraufwand. Aller-\n\ndings ist sie nur bei neuen Datenbearbeitungen vorgesehen und sofern diese ein hohes Risiko \n\nfür die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen können. \n\nDer allgemeine Verhältnismässigkeitsgrundsatz ist auch hier zu beachten, sodass die Folgenab-\n\nschätzung nicht immer gleich umfangreich ausfallen wird. So ist bei einem grossen Digitalisie-\n\nrungsprojekt vielleicht mit einer Datenschutz-Folgenabschätzung in erheblichem Umfang zu \n\n\n\n6 \n  \n\n  \n\nrechnen, die kaum ohne externe fachliche Begleitung zu bewerkstelligen ist. Wenn hingegen die \n\nVerwaltung künftig systematisch E-Mail-Adressen der Bevölkerung erfassen und verwenden soll, \n\nkann die Datenschutz-Folgenabschätzung, falls überhaupt notwendig, deutlich geringer ausfal-\n\nlen. \n\n \n\n- Da die Anforderungen des Datenschutzes und der Datensicherheit auch ohne das neue KDSG \n\ninsgesamt steigen und der Einbezug der oder des Datenschutzbeauftragten zum Teil ausdrück-\n\nlich vorgeschrieben wird, ist auch hier zusätzlicher Aufwand zu erwarten. Damit ist fraglich, wie \n\nlange das Pensum der oder des Datenschutzbeauftragten von derzeit 20 Prozent noch genügen \n\nkann. \n\n \n\n- Nicht zuletzt ist insbesondere bei der Einführung des KDSG mit gewissem Mehraufwand bezüg-\n\nlich Schulung, Weiterbildung usw. zu rechnen. \n\n \n\n4. Vernehmlassung \n\n \n\nIm Vernehmlassungsverfahren sind 32 Eingaben eingegangen. 16 Stellungnahmen befürworten die \n\nVorlage insgesamt, stellen aber einzelne Anträge, die sich jedoch nur auf Details des Gesetzestextes \n\noder den Vollzug beziehen. Zehn Antworten unterstützten die Vorlage vorbehaltlos ohne weitere An-\n\nträge. Sechs Vernehmlassungsadressatinnen und -adressaten haben ausdrücklich auf eine Stellung-\n\nnahme verzichtet. \n\n \n\nVerschiedene Rückmeldungen beziehen sich auf die Umsetzung des Gesetzes. So wird ver-\n\nschiedentlich gemahnt, genügend Ressourcen für die beauftragte Person für Datenschutz bereitzu-\n\nstellen. Mehrfach gefordert wird auch, das Archivreglement (RB 10.6212) zu überarbeiten bzw. die \n\nArchivierung auch für Gemeinden usw. zu regeln. Verschiedene Gemeinden ersuchen schliesslich um \n\nUnterstützung bei der Umsetzung des Gesetzes, z. B. in Form von Arbeitsempfehlungen, Weisungen \n\nusw., insbesondere auch zum neuen Instrument der Datenschutz-Folgenabschätzung. Hierzu ist zu \n\nsagen, dass die zuständigen Behörden selbstverständlich für einen reibungslosen Vollzug des Geset-\n\nzes zu sorgen haben. Dabei sind allerdings nicht nur die für die Datenbearbeitung verantwortlichen \n\nBehörden gefordert, sondern auch der Kanton, namentlich der Regierungsrat im Rahmen seiner Auf-\n\nsicht über die Gemeinden und die beauftragte Person für Datenschutz, die nicht nur Kontroll-, son-\n\ndern auch Beratungsaufgaben hat. Die Frage nach den benötigten Ressourcen oder nach einer um-\n\nfassenden Regelung der Archivierung ist jedoch nicht zuletzt auch politischer Natur. Beispielsweise \n\nkann das Archivreglement die Archivierungspflicht nur für die Kantonale Verwaltung regeln (mit we-\n\nnigen Ausnahmen). Für eine weitergehende Regelung ist eine Grundlage in einem Gesetz notwendig. \n\n \n\nAuf die Anträge zum Gesetzestext wird, soweit nötig, unter den Bemerkungen zu den einzelnen Be-\n\nstimmungen eingegangen. \n\n \n\n5. Bemerkungen zu den einzelnen Bestimmungen \n\n \n\nArtikel 1 \n\n \n\nDer Zweck des Gesetzes ist derselbe wie bisher. Allerdings weist bereits der Zweckartikel darauf hin, \n\n\n\n7 \n  \n\n  \n\ndass der Geltungsbereich des neuen Gesetzes nur für natürliche Personen gilt. \n\n \n\nArtikel 2 \n\n \n\nDer Geltungsbereich entspricht