Law

Gesetz über den Datenschutz

Fribourg · 17.1 · statute

Ask the law about thisMore laws of FribourgFor machines: Markdown

Open at the publisher →

The publisher does not state since when this version applies. Read on 2026-10-23.

Copy read on 2026-10-23. The page it was read from

sha256 fc0c40a63df97c4ab4977f5375e4437e997ccbf0d3af024f357328b0aa0f44f1

Contents: 64 provisions
  1. Art. 1
  2. Art. 2
  3. Art. 3
  4. Art. 4
  5. Art. 5
  6. Art. 6
  7. Art. 7
  8. Art. 8
  9. Art. 9
  10. Art. 10
  11. Art. 11
  12. Art. 12
  13. Art. 13
  14. Art. 14
  15. Art. 15
  16. Art. 16
  17. Art. 17
  18. Art. 18
  19. Art. 19
  20. Art. 20
  21. Art. 21
  22. Art. 22
  23. Art. 23
  24. Art. 24
  25. Art. 25
  26. Art. 26
  27. Art. 27
  28. Art. 28
  29. Art. 29
  30. Art. 30
  31. Art. 31
  32. Art. 32
  33. Art. 33
  34. Art. 34
  35. Art. 35
  36. Art. 36
  37. Art. 37
  38. Art. 38
  39. Art. 39
  40. Art. 40
  41. Art. 41
  42. Art. 42
  43. Art. 43
  44. Art. 44
  45. Art. 45
  46. Art. 46
  47. Art. 47
  48. Art. 48
  49. Art. 49
  50. Art. 50
  51. Art. 51
  52. Art. 52
  53. Art. 53
  54. Art. 54
  55. Art. 55
  56. Art. 56
  57. Art. 57
  58. Art. 58
  59. Art. 59 eine Verwarnung aussprechen
  60. Art. 60
  61. Art. 61
  62. Art. 62
  63. Art. 63
  64. Art. 64

64 provisions

Art. 1

Zweck 1 Dieses Gesetz bezweckt den Schutz der Grundrechte von Personen, deren Daten bearbeitet werden.

Art. 2

Persönlicher Geltungsbereich 1 Das Gesetz gilt für folgende öffentliche Organe: a) die Organe des Staates, der Gemeinden und der übrigen juristischen Personen des öffentlichen Rechts; b) Privatpersonen und Organe privater Institutionen, soweit sie öffentlichrechtliche Aufgaben erfüllen. 2 Es gilt für anerkannte Kirchen, es sei denn, sie haben Datenschutzbestimmungen erlassen, die ein angemessenes Schutzniveau gewährleisten, und eine eigene Aufsichtsbehörde eingesetzt.

Art. 3

Sachlicher Geltungsbereich 1 Dieses Gesetz gilt für jegliche Bearbeitung von Personendaten, die von einem öffentlichen Organ im Sinne von Artikel 2 ausgeführt wird. 2 Ausgenommen sind: a) die Bearbeitungen von Daten, die im Rahmen von laufenden Zivilverfahren, Strafverfahren und Verfahren der Verwaltungsjustizbehörden durchgeführt werden; b) die Bearbeitungen von Daten, die dem ausschliesslich persönlichen Gebrauch der Person dienen, die sie durchführt; c) die Bearbeitungen von Daten, die von einem öffentlichen Organ im wirtschaftlichen Wettbewerb mit Personen des Privatrechts durchgeführt werden.

Art. 4

Definitionen 1 Die folgenden Ausdrücke bedeuten: a) Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen; b) betroffene Person: natürliche oder juristische Person, über die Daten bearbeitet werden; c) besonders schützenswerte Personendaten: 1. Daten zu den religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten; 2. Daten zur Gesundheit, zur Intimsphäre oder zur Zugehörigkeit zu einer Rasse oder Ethnie; 3. genetische Daten; 4. biometrische Daten, mit denen eine natürliche Person eindeutig identifiziert wird; 5. Daten zu Massnahmen der Sozialhilfe; 6. Daten zu Betreibungen oder zu strafrechtlichen und administrativen Sanktionen. d) Bearbeitung: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere die Beschaffung, Speicherung, Aufbewahrung, Verwendung, Umarbeitung, Bekanntgabe, Verknüpfung, Auslagerung, Löschung, Archivierung und Vernichtung; e) Abrufverfahren: ein automatisierter Datenbekanntgabemodus, bei dem die Empfängerin oder der Empfänger der Daten aufgrund einer Bewilligung des Verantwortlichen für die Bearbeitung selber und ohne vorherige Kontrolle über den Zeitpunkt und den Umfang der Bekanntgabe entscheidet; f) Profiling: jede Art der automatisierten Verarbeitung von Personendaten, die darin besteht, dass diese Personendaten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser Person zu analysieren oder vorherzusagen; g) Auslagerung: eine qualifizierte Form der Auftragsbearbeitung, welche die Nutzung von Computerressourcen beinhaltet, die über ein Kommunikationsnetz aus der Ferne zugänglich sind, um Daten zu speichern, zu bearbeiten und auszutauschen (Cloud Computing); h) Verantwortlicher: öffentliches Organ, das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung von Personendaten entscheidet; i) Auftragsbearbeiter: private Person oder öffentliches Organ, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet; j) Bearbeitungsregister: Onlineverzeichnis, in dem die von den öffentlichen Organen ausgeführten Bearbeitungstätigkeiten verzeichnet sind; k) Verletzung der Sicherheit von Personendaten: jede Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. 2 Grundsätze für die Bearbeitung von Personendaten 2.1 Allgemeine Bedingungen der Rechtmässigkeit der Bearbeitung

