Vorlage Kanton AG    174.100   Schaffhauser Rechtsbuch 1997 1   Gesetz  über den Schutz von Personendaten  (Kantonales Datenschutzgesetz)   vom 7. März 1994   Der Grosse Rat des Kantons Schaffhausen   beschliesst als Gesetz:   I. Zweck, Begriffe und Geltungsbereich 9)    Art. 1  Dieses Gesetz dient dem Schutz der Grundrechte von Personen,  über die öffentliche Organe Daten bearbeiten.   Art. 2  Die folgenden Ausdrücke bedeuten:  a) Personendaten (Daten): alle Angaben, die sich auf eine be-  stimmte oder bestimmbare Person beziehen;  b) betroffene Personen: natürliche oder juristische Personen,   über die Daten bearbeitet werden;  c) öffentliche Organe: Behörden und Dienststellen des Kantons   und der Gemeinden, öffentlich-rechtliche Körperschaften und  Anstalten sowie Personen, soweit sie mit öffentlichen Aufga- ben betraut sind;   d) besonders schützenswerte Personendaten: 14)   1. Daten über die religiösen, weltanschaulichen, politischen   oder gewerkschaftlichen Ansichten oder Tätigkeiten,  2. Daten über die Gesundheit, die Intimsphäre oder die eth-  nische Herkunft,  3. Daten über Massnahmen der sozialen Hilfe,  4. Daten über administrative oder strafrechtliche Verfolgun-  gen und Sanktionen,                                                                     Amtsblatt 1995 S. 317; Rechtsbuch 1964, Nr. 7a.   Zweck   1/2022   Begriffe     174.100  Datenschutzgesetz      2 Schaffhauser Rechtsbuch 1997   5. genetische Daten,   6. biometrische Daten;   e)  Profiling: die automatisierte Auswertung von Daten, um we- sentliche persönliche Merkmale zu analysieren oder persönli- che Entwicklungen vorherzusagen; 14)    f)  Bearbeiten: jeder Umgang mit Daten, insbesondere das Be- schaffen, Speichern, Aufbewahren, Verwenden, Verändern,  Bekanntgeben, Archivieren, Löschen oder Vernichten von  Daten; 14)    g) Bekanntgeben: das Zugänglichmachen von Personendaten,  wie das Einsichtgewähren, Weitergeben oder Veröffentlichen;   h) … 15)   i) formelles Gesetz: kantonales Gesetz oder entsprechender,   dem Referendum unterliegender Gemeindeerlass.   Art. 3  1 Dieses Gesetz gilt für das Bearbeiten von Personendaten durch  öffentliche Organe, unabhängig von den dabei angewandten Mit- teln und Verfahren.  2 Während hängigen Verfahren der Zivil-, Straf- und Verwaltungs- rechtspflege richten sich die Rechte und Ansprüche der betroffe- nen Personen sowie die Einsichtsrechte Dritter nach dem anwend- baren Verfahrensrecht. 14)   3 Für das privatrechtliche Handeln öffentlicher Organe gelten die  bundesrechtlichen Bestimmungen für das Bearbeiten von Perso- nendaten durch private Personen.  4 Richterliche Behörden unterstehen nicht der Aufsichtsstelle ge- mäss Art. 23 ff. 16)    II. Allgemeine Datenschutzbestimmungen 9)    Art. 4  1 Personendaten dürfen bearbeitet werden, wenn 14)   a) dafür eine gesetzliche Grundlage besteht, oder  b) dies zur Erfüllung der gesetzlich umschriebenen Aufgaben ge-  eignet und erforderlich ist oder  c) die betroffene Person ausdrücklich zustimmt oder ihre Zustim-  mung nach den Umständen unzweifelhaft vorausgesetzt wer- den darf.   2 Das Bearbeiten von Personendaten hat nach Treu und Glauben  zu erfolgen und muss verhältnismässig sein. 9)    Geltungbereich   Grundsätze  9)       Datenschutzgesetz  174.100     Schaffhauser Rechtsbuch 1997 3   3 Personendaten müssen richtig und, soweit es der Zweck des Be- arbeitens verlangt, vollständig sein. 9)   4 Die bearbeiteten Daten müssen zur Erreichung des Zwecks, zu  dem