Datenschutzgesetz (DSG) vom 4. Oktober 2018

Dem nachstehenden vom Landtag gefassten Beschluss erteile Ich Meine Zustimmung:[^1]

I. Allgemeine Bestimmungen

A. Zweck, Anwendungsbereich und Begriffsbestimmungen

Art. 1

Zweck

1) Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen bei der Verarbeitung ihrer personenbezogenen Daten.

2) Es dient zudem:

• a) der Durchführung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1);

• b) der Umsetzung der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89).

3) Die jeweils geltende Fassung der in Abs. 2 genannten Rechtsvorschriften ergibt sich aus der Kundmachung der Beschlüsse des Gemeinsamen EWR-Ausschusses und der Staatsverträge zur Weiterentwicklung des Schengen-Besitzstands im Liechtensteinischen Landesgesetzblatt nach Art. 3 Bst. c und k des Kundmachungsgesetzes.

Art. 2

Anwendungsbereich

1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch öffentliche Stellen. Für nicht-öffentliche Stellen gilt dieses Gesetz für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, es sei denn, die Verarbeitung durch natürliche Personen erfolgt zur Ausübung ausschliesslich persönlicher oder familiärer Tätigkeiten.

2) Spezialgesetzliche Bestimmungen über den Datenschutz gehen den Vorschriften dieses Gesetzes vor. Regeln sie einen Sachverhalt, für den dieses Gesetz gilt, nicht oder nicht abschliessend, finden die Vorschriften dieses Gesetzes subsidiär Anwendung. Die Verpflichtung zur Wahrung von Geheimhaltungspflichten oder von Berufs- oder Amtsgeheimnissen bleibt unberührt.

3) Dieses Gesetz findet Anwendung auf öffentliche Stellen. Auf nicht-öffentliche Stellen findet es Anwendung, sofern: Sofern dieses Gesetz nicht nach Satz 2 Anwendung findet, gelten für den Verantwortlichen oder Auftragsverarbeiter nur Art. 9 bis 20 und 39 bis 44.

• a) der Verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Inland verarbeitet;

• b) die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung des Verantwortlichen oder Auftragsverarbeiters erfolgt; oder

• c) der Verantwortliche oder Auftragsverarbeiter zwar keine Niederlassung in einem EWR-Mitgliedstaat hat, er aber in den Anwendungsbereich der Verordnung (EU) 2016/679 fällt.

4) Für Verarbeitungen personenbezogener Daten durch öffentliche Stellen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten, finden die Verordnung (EU) 2016/679 und Kapitel I und II dieses Gesetzes entsprechend Anwendung, soweit nicht in diesem Gesetz oder einem anderen Gesetz Abweichendes geregelt ist.

5) Dieses Gesetz findet keine Anwendung auf:

• a) Beratungen im Landtag und in Kommissionen des Landtags sowie im Richterauswahlgremium;

• b) hängige Zivilverfahren und Verwaltungsbeschwerdeverfahren;

• c) hängige Verfahren vor dem Staatsgerichtshof;

• d) die Tätigkeiten der Finanzkontrolle des Landes.

6) Dieses Gesetz findet keine Anwendung, soweit das EWR-Recht, insbesondere die Verordnung (EU) 2016/679, unmittelbar gilt.

Art. 3

Begriffe und Bezeichnungen

1) Im Sinne dieses Gesetzes gelten als:

• a) "öffentliche Stellen":

• 1. die Organe des Staates, der Gemeinden und von Körperschaften, Stiftungen und Anstalten des öffentlichen Rechts;

• 1. nicht-öffentliche Stellen, soweit sie in Erfüllung der ihnen übertragenen öffentlichen Aufgaben tätig sind;

• b) "nicht-öffentliche Stellen":

• 1. natürliche und juristische Personen sowie rechtsfähige Personengesellschaften, die dem Privatrecht unterstehen, soweit sie nicht unter Bst. a Ziff. 2 fallen;

• 1. öffentliche Stellen nach Bst. a Ziff. 1, wenn sie privatwirtschaftlich handeln.

2) Unter den in diesem Gesetz verwendeten Personen- und Funktionsbezeichnungen sind Angehörige des weiblichen und männlichen Geschlechts zu verstehen.