Art. 5

Gesetzliche Grundlage 1 Das öffentliche Organ darf Personendaten nur dann bearbeiten, wenn es in einer gesetzlichen Bestimmung vorgesehen wird oder wenn die Erfüllung einer gesetzlichen Aufgabe dies erfordert. 2 Besonders schützenswerte Personendaten dürfen nur bearbeitet werden, wenn: a) es in einem Gesetz im formellen Sinn ausdrücklich vorgesehen wird oder b) es für die Erfüllung einer Aufgabe, die in einem Gesetz im formellen Sinne klar definiert wird, unerlässlich ist und der Zweck des Bearbeitens keine besonderen Risiken für die Grundrechte der betroffenen Personen birgt. 3 Profiling-Aktivitäten und die Bearbeitung von Personendaten, deren Zwecke oder Modalitäten ein hohes Risiko für die Grundrechte der betroffenen Personen bergen, dürfen nur durchgeführt werden, wenn es in einem Gesetz im formellen Sinne ausdrücklich vorgesehen wird. 4 Ausnahmsweise ist keine gesetzliche Grundlage erforderlich, um Personendaten, einschliesslich besonders schützenswerte, zu bearbeiten, wenn die Bearbeitung nötig ist, um wesentliche Interessen der betroffenen Person oder einer oder eines Dritten zu wahren.

Art. 6

Einwilligung 1 Ausser in den Fällen nach Artikel 5 kann die betroffene Person im Einzelfall in die Bearbeitung ihrer Personendaten einwilligen. 2 Die betroffene Person willigt nur gültig ein, wenn sie ihren Willen frei ausdrückt und nachdem sie in angemessener Weise über den Zweck der Bearbeitung aufgeklärt wurde. Die Einwilligung muss ausdrücklich sein, wenn sie sich auf die Bearbeitung besonders schützenswerter Personendaten oder auf Profiling-Aktivitäten bezieht. Die Einwilligung wird jedoch vermutet, wenn die Person ihre Daten selbst frei zugänglich gemacht hat. 3 Jede Bearbeitung von Daten, die nicht auf den Grundlagen nach Artikel 5 beruht, muss von einem sichtbaren und leicht verständlichen Hinweis auf ihren freiwilligen Charakter begleitet werden. 4 Wenn sich die Bearbeitung auf die Einwilligung der betroffenen Person stützt, muss der Verantwortliche in der Lage sein, das Vorhandensein einer solchen Einwilligung zu beweisen. 5 Die Einwilligung kann jederzeit ohne Angabe von Gründen widerrufen werden. Aus technischen Gründen kann aber für die tatsächliche Umsetzung der Widerrufung der Einwilligung eine vernünftige Frist nötig sein.

Art. 7

Zweckbindung 1 Personendaten dürfen nur für eine bestimmte und erkennbare Verwendung beschafft werden. Sie dürfen später nur zu diesem Zweck oder zu einem Zweck, der mit diesem nach Treu und Glauben vereinbar ist, bearbeitet werden. 2 Die Fälle, in denen die betroffene Person in eine Änderung der Zweckbestimmung eingewilligt hat, bleiben vorbehalten.

Art. 8

Verhältnismässigkeit 1 Die Daten und die Art ihrer Bearbeitung müssen für den Zweck der Bearbeitung nötig, geeignet und nicht übertrieben sein.

Art. 9

Richtigkeit 1 Das öffentliche Organ, das Personendaten bearbeitet, achtet darauf, dass diese richtig sind. Es ergreift alle geeigneten Massnahmen, um falsche oder für den Zweck, für den sie beschafft und bearbeitet werden, unvollständige Daten zu berichtigen, zu ergänzen, zu löschen oder zu vernichten.

Art. 10

Aufbewahrungsfrist 1 Personendaten, die für den Zweck der Bearbeitung nicht mehr nötig sind, werden vernichtet oder anonymisiert. Die Bestimmungen über die Archivierung bleiben vorbehalten. 2 Mit geeigneten Schutzmassnahmen können sie insofern für längere Zeit aufbewahrt werden, soweit sie gemäss Artikel 26 ausschliesslich zu Zwecken, die sich nicht auf die Person beziehen, dienen.