sie bearbeitet werden, geeignet und erforderlich sein und dür- fen nicht länger bearbeitet werden, als es zur Zweckerreichung er- forderlich ist. 9)   5 Personendaten dürfen nur zu dem Zweck bearbeitet werden, der  bei der Beschaffung angegeben wurde, der aus den Umständen  ersichtlich oder der gesetzlich vorgesehen ist. 10)    Art. 5  Besonders schützenswerte Personendaten dürfen nur bearbeitet  werden oder ein Profiling darf nur vorgenommen werden, wenn: 14)   a) ein formelles Gesetz es ausdrücklich vorsieht oder es für eine   in einem formellen Gesetz klar umschriebene Aufgabe unent- behrlich ist oder    b) die betroffene Person ausdrücklich zugestimmt hat oder ihre  Zustimmung nach den Umständen unzweifelhaft vorausgesetzt  werden darf. 9)    Art. 5a 14)   1 Das öffentliche Organ ist verpflichtet, die betroffene Person über  die Beschaffung von Personendaten zu informieren; diese Informa- tionspflicht gilt auch dann, wenn die Daten bei Dritten beschafft  werden.  2 Der betroffenen Person sind mindestens mitzuteilen:  a) das verantwortliche öffentliche Organ samt Kontaktdaten;  b) die Rechtsgrundlage und der Zweck des Bearbeitens;  c) die Kategorien der Datenempfänger, wenn eine Datenbekannt-  gabe vorgesehen ist;  d) die bearbeiteten Daten oder die Kategorien der bearbeiteten   Daten;  e) die Rechte der betroffenen Person.   3 Die Übermittlung der Informationen kann unter denselben Vo- raussetzungen eingeschränkt werden wie die Auskunft über die ei- genen Daten (Art. 19).  4 Die Informationspflicht entfällt, wenn:  a) das Bearbeiten der Daten ausdrücklich durch das Gesetz vor-  gesehen ist oder  b) die Information nicht oder nur mit unverhältnismässigem Auf-  wand möglich ist oder   1/2022      Informations- pflicht beim  Beschaffen von  Personendaten   14)      174.100  Datenschutzgesetz      4 Schaffhauser Rechtsbuch 1997   c) die betroffene Person bereits über die Informationen nach Abs.  2 verfügt.   Art. 6 14)   1 Für den Datenschutz ist jenes öffentliche Organ verantwortlich,  das - alleine oder zusammen mit anderen - über den Zweck und  die Mittel der Bearbeitung von Daten entscheidet.  2 Bearbeiten mehrere öffentliche Organe Personendaten aus ei- nem gemeinsamen Informationsbestand, ist ein öffentliches Organ  zu bezeichnen, das die Hauptverantwortung für den Datenschutz  trägt.   Art. 7  1 Personendaten sind in der Regel bei der betroffenen Person  selbst zu erheben.  2 … 15)    Art. 8  1 Personendaten dürfen von öffentlichen Organen bekanntgegeben  werden, wenn:  a) dafür gesetzliche Grundlagen bestehen;  b) der Empfänger die Daten zur Erfüllung seiner gesetzlichen   Aufgaben benötigt;  c) die betroffene Person ausdrücklich zugestimmt hat oder ihre   Zustimmung nach den Umständen vorausgesetzt werden darf  oder   d) die betroffene Person ihre Daten allgemein zugänglich ge- macht hat.   2 Der Regierungsrat regelt die Bekanntgabe von Personendaten für  Adressbücher und ähnliche Nachschlagewerke von allgemeinem  Interesse.  3 Die Bekanntgabe von besonders schützenswerten Personenda- ten und Resultaten eines Profilings richtet sich nach Art. 5. 16)    Art. 9  1 Die Stelle, die das Einwohnerregister führt, gibt einer privaten  Person oder Organisation im Einzelfall auf Gesuch ohne Ein- schränkung Name, Vorname, Adresse, Datum von Zu- und Weg- zug sowie Beruf einer Person bekannt. 12)   2 Zuzugsort und Wegzugsort, Geburtsdatum, Geschlecht, Zivil- stand und Heimatort einer Person werden bekanntgegeben, wenn  ein berechtigtes Interesse glaubhaft gemacht wird.   