B. Rechtsgrundlagen der Verarbeitung personenbezogener Daten

Art. 4

Verarbeitung personenbezogener Daten durch öffentliche Stellen

Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.

Art. 5

Videoüberwachung öffentlich zugänglicher Räume

1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit:

• a) sie erforderlich ist:

• 1. zur Aufgabenerfüllung öffentlicher Stellen;

• 1. zur Wahrnehmung des Hausrechts; oder

• 1. zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke; und

• b) keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen.

2) Bei der Videoüberwachung folgender Anlagen und Einrichtungen gilt der Schutz von Leben, Gesundheit oder Freiheit von dort aufhältigen Personen als ein besonders wichtiges Interesse:

• a) öffentlich zugängliche grossflächige Anlagen, wie insbesondere Sport-, Versammlungs- und Vergnügungsstätten, Einkaufszentren oder Parkplätze; oder

• b) Fahrzeuge und öffentlich zugängliche grossflächige Einrichtungen des öffentlichen Verkehrs.

3) Der Umstand der Beobachtung und der Name und die Kontaktdaten des Verantwortlichen sind durch geeignete Massnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen.

4) Die Speicherung oder Verwendung von nach Abs. 1 und 2 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Abs. 2 gilt entsprechend. Für einen anderen Zweck dürfen sie nur weiterverarbeitet werden, soweit dies zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit, zur Abwehr einer schweren Gefahr für Leib, Leben, Freiheit oder Eigentum sowie zur Verfolgung von Straftaten oder zur Beweissicherung erforderlich ist; in den letztgenannten Fällen kann die Landespolizei die Übermittlung der erhobenen Daten verlangen.

5) Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, so besteht die Pflicht zur Information der betroffenen Person über die Verarbeitung nach Art. 13 und 14 der Verordnung (EU) 2016/679. Art. 32 gilt entsprechend.

6) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.

7) Der Einsatz einer Videoüberwachung muss vor der Inbetriebnahme bei der Datenschutzstelle gemeldet werden. Von einer Meldung ausgenommen sind Bildübermittlungen in Echtzeit ohne Aufzeichnungs- oder sonstige weitere Verarbeitungsmöglichkeit. Die Regierung regelt das Nähere mit Verordnung.

8) Wer vorsätzlich gegen die Meldepflicht nach Abs. 7 verstösst, wird von der Datenschutzstelle wegen Übertretung mit Busse bis zu 5 000 Franken bestraft. Art. 40 Abs. 3 bis 6 findet entsprechende Anwendung.

C. Datenschutzbeauftragte öffentlicher Stellen

Art. 6

Benennung

1) Öffentliche Stellen benennen einen Datenschutzbeauftragten. Dies gilt auch für öffentliche Stellen nach Art. 3 Abs. 1 Bst. b Ziff. 2, die privatwirtschaftlich handeln.

2) Für mehrere öffentliche Stellen kann unter Berücksichtigung ihrer Organisationsstruktur und ihrer Grösse ein gemeinsamer Datenschutzbeauftragter benannt werden.

3) Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Art. 8 genannten Aufgaben.

4) Der Datenschutzbeauftragte kann Beschäftigter der öffentlichen Stelle sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.

5) Die öffentliche Stelle veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt diese Daten der Datenschutzstelle mit.

Art. 7

Stellung

1) Die öffentliche Stelle stellt sicher, dass der Datenschutzbeauftragte ordnungsgemäss und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.

2) Die öffentliche Stelle unterstützt den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben nach Art. 8, indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellt.

3) Die öffentliche Stelle stellt sicher, dass der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Datenschutzbeauftragte berichtet unmittelbar der Leitung der öffentlichen Stelle. Der Datenschutzbeauftragte darf von der öffentlichen Stelle wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden.

4) Die Abberufung des Datenschutzbeauftragten ist nur in entsprechender Anwendung von Art. 24 des Staatspersonalgesetzes zulässig.

5) Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte nach der Verordnung (EU) 2016/679, diesem Gesetz sowie anderen Gesetzen über den Datenschutz im Zusammenhang stehenden Fragen zu Rate ziehen. Der Datenschutzbeauftragte ist zur Verschwiegenheit über die Identität der betroffenen Person sowie über Umstände, die Rückschlüsse auf die betroffene Person zulassen, verpflichtet, soweit er nicht davon durch die betroffene Person befreit wird.

