GESETZ über den Schutz von Personendaten

GESETZ über den Schutz von Personendaten (Kantonales Datenschutzgesetz; KDSG) (vom 22. Oktober 2023 1 ; Stand am 11. November 2023) Das Volk des Kantons Uri, gestützt auf Artikel 90 Absatz 1 der Verfassung des Kantons Uri 2 , beschliesst:

1. Abschnitt: Allgemeine Bestimmungen

Artikel 1 Zweck

Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grund - rechte von natürlichen Personen, über die Personendaten bearbeitet werden.

Artikel 2 Geltungsbereich

1 Dieses Gesetz gilt für jedes Bearbeiten von Personendaten natürlicher Personen durch Behörden des Kantons, der Gemeinden sowie der öffentlich-rechtlichen Körperschaften und Anstalten.

2 Es ist nicht anwendbar, wenn Personendaten aus rechtlichen, historischen oder wissenschaftlichen Gründen bereits im Staatsarchiv oder anderen zuständigen öffentlichen Archiven archiviert sind oder gemäss Artikel 15 noch archiviert werden und ihre Bearbeitung aufgrund ihres Alters keine schutzwürdigen Interessen von Personen mehr verletzen kann.

3 Nimmt eine Behörde am wirtschaftlichen Wettbewerb teil und handelt dabei nicht hoheitlich, gelten sinngemäss die Regeln des Bundesrechts für die Datenbearbeitung durch private Personen. Vorbehalten bleiben die Bestimmungen über die Aufsichtsstelle.

4 Die Rechte und Ansprüche von betroffenen Personen während hängigen Verfahren der Zivil- und Strafrechtspflege sowie während staats- und verwaltungsrechtlichen Verfahren mit Ausnahme erstinstanzlicher Verwal -

1 AB vom 2. Juni 2023

2 RB 1.1101 1

tungsverfahren richten sich ausschliesslich nach dem jeweils anwendbaren Verfahrensrecht.

5 Abweichende und ergänzende Vorschriften bleiben vorbehalten, sofern sie den Schutz vor widerrechtlicher Bearbeitung von Personendaten im Sinne dieses Gesetzes sicherstellen.

Artikel 3 Begriffe

Die folgenden Ausdrücke bedeuten:

a) Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen;

b) besonders schützenswerte Personendaten:

1. Daten über religiöse, weltanschauliche, politische oder gewerkschaft - liche Ansichten oder Tätigkeiten,

2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie,

3. genetische Daten,

4. biometrische Daten, die eine natürliche Person eindeutig identifi - zieren,

5. Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sank - tionen,

6. Daten über Massnahmen der sozialen Hilfe;

c) Datensammlung: jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach den betroffenen Personen erschliessbar sind;

d) Bearbeiten: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archi - vieren, Löschen oder Vernichten von Daten;

e) Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirt - schaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natür - lichen Person zu analysieren oder vorherzusagen;

f) Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verloren - gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden;

g) Behörden: alle Organe und Dienststellen des Kantons, der Gemeinden, der öffentlich-rechtlichen Anstalten und Körperschaften sowie

Kommissionen und private Personen, die mit der Erfüllung öffentlicher Aufgaben betraut sind;

h) verantwortliche Behörde: Behörde, die alleine oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet;

i) Auftragsbearbeiterin oder Auftragsbearbeiter: private Person oder Behörde, die im Auftrag der verantwortlichen Behörde Personendaten bearbeitet.

2. Abschnitt: Bearbeiten von Personendaten

Artikel 4 Allgemeine Voraussetzungen

1 Personendaten dürfen nur bearbeitet werden, wenn

a) dafür eine gesetzliche Grundlage besteht; oder

b) das Bearbeiten zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist.

2 Für die Bearbeitung besonders schützenswerter Personendaten oder für ein Profiling ist eine Grundlage in einem Gesetz im formellen Sinn erforder - lich, es sei denn, die Bearbeitung ist für eine in einem Gesetz im formellen Sinn festgelegte Aufgabe unentbehrlich.