grundsätzlich dem bisherigen Recht. Die Bestimmung ist jedoch neu \n\nstrukturiert und mit punktuellen Änderungen versehen. Das Gesetz beschränkt den Geltungsbereich \n\nneu ausdrücklich auf natürliche Personen, wie es auch das neue DSG tut. Dies entspricht ebenfalls \n\nden datenschutzrechtlichen Bestimmungen der EU und des Europarats. Auch wenn die Bearbeitung \n\nvon Daten über juristische Personen nicht dem KDSG unterliegt, ist deren Persönlichkeit aufgrund \n\nanderer Rechtsgrundlagen geschützt. Zu nennen sind etwa Artikel 13 der Bundesverfassung (BV; \n\nSR 101), Artikel 28 ff. des Zivilgesetzbuchs (ZGB; SR 210) oder das Bundesgesetz gegen den unlaute-\n\nren Wettbewerb (UWG; SR 241). \n\n \n\nWie bereits nach bisherigem Recht gilt das KDSG nicht, wenn eine Behörde am wirtschaftlichen Wett-\n\nbewerb teilnimmt und dabei nicht hoheitlich handelt. Neu wird jedoch präzisiert, dass in diesem Fall \n\ndie Vorschriften des Bundesrechts für Private gelten, die Aufsicht aber trotzdem durch die beauf-\n\ntragte Person für Datenschutz des Kantons erfolgt. \n\n \n\nArtikel 3 \n\n \n\nDie Begriffsdefinitionen entsprechen dem bisherigen Recht, wurden jedoch an die aktuellen Bedürf-\n\nnisse angepasst. So wurden die besonders schützenswerten Daten mit Blick auf das Bundesrecht und \n\ndas europäische Recht erweitert. Neue Begriffe wie Profiling, Verletzung der Datensicherheit oder \n\nAuftragsbearbeiterin und Auftragsbearbeiter kommen dazu. Wie im DSG wird auch hier der bisherige \n\nBegriff der Inhaberin oder des Inhabers der Datensammlung ersetzt durch den der verantwortlichen \n\nBehörde. Im Übrigen folgen die Begriffsdefinitionen weitgehend dem Bundesrecht. \n\n \n\nNach wie vor ist auch die Rassenzugehörigkeit in der Aufzählung enthalten, was in der Vernehmlas-\n\nsung vereinzelt kritisiert wurde. Die Verwendung des Begriffs ist durchaus umstritten und der Ver-\n\nsuch, Menschen aufgrund äusserer Merkmale in verschiedene «Rassen» einzuteilen, ist wissenschaft-\n\nlich nicht haltbar. Dennoch wird der Begriff im EU-Recht und auch im DSG nach wie vor verwendet. \n\nSowohl die EU als auch der Bundesrat haben dazu erklärt, dass die Verwendung dieses Begriffs nicht \n\nbedeutet, dass damit Theorien gutgeheissen werden, mit denen versucht wird, die Existenz verschie-\n\ndener menschlicher Rassen zu belegen (vgl. BBl 2017 6941, 7020). In Übereinstimmung mit dem na-\n\ntionalen und internationalen Recht behält auch das KDSG den Begriff Rasse weiterhin bei, selbstver-\n\nständlich verbunden mit derselben Erklärung. \n\n \n\nArtikel 4 \n\n \n\nDie allgemeinen Voraussetzungen zur Bearbeitung von Personendaten (Abs. 1, 3 und 4) sind die glei-\n\nchen wie nach bisherigem Recht. Für besonders schützenswerte Daten gab es bisher keine besonde-\n\nren Vorschriften. Neu ist für die Bearbeitung dieser Daten sowie für das neu geregelte Profiling ein \n\nGesetz im formellen Sinn als Grundlage nötig (Abs. 2), wie es auch das DSG fordert. \n\n \n\n \n\n\n\n8 \n  \n\n  \n\nArtikel 5 \n\n \n\nBisher nicht geregelt war die Auftragsbearbeitung, also die mit fortschreitender Digitalisierung immer \n\nhäufiger vorkommende Bearbeitung von Personendaten im Auftrag der verantwortlichen Behörde. \n\nDiese Lücke wird mit einer neuen Bestimmung geschlossen. Diese entspricht unverändert dem Wort-\n\nlaut von Artikel 9 DSG. \n\n \n\nArtikel 6 \n\n \n\nDie Bestimmung wiederholt den bisherigen Artikel 6. \n\n \n\nArtikel 7 \n\n \n\nDie Pflicht zum Erstellen einer Datenschutz-Folgenabschätzung ist eine Anforderung des europäi-\n\nschen Rechts. Die Datenschutz-Folgenabschätzung ist ein Instrument, um Risiken zu erkennen und zu \n\nbewerten, die für die