Art. 1

Gegenstand

Diese Verordnung regelt in Durchführung des Datenschutzgesetzes und der Verordnung (EU) 2016/679¹ insbesondere:

a) die Datenverarbeitung öffentlicher Stellen durch Dritte oder für Dritte;

b) die Meldung von Videoüberwachungen;

c) die Akkreditierung von Zertifizierungsstellen;

d) die Übermittlung personenbezogener Daten an Drittstaaten oder internationale Organisationen aufgrund von Angemessenheitsbeschlüssen und Standarddatenschutzklauseln;

e) die Gebühren für Tätigkeiten der Datenschutzstelle und der Verantwortlichen.

Art. 2

Bezeichnungen

Unter den in dieser Verordnung verwendeten Personenbezeichnungen sind Angehörige des weiblichen und männlichen Geschlechts zu verstehen.

Art. 3

Datenverarbeitung öffentlicher Stellen durch Dritte

1) Öffentliche Stellen dürfen Datenverarbeitungen durch Dritte als Auftragsverarbeiter vornehmen lassen, wenn keine gesetzlichen Bestimmungen einer solchen Auftragsverarbeitung entgegenstehen.

2) Die Beauftragung erfolgt durch Vertrag. Der Vertrag hat insbesondere den Anforderungen des Art. 28 Abs. 3 der Verordnung (EU) 2016/679 zu genügen. Das Amtsgeheimnis und allfällige Geheimhaltungsinteressen Dritter sind zu gewährleisten.

Art. 4

Datenverarbeitung öffentlicher Stellen für Dritte

1) Öffentliche Stellen dürfen als Auftragsverarbeiter Datenverarbeitungen für Dritte vornehmen, wenn:

a) ein Gesetz dies vorsieht; oder

b) dafür ein öffentliches Interesse besteht.

2) Soweit die Datenverarbeitung nicht durch gesetzliche Bestimmungen geregelt ist, muss sie vertraglich geregelt werden. Der Vertrag hat insbesondere den Anforderungen des Art. 28 der Verordnung (EU) 2016/679 zu genügen.

Art. 5

Meldeverfahren

1) Meldepflichtige Videoüberwachungen nach Art. 5 Abs. 7 des Datenschutzgesetzes sind der Datenschutzstelle vor der Inbetriebnahme schriftlich zu melden.

2) Die Meldung hat mindestens folgende Angaben zu enthalten:

a) verantwortliche Stelle (Name, Kontaktdaten, zuständige Person, Sitz, Niederlassung);

b) Art der Videoüberwachung (Aufzeichnung/Echtzeit, fest/schwenkend, Video/Audio);

c) überwachte Bereiche;

d) Betriebszeiten;

e) Zweck und Erforderlichkeit der Videoüberwachung und Datenverarbeitung;

f) Angaben zur Verhältnismässigkeit (gelindere Mittel, schutzwürdige Interessen betroffener Personen);

g) Angaben über die von der Videoüberwachung betroffenen Personen;

h) Beschreibung der Datenverarbeitung (technische Verfahren, Auswertungsmöglichkeiten, Weitergabe von Daten);

i) Datenspeicherung (Art und Weise, Dauer, Löschung);

k) technische und organisatorische Massnahmen zur Datensicherheit;

l) die Art und Weise, wie von der Videoüberwachung betroffene Personen informiert werden.

3) Die Datenschutzstelle stellt für die Meldung ein Formular zur Verfügung. Sie kann das Formular auch in elektronischer Form anbieten.

Art. 6

Anwendbares Recht

Die Akkreditierung von Zertifizierungsstellen nach Art. 39 des Datenschutzgesetzes richtet sich nach dem Gesetz über die Akkreditierung und Notifizierung, soweit die Verordnung (EU) 2016/679 und die vorliegende Verordnung keine abweichenden Vorschriften enthalten.