Verantwortung   Erhebung   Bekanntgabe  a) allgemein   b) durch die  Führung des  Einwohner- registers 12)       Datenschutzgesetz  174.100     Schaffhauser Rechtsbuch 1997 5   3 Werden diese Daten mit Ausschluss von Zu- und Wegzugsort  ausschliesslich für schützenswerte ideelle Zwecke verwendet und  nicht an Dritte weitergegeben, so können sie nach bestimmten  Gesichtspunkten geordnet bekanntgegeben werden.  4 Weitere Personendaten können bekanntgegeben werden, wenn  ein besonders schützenswertes Interesse nachgewiesen wird.   Art. 10  Das öffentliche Organ lehnt die Bekanntgabe von Personendaten  ab, schränkt sie ein oder verbindet sie mit Auflagen, wenn:  a) wesentliche öffentliche Interessen oder offensichtlich schutz-  würdige Interessen einer betroffenen Person es verlangen oder  b) gesetzliche Geheimhaltungspflichten oder besondere Daten-  schutzvorschriften es verlangen.   Art. 11  1 Die betroffene Person kann vom öffentlichen Organ die Bekannt- gabe ihrer Daten an private Personen und Organisationen sperren  lassen.  2 Die Bekanntgabe ist trotz Sperrung zulässig, wenn:  a) das öffentliche Organ hiezu gesetzlich verpflichtet ist oder  b) der Gesuchsteller glaubhaft macht, dass ihn die Sperrung in   der Verfolgung eigener Rechte gegenüber der betroffenen Per- son behindert.   Art. 11a 14)   Für die Bekanntgabe von Personendaten an ausländische Stellen  der Europäischen Union sowie Vertragsstaaten des Abkommens  über den Europäischen Wirtschaftsraum und des Übereinkom- mens des Europarates zum Schutz des Menschen bei der automa- tischen Verarbeitung von personenbezogenen Daten (SEV Nr.  108) gelten neben dem übergeordneten Recht und dem Staatsver- tragsrecht die Bestimmungen gemäss Art. 8 ff. sinngemäss.   Art. 11b 10)   1 An Drittstaaten dürfen Personendaten unter Vorbehalt von Art. 8  ff. nur bekannt gegeben werden, sofern diese ein angemessenes  Datenschutzniveau gemäss Übereinkommen des Europarates zum  Schutz des Menschen bei der automatischen Verarbeitung von  personenbezogenen Daten (SEV Nr. 108) gewährleisten. 14)   2 Die Angemessenheit des Datenschutzniveaus wird in Anlehnung  an die Vorgaben des Bundes und unter Berücksichtigung aller   c) Einschrän- kungen   d) Sperrung   e) Bekanntgabe  an europäische  Staaten   1/2022   f) Bekanntgabe  von  Personen- daten an  Drittstaaten     174.100  Datenschutzgesetz      6 Schaffhauser Rechtsbuch 1997   Umstände beurteilt, die für die Datenübermittlung von Bedeutung  sind. 14)   3 Gewährleistet ein Drittstaat kein angemessenes Datenschutzni- veau, so können ihm Personendaten im Einzelfall bekannt gege- ben werden, wenn:  a) die betroffene Person ohne jeden Zweifel eingewilligt hat; han-  delt es sich um besonders schützenswerte Personendaten o- der Persönlichkeitsprofile, so muss die Einwilligung ausdrück- lich sein;   b) die Bekanntgabe erforderlich ist, um das Leben oder die kör- perliche Integrität der betroffenen Person zu schützen; oder   c) die Bekanntgabe zur Wahrung überwiegender öffentlicher Inte- ressen oder zur Feststellung, Ausübung oder Durchsetzung  von Rechtsansprüchen vor Gericht unerlässlich ist.   4 Die Übermittlung unterbleibt, soweit Grund zur Annahme besteht,  dass sie gegen die schweizerische Rechtsordnung verstossen  würde oder die Übermittlung der ordre public widerspricht.  5 Personendaten können bekannt gegeben werden, wenn im Ein- zelfall hinreichende vertragliche Garantien einen angemessenen  Schutz der betroffenen Person gewährleisten.   