Art. 11

Besondere Sorgfaltspflicht 1 Das öffentliche Organ, das besonders schützenswerte Personendaten bearbeitet, Profiling betreibt oder Daten zu Zwecken oder nach Modalitäten, die ein erhöhtes Risiko der Verletzung der Grundrechte mit sich bringt, bearbeitet, muss alle nötigen Massnahmen ergreifen, um dieses Risiko zu verringern. 2.2 Zusätzliche Bedingungen für bestimmte Formen der Bearbeitung

Art. 12

Beschaffen von Daten – Informationspflicht 1 Der Verantwortliche informiert die betroffene Person angemessen über das Beschaffen von Personendaten. 2 Wenn die Personendaten direkt bei der betroffenen Person beschafft werden, gibt ihr der Verantwortliche mindestens folgende Informationen: a) der Verantwortliche und seine Kontaktdaten; b) der Zweck der Bearbeitung; c) allenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen die Personendaten bekanntgegeben werden; d) Informationen dazu, ob das Beschaffen der Daten obligatorisch oder freiwillig ist. 3 Werden Personendaten bei einem anderen Organ oder bei Dritten beschafft, so teilt der Verantwortliche der betroffenen Person so bald wie möglich, aber spätestens bei ihrer ersten Verwendung die Informationen nach Absatz 1 und die Art der beschafften Daten mit.

Art. 13

Beschaffen von Daten – Ausnahmen von der Informationspflicht 1 Der Verantwortliche ist von der Informationspflicht entbunden, wenn: a) die betroffene Person bereits über die entsprechenden Informationen verfügt; b) es unmöglich ist, die betroffene Person zu informieren, oder die Information nur mit unverhältnismässigem Aufwand möglich ist; c) die Daten aufgrund einer gesetzlichen Pflicht beschafft werden, ausser sie werden direkt bei der betroffenen Person beschafft. 2 Ausserdem kann unter denselben Voraussetzungen und aus denselben Gründen wie denjenigen nach Artikel 29 Abs. 1 von der Informationspflicht abgewichen werden.

Art. 14

Bekanntgabe von Daten – Voraussetzung 1 Personendaten dürfen nur dann systematisch bekanntgegeben, weitergegeben, verbreitet oder zugänglich gemacht werden, wenn es in einer gesetzlichen Bestimmung vorgesehen wird. 2 Personendaten können im Einzelfall bekanntgegeben werden, wenn: a) das Bekanntgeben für die Erfüllung der gesetzlichen Aufgaben des Verantwortlichen oder der Datenempfängerin oder des Datenempfängers unerlässlich ist; b) die betroffene Person in das Bekanntgeben eingewilligt hat; c) die private Person, welche die Daten anfordert, ein Interesse an der Bekanntgabe nachweisen kann, das dem Interesse der betroffenen Person an der Geheimhaltung der Daten vorgeht. 3 Im Fall nach Absatz 2 Bst. c wird die betroffene Person vorher aufgefordert, Stellung zu nehmen, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismässigem Aufwand verbunden. 4 Der Zugang zu Personendaten über ein Abrufverfahren, namentlich ein Online-Zugriff, darf nur gewährt werden, wenn es in einer gesetzlichen Bestimmung vorgesehen wird.

Art. 15

Bekanntgabe von Daten – Zusätzliche Bedingungen für die grenzüberschreitende Bekanntgabe 1 Die Übermittlung von Personendaten einer natürlichen Person an einen ausländischen Staat oder ein internationales Organ ist nur soweit zulässig, als in einem Entscheid des Bundesrats bezeugt wird, dass der Empfängerstaat oder das internationale Organ ein angemessenes Datenschutzniveau gewährleistet. 2 Fehlt ein solcher Entscheid, so dürfen die Daten nur bekanntgegeben werden, wenn: a) hinreichende, insbesondere vertragliche, vereinbarte, technische und/ oder organisatorische, Garantien einen angemessenen Schutz im Ausland gewährleisten; b) die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist; c) die betroffene Person im Einzelfall der Bekanntgabe ausdrücklich zugestimmt hat; d) die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags steht und es sich um Personendaten einer Vertragspartei handelt; e) die Bekanntgabe im Einzelfall nötig ist, um das Leben oder die körperliche Integrität der betroffenen Person oder einer Drittperson zu schützen. 3 Die oder der Öffentlichkeits- und Datenschutzbeauftragte (die oder der Beauftragte) wird vor der Bekanntgabe von Personendaten ins Ausland rechtzeitig über die Garantien nach Absatz 2 Bst. a informiert. Auf Anfrage kann sie oder er jederzeit Informationen erhalten, um zu überprüfen, ob eine Bekanntgabe von Daten ins Ausland den Anforderungen nach den Buchstaben b‒e entspricht. 4 Nicht als Bekanntgabe ins Ausland wird die einfache Veröffentlichung von Daten auf einer Website, die der Öffentlichkeit offensteht, betrachtet.