Art. 7

Ausländische Zertifizierungsstellen

1) Die Liechtensteinische Akkreditierungsstelle kann ausländische Zertifizierungsstellen nach Anhörung der Datenschutzstelle akkreditieren, wenn diese nachweisen, dass sie:

a) über eine der liechtensteinischen Qualifikation gleichwertige Qualifikation verfügen;

b) die Anforderungen nach der Verordnung (EU) 2016/679 erfüllen; und

c) über hinreichende Kenntnisse der liechtensteinischen Datenschutzgesetzgebung verfügen.

2) Die Liechtensteinische Akkreditierungsstelle kann die Anerkennung befristen und mit Bedingungen oder Auflagen verbinden. Sie entzieht die Anerkennung, wenn die Akkreditierungsvoraussetzungen nicht oder nicht mehr vorliegen oder wesentliche Bedingungen und Auflagen nicht erfüllt werden.

Art. 8

Schweigepflicht

Von den Behörden zum Verfahren beigezogene Dritte, insbesondere Gutachter und Sachverständige, haben über die ihnen im Rahmen ihrer Tätigkeit zur Kenntnis gelangten Geschäfts- oder Betriebsgeheimnisse Stillschweigen zu bewahren. Sie unterstehen im Rahmen ihrer Tätigkeit dem Amtsgeheimnis.

Art. 9

Datenübermittlung aufgrund von Angemessenheitsbeschlüssen

Die Drittstaaten und internationalen Organisationen, die aufgrund der in Liechtenstein anwendbaren Angemessenheitsbeschlüsse der EU-Kommission nach Art. 45 der Verordnung (EU) 2016/679 ein angemessenes Datenschutzniveau aufweisen, sind in Anhang 1 aufgeführt.

Art. 10

Datenübermittlung aufgrund von Standarddatenschutzklauseln

Die Standarddatenschutzklauseln, die von der EU-Kommission nach Art. 46 der Verordnung (EU) 2016/679 erlassen wurden, sind in Anhang 2 aufgeführt.

Art. 11

Gebührenpflichtige Tätigkeiten

1) Die Datenschutzstelle kann für folgende Tätigkeiten Gebühren nach Massgabe von Art. 12 erheben:

a) für die Behandlung einer offenkundig unbegründeten oder, insbesondere im Fall von häufiger Wiederholung, exzessiven Anfrage im Sinne von Art. 15 Abs. 5 des Datenschutzgesetzes;

b) für die Erfüllung ihrer Aufgaben gegenüber Datenschutzbeauftragten, die ihre Aufgaben auf der Grundlage eines Dienstleistungsvertrages im Sinne von Art. 37 Abs. 6 der Verordnung (EU) 2016/679 erbringen, insbesondere wenn:

1. das Resultat der Tätigkeit der Datenschutzstelle durch den Datenschutzbeauftragten in kommerzieller Form gegenüber dem Dienstleistungsempfänger weiterverwertet wird; und

2. dadurch ein Outsourcing der Dienstleistung an die Datenschutzstelle stattfindet;

c) für die Erfüllung ihrer Aufgaben gegenüber Beratern, die gewerbsmässig Leistungen im Bereich des Datenschutzes erbringen, wenn durch die Erfüllung der Aufgaben ein Outsourcing der Leistung an die Datenschutzstelle stattfindet.

2) Datenschutzbeauftragte und Berater haben der Datenschutzstelle auf Verlangen in den Fällen nach Abs. 1 Bst. b und c über die kommerzielle Weiterverwertung oder Leistungserbringung Auskunft zu erteilen oder Nachweise zu erbringen.

3) Wird ein Verantwortlicher aufgrund offenkundig unbegründeter oder exzessiver Anträge im Sinne von Art. 59 Abs. 3 des Datenschutzgesetzes tätig, so kann er eine Gebühr nach Art. 12 erheben.

4) Gegenüber öffentlichen Stellen werden keine Gebühren erhoben.

