Verordnung zum Gesetz über die digitale Verwaltung

(VDVG) Vom 05.03.2024 (Stand 01.01.2026)

1. Auslagerung

Art. 1 Auslagerung, 1. Verantwortlichkeit

1. Die Verwaltungsbehörde, welche die Bearbeitung von Daten oder die Verwaltung von Informatiklösungen auslagert, bleibt verantwortlich für die Einhaltung der Anforderungen an den Datenschutz und die Datensicherheit.
2. Wenn die Auslagerung mehrere Behörden betrifft, ist eine hauptverantwortliche Behörde zu bestimmen.

Art. 2 2. Anforderungskriterien

1. Mittels Vereinbarung, Auflage oder auf andere geeignete Weise sind mindestens folgende Punkte zu regeln:
   1. Inhalt der Dienstleistung;
   2. Wahrung des Amtsgeheimnisses sowie besonderer Geheimhaltungspflichten;
   3. Verantwortlichkeiten;
   4. technische und organisatorische Massnahmen zur Wahrung des Datenschutzes und der Datensicherheit;
   5. Ort der Datenbearbeitung;
   6. Kontrolle der Auftragserfüllung;
   7. Beizug von Dritten;
   8. Vertragsdauer und Voraussetzungen der Vertragsauflösung sowie deren Folgen, insbesondere die Rückführung und Löschung der Daten;
   9. bei Pflichtverletzung vorgesehene Sanktionen.

2. Basisdienste

Art. 3 Basisdienste

1. Als Basisdienste gelten:
   1. ein Portal für Leistungen der Behörden und für die Interaktion mit den Behörden (E-Government-Portal);
   2. ein E-Konto und die zentrale Verwaltung der Identitäten von Benutzerinnen und Benutzern (Identity and Access Management);
   3. ein Dienst zur elektronischen Signierung unterschriftsbedürftiger Dokumente (Signatur-Service);
   4. Dienste zum Austausch von Mitteilungen und Dokumenten mit Behörden über das E-Government-Portal (Zustellplattform);
   5. ein Dienst zur zentralen und einheitlichen Erstellung und Verwaltung von Webformularen zwecks Erbringung von Dienstleistungen über das E-Government-Portal oder über eine Webseite (Formulardienst).

Art. 4 Integration bestehender Dienstleistungen

1. Bestehende Dienstleistungen über das Internet können in ihrer bisherigen Form weiterbetrieben werden. Sie sind zusätzlich über das E-Government-Portal anzubieten, soweit dies sinnvoll und technisch machbar ist.

3. E-Government-Portal

3.1. Zuständigkeiten

Art. 5 Zuständige Verwaltungseinheit

1. Die Stabstelle Digitale Verwaltung ist die für den administrativen Betrieb des E-Government-Portals und die damit verbundenen Basisdienste zuständige Verwaltungseinheit.

Art. 6 Für die Informatik zuständige Verwaltungseinheit

1. Das Amt für Informatik ist die für die Informatik zuständige Verwaltungseinheit.

3.2. E-Konto

Art. 7 Eröffnung

1. Die Eröffnung eines E-Kontos erfolgt über ein elektronisches Formular.
2. Zur Eröffnung des E-Kontos müssen mindestens die Kontodaten gemäss Artikel 17 Absatz 1 Litera a bis Litera e des Gesetzes über die digitale Verwaltung angegeben werden.
3. Jede Benutzerin und jeder Benutzer kann nur über ein E-Konto verfügen.

Art. 8 Doublettenprüfung

1. Bei der Eröffnung der Kontos findet zur Doublettenprüfung ein Abgleich der eingegebenen Daten mit den bestehenden Konten statt.
2. Wird beim Abgleich ein bestehendes E-Konto gefunden, kann dieses weitergenutzt oder reaktiviert werden. Dies gilt nicht, wenn das Konto nach Artikel 16 Absatz 2 Litera a des Gesetzes über die digitale Verwaltung durch die zuständige Behörde gesperrt wurde.

Art. 9 Zustimmung zu den Rechten und Pflichten

1. Die Benutzerinnen und Benutzer sind über ihre Rechte und Pflichten bei der Eröffnung des E-Kontos und bei jeder Änderung der Rechte und Pflichten rechtzeitig in geeigneter Weise zu informieren.
2. Die Benutzerinnen und Benutzer haben den Rechten und Pflichten bei der Eröffnung des E-Kontos und bei jeder Änderung der Rechte und Pflichten zuzustimmen. Die Nutzung des E-Kontos kann eingeschränkt werden, solange den geänderten Bestimmungen nicht zugestimmt wird.
3. Die Zustimmung ist durch die für die Informatik zuständige Verwaltungseinheit in geeigneter Weise aufzuzeichnen.

