235.11
Liechtensteinisches Landesgesetzblatt
Jahrgang 2009Nr. 209ausgegeben am 20. Juli 2009
Verordnung
vom 14. Juli 2009
über die Abänderung der Datenschutzverordnung
Aufgrund von Art. 6a Abs. 3 und 6, Art. 8 Abs. 3 und 5, Art. 9 Abs. 2, Art. 11 Abs. 1 und 5, Art. 14a Abs. 2, Art. 15 Abs. 6, Art. 19a Abs. 2, Art. 20 Abs. 2 und Art. 42 des Datenschutzgesetzes (DSG) vom 14. März 2002, LGBl. 2002 Nr. 55, in der Fassung des Gesetzes vom 11. Dezember 2008, LGBl. 2009 Nr. 46, verordnet die Regierung:
I.
Abänderung bisherigen Rechts
Die Verordnung vom 9. Juli 2002 zum Datenschutzgesetz (Datenschutzverordnung; DSV), LGBl. 2002 Nr. 102, in der geltenden Fassung, wird wie folgt abgeändert:
Art. 1 Abs. 2 und 6
2) Das Auskunftsbegehren sowie die Auskunftserteilung können auf elektronischem Weg erfolgen, wenn der Inhaber der Datensammlung dies ausdrücklich vorsieht und angemessene Massnahmen trifft, um:
a) die Identifizierung der betroffenen Person sicherzustellen; und
b) die persönlichen Daten der betroffenen Person bei der Auskunftserteilung vor dem Zugriff unberechtigter Dritter zu schützen.
6) Betrifft das Auskunftsbegehren Daten, die im Auftrag des Inhabers der Datensammlung von einem Dritten bearbeitet werden, so leitet der Auftraggeber das Begehren an den Dritten zur Erledigung weiter, sofern er nicht selbst in der Lage ist, Auskunft zu erteilen.
Sachüberschrift vor Art. 3a
Ausnahmen von der Anmeldepflicht
Art. 3a
a) Datensammlungen
1) Ausgenommen von der Pflicht zur Anmeldung der Datensammlungen nach Art. 15 DSG sind:
a) Datensammlungen von Lieferanten oder Kunden, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
b) Datensammlungen, deren Daten ausschliesslich zu nicht personenbezogenen Zwecken verwendet werden, namentlich in der Forschung, der Planung und der Statistik;
c) archivierte Datensammlungen, die nur zu historischen oder wissenschaftlichen Zwecken aufbewahrt werden;
d) Datensammlungen, die ausschliesslich Daten enthalten, die veröffentlicht wurden, oder welche die betroffene Person selbst allgemein zugänglich gemacht und deren Bearbeitung sie nicht ausdrücklich untersagt hat;
e) Daten, die ausschliesslich der Erfüllung der Anforderungen nach Art. 11 dienen;
f) Buchhaltungsunterlagen;
g) Hilfsdatensammlungen für die Personalverwaltung des Inhabers der Datensammlung, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten.
2) Der Inhaber der Datensammlungen trifft die erforderlichen Massnahmen, um die Angaben gemäss Art. 15 Abs. 5 DSG zu den Datensammlungen, welche nach Abs. 1 keiner Anmeldepflicht unterliegen, auf Gesuch hin der Datenschutzstelle oder den betroffenen Personen mitteilen zu können.
Art. 4 Sachüberschrift
b) Datensammlungen der Medien
Art. 4a
c) Datensammlungen, für die ein Datenschutzverantwortlicher bezeichnet wird
1) Inhaber einer Datensammlung sind nach Art. 15 Abs. 6 DSG von der Pflicht zur Anmeldung der Datensammlung befreit, wenn sie:
a) einen betrieblichen Datenschutzverantwortlichen bezeichnen, der die Anforderungen von Abs. 2 und von Art. 13a erfüllt; und
b) die Datenschutzstelle über die Bezeichnung des Datenschutzverantwortlichen informieren.
2) Der Inhaber der Datensammlung kann einen Mitarbeiter oder einen Dritten als Datenschutzverantwortlichen bezeichnen. Dieser darf keine anderen Tätigkeiten ausüben, die mit seinen Aufgaben als Datenschutzverantwortlicher unvereinbar sind, und muss über die erforderliche Fachkenntnis verfügen.