Art. 12  1 Personendaten dürfen für nicht personenbezogene Zwecke, wie  die Statistik, Planung, Wissenschaft oder Forschung, bearbeitet  werden, wenn:  a) die Daten anonymisiert werden, sobald es der Zweck des Be-  arbeitens erlaubt, und  b) die Ergebnisse so veröffentlicht werden, dass die betreffenden   Personen nicht bestimmbar sind;  c) die Zustimmung des Datenschutzbeauftragten vorliegt. 10)   2 Das verantwortliche Organ darf Personendaten an private Perso- nen oder Organisationen bekanntgeben, wenn zudem gewährleis- tet ist, dass die Personendaten nicht an Dritte weitergegeben wer- den und dass für die Datensicherheit gesorgt ist.  3 Bei der Datenbekanntgabe an Dritte ist eine Vereinbarung abzu- schliessen. Es kann eine Konventionalstrafe vorgesehen werden  für den Fall, dass die Datenschutzbestimmungen nicht eingehalten  werden. 9)   4 In diesen Fällen finden Art. 4 Abs. 4 sowie Art. 5 und 8 keine An- wendung. 10)    Bearbeiten für  nicht personen- bezogene  Zwecke      Datenschutzgesetz  174.100     Schaffhauser Rechtsbuch 1997 7   Art. 13 14)   1 Das verantwortliche öffentliche Organ kann ein anderes öffentli- ches Organ oder Dritte mit dem Bearbeiten von Personendaten  beauftragen, wenn  a) der Übertragung keine rechtliche Bestimmung oder vertragliche   Vereinbarung entgegensteht und  b)  sichergestellt wird, dass die Daten nur so bearbeitet werden,   wie es das verantwortliche öffentliche Organ tun dürfte.   2 Der Datenschutz ist durch Vereinbarung, Auflagen oder auf ande- re Weise sicherzustellen. Der Regierungsrat regelt das Nähere  durch Verordnung.  3 Die beauftragte Stelle darf ohne vorgängige schriftliche Zustim- mung des auftraggebenden öffentlichen Organs die Datenbearbei- tung keiner weiteren Stelle übertragen.   4 Das auftraggebende öffentliche Organ bleibt für den Umgang mit  den Daten nach diesem Gesetz verantwortlich.   Art. 14  1 Personendaten sind durch angemessene technische und organi- satorische Massnahmen vor Verlust, Entwendung und unbefugtem  Bearbeiten zu schützen.  2 Das öffentliche Organ muss nachweisen können, dass es die Da- tenschutzbestimmungen einhält. Der Regierungsrat regelt das Nä- here durch Verordnung. 16)    Art. 14a 16)   1 Das öffentliche Organ meldet der Aufsichtsstelle ohne unange- messene Verzögerung eine Datenschutzverletzung, die zu einem  hohen Risiko für die Grundrechte der betroffenen Person führt.   2 Werden Daten von einer dritten Stelle im Auftrag bearbeitet, hat  diese das öffentliche Organ unverzüglich über Datenschutzverlet- zungen zu informieren.  3 Das öffentliche Organ informiert ausserdem die betroffene Per- son, wenn es zu deren Schutz erforderlich ist oder die Aufsichts- stelle dies verlangt.   4 Die Information der betroffenen Person kann unter Benachrichti- gung der Aufsichtsstelle eingeschränkt oder aufgehoben werden,  wenn überwiegende öffentliche oder private Geheimhaltungsinte- ressen dies erfordern.   5 Eine Datenschutzverletzung liegt vor, wenn bearbeitete Perso- nendaten verloren gehen oder unbeabsichtigt oder unrechtmässig   Bearbeiten im  Auftrag   1/2022   Informations-  sicherheit 14)    Meldung von  Datenschutz- verletzungen      174.100  Datenschutzgesetz      8 Schaffhauser Rechtsbuch 1997   vernichtet, verändert oder bekannt gegeben werden oder wenn  Unbefugte Zugang zu solchen Daten erhalten haben.   