3 Die Behörden sorgen dafür, dass Personendaten richtig und, soweit es der Zweck des Bearbeitens verlangt, vollständig und aktualisiert sind.

4 Personendaten dürfen nur rechtmässig, verhältnismässig und nach dem Grundsatz von Treu und Glauben bearbeitet werden. Sie dürfen nicht für einen Zweck bearbeitet werden, der mit dem Zweck der ursprünglichen Beschaffung unvereinbar ist.

Artikel 5 Auftragsbearbeitung

1 Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einer Auftragsbearbeiterin oder einem Auftragsbearbeiter übertragen werden, wenn:

a) die Daten so bearbeitet werden, wie die verantwortliche Behörde selbst es tun dürfte; und

b) keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertra - gung verbietet.

2 Die verantwortliche Behörde muss sich insbesondere vergewissern, dass die Auftragsbearbeiterin oder der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.

3 Die Auftragsbearbeiterin oder der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung der verantwortlichen Behörde einem Dritten übertragen. 3

4 Sie oder er kann dieselben Rechtfertigungsgründe geltend machen wie die verantwortliche Behörde.

Artikel 6 Beschaffen von Personendaten

Bei systematischen Erhebungen, namentlich mit Fragebogen, gibt die Behörde den Zweck und die Rechtsgrundlage des Bearbeitens bekannt.

Artikel 7 Folgenabschätzung

1 Die verantwortliche Behörde erstellt vorgängig eine Datenschutz-Folgen - abschätzung, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann eine gemein - same Abschätzung erstellt werden.

2 Das hohe Risiko ergibt sich, insbesondere bei Verwendung neuer Techno - logien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bear - beitung. Es liegt namentlich vor:

a) bei der umfangreichen Bearbeitung besonders schützenswerter Perso - nendaten;

b) wenn systematisch umfangreiche öffentliche Bereiche überwacht werden.

3 Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte.

Artikel 8 Konsultation der beauftragten Person für Datenschutz

1 Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung trotz der von der verantwortlichen Behörde vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grund - rechte der betroffenen Person zur Folge hat, so holt sie vorgängig die Stel - lungnahme der beauftragten Person für Datenschutz ein.

2 Die beauftragte Person für Datenschutz teilt der verantwortlichen Behörde innerhalb von zwei Monaten ihre Einwände gegen die geplante Bearbeitung mit. Diese Frist kann um einen Monat verlängert werden, wenn es sich um eine komplexe Datenbearbeitung handelt.

3 Hat die beauftragte Person für Datenschutz Einwände gegen die geplante Bearbeitung, so schlägt sie der verantwortlichen Behörde geeignete Mass - nahmen vor.

Artikel 9 Bekanntgabe von Personendaten

a) Grundsatz

1 Personendaten dürfen nur bekanntgegeben werden, wenn:

a) hierzu eine gesetzliche Grundlage gemäss Artikel 4 Absatz 1 und 2 besteht;

b) die Bekanntgabe der Daten für die Empfängerin oder den Empfänger zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist;

c) die betroffene Person der Bekanntgabe ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe im Interesse der betroffenen Person liegt und ihre Zustimmung vorausgesetzt werden darf;

d) die Bekanntgabe notwendig ist, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es nicht möglich ist, innerhalb einer angemessenen Frist die Einwilli - gung der betroffenen Person einzuholen;

e) die betroffene Person ihre Daten allgemein zugänglich gemacht und eine Bekanntgabe nicht ausdrücklich untersagt hat; oder

f) die Empfängerin oder der Empfänger glaubhaft macht, dass die betrof - fene Person die Einwilligung verweigert oder Widerspruch gegen die Bekanntgabe einlegt, um ihr oder ihm die Durchsetzung von Rechtsan - sprüchen oder die Wahrnehmung anderer schutzwürdiger Interessen zu verwehren; der betroffenen Person ist vorgängig Gelegenheit zur Stel - lungnahme zu geben, es sei denn, dies ist unmöglich oder mit unverhält - nismässigem Aufwand verbunden.

