Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- undEndbestimmungsland, die für den betreffenden Empfänger geltenden Rechtsnormensowie die für ihn geltenden Standesregeln und Sicherheitsmassnahmen berücksichtigtwerden.5) Die Regierung bezeichnet aufgrund von Beschlüssen des Gemeinsamen EWR-Ausschusses die Nicht-EWR-Mitgliedstaaten, deren Datenschutzgesetzgebung einangemessenes Schutzniveau aufweist, mit Verordnung.Art. 9Datensicherheit1) Personendaten müssen durch angemessene technische und organisatorischeMassnahmen gegen unbefugtes Bearbeiten geschützt werden.2) Die Regierung erlässt mit Verordnung nähere Bestimmungen über dieMindestanforderungen an die Datensicherheit.Art. 10DatengeheimnisWer Daten bearbeitet oder bearbeiten lässt, hat Daten aus Datenanwendungen, dieihm aufgrund seiner beruflichen Beschäftigung anvertraut wurden oder zugänglichgeworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten,geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung deranvertrauten oder zugänglich gewordenen Daten besteht.Art. 11Auskunftsrecht1) Jede Person kann vom Inhaber einer Datensammlung Auskunft darüber verlangen,ob Daten über sie bearbeitet werden. Die Regierung legt mit Verordnung eine Fristfest, innert welcher in der Regel die Auskunft zu erteilen ist.2) Der Inhaber der Datensammlung muss ihr mitteilen:a) alle über sie in der Datensammlung vorhandenen Daten und deren Herkunft;b) den Zweck und gegebenenfalls die Rechtsgrundlagen des Bearbeitens sowie dieKategorien der bearbeiteten Personendaten, der an der Sammlung Beteiligten und derDatenempfänger;c) den logischen Aufbau der automatisierten Bearbeitung der sie betreffenden Daten,im Fall automatisierter Entscheidungen gemäss Art. 6; undd) je nach Fall die Berichtigung, Vernichtung oder Sperrung von Daten, derenBearbeitung nicht den Bestimmungen dieses Gesetzes entspricht, insbesondere wenndiese Daten unvollständig oder unrichtig sind.3) Daten über die Gesundheit kann der Inhaber der Datensammlung der betroffenenPerson durch einen von ihr bezeichneten Arzt mitteilen lassen.4) Lässt der Inhaber der Datensammlung Personendaten durch einen Drittenbearbeiten, so bleibt er auskunftspflichtig. Der Dritte ist auskunftspflichtig, wenn erden Inhaber nicht bekannt gibt oder dieser keinen Wohnsitz im Inland hat.5) Die Auskunft ist in der Regel schriftlich, in Form eines Ausdrucks oder einerFotokopie sowie kostenlos zu erteilen. Die Regierung regelt mit Verordnung dieAusnahmen. Sie kann namentlich eine Kostenbeteiligung vorsehen, wenn die Auskunfteinen übermässigen Aufwand erfordert.6) Niemand kann im Voraus auf das Auskunftsrecht verzichten.Einschränkungen des AuskunftsrechtsArt. 12a) im Allgemeinen1) Der Inhaber der Datensammlung kann die Auskunft verweigern, einschränken oderaufschieben, wenn:a) ein Gesetz dies vorsieht;b) eine gerichtlich oder behördlich angeordnete Informationssperre vorliegt; oderc) dies wegen überwiegender Interessen eines Dritten erforderlich ist.2) Eine Behörde kann zudem die Auskunft verweigern, einschränken oder aufschieben,wenn:517