Die europäische Datenschutz-Grundverordnung (DSGVO) verlangt neben der Einhaltung der generellen Grundsätze aus Art. 5 DSGVO (z.B. Transparenz, Datenminimierung etc.) insbesondere eine Rechtsgrundlage für jede Verarbeitung personenbezogener Daten. Das heisst, sowohl die übermittelnde öffentliche Stelle als auch jede Daten-empfangende öffentliche oder private Stelle muss die Datenverarbeitung auf einen der Rechtfertigungsgründe aus Art. 6 Abs. 1 DSGVO stützen können.

Hängt die Datenverarbeitung der beteiligten Stellen inhaltlich zusammen und verfolgt denselben Zweck, so kann sie sich auf dieselbe Rechtsgrundlage stützen. Verfolgt die Daten-empfangende Stelle jedoch andere Zwecke als die, für welche die personenbezogenen Daten ursprünglich erhoben wurden, so sind auch die Anforderungen des Art. 6 Abs. 4 DSGVO zur Zweckänderung zu prüfen und einzuhalten. Nur wenn die Einwilligung der betroffenen Person(en) oder eine spezielle nationale oder europäische Rechtsvorschrift¹ vorliegt, kann darauf verzichtet werden.

Die Mitgliedstaaten dürfen die Datenverarbeitungen durch öffentliche Stellen aufgrund von Art. 6 Abs. 1 Bst. c und e DSGVO mit nationalen Gesetzen genauer regeln (Art. 6 Abs. 2 DSGVO). Dies umfasst auch die Weiterleitung von personenbezogenen Daten durch öffentliche Stellen und die zulässigen Zweckänderungen. In Liechtenstein ist dies insbesondere im Datenschutzgesetz (DSG) geregelt (Art. 22 ff.).

Und schliesslich sind bei einem internationalen Datentransfer in ein Drittland auch die Bestimmungen des Kapitels V der DSGVO einzuhalten und entsprechende Garantien vorzusehen.

1 Die Rechtsvorschrift muss dem Schutz der in Art. 23 Abs. 1 DSGVO genannten Ziele dienen.

In vielen liechtensteinischen Spezialgesetzen finden sich Bestimmungen zu zulässigen Weiterleitungen personenbezogener Daten durch öffentliche Stellen an Dritte. Darüber hinaus kann auch die Einwilligung der betroffenen Person(en) oder eine vertragliche Regelung die Zulässigkeit der Datenweiterleitung durch eine öffentliche Stelle begründen. Ist dies alles nicht gegeben, findet sich subsidiär im liechtensteinischen Datenschutzgesetz (DSG) der wichtige Art. 24, der die Datenübermittlung durch öffentliche Stellen genau regelt. Er unterscheidet zwischen der Datenübermittlung an andere öffentliche Stellen (Abs. 1) sowie an nicht-öffentliche Stellen (Abs. 2) und sieht für die Übermittlung besonderer Kategorien personenbezogener Daten noch zusätzliche Anforderungen vor (Abs. 3).

Datenübermittlung an andere öffentliche Stellen (Abs. 1)¹

Für die Weiterleitung personenbezogener Daten durch öffentliche Stellen an andere öffentliche Stellen verlangt Art. 24 Abs. 1 DSG kumulativ folgende Voraussetzungen:

• Die Datenweiterleitung muss zur Erfüllung der in der Zuständigkeit der übermittelnden ODER der anderen öffentlichen Stelle liegenden Aufgaben erforderlich sein, UND
• die Bedingungen aus Art. 22 DSG zur zulässigen Zweckänderung bei Datenverarbeitungen durch öffentliche Stellen müssen ebenfalls erfüllt sein.

Darüber hinaus muss sichergestellt werden, dass die Daten-empfangende öffentliche Stelle die Daten nur für den Zweck verarbeitet, zu dessen Erfüllung sie an diese übermittelt wurden. Eine weitere Zweckänderung müsste abermals die Bedingungen aus Art. 22 DSG erfüllen.

Beispiel: Weil Liechtenstein dem Verein «Schadenorganisation Erdbeben» beigetreten ist und mit diesem eine entsprechende Leistungsvereinbarung abgeschlossen hat, muss das Amt für Statistik (AS) dem Verein quartalsweise aktuelle Daten aus dem Gebäude- und Wohnungsregister (GWR) liefern, worunter auch personenbezogene Daten sein können. Der Verein kann diese im Schadenfall, z.B. bei einem schweren Erdbeben, nutzen und auch an einen Krisenstab übergeben. Da der Verein über die Leistungsvereinbarung eine ihm übertragene öffentliche Aufgabe wahrnimmt, gilt er in diesem Zusammenhang als öffentliche Stelle und der Anwendungsbereich von Art. 24 Abs. 1 DSG ist eröffnet. Die Datenweiterleitung durch das AS ist zur Erfüllung der in der Zuständigkeit des Vereins liegenden öffentlichen Aufgabe (Schadenbekämpfung bei Erdbeben) erforderlich. Die Zweckänderung der Verarbeitung der Daten aus dem GWR ist gemäss Art. 22 DSG ebenfalls zulässig, da sie der Abwehr erheblicher Nachteile bzw. zur Wahrung erheblicher Belange des Gemeinwohls dient. In der Leistungsvereinbarung wurde darüber hinaus sichergestellt, dass der Verein die Daten nur für den Zweck der Schadensbekämpfung bei Erdbeben nutzen darf. Die Datenübermittlung durch das Amt für Statistik ist somit zulässig.

Datenübermittlung an nicht-öffentliche Stellen (Abs. 2)²

Für die zulässige Übermittlung personenbezogener Daten durch öffentliche Stellen an nicht-öffentliche Stellen sieht Art. 24 Abs. 2 DSG abschliessend drei mögliche Konstellationen vor und verlangt dafür folgende Voraussetzungen, welche restriktiv zu beurteilen sind:

• Bst. a: Die Datenweiterleitung muss zur Erfüllung der in der Zuständigkeit der übermittelnden öffentlichen Stelle liegenden Aufgaben erforderlich sein UND die Bedingungen aus Art. 22 DSG zur zulässigen Zweckänderung durch öffentliche Stellen müssen auch durch die Datenverarbeitung der nicht-öffentliche Stelle erfüllt sein, ODER
• Bst. b: die Daten-empfangende nicht-öffentliche Stelle hat glaubhaft dargelegt, dass sie ein berechtigtes Interesse an der Kenntnis der Daten hat, UND die betroffene Person hat kein schutzwürdiges Interesse am Ausschluss der Datenweiterleitung, ODER
• Bst. c: die Datenübermittlung ist zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich.

Darüber hinaus muss die Daten-empfangende nicht-öffentliche Stelle von der öffentlichen Stelle verpflichtet werden, die Daten nur für den Zweck zu verarbeiten, zu dessen Erfüllung sie übermittelt wurden. Eine weitere Zweckänderung wäre nur mit einer zusätzlich und speziell dafür eingeholten Einwilligung der Daten-übermittelnden öffentlichen Stelle zulässig.

Das Vorliegen einer Konstellation aus Bst. a bis c und die Erfüllung der daran geknüpften Bedingungen muss in jedem konkreten Fall sorgfältig geprüft bzw. präzise und nachvollziehbar begründet werden, damit von einer Zulässigkeit der Datenübermittlung durch die öffentliche Stelle ausgegangen werden kann.

Beispiel (Bst. a) – Öffentliche Aufgabe: Das Amt für Bevölkerungsschutz (ABS) führt Gefahrenkarten mit besonders durch bestimmte Naturereignisse gefährdeten Zonen in Liechtenstein. In diesen Zonen stehen auch vereinzelte Gebäude. Das ABS beauftragt deshalb ein spezialisiertes Beratungsunternehmen, zusammen mit den Gebäudeeigentümern Schutzmassnahmen zu planen und umzusetzen. Zu diesem Zweck übermittelt das ABS die Adressen der betroffenen Gebäude an das private Beratungsunternehmen. Bei den Adressdaten handelt es sich um personenbezogene Daten, da das Beratungsunternehmen damit in der Folge auch die konkreten Gebäudeeigentümer eruieren und direkt kontaktieren kann. Der Anwendungsbereich von Art. 24 Abs. 2 Bst. a DSG ist somit eröffnet. Die Datenweiterleitung ist zur Erfüllung einer Aufgabe des ABS erforderlich (Bevölkerungsschutz vor Naturgefahren) und die Bedingungen aus Art. 22 DSG zur zulässigen Zweckänderung sind ebenfalls erfüllt (im Interesse der betroffenen Personen, Abwehr erheblicher Nachteile für das Gemeinwohl). Wenn das ABS im Vertrag mit dem Beratungsunternehmen zudem sicherstellt, dass dieses die übermittelten Daten nur für den vereinbarten Zweck nutzen darf, ist die Datenübermittlung zulässig.

Beispiel (Bst. b) – Berechtigtes Interesse: Ein Student möchte für seine Abschlussarbeit eine Umfrage bei Motorradfahrern in Liechtenstein durchführen. Damit die Umfrage aussagekräftig wird, benötigt er möglichst viele Umfrageteilnehmer. Er tritt daher an das Amt für Strassenverkehr (ASV) heran mit der Bitte um Herausgabe aller Adressen der in Liechtenstein gemeldeten Motorradhalter. Damit ersucht er um die Herausgabe von personenbezogenen Daten einer öffentlichen Stelle an eine private Stelle. Mangels spezialgesetzlicher Regelung, einer entsprechenden Einwilligung der Motorradhalter oder eines entsprechenden Vertrags, kommt nun Art. 24 Abs. 2 DSG zum Tragen. Da die Datenübermittlung für die Aufgaben des ASV nicht erforderlich ist und auch nicht der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient, kommt im vorliegenden Fall nur Bst. b in Betracht, dessen Bedingungen vom ASV nun sorgfältig zu prüfen sind: Zwar hat der Student ein berechtigtes Interesse an den Adressen glaubhaft dargelegt (Umfrage für Abschlussarbeit), doch kann das ASV nicht pauschal für alle Motorradhalter in Liechtenstein annehmen, dass keiner ein schutzwürdiges Interesse am Ausschluss der Weiterleitung seiner Daten hat. Das ASV darf die Datenübermittlung deshalb nicht ohne weitere Abklärung mit den einzelnen Motorradhaltern vornehmen.

Beispiel (Bst. c) – Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen: In einem Scheidungsverfahren wünscht der im Ausland lebende Ehemann eine Bestätigung der Gemeinde über den aktuellen Wohnsitz seiner Ehefrau. Konkret besteht Unsicherheit darüber, ob sie immer noch an einer bestimmten Adresse lebt bzw. dort gemeldet ist. Da es in einem Scheidungsverfahren um die Durchsetzung von Rechtsansprüchen geht, ist der Anwendungsfall von Art. 24 Abs. 2 Bst. c DSG eröffnet. Der Ehemann hat der Gemeinde das Scheidungsverfahren glaubhaft dargelegt und auch den Grund, wofür die Wohnsitzbestätigung erforderlich ist. Die Datenübermittlung durch die Gemeinde erscheint somit zulässig. Für die Zulässigkeit der Datenweitergabe sprechen darüber hinaus, dass nicht davon auszugehen ist, dass die Ehefrau ein besonders triftiges schutzwürdiges Interesse an der Nicht-Weitergabe der Daten hat (z.B. Zeugenschutzprogramm o.ä.) und es auch nicht um unbekannte Daten geht, sondern um die Bestätigung einer dem Mann bereits bekannten Adresse.

Übermittlung von besonderen Kategorien personenbezogener Daten (Abs. 3)³

Für die Übermittlung von besonderen Kategorien personenbezogener Daten gemäss Art. 9 Abs. 1 DSGVO durch öffentliche Stellen an Dritte wird ZUSÄTZLICH zu den in Abs. 1 und 2 genannten Voraussetzungen verlangt, dass ein Ausnahmetatbestand gemäss Art. 9 Abs. 2 DSGVO ODER gemäss Art. 21 DSG vorliegt. Nur dann ist eine Weiterleitung solcher Daten durch eine öffentliche Stelle zulässig, da ja eine Verarbeitung dieser Datenkategorien gemäss Art. 9 Abs. 1 DSGVO andernfalls verboten wäre.

1 «Die Übermittlung personenbezogener Daten durch öffentliche Stellen an öffentliche Stellen ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit der übermittelnden Stelle oder des Dritten, an den die Daten übermittelt werden, liegenden Aufgaben erforderlich ist und die Voraussetzungen vorliegen, die eine Verarbeitung nach Art. 22 zulassen würden. Der Dritte, an den die Daten übermittelt werden, darf diese nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihm übermittelt werden. Eine Verarbeitung für andere Zwecke ist unter den Voraussetzungen des Art. 22 zulässig.»   2 «Die Übermittlung personenbezogener Daten durch öffentliche Stellen an nicht-öffentliche Stellen ist zulässig, wenn: a) sie zur Erfüllung der in der Zuständigkeit der übermittelnden Stelle liegenden Aufgaben erforderlich ist und die Voraussetzungen vorliegen, die eine Verarbeitung nach Art. 22 zulassen würden; b) der Dritte, an den die Daten übermittelt werden, ein berechtigtes Interesse an der Kenntnis der zu übermittelnden Daten glaubhaft darlegt und die betroffene Person kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat; oder c) sie zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist und der Dritte sich gegenüber der übermittelnden öffentlichen Stelle verpflichtet hat, die Daten nur für den Zweck zu verarbeiten, zu dessen Erfüllung sie ihm übermittelt werden. Eine Verarbeitung für andere Zwecke ist zulässig, wenn eine Übermittlung nach Satz 1 zulässig wäre und die übermittelnde Stelle zugestimmt hat.»   3 «Die Übermittlung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 der Verordnung (EU) 2016/679 ist zulässig, wenn die Voraussetzungen des Abs. 1 oder 2 und ein Ausnahmetatbestand nach Art. 9 Abs. 2 der Verordnung (EU) 2016/679 oder nach Art. 21 vorliegen.»

Ein liechtensteinisches Spezialgesetz, in dem die Weitergabe personenbezogener Daten durch öffentliche Stellen geregelt wird, ist die Verordnung über die Offenlegung bestimmter personenbezogener Daten durch die Gemeinden (LGBl-Nr. 2018.454). Darin geht es um die Herausgabe bzw. Offenlegung bestimmter Daten aus dem grossen Datenbestand der Gemeinden an nicht-öffentliche Stellen und in Medien.

Offenlegung an nicht-öffentliche Stellen aufgrund schriftlicher Anfragen

Die Verordnung sieht zwei Arten der Offenlegung von personenbezogenen Daten durch die Gemeinden an nicht-öffentliche Stellen vor, die mit einer diesbezüglichen schriftlichen Anfrage an sie herantreten: Die Einzelanfrage (Artikel 3) und die Gruppenanfrage (Artikel 4).

Bei einer Einzelanfrage dürfen die Gemeinden bestimmte personenbezogene Daten einer betroffenen Person (Name und Vorname, Adresse, Geburtsdatum, Staatsbürgerschaft) aus ihrem Register auf schriftliches Gesuch hin an nicht-öffentliche Stellen offenlegen, wenn die folgenden Bedingungen kumulativ erfüllt sind:

• Die Identität der betroffenen Person kann aufgrund des Gesuchs eindeutig festgestellt werden, UND
• der Gesuchsteller legt ein berechtigtes Interesse glaubhaft dar (z.B. Durchsetzung von Rechtsansprüchen), UND
• die betroffene Person hat kein schutzwürdiges Interesse am Ausschluss der Offenlegung, UND
• die betroffene Person hat keinen Widerspruch gegen die Offenlegung geltend gemacht.

Sind alle Bedingungen erfüllt, kann die Gemeinde die Daten in schriftlicher bzw. elektronischer Form herausgeben, allenfalls verbunden mit gewissen Einschränkungen oder Auflagen.

Sollen nicht nur die Daten (Name und Vorname, Adresse, Geburtsdatum, Staatsbürgerschaft) einer einzelnen betroffenen Person, sondern einer ganzen Personengruppe herausgegeben bzw. offengelegt werden, so dürfen diese ausschliesslich mittels ihrer Adresse, ihres Geburtsdatums oder ihrer Staatsbürgerschaft ermittelt und eingegrenzt werden. Wie bei der Einzelanfrage müssen auch hier die folgenden Bedingungen kumulativ erfüllt sein:

• Der Gesuchsteller legt ein berechtigtes Interesse glaubhaft dar, welches insbesondere dann der Fall ist, wenn die Verwendung der personenbezogenen Daten für politische, kulturelle, soziale, wissenschaftliche oder sonstige ideelle Zwecke erforderlich ist, UND
• die Betroffenen haben kein schutzwürdiges Interesse am Ausschluss der Offenlegung, UND
• die Betroffenen haben keinen Widerspruch gegen die Offenlegung geltend gemacht.

Sind alle Bedingungen erfüllt, darf die Gemeinde auch die Daten einer ganzen Gruppe von Personen herausgeben, allenfalls verbunden mit gewissen Einschränkungen oder Auflagen. Die Offenlegung erfolgt schriftlich bzw. elektronisch.

