38b - Kantonale Datenschutzverordnung (KDSV)   Nr. 38b   Kantonale Datenschutzverordnung * (KDSV)  vom 26. Februar 1991 (Stand 1. September 2021)  Der Regierungsrat des Kantons Luzern,  gestützt auf die §§ 6 Absatz 4, 7 Absatz 2, 7a Absatz 4, 7b Absatz 3, 10 Absatz 3, 12a  Absatz 4 und 20 des Kantonalen Gesetzes über den Schutz von Personendaten (Kantona- les Datenschutzgesetz) vom 2. Juli 19901, *  beschliesst:  1 Bearbeiten von Personendaten *  §  1 Unbefugtes Bearbeiten 1 Das Bearbeiten von Personendaten ist unbefugt, wenn es gegen die Bestimmungen des  Kantonalen Gesetzes über den Schutz von Personendaten (Kantonales Datenschutzge- setz, KDSG) vom 2. Juli 19902, gegen geschriebenes und ungeschriebenes Verfassungs- recht des Bundes oder des Kantons oder gegen die übrige Rechtsordnung verstösst. *  §  2 * …  §  3 * …  §  4 * …  1 SRL Nr. 38 2 SRL Nr. 38. Auf dieses Gesetz wird im Folgenden nicht mehr hingewiesen. * Siehe Tabellen mit Änderungsinformationen am Schluss des Erlasses.  K 1991 522 | G 1991 106    https://srl.lu.ch/data/38/de https://srl.lu.ch/data/38/de   2 Nr. 38b  §  5 Verhältnismässigkeit des Bearbeitens 1 Das Bearbeiten von Personendaten ist verhältnismässig, wenn a. * die Form des Bearbeitens und der Inhalt der Personendaten geeignet sind, die Er-  füllung der öffentlichen Aufgabe zu ermöglichen oder unter Vorbehalt von § 5  Absatz 2b KDSG zu erleichtern, und  b. * von verschiedenen in Frage kommenden Formen des Bearbeitens und Kategorien  von Personendaten jene gewählt werden, welche die Persönlichkeit der betroffe- nen Person möglichst schonen; technische Voreinstellungen sind so auszugestal- ten, dass das Bearbeiten auf das für den Verwendungszweck nötige Mindestmass  beschränkt wird.  §  6 Massnahmen zum Einhalten des Datenschutzes * 1 Freien, unbeaufsichtigten Zugang zu Räumen, in denen Personendaten bearbeitet wer- den, haben nur Personen im Rahmen ihrer Dienstpflichten. 2 Die Organe bestimmen die zum Bearbeiten von Personendaten berechtigten Personen  und deren Zugriffsrechte. Der Zugriff  auf Personendaten ist auf denjenigen Personen- kreis zu beschränken, der die Daten zur Erfüllung seiner Aufgaben benötigt.  * 2bis Die Organe legen die weiteren technischen und organisatorischen Massnahmen zur  Einhaltung des Datenschutzes einschliesslich der Datensicherheit fest. Die Massnahmen  sind ab der Planung der Datenbearbeitung vorzusehen und die Personendaten insbeson- dere vor Einsichtnahme, Veränderung, Löschung und Übermittlung durch Unbefugte zu  schützen. * 3 Beim Einsatz von Mitteln der Informatik sind die Vorschriften der Informatiksicher- heitsverordnung vom 22. November 20163 zu beachten. * 4 Jede Bearbeitung von Daten von verknüpften Datenbanken ist zu protokollieren. Die  Zugriffsprotokolle dürfen nur von dem oder der Beauftragten für den Datenschutz oder  bei Verdacht auf Verstoss gegen Normen der Rechtsordnung von der untersuchenden  Stelle eingesehen werden. Sie sind sechs Monate