SR 235_11 · Verordnung zum Bundesgesetz über den Datenschutz · VDSG · 16. Oktober 2012

Gesetze Suche

einloggen

Angemeldet bleiben

Passwort vergessen?

Mit Facebook anmelden
Mit Google anmelden
Mit LinkedIn anmelden
Mit Twitter anmelden

Sind Sie ein neuer Benutzer? Registrieren Sie sich hier

Bei grossen Gesetzen wie OR und ZGB kann dies bis zu 30 Sekunden dauern

Der Schweizerische Bundesrat,

gestützt auf die Artikel 6 Absatz 3, 7 Absatz 2, 8, 11a Absatz 6, 16 Absatz 2, 17a und 36 Absätze 1, 4 und 6 des Bundesgesetzes vom 19. Juni 1992¹ über den Datenschutz (DSG) und auf Artikel 46a des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997²,³

verordnet:

Art. 1 Modalitäten

¹Jede Person, die vom Inhaber einer Datensammlung Auskunft darüber verlangt, ob Daten über sie bearbeitet werden (Art. 8 DSG), muss dies in der Regel in schriftlicher Form beantragen und sich über ihre Identität ausweisen.

²Das Auskunftsbegehren sowie die Auskunftserteilung können auf elektronischem Weg erfolgen, wenn der Inhaber der Datensammlung dies ausdrücklich vorsieht und angemessene Massnahmen trifft, um:

a.: die Identifizierung der betroffenen Person sicherzustellen; und
b.: die persönlichen Daten der betroffenen Person bei der Auskunftserteilung vor dem Zugriff unberechtigter Dritter zu schützen.¹

³Im Einvernehmen mit dem Inhaber der Datensammlung oder auf dessen Vorschlag hin kann die betroffene Person ihre Daten auch an Ort und Stelle einsehen. Die Auskunft kann auch mündlich erteilt werden, wenn die betroffene Person eingewilligt hat und vom Inhaber identifiziert worden ist.

⁴Die Auskunft oder der begründete Entscheid über die Beschränkung des Auskunftsrechts (Art. 9 und 10 DSG) wird innert 30 Tagen seit dem Eingang des Auskunftsbegehrens erteilt. Kann die Auskunft nicht innert 30 Tagen erteilt werden, so muss der Inhaber der Datensammlung den Gesuchsteller hierüber benachrichtigen und ihm die Frist mitteilen, in der die Auskunft erfolgen wird.

⁵Werden eine oder mehrere Datensammlungen von mehreren Inhabern gemeinsam geführt, kann das Auskunftsrecht bei jedem Inhaber geltend gemacht werden, sofern nicht einer von ihnen für die Behandlung aller Auskunftsbegehren verantwortlich ist. Wenn der Inhaber der Datensammlung zur Auskunftserteilung nicht ermächtigt ist, leitet er das Begehren an den Zuständigen weiter.

⁶Betrifft das Auskunftsbegehren Daten, die im Auftrag des Inhabers der Datensammlung von einem Dritten bearbeitet werden, so leitet der Auftraggeber das Begehren an den Dritten zur Erledigung weiter, sofern er nicht selbst in der Lage ist, Auskunft zu erteilen.²

⁷Wird Auskunft über Daten von verstorbenen Personen verlangt, so ist sie zu erteilen, wenn der Gesuchsteller ein Interesse an der Auskunft nachweist und keine überwiegenden Interessen von Angehörigen der verstorbenen Person oder von Dritten entgegenstehen. Nahe Verwandtschaft sowie Ehe mit der verstorbenen Person begründen ein Interesse.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
² Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 2 Ausnahmen von der Kostenlosigkeit

¹Eine angemessene Beteiligung an den Kosten kann ausnahmsweise verlangt werden, wenn:

a.: der antragstellenden Person in den zwölf Monaten vor dem Gesuch die gewünschten Auskünfte bereits mitgeteilt wurden und kein schutzwürdiges Interesse an einer neuen Auskunftserteilung nachgewiesen werden kann. Ein schutzwürdiges Interesse ist insbesondere gegeben, wenn die Personendaten ohne Mitteilung an die betroffene Person verändert wurden;
b.: die Auskunftserteilung mit einem besonders grossen Arbeitsaufwand verbunden ist.

²Die Beteiligung beträgt maximal 300 Franken. Der Gesuchsteller ist über die Höhe der Beteiligung vor der Auskunftserteilung in Kenntnis zu setzen und kann sein Gesuch innert zehn Tagen zurückziehen.