2 Personendaten, die in allgemein zugänglichen amtlichen oder amtlich bewilligten Veröffentlichungen enthalten sind, dürfen nur in dem Umfang und entsprechend der Ordnung bekanntgegeben werden, wie sie veröffent - licht sind.

3 Die verantwortliche Behörde lehnt die Bekanntgabe ab, schränkt sie ein oder verbindet sie mit Auflagen, wenn:

a) wesentliche öffentliche Interessen oder offensichtlich schutzwürdige Interessen der be-troffenen Person es verlangen; oder

b) gesetzliche Geheimhaltungspflichten oder besondere Datenschutzvor - schriften es verlangen.

Artikel 10 b) ins Ausland

1 Personendaten dürfen in Länder der Europäischen Union sowie in Vertragsstaaten des Übereinkommens 108 des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten 5

bekannt gegeben werden, wenn die Voraussetzungen erfüllt sind, die für die Bekanntgabe von Daten im Inland erfüllt sein müssen.

2 In Drittstaaten dürfen Personendaten nur bekannt gegeben werden, wenn zusätzlich zu den Voraussetzungen nach Absatz 1 eine der Vorausset - zungen von Artikel 16 des Bundesgesetzes über den Datenschutz 3 erfüllt ist.

3 Abweichend von Absatz 1 und 2 dürfen Personendaten ins Ausland bekanntgegeben werden, wenn:

a) die Bekanntgabe notwendig ist:

1. für die Wahrung eines überwiegenden öffentlichen Interesses,

2. für die Feststellung, Ausübung oder Durchsetzung von Rechtsan - sprüchen vor einem Gericht oder einer anderen zuständigen auslän - dischen Behörde,

3. um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder einer Drittperson zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen;

b) die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat;

c) die Daten aus einem gesetzlich vorgesehenen Register stammen, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsicht - nahme erfüllt sind.

4 Werden Personendaten zur Information der Öffentlichkeit mittels automati - sierter Informations- und Kommunikationsdienste allgemein zugänglich gemacht, so gilt dies nicht als Bekanntgabe ins Ausland, auch wenn die Daten vom Ausland aus zugänglich sind.

Artikel 11 Bearbeiten für nicht personenbezogene Zwecke

Personendaten dürfen für nicht personenbezogene Zwecke, insbesondere für Forschung, Planung oder Statistik, bearbeiten, wenn:

a) die Daten anonymisiert werden, sobald der Bearbeitungszweck dies erlaubt;

b) die verantwortliche Behörde privaten Personen besonders schützens - werte Personendaten nur so bekanntgibt, dass die betroffenen Personen nicht bestimmbar sind;

3 SR 235.1

c) die Empfängerin oder der Empfänger Dritten die Daten nur mit der Zustimmung der verantwortlichen Behörde weitergibt, welche die Daten bekanntgegeben hat; und

d) die Ergebnisse nur so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind.

Artikel 12 Datensicherheit

1 Die verantwortliche Behörde und die Auftragsbearbeiterin oder der Auftragsbearbeiter gewährleisten durch geeignete technische und organisa - torische Massnahmen eine dem Risiko angemessene Datensicherheit.

2 Die Massnahmen müssen es ermöglichen, Verletzungen der Daten - sicherheit zu vermeiden.

Artikel 13 Meldung der Verletzungen der Datensicherheit

1 Die verantwortliche Behörde meldet der beauftragten Person für Daten - schutz so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grund - rechte der betroffenen Person führt.

2 Die Auftragsbearbeiterin oder der Auftragsbearbeiter meldet der verant - wortlichen Behörde so rasch als möglich eine Verletzung der Daten - sicherheit.

3 Die verantwortliche Behörde informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder die beauftragte Person für Datenschutz es verlangt. Sie nennt dabei mindestens die Art der Verletzung der Daten - sicherheit, deren Folgen und die ergriffenen oder vorgesehenen Mass - nahmen.

4 Die verantwortliche Behörde kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn:

a) private oder öffentliche Geheimhaltungsinteressen überwiegen;

b) die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert; oder

c) die Information der betroffenen Person durch eine öffentliche Bekannt - machung in vergleichbarer Weise sichergestellt ist.

