AS 2007 4993
Verordnung zum Bundesgesetz über den Datenschutz
Verordnung zum Bundesgesetz über den Datenschutz (VDSG)
Änderung vom 28. September 2007
Der Schweizerische Bundesrat verordnet:
I Die Verordnung vom 14. Juni 19931 zum Bundesgesetz über den Datenschutz wird wie folgt geändert:
Ingress gestützt auf die Artikel 6 Absatz 3, 7 Absatz 2, 8, 11a Absatz 6, 16 Absatz 2, 17a und 36 Absätze 1, 4 und 6 des Bundesgesetzes vom 19. Juni 19922 über den Datenschutz (DSG) und auf Artikel 46a des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 19973,
Ersatz eines Ausdrucks Betrifft nur den italienischen Text.
Art. 1 Abs. 2 und 6
2 Das Auskunftsbegehren sowie die Auskunftserteilung können auf elektronischem
Weg erfolgen, wenn der Inhaber der Datensammlung dies ausdrücklich vorsieht und angemessene Massnahmen trifft, um: a. die Identifizierung der betroffenen Person sicherzustellen; und b. die persönlichen Daten der betroffenen Person bei der Auskunftserteilung vor dem Zugriff unberechtigter Dritter zu schützen.
6 Betrifft das Auskunftsbegehren Daten, die im Auftrag des Inhabers der Daten-
sammlung von einem Dritten bearbeitet werden, so leitet der Auftraggeber das Begehren an den Dritten zur Erledigung weiter, sofern er nicht selbst in der Lage ist, Auskunft zu erteilen.
2007-1825 4993
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
Art. 3 Abs. 1 erster Satz und Abs. 2 zweiter Satz
1 Datensammlungen (Art. 11a Abs. 3 DSG) sind beim Eidgenössischen Daten-
schutz- und Öffentlichkeitsbeauftragten (Beauftragter) anzumelden, bevor die Datensammlung eröffnet wird. …
2 … Aufgehoben
Art. 4 Ausnahmen von der Anmeldepflicht
1 Ausgenommen von der Pflicht zur Anmeldung der Datensammlungen sind die
Datensammlungen nach Artikel 11a Absatz 5 Buchstaben a und c–f DSG sowie die folgenden Datensammlungen (Art. 11a Abs. 5 Bst. b DSG): a. Datensammlungen von Lieferanten oder Kunden, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten; b. Datensammlungen, deren Daten ausschliesslich zu nicht personenbezogenen Zwecken verwendet werden, namentlich in der Forschung, der Planung und der Statistik; c. archivierte Datensammlungen, die nur zu historischen oder wissenschaft- lichen Zwecken aufbewahrt werden; d. Datensammlungen, die ausschliesslich Daten enthalten, die veröffentlicht wurden oder welche die betroffene Person selbst allgemein zugänglich gemacht und deren Bearbeitung sie nicht ausdrücklich untersagt hat; e. Daten, die ausschliesslich der Erfüllung der Anforderungen nach Artikel 10 dienen; f. Buchhaltungsunterlagen; g. Hilfsdatensammlungen für die Personalverwaltung des Inhabers der Daten- sammlung, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten.
2 Der Inhaber der Datensammlungen trifft die erforderlichen Massnahmen, um die
Angaben (Art. 3 Abs. 1) zu den nicht der Anmeldepflicht unterliegenden Daten- sammlungen auf Gesuch hin dem Beauftragten oder den betroffenen Personen mitteilen zu können.
Art. 5 Veröffentlichung in elektronischer Form Werden Personendaten mittels automatisierter Informations- und Kommunikations- dienste zwecks Information der Öffentlichkeit allgemein zugänglich gemacht, so gilt dies nicht als Übermittlung ins Ausland.
Art. 6 Informationspflicht
1 Der Inhaber der Datensammlung informiert den Beauftragten vor der Bekanntgabe
ins Ausland über die Garantien und Datenschutzregeln nach Artikel 6 Absatz 2 Buchstaben a und g DSG. Ist die vorgängige Information nicht möglich, so hat sie unmittelbar nach der Bekanntgabe zu erfolgen.
