Bundesgesetz über die Umsetzung der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (Weiterentwicklung des Schengen-Besitzstands)

Bundesgesetz Entwurf über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz

vom …

Die Bundesversammlung der Schweizerischen Eidgenossenschaft, nach Einsicht in die Botschaft des Bundesrates vom 15. September 2017¹, beschliesst:

I Das Bundesgesetz über den Datenschutz wird in der Fassung gemäss Anhang angenommen.

II Die nachstehenden Erlasse werden wie folgt geändert:

1 Strafgesetzbuch2

Art. 349a 1. Schutz von Die zuständigen Bundesbehörden dürfen Personendaten nur bekannt Personendaten a. Rechtsgrund- geben, wenn dafür eine Rechtsgrundlage im Sinne von Artikel 32 lagen Absatz 1 des Datenschutzgesetzes vom …3 (DSG) besteht oder wenn: a. die Bekanntgabe von Personendaten notwendig ist, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen; b. die betroffene Person ihre Personendaten allgemein zugänglich gemacht und die Bekanntgabe nicht ausdrücklich untersagt hat.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 349b b. Gleichbe- 1 Für die Bekanntgabe von Personendaten an die zuständigen Behörhandlung den von Staaten, die mit der Schweiz über eines der Schengen- Assoziierungsabkommen verbunden sind (Schengen-Staaten), dürfen nicht strengere Regeln gelten als für die Bekanntgabe von Personendaten an schweizerische Strafbehörden. 2 Spezialgesetze, die strengere Regeln für die Bekanntgabe von Personendaten an die zuständigen ausländischen Behörden vorsehen, finden auf die Bekanntgabe an die zuständigen Behörden der Schengen- Staaten keine Anwendung.

Art. 349c c. Bekanntgabe 1 Personendaten dürfen der zuständigen Behörde eines Staates, der von Personendaten an einen nicht über eines der Schengen-Assoziierungsabkommen mit der Drittstaat oder Schweiz verbunden ist (Drittstaat), oder einem internationalen Organ an ein internationales Organ nicht bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Person schwerwiegend gefährdet würde, namentlich weil ein angemessener Schutz fehlt.

2 Ein angemessener Schutz wird gewährleistet durch:

a. die Gesetzgebung des Drittstaates, sofern die Europäische Union dies in einem Beschluss festgehalten hat; b. einen völkerrechtlichen Vertrag; c. spezifische Garantien. 3 Handelt es sich bei der bekanntgebenden Behörde um eine Bundesbehörde, so informiert sie den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauftragter) über die Kategorien von Bekanntgaben von Personendaten, die auf der Grundlage spezifischer Garantien nach Absatz 2 Buchstabe c erfolgen. Jede Bekanntgabe wird dokumentiert. 4 In Abweichung von Absatz 1 können Personendaten der zuständigen Behörde eines Drittstaates oder einem internationalen Organ bekannt gegeben werden, wenn die Bekanntgabe im Einzelfall notwendig ist: a. zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder eines Dritten; b. zur Abwehr einer unmittelbar drohenden ernsthaften Gefahr für die öffentliche Sicherheit eines Schengen-Staates oder eines Drittstaates; c. zur Verhütung, Feststellung oder Verfolgung einer Straftat, sofern der Bekanntgabe keine überwiegenden schutzwürdigen Interessen der betroffenen Person entgegenstehen;

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

d. zur Ausübung oder Durchsetzung von Rechtsansprüchen gegenüber einer für die Verhütung, Feststellung oder Verfolgung einer Straftat zuständigen Behörde, sofern der Bekanntgabe keine überwiegenden schutzwürdigen Interessen der betroffenen Person entgegenstehen. 5 Handelt es sich bei der bekanntgebenden Behörde um eine Bundesbehörde, so informiert sie den Beauftragten über die Bekanntgabe nach Absatz 4.

Art. 349d d. Bekanntgabe 1 Personendaten, die von einem Schengen-Staat übermittelt oder zur von Personendaten aus einem Verfügung gestellt wurden, können der zuständigen Behörde eines Schengen-Staat Drittstaates oder einem internationalen Organ nur bekannt gegeben an einen Drittstaat oder an ein werden, wenn: internationales Organ a. die Bekanntgabe zur Verhütung, Feststellung oder Verfolgung einer Straftat erforderlich ist; b. der Schengen-Staat, der die Personendaten übermittelt oder zur Verfügung gestellt hat, der Bekanntgabe vorgängig zugestimmt hat; und c. die Voraussetzungen nach Artikel 349c erfüllt sind. 2 Abweichend von Absatz 1 Buchstabe b dürfen Personendaten im Einzelfall bekannt gegeben werden, wenn: a. die vorgängige Zustimmung des Schengen-Staates nicht rechtzeitig eingeholt werden kann; und b. die Bekanntgabe zur Abwehr einer unmittelbar drohenden ernsthaften Gefahr für die öffentliche Sicherheit eines Schengen-Staates oder eines Drittstaates oder zur Wahrung der wesentlichen Interessen eines Schengen-Staates unerlässlich ist. 3 Der Schengen-Staat wird unverzüglich über die Bekanntgabe nach Absatz 2 informiert.

Art. 349e e. Bekanntgabe 1 Ist es, namentlich in Notfällen, nicht möglich, der zuständigen Bevon Personendaten an in einem hörde eines Drittstaates Personendaten auf dem üblichen Weg der Drittstaat nieder- polizeilichen Zusammenarbeit bekannt zu geben, so kann die zustängelassene Empfänger dige Behörde sie ausnahmsweise einem in diesem Staat niedergelassenen Empfänger bekannt geben, sofern die folgenden Voraussetzungen erfüllt sind: a. Die Bekanntgabe ist unentbehrlich zur Erfüllung einer gesetzlichen Aufgabe der Behörde, welche die Daten bekannt gibt. b. Der Bekanntgabe stehen keine überwiegenden schutzwürdigen

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Interessen der betroffenen Person entgegen. 2 Die zuständige Behörde weist den Empfänger der Personendaten bei der Bekanntgabe darauf hin, dass er die Daten nur für die von der Behörde festgelegten Zwecke verwenden darf. 3 Sie benachrichtigt die zuständige Behörde des Drittstaates unverzüglich über jede Bekanntgabe von Personendaten, sofern sie dies als zweckmässig erachtet. 4 Handelt es sich bei der zuständigen Behörde um eine Bundesbehörde, so informiert sie den Beauftragten unverzüglich über jede Bekanntgabe nach Absatz 1. 5 Sie dokumentiert jede Bekanntgabe von Personendaten. Der Bundesrat regelt die Einzelheiten.

Art. 349f f. Richtigkeit der 1 Die zuständige Behörde berichtigt unrichtige Personendaten unver- Personendaten züglich. 2 Sie benachrichtigt die Behörde, die ihr diese Daten übermittelt oder zur Verfügung gestellt hat oder der sie diese bekannt gegeben hat, unverzüglich über die Berichtigung. 3 Sie informiert den Empfänger über die Aktualität und die Zuverlässigkeit der von ihr bekannt gegebenen Personendaten. 4 Sie gibt dem Empfänger ausserdem alle weiteren Informationen bekannt, anhand deren so weit wie möglich unterschieden werden kann: a. zwischen den verschiedenen Kategorien betroffener Personen; b. zwischen auf Tatsachen und auf persönlichen Einschätzungen beruhenden Personendaten. 5 Die Pflicht zur Information des Empfängers entfällt, wenn die Informationen nach den Absätzen 3 und 4 aus den Personendaten selbst oder aus den Umständen ersichtlich sind.

Art. 349g g. Prüfung der 1 Die betroffene Person kann vom Beauftragten verlangen, dass er Rechtmässigkeit der Daten- prüft, ob allfällige Daten über sie rechtmässig bearbeitet werden, bearbeitung wenn: a. ihr Recht auf Information über den Austausch von Daten über sie eingeschränkt oder aufgeschoben wird (Art. 17 und 18

4 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

b. ihr Auskunftsrecht verweigert, eingeschränkt oder aufgeschoben wird (Art. 23 und 24 DSG); oder c. ihr Recht, die Berichtigung, die Vernichtung oder die Löschung von Daten über sie zu verlangen, teilweise oder ganz verweigert wird (Art. 37 Abs. 2 Bst. a DSG). 2 Der Prüfung unterzogen werden kann ausschliesslich eine Bundesbehörde, die der Aufsicht des Beauftragten untersteht. 3 Der Beauftragte führt die Prüfung durch; er teilt der betroffenen Person mit, dass entweder keine Daten über sie unrechtmässig bearbeitet werden oder dass er im Falle von Fehlern bei der Bearbeitung der Personendaten eine Untersuchung nach Artikel 43 DSG eröffnet hat. 4 Stellt der Beauftragte Fehler bei der Datenbearbeitung fest, so ordnet er an, dass die zuständige Bundesbehörde diese behebt. 5 Die Mitteilung nach Absatz 3 lautet stets gleich und wird nicht begründet. Sie kann nicht angefochten werden.

Art. 349h h. Untersuchung 1 Macht die betroffene Person glaubhaft, dass ein Austausch von Personendaten über sie gegen die Vorschriften zum Schutz von Personendaten verstossen könnte, kann sie vom Beauftragten eine Untersuchung nach Artikel 43 DSG5 verlangen. 2 Eine Untersuchung kann ausschliesslich gegen eine Bundesbehörde eröffnet werden, die der Aufsicht des Beauftragten untersteht. 3 Partei sind die betroffene Person und die Bundesbehörde, gegen die eine Untersuchung eröffnet wurde. 4 Ferner gelten die Artikel 44 und 45 DSG.

Art. 355a Abs. 4 4 Der Austausch von Personendaten mit Europol wird dem Austausch mit einer zuständigen Behörde eines Schengen-Staates gleichgesetzt

Art. 355f und 355g Aufgehoben

5 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2. Strafprozessordnung6

Art. 95a Bearbeitung von Personendaten Bei der Bearbeitung von Personendaten sorgen die zuständigen Strafbehörden dafür, dass sie so weit wie möglich unterscheiden: a. zwischen den verschiedenen Kategorien betroffener Personen; b. zwischen auf Tatsachen und auf persönlichen Einschätzungen beruhenden Personendaten.

Art. 98 Abs. 2 2 Sie benachrichtigen die Behörde, die ihnen diese Daten übermittelt oder zur Verfügung gestellt hat oder der sie diese bekannt gegeben haben, unverzüglich über die Berichtigung.

3. Rechtshilfegesetz vom 20. März 19817

Gliederungstitel vor Art. 11b 1b. Kapitel: Schutz von Personendaten

Art. 11b Auskunftsrecht bei hängigen Verfahren 1 Solange ein Rechtshilfeverfahren hängig ist, kann die Person, gegen die sich ein Ersuchen um zwischenstaatliche Zusammenarbeit in Strafsachen richtet, die sie betreffenden Personendaten sowie die folgenden Informationen einsehen: a. den Zweck und die Rechtsgrundlage der Bearbeitung; b. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer; c. die Empfänger oder die Kategorien von Empfängern; d. die verfügbaren Angaben über die Herkunft der Personendaten; e. die Informationen, die erforderlich sind, damit sie ihre Rechte geltend machen kann. 2 Die zuständige Behörde kann die Auskunft verweigern, einschränken oder aufschieben, wenn Gründe nach Artikel 80b Absatz 2 vorliegen oder wenn: a. es aufgrund überwiegender Interessen Dritter erforderlich ist; b. es aufgrund überwiegender öffentlicher Interessen, insbesondere der inneren oder äusseren Sicherheit der Eidgenossenschaft, erforderlich ist; oder

6 SR 312.0 7 SR 351.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

c. durch die Information der betroffenen Person eine Ermittlung, ein Untersuchungs- oder ein Gerichtsverfahren oder ein Verfahren der zwischenstaatlichen Zusammenarbeit in Strafsachen gefährdet werden kann.

Art. 11c Einschränkung des Auskunftsrechts bei Ersuchen um Festnahme zum Zweck der Auslieferung 1 Jede Person hat das Recht, Auskunft darüber zu verlangen, ob die Schweiz von einem ausländischen Staat ein Ersuchen um Festnahme zum Zweck der Auslieferung erhalten hat. Dieses Recht wird beim Bundesamt geltend gemacht. Wird das Gesuch an eine andere Behörde gerichtet, so leitet diese es unverzüglich an das Bundesamt weiter. 2 Verlangt eine Person Auskunft darüber, ob das Bundesamt ein Ersuchen um Festnahme zum Zweck der Auslieferung erhalten hat, so teilt dieses ihr mit, dass keine Daten über sie unrechtmässig bearbeitet werden und dass sie vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauftragter) verlangen kann, zu prüfen, ob allfällige Daten über sie rechtmässig bearbeitet werden. 3 Der Beauftragte führt die Prüfung durch; er teilt der betroffenen Person mit, dass entweder keine Daten über sie unrechtmässig bearbeitet werden oder dass er im Falle von Fehlern bei der Bearbeitung der Personendaten eine Untersuchung nach Artikel 43 des Datenschutzgesetzes vom …8 eröffnet hat. 4 Stellt der Beauftragte Fehler bei der Datenbearbeitung fest, so ordnet er an, dass das Bundesamt diese behebt. 5 Die Mitteilungen nach den Absätzen 2 und 3 lauten stets gleich und werden nicht begründet. 6 Die Mitteilung nach Absatz 3 kann nicht angefochten werden.

7 Das Bundesamt ist in Abweichung von Absatz 2 ermächtigt, der betroffenen Person die verlangten Auskünfte zu erteilen, wenn der ersuchende Staat vorgängig zustimmt.

Art. 11d Anspruch auf Berichtigung und Löschung von Personendaten 1 Die Person, gegen die sich ein Ersuchen um zwischenstaatliche Zusammenarbeit in Strafsachen richtet, kann von der zuständigen Behörde verlangen, dass die sie betreffenden Personendaten, die unter Verstoss gegen dieses Gesetz bearbeitet werden, berichtigt oder gelöscht werden. 2 Statt die Personendaten zu löschen, schränkt die zuständige Behörde die Bearbeitung ein, wenn: a. die betroffene Person die Richtigkeit der Personendaten bestreitet und weder deren Richtigkeit noch deren Unrichtigkeit festgestellt werden kann;

8 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

b. überwiegende Interessen, insbesondere solche nach Artikel 80b Absatz 2, es erfordern; oder c. die Löschung ein Verfahren der zwischenstaatlichen Zusammenarbeit in Strafsachen oder das Verfahren im Ausland, auf das sich das Ersuchen um Zusammenarbeit in Strafsachen stützt, gefährden kann. 3 Die zuständige Behörde benachrichtigt die Behörde, die ihr die Personendaten übermittelt oder zur Verfügung gestellt hat oder der sie diese bekannt gegeben hat, unverzüglich über die nach Absatz 1 oder 2 getroffenen Massnahmen. 4 Für die Prüfung der Richtigkeit von Personendaten, die zu Beweiszwecken beschafft worden sind, oder von Personendaten betreffend Straftaten, die dem Ersuchen um zwischenstaatliche Zusammenarbeit in Strafsachen zugrunde liegen, ist die entsprechende ausländische Behörde zuständig.

Art. 11e Gleichbehandlung 1 Für die Bekanntgabe von Personendaten an die zuständigen Behörden von Staaten, die mit der Schweiz über eines der Schengen-Assoziierungsabkommen verbunden sind (Schengen-Staaten), dürfen nicht strengere Regeln gelten als für die Bekanntgabe von Personendaten an schweizerische Strafbehörden. 2 Spezialgesetze, die strengere Regeln für die Bekanntgabe von Personendaten an die zuständigen ausländischen Behörden vorsehen, finden auf die Bekanntgabe an die zuständigen Behörden der Schengen-Staaten keine Anwendung.

Art. 11f Bekanntgabe von Personendaten an einen Drittstaat oder an ein internationales Organ 1 Personendaten dürfen der zuständigen Behörde eines Staates, der nicht über eines der Schengen-Assoziierungsabkommen mit der Schweiz verbunden ist (Drittstaat), oder einem internationalen Organ nicht bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Person schwerwiegend gefährdet würde, namentlich weil ein angemessener Schutz fehlt. 2 Ein angemessener Schutz wird gewährleistet durch:

a. die Gesetzgebung des Drittstaates, sofern die Europäische Union dies in einem Beschluss festgehalten hat; b. einen völkerrechtlichen Vertrag; c. spezifische Garantien. 3 In Abweichung von Absatz 1 können Personendaten der zuständigen Behörde eines Drittstaates oder einem internationalen Organ bekannt gegeben werden, wenn die Bekanntgabe im Einzelfall notwendig ist: a. zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder eines Dritten; b. zur Abwehr einer unmittelbar drohenden ernsthaften Gefahr für die öffentliche Sicherheit eines Schengen-Staates oder eines Drittstaates;

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

c. zur Verhütung, Feststellung oder Verfolgung einer Straftat oder zur Vollstreckung eines Strafentscheids, sofern der Bekanntgabe keine überwiegenden schutzwürdigen Interessen der betroffenen Person entgegenstehen; d. zur Ausübung oder Durchsetzung von Rechtsansprüchen gegenüber einer für die Verhütung, Feststellung oder Verfolgung einer Straftat oder die Vollstreckung eines Strafentscheids zuständigen Behörde, sofern der Bekanntgabe keine überwiegenden schutzwürdigen Interessen der betroffenen Person entgegenstehen.

Art. 11g Bekanntgabe von Personendaten aus einem Schengen-Staat an einen Drittstaat oder ein internationales Organ 1 Personendaten, die von einem Schengen-Staat übermittelt oder zur Verfügung gestellt wurden, können der zuständigen Behörde eines Drittstaates oder einem internationalen Organ bekannt gegeben werden, wenn: a. die Bekanntgabe zur Verhütung, Feststellung oder Verfolgung einer Straftat oder zur Vollstreckung eines Strafentscheids erforderlich ist; b. der Schengen-Staat, der die Personendaten übermittelt oder zur Verfügung gestellt hat, der Bekanntgabe vorgängig zugestimmt hat; und c. die Voraussetzungen nach Artikel 11f erfüllt sind. 2 Abweichend von Absatz 1 Buchstabe b dürfen Personendaten im Einzelfall bekannt gegeben werden, wenn: a. die vorgängige Zustimmung des Schengen-Staates nicht rechtzeitig eingeholt werden kann; und b. die Bekanntgabe zur Abwehr einer unmittelbar drohenden ernsthaften Gefahr für die öffentliche Sicherheit eines Schengen-Staates oder eines Drittstaates oder zur Wahrung der wesentlichen Interessen eines Schengen- Staates unerlässlich ist. 3 Der Schengen-Staat wird unverzüglich über die Bekanntgabe nach Absatz 2 informiert.

