Das Bearbeiten von Personendaten umfasst jeden Umgang mit Personendaten, wie das Beschaffen, Aufbewahren, Verändern, Verknüpfen, Bekanntgeben oder Vernichten.
Das KDSG stellt keine eigenständige Rechtsgrundlage für das Bearbeiten von Personendaten dar, sondern verlangt eine solche im anwendbaren Fachgesetz (z.B. im VSG). Gestützt auf Art. 5 Abs. 1 KDSG dürfen Personendaten nur bearbeitet werden, wenn «das Gesetz» ausdrücklich dazu ermächtigt» (direkte Grundlage im Fachgesetz z.B. im VSG) oder wenn das Bearbeiten «der Erfüllung einer gesetzlichen Aufgabe dient» (indirekte Grundlage im Fachgesetz).
Besonders schützenswerte Personendaten dürfen nur bearbeitet werden, wenn sich zusätzlich die Zulässigkeit aus einer «gesetzlichen Grundlage» klar ergibt (direkte klare Grundlage im Fachgesetz , eine Verordnung genügt nicht) oder wenn «die Erfüllung einer gesetzlichen Aufgabe» es zwingend erfordert (indirekte zwingende Grundlage im Fachgesetz ) oder wenn die betroffene (urteilsfähige) Person der Datenbearbeitung ausdrücklich zugestimmt hat.
Für die Bearbeitung von Personendaten gilt der Grundsatz der Verhältnismässigkeit. Dies bedeutet, dass Personendaten nur bearbeitet werden dürfen, wenn die entsprechende Datenbearbeitung für die Erfüllung der gesetzlichen Aufgabe geeignet und erforderlich ist. Eine Datenbearbeitung ist erforderlich, wenn keine gleichwertige Datenbearbeitung möglich ist, welche weniger stark in die Persönlichkeitsrechte der betroffenen Personen eingreifen.