3) Die Datenschutzstelle publiziert eine Liste der ihr gegenüber von den Inhabern der Datensammlungen nach Abs. 1 Bst. b bezeichneten Datenschutzverantwortlichen.
Art. 4b
Vereinfachte Anmeldung
1) Die Datenschutzstelle kann auf Ersuchen des Inhabers für Datensammlungen, die der Pflicht zur Anmeldung unterliegen, eine vereinfachte Anmeldung zulassen, wenn unter Berücksichtigung der zu bearbeitenden Daten die Persönlichkeit der betroffenen Personen nicht gefährdet erscheint. Für die Überprüfung sind insbesondere zu berücksichtigten:
a) der Zweck der Bearbeitung;
b) die bearbeiteten Daten;
c) die betroffenen Personen;
d) die Empfänger bei einer Weitergabe; und
e) die Dauer einer Aufbewahrung.
2) Die vereinfachte Anmeldung enthält folgende Angaben:
a) Name und Adresse des Inhabers;
b) Zweck und vollständige Bezeichnung der Datensammlung; und
c) die Stelle, bei der das Auskunftsrecht geltend gemacht werden kann.
Art. 5
Veröffentlichung in elektronischer Form
Werden Personendaten mittels im Gebiet des Europäischen Wirtschaftsraums betriebener automatisierter Informations- und Kommunikationsdienste zwecks Information der Öffentlichkeit allgemein zugänglich gemacht, so gilt dies nicht als Übermittlung ins Ausland.
Art. 6
Genehmigung der Bekanntgabe von Daten
1) Der Inhaber der Datensammlung hat den Antrag auf Genehmigung der Bekanntgabe von Daten ins Ausland nach Art. 8 Abs. 3 DSG beim Ressort Justiz einzureichen.
2) Das Ressort Justiz leitet den Antrag nach Abs. 1 zur Stellungnahme an die Datenschutzstelle weiter. Diese prüft die Garantien und die einheitlichen Datenschutzregeln und teilt dem Ressort Justiz das Ergebnis ihrer Prüfung innert 30 Tagen ab Eingang mit.
3) Gewährleisten die Garantien oder einheitlichen Datenschutzregelungen einen angemessenen Schutz, erteilt die Regierung dem Inhaber der Datensammlung die Genehmigung.
4) Wurde eine Genehmigung erteilt, so gilt diese für alle weiteren Bekanntgaben, die:
a) unter denselben Garantien erfolgen, soweit die Kategorien der Empfänger, der Zweck der Bearbeitung und die Datenkategorien im Wesentlichen unverändert bleiben; oder
b) innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfinden, soweit die Datenschutzregeln weiterhin einen angemessenen Schutz gewährleisten.
5) Eine Genehmigung ist nicht notwendig, wenn Daten unter Anwendung von Standardvertragsklauseln nach Anhang 1 übermittelt werden. In diesen Fällen ist die Datenschutzstelle vom Inhaber der Datensammlung über die Datenbekanntgabe unter Verwendung dieser Standardvertragsklauseln zu informieren.
6) Der Inhaber der Datensammlung trifft angemessene Massnahmen, um sicherzustellen, dass der Empfänger die Garantien und die Datenschutzregeln beachtet.
Art. 7
Liste der Nicht-EWR-Mitgliedstaaten mit angemessener Datenschutzgesetzgebung
Die Liste der Nicht-EWR-Mitgliedstaaten, deren Gesetzgebung einen angemessenen Datenschutz gewährleistet, ist im Anhang 2 enthalten.
Art. 12
Bearbeitungsreglement
1) Der Inhaber einer meldepflichtigen automatisierten Datensammlung (Art. 15 DSG), die nicht aufgrund von Art. 3a, 4 und 4a von der Meldepflicht ausgenommen ist, hat ein Bearbeitungsreglement zu erstellen.