Art. 11h Vorgehen bei der Bekanntgabe von Personendaten 1 Die zuständige Behörde informiert den Empfänger über die Aktualität und die Zuverlässigkeit der von ihr bekannt gegebenen Personendaten. 2 Die Bekanntgabe von Personendaten im Rahmen der Polizeizusammenarbeit mit ausländischen Strafverfolgungsbehörden richtet sich nach den Artikeln 349a–349h des Strafgesetzbuchs14.

7. Bundesgesetz vom 13. Juni 200815 über die polizeilichen Informationssysteme des Bundes

Art. 7 Abs. 2 2 Fedpol erteilt die Auskünfte nach Rücksprache mit der Behörde, welche die Daten eingetragen hat oder hat eintragen lassen; die Artikel 8 und 8a bleiben vorbehalten.

Art. 8 Einschränkung des Auskunftsrechts beim System Bundesdelikte 1 Verlangt eine Person Auskunft darüber, ob die Bundeskriminalpolizei (BKP) Daten über sie im System Bundesdelikte nach Artikel 11 bearbeitet, so schiebt fedpol diese Auskunft auf: a. wenn und soweit betreffend der über sie bearbeiteten Daten überwiegende, in den Akten zu begründende Interessen der Strafverfolgung an einer Geheimhaltung bestehen; oder b. wenn über die gesuchstellende Person keine Daten bearbeitet werden. 2 Fedpol teilt der gesuchstellenden Person den Aufschub der Auskunft mit und weist sie darauf hin, dass sie das Recht hat, vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauftragter) zu verlangen, dass er prüfe, ob allfällige Daten über sie rechtmässig bearbeitet werden und ob überwiegende Geheimhaltungsinteressen den Aufschub rechtfertigen. 3 Der Beauftragte führt die Prüfung durch; er teilt der betroffenen Person mit, dass entweder keine Daten über sie unrechtmässig bearbeitet werden oder dass er im Falle von Fehlern bei der Bearbeitung der Personendaten oder betreffend den Aufschub der Auskunft eine Untersuchung nach Artikel 43 des Datenschutzgesetzes vom …16 (DSG) eröffnet hat. 4 Stellt der Beauftragte Fehler bei der Datenbearbeitung oder betreffend den Aufschub der Auskunft fest, so ordnet er an, dass fedpol diese behebt.

13 SR 360 14 SR 311.0 15 SR 361 16 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

5 Die Mitteilungen nach den Absätzen 2 und 3 lauten stets gleich und werden nicht begründet. Die Mitteilung nach Absatz 3 kann nicht angefochten werden. 6 Sobald das Geheimhaltungsinteresse dahingefallen ist, spätestens aber nach Ablauf der Aufbewahrungsdauer, erteilt fedpol der gesuchstellenden Person Auskunft, sofern dies nicht mit übermässigem Aufwand verbunden ist. Personen, über die keine Daten bearbeitet wurden, informiert fedpol drei Jahre nach Eingang ihres Gesuchs über diese Tatsache. 7 Legt eine Person glaubhaft dar, dass ihr bei einem Aufschub der Auskunft ein erheblicher, nicht wieder gut zu machender Schaden erwächst, so kann der Beauftragte anordnen, dass fedpol ausnahmsweise sofort Auskunft erteilt, wenn und soweit damit keine Gefährdung der inneren oder der äusseren Sicherheit verbunden ist.

Einfügen vor dem Titel des 2. Abschnitts

Art. 8a Einschränkung des Auskunftsrechts bei Ausschreibungen zur Festnahme zum Zweck der Auslieferung 1 Verlangt eine Person bei fedpol Auskunft darüber, ob sie in einem polizeilichen Informationssystem zur Festnahme zum Zweck der Auslieferung ausgeschrieben ist, so teilt fedpol der betroffenen Person mit, dass keine Daten über sie unrechtmässig bearbeitet werden und dass sie vom Beauftragten verlangen kann, zu prüfen, ob allfällige Daten über sie rechtmässig bearbeitet werden. 2 Der Beauftragte führt die Prüfung durch; er teilt der betroffenen Person mit, dass entweder keine Daten über sie unrechtmässig bearbeitet werden oder dass er im Falle von Fehlern bei der Bearbeitung der Personendaten eine Untersuchung nach Artikel 43 DSG17 eröffnet hat. 3 Stellt der Beauftragte Fehler bei der Datenbearbeitung fest, so ordnet er an, dass fedpol diese behebt. 4 Die Mitteilungen nach den Absätzen 1 und 2 lauten stets gleich und werden nicht begründet. 5 Die Mitteilung nach Absatz 2 kann nicht angefochten werden.

17 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

8. Schengen-Informationsaustausch-Gesetz vom 12. Juni 200918

Art. 2 Abs. 3 3 Die Bearbeitung von Informationen richtet sich nach den Artikeln 349a–349h des Strafgesetzbuchs19.

Art. 6a–6c Aufgehoben

III 1 Dieses Gesetz untersteht dem fakultativen Referendum.

2 Der Bundesrat bestimmt das Inkrafttreten.

18 SR 362.2 19 SR 311.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Anhang (Ziff. I)

Bundesgesetz Entwurf über den Datenschutz (Datenschutzgesetz, DSG)

vom …

Die Bundesversammlung der Schweizerischen Eidgenossenschaft, gestützt auf die Artikel 95 Absatz 1, 97 Absatz 1, 122 Absatz 1 und 173 Absatz 2 der Bundesverfassung20, nach Einsicht in die Botschaft des Bundesrates vom 15. September 201721, beschliesst:

1 Kapitel:

Zweck und Geltungsbereich sowie Aufsichtsbehörde des Bundes

Art. 1 Zweck Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden.

Art. 2 Geltungsbereich 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch: a. private Personen; b. Bundesorgane.

2 Es ist nicht anwendbar auf:

a. Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden; b. Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;

20 SR 101 21 BBl 2017 6941

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

c. Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 200722, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen. 3 Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar. 4 Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.

Art. 3 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Beauftragter) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften. 2 Von der Aufsicht durch den Beauftragten sind ausgenommen:

a. die Bundesversammlung; b. der Bundesrat; c. die eidgenössischen Gerichte; d. die Bundesanwaltschaft, betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren; e. Bundesbehörden, betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.

2. Kapitel: Allgemeine Bestimmungen

1 Abschnitt: Begriffe und Grundsätze

Art. 4 Begriffe In diesem Gesetz bedeuten: a. Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen; b. betroffene Person: natürliche Person, über die Personendaten bearbeitet werden; c. besonders schützenswerte Personendaten: 1. Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten,

22 SR 192.12

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2 Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu

einer Rasse oder Ethnie, 3. genetische Daten, 4. biometrische Daten, die eine natürliche Person eindeutig identifizieren, 5. Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen, 6. Daten über Massnahmen der sozialen Hilfe; d. Bearbeiten: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten; e. Bekanntgeben: das Übermitteln oder Zugänglichmachen von Personendaten; f. Profiling: die Bewertung bestimmter Merkmale einer Person auf der Grundlage von automatisiert bearbeiteten Personendaten, insbesondere um die Arbeitsleistung, die wirtschaftlichen Verhältnisse, die Gesundheit, das Verhalten, die Vorlieben, den Aufenthaltsort oder die Mobilität zu analysieren oder vorherzusagen; g. Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die ungeachtet der Absicht oder der Widerrechtlichkeit dazu führt, dass Personendaten verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden; h. Bundesorgan: Behörde oder Dienststelle des Bundes oder Person, die mit öffentlichen Aufgaben des Bundes betraut ist; i. Verantwortlicher: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet; j. Auftragsbearbeiter: private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet.

Art. 5 Grundsätze 1 Personendaten müssen rechtmässig bearbeitet werden.

2 Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.

3 Personendaten dürfen nur zu einem bestimmten und für die betroffene Person

erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist. 4 Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. 5 Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

6 Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung

nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information, freiwillig und eindeutig erteilt wird. Für die Bearbeitung von besonders schützenswerten Personendaten und das Profiling muss die Einwilligung ausdrücklich erfolgen.

Art. 6 Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen 1 Der Verantwortliche ist verpflichtet, die Datenbearbeitung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, insbesondere die Grundsätze nach Artikel 5. Er berücksichtigt dies ab der Planung. 2 Die technischen und organisatorischen Massnahmen müssen insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie den Risiken, welche die Bearbeitung für die Persönlichkeit und Grundrechte der betroffenen Personen mit sich bringt, angemessen sein. 3 Der Verantwortliche ist verpflichtet, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt.

Art. 7 Datensicherheit 1 Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. 2 Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden. 3 Der Bundesrat erlässt Bestimmungen über die Mindestanforderungen an die Datensicherheit.

Art. 8 Bearbeitung durch Auftragsbearbeiter 1 Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn: a. die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte; und b. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. 2 Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. 3 Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen. 4 Er kann dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 9 Datenschutzberaterin oder -berater 1 Private Verantwortliche können eine Datenschutzberaterin oder einen Datenschutzberater ernennen. 2 Sie können von der Ausnahme nach Artikel 21 Absatz 4 Gebrauch machen, wenn die folgenden Voraussetzungen erfüllt sind: a. Die Datenschutzberaterin oder der Datenschutzberater übt ihre oder seine Funktion fachlich unabhängig aus; sie oder er ist gegenüber dem Verantwortlichen nicht weisungsgebunden. b. Sie oder er übt keine Tätigkeiten aus, die mit ihren oder seinen Aufgaben als Datenschutzberaterin oder -berater unvereinbar sind. c. Sie oder er verfügt über die erforderlichen Fachkenntnisse. d. Der Verantwortliche veröffentlicht die Kontaktdaten der Datenschutzberaterin oder des Datenschutzberaters und teilt diese dem Beauftragten mit. 3 Der Bundesrat regelt die Ernennung von Datenschutzberaterinnen und Datenschutzberatern durch die Bundesorgane.

Art. 10 Verhaltenskodizes 1 Berufs- und Wirtschaftsverbände, die nach ihren Statuten zur Wahrung der wirtschaftlichen Interessen ihrer Mitglieder befugt sind, sowie Bundesorgane können dem Beauftragten einen Verhaltenskodex vorlegen. 2 Dieser nimmt zu den Verhaltenskodizes Stellung und veröffentlicht seine Stellungnahmen.

Art. 11 Verzeichnis der Bearbeitungstätigkeiten 1 Die Verantwortlichen und Auftragsbearbeiter führen ein Verzeichnis ihrer Bearbeitungstätigkeiten. 2 Das Verzeichnis des Verantwortlichen enthält mindestens:

a. die Identität des Verantwortlichen; b. den Bearbeitungszweck; c. eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten; d. die Kategorien der Empfängerinnen und Empfänger; e. wenn möglich die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer; f. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 7; g. falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Artikel 13 Absatz 2.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

3 Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auftragsbearbeiters und des Verantwortlichen, zu den Kategorien von Bearbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden, sowie die Angaben nach Absatz 2 Buchstaben f und g. 4 Die Bundesorgane melden ihre Verzeichnisse dem Beauftragten.

5 Der Bundesrat kann Ausnahmen für Unternehmen vorsehen, die weniger als fünfzig Mitarbeiterinnen und Mitarbeiter beschäftigen und deren Datenbearbeitung nur ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt.

Art. 12 Zertifizierung 1 Die Hersteller von Datenbearbeitungssystemen oder -programmen sowie die Verantwortlichen und Auftragsbearbeiter können ihre Systeme, Produkte und Dienstleistungen einer Bewertung durch anerkannte unabhängige Zertifizierungsstellen unterziehen. 2 Der Bundesrat erlässt Vorschriften über die Anerkennung von Zertifizierungsverfahren und die Einführung eines Datenschutz-Qualitätszeichens. Er berücksichtigt dabei das internationale Recht und die international anerkannten technischen Normen.

2. Abschnitt: Bekanntgabe von Personendaten ins Ausland

Art. 13 Grundsätze 1 Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. 2 Liegt kein Entscheid des Bundesrates nach Absatz 1 vor, so dürfen Personendaten ins Ausland bekanntgegeben werden, wenn ein geeigneter Datenschutz gewährleistet wird durch: a. einen völkerrechtlicher Vertrag; b. Datenschutzklauseln in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seinem Vertragspartner, die dem Beauftragten vorgängig mitgeteilt wurden; c. spezifische Garantien, die das zuständige Bundesorgan erarbeitet und dem Beauftragten vorgängig mitgeteilt hat; d. Standarddatenschutzklauseln, die der Beauftragte vorgängig genehmigt, ausgestellt oder anerkannt hat; oder e. verbindliche unternehmensinterne Datenschutzvorschriften, die vorgängig vom Beauftragten oder von einer für den Datenschutz zuständigen Behörde

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

eines Staates, der einen angemessenen Schutz gewährleistet, genehmigt wurden. 3 Der Bundesrat kann andere geeignete Garantien im Sinne von Absatz 2 vorsehen.

Art. 14 Ausnahmen 1 Abweichend von Artikel 13 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden: a. Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt. b. Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags: 1. zwischen dem Verantwortlichen und der betroffenen Person; oder 2. zwischen dem Verantwortlichen und seinem Vertragspartner oder seiner Vertragspartnerin im Interesse der betroffenen Person. c. Die Bekanntgabe ist notwendig für: 1. die Wahrung eines überwiegenden öffentlichen Interesses; oder 2. die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde. d. Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen. e. Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt. f. Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind. 2 Der Verantwortliche oder der Auftragsbearbeiter informiert den Beauftragten auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.

Art. 15 Veröffentlichung von Personendaten in elektronischer Form Werden Personendaten zur Information der Öffentlichkeit mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich gemacht, so gilt dies nicht als Bekanntgabe ins Ausland, auch wenn die Daten vom Ausland aus zugänglich sind.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

3. Abschnitt: Daten von verstorbenen Personen

Art. 16 1 Der Verantwortliche gewährt kostenlos Einsicht in die Daten einer verstorbenen Person, wenn: a. ein schutzwürdiges Interesse an der Einsicht vorliegt oder die Person, die Einsicht verlangt, mit der verstorbenen Person in gerader Linie verwandt ist, mit ihr bis zum Zeitpunkt des Todes verheiratet war, in eingetragener Partnerschaft lebte oder eine faktische Lebensgemeinschaft führte oder wenn sie ihr Willensvollstrecker ist; b. der Einsicht weder eine ausdrückliche Erklärung noch ein besonderes Schutzbedürfnis der verstorbenen Person entgegenstehen; und c. keine überwiegenden Interessen des Verantwortlichen oder von Dritten der Einsicht entgegenstehen. 2 Verweigert er die Einsicht unter Hinweis auf ein Amts- oder Berufsgeheimnis, so können die nach Absatz 1 Buchstabe a berechtigten Personen die zuständige Behörde nach den Artikeln 320 und 321 des Strafgesetzbuches23 um Entbindung des Verantwortlichen von seiner Geheimhaltungspflicht ersuchen. 3 Die Erben oder der Willensvollstrecker können verlangen, dass der Verantwortliche Personendaten des Erblassers löscht oder vernichtet, es sei denn: a. der Erblasser hat dies zu Lebzeiten ausdrücklich untersagt; b. der Löschung oder Vernichtung stehen überwiegende Interessen des Erblassers, des Verantwortlichen oder von Dritten entgegen; oder c. der Löschung oder Vernichtung steht ein überwiegendes öffentliches Interesse entgegen.

3. Kapitel: Pflichten des Verantwortlichen und des Auftragsbearbeiters

Art. 17 Informationspflicht bei der Beschaffung von Personendaten 1 Der Verantwortliche informiert die betroffene Person über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden. 2 Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit: a. die Identität und die Kontaktdaten des Verantwortlichen; b. den Bearbeitungszweck;

23 SR 311.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

c. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden. 3 Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit. 4 Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 13 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 14 mit. 5 Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2–4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.

Art. 18 Ausnahmen von der Informationspflicht und Einschränkungen 1 Die Informationspflicht nach Artikel 17 entfällt, wenn eine der folgenden Voraussetzungen erfüllt ist: a. Die betroffene Person verfügt bereits über die entsprechenden Informationen. b. Die Bearbeitung ist gesetzlich vorgesehen. c. Es handelt sich beim Verantwortlichen um eine private Person, die gesetzlich zur Geheimhaltung verpflichtet ist. d. Die Voraussetzungen nach Artikel 25 sind erfüllt. 2 Werden die Personendaten nicht bei der betroffenen Person beschafft, so entfällt die Informationspflicht zudem, wenn eine der folgenden Voraussetzungen erfüllt ist: a. Die Information ist nicht möglich. b. Die Information erfordert einen unverhältnismässigen Aufwand. 3 Der Verantwortliche kann die Mitteilung der Informationen in den folgenden Fällen einschränken, aufschieben oder darauf verzichten: a. Überwiegende Interessen Dritter erfordern die Massnahme. b. Die Information vereitelt den Zweck der Bearbeitung. c. Der Verantwortliche ist eine private Person, überwiegende Interessen erfordern die Massnahme und der Verantwortliche gibt die Personendaten nicht Dritten bekannt. d. Der Verantwortliche ist ein Bundesorgan und eine der folgenden Voraussetzungen ist erfüllt: 1. Die Massnahme ist wegen überwiegender öffentlicher Interessen, insbesondere der inneren oder der äusseren Sicherheit der Schweiz, erforderlich.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2. Die Mitteilung der Information kann eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden.

Art. 19 Informationspflicht bei einer automatisierten Einzelentscheidung 1 Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung, einschliesslich Profiling, beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt. 2 Er gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird. 3 Die Absätze 1 und 2 gelten nicht, wenn:

a. die Entscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird; oder b. die betroffene Person ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt. 4 Ergeht die automatisierte Einzelentscheidung durch ein Bundesorgan, so muss es die Entscheidung entsprechend kennzeichnen. Absatz 2 gilt nicht, wenn der betroffenen Person gegen die Entscheidung ein Rechtsmittel zur Verfügung steht.

Art. 20 Datenschutz-Folgenabschätzung 1 Der Verantwortliche erstellt vorgängig eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann eine gemeinsame Abschätzung erstellt werden. 2 Das hohe Risiko ergibt sich aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Es liegt namentlich vor: a. bei der umfangreichen Bearbeitung besonders schützenswerter Personendaten; b. bei einem Profiling; c. wenn systematisch umfangreiche öffentliche Bereiche überwacht werden. 3 Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte. 4 Von der Erstellung einer Datenschutz-Folgenabschätzung ausgenommen sind Datenbearbeitungen durch Private, die zur Erfüllung einer gesetzlichen Pflicht des Verantwortlichen erfolgen.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

5 Der private Verantwortliche kann von der Erstellung einer Datenschutz-Folgenabschätzung absehen, wenn er nach Artikel 12 zertifiziert ist oder einen Verhaltenskodex nach Artikel 10 einhält, der die folgenden Voraussetzungen erfüllt: a. Der Verhaltenskodex beruht auf einer Datenschutz-Folgenabschätzung. b. Er sieht Massnahmen zum Schutz der Persönlichkeit oder der Grundrechte der betroffenen Person vor. c. Er wurde dem Beauftragten vorgelegt.