5 Eine Meldung, die aufgrund dieses Artikels erfolgt, darf in einem Strafver - fahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden. 7

3. Abschnitt: Datensammlungen

Artikel 14 Register

1 Der Kanton, die Gemeinden sowie die öffentlich-rechtlichen Körper - schaften und Anstalten führen über ihre Datensammlungen ein öffentliches Register.

2 Das Register enthält für jede Datensammlung Angaben über die Rechts - grundlage, den Zweck und die Mittel der Bearbeitung, die Art und die Herkunft der bearbeiteten Personendaten sowie die an der Datensammlung beteiligten Stellen und die regelmässigen Datenempfängerinnen und -empfänger.

Artikel 15 Archivierung oder Vernichtung

1 Werden Datensammlungen und Personendaten nicht mehr ständig benö - tigt, hat die verantwortliche Behörde die allfällige Archivierung mit den zuständigen öffentlichen Archiven abzuklären.

2 Nicht als archivwürdig bezeichnete Personendaten werden vernichtet, es sei denn, diese:

a) werden anonymisiert; oder

b) müssen zu Beweis- oder Sicherheitszwecken oder zur Wahrung der schutzwürdigen Interessen der betroffenen Person aufbewahrt werden..

3 Der Regierungsrat regelt in einem Reglement das Verfahren der Archi - vierung und die Benützung des Staatsarchivs.

4. Abschnitt: Rechte der betroffenen Personen

Artikel 16 Einsicht in die Register

Jede Person kann in die Register der Datensammlungen Einsicht nehmen.

Artikel 17 Auskunftsrecht

1 Jede Person kann von der verantwortlichen Behörde Auskunft verlangen, ob Personendaten über sie bearbeitet werden.

2 Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist.

3 Lässt die verantwortliche Behörde Personendaten von einer Auftragsbear - beiterin oder einem Auftragsbearbeiter bearbeiten, so bleibt sie auskunfts - pflichtig.

4 Niemand kann im Voraus auf das Auskunftsrecht verzichten.

Artikel 18 Einschränkungen

1 Die Auskunft kann eingeschränkt oder verweigert werden, wenn wichtige öffentliche oder schutzwürdige private Interessen dies erfordern.

2 Kann die Auskunft der gesuchstellenden Person nicht gewährt werden, weil sie zu stark belastet würde, kann sie einer Person ihres Vertrauens erteilt werden.

Artikel 19 Berichtigung

1 Jede Person kann bezüglich ihrer eigenen Daten von der verantwortlichen Behörde verlangen, dass unrichtige Personendaten berichtigt oder ergänzt werden.

2 Bestreitet die verantwortliche Behörde die Unrichtigkeit, so hat sie die Richtigkeit der Personendaten zu beweisen.

3 Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten bewiesen werden, insbesondere von solchen, die eine Wertung menschli - chen Verhaltens enthalten, kann die betroffene Person die Aufnahme einer Gegendarstellung verlangen.

Artikel 20 Unterlassungs-, Beseitigungs- und Feststellungsanspruch

Jede Person kann bezüglich ihrer eigenen Daten von der verantwortlichen Behörde verlangen, dass:

a) ein widerrechtliches Bearbeiten von Personendaten unterlassen wird;

b) die Folgen eines widerrechtlichen Bearbeitens beseitigt werden;

c) die Widerrechtlichkeit einer Bearbeitung schriftlich festgestellt wird.

Artikel 21 Rechtsschutz

1 Die Einschränkung oder Verweigerung des Rechts auf Einsicht, Berichti - gung oder Unterlassung ist der gesuchstellenden Person in Form einer beschwerdefähigen Verfügung zu eröffnen.

2 Das Verfahren richtet sich nach den Bestimmungen der Verordnung über die Verwaltungsrechtspflege 4 .

4 RB 2.2345 9

Artikel 22 Gebühren

1 Einsichtnahme, Auskunft und Berichtigung sind grundsätzlich gebühren - frei.

2 Ausnahmsweise kann eine Gebühr erhoben werden, wenn die Behand - lung eines Auskunftsgesuchs einen erheblichen Verwaltungsaufwand erfor - dert oder wenn die betroffene Person wiederholt in dieselben Daten Einsicht nimmt oder darüber Auskunft verlangt.

