SR 235.3   1   Bundesgesetz  über den Datenschutz im Rahmen der Anwendung  des Schengen-Besitzstands in Strafsachen  (Schengen-Datenschutzgesetz, SDSG)   vom 28. September 2018 (Stand am 1. März 2019)     Die Bundesversammlung der Schweizerischen Eidgenossenschaft,   gestützt auf die Artikel 54 Absatz 1, 123 und 173 Absatz 2 der Bundesverfassung1,  in Ausführung der Richtlinie (EU) 2016/6802,  nach Einsicht in die Botschaft des Bundesrates vom 15. September 20173,   beschliesst:   1. Abschnitt: Allgemeine Bestimmungen    Art. 1 Gegenstand  1 Dieses Gesetz regelt die Bearbeitung von Personendaten durch Bundesorgane zum  Zweck der Verhütung, Aufklärung oder Verfolgung von Straftaten oder der Straf- vollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für  die öffentliche Sicherheit:   a. im Rahmen der Anwendung des Schengen-Besitzstands;   b. im Rahmen der Anwendung internationaler Verträge, die mit der Europäi- schen Union oder mit Staaten, die mit der Schweiz über eines der Schengen-  Assoziierungsabkommen verbunden sind (Schengen-Staaten), abgeschlossen  worden sind und die bezüglich des Datenschutzes auf die Richtlinie (EU)  2016/680 verweisen.   2 Die Schengen-Assoziierungsabkommen sind im Anhang aufgeführt.   Art. 2 Verhältnis zu anderen Erlassen  1 Dieses Gesetz gilt nicht für die Rechte der betroffenen Personen in hängigen  Verfahren vor den eidgenössischen Gerichten und in hängigen Verfahren nach der        AS 2019 639  1 SR 101  2 Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016   zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch  die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder  Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr  und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, Fassung gemäss  ABl. L 119 vom 4.5.2016, S. 89.   3 BBl 2017 6941   235.3    Datenschutz   2   235.3   Strafprozessordnung4 oder nach dem Rechtshilfegesetz vom 20. März 19815; diese  werden durch das anwendbare Verfahrensrecht geregelt.  2 Soweit in diesem Gesetz keine besonderen Vorschriften bestehen, ist das Bundes- gesetz vom 19. Juni 19926 über den Datenschutz (DSG) anwendbar; die Anwend- barkeit anderer Bundesgesetze bleibt vorbehalten.   Art. 3 Begriffe  1 In diesem Gesetz bedeuten:   a. besonders schützenswerte Personendaten:  1. Daten über die religiösen, weltanschaulichen und politischen Ansichten   oder Tätigkeiten,  2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu   einer Rasse oder Ethnie,  3. genetische Daten,  4. biometrische Daten, die eine natürliche Person eindeutig identifizieren,  5. Daten über Massnahmen der sozialen Hilfe,  6. Daten über administrative oder strafrechtliche Verfolgungen und Sank-  tionen;   b. Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die  darin besteht, dass diese Daten verwendet werden, um bestimmte per- sönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten,  insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage,  Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten,  Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren  oder vorherzusagen;   c. Verletzung der Datensicherheit: jede Verletzung der Sicherheit, die unge- achtet der Absicht oder der Widerrechtlichkeit dazu führt, dass Personen- daten verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbe- fugten offengelegt oder zugänglich gemacht werden;   d. automatisierte Einzelentscheidung: jede Entscheidung, die ausschliesslich  auf einer automatisierten Bearbeitung, einschliesslich Profiling, beruht und  die für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie  erheblich beeinträchtigt;   e. Auftragsbearbeiter: private Person oder Bundesorgan, die oder das im Auf- trag des verantwortlichen Bundesorgans Personendaten bearbeitet.   