beziehungsweise spätestens bis zum  Abschluss eines Straf-, Zivil- oder Verwaltungsverfahrens aufzubewahren und danach  zu vernichten *  §  6a * Nachweis des Datenschutzes 1 Das verantwortliche Organ muss die Einhaltung der Datenschutzbestimmungen nach- weisen können. Es kann den Nachweis insbesondere erbringen mit a. Geschäftsordnungen und anderen allgemeinen Festlegungen zu Geschäftsprozes-  sen und betrieblicher Organisation, b. Weisungen zu Datenbearbeitungen und zum Umgang mit Personendaten, ein-  schliesslich der Löschung und der Archivierung,  3 SRL Nr. 26b  https://srl.lu.ch/data/26b/de   Nr. 38b 3  c. Informationssicherheits- und Datenschutzkonzepten gemäss § 9 der Informatiksi- cherheitsverordnung4,  d. Konzepten für den Zugriff auf Informationen und Informatikmittel gemäss § 13  der Informatiksicherheitsverordnung,  e. Berichten zur Gewährleistung der Sicherheit von Personendaten, insbesondere  nach Datenschutzvorfällen (§ 6b),  f. Datenschutz-Folgenabschätzungen (§ 6c), g. Verzeichnissen, insbesondere dem Verzeichnis der Datenbearbeitungstätigkeiten   (§ 9), h. sonstigen Unterlagen und Hilfsmitteln über die sichere Datenbearbeitung. 2 Die vorhandenen Unterlagen gemäss Absatz 1 sind dem oder der Beauftragten für den  Datenschutz auf Anfrage zur Verfügung zu stellen.   §  6b * Meldung von Datenschutzvorfällen 1 Das verantwortliche Organ ergreift bei unbefugten Datenbearbeitungen Abhilfemass- nahmen und beurteilt das Risiko für Persönlichkeits- und Grundrechtsverletzungen. Da- tenschutzvorfälle sind zu dokumentieren. 2 Ein hohes Risiko gemäss § 7 Absatz 1 KDSG besteht insbesondere, wenn besonders  schützenswerte Personendaten oder eine grosse Anzahl von Personen betroffen sind oder  wenn der mögliche Schaden für die betroffenen Personen schwerwiegend ist. 3 Datenschutzvorfälle mit hohem Risiko sind spätestens nach drei Tagen seit Erkennen  dem oder der Beauftragten für den Datenschutz zu melden. Die Meldung umfasst min- destens Angaben über a. die Art der Verletzung der Datensicherheit, b. die Kategorie der betroffenen Personendaten und der betroffenen Personen sowie,   soweit möglich, die Anzahl der betroffenen Personen, c. die wahrscheinlichen Auswirkungen für die betroffenen Personen, d. umgesetzte oder geplante Schutzmassnahmen oder Massnahmen zur Behebung   der Folgen der Verletzung der Datensicherheit. 4 Auftragsdatenbearbeiter haben Vorkommnisse gemäss Absatz 1 dem verantwortlichen  Organ zu melden.  5 Der oder die Beauftragte für den Datenschutz stellt ein Meldeverfahren bereit. Er oder  sie kann dem verantwortlichen Organ Empfehlungen zu Risikobeurteilungen abgeben.   §  6c * Datenschutz-Folgenabschätzung und Vorabkonsultation 1 Das verantwortliche Organ nimmt eine Abschätzung der Folgen für den Schutz von  Personendaten bei Vorhaben zur Datenbearbeitung vor, insbesondere bei der Einführung  und technischen Weiterentwicklung von Informatikmitteln. Es beurteilt das Risiko für  Persönlichkeits- und Grundrechtsverletzungen.    