Art. 3 Anmeldung

¹Datensammlungen (Art. 11a Abs. 3 DSG) sind beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauftragter) anzumelden, bevor die Datensammlung eröffnet wird.¹ Die Anmeldung enthält folgende Angaben:

a.: Name und Adresse des Inhabers der Datensammlung;
b.: Name und vollständige Bezeichnung der Datensammlung;
c.: Person, bei welcher das Auskunftsrecht geltend gemacht werden kann;
d.: Zweck der Datensammlung;
e.: Kategorien der bearbeiteten Personendaten;
f.: Kategorien der Datenempfänger;
g.: Kategorien der an der Datensammlung Beteiligten, das heisst Dritte, die in die Datensammlung Daten eingeben und Änderungen an den Daten vornehmen dürfen.

²Jeder Inhaber einer Datensammlung aktualisiert diese Angaben laufend. …²

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
² Satz aufgehoben durch Ziff. I der V vom 28. Sept. 2007, mit Wirkung seit 1. Jan. 2008 (AS 2007 4993).

Art. 4 Ausnahmen von der Anmeldepflicht

¹Ausgenommen von der Pflicht zur Anmeldung der Datensammlungen sind die Datensammlungen nach Artikel 11a Absatz 5 Buchstaben a und c-f DSG sowie die folgenden Datensammlungen (Art. 11a Abs. 5 Bst. b DSG):

a.: Datensammlungen von Lieferanten oder Kunden, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
b.: Datensammlungen, deren Daten ausschliesslich zu nicht personenbezogenen Zwecken verwendet werden, namentlich in der Forschung, der Planung und der Statistik;
c.: archivierte Datensammlungen, die nur zu historischen oder wissenschaftlichen Zwecken aufbewahrt werden;
d.: Datensammlungen, die ausschliesslich Daten enthalten, die veröffentlicht wurden oder welche die betroffene Person selbst allgemein zugänglich gemacht und deren Bearbeitung sie nicht ausdrücklich untersagt hat;
e.: Daten, die ausschliesslich der Erfüllung der Anforderungen nach Artikel 10 dienen;
f.: Buchhaltungsunterlagen;
g.: Hilfsdatensammlungen für die Personalverwaltung des Inhabers der Datensammlung, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten.

²Der Inhaber der Datensammlungen trifft die erforderlichen Massnahmen, um die Angaben (Art. 3 Abs. 1) zu den nicht der Anmeldepflicht unterliegenden Datensammlungen auf Gesuch hin dem Beauftragten oder den betroffenen Personen mitteilen zu können.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 5 Veröffentlichung in elektronischer Form

Werden Personendaten mittels automatisierter Informations- und Kommunikationsdienste zwecks Information der Öffentlichkeit allgemein zugänglich gemacht, so gilt dies nicht als Übermittlung ins Ausland.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 6 Informationspflicht

¹Der Inhaber der Datensammlung informiert den Beauftragten vor der Bekanntgabe ins Ausland über die Garantien und Datenschutzregeln nach Artikel 6 Absatz 2 Buchstaben a und g DSG. Ist die vorgängige Information nicht möglich, so hat sie unmittelbar nach der Bekanntgabe zu erfolgen.

²Wurde der Beauftragte über die Garantien und die Datenschutzregeln informiert, so gilt die Informationspflicht für alle weiteren Bekanntgaben als erfüllt, die:

a.: unter denselben Garantien erfolgen, soweit die Kategorien der Empfänger, der Zweck der Bearbeitung und die Datenkategorien im Wesentlichen unverändert bleiben; oder
b.: innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfinden, soweit die Datenschutzregeln weiterhin einen angemessenen Schutz gewährleisten.

³Die Informationspflicht gilt ebenfalls als erfüllt, wenn Daten gestützt auf Musterverträge oder Standardvertragsklauseln übermittelt werden, die vom Beauftragten erstellt oder anerkannt wurden, und der Beauftragte vom Inhaber der Datensammlung in allgemeiner Form über die Verwendung dieser Musterverträge oder Standardvertragsklauseln informiert wurde. Der Beauftragte veröffentlicht eine Liste der von ihm erstellten oder anerkannten Musterverträge und Standardvertragsklauseln.

⁴Der Inhaber der Datensammlung trifft angemessene Massnahmen um sicherzustellen, dass der Empfänger die Garantien und die Datenschutzregeln beachtet.

⁵Der Beauftragte prüft die Garantien und die Datenschutzregeln, die ihm mitgeteilt werden (Art. 31 Abs. 1 Bst. e DSG) und teilt dem Inhaber der Datensammlung das Ergebnis seiner Prüfung innert 30 Tagen ab dem Empfang der Information mit.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 7 Liste der Staaten mit angemessener Datenschutzgesetzgebung

Der Beauftragte veröffentlicht eine Liste der Staaten, deren Gesetzgebung einen angemessenen Datenschutz gewährleistet.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 8 Allgemeine Massnahmen

¹Wer als Privatperson Personendaten bearbeitet oder ein Datenkommunikationsnetz zur Verfügung stellt, sorgt für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten, um einen angemessenen Datenschutz zu gewährleisten.¹ Insbesondere schützt er die Systeme gegen folgende Risiken:

a.: unbefugte oder zufällige Vernichtung;
b.: zufälligen Verlust;
c.: technische Fehler;
d.: Fälschung, Diebstahl oder widerrechtliche Verwendung;
e.: unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen.