6) Wenn der Datenschutzbeauftragte bei seiner Tätigkeit Kenntnis von Daten erhält, für die der Leitung oder einer bei der öffentlichen Stelle beschäftigten Person aus beruflichen Gründen ein Zeugnisverweigerungsrecht zusteht, steht dieses Recht auch dem Datenschutzbeauftragten und den ihm unterstellten Beschäftigten zu. Über die Ausübung dieses Rechts entscheidet die Person, der das Zeugnisverweigerungsrecht aus beruflichen Gründen zusteht, es sei denn, dass diese Entscheidung in absehbarer Zeit nicht herbeigeführt werden kann. Soweit das Zeugnisverweigerungsrecht des Datenschutzbeauftragten reicht, unterliegen seine Akten und andere Dokumente einem Beschlagnahmeverbot.

Art. 8

Aufgaben

1) Dem Datenschutzbeauftragten obliegen neben den in der Verordnung (EU) 2016/679 genannten Aufgaben zumindest folgende Aufgaben:

• a) Unterrichtung und Beratung der öffentlichen Stelle und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach diesem Gesetz und sonstigen Vorschriften über den Datenschutz, einschliesslich der zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Gesetze;

• b) Überwachung der Einhaltung dieses Gesetzes und sonstiger Vorschriften über den Datenschutz, einschliesslich der zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Gesetze, sowie der Strategien der öffentlichen Stelle für den Schutz personenbezogener Daten, einschliesslich der Zuweisung von Zuständigkeiten, der Sensibilisierung und der Schulung der an den Verarbeitungsvorgängen beteiligten Beschäftigten und der diesbezüglichen Überprüfungen;

• c) Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung nach Art. 66;

• d) Zusammenarbeit mit der Datenschutzstelle;

• e) Tätigkeit als Anlaufstelle für die Datenschutzstelle in mit der Verarbeitung zusammenhängenden Fragen, einschliesslich der vorherigen Konsultation nach Art. 68 und gegebenenfalls Beratung zu allen sonstigen Fragen.

2) Im Fall eines bei einem Gericht bestellten Datenschutzbeauftragten beziehen sich die Aufgaben nach Abs. 1 nicht auf das Handeln des Gerichts im Rahmen seiner justiziellen Tätigkeit.

3) Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Die öffentliche Stelle stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

4) Der Datenschutzbeauftragte trägt bei der Erfüllung seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung, wobei er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigt.

D. Datenschutzstelle

Art. 9

Stellung und Organisation

1) Die Datenschutzstelle ist die nationale Aufsichtsbehörde nach Art. 51 der Verordnung (EU) 2016/679 und Art. 41 der Richtlinie (EU) 2016/680.

2) Die Datenschutzstelle besteht aus dem Leiter der Datenschutzstelle und dem übrigen Personal.

3) Soweit sich aus der Verordnung (EU) 2016/679 oder diesem Gesetz nicht etwas anderes ergibt, findet auf das Dienstverhältnis des Leiters der Datenschutzstelle und des übrigen Personals der Datenschutzstelle das Staatspersonalgesetz sinngemäss Anwendung.

Art. 10

Zuständigkeit

1) Die Datenschutzstelle ist zuständig für die Aufsicht über die von öffentlichen und nicht-öffentlichen Stellen vorgenommenen Verarbeitungen.

2) Die Datenschutzstelle ist nicht zuständig für die Aufsicht über:

• a) die von der Regierung im Rahmen ihrer Tätigkeit vorgenommenen Verarbeitungen;

• b) die von den Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.

Art. 11

Unabhängigkeit

1) Die Datenschutzstelle handelt bei der Erfüllung ihrer Aufgaben und bei der Ausübung ihrer Befugnisse völlig unabhängig. Sie unterliegt weder direkter noch indirekter Beeinflussung von aussen und ersucht weder um Weisung noch nimmt sie Weisungen entgegen.

2) Die Datenschutzstelle unterliegt der Prüfung durch die Finanzkontrolle nach dem Finanzkontrollgesetz.

Art. 12

a) Leiter der Datenschutzstelle

1) Der Landtag wählt den Leiter der Datenschutzstelle auf Vorschlag der Regierung für eine Dauer von sechs Jahren. Die Wiederwahl ist möglich.

