VDSG (SR 235.11)

aus­klap­pen | ein­klap­pen

1. Kapi­tel: Bear­bei­ten von Per­so­nen­da­ten durch pri­va­te Per­so­nen

1. Abschnitt: Aus­kunfts­recht

Art. 1 Moda­li­tä­ten

1 Jede Per­son, die vom Inha­ber einer Daten­samm­lung Aus­kunft dar­über ver­langt, ob Daten über sie bear­bei­tet wer­den (Art. 8 DSG), muss dies in der Regel in schrift­li­cher Form bean­tra­gen und sich über ihre Iden­ti­tät aus­wei­sen.

2 Das Aus­kunfts­be­geh­ren sowie die Aus­kunfts­er­tei­lung kön­nen auf elek­tro­ni­schem Weg erfol­gen, wenn der Inha­ber der Daten­samm­lung dies aus­drück­lich vor­sieht und ange­mes­se­ne Mass­nah­men trifft, um:

a. die Iden­ti­fi­zie­rung der betrof­fe­nen Per­son sicher­zu­stel­len; und

b. die per­sön­li­chen Daten der betrof­fe­nen Per­son bei der Aus­kunfts­er­tei­lung vor dem Zugriff unbe­rech­tig­ter Drit­ter zu schüt­zen.

3 Im Ein­ver­neh­men mit dem Inha­ber der Daten­samm­lung oder auf des­sen Vor­schlag hin kann die betrof­fe­ne Per­son ihre Daten auch an Ort und Stel­le ein­se­hen. Die Aus­kunft kann auch münd­lich erteilt wer­den, wenn die betrof­fe­ne Per­son ein­ge­wil­ligt hat und vom Inha­ber iden­ti­fi­ziert wor­den ist.

4 Die Aus­kunft oder der begrün­de­te Ent­scheid über die Beschrän­kung des Aus­kunfts­rechts (Art. 9 und 10 DSG) wird innert 30 Tagen seit dem Ein­gang des Aus­kunfts­be­geh­rens erteilt. Kann die Aus­kunft nicht innert 30 Tagen erteilt wer­den, so muss der Inha­ber der Daten­samm­lung den Gesuch­stel­ler hier­über benach­rich­ti­gen und ihm die Frist mit­tei­len, in der die Aus­kunft erfol­gen wird.

5 Wer­den eine oder meh­re­re Daten­samm­lun­gen von meh­re­ren Inha­bern gemein­sam geführt, kann das Aus­kunfts­recht bei jedem Inha­ber gel­tend gemacht wer­den, sofern nicht einer von ihnen für die Behand­lung aller Aus­kunfts­be­geh­ren ver­ant­wort­lich ist. Wenn der Inha­ber der Daten­samm­lung zur Aus­kunfts­er­tei­lung nicht ermäch­tigt ist, lei­tet er das Begeh­ren an den Zustän­di­gen wei­ter.

6 Betrifft das Aus­kunfts­be­geh­ren Daten, die im Auf­trag des Inha­bers der Daten­samm­lung von einem Drit­ten bear­bei­tet wer­den, so lei­tet der Auf­trag­ge­ber das Begeh­ren an den Drit­ten zur Erle­di­gung wei­ter, sofern er nicht selbst in der Lage ist, Aus­kunft zu ertei­len.

7 Wird Aus­kunft über Daten von ver­stor­be­nen Per­son ver­langt, so ist sie zu ertei­len, wenn der Gesuch­stel­ler ein Inter­es­se an der Aus­kunft nach­weist und kei­ne über­wie­gen­den Inter­es­sen von Ange­hö­ri­gen der ver­stor­be­nen Per­son oder von Drit­ten ent­ge­gen­ste­hen. Nahe Ver­wandt­schaft sowie Ehe mit der ver­stor­be­nen Per­son begrün­den ein Inter­es­se.

Art. 2 Aus­nah­men von der Kosten­lo­sig­keit

1 Eine ange­mes­se­ne Betei­li­gung an den Kosten kann aus­nahms­wei­se ver­langt wer­den, wenn:

a. der antrag­stel­len­den Per­son in den zwölf Mona­ten vor dem Gesuch die gewünsch­ten Aus­künf­te bereits mit­ge­teilt wur­den und kein schutz­wür­di­ges Inter­es­se an einer neu­en Aus­kunfts­er­tei­lung nach­ge­wie­sen wer­den kann. Ein schutz­wür­di­ges Inter­es­se ist ins­be­son­de­re gege­ben, wenn die Per­so­nen­da­ten ohne Mit­tei­lung an die betrof­fe­ne Per­son ver­än­dert wur­den;

b. die Aus­kunfts­er­tei­lung mit einem beson­ders gro­ssen Arbeits­auf­wand ver­bun­den ist.

2 Die Betei­li­gung beträgt maxi­mal 300 Fran­ken. Der Gesuch­stel­ler ist über die Höhe der Betei­li­gung vor der Aus­kunfts­er­tei­lung in Kennt­nis zu set­zen und kann sein Gesuch innert zehn Tagen zurück­zie­hen.

2. Abschnitt: Anmel­dung der Daten­samm­lun­gen

Art. 3 Anmel­dung

1 Daten­samm­lun­gen (Art. 11a Abs. 3 DSG) sind beim Eid­ge­nös­si­schen Daten­schutz- und Öffent­lich­keits­be­auf­trag­ten (Beauf­trag­ter) anzu­mel­den, bevor die Daten­samm­lung eröff­net wird. Die Anmel­dung ent­hält fol­gen­de Anga­ben:

a. Name und Adres­se des Inha­bers der Daten­samm­lung;

b. Name und voll­stän­di­ge Bezeich­nung der Daten­samm­lung;

c. Per­son, bei wel­cher das Aus­kunfts­recht gel­tend gemacht wer­den kann;

d. Zweck der Daten­samm­lung;

e. Kate­go­rien der bear­bei­te­ten Per­so­nen­da­ten;

f. Kate­go­rien der Daten­emp­fän­ger;

g. Kate­go­rien der an der Daten­samm­lung Betei­lig­ten, das heisst Drit­te, die in die Daten­samm­lung Daten ein­ge­ben und Ände­run­gen an den Daten vor­neh­men dür­fen.