5. Abschnitt: Kantonale Datenschutzbeauftragte oder kantonaler Datenschutzbeauftragter

Artikel 23 Beauftragte Person für Datenschutz

a) Wahl und Stellung

1 Der Landrat wählt auf Antrag des Regierungsrats die beauftragte Person für Datenschutz sowie eine Stellvertretung. Die Amtsdauer beträgt vier Jahre.

2 Die beauftragte Person für Datenschutz erfüllt ihre Aufgaben selbst - ständig, unabhängig, unparteilich und ohne fachliche Weisungsgebunden - heit.

3 Ein öffentliches Amt, eine Nebenbeschäftigung oder eine allfällige zusätz - liche Erwerbstätigkeit bedarf der Bewilligung des Regierungsrats. Die Bewil - ligung wird erteilt, wenn die Tätigkeit die Ausübung der Funktion sowie Unabhängigkeit und Ansehen nicht beeinträchtigt.

4 Die beauftragte Person für Datenschutz steht unter der Oberaufsicht des Landrats, beantragt ihm die finanziellen Mittel, die erforderlich sind, um ihre Aufgabe zu erfüllen, verfügt über diese Mittel und ist im Rahmen der bewil - ligten Kredite zuständig, Angestellte zu beschäftigen und deren Arbeitsver - hältnis zu regeln. Administrativ ist sie der zuständigen Direktion 5 zuge - ordnet.

5 Der Landrat kann die beauftragte Person für Datenschutz vor Ablauf der Amtsdauer des Amtes entheben, wenn diese:

a) vorsätzlich oder grobfahrlässig Amtspflichten schwer verletzt hat; oder

b) die Fähigkeit, das Amt auszuüben, auf Dauer verloren hat.

6 Mit Genehmigung des Landrats kann der Regierungsrat die Aufgaben der beauftragten Person für Datenschutz einer geeigneten Person oder Stelle eines andern Kantons übertragen oder mit andern Kantonen ein gemein - sames Organ für diese Aufgaben einrichten.

5 Justizdirektion; siehe Organisationsreglement (RB 2.3322).

Artikel 24 b) Aufgaben

1 Die beauftragte Person für Datenschutz ist das kantonale Kontrollorgan für Datenschutz.

2 Sie:

a) überwacht die Anwendung der Vorschriften über den Datenschutz;

b) berät die Behörden bei der Anwendung der Vorschriften über den Daten - schutz;

c) nimmt Stellung zu Entwürfen von Erlassen und zu Massnahmen, die für den Datenschutz von erheblicher Bedeutung sind;

d) vermittelt zwischen Behörden untereinander und zwischen Behörden und Privaten;

e) verfolgt die für den Schutz von Personendaten massgeblichen Entwick - lungen;

f) sensibilisiert die datenbearbeitenden Behörden für ihre datenschutz - rechtlichen Pflichten und die Öffentlichkeit für die Anliegen des Daten - schutzes.

3 Die beauftragte Person für Datenschutz erfüllt diese Aufgaben, indem sie insbesondere:

a) Kontrollen bei den Behörden durchführt, die diesem Gesetz unterstehen;

b) geplante Einrichtungen zu Datenbearbeitungen, die besondere Risiken für die Rechte und Freiheit der betroffenen Personen in sich bergen, vor der Inbetriebnahme überprüft;

c) Anfragen und Eingaben, die betroffene Personen hinsichtlich ihrer Rechte auf Datenschutz vorbringen, behandelt und allenfalls Empfeh - lungen oder Verfügungen gegenüber den verantwortlichen Behörden erlässt;

d) mit den Kontrollorganen der anderen Kantone, des Bundes und des Auslands zusammenarbeitet;

e) dem Landrat gegenüber regelmässig Rechenschaft über ihre Tätigkeit ablegt. Sie kann wichtige Feststellungen und Massnahmen im Bereich des Datenschutzes veröffentlichen.

