Pense no que sua consulta faz, já que você concatena strings. Você pode até imprimir. Como você não coloca a data entre aspas, será considerado um cálculo. Então você está dizendo:
date1=2016-11-5
Claro que é 2000, mas você quer
date1='2016-11-5'
A melhor maneira é usar parâmetros para que o sistema subjacente faça tudo isso para você, em vez de concatenar strings e tentar escapar delas corretamente.