Art. 16

Bekanntgabe von Daten – Einschränkungen 1 Die Bekanntgabe wird abgelehnt, eingeschränkt oder mit Auflagen verbunden, wenn: a) ein überwiegendes öffentliches Interesse oder ein schutzwürdiges Interesse der betroffenen Person oder eines Dritten es gebietet, oder b) eine gesetzliche Geheimhaltungspflicht oder eine besondere Datenschutzbestimmung dies erfordert.

Art. 17

Bekanntgabe von Daten – Vorbehalte 1 Die Bekanntgabe von Personendaten, die bei der Einwohnerkontrolle oder im Kantonalen Bezugssystem eingetragen sind, wird in den entsprechenden Gesetzen geregelt. 2 Die öffentliche Bekanntgabe von Personendaten richtet sich ausserdem nach der Gesetzgebung über die Information und den Zugang zu Dokumenten.

Art. 18

Auslagerung – Grundsätze 1 Die Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Daten, kann unter den in diesem Gesetz festgelegten Bedingungen ausgelagert werden. 2 Die Daten müssen jederzeit auf dem Gebiet der Schweiz oder auf dem Gebiet eines Staates, der ein angemessenes Schutzniveau gewährleistet, bearbeitet werden. 3 Wenn die Auslagerung eine Delegation von Aufgaben an Dritte im Sinne von Artikel 54 KV 1) zur Folge hat, gelten die besonderen Anforderungen gemäss dieser Bestimmung. 4 Einmal pro Legislaturperiode legt der Staatsrat im Rahmen seines Richtplans der Digitalisierung eine Bestandesaufnahme zur Auslagerung der Datenbearbeitung vor.

Art. 19

Auslagerung – Verantwortung 1 Das öffentliche Organ, das eine Auslagerung vornimmt, bleibt für den Schutz der Personendaten, insbesondere für die Vertraulichkeit und die Dauerhaftigkeit ihrer Aufbewahrung und Nutzung, verantwortlich. Insbesondere: a) ergreift es die Vorsichtsmassnahmen, die bei der Wahl des Auftragsbearbeiters, den Weisungen an diesen und der Aufsicht über diesen aufgrund der Umstände geboten sind; b) gewährleistet es den Schutz und die Sicherheit der Daten und seiner eigenen Informationssysteme, indem es einen Vertrag abschliesst, der mindestens Folgendes beschreibt: 1. den Gegenstand, die Art, den Zweck und die Dauer der Auslagerung; 2. die betroffenen Datenkategorien; 3. die Pflichten und die Rechte jeder Partei; 4. die Rechte und die Möglichkeiten der Kontrolle über den Auftragsbearbeiter; 5. das an den Auftragsbearbeiter gerichtete Verbot, ohne vorherige Genehmigung durch den Verantwortlichen seinerseits einen weiteren Auftragsbearbeiter mit der Bearbeitung zu beauftragen; 1) SGF 10.1 6. die Pflicht des Auftragsbearbeiters, den Verantwortlichen unverzüglich zu informieren, wenn er aufgrund eines ausländischen Gesetzes oder eines richterlichen Entscheids die Daten einer ausländischen Behörde bekanntgeben muss oder Gefahr läuft, dass er es tun muss. c) überträgt es dem Auftragsbearbeiter keine Bearbeitung, die es nicht selber ausführen darf; d) sorgt es dafür, dass es die von einer Auslagerung betroffenen Daten rechtzeitig zurückbekommen kann, namentlich damit es den Auftragsbearbeiter wechseln, die Daten wieder bei sich bearbeiten oder sie dem Historischen Archiv abliefern kann; e) macht es den Auftragsbearbeiter auf seine Geheimhaltungspflichten aufmerksam, insbesondere auf das Amtsgeheimnis und/oder das Berufsgeheimnis. 2 Bei der Kantonsverwaltung übernehmen das sachlich zuständige Organ und das Amt, das für die Informatik zuständig ist 2), gemeinsam die Verantwortung für die Umsetzung und die Kontrolle der Vorschriften über die Auslagerung. Fälle, in denen das sachlich zuständige Organ seine Informatiksysteme ganz oder teilweise autonom verwaltet, bleiben vorbehalten. 3 Wenn die Auslagerung mehrere verschiedene Organe desselben Gemeinwesens betrifft, wird ein hauptverantwortliches Organ bezeichnet. Im Übrigen gilt Absatz 2.