betroffene Person durch die Datenbearbeitung entstehen können. Auf der Ba-\n\nsis dieser Abschätzung sollen gegebenenfalls Massnahmen definiert werden, um diese Risiken für die \n\nbetroffene Person zu bewältigen. Die neue Bestimmung übernimmt den Teil von Artikel 22 DSG, der \n\nfür die Bundesbehörden gilt. \n\n \n\nAls neues Instrument werden Datenschutz-Folgenabschätzungen zweifellos zu einem Mehraufwand \n\nführen. Allerdings ist eine Datenschutz-Folgenabschätzung nicht für jede Datenbearbeitung nötig, \n\nsondern nur, wenn eine vorgesehene Datenbearbeitung voraussichtlich zu einem hohen Risiko für \n\ndie Persönlichkeit oder die Grundrechte der betroffenen Person führt. \n\n \n\nIn der Vernehmlassung wurde mehrfach gefordert, das Gesetz solle die «Angemessenheit» der Da-\n\ntenschutz-Folgenabschätzung oder die «Angemessenheit» der Massnahme ausdrücklich festhalten. \n\nSowohl die in der Folgenabschätzung zu beurteilenden Risiken als auch die möglichen Massnahmen \n\nsind jedoch derart offen formuliert, dass die zuständige Behörde in ihrer Arbeit hier zweifellos über \n\ngrossen Beurteilungsspielraum verfügt. Die Botschaft des Bundesrats zum DSG hält ausdrücklich fest, \n\ndass bei den zu treffenden Massnahmen durchaus eine Abwägung zwischen den Interessen der be-\n\ntroffenen Person und der verantwortlichen Behörde erfolgen darf (vgl. BBl 2017 6941, 7061). Damit \n\nsteht fest, dass bei einer Datenschutz-Folgenabschätzung ein erheblicher Ermessensspielraum be-\n\nsteht. Damit muss der Entscheid ohnehin «angemessen» sein und eine entsprechende Präzisierung \n\ndes Gesetzestexts ist unnötig. Nachdem die Bestimmung weitgehend dem Bundesrecht entspricht, \n\nwürde ein Abweichen vom Wortlaut des DSG überdies zur Frage führen, ob damit eine inhaltliche Än-\n\nderung beabsichtigt wird, was vorliegend nicht der Fall ist. \n\n \n\nArtikel 8 \n\n \n\nDie Bestimmung beschreibt die Konsequenzen aus der Datenschutz-Folgenabschätzung und ist dem-\n\nentsprechend ebenfalls neu. Auch hier wird das Bundesrecht (Art. 23 DSG) übernommen. So ist die \n\nKonsultation der oder des Datenschutzbeauftragten erst notwendig, wenn trotz der aufgrund einer \n\nDatenschutz-Folgenabschätzung vorgesehenen Massnahmen immer noch ein hohes Risiko für die \n\nPersönlichkeit oder die Grundrechte der betroffenen Person besteht. \n\n\n\n9 \n  \n\n  \n\nArtikel 9 \n\n \n\nNach bisherigem Recht wurde zwischen der Datenbekanntgabe an andere Behörden und an Private \n\nunterschieden. Diese Unterscheidung hat im Ergebnis kaum Auswirkungen und ist deshalb nicht \n\nmehr zweckmässig. Auch der Bund trifft diese Unterscheidung nicht, sodass darauf verzichtet werden \n\nsoll. Stattdessen regelt Artikel 9 neu die Grundsätze der Bekanntgabe von Personendaten. Die Buch-\n\nstaben a bis c entsprechen dabei der Regelung des bisherigen Rechts. Die Buchstaben d bis f über-\n\nnehmen die Regelung des Bundesrechts (Art. 36 Abs. 2 Bst. c bis e DSG). Absatz 2 entspricht dem bis-\n\nherigen Artikel 8 Absatz 3, während Absatz 3 den Artikel 36 Absatz 6 DSG übernimmt. Letzterer \n\nschränkt eine grundsätzlich zulässige Datenbekanntgabe ein, wenn bestimmte Voraussetzungen vor-\n\nliegen. \n\n \n\nIm Vernehmlassungsverfahren wurde vereinzelt die Forderung gestellt, es sei ein neuer Absatz zu \n\nschaffen, der betroffenen Personen unter bestimmten Voraussetzungen die Möglichkeit einräumt, \n\ndie Bekanntgabe ihrer eigenen Daten an Private zu sperren. Das KDSG sieht jedoch bereits gewisse \n\nFälle vor, in denen die betroffene Person der Datenbekanntgabe zustimmen muss oder auf andere \n\nArt Einfluss auf eine Datenbekanntgabe nehmen kann (Art. 9 Abs. 1 Bst. c, e und f). Im Grundsatz \n\nwird damit dem geforderten Anliegen bereits Rechnung getragen. Die Schaffung einer zusätzlichen \n\nMöglichkeit, in den zulässigen Fällen eine Datenbekanntgabe pauschal zu sperren, ist unnötig und \n\nwiderspricht dem Konzept der Bestimmung. \n\n \n\nArtikel 10 \n\n \n\nDas europäische Recht verlangt, dass Daten grundsätzlich nur ins Ausland übermittelt werden dürf-\n\nten, wenn ein angemessenes Datenschutzniveau besteht. Für die Länder der EU und die Vertrags-\n\nstaaten der Europakonvention Nr. 108, die dieser Regelung unterstehen, gilt dies ohne Weiteres \n\n(Abs. 1). Für Drittstaaten ist das Datenschutzniveau jeweils gesondert zu betrachten. Dass es kaum \n\nzweckmässig ist, wenn die Urner Behörden diese Prüfung jeweils im Einzelfall selber vornehmen \n\nmüssen, leuchtet ein. Deshalb wird auf das Bundesrecht verwiesen (Abs. 2). Demzufolge soll der Bun-\n\ndesrat in der Verordnung feststellen, welche Staaten über ein angemessenes Datenschutzniveau ver-\n\nfügen. \n\n \n\nArtikel 11 \n\n \n\nDie Bestimmung entspricht inhaltlich weitgehend dem bisherigen Recht. Der Wortlaut folgt dem \n\nneuen Bundesrecht und übernimmt damit auch den neuen Buchstaben b, der den Schutz besonders \n\nschützenswerter Daten verstärkt. Der frühere Artikel 10 Absatz 2, der zusätzlich noch die Bekannt-\n\ngabe von Daten zur Bearbeitung für nicht personenbezogene Zwecke an andere Behörden regelte, \n\nwird nicht mehr übernommen. Die Bestimmung hatte keinen eigenen Anwendungsbereich, denn die \n\nDatenbearbeitung, die ja nach wie vor geregelt ist, umfasst auch die Datenbekanntgabe. \n\n \n\nIn der Vernehmlassung wurde angeregt, im ganzen Artikel einheitlich vorzusehen, dass die Personen-\n\ndaten «anonymisiert» sein müssen, und nicht vereinzelt zu verlangen, dass die betroffenen Personen \n\n«nicht bestimmbar» sind. Damit eine Person nicht mehr bestimmbar sei, müssten die Daten ohnehin \n\nanonymisiert sein. Namentlich genüge eine Pseudonymisierung nicht. Dieser Auffassung ist jedoch \n\n\n\n10 \n  \n\n  \n\nnicht zu folgen. Der Bundesrat hält in seiner Botschaft fest, dass die betroffene Person nicht be-\n\nstimmbar ist, wenn die Daten in pseudonymisierter Form weitergegeben werden und der Schlüssel \n\nbei der weitergebenden Person verbleibt (faktische Anonymisierung; BBl 2017 6941, 7083). \n\n \n\nArtikel 12 \n\n \n\nDer Grundsatz der Datensicherheit fand im bisherigen Recht nur wenig Beachtung (vgl. Art. 11 im be-\n\nstehenden KDSG). Datenschutz - also der Persönlichkeitsschutz der einzelnen Personen - ist jedoch \n\nnur möglich, wenn auch die Datensicherheit gegeben ist, d. h. wenn allgemeine technische und orga-\n\nnisatorische Massnahmen für die Sicherheit der Daten sorgen. Auch das internationale Recht stellt \n\nexplizite Anforderungen an die Datensicherheit. Die Vorlage trägt diesen Anforderungen Rechnung \n\nund übernimmt hierzu weitgehend das ebenfalls überarbeitete Bundesrecht. Demnach muss die Da-\n\ntensicherheit dem jeweiligen Risiko angemessen sein. Im Vernehmlassungsverfahren wurde gefor-\n\ndert, die Regelung der Datensicherheit solle sich an den Artikeln 1 bis 5 der neuen Datenschutzver-\n\nordnung des Bundes orientieren. Auf eine entsprechende Regelung im Gesetz wird jedoch verzichtet. \n\nZum einen sind eigentliche Ausführungsbestimmungen, wie sie in der Datenschutzverordnung ent-\n\nhalten sind, auf Gesetzesebene nicht stufengerecht. Zum anderen wird bei der Auslegung dieser Be-\n\nstimmung, die weitgehend dem Bundesrecht entspricht, zweifellos auch das Ausführungsrecht des \n\nBundes herangezogen werden. Zudem bietet die vorliegende Regelung mehr Flexibilität, indem dem \n\nRegierungsrat ermöglicht wird, auch eigene Ausführungsbestimmungen zu erlassen. \n\n \n\nArtikel 13 \n\n \n\nAuch die Pflicht zur Meldung von Verletzungen der Datensicherheit entspricht den Anforderungen \n\ndes internationalen Rechts. Anders als im Bundesrecht verzichtete der Vernehmlassungsentwurf \n\nnoch darauf, den Mindestinhalt der Meldung gesetzlich festzulegen, was in mehreren Stellungnah-\n\nmen kritisiert wurde. Die Regelung wurde entsprechend überarbeitet und entspricht nun weitgehend \n\ndem Bundesrecht. \n\n \n\nArtikel 14 \n\n \n\nDie Bestimmung entspricht unverändert dem bisherigen Recht. Weiterhin sollen der Kanton, die Ge-\n\nmeinden sowie die öffentlich-rechtlichen Körperschaften und Anstalten das vorgeschriebene öffentli-\n\nche Register selber führen - nicht wie beim Bund, wo die oder der eidgenössische Datenschutz- und \n\nÖffentlichkeitsbeauftragte dieses Register führt. Der Bund verwendet überdies neu den Begriff der \n\nDatensammlung nicht mehr. Stattdessen wird nur noch der Begriff «Bearbeiten von Daten» benutzt. \n\nDementsprechend führt die oder der eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte \n\nkünftig kein «Register der Datensammlungen» mehr, sondern ein «Register der Bearbeitungstätigkei-\n\nten der Bundesorgane». Die Auswirkungen dieser Änderungen erscheinen gering, sodass im kantona-\n\nlen Recht an der bisherigen Terminologie festgehalten wird. \n\n \n\nDer Kanton führt sein Register bisher zentral bei der Standeskanzlei. Die zentrale Bewirtschaftung ist \n\nkaum mehr zeitgemäss. Abgesehen von den inhaltlichen Vorgaben schreibt das Gesetz den Gemein-\n\nwesen nicht vor, wie sie ihre Register führen sollen. So ist es dem Regierungsrat ohne Weiteres er-\n\nlaubt, für die Kantonale Verwaltung eine neue Regelung zu treffen. \n\n\n\n11 \n  \n\n  \n\nArtikel 15 \n\n \n\nDie Bestimmung übernimmt weitgehend den Wortlaut der entsprechenden Regelung von Artikel 38 \n\nDSG, der wiederum praktisch unverändert dem bisherigen (Bundes-)Recht entspricht. Die neue For-\n\nmulierung bringt materiell kaum Änderungen. Wie bisher regelt der Regierungsrat im Rahmen seiner \n\nZuständigkeit die Archivierung im Archivreglement. Andere Akteurinnen und Akteure, namentlich \n\nGemeinden, Korporationen und weitere öffentlich-rechtliche Körperschaften und Anstalten sind für \n\ndie Regelung ihrer Archivierung selber zuständig, vorbehältlich allfälliger Vorschriften in einzelnen \n\nSpezialgesetzen. \n\n \n\nIm Vernehmlassungsverfahren wurde vereinzelt angeregt, die Datenvernichtung sei dahingehend zu \n\npräzisieren, dass Daten «weder visuell noch elektronisch oder auf sonst welche Art ausgelesen wer-\n\nden können». Das ist unnötig. Denn wenn die Daten noch auslesbar sind, sind sie nicht vernichtet. \n\n \n\nArtikel 16 \n\n \n\nDie Einsicht in die Register entspricht unverändert dem bisherigen Recht. \n\n \n\nArtikel 17 \n\n \n\nNeu geregelt wird hingegen das Auskunftsrecht. Anstatt wie bisher nur das Recht auf Einsichtnahme \n\nin Daten im Grundsatz festzuhalten, regelt die neue Bestimmung auch die Zuständigkeiten im Falle \n\neiner Auftragsdatenbearbeitung (Abs. 2) und stellt klar, dass auf das Auskunftsrecht nicht im Voraus \n\nverzichtet werden kann (Abs. 4). Die neue Bestimmung entspricht weitgehend Artikel 25 DSG. Im Ge-\n\ngensatz zum Bund verzichtet die kantonale Regelung jedoch auf eine (ohnehin nicht abschliessende) \n\nAufzählung, welche Informationen in jedem Fall mitzuteilen sind (Art. 25 Abs. 2 DSG). Andere Inhalte \n\nder bundesrechtlichen Regelung werden an anderer Stelle dieser Vorlage berücksichtigt. So befindet \n\nsich die Möglichkeit, Gesundheitsdaten durch eine Gesundheitsfachperson mitzuteilen (Art. 25 Abs. 3 \n\nDSG) in ähnlicher Weise in Artikel 18. Der Grundsatz der Kostenlosigkeit der Auskunft (Art. 25 Abs. 6 \n\nDSG) ist in Artikel 22 enthalten. Nicht übernommen wird die Vorschrift, wonach eine Auskunft in der \n\nRegel innerhalb von 30 Tagen erteilt wird (Art. 25 Abs. 7 DSG), obwohl dies in der Vernehmlassung \n\nvereinzelt gefordert wurde. Der Anspruch auf eine Beurteilung innert angemessener Frist ergibt sich \n\naus den allgemeinen Verfahrensgarantien von Artikel 29 BV. Eine dem Einzelfall angemessene Frist \n\nerscheint sinnvoller als eine kaum verbindliche Regelfrist. \n\n \n\nArtikel 18 \n\n \n\nDie Einschränkungen des Auskunftsrechts entsprechen inhaltlich dem bisherigen Recht und wurden \n\nnur sprachlich angepasst. \n\n \n\nArtikel 19 \n\n \n\nDie Bestimmung über den Anspruch auf Berichtigung unrichtiger Daten entspricht unverändert dem \n\nbisherigen Recht. Das Bundesgesetz sieht für diesen Anspruch keinen eigenen Artikel mehr vor, son-\n\ndern regelt den Grundsatz der Richtigkeit der Daten einerseits unter den allgemeinen Grundsätzen \n\n\n\n12 \n  \n\n  \n\nder Datenbearbeitung (Art. 6 Abs. 5 DSG) und den Anspruch auf Berichtigung im Artikel über Ansprü-\n\nche und Verfahren (Art. 41 DSG). \n\n \n\nIm Vernehmlassungsverfahren ging ein Antrag ein, wonach Daten gelöscht werden müssen, wenn \n\nderen Richtigkeit nicht bewiesen werden könne. Für Daten, die grundsätzlich zur Erfüllung einer ge-\n\nsetzlichen Aufgabe benötigt werden (siehe Art. 4), pauschal die Löschung zu verlangen, wenn deren \n\nRichtigkeit nicht bewiesen werden kann, ist jedoch nicht sachgerecht und in der Regel wohl weder im \n\nInteresse der betroffenen Person noch der bearbeitenden Behörde. Auch das DSG sieht für den Fall, \n\ndass die Richtigkeit von Daten nicht bewiesen werden kann, lediglich einen Bestreitungsvermerk vor. \n\n \n\nArtikel 20 \n\n \n\nDie Bestimmung übernimmt die bestehende Regelung. Diese entspricht dem bisherigen und im \n\nGrundsatz auch dem neuen Bundesrecht. Zwar wird Artikel 41 DSG weiter ausgebaut und zählt neu \n\nausdrücklich auf, was der Anspruch gegen widerrechtliche Datenbearbeitung alles umfasst (Berichti-\n\ngen, Löschen oder Vernichten der Daten, unter bestimmten Voraussetzungen: Einschränken der Da-\n\ntenbearbeitung sowie Ausnahmen bei Daten in öffentlich zugänglichen Archiven). Das kantonale \n\nRecht verzichtet darauf, den Unterlassungs-, Beseitigungs- und Feststellungsanspruch umfassend zu \n\npräzisieren. Damit ist nach Prüfung der Umstände im Einzelfall zu entscheiden, wie ein geltend ge-\n\nmachter Anspruch letztlich umzusetzen ist. \n\n \n\nArtikel 21 \n\n \n\nDie Bestimmung über den Rechtsschutz entspricht dem kantonalen Standard und wurde aus dem bis-\n\nherigen Recht unverändert übernommen. \n\n \n\nArtikel 22 \n\n \n\nDer Grundsatz der Gebührenfreiheit entspricht dem bisherigen Recht und gilt auch im Bundesrecht. \n\nWie bisher gibt es jedoch Ausnahmen, um Missbräuchen vorzubeugen. \n\n \n\nArtikel 23 \n\n \n\nDie Unabhängigkeit ist eine wichtige Voraussetzung für die wirksame Tätigkeit der oder des Beauf-\n\ntragten für Datenschutz. Sie findet sich in den internationalen Anforderungen und ist auch im gelten-\n\nden Recht geregelt. Bisher wird die beauftragte Person für Datenschutz vom Regierungsrat gewählt. \n\nAls oberste Verwaltungsbehörde gehört der Regierungsrat jedoch zum Kreis der kontrollierten Be-\n\nhörden. Ausserdem sieht das bisherige Recht vor, dass der beauftragten Person für Datenschutz nur \n\ngekündigt werden kann, wenn ein sachlich zureichender Grund vorliegt. Dieselbe Voraussetzung gilt \n\njedoch für alle kantonalen Angestellten (Art. 16 Personalverordnung; RB 2.4211). Für die Kündigung \n\nder oder des Datenschutzbeauftragten gibt es demnach keine höhere Hürde. \n\n \n\nDie «Wahl des Kontrollorgans durch die Kontrollierten» sowie die relativ einfache Kündigungsmög-\n\nlichkeit lassen sich mit der geforderten Unabhängigkeit nur schwer vereinbaren. Die KdK empfiehlt in \n\n\n\n13 \n  \n\n  \n\nihrem Leitfaden auch eine Wahl durch das Parlament oder wenigstens unter Beteiligung des Parla-\n\nments, die Wahl auf eine feste Amtszeit von mindestens vier Jahren sowie eine Beschränkung der \n\nAmtsenthebung. Diesen Empfehlungen soll gefolgt werden. Dementsprechend bestimmt die Vorlage \n\nneu den Landrat als Wahlbehörde. Ohne anderslautende Regelung gilt ohne Weiteres die Amtsdauer \n\nvon vier Jahren gemäss Artikel 83 der Verfassung des Kantons Uri (RB 1.1101), was das Gesetz im \n\nSinne der Klarstellung vermerkt. Soweit ersichtlich verfügen sämtliche Kantone der Zentralschweiz \n\nüber eine ähnliche Regelung. Nur Nidwalden sieht eine Wahl durch den Regierungsrat vor, jedoch auf \n\neine feste Amtszeit. \n\n \n\nNeu werden auch einige Unvereinbarkeiten geregelt, um die Unabhängigkeit der oder des Beauftrag-\n\nten zu gewährleisten. So darf die beauftragte Person für Datenschutz gleichzeitig kein anderes öf-\n\nfentliches Amt und keine leitende Funktion in einer politischen Partei ausüben (Abs. 2) und eine zu-\n\nsätzliche Erwerbstätigkeit muss vom Regierungsrat bewilligt werden (Abs. 3). Die übrigen Bestim-\n\nmungen (Abs. 4: finanzielle und personelle Unabhängigkeit, Abs. 5: Möglichkeit der Zusammenarbeit \n\nmit anderen Kantonen) entsprechen dem bisherigen Recht. Als Konsequenz der Wahl durch den \n\nLandrat wird für die Übertragung der Aufgaben der oder des Datenschutzbeauftragten auf eine Per-\n\nson oder Stelle eines anderen Kantons oder für die Einrichtung eines gemeinsamen Organs neu die \n\nGenehmigung des Landrats verlangt. \n\n \n\nArtikel 24 \n\n \n\nDie Aufgaben der oder des Beauftragten für Datenschutz sind nach wie vor dieselben. Die Bestim-\n\nmung wird gegenüber dem bisherigen Recht nur geringfügig angepasst. Neu ist hingegen Absatz 4, \n\nder gerichtliche Verfahren von der Aufsicht der beauftragten Person für Datenschutz ausnimmt. Da-\n\nbei handelt es sich um das Gegenstück zu Artikel 2 Absatz 4, der dieselben Verfahren vom Geltungs-\n\nbereich des Datenschutzgesetzes ausnimmt. Bereiche, die nicht dem Datenschutzgesetz unterliegen, \n\nsollen konsequenterweise auch nicht der Aufsicht der oder des Datenschutzbeauftragten unterlie-\n\ngen. \n\n \n\nIn der Vernehmlassung wurde gefordert, für die Berichterstattung an den Landrat (Art. 24 Abs. 3 \n\nBst. e) sei die Periodizität zu präzisieren (Ein- oder Zweijahresrhythmus, allenfalls analog zum Re-\n\nchenschaftsbericht des Regierungsrats über die Kantonale Verwaltung). Eine Regelung analog zum \n\nRechenschaftsbericht über die Kantonale Verwaltung ist durchaus sinnvoll. Allerdings sieht auch die \n\nVerfassung des Kantons Uri diesbezüglich lediglich vor, dass der Regierungsrat dem Landrat den Re-\n\nchenschaftsbericht regelmässig vorzulegen hat. Für den praktizierten zweijährigen Rhythmus gibt es \n\nkeine gesetzliche Grundlage. Im Sinne einer Gleichbehandlung wird auch an dieser Stelle auf Geset-\n\nzesstufe lediglich präzisiert, dass der Rechenschaftsbericht regelmässig zu erfolgen hat. \n\n \n\nArtikel 25 \n\n \n\nDer Beginn eines Verfahrens (Abs. 1) sowie die Befugnisse der beauftragten Person im Rahmen der \n\nAbklärungen (Abs. 2) sind gleich wie bisher. Neu geregelt werden jedoch die Möglichkeiten am Ende \n\neines Verfahrens. Bislang konnte die oder der Datenschutzbeauftragte bei