Art. 29 Gesetz über die Information der Öffentlichkeit, den Datenschutz und die Archivierung (GIDA) - Bearbeitung durch Auftragsbearbeiter

1. Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn

a) **\*** die Personendaten so bearbeitet werden, wie der Verantwortliche für die Datenbearbeitung selbst es tun dürfte;

b) **\*** keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.

2. Im Vertrag, der in schriftlicher, einschliesslich elektronischer Form, vorzuliegen hat, sind Gegenstand und Dauer sowie Art und Zweck der Bearbeitung, die Art der Personendaten, die Kategorien der betroffenen Personen sowie die Rechte und Pflichten des Verantwortlichen für die Datenbearbeitung festgelegt. Dieser Vertrag sieht vor, dass der Auftragsbearbeiter

a) nur auf Anweisung des Verantwortlichen für die Datenbearbeitung handelt;

b) sich dazu verpflichtet, die Vertraulichkeit zu wahren;

c) sämtliche Personendaten nach Abschluss der Erbringung seiner Dienstleistung im Zusammenhang mit der Bearbeitung von Personendaten gemäss Anordnung des Verantwortlichen für die Datenbearbeitung löscht und an diesen zurückschickt;

d) dem Verantwortlichen für die Datenbearbeitung sämtliche erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung stellt.

3. Der Verantwortliche für die Datenbearbeitung muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die in Artikel 18 aufgeführten Grundsätze einzuhalten und die Sicherheit von Personendaten im Sinne von Artikel 21 zu gewährleisten.

4. Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger schriftlicher Genehmigung, einschliesslich in elektronischer Form, des Verantwortlichen für die Datenbearbeitung einem Dritten übertragen.

5. Er kann dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche für die Datenbearbeitung.

6. Der Auftragsbearbeiter führt ein Verzeichnis sämtlicher im Auftrag des Verantwortlichen für die Datenbearbeitung verrichteten Bearbeitungstätigkeiten. Dieses enthält

a) die Identität und die Kontaktangaben des Auftragsbearbeiters und des Verantwortlichen für die Datenbearbeitung;

b) die Kategorien der für den Verantwortlichen der Datenbearbeitung ausgeführten Bearbeitungen;

c) die Empfänger oder die Kategorien der Empfänger von Personendaten, einschliesslich der Empfänger in Drittländern oder internationalen Organisationen, sofern die Bekanntgabe von Personendaten vom Verantwortlichen für die Datenbearbeitung ausdrücklich verlangt wird;

d) die Massnahmen zur Gewährleistung der Sicherheit von Personendaten.

← Art. 28b GIDA Gesetz über die Information der Öffentlichkeit, den Datenschutz und die Archivierung (GIDA) - Zweck Art. 30 GIDA →