Art. 14b 16)   1 Beabsichtigt das öffentliche Organ eine Bearbeitung von Perso- nendaten, die voraussichtlich ein erhöhtes Risiko für die Grund- rechte der betroffenen Person mit sich bringt, führt es eine Daten- schutz-Folgenabschätzung durch.   2 Die Datenschutz-Folgenabschätzung umschreibt die geplante  Bearbeitung, die Risiken für die Grundrechte der betroffenen Per- son sowie die Massnahmen, die vorgesehen sind, um das Risiko  einer Verletzung der Grundrechte der betroffenen Person zu ver- meiden.   Art. 14c 16)   1 Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die  geplante Bearbeitung ein hohes Risiko für die Grundrechte der be- troffenen Person zur Folge hat, so holt das öffentliche Organ vor- gängig die Stellungnahme der Aufsichtsstelle ein.  2 Die Aufsichtsstelle teilt dem öffentlichen Organ innert angemes- sener Frist allfällige Einwände gegen die geplante Bearbeitung mit.  Sie kann Massnahmen nach Art. 26 ergreifen.   III. 15)    Art. 15 15)    Art. 16 15)    Art. 16a 15)    Art. 17  1 Nicht mehr benötigte Personendaten sind zu vernichten. Vorbe- halten bleiben die Vorschriften über die Archivierung 1). 14)   2 Der Regierungsrat erlässt Vorschriften über die kantonalen öf- fentlichen Archive. Diese gelten sinngemäss für die anderen Ge- meinwesen, sofern diese nicht eigene Bestimmungen erlassen.  Der Regierungsrat kann die Bearbeitung besonders schützenswer- ter Personendaten abweichend von Art. 5 regeln.   Datenschutz- Folgen-  abschätzung    Vorabkonsulta- tion    Vernichtung und  Archivierung      Datenschutzgesetz  174.100     Schaffhauser Rechtsbuch 1997 9   3 Die Vernichtung nicht mehr benötigter Personendaten ist aufzu- schieben, solange berechtigter Grund zu der Annahme besteht,  dass eine Löschung die schutzwürdigen Interessen der betroffe- nen Person beeinträchtigen würde. 13)    Art. 17a 16)   1 Das öffentliche Organ informiert die Empfängerinnen und Emp- fänger von Personendaten über jede Berichtigung, Löschung oder  Vernichtung von Personendaten sowie über Vermerke gemäss Art.  20 Abs. 3, sofern anzunehmen ist, dass die Daten durch die Emp- fängerinnen und Empfänger noch bearbeitet werden.  2 Von der Mitteilung kann abgesehen werden, soweit sie nur mit  unverhältnismässigem Aufwand möglich ist.   Art. 17b 16)   1 Die Polizei, die Staatsanwaltschaft und die Justizvollzugsbehörde  führen öffentliche Register über die Datenbearbeitungstätigkeiten  in ihren Zuständigkeitsbereichen.  2 Die Register enthalten Angaben über die Rechtsgrundlage, den  Zweck und die Mittel der Bearbeitung sowie die Art, Herkunft und  regelmässigen Empfänger der Personendaten.    Art. 17c 16)   1 Die Polizei, die Staatsanwaltschaft und die Justizvollzugsbehörde  benennen innerhalb ihrer Organisation eine für den Datenschutz  zuständige Person.  2 Diese hat folgende Aufgaben:   a) sie berät und unterstützt die Mitarbeitenden bei der Bearbei-  tung von Personendaten hinsichtlich der Einhaltung der Daten- schutzvorschriften und der Datensicherheit;   b)  sie nimmt Datenschutz-Folgenabschätzungen gemäss Art. 14b  vor;   c) sie ist Ansprechperson der Aufsichtsstelle gemäss Art. 23 ff.   Information der  Empfänger von  Personendaten    Strafverfolgung  und  Justizvollzug  a) Register   1/2022   b) Daten- schutzberatung     174.100  Datenschutzgesetz      10 Schaffhauser Rechtsbuch 1997   IV. Rechte der betroffenen Personen   Art. 18 9)   1 … 15)   2 Jede Person erhält auf Verlangen in allgemein verständlicher  Form Auskunft darüber, ob und wenn ja welche Daten über sie von  einem öffentlichen Organ bearbeitet werden. Die Auskunft erfolgt  in der Regel schriftlich. Sie enthält mindestens die Angaben nach  Art. 5a Abs. 2 sowie Angaben über die Aufbewahrungsdauer und  Herkunft der Daten. Auf Wunsch werden im Rahmen des Aus- kunftsrechts die Belege als Ausdruck, Kopie oder in elektronischer  Form abgegeben. 