2) Das Bearbeitungsreglement umschreibt insbesondere die Datenbearbeitungs- und die Kontrollverfahren und enthält alle wesentlichen Unterlagen über die Planung, Realisierung und den Betrieb der Datensammlung. Es enthält die für die Meldepflicht erforderlichen Angaben (Art. 15 Abs. 5 DSG) sowie Angaben über:
a) die für den Datenschutz und die Datensicherheit der Daten verantwortliche Stelle;
b) die Herkunft der Daten;
c) die Zwecke, für welche die Daten regelmässig bekannt gegeben werden;
d) die Kontrollverfahren und insbesondere die technischen und organisatorischen Massnahmen nach Art. 9 bis 11;
e) die Beschreibung der Datenfelder und die Organisationseinheiten, die darauf Zugriff haben;
f) Art und Umfang des Zugriffs der Benutzer der Datensammlung;
g) die Datenbearbeitungsverfahren, insbesondere die Verfahren bei der Berichtigung, Sperrung, Anonymisierung, Speicherung, Aufbewahrung, Archivierung oder Vernichtung der Daten;
h) die Konfiguration der Informatikmittel;
i) das Verfahren zur Ausübung des Auskunftsrechts.
3) Der Inhaber der Datensammlung aktualisiert das Reglement regelmässig.
Überschrift vor Art. 13a
E. Datenschutzverantwortlicher
Art. 13a
Aufgaben und Stellung des Datenschutzverantwortlichen
1) Der Datenschutzverantwortliche hat namentlich folgende Aufgaben:
a) Er prüft die Bearbeitung von Personendaten und empfiehlt Korrekturmassnahmen, wenn er feststellt, dass Datenschutzvorschriften verletzt wurden. Er erstattet der Datenschutzstelle im Sinne von Art. 30 DSG Meldung, wenn er schwere Verstösse gegen die Datenschutzvorschriften feststellt oder seinen Empfehlungen nicht in angemessener Zeit nachgekommen wird und die Verletzung weiter besteht.
b) Er führt eine Liste der Datensammlungen nach Art. 15 DSG, die vom Inhaber der Datensammlungen geführt werden; diese Liste ist der Datenschutzstelle oder betroffenen Personen, die ein entsprechendes Gesuch stellen, zur Verfügung zu stellen.
2) Der Datenschutzverantwortliche:
a) übt seine Funktion fachlich unabhängig aus, ohne diesbezüglich Weisungen des Inhabers der Datensammlung zu unterliegen;
b) verfügt über die zur Erfüllung seiner Aufgaben erforderlichen Ressourcen;
c) hat Zugang zu allen Datensammlungen und Datenbearbeitungen sowie zu allen Informationen, die er zur Erfüllung seiner Aufgaben benötigt.
Art. 16 Abs. 1 Bst. h
h) eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Massnahmen nach Art. 9 DSG zur Gewährleistung der Sicherheit der Bearbeitung angemessen sind.
Art. 17
Ausnahmen von der Anmeldepflicht
1) Folgende Datensammlungen unterliegen nicht der Anmeldepflicht, sofern die Behörden sie ausschliesslich für verwaltungsinterne Zwecke verwenden:
a) Korrespondenzregistraturen;
b) Datensammlungen von Lieferanten oder Kunden, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
c) Adressensammlungen, die einzig der Adressierung dienen, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
d) Listen für Entschädigungszahlungen;
e) Buchhaltungsunterlagen;
f) Hilfsdatensammlungen für die Personalverwaltung des Landes, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
g) Bibliothekdatensammlungen (Autorenkataloge, Ausleiher und Benutzerverzeichnisse).
2) Ebenfalls nicht der Anmeldepflicht unterliegen:
a) Datensammlungen, die beim Landesarchiv archiviert sind;
b) Datensammlungen, die der Öffentlichkeit in Form von Verzeichnissen zugänglich gemacht werden;
c) Datensammlungen, deren Daten ausschliesslich zu nicht personenbezogenen Zwecken verwendet werden, namentlich in der Forschung, der Planung und der Statistik.
3) Die für die Datensammlungen verantwortliche Behörde trifft die erforderlichen Massnahmen, um die Angaben gemäss Art. 15 Abs. 5 DSG zu den Datensammlungen, welche nach Abs. 1 und 2 keiner Anmeldepflicht unterliegen, auf Gesuch hin der Datenschutzstelle oder den betroffenen Personen mitteilen zu können.