Art. 21 Konsultation des Beauftragten 1 Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hätte, wenn der Verantwortliche keine Massnahmen träfe, so holt er vorgängig die Stellungnahme des Beauftragten ein. 2 Der Beauftragte teilt dem Verantwortlichen innerhalb von zwei Monaten seine Einwände gegen die geplante Bearbeitung mit. Diese Frist kann um einen Monat verlängert werden, wenn es sich um eine komplexe Datenbearbeitung handelt. 3 Hat der Beauftragte Einwände gegen die geplante Bearbeitung, so schlägt er dem Verantwortlichen geeignete Massnahmen vor. 4 Der private Verantwortliche kann von der Konsultation des Beauftragten absehen, wenn er die Datenschutzberaterin oder den Datenschutzberater nach Artikel 9 konsultiert hat.

Art. 22 Meldung von Verletzungen der Datensicherheit 1 Der Verantwortliche meldet dem Beauftragten so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. 2 In der Meldung nennt er mindestens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. 3 Der Auftragsbearbeiter meldet dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit. 4 Der Verantwortliche informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder der Beauftragte es verlangt. 5 Er kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn: a. ein Grund nach Artikel 24 Absatz 1 Buchstabe b oder Absatz 2 Buchstabe b vorliegt oder eine gesetzliche Geheimhaltungspflicht dies verbietet; b. die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert; oder c. die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

6 Eine Meldung, die aufgrund dieses Artikels erfolgt, darf in einem Strafverfahren gegen den Meldepflichtigen nur mit dessen Einverständnis verwendet werden.

4. Kapitel: Rechte der betroffenen Person

Art. 23 Auskunftsrecht 1 Jede Person kann vom Verantwortlichen kostenlos Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. 2 Die betroffene Person erhält diejenigen Informationen, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. In jedem Fall werden ihr folgende Informationen mitgeteilt: a. die Identität und die Kontaktdaten des Verantwortlichen; b. die bearbeiteten Personendaten; c. der Bearbeitungszweck; d. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer; e. die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person erhoben wurden; f. gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht; g. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen nach Artikel 17 Absatz 4. 3 Personendaten über die Gesundheit können der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden. 4 Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig. 5 Niemand kann im Voraus auf das Auskunftsrecht verzichten.

6 Der Bundesrat kann Ausnahmen von der Kostenlosigkeit vorsehen.

Art. 24 Einschränkungen des Auskunftsrechts 1 Der Verantwortliche kann die Auskunft verweigern, einschränken oder aufschieben, wenn: a. ein Gesetz im formellen Sinn dies vorsieht; b. dies aufgrund überwiegender Interessen Dritter erforderlich ist; oder c. das Auskunftsgesuch offensichtlich unbegründet oder querulatorisch ist.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2 Darüber hinaus ist es in den folgenden Fällen möglich, die Auskunft zu verweigern, einzuschränken oder aufzuschieben: a. Der Verantwortliche ist eine private Person, überwiegende Interessen des Verantwortlichen erfordern die Massnahme und der Verantwortliche gibt die Personendaten nicht Dritten bekannt. b. Der Verantwortliche ist ein Bundesorgan, und eine der folgenden Voraussetzungen ist erfüllt: 1. Die Massnahme ist wegen überwiegender öffentlicher Interessen, insbesondere der inneren oder der äusseren Sicherheit der Schweiz, erforderlich. 2. Die Mitteilung der Information kann eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden. 3 Der Verantwortliche muss angeben, weshalb er die Auskunft verweigert, einschränkt oder aufschiebt.

Art. 25 Einschränkungen des Auskunftsrechts für Medien 1 Werden Personendaten ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums bearbeitet, so kann der Verantwortliche aus einem der folgenden Gründe die Auskunft verweigern, einschränken oder aufschieben: a. Die Daten geben Aufschluss über die Informationsquellen. b. Durch die Auskunft würde Einsicht in Entwürfe für Publikationen gewährt. c. Die Veröffentlichung würde die freie Meinungsbildung des Publikums gefährden. 2 Medienschaffende können die Auskunft zudem verweigern, einschränken oder aufschieben, wenn ihnen die Personendaten ausschliesslich als persönliches Arbeitsinstrument dienen.

5. Kapitel: Besondere Bestimmungen zur Datenbearbeitung durch private Personen

Art. 26 Persönlichkeitsverletzungen 1 Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. 2 Eine Persönlichkeitsverletzung liegt insbesondere vor, wenn:

a. Personendaten entgegen den Grundsätzen nach den Artikeln 5 und 7 bearbeitet werden;

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

b. Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden; c. Dritten besonders schützenswerte Personendaten bekanntgegeben werden. 3 In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat.

Art. 27 Rechtfertigungsgründe 1 Eine Persönlichkeitsverletzung ist widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. 2 Ein überwiegendes Interesse des Verantwortlichen fällt insbesondere in folgenden Fällen in Betracht: a. Der Verantwortliche bearbeitet die Personendaten über den Vertragspartner in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags. b. Der Verantwortliche steht mit einer anderen Person in wirtschaftlichem Wettbewerb oder wird in wirtschaftlichen Wettbewerb treten und bearbeitet zu diesem Zweck Personendaten, die Dritten nicht bekanntgegeben gegeben werden. c. Der Verantwortliche bearbeitet Personendaten zur Prüfung der Kreditwürdigkeit der betroffenen Person, wobei die folgenden Voraussetzungen erfüllt sind: 1. Es handelt sich weder um besonders schützenswerte Personendaten noch um ein Profiling. 2. Die Daten werden Dritten nur bekanntgegeben, wenn diese die Daten für den Abschluss oder die Abwicklung eines Vertrags mit der betroffenen Person benötigen. 3. Die Daten sind nicht älter als fünf Jahre. 4. Die betroffene Person ist volljährig. d. Der Verantwortliche bearbeitet die Personendaten beruflich und ausschliesslich zur Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums. e. Der Verantwortliche bearbeitet die Personendaten zu nicht personenbezogenen Zwecken insbesondere in der Forschung, Planung oder Statistik, wobei die folgenden Voraussetzungen erfüllt sind: 1. Die Daten werden anonymisiert, sobald der Bearbeitungszweck es erlaubt. 2. Besonders schützenswerte Personendaten werden Dritten so bekanntgegeben, dass die betroffenen Personen nicht bestimmbar sind.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

3. Die Ergebnisse werden so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind. f. Der Verantwortliche sammelt Personendaten über eine Person des öffentlichen Lebens, die sich auf das Wirken dieser Person in der Öffentlichkeit beziehen.

Art. 28 Rechtsansprüche 1 Die betroffene Person kann verlangen, dass unrichtige Personendaten berichtigt werden, es sei denn: a. eine gesetzliche Vorschrift verbietet die Änderung; b. die Personendaten werden zu Archivzwecken im öffentlichen Interesse bearbeitet. 2 Klagen zum Schutz der Persönlichkeit richten sich nach den Artikeln 28, 28a sowie 28g–28l des Zivilgesetzbuchs24. Die klagende Partei kann insbesondere verlangen, dass: a. eine bestimmte Datenbearbeitung verboten wird; b. eine bestimmte Bekanntgabe von Personendaten an Dritte untersagt wird; c. Personendaten gelöscht oder vernichtet werden. 3 Kann weder die Richtigkeit noch die Unrichtigkeit der betreffenden Personendaten festgestellt werden, so kann die klagende Partei verlangen, dass ein Bestreitungsvermerk angebracht wird. 4 Die klagende Partei kann zudem verlangen, dass die Berichtigung, die Löschung oder die Vernichtung, das Verbot der Bearbeitung oder der Bekanntgabe an Dritte, der Bestreitungsvermerk oder das Urteil Dritten mitgeteilt oder veröffentlicht wird.

6. Kapitel: Besondere Bestimmungen zur Datenbearbeitung durch Bundesorgane

Art. 29 Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten Der Bundesrat regelt die Kontrollverfahren und die Verantwortung für den Datenschutz, wenn das Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit Privaten bearbeitet.

Art. 30 Rechtsgrundlagen 1 Bundesorgane dürfen Personendaten nur bearbeiten, wenn dafür eine gesetzliche Grundlage besteht.

24 SR 210

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2 Eine Grundlage in einem Gesetz im formellen Sinn ist in folgenden Fällen erforderlich: a. Es handelt sich um die Bearbeitung von besonders schützenswerten Personendaten. b. Es handelt sich um ein Profiling. c. Der Bearbeitungszweck oder die Art und Weise der Datenbearbeitung können zu einem schwerwiegenden Eingriff in die Grundrechte der betroffenen Person führen. 3 Für die Bearbeitung von Personendaten nach Absatz 2 Buchstaben a und b ist eine Grundlage in einem Gesetz im materiellen Sinn ausreichend, wenn die folgenden Voraussetzungen erfüllt sind: a. Die Bearbeitung ist für eine in einem Gesetz im formellen Sinn festgelegte Aufgabe unentbehrlich. b. Der Bearbeitungszweck birgt für die Grundrechte der betroffenen Person keine besonderen Risiken. 4 In Abweichung von den Absätzen 1–3 dürfen Bundesorgane Personendaten bearbeiten, wenn eine der folgenden Voraussetzungen erfüllt ist: a. Der Bundesrat hat die Bearbeitung bewilligt, weil er die Rechte der betroffenen Person für nicht gefährdet hält. b. Die betroffene Person hat im Einzelfall in die Bearbeitung eingewilligt oder hat ihre Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt. c. Die Bearbeitung ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.

Art. 31 Automatisierte Datenbearbeitung im Rahmen von Pilotversuchen 1 Der Bundesrat kann vor Inkrafttreten eines Gesetzes im formellen Sinn die automatisierte Bearbeitung von besonders schützenswerten Personendaten oder andere Datenbearbeitungen nach Artikel 30 Absatz 2 Buchstaben b und c bewilligen, wenn: a. die Aufgaben, aufgrund deren die Bearbeitung erforderlich ist, in einem bereits in Kraft stehenden Gesetz im formellen Sinn geregelt sind; b. ausreichende Massnahmen getroffen werden, um einen Eingriff in die Grundrechte der betroffenen Personen auf das Mindestmass zu begrenzen; und c. für die praktische Umsetzung einer Datenbearbeitung eine Testphase vor dem Inkrafttreten, insbesondere aus technischen Gründen, unentbehrlich ist. 2 Er holt vorgängig die Stellungnahme des Beauftragten ein.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

3 Das zuständige Bundesorgan legt dem Bundesrat spätestens zwei Jahre nach der Aufnahme des Pilotversuchs einen Evaluationsbericht vor. Es schlägt darin die Fortführung oder die Einstellung der Bearbeitung vor. 4 Die automatisierte Datenbearbeitung muss in jedem Fall abgebrochen werden, wenn innerhalb von fünf Jahren nach Aufnahme des Pilotversuchs kein Gesetz im formellen Sinn in Kraft getreten ist, das die erforderliche Rechtsgrundlage umfasst.

Art. 32 Bekanntgabe von Personendaten 1 Bundesorgane dürfen Personendaten nur bekanntgeben, wenn dafür eine gesetzliche Grundlage im Sinne von Artikel 30 Absätze 1–3 besteht. 2 Sie dürfen Personendaten in Abweichung von Absatz 1 im Einzelfall bekanntgeben, wenn eine der folgenden Voraussetzungen erfüllt ist: a. Die Bekanntgabe der Daten ist für den Verantwortlichen oder für die Empfängerin oder den Empfänger zur Erfüllung einer gesetzlichen Aufgabe unentbehrlich. b. Die betroffene Person hat in die Bekanntgabe eingewilligt. c. Die Bekanntgabe der Daten ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen. d. Die betroffene Person hat ihre Daten allgemein zugänglich gemacht und eine Bekanntgabe nicht ausdrücklich untersagt. e. Die Empfänger oder der Empfänger macht glaubhaft, dass die betroffene Person die Einwilligung verweigert oder Widerspruch gegen die Bekanntgabe einlegt, um ihr oder ihm die Durchsetzung von Rechtsansprüchen oder die Wahrnehmung anderer schutzwürdiger Interessen zu verwehren; der betroffenen Person ist vorgängig Gelegenheit zur Stellungnahme zu geben, es sei denn, dies ist unmöglich oder mit unverhältnismässigem Aufwand verbunden. 3 Sie dürfen Personendaten darüber hinaus im Rahmen der behördlichen Information der Öffentlichkeit von Amtes wegen oder gestützt auf das Öffentlichkeitsgesetz vom 17. Dezember 200425 bekanntgeben, wenn: a. die Daten im Zusammenhang mit der Erfüllung öffentlicher Aufgaben stehen; und b. an der Bekanntgabe ein überwiegendes öffentliches Interesse besteht. 4 Sie dürfen Name, Vorname, Adresse und Geburtsdatum einer Person auf Anfrage auch bekanntgeben, wenn die Voraussetzungen nach Absatz 1 oder 2 nicht erfüllt sind.

25 SR 152.3

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

5 Sie dürfen Personendaten mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich machen, wenn eine Rechtsgrundlage die Veröffentlichung dieser Daten vorsieht oder wenn sie Daten gestützt auf Absatz 3 bekanntgeben. Besteht kein öffentliches Interesse mehr daran, die Daten allgemein zugänglich zu machen, so werden die betreffenden Daten aus dem automatisierten Informations- und Kommunikationsdienst gelöscht. 6 Die Bundesorgane lehnen die Bekanntgabe ab, schränken sie ein oder verbinden sie mit Auflagen, wenn: a. wesentliche öffentliche Interessen oder offensichtlich schutzwürdige Interessen der betroffenen Person es verlangen; oder b. gesetzliche Geheimhaltungspflichten oder besondere Datenschutzvorschriften es verlangen.

Art. 33 Widerspruch gegen die Bekanntgabe von Personendaten 1 Die betroffene Person, die ein schutzwürdiges Interesse glaubhaft macht, kann gegen die Bekanntgabe bestimmter Personendaten durch das verantwortliche Bundesorgan Widerspruch einlegen. 2 Das Bundesorgan weist das Begehren ab, wenn eine der folgenden Voraussetzungen erfüllt ist: a. Es besteht eine Rechtspflicht zur Bekanntgabe. b. Die Erfüllung seiner Aufgabe wäre sonst gefährdet. 3 Artikel 32 Absatz 3 bleibt vorbehalten.

Art. 34 Angebot von Unterlagen an das Bundesarchiv 1 In Übereinstimmung mit dem Archivierungsgesetz vom 26. Juni 199826 bieten die Bundesorgane dem Bundesarchiv alle Personendaten an, die sie nicht mehr ständig benötigen. 2 Das Bundesorgan vernichtet die vom Bundesarchiv als nicht archivwürdig bezeichneten Personendaten, es sei denn: a. diese werden anonymisiert; b. diese müssen zu Beweis- oder Sicherheitszwecken oder zur Wahrung der schutzwürdigen Interessen der betroffenen Person aufbewahrt werden.

26 SR 152.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 35 Datenbearbeitung für Forschung, Planung und Statistik 1 Bundesorgane dürfen Personendaten für nicht personenbezogene Zwecke, insbesondere für Forschung, Planung und Statistik, bearbeiten, wenn: a. die Daten anonymisiert werden, sobald der Bearbeitungszweck dies erlaubt; b. das Bundesorgan privaten Personen besonders schützenswerte Personendaten nur so bekanntgibt, dass die betroffenen Personen nicht bestimmbar sind; c. die Empfängerin oder der Empfänger Dritten die Daten nur mit der Zustimmung des Bundesorgans weitergibt, das die Daten bekanntgegeben hat; und d. die Ergebnisse nur so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind. 2 Die Artikel 5 Absatz 3, 30 Absatz 2 sowie 32 Absatz 1 sind nicht anwendbar.

Art. 36 Privatrechtliche Tätigkeit von Bundesorganen Handelt ein Bundesorgan privatrechtlich, so gelten die Bestimmungen für die Datenbearbeitung durch private Personen.

Art. 37 Ansprüche und Verfahren 1 Wer ein schutzwürdiges Interesse hat, kann vom verantwortlichen Bundesorgan verlangen, dass es: a. die widerrechtliche Bearbeitung der betreffenden Personendaten unterlässt; b. die Folgen einer widerrechtlichen Bearbeitung beseitigt; c. die Widerrechtlichkeit der Bearbeitung feststellt. 2 Die Gesuchstellerin oder der Gesuchsteller kann insbesondere verlangen, dass das Bundesorgan: a. die betreffenden Personendaten berichtigt, löscht oder vernichtet; b. seinen Entscheid, namentlich über die Berichtigung, Löschung oder Vernichtung, den Widerspruch gegen die Bekanntgabe nach Artikel 33 oder den Bestreitungsvermerk nach Absatz 4 Dritten veröffentlicht oder mitteilt. 3 Statt die Personendaten zu löschen oder zu vernichten, schränkt das Bundesorgan die Bearbeitung ein, wenn: a. die betroffene Person die Richtigkeit der Personendaten bestreitet und weder die Richtigkeit noch die Unrichtigkeit festgestellt werden kann; b. überwiegende Interessen Dritter dies erfordern; c. ein überwiegendes öffentliches Interesse, namentlich die innere oder die äussere Sicherheit der Schweiz, dies erfordert; d. die Löschung oder Vernichtung der Daten eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden kann.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

4 Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten festgestellt werden, so bringt das Bundesorgan bei den Daten einen Bestreitungsvermerk an. 5 Die Berichtigung, Löschung oder Vernichtung von Personendaten kann nicht verlangt werden in Bezug auf die Bestände öffentlich zugänglicher Bibliotheken, Bildungseinrichtungen, Museen, Archive oder anderer öffentlicher Gedächtnisinstitutionen. Macht die Gesuchstellerin oder der Gesuchsteller ein überwiegendes Interesse glaubhaft, so kann sie oder er verlangen, dass die Institution den Zugang zu den umstrittenen Daten beschränkt. Die Absätze 3 und 4 sind nicht anwendbar. 6 Das Verfahren richtet sich nach dem Verwaltungsverfahrensgesetz vom 20. Dezember 196827. Die Ausnahmen nach den Artikeln 2 und 3 des Verwaltungsverfahrensgesetzes gelten nicht.

Art. 38 Verfahren im Falle der Bekanntgabe von amtlichen Dokumenten, die Personendaten enthalten Ist ein Verfahren betreffend den Zugang zu amtlichen Dokumenten, die Personendaten enthalten, im Sinne des Öffentlichkeitsgesetzes vom 17. Dezember 200428 hängig, so kann die betroffene Person in diesem Verfahren diejenigen Rechte geltend machen, die ihr nach Artikel 37 bezogen auf diejenigen Dokumente zustehen, die Gegenstand des Zugangsverfahrens sind.

