1. Die Verantwortlichen und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten.
  2. Das Verzeichnis des Verantwortlichen enthält mindestens:
    1. die Identität des Verantwortlichen;
    2. den Bearbeitungszweck;
    3. eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten;
    4. die Kategorien der Empfängerinnen und Empfänger;
    5. wenn möglich die Aufbewahrungsdauer der Personendaten oder die Krite-rien zur Festlegung dieser Dauer;
    6. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewähr-leistung der Datensicherheit nach Artikel 8;
    7. falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Artikel 16 Absatz 2.
  3. Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auf-tragsbearbeiters und des Verantwortlichen, zu den Kategorien von Bearbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden, sowie die Angaben nach Absatz 2 Buchstaben f und g.
  4. Die Bundesorgane melden ihre Verzeichnisse dem EDÖB.
  5. Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitar-beiterinnen und Mitarbeiter beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt.