Nr. 38 Gesetz über den Schutz von Personendaten (Datenschutzgesetz) vom 2. Juli 1990*

Der Grosse Rat des Kantons Luzern, (Stand 1. August 2008) nach Einsicht in die Botschaft des Regierungsrates vom 16. Mai 1989 1

beschliesst: ,

I. Allgemeine Bestimmungen § 1

Zweck

Das Gesetz dient dem Schutz von Personen vor unbefugtem Bearbeiten ihrer Daten durch öffentliche Organe.

§ 2

Begriffe

1 Personendaten sind Angaben über eine bestimmte oder bestimmbare natürliche oder juristische Person oder eine Personengesellschaft des Handelsrechts.

2 Besonders schützenswerte Personendaten sind Angaben über die religiöse, weltanschauliche oder politische Haltung, die Intimsphäre, die Gesundheit, die ethnische Zugehörigkeit, über Massnahmen der Sozialhilfe, über administrative und strafrechtliche Massnahmen und Sanktionen sowie über eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der natürlichen Person (Persönlichkeitsprofil) erlaubt.

3 Betroffene Person ist die Person oder Personengesellschaft, auf welche sich die Angaben beziehen.

* K 1990 1338 und G 1990 513 1 GR 1989 703

2

Nr. 38

4 Bearbeiten von Personendaten ist, unabhängig von den angewendeten Mitteln und Verfahren, jeder Umgang mit Daten, wie das Erheben, Beschaffen, Aufzeichnen, Sammeln, Verwenden, Umarbeiten, Bekanntgeben, Archivieren und Vernichten.

5 Eine Datensammlung ist ein Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach den betroffenen Personen erschliessbar sind.

6 Inhaber einer Datensammlung ist jenes Organ, das über den Zweck und Inhalt einer Datensammlung entscheidet.

7 Organe sind Behörden, Dienststellen und Verwaltungseinheiten, die für ein Gemeinwesen handeln, und private Personen, soweit ihnen öffentliche Aufgaben übertragen sind.

§ 3

Geltungsbereich 1 Das Gesetz gilt für a. den Kanton, b. die Gemeinden, c. andere Gemeinwesen gemäss § 1 des Gesetzes über die Verwaltungsrechtspflege 2

2 Es wird nicht angewendet auf ,

die der Regierungsrat dem Gesetz unterstellt.

a. hängige Verfahren der Zivil- und Strafrechtspflege sowie hängige verwaltungsrechtliche Verfahren mit Ausnahme von erstinstanzlichen Verwaltungsverfahren,

3

b. Geschäfte, über welche die Stimmberechtigten oder Parlamente beschliessen, c. öffentliche Register des Privatrechtsverkehrs, d. verwaltungsinterne Akten wie Notizbücher und Agenden, die dem Inhaber als persönliche Arbeitsmittel dienen.

§ 4

Grundsätze des Bearbeitens von Personendaten 1 Organe dürfen Personendaten nur mit rechtmässigen Mitteln bearbeiten.

2 Personendaten müssen richtig sein.

3 Das Bearbeiten von Personendaten muss verhältnismässig sein.

4 Personendaten dürfen nicht für einen Zweck bearbeitet werden, der nach Treu und Glauben mit dem Zweck unvereinbar ist, für den sie ursprünglich beschafft oder der Behörde bekanntgegeben worden sind.

5 Lässt der Zweck des Bearbeitens, wie zur wissenschaftlichen Forschung, zur Führung von Statistiken und dergleichen, es zu, sind Personendaten so zu anonymisieren, dass die betroffene Person nicht mehr bestimmt oder bestimmbar ist.

2 SRL Nr. 40

3 Fassung gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

Nr. 38

3

§ 5

Voraussetzungen des Bearbeitens von Personendaten 1 Organe dürfen Personendaten zur Erfüllung von Aufgaben bearbeiten, für die eine Rechtsgrundlage besteht.

2 Besonders schützenswerte Personendaten dürfen sie bearbeiten, wenn es a. ein formelles Gesetz ausdrücklich vorsieht, b. für eine in einem formellen Gesetz umschriebene Aufgabe unentbehrlich ist, c. der Regierungsrat bewilligt, weil es im Interesse der betroffenen Person liegt, oder wenn

d. die betroffene Person im Einzelfall eingewilligt oder ihre Personendaten allgemein zugänglich gemacht hat.

§ 6

Verantwortlichkeit der Organe 1 Für den Datenschutz ist jedes Organ verantwortlich, das Personendaten bearbeitet oder bearbeiten lässt.

2 Lässt ein Organ andere Organe für sich Personendaten bearbeiten, überbindet es ihnen durch Auflagen, Vereinbarungen oder in anderer Weise die Mitverantwortung für den Datenschutz.

3 Bearbeiten mehrere Organe Personendaten aus einer Datensammlung, trägt in erster Linie der Inhaber der Datensammlung die Verantwortung; jedes Organ bleibt für seinen Bereich mitverantwortlich.

§ 7

Datensicherung 1 Organe sorgen durch angemessene technische und organisatorische Massnahmen für die Sicherung von Personendaten. Sie sichern sie insbesondere vor Verlust, Fälschung, Entwendung sowie vor Kenntnisnahme, Kopieren und Bearbeiten durch Unbefugte.

4

2 Der Regierungsrat kann weitere Vorschriften erlassen.

II. Besondere Formen des Bearbeitens 1. Erheben von Personendaten § 8

Vorgehen

1 Organe erheben Personendaten grundsätzlich bei der betroffenen Person und nur, wenn besondere Umstände es erfordern, bei Drittpersonen.

4 Fassung gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

4

Nr. 38

2 Die zu befragende Person muss erkennen können, dass Personendaten erhoben werden, es sei denn, die Erfüllung der öffentlichen Aufgabe werde dadurch ernstlich gefährdet oder verunmöglicht.

3 Das Organ gibt sich der zu befragenden Person zu erkennen und weist sie auf das Bestehen einer Auskunftspflicht und gegebenenfalls auf die Folgen einer Verletzung der Auskunftspflicht hin.

4 Die Rechtsgrundlage, der Zweck des Bearbeitens und die vorgesehenen Empfänger der Personendaten werden der befragten Person angegeben, wenn a. sie es verlangt oder b. die Personendaten mit einem Formular erhoben werden, das sie grundsätzlich nicht in Anwesenheit des Organs auszufüllen hat.

2. Bekanntgeben von Personendaten § 9

Bekanntgeben an Organe 1 Unter Vorbehalt besonderer Geheimhaltungspflichten darf ein Organ andern Organen Personendaten bekanntgeben, wenn a. ein Rechtssatz dazu verpflichtet oder ermächtigt oder b. die Organe, welche Personendaten anbegehren, glaubhaft machen, dass sie die Anforderungen der §§ 4 und 5 erfüllen.

2 Die Einwohnerkontrolle gewährt andern Organen Einsicht in die bei ihr vorhandenen Personendaten und erteilt ihnen Auskunft; bei schweizerischen Organen kann sie von der Prüfung absehen, ob sie die Anforderungen der §§ 4 und 5 erfüllen.

3 Besteht zwischen zwei Organen keine Einigkeit darüber, ob anbegehrte Personendaten bekanntzugeben sind, entscheidet das übergeordnete Organ und bei gleichgestellten kantonalen Organen das gemeinsame nächsthöhere Organ.

§ 10

Bekanntgeben an Private 1 Unter Vorbehalt besonderer Geheimhaltungspflichten darf ein Organ privaten Personen und Organisationen Personendaten bekanntgeben, wenn a. ein Rechtssatz dazu verpflichtet oder ermächtigt oder b. die betroffene Person eingewilligt hat oder ihre Einwilligung nach den Umständen vorausgesetzt werden kann.

2 Personendaten aus allgemein zugänglichen amtlichen Veröffentlichungen darf ein Organ auf Anfrage in dem Umfang und in gleicher Weise bekanntgeben, wie sie veröffentlicht worden sind.

Nr. 38

5

3 Der Regierungsrat regelt das Bekanntgeben von Personendaten für Adressbücher und andere Nachschlagewerke sowie für Publikationen im Zusammenhang mit andern Vorgängen von allgemeinem Interesse.

§ 11

Bekanntgeben an Private durch die Einwohnerkontrolle 1 Die Einwohnerkontrolle gibt auf Gesuch privaten Personen und Organisationen, die ein schutzwürdiges Interesse glaubhaft machen, Namen, Vornamen, Geschlecht, Geburtsdatum und Adresse bekannt.

2 Soweit diese Angaben zur Wahrung des schutzwürdigen Interesses nicht ausreichen, gibt sie auch Auskunft über Beruf und Titel von Einzelpersonen, Zivilstand, Heimatort, Staatsangehörigkeit und zivilrechtliche Handlungsfähigkeit sowie über Ort und Datum des Zu- und Wegzugs.

3 Die Einwohnergemeinde kann durch Reglement oder Gemeindeordnung bestimmen, dass auch ohne Glaubhaftmachung eines schutzwürdigen Interesses Personendaten gemäss Absatz 1 zu politischen, kulturellen, gesellschaftlichen, wohltätigen und wissenschaftlichen Zwecken veröffentlicht oder auf Anfrage hin bekanntgegeben werden.

4 Jede betroffene Person kann bei der Einwohnerkontrolle das Bekanntgeben ihrer Personendaten ohne Angabe von Gründen sperren lassen; die Sperre ist indessen unwirksam, wenn die Einwohnerkontrolle durch Rechtssatz zum Bekanntgeben verpflichtet ist oder der Gesuchsteller eine Behinderung in der Verfolgung schutzwürdiger Ansprüche gegenüber der betroffenen Person glaubhaft macht.

§ 12

Einschränkung Ein Organ darf das Bekanntgeben von Personendaten aus überwiegenden öffentlichen Interessen oder überwiegenden privaten Interessen Dritter oder der betroffenen Person einschränken, mit Auflagen versehen oder verweigern.

§ 12a
5 1 Personendaten dürfen nicht ins Ausland bekanntgegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.

Grenzüberschreitende Bekanntgabe 2 Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, können persönliche Daten nur ins Ausland bekanntgegeben werden, wenn a. hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten, b. die betroffene Person im Einzelfall eingewilligt hat, 5 Eingefügt durch Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

6

Nr. 38

c. die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages steht und es sich um Personendaten des Vertragspartners handelt, d. die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist, e. die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen, f. die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.

3 Der Beauftragte für den Datenschutz muss über die Garantien nach Absatz 2a informiert werden. Der Regierungsrat regelt das Nähere.

3. Archivieren und Vernichten von Personendaten § 13

Nicht mehr benötigte Datensammlungen 1 Benötigt ein Organ Datensammlungen voraussichtlich nicht mehr, werden sie nach den dafür geltenden Vorschriften archiviert oder vernichtet. Vorbehalten bleiben die Bestimmungen von Absatz 2 sowie des § 18 Absatz 1.

2 Personendaten, die von der Polizei im Zusammenhang mit bestimmten, die öffentliche Ruhe und Ordnung gefährdenden Ereignissen erhoben worden sind, müssen innert drei Monaten nach dem Ereignis vernichtet werden, sofern sie bis zu diesem Zeitpunkt nicht in ein Strafverfahren überführt worden sind.

3 Der Regierungsrat kann weitere Vorschriften erlassen.

III. Kontrollrechte der betroffenen Person § 14

Register

1 Jedes Gemeinwesen führt über seine Datensammlungen ein Register.

2 Nicht in das Register aufgenommen werden Datensammlungen, die a. nur kurzfristig geführt werden, b. rechtmässig veröffentlicht sind.

Nr. 38

7

3 Das Register enthält für jede Datensammlung Angaben über die Rechtsgrundlage, den Zweck, die Mittel und Verfahren des Bearbeitens, die Art und Herkunft der Personendaten und deren regelmässige Empfänger, den Inhaber der Datensammlung, andere an der Datensammlung beteiligte Organe sowie das Vorhandensein und den Aufbewahrungsort von Kopien.

§ 15

Auskunft

1 Jede Person kann mündlich oder schriftlich Auskunft verlangen a. beim Organ, welches das Register führt, über dessen Inhalt, b. beim Inhaber der Datensammlung, ob über sie Personendaten bearbeitet werden. Sie hat sich über ihre Identität auszuweisen.

2 Der Inhaber der Datensammlung gibt ihr unter Hinweis auf die Angaben gemäss § 14 Absatz 3 Auskunft über alle in der Datensammlung über sie vorhandenen Personendaten.

3 Die Auskunft wird in allgemein verständlicher Form auf Verlangen mündlich oder schriftlich erteilt. Soweit die Mittel und Verfahren des Bearbeitens es zulassen, ist Einsicht in das Register oder in die Personendaten zu gewähren.

4 Kann die Auskunft oder Einsicht der Person selbst nicht gewährt werden, weil sie dadurch zu stark belastet werden könnte oder andere wichtige Gründe dagegen sprechen, kann sie einer Person ihres Vertrauens gewährt werden.

5 Die Kontrollrechte hinsichtlich der in zentralen Datenbanken gespeicherten Personendaten richten sich nach dem Informatikgesetz vom 7. März 2005 6.7

§ 16

Einschränkung Ein Organ darf die Auskunft über Personendaten aus überwiegenden öffentlichen Interessen oder überwiegenden privaten Interessen Dritter oder der betroffenen Person einschränken, mit Auflagen versehen oder verweigern.