Art. 17a
Vereinfachte und globale Anmeldung
1) Die Datenschutzstelle kann auf Ersuchen der verantwortlichen Behörde für Datensammlungen, die der Pflicht zur Anmeldung unterliegen, eine vereinfachte Anmeldung zulassen, wenn unter Berücksichtigung der zu bearbeitenden Daten die Persönlichkeit der betroffenen Personen nicht gefährdet erscheint. Für die Überprüfung sind insbesondere zu berücksichtigen:
a) der Zweck der Bearbeitung;
b) die bearbeiteten Daten;
c) die betroffenen Personen;
d) die Empfänger bei einer Weitergabe; und
e) die Dauer einer Aufbewahrung.
2) Die vereinfachte Anmeldung enthält folgende Angaben:
a) Name und Adresse der verantwortlichen Behörde;
b) Zweck und vollständige Bezeichnung der Datensammlung;
c) die Stelle, bei der das Auskunftsrecht geltend gemacht werden kann.
3) Wenn eine Behörde mehrere Datensammlungen verwaltet, für die jeweils eine vereinfachte Anmeldung zugelassen wurde, bilden jene Datensammlungen, die derselben Kategorie angehören, Gegenstand einer globalen Anmeldung.
Art. 20 Abs. 2
2) Die verantwortliche Behörde meldet dem Datenschutzverantwortlichen oder, falls kein solcher besteht, der Datenschutzstelle unverzüglich alle Projekte zur automatisierten Bearbeitung von Personendaten, damit die Erfordernisse des Datenschutzes sogleich berücksichtigt werden.
Art. 21 Abs. 2
2) Die verantwortliche Behörde legt ihre interne Organisation im Bearbeitungsreglement fest. Dieses umschreibt insbesondere die Datenbearbeitungs- und Kontrollverfahren und enthält alle wesentlichen Unterlagen über die Planung, Realisierung und den Betrieb der Datensammlung. Das Reglement enthält die für die Meldepflicht erforderlichen Angaben (Art. 16) sowie Angaben über:
a) die für den Datenschutz und die Datensicherheit der Daten verantwortliche Stelle;
b) die Herkunft der Daten;
c) die Zwecke, für welche die Daten regelmässig bekannt gegeben werden;
d) die Kontrollverfahren und insbesondere die technischen und organisatorischen Massnahmen nach Art. 20;
e) die Beschreibung der Datenfelder und die Organisationseinheiten, die darauf Zugriff haben;
f) Art und Umfang des Zugriffs der Benutzer der Datensammlung;
g) die Datenbearbeitungsverfahren, insbesondere die Verfahren bei der Berichtigung, Sperrung, Anonymisierung, Speicherung, Aufbewahrung, Archivierung oder Vernichtung der Daten;
h) die Konfiguration der Informatikmittel;
i) das Verfahren zur Ausübung des Auskunftsrechts.
Art. 23
Berater für den Datenschutz und Datenschutzverantwortlicher
1) Die Regierung bezeichnet mindestens einen Berater für den Datenschutz. Dieser Berater hat folgende Aufgaben:
a) Unterstützung der verantwortlichen Stelle und Benützer;
b) Förderung der Information und der Ausbildung der Mitarbeiter;
c) Mitwirkung beim Vollzug der Datenschutzvorschriften.
2) Wollen Behörden von der Pflicht zur Anmeldung ihrer Datensammlungen befreit werden, so sind die Art. 4a und 13a über den Datenschutzverantwortlichen anwendbar.
Überschrift vor Art. 27
IIa. Videoüberwachung
Art. 27
Bewilligung einer Videoüberwachung
1) Der Antrag auf Bewilligung einer Videoüberwachung nach Art. 6a DSG ist bei der Datenschutzstelle schriftlich einzureichen und hat insbesondere zu enthalten:
a) den Namen und die Adresse des Inhabers der Videoüberwachung;
b) eine Beschreibung des Zwecks und der Notwendigkeit der Videoüberwachung;
c) einen detaillierten Situationsplan, aus welchem die Anzahl der Überwachungsgeräte, ihre jeweilige Positionierung und der resultierende Abdeckungsbereich ersichtlich werden;
d) eine detaillierte Beschreibung der Funktionsweise der Videoüberwachung, aus welcher sich die Arbeitweise des Systems (insbesondere die Erfassung, Übertragung, Aufzeichnung und Auswertung) ableiten lässt;
e) eine Auflistung der Personen oder Stellen, welche auf die Videoüberwachung oder die aus ihr resultierenden Daten Zugriff haben;
f) die Betriebszeiten der Videoüberwachung;
g) eine detaillierte Beschreibung, wie die Videoüberwachung und die dafür verantwortliche Auskunftsperson nach aussen gegenüber betroffenen Personen erkennbar gemacht werden soll; und
h) weitere Angaben, soweit sie im Einzelfall für die sachgerechte Beurteilung des Bewilligungsantrags als notwendig erscheinen.
