Kantonales Gesetz über den Schutz von Personendaten

(Kantonales Datenschutzgesetz, KDSG) Vom 02.07.1990 (Stand 01.06.2025)

1 Allgemeine Bestimmungen

Art. 1 Zweck

1. Das Gesetz dient dem Schutz von Personen vor unbefugtem Bearbeiten ihrer Daten durch öffentliche Organe.

Art. 2 Begriffe

1. Personendaten sind Angaben über eine bestimmte oder bestimmbare natürliche Person.
2. Besonders schützenswerte Personendaten sind Angaben über natürliche Personen, bei welchen eine besondere Gefahr für Persönlichkeits- und Grundrechtsverletzungen besteht, insbesondere
   1. Daten über die religiöse, weltanschauliche oder politische Haltung,
   2. Daten über die Gesundheit, die Intimsphäre, das Erbgut oder die ethnische Zugehörigkeit,
   3. mit speziellen technischen Verfahren gewonnene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer Person, welche die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen (biometrische Daten),
   4. Daten über verwaltungs- und strafrechtliche Massnahmen und Sanktionen sowie Massnahmen der Sozialhilfe,
   5. Zusammenstellungen von Daten, die eine Beurteilung wesentlicher Aspekte der natürlichen Person erlaubt (Persönlichkeitsprofil).
3. Betroffene Person ist die Person, von der Personendaten bearbeitet werden.
4. Bearbeiten von Personendaten ist, unabhängig von den angewendeten Mitteln und Verfahren, jeder Umgang mit Daten, wie das Erheben, Beschaffen, Aufbewahren, Aufzeichnen, Sammeln, Speichern auf elektronischen Datenträgern, Verwenden, Umarbeiten, Bekanntgeben, Archivieren, Löschen und Vernichten. Bekanntgeben ist das Übermitteln oder das Zugänglichmachen von Personendaten, insbesondere durch Einsichtgewähren, Weitergeben oder Veröffentlichen. 4bis Profiling ist jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um die Arbeitsleistung, die wirtschaftliche Lage, die Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.
5. Ein Verknüpfen von Personendaten verschiedener Datenbanken ist jedes regelmässige, automatische oder manuelle Ergänzen der zu einer Person in einer Datenbank vorliegenden Daten durch Daten einer anderen Datenbank.
6. …
7. Verantwortliches Organ ist das Organ, das, allein oder zusammen mit anderen Organen, über den Zweck und die Mittel der Bearbeitung von Personendaten entscheidet.
8. Organe sind Behörden, Dienststellen und Verwaltungseinheiten, die für ein Gemeinwesen handeln, und private Personen, soweit ihnen öffentliche Aufgaben übertragen sind.

Art. 3 Geltungsbereich

1. Das Gesetz gilt für
   1. den Kanton,
   2. die Gemeinden,
   3. andere Gemeinwesen gemäss § 1 des Gesetzes über die Verwaltungsrechtspflege vom 3. Juli 1972,
   4. die übrigen Personen und Organisationen des öffentlichen und des privaten Rechts, denen kantonale Aufgaben übertragen sind.
2. Der Teil 3 dieses Gesetzes gilt nicht für Notizen und Agenden, die als Hilfsmittel bei der Aufgabenerfüllung dienen.
   1. …
   2. …
   3. …
   4. …
3. Die Prozess- und Verfahrensordnungen regeln das Bearbeiten von Personendaten und die Rechte der betroffenen Personen in Gerichts- und Verwaltungsverfahren. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
4. Soweit Organe parlamentarische oder gerichtliche Befugnisse ausüben, unterliegen sie der Überwachung durch die zuständige Aufsichtsstelle gemäss § 22 nicht.
5. Soweit ein Organ am wirtschaftlichen Wettbewerb teilnimmt und dabei privatrechtlich handelt, sind auf seine Datenbearbeitungen die Bestimmungen des Bundesgesetzes über den Datenschutz vom 25. September 2020 anwendbar. Die Aufsicht richtet sich nach den §§ 22–24b.
6. Vorbehalten bleiben besondere Vorschriften, die das Bearbeiten von Daten und insbesondere die Rechte der betroffenen Personen regeln.