§ 17

Berichtigung 1 Jede Person kann vom Inhaber der Datensammlung verlangen, dass unrichtige Personendaten über sie berichtigt werden.

2 Bestreitet der Inhaber der Datensammlung die Unrichtigkeit, hat er die Richtigkeit der Personendaten zu beweisen. Die betroffene Person hat im Rahmen des Zumutbaren bei der Abklärung mitzuwirken.

6 SRL Nr. 26

7 Eingefügt durch Informatikgesetz vom 7. März 2005, in Kraft seit dem 1. Juli 2005 (G 2005 87).

8

Nr. 38

3 Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten, insbesondere von solchen, die eine Wertung enthalten, bewiesen werden, kann die betroffene Person einen entsprechenden Vermerk aufnehmen lassen.

§ 18
8 1 Jede Person kann vom Inhaber der Datensammlung verlangen, dass Andere Ansprüche a. ein widerrechtliches Bearbeiten von Personendaten unterlassen wird, b. unbefugt bearbeitete Personendaten vernichtet oder die Folgen sonst wie beseitigt werden.

2 Weist die betroffene Person ein schutzwürdiges Interesse nach, a. ist die Widerrechtlichkeit einer Bearbeitung durch das verantwortliche Organ festzustellen,

b. ist der Entscheid des angegangenen Organs den von ihr bezeichneten Organen und Dritten bekanntzugeben, c. kann sie vom verantwortlichen Organ verlangen, dass es die Bekanntgabe von bestimmten Personendaten sperrt.

3 Das Organ kann die Sperrung verweigern, wenn a. die Bekanntgabe gesetzlich vorgesehen ist oder b. durch die Sperrung die Erfüllung der gesetzlichen Aufgabe des Organs gefährdet wird.

§ 19

Ablehnung des Begehrens 1 Soweit das angegangene Organ dem Begehren um Auskunft, Einsicht, Berichtigung oder Erfüllung eines Anspruchs gemäss § 18 nicht entspricht, erlässt es einen Entscheid.

2 Werden überwiegende öffentliche oder private Interessen Dritter im Sinn von § 16 bereits durch die Eröffnung von Gründen zur Einschränkung der Auskunft gefährdet, kann die Einschränkung ohne Entscheid vorgenommen werden. Der Beauftragte für den Datenschutz ist unverzüglich darüber zu informieren.

§ 20

Kosten

Die Ausübung der Kontrollrechte ist kostenfrei. Der Regierungsrat regelt die Ausnahmen. Er kann namentlich dann Kosten vorsehen, wenn ein unverhältnismässiger Aufwand damit verbunden ist.

8 Fassung gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

Nr. 38

9

IV. Rechtsschutz, Aufsicht, Strafbestimmung9 § 21

Rechtsschutz 1 Die Anfechtung von Entscheiden, die in Anwendung dieses Gesetzes erlassen werden, richtet sich, unter Einschluss der Kosten des Verfahrens, nach dem Gesetz über die Verwaltungsrechtspflege 10

2 Der Beauftragte für den Datenschutz ist zur Anfechtung von Entscheiden im Sinn von § 24 Absatz 4 befugt.

.

11

§ 22

Aufsicht

1 Der Regierungsrat wählt als kantonale Aufsichtsstelle einen Beauftragten für den Datenschutz. Die Wahl bedarf der Genehmigung durch den Kantonsrat 12.13

2 Der Beauftragte ist fachlich selbständig und unabhängig; administrativ ist er der Staatskanzlei zugeordnet.

14

3 Die dem Gesetz unterstellten Gemeinwesen können eine eigene Aufsichtsstelle schaffen. Der Beauftragte für den Datenschutz übt in diesem Fall die Oberaufsicht aus.

§ 23

Aufgaben

1 Der Beauftragte für den Datenschutz a. überwacht die Einhaltung der Vorschriften über den Datenschutz, b. berät die verantwortlichen Organe in Fragen des Datenschutzes und der Datensicherung,

c. erteilt den betroffenen Personen Auskunft über ihre Rechte, d. vermittelt zwischen Organen und Personen in allen Anständen über den Datenschutz, namentlich bei Begehren um Auskunft, Berichtigung und Unterlassung,

e. reicht in hängigen Verfahren auf Ersuchen von entscheidenden Organen oder Rechtsmittelbehörden Stellungnahmen zu Datenschutzfragen ein, f. orientiert die Organe über wesentliche Anliegen des Datenschutzes, g. sorgt für die Instruktion der Mitarbeiter von Organen über den Datenschutz, h. kontrolliert im Voraus Bearbeitungsmethoden, welche die Persönlichkeit einer grösseren Anzahl von Personen verletzen könnten,

15

9 Fassung gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

10 SRL Nr. 40

11 Eingefügt durch Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

12 Gemäss Änderung vom 28. April 2008, in Kraft seit dem 1. August 2008 (G 2008 256), wurde in den §§ 22 und 23 die Bezeichnung «Grosser Rat» durch «Kantonsrat» ersetzt.

