Verordnung vom 23. August 2017 über die Bearbeitung von Personendaten im Bundesamt für Zoll und Grenzsicherheit (Datenbearbeitungsverordnung für das BAZG, DBZV) (DBZV)

1  Diese Verordnung regelt die Bearbeitung von Personendaten im Bundesamt für Zoll und Grenzsicherheit (BAZG).

2  Das Informationssystem für Strafsachen (Art. 110a ZG) wird in der Verordnung vom 20. September 2013^[*] über das Informationssystem für Strafsachen des Bundesamts für Zoll und Grenzsicherheit geregelt.

3  Das Informationssystem für Bildaufnahme-, Bildaufzeichnungs- und andere Überwachungsgeräte (Art. 110f ZG) wird in der Verordnung vom 4. April 2007^[*] über den Einsatz von Bildaufnahme-, Bildaufzeichnungs- und anderen Überwachungsgeräten durch das Bundesamt für Zoll und Grenzsicherheitgeregelt.

1  Das BAZG ist für die in dieser Verordnung geregelten Informationssysteme zuständig.

2  Es trägt die Verantwortung für die von ihr bearbeiteten Daten und für deren Inhalt.

1  Die Informationssysteme mittels elektronischer Datenverarbeitung werden als eigenständige Applikationen oder auf der Plattform der Büroautomation im Auftrag des BAZG vom Bundesamt für Informatik und Telekommunikation (BIT) betrieben. Dieses ist für den Betrieb der Informationssysteme verantwortlich.

2  Werden gleiche Daten von verschiedenen Stellen des BAZG bearbeitet, so können die entsprechenden Informationssysteme vernetzt werden, sofern dies für eine effiziente Datenbearbeitung notwendig ist.

1  Personendaten dürfen nur im Rahmen des Zwecks nach dem jeweiligen Anhang bearbeitet werden.

2  Das Beschaffen von Personendaten muss für die betroffenen Personen erkennbar sein.

3  Die Mitarbeiterinnen und Mitarbeiter des BAZG verfügen über diejenigen Berechtigungen zur Datenbearbeitung, die zur Erfüllung ihrer Aufgaben notwendig sind, es sei denn, der betreffende Anhang sieht eine abweichende Regelung vor.

1  Das BAZG kann Plattformen errichten und betreiben, auf denen die Daten aus den Informationssystemen nach dieser Verordnung ausgewertet werden.

2  Die Auswertungen können nur für statistische Zwecke, für Risikoanalysen und für die Führungs- und Steuerungsunterstützung des BAZG vorgenommen werden.

1  Das BAZG gibt im Einzelfall Daten aus den Informationssystemen anderen Behörden in der Schweiz sowie Dritten bekannt, wenn eine Informationspflicht hierfür gesetzlich vorgesehen ist.

2  Im Abrufverfahren dürfen Daten nur bekanntgegeben werden, soweit der betreffende Anhang dies ausdrücklich vorsieht.

Die Rechte der betroffenen Personen, insbesondere das Auskunfts-, Berichtigungs- und Vernichtungsrecht, richten sich nach dem Datenschutzgesetz vom 25. September 2020^[*] und seinen Ausführungsbestimmungen.

Unrichtige Daten sowie Daten, die dieser Verordnung nicht entsprechen, sind von Amtes wegen zu berichtigen oder zu vernichten.

1  Die in den Informationssystemen enthaltenen Daten werden während höchstens fünf Jahren ab der Erfassung aufbewahrt, sofern der betreffende Anhang keine andere Frist vorsieht.

2  Sie werden nach Ablauf der Aufbewahrungsfrist vernichtet, sofern sie nicht archiviert werden.

3  Daten aus Informationssystemen, deren Betrieb eingestellt wird, werden noch während höchstens fünf Jahren ab der Erfassung aufbewahrt. Danach werden sie vernichtet, es sei denn, sie werden archiviert.

Nicht mehr benötigte Daten sowie Daten, deren Aufbewahrungsfrist abgelaufen ist, werden dem Bundesarchiv zur Archivierung angeboten. Angebot, Bewertung und Ablieferung richten sich nach dem Archivierungsgesetz vom 26. Juni 1998^[*].

1  Für die Gewährleistung der Datensicherheit gelten die Artikel 1–4 und 6 der Datenschutzverordnung vom 31. August 2022^[*] sowie die Informationssicherheitsverordnung vom 8. November 2023^[*].^[*]

2  Daten, Programme und dazugehörige Dokumentationen sind gegen unbefugtes Bearbeiten sowie gegen Zerstörung und Entwendung zu schützen. Sie müssen wiederhergestellt werden können.

3  Die jeweils zuständige Stelle des BAZG legt den Zugriff auf die einzelnen Informationssysteme für jede Benutzerin und jeden Benutzer mit individuellen Benutzerprofilen, Passwörtern und Log-ins in Absprache mit dem BIT so fest, dass die Benutzerin oder der Benutzer die Informationssysteme nur im Umfang ihrer Zuständigkeit benutzen kann. Gemeinschaftspasswörter und Sammel-Log-ins sind nur ausnahmsweise zulässig.

4  Das BAZG erlässt in Absprache mit dem BIT Vorschriften über organisatorische und technische Massnahmen für die Datensicherheit und sorgt dafür, dass die Datenbearbeitung automatisch protokolliert wird.

1  Personendaten dürfen nur dann zu Reporting- und Statistikzwecken verwendet werden, wenn der betreffende Anhang dies vorsieht.

2  Personendaten dürfen nur für interne Geschäftskontrollen und für die interne Geschäftsplanung bearbeitet werden.

3  Daten, die zu statistischen Zwecken benötigt oder veröffentlicht werden, dürfen keine Rückschlüsse auf die betroffenen Personen erlauben.

4  Die Frist für die Aufbewahrung und Vernichtung der Bearbeitungsresultate richtet sich nach Artikel 10.

1  Zur Auswertung des Intranet- und Internetangebots des BAZG kann das BAZG die Daten von Personen bearbeiten, die von diesem Angebot Gebrauch machen (Logfiles).

2  Die Personendaten dürfen nur für diese Auswertung und nur so lange wie unbedingt nötig bearbeitet werden. Sie sind nach der Auswertung zu vernichten oder zu anonymisieren.

Die Datenbearbeitungsverordnung für die EZV vom 4. April 2007^[*] wird aufgehoben.

…^[*]

Diese Verordnung tritt am 1. Oktober 2017 in Kraft.