1a Bearbeiten von Personendaten *

Art. 4 Grundsätze des Bearbeitens von Personendaten

1. Organe dürfen Personendaten nur mit rechtmässigen Mitteln bearbeiten.
2. Personendaten müssen richtig sein.
3. Das Bearbeiten von Personendaten muss verhältnismässig sein.
4. Personendaten dürfen nicht für einen Zweck bearbeitet werden, der nach Treu und Glauben mit dem Zweck unvereinbar ist, für den sie ursprünglich beschafft oder der Behörde bekanntgegeben worden sind.
5. Lässt der Zweck des Bearbeitens, wie zur wissenschaftlichen Forschung, zur Führung von Statistiken und dergleichen, es zu, sind Personendaten so zu anonymisieren, dass die betroffene Person nicht mehr bestimmt oder bestimmbar ist.

Art. 5 Voraussetzungen des Bearbeitens von Personendaten

1. Organe dürfen Personendaten bearbeiten, wenn
   1. dafür eine Rechtsgrundlage besteht oder
   2. dies zur Erfüllung von Aufgaben erforderlich ist, für die eine Rechtsgrundlage besteht.
2. Sie dürfen besonders schützenswerte Personendaten bearbeiten oder ein Profiling vornehmen, wenn es
   1. ein formelles Gesetz ausdrücklich vorsieht,
   2. für eine in einem formellen Gesetz umschriebene Aufgabe unentbehrlich ist,
   3. der Regierungsrat bewilligt, weil es im Interesse der betroffenen Person liegt, oder wenn
   4. die betroffene Person im Einzelfall eingewilligt oder ihre Personendaten allgemein zugänglich gemacht hat.
3. Organe dürfen auf Daten, die durch Verknüpfung entstanden sind, zugreifen, wenn sie berechtigt sind, die Daten jeder einzelnen betroffenen Datenbank zu bearbeiten. Der Regierungsrat regelt die weiteren Anforderungen an Verknüpfungen von Personendaten.

Art. 5a Verknüpfung von Personendaten

1. Das Verknüpfen von Personendaten verschiedener Datenbanken ist nur dann erlaubt, wenn sichergestellt ist, dass alle datenbearbeitenden Personen nur diejenigen Daten bearbeiten können, die sie für ihre Arbeit typischerweise und regelmässig benötigen.
2. In Einzelfällen können Daten entweder bei der zugriffsberechtigten Person oder über ein automatisiertes Abrufverfahren beschafft werden, sofern der Zugriff protokolliert und vom verantwortlichen Organ sowie von dem oder der Beauftragten für den Datenschutz überprüft werden kann.

Art. 6 Verantwortlichkeit der Organe

1. Für den Datenschutz ist jedes Organ verantwortlich, das Personendaten bearbeitet oder bearbeiten lässt. 1bis Das verantwortliche Organ stellt mit technischen und organisatorischen Massnahmen die Einhaltung des Datenschutzes sicher. Die Massnahmen müssen insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie den Risiken, welche die Bearbeitung für die Rechte der betroffenen Personen mit sich bringt, angemessen sein.
2. Es kann das Bearbeiten von Personendaten einem anderen Organ oder Dritten übertragen, wenn
   1. keine rechtliche Bestimmung oder vertragliche Vereinbarung entgegensteht,
   2. sichergestellt ist, dass die Personendaten nur so bearbeitet werden, wie es das verantwortliche Organ selbst tun dürfte; insbesondere darf das Bearbeiten von Personendaten nicht ohne vorgängige schriftliche Zustimmung des verantwortlichen Organs weiteren Auftragsdatenbearbeitern übertragen werden.
3. Bearbeiten mehrere Organe Personendaten aus einem Datenbestand oder mehreren Datenbeständen, regeln sie die Verantwortlichkeit.
4. Der Regierungsrat regelt das Nähere durch Verordnung.

Art. 7 Melde- und Informationspflichten bei unbefugter Datenbearbeitung *

1. Die verantwortlichen Organe melden dem oder der Beauftragten für den Datenschutz unverzüglich unbefugte Datenbearbeitungen, insbesondere durch Verlust, Fälschung, Entwendung und Kenntnisnahme durch nicht berechtigte Dritte, wenn diese voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führen. 1bis Sie informieren die betroffenen Personen, wenn es zu deren Schutz erforderlich ist oder wenn der oder die Beauftragte für den Datenschutz es verlangt, und soweit erforderlich andere Organe und Dritte. Die Information kann eingeschränkt oder aufgeschoben oder es kann darauf verzichtet werden, wenn überwiegende öffentliche Interessen dies erfordern oder wenn die Information einen unverhältnismässigen Aufwand verursacht.
2. Der Regierungsrat kann weitere Vorschriften erlassen.

