Verordnung
über die Bearbeitung von Personendaten und Daten
juristischer Personen bei der Nutzung der elektronischen
Infrastruktur des Bundes
(VBNIB)¹

In dieser Verordnung bedeuten:

1. ³bewirtschaftete Daten: Personendaten und Daten juristischer Personen, die bei der Nutzung der elektronischen Infrastruktur des Bundes aufgezeichnet und regelmässig genutzt, ausgewertet oder bewusst gelöscht werden;

2. ⁴nicht bewirtschaftete Daten: Personendaten und Daten juristischer Personen, die bei der Nutzung der elektronischen Infrastruktur des Bundes aufgezeichnet, aber nicht oder nicht regelmässig genutzt, ausgewertet oder bewusst gelöscht werden;

3. Betreiberin: die mit dem technischen Betrieb der elektronischen Infrastruktur des Bundes beauftragte Stelle.

Auf bewirtschaftete Daten dürfen nur zugreifen:

1. die Betreiberin;

2. die nach dem Datenschutzkonzept eines Bundesorgans vorgesehenen Stellen.

Auf nicht bewirtschaftete Daten darf nur das Bundesorgan zugreifen, das die Geräte, auf denen diese Daten aufgezeichnet werden, selbst nutzt.

Die Daten sind gemäss den Bestimmungen der Informationssicherheitsverordnung vom 8. November 2023⁶ sicher aufzubewahren.

Soweit der Auswertungszweck dies erfordert, können die bewirtschafteten Daten längstens wie folgt aufbewahrt werden:

1. Daten nach Artikel 57l Buchstabe a RVOG: bis zur Archivierung der zugrundeliegenden Informationen durch das Bundesarchiv; falls diese vom Bundesarchiv nicht übernommen werden: 2 Jahre;

2. Daten über die Nutzung der elektronischen Infrastruktur (Art. 57l Bst. b RVOG): 2 Jahre;

3. Daten über die Arbeitszeiten des Personals (Art. 57l Bst. c RVOG): 5 Jahre;

4. Daten über das Betreten oder Verlassen von Gebäuden und Räumen der Bundesorgane und über den Aufenthalt darin (Art. 57l Bst. d RVOG): 3 Jahre.

Sie sind spätestens drei Monate nach Abschluss der Auswertung oder nach Ablauf der Aufbewahrungsfristen nach Absatz 1 zu vernichten.

Der Bundesrat kann im Einzelfall für bestimmte Kategorien von Daten über die Nutzung der elektronischen Infrastruktur (Abs. 1 Bst. b) aus Gründen der Informations- und Dienstleistungssicherheit längere Aufbewahrungsfristen beschliessen.

Bei nicht bewirtschafteten Daten richtet sich die Dauer ihrer Aufbewahrung nach der Speicherkapazität des Geräts, auf dem die Daten aufgezeichnet werden, sofern deren rasche automatische Vernichtung nach der Benutzung nicht mit technischen Massnahmen sichergestellt werden kann.

Die nicht bewirtschafteten Daten müssen spätestens bei der Weitergabe oder Entsorgung des Geräts vom Bundesorgan unwiederbringlich vernichtet werden.

Verantwortlich für die sichere Aufbewahrung und die rechtzeitige Vernichtung der Daten sind:

1. für bewirtschaftete Daten: die Betreiberin und die nach dem Datenschutzkonzept eines Bundesorgans vorgesehenen Stellen;

2. für nicht bewirtschaftete Daten: das Bundesorgan, das die Geräte, auf denen diese Daten aufgezeichnet werden, selbst nutzt.

Die mit technischen Arbeiten wie Wartung oder Unterhalt der elektronischen Infrastruktur betrauten Personen dürfen die Daten nur bearbeiten, soweit dies zur Erfüllung dieser Aufgaben erforderlich ist.

Die sichere Aufbewahrung, der Zugriffsschutz und die Vertraulichkeit müssen gewährleistet bleiben.

Die Betreiberin und die nach dem Datenschutzkonzept des Bundesorgans vorgesehene Stelle können zu den gesetzlich vorgesehenen Zwecken bewirtschaftete Daten von sich aus nicht personenbezogen auswerten.

Sie können solche Auswertungen zeitlich und sachlich unbeschränkt vornehmen.

Das Bundesorgan kann nicht bewirtschaftete Daten zu den gesetzlich vorgesehenen Zwecken nicht personenbezogen auswerten oder auswerten lassen.

Die Betreiberin und die nach dem Datenschutzkonzept des Bundesorgans vorgesehene Stelle können zu den gesetzlich vorgesehenen Zwecken bewirtschaftete Daten von sich aus nicht namentlich personenbezogen auswerten. Eine solche Auswertung kann auch vom Bundesorgan angeordnet werden.

Das Bundesorgan kann zu den gesetzlich vorgesehenen Zwecken nicht bewirtschaftete Daten von sich aus nicht namentlich personenbezogen auswerten oder auswerten lassen.

Eine namentliche personenbezogene Auswertung bewirtschafteter oder nicht bewirtschafteter Daten wegen Missbrauchs oder Missbrauchsverdachts muss vom Bundesorgan, für das die Nutzerin oder der Nutzer der elektronischen Infrastruktur arbeitet, selbst vorgenommen oder angeordnet werden. Ein Missbrauch der elektronischen Infrastruktur liegt vor, wenn die Art oder das Ausmass der Nutzung die Vorgaben des Bundesorgans oder Rechtsvorschriften verletzt.

Stimmt die betroffene Person einer solchen Auswertung nicht zu, so muss die Leitung des Bundesorgans die Auswertung bewilligen.

Dem Datenschutzberater oder der Datenschutzberaterin des auftraggebenden Bundesorgans ist eine Kopie des Auftrags zuzustellen.⁷

Das mit der namentlichen personenbezogenen Auswertung beauftragte Bundesorgan prüft vor der Auswertung, ob:

1. der konkrete Missbrauchsverdacht hinreichend schriftlich begründet oder der Missbrauch belegt ist; und

2. die betreffende Person über den konkreten Missbrauchsverdacht oder den belegten Missbrauch schriftlich informiert worden ist.

Weigert sich das mit der Auswertung beauftragte Bundesorgan, eine namentliche personenbezogene Auswertung vorzunehmen, weil die Auswertungsvoraussetzungen nach Absatz 1 aus seiner Sicht nicht erfüllt sind, so kann das auftragerteilende Bundesorgan den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten ersuchen, dazu Stellung zu nehmen.

Wertet das Bundesorgan Daten im eigenen Bereich namentlich und personenbezogen selbst aus, so informiert es den Datenschutzberater oder die Datenschutzberaterin seines Departementes.

Eine namentliche personenbezogene Auswertung nicht bewirtschafteter Daten darf ohne Einverständnis der betroffenen Person nur innerhalb der Fristen nach Artikel 4 Absatz 1 erfolgen.

Die Betreiberin und die nach dem Datenschutzkonzept des Bundesorgans vorgesehene Stelle können zur Behebung einer Störung oder zur Abwehr einer konkreten Bedrohung bewirtschaftete Daten von sich aus namentlich personenbezogen auswerten.

Solche Auswertungen sind nur zulässig, wenn sie für die Suche nach der Ursache oder die Beseitigung der Störung oder für die Abwehr der Bedrohung erforderlich sind, namentlich wenn:

1. die Nutzung der elektronischen Infrastruktur wegen eines Defekts oder einer ausserordentlichen Beanspruchung durch Nutzerinnen oder Nutzer verunmöglicht oder stark eingeschränkt ist; oder

2. die unmittelbare Gefahr einer Schädigung der elektronischen Infrastruktur oder der Daten des Bundes besteht (Verbreitung von Schadprogrammen).

Das Bundesorgan kann unter den gleichen Voraussetzungen nicht bewirtschaftete Daten namentlich personenbezogen auswerten oder auswerten lassen.

Das Bundesorgan kann bewirtschaftete Daten namentlich personenbezogen auswerten oder auswerten lassen:

1. zur Bereitstellung benötigter Dienstleistungen;

2. zur Erfassung und Fakturierung erbrachter Leistungen der technischen Leistungserbringer; oder

3. zur Kontrolle der individuellen Arbeitszeiten der für das Bundesorgan arbeitenden Nutzerinnen und Nutzer.

Die Nutzerinnen und Nutzer der elektronischen Infrastruktur des Bundes haben keinen Anspruch auf Auswertung ihrer Daten gemäss dieser Verordnung.

Die Betreiberin übergibt das Ergebnis der Auswertung dem auftragerteilenden Bundesorgan.

Bei einer namentlichen personenbezogenen Auswertung wegen Missbrauchs oder Missbrauchsverdachts informiert das auftragerteilende Bundesorgan die betreffende Person über das Ergebnis der Auswertung.

Die mit der Auswertung beauftragte Stelle bewahrt das Ergebnis gemäss den Weisungen des Informatikrates Bund sicher auf und vernichtet es spätestens nach einem Jahr.

Diese Verordnung tritt am 1. April 2012 in Kraft.