4994
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
2 Wurde der Beauftragte über die Garantien und die Datenschutzregeln informiert,
so gilt die Informationspflicht für alle weiteren Bekanntgaben als erfüllt, die: a. unter denselben Garantien erfolgen, soweit die Kategorien der Empfänger, der Zweck der Bearbeitung und die Datenkategorien im Wesentlichen unverändert bleiben; oder b. innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfinden, soweit die Datenschutzregeln weiterhin einen angemessenen Schutz gewährleisten. 3 Die Informationspflicht gilt ebenfalls als erfüllt, wenn Daten gestützt auf Muster- verträge oder Standardvertragsklauseln übermittelt werden, die vom Beauftragten erstellt oder anerkannt wurden, und der Beauftragte vom Inhaber der Datensamm- lung in allgemeiner Form über die Verwendung dieser Musterverträge oder Stan- dardvertragsklauseln informiert wurde. Der Beauftragte veröffentlicht eine Liste der von ihm erstellten oder anerkannten Musterverträge und Standardvertragsklauseln.
4 Der Inhaber der Datensammlung trifft angemessene Massnahmen um sicherzustel-
len, dass der Empfänger die Garantien und die Datenschutzregeln beachtet. 5 Der Beauftragte prüft die Garantien und die Datenschutzregeln, die ihm mitgeteilt werden (Art. 31 Abs. 1 Bst. e DSG) und teilt dem Inhaber der Datensammlung das Ergebnis seiner Prüfung innert 30 Tagen ab dem Empfang der Information mit.
Art. 7 Liste der Staaten mit angemessener Datenschutzgesetzgebung Der Beauftragte veröffentlicht eine Liste der Staaten, deren Gesetzgebung einen angemessenen Datenschutz gewährleistet.
Art. 8 Abs. 1 erster Satz und Abs. 4
1 Wer als Privatperson Personendaten bearbeitet oder ein Datenkommunikationsnetz
zur Verfügung stellt, sorgt für die Vertraulichkeit, die Verfügbarkeit und die Integri- tät der Daten, um einen angemessenen Datenschutz zu gewährleisten. …
4 Aufgehoben
Art. 10 Abs. 1 Betrifft nur den französischen und den italienischen Text.
Art. 11 Bearbeitungsreglement
1 Der Inhaber einer meldepflichtigen automatisierten Datensammlung (Art. 11a
Abs. 3 DSG), die nicht aufgrund von Artikel 11a Absatz 5 Buchstaben b–d DSG von der Meldepflicht ausgenommen ist, erstellt ein Bearbeitungsreglement, das insbesondere die interne Organisation sowie das Datenbearbeitungs- und Kontroll- verfahren umschreibt und die Unterlagen über die Planung, die Realisierung und den Betrieb der Datensammlung und der Informatikmittel enthält.
4995
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
2 Der Inhaber der Datensammlung aktualisiert das Reglement regelmässig. Er stellt es dem Beauftragten oder dem Datenschutzverantwortlichen nach Artikel 11a Absatz 5 Buchstabe e DSG auf Anfrage in einer für sie verständlichen Form zur Verfügung.
Gliederungstitel vor dem 2. Kapitel
5. Abschnitt: Datenschutzverantwortlicher
Art. 12a Bezeichnung des Datenschutzverantwortlichen und Mitteilung an den Beauftragten
1 Will der Inhaber der Datensammlung nach Artikel 11a Absatz 5 Buchstabe e DSG
von der Pflicht zur Anmeldung der Datensammlung befreit werden, so muss er: a. einen betrieblichen Datenschutzverantwortlichen bezeichnen, der die Anfor- derungen von Absatz 2 und von Artikel 12b erfüllt; und b. den Beauftragten über die Bezeichnung des Datenschutzverantwortlichen informieren.
2 Der Inhaber der Datensammlung kann einen Mitarbeiter oder einen Dritten als
Datenschutzverantwortlichen bezeichnen. Dieser darf keine anderen Tätigkeiten ausüben, die mit seinen Aufgaben als Datenschutzverantwortlicher unvereinbar sind, und muss über die erforderliche Fachkenntnis verfügen.
Art. 12b Aufgaben und Stellung des Datenschutzverantwortlichen
1 Der Datenschutzverantwortliche hat namentlich folgende Aufgaben:
a. Er prüft die Bearbeitung von Personendaten und empfiehlt Korrekturmass- nahmen, wenn er feststellt, dass Datenschutzvorschriften verletzt wurden. b. Er führt eine Liste der Datensammlungen nach Artikel 11a Absatz 3 DSG, die vom Inhaber der Datensammlungen geführt werden; diese Liste ist dem Beauftragten oder betroffenen Personen, die ein entsprechendes Gesuch stel- len, zur Verfügung zu stellen.
2 Der Datenschutzverantwortliche:
a. übt seine Funktion fachlich unabhängig aus, ohne diesbezüglich Weisungen des Inhabers der Datensammlung zu unterliegen; b. verfügt über die zur Erfüllung seiner Aufgaben erforderlichen Ressourcen; c. hat Zugang zu allen Datensammlungen und Datenbearbeitungen sowie zu allen Informationen, die er zur Erfüllung seiner Aufgabe benötigt.