²Die technischen und organisatorischen Massnahmen müssen angemessen sein. Insbesondere tragen sie folgenden Kriterien Rechnung:

a.: Zweck der Datenbearbeitung;
b.: Art und Umfang der Datenbearbeitung;
c.: Einschätzung der möglichen Risiken für die betroffenen Personen;
d.: gegenwärtiger Stand der Technik.

³Diese Massnahmen sind periodisch zu überprüfen.

⁴…²

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
² Aufgehoben durch Ziff. I der V vom 28. Sept. 2007, mit Wirkung seit 1. Jan. 2008 (AS 2007 4993).

Art. 9 Besondere Massnahmen

¹Der Inhaber der Datensammlung trifft insbesondere bei der automatisierten Bearbeitung von Personendaten die technischen und organisatorischen Massnahmen, die geeignet sind, namentlich folgenden Zielen gerecht zu werden:

a.: Zugangskontrolle: unbefugten Personen ist der Zugang zu den Einrichtungen, in denen Personendaten bearbeitet werden, zu verwehren;
b.: Personendatenträgerkontrolle: unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen;
c.: Transportkontrolle: bei der Bekanntgabe von Personendaten sowie beim Transport von Datenträgern ist zu verhindern, dass die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können;
d.: Bekanntgabekontrolle: Datenempfänger, denen Personendaten mittels Einrichtungen zur Datenübertragung bekannt gegeben werden, müssen identifiziert werden können;
e.: Speicherkontrolle: unbefugte Eingabe in den Speicher sowie unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter Personendaten sind zu verhindern;
f.: Benutzerkontrolle: die Benutzung von automatisierten Datenverarbeitungssystemen mittels Einrichtungen zur Datenübertragung durch unbefugte Personen ist zu verhindern;
g.: Zugriffskontrolle: der Zugriff der berechtigten Personen ist auf diejenigen Personendaten zu beschränken, die sie für die Erfüllung ihrer Aufgabe benötigen;
h.: Eingabekontrolle: in automatisierten Systemen muss nachträglich überprüft werden können, welche Personendaten zu welcher Zeit und von welcher Person eingegeben wurden.

²Die Datensammlungen sind so zu gestalten, dass die betroffenen Personen ihr Auskunftsrecht und ihr Recht auf Berichtigung wahrnehmen können.

Art. 10 Protokollierung

¹Der Inhaber der Datensammlung protokolliert die automatisierte Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen, wenn die präventiven Massnahmen den Datenschutz nicht gewährleisten können. Eine Protokollierung hat insbesondere dann zu erfolgen, wenn sonst nicht nachträglich festgestellt werden kann, ob die Daten für diejenigen Zwecke bearbeitet wurden, für die sie erhoben oder bekannt gegeben wurden. Der Beauftragte² kann die Protokollierung auch für andere Bearbeitungen empfehlen.

²Die Protokolle sind während eines Jahres revisionsgerecht festzuhalten. Sie sind ausschliesslich den Organen oder privaten Personen zugänglich, denen die Überwachung der Datenschutzvorschriften obliegt, und dürfen nur für diesen Zweck verwendet werden.

¹ Die Berichtigung vom 16. Okt. 2012 betrifft nur den italienischen Text (AS 2012 5521).
² Ausdruck gemäss Anhang 2 Ziff. 3 der Öffentlichkeitsverordnung vom 24. Mai 2006, in Kraft seit 1. Juli 2006 (AS 2006 2331). Diese Änd. ist im ganzen Erlass berücksichtigt.

Art. 11 Bearbeitungsreglement

¹Der Inhaber einer meldepflichtigen automatisierten Datensammlung (Art. 11a Abs. 3 DSG), die nicht aufgrund von Artikel 11a Absatz 5 Buchstaben b-d DSG von der Meldepflicht ausgenommen ist, erstellt ein Bearbeitungsreglement, das insbesondere die interne Organisation sowie das Datenbearbeitungs- und Kontrollverfahren umschreibt und die Unterlagen über die Planung, die Realisierung und den Betrieb der Datensammlung und der Informatikmittel enthält.

²Der Inhaber der Datensammlung aktualisiert das Reglement regelmässig. Er stellt es dem Beauftragten oder dem Datenschutzverantwortlichen nach Artikel 11a Absatz 5 Buchstabe e DSG auf Anfrage in einer für sie verständlichen Form zur Verfügung.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 12 Bekanntgabe der Daten

Der Inhaber der Datensammlung meldet dem Datenempfänger die Aktualität und die Zuverlässigkeit der von ihm bekannt gegebenen Personendaten, soweit diese Informationen nicht aus den Daten selbst oder aus den Umständen ersichtlich sind.