Art. 20

Auslagerung – Sicherheitsmassnahmen 1 Die Integrität, die Authentizität, die Verfügbarkeit und die Vertraulichkeit der ausgelagerten Personendaten sowie die Dauerhaftigkeit ihrer Aufbewahrung und Nutzung müssen durch geeignete organisatorische und technische Massnahmen, die der Entwicklung der verfügbaren Technologien angepasst sind, sichergestellt werden. 2 Die Definition der Sicherheitsmassnahmen berücksichtigt das Risiko, welches das Bearbeiten der fraglichen Daten für die Grundrechte der betroffenen Personen mit sich bringt. 3 Wenn die Auslagerung Daten betrifft, die für den Betrieb der Verwaltung unentbehrlich sind, muss die Fortführung der ausgelagerten Tätigkeiten bei einem Zwischenfall mit einem angemessenen Dispositiv sichergestellt werden. 2) Heute: Amt für Informatik und Telekommunikation.

Art. 21

Auslagerung – Massnahmen für besonders schützenswerte Personendaten 1 Die Bearbeitung von besonders schützenswerten Personendaten und die Bearbeitung von Daten, die einer gesetzlichen oder vertraglichen Geheimhaltungspflicht unterliegen, darf dann ausgelagert werden, wenn die Vertraulichkeit gegenüber dem Auftragsbearbeiter sichergestellt ist, so dass dieser auf deren Inhalt keinen Zugriff hat. 2 Wenn der Auftragsbearbeiter aus technischen Gründen unbedingt Zugriff auf die Daten haben muss, werden im Auslagerungsvertrag die nötigen besonderen Anforderungen festgelegt, insbesondere die Verpflichtung des Auftragsbearbeiters, nur mit ausdrücklicher Zustimmung des öffentlichen Organs, das die Daten auslagert, auf den Inhalt der Daten zuzugreifen, und die Pflicht, ein Zugriffsjournal zu führen. 3 Bei der Auslagerung von Daten, die einer gesetzlichen Geheimhaltungspflicht unterliegen, stellt der Verantwortliche sicher, dass der Auftragsbearbeiter den Status einer Hilfsperson des Geheimnisträgers hat.

Art. 22

Pilotprojekte, welche die Bearbeitung bestimmter Datenkategorien beinhalten 1 Wenn ein Pilotprojekt im Sinne von Artikel 35 des E-Government-Gesetzes vom 18. Dezember 2020 (E-GovG) 3) die Bearbeitung besonders schützenswerter Personendaten oder andere Arten der Bearbeitung im Sinn von Artikel 5 Abs. 3 beinhaltet, so unternimmt das für das Pilotprojekt verantwortliche Organ Folgendes: a) es übermittelt der Kantonalen Behörde für Öffentlichkeit, Datenschutz und Mediation (Aufsichtsbehörde) spätestens einen Monat vor seiner Übermittlung an den Staatsrat das Dossier nach Artikel 35 Abs. 2 Bst. d E-GovG 4); b) es übermittelt der Aufsichtsbehörde spätestens einen Monat vor seiner Übermittlung an den Staatsrat den Evaluierungsbericht nach Artikel 35a Abs. 2 E-GovG 5); c) es ergreift die erforderlichen Massnahmen, um den Schutz der Grundrechte und der Personendaten der betroffenen Personen während der gesamten Dauer des Pilotprojekts zu gewährleisten. 2 Die Unterlagen des Pilotprojekts und der Evaluierungsbericht müssen jeweils mindestens einen Teil enthalten, der sich mit der Bearbeitung von Personendaten und deren Schutz befasst. 3) SGF 184.1 4) SGF 184.1 5) SGF 184.1 3 Die Aufsichtsbehörde kann zum Inhalt der Unterlagen des Pilotprojekts und des Evaluierungsberichts Stellung nehmen. Ihre Stellungnahme wird dem Staatsrat mitgeteilt.

Art. 23

Archivierung 1 Personendaten unterliegen der Gesetzgebung über die Archivierung; ihre Archivwürdigkeit wird in Zusammenarbeit mit den für das historische Archiv zuständigen Organen bestimmt.

Art. 24

Löschen und Vernichten 1 Personendaten, deren Aufbewahrung keinem Zweck mehr dient und die nicht archivwürdig sind, werden so bald wie möglich mit geeigneten Mitteln, welche die gesicherte Beseitigung gewährleisten, gelöscht oder vernichtet. 2 Die Datenträger werden beim Recycling oder beim Ersetzen zerstört, wenn das Risiko besteht, dass unbefugte Personen besonders schützenswerte Personendaten, die gelöscht wurden, einsehen könnten.