14)   2bis Von der Auskunftspflicht ausgenommen sind Daten, die aus- schliesslich als persönliche Arbeitsmittel dienen, namentlich per- sönliche Notizen. 16)   3 Die Auskunft erfolgt in der Regel kostenlos. Eine angemessene  Gebühr kann unter vorgängiger Bekanntgabe der Höhe verlangt  werden, wenn: 14)   a) zum Schutz berechtigter Interessen Dritter administrativ auf-  wendige Massnahmen zu treffen sind;  b) der Antrag rechtsmissbräuchlich ist, namentlich bei exzessiven   Anträgen in derselben Angelegenheit.   Art. 19  1 Die Auskunft kann aufgeschoben, eingeschränkt oder verweigert  werden, wenn eine gesetzliche Bestimmung, überwiegende öffent- liche oder schutzwürdige Interessen von Dritten dies erfordern.  2 … 15)    Art. 20  1 Unrichtige Personendaten sind auf Verlangen kostenlos innert ei- ner angemessenen Frist zu berichtigen. 14)   2 Bestreitet das verantwortliche Organ die Unrichtigkeit, obliegt ihm  der Beweis für die Richtigkeit der Personendaten, wenn der Ge- genbeweis dem Gesuchsteller nicht ohne weiteres zumutbar ist.  3 Kann weder die Richtigkeit noch die Unrichtigkeit von Daten be- wiesen werden, bringt das verantwortliche Organ bei den Daten ei- nen entsprechenden Vermerk an.   Auskunftsrecht;  a) Grundsatz  der Trans- parenz und  Informations- anspruch 14)    b) Ein- schränkung   Berichtigung      Datenschutzgesetz  174.100     Schaffhauser Rechtsbuch 1997 11   Art. 21  Wer ein schutzwürdiges Interesse dartut, kann vom verantwortli- chen Organ verlangen, dass es  a) ein widerrechtliches Bearbeiten von Personendaten unterlässt;  b) Personendaten, die widerrechtlich erhoben, aufbewahrt oder   verwendet worden sind, vernichtet oder sonstwie die Folgen  des widerrechtlichen Bearbeitens beseitigt werden;   c) die Widerrechtlichkeit des Bearbeitens feststellt.   Art. 22  1 Entspricht ein Organ einem Begehren aufgrund dieses Gesetzes  nicht, erlässt es einen begründeten Entscheid.  2 Gegen diese Entscheide kann innert 20 Tagen Rekurs gemäss  Art. 16ff. des Gesetzes über den Rechtsschutz in Verwaltungssa- chen 2) erhoben werden. Für die öffentlich-rechtlich anerkannten  kirchlichen Körperschaften und ihre Anstalten gelten deren Orga- nisationsbestimmungen.   V. Aufsicht   Art. 23 9)   1 Der Regierungsrat wählt als verwaltungsunabhängige Aufsichts- stelle eine kantonale Datenschutzbeauftragte oder einen kantona- len Datenschutzbeauftragten mit entsprechender fachlicher Quali- fikation für eine Amtsdauer von vier Jahren.   1bis Der oder die kantonale Datenschutzbeauftragte darf kein ande- res öffentliches Amt und keine Funktion ausüben, welche Interes- senkonflikte befürchten lässt. 16)   2 Eine Abberufung ist nur zulässig bei: 14)   a) vorsätzlicher oder grobfährlässiger Verletzung der Amtspflich-  ten in schwerer Weise; oder  b) dauerndem Verlust der Amtsfähigkeit.  3 Die Aufsichtsstelle erfüllt ihre Aufgaben in völliger Unabhängig- keit; sie verfügt über ein eigenes Budget.  3bis Die Wahlbehörde kann bei Bedarf Kooperationen mit Aufsichts- stellen anderer Kantone oder die Anstellung von Fachpersonal ge- nehmigen. 16)   4 Vorbehältlich der nachfolgenden Bestimmungen wird das Nähere  in einer Verordnung festgelegt.    