Art. 12a Bezeichnung des Datenschutzverantwortlichen und Mitteilung an den Beauftragten

¹Will der Inhaber der Datensammlung nach Artikel 11a Absatz 5 Buchstabe e DSG von der Pflicht zur Anmeldung der Datensammlung befreit werden, so muss er:

a.: einen betrieblichen Datenschutzverantwortlichen bezeichnen, der die Anforderungen von Absatz 2 und von Artikel 12b erfüllt; und
b.: den Beauftragten über die Bezeichnung des Datenschutzverantwortlichen informieren.

²Der Inhaber der Datensammlung kann einen Mitarbeiter oder einen Dritten als Datenschutzverantwortlichen bezeichnen. Dieser darf keine anderen Tätigkeiten ausüben, die mit seinen Aufgaben als Datenschutzverantwortlicher unvereinbar sind, und muss über die erforderliche Fachkenntnis verfügen.

Art. 12b Aufgaben und Stellung des Datenschutzverantwortlichen

¹Der Datenschutzverantwortliche hat namentlich folgende Aufgaben:

a.: Er prüft die Bearbeitung von Personendaten und empfiehlt Korrekturmassnahmen, wenn er feststellt, dass Datenschutzvorschriften verletzt wurden.
b.: Er führt eine Liste der Datensammlungen nach Artikel 11a Absatz 3 DSG, die vom Inhaber der Datensammlungen geführt werden; diese Liste ist dem Beauftragten oder betroffenen Personen, die ein entsprechendes Gesuch stellen, zur Verfügung zu stellen.

²Der Datenschutzverantwortliche:

a.: übt seine Funktion fachlich unabhängig aus, ohne diesbezüglich Weisungen des Inhabers der Datensammlung zu unterliegen;
b.: verfügt über die zur Erfüllung seiner Aufgaben erforderlichen Ressourcen;
c.: hat Zugang zu allen Datensammlungen und Datenbearbeitungen sowie zu allen Informationen, die er zur Erfüllung seiner Aufgabe benötigt.

Art. 13 Modalitäten

Artikel 1 und 2 sind auf die an Bundesorgane gerichteten Auskunftsbegehren sinngemäss anwendbar.

Art. 14 Auskunftsbegehren an die diplomatischen Vertretungen der Schweiz im Ausland

¹Die Vertretungen der Schweiz im Ausland sowie die Missionen bei den Europäischen Gemeinschaften und bei internationalen Organisationen übermitteln Auskunftsgesuche, die bei ihnen gestellt werden, der zuständigen Stelle im eidgenössischen Departement für auswärtige Angelegenheiten. Das Departement regelt die Zuständigkeiten.¹

²Im Übrigen gelten für die Auskunftsbegehren über die Militärkontrolle im Ausland die Bestimmungen der Verordnung vom 10. Dezember 2004² über das militärische Kontrollwesen.³

¹ Fassung gemäss Anhang 2 Ziff. 3 der Öffentlichkeitsverordnung vom 24. Mai 2006, in Kraft seit 1. Juli 2006 (AS 2006 2331).
² SR 511.22
³ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 15

…

¹ Aufgehoben gemäss Art. 26 Abs. 2 der Archivierungsverordnung vom 8. Sept. 1999 (AS 1999 2424).

Art. 16 Anmeldung

¹Die verantwortlichen Bundesorgane (Art. 16 DSG) melden alle von ihnen geführten Datensammlungen vor deren Eröffnung beim Beauftragten an. Die Anmeldung enthält folgende Angaben:

a.: Name und Adresse des verantwortlichen Bundesorgans;
b.: Name und vollständige Bezeichnung der Datensammlung;
c.: das Organ, bei dem das Auskunftsrecht geltend gemacht werden kann;
d.: Rechtsgrundlage und Zweck der Datensammlung;
e.: Kategorien der bearbeiteten Personendaten;
f.: Kategorien der Empfänger der Daten;
g.: Kategorien der an der Datensammlung Beteiligten, das heisst Dritte, die Daten in eine Datensammlung eingeben und verändern dürfen.
h.: …²

²Das verantwortliche Bundesorgan aktualisiert diese Angaben laufend.³

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
² Aufgehoben durch Ziff. I der V vom 28. Sept. 2007, mit Wirkung seit 1. Jan. 2008 (AS 2007 4993).
³ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 17

…

¹ Aufgehoben durch Ziff. I der V vom 28. Sept. 2007, mit Wirkung seit 1. Jan. 2008 (AS 2007 4993).