2 Im Übrigen finden die Begriffe nach Artikel 3 DSG7 Anwendung.       4 SR 312.0  5 SR 351.1  6 SR 235.1  7 SR 235.1     Schengen-Datenschutzgesetz   3   235.3   Art. 4 Grundsätze  1 Personendaten müssen rechtmässig bearbeitet werden.  2 Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.  3 Personendaten dürfen nur zu einem bestimmten und für die betroffene Person  erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es  mit diesem Zweck vereinbar ist.  4 Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung  nicht mehr erforderlich sind.  5 Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie  oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt,  gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung  oder Bearbeitung unrichtig oder unvollständig sind.   Art. 5 Datenschutz durch Technik und datenschutzfreundliche  Voreinstellungen   1 Die Bundesorgane sind verpflichtet, die Datenbearbeitung ab der Planung tech- nisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften ein- gehalten werden, insbesondere die Grundsätze nach Artikel 4.  2 Die technischen und organisatorischen Massnahmen müssen insbesondere dem  Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie den Risi- ken, welche die Bearbeitung für die Grundrechte der betroffenen Personen mit sich  bringt, angemessen sein.  3 Die Bundesorgane sind verpflichtet, mittels geeigneter Voreinstellungen sicherzu- stellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck  nötige Mindestmass beschränkt ist.   Art. 6 Rechtsgrundlagen betreffend die Bearbeitung von Personendaten  1 Die Bundesorgane dürfen Personendaten nur bearbeiten, wenn dafür eine gesetzli- che Grundlage besteht.  2 Eine Grundlage in einem Gesetz im formellen Sinn ist in folgenden Fällen erfor- derlich:   a. Es handelt sich um die Bearbeitung von besonders schützenswerten Perso- nendaten.   b. Es handelt sich um die Bearbeitung von Persönlichkeitsprofilen.   c. Es handelt sich um ein Profiling.   d. Die Art und Weise der Datenbearbeitung kann zu einem schwerwiegenden  Eingriff in die Grundrechte der betroffenen Person führen.   3 In Abweichung von den Absätzen 1 und 2 können die Bundesorgane Personen- daten bearbeiten, wenn eine der folgenden Voraussetzungen erfüllt ist:     Datenschutz   4   235.3   a. Die Bearbeitung ist notwendig, um das Leben oder die körperliche Unver- sehrtheit der betroffenen Person oder eines Dritten zu schützen.   b. Die betroffene Person hat ihre Personendaten allgemein zugänglich gemacht  und eine Bearbeitung nicht ausdrücklich untersagt.   Art. 7 Rechtsgrundlagen betreffend die Bekanntgabe von Personendaten  1 Die Bundesorgane dürfen Personendaten nur bekanntgeben, wenn dafür eine  gesetzliche Grundlage im Sinne von Artikel 6 Absätze 1 und 2 besteht.  2 Sie dürfen Personendaten in Abweichung von Absatz 1 im Einzelfall bekanntge- ben, wenn eine der folgenden Voraussetzungen erfüllt ist:   a. Die Bekanntgabe der Personendaten ist für das verantwortliche Bundesorgan  oder für die Empfängerin oder den Empfänger zur Erfüllung einer gesetz- lichen Aufgabe unentbehrlich.   b. Die Bekanntgabe der Personendaten ist notwendig, um das Leben oder die  körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu  schützen.   c. Die betroffene Person hat ihre Personendaten allgemein zugänglich gemacht  und eine Bekanntgabe nicht ausdrücklich untersagt.   3 Im Übrigen ist Artikel 19 Absätze 1bis–4 DSG8 anwendbar.   Art. 8 Bekanntgabe von Personendaten ins Ausland  1 Für die Bekanntgabe von Personendaten an die zuständigen Behörden von Schen- gen-Staaten dürfen nicht strengere Datenschutzregeln gelten als für die Bekanntgabe  von Personendaten an schweizerische Strafbehörden.  2 Die Bekanntgabe von Personendaten an einen Drittstaat oder an ein internationales  Organ wird durch die Spezialbestimmungen des anwendbaren Bundesrechts gere- gelt.   Art. 9 Verantwortliches Bundesorgan und Kontrolle  1 Für den Datenschutz ist das Bundesorgan verantwortlich, das die Personendaten in  Erfüllung seiner Aufgaben bearbeitet oder bearbeiten lässt.  2 Bearbeitet das Bundesorgan Personendaten zusammen mit anderen Bundesorga- nen, mit kantonalen Organen oder mit Privaten, so regelt der Bundesrat das Kon- trollverfahren und die Verantwortung für den Datenschutz.   Art. 10 Bearbeitung durch Auftragsbearbeiter  1 Die Bearbeitung von Personendaten kann einem Auftragsbearbeiter übertragen  werden, wenn die Voraussetzungen nach Artikel 10a DSG9 erfüllt sind.       8 SR 235.1  9 SR 235.1     Schengen-Datenschutzgesetz   5   235.3   2 Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger schriftlicher  Genehmigung des Bundesorgans einem Dritten übertragen.   2. Abschnitt: Pflichten der Bundesorgane und der Auftragsbearbeiter   Art. 11 Automatisierte Einzelentscheidung  1 Das Bundesorgan informiert die betroffene Person über eine ihr gegenüber ergang- ene automatisierte Einzelentscheidung (Art. 3 Abs. 1 Bst. d); es kennzeichnet die  Entscheidung entsprechend.  2 Es gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt  darzulegen. Die betroffene Person kann verlangen, dass ihr das angewandte Verfah- ren mitgeteilt und die Entscheidung von einer natürlichen Person überprüft wird.  3 Absatz 2 gilt nicht, wenn der betroffenen Person gegen die Entscheidung ein  Rechtsmittel zur Verfügung steht.   Art. 12 Verzeichnis der Bearbeitungstätigkeiten  1 Die Bundesorgane und Auftragsbearbeiter führen ein Verzeichnis ihrer Bearbei- tungstätigkeiten.  2 Die Verzeichnisse der Bundesorgane enthalten mindestens:   a. den Namen des Bundesorgans;   b. den Bearbeitungszweck;   c. eine Beschreibung der Kategorien betroffener Personen und der Kategorien  bearbeiteter Personendaten;   d. die Kategorien der Empfängerinnen und Empfänger;   e. die Aufbewahrungsdauer der Personendaten oder, wenn dies nicht möglich  ist, die Kriterien zur Festlegung dieser Dauer;   f. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewähr- leistung der Datensicherheit nach Artikel 7 DSG10;   g. die Angabe des Drittstaates oder des internationalen Organs, welchem Per- sonendaten bekanntgegeben werden, sowie die vorgesehenen Garantien zum  Schutz der Personendaten.   3 Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auf- tragsbearbeiters und des Bundesorgans, zu den Kategorien von Bearbeitungen, die  im Auftrag des Bundesorgans durchgeführt werden, sowie die Angaben nach Ab- satz 2 Buchstabe f.       10 SR 235.1     Datenschutz   6   235.3   Art. 13 Datenschutz-Folgenabschätzung  1 Das Bundesorgan erstellt vorgängig eine Datenschutz-Folgenabschätzung, wenn  eine Bearbeitung ein hohes Risiko für die Grundrechte der betroffenen Person mit  sich bringen kann. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann  eine gemeinsame Abschätzung erstellt werden.  2 Das hohe Risiko ergibt sich, insbesondere bei Verwendung neuer Technologien,  aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Es liegt  namentlich vor:   a. bei der umfangreichen Bearbeitung von besonders schützenswerten Perso- nendaten oder von Persönlichkeitsprofilen;   b. bei einem Profiling.  3 Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten  Bearbeitung, eine Bewertung der Risiken für die Grundrechte der betroffenen Person  sowie die Massnahmen zum Schutz der Grundrechte.   Art. 14 Konsultation des Eidgenössischen Datenschutz- und  Öffentlichkeitsbeauftragten   1 Ergibt sich aus der Datenschutz- Folgenabschätzung, dass die geplante Bearbei- tung ein hohes Risiko für die Grundrechte der betroffenen Person zur Folge hätte,  wenn das Bundesorgan keine Massnahmen träfe, so holt es vorgängig die Stellung- nahme des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauf- tragter) ein.  2 Der Beauftragte teilt dem Bundesorgan innerhalb von zwei Monaten seine Ein- wände gegen die geplante Bearbeitung mit. Diese Frist kann um einen Monat ver- längert werden, wenn es sich um eine komplexe Datenbearbeitung handelt.  3 Hat der Beauftragte Einwände gegen die geplante Bearbeitung, so schlägt er dem  Bundesorgan geeignete Massnahmen vor.   Art. 15 Meldung von Verletzungen der Datensicherheit  1 Das Bundesorgan meldet dem Beauftragten so rasch wie möglich eine Verletzung  der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Grundrechte  der betroffenen Person führt.  2 In der Meldung nennt es mindestens die Art der Verletzung der Datensicherheit,  deren Folgen und die ergriffenen oder vorgesehenen Massnahmen, um die Verlet- zung zu beheben.  3 Der Auftragsbearbeiter meldet dem Bundesorgan so rasch wie möglich eine Ver- letzung der Datensicherheit.  4 Das Bundesorgan informiert die betroffene Person, wenn es zu ihrem Schutz  erforderlich ist oder der Beauftragte es verlangt.  5 Es kann die Information an die betroffene Person einschränken, aufschieben oder  darauf verzichten, wenn:     Schengen-Datenschutzgesetz   7   235.3   a. dies aufgrund überwiegender Interessen Dritter erforderlich ist;   b. dies aufgrund überwiegender öffentlicher Interessen, insbesondere zur Wah- rung der inneren oder äusseren Sicherheit der Schweiz, erforderlich ist;   c. die Mitteilung der Information eine Ermittlung, eine Untersuchung oder ein  behördliches oder gerichtliches Verfahren gefährden kann;   d. die Information unmöglich ist oder einen unverhältnismässigen Aufwand  erfordert; oder   e. die Information der betroffenen Person durch eine öffentliche Bekanntma- chung in vergleichbarer Weise sichergestellt ist.   Art. 16 Datenschutzverantwortliche oder -verantwortlicher  1 Die Bundesorgane ernennen eine Datenschutzverantwortliche oder einen Daten- schutzverantwortlichen. Sie können eine gemeinsame Datenschutzverantwortliche  oder einen gemeinsamen Datenschutzverantwortlichen bezeichnen.  2 Die oder der Datenschutzverantwortliche muss folgende Voraussetzungen erfüllen:   a. Sie oder er verfügt über die erforderlichen Fachkenntnisse.   b. Sie oder er übt keine Tätigkeiten aus, die mit ihren oder seinen Aufgaben als  Datenschutzverantwortliche oder Datenschutzverantwortlicher unvereinbar  sind.   3 Die oder der Datenschutzverantwortliche hat insbesondere folgende Aufgaben:   a. Sie oder er unterstützt die Bundesorgane.   b. Sie oder er fördert die Information und die Ausbildung der Mitarbeiterinnen  und Mitarbeiter.   c. Sie oder er wirkt beim Vollzug der Datenschutzvorschriften mit und emp- fiehlt Massnahmen, wenn sie oder er feststellt, dass Datenschutzvorschriften  verletzt wurden.   3. Abschnitt: Rechte der betroffenen Personen   Art. 17 Auskunftsrecht  1 Das Auskunftsrecht der betroffenen Person richtet sich nach Artikel 8 DSG11.  Darüber hinaus teilt das Bundesorgan der betroffenen Person mit:   a. diejenigen Informationen, die für die betroffene Person erforderlich sind,  damit sie ihre Rechte nach dem vorliegenden Gesetz geltend machen kann;   b. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich  ist, die Kriterien zur Festlegung dieser Dauer.   