Art. 7a Datenschutz-Folgenabschätzung und Vorabkonsultation

1. Das verantwortliche Organ prüft bei Vorhaben zur Datenbearbeitung die Auswirkungen auf den Datenschutz. Besteht voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen, führt das Organ eine Datenschutz-Folgenabschätzung durch.
2. Ergibt sich aus den Abklärungen, dass die vorgesehene Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen zur Folge hätte, obwohl Massnahmen vorgesehen sind, holt das Organ die Stellungnahme des oder der Beauftragten für den Datenschutz ein. Er oder sie gibt innert angemessener Frist eine Empfehlung ab und schlägt geeignete Massnahmen vor.
3. Der Regierungsrat regelt das Nähere durch Verordnung.

Art. 7b Datenschutzberater oder -beraterin

1. Die vom Regierungsrat durch Verordnung bestimmten weiteren Organe und das Kantonsgericht bezeichnen einen Datenschutzberater oder eine Datenschutzberaterin.
2. Der Datenschutzberater oder die Datenschutzberaterin
   1. unterstützt die Mitarbeiterinnen und Mitarbeiter der Organisationseinheiten, die Personendaten bearbeiten, bei der Einhaltung der Vorschriften über den Datenschutz,
   2. sorgt für die notwendigen Datenschutz-Folgenabschätzungen gemäss § 7a,
   3. ist Ansprechperson des oder der Beauftragten für den Datenschutz.
3. Der Regierungsrat kann die übrigen Gemeinwesen verpflichten, einen Datenschutzberater oder eine Datenschutzberaterin zu bezeichnen.

2 Besondere Formen des Bearbeitens

2.1 Erheben von Personendaten

Art. 8 Vorgehen

1. Organe erheben Personendaten grundsätzlich bei der betroffenen Person und nur, wenn besondere Umstände es erfordern, bei Drittpersonen.
2. Die zu befragende Person muss erkennen können, dass Personendaten erhoben werden, es sei denn, die Erfüllung der öffentlichen Aufgabe werde dadurch ernstlich gefährdet oder verunmöglicht.
3. Das Organ weist die Person auf das Bestehen einer Auskunftspflicht und gegebenenfalls auf die Folgen einer Verletzung der Auskunftspflicht hin.
4. Es informiert die Person über
   1. das für die Erhebung verantwortliche Organ und gibt dessen Kontaktdaten bekannt,
   2. die Rechtsgrundlage und den Zweck der Datenerhebung,
   3. die bearbeiteten Personendaten oder die Kategorien der bearbeiteten Daten,
   4. die Dauer der Aufbewahrung der Personendaten oder die Kriterien für die Festlegung der Aufbewahrungsdauer,
   5. die Empfänger der Personendaten oder die Kategorien der Empfänger, falls die Daten Dritten bekannt gegeben werden sollen,
   6. die Rechte der betroffenen Person.
5. Auf die Information kann verzichtet werden, wenn
   1. die Datenbearbeitung im Gesetz vorgesehen ist oder
   2. die betroffene Person bereits über die Angaben gemäss Absatz 4 verfügt oder
   3. die Information der betroffenen Person nicht oder nur mit unverhältnismässigem Aufwand möglich ist.

2.2 Bekanntgeben von Personendaten

Art. 9 Bekanntgeben an Organe

1. Unter Vorbehalt besonderer Geheimhaltungspflichten darf ein Organ andern Organen Personendaten bekanntgeben, wenn
   1. ein Rechtssatz dazu verpflichtet oder ermächtigt oder
   2. die Organe, welche Personendaten anbegehren, glaubhaft machen, dass sie die Anforderungen der §§ 4 und 5 erfüllen.
2. Die Einwohnerkontrolle gewährt andern Organen Einsicht in die bei ihr vorhandenen Personendaten und erteilt ihnen Auskunft; bei schweizerischen Organen kann sie von der Prüfung absehen, ob sie die Anforderungen der §§ 4 und 5 erfüllen.
3. Besteht zwischen zwei Organen keine Einigkeit darüber, ob anbegehrte Personendaten bekanntzugeben sind, entscheidet das übergeordnete Organ und bei gleichgestellten kantonalen Organen das gemeinsame nächsthöhere Organ.