Art. 18 Ausnahmen von der Anmeldepflicht

¹Folgende Datensammlungen unterliegen nicht der Anmeldepflicht, sofern die Bundesorgane sie ausschliesslich für verwaltungsinterne Zwecke verwenden:

a.: Korrespondenzregistraturen;
b.: Datensammlungen von Lieferanten oder Kunden, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
c.: Adressensammlungen, die einzig der Adressierung dienen, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
d.: Listen für Entschädigungszahlungen;
e.: Buchhaltungsunterlagen;
f.: Hilfsdatensammlungen für die Personalverwaltung des Bundes, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten;
g.: Bibliothekdatensammlungen (Autorenkataloge, Ausleiher- und Benutzerverzeichnisse).

²Ebenfalls nicht der Anmeldepflicht unterliegen:

a.: Datensammlungen, die beim Bundesarchiv archiviert sind;
b.: Datensammlungen, die der Öffentlichkeit in Form von Verzeichnissen zugänglich gemacht werden;
c.: Datensammlungen, deren Daten ausschliesslich zu nicht personenbezogenen Zwecken verwendet werden, namentlich in der Forschung, der Planung und der Statistik.

³Das verantwortliche Bundesorgan trifft die erforderlichen Massnahmen, um die Angaben (Art. 16 Abs. 1) zu den nicht der Anmeldepflicht unterliegenden Datensammlungen auf Gesuch hin dem Beauftragten oder den betroffenen Personen mitteilen zu können.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 19

Gibt ein Bundesorgan gestützt auf Artikel 6 Absatz 2 Buchstabe a DSG Personendaten ins Ausland bekannt, so gilt Artikel 6.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993, 2008 189).

Art. 20 Grundsätze

¹Die verantwortlichen Bundesorgane treffen die nach den Artikeln 8-10 erforderlichen technischen und organisatorischen Massnahmen zum Schutz der Persönlichkeit und der Grundrechte der Personen, über die Daten bearbeitet werden. Bei der automatisierten Datenbearbeitung arbeiten die Bundesorgane mit dem Informatikstrategieorgan Bund (ISB) zusammen.

²Die verantwortlichen Bundesorgane melden dem Datenschutzverantwortlichen nach Artikel 11a Absatz 5 Buchstabe e DSG oder, falls kein solcher besteht, dem Beauftragten unverzüglich alle Projekte zur automatisierten Bearbeitung von Personendaten, damit die Erfordernisse des Datenschutzes sogleich berücksichtigt werden. Die Meldung an den Beauftragten erfolgt über das ISB, wenn das Projekt auch bei diesem angemeldet werden muss.²

³Der Beauftragte und das ISB arbeiten im Rahmen ihrer Aktivitäten betreffend die technischen Massnahmen zusammen. Der Beauftragte holt die Stellungnahme des ISB ein, bevor er solche Massnahmen empfiehlt.

⁴Im Übrigen sind die Weisungen anwendbar, die von den verantwortlichen Bundesorganen gestützt auf die Bundesinformatikverordnung vom 26. September 2003³ erlassen wurden.⁴

¹ Fassung gemäss Anhang Ziff. II 7 der Bundesinformatikverordnung vom 23. Febr. 2000 (AS 2000 1227).
² Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
³ SR 172.010.58
⁴ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 21 Bearbeitungsreglement

¹Die verantwortlichen Bundesorgane erstellen ein Bearbeitungsreglement für automatisierte Datensammlungen, die:

a.: besonders schützenswerte Daten oder Persönlichkeitsprofile beinhalten;
b.: durch mehrere Bundesorgane benutzt werden;
c.: Kantonen, ausländischen Behörden, internationalen Organisationen oder privaten Personen zugänglich gemacht werden; oder
d.: mit anderen Datensammlungen verknüpft sind.

²Das verantwortliche Bundesorgan legt seine interne Organisation in dem Bearbeitungsreglement fest. Dieses umschreibt insbesondere die Datenbearbeitungs- und Kontrollverfahren und enthält alle Unterlagen über die Planung, Realisierung und den Betrieb der Datensammlung. Das Reglement enthält die für die Meldepflicht erforderlichen Angaben (Art. 16) sowie Angaben über:

a.: das für den Datenschutz und die Datensicherheit der Daten verantwortliche Organ;
b.: die Herkunft der Daten;
c.: die Zwecke, für welche die Daten regelmässig bekannt gegeben werden;
d.: die Kontrollverfahren und insbesondere die technischen und organisatorischen Massnahmen nach Artikel 20;
e.: die Beschreibung der Datenfelder und die Organisationseinheiten, die darauf Zugriff haben;
f.: Art und Umfang des Zugriffs der Benutzer der Datensammlung;
g.: die Datenbearbeitungsverfahren, insbesondere die Verfahren bei der Berichtigung, Sperrung, Anonymisierung, Speicherung, Aufbewahrung, Archivierung oder Vernichtung der Daten;
h.: die Konfiguration der Informatikmittel;
i.: das Verfahren zur Ausübung des Auskunftsrechts.

³Das Reglement wird regelmässig aktualisiert. Es wird den zuständigen Kontrollorganen in einer für diese verständlichen Form zur Verfügung gestellt.

