1 Das verantwortliche Bundesorgan und sein Auftragsbearbeiter erstellen ein Bearbeitungsreglement für automatisierte Bearbeitungen, wenn sie:
- besonders schützenswerte Personendaten bearbeiten;
- ein Profiling durchführen;
- nach Artikel 34 Absatz 2 Buchstabe c DSG Personendaten bearbeiten;
- Kantonen, ausländischen Behörden, internationalen Organisationen oder privaten Personen Personendaten zugänglich machen;
- Datenbestände miteinander verknüpfen; oder
- mit anderen Bundesorganen zusammen ein Informationssystem betreiben oder Datenbestände bewirtschaften.
2 Das Reglement muss insbesondere Angaben zur internen Organisation, zum Datenbearbeitungs- und Kontrollverfahren sowie zu den Massnahmen zur Gewährleistung der Datensicherheit enthalten.
3 Das verantwortliche Bundesorgan und sein Auftragsbearbeiter müssen das Reglement regelmässig aktualisieren und der Datenschutzberaterin oder dem Datenschutzberater zur Verfügung stellen.