Unterlassungs- anspruch und  andere Rechte   Rechtsschutz   1/2022   Aufsichtsstelle  a) Kanton     174.100  Datenschutzgesetz      12 Schaffhauser Rechtsbuch 1997   Art. 24  Der Regierungsrat kann die Gemeinden und öffentlichen Einrich- tungen ermächtigen, eine eigene Aufsichtsstelle einzurichten. Be- steht keine solche, ist die kantonale Aufsichtsstelle zuständig.   Art. 25  1 Die Aufsichtsstelle  a) überwacht die Einhaltung der Datenschutzvorschriften;  b) erteilt den betroffenen Personen Auskunft über ihre Rechte;  c) vermittelt zwischen verantwortlichen Organen und betroffenen   Personen;  d) behandelt Eingaben von betroffenen Personen und gibt Emp-  fehlungen gemäss Art. 26 Abs. 2 ab; 9)   e) berät die verantwortlichen Organe in Fragen des Datenschut-  zes und der Datensicherheit, nimmt Stellung zu Erlassen, die  für den Datenschutz erheblich sind und ist nach eigenem Er- messen berechtigt, diese Stellungnahmen zu veröffentlichen; 10)    f) arbeitet zur Erfüllung der Kontrollaufgabe mit den Kontrollorga- nen der anderen Kantone, des Bundes und des Auslandes zu- sammen; 10)    g) ist kantonales Kontrollorgan bei der bundesrechtlichen Aufga- benerfüllung im Sinne der Bundesdatenschutzgesetzge- bung 11); 10)    h) sensibilisiert die öffentlichen Organe für ihre datenschutzrecht- lichen Pflichten und die Öffentlichkeit für die Anliegen des Da- tenschutzes; 16)    i) verfolgt die für den Schutz von Personendaten massgeblichen  Entwicklungen. 16)    2 Über ihre Tätigkeit erstattet sie dem Wahlorgan jährlich oder  nach Bedarf Bericht. Diese Berichte werden unverändert veröffent- licht.   Art. 26 9)   1 Die Aufsichtsstelle ist befugt, ungeachtet allfälliger Geheimhal- tungspflichten Untersuchungen über die Einhaltung der Daten- schutzbestimmungen durchzuführen, alle für die Erfüllung des  Kontrollauftrages erforderlichen Informationen über Datenbearbei- tungen einzuholen, Einsicht in alle Unterlagen zu nehmen, Besich- tigungen durchzuführen und sich Bearbeitungen vorführen zu las- sen.   2 Stellt die Aufsichtsstelle die Verletzung von Datenschutzvorschrif- ten fest, so kann sie dem verantwortlichen Organ eine Empfehlung   b) Gemeinden  und  öffentliche  Einrichtungen   Aufgaben   Befugnisse      Datenschutzgesetz  174.100     Schaffhauser Rechtsbuch 1997 13   abgeben. Die anzeigende Person ist über das Ergebnis der Unter- suchung und über den Inhalt der Empfehlung zu informieren.   3 Das verantwortliche Organ nimmt innert 30 Tagen zur Empfeh- lung Stellung. Diese ist an keine Form gebunden. Lehnt es die  Empfehlung teilweise oder vollständig ab, so kann die Aufsichts- stelle eine Empfehlung in der Form einer begründeten Verfügung  erlassen.   4 Die Aufsichtsstelle kann zudem   a) ein vorläufiges Verbot einer Datenverarbeitung anordnen;  b) die Sperrung, Löschung oder Vernichtung von Daten anordnen;   c) dem Regierungsrat oder dem Kantonsrat über datenschutzre-  levante Mängel oder bei Verletzung von datenschutzrechtlichen  Vorschriften Bericht erstatten.   Art. 26a 10)   1 Gegen Verfügungen gemäss Art. 26 Abs. 3 und Abs. 4 lit. a und b  kann vom verantwortlichen Organ beim Regierungsrat Rekurs er- hoben werden.   2 Gegen Rekursentscheide des Regierungsrates kann die Auf- sichtsstelle beim Obergericht Verwaltungsgerichtsbeschwerde er- heben.   3 Soweit dieses Gesetz nichts anderes bestimmt, richtet sich das  Verfahren und der Rechtsschutz nach den Bestimmungen des  Verwaltungsrechtspflegegesetzes.   