7. Kapitel: Beauftragte oder Beauftragter

1 Abschnitt: Organisation

Art. 39 Ernennung und Stellung 1 Die oder der Beauftragte wird vom Bundesrat für eine Amtsdauer von vier Jahren ernannt. Die Ernennung bedarf der Genehmigung durch die Bundesversammlung. 2 Das Arbeitsverhältnis der oder des Beauftragten richtet sich, soweit dieses Gesetz nichts anderes vorsieht, nach dem Bundespersonalgesetz vom 24. März 200029 (BPG). 3 Die oder der Beauftragte übt ihre oder seine Funktion unabhängig aus, ohne Weisungen einer Behörde oder eines Dritten einzuholen oder entgegenzunehmen. Sie oder er ist administrativ der Bundeskanzlei zugeordnet. 4 Sie oder er verfügt über ein ständiges Sekretariat und ein eigenes Budget. Sie oder er stellt sein Personal an. 5 Sie oder er untersteht nicht dem Beurteilungssystem nach Artikel 4 Absatz 3 BPG.

27 SR 172.021 28 SR 152.3 29 SR 172.220.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 40 Wiederernennung und Beendigung der Amtsdauer 1 Die Amtsdauer der oder des Beauftragten kann zwei Mal erneuert werden.

2 Verfügt der Bundesrat nicht spätestens sechs Monate vor Ablauf der Amtsdauer

aus sachlich hinreichenden Gründen die Nichtverlängerung, so verlängert sich die Amtsdauer stillschweigend. 3 Die oder der Beauftragte kann den Bundesrat unter Einhaltung einer Frist von sechs Monaten um Entlassung auf ein Monatsende ersuchen. 4 Der Bundesrat kann die Beauftragte oder den Beauftragten vor Ablauf der Amtsdauer des Amtes entheben, wenn diese oder dieser: a. vorsätzlich oder grobfahrlässig Amtspflichten schwer verletzt hat; oder b. die Fähigkeit, das Amt auszuüben, auf Dauer verloren hat.

Art. 41 Nebenbeschäftigung 1 Die oder der Beauftragte darf keine zusätzliche Erwerbstätigkeit ausüben. Sie oder er darf auch kein Amt der Eidgenossenschaft oder eines Kantons bekleiden und nicht als Mitglied der Geschäftsleitung, des Verwaltungsrats, der Aufsichtsstelle oder der Revisionsstelle eines Handelsunternehmens tätig sein. 2 Der Bundesrat kann der oder dem Beauftragten gestatten, eine Nebenbeschäftigung nach Absatz 1 auszuüben, wenn dadurch die Ausübung der Funktion sowie Unabhängigkeit und Ansehen nicht beeinträchtigt werden. Der Entscheid wird veröffentlicht.

Art. 42 Selbstkontrolle des Beauftragten Der Beauftragte stellt durch geeignete Kontrollmassnahmen, insbesondere in Bezug auf die Datensicherheit, sicher, dass der rechtskonforme Vollzug der bundesrechtlichen Datenschutzvorschriften innerhalb seiner Behörde gewährleistet ist.

2. Abschnitt: Untersuchung von Verstössen gegen Datenschutzvorschriften

Art. 43 Untersuchung 1 Der Beauftragte eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung gegen ein Bundesorgan oder eine private Person, wenn Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte. 2 Er kann von der Eröffnung einer Untersuchung absehen, wenn die Verletzung der Datenschutzvorschriften von geringfügiger Bedeutung ist. 3 Das Bundesorgan oder die private Person erteilt dem Beauftragten alle Auskünfte und stellt ihm alle Unterlagen zur Verfügung, die für die Untersuchung notwendig

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

sind. Das Auskunftsverweigerungsrecht richtet sich nach den Artikeln 16 und 17 des Verwaltungsverfahrensgesetzes vom 20. Dezember 196830. 4 Hat die betroffene Person Anzeige erstattet, so informiert der Beauftragte sie über die gestützt darauf unternommenen Schritte und das Ergebnis einer allfälligen Untersuchung.

Art. 44 Befugnisse 1 Kommt das Bundesorgan oder die private Person den Mitwirkungspflichten nicht nach, so kann der Beauftragte im Rahmen der Untersuchung insbesondere Folgendes anordnen: a. Zugang zu allen Auskünften, Unterlagen, Verzeichnissen der Bearbeitungstätigkeiten und Personendaten, die für die Untersuchung erforderlich sind; b. Zugang zu Räumlichkeiten und Anlagen; c. Zeugeneinvernahmen; d. Begutachtungen durch Sachverständige. 2 Er kann für die Dauer der Untersuchung zudem vorsorgliche Massnahmen anordnen und sie durch eine Bundesbehörde oder die kantonalen oder kommunalen Polizeiorgane vollstrecken lassen.

Art. 45 Verwaltungsmassnahmen 1 Liegt eine Verletzung von Datenschutzvorschriften vor, so kann der Beauftragte verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernichtet werden. 2 Er kann die Bekanntgabe ins Ausland aufschieben oder untersagen, wenn sie gegen die Voraussetzungen nach Artikel 13 oder 14 oder gegen Bestimmungen betreffend die Bekanntgabe von Personendaten ins Ausland in anderen Bundesgesetzen verstösst. 3 Er kann namentlich anordnen, dass das Bundesorgan oder die private Person:

a. nach den Artikeln 13 Absatz 2 Buchstaben b und c sowie 14 Absatz 2 den Beauftragten informiert; b. die Vorkehren nach den Artikeln 6 und 7 trifft; c. nach den Artikeln 17 und 19 die betroffenen Personen informiert; d. eine Datenschutz-Folgenabschätzung nach Artikel 20 vornimmt; e. nach Artikel 21 den Beauftragten konsultiert;

30 SR 172.021

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

f. nach Artikel 22 den Beauftragten oder gegebenenfalls die betroffenen Personen informiert; g. der betroffenen Person die Auskünfte nach Artikel 23 erteilt. 4 Hat das Bundesorgan oder die private Person während der Untersuchung die erforderlichen Massnahmen getroffen, um die Einhaltung der Datenschutzvorschriften wiederherzustellen, so kann der Beauftragte sich darauf beschränken, eine Verwarnung auszusprechen.

Art. 46 Verfahren 1 Das Untersuchungsverfahren sowie Verfügungen nach den Artikeln 44 und 45 richten sich nach dem Verwaltungsverfahrensgesetz vom 20. Dezember 196831. 2 Partei ist nur das Bundesorgan oder die private Person, gegen das oder die eine Untersuchung eröffnet wurde. 3 Der Beauftragte kann Beschwerdeentscheide des Bundesverwaltungsgerichts anfechten.

Art. 47 Koordination 1 Bundesverwaltungsbehörden, die nach einem anderen Bundesgesetz Private oder Organisationen ausserhalb der Bundesverwaltung beaufsichtigen, laden den Beauftragten zur Stellungnahme ein, bevor sie eine Verfügung erlassen, die Fragen des Datenschutzes betrifft. 2 Führt der Beauftragte gegen die gleiche Partei eine eigene Untersuchung durch, so koordinieren die beiden Behörden ihre Verfahren.

3 Abschnitt: Amtshilfe

Art. 48 Amtshilfe zwischen schweizerischen Behörden 1 Bundesbehörden und kantonale Behörden geben dem Beauftragten die Informationen und Personendaten bekannt, die für die Erfüllung seiner gesetzlichen Aufgaben erforderlich sind. 2 Der Beauftragte gibt den folgenden Behörden die Informationen und Personendaten bekannt, die für die Erfüllung ihrer gesetzlichen Aufgaben erforderlich sind: a. den Behörden, die in der Schweiz für den Datenschutz zuständig sind; b. den zuständigen Strafverfolgungsbehörden, falls es um die Anzeige einer Straftat nach Artikel 59 Absatz 2 geht; c. den Bundesbehörden sowie den kantonalen und kommunalen Polizeibehörden für den Vollzug der Massnahmen nach den Artikeln 44 Absatz 2 und 45.

31 SR 172.021

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 49 Amtshilfe gegenüber ausländischen Behörden 1 Der Beauftragte kann mit ausländischen Behörden, die für den Datenschutz zuständig sind, für die Erfüllung ihrer jeweiligen gesetzlich vorgesehenen Aufgaben im Bereich des Datenschutzes Informationen oder Personendaten austauschen, wenn folgende Voraussetzungen erfüllt sind: a. Die Gegenseitigkeit der Amtshilfe ist sichergestellt. b. Die Informationen und Personendaten werden nur für das den Datenschutz betreffende Verfahren verwendet, das dem Amtshilfeersuchen zugrunde liegt. c. Die empfangende Behörde verpflichtet sich, die Berufsgeheimnisse sowie Geschäfts- und Fabrikationsgeheimnisse zu wahren. d. Die Informationen und Personendaten werden nur bekanntgegeben, wenn die Behörde, die sie übermittelt hat, dies vorgängig genehmigt. e. Die empfangende Behörde verpflichtet sich, die Auflagen und Einschränkungen der Behörde einzuhalten, die ihr die Informationen und Personendaten übermittelt hat. 2 Um sein Amtshilfegesuch zu begründen oder um dem Ersuchen einer Behörde Folge zu leisten, kann der Beauftragte insbesondere folgende Angaben machen: a. die Identität des Verantwortlichen, des Auftragsbearbeiters oder anderer beteiligter Dritter; b. die Kategorien der betroffenen Personen; c. die Identität der betroffenen Personen, falls: 1. die betroffenen Personen eingewilligt haben, oder 2. die Mitteilung der Identität der betroffenen Personen unentbehrlich ist, damit der Beauftragte oder die ausländische Behörde ihre gesetzlichen Aufgaben erfüllen können; d. bearbeitete Personendaten oder Kategorien bearbeiteter Personendaten; e. den Bearbeitungszweck; f. die Empfängerinnen und Empfänger oder die Kategorien der Empfängerinnen und Empfänger; g. technische und organisatorische Massnahmen. 3 Bevor der Beauftragte einer ausländischen Behörde Informationen bekanntgibt, die Berufs-, Geschäfts- oder Fabrikationsgeheimnisse enthalten können, informiert er die betroffenen natürlichen oder juristischen Personen, die Trägerinnen dieser Geheimnisse sind, und lädt sie zur Stellungnahme ein, es sei denn, dies ist nicht möglich oder erfordert einen unverhältnismässigen Aufwand.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

4 Abschnitt: Andere Aufgaben des Beauftragten

Art. 50 Register Der Beauftragte führt ein Register der Bearbeitungstätigkeiten der Bundesorgane. Das Register wird veröffentlicht.

Art. 51 Information 1 Der Beauftragte erstattet der Bundesversammlung jährlich Bericht über seine Tätigkeit. Er übermittelt ihn gleichzeitig dem Bundesrat. Der Bericht wird veröffentlicht. 2 In Fällen von allgemeinem Interesse informiert der Beauftragte die Öffentlichkeit über seine Feststellungen und Verfügungen.

Art. 52 Weitere Aufgaben

1 Der Beauftragte nimmt darüber hinaus insbesondere folgende Aufgaben wahr:

a. Er informiert, schult und berät die Bundesorgane sowie private Personen in Fragen des Datenschutzes. b. Er unterstützt die kantonalen Organe und arbeitet mit schweizerischen und ausländischen Behörden, die für den Datenschutz zuständig sind, zusammen. c. Er sensibilisiert die Bevölkerung, insbesondere schutzbedürftige Personen, in Bezug auf den Datenschutz. d. Er erteilt betroffenen Personen auf Anfrage Auskunft darüber, wie sie ihre Rechte ausüben können. e. Er nimmt Stellung zu Erlassentwürfen und Massnahmen des Bundes, die eine Datenbearbeitung zur Folge haben. f. Er nimmt die ihm durch das Öffentlichkeitsgesetz vom 17. Dezember 200432 oder andere Bundesgesetze übertragenen Aufgaben wahr. g. Er erarbeitet Leitfäden und Arbeitsinstrumente zuhanden von Verantwortlichen, Auftragsbearbeitern und betroffenen Personen; hierfür berücksichtigt er die Besonderheiten des jeweiligen Bereichs sowie den Schutz von schutzbedürftigen Personen. 2 Er kann auch Bundesorgane beraten, die gemäss den Artikeln 2 und 3 nicht seiner Aufsicht unterstehen. Die Bundesorgane können ihm Akteneinsicht gewähren.

32 SR 152.3

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

5 Abschnitt: Gebühren

Art. 53

1 Der Beauftragte erhebt von privaten Personen Gebühren für:

a. die Stellungnahme zu einem Verhaltenskodex nach Artikel 10 Absatz 2; b. die Genehmigung von Standarddatenschutzklauseln und verbindlichen unternehmensinternen Datenschutzvorschriften nach Artikel 13 Absatz 2 Buchstaben d und e; c. die Konsultation aufgrund einer Datenschutz-Folgenabschätzung nach Artikel 21 Absatz 2; d. Massnahmen nach den Artikeln 44 Absatz 2 und 45; e. Beratungen in Fragen des Datenschutzes nach Artikel 52 Absatz 1 Buchstabe a. 2 Der Bundesrat legt die Höhe der Gebühren fest.

3 Er kann festlegen, in welchen Fällen es möglich ist, auf die Erhebung einer Gebühr

zu verzichten oder sie zu reduzieren.

8 Kapitel: Strafbestimmungen

Art. 54 Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten

1 Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft:

a. die ihre Pflichten nach den Artikeln 17, 19 und 23–25 verletzen, indem sie vorsätzlich eine falsche oder unvollständige Auskunft erteilen; b. die es vorsätzlich unterlassen: 1. die betroffene Person nach den Artikeln 17 Absatz 1 und 19 Absatz 1 zu informieren, oder 2. ihr die Angaben nach Artikel 17 Absatz 2 zu liefern. 2 Mit Busse bis zu 250 000 Franken werden private Personen bestraft, die unter Verstoss gegen Artikel 43 Absatz 3 dem Beauftragten im Rahmen einer Untersuchung vorsätzlich falsche Auskünfte erteilen oder vorsätzlich die Mitwirkung verweigern.

Art. 55 Verletzung von Sorgfaltspflichten Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft, die vorsätzlich: a. unter Verstoss gegen Artikel 13 Absätze 1 und 2 und ohne dass die Voraussetzungen nach Artikel 14 erfüllt sind, Personendaten ins Ausland bekanntgeben;

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

b. die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne dass die Voraussetzungen nach Artikel 8 Absätze 1 und 2 erfüllt sind; c. die Mindestanforderungen an die Datensicherheit, die der Bundesrat nach Artikel 7 Absatz 3 erlassen hat, nicht einhalten.

Art. 56 Verletzung der beruflichen Schweigepflicht 1 Wer geheime Personendaten vorsätzlich offenbart, von denen sie oder er bei der Ausübung ihres oder seines Berufes, der die Kenntnis solcher Daten erfordert, Kenntnis erlangt hat, wird auf Antrag mit Busse bis zu 250 000 Franken bestraft. 2 Gleich wird bestraft, wer vorsätzlich geheime Personendaten offenbart, von denen sie oder er bei der Tätigkeit für eine geheimhaltungspflichtige Person oder während der Ausbildung bei dieser Kenntnis erlangt hat. 3 Das Offenbaren geheimer Personendaten ist auch nach Beendigung der Berufsausübung oder der Ausbildung strafbar.

Art. 57 Missachten von Verfügungen Mit Busse bis zu 250 000 Franken werden private Personen bestraft, die einer vom Beauftragten unter Hinweis auf die Strafdrohung dieses Artikels ergangenen Verfügung oder einem Entscheid der Rechtsmittelinstanzen vorsätzlich nicht Folge leisten.

Art. 58 Widerhandlungen in Geschäftsbetrieben 1 Für Widerhandlungen in Geschäftsbetrieben sind die Artikel 6 und 7 des Bundesgesetzes vom 22. März 197433 über das Verwaltungsstrafrecht (VStrR) anwendbar. 2 Fällt eine Busse von höchstens 50 000 Franken in Betracht und würde die Ermittlung der nach Artikel 6 VStrR strafbaren Personen Untersuchungsmassnahmen bedingen, die im Hinblick auf die verwirkte Strafe unverhältnismässig wären, so kann die Behörde von einer Verfolgung dieser Personen absehen und an ihrer Stelle den Geschäftsbetrieb (Art. 7 VStrR) zur Bezahlung der Busse verurteilen.

Art. 59 Zuständigkeit 1 Die Verfolgung und die Beurteilung strafbarer Handlungen obliegen den Kantonen. 2 Der Beauftragte kann bei der zuständigen Strafverfolgungsbehörde Anzeige erstatten und im Verfahren die Rechte einer Privatklägerschaft wahrnehmen.

Art. 60 Verfolgungsverjährung Die Strafverfolgung verjährt nach fünf Jahren.

33 SR 313.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

9 Kapitel: Abschluss von Staatsverträgen

Art. 61 Der Bundesrat kann Staatsverträge abschliessen betreffend: a. die internationale Zusammenarbeit zwischen Datenschutzbehörden; b. die gegenseitige Anerkennung eines angemessenen Schutzes für die Bekanntgabe von Personendaten ins Ausland.

10 Kapitel: Schlussbestimmungen

Art. 62 Aufhebung und Änderung anderer Erlasse Die Aufhebung und die Änderung anderer Erlasse werden im Anhang geregelt.

Art. 63 Übergangsbestimmungen betreffend die Pflichten des Verantwortlichen 1 Die Informationspflicht bei der Beschaffung von Personendaten richtet sich während zwei Jahren nach Inkrafttreten dieses Gesetzes nach dem bisherigen Recht. 2 Die Artikel 6 und 17–21 gelten während zwei Jahren nach Inkrafttreten dieses Gesetzes nur für Datenbearbeitungen im Sinne der Artikel 1 und 2 der Richtlinie (EU) 2016/68034.

Art. 64 Übergangsbestimmungen betreffend Bearbeitungen 1 Datenbearbeitungen, die im Zeitpunkt des Inkrafttretens dieses Gesetzes abgeschlossen sind, richten sich mit Ausnahme der Rechte der betroffenen Person (Art. 23–25) nach dem bisherigen Recht. 2 Datenbearbeitungen, die unter bisherigem Recht begonnen wurden und nach Inkrafttreten dieses Gesetzes fortdauern, müssen spätestens zwei Jahre nach Inkrafttreten dieses Gesetzes den Anforderungen dieses Gesetzes genügen. 3 Die Artikel 6, 20 und 21 sind nicht anwendbar auf Bearbeitungen, die vor Inkrafttreten dieses Gesetzes begonnen wurden, wenn der Bearbeitungszweck unverändert bleibt und keine neuen Daten beschafft werden. 4 Im Übrigen gilt das neue Recht für Datenbearbeitungen ab dem Zeitpunkt seines Inkrafttretens.

