Art. 20Grundsätze1) Die verantwortlichen Behörden treffen die nach Art. 9 bis 11 erforderlichentechnischen und organisatorischen Massnahmen zum Schutz der Persönlichkeit undder Grundrechte der Personen, über die Daten bearbeitet werden.2) Die verantwortliche Behörde meldet dem Datenschutzverantwortlichen oder, fallskein solcher besteht, der Datenschutzstelle unverzüglich alle Projekte zurautomatisierten Bearbeitung von Personendaten, damit die Erfordernisse desDatenschutzes sogleich berücksichtigt werden.3) Die verantwortliche Behörde hat bei der Ermittlung der Massnahmen nach Abs. 1mit der Datenschutzstelle zusammenzuarbeiten.®Art. 21Bearbeitungsreglement1) Die verantwortlichen Behörden erstellen ein Bearbeitungsreglement fürautomatisierte Datensammlungen, die:a) besonders schützenswerte Daten oder Persönlichkeitsprofile beinhalten;b) durch mehrere Behörden benutzt werden;C) Gemeinden, ausländischen Behörden, internationalen Organisationen oder privatenPersonen zugänglich gemacht werden; oderd) mit anderen Datensammlungen verknüpft sind.2) Die verantwortliche Behörde legt ihre interne Organisation imBearbeitungsreglement fest. Dieses umschreibt insbesondere die Datenbearbeitungs-und Kontrollverfahren und enthält alle wesentlichen Unterlagen über die Planung,Realisierung und den Betrieb der Datensammlung. Das Reglement enthält die für dieMeldepflicht erforderlichen Angaben (Art. 16) sowie Angaben über:a) die für den Datenschutz und die Datensicherheit der Daten verantwortliche Stelle;b) die Herkunft der Daten;c) die Zwecke, für welche die Daten regelmässig bekannt gegeben werden;d) die Kontrollverfahren und insbesondere die technischen und organisatorischenMassnahmen nach Art. 20;e) die Beschreibung der Datenfelder und die Organisationseinheiten, die darauf Zugriffhaben;f) Art und Umfang des Zugriffs der Benutzer der Datensammlung;g) die Datenbearbeitungsverfahren, insbesondere die Verfahren bei der Berichtigung,Sperrung, Anonymisierung, Speicherung, Aufbewahrung, Archivierung oderVernichtung der Daten;h) die Konfiguration der Informatikmittel;i) das Verfahren zur Ausübung des Auskunftsrechts.*3) Das Reglement wird regelmässig aktualisiert. Es wird den zuständigenKontrollorganen in einer für diese verständlichen Form zur Verfügung gestellt.Art. 22Datenbearbeitung im Auftrag1) Eine Behörde kann Personendaten durch einen Dritten bearbeiten lassen, wenn derDatenschutz gewährleistet ist.2) Die Behörde, die Personendaten durch Dritte bearbeiten lässt, bleibt für denDatenschutz verantwortlich. Sie sorgt dafür, dass die Daten auftragsgemäss bearbeitetwerden, insbesondere was deren Verwendung und Bekanntgabe betrifft.3) Untersteht der Dritte dem Datenschutzgesetz nicht, vergewissert sich dieverantwortliche Behörde, dass andere gesetzliche Bestimmungen einen gleichwertigenDatenschutz gewährleisten, andernfalls stellt es diesen auf vertraglichem Wege sicher.Art. 23Berater für den Datenschutz und Datenschutzverantwortlicher1) Die Regierung bezeichnet mindestens einen Berater für den Datenschutz. DieserBerater hat folgende Aufgaben:a) Unterstützung der verantwortlichen Stelle und Benützer;529AN