2 Jeder Inha­ber einer Daten­samm­lung aktua­li­siert die­se Anga­ben lau­fend. …

Art. 4 Aus­nah­men von der Anmel­de­pflicht

1 Aus­ge­nom­men von der Pflicht zur Anmel­dung der Daten­samm­lun­gen sind die Daten­samm­lun­gen nach Arti­kel 11a Absatz 5 Buch­sta­ben a und c – f DSG sowie die fol­gen­den Daten­samm­lun­gen (Art. 11a Abs. 5 Bst. b DSG):

a. Daten­samm­lun­gen von Lie­fe­ran­ten oder Kun­den, soweit sie kei­ne beson­ders schüt­zens­wer­ten Per­so­nen­da­ten oder Per­sön­lich­keits­pro­fi­le ent­hal­ten;

b. Daten­samm­lun­gen, deren Daten aus­schliess­lich zu nicht per­so­nen­be­zo­ge­nen Zwecken ver­wen­det wer­den, nament­lich in der For­schung, der Pla­nung und der Sta­ti­stik;

c. archi­vier­te Daten­samm­lun­gen, die nur zu histo­ri­schen oder wis­sen­schaft­li­chen Zwecken auf­be­wahrt wer­den;

d. Daten­samm­lun­gen, die aus­schliess­lich Daten ent­hal­ten, die ver­öf­fent­licht wur­den oder wel­che die betrof­fe­ne Per­son selbst all­ge­mein zugäng­lich gemacht und deren Bear­bei­tung sie nicht aus­drück­lich unter­sagt hat;

e. Daten, die aus­schliess­lich der Erfül­lung der Anfor­de­run­gen nach Arti­kel 10 die­nen;

f. Buch­hal­tungs­un­ter­la­gen;

g. Hilfs­da­ten­samm­lun­gen für die Per­so­nal­ver­wal­tung des Inha­bers der Daten­samm­lung, soweit sie kei­ne beson­ders schüt­zens­wer­ten Per­so­nen­da­ten oder Per­sön­lich­keits­pro­fi­le ent­hal­ten.

2 Der Inha­ber der Daten­samm­lun­gen trifft die erfor­der­li­chen Mass­nah­men, um die Anga­ben (Art. 3 Abs. 1) zu den nicht der Anmel­de­pflicht unter­lie­gen­den Daten­samm­lun­gen auf Gesuch hin dem Beauf­trag­ten oder den betrof­fe­nen Per­so­nen mit­tei­len zu kön­nen.

3. Abschnitt: Bekannt­ga­be ins Aus­land

Art. 5 Ver­öf­fent­li­chung in elek­tro­ni­scher Form

Wer­den Per­so­nen­da­ten mit­tels auto­ma­ti­sier­ter Infor­ma­ti­ons- und Kom­mu­ni­ka­ti­ons­dien­ste zwecks Infor­ma­ti­on der Öffent­lich­keit all­ge­mein zugäng­lich gemacht, so gilt dies nicht als Über­mitt­lung ins Aus­land.

Art. 6 Trans­pa­renz und Infor­ma­ti­on

1 Der Inha­ber der Daten­samm­lung infor­miert den Beauf­trag­ten vor der [Bekannt­ga­be ins Aus­land über die Garan­tien und Daten­schutz­re­geln nach Arti­kel 6 Absatz 2 Buch­sta­ben a und g DSG. Ist die vor­gän­gi­ge Infor­ma­ti­on nicht mög­lich, so hat sie unmit­tel­bar nach der Bekannt­ga­be zu erfol­gen.

2 Wur­de der Beauf­trag­te über die Garan­tien und die Daten­schutz­re­geln infor­miert, so gilt die Infor­ma­ti­ons­pflicht für alle wei­te­ren Bekannt­ga­ben als erfüllt, die:

a. unter den­sel­ben Garan­tien erfol­gen, soweit die Kate­go­rien der Emp­fän­ger, der Zweck der Bear­bei­tung und die Daten­ka­te­go­rien im Wesent­li­chen unver­än­dert blei­ben; oder

b. inner­halb der­sel­ben juri­sti­schen Per­son oder Gesell­schaft oder zwi­schen juri­sti­schen Per­so­nen oder Gesell­schaf­ten, die einer ein­heit­li­chen Lei­tung unter­ste­hen, statt­fin­den, soweit die Daten­schutz­re­geln wei­ter­hin einen ange­mes­se­nen Schutz gewähr­lei­sten.

3 Die Infor­ma­ti­ons­pflicht gilt eben­falls als erfüllt, wenn Daten gestützt auf Muster­ver­trä­ge oder Stan­dard­ver­trags­klau­seln über­mit­telt wer­den, die vom Beauf­trag­ten erstellt oder aner­kannt wur­den, und der Beauf­trag­te vom Inha­ber der Daten­samm­lung in all­ge­mei­ner Form über die Ver­wen­dung die­ser Muster­ver­trä­ge oder Stan­dard­ver­trags­klau­seln infor­miert wur­de. Der Beauf­trag­te ver­öf­fent­licht eine Liste der von ihm erstell­ten oder aner­kann­ten Muster­ver­trä­ge und Stan­dard­ver­trags­klau­seln.

4 Der Inha­ber der Daten­samm­lung trifft ange­mes­se­ne Mass­nah­men um sicher­zu­stel­len, dass der Emp­fän­ger die Garan­tien und die Daten­schutz­re­geln beach­tet.

5 Der Beauf­trag­te prüft die Garan­tien und die Daten­schutz­re­geln, die ihm mit­ge­teilt wer­den (Art. 31 Abs. 1 Bst. e DSG) und teilt dem Inha­ber der Daten­samm­lung das Ergeb­nis sei­ner Prü­fung innert 30 Tagen ab dem Emp­fang der Infor­ma­ti­on mit.

Art. 7 Liste der Staa­ten mit ange­mes­se­ner Daten­schutz­ge­setz­ge­bung

Der Beauf­trag­te ver­öf­fent­licht eine Liste der Staa­ten, deren Gesetz­ge­bung einen ange­mes­se­nen Daten­schutz gewähr­lei­stet.