34 Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, Fassung gemäss ABl. L 119/89 vom 4.5.2016, S. 89.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 65 Übergangsbestimmung betreffend laufende Verfahren Dieses Gesetz gilt nicht für Untersuchungen des Beauftragten, die im Zeitpunkt des Inkrafttretens hängig sind; es ist ebenfalls nicht anwendbar auf hängige Beschwerden gegen erstinstanzliche Entscheide, die vor dem Inkrafttreten ergangen sind. Diese Fälle unterstehen dem bisherigen Recht.

Art. 66 Übergangsbestimmung betreffend Daten juristischer Personen Für Bundesorgane finden Vorschriften in anderen Bundeserlassen, die sich auf Personendaten beziehen, während fünf Jahren nach Inkrafttreten dieses Gesetzes weiter Anwendung auf Daten juristischer Personen. Insbesondere können Bundesorgane während fünf Jahren nach Inkrafttreten dieses Gesetzes Daten juristischer Personen nach Artikel 57s Absätze 1 und 2 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 199735 weiterhin bekanntgeben, wenn sie gestützt auf eine Rechtsgrundlage zur Bekanntgabe von Personendaten ermächtigt sind.

Art. 67 Übergangsbestimmung betreffend die Zertifizierung 1 Der Bundesrat erlässt innert zwei Jahren nach Inkrafttreten dieses Gesetzes die Vorschriften über die Anerkennung von Zertifizierungsverfahren und über die Einführung eines Datenschutz-Qualitätszeichens. 2 Während dieser Frist richtet sich die Zertifizierung nach dem bisherigen Recht.

35 SR 172.010

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Anhang (Art. 62)

Aufhebung und Änderung anderer Erlasse I Das Bundesgesetz vom 19. Juni 199236 über den Datenschutz wird aufgehoben.

II Die nachstehenden Bundesgesetze werden wie folgt geändert:

1 Ausländergesetz vom 16. Dezember 200537

Art. 101 Bearbeitung von Personendaten Das SEM, die zuständigen Ausländerbehörden der Kantone und, in seinem Zuständigkeitsbereich, das Bundesverwaltungsgericht können Personendaten, einschliesslich besonders schützenswerter Personendaten, von Ausländerinnen und Ausländern sowie von an Verfahren nach diesem Gesetz beteiligten Dritten bearbeiten oder bearbeiten lassen, soweit sie diese Daten zur Erfüllung ihrer gesetzlichen Aufgaben benötigen.

Art. 104 Abs. 4 4 Die Luftverkehrsunternehmen informieren die betroffenen Personen nach Artikel 17 des Datenschutzgesetzes vom …38 (DSG).

Art. 105 Abs. 1 1 Das SEM und die zuständigen Behörden der Kantone können zur Erfüllung ihrer Aufgaben, insbesondere zur Bekämpfung strafbarer Handlungen nach diesem Gesetz, Personendaten von Ausländerinnen und Ausländern den mit entsprechenden Aufgaben betrauten ausländischen Behörden und internationalen Organisationen bekannt geben, sofern die Voraussetzungen nach Artikel 13 DSG39 erfüllt sind.

36 AS 1993 1945, 1997 2372, 1998 1586, 1999 2243, 2006 2197 2319, 2007 4983, 2010 1739 3387 37 SR 142.20 38 SR 235.1 39 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 111d Abs. 1 und 2 1 An Drittstaaten dürfen Personendaten nur bekanntgegeben werden, wenn sie ein angemessenes Datenschutzniveau nach Artikel 13 Absatz 1 DSG40 gewährleisten. 2 Gewährleistet ein Drittstaat kein angemessenes Datenschutzniveau, so können ihm Personendaten in folgenden Fällen bekannt gegeben werden: a. Die betroffene Person hat nach Artikel 5 Absatz 6 DSG eingewilligt. b. Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist deren Einwilligung einzuholen. c. Die Bekanntgabe ist notwendig zur Wahrung überwiegender öffentlicher Interessen oder zur Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht oder einer anderen ausländischen Behörde.

Art. 111f zweiter Satz Aufgehoben

2 Asylgesetz vom 26. Juni 199841

Art. 96 Abs. 1 1 Das SEM, die Beschwerdebehörden sowie die mit Aufgaben nach diesem Gesetz beauftragten privaten Organisationen können Personendaten von asylsuchenden oder schutzbedürftigen Personen und ihrer Angehörigen, einschliesslich besonders schützenswerter Personendaten nach Artikel 4 Buchstabe c des Datenschutzgesetzes vom …42 (DSG), bearbeiten oder bearbeiten lassen, soweit sie diese zur Erfüllung ihrer gesetzlichen Aufgaben benötigen.

Art. 98 Abs. 1 1 Das SEM und die Beschwerdebehörden dürfen zum Vollzug dieses Gesetzes den mit entsprechenden Aufgaben betrauten ausländischen Behörden und internationalen Organisationen Personendaten bekannt geben, sofern die Voraussetzungen nach Artikel 13 DSG43 erfüllt sind.

40 SR 235.1 41 SR 142.31 42 SR 235.1 43 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 99 Abs. 6 6 Personendaten, die nach Absatz 4 bekannt gegeben wurden, dürfen nur mit der Zustimmung des für die Datenbearbeitung Verantwortlichen ins Ausland bekannt gegeben werden. Artikel 13 Absatz 1 DSG44 gilt sinngemäss.

Art. 99a Abs. 2 Bst. a 2 MIDES dient:

a. der Bearbeitung von Personendaten von Asylsuchenden und Schutzbedürftigen, einschliesslich besonders schützenswerter Personendaten nach Artikel 4 Buchstabe c DSG45; und

Art. 100 Abs. 2 2 Dieses Informationssystem kann besonders schützenswerte Personendaten enthalten, soweit dies zur Erfüllung der gesetzlichen Aufgabe notwendig ist.

Art. 102 Abs. 1 dritter Satz und 2 1 … Sofern es erforderlich ist, können auch in den Texten enthaltene Personendaten, namentlich Personalien, sowie besonders schützenswerte Personendaten gespeichert werden. 2 Auf Datenbanken, die besonders schützenswerte Personendaten enthalten, haben nur Mitarbeiterinnen und Mitarbeiter des SEM und des Bundesverwaltungsgerichts Zugriff.

Art. 102c Abs. 1 und 2 1 An Drittstaaten dürfen Personendaten nur bekanntgegeben werden, wenn sie ein angemessenes Datenschutzniveau nach Artikel 13 Absatz 1 DSG46 gewährleisten. 2 Gewährleistet ein Drittstaat kein angemessenes Datenschutzniveau, so können ihm Personendaten in folgenden Fällen bekannt gegeben werden: a. Die betroffene Person hat nach Artikel 5 Absatz 6 DSG eingewilligt. b. Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist deren Einwilligung einzuholen. c. Die Bekanntgabe ist notwendig zur Wahrung überwiegender öffentlicher Interessen oder zur Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht oder einer anderen ausländischen Behörde.

44 SR 235.1 45 SR 235.1 46 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 102e zweiter Satz Aufgehoben

3. Bundesgesetz vom 20. Juni 200347 über das Informationssystem für den Ausländer- und den Asylbereich

Art. 4 Abs. 2 2 Im Informationssystem können besonders schützenswerte Personendaten nach Artikel 4 Buchstabe c des Datenschutzgesetzes vom …48 (DSG) bearbeitet werden, sofern dies zur Erfüllung der Aufgaben nach Artikel 3 unerlässlich ist.

Art. 6 Auskunfts- und Berichtigungsrecht 1 Begehren um Auskunft über Personendaten (Art. 23 DSG49) und um Berichtigung (Art. 37 Abs. 2 Bst. a DSG) sind an das SEM zu richten. 2 Beschwerden richten sich nach Artikel 37 DSG; sie sind beim SEM einzureichen.

Art. 7 Abs. 2 2 Es vergewissert sich, ob die von ihm bearbeiteten Personendaten richtig sind

Art. 15 Bekanntgabe ins Ausland Die Bekanntgabe von Personendaten ins Ausland richtet sich nach den Artikeln 13

Art. 16 Aufsichtspflicht der kantonalen Datenschutzbehörden Die kantonalen Datenschutzbehörden überwachen in ihrem Zuständigkeitsbereich die Einhaltung des Datenschutzes.

47 SR 142.51 48 SR 235.1 49 SR 235.1 50 SR 235.1 51 SR 235.1 52 SR 142.20; siehe auch Art. 127 AuG 53 SR 142.31

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

4. Archivierungsgesetz vom 26. Juni 199854

Art. 11 Abs. 1 1 Archivgut, das nach Personennamen erschlossen ist und besonders schützenswerte Personendaten enthält, unterliegt einer Schutzfrist von 50 Jahren, es sei denn, die betroffene Person habe einer Einsichtnahme zugestimmt.

Art. 15 Sachüberschrift und Abs. 1 Auskunft und Bestreitungsvermerk 1 Die Auskunfterteilung und Einsichtgewährung an die betroffenen Personen sowie die Einsicht in Daten einer verstorbenen Person richten sich nach den Bestimmungen des Datenschutzgesetzes vom …55. Auskunfts- und Einsichtsverweigerungen werden durch die abliefernden Stellen verfügt.

5. Öffentlichkeitsgesetz vom 17. Dezember 200456

Art. 3 Abs. 2 2 Der Zugang zu amtlichen Dokumenten, die Personendaten der Gesuchstellerin oder des Gesuchstellers enthalten, richtet sich nach dem Datenschutzgesetz vom …57 (DSG).

Art. 9 Schutz von Personendaten und von Daten juristischer Personen 1 Amtliche Dokumente, die Personendaten oder Daten juristischer Personen enthalten, sind nach Möglichkeit vor der Einsichtnahme zu anonymisieren. 2 Zugangsgesuche, die sich auf amtliche Dokumente beziehen, die nicht anonymisiert werden können, sind für Personendaten nach Artikel 32 DSG58 und für Daten juristischer Personen nach Artikel 57s des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 199759 zu beurteilen. Das Zugangsverfahren richtet sich nach dem vorliegenden Gesetz.

Art. 11 Anhörung 1 Zieht die Behörde in Erwägung, den Zugang zu amtlichen Dokumenten zu gewähren, durch deren Zugänglichmachung die Privatsphäre Dritter beeinträchtigt werden

54 SR 152.1 55 SR 235.1 56 SR 152.3 57 SR 235.1 58 SR 235.1 59 SR 172.010

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

kann, so konsultiert sie den betroffenen Dritten und gibt ihm Gelegenheit zur Stellungnahme innert zehn Tagen. 2 Sie informiert die angehörte Person über ihre Stellungnahme zum Gesuch.

Art. 12 Abs. 2 zweiter Satz und 3 2 … Sie wird um die erforderliche Dauer verlängert, wenn sich ein Gesuch auf amtliche Dokumente bezieht, durch deren Zugänglichmachung die Privatsphäre Dritter beeinträchtigt werden kann. 3 Betrifft das Gesuch amtliche Dokumente, durch deren Zugänglichmachung die Privatsphäre Dritter beeinträchtigt werden kann, so schiebt die Behörde den Zugang auf, bis die Rechtslage geklärt ist.

Art. 15 Abs. 2 Bst. b 2 Im Übrigen erlässt die Behörde eine Verfügung, wenn sie in Abweichung von der Empfehlung: b. den Zugang zu einem amtlichen Dokument gewähren will, durch dessen Zugänglichmachung die Privatsphäre Dritter beeinträchtigt werden kann.

Art. 18 Einleitungssatz Die oder der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (die oder der Beauftragte) nach Artikel 39 DSG60 hat nach dem vorliegenden Gesetz insbesondere folgende Aufgaben und Kompetenzen:

6. Regierungs- und Verwaltungsorganisationsgesetz vom 21. März 199761

Gliederungstitel vor Art. 57h Viertes Kapitel: Bearbeitung von Personendaten und von Daten juristischer Personen

1 Abschnitt: Geschäftsverwaltungssysteme

Art. 57h Führen von Geschäftsverwaltungssystemen 1 Für ihre Geschäftsprozesse sowie zur Verwaltung von Dokumenten, einschliesslich der Korrespondenz, führen die Einheiten der Bundesverwaltung und die Parlamentsdienste elektronische Geschäftsverwaltungssysteme.

60 SR 235.1 61 SR 172.010

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2 Soweit im Rahmen der Geschäftsprozesse erforderlich, können sie anderen Bundesbehörden sowie bundesexternen Stellen Zugriff auf ihre eigenen Geschäftsverwaltungssysteme gewähren.

Einfügen vor dem Gliederungstitel des 2. Abschnitts

Art. 57hbis Bearbeitung von Personendaten und von Daten juristischer Personen 1 Personendaten, einschliesslich besonders schützenswerter Personendaten, sowie Daten juristischer Personen, einschliesslich besonders schützenswerter Daten im Sinne von Artikel 57r Absatz 2, dürfen in Geschäftsverwaltungssystemen bearbeitet werden, wenn sie dazu dienen: a. Geschäfte zu bearbeiten; b. Arbeitsabläufe zu organisieren; c. festzustellen, ob Daten über eine bestimmte Person bearbeitet werden; d. den Zugang zur Dokumentation zu erleichtern. 2 Anderen Bundesbehörden und bundesexternen Stellen darf Zugriff auf Personendaten, einschliesslich besonders schützenswerter Personendaten, sowie auf Daten juristischer Personen, einschliesslich besonders schützenswerter Daten juristischer Personen im Sinne von Artikel 57r Absatz 2, gewährt werden, wenn die für die Bekanntgabe erforderliche gesetzliche Grundlage vorhanden ist. 3 Geschäftsverwaltungssysteme können besonders schützenswerte Personendaten sowie besonders schützenswerte Daten juristischer Personen im Sinne von Artikel 57r Absatz 2 enthalten, soweit sich diese aus dem Schriftverkehr oder aus der Art eines Geschäftes oder Dokumentes ergeben. 4 Zugriff auf besonders schützenswerte Personendaten sowie auf besonders schützenswerte Daten juristischer Personen im Sinne von Artikel 57r Absatz 2 darf nur Personen gewährt werden, die diesen zur Erfüllung ihrer Aufgabe benötigen.

Art. 57hter Ausführungsbestimmungen Der Bundesrat erlässt die Ausführungsbestimmungen, insbesondere zur Organisation und zum Betrieb der Geschäftsverwaltungssysteme sowie zum Schutz der darin erfassten Personendaten und Daten juristischer Personen.

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Gliederungstitel vor Art. 57i 2. Abschnitt: Bearbeitung von Personendaten und von Daten juristischer Personen bei der Nutzung der elektronischen Infrastruktur

Art. 57i Verhältnis zu anderem Bundesrecht Die Vorschriften dieses Abschnitts gelten nicht, wenn ein anderes Bundesgesetz die Bearbeitung der bei der Nutzung der elektronischen Infrastruktur anfallenden Personendaten und Daten juristischer Personen regelt.

Art. 57j Grundsätze 1 Bundesorgane nach dem Datenschutzgesetz vom …62 (DSG) dürfen Personendaten und Daten juristischer Personen, die bei der Nutzung ihrer oder der in ihrem Auftrag betriebenen elektronischen Infrastruktur anfallen, nicht aufzeichnen und auswerten, ausser wenn dies zu den in den Artikeln 57l–57o aufgeführten Zwecken nötig ist. 2 Die Datenbearbeitung nach diesem Abschnitt kann auch besonders schützenswerte Personendaten sowie besonders schützenswerte Daten juristischer Personen im Sinne von Artikel 57r Absatz 2 umfassen.

Art. 57k Einleitungssatz Die elektronische Infrastruktur umfasst sämtliche stationären oder mobilen Anlagen und Geräte, die Personendaten und Daten juristischer Personen aufzeichnen können; zu ihr gehören insbesondere:

Art. 57l Sachüberschrift, Einleitungssatz und Bst. b Ziff. 4 Aufzeichnung von Personendaten und von Daten juristischer Personen Die Bundesorgane dürfen Personendaten und Daten juristischer Personen, die bei der Nutzung der elektronischen Infrastruktur anfallen, zu folgenden Zwecken aufzeichnen: b. Daten über die Nutzung der elektronischen Infrastruktur: 4. zum Nachvollzug des Zugriffs auf die elektronische Infrastruktur,

62 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Gliederungstitel vor Art. 57r 3. Abschnitt: Bearbeitung von Daten juristischer Personen

Art. 57r Bearbeitung von Daten juristischer Personen 1 Bundesorgane dürfen Daten juristischer Personen, einschliesslich besonders schützenswerter Daten, bearbeiten, soweit die Erfüllung ihrer in einem Gesetz im formellen Sinn umschriebenen Aufgaben dies erfordert.

2 Besonders schützenswerte Daten juristischer Personen sind:

a. Daten über verwaltungs- und strafrechtliche Verfolgungen und Sanktionen; b. Daten über Berufs-, Geschäfts- und Fabrikationsgeheimnisse.

Art. 57s Bekanntgabe von Daten juristischer Personen 1 Bundesorgane dürfen Daten juristischer Personen bekannt geben, wenn eine gesetzliche Grundlage dies vorsieht. 2 Siedürfen besonders schützenswerte Daten juristischer Personen nur bekannt geben, wenn ein Gesetz im formellen Sinn dies vorsieht. 3 Sie dürfen Daten juristischer Personen in Abweichung von den Absätzen 1 und 2 im Einzelfall bekannt geben, wenn eine der folgenden Voraussetzungen erfüllt ist: a. Die Bekanntgabe der Daten ist für das Bundesorgan oder für die Empfängerin oder den Empfänger zur Erfüllung einer gesetzlichen Aufgabe unentbehrlich. b. Die betroffene juristische Person hat in die Bekanntgabe eingewilligt hat. c. Die Empfängerin oder der Empfänger macht glaubhaft, dass die betroffene juristische Person die Einwilligung verweigert oder Widerspruch gegen die Bekanntgabe einlegt, um ihr oder ihm die Durchsetzung von Rechtsansprüchen oder die Wahrnehmung anderer schutzwürdiger Interessen zu verwehren; der betroffenen juristischen Person ist vorgängig Gelegenheit zur Stellungnahme zu geben, es sei denn, dies ist unmöglich oder mit unverhältnismässigem Aufwand verbunden. 4 Sie dürfen Daten juristischer Personen darüber hinaus im Rahmen der behördlichen Information der Öffentlichkeit von Amtes wegen oder gestützt auf das Öffentlichkeitsgesetz vom 17. Dezember 200463 bekannt geben, wenn: a. die Daten im Zusammenhang mit der Erfüllung öffentlicher Aufgaben stehen; und b. an der Bekanntgabe ein überwiegendes öffentliches Interesse besteht. 5 Sie dürfen Daten juristischer Personen mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich machen, wenn eine Rechtsgrundlage die Veröffentlichung dieser Daten vorsieht oder wenn sie Daten gestützt auf Ab-

63 SR 152.3

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

satz 4 bekannt geben. Besteht kein öffentliches Interesse mehr daran, die Daten allgemein zugänglich zu machen, so werden die betreffenden Daten aus dem automatisierten Informations- und Kommunikationsdienst gelöscht. 6 Die Bundesorgane lehnen die Bekanntgabe ab, schränken sie ein oder verbinden sie mit Auflagen, wenn: a. wesentliche öffentliche Interessen oder offensichtlich schutzwürdige Interessen der betroffenen juristischen Person es verlangen; oder b. gesetzliche Geheimhaltungspflichten oder besondere Vorschriften zum Schutz von Daten juristischer Personen es verlangen.