2) Endet das Dienstverhältnis mit Ablauf der Vertragsdauer, so kann die Regierung in begründeten Fällen das Dienstverhältnis bis zur Anstellung eines Nachfolgers um bis zu sechs Monate verlängern.

3) Das Dienstverhältnis des Leiters der Datenschutzstelle endet mit Ablauf der Vertragsdauer; vorbehalten bleibt Abs. 4.

4) Das Dienstverhältnis des Leiters der Datenschutzstelle kann von der Regierung nur gekündigt bzw. aufgelöst werden, wenn:

• a) er wegen Krankheit oder Unfall an der Erfüllung der Aufgaben verhindert ist; oder

• b) ein wichtiger Grund für eine fristlose Auflösung vorliegt.

Art. 13

b) Übriges Personal der Datenschutzstelle

1) Das übrige Personal der Datenschutzstelle wird auf Vorschlag des Leiters der Datenschutzstelle von der Regierung angestellt.

2) Bestimmungen über die Versetzung und die Beendigung des Dienstverhältnisses nach Art. 16 und 18 bis 27 des Staatspersonalgesetzes finden auf das übrige Personal der Datenschutzstelle mit der Massgabe Anwendung, dass die Versetzung oder Beendigung des Dienstverhältnisses durch die Regierung eines Antrags des Leiters der Datenschutzstelle bedarf.

Art. 14

Rechte und Pflichten

1) Der Leiter der Datenschutzstelle sieht von allen mit den Aufgaben seines Amtes nicht zu vereinbarenden Handlungen ab und übt während seiner Amtszeit keine andere mit seinem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit aus. Der Leiter der Datenschutzstelle darf weder dem Landtag, der Regierung, einem Gericht oder einer Verwaltungsbehörde angehören noch die Funktion eines Gemeindevorstehers oder eines Gemeinderates einer liechtensteinischen Gemeinde ausüben. Mit seiner Bestellung scheidet er aus solchen Ämtern aus. Er darf nicht gegen Entgelt aussergerichtliche Gutachten abgeben.

2) Der Leiter der Datenschutzstelle ist berechtigt, über Personen, die ihm in seiner Eigenschaft als Leiter der Datenschutzstelle Tatsachen anvertraut haben, sowie über diese Tatsachen selbst das Zeugnis zu verweigern. Dies gilt auch für das übrige Personal der Datenschutzstelle mit der Massgabe, dass über die Ausübung dieses Rechts der Leiter der Datenschutzstelle entscheidet. Soweit das Zeugnisverweigerungsrecht des Leiters der Datenschutzstelle reicht, darf die Vorlegung oder Auslieferung von Akten oder anderen Dokumenten von ihm nicht gefordert werden.

3) Der Leiter der Datenschutzstelle ist, auch nach Beendigung seines Dienstverhältnisses, verpflichtet, über die ihm in Ausübung seines Amtes bekanntgewordenen Angelegenheiten Verschwiegenheit zu bewahren. Dies gilt nicht für Mitteilungen im dienstlichen Verkehr oder über Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen. Der Leiter der Datenschutzstelle entscheidet nach pflichtgemässem Ermessen, ob und inwieweit er über solche Angelegenheiten vor Gericht oder aussergerichtlich aussagt oder Erklärungen abgibt; wenn er nicht mehr im Amt ist, ist die Genehmigung des amtierenden Leiters der Datenschutzstelle erforderlich. Unberührt bleibt die gesetzlich begründete Pflicht, Straftaten anzuzeigen.

4) Für den Leiter der Datenschutzstelle und das übrige Personal der Datenschutzstelle gelten die Art. 84 und 85 des Steuergesetzes nicht. Dies gilt nicht, soweit die Steuerbehörden die Kenntnis für die Durchführung eines Verfahrens wegen einer Steuerstraftat sowie eines damit zusammenhängenden Steuerverfahrens benötigen, an deren Verfolgung ein zwingendes öffentliches Interesse besteht, oder soweit es sich um vorsätzlich falsche Angaben des Auskunftspflichtigen oder der für ihn tätigen Personen handelt. Stellt die Datenschutzstelle einen Datenschutzverstoss fest, ist sie befugt, diesen anzuzeigen und die betroffene Person hierüber zu informieren.

5) Der Leiter der Datenschutzstelle darf als Zeuge aussagen, es sei denn, die Aussage würde: