Piense en lo que hace su consulta, ya que concatena cadenas. Incluso puedes imprimirlo. Dado que no pone la fecha entre comillas, se considerará un cálculo. Así que estás diciendo:
date1=2016-11-5
Esto es, por supuesto, 2000, pero quieres
date1='2016-11-5'
La mejor manera es usar parámetros para que el sistema subyacente haga todo esto por usted en lugar de que usted concatene cadenas e intente escapar de ellas correctamente.