Art. 10 Vertretung natürlicher Personen

1. Der Umfang der Vertretungsbefugnis ist klar zu definieren, insbesondere hinsichtlich der betroffenen Dienstleistungen.
2. Das Vertretungsverhältnis kann jederzeit beidseitig widerrufen werden.

Art. 11 Handeln juristischer Personen, 1. Generelle Vorgaben

1. Für den Bezug von Dienstleistungen durch juristische Personen, sind diese einmalig im System zu erfassen und es sind die berechtigten Benutzerinnen und Benutzer zu benennen.
2. Im Zuge der Erfassung wird mindestens eine Benutzerin oder ein Benutzer als Unternehmensvertretung benannt.
3. Die Fachbehörde kann zusätzliche Nachweise der Vertretungsbefugnis einfordern. Diese Vorgaben sind den Benutzerinnen und Benutzern durch die Fachbehörde in geeigneter Weise bekannt zu geben.

Art. 12 2. Erfassung

1. Juristische Personen mit einer Unternehmens-Identifikationsnummer (UID-Nummer) gemäss dem Bundesgesetz über die Unternehmens-Identifikationsnummer (UID-Einheiten) beantragen die Erfassung über das E-Konto einer Benutzerin oder eines Benutzers unter Angabe von Firmenname und UID-Nummer.
2. Nach der Antragsstellung wird ein Aktivierungscode zuhanden der Geschäftsleitung an die im UID-Register des Bundes hinterlegte Sitzadresse der UID-Einheit gesendet.
3. Durch Eingabe des Aktivierungscodes über das E-Konto der dafür benannten Benutzerin oder des dafür benannten Benutzers wird die UID-Einheit aktiviert und die entsprechende Person zur Unternehmensvertretung berechtigt.
4. Bei juristischen Personen ohne UID-Nummer erfolgt die Zusendung des Aktivierungscodes an die durch die Benutzerin oder den Benutzer eingegebene Adresse. Dienstleistungen gewisser Vertrauensstufen können von der Nutzung durch juristische Personen ohne UID-Nummer ausgenommen werden.

Art. 13 3. Berechtigung

1. Die Unternehmensvertretung kann weitere Benutzerinnen und Benutzer zum Bezug von Dienstleistungen berechtigen.
2. Die Unternehmensvertretung ist für die Nachführung der berechtigten Benutzerinnen und Benutzer verantwortlich. Sie wird vom System regelmässig zur Überprüfung der erteilten Berechtigungen aufgefordert.
3. Das E-Konto der zum Bezug von Dienstleistungen berechtigten Benutzerinnen und Benutzer hat die für die Dienstleistung erforderliche Vertrauensstufe aufzuweisen.

Art. 14 Deaktivierung und Einschränkung, 1. Durch die Benutzerin oder den Benutzer

1. Die Benutzerin oder der Benutzer kann die Deaktivierung des eigenen E-Kontos ohne Angabe von Gründen jederzeit in ihrem oder seinem E-Konto veranlassen.

Art. 15 2. Durch eine Behörde

1. Eine Behörde kann eine Deaktivierung oder Einschränkung veranlassen, sofern die Voraussetzungen von Artikel 16 Absatz 2 des Gesetzes über die digitale Verwaltung erfüllt sind.
2. Ein Missbrauch des E-Kontos durch das Konto einer Benutzerin oder eines Benutzers liegt insbesondere vor, wenn sie oder er gegen die Rechte und Pflichten verstösst oder Anzeichen auf eine Kompromittierung des E-Kontos durch Dritte bestehen.
3. Die Deaktivierung oder Einschränkung ist der Benutzerin oder dem Benutzer auf die im System hinterlegte E-Mail-Adresse mitzuteilen.
4. Die Benutzerin oder der Benutzer kann die Reaktivierung des Kontos oder die Aufhebung der Einschränkung bei der Behörde beantragen. Die Behörde kann das Gesuch ablehnen, wenn eine Person mehrfach oder in schwerer Weise gegen die Rechte und Pflichten verstossen hat oder die Gefahr der Kompromittierung noch nicht behoben ist.
5. Die betroffene Person kann bei der zuständigen Verwaltungseinheit gemäss Artikel 5 den Erlass eines schriftlichen Entscheids über die Verweigerung verlangen.

Art. 16 3. Folgen

1. Mit der Deaktivierung oder Einschränkung besteht kein Zugriff mehr auf die im Portal gespeicherten und die mit dem E-Konto verknüpften Daten. Die Benutzerin oder der Benutzer ist selber für die vorgängige Sicherung der eigenen Daten verantwortlich.
2. Befindet sich die Benutzerin oder der Benutzer zum Zeitpunkt der Deaktivierung oder Einschränkung in einem hängigen Verfahren, welches gemäss den Bestimmungen des Gesetzes über die Verwaltungsrechtspflege über das E-Government-Portal als Übermittlungssystem geführt wird, so haben die weiteren Verfahrenshandlungen in Papierform zu erfolgen.