4. Abschnitt: Tech­ni­sche und orga­ni­sa­to­ri­sche Mass­nah­men

Art. 8 All­ge­mei­ne Mass­nah­men

1 Wer als Pri­vat­per­son Per­so­nen­da­ten bear­bei­tet oder ein Daten­kom­mu­ni­ka­ti­ons­netz zur Ver­fü­gung stellt, sorgt für die Ver­trau­lich­keit, die Ver­füg­bar­keit und die Inte­gri­tät der Daten, um einen ange­mes­se­nen Daten­schutz zu gewähr­lei­sten. Ins­be­son­de­re schützt er die Syste­me gegen fol­gen­de Risi­ken:

a. unbe­fug­te oder zufäl­li­ge Ver­nich­tung;

b. zufäl­li­gen Ver­lust;

c. tech­ni­sche Feh­ler;

d. Fäl­schung, Dieb­stahl oder wider­recht­li­che Ver­wen­dung;

e. unbe­fug­tes Ändern, Kopie­ren, Zugrei­fen oder ande­re unbe­fug­te Bear­bei­tun­gen.

2 Die tech­ni­schen und orga­ni­sa­to­ri­schen Mass­nah­men müs­sen ange­mes­sen sein. Ins­be­son­de­re tra­gen sie fol­gen­den Kri­te­ri­en Rech­nung:

a. Zweck der Daten­be­ar­bei­tung;

b. Art und Umfang der Daten­be­ar­bei­tung;

c. Ein­schät­zung der mög­li­chen Risi­ken für die betrof­fe­nen Per­so­nen;

d. gegen­wär­ti­ger Stand der Tech­nik.

3 Die­se Mass­nah­men sind peri­odisch zu über­prü­fen.

Art. 9 Beson­de­re Mass­nah­men

1 Der Inha­ber der Daten­samm­lung trifft ins­be­son­de­re bei der auto­ma­ti­sier­ten Bear­bei­tung von Per­so­nen­da­ten die tech­ni­schen und orga­ni­sa­to­ri­schen Mass­nah­men, die geeig­net sind, nament­lich fol­gen­den Zie­len gerecht zu wer­den:

a. Zugangs­kon­trol­le: unbe­fug­ten Per­so­nen ist der Zugang zu den Ein­rich­tun­gen, in denen Per­so­nen­da­ten bear­bei­tet wer­den, zu ver­weh­ren;

b. Per­so­nen­da­ten­trä­ger­kon­trol­le: unbe­fug­ten Per­so­nen ist das Lesen, Kopie­ren, Ver­än­dern oder Ent­fer­nen von Daten­trä­gern zu ver­un­mög­li­chen;

c. Trans­port­kon­trol­le: bei der Bekannt­ga­be von Per­so­nen­da­ten sowie beim Trans­port von Daten­trä­gern ist zu ver­hin­dern, dass die Daten unbe­fugt gele­sen, kopiert, ver­än­dert oder gelöscht wer­den kön­nen;

d. Bekannt­ga­be­kon­trol­le: Daten­emp­fän­ger, denen Per­so­nen­da­ten mit­tels Ein­rich­tun­gen zur Daten­über­tra­gung bekannt gege­ben wer­den, müs­sen iden­ti­fi­ziert wer­den kön­nen;

e. Spei­cher­kon­trol­le: unbe­fug­te Ein­ga­be in den Spei­cher sowie unbe­fug­te Ein­sicht­nah­me, Ver­än­de­rung oder Löschung gespei­cher­ter Per­so­nen­da­ten sind zu ver­hin­dern;

f. Benut­zer­kon­trol­le: die Benut­zung von auto­ma­ti­sier­ten Daten­ver­ar­bei­tungs­sy­ste­men mit­tels Ein­rich­tun­gen zur Daten­über­tra­gung durch unbe­fug­te Per­so­nen ist zu ver­hin­dern;

g. Zugriffs­kon­trol­le: der Zugriff der berech­tig­ten Per­so­nen ist auf die­je­ni­gen Per­so­nen­da­ten zu beschrän­ken, die sie für die Erfül­lung ihrer Auf­ga­be benö­ti­gen;

h. Ein­ga­be­kon­trol­le: in auto­ma­ti­sier­ten Syste­men muss nach­träg­lich über­prüft wer­den kön­nen, wel­che Per­so­nen­da­ten zu wel­cher Zeit und von wel­cher Per­son ein­ge­ge­ben wur­den.

2 Die Daten­samm­lun­gen sind so zu gestal­ten, dass die betrof­fe­nen Per­so­nen ihr Aus­kunfts­recht und ihr Recht auf Berich­ti­gung wahr­neh­men kön­nen.

Art. 10 Pro­to­kol­lie­rung

1 Der Inha­ber der Daten­samm­lung pro­to­kol­liert die auto­ma­ti­sier­te Bear­bei­tung von beson­ders schüt­zens­wer­ten Per­so­nen­da­ten oder Per­sön­lich­keits­pro­fi­len, wenn die prä­ven­ti­ven Mass­nah­men den Daten­schutz nicht gewähr­lei­sten kön­nen. Eine Pro­to­kol­lie­rung hat ins­be­son­de­re dann zu erfol­gen, wenn sonst nicht nach­träg­lich fest­ge­stellt wer­den kann, ob die Daten für die­je­ni­gen Zwecke bear­bei­tet wur­den, für die sie erho­ben oder bekannt gege­ben wur­den. Der Beauftragte14 kann die Pro­to­kol­lie­rung auch für ande­re Bear­bei­tun­gen emp­feh­len.

2 Die Pro­to­kol­le sind wäh­rend eines Jah­res revi­si­ons­ge­recht fest­zu­hal­ten. Sie sind aus­schliess­lich den Orga­nen oder pri­va­ten Per­so­nen zugäng­lich, denen die Über­wa­chung der Daten­schutz­vor­schrif­ten obliegt, und dür­fen nur für die­sen Zweck ver­wen­det wer­den.