Art. 10 Bekanntgeben an Private

1. Unter Vorbehalt besonderer Geheimhaltungspflichten darf ein Organ privaten Personen und Organisationen Personendaten bekanntgeben, wenn
   1. ein Rechtssatz dazu verpflichtet oder ermächtigt oder
   2. die betroffene Person eingewilligt hat oder ihre Einwilligung nach den Umständen vorausgesetzt werden kann.
2. Personendaten aus allgemein zugänglichen amtlichen Veröffentlichungen darf ein Organ auf Anfrage in dem Umfang und in gleicher Weise bekanntgeben, wie sie veröffentlicht worden sind.
3. Der Regierungsrat regelt das Bekanntgeben von Personendaten für Adressbücher und andere Nachschlagewerke sowie für Publikationen im Zusammenhang mit andern Vorgängen von allgemeinem Interesse.

Art. 11 Bekanntgeben an Private durch die Einwohnerkontrolle

1. Die Einwohnerkontrolle gibt auf Gesuch privaten Personen und Organisationen, die ein schutzwürdiges Interesse glaubhaft machen, Namen, Vornamen, Geschlecht, Geburtsdatum und Adresse bekannt.
2. Soweit diese Angaben zur Wahrung des schutzwürdigen Interesses nicht ausreichen, gibt sie auch Auskunft über Beruf und Titel von Einzelpersonen, Zivilstand, Heimatort, Staatsangehörigkeit und zivilrechtliche Handlungsfähigkeit sowie über Ort und Datum des Zu- und Wegzugs.
3. Die Einwohnergemeinde kann durch Reglement oder Gemeindeordnung bestimmen, dass auch ohne Glaubhaftmachung eines schutzwürdigen Interesses Personendaten gemäss Absatz 1 zu politischen, kulturellen, gesellschaftlichen, wohltätigen und wissenschaftlichen Zwecken veröffentlicht oder auf Anfrage hin bekanntgegeben werden.
4. Jede betroffene Person kann bei der Einwohnerkontrolle das Bekanntgeben ihrer Personendaten ohne Angabe von Gründen sperren lassen; die Sperre ist indessen unwirksam, wenn die Einwohnerkontrolle durch Rechtssatz zum Bekanntgeben verpflichtet ist oder der Gesuchsteller eine Behinderung in der Verfolgung schutzwürdiger Ansprüche gegenüber der betroffenen Person glaubhaft macht.

Art. 11a Bekanntgeben durch Zugänglichmachen gemäss Öffentlichkeitsprinzip

1. Bevor Organe im Rahmen der Regelungen ihrer Gemeinwesen zum Öffentlichkeitsprinzip den Zugang zu amtlichen Informationen ermöglichen, prüfen sie, ob die Informationen Personendaten enthalten.
2. Personendaten sind durch das Organ nach Möglichkeit so zu anonymisieren, dass die betroffenen Personen nicht mehr bestimmt oder bestimmbar sind. § 10 Absatz 2 gilt sinngemäss.
3. Ist eine Anonymisierung nicht möglich, kann das Organ den Zugang zu amtlichen Informationen ermöglichen, wenn die Voraussetzungen der Bestimmungen über das Öffentlichkeitsprinzip erfüllt sind und die betroffenen Personen eingewilligt haben oder ihre Einwilligung nach den Umständen vorausgesetzt werden kann.
4. Vorbehalten bleibt der Zugang auch ohne Einwilligung, wenn das öffentliche Interesse an den amtlichen Informationen das Interesse an der Geheimhaltung der Personendaten Dritter überwiegt. Die betroffenen Personen sind anzuhören. Bei besonders schützenswerten Personendaten wird vermutet, dass das private Interesse der betroffenen Personen gegenüber dem Zugangsanspruch überwiegt.
5. Der Regierungsrat regelt das Nähere durch Verordnung.

Art. 12 Einschränkung

1. Ein Organ darf das Bekanntgeben von Personendaten aus überwiegenden öffentlichen Interessen oder überwiegenden privaten Interessen Dritter oder der betroffenen Person einschränken, mit Auflagen versehen oder verweigern.

Art. 12a Grenzüberschreitende Bekanntgabe

1. Personendaten dürfen nicht ins Ausland bekanntgegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.
2. Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, können persönliche Daten nur ins Ausland bekanntgegeben werden, wenn
   1. hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten,
   2. die betroffene Person im Einzelfall eingewilligt hat,
   3. die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages steht und es sich um Personendaten des Vertragspartners handelt,
   4. die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist,
   5. die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen,
   6. die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.
3. Der oder die Beauftragte für den Datenschutz muss über die Garantien nach Absatz 2a informiert werden.
4. Der Regierungsrat kann weitere Vorschriften erlassen.

2.3 Archivieren und Vernichten von Personendaten

Art. 13  *

1. Benötigt ein Organ Datenbestände voraussichtlich nicht mehr, werden sie nach den dafür geltenden Vorschriften archiviert oder vernichtet.
2. …
3. Der Regierungsrat kann weitere Vorschriften erlassen. Insbesondere kann er Löschfristen und Massnahmen zur regelmässigen Überprüfung der Notwendigkeit von Personendatenbeständen festlegen.

3 Kontrollrechte der betroffenen Person

Art. 14 Verzeichnis der Datenbearbeitungstätigkeiten *

1. Die von der obersten Verwaltungsbehörde des Gemeinwesens bezeichneten Organe und das Kantonsgericht führen ein Verzeichnis über die Datenbearbeitungstätigkeiten in ihrem Zuständigkeitsbereich.
2. Das Verzeichnis ist öffentlich. Es nennt mindestens
   1. die Kontaktdaten,
   2. die Rechtsgrundlage und den Zweck der Datenbearbeitung,
   3. die Kategorien der betroffenen Personen und der bearbeiteten Personendaten,
   4. die Kategorien der Empfängerinnen und Empfänger.
3. Der Regierungsrat regelt das Nähere durch Verordnung.

Art. 15 Auskunft

1. Jede Person kann beim verantwortlichen Organ mündlich oder schriftlich Auskunft verlangen, ob Personendaten über sie vorhanden sind. Sie hat sich über ihre Identität auszuweisen.
   1. …
   2. …
2. Das Organ muss der betroffenen Person mindestens Auskunft geben über
   1. die über sie vorhandenen Personendaten,
   2. die Rechtsgrundlage und den Zweck der Datenbearbeitung,
   3. soweit möglich die Herkunft der Personendaten und allfällige Empfänger bei Weitergabe,
   4. die Aufbewahrungsdauer der Personendaten oder die Kriterien für die Festlegung der Aufbewahrungsdauer,
   5. ihre Rechte, insbesondere auf Berichtigung unrichtiger Personendaten.
3. Die Auskunft wird in allgemein verständlicher Form auf Verlangen mündlich oder schriftlich erteilt. Soweit die Mittel und Verfahren des Bearbeitens es zulassen, ist Einsicht in die Personendaten zu gewähren.
4. Kann die Auskunft oder Einsicht der Person selbst nicht gewährt werden, weil sie dadurch zu stark belastet werden könnte oder andere wichtige Gründe dagegen sprechen, kann sie einer Person ihres Vertrauens gewährt werden.
5. Die Kontrollrechte hinsichtlich der in zentralen Datenbanken gespeicherten Personendaten richten sich nach dem Informatikgesetz vom 7. März 2005.

Art. 16 Einschränkung

1. Ein Organ darf die Auskunft über Personendaten aus überwiegenden öffentlichen Interessen oder überwiegenden privaten Interessen Dritter oder der betroffenen Person einschränken, mit Auflagen versehen oder verweigern.

Art. 17 Berichtigung

1. Jede Person kann vom verantwortlichen Organ verlangen, dass unrichtige Personendaten über sie berichtigt werden.
2. Bestreitet das Organ die Unrichtigkeit, hat es die Richtigkeit der Personendaten zu beweisen. Die betroffene Person hat im Rahmen des Zumutbaren bei der Abklärung mitzuwirken.
3. Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten, insbesondere von solchen, die eine Wertung enthalten, bewiesen werden, kann die betroffene Person einen entsprechenden Vermerk aufnehmen lassen.