2) Die Datenschutzstelle kann weitere Informationen und Auskünfte vom Antragsteller verlangen, wenn dies zur Beurteilung des Antrags als notwendig erscheint.
3) Die Datenschutzstelle kann eine Bewilligung höchstens für die Dauer von fünf Jahren erteilen. Die Bewilligung kann verlängert werden, wenn ein entsprechender Antrag mit den Angaben nach Abs. 1 spätestens drei Monate vor Ablauf der Gültigkeitsdauer der Bewilligung eingereicht wird.
4) Änderungen der Angaben nach Abs. 1 und 2 sind der Datenschutzstelle unverzüglich mitzuteilen. Bei wesentlichen Änderungen ist jedenfalls eine neue Bewilligung erforderlich.
Art. 28 Abs. 1 und 4
1) Das von der Datenschutzstelle geführte Register enthält die Informationen nach Art. 3, 4b, 16 und 17a.
4) Die Datenschutzstelle führt ein Verzeichnis der Inhaber von Datensammlungen, die ihrer Pflicht zur Anmeldung der Datensammlungen nach Art. 4a enthoben sind. Dieses Verzeichnis wird zusammen mit den jeweiligen Kontaktdaten des Datenschutzverantwortlichen im Internet veröffentlicht.
Art. 33
Gebühren
1) Für Gutachten der Datenschutzstelle wird eine Gebühr in Höhe des tatsächlichen Arbeitsaufwandes erhoben. Je nach Komplexität des Sachverhalts wird ein Stundensatz von 100 bis 500 Franken zu Grunde gelegt. Die Datenschutzstelle unterrichtet die gebührenpflichtige Person vorgängig über den voraussichtlichen Stundensatz.
2) Für die Bearbeitung von Bewilligungen nach Art. 27 wird pro Videoüberwachung je nach Aufwand der Bearbeitung des Antrags eine Gebühr von 100 bis 500 Franken erhoben. Für die Verlängerung einer Bewilligung beträgt die Gebühr die Hälfte der Gebühr nach Satz 1.
3) Gegenüber Behörden wird keine Gebühr erhoben.
Anhang 1 und 2
Der bisherige Anhang wird aufgehoben und durch die nachfolgenden Anhänge ersetzt:
Anhang 1
(Art. 6 Abs. 5)
Standardvertragsklauseln, die einen angemessenen Datenschutz gewährleisten
Standardvertragsklauseln, die nach Art. 6 Abs. 5 einen angemessenen Datenschutz gewährleisten, sind Vertragsklauseln nach Massgabe:
a) der Entscheidung 2001/497/EG der Kommission vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (EWR-Rechtssammlung: Anh. XI - 5ed.01);
b) der Entscheidung 2002/16/EG der Kommission vom 30. Juni 2003 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländer nach der Richtlinie 95/46/EG (EWR-Rechtssammlung: Anh. XI - 5ef.01).
Anhang 2
(Art. 7)
Liste der Nicht-EWR-Mitgliedstaaten, deren
Gesetzgebung einen angemessenen Datenschutz

gewährleistet
1. Argentinien;
2. Guernsey;
3. Jersey;
4. Kanada;
5. Insel Man;
6. Schweiz;
7. Vereinigte Staaten von Amerika nach Massgabe der Entscheidung 2000/520/EG der Kommission vom 26. Juli 2000 über die Angemessenheit des von den Grundsätzen des "sicheren Hafens" und der diesbezüglichen "Häufig gestellten Fragen" (FAQ) gewährleisteten Schutzes (EWR-Rechtssammlung: Anh. XI - 5ec.01).
II.
Inkrafttreten
Diese Verordnung tritt am Tage der Kundmachung in Kraft.

Fürstliche Regierung:

gez. Dr. Klaus Tschütscher

Fürstlicher Regierungschef