Art. 12

Gebührenbemessung

1) Gebühren nach Art. 11 werden nach Zeitaufwand bemessen.

2) Der Stundensatz beträgt je nach erforderlicher Sachkenntnis zwischen 50 und 500 Franken.

3) Die Datenschutzstelle unterrichtet die gebührenpflichtige Person vorgängig über den zur Anwendung kommenden Stundensatz.

4) Verwaltungskosten, die im Zusammenhang mit gebührenpflichtigen Tätigkeiten entstehen, werden gesondert berechnet, jedoch zusammen mit den Gebühren erhoben. Verwaltungskosten sind insbesondere:

a) Übermittlungs- und Kommunikationskosten;

b) Übersetzungskosten;

c) Reisekosten;

d) Kosten für beigezogene Dritte;

e) Barauslagen.

Art. 13

Aufhebung bisherigen Rechts

Es werden, in ihrer jeweils geltenden Fassung, aufgehoben:

a) Verordnung vom 9. Juli 2002 zum Datenschutzgesetz (Datenschutzverordnung; DSV), LGBl. 2002 Nr. 102;

b) Verordnung vom 10. Dezember 2013 über die Datenschutzzertifizierungen (VDSZ), LGBl. 2013 Nr. 403.

Art. 14

Inkrafttreten

Diese Verordnung tritt am 1. Januar 2019 in Kraft.

Anhang 1

(Art. 9)

Drittstaaten und internationale Organisationen mit angemessenem Datenschutzniveau

Drittstaaten und internationale Organisationen, die aufgrund der in Liechtenstein anwendbaren Angemessenheitsbeschlüsse der EU-Kommission nach Art. 45 der Verordnung (EU) 2016/679 ein angemessenes Datenschutzniveau aufweisen, sind:

1. Andorra;

2. Argentinien;

3. Färöer nach Massgabe des Beschlusses 2010/146/EU der Kommission vom 5. März 2010 gemäss der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus, den das färöische Gesetz über die Verarbeitung personenbezogener Daten bietet (EWR-Rechtssammlung: Anh. XI - 5el.01);

4. Guernsey;

5. Insel Man;

6. Israel nach Massgabe des Beschlusses 2011/61/EU der Kommission vom 31. Januar 2011 gemäss der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus im Staat Israel im Hinblick auf die automatisierte Verarbeitung personenbezogener Daten (EWR-Rechtssammlung: Anh. XI - 5en.01);

7. Jersey;

8. Kanada;

9. Neuseeland;

10. Schweiz;

11. Uruguay;

12. Vereinigte Staaten von Amerika nach Massgabe des Durchführungsbeschlusses (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäss der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes (EWR-Rechtssammlung: Anh. XI - 5eq.01).

Anhang 2

(Art. 10)

Standarddatenschutzklauseln, die von der
EU-Kommission nach Art. 46 der Verordnung (EU) 2016/679 erlassen wurden

Als Standarddatenschutzklauseln, die von der EU-Kommission nach Art. 46 der Verordnung (EU) 2016/679 erlassen wurden, gelten Vertragsklauseln nach Massgabe:

1. der Entscheidung 2001/497/EG der Kommission vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (ABl. L 181 vom 4.7.2001, S. 19), in der Fassung der Entscheidung 2004/915/EG (ABl. L 385 vom 29.12.2004, S. 74) und des Durchführungsbeschlusses (EU) 2016/2297 (ABl. L 344 vom 17.12.2016, S. 100);

2. des Beschlusses 2010/87/EU der Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländer nach der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates (ABl. L 39 vom 12.2.2010, S. 5), in der Fassung des Durchführungsbeschlusses (EU) 2016/2297 (ABl. L 344 vom 17.12.2016, S. 100).

235.11
Liechtensteinisches Landesgesetzblatt
Jahrgang 2018	Nr. 415	ausgegeben am 19. Dezember 2018