13 Fassung gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

14 Fassung gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

15 Gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309), wurde der Unterabsatz h neu gefasst und die Unterabsätze i-k wurden eingefügt.

10

Nr. 38

i. veröffentlicht Stellungnahmen, 16

j. arbeitet mit den Kontrollorganen der anderen Kantone, des Bundes und des Auslandes zusammen,

17

k. erstattet dem Regierungsrat jährlich Bericht über seine Tätigkeit und stellt gleichzeitig der Aufsichts- und Kontrollkommission des Kantonsrates eine Kopie zu; der Bericht wird öffentlich zugänglich gemacht

18

2 Er führt für den Kanton das Register über die Datensammlungen.

.

§ 24

Befugnisse

1 Die verantwortlichen Behörden sind verpflichtet, den Beauftragten für den Datenschutz bei der Erfüllung seiner Aufgaben zu unterstützen.

2 Der Beauftragte kann ungeachtet allfälliger Geheimhaltungsvorschriften bei Behörden schriftlich und mündlich Auskünfte über das Bearbeiten von Personendaten einholen, Einsicht in Datensammlungen und ihre Unterlagen nehmen und sich das Bearbeiten von Personendaten vorführen lassen.

3 Ergibt die Abklärung, dass Datenschutzvorschriften verletzt werden, fordert der Beauftragte die verantwortliche oder deren vorgesetzte Behörde auf, die erforderlichen Massnahmen zu ergreifen.

4 Folgt die Behörde einer Aufforderung des Beauftragten nicht, erlässt sie einen Entscheid.

19

5 Der Beauftragte darf unter Vorbehalt besonderer Geheimhaltungsvorschriften Kenntnisse, die er bei seiner Tätigkeit erlangt, nur so weit bekanntgeben, als es zur Erfüllung seiner Aufgabe notwendig ist. Die Geheimhaltungspflicht besteht nach Beendigung des Dienstverhältnisses weiter.

20

§ 24a

21

Wer Personendaten im Auftrag bearbeitet und sich dabei vorsätzlich auftragswidrig verhält, wird auf Antrag mit Busse bestraft.

Strafbestimmung 16 Gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309), wurde der Unterabsatz h neu gefasst und die Unterabsätze i-k wurden eingefügt.

17 Gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309), wurde der Unterabsatz h neu gefasst und die Unterabsätze i-k wurden eingefügt.

18 Gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309), wurde der Unterabsatz h neu gefasst und die Unterabsätze i-k wurden eingefügt.

19 Gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309), wurde der Absatz 4 neu gefasst und der Absatz 5 wurde eingefügt.

20 Gemäss Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309), wurde der Absatz 4 neu gefasst und der Absatz 5 wurde eingefügt.

21 Eingefügt durch Änderung vom 18. Juni 2007, in Kraft seit dem 1. Januar 2008 (G 2007 309).

Nr. 38

11

V. Schlussbestimmungen § 25

Änderung eines Gesetzes Das Gesetz über das Niederlassungswesen vom 1. Dezember 1948 22

geändert:

2 Das Recht, Auskunft über die Personendaten der Einwohnerkontrolle zu verlangen und in sie Einsicht zu nehmen, richtet sich nach dem Gesetz über den Schutz von Personendaten 23

Absatz 3 wird aufgehoben.

.

§ 26

Übergangsbestimmung 1 Innert zwei Jahren nach Inkrafttreten des Gesetzes haben die Gemeinwesen ihre Datensammlungen dem neuen Recht anzupassen.

2 Die Erstellung der Register ist unverzüglich an die Hand zu nehmen.

§ 27

Inkrafttreten Das Gesetz tritt am 1. Januar 1991 in Kraft. Es unterliegt dem fakultativen Referendum 24

Luzern, 2. Juli 1990 .

Im Namen des Grossen Rates Der Präsident: Joseph Hardegger Der Staatsschreiber: Viktor Baumeler 22 SRL Nr. 5

23 SRL Nr. 38

24 Das Datenschutzgesetz wurde am 7. Juli 1990 im Kantonsblatt veröffentlicht (K 1990 1338). Die Referendumsfrist lief am 5. September 1990 unbenützt ab.