Source: http://docplayer.org/2600557-Rvp-bulletin-regelung-des-datenschutzes-im-multinationalen-konzern-eine-uebersicht-inhalt-bearbeitung-von-personendaten-im-konzern.html
Timestamp: 2017-02-23 00:23:48+00:00

Document:
RVP Bulletin. Regelung des Datenschutzes im multinationalen Konzern (eine Übersicht) Inhalt. Bearbeitung von Personendaten im Konzern - PDF
RVP Bulletin. Regelung des Datenschutzes im multinationalen Konzern (eine Übersicht) Inhalt. Bearbeitung von Personendaten im Konzern
Download "RVP Bulletin. Regelung des Datenschutzes im multinationalen Konzern (eine Übersicht) Inhalt. Bearbeitung von Personendaten im Konzern"
1 RUOSS VÖGELE PARTNER KREUZSTRASSE 54 CH-8032 ZÜRICH TELEFON FAX RVP Bulletin Regelung des Datenschutzes im multinationalen Konzern (eine Übersicht) Zürich, Februar 2014, Nr. 1 Inhalt Bearbeitung von Personendaten im Konzern... 1 Beschreibung der Datenbearbeitung... 1 IT-Infrastruktur und Applikationen... 2 Dokumentierung und Aktualisierung... 2 Anwendbare Datenschutzrechte... 3 Rechtsumsetzung im Konzern... 3 Datenschutz-Folgeabschätzungen... 4 Datenschutzrechtliche Massnahmen... 4 Sparsame Beschaffung von Personendaten... 4 Umgang mit privaten Informationen... 4 Umwandlung in Nicht-Personendaten... 4 Mehr ist besser als weniger... 5 Risikobasierter Ansatz... 5 Sicherheit und Aufbewahrung in Datenzentren... 5 Datenschutzkonforme Produkte... 6 Standardmässige Transparenz... 6 Identifizierung von Einwilligungsfällen... 6 Datenschutz-Governance... 7 Effektive Umsetzung im Konzern... 7 Verantwortliche Personen... 7 Datenschutzausbildung... 7 Datenschutzprozesse... 7 Compliance... 7 Verträge für gruppeninterne Datentransfers... 7 Vertragserfordernis bei Datentransfers... 7 Multilaterale Datentransferverträge... 8 Ring fencing auf tiefem Schutzniveau... 8 Konzernrichtlinien und Reglemente... 9 Regelungsarchitektur im Konzern... 9 Datenschutzrichtlinien auf Konzernstufe... 9 Datensicherheitsrichtlinien auf Konzernstufe... 9 Bearbeitungsreglemente... 9 Binding Corporate Rules...10 BCRs als genehmigtes Gesamtkonzept Inhalt von BCRs Genehmigte BCRs oder eigenständige Massnahmen Cloud Computing...11 Externe Auftragsdatenbearbeitung Risiko und Risikoanalyse Verträge und Processor-BCRs für die Cloud Abkürzungen...12 Bearbeitung von Personendaten im Konzern Beschreibung der Datenbearbeitung Bevor in einem Konzern bestimmt werden kann, welche datenschutzrechtlichen Regeln anwendbar sind und wie sie konzernintern umgesetzt werden können,2 muss der relevante Sachverhalt festgestellt werden. Je nach Geschäftstätigkeit des Unternehmens werden bestimmte Arten von Personendaten auf spezifische Weise bearbeitet. Die Datenbearbeitung im Konzern muss auf angemessene Weise beschrieben werden. Diese Beschreibung umfasst hauptsächlich folgende Elemente: Group Chart mit Länderangaben; Geschäftsfunktionen und -organisation; Ein multinationaler Konzern betreibt (neben lokalen Servern) für gewöhnlich ein oder mehrere Datenzentren. Dabei sind die Konzerngesellschaften regelmässig einem spezifischen regionalen oder globalen Datenzentrum angeschlossen. Zwischen den verschiedenen Datenzentren findet möglicherweise ein beschränkter Datenaustausch statt. Datentransfers über Datenzentren eines Konzerns können vereinfacht wie folgt dargestellt werden: IT-Infrastruktur (Datenzentren und Server-Standorte); Datenbearbeitungsprozesse; Arten der betroffenen Personen und Personendaten; Datenfluss mit Dateneingabe und -zugriff; Auslagerung der Datenbearbeitung (Cloud). IT-Infrastruktur und Applikationen Bei der elektronischen Bearbeitung von Personendaten im Konzern kann zwischen Datenzentrum (IT- Infrastruktur), Plattform (Anwendung) und Software (Applikations-Software) unterschieden werden: Datenzentrum: Konzerne mit internationaler Geschäftstätigkeit