In beiden Fällen muss die Gemeinde die Gesuchsteller ausdrücklich darauf hinweisen, dass sie die Daten nicht weitergeben dürfen und dass sie sie nur für den im Gesuch angegebenen Zweck verwenden dürfen. Danach sind die Daten zu vernichten bzw. zu löschen. In beiden Fällen darf die Gemeinde ausserdem eine finanzielle Aufwandsentschädigung erheben.

Beispiel: In einer Gemeinde soll ein Italiener-Verein gegründet werden. Der neue Vereinsvorstand tritt mit schriftlichem Gesuch an die Gemeinde heran, dass sie ihm die Namen und Adressen sämtlicher Einwohner und Einwohnerinnen mit italienscher Staatsbürgerschaft bekanntgeben möge. Die Gemeinde prüft das Gesuch um Offenlegung personenbezogener Daten einer ganzen Personengruppe. Sowohl die offenzulegenden Daten (Namen und Adresse) als auch das Sortier-Kriterium «Staatsbürgerschaft» sind zulässig. Die Gründung eines Italiener-Vereins ist ausserdem ein berechtigtes Interesse, welches glaubhaft dargelegt wurde und einem kulturellen Zweck dient, zu dessen Erreichung die Kenntnis der italienisch-stämmigen Einwohner und Einwohnerinnen erforderlich ist. Es ist bei denjenigen Betroffenen, die keinen generellen Widerspruch gegen solche Datenweitergaben durch die Gemeinde gemacht haben, auch kein schutzwürdiges Interesse am Ausschluss der Offenlegung erkennbar und somit kann die Gemeinde – mit Ausnahme derjenigen Einwohner und Einwohnerinnen, die Widerspruch gegen solche Veröffentlichungen eingelegt haben – die gewünschten Daten dem Vereinsvorstand weiterleiten.

Beispiel​​​​: Ein neu eröffneter Kinder-Coiffeursalon tritt an die Gemeinde heran mit dem schriftlichen Gesuch um die Namen und Adressdaten von Kindern unter 18 Jahren, damit er gezielt Werbung bei diesen bzw. deren Familien für seine Dienstleistung machen kann. Wieder prüft die Gemeinde das Gesuch um Offenlegung personenbezogener Daten einer ganzen Personengruppe. Sowohl die offenzulegenden Daten (Namen und Adresse) als auch das Filterkriterium «Geburtsdatum» sind zulässig. Die Werbung für den neuen Kinder-Coiffeursalon ist auch ein berechtigtes Interesse, welches glaubhaft dargelegt wurde; es dient jedoch keinem politischen, kulturellen, sozialen, wissenschaftlichen oder sonstigen ideellen Zweck, sondern einem rein wirtschaftlichen Zweck. Die Gemeinde darf die Daten der Kinder somit nicht offenlegen.

Offenlegung in Medien zur Förderung des sozialen, kulturellen und religiösen Lebens

Zur Förderung des sozialen, kulturellen und religiösen Lebens im Sinne von Art. 12 Abs. 2 Bst. f des Gemeindegesetzes dürfen die Gemeinden personenbezogene Daten aus ihren Registern in gedruckten und elektronischen Medien offenlegen (Artikel 7). Auch hierfür gelten jedoch nebst der Einhaltung des genannten Zwecks kumulativ die folgenden Bedingungen:

• Die betroffene Person hat kein schutzwürdiges Interesse am Ausschluss der Offenlegung, UND
• die betroffene Person hat keinen Widerspruch gegen die Offenlegung geltend gemacht.

In Bezug auf die Veröffentlichung personenbezogener Daten in Zusammenhang mit besonderen Anlässen (Eheschliessung oder Begründung eingetragene Partnerschaft oder deren Jubiläen, Geburtstag ab dem 70. Altersjahr, Geburt eines Kindes, Prüfungserfolge) gilt, dass diese ausschliesslich mit der ausdrücklichen Einwilligung der betroffenen Personen erfolgen darf ODER wenn die Daten allgemein zugänglich sind.

Beispiel: Eine Gemeinde ist hocherfreut aus den Medien zu erfahren, dass eine ihrer Einwohnerinnen einen Nobelpreis gewonnen hat. Da diese Information allgemein zugänglich ist, darf die Gemeinde darüber auf in ihrem Gemeindeblatt und auf ihrer Internetseite berichten. Sie hat sich jedoch in ihrer Berichterstattung auf die für die Preisverleihung relevanten und allgemein zugänglichen Informationen zu beschränken.