4 SRL Nr. 26b  https://srl.lu.ch/data/26b/de   4 Nr. 38b  2 Ein hohes Risiko gemäss § 7a Absatz 1 KDSG besteht insbesondere, wenn für die Da- tenbearbeitung neue technische Bearbeitungsformen, ein Profiling oder ein Abrufverfah- ren vorgesehen sind oder wenn besonders schützenswerte Personendaten in grossem  Umfang oder von mehreren Organen in verknüpften Datenbanken bearbeitet werden.  3 Die Datenschutz-Folgenabschätzung enthält Angaben über a. die Datenbearbeitung, b. die Risiken für die Persönlichkeits- und Grundrechte der betroffenen Personen   und ihre Bewertung, c. die technischen und organisatorischen Massnahmen, die vorgesehen sind, um die   Risiken einer Verletzung der Persönlichkeits- und Grundrechte der betroffenen  Personen zu verringern.  4 Auf Datenschutz-Folgenabschätzung und Vorabkonsultation kann verzichtet werden,  soweit die Mitwirkung des oder der Beauftragten für den Datenschutz im Sinn von Ab- satz 3 in der Projektorganisation des Vorhabens  oder im Vernehmlassungsverfahren zu  einem rechtsetzenden Erlass gewährleistet ist.   §  6d * Datenschutzberater oder -beraterin 1 Die Staatsanwaltschaft, die Luzerner Polizei und für den Aufgabenbereich des Straf- vollzugs die Dienststelle Militär, Zivilschutz und Justizvollzug bezeichnen einen Daten- schutzberater oder eine Datenschutzberaterin. Die anderen kantonalen Dienststellen kön- nen einen Datenschutzberater oder eine Datenschutzberaterin bezeichnen.  2 Der Name und die Kontaktdaten des Datenschutzberaters oder der Datenschutzberate- rin sind dem oder der Beauftragten für den Datenschutz bekannt zu geben und zu veröf- fentlichen.  3 Der oder die Beauftragte für den Datenschutz sorgt für die Schulung der Datenschutz- beraterinnen und -berater.  2 Besondere Formen des Bearbeitens *  §  7 Bekanntgeben von Personendaten der Polizei 1 Soweit nicht ein Rechtssatz dazu verpflichtet oder ermächtigt, dürfen Personendaten,  die von der Polizei ausserhalb hängiger Strafverfahren zur Verhütung oder Verfolgung  strafbarer Handlungen bearbeitet werden, nichtpolizeilichen Organen oder Dritten nur  auf schriftliches Gesuch hin und nur mit Einwilligung des Vorstehers des Justiz- und Si- cherheitsdepartementes5 bekanntgegeben werden. Im Gesuch ist darzulegen, dass die  Voraussetzungen des § 9 Absatz 1b bzw. des § 10 Absatz 1b des Datenschutzgesetzes  erfüllt sind.  5 Departementsbezeichnung gemäss Änderung des Organisationsgesetzes vom 17. Februar 2003, in  Kraft seit dem 1. Juli 2003 (G 2003 89).    Nr. 38b 5  2 Für das Bekanntgeben bestimmter Personendaten kann der Vorsteher des Justiz- und  Sicherheitsdepartementes seine Befugnis zur Einwilligung an die Polizeikommandanten  delegieren.  §  8 Bekanntgeben von Personendaten zur Veröffentlichung 1 Zur Veröffentlichung von Personendaten dürfen bekanntgegeben werden: a. für Adressbücher und ähnliche Nachschlagewerke: Name, Vorname, Titel, Firma   und Adresse von Personen und Personengesellschaften sowie deren Eigentum an  Grundstücken am Wohnort oder Sitz;  b. * für das Verzeichnis der Fahrzeughalter6 und Schiffshalter: Name, Vorname oder  Firma und Adresse von Inhabern eines Kontrollschildes;  c. für den Staatskalender, Behördenverzeichnisse und ähnliche Nachschlagewerke:  Name, Vorname, Titel, Beruf, Geburtsjahr, Adresse, Heimatort sowie Funktion  von Personen, die im öffentlichen Dienst stehen oder gestanden haben;  d. für Zeitschriften und andere periodische Veröffentlichungen und Mitteilungen:  Personendaten im Zusammenhang mit Geburten, Todesfällen, Verkündungen und  Trauungen nach Massgabe der Verordnung über das Zivilstandswesen7.  2 Vorbehalten bleiben die Sperre von Personendaten gemäss § 11 Absatz 4 des Daten- schutzgesetzes und andere rechtmässig zugelassene Ausnahmen von der Veröffentli- chung. 3 Auf das Bekanntgeben der Personendaten gemäss Absatz 1 besteht kein Rechtsan- spruch.  §  8a * Grenzüberschreitende Bekanntgabe 1 Das bekanntgebende Organ informiert den Beauftragten oder die Beauftragte für den  Datenschutz vor der grenzüberschreitenden Bekanntgabe über die Garantien nach § 12a  Absatz 2a des Kantonalen Datenschutzgesetzes. Ist die vorgängige Information nicht  möglich, so hat sie unmittelbar nach der Bekanntgabe zu erfolgen. * 2 Die Informationspflicht gilt als erfüllt für alle Bekanntgaben, die unter denselben Ga- rantien erfolgen, soweit die Kategorien der Empfänger, der Zweck der Bearbeitung und  die Datenkategorien unverändert bleiben. 3 Das bekanntgebende Organ trifft angemessene Massnahmen, um sicherzustellen, dass  der Empfänger die Garantien beachtet.  6 Die Rechtsgrundlage für die Veröffentlichung des Verzeichnisses der Fahrzeughalter findet sich in Arti- kel 104 Absatz 5 des Strassenverkehrsgesetzes (SVG) vom 19. Dezember 1958 (SR 741.01).  7 SRL Nr. 201  https://srl.lu.ch/data/201/de   6 Nr. 38b  3 Kontrollrechte der betroffenen Personen *  §  9 Verzeichnis der Datenbearbeitungstätigkeiten * 1 Die Staatsanwaltschaft, die Luzerner Polizei und für den Aufgabenbereich des Straf- vollzugs die Dienststelle Militär, Zivilschutz und Justizvollzug führen ein vollständiges  Verzeichnis der Verfahren, in denen Personendaten bearbeitet werden. * 2 Sie veröffentlichen die Mindestangaben gemäss § 14 Absatz 2 KDSG auf ihrer Web- seite. * 3 Das Verzeichnis kann zusätzlich Angaben enthalten über * a. die Vornahme von Profilings, b. die Bekanntgabe von Personendaten ins Ausland, c. Löschfristen, d. technische und organisatorische Massnahmen der Datenbearbeitung gemäss § 6. 4 Ist das Bearbeiten von Personendaten einem anderen Organ oder Dritten übertragen,  sorgt das verantwortliche Organ dafür, dass der Auftragsdatenbearbeiter das Verzeichnis  der Datenbearbeitungstätigkeiten erstellt. *  §  10 * …  §  11 Auskunft über Personendaten der Polizei 1 Das Gesuch der betroffenen Person um Auskunft über Personendaten der Polizei ist  schriftlich beim Kommando der Luzerner Polizei8 zu stellen. 