Art. 11 Bear­bei­tungs­re­gle­ment

1 Der Inha­ber einer mel­de­pflich­ti­gen auto­ma­ti­sier­ten Daten­samm­lung ([Art. 11a Abs. 3 DSG), die nicht auf­grund von Arti­kel 11a Absatz 5 Buch­sta­ben b – d DSG von der Mel­de­pflicht aus­ge­nom­men ist, erstellt ein Bear­bei­tungs­re­gle­ment, das ins­be­son­de­re die inter­ne Orga­ni­sa­ti­on sowie das Daten­be­ar­bei­tungs- und Kon­troll­ver­fah­ren umschreibt und die Unter­la­gen über die Pla­nung, die Rea­li­sie­rung und den Betrieb der Daten­samm­lung und der Infor­ma­tik­mit­tel ent­hält.

2 Der Inha­ber der Daten­samm­lung aktua­li­siert das Regle­ment regel­mä­ssig. Er stellt es dem Beauf­trag­ten oder dem Daten­schutz­ver­ant­wort­li­chen nach Arti­kel 11a Absatz 5 Buch­sta­be e DSG auf Anfra­ge in einer für sie ver­ständ­li­chen Form zur Ver­fü­gung.

Art. 12 Bekannt­ga­be der Daten

Der Inha­ber der Daten­samm­lung mel­det dem Daten­emp­fän­ger die Aktua­li­tät und die Zuver­läs­sig­keit der von ihm bekannt gege­be­nen Per­so­nen­da­ten, soweit die­se Infor­ma­tio­nen nicht aus den Daten selbst oder aus den Umstän­den ersicht­lich sind.

5. Abschnitt: Daten­schutz­ver­ant­wort­li­cher

Art. 12a Bezeich­nung des Daten­schutz­ver­ant­wort­li­chen und Mit­tei­lung an den Beauf­trag­ten

1 Will der Inha­ber der Daten­samm­lung nach Arti­kel 11a Absatz 5 Buch­sta­be e DSG von der Pflicht zur Anmel­dung der Daten­samm­lung befreit wer­den, so muss er:

a. einen betrieb­li­chen Daten­schutz­ver­ant­wort­li­chen bezeich­nen, der die Anfor­de­run­gen von Absatz 2 und von Arti­kel 12b erfüllt; und

b. den Beauf­trag­ten über die Bezeich­nung des Daten­schutz­ver­ant­wort­li­chen infor­mie­ren.

2 Der Inha­ber der Daten­samm­lung kann einen Mit­ar­bei­ter oder einen Drit­ten als Daten­schutz­ver­ant­wort­li­chen bezeich­nen. Die­ser darf kei­ne ande­ren Tätig­kei­ten aus­üben, die mit sei­nen Auf­ga­ben als Daten­schutz­ver­ant­wort­li­cher unver­ein­bar sind, und muss über die erfor­der­li­che Fach­kennt­nis ver­fü­gen.

Art. 12b Auf­ga­ben und Stel­lung des Daten­schutz­ver­ant­wort­li­chen

1 Der Daten­schutz­ver­ant­wort­li­che hat nament­lich fol­gen­de Auf­ga­ben:

a. Er prüft die Bear­bei­tung von Per­so­nen­da­ten und emp­fiehlt Kor­rek­tur­mass­nah­men, wenn er fest­stellt, dass Daten­schutz­vor­schrif­ten ver­letzt wur­den.

b. Er führt eine Liste der Daten­samm­lun­gen nach Arti­kel 11a Absatz 3 DSG, die vom Inha­ber der Daten­samm­lun­gen geführt wer­den; die­se Liste ist dem Beauf­trag­ten oder betrof­fe­nen Per­so­nen, die ein ent­spre­chen­des Gesuch stel­len, zur Ver­fü­gung zu stel­len.

2 Der Daten­schutz­ver­ant­wort­li­che:

a. übt sei­ne Funk­ti­on fach­lich unab­hän­gig aus, ohne dies­be­züg­lich Wei­sun­gen des Inha­bers der Daten­samm­lung zu unter­lie­gen;

b. ver­fügt über die zur Erfül­lung sei­ner Auf­ga­ben erfor­der­li­chen Res­sour­cen;

c. hat Zugang zu allen Daten­samm­lun­gen und Daten­be­ar­bei­tun­gen sowie zu allen Infor­ma­tio­nen, die er zur Erfül­lung sei­ner Auf­ga­be benö­tigt.

2. Kapi­tel: Bear­bei­ten von Per­so­nen­da­ten durch Bun­des­or­ga­ne

1. Abschnitt: Aus­kunfts­recht

Art. 13 Moda­li­tä­ten

Arti­kel 1 und 2 sind auf die an Bun­des­or­ga­ne gerich­te­ten Aus­kunfts­be­geh­ren sinn­ge­mäss anwend­bar.

Art. 14 Aus­kunfts­be­geh­ren an die diplo­ma­ti­schen Ver­tre­tun­gen der Schweiz im Aus­land

1 Die Ver­tre­tun­gen der Schweiz im Aus­land sowie die Mis­sio­nen bei den Euro­päi­schen Gemein­schaf­ten und bei inter­na­tio­na­len Orga­ni­sa­tio­nen über­mit­teln Aus­kunfts­ge­su­che, die bei ihnen gestellt wer­den, der zustän­di­gen Stel­le im eid­ge­nös­si­schen Depar­te­ment für aus­wär­ti­ge Ange­le­gen­hei­ten. Das Depar­te­ment regelt die Zustän­dig­kei­ten.

2 Im Übri­gen gel­ten für die Aus­kunfts­be­geh­ren über die Mili­tär­kon­trol­le im Aus­land die Bestim­mun­gen der Ver­ord­nung vom 10. Dezem­ber 2004 über das mili­tä­ri­sche Kon­troll­we­sen.

Art. 15

2. Abschnitt: Anmel­dung der Daten­samm­lun­gen

Art. 16 Anmel­dung

1 Die ver­ant­wort­li­chen Bun­des­or­ga­ne (Art. 16 DSG) mel­den alle von ihnen geführ­ten Daten­samm­lun­gen vor deren Eröff­nung beim Beauf­trag­ten an. Die Anmel­dung ent­hält fol­gen­de Anga­ben:

a. Name und Adres­se des ver­ant­wort­li­chen Bun­des­or­gans;

b. Name und voll­stän­di­ge Bezeich­nung der Daten­samm­lung;

c. das Organ, bei dem das Aus­kunfts­recht gel­tend gemacht wer­den kann;

d. Rechts­grund­la­ge und Zweck der Daten­samm­lung;

e. Kate­go­rien der bear­bei­te­ten Per­so­nen­da­ten;

f. Kate­go­rien der Emp­fän­ger der Daten;

g. Kate­go­rien der an der Daten­samm­lung Betei­lig­ten, das heisst Drit­te, die Daten in eine Daten­samm­lung ein­ge­ben und ver­än­dern dür­fen.

h.