betreiben regelmässig regionale oder globale Datenzentren. Diese umfassen Server, auf denen die Gruppengesellschaften ihre Daten oder Anwendungen abspeichern können. Die IT-Infrastruktur betrifft das Netz, den Zugang zum Netz, die Hardware etc. Dabei umfassen Datenzentren regelmässig operative Server an einem Standort und Back-up-Server an einen geographisch getrennten anderen Standort. Sie enthalten zudem ein Sicherheitsdispositiv für wesentliche nicht voraussehbare Notfälle. Plattform: Im Datenzentrum wird eine Plattform (Anwendung) für die Datenbearbeitung entwickelt und zur Verfügung gestellt. Software: Es bedarf Applikations-Software, um die Daten mittels der Plattform bewirtschaften zu können. Dokumentierung und Aktualisierung Die Beschreibung der Datenbearbeitung in einem Konzern muss dokumentiert werden. Insbesondere sollte ein Inventar der verschiedenen konzerninternen Datenbearbeitungsprozesse erstellt werden. Zudem müssen Listen von Datensammlungen für jene Gruppengesellschaften erstellt werden, die nach lokalem Datenschutzrecht einer entsprechenden Meldepflicht unterstehen. Die Datenbearbeitungsprozesse in einem Konzern sind in stetigem Fluss. Bestehende Bearbeitungsprozesse werden geändert und neue eingeführt. Aus diesem Grund ist es in einem Konzern erforderlich, dass die bestehende Dokumentation der gruppen- 23 weiten Datenbearbeitung regelmässig angepasst wird. Anwendbare Datenschutzrechte Datenschutzrecht ist hauptsächlich nationales Recht. Welche nationalen Datenschutzrechte auf die Datenbearbeitung in einem Konzern zur Anwendung kommen, bestimmt sich danach, wo Personendaten bearbeitet werden. Grundsätzlich findet die Datenbearbeitung dort statt, wo Gruppengesellschaften ihre Geschäftstätigkeit ausüben und wo Datenzentren betrieben werden. Ob ein bestimmtes Datenschutzgesetz anwendbar ist, bestimmt sich anhand von dessen Geltungsbereich. Ein multinationaler Konzern hat seine Geschäftstätigkeiten in einer Vielzahl von Ländern. Er muss dementsprechend verschiedene Datenschutzrechte beachten. Dies kann vereinfacht wie folgt dargestellt werden: Cloud AB D USA CH I E UK Can Die Bestimmungen in nationalen Datenschutzgesetzen sind im Wesentlichen privat-, verwaltungs- oder strafrechtlicher Natur. Ihre Anwendung auf die konzernweite Datenbearbeitung ist je nach Qualifizierung unterschiedlich: F NL für gewöhnlich ähnlich ausgestaltet. Wenn bei ihnen ein hoher Standard auf der Grundlage der gesetzlichen Bestimmungen eines Landes mit angemessenem Datenschutz zur Anwendung gebracht wird, kann grundsätzlich davon ausgegangen werden, dass dieser Standard auch den gesetzlichen Anforderungen in den anderen relevanten Ländern entspricht. Ausnahmsweise bestehen in einzelnen Ländern Sondervorschriften, die länderspezifisch beachtet werden müssen. Solche Regeln bestehen etwa für Deutschland im Bereich des Datentransfers oder für Spanien im Bereich der Datensicherheit. Verwaltungsrechtliche Bestimmungen: Die verwaltungsrechtlichen Bestimmungen (insbesondere die Meldepflichten) müssen in jedem relevanten Land separat bestimmt und erfüllt werden. Strafrechtliche Bestimmungen: Die Strafbestimmungen in nationalen Datenschutzgesetzen werden regelmässig an die Verletzung von verwaltungsrechtlichen Bestimmungen anknüpfen. Sie müssen gegebenenfalls in jedem Land separat beachtet werden. Soweit sie hingegen an die Verletzung privatrechtlicher Bestimmungen anknüpfen, dürfte die Strafbarkeit mit der Umsetzung eines hohen Datenschutzstandards regelmässig vermieden werden können. Rechtsumsetzung im Konzern Es ist praktisch nicht möglich, dass Konzerne nationale Datenschutzrechte direkt auf ihre interne Bearbeitung von Personendaten anwenden. Zudem verlangen Datenschutzrechte regelmässig, dass die gesetzlichen Datenschutzbestimmungen durch konzerninterne