2 Soweit die Auskunft im Sinn von § 19 Absatz 2 des Gesetzes verweigert wird, kann  der Entscheid dahin lauten, dass keine Personendaten bearbeitet werden, über die Aus- kunft zu erteilen ist.  §  12 * …  §  12a * Kosten 1 Die Einsichtnahme in Personendaten, die Auskunft über Personendaten sowie deren  Berichtigung oder Beseitigung sind in der Regel kostenfrei. 2 Kosten können erhoben werden, wenn die Behandlung eines Gesuchs einen unverhält- nismässigen Verwaltungsaufwand erfordert oder wenn die betroffene Person wiederholt  in dieselben Daten Einsicht nimmt oder darüber Auskunft verlangt.  8 Gemäss Änderung vom 10. November 2009, in Kraft seit dem 1. Januar 2010 (G 2009 369), wurde  die Bezeichnung «Kantonspolizei» durch «Luzerner Polizei» ersetzt.    Nr. 38b 7  4 Schlussbestimmungen *  §  12b * Übergangsbestimmung zur Änderung vom 23. August 2021 1 Die Verzeichnisse der Datenbearbeitungstätigkeiten gemäss § 9 sind bis zum 1. Sep- tember 2022 zu erstellen.  §  13 Inkrafttreten 1 Die Verordnung tritt am 1. März 1991 in Kraft. Sie ist zu veröffentlichen    8 Nr. 38b  Änderungstabelle - nach Paragraf  Element Beschlussdatum Inkrafttreten Änderung Fundstelle G Erlass 26.02.1991 01.03.1991 Erstfassung K 1991 522 | G 1991 106 Erlasstitel 23.08.2021 01.09.2021 geändert G 2021-055 Ingress 04.09.2007 01.01.2008 geändert G 2007 291 Ingress 23.08.2021 01.09.2021 geändert G 2021-055 Titel 1 23.08.2021 01.09.2021 eingefügt G 2021-055 § 1 Abs. 1 23.08.2021 01.09.2021 geändert G 2021-055 § 2 23.08.2021 01.09.2021 aufgehoben G 2021-055 § 3 02.07.2013 01.08.2013 geändert G 2013 290 § 3 23.08.2021 01.09.2021 aufgehoben G 2021-055 § 4 04.09.2007 01.01.2008 aufgehoben G 2007 291 § 5 Abs. 1, a. 23.08.2021 01.09.2021 geändert G 2021-055 § 5 Abs. 1, b. 23.08.2021 01.09.2021 geändert G 2021-055 § 6 23.08.2021 01.09.2021 Titel geändert G 2021-055 § 6 Abs. 2 23.08.2021 01.09.2021 geändert G 2021-055 § 6 Abs. 2bis 23.08.2021 01.09.2021 eingefügt G 2021-055 § 6 Abs. 3 23.08.2021 01.09.2021 geändert G 2021-055 § 6 Abs. 4 27.11.2009 01.01.2010 eingefügt G 2009 443 § 6 Abs. 4 23.08.2021 01.09.2021 geändert G 2021-055 § 6a 23.08.2021 01.09.2021 eingefügt G 2021-055 § 6b 23.08.2021 01.09.2021 eingefügt G 2021-055 § 6c 23.08.2021 01.09.2021 eingefügt G 2021-055 § 6d 23.08.2021 01.09.2021 eingefügt G 2021-055 Titel 2 23.08.2021 01.09.2021 eingefügt G 2021-055 § 8 Abs. 1, b. 25.08.1992 01.09.1992 geändert G 1992 269 § 8a 04.09.2007 01.01.2008 eingefügt G 2007 291 § 8a Abs. 1 23.08.2021 01.09.2021 geändert G 2021-055 Titel 3 23.08.2021 01.09.2021 eingefügt G 2021-055 § 9 23.08.2021 01.09.2021 Titel geändert G 2021-055 § 9 Abs. 1 23.08.2021 01.09.2021 geändert G 2021-055 § 9 Abs. 2 23.08.2021 01.09.2021 eingefügt G 2021-055 § 9 Abs. 3 23.08.2021 01.09.2021 eingefügt G 2021-055 § 9 Abs. 4 23.08.2021 01.09.2021 eingefügt G 2021-055 § 10 23.08.2021 01.09.2021 aufgehoben G 2021-055 § 12 23.08.2021 01.09.2021 aufgehoben G 2021-055 § 12a 19.11.2002 01.01.2003 eingefügt