2 Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.       11 SR 235.1     Datenschutz   8   235.3   Art. 18 Einschränkung des Auskunftsrechts  1 Die Einschränkung des Auskunftsrechts richtet sich nach Artikel 9 Absätze 1–3  und 5 DSG12. Darüber hinaus kann das Bundesorgan die Auskunft verweigern,  einschränken oder aufschieben, wenn das Auskunftsgesuch offensichtlich unbe- gründet oder querulatorisch ist.  2 Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.   Art. 19 Weitere Ansprüche und Verfahren  1 Wer ein schutzwürdiges Interesse hat, kann vom verantwortlichen Bundesorgan  verlangen, dass es:   a. die widerrechtliche Bearbeitung unterlässt;   b. die Folgen einer widerrechtlichen Bearbeitung beseitigt;   c. die Widerrechtlichkeit der Bearbeitung feststellt.  2 Die Gesuchstellerin oder der Gesuchsteller kann insbesondere verlangen, dass das  Bundesorgan:   a. die betreffenden Personendaten berichtigt, löscht oder vernichtet;   b. seinen Entscheid, namentlich über die Berichtigung, Löschung oder Ver- nichtung, die Sperrung der Bekanntgabe nach Artikel 20 DSG13 oder den  Bestreitungsvermerk nach Absatz 4 veröffentlicht oder Dritten mitteilt.   3 Statt die Personendaten zu löschen oder zu vernichten, schränkt das Bundesorgan  die Bearbeitung ein, wenn:   a. die betroffene Person die Richtigkeit der Personendaten bestreitet und weder  die Richtigkeit noch die Unrichtigkeit festgestellt werden kann;   b. überwiegende Interessen Dritter dies erfordern;   c. ein überwiegendes öffentliches Interesse, namentlich die innere oder die  äussere Sicherheit der Schweiz, dies erfordert;   d. die Löschung oder Vernichtung der Personendaten eine Ermittlung, eine Un- tersuchung oder ein behördliches oder gerichtliches Verfahren gefährden  kann.   4 Kann weder die Richtigkeit noch die Unrichtigkeit der Personendaten festgestellt  werden, so bringt das Bundesorgan bei den Daten einen Bestreitungsvermerk an.  5 Das Verfahren richtet sich nach dem Verwaltungsverfahrensgesetz vom 20. De- zember 196814 (VwVG). Die Ausnahmen nach den Artikeln 2 und 3 VwVG gelten  nicht.  6 Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.       12 SR 235.1  13 SR 235.1  14 SR 172.021     Schengen-Datenschutzgesetz   9   235.3   Art. 20 Verfahren im Falle der Bekanntgabe von amtlichen Dokumenten,  die Personendaten enthalten   Solange ein Verfahren betreffend den Zugang zu amtlichen Dokumenten im Sinne  des Öffentlichkeitsgesetzes vom 17. Dezember 200415, welche Personendaten ent- halten, im Gange ist, kann die betroffene Person im Rahmen dieses Verfahrens die  Rechte geltend machen, die ihr aufgrund von Artikel 19 des vorliegenden Gesetzes  bezogen auf diejenigen Dokumente zustehen, die Gegenstand des Zugangsverfah- rens sind.   4. Abschnitt: Aufsicht   Art. 21 Beauftragter  1 Der Beauftragte beaufsichtigt die Anwendung der bundesrechtlichen Datenschutz- vorschriften.  2 Von der Aufsicht durch den Beauftragten sind ausgenommen:   a. die eidgenössischen Gerichte;   b. die Bundesanwaltschaft, betreffend die Bearbeitung von Personendaten im  Rahmen von Strafverfahren;   c. Bundesbehörden, betreffend die Bearbeitung von Personendaten im Rahmen  von Verfahren der internationalen Rechtshilfe in Strafsachen.   Art. 22 Untersuchung  1 Der Beauftragte eröffnet von Amtes wegen oder auf Anzeige hin eine Untersu- chung gegen das Bundesorgan oder den Auftragsbearbeiter, wenn Anzeichen beste- hen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen  könnte.  