Art. 25

Videoüberwachung 1 Die Vorschriften über die Videoüberwachung befinden sich in der einschlägigen Gesetzgebung. 2.3 Bearbeitung von Daten für nicht personenbezogene Zwecke

Art. 26

Vorschriften 1 Die öffentlichen Organe dürfen Personendaten bearbeiten und für nicht personenbezogene Zwecke, namentlich für die Forschung, die Planung und die Statistik, unter folgenden Voraussetzungen bekanntgeben: a) die Daten werden vernichtet oder anonymisiert, sobald der Bearbeitungszweck dies erlaubt; b) die Empfängerin oder der Empfänger gibt die Daten nur mit dem Einverständnis der Person oder des Organs, die oder das sie ihm weitergegeben hat, Dritten bekannt; c) besonders schützenswerte Personendaten werden Privatpersonen nur in einer Form, in der es nicht möglich ist, die betroffenen Personen zu identifizieren, weitergegeben; d) die Ergebnisse müssen so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind. 2 Die Artikel 5 Abs. 2 und 3, 7 und 14 Abs. 1 gelten nicht. 3 Privatpersonen, die von einem öffentlichen Organ Personendaten für die Bearbeitung zu nicht personenbezogenen Zwecken erhalten, verpflichten sich schriftlich, die nötigen Vorsichtsmassnahmen zu ergreifen, um die Persönlichkeit der betroffenen Personen zu schützen. 3 Rechte der betroffenen Personen

Art. 27

Auskunftsrecht – Grundsätze 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. 2 Das Auskunftsrecht gilt namentlich für folgende Informationen: a) der Verantwortliche und seine Kontaktdaten; b) bearbeitete Personendaten; c) Zweck und allenfalls rechtliche Grundlagen der Bearbeitung; d) Aufbewahrungsfrist der Personendaten oder, wenn das nicht möglich ist, die Kriterien, um diese zu bestimmen; e) die verfügbaren Informationen über die Herkunft der Personendaten; f) allenfalls Logik und Kriterien einer Massnahme oder eines Entscheids, die oder der aufgrund einer automatisierten Bearbeitung von Daten ergriffen oder gefällt wurde; g) allenfalls Empfängerinnen und Empfänger oder die Empfängerkategorien, denen diese Daten bekanntgegeben werden, und die Informationen nach Artikel 15 Abs. 3. 3 Lässt ein öffentliches Organ Daten durch einen Auftragsbearbeiter bearbeiten, so bleibt es verpflichtet, die Daten bekanntzugeben und die verlangten Auskünfte zu erteilen. 4 Niemand darf im Voraus auf das Auskunftsrecht verzichten.

Art. 28

Auskunftsrecht – Modalitäten 1 Wer das Auskunftsrecht geltend macht, muss seine Identität nachweisen. 2 Die Auskünfte werden in der Regel schriftlich auf einem physischen Träger oder elektronisch erteilt. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten auch vor Ort einsehen. 3 Das Verfahren ist kostenlos. Der Staatsrat kann Ausnahmen vorsehen.

Art. 29

Auskunftsrecht – Einschränkungen 1 Der Verantwortliche kann die Auskunft verweigern, einschränken oder aufschieben, wenn und soweit: a) es in einem Gesetz im formellen Sinn vorgesehen wird; b) ein überwiegendes öffentliches Interesse es gebietet, namentlich wenn die Auskunft ein laufendes Verfahren oder eine laufende Untersuchung beeinträchtigen könnte; c) das überwiegende Interesse eines Dritten es gebietet; d) das Auskunftsgesuch offensichtlich missbräuchlich ist, namentlich aufgrund der Wiederholung. 2 Die Bekanntgabe von Daten, die im historischen Archiv abgelegt sind, kann ebenfalls verweigert, eingeschränkt oder aufgeschoben werden, wenn die Behandlung des Gesuchs nicht mit einer rationellen Verwaltungsführung vereinbar ist und die betroffene Person kein schutzwürdiges Interesse geltend macht. 3 Der Verantwortliche muss angeben, aus welchem Grund er die Auskunft verweigert, einschränkt oder aufschiebt.

Art. 30

Daten verstorbener Personen 1 Auf Verlangen gewährt der Verantwortliche kostenlos Einsicht in die Personendaten einer verstorbenen Person, wenn: a) die ersuchende Person ein Interesse daran hat, diese Auskünfte zu erhalten, und b) kein überwiegendes öffentliches oder privates Interesse, insbesondere der verstorbenen Person oder ihrer Angehörigen, entgegensteht. 2 Ein Interesse an der Einsichtnahme besteht, wenn ein nahes Verwandtschaftsverhältnis, eine Ehe oder eine eheähnliche Gemeinschaft mit der verstorbenen Person vorliegt. 3 Für den Zugang zu Daten, die dem Berufsgeheimnis unterliegen, bleibt Artikel 321 StGB 6) vorbehalten.