2 Das ver­ant­wort­li­che Bun­des­or­gan aktua­li­siert die­se Anga­ben lau­fend.

Art. 17

Art. 18 Aus­nah­men von der Anmel­de­pflicht

1 Fol­gen­de Daten­samm­lun­gen unter­lie­gen nicht der Anmel­de­pflicht, sofern die Bun­des­or­ga­ne sie aus­schliess­lich für ver­wal­tungs­in­ter­ne Zwecke ver­wen­den:

a. Kor­re­spon­denz­re­gi­stra­tu­ren;

b. Daten­samm­lun­gen von Lie­fe­ran­ten oder Kun­den, soweit sie kei­ne beson­ders schüt­zens­wer­ten Per­so­nen­da­ten oder Per­sön­lich­keits­pro­fi­le ent­hal­ten;

c. Adres­sen­samm­lun­gen, die ein­zig der Adres­sie­rung die­nen, soweit sie kei­ne beson­ders schüt­zens­wer­ten Per­so­nen­da­ten oder Per­sön­lich­keits­pro­fi­le ent­hal­ten;

d. Listen für Ent­schä­di­gungs­zah­lun­gen;

e. Buch­hal­tungs­un­ter­la­gen;

f. Hilfs­da­ten­samm­lun­gen für die Per­so­nal­ver­wal­tung des Bun­des, soweit sie kei­ne beson­ders schüt­zens­wer­ten Per­so­nen­da­ten oder Per­sön­lich­keits­pro­fi­le ent­hal­ten;

g. Biblio­thek­da­ten­samm­lun­gen (Autoren­ka­ta­lo­ge, Aus­lei­her- und Benut­zer­ver­zeich­nis­se).

2 Eben­falls nicht der Anmel­de­pflicht unter­lie­gen:

a. Daten­samm­lun­gen, die beim Bun­des­ar­chiv archi­viert sind;

b. Daten­samm­lun­gen, die der Öffent­lich­keit in Form von Ver­zeich­nis­sen zugäng­lich gemacht wer­den;

c. Daten­samm­lun­gen, deren Daten aus­schliess­lich zu nicht per­so­nen­be­zo­ge­nen Zwecken ver­wen­det wer­den, nament­lich in der For­schung, der Pla­nung und der Sta­ti­stik.

3 Das ver­ant­wort­li­che Bun­des­or­gan trifft die erfor­der­li­chen Mass­nah­men, um die Anga­ben (Art. 16 Abs. 1) zu den nicht der Anmel­de­pflicht unter­lie­gen­den Daten­samm­lun­gen auf Gesuch hin dem Beauf­trag­ten oder den betrof­fe­nen Per­so­nen mit­tei­len zu kön­nen.

3. Abschnitt: Bekannt­ga­be ins Aus­land

Art. 19

Gibt ein Bun­des­or­gan gestützt auf Arti­kel 6 Absatz 2 Buch­sta­be a DSG Per­so­nen­da­ten ins Aus­land bekannt, so gilt Arti­kel 6.

4. Abschnitt: Tech­ni­sche und orga­ni­sa­to­ri­sche Mass­nah­men

Art. 20 Grund­sät­ze

1 Die ver­ant­wort­li­chen Bun­des­or­ga­ne tref­fen die nach den Arti­keln 8 – 10 erfor­der­li­chen tech­ni­schen und orga­ni­sa­to­ri­schen Mass­nah­men zum Schutz der Per­sön­lich­keit und der Grund­rech­te der Per­so­nen, über die Daten bear­bei­tet wer­den. Bei der auto­ma­ti­sier­ten Daten­be­ar­bei­tung arbei­ten die Bun­des­or­ga­ne mit dem Infor­ma­tik­stra­te­gie­or­gan Bund (ISB) zusam­men.

2 Die ver­ant­wort­li­chen Bun­des­or­ga­ne mel­den dem Daten­schutz­ver­ant­wort­li­chen nach Arti­kel 11a Absatz 5 Buch­sta­be e DSG oder, falls kein sol­cher besteht, dem Beauf­trag­ten unver­züg­lich alle Pro­jek­te zur auto­ma­ti­sier­ten Bear­bei­tung von Per­so­nen­da­ten, damit die Erfor­der­nis­se des Daten­schut­zes sogleich berück­sich­tigt wer­den. Die Mel­dung an den Beauf­trag­ten erfolgt über das ISB, wenn das Pro­jekt auch bei die­sem ange­mel­det wer­den muss.

3 Der Beauf­trag­te und das ISB arbei­ten im Rah­men ihrer Akti­vi­tä­ten betref­fend die tech­ni­schen Mass­nah­men zusam­men. Der Beauf­trag­te holt die Stel­lung­nah­me des ISB ein, bevor er sol­che Mass­nah­men emp­fiehlt.

4 Im Übri­gen sind die Wei­sun­gen anwend­bar, die von den ver­ant­wort­li­chen Bun­des­or­ga­nen gestützt auf die Bun­des­in­for­ma­tik­ver­ord­nung vom 26. Sep­tem­ber 2003 erlas­sen wur­den.

Art. 21 Bear­bei­tungs­re­gle­ment

1 Die ver­ant­wort­li­chen Bun­des­or­ga­ne erstel­len ein Bear­bei­tungs­re­gle­ment für auto­ma­ti­sier­te Daten­samm­lun­gen, die:

a. beson­ders schüt­zens­wer­te Daten oder Per­sön­lich­keits­pro­fi­le beinhal­ten;

b. durch meh­re­re Bun­des­or­ga­ne benutzt wer­den;

c. Kan­to­nen, aus­län­di­schen Behör­den, inter­na­tio­na­len Orga­ni­sa­tio­nen oder pri­va­ten Per­so­nen zugäng­lich gemacht wer­den; oder

d. mit ande­ren Daten­samm­lun­gen ver­knüpft sind.