G 2002 521 Titel 4 23.08.2021 01.09.2021 eingefügt G 2021-055 § 12b 23.08.2021 01.09.2021 eingefügt G 2021-055    Nr. 38b 9  Änderungstabelle - nach Beschlussdatum  Beschlussdatum Inkrafttreten Element Änderung Fundstelle G 26.02.1991 01.03.1991 Erlass Erstfassung K 1991 522 | G 1991 106 25.08.1992 01.09.1992 § 8 Abs. 1, b. geändert G 1992 269 19.11.2002 01.01.2003 § 12a eingefügt G 2002 521 04.09.2007 01.01.2008 Ingress geändert G 2007 291 04.09.2007 01.01.2008 § 4 aufgehoben G 2007 291 04.09.2007 01.01.2008 § 8a eingefügt G 2007 291 27.11.2009 01.01.2010 § 6 Abs. 4 eingefügt G 2009 443 02.07.2013 01.08.2013 § 3 geändert G 2013 290 23.08.2021 01.09.2021 Erlasstitel geändert G 2021-055 23.08.2021 01.09.2021 Ingress geändert G 2021-055 23.08.2021 01.09.2021 Titel 1 eingefügt G 2021-055 23.08.2021 01.09.2021 § 1 Abs. 1 geändert G 2021-055 23.08.2021 01.09.2021 § 2 aufgehoben G 2021-055 23.08.2021 01.09.2021 § 3 aufgehoben G 2021-055 23.08.2021 01.09.2021 § 5 Abs. 1, a. geändert G 2021-055 23.08.2021 01.09.2021 § 5 Abs. 1, b. geändert G 2021-055 23.08.2021 01.09.2021 § 6 Titel geändert G 2021-055 23.08.2021 01.09.2021 § 6 Abs. 2 geändert G 2021-055 23.08.2021 01.09.2021 § 6 Abs. 2bis eingefügt G 2021-055 23.08.2021 01.09.2021 § 6 Abs. 3 geändert G 2021-055 23.08.2021 01.09.2021 § 6 Abs. 4 geändert G 2021-055 23.08.2021 01.09.2021 § 6a eingefügt G 2021-055 23.08.2021 01.09.2021 § 6b eingefügt G 2021-055 23.08.2021 01.09.2021 § 6c eingefügt G 2021-055 23.08.2021 01.09.2021 § 6d eingefügt G 2021-055 23.08.2021 01.09.2021 Titel 2 eingefügt G 2021-055 23.08.2021 01.09.2021 § 8a Abs. 1 geändert G 2021-055 23.08.2021 01.09.2021 Titel 3 eingefügt G 2021-055 23.08.2021 01.09.2021 § 9 Titel geändert G 2021-055 23.08.2021 01.09.2021 § 9 Abs. 1 geändert G 2021-055 23.08.2021 01.09.2021 § 9 Abs. 2 eingefügt G 2021-055 23.08.2021 01.09.2021 § 9 Abs. 3 eingefügt G 2021-055 23.08.2021 01.09.2021 § 9 Abs. 4 eingefügt G 2021-055 23.08.2021 01.09.2021 § 10 aufgehoben G 2021-055 23.08.2021 01.09.2021 § 12 aufgehoben G 2021-055 23.08.2021 01.09.2021 Titel 4 eingefügt G 2021-055 23.08.2021 01.09.2021 § 12b eingefügt G 2021-055   	1 Bearbeiten von Personendaten * 	§ 1 Unbefugtes Bearbeiten 	§ 2 * … 	§ 3 * … 	§ 4 * … 	§ 5 Verhältnismässigkeit des Bearbeitens 	§ 6 Massnahmen zum Einhalten des Datenschutzes * 	§ 6a * Nachweis des Datenschutzes 	§ 6b * Meldung von Datenschutzvorfällen 	§ 6c * Datenschutz-Folgenabschätzung und Vorabkonsultation 	§ 6d * Datenschutzberater oder -beraterin  	2 Besondere Formen des Bearbeitens * 	§ 7 Bekanntgeben von Personendaten der Polizei 	§ 8 Bekanntgeben von Personendaten zur Veröffentlichung 	§ 8a * Grenzüberschreitende Bekanntgabe  	3 Kontrollrechte der betroffenen Personen * 	§ 9 Verzeichnis der Datenbearbeitungstätigkeiten * 	§ 10 * … 	§ 11 Auskunft über Personendaten der Polizei 	§ 12 * … 	§ 12a * Kosten  	4 Schlussbestimmungen * 	§ 12b * Übergangsbestimmung zur Änderung vom 23. August 2021 	§ 13 Inkrafttreten