4996
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
Art. 14 Abs. 2 2 Im Übrigen gelten für die Auskunftsbegehren über die Militärkontrolle im Ausland die Bestimmungen der Verordnung vom 10. Dezember 20044 über das militärische Kontrollwesen.
Art. 16 Sachüberschrift, Abs. 1 Bst. h und Abs. 2 Anmeldung
1 … Die Anmeldung enthält folgende Angaben:
h. Aufgehoben
2 Das verantwortliche Bundesorgan aktualisiert diese Angaben laufend.
Art. 17 Aufgehoben
Art. 18 Ausnahmen von der Anmeldepflicht
1 FolgendeDatensammlungen unterliegen nicht der Anmeldepflicht, sofern die
Bundesorgane sie ausschliesslich für verwaltungsinterne Zwecke verwenden: a. Korrespondenzregistraturen; b. Datensammlungen von Lieferanten oder Kunden, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten; c. Adressensammlungen, die einzig der Adressierung dienen, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile ent- halten; d. Listen für Entschädigungszahlungen; e. Buchhaltungsunterlagen; f. Hilfsdatensammlungen für die Personalverwaltung des Bundes, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten; g. Bibliothekdatensammlungen (Autorenkataloge, Ausleiher- und Benutzerver- zeichnisse).
2 Ebenfalls nicht der Anmeldepflicht unterliegen:
a. Datensammlungen, die beim Bundesarchiv archiviert sind; b. Datensammlungen, die der Öffentlichkeit in Form von Verzeichnissen zu- gänglich gemacht werden; c. Datensammlungen, deren Daten ausschliesslich zu nicht personenbezogenen Zwecken verwendet werden, namentlich in der Forschung, der Planung und der Statistik.
4 SR 511.22
4997
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
3 Das verantwortliche Bundesorgan trifft die erforderlichen Massnahmen, um die
Angaben (Art. 16 Abs. 1) zu den nicht der Anmeldepflicht unterliegenden Daten- sammlungen auf Gesuch hin dem Beauftragten oder den betroffenen Personen mitteilen zu können.
Art. 19 Gibt ein Bundesorgan gestützt auf Artikel 6 Absatz 2 Buchstabe a DSG Personen- daten ins Ausland bekannt, so gilt Artikel 5.
Art. 20 Abs. 2 und 4
2 Die verantwortlichen Bundesorgane melden dem Datenschutzverantwortlichen
nach Artikel 11a Absatz 5 Buchstabe e DSG oder, falls kein solcher besteht, dem Beauftragten unverzüglich alle Projekte zur automatisierten Bearbeitung von Per- sonendaten, damit die Erfordernisse des Datenschutzes sogleich berücksichtigt werden. Die Meldung an den Beauftragten erfolgt über das ISB, wenn das Projekt auch bei diesem angemeldet werden muss.
4 Im Übrigen sind die Weisungen anwendbar, die von den verantwortlichen Bundes-
organen gestützt auf die Bundesinformatikverordnung vom 26. September 20035 erlassen wurden.
Art. 22 Abs. 1 Aufgehoben
Art. 23 Berater für den Datenschutz
1 Die Bundeskanzlei und die Departemente bezeichnen jeweils mindestens einen
Berater für den Datenschutz. Dieser Berater hat folgende Aufgaben: a. Unterstützung der verantwortlichen Organe und Benützer; b. Förderung der Information und der Ausbildung der Mitarbeiter; c. Mitwirkung beim Vollzug der Datenschutzvorschriften.
2 Wollen Bundesorgane nach Artikel 11a Absatz 5 Buchstabe e DSG von der Pflicht
zur Anmeldung ihrer Datensammlungen befreit werden, so sind die Artikel 12a und 12b anwendbar.
3 Die Bundesorgane verkehren mit dem Beauftragten über den Berater.
Art. 27 Verfahren bei der Bewilligung von Pilotversuchen
1 Vor der Konsultation der interessierten Verwaltungseinheiten legt das für den
Pilotversuch zuständige Bundesorgan zu Handen des Beauftragten dar, wie die Einhaltung der Anforderungen nach Artikel 17a DSG gewährleistet werden soll, und lädt ihn zur Stellungnahme ein.
