Das revidierte Datenschutzgesetz schreibt vor, dass die Verantwortlichen und Auftragsverarbeiter Verzeichnisse ihrer Bearbeitungsaktivitäten führen müssen (Art. 12 nDSG).
Das Gesetz legt den minimalen Inhalt der Verzeichnisse fest, macht jedoch keine Vorschriften dazu, wie das Verzeichnis zu führen ist. Es sieht vor, dass KMU von der Führung eines Verzeichnisses ausgenommen sind, wenn sie weniger als 250 Mitarbeitende beschäftigen und nur ein geringes Risiko für Persönlichkeitsverletzungen besteht.
Im Bearbeitungsverzeichnis sind mindestens die folgenden Daten aufzunehmen:
- Identität des Verantwortlichen
- Bearbeitungszweck
- Beschreibung der Kategorien betroffener Personen und der bearbeiteten Personendaten
- Aufbewahrungsdauer (wenn möglich) oder die Kriterien zur Festlegung der Dauer
- Allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit
- Bei Bekanntgabe ins Ausland, Angabe des Staates oder der Garantien durch Ersatzmassnahmen
Im Verzeichnis des Auftragsbearbeiters sind folgende Angaben aufzunehmen:
- Identität des Auftragsbearbeiters
- Identität des Verantwortlichen
- Kategorien von Bearbeitungen im Auftrag des Verantwortlichen
- Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit
- Angabe des Staates bei Bekanntgabe ins Ausland respektive der Garantien durch Ersatzmassnahmen
Leistungen