2 Er kann von der Eröffnung einer Untersuchung absehen, wenn die Verletzung der  Datenschutzvorschriften von geringfügiger Bedeutung ist.  3 Das Bundesorgan oder der Auftragsbearbeiter erteilt dem Beauftragten alle Aus- künfte und stellt ihm alle Unterlagen zur Verfügung, die für die Untersuchung  notwendig sind. Das Auskunftsverweigerungsrecht richtet sich nach den Artikeln 16  und 17 VwVG16.  4 Hat die betroffene Person Anzeige erstattet, so informiert der Beauftragte sie über  die gestützt darauf unternommenen Schritte und das Ergebnis einer allfälligen Un- tersuchung.       15 SR 152.3  16 SR 172.021     Datenschutz   10   235.3   Art. 23 Befugnisse   1 Kommt das Bundesorgan oder der Auftragsbearbeiter den Mitwirkungspflichten  nicht nach, so kann der Beauftragte im Rahmen der Untersuchung insbesondere  Folgendes anordnen:   a. Zugang zu allen Auskünften, Unterlagen, Verzeichnissen der Bearbeitungs- tätigkeiten und Personendaten, die für die Untersuchung erforderlich sind;   b. Zugang zu Räumlichkeiten und Anlagen;   c. Zeugeneinvernahmen;   d. Begutachtungen durch Sachverständige.  2 Er kann für die Dauer der Untersuchung zudem vorsorgliche Massnahmen anord- nen.   Art. 24 Verwaltungsmassnahmen  1 Liegt eine Verletzung von Datenschutzvorschriften vor, so kann der Beauftragte  verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder  abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernich- tet werden.  2 Er kann die Bekanntgabe ins Ausland aufschieben oder untersagen, wenn sie gegen  die anwendbaren gesetzlichen Bestimmungen betreffend die Bekanntgabe von  Personendaten an einen Drittstaat oder an ein internationales Organ verstösst.  3 Hat das Bundesorgan oder der Auftragsbearbeiter während der Untersuchung die  erforderlichen Massnahmen getroffen, um die Einhaltung der Datenschutzvorschrif- ten wiederherzustellen, so kann der Beauftragte sich darauf beschränken, eine Ver- warnung auszusprechen.   Art. 25 Verfahren  1 Das Untersuchungsverfahren sowie Verfügungen nach den Artikeln 23 und 24  richten sich nach dem VwVG17.  2 Unter Vorbehalt von Artikel 349h des Strafgesetzbuches18 ist nur das Bundesorgan  oder der Auftragsbearbeiter, gegen das oder den eine Untersuchung eröffnet wurde,  Partei.  3 Der Beauftragte kann Beschwerdeentscheide des Bundesverwaltungsgerichts  anfechten.       17 SR 172.021  18 SR 311.0     Schengen-Datenschutzgesetz   11   235.3   5. Abschnitt:  Amtshilfe zwischen dem Beauftragten und ausländischen Behörden   Art. 26  1 Der Beauftragte kann mit der Behörde eines Schengen-Staates, die für den Daten- schutz zuständig ist, für die Erfüllung ihrer jeweiligen gesetzlich vorgesehenen  Aufgaben im Bereich des Datenschutzes Informationen oder Personendaten austau- schen, wenn folgende Voraussetzungen erfüllt sind:   a. Die Gegenseitigkeit der Amtshilfe ist sichergestellt.   b. Die Informationen und Personendaten werden nur für das den Datenschutz  betreffende Verfahren verwendet, das dem Amtshilfeersuchen zugrunde  liegt.   c. Die empfangende Behörde verpflichtet sich, die Berufs- sowie Geschäfts-  und Fabrikationsgeheimnisse zu wahren.   d. Die Informationen und Personendaten werden Dritten nur bekanntgegeben,  wenn die Behörde, die sie übermittelt hat, dies vorgängig genehmigt.   e. Die empfangende Behörde verpflichtet sich, die Auflagen und Einschrän- kungen der Behörde einzuhalten, die ihr die Informationen und Personen- daten übermittelt hat.   2 Um sein Amtshilfegesuch zu begründen oder um dem Ersuchen einer Behörde  Folge zu leisten, kann der Beauftragte insbesondere folgende Angaben machen:   a. den Namen des verantwortlichen Bundesorgans, des Auftragsbearbeiters o- der anderer beteiligter Dritter;   b. die Kategorien der betroffenen Personen;   c. die Identität der betroffenen Personen, falls deren Mitteilung unentbehrlich  ist, damit der Beauftragte oder die für den Datenschutz zuständige Behörde  eines Schengen-Staates ihre gesetzlichen Aufgaben erfüllen können;   d. bearbeitete Personendaten oder Kategorien bearbeiteter Personendaten;   e. den Bearbeitungszweck;   f. die Empfängerinnen und Empfänger oder die Kategorien der Empfängerin- nen und Empfänger;   g. die technischen und organisatorischen Massnahmen.  