5 SR 172.010.58
4998
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
2 Der Beauftragte nimmt zur Frage Stellung, ob die Bewilligungsvoraussetzungen
nach Artikel 17a Absätze 1 und 2 DSG erfüllt sind. Das zuständige Bundesorgan stellt ihm alle dazu notwendigen Unterlagen zur Verfügung, insbesondere: a. eine allgemeine Beschreibung des Pilotversuches; b. einen Bericht, der nachweist, dass die Erfüllung der gesetzlich vorgesehenen Aufgaben die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen erfordert und dass eine Testphase vor dem Inkrafttreten des Gesetzes im formellen Sinn zwingend erforderlich ist (Art. 17a Abs. 1 Bst. c DSG); c. eine Beschreibung der internen Organisation sowie der Datenbearbeitungs- und Kontrollverfahren (Art. 21); d. eine Beschreibung der Sicherheits- und Datenschutzmassnahmen; e. den Entwurf oder das Konzept einer Verordnung, welche die Einzelheiten der Bearbeitung regelt; f. die Informationen betreffend die Planung der verschiedenen Phasen des Pilotversuches.
3 Der Beauftragte kann weitere Dokumente anfordern und zusätzliche Abklärungen
vornehmen.
4 Das zuständige Bundesorgan informiert den Beauftragten über jede wichtige
Änderung, welche die Einhaltung der Anforderungen von Artikel 17a DSG betrifft. Der Beauftragte nimmt, falls erforderlich, erneut Stellung.
5 Die Stellungnahme des Beauftragten ist dem Antrag an den Bundesrat beizufügen.
Art. 27a Evaluationsbericht bei Pilotversuchen Das zuständige Bundesorgan legt dem Beauftragten den Entwurf des Evaluations- berichts an den Bundesrat (Art. 17a Abs. 4 DSG) zur Stellungnahme vor. Die Stel- lungnahme des Beauftragten ist dem Bundesrat zur Kenntnis zu bringen.
Art. 28 Register der Datensammlungen 1 Das vom Beauftragten geführte Register enthält die Informationen nach den Arti- keln 3 und 16. 2 Das Register ist für die Öffentlichkeit online zugänglich. Der Beauftragte erstellt auf Gesuch hin kostenlos Auszüge. 3 Der Beauftragte führt ein Verzeichnis der Inhaber von Datensammlungen, die ihrer Pflicht zur Anmeldung der Datensammlungen nach Artikel 11a Absatz 5 Buchsta- ben e und f DSG enthoben sind. Dieses Verzeichnis ist für die Öffentlichkeit online zugänglich.
4999
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
4 Wenn der Inhaber der Datensammlung seine Datensammlung nicht oder nicht
vollständig anmeldet, setzt ihm der Beauftragte eine Frist, um seinen Verpflichtun- gen nachzukommen. Nach Ablauf der Frist kann er gestützt auf die Angaben, die ihm zur Verfügung stehen, von Amtes wegen die Datensammlung registrieren oder die Einstellung der Bearbeitung empfehlen.
Art. 29 Aufgehoben
Art. 30 Abs. 2 und 3
2 Das Arbeitsverhältnis des Sekretariats des Beauftragten bestimmt sich nach dem
Bundespersonalgesetz vom 24. März 20006 sowie nach dessen Vollzugsbestim- mungen.
3 Das Budget des Beauftragten wird in einem besonderen Abschnitt des Budgets der
Bundeskanzlei aufgeführt.
Art. 31 Abs. 1 erster Satz
1 Der Beauftragte verkehrt mit dem Bundesrat über den Bundeskanzler. …
Art. 32 Abs. 1 erster Satz und Abs. 2
1 Die Bundesorgane legen dem Beauftragten alle Rechtsetzungsentwürfe vor, welche
die Bearbeitung von Personendaten, den Datenschutz sowie den Zugang zu amt- lichen Dokumenten betreffen. …
2 Der Beauftragte muss über eine für seine Tätigkeit ausreichende Dokumentation
verfügen. Er betreibt ein unabhängiges Informations- und Dokumentationssystem für die Verwaltung, Indexierung und Kontrolle der Korrespondenz und der Dossiers sowie für die Publikation von Informationen von allgemeinem Interesse und des Registers der Datensammlungen im Internet.
Art. 33 Abs. 1
1 Für die Gutachten (Art. 28 DSG) des Beauftragten wird eine Gebühr erhoben. Die
Bestimmungen der Allgemeinen Gebührenverordnung vom 8. September 20047 sind anwendbar.
6 SR 172.220.1 7 SR 172.041.1
5000
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
II Diese Änderung tritt am 1. Januar 2008 in Kraft.
28. September 2007 Im Namen des Schweizerischen Bundesrates Die Bundespräsidentin: Micheline Calmy-Rey Die Bundeskanzlerin: Annemarie Huber-Hotz
5001
Verordnung zum Bundesgesetz über den Datenschutz AS 2007
5002