festgestellten Daten-\n\nschutzverletzungen lediglich Empfehlungen abgeben. Weigerte sich die verantwortliche Behörde, \n\n\n\n14 \n  \n\n  \n\ndiesen zu folgen, musste sie dies der beauftragten Person für Datenschutz in einer Verfügung mittei-\n\nlen, wogegen diese Beschwerde einlegen konnte. In der Praxis wurde das Verfahren kaum je in dieser \n\nForm angewandt. In aller Regel können datenschutzrechtliche Probleme zwischen den Behörden und \n\nder oder dem Datenschutzbeauftragten einvernehmlich besprochen und gelöst werden. Das neue \n\nRecht hält deshalb den Grundsatz der einvernehmlichen Lösung ausdrücklich fest. Dieser ähnelt zwar \n\nder Empfehlung der beauftragten Person für Datenschutz nach bisherigem Recht, verdeutlicht jedoch \n\nden kooperativen und informellen Ansatz, während Empfehlungen letztlich einseitig erlassen werden \n\nund auch sehr förmlich daherkommen können. \n\n \n\nErst bei Uneinigkeit der Beteiligten wird ein formelles Verfahren vorgesehen. Neu ist es jedoch die \n\nbeauftragte Person für Datenschutz, die in diesem Fall eine Verfügung erlassen kann. Die betroffene \n\nBehörde hat die Möglichkeit, die Verfügung beim Obergericht anzufechten. Dies bedeutet eine Stär-\n\nkung der Position der oder des Datenschutzbeauftragten, auch wenn davon auszugehen ist, dass die-\n\nses formelle Verfahren auch weiterhin kaum zur Anwendung kommen wird. \n\n \n\nArtikel 26 \n\n \n\nDie Regelung der Schweigepflicht entspricht dem bisherigen Recht und benötigt keine weiteren Er-\n\nläuterungen. \n\n \n\nArtikel 27 \n\n \n\nDie Befugnis des Regierungsrats, Ausführungsbestimmungen zu erlassen, ergibt sich grundsätzlich \n\naus Artikel 94 Verfassung des Kantons Uri. Eine ausdrückliche Regelung im Spezialerlass ist aber nicht \n\nunüblich und wurde auch hier aus dem bisherigen Recht übernommen. \n\n \n\nArtikel 28 \n\n \n\nBei den Strafbestimmungen besteht kein Änderungsbedarf. Sie entsprechen unverändert dem bishe-\n\nrigen Recht. \n\n \n\nArtikel 29 \n\n \n\nHier handelt es sich um die übliche Aufhebungsbestimmung. \n\n \n\nArtikel 30 \n\n \n\nNachdem das KDSG einen anderen Kurztitel trägt als das bisherige Gesetz, sind die Verweise in ande-\n\nren Rechtserlassen, die den bisherigen Kurztitel verwenden, entsprechend anzupassen. Dabei kön-\n\nnen nur Rechtserlasse der gleichen Stufe (d. h. Gesetz) geändert werden. Nicht anzupassen sind Ver-\n\nweise, die den vollen Titel des Gesetzes verwenden. Dieser ändert sich nicht. \n\n \n\n \n\n \n\n \n\n\n\n15 \n  \n\n  \n\nArtikel 31 \n\n \n\nDamit laufende Datenbearbeitungen mit dem Inkrafttreten des neuen Gesetzes nicht plötzlich un-\n\nrechtmässig werden, wird eine Übergangsbestimmung geschaffen. Zu denken ist etwa an die Bear-\n\nbeitung von besonders schützenswerten Daten (Art. 4 Abs. 2), für die neu eine Grundlage in einem \n\nGesetz im formellen Sinn verlangt wird. Andere Verschärfungen, wie z. B. die Datenschutz-Folgenab-\n\nschätzung (Art. 7), gelten ohnehin nur für neue Datenbearbeitungen. Dafür ist keine Übergangsbe-\n\nstimmung nötig. \n\n \n\nArtikel 32 \n\n \n\nDie Bestimmung enthält die übliche Inkrafttretensformel. Das Gesetz soll nach der Volksabstimmung \n\nin Kraft treten, sobald das Abstimmungsergebnis erwahrt wurde. \n\n \n\nIII. Antrag \n\n \n\nGestützt auf den vorstehenden Bericht beantragt der Regierungsrat dem Landrat, den folgenden Be-\n\nschluss zu fassen: \n\n \n\nDas Gesetz über den Schutz von Personendaten (Kantonales Datenschutzgesetz; KDSG), wie es in der \n\nBeilage enthalten ist, wird zuhanden der Volksabstimmung verabschiedet. \n\n \n\n \n\n \n\n \n\nBeilage \n\n- Kantonales Datenschutzgesetz (KDSG; RB 2.2511) \n \n\n \n\n \n\n\n