Art. 57t Rechte der juristischen Personen Das anwendbare Verfahrensrecht regelt die Rechte der betroffenen juristischen Personen.

7. Bundespersonalgesetz vom 24. März 200064

Art. 27 Abs. 2 Einleitungssatz und Bst. b 2 DieAusführungsbestimmungen regeln nach dem Datenschutzgesetz vom …65 (DSG): b. die Voraussetzungen und die Zuständigkeit für die Bearbeitung besonders schützenswerter Personendaten nach Artikel 4 Buchstabe c DSG; die Bearbeitung dieser Daten ist nur zulässig, sofern sie für die Personalentwicklung notwendig ist und die betroffene Person schriftlich zugestimmt hat;

Art. 27d Abs. 2 Einleitungssatz und 4 Einleitungssatz 2 Die PSB kann die folgenden zur Erfüllung ihrer Aufgaben notwendigen Personendaten der Klientinnen und Klienten, einschliesslich besonders schützenswerter Personendaten, bearbeiten: 4 Die PSB kann den folgenden Personen und Stellen die in Absatz 2 genannten Personendaten zugänglich machen, sofern sie diese zur Erfüllung ihrer Aufgaben benötigen:

64 SR 172.220.1 65 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

8. Verwaltungsgerichtsgesetz vom 17. Juni 200566

Art. 35 Bst. b Aufgehoben

9. Zivilgesetzbuch67

Art. 45a Abs. 3 Ziff. 3 3 Der Bundesrat regelt im Rahmen des Gesetzes und unter Mitwirkung der Kantone: 3. die zur Sicherstellung des Datenschutzes und der Datensicherheit erforderlichen organisatorischen und technischen Massnahmen sowie die Aufsicht über die Einhaltung der Datenschutzvorschriften;

10. Revisionsaufsichtsgesetz vom 16. Dezember 200568

Art. 15b Bearbeitung von Personendaten und von Daten juristischer Personen Zur Erfüllung ihrer gesetzlichen Aufgabe kann die Aufsichtsbehörde Personendaten sowie Daten juristischer Personen, einschliesslich besonders schützenswerter Personendaten sowie besonders schützenswerter Daten juristischer Personen, bearbeiten.

11. Bundesgesetz vom 24. März 200069 über die Bearbeitung von Personendaten im Eidgenössischen Departement für auswärtige Angelegenheiten

Art. 1 zweiter Satz Aufgehoben

Art. 2 Abs. 1 und 2 erster Satz 1 Zur Planung und Durchführung der Einsätze für die Friedensförderung, die Stärkung der Menschenrechte und die humanitäre Hilfe können die zuständigen Stellen des Departements Daten über an solchen Einsätzen beteiligte Personen bearbeiten.

66 SR 173.32 67 SR 210 68 SR 221.302 69 SR 235.2

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2 Sie können auch besonders schützenswerte Personendaten über die Gesundheit und andere Personendaten zur Beurteilung der Eignung von Personen für Einsätze nach Absatz 1 bearbeiten. …

Art. 5 Abs. 1 Einleitungssatz und 3 1 Zur Erfüllung der völkerrechtlichen Verpflichtungen der Schweiz dürfen das Staatssekretariat und die ständige Mission der Schweiz bei den internationalen Organisationen in Genf Personendaten bearbeiten über: 3 Zur Erfüllung der Verpflichtungen und Aufgaben nach den Absätzen 1 und 2 und zur Mitwirkung bei der Erledigung von Streitfällen mit Beteiligung von Personen, Organisationen oder Institutionen nach Absatz 1 können die zuständigen Stellen im Departement besonders schützenswerte Personendaten bearbeiten, insbesondere Daten über Massnahmen der sozialen Hilfe und über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen.

Art. 6 Bst. a Der Bundesrat erlässt Ausführungsbestimmungen über: a. Organisation und Betrieb der Informationssysteme;

12. Bundesgesetz vom 19. Dezember 198670 gegen den unlauteren Wettbewerb

Art. 22 Abs. 2 zweiter Satz 2 … Im Übrigen sind die Artikel 13 und 14 des Datenschutzgesetzes vom …71 anwendbar.

13. Zivilprozessordnung72

Art. 20 Bst. d Für die folgenden Klagen und Begehren ist das Gericht am Wohnsitz oder Sitz einer der Parteien zuständig: d. Klagen und Begehren nach dem Datenschutzgesetz vom …73 (DSG).

70 SR 241 71 SR 235.1 72 SR 272 73 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 99 Abs. 3 Bst. d 3 Keine Sicherheit ist zu leisten:

d. im Verfahren wegen einer Streitigkeit nach dem DSG74.

Art. 113 Abs. 2 Bst. g 2 Keine Gerichtskosten werden gesprochen in Streitigkeiten:

Art. 114 Bst. f Im Entscheidverfahren werden keine Gerichtskosten gesprochen bei Streitigkeiten:

Art. 243 Abs. 2 Bst. d 2 Es gilt ohne Rücksicht auf den Streitwert für Streitigkeiten:

d. zur Durchsetzung der Ansprüche nach den Artikeln 16 und 23 DSG77;

Gliederungstitel vor Art. 407d 5. Kapitel: Übergangsbestimmung zur Änderung vom …

Art. 407d Für Verfahren, die bei Inkrafttreten der Änderung vom … hängig sind, gilt das neue Recht.

14. Bundesgesetz vom 18. Dezember 198778 über das Internationale Privatrecht

Art. 130 Abs. 3 3 Klagen zur Durchsetzung des Auskunfts- oder Einsichtsrechts im Zusammenhang mit der Bearbeitung von Personendaten können bei den in Artikel 129 genannten Gerichten eingereicht werden.

74 SR 235.1 75 SR 235.1 76 SR 235.1 77 SR 235.1 78 SR 291

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

15. Strafgesetzbuch79

Art. 130 Abs. 3 3 Klagen zur Durchsetzung des Auskunfts- oder Einsichtsrechts im Zusammenhang mit der Bearbeitung von Personendaten können bei den in Artikel 129 genannten Gerichten eingereicht werden.

Art. 179novies Unbefugtes Wer unbefugt besonders schützenswerte Personendaten, die nicht für Beschaffen von Personendaten jedermann zugänglich sind, beschafft, wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.

Einfügen vor dem Gliederungstitel des 4. Titels

Art. 179decies Identitätsmiss- Wer die Identität einer anderen Person ohne deren Einwilligung brauch verwendet, um dieser zu schaden oder um sich oder einem Dritten einen unrechtmässigen Vorteil zu verschaffen, wird auf Antrag mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bestraft.

Art. 352 Abs. 2 2 Für den Austausch von Informationen zur Suche nach Vermissten, zur Identifizierung von Unbekannten und zu administrativen Zwecken

Art. 355a Abs. 1 1 Das Bundesamt für Polizei (fedpol) und der Nachrichtendienst des Bundes (NDB) können dem Europäischen Polizeiamt (Europol) Personendaten, einschliesslich besonders schützenswerter Personendaten, weitergeben.

Art. 365 Abs. 1 erster Satz 1 Das Bundesamt für Justiz führt unter Mitwirkung anderer Bundesbehörden und der Kantone (Art. 367 Abs. 1) ein automatisiertes Strafregister über Verurteilungen und Gesuche um Strafregisterauszug im Rahmen von hängigen Strafverfahren, das besonders schützenswerte Personendaten enthält. …

79 SR 311.0 80 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

16. Bundesgesetz vom 22. März 197481 über das Verwaltungsstrafrecht

Gliederungstitel vor Art. 18a Dritter Abschnitt: Schutz von Personendaten

Art. 18a A. Schutz von 1 Personendaten sind bei der betroffenen Person oder für diese er- Personendaten kennbar zu beschaffen, wenn dadurch das Verfahren nicht gefährdet I. Beschaffung von Personen- oder unverhältnismässig aufwendig wird. daten 2 Erfolgte die Beschaffung von Personendaten ohne Wissen der betroffenen Person, so ist diese umgehend darüber zu informieren. Die Information kann zum Schutz überwiegender öffentlicher oder privater Interessen unterlassen oder aufgeschoben werden.

Art. 18b II. Bearbeitung Bei der Bearbeitung von Personendaten sorgt die Verwaltungsbehörde von Personendaten des Bundes dafür, dass sie so weit wie möglich unterscheidet: a. zwischen den verschiedenen Kategorien betroffener Personen; b. zwischen auf Tatsachen und auf persönlichen Einschätzungen beruhenden Personendaten.

Art. 18c III. Bekanntgabe Die Verwaltungsbehörde des Bundes darf Personendaten aus einem und Verwendung von Personenda- hängigen Verwaltungsstrafverfahren zur Verwendung in einem andeten bei hängigem ren hängigen Verfahren bekannt geben, wenn anzunehmen ist, dass Strafverfahren die Personendaten wesentliche Aufschlüsse geben können.

Art. 18d IV. Auskunfts- Solange ein Verfahren hängig ist, haben die Parteien und die anderen recht bei hängigem Verfahren Verfahrensbeteiligten nach Massgabe des ihnen zustehenden Akteneinsichtsrechts das Recht auf Auskunft über die sie betreffenden Personendaten.

Art. 18e V. Richtigkeit der 1 Die Verwaltungsbehörde des Bundes berichtigt unrichtige Personen- Personendaten daten unverzüglich.

81 SR 313.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2 Sie benachrichtigt die Behörde, die ihr die Personendaten übermittelt oder bereitgestellt oder der sie diese bekanntgegeben hat, unverzüglich über die Berichtigung.

17. Militärstrafprozess vom 23. März 197982

Gliederungstitel vor Art. 25a Sechstes Kapitel: Schutz von Personendaten

Art. 25a Beschaffung von Personendaten 1 Personendaten sind bei der betroffenen Person oder für diese erkennbar zu beschaffen, wenn dadurch das Verfahren nicht gefährdet oder unverhältnismässig aufwendig wird. 2 Erfolgte die Beschaffung von Personendaten ohne Wissen der betroffenen Person, so ist diese umgehend darüber zu informieren. Die Information kann zum Schutz überwiegender öffentlicher oder privater Interessen unterlassen oder aufgeschoben werden.

Art. 25b Bearbeitung von Personendaten Bei der Bearbeitung von Personendaten sorgt die militärische Strafbehörde dafür, dass sie so weit wie möglich unterscheidet: a. zwischen den verschiedenen Kategorien betroffener Personen; b. zwischen auf Tatsachen und auf persönlichen Einschätzungen beruhenden Personendaten.

Art. 25c Bekanntgabe und Verwendung von Personendaten bei hängigem Verfahren Die militärische Strafbehörde darf aus einem hängigen militärischen Strafverfahren Personendaten zwecks Verwendung in einem anderen hängigen Verfahren bekanntgeben, wenn anzunehmen ist, dass die Personendaten wesentliche Aufschlüsse geben können.

Art. 25d Auskunftsrecht bei hängigem Verfahren Solange ein Verfahren hängig ist, haben die Parteien und die anderen Verfahrensbeteiligten nach Massgabe des ihnen zustehenden Akteneinsichtsrechts das Recht auf Auskunft über die sie betreffenden Personendaten.

82 SR 322.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 25e Richtigkeit der Personendaten 1 Die militärische Strafbehörde berichtigt unrichtige Personendaten unverzüglich.

2 Sie benachrichtigt die Behörde, die ihr die Personendaten übermittelt oder bereitgestellt oder der sie diese bekanntgegeben hat, unverzüglich über die Berichtigung.

18. Bundesgesetz vom 13. Juni 200883 über die polizeilichen Informationssysteme des Bundes

Art. 3 Abs. 2 erster Satz 2 Im Rahmen dieses Gesetzes dürfen die Polizeibehörden des Bundes Personendaten, einschliesslich besonders schützenswerter Personendaten, bearbeiten und den kantonalen Polizei- und Strafverfolgungsbehörden sowie anderen schweizerischen oder ausländischen Behörden bekanntgeben. …

Art. 5 Sachüberschrift und Abs. 2 Datenbearbeitung zur internen Kontrolle 2 Aufgehoben

Art. 7 Abs. 1 1 Das Auskunftsrecht richtet sich nach den Artikeln 23 und 24 des Datenschutzgesetzes vom …84 (DSG).

19. ETH-Gesetz vom 4. Oktober 199185

Art. 36a Abs. 1 erster Satz 1 Der ETH-Rat, die ETH und die Forschungsanstalten betreiben je ein Personalinformationssystem, in dem auch besonders schützenswerte Personendaten bearbeitet werden können. …

Art. 36b Abs. 1 und 5 zweiter Satz 1 Jede ETH betreibt für die Verwaltung der Daten der Studienanwärter, Studierenden, Doktoranden und Hörer ein Informationssystem, in dem auch besonders schützenswerte Personendaten bearbeitet werden können.

83 SR 361 84 SR 235.1 85 SR 414.110

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

5 … Die Bekanntgabe besonders schützenswerter Personendaten durch ein Abrufverfahren ist nur an die für die Studienadministration zuständigen Stellen innerhalb jeder ETH gestattet.

Art. 36c Bearbeitung der Daten 1 Die ETH und die Forschungsanstalten können im Rahmen von Forschungsprojekten Personendaten, einschliesslich besonders schützenswerter Personendaten, bearbeiten, soweit dies für das entsprechende Projekt erforderlich ist. 2 Sie stellen sicher, dass dabei die Bestimmungen des Datenschutzgesetzes vom …86 eingehalten werden.

20. Sportförderungsgesetz vom 17. Juni 201187

Art. 21 Abs. 3 Einleitungssatz 3 Die Dopingkontrollstellen nach Absatz 2 sind berechtigt, die im Zusammenhang mit ihrer Kontrolltätigkeit erhobenen Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten und an die zuständige Stelle weiterzuleiten für:

Art. 25 Abs. 1 Einleitungssatz und 4 1 Die nach Artikel 19 für Massnahmen gegen Doping zuständige Stelle ist berechtigt, Personendaten, einschliesslich besonders schützenswerter Personendaten, zum Zweck der Dopingbekämpfung mit anerkannten ausländischen oder internationalen Dopingbekämpfungsstellen auszutauschen, wenn ein solcher Datenaustausch notwendig ist: 4 Die nach Artikel 19 für Massnahmen gegen Doping zuständige Stelle hat dafür zu sorgen, dass die von ihr übermittelten Personendaten nicht an unberechtigte Dritte weitergegeben werden. Im Übrigen sind die Artikel 13 und 14 des Datenschutzgesetzes vom …88 anwendbar.

86 SR 235.1 87 SR 415.0 88 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

21. Bundesgesetz vom 19. Juni 201589 über die Informationssysteme des Bundes im Bereich Sport

Art. 1 Abs. 1 Einleitungssatz 1 Dieses Gesetz regelt die Bearbeitung von Personendaten (Daten), einschliesslich besonders schützenswerter Personendaten, in den Informationssystemen des Bundesamtes für Sport (BASPO) durch:

Art. 4 Aufgehoben

Art. 9 Einleitungssatz Das nationale Informationssystem für Sport enthält alle Personendaten und Informationen, einschliesslich besonders schützenswerter Personendaten, die zur Erfüllung der Aufgaben in den Bereichen nach Artikel 8 notwendig sind, insbesondere:

Art. 14 Einleitungssatz Das Informationssystem für medizinische Daten enthält alle Personendaten und Informationen, einschliesslich besonders schützenswerter Personendaten, die zur Erfüllung der Aufgaben nach Artikel 13 notwendig sind, insbesondere:

Art. 18 Einleitungssatz Das Informationssystem für leistungsdiagnostische Daten enthält alle Personendaten und Informationen, einschliesslich besonders schützenswerter Personendaten, die zur Erfüllung der Aufgaben nach Artikel 17 notwendig sind, insbesondere:

Art. 22 Einleitungssatz Das Informationssystem der EHSM enthält alle Personendaten und Informationen, einschliesslich besonders schützenswerter Personendaten, die zur Erfüllung der Aufgaben nach Artikel 21 notwendig sind, insbesondere:

Art. 26 Einleitungssatz Das Informationssystem zur Kursevaluation enthält alle Personendaten und Informationen, einschliesslich besonders schützenswerter Personendaten, die für die Evaluation der Kurse und Lehrveranstaltungen notwendig sind, insbesondere:

89 SR 415.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 32 Einleitungssatz Das Informationssystem der nationalen Agentur zur Bekämpfung von Doping enthält alle Personendaten und Informationen, einschliesslich besonders schützenswerter Personendaten, die für die Dopingbekämpfung notwendig sind, insbesondere:

22. Bundesstatistikgesetz vom 9. Oktober 199290

Art. 5 Abs. 2 Bst. a und 4 Bst. a 2 Er kann die Anordnungsbefugnis an ein Departement, eine Gruppe oder ein Amt delegieren: a. für Erhebungen, bei denen keine Personendaten oder Daten juristischer Personen erhoben werden; 4 Andere dem Gesetz nach Artikel 2 Absatz 2 oder 3 unterstellte Organisationen sind befugt zur selbständigen Anordnung von: a. Erhebungen, bei denen keine Personendaten oder Daten juristischer Personen erhoben werden;

Art. 7 Abs. 2 2 Er kann dabei die Übernahme von Daten aus ihren Datenbanken anordnen, sofern die Rechtsgrundlage der Datenbank die Verwendung für statistische Zwecke nicht ausdrücklich ausschliesst. Unterliegen diese Daten einer gesetzlich verankerten Geheimhaltungspflicht, so dürfen sie gemäss Artikel 19 des vorliegenden Gesetzes sowie Artikel 35 des Datenschutzgesetzes vom …91 nicht weitergegeben werden.

Art. 10 Abs. 4 und 5 zweiter Satz 4 Die Verwaltungseinheiten sowie, nach Massgabe ihrer Unterstellung nach Artikel 2 Absatz 3, die übrigen Organe liefern dem Bundesamt zur Erfüllung seiner Aufgaben die Ergebnisse und Grundlagen ihrer Statistiktätigkeit und, falls erforderlich, die Daten aus ihren Datenbanken und Erhebungen. 5 … Das Bundesamt darf diese Daten gemäss Artikel 19 des vorliegenden Gesetzes sowie Artikel 35 des Datenschutzgesetzes vom …92 nicht weitergeben.