2 Das ver­ant­wort­li­che Bun­des­or­gan legt sei­ne inter­ne Orga­ni­sa­ti­on in dem Bear­bei­tungs­re­gle­ment fest. Die­ses umschreibt ins­be­son­de­re die Daten­be­ar­bei­tungs- und Kon­troll­ver­fah­ren und ent­hält alle Unter­la­gen über die Pla­nung, Rea­li­sie­rung und den Betrieb der Daten­samm­lung. Das Regle­ment ent­hält die für die Mel­de­pflicht erfor­der­li­chen Anga­ben (Art. 16) sowie Anga­ben über:

a. das für den Daten­schutz und die Daten­si­cher­heit der Daten ver­ant­wort­li­che Organ;

b. die Her­kunft der Daten;

c. die Zwecke, für wel­che die Daten regel­mä­ssig bekannt gege­ben wer­den;

d. die Kon­troll­ver­fah­ren und ins­be­son­de­re die tech­ni­schen und orga­ni­sa­to­ri­schen Mass­nah­men nach Arti­kel 20;

e. die Beschrei­bung der Daten­fel­der und die Orga­ni­sa­ti­ons­ein­hei­ten, die dar­auf Zugriff haben;

f. Art und Umfang des Zugriffs der Benut­zer der Daten­samm­lung;

g. die Daten­be­ar­bei­tungs­ver­fah­ren, ins­be­son­de­re die Ver­fah­ren bei der Berich­ti­gung, Sper­rung, Anony­mi­sie­rung, Spei­che­rung, Auf­be­wah­rung, Archi­vie­rung oder Ver­nich­tung der Daten;

h. die Kon­fi­gu­ra­ti­on der Infor­ma­tik­mit­tel;

i. das Ver­fah­ren zur Aus­übung des Aus­kunfts­rechts.

3 Das Regle­ment wird regel­mä­ssig aktua­li­siert. Es wird den zustän­di­gen Kon­troll­orga­nen in einer für die­se ver­ständ­li­chen Form zur Ver­fü­gung gestellt.

Art. 22 [Daten­be­ar­bei­tung im Auf­trag

1

2 Das Bun­des­or­gan, das Per­so­nen­da­ten durch Drit­te bear­bei­ten lässt, bleibt für den Daten­schutz ver­ant­wort­lich. Es sorgt dafür, dass die Daten auf­trags­ge­mäss bear­bei­tet wer­den, ins­be­son­de­re was deren Ver­wen­dung und Bekannt­ga­be betrifft.

3 Unter­steht der Drit­te dem DSG nicht, ver­ge­wis­sert sich das ver­ant­wort­li­che Organ, dass ande­re gesetz­li­che Bestim­mun­gen einen gleich­wer­ti­gen Daten­schutz gewähr­lei­sten, andern­falls stellt es die­sen auf ver­trag­li­chem Wege sicher.

Art. 23 Bera­ter für den Daten­schutz

1 Die Bun­des­kanz­lei und die Depar­te­men­te bezeich­nen jeweils min­de­stens einen Bera­ter für den Daten­schutz. Die­ser Bera­ter hat fol­gen­de Auf­ga­ben:

a. Unter­stüt­zung der ver­ant­wort­li­chen Orga­ne und Benüt­zer;

b. För­de­rung der Infor­ma­ti­on und der Aus­bil­dung der Mit­ar­bei­ter;

c. Mit­wir­kung beim Voll­zug der Daten­schutz­vor­schrif­ten.

2 Wol­len Bun­des­or­ga­ne nach Arti­kel 11a Absatz 5 Buch­sta­be e DSG von der Pflicht zur Anmel­dung ihrer Daten­samm­lun­gen befreit wer­den, so sind die Arti­kel 12a und 12b anwend­bar.

3 Die Bun­des­or­ga­ne ver­keh­ren mit dem Beauf­trag­ten über den Bera­ter.

5. Abschnitt: Beson­de­re Bestim­mun­gen

Art. 24 Beschaf­fung von Per­so­nen­da­ten

Ist die befrag­te Per­son nicht zur Aus­kunfts­er­tei­lung ver­pflich­tet, so muss sie vom Bun­des­or­gan, das die Per­so­nen­da­ten syste­ma­tisch mit­tels Fra­ge­bo­gen beschafft, auf die Frei­wil­lig­keit der Aus­kunfts­er­tei­lung hin­ge­wie­sen wer­den.

Art. 25 Per­sön­li­che Iden­ti­fi­ka­ti­ons­num­mer

1 Das Bun­des­or­gan, wel­ches für die Ver­wal­tung sei­ner Daten­samm­lung eine per­sön­li­che Iden­ti­fi­ka­ti­ons­num­mer ein­führt, schafft eine nicht­spre­chen­de Num­mer, die im eige­nen Auf­ga­ben­be­reich ver­wen­det wird. Eine nicht­spre­chen­de Num­mer ist jede ein­deu­ti­ge oder umkehr­bar ein­deu­ti­ge Sum­me von Zei­chen, die jeder Per­son, die in einer Daten­samm­lung regi­striert ist, zuge­teilt wird, und aus der kei­ne Rück­schlüs­se auf die Per­son gezo­gen wer­den kön­nen.

2 Die Ver­wen­dung der per­sön­li­chen Iden­ti­fi­ka­ti­ons­num­mer durch ande­re Orga­ne des Bun­des oder der Kan­to­ne sowie durch pri­va­te Per­so­nen muss vom betrof­fe­nen Bun­des­or­gan geneh­migt wer­den.

3 Die Geneh­mi­gung kann erteilt wer­den, wenn ein enger Zusam­men­hang zwi­schen der vor­ge­se­he­nen und der­je­ni­gen Daten­be­ar­bei­tung besteht, für wel­che die per­sön­li­che Iden­ti­fi­ka­ti­ons­num­mer geschaf­fen wur­de.