Regeln basierend auf Richtlinien, Reglementen und Verträgen umgesetzt werden. Diese Umsetzung von anwendbaren Datenschutzrechten in einem multinationalen Konzern kann vereinfacht wie folgt dargestellt werden: DS-Recht Land 1 DS-Recht Land 2 DS-Recht Land 3 DS-Recht Land 4 Privatrechtliche Bestimmungen: Die privatrechtlichen Bestimmungen (insbesondere die Bearbeitungsgrundsätze) sind in verschiedenen Ländern DS-Regeln im Konzern 34 Datenschutz-Folgeabschätzungen Wenn ein neues System oder ein neuer Datenbearbeitungsprozess mit höheren Datenschutzrisiken in einem Konzern eingeführt werden soll, muss grundsätzlich vorgängig eine Datenschutz-Folgeabschätzung durchgeführt werden. Sie dient der Erkennung von Datenschutzrisiken und erlaubt es früh im Erarbeitungsprozess eines Projekts, diejenigen Punkte zu identifizieren, die aus Datenschutzsicht heikel sind. Sowohl in der Schweiz als auch in der EU bestehen entsprechende Evaluationsraster. Anhand des Ergebnisses einer Folgeabschätzung kann das Projekt unter Berücksichtigung datenschutzrechtlicher Erfordernisse ausgestaltet werden. Datenschutzrechtliche Massnahmen Sparsame Beschaffung von Personendaten Es ergibt sich aus dem Grundsatz der Verhältnismässigkeit, dass ein Unternehmen an sich nur solche Personendaten beschaffen darf, die es für die eigene Geschäftstätigkeit tatsächlich benötigt. Es darf keine Daten auf Vorrat beschaffen. Ein Unternehmen, das systematisch unnötige Personendaten beschafft, verhält sich datenschutzrechtswidrig. Vor diesem Hintergrund empfiehlt es sich für Unternehmen, die Beschaffung von Personendaten bewusst zu steuern. Beispielsweise sollte für den HR- Bereich definiert und dokumentiert werden, welche Arten von Informationen von welchen Kategorien von Mitarbeitenden beschafft werden dürfen und welche nicht. Dasselbe gilt für die Beschaffung von Kundendaten. Zudem sollten Prozesse für die Vernichtung bzw. Löschung von nicht mehr benötigten (und unnötigerweise beschafften) Personendaten etabliert werden. Insbesondere die Beschaffung von besonders schützenswerten Personendaten und Persönlichkeitsprofilen sollte möglichst vermieden oder eingeschränkt werden. Die Bearbeitung solcher Informationen unterliegt nämlich nach den Datenschutzrechten von Ländern mit angemessenem Datenschutz zusätzlichen Einschränkungen und Anforderungen (z.b. Einwilligungserfordernis). Umgang mit privaten Informationen Unternehmen dürfen grundsätzlich keine privaten Informationen von Mitarbeitenden oder Kunden bearbeiten. Gleichwohl lässt sich eine solche Datenbearbeitung im Unternehmen nicht ganz vermeiden. Beispielsweise senden oder erhalten Mitarbeitende private s, die in der Folge auf dem -Server des Unternehmens gespeichert werden. Mitarbeitende legen private Informationen auf der Festpatte des eigenen Computers ab. Kunden stellen dem Unternehmen auf dessen Website private Informationen zur Verfügung. Da Unternehmen die Bearbeitung privater Informationen möglichst vermeiden müssen, erscheint es sinnvoll, intern ein Konzept für den Umgang mit privaten Informationen zu entwickeln. Dabei sollten insbesondere folgende Einschränkungen beachtet werden: Die Speicherung privater Informationen sollte möglichst beschränkt werden. Im Weiteren dürfen gespeicherte private Informationen nur sehr limitiert in Überwachungsmassnahmen (z.b. - oder Internet-Überwachung) einbezogen werden (siehe Anleitungen von Datenschutzbehörden in relevanten Ländern). Schliesslich haben die betroffenen Personen grundsätzlich einen Anspruch auf Löschung ihrer privaten Informationen und können diesen nach Massgabe des anwendbaren Datenschutzrechts auch gegen das Unternehmen rechtlich durchsetzen. Umwandlung in Nicht-Personendaten Datenschutzrechtliche Anforderungen greifen nur ein, wenn Personendaten bearbeitet werden. Wenn Daten bearbeitet werden, die keine Personendaten sind, müssen auch keine datenschutzrechtlichen Anforderungen beachtet werden. Als Personendaten gelten etwa nach schweizerischem Datenschutzrecht alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 Abs. 1 lit. a DSG) oder nach der EU-Datenschutzrichtlinie alle Informationen über eine bestimmte oder bestimmbare natürliche Person (Art. 2 lit. a). 