Art. 22 Datenbearbeitung im Auftrag

¹…¹

²Das Bundesorgan, das Personendaten durch Dritte bearbeiten lässt, bleibt für den Datenschutz verantwortlich. Es sorgt dafür, dass die Daten auftragsgemäss bearbeitet werden, insbesondere was deren Verwendung und Bekanntgabe betrifft.

³Untersteht der Dritte dem DSG nicht, vergewissert sich das verantwortliche Organ, dass andere gesetzliche Bestimmungen einen gleichwertigen Datenschutz gewährleisten, andernfalls stellt es diesen auf vertraglichem Wege sicher.

¹ Aufgehoben durch Ziff. I der V vom 28. Sept. 2007, mit Wirkung seit 1. Jan. 2008 (AS 2007 4993).

Art. 23 Berater für den Datenschutz

¹Die Bundeskanzlei und die Departemente bezeichnen jeweils mindestens einen Berater für den Datenschutz. Dieser Berater hat folgende Aufgaben:

a.: Unterstützung der verantwortlichen Organe und Benützer;
b.: Förderung der Information und der Ausbildung der Mitarbeiter;
c.: Mitwirkung beim Vollzug der Datenschutzvorschriften.

²Wollen Bundesorgane nach Artikel 11a Absatz 5 Buchstabe e DSG von der Pflicht zur Anmeldung ihrer Datensammlungen befreit werden, so sind die Artikel 12a und 12b anwendbar.

³Die Bundesorgane verkehren mit dem Beauftragten über den Berater.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 24 Beschaffung von Personendaten

Ist die befragte Person nicht zur Auskunftserteilung verpflichtet, so muss sie vom Bundesorgan, das die Personendaten systematisch mittels Fragebogen beschafft, auf die Freiwilligkeit der Auskunftserteilung hingewiesen werden.

¹ Fassung gemäss Ziff. I der V vom 4. Juni 2010, in Kraft seit 1. Dez. 2010 (AS 2010 3399).

Art. 25 Persönliche Identifikationsnummer

¹Das Bundesorgan, welches für die Verwaltung seiner Datensammlung eine persönliche Identifikationsnummer einführt, schafft eine nichtsprechende Nummer, die im eigenen Aufgabenbereich verwendet wird. Eine nichtsprechende Nummer ist jede eindeutige oder umkehrbar eindeutige Summe von Zeichen, die jeder Person, die in einer Datensammlung registriert ist, zugeteilt wird, und aus der keine Rückschlüsse auf die Person gezogen werden können.

²Die Verwendung der persönlichen Identifikationsnummer durch andere Organe des Bundes oder der Kantone sowie durch private Personen muss vom betroffenen Bundesorgan genehmigt werden.

³Die Genehmigung kann erteilt werden, wenn ein enger Zusammenhang zwischen der vorgesehenen und derjenigen Datenbearbeitung besteht, für welche die persönliche Identifikationsnummer geschaffen wurde.

⁴Im Übrigen wird die Verwendung der AHV-Nummer von der AHV-Gesetzgebung geregelt.

Art. 26 Bekanntgabe der Daten

Das verantwortliche Bundesorgan meldet dem Datenempfänger die Aktualität und die Zuverlässigkeit der von ihm bekannt gegebenen Personendaten, soweit diese Informationen nicht aus den Daten selbst oder aus den Umständen ersichtlich sind.

Art. 27 Verfahren bei der Bewilligung von Pilotversuchen

¹Vor der Konsultation der interessierten Verwaltungseinheiten legt das für den Pilotversuch zuständige Bundesorgan zu Handen des Beauftragten dar, wie die Einhaltung der Anforderungen nach Artikel 17a DSG gewährleistet werden soll, und lädt ihn zur Stellungnahme ein.

²Der Beauftragte nimmt zur Frage Stellung, ob die Bewilligungsvoraussetzungen nach Artikel 17a Absätze 1 und 2 DSG erfüllt sind. Das zuständige Bundesorgan stellt ihm alle dazu notwendigen Unterlagen zur Verfügung, insbesondere:

a.: eine allgemeine Beschreibung des Pilotversuches;
b.: einen Bericht, der nachweist, dass die Erfüllung der gesetzlich vorgesehenen Aufgaben die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen erfordert und dass eine Testphase vor dem Inkrafttreten des Gesetzes im formellen Sinn zwingend erforderlich ist (Art. 17a Abs. 1 Bst. c DSG);
c.: eine Beschreibung der internen Organisation sowie der Datenbearbeitungs- und Kontrollverfahren (Art. 21);
d.: eine Beschreibung der Sicherheits- und Datenschutzmassnahmen;
e.: den Entwurf oder das Konzept einer Verordnung, welche die Einzelheiten der Bearbeitung regelt;
f.: die Informationen betreffend die Planung der verschiedenen Phasen des Pilotversuches.