3.3. Datenschutz und Datensicherheit

Art. 17 Authentisierung

1. Um sich für eine Dienstleistung in einer Fachanwendung zu authentisieren, muss die Benutzerin oder der Benutzer:
   1. die von der Fachbehörde definierte Vertrauensstufe aufweisen; und
   2. einmalig mit der Fachanwendung verknüpft worden sein.
2. Für den Zugriff auf die Fachanwendung sind entsprechend dem Schutzbedarf der bearbeiteten Daten verschiedene Vertrauensstufen vorgesehen:
   1. Vertrauensstufe 0: öffentliche Daten;
   2. Vertrauensstufe 1: Grundschutzbedarf;
   3. Vertrauensstufe 2: erhöhter Schutzbedarf;
   4. Vertrauensstufe 3: sehr hoher Schutzbedarf.

Art. 18 Erlangung einer höheren Vertrauensstufe

1. Eine höhere Vertrauensstufe kann erlangt werden, indem die Benutzerin oder der Benutzer:
   1. ein amtliches Identifizierungsverfahren durchläuft; oder
   2. eine elektronische Identifizierungseinheit vorweist, welche die Vorgaben der jeweiligen Vertrauensstufe erfüllt.
2. Die Anforderungen zur Erlangung einer Vertrauensstufe richten sich nach dem Qualitätsmodell zur Authentifizierung von Subjekten (Standard eCH-0170).

Art. 19 Amtliche Identifizierung

1. Das amtliche Identifizierungsverfahren wird durchgeführt durch:
   1. persönliche Vorsprache bei einer Identifizierungsstelle; oder
   2. ein nach aktuellem Stand der Technik sicheres Online-Identifizierungsverfahren.
2. Die zuständige Verwaltungseinheit definiert die Identifizierungsprozesse und Identifizierungsstellen und hat die Vorgaben für jede Vertrauensstufe zu publizieren.
3. Der Nachweis über das Durchlaufen des Identifizierungsprozesses kann im E-Konto gespeichert werden.

Art. 20 Verknüpfung mit der Fachanwendung

1. Die Verknüpfung eines E-Kontos mit einer Fachanwendung wird hergestellt, sofern die Kontodaten mit den entsprechenden Daten in der Fachapplikation übereinstimmen. Je nach Vertrauensstufe kann die Eingabe weiterer Daten verlangt werden, welche der Benutzerin oder dem Benutzer bekannt sind.
2. Sofern Kontodaten nicht in einer Fachanwendung gespeichert sind, können diese mit der Einwilligung der Benutzerin oder des Benutzers der Fachanwendung zur Verfügung gestellt werden.
3. Die Personendaten aus den Fachanwendungen werden während der Verknüpfung im E-Konto zwischengespeichert.
4. Bei erfolgreicher Verknüpfung wird die Benutzeridentifizierungsnummer aus der Fachanwendung dauerhaft im E-Konto gespeichert.

Art. 21 Verwendung elektronischer Identifizierungseinheiten

1. Als anerkannte, elektronische Identifizierungseinheiten gelten:
   1. SwissID;
   2. gemäss bundesrechtlichen Vorgaben anerkannte elektronische Identifizierungseinheiten.
2. Die Daten aus der anerkannten elektronischen Identifizierungseinheit werden mit dem Einverständnis der Benutzerin oder des Benutzers im E-Konto gespeichert.
3. Die für die Informatik zuständige Verwaltungseinheit definiert unter Beachtung bundesrechtlicher Vorgaben, welche Vertrauensstufen die elektronischen Identifizierungseinheiten erfüllen.

Art. 22 Protokollierung

1. Die Speicherung umfasst die zugreifende Benutzerin oder den zugreifenden Benutzer, den Zeitpunkt des Zugriffs sowie die Art der vorgenommenen Handlungen.
2. Die Protokolle können von einem beschränkten Personenkreis eingesehen und kontrolliert werden.
3. Die gespeicherten Daten werden nach zwölf Monaten gelöscht. Vorbehalten bleiben abweichende Aufbewahrungsfristen der anwendbaren Spezialgesetzgebung.

Art. 23 Auslagerung von Datenbearbeitungen

1. Die zuständige Verwaltungseinheit kann Dritte mit Datenbearbeitungen im Zusammenhang mit dem E-Konto, namentlich der Durchführung des Identifizierungsprozesses und der Sicherstellung der Benutzerunterstützung, beauftragen.

4. Schlussbestimmungen

Art. 24 Übergangsbestimmungen

1. Bestehende Vereinbarungen, Auflagen oder auf andere geeignete Weise getroffene Abreden zur Auslagerung bleiben bis zu ihrem Ablauf gültig. Sie müssen bei einer allfälligen Erneuerung den Bestimmungen dieser Verordnung angepasst werden.