4 Im Übri­gen wird die Ver­wen­dung der AHV-Num­mer von der AHV-Gesetz­ge­bung gere­gelt.

Art. 26 Bekannt­ga­be der Daten

Das ver­ant­wort­li­che Bun­des­or­gan mel­det dem Daten­emp­fän­ger die Aktua­li­tät und die Zuver­läs­sig­keit der von ihm bekannt gege­be­nen Per­so­nen­da­ten, soweit die­se Infor­ma­tio­nen nicht aus den Daten selbst oder aus den Umstän­den ersicht­lich sind.

Art. 27 Ver­fah­ren bei der Bewil­li­gung von Pilot­ver­su­chen

1 Vor der Kon­sul­ta­ti­on der inter­es­sier­ten Ver­wal­tungs­ein­hei­ten legt das für den Pilot­ver­such zustän­di­ge Bun­des­or­gan zu Han­den des Beauf­trag­ten dar, wie die Ein­hal­tung der Anfor­de­run­gen nach Arti­kel 17a DSG gewähr­lei­stet wer­den soll, und lädt ihn zur Stel­lung­nah­me ein.

2 Der Beauf­trag­te nimmt zur Fra­ge Stel­lung, ob die Bewil­li­gungs­vor­aus­set­zun­gen nach Arti­kel 17a Absät­ze 1 und 2 DSG erfüllt sind. Das zustän­di­ge Bun­des­or­gan stellt ihm alle dazu not­wen­di­gen Unter­la­gen zur Ver­fü­gung, ins­be­son­de­re:

a. eine all­ge­mei­ne Beschrei­bung des Pilot­ver­su­ches;

b. einen Bericht, der nach­weist, dass die Erfül­lung der gesetz­lich vor­ge­se­he­nen Auf­ga­ben die Bear­bei­tung von beson­ders schüt­zens­wer­ten Per­so­nen­da­ten oder Per­sön­lich­keits­pro­fi­len erfor­dert und dass eine Test­pha­se vor dem Inkraft­tre­ten des Geset­zes im for­mel­len Sinn zwin­gend erfor­der­lich ist (Art. 17a Abs. 1 Bst. c DSG);

c. eine Beschrei­bung der inter­nen Orga­ni­sa­ti­on sowie der Daten­be­ar­bei­tungs- und Kon­troll­ver­fah­ren (Art. 21);

d. eine Beschrei­bung der Sicher­heits- und Daten­schutz­mass­nah­men;

e. den Ent­wurf oder das Kon­zept einer Ver­ord­nung, wel­che die Ein­zel­hei­ten der Bear­bei­tung regelt;

f. die Infor­ma­tio­nen betref­fend die Pla­nung der ver­schie­de­nen Pha­sen des Pilot­ver­su­ches.

3 Der Beauf­trag­te kann wei­te­re Doku­men­te anfor­dern und zusätz­li­che Abklä­run­gen vor­neh­men.

4 Das zustän­di­ge Bun­des­or­gan infor­miert den Beauf­trag­ten über jede wich­ti­ge Ände­rung, wel­che die Ein­hal­tung der Anfor­de­run­gen von Arti­kel 17a DSG betrifft. Der Beauf­trag­te nimmt, falls erfor­der­lich, erneut Stel­lung.

5 Die Stel­lung­nah­me des Beauf­trag­ten ist dem Antrag an den Bun­des­rat bei­zu­fü­gen.

Art. 27a Eva­lua­ti­ons­be­richt bei Pilot­ver­su­chen

Das zustän­di­ge Bun­des­or­gan legt dem Beauf­trag­ten den Ent­wurf des Eva­lua­ti­ons­be­richts an den Bun­des­rat (Art. 17a Abs. 4 DSG) zur Stel­lung­nah­me vor. Die Stel­lung­nah­me des Beauf­trag­ten ist dem Bun­des­rat zur Kennt­nis zu brin­gen.

3. Kapi­tel: Regi­ster der Daten­samm­lun­gen, Eid­ge­nös­si­scher Daten­schutz- und Öffent­lich­keits­be­auf­trag­ter und Ver­fah­ren vor dem Bun­des­ver­wal­tungs­ge­richt

1. Abschnitt: Regi­ster und Regi­strie­rung von Daten­samm­lun­gen

Art. 28 Regi­ster der Daten­samm­lun­gen

1 Das vom Beauf­trag­ten geführ­te Regi­ster ent­hält die Infor­ma­tio­nen nach den Arti­keln 3 und 16.

2 Das Regi­ster ist für die Öffent­lich­keit online zugäng­lich. Der Beauf­trag­te erstellt auf Gesuch hin kosten­los Aus­zü­ge.

3 Der Beauf­trag­te führt ein Ver­zeich­nis der Inha­ber von Daten­samm­lun­gen, die ihrer Pflicht zur Anmel­dung der Daten­samm­lun­gen nach Arti­kel 11a Absatz 5 Buch­sta­ben e und f DSG ent­ho­ben sind. Die­ses Ver­zeich­nis ist für die Öffent­lich­keit online zugäng­lich.

4 Wenn der Inha­ber der Daten­samm­lung sei­ne Daten­samm­lung nicht oder nicht voll­stän­dig anmel­det, setzt ihm der Beauf­trag­te eine Frist, um sei­nen Ver­pflich­tun­gen nach­zu­kom­men. Nach Ablauf der Frist kann er gestützt auf die Anga­ben, die ihm zur Ver­fü­gung ste­hen, von Amtes wegen die Daten­samm­lung regi­strie­ren oder die Ein­stel­lung der Bear­bei­tung emp­feh­len.

Art. 29

2. Abschnitt: [Eid­ge­nös­si­scher Daten­schutz- und Öffent­lich­keits­be­auf­trag­ter

Art. 30 Sitz und Rechts­stel­lung

1 Sitz und Sekre­ta­ri­at des Beauf­trag­ten befin­den sich in Bern.

2 Das Arbeits­ver­hält­nis des Sekre­ta­ri­ats des Beauf­trag­ten bestimmt sich nach dem Bun­des­per­so­nal­ge­setz vom 24. März 2000 sowie nach des­sen Voll­zugs­be­stim­mun­gen.

