DSGVO-Hinweise

Der verantwortungsvolle Umgang mit Personendaten ist ein wichtiger Bestandteil der Geschäftsabläufe von ARDELICO. Wir berücksichtigen den Datenschutz bei der Organisation unserer Prozesse, beim Einsatz technischer Systeme und bei der Zusammenarbeit mit externen Dienstleistern.

Diese Richtlinie beschreibt die organisatorischen Grundsätze, Zuständigkeiten, Sicherheitsvorkehrungen und internen Verfahren zum Schutz von Personendaten.

Grundlage bilden das Schweizer Bundesgesetz über den Datenschutz (DSG), die Datenschutzverordnung (DSV) sowie weitere anwendbare Datenschutzvorschriften. Soweit bestimmte Bearbeitungsvorgänge zusätzlich in den Anwendungsbereich der europäischen Datenschutz-Grundverordnung (DSGVO) fallen, werden deren einschlägige Anforderungen berücksichtigt.

1. Verantwortung für den Datenschutz

ARDELICO berücksichtigt den Schutz von Personendaten bei der Planung und Durchführung seiner Geschäftsabläufe.

Bei der Beurteilung von Datenbearbeitungen werden insbesondere folgende Aspekte berücksichtigt:

  • Art und Zweck der jeweiligen Geschäftsaktivität

  • Eingesetzte technische Systeme und Anwendungen

  • Umfang und Art der bearbeiteten Personendaten

  • Mögliche Risiken für die Persönlichkeit und die Grundrechte betroffener Personen

Datenschutzbezogene Verfahren werden überprüft, wenn sich Geschäftsabläufe, eingesetzte Technologien oder Umstände verändern, die sich auf die Datensicherheit und die Einhaltung gesetzlicher Anforderungen auswirken können.

2. Datenschutz bei der Entwicklung und Einführung neuer Funktionen

Datenschutzanforderungen werden nach Möglichkeit bereits bei der Planung neuer Websitefunktionen, technischer Anwendungen und interner Abläufe berücksichtigt.

Bei der Gestaltung und Konfiguration entsprechender Systeme achten wir insbesondere darauf:

  • Den Zugriff auf Personendaten auf den tatsächlich notwendigen Personenkreis zu beschränken

  • Personendaten nur in dem Umfang zu bearbeiten, der für die jeweilige Aufgabe erforderlich ist

  • Systemeinstellungen hinsichtlich ihrer Auswirkungen auf den Datenschutz zu überprüfen

  • Unnötige Datenbearbeitungen durch geeignete Voreinstellungen möglichst zu vermeiden

Die Auswahl technischer und organisatorischer Massnahmen richtet sich nach dem jeweiligen Verwendungszweck und den damit verbundenen Risiken.

3. Erkennung und Bewertung von Datenschutzrisiken

Bei der Bearbeitung von Personendaten können unterschiedliche Risiken entstehen. Diese werden unter Berücksichtigung der jeweiligen Geschäftsaktivität und der möglichen Auswirkungen auf betroffene Personen beurteilt.

Die Risikobewertung kann insbesondere folgende Faktoren umfassen:

  • Art und Zweck der Datenbearbeitung

  • Menge und Kategorien der betroffenen Personendaten

  • Verwendete Technologien

  • Zugriffs- und Berechtigungsmöglichkeiten

  • Mögliche Folgen eines unbefugten Zugriffs oder einer missbräuchlichen Verwendung

  • Wahrscheinlichkeit und Schwere möglicher Beeinträchtigungen

Ergeben sich Hinweise auf ein erhöhtes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen, wird geprüft, ob zusätzliche Schutzmassnahmen oder eine Datenschutz-Folgenabschätzung erforderlich sind.

4. Datenschutz-Folgenabschätzung

Kann eine geplante Bearbeitung von Personendaten ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen mit sich bringen, wird gemäss den anwendbaren gesetzlichen Voraussetzungen geprüft, ob eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen ist.

Eine erforderliche Folgenabschätzung erfolgt vor Beginn der betreffenden Datenbearbeitung.

Sie dient insbesondere dazu:

  • Mögliche Datenschutzrisiken frühzeitig zu erkennen

  • Die Wahrscheinlichkeit und Schwere möglicher Auswirkungen zu beurteilen

  • Geeignete Massnahmen zur Verringerung der Risiken festzulegen

  • Zu prüfen, ob die geplante Datenbearbeitung unter angemessenen Schutzbedingungen durchgeführt werden kann

Besteht trotz der vorgesehenen Massnahmen weiterhin ein hohes Risiko, werden die nach anwendbarem Recht erforderlichen weiteren Schritte geprüft und umgesetzt.

Dazu kann unter den gesetzlichen Voraussetzungen auch eine vorgängige Konsultation der zuständigen Datenschutzaufsichtsbehörde gehören.