45 Das Schweizerische Bundesgericht hält in diesem Zusammenhang Folgendes fest: Bestimmbar ist die Person, wenn aufgrund zusätzlicher Informationen auf sie geschlossen werden kann. Für die Bestimmbarkeit genügt jedoch nicht jede theoretische Möglichkeit der Identifizierung. Ist der Aufwand derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor. Die Frage ist abhängig vom konkreten Fall zu beantworten, wobei insbesondere auch die Möglichkeiten der Technik mitzuberücksichtigen sind, so zum Beispiel die im Internet verfügbaren Suchwerkzeuge. Von Bedeutung ist indessen nicht nur, welcher Aufwand objektiv erforderlich ist, um eine bestimmte Information einer Person zuordnen zu können, sondern auch, welches Interesse der Datenbearbeiter oder ein Dritter an der Identifizierung hat. (BGE 136 II 508, 514). Ob eine Information aufgrund zusätzlicher Angaben mit einer Person in Verbindung gebracht werden kann, sich die Information mithin auf eine bestimmbare Person bezieht (Art. 3 lit. a DSG), beurteilt sich aus der Sicht des jeweiligen Inhabers der Information. (BGE 136 II 508, 515). Wenn man davon ausgeht, dass in anderen Ländern vergleichbare Regeln für die Bestimmbarkeit von Personen gelten, ist es in einem Konzern möglich, Personendaten für bestimmte Bearbeitungsschritte oder deren Aufbewahrung gewissermassen in Nicht- Personendaten umzuwandeln, sodass im entsprechenden Umfang kein Datenschutzrecht zur Anwendung kommt. Wenn beispielsweise anonymisierte oder pseudonymisierte Daten an einen Dienstleister im Ausland (ohne Befugnis zum Weitertransfer) weitergeleitet werden und dieser zur Re-Identifikation nicht in der Lage ist, liegen aus dessen Sicht mangels Personenbezugs keine Personendaten vor. Gegebenenfalls müssen die datenschutzrechtlichen Anforderungen an den Datentransfer in Länder ohne angemessenen Datenschutz nicht beachtet werden. Dasselbe gilt, wenn elektronische Personendaten (d.h. Programme) gewissermassen aufgesplittet werden oder unter Umständen auch dann, wenn Personendaten vollständig verschlüsselt werden. Mehr ist besser als weniger Es ist m.e. nicht korrekt zu sagen, dass die Datenbearbeitung in einem Konzern insgesamt entweder datenschutzkonform oder nicht datenschutzkonform ist. Es ist zutreffender zu sagen, dass die Datenbearbeitung in einem Konzern mehr oder weniger, aber gewiss nie 100% datenschutzkonform ist. Die Bearbeitung von Personendaten kann und sollte in einem Konzern deshalb auf der Grundlage datenschutzrechtlicher Anforderungen regelmässig überprüft und angepasst bzw. verbessert werden. Risikobasierter Ansatz Einige Bearbeitungssysteme im Konzern werden viele Personendaten (z.b. HR-Systeme), andere kaum Personendaten enthalten. Zudem sind Personendaten nicht gleich Personendaten. Beispielsweise wiegt eine unzulässige Offenlegung von besonders schützenswerten Personendaten aus persönlichkeitsrechtlicher Sicht schwerer als jene von einfachen Personendaten. Es ist deshalb wichtig, jene Bearbeitungsprozesse in einem Konzern zu identifizieren, in denen viele oder heikle Personendaten, insbesondere besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet werden. Die datenschutzrechtlichen Massnahmen sollten sich zuerst auf diese Bearbeitungsprozesse beziehen. Sicherheit und Aufbewahrung in Datenzentren Datenzentren machen in einem Konzern nicht nur aus Effizienz- und Kostengründen Sinn. Sie sind für gewöhnlich auch in der