3 Das Bud­get des Beauf­trag­ten wird in einem beson­de­ren Abschnitt des Bud­gets der Bun­des­kanz­lei auf­ge­führt.

Art. 31 Bezie­hun­gen zu ande­ren Behör­den und pri­va­ten Per­so­nen

1 Der Beauf­trag­te ver­kehrt mit dem Bun­des­rat über den Bun­des­kanz­ler. Die­ser über­mit­telt dem Bun­des­rat alle Emp­feh­lun­gen und Berich­te des Beauf­trag­ten, selbst wenn er die­sen nicht zustim­men kann.

1bis Der Beauf­trag­te über­mit­telt die für die Bun­des­ver­samm­lung bestimm­ten Berich­te direkt den Par­la­ments­dien­sten.

2 Der Beauf­trag­te ver­kehrt direkt mit den ande­ren Ver­wal­tungs­ein­hei­ten, den eid­ge­nös­si­schen Gerich­ten, den aus­län­di­schen Daten­schutz­be­hör­den und mit allen ande­ren Behör­den und pri­va­ten Per­so­nen, die der Daten­schutz­ge­setz­ge­bung des Bun­des oder der Gesetz­ge­bung über das Öffent­lich­keits­prin­zip der Ver­wal­tung unter­ste­hen.

Art. 32 Doku­men­ta­ti­on

1 Die Bun­des­or­ga­ne legen dem Beauf­trag­ten alle Recht­set­zungs­ent­wür­fe vor, wel­che die Bear­bei­tung von Per­so­nen­da­ten, den Daten­schutz sowie den Zugang zu amt­li­chen Doku­men­ten betref­fen. Im Bereich des Daten­schut­zes tei­len ihm die Depar­te­men­te und die Bun­des­kanz­lei ihre Ent­schei­de in anony­mi­sier­ter Form sowie ihre Richt­li­ni­en mit.

2 Der Beauf­trag­te muss über eine für sei­ne Tätig­keit aus­rei­chen­de Doku­men­ta­ti­on ver­fü­gen. Er betreibt ein unab­hän­gi­ges Infor­ma­ti­ons- und Doku­men­ta­ti­ons­sy­stem für die Ver­wal­tung, Inde­xie­rung und Kon­trol­le der Kor­re­spon­denz und der Dos­siers sowie für die Publi­ka­ti­on von Infor­ma­tio­nen von all­ge­mei­nem Inter­es­se und des Regi­sters der Daten­samm­lun­gen im Inter­net.

3 Das Bun­des­ver­wal­tungs­ge­richt hat Zugriff auf die wis­sen­schaft­li­che Doku­men­ta­ti­on des Beauf­trag­ten.

Art. 33 Gebüh­ren

1 Für die Gut­ach­ten (Art. 28 DSG) des Beauf­trag­ten wird eine Gebühr erho­ben. Die Bestim­mun­gen der All­ge­mei­nen Gebüh­ren­ver­ord­nung vom 8. Sep­tem­ber 2004 sind anwend­bar.

2 Gegen­über Ver­wal­tungs­ein­hei­ten des Bun­des, Behör­den und der Kan­to­ne wird kei­ne Gebühr erho­ben.

Art. 34 Prü­fung der Daten­be­ar­bei­tung von Per­so­nen­da­ten

1 Für die Abklä­rung des Sach­ver­halts nach den Arti­keln 27 und 29 DSG, ins­be­son­de­re bei der Prü­fung der Recht­mä­ssig­keit der Daten­be­ar­bei­tung, kann der Beauf­trag­te vom Inha­ber der Daten­samm­lung ins­be­son­de­re fol­gen­de Aus­künf­te ver­lan­gen:

a. tech­ni­sche und orga­ni­sa­to­ri­sche Mass­nah­men (Art. 8 – 10, 20), die getrof­fen wur­den oder geplant sind;

b. die Rege­lun­gen betref­fend Berich­ti­gung, Sper­rung, Anony­mi­sie­rung, Spei­che­rung, Auf­be­wah­rung und Ver­nich­tung von Per­so­nen­da­ten;

c. die Kon­fi­gu­ra­ti­on der Infor­ma­tik­mit­tel;

d. die Ver­knüp­fun­gen mit ande­ren Daten­samm­lun­gen;

e. die Art der Bekannt­ga­be der Daten;

f. die Beschrei­bung der Daten­fel­der und die Orga­ni­sa­ti­ons­ein­hei­ten, die dar­auf Zugriff haben;

g. Art und Umfang des Zugriffs der Benut­zer auf die Daten der Daten­samm­lung.

2 Bei Bekannt­ga­ben ins Aus­land kann der Beauf­trag­te zusätz­li­che Anga­ben ver­lan­gen, ins­be­son­de­re über die Bear­bei­tungs­mög­lich­kei­ten des Daten­emp­fän­gers oder über die zum Daten­schutz getrof­fe­nen Mass­nah­men.

3. Abschnitt: Ver­fah­ren vor dem Bun­des­ver­wal­tungs­ge­richt

Art. 35

1 Das Bun­des­ver­wal­tungs­ge­richt kann ver­lan­gen, dass ihm Daten­be­ar­bei­tun­gen vor­ge­legt wer­den.

2 Es gibt dem Beauf­trag­ten sei­ne Ent­schei­de bekannt.

4. Kapi­tel: Schluss­be­stim­mun­gen

Art. 36 Ände­rung des bis­he­ri­gen Rechts

[…]

Art. 37 Über­gangs­be­stim­mun­gen

1 Die Daten­samm­lun­gen, die bei Inkraft­tre­ten des Daten­schutz­ge­set­zes und die­ser Ver­ord­nung in Bear­bei­tung ste­hen, sind beim Beauf­trag­ten bis zum 30. Juni 1994 anzu­mel­den.

2 Die tech­ni­schen und orga­ni­sa­to­ri­schen Mass­nah­men (Arti­kel 8 – 11, 20 und 21) sind inner­halb von fünf Jah­ren nach Inkraft­tre­ten der vor­lie­gen­den Ver­ord­nung für sämt­li­che auto­ma­ti­sier­ten Bear­bei­tun­gen und Daten­samm­lun­gen zu ver­wirk­li­chen.

Art. 38 Inkraft­tre­ten

Die­se Ver­ord­nung tritt am 1. Juli 1993 in Kraft.