Art. 31

Einsprache gegen die Bekanntgabe von Personendaten 1 Die betroffene Person kann gegen das Bekanntgeben bestimmter Personendaten durch den Verantwortlichen Einsprache einlegen. 2 Personendaten dürfen trotz Einsprache von Seiten der betroffenen Person bekanntgegeben werden, wenn: a) es gesetzlich vorgesehen ist; 6) SR 311.0 b) die Unterlassung der Mitteilung die Erfüllung der Aufgaben des öffentlichen Organs gefährden könnte; c) die Person, welche die Daten anfordert, eine Privatperson ist und die beiden folgenden Bedingungen erfüllt sind: 1. es existieren keine rechtlichen Hindernisse für die Bekanntgabe; 2. die Gesuchstellerin oder der Gesuchsteller beweist, dass die betroffene Person sich wahrscheinlich der Bekanntgabe nur widersetzt, um sie oder ihn daran zu hindern, rechtliche Forderungen oder andere rechtmässige Interessen geltend zu machen. 3 In den Situationen nach Absatz 2 Bst. c wird die betroffene Person soweit möglich vorgängig angehört. Der Verantwortliche entscheidet über die Bekanntgabe mit einem Entscheid. 4 Die Artikel 11 und 27 Abs. 1 Bst. c und Abs. 2 des Gesetzes vom 9. September 2009 über die Information und den Zugang zu Dokumenten (InfoG) 7) bleiben vorbehalten.

Art. 32

Datenübertragbarkeit 1 Die betroffene Person kann vom Verantwortlichen verlangen, dass er ihr die sie betreffenden Personendaten in einem häufig verwendeten elektronischen Format zur Verfügung stellt, wenn die folgenden Bedingungen erfüllt sind: a) der Verantwortliche bearbeitet Personendaten automatisiert; und b) in der Sondergesetzgebung ist ausdrücklich das Bestehen eines Rechts auf Übertragbarkeit vorgesehen, oder der Verantwortliche hat von sich aus beschlossen, eine solche Möglichkeit einzuführen. 2 Sofern die Voraussetzungen nach Absatz 1 erfüllt sind und kein unverhältnismässiger Aufwand nötig ist, kann die betroffene Person ausserdem vom Verantwortlichen verlangen, dass er die sie betreffenden Personendaten einem anderen Verantwortlichen übermittelt. 3 Der Verantwortliche händigt die Personendaten kostenlos aus oder übermittelt sie. Die Spezialgesetzgebung bleibt vorbehalten.

Art. 33

Abwehrklagen 1 Wer ein schutzwürdiges Interesse hat, kann vom Verantwortlichen verlangen, dass er: a) die widerrechtliche Bearbeitung von Personendaten unterlässt; b) die widerrechtliche Bearbeitung beendet; c) die Widerrechtlichkeit einer Bearbeitung feststellt. 7) SGF 17.5 2 Sie oder er kann insbesondere verlangen, dass der Verantwortliche: a) falsche Daten über sie oder ihn berichtigt oder Daten löscht, deren Aufbewahrung keinem Zweck mehr dient; b) die Bearbeitung von bestimmten Daten über sie oder ihn, namentlich die Änderung und die Bekanntgabe an Dritte, vorübergehend einschränkt; c) bei Daten, die sie oder ihn betreffen und bei denen weder die Richtigkeit noch die Unrichtigkeit bewiesen werden kann, einen entsprechenden Vermerk anbringt; d) einen Entscheid über sie oder ihn veröffentlicht oder Dritten mitteilt. 3 Personendaten in Archivbeständen oder in öffentlich zugänglichen Beständen dürfen weder berichtigt noch vernichtet werden. Die betroffene Person oder jede Person, die ein schutzwürdiges Interesse hat, kann jedoch verlangen, dass die Einrichtung den Zugang zu den umstrittenen Daten einschränkt und/oder einen entsprechenden Vermerk anbringt.

Art. 34

Verfahren und Rechtsmittel 1 Für Entscheide, die nach diesem Abschnitt getroffen werden, gilt das Gesetz über die Verwaltungsrechtspflege 8). Gegen diese Entscheide kann Beschwerde eingereicht werden. 2 Ausser wenn sich die betroffene Person dagegen wehrt, teilt das Organ, das den Entscheid gemäss Absatz 1 gefällt hat, ihn der Aufsichtsbehörde mit. 3 Die Aufsichtsbehörde kann gegen den Entscheid Beschwerde erheben.

Art. 35

Schadenersatz und Genugtuung 1 Die Person, die einen Schaden erleidet, weil die Bestimmungen dieses Gesetzes verletzt wurden, kann Schadenersatz- und Genugtuungsansprüche gemäss dem Gesetz über die Haftung der Gemeinwesen und ihrer Amtsträger 9) geltend machen. 2 Sie kann von der Richterin oder vom Richter verlangen, dass sie oder er das Urteil vollständig oder teilweise veröffentlicht oder Dritten mitteilen lässt. 4 Durchführung des Datenschutzes

Art. 36

Verantwortung – Im Allgemeinen 1 Jedes öffentliche Organ, das Personendaten bearbeitet, ist für den Datenschutz verantwortlich. 8) SGF 150.1 9) SGF 16.1 2 Bearbeiten mehrere öffentliche Organe zusammen Daten, so ist die Verteilung ihrer Pflichten beim Datenschutz in der Meldung nach Artikel 38 zu regeln, es sei denn, dass sie ausdrücklich aus einer gesetzlichen Bestimmung hervorgeht. 3 Die Aufteilung der Verantwortung nach Absatz 2 kann der betroffenen Person nicht entgegengehalten werden.