4 Nicht der Aufsicht der beauftragten Person für Datenschutz unterstehen Personendatenbearbeitungen in hängigen Verfahren der Zivil- und Straf - rechtspflege sowie während staats- und verwaltungsrechtlichen Verfahren mit Ausnahme erstinstanzlicher Verwaltungsverfahren.

Artikel 25 c) Befugnisse

1 Die beauftragte Person für Datenschutz wird von Amtes wegen oder auf Anzeige hin tätig. 11

2 Sie klärt den Sachverhalt von Amtes wegen ab und ist berechtigt, bei den verantwortlichen Behörden und bei Auftragsbearbeiterinnen oder Auftrags - bearbeitern ungeachtet einer allfälligen Geheimhaltungspflicht Auskünfte einzuholen, Akten und Dokumente herauszuverlangen und sich Datenbear - beitungen vorführen zu lassen. Die verantwortlichen Behörden und die Auftragsbearbeiterinnen oder Auftragsbearbeiter sind zur Mitwirkung verpflichtet.

3 Stellt die beauftragte Person für Datenschutz fest, dass Vorschriften über den Datenschutz verletzt werden, versucht sie mit der verantwortlichen Behörde oder der Auftragsbearbeiterin oder dem Auftragsbearbeiter eine einvernehmliche Lösung zu finden.

4 Bei Uneinigkeit kann die beauftragte Person für Datenschutz gegenüber der verantwortlichen Behörde oder der Auftragsbearbeiterin oder dem Auftragsbearbeiter eine Verfügung erlassen.

5 Verfügungen der beauftragten Person für Datenschutz sind direkt mit Verwaltungsgerichtsbeschwerde beim Obergericht anfechtbar.

Artikel 26 d) Schweigepflicht

Die beauftragte Person für Datenschutz, ihre Stellvertretung sowie ihre Hilfspersonen sind in Bezug auf Informationen und Personendaten, die sie bei ihrer Tätigkeit erfahren, zur gleichen Verschwiegenheit verpflichtet wie die verantwortliche Behörde.

6. Abschnitt: Übergangs- und Schlussbestimmungen

Artikel 27 Ausführungsbestimmungen

Der Regierungsrat kann zu diesem Gesetz Ausführungsbestimmungen erlassen.

Artikel 28 Strafbestimmungen

1 Mit Busse wird bestraft, wer:

a) der beauftragten Person für Datenschutz bei der Abklärung des Sach - verhalts vorsätzlich falsche Auskünfte erteilt oder die Mitwirkung verwei - gert;

b) Personendaten im Sinne von Artikel 11 bearbeitet und dabei die Voraus - setzungen dieser Bestimmung missachtet;

c) Personendaten im Auftrag einer Behörde bearbeitet und dabei die Daten auftragswidrig verwendet oder bekannt gibt.

2 Das Verfahren richtet sich nach den Bestimmungen der Strafrechtspflege.

Artikel 29 Aufhebung bisherigen Rechts

Das Gesetz vom 20. Februar 1994 über den Schutz von Personendaten (Datenschutzgesetz; DSG) 6 wird aufgehoben.

Artikel 30 Änderung bisherigen Rechts

...

Artikel 31 Übergangsbestimmung

1 Die Rechtmässigkeit bestehender Datenbearbeitungen beurteilt sich während längstens zwei Jahren nach Inkrafttreten dieses Gesetzes nach dem alten Recht, wenn der Bearbeitungszweck unverändert bleibt und keine neuen Daten beschafft werden.

2 Die beauftragte Person für Datenschutz wird erstmals zu Beginn der nächsten Legislaturperiode nach neuem Recht gewählt.

Artikel 32 Inkrafttreten

Dieses Gesetz unterliegt der Volksabstimmung. Es tritt am

11. November 2023 in Kraft. Im Namen des Volkes Der Landammann: Urs Janett Der Kanzleidirektor: Roman Balli

6 RB 2.2511

7 Die Änderungen wurden in den entsprechenden Erlassen eingefügt. 13