5. Zusammenarbeit mit externen Datenbearbeitern

Für bestimmte Geschäftsabläufe kann ARDELICO externe Dienstleister einsetzen, die Personendaten im Auftrag bearbeiten.

Bei der Auswahl solcher Dienstleister werden die für die jeweilige Datenbearbeitung geltenden Datenschutzanforderungen und die erforderlichen Schutzvorkehrungen berücksichtigt.

Die übertragenen Aufgaben und Verantwortlichkeiten richten sich nach dem tatsächlichen Leistungsumfang.

Soweit gesetzlich erforderlich, wird die Zusammenarbeit durch geeignete vertragliche Vereinbarungen oder andere rechtlich verbindliche Regelungen festgelegt.

Im Rahmen der jeweiligen Beauftragung sollen insbesondere folgende Grundsätze eingehalten werden:

  • Bearbeitung von Personendaten nur im Rahmen der übertragenen Aufgaben

  • Einhaltung der anwendbaren Weisungen

  • Berücksichtigung der vereinbarten Datenschutzanforderungen

  • Beschränkung des Datenzugriffs auf den notwendigen Umfang

Die Anforderungen an die Auftragsbearbeitung richten sich nach dem Schweizer Datenschutzrecht und gegebenenfalls zusätzlich anwendbaren Vorschriften.

6. Zugriffsrechte und Berechtigungen

Der Zugang zu Personendaten wird entsprechend den betrieblichen Aufgaben und den tatsächlichen Anforderungen eingeschränkt.

Berechtigungen werden anhand der jeweiligen Zuständigkeiten vergeben.

Ändern sich Aufgaben oder entfällt die Notwendigkeit eines Datenzugriffs, können bestehende Berechtigungen angepasst oder aufgehoben werden.

Diese Massnahmen sollen insbesondere das Risiko reduzieren, dass Personendaten:

  • Von unbefugten Personen eingesehen werden

  • Ohne entsprechende Berechtigung verwendet werden

  • Unberechtigt verändert werden

  • Ausserhalb des vorgesehenen Aufgabenbereichs bearbeitet werden

Der Zugang zu Personendaten ist damit an die jeweilige berufliche oder vertragliche Aufgabe gebunden.

7. Umgang mit Datenschutzverletzungen

Sicherheitsvorfälle, die Personendaten betreffen können, werden entsprechend ihrer Art und möglichen Auswirkungen beurteilt.

Dabei können insbesondere folgende Fragen berücksichtigt werden:

  • Welche Art von Sicherheitsvorfall liegt vor?

  • Welche Personendaten könnten betroffen sein?

  • Wie gross ist der mögliche Umfang des Vorfalls?

  • Welche Folgen könnten für betroffene Personen entstehen?

  • Welche Massnahmen sind erforderlich, um weitere Auswirkungen zu begrenzen?

Wird eine Verletzung der Datensicherheit festgestellt, werden die nach den Umständen notwendigen Massnahmen ergriffen, um den Vorfall einzudämmen und mögliche Schäden zu reduzieren.

Besteht voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen, erfolgt eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), soweit dies nach Schweizer Datenschutzrecht vorgeschrieben ist.

Betroffene Personen werden informiert, wenn dies zu ihrem Schutz erforderlich ist oder die zuständige Behörde eine entsprechende Information verlangt.

Soweit zusätzlich andere Datenschutzvorschriften anwendbar sind, werden deren Melde- und Informationspflichten berücksichtigt.

8. Dokumentation und Nachvollziehbarkeit

Soweit dies aufgrund der geltenden gesetzlichen Anforderungen erforderlich ist, werden geeignete Unterlagen und Aufzeichnungen zu datenschutzrelevanten Vorgängen geführt.

Diese können insbesondere folgende Bereiche betreffen:

  • Tätigkeiten zur Bearbeitung von Personendaten

  • Technische und organisatorische Schutzmassnahmen

  • Durchgeführte Risikobewertungen

  • Datenschutz-Folgenabschätzungen

  • Erteilte Zugriffsberechtigungen

  • Massnahmen im Zusammenhang mit Datenschutzvorfällen

  • Weitere für die Einhaltung der Datenschutzvorschriften relevante Vorgänge

Art und Umfang der Dokumentation richten sich nach den gesetzlichen Anforderungen sowie der Art und dem Umfang der jeweiligen Datenbearbeitung.

Die Aufzeichnungen dienen dazu, relevante Entscheidungen und getroffene Schutzmassnahmen nachvollziehbar zu machen.

9. Datenschutzbewusstsein und Schulung

Personen, die im Rahmen ihrer Aufgaben Zugang zu Personendaten erhalten, sollen mit den damit verbundenen Verantwortlichkeiten vertraut sein.