³Der Beauftragte kann weitere Dokumente anfordern und zusätzliche Abklärungen vornehmen.

⁴Das zuständige Bundesorgan informiert den Beauftragten über jede wichtige Änderung, welche die Einhaltung der Anforderungen von Artikel 17a DSG betrifft. Der Beauftragte nimmt, falls erforderlich, erneut Stellung.

⁵Die Stellungnahme des Beauftragten ist dem Antrag an den Bundesrat beizufügen.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 27a Evaluationsbericht bei Pilotversuchen

Das zuständige Bundesorgan legt dem Beauftragten den Entwurf des Evaluationsberichts an den Bundesrat (Art. 17a Abs. 4 DSG) zur Stellungnahme vor. Die Stellungnahme des Beauftragten ist dem Bundesrat zur Kenntnis zu bringen.

¹ Eingefügt durch Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 28 Register der Datensammlungen

¹Das vom Beauftragten geführte Register enthält die Informationen nach den Artikeln 3 und 16.

²Das Register ist für die Öffentlichkeit online zugänglich. Der Beauftragte erstellt auf Gesuch hin kostenlos Auszüge.

³Der Beauftragte führt ein Verzeichnis der Inhaber von Datensammlungen, die ihrer Pflicht zur Anmeldung der Datensammlungen nach Artikel 11a Absatz 5 Buchstaben e und f DSG enthoben sind. Dieses Verzeichnis ist für die Öffentlichkeit online zugänglich.

⁴Wenn der Inhaber der Datensammlung seine Datensammlung nicht oder nicht vollständig anmeldet, setzt ihm der Beauftragte eine Frist, um seinen Verpflichtungen nachzukommen. Nach Ablauf der Frist kann er gestützt auf die Angaben, die ihm zur Verfügung stehen, von Amtes wegen die Datensammlung registrieren oder die Einstellung der Bearbeitung empfehlen.

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 29

…

¹ Aufgehoben durch Ziff. I der V vom 28. Sept. 2007, mit Wirkung seit 1. Jan. 2008 (AS 2007 4993).

Art. 30 Sitz und Rechtsstellung

¹Sitz und Sekretariat des Beauftragten befinden sich in Bern.

²Das Arbeitsverhältnis des Sekretariats des Beauftragten bestimmt sich nach dem Bundespersonalgesetz vom 24. März 2000¹ sowie nach dessen Vollzugsbestimmungen.²

³Das Budget des Beauftragten wird in einem besonderen Abschnitt des Budgets der Bundeskanzlei aufgeführt.³

¹ SR 172.220.1
² Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
³ Eingefügt durch Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 31 Beziehungen zu anderen Behörden und privaten Personen

¹Der Beauftragte verkehrt mit dem Bundesrat über den Bundeskanzler.¹ Dieser übermittelt dem Bundesrat alle Empfehlungen und Berichte des Beauftragten, selbst wenn er diesen nicht zustimmen kann.

^1bisDer Beauftragte übermittelt die für die Bundesversammlung bestimmten Berichte direkt den Parlamentsdiensten.²

²Der Beauftragte verkehrt direkt mit den anderen Verwaltungseinheiten, den eidgenössischen Gerichten, den ausländischen Datenschutzbehörden und mit allen anderen Behörden und privaten Personen, die der Datenschutzgesetzgebung des Bundes oder der Gesetzgebung über das Öffentlichkeitsprinzip der Verwaltung unterstehen.³

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
² Eingefügt durch Ziff. I der V vom 4. Juni 2010, in Kraft seit 1. Dez. 2010 (AS 2010 3399).
³ Fassung gemäss Ziff. II 24 der V vom 8. Nov. 2006 über die Anpassung von Bundesratsverordnungen an die Totalrevision der Bundesrechtspflege, in Kraft seit 1. Jan. 2007 (AS 2006 4705).

Art. 32 Dokumentation

¹Die Bundesorgane legen dem Beauftragten alle Rechtsetzungsentwürfe vor, welche die Bearbeitung von Personendaten, den Datenschutz sowie den Zugang zu amtlichen Dokumenten betreffen.¹ Im Bereich des Datenschutzes teilen ihm die Departemente und die Bundeskanzlei ihre Entscheide in anonymisierter Form sowie ihre Richtlinien mit.²

²Der Beauftragte muss über eine für seine Tätigkeit ausreichende Dokumentation verfügen. Er betreibt ein unabhängiges Informations- und Dokumentationssystem für die Verwaltung, Indexierung und Kontrolle der Korrespondenz und der Dossiers sowie für die Publikation von Informationen von allgemeinem Interesse und des Registers der Datensammlungen im Internet.³

³Das Bundesverwaltungsgericht hat Zugriff auf die wissenschaftliche Dokumentation des Beauftragten.⁴

¹ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
² Fassung gemäss Anhang 2 Ziff. 3 der Öffentlichkeitsverordnung vom 24. Mai 2006, in Kraft seit 1. Juli 2006 (AS 2006 2331).
³ Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).
⁴ Fassung gemäss Ziff. II 24 der V vom 8. Nov. 2006 über die Anpassung von Bundesratsverordnungen an die Totalrevision der Bundesrechtspflege, in Kraft seit 1. Jan. 2007 (AS 2006 4705).