90 SR 431.01 91 SR 235.1 92 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 12 Abs. 2 2 Das Bundesamt wirkt auf eine Koordination mit den kantonalen Statistiken hin, insbesondere um die Erhebungsprogramme aufeinander abzustimmen und Register oder andere Datenbanken im Hinblick auf die statistische Bearbeitung zu harmonisieren.

Art. 14 Abs. 1 1 Die zu statistischen Zwecken erhobenen oder weitergegebenen Daten dürfen nicht zu anderen Zwecken verwendet werden, ausser wenn ein Bundesgesetz eine andere Verwendung ausdrücklich anordnet oder die betroffene natürliche oder juristische Person einer solchen schriftlich zustimmt.

Art. 14a Abs. 1 zweiter Satz 1 … Werden besonders schützenswerte Personendaten oder besonders schützenswerte Daten juristischer Personen verknüpft oder ergeben sich aus der Verknüpfung die wesentlichen Merkmale einer natürlichen oder juristischen Person, so sind die verknüpften Daten nach Abschluss der statistischen Auswertungsarbeiten zu löschen. …

Art. 15 Abs. 1 1 Alle Stellen, die Personendaten oder Daten juristischer Personen für die oder aus der Bundesstatistik bearbeiten, müssen diese durch die erforderlichen organisatorischen und technischen Massnahmen gegen unbefugtes Bearbeiten schützen.

Art. 16 Abs. 1 1 Für den Datenschutz bei allen statistischen Arbeiten gelten die Bestimmungen dieses Gesetzes. Für Personendaten gelten ausserdem die Bestimmungen des Datenschutzgesetzes vom …93 über die Bearbeitung für Forschung, Planung und Statistik.

Art. 19 Abs. 2 Einleitungssatz 2 Die Statistikproduzenten des Bundes dürfen Personendaten und Daten juristischer Personen für nicht personenbezogene Zwecke, insbesondere für Forschung, Planung und Statistik, Forschungs- und Statistikstellen des Bundes sowie Dritten bekannt geben, wenn:

93 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

23. Bundesgesetz vom 18. Juni 201094 über die Unternehmens-Identifikationsnummer

Art. 3 Abs. 1 Bst. d

1 In diesem Gesetz gelten als:

d. UID-Stellen: Verwaltungseinheiten von Bund, Kantonen und Gemeinden, öffentlich-rechtliche Anstalten sowie mit öffentlich-rechtlichen Aufgaben betraute private Einrichtungen, die aufgrund deren wirtschaftlichen Tätigkeit Datenbanken über UID-Einheiten führen;

Art. 5 Abs. 1 Bst. b

1 Die UID-Stellen müssen die UID:

b. in ihren Datenbanken verwenden;

24. Nationalbibliotheksgesetz vom 18. Dezember 199295

Art. 2 Abs. 2 2 Sie verzeichnet öffentlich zugängliche Datenbanken, die einen Bezug zur Schweiz aufweisen.

Art. 7 Sachüberschrift und Einleitungssatz Verzeichnung von Datenbanken Die Nationalbibliothek verzeichnet die öffentlich zugänglichen Datenbanken, die:

25. Bundesgesetz vom 16. März 201296 über den Verkehr mit Tieren und Pflanzen geschützter Arten

Art. 23 Abs. 2 erster Satz 2 Die Daten dürfen im Abrufverfahren bekannt gegeben werden, wenn die entsprechende ausländische Gesetzgebung einen angemessenen Datenschutz nach Artikel 13 des Datenschutzgesetzes vom …97 gewährleistet. …

94 SR 431.03 95 SR 432.21 96 SR 453 97 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

26. Tierschutzgesetz vom 16. Dezember 200598

Art. 20c Abs. 1 Einleitungssatz 1 Die folgenden Personen dürfen im Rahmen ihrer gesetzlichen Aufgaben Personendaten, einschliesslich besonders schützenswerter Personendaten, bearbeiten und im Abrufverfahren auf diese Daten zugreifen:

27. Militärgesetz vom 3. Februar 199599

Art. 31 Abs. 2 zweiter Satz 2 … Diese dürfen Personendaten, einschliesslich besonders schützenswerter Personendaten, bearbeiten, soweit und solange es der Vollzug ihrer Aufgaben erfordert.

Art. 99 Abs. 2 erster Satz und 3 Bst. d 2 Er ist zur Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Personendaten und anderer Personendaten, welche die Beurteilung des Grades der Gefährlichkeit einer Person erlauben, befugt, gegebenenfalls ohne Wissen der betroffenen Personen, soweit und solange es der Vollzug seiner Aufgaben erfordert. …

3 Der Bundesrat regelt:

d. die Ausnahmen von den Vorschriften über die Registrierung von Datenbearbeitungstätigkeiten, wenn diese die Informationsbeschaffung gefährden würden.

Art. 100 Abs. 2 erster Satz 2 Er ist befugt, Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten, soweit und solange es der Vollzug seiner Aufgaben erfordert. …

Art. 146 Die Bearbeitung von besonders schützenswerten Personendaten und von Personendaten, welche die Beurteilung des Grades der Gefährlichkeit einer Person erlauben, in Informationssystemen und beim Einsatz von Überwachungsmitteln der Armee und der Militärverwaltung wird im Bundesgesetz vom 3. Oktober 2008100 über die militärischen Informationssysteme geregelt.

98 SR 455 99 SR 510.10 100 SR 510.91

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

28. Geoinformationsgesetz vom 5. Oktober 2007101

Art. 11 Datenschutz 1 Das Datenschutzgesetz vom …102 findet auf alle Geobasisdaten des Bundesrechts Anwendung. Die Artikel 12 Absatz 2 Buchstabe c, 14 Absätze 1 und 2 und 32 Absatz 2 Buchstabe d dieses Gesetzes und die entsprechenden Ausführungsbestimmungen bleiben vorbehalten. 2 Der Bundesrat kann Ausnahmen zur Pflicht, ein Register der Bearbeitungstätigkeiten zu führen, vorsehen, wenn aufgrund der Bearbeitung lediglich ein beschränktes Risiko für einen Eingriff in die Grundrechte der betroffenen Person besteht. 3 Er kann zwingende Zugangsberechtigungsstufen für die Geobasisdaten des Bundesrechts vorsehen.

29. Bundesgesetz vom 3. Oktober 2008103 über die militärischen Informationssysteme

Art. 1 Abs. 1 Einleitungssatz und 3 1 Dieses Gesetz regelt die Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Personendaten (Daten), in Informationssystemen und beim Einsatz von Überwachungsmitteln der Armee und der Militärverwaltung durch: 3 Soweit dieses Gesetz keine besonderen Bestimmungen enthält, ist das Datenschutzgesetz vom …104 anwendbar.

Art. 10 Bst. c Nicht bearbeitet werden dürfen Daten über: c. die Zugehörigkeit zu einer Rasse oder Ethnie.

Art. 11 Abs. 2 2 Erlaubt die Verknüpfung von Personendaten die Beurteilung von wesentlichen Merkmalen einer Person, so werden die verknüpften Daten längstens aufbewahrt: a. bis zur Entlassung aus der Militärdienstpflicht; oder b. während fünf Jahren ab Beendigung der Anstellung bei der Gruppe Verteidigung.

101 SR 510.62 102 SR 235.1 103 SR 510.91 104 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

30. Kriegsmaterialgesetz vom 13. Dezember 1996105

Art. 30 Abs. 2 zweiter Satz 2 … Soweit und solange es der Vollzug ihrer Aufgaben erfordert, ist sie zur Bearbeitung von Personendaten, einschliesslich besonders schützenswerter Personendaten und anderer Personendaten, welche die Beurteilung der Gefahr erlauben, dass eine Person Widerhandlungen gegen dieses Gesetz begeht, befugt.

31. Waffengesetz vom 20. Juni 1997106

Art. 32e Abs. 1 und 2 1 Personendaten dürfen Drittstaaten nur bekannt gegeben werden, wenn diese ein angemessenes Datenschutzniveau nach Artikel 13 Absatz 1 des Datenschutzgesetzes vom …107 (DSG) gewährleisten. 2 Gewährleistet ein Drittstaat kein angemessenes Datenschutzniveau, so können ihm Personendaten in folgenden Fällen bekannt gegeben werden: a. Die betroffene Person hat nach Artikel 5 Absatz 6 DSG eingewilligt. b. Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist deren Einwilligung einzuholen. c. Die Bekanntgabe ist notwendig zur Wahrung überwiegender öffentlicher Interessen oder zur Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht oder einer anderen ausländischen Behörde.

Art. 32g zweiter Satz Aufgehoben

32. Bevölkerungs- und Zivilschutzgesetz vom 4. Oktober 2002108

Art. 72 Abs. 1 zweiter Einleitungssatz und Bst. a und b sowie 1bis 1 … Es kann folgende Daten bearbeiten:

a. Daten über die Gesundheit; b. Personendaten, die es erlauben, die Zuteilung der Grundfunktion oder die Abklärung des Kaderpotenzials zu beurteilen.

105 SR 514.51 106 SR 514.54 107 SR 235.1 108 SR 520.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

1bis Es bearbeitet die Personendaten von Kursteilnehmenden zur Durchführung der Ausbildungen im Veranstaltungsadministratorsystem. Es kann folgende Daten bearbeiten: a. Daten über die Gesundheit; b. Personendaten, die es erlauben, die Eignung für eine Kader- oder Spezialistenfunktion zu beurteilen.

33. Finanzhaushaltsgesetz vom 7. Oktober 2005109

Art. 60c Abs. 1 Einleitungssatz und 3 1 Die SKB bearbeitet in Papierform und in einem Informationssystem die Daten, einschliesslich besonders schützenswerter Personendaten, ihrer Kundinnen und Kunden, die sie zur Erfüllung ihrer Aufgabe benötigt, namentlich um: 3 Die Angestellten der SKB können für die Erfüllung ihrer Aufgaben Personendaten, einschliesslich besonders schützenswerter Personendaten, an ihre direkten Vorgesetzten weitergeben, auch wenn diese nicht Angestellte der SKB sind.

34. Finanzkontrollgesetz vom 28. Juni 1967110

Art. 10 Abs. 3 3 Die Verwaltungseinheiten des Bundes räumen der Eidgenössischen Finanzkontrolle das Recht ein, im Abrufverfahren auf die für die Wahrnehmung der Finanzaufsicht erforderlichen Daten zuzugreifen. Bei Bedarf erstreckt sich das Zugriffsrecht auch auf besonders schützenswerte Personendaten. Die Eidgenössische Finanzkontrolle darf die ihr derart zur Kenntnis gebrachten Personendaten nur bis zum Abschluss des Revisionsverfahrens speichern. Die Zugriffe auf die verschiedenen Systeme und die damit verfolgten Zwecke müssen protokolliert werden.

35. Zollgesetz vom 18. März 2005111

Art. 38 Abs. 2 2 Sie kann die Veranlagungsverfügung als automatisierte Einzelentscheidung nach Artikel 19 des Datenschutzgesetzes vom …112 (DSG) erlassen.

109 SR 611.0 110 SR 614.0 111 SR 631.0 112 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 103 Abs. 1 Einleitungssatz und 2 1 Die EZV darf durch Fotografieren oder durch Abnahme genetischer oder biometrischer Daten die Identität einer Person festhalten, sofern: 2 Der Bundesrat legt fest, welche genetischen und biometrischen Daten abgenommen werden dürfen.

Art. 110 Abs. 1 und 2 1 Die EZV darf Personendaten, einschliesslich besonders schützenswerter Personendaten, bearbeiten betreffend: a. das Veranlagen und das Erheben von Abgaben; b. das Erstellen von Risikoanalysen; c. das Verfolgen und das Beurteilen von Straffällen; d. das Behandeln von Amts- und Rechtshilfeersuchen; e. das Erstellen von Statistiken; f. das Durchführen und das Analysieren polizeilicher Tätigkeiten im Bereich der Personenkontrolle; g. das Durchführen und das Analysieren des Vollzugs der nichtzollrechtlichen Erlasse des Bundes; h. das Durchführen und das Analysieren von Tätigkeiten zur Verbrechensbekämpfung. 2 Sie darf zu diesem Zweck Informationssysteme führen. Sie ist darüber hinaus für die Erfüllung der Aufgaben nach Absatz 1 Buchstaben a–c und e–h zum Profiling nach Artikel 4 Buchstabe f DSG113 befugt.

Art. 110a Abs. 3 Bst. b 3 Im Informationssystem dürfen folgende besonders schützenswerte Personendaten bearbeitet werden: b. Angaben zur Religionszugehörigkeit, falls dies für die Strafverfolgung ausnahmsweise erforderlich ist;

Art. 112 Abs. 2 Einleitungssatz und 4 Bst. b sowie 6 dritter Satz 2 Es dürfen namentlich folgende Daten und Datenverbindungen, einschliesslich besonders schützenswerter Personendaten sowie Daten, die auf einem Profiling beruhen, bekannt gegeben werden:

113 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

4 Die EZV darf die folgenden Daten den nachfolgend genannten Behörden im Abrufverfahren zugänglich machen, sofern die Daten für den Vollzug der von diesen Behörden anzuwendenden Erlasse notwendig sind: b. aufgehoben 6 … Artikel 13 Absatz 1 DSG114 bleibt vorbehalten.

Art. 113 Bekanntgabe an ausländische Behörden Die EZV darf Behörden anderer Staaten sowie supranationaler und internationaler Organisationen (ausländische Behörden) Daten, einschliesslich besonders schützenswerter Personendaten sowie Daten, die auf einem Profiling beruhen, im Einzelfall oder im Abrufverfahren nur bekannt geben, sofern ein völkerrechtlicher Vertrag dies vorsieht.

Art. 114 Abs. 2 2 Die inländischen Behörden geben der EZV Daten, einschliesslich besonders schützenswerter Personendaten sowie Daten, die auf einem Profiling beruhen, bekannt, sofern dies für den Vollzug der von der EZV anzuwendenden Erlasse notwendig ist.

36. Mehrwertsteuergesetz vom 12. Juni 2009115

Art. 76 Abs. 1 zweiter Satz Aufgehoben

37. Tabaksteuergesetz vom 21. März 1969116

Art. 18 Abs. 4 4 Die Festsetzung des Steuerbetrags kann als automatisierte Einzelentscheidung nach Artikel 19 des Datenschutzgesetzes vom …117 erfolgen.

114 SR 235.1 115 SR 641.20 116 SR 641.31 117 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

38. Biersteuergesetz vom 6. Oktober 2006118

Art. 17 Abs. 3 zweiter Satz 3 … Diese kann als automatisierte Einzelentscheidung nach Artikel 19 des Datenschutzgesetzes vom …119 erfolgen.

39. Mineralölsteuergesetz vom 21. Juni 1996120

Art. 21 Abs. 2bis 2bis Die Festsetzung des Steuerbetrags kann als automatisierte Einzelentscheidung nach Artikel 19 des Datenschutzgesetzes vom …121 erfolgen.

40. Schwerverkehrsabgabegesetz vom 19. Dezember 1997122

Art. 11 Abs. 4 4 Die Festsetzung der Abgabe kann als automatisierte Einzelentscheidung nach Artikel 19 des Datenschutzgesetzes vom …123 erfolgen.

41. Kernenergiegesetz vom 21. März 2003124

Art. 24 Abs. 2 2 Im Rahmen dieser Prüfung können Daten über die Gesundheit und die psychische Eignung sowie sicherheitsrelevante Daten über die Lebensführung der betroffenen Person bearbeitet werden.

42. Elektrizitätsgesetz vom 24. Juni 1902125

Art. 25a Abs. 2 2 Sie können die Daten untereinander austauschen, soweit dies für den einheitlichen Vollzug dieses Gesetzes erforderlich ist.

118 SR 641.411 119 SR 235.1 120 SR 641.61 121 SR 235.1 122 SR 641.81 123 SR 235.1 124 SR 732.1 125 SR 734.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

43. Strassenverkehrsgesetz vom 19. Dezember 1958126

Art. 76b Abs. 3 zweiter Satz 3 … Sie sind zur Erfüllung der ihnen übertragenen Aufgaben befugt, die dafür benötigten Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen.

44. Eisenbahngesetz vom 20. Dezember 1957127

Art. 16a Datenbearbeitung durch Konzessionsinhaberinnen 1 Die Unternehmen unterstehen für ihre konzessionierten und bewilligten Tätigkeiten den Artikeln 29–38 des Datenschutzgesetzes vom …128 (DSG). Handeln sie dabei privatrechtlich, so unterstehen sie stattdessen den Artikeln 26–28 DSG. 2 Sie können Personendaten, einschliesslich besonders schützenswerter Personendaten, bearbeiten, soweit dies für die Sicherheit der Infrastruktur, insbesondere für deren Bau und Betrieb, erforderlich ist. Dies gilt auch für Dritte, die Aufgaben der Konzessionsinhaberinnen wahrnehmen. Diese bleiben für die Einhaltung der Datenschutzvorschriften verantwortlich.

45. Personenbeförderungsgesetz vom 20. März 2009129

Art. 54 Datenbearbeitung durch Konzessionsinhaberinnen 1 Die Unternehmen unterstehen für ihre konzessionierten und bewilligten Tätigkeiten den Artikeln 29–38 des Datenschutzgesetzes vom …130 (DSG). Handeln sie dabei privatrechtlich, so unterstehen sie stattdessen den Artikeln 26–28 DSG. 2 Sie können besonders schützenswerte Personendaten bearbeiten, soweit dies für die Personenbeförderung und den Betrieb oder für die Sicherheit der Reisenden, des Betriebes oder der Infrastruktur erforderlich ist. Dies gilt auch für Dritte, die Aufgaben eines Unternehmens mit einer Konzession oder Bewilligung nach den Artikeln 6–8 wahrnehmen. Das Unternehmen bleibt für die Einhaltung der Datenschutzvorschriften verantwortlich.

126 SR 741.01 127 SR 742.101 128 SR 235.1 129 SR 745.1 130 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

46. Rohrleitungsgesetz vom 4. Oktober 1963131

Art. 47a Abs. 2 2 Sie können die Daten untereinander austauschen, soweit dies für den einheitlichen Vollzug dieses Gesetzes erforderlich ist.