Art. 26b 10)   1 Stellt die Aufsichtsstelle grobe Verletzungen von Datenschutzvor- schriften durch ein öffentliches Organ fest, so erhebt sie Aufsichts- beschwerde gemäss Art. 30 f. des Verwaltungsrechtspflegegeset- zes. 14)   2 Ergeben sich Hinweise auf eine strafbare Handlung, meldet die  Aufsichtsstelle dies den Strafverfolgungsbehörden.    Art. 27  1 Die bei der Aufsichtsstelle tätigen Personen sind hinsichtlich Per- sonendaten, die sie bei ihrer Tätigkeit zur Kenntnis nehmen, zur  gleichen Verschwiegenheit verpflichtet wie das bearbeitende Or- gan.  2 Im übrigen sind sie zur Verschwiegenheit verpflichtet, wenn die  Natur der Angelegenheit oder besondere Geheimhaltungsvor- schriften es erfordern.   Rechtsmittel   Beschwerde-  und Anzeige- befugnis   1/2022   Schweigepflicht     174.100  Datenschutzgesetz      14 Schaffhauser Rechtsbuch 1997   3 Die Schweigepflicht gilt auch nach Beendigung des Amts- oder  Dienstverhältnisses.   VI. Straf- und Schlussbestimmungen   Art. 28  Wer als beauftragte Person für das Bearbeiten von Persondenda- ten gemäss Art. 13 ohne anderslautende ausdrückliche Ermächti- gung des auftraggebenden Organs Personendaten für sich oder  andere verwendet oder anderen bekanntgibt, wird mit Busse 8) be- straft.   Art. 29  Der Art. 169 des Gesetzes über das Gemeindewesen für den Kan- ton Schaffhausen (Gemeindegesetz) vom 9. Juli 1892 4) wird auf- gehoben.   Art. 30  1 Innert einem Jahr nach Inkrafttreten dieses Gesetzes haben die  verantwortlichen Organe für bestehende Datensammlungen  a) die Registrierung vorzunehmen;  b) den Zeitpunkt für die Vernichtung der Daten festzulegen;  c) die Massnahmen zur Datensicherung zu ergreifen.  2 Auf begründetes Gesuch hin kann der Regierungsrat diese Über- gangsfrist um höchstens ein Jahr verlängern.   Art. 31  1 Dieses Gesetz tritt nach der Annahme durch das Volk auf einen  vom Regierungsrat zu bestimmenden Zeitpunkt in Kraft 5).  2 Es ist im Amtsblatt zu veröffentlichen 6) und in die kantonale Ge- setzessammlung aufzunehmen.   Straf- bestimmung   Aufhebung  bisherigen  Rechts   Übergangs- bestimmung   Inkrafttreten      Datenschutzgesetz  174.100     Schaffhauser Rechtsbuch 1997 15     Fussnoten:   1) SHR 172.301.  2) SHR 172.200.  4) SHR 120.100.  5) In Kraft getreten am 1. April 1995.  6) Amtsblatt 1995, S. 317.  8) Fassung gemäss G vom 3. Juli 2006, in Kraft getreten am 1. Januar   2007 (Amtsblatt 2006, S. 913, S. 1545).  9) Fassung gemäss G vom 7. Mai 2007, in Kraft getreten am 1. Sep-  tember 2007 (Amtsblatt 2007, S. 677, S. 1194).  10) Eingefügt durch G vom 7. Mai 2007, in Kraft getreten am 1. Sep-  tember 2007 (Amtsblatt 2007, S. 677, S. 1194).  11) SR 235.1.  12) Fassung gemäss G vom 27. Oktober 2008, in Kraft getreten am   1. April 2009 (Amtsblatt 2008, S. 1591, 2009, S. 290).  13) Eingefügt durch G vom 2. April 2012, in Kraft getreten am 1. No-  vlember 2012 (Amtsblatt 2012, S. 493, S. 1580).  14) Fassung gemäss G vom 14. Juni 2021, in Kraft getreten am 1. De-  zember 2021 (Amtsblatt 2021, S. 1091, S. 2130).  15) Aufgehoben durch G vom 14. Juni 2021, in Kraft getreten am 1. De-  zember 2021 (Amtsblatt 2021, S. 1091, S. 2130).  16) Eingefügt durch G vom 14. Juni 2021, in Kraft getreten am 1. De-  zember 2021 (Amtsblatt 2021, S. 1091, S. 2130).       1/2022    	I. Zweck, Begriffe und Geltungsbereich 9) 	II. Allgemeine Datenschutzbestimmungen 9) 	III. 15) 	IV. Rechte der betroffenen Personen 	V. Aufsicht 	VI. Straf- und Schlussbestimmungen