Art. 37

Verantwortung – Auftragsbearbeitung 1 Das öffentliche Organ, das Personendaten von einem Auftragsbearbeiter bearbeiten lässt, bleibt für die Verpflichtungen nach der Gesetzgebung über den Datenschutz verantwortlich. 2 Die Bearbeitung von Personendaten kann einem Auftragsbearbeiter übertragen werden, sofern es in einem Vertrag oder einer Vereinbarung vorgesehen wird und die folgenden Bedingungen erfüllt sind: a) ausgeführt werden nur Bearbeitungen, welche der Verantwortliche selber durchführen dürfte; b) keine gesetzliche oder vertragliche Geheimhaltungspflicht verbietet es; c) der Auftragsbearbeiter darf nicht ohne vorherige Bewilligung des Verantwortlichen seinerseits einen Dritten mit dem Bearbeiten beauftragen. 3 Der Verantwortliche muss insbesondere sicherstellen, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. 4 Der Auftragsbearbeiter kann die gleichen Rechtfertigungsgründe geltend machen wie der Verantwortliche. 5 Sofern das Gesetz oder eine Vereinbarung zwischen Organen nichts anderes vorsieht, gelten die Vorschriften über die Auftragsbearbeitung nicht zwischen Organen, die derselben Körperschaft angehören. Artikel 36 Abs. 2 ist anwendbar.

Art. 38

Bearbeitungsregister – Grundsätze 1 Die Aufsichtsbehörde führt ein öffentliches Register der Bearbeitungstätigkeiten, die von den diesem Gesetz unterstellten Organen ausgeführt werden. 2 Für jede Bearbeitungstätigkeit enthält dieses Register die folgenden Informationen: a) der Verantwortliche, bei dem die betroffenen Personen ihre Rechte hauptsächlich geltend machen können; b) allenfalls die übrigen Verantwortlichen und die Aufteilung der Verantwortung; c) allenfalls Auftragsbearbeiter und ihre Kontaktdaten; d) die Bezeichnung, die gesetzliche Grundlage und die Zweckbindung der Bearbeitung; e) Beschreibung der Kategorien der betroffenen Personen und der Kategorien der bearbeiteten Personendaten; f) die regelmässigen Datenempfängerinnen und Datenempfänger. 3 Alle Verantwortlichen melden der Aufsichtsbehörde die von ihnen durchgeführten Bearbeitungstätigkeiten und ihre jeweiligen Änderungen. 4 Bei der gemeinsamen Bearbeitung von Daten richtet der Verantwortliche, der die Erklärung für die Bearbeitung ausfüllt, eine Kopie an die übrigen Verantwortlichen.

Art. 39

Bearbeitungsregister – Ausnahmen 1 Soweit sie ausschliesslich zu internen Verwaltungszwecken, die für ein öffentliches Organ typisch sind, durchgeführt werden, unterliegen die folgenden Bearbeitungen nicht der Meldepflicht: a) Datensammlungen, die nur öffentlich zugängliche Informationen enthalten; b) Korrespondenzablagen; c) Adressensammlungen; d) Lieferanten- und Kundendateien; e) Führen und Verwalten von Buchhaltungsbelegen, wenn sie Personendaten enthalten; f) Verwalten und Führen der Dokumente, die im Historischen Archiv abgelegt wurden; g) Bearbeitungstätigkeiten, die nicht personenbezogene Zwecke betreffen, insbesondere im Rahmen von Forschung, Planung und Statistik. 2 Auf Stellungnahme der Aufsichtsbehörde kann der Staatsrat für andere Kategorien der Bearbeitung, die offensichtlich kein Risiko für die Rechte der betroffenen Personen darstellen, Ausnahmen von der Meldepflicht vorsehen.

Art. 40

Organisatorische und technische Massnahmen 1 Der Verantwortliche ist verpflichtet, geeignete technische und organisatorische Massnahmen zu treffen, damit bei der Bearbeitung dieses Gesetz und insbesondere die Grundsätze nach Abschnitt 2.1 beachtet werden. Er tut dies bereits bei der Konzeption der Bearbeitung. 2 Die getroffenen Massnahmen werden mit denjenigen, mit denen die Informationssicherheit der Verwaltung im Allgemeinen sichergestellt werden soll, und mit den Massnahmen zur Informatiksicherheit harmonisiert. 3 Der Verantwortliche muss durch geeignete Voreinstellungen sicherstellen, dass die Bearbeitung auf das für den verfolgten Zweck erforderliche Mindestmass beschränkt wird. 4 Die ergriffenen Massnahmen und die Wahl der Einstellungen werden dokumentiert.

← Find another law