3 Bevor der Beauftragte der Behörde eines Schengen-Staates, die für den Daten- schutz zuständig ist, Informationen bekanntgibt, die Berufs-, Geschäfts- oder Fabri- kationsgeheimnisse enthalten können, informiert er die betroffenen Personen, die  Trägerinnen dieser Geheimnisse sind, und lädt sie zur Stellungnahme ein, es sei  denn, dies ist nicht möglich oder erfordert einen unverhältnismässigen Aufwand.     Datenschutz   12   235.3   6. Abschnitt: Übergangbestimmung betreffend laufende Verfahren   Art. 27  Dieses Gesetz gilt nicht für Untersuchungen des Beauftragten, die im Zeitpunkt des  Inkrafttretens hängig sind; es ist ebenfalls nicht anwendbar auf hängige Beschwer- den gegen erstinstanzliche Entscheide, die vor dem Inkrafttreten ergangen sind.  Diese Fälle unterstehen dem bisherigen Recht.   Datum des Inkrafttretens: 1. März 201919       19 BRB vom 30. Januar 2019 (AS 2019 625, hier 638)     Schengen-Datenschutzgesetz   13   235.3   Anhang  (Art. 1 Abs. 2)   Schengen-Assoziierungsabkommen   Die Schengen-Assoziierungsabkommen umfassen:   a. Abkommen vom 26. Oktober 200420 zwischen der Schweizerischen Eidge- nossenschaft, der Europäischen Union und der Europäischen Gemeinschaft  über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und  Entwicklung des Schengen-Besitzstands;   b. Abkommen vom 26. Oktober 200421 in Form eines Briefwechsels zwischen  dem Rat der Europäischen Union und der Schweizerischen Eidgenossen- schaft über die Ausschüsse, die die Europäische Kommission bei der Aus- übung ihrer Durchführungsbefugnisse unterstützen;   c. Vereinbarung vom 22. September 201122 zwischen der Europäischen Union  sowie der Republik Island, dem Fürstentum Liechtenstein, dem Königreich  Norwegen und der Schweizerischen Eidgenossenschaft über die Beteiligung  dieser Staaten an der Arbeit der Ausschüsse, die die Europäische Kommissi- on bei der Ausübung ihrer Durchführungsbefugnisse in Bezug auf die Um- setzung, Anwendung und Entwicklung des Schengen-Besitzstands unterstüt- zen;   d. Übereinkommen vom 17. Dezember 200423 zwischen der Schweizerischen  Eidgenossenschaft, der Republik Island und dem Königreich Norwegen über  die Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands  und über die Kriterien und Verfahren zur Bestimmung des zuständigen Staa- tes für die Prüfung eines in der Schweiz, in Island oder in Norwegen gestell- ten Asylantrags;   e. Abkommen vom 28. April 200524 zwischen der Schweizerischen Eidgenos- senschaft und dem Königreich Dänemark über die Umsetzung, Anwendung  und Entwicklung derjenigen Teile des Schengen-Besitzstands, die auf Be- stimmungen des Titels IV des Vertrags zur Gründung der Europäischen  Gemeinschaft basieren;   f. Protokoll vom 28. Februar 200825 zwischen der Schweizerischen Eidgenos- senschaft, der Europäischen Union, der Europäischen Gemeinschaft und  dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechten- stein zum Abkommen zwischen der Schweizerischen Eidgenossenschaft, der  Europäischen Union und der Europäischen Gemeinschaft über die Assoziie-      20 SR 0.362.31  21 SR 0.362.1  22 SR 0.362.11  23 SR 0.362.32  24 SR 0.362.33  25 SR 0.362.311     Datenschutz   14   235.3   rung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwen- dung und Entwicklung des Schengen-Besitzstands.