Je nach Tätigkeitsbereich können datenschutzbezogene Informationen und Schulungen insbesondere folgende Themen behandeln:

  • Vertraulicher Umgang mit Personendaten

  • Ordnungsgemässe Nutzung von Zugriffsberechtigungen

  • Bearbeitung von Anfragen betroffener Personen

  • Erkennung möglicher Sicherheitsvorfälle

  • Vorgehensweise bei tatsächlichen oder vermuteten Datenschutzverletzungen

Eine Zugriffsberechtigung erlaubt ausschliesslich die Bearbeitung von Personendaten im Rahmen der jeweiligen Aufgaben und Befugnisse.

Die Verwendung für andere, nicht autorisierte Zwecke ist davon nicht umfasst.

10. Zuständigkeit für Datenschutzfragen

Die Zuständigkeiten für datenschutzbezogene Aufgaben werden entsprechend den tatsächlichen Geschäftsabläufen und den anwendbaren gesetzlichen Anforderungen beurteilt.

Das Schweizer Datenschutzrecht sieht unter bestimmten Voraussetzungen die Möglichkeit vor, eine Datenschutzberaterin oder einen Datenschutzberater zu benennen.

Soweit für bestimmte Bearbeitungsvorgänge die europäische DSGVO anwendbar ist, wird zusätzlich geprüft, ob die gesetzlichen Voraussetzungen für die Bestellung eines Datenschutzbeauftragten (Data Protection Officer, DPO) erfüllt sind.

Für diese Beurteilung können insbesondere folgende Faktoren massgebend sein:

  • Art der Datenbearbeitung

  • Umfang der Bearbeitungstätigkeiten

  • Verfolgte Zwecke

  • Grösse und Bedeutung der betreffenden Datenbearbeitungen

Diese Richtlinie stellt keine Erklärung dar, dass bereits eine Datenschutzberaterin, ein Datenschutzberater oder ein DPO bestellt wurde.

11. Zusammenarbeit mit Datenschutzaufsichtsbehörden

ARDELICO berücksichtigt die gesetzlichen Pflichten zur Zusammenarbeit mit den zuständigen Datenschutzaufsichtsbehörden.

Für die Aufsicht über die Einhaltung des Schweizer Datenschutzgesetzes durch private Verantwortliche ist auf Bundesebene der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig.

Soweit gesetzlich erforderlich, kann die Zusammenarbeit insbesondere folgende Tätigkeiten umfassen:

  • Beantwortung behördlicher Anfragen

  • Bereitstellung rechtlich erforderlicher Informationen

  • Mitwirkung bei aufsichtsrechtlichen Prüfungen

  • Bearbeitung gesetzlich vorgesehener Mitteilungen

  • Umsetzung erforderlicher Massnahmen im Rahmen behördlicher Verfahren

Falls einzelne Bearbeitungsvorgänge zusätzlich der Aufsicht einer ausländischen Datenschutzbehörde unterliegen, werden die jeweils anwendbaren gesetzlichen Anforderungen berücksichtigt.

12. Regelmässige Überprüfung der Datenschutzmassnahmen

Datenschutzbezogene Verfahren und Schutzmassnahmen werden überprüft, wenn wesentliche Veränderungen der Geschäftsabläufe, technischen Systeme, erkannten Risiken oder rechtlichen Anforderungen dies erforderlich machen.

Dabei können insbesondere folgende Punkte beurteilt werden:

  • Wirksamkeit bestehender Sicherheitsmassnahmen

  • Angemessenheit der Zugriffsberechtigungen

  • Organisation datenschutzbezogener Abläufe

  • Neu erkannte oder veränderte Risiken

  • Einhaltung der anwendbaren Datenschutzanforderungen

Wenn sich daraus ein Anpassungsbedarf ergibt, werden geeignete Änderungen entsprechend den tatsächlichen betrieblichen Möglichkeiten und gesetzlichen Verpflichtungen geprüft und umgesetzt.

13. Aktualisierung dieser Richtlinie

Diese Richtlinie kann überarbeitet werden, wenn sich die rechtlichen, technischen oder organisatorischen Rahmenbedingungen verändern.

Anpassungen können insbesondere aufgrund folgender Entwicklungen erforderlich sein:

  • Änderungen der anwendbaren Datenschutzvorschriften

  • Einführung oder Änderung technischer Systeme

  • Anpassung interner Geschäftsabläufe

  • Veränderungen bei der Bearbeitung von Personendaten

  • Neue Anforderungen an die Organisation und Überprüfung von Datenschutzmassnahmen

Erforderliche Änderungen werden unter Berücksichtigung der jeweils geltenden Vorschriften und der tatsächlichen Bearbeitungstätigkeiten beurteilt.

Ziel dieser Überprüfungen ist es, die organisatorischen Datenschutzverfahren an die bestehenden Anforderungen und die praktische Ausgestaltung der Geschäftsabläufe anzupassen.