1 Das verantwortliche Bundesorgan und sein Auftragsbearbeiter erstellen ein Bearbeitungsreglement für automatisierte Bearbeitungen, wenn sie:
- a.
besonders schützenswerte Personendaten bearbeiten;
- b.
ein Profiling durchführen;
- c.
nach Artikel 34 Absatz 2 Buchstabe c DSG Personendaten bearbeiten;
- d.
Kantonen, ausländischen Behörden, internationalen Organisationen oder privaten Personen Personendaten zugänglich machen;
- e.
Datenbestände miteinander verknüpfen; oder
- f.
mit anderen Bundesorganen zusammen ein Informationssystem betreiben oder Datenbestände bewirtschaften.
2 Das Reglement muss insbesondere Angaben zur internen Organisation, zum Datenbearbeitungs- und Kontrollverfahren sowie zu den Massnahmen zur Gewährleistung der Datensicherheit enthalten.
3 Das verantwortliche Bundesorgan und sein Auftragsbearbeiter müssen das Reglement regelmässig aktualisieren und der Datenschutzberaterin oder dem Datenschutzberater zur Verfügung stellen.