47. Luftfahrtgesetz vom 21. Dezember 1948132

Art. 107a Abs. 2 Einleitungssatz, 4 und 5 2 Bearbeitet werden Personendaten, einschliesslich besonders schützenswerter Personendaten, betreffend: 4 Die Erbringer der zivilen und der militärischen Flugsicherungsdienste können zur Untersuchung von Flugunfällen und schweren Vorfällen bei Flugverkehrsstellen Hintergrundgespräche und -geräusche aufzeichnen. Der Bundesrat regelt die Verantwortung für die Datenbeschaffung, das Auswertungsverfahren, die Datenempfänger, die Aufbewahrungsdauer sowie die technischen und organisatorischen Schutzmassnahmen. 5 Die Daten bearbeitenden Stellen können zum Vollzug ihrer gesetzlichen Aufgaben den mit entsprechenden Aufgaben betrauten in- und ausländischen Behörden sowie internationalen Organisationen Personendaten, einschliesslich besonders schützenswerter Personendaten, bekanntgeben, wenn die Voraussetzungen von Artikel 13 des Datenschutzgesetzes vom …133 erfüllt sind.

48. Postgesetz vom 17. Dezember 2010134

Art. 26 Abs. 1, 2 Einleitungssatz und 3 zweiter Satz 1 Die PostCom sowie weitere mit dem Vollzug dieses Gesetzes betraute Behörden übermitteln anderen Behörden des Bundes und der Kantone diejenigen Daten, die diese zur Erfüllung ihrer gesetzlichen Aufgaben benötigen; dazu gehören auch die in Verwaltungs- oder Verwaltungsstrafverfahren beschafften besonders schützenswerten Personendaten. 2 Unter Vorbehalt anders lautender internationaler Vereinbarungen darf die PostCom ausländischen Aufsichtsbehörden im Postbereich Daten, einschliesslich in Verwal-

131 SR 746.1 132 SR 748.0 133 SR 235.1 134 SR 783.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

tungs- oder Verwaltungsstrafverfahren beschaffter besonders schützenswerter Personendaten, nur übermitteln, sofern diese Behörden: 3 … Dazu gehören auch die in Verwaltungs- oder Verwaltungsstrafverfahren beschafften besonders schützenswerten Personendaten.

Art. 28 Bearbeitung von Personendaten Die PostCom sowie die Schlichtungsstelle dürfen zur Erfüllung ihrer gesetzlichen Aufgaben Personendaten, einschliesslich besonders schützenswerter Personendaten, betreffend strafrechtliche Verfolgungen und Sanktionen, bearbeiten.

49. Fernmeldegesetz vom 30. April 1997135

Art. 13a Abs. 1 erster Satz 1 Die Kommission und das Bundesamt können Personendaten, einschliesslich Daten über verwaltungs- oder strafrechtliche Verfolgungen und Sanktionen, bearbeiten, sofern dies zur Erfüllung der ihnen durch die Fernmeldegesetzgebung auferlegten Aufgaben unerlässlich ist. …

Art. 13b Abs. 1 zweiter Satz, 2 Einleitungssatz und 4 erster Satz 1 … Zu diesen Daten gehören auch die in Verwaltungs- oder Verwaltungsstrafverfahren beschafften besonders schützenswerten Personendaten. … 2 Unter Vorbehalt anders lautender internationaler Vereinbarungen dürfen die Kommission und das Bundesamt ausländischen Aufsichtsbehörden im Fernmeldebereich Daten, einschliesslich in Verwaltungs- oder Verwaltungsstrafverfahren beschaffter besonders schützenswerter Personendaten, nur übermitteln, sofern diese Behörden: 4 Schweizerische Behörden geben der Kommission und dem Bundesamt kostenlos diejenigen Daten weiter, die für die Durchsetzung der Fernmeldegesetzgebung von Bedeutung sein können, einschliesslich besonders schützenswerter Personendaten. …

50. Bundesgesetz vom 24. März 2006136 über Radio und Fernsehen

Art. 69f Abs. 1 zweiter Satz 1 … Die Datenbearbeitung richtet sich nach den für Bundesorgane geltenden Bestimmungen des Datenschutzgesetzes vom …137 (DSG).

135 SR 784.10 136 SR 784.40 137 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 88 Abs. 2 2 Die Datenbearbeitung richtet sich nach den für Bundesorgane geltenden Bestimmungen des DSG138.

51. Humanforschungsgesetz vom 30. September 2011139

Art. 42 Abs. 2 2 Nichtgenetische gesundheitsbezogene Personendaten dürfen zu Forschungszwecken ins Ausland bekannt gegeben werden, wenn die Anforderungen der Artikel 13 und 14 des Datenschutzgesetzes vom …140 erfüllt sind.

52. Betäubungsmittelgesetz vom 3. Oktober 1951141

Art. 3f Abs. 1 1 Die für den Vollzug dieses Gesetzes zuständigen Behörden und Institutionen sind berechtigt, Personendaten, einschliesslich besonders schützenswerter Personendaten, zur Überprüfung der Voraussetzungen und des Verlaufs der Behandlung von betäubungsmittelabhängigen Personen zu bearbeiten.

Art. 18c zweiter Satz Aufgehoben

53. Epidemiengesetz vom 28. September 2012142

Art. 60 Abs. 9 erster Satz 9 Das Recht, Auskünfte über die Daten im Informationssystem zu erhalten, und das Recht, die Daten berichtigen zu lassen, richten sich nach den Artikeln 23 und 37 des Datenschutzgesetzes vom …143 (DSG).

138 SR 235.1 139 SR 810.30 140 SR 235.1 141 SR 812.121 142 SR 818.101 143 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 62 Abs. 1 sowie 3 Einleitungssatz und Bst. a und d 1 Das BAG und die zuständigen kantonalen Behörden dürfen zum Vollzug dieses Gesetzes den mit entsprechenden Aufgaben betrauten ausländischen Behörden sowie supranationalen und internationalen Organisationen Personendaten, einschliesslich Daten über die Gesundheit, bekannt geben, wenn: a. die Gesetzgebung des betreffenden Staates oder die supranationale oder internationale Organisation einen angemessenen Datenschutz nach Artikel 13 Absatz 1 DSG144 gewährleistet; oder b. die Personendaten mit spezifischen Garantien nach Artikel 13 Absatz 2 Buchstabe c DSG bekannt gegeben werden. 3 In Abweichung von Absatz 1 können die Personendaten nur ins Ausland bekannt gegeben werden, wenn: a. Aufgehoben d. die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen, und es nicht möglich ist, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.

54. Bundesgesetz vom 17. Juni 2005145 gegen die Schwarzarbeit

Gliederungstitel vor Art. 17 11. Abschnitt: Datenbearbeitung und Strafbestimmungen

Art. 17 Sachüberschrift, Abs. 1 Einleitungssatz sowie 2 und 4 Bearbeitung von Personendaten

1 Das kantonale Kontrollorgan ist befugt, folgende Personendaten zu bearbeiten:

2 Die für die Sanktionen nach Artikel 13 zuständigen kantonalen Behörden sind

befugt, Daten über natürliche Personen zu bearbeiten, gegen die eine administrative oder strafrechtliche Sanktion verhängt worden ist. 4 Die Bestimmungen des Datenschutzgesetzes vom …146 betreffend die Richtigkeit der Daten und das Auskunftsrecht sind anwendbar.

144 SR 235.1 145 SR 822.41 146 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 17a Bearbeitung von Daten juristischer Personen 1 Das kantonale Kontrollorgan ist befugt, folgende Daten juristischer Personen zu bearbeiten: a. Daten, die in den Kontrollprotokollen enthalten sind, sofern die Kontrollen einen oder mehrere Fälle von Missachtung der Melde- und Bewilligungspflichten nach Artikel 6 aufgedeckt haben; b. Daten aus Mitteilungen, die das kantonale Kontrollorgan von den für den Kontrollgegenstand zuständigen Behörden erhalten hat. 2 Die für die Sanktionen nach Artikel 13 zuständigen kantonalen Behörden sind befugt, Daten juristischer Personen zu bearbeiten, gegen die eine administrative oder strafrechtliche Sanktion verhängt worden ist.

55. Arbeitsvermittlungsgesetz vom 6. Oktober 1989147

Art. 33a Abs. 1 Einleitungssatz und 3 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe sind befugt, Personendaten zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich um: 3 Zur Erfüllung der Aufgaben nach Absatz 1 dürfen Personendaten, die die Beurteilung der persönlichen und der wirtschaftlichen Situation der Empfänger von Beratungsleistungen nach diesem Gesetz erlauben, bearbeitet werden oder bearbeitet werden lassen.

Art. 35 Abs. 2, 3bis und 5 Bst. d 2 In diesem Informationssystem dürfen Personendaten, einschliesslich besonders schützenswerter Personendaten nach Artikel 33a Absatz 2, bearbeitet werden. 3bis Soweit es für den Vollzug dieses Gesetzes und des AVIG notwendig ist, dürfen Personendaten, einschliesslich besonders schützenswerter Personendaten, zwischen den Informationssystemen der öffentlichen Arbeitsvermittlung und den Informationssystemen der Arbeitslosenversicherung (Art. 83 Abs. 1 Bst. i AVIG) ausgetauscht werden.

5 Der Bundesrat regelt:

d. den Zugriff auf die Daten, namentlich, welche Benutzer des Informationssystems befugt sind, besonders schützenswerte Personendaten zu bearbeiten;

Art. 35b Betrifft nur den französischen Text

147 SR 823.11

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

56. Bundesgesetz vom 20. Dezember 1946148 über die Alters- und Hinterlassenenversicherung

Art. 49a Abs. 1 Einleitungssatz und 2 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich um: 2 Zur Erfüllung dieser Aufgaben sind sie darüber hinaus befugt, Personendaten, die namentlich die Beurteilung der Gesundheit, der Schwere des physischen oder psychischen Leidens, der Bedürfnisse und der wirtschaftlichen Situation der versicherten Person erlauben, zu bearbeiten oder bearbeiten zu lassen.

57. Bundesgesetz vom 25. Juni 1982149 über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge

Art. 85a Abs. 1 Einleitungssatz und 2 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich um: 2 Zur Erfüllung dieser Aufgaben sind sie darüber hinaus befugt, Personendaten, die namentlich die Beurteilung der Gesundheit, der Schwere des physischen oder psychischen Leidens, der Bedürfnisse und der wirtschaftlichen Situation der versicherten Person erlauben, zu bearbeiten oder bearbeiten zu lassen.

58. Bundesgesetz vom 18. März 1994150 über die Krankenversicherung

Art. 84 Abs. 1 Einleitungssatz und 2 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG151 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:

148 SR 831.10 149 SR 831.40 150 SR 832.10 151 SR 832.12

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

2 Zur Erfüllung dieser Aufgaben sind sie darüber hinaus befugt, Personendaten, die namentlich die Beurteilung der Gesundheit, der Schwere des physischen oder psychischen Leidens, der Bedürfnisse und der wirtschaftlichen Situation der versicherten Person erlauben, zu bearbeiten oder bearbeiten zu lassen.

59. Bundesgesetz vom 20. März 1981152 über die Unfallversicherung

Art. 96 Abs. 1 Einleitungssatz und 2 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich um: 2 Zur Erfüllung dieser Aufgaben sind sie darüber hinaus zum Profiling nach Artikel 4 Buchstabe f des Datenschutzgesetzes vom …153 (DSG) und zum Erlass von automatisierten Einzelentscheidungen nach Artikel 19 DSG befugt.

60. Bundesgesetz vom 19. Juni 1992154 über die Militärversicherung

Art. 94a Abs. 1 Einleitungssatz und 2 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich um: 2 Zur Erfüllung dieser Aufgaben sind sie darüber hinaus zum Profiling nach Artikel 4 Buchstabe f des Datenschutzgesetzes vom …155 (DSG) und zum Erlass von automatisierten Einzelentscheidungen nach Artikel 19 DSG befugt.

152 SR 832.20 153 SR 235.1 154 SR 833.1 155 SR 235.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

61. Arbeitslosenversicherungsgesetz vom 25. Juni 1982156

Art. 96b Abs. 1 Einleitungssatz und 2 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich um: 2 Zur Erfüllung dieser Aufgaben sind sie darüber hinaus befugt, Personendaten, die namentlich die Beurteilung der persönlichen und der wirtschaftlichen Situation der Empfänger von Leistungen der Arbeitslosenversicherung erlauben, zu bearbeiten oder bearbeiten zu lassen.

Art. 96c Abs. 2 Einleitungssatz und 2bis 2 Sie dürfen diejenigen Personendaten, einschliesslich besonders schützenswerter Personendaten, abrufen, die sie benötigen, um die folgenden ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen: 2bis Soweit es für den Vollzug dieses Gesetzes und des Arbeitsvermittlungsgesetzes vom 6. Oktober 1989157 (AVG) notwendig ist, dürfen Personendaten, einschliesslich besonders schützenswerter Personendaten, zwischen den Informationssystemen der Arbeitslosenversicherung (Art. 83 Abs. 1 Bst. i) und den Informationssystemen der öffentlichen Arbeitsvermittlung (Art. 35 AVG) ausgetauscht werden.

62. Tierseuchengesetz vom 1. Juli 1966158

Art. 54a Abs. 3 3 Im Rahmen ihrer gesetzlichen Aufgaben dürfen die Vollzugsbehörden besonders schützenswerte Personendaten und Betriebsprofile bearbeiten.

63. Jagdgesetz vom 20. Juni 1986159

Art. 22 Abs. 3 erster und zweiter Satz 3 Das Bundesamt darf diese Personendaten aufbewahren. Nach Ablauf des Entzugs der Jagdberechtigung löscht es sie und vernichtet die entsprechenden kantonalen Verfügungen. …

156 SR 837.0 157 SR 823.11 158 SR 916.40 159 SR 922.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

64. Nationalbankgesetz vom 3. Oktober 2003160

Art. 14 Abs. 3 3 Die Eidgenössische Steuerverwaltung liefert der Nationalbank zur Erfüllung ihrer statistischen Aufgaben die Grundlagen und Ergebnisse ihrer Statistiktätigkeit im Bereich der Mehrwertsteuer und, falls erforderlich, Mehrwertsteuerdaten aus ihren Datenbeständen und Erhebungen. Die Nationalbank darf diese Daten ungeachtet von Artikel 16 Absätze 4 und 4bis, der Artikel 50a und 50b sowie von Artikel 35 des Datenschutzgesetzes vom …161 (DSG) nicht weitergeben.

Art. 16 Abs. 4bis und 5 4bis Die Nationalbank ist befugt, die erhobenen Daten für statistische Zwecke in nicht aggregierter Form dem Bundesamt für Statistik bekannt zu geben. Dieses darf die von der Nationalbank empfangenen Daten ungeachtet von Artikel 35 DSG162 ohne ihre Zustimmung nicht weitergeben. 5 Im Übrigen gelten für die Daten natürlicher Personen die Bestimmungen des DSG.

Gliederungstitel vor Art. 49 6. Abschnitt: Geheimhaltungspflicht, Bearbeitung von Personendaten und von Daten juristischer Personen sowie Informationsaustausch und Verantwortlichkeit

Art. 49a Bearbeitung von Personendaten und von Daten juristischer Personen Zur Erfüllung ihrer gesetzlichen Aufgaben kann die Nationalbank Personendaten, einschliesslich besonders schützenswerter Personendaten, und Daten juristischer Personen bearbeiten.

65. Geldwäschereigesetz vom 10. Oktober 1997163

Art. 29 Abs. 2 zweiter Satz 2 … Dazu gehören namentlich Finanzinformationen sowie andere, in Straf-, Verwaltungsstraf- und Verwaltungsverfahren beschaffte besonders schützenswerte Personendaten, einschliesslich solcher aus hängigen Verfahren.

160 SR 951.11 161 SR 235.1 162 SR 235.1 163 SR 955.0

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

Art. 33 Grundsatz Die Bearbeitung von Personendaten richtet sich nach dem Datenschutzgesetz vom …164.

Art. 34 Sachüberschrift und Abs. 1–3 Datenbanken und Akten im Zusammenhang mit der Meldepflicht 1 DieFinanzintermediäre führen separate Datenbanken oder Akten, die alle im Zusammenhang mit der Meldung stehenden Unterlagen enthalten. 2 Sie dürfen die Daten dieser Datenbanken und Akten nur an die FINMA, die Eidgenössische Spielbankenkommission, Selbstregulierungsorganisationen, die Meldestelle und Strafverfolgungsbehörden weitergeben. 3 Das Auskunftsrecht betroffener Personen nach Artikel 23 des Datenschutzgesetzes vom …165 ist ab Erstattung einer Meldung nach Artikel 9 Absatz 1 dieses Gesetzes oder nach Artikel 305ter Absatz 2 StGB166 bis zum Zeitpunkt, an dem die Meldestelle den Finanzintermediär nach Artikel 23 Absatz 5 oder 6 informiert, sowie während einer Vermögenssperre nach Artikel 10 ausgeschlossen.

66. Finanzmarktaufsichtsgesetz vom 22. Juni 2007167

Art. 23 Datenbearbeitung 1 Die FINMA kann im Rahmen der Aufsicht nach diesem Gesetz und den Finanzmarktgesetzen Personendaten, einschliesslich besonders schützenswerter Personendaten, bearbeiten oder bearbeiten lassen. 2 Sie darf dies insbesondere zum Zweck:

a. der Prüfung der Beaufsichtigten; b. der Aufsicht; c. der Führung eines Verfahrens; d. der Beurteilung der Gewähr für einwandfreie Geschäftstätigkeit; e. der Beurteilung des Verhaltens einer Person bei einer Tätigkeit für eine Beaufsichtigte oder einen Beaufsichtigten oder auf dem Finanzmarkt; oder f. der nationalen und internationalen Amts- und Rechtshilfe.

164 SR 235.1 165 SR 235.1 166 SR 311.0 167 SR 956.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017

3 Für die Datenbearbeitung zum Zweck nach Absatz 2 Buchstabe e ist die FINMA zum Profiling nach Artikel 4 Buchstabe f des Datenschutzgesetzes vom …168 befugt. 4 Sie regelt die Einzelheiten.

Einfügen vor dem Gliederungstitel des 3. Kapitels

Art. 23a Öffentliches Verzeichnis Die FINMA führt ein Verzeichnis der Beaufsichtigten. Dieses ist in elektronischer Form öffentlich zugänglich.

67. Bundesgesetz vom 19. März 1976169 über die internationale Entwicklungszusammenarbeit und humanitäre Hilfe

Art. 13a Abs. 1 Einleitungssatz und Bst. g 1 Die zuständige Verwaltungseinheit kann von Personen, die mit der Durchführung von Massnahmen nach diesem Gesetz betraut oder davon betroffen sind, namentlich folgende Daten bearbeiten: g. Aufgehoben

68. Bundesgesetz vom 30. September 2016170 über die Zusammenarbeit mit den Staaten Osteuropas

Art. 15 Abs. 2 Einleitungssatz 2 Er kann folgende für die Erfüllung seiner Aufgaben nach Absatz 1 notwendige Daten seines Personals, einschliesslich besonders schützenswerter Personendaten, bearbeiten:

168 SR 235.1 169 SR 974.0 170 SR 974.1

Totalrevision des Bundesgesetzes über den Datenschutz und Änderung BBl 2017