Art. 33 Gebühren

¹Für die Gutachten (Art. 28 DSG) des Beauftragten wird eine Gebühr erhoben. Die Bestimmungen der Allgemeinen Gebührenverordnung vom 8. September 2004¹ sind anwendbar.²

²Gegenüber Verwaltungseinheiten des Bundes, Behörden und der Kantone wird keine Gebühr erhoben.

¹ SR 172.041.1
² Fassung gemäss Ziff. I der V vom 28. Sept. 2007, in Kraft seit 1. Jan. 2008 (AS 2007 4993).

Art. 34 Prüfung der Datenbearbeitung von Personendaten

¹Für die Abklärung des Sachverhalts nach den Artikeln 27 und 29 DSG, insbesondere bei der Prüfung der Rechtmässigkeit der Datenbearbeitung, kann der Beauftragte vom Inhaber der Datensammlung insbesondere folgende Auskünfte verlangen:

a.: technische und organisatorische Massnahmen (Art. 8-10, 20), die getroffen wurden oder geplant sind;
b.: die Regelungen betreffend Berichtigung, Sperrung, Anonymisierung, Speicherung, Aufbewahrung und Vernichtung von Personendaten;
c.: die Konfiguration der Informatikmittel;
d.: die Verknüpfungen mit anderen Datensammlungen;
e.: die Art der Bekanntgabe der Daten;
f.: die Beschreibung der Datenfelder und die Organisationseinheiten, die darauf Zugriff haben;
g.: Art und Umfang des Zugriffs der Benutzer auf die Daten der Datensammlung.

²Bei Bekanntgaben ins Ausland kann der Beauftragte zusätzliche Angaben verlangen, insbesondere über die Bearbeitungsmöglichkeiten des Datenempfängers oder über die zum Datenschutz getroffenen Massnahmen.

Art. 35

¹Das Bundesverwaltungsgericht kann verlangen, dass ihm Datenbearbeitungen vorgelegt werden.

²Es gibt dem Beauftragten seine Entscheide bekannt.

¹ Fassung gemäss Ziff. II 24 der V vom 8. Nov. 2006 über die Anpassung von Bundesratsverordnungen an die Totalrevision der Bundesrechtspflege, in Kraft seit 1. Jan. 2007 (AS 2006 4705).

Art. 36 Änderung des bisherigen Rechts

1. und 2. …¹
3.-8. …²

¹ Aufgehoben durch Anhang Ziff. II 7 der Bundesinformatikverordnung vom 23. Febr. 2000 (AS 2000 1227).
² Die Änderungen können unter AS 1993 1962 konsultiert werden.

Art. 37 Übergangsbestimmungen

¹Die Datensammlungen, die bei Inkrafttreten des Datenschutzgesetzes und dieser Verordnung in Bearbeitung stehen, sind beim Beauftragten bis zum 30. Juni 1994 anzumelden.

²Die technischen und organisatorischen Massnahmen (Artikel 8-11, 20 und 21) sind innerhalb von fünf Jahren nach Inkrafttreten der vorliegenden Verordnung für sämtliche automatisierten Bearbeitungen und Datensammlungen zu verwirklichen.

Art. 38 Inkrafttreten

Diese Verordnung tritt am 1. Juli 1993 in Kraft.

You're using the Lawbrary personal features. Great!

Verordnung zum Bundesgesetz über den Datenschutz

vom 14. Juni 1993 (Stand am 16. Oktober 2012)

1. Kapitel: Bearbeiten von Personendaten durch private Personen

1. Abschnitt: Auskunftsrecht

2. Abschnitt: Anmeldung der Datensammlungen

3. Abschnitt: Bekanntgabe ins Ausland

4. Abschnitt: Technische und organisatorische Massnahmen

5. Abschnitt: Datenschutzverantwortlicher

2. Kapitel: Bearbeiten von Personendaten durch Bundesorgane

1. Abschnitt: Auskunftsrecht

2. Abschnitt: Anmeldung der Datensammlungen

3. Abschnitt: Bekanntgabe ins Ausland

4. Abschnitt: Technische und organisatorische Massnahmen

5. Abschnitt: Besondere Bestimmungen

3. Kapitel: Register der Datensammlungen, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter und Verfahren vor dem Bundesverwaltungsgericht

1. Abschnitt: Register und Registrierung von Datensammlungen

2. Abschnitt: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

3. Abschnitt: Verfahren vor dem Bundesverwaltungsgericht

4. Kapitel: Schlussbestimmungen