Verordnung
über die Bearbeitung von Daten durch die Meldestelle der Eidgenössischen Finanzkontrolle
(MEFKV)

Diese Verordnung regelt die Bearbeitung von Personendaten und Daten juristischer Personen durch die Meldestelle der Eidgenössischen Finanzkontrolle (EFK) nach Artikel 10a Absatz 2 FKG.

Sie gilt für:

1. die Mitarbeitenden der EFK, die Meldungen und Anzeigen nach Artikel 10a Absatz 1 FKG bearbeiten;

2. Dritte, die von der EFK im Zusammenhang mit Meldungen und Anzeigen nach Artikel 10a Absatz 1 FKG mit der Bearbeitung von Daten beauftragt werden.

Die Meldestelle kann im Zusammenhang mit Meldungen und Anzeigen nach Artikel 10a Absatz 1 FKG zu folgenden Zwecken Personendaten und Daten juristischer Personen, einschliesslich besonders schützenswerter Daten, bearbeiten:

1. zur Feststellung der Zuständigkeit;

2. zur Abklärung des Sachverhalts;

3. zur Umsetzung der erforderlichen Massnahmen.

Die Meldestelle kann Daten folgender Personen bearbeiten:

1. Personen, die eine Meldung oder Anzeige eingereicht haben;

2. Personen, die von einer Meldung oder Anzeige betroffen sind;

3. Personen, bei denen die Abklärungen ergeben, dass sie mit dem gemeldeten Sachverhalt in Zusammenhang stehen.

Sie kann insbesondere folgende Daten bearbeiten:

1. Name, Vorname;

2. Geburtsdatum;

3. Geschlecht;

4. Staatsangehörigkeit;

5. Domiziladresse;

6. Telefonnummer, Mobiltelefonnummer;

7. Mailadresse;

8. Bankverbindung;

9. Daten zu den finanziellen Verhältnissen;

10. Daten zu den familiären oder ausserfamiliären Verhältnissen;

11. Daten zur Aus- und Weiterbildung;

12. Daten zum beruflichen und gewerblichen Umfeld.

Die Bearbeitung besonders schützenswerter Daten ist beschränkt auf:

1. Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten;

2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie;

3. Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktion;

4. Daten über Massnahmen der sozialen Hilfe.

Die EFK betraut mit der Datenbearbeitung nur Mitarbeitende, die darin geschult sind.

Sie kann Dritte mit der Bearbeitung von Personendaten und Daten juristischer Personen, einschliesslich besonders schützenswerter Daten, beauftragen. Sie bleibt das verantwortliche Organ.

Die Meldestelle der EFK kann den zuständigen Behörden des Bundes und der Kantone sowie Dritten, die sie mit der Datenbearbeitung beauftragt hat, Personendaten und Daten juristischer Personen, einschliesslich besonders schützenswerter Daten, bekanntgeben, soweit dies für die Zwecke nach Artikel 2 erforderlich ist.

Ist die EFK für die Bearbeitung einer Meldung oder Anzeige nicht zuständig, so kann sie diese an die zuständigen Behörden des Bundes oder der Kantone weiterleiten, selbst wenn die Meldung besonders schützenswerte Daten enthält.

Die Daten der Person, die eine Meldung oder Anzeige eingereicht hat, dürfen nur bekanntgegeben werden, wenn:

1. die Person in die Bekanntgabe einwilligt;

2. ein Gesetz im formellen Sinn dies vorsieht.

Die EFK betreibt ein gesichertes webbasiertes Informationssystem, in dem die Meldungen und Anzeigen nach Artikel 10a Absatz 1 FKG, einschliesslich anonymer Meldungen und Anzeigen, entgegengenommen, bearbeitet und aufbewahrt werden (Meldesystem).

Meldungen und Anzeigen, die nicht über das Meldesystem eingehen, werden von der Meldestelle digitalisiert und ins Meldesystem aufgenommen. Die Originaldokumente werden nach Digitalisierung vernichtet.

Eingegangene Meldungen und Anzeigen werden nach der Entgegennahme nicht weiterbearbeitet, wenn:

1. dafür weder die EFK noch die entsprechenden Behörden des Bundes und der Kantone oder die mit der Datenbearbeitung beauftragten Dritten zuständig sind; oder

2. der Inhalt eine Bearbeitung nicht zulässt.

Die EFK beschränkt den Zugriff zum Meldesystem. Stellen ausserhalb der EFK erhalten keinen Zugriff.

Sie kann für die technische Weiterentwicklung und den Betrieb des Meldesystems andere Bundesstellen und private Anbieter beiziehen. Diese erhalten keinen Zugriff auf die Daten.

Die EFK regelt in einem Bearbeitungsreglement:

1. die Zugriffsberechtigungen;

2. die organisatorischen und technischen Massnahmen zur Gewährleistung der Datensicherheit, namentlich bei der Übermittlung von Daten an Stellen ausserhalb der EFK;

3. die Kontrolle der Datenbearbeitung.

Daten, deren Aufbewahrungsfrist nach Artikel 10a Absatz 6 FKG abgelaufen ist, werden dem Bundesarchiv zur Archivierung angeboten. Angebot, Bewertung und Ablieferung richten sich nach dem Archivierungsgesetz vom 26. Juni 1998².

Daten, die nicht archiviert werden, werden vernichtet.

Diese Verordnung tritt am 1. Januar 2027 in Kraft.