Art. 18 Andere Ansprüche

1. Jede Person kann vom verantwortlichen Organ verlangen, dass
   1. ein widerrechtliches Bearbeiten von Personendaten unterlassen wird,
   2. unbefugt bearbeitete Personendaten gelöscht oder vernichtet oder die Folgen sonst wie beseitigt werden.
2. Weist die betroffene Person ein schutzwürdiges Interesse nach,
   1. ist die Widerrechtlichkeit einer Bearbeitung durch das verantwortliche Organ festzustellen,
   2. ist der Entscheid des angegangenen Organs den von ihr bezeichneten Organen und Dritten bekanntzugeben,
   3. kann sie vom verantwortlichen Organ verlangen, dass es die Bearbeitung von bestimmten Personendaten einschränkt und insbesondere die Bekanntgabe von bestimmten Personendaten sperrt.
3. Das Organ kann die Sperrung verweigern, wenn
   1. die Bekanntgabe gesetzlich vorgesehen ist oder
   2. durch die Sperrung die Erfüllung der gesetzlichen Aufgabe des Organs gefährdet wird.

Art. 19 Entscheid und Mitteilung *

1. Soweit das angegangene Organ dem Begehren um Auskunft, Einsicht, Berichtigung oder Erfüllung eines Anspruchs gemäss § 18 nicht entspricht, erlässt es einen Entscheid.
2. …

Art. 20 Kosten

1. Die Ausübung der Kontrollrechte ist kostenfrei. Der Regierungsrat regelt die Ausnahmen. Er kann namentlich dann Kosten vorsehen, wenn ein unverhältnismässiger Aufwand damit verbunden ist.

4 Aufsicht *

Art. 21 …

Art. 22 Aufsichtsstelle *

1. Der Kantonsrat wählt auf Antrag des Regierungsrates einen Beauftragten oder eine Beauftragte für den Datenschutz auf eine Amtsdauer von vier Jahren. Wiederwahl ist möglich. 1bis Bei der erstmaligen Wahl des oder der Beauftragten legt der Regierungsrat jeweils den Besoldungsrahmen und die Besoldungsentwicklung fest. 1ter Der Regierungsrat kann das Arbeitsverhältnis aus wichtigen Gründen vor Ablauf der Amtsdauer auflösen. Die Auflösung aus wichtigen Gründen bedarf der Genehmigung durch die Geschäftsleitung des Kantonsrates.
2. Der oder die Beauftragte ist fachlich selbständig und unabhängig; administrativ ist er oder sie der Staatskanzlei zugeordnet.
3. …

Art. 22a Wählbarkeit, Unvereinbarkeiten

1. Wählbar als Beauftragter oder Beauftragte für den Datenschutz ist eine in Datenschutzfragen ausgewiesene Fachperson.
2. Er oder sie darf kein anderes öffentliches Amt ausüben.
3. Das zuständige Organ des Gemeinwesens kann eine Nebenbeschäftigung bewilligen, soweit diese die Ausübung des Amtes, insbesondere die Unabhängigkeit des Amtsinhabers oder der Amtsinhaberin, nicht beeinträchtigt.

Art. 22b Finanz- und Personalkompetenzen

1. Der oder die Beauftragte für den Datenschutz verfügt über die im Voranschlag bewilligten Kredite in eigener Kompetenz.
2. Er oder sie ist für alle personalrechtlichen Entscheide betreffend seine oder ihre Mitarbeiterinnen und Mitarbeiter zuständig, insbesondere für die Begründung, die Umgestaltung und die Beendigung von Arbeitsverhältnissen. Im Übrigen finden die Bestimmungen des Personalgesetzes vom 26. Juni 2001 Anwendung.

Art. 23 Aufgaben

1. Der oder die Beauftragte für den Datenschutz
   1. überwacht die Einhaltung der Vorschriften über den Datenschutz,
   2. verfolgt die massgeblichen Entwicklungen und berät die verantwortlichen Organe in Fragen des Datenschutzes,
   3. erteilt den betroffenen Personen Auskunft über ihre Rechte und behandelt aufsichtsrechtliche Anzeigen innert angemessener Frist,
   cbis. gibt gegenüber den Organen Empfehlungen zu Datenbearbeitungen ab, d. … e. reicht in hängigen Verfahren auf Ersuchen von entscheidenden Organen oder Rechtsmittelbehörden und in Vernehmlassungsverfahren zu Entwürfen von rechtsetzenden Erlassen Stellungnahmen zu Datenschutzfragen ein, f. orientiert die Organe und die Öffentlichkeit über wesentliche Anliegen des Datenschutzes, g. sorgt für die Instruktion der Mitarbeiter von Organen über den Datenschutz, h. nimmt zu Datenbearbeitungen Stellung, die ein hohes Risiko für Verletzungen von Persönlichkeits- und Grundrechten der betroffenen Personen bergen, i. veröffentlicht Stellungnahmen, j. arbeitet mit den Kontrollorganen der anderen Kantone, des Bundes und des Auslandes zusammen, k. …
2. …
3. Der oder die Beauftragte erstattet dem Regierungsrat jährlich Bericht über die Schwerpunkte der Tätigkeit der Aufsichtsstelle. Er oder sie stellt den Tätigkeitsbericht der Aufsichts- und Kontrollkommission sowie der Planungs- und Finanzkommission des Kantonsrates zu und veröffentlicht ihn im Internet. Regierungsrat und Kantonsrat nehmen vom Bericht Kenntnis.

Art. 24 Befugnisse

1. Die verantwortlichen Organe sind verpflichtet, den Beauftragten oder die Beauftragte für den Datenschutz bei der Erfüllung seiner oder ihrer Aufgaben zu unterstützen.
2. Der oder die Beauftragte kann ungeachtet allfälliger Geheimhaltungsvorschriften bei Organen schriftlich und mündlich Auskünfte über das Bearbeiten von Personendaten einholen, Einsicht in alle Daten und weitere Unterlagen nehmen und sich das Bearbeiten von Personendaten vorführen lassen.
3. Ergibt die Abklärung, dass Datenschutzvorschriften verletzt werden, kann der oder die Beauftragte eine Empfehlung abgeben. Das Organ hat zu erklären, ob es der Empfehlung Folge leisten wird.
4. Leistet das Organ der Empfehlung nicht Folge, kann der oder die Beauftragte entsprechende Massnahmen verfügen. Vorsorgliche Verfügungen bleiben vorbehalten.
5. Der oder die Beauftragte darf unter Vorbehalt besonderer Geheimhaltungsvorschriften Kenntnisse, die er oder sie bei seiner oder ihrer Tätigkeit erlangt, nur so weit bekanntgeben, als es zur Erfüllung seiner oder ihrer Aufgabe notwendig ist. Die Geheimhaltungspflicht besteht nach Beendigung des Dienstverhältnisses weiter.

4a Strafbestimmung und Rechtsschutz *

Art. 24a Strafbestimmung

1. Wer Personendaten im Auftrag bearbeitet und sich dabei vorsätzlich auftragswidrig verhält, wird auf Antrag mit Busse bestraft.

Art. 24b Rechtsschutz

1. Die Anfechtung von Entscheiden, die in Anwendung dieses Gesetzes erlassen werden, richtet sich, unter Einschluss der Kosten des Verfahrens, nach dem Gesetz über die Verwaltungsrechtspflege.
2. Entscheide des oder der Beauftragten für den Datenschutz sind mit Verwaltungsgerichtsbeschwerde beim Kantonsgericht anfechtbar. Zur Beschwerde befugt sind die betroffenen Organe. Dem Kantonsgericht steht auch die Ermessenskontrolle zu.

5 Schlussbestimmungen

Art. 25 Änderung eines Gesetzes

Art. 26 …

Art. 26a Übergangsbestimmung zur Änderung vom 10. Mai 2021

1. Die erstmalige Wahl des oder der Beauftragten für den Datenschutz auf Amtsdauer gemäss § 22 Absatz 1 findet auf den 1. Januar 2022 für den Rest der Amtsdauer 2019–2023 statt. Der bisherige Mandatsträger übt das Amt bis 31. Dezember 2021 aus und kann wiedergewählt werden.

Art. 27 Inkrafttreten

1. Das Gesetz tritt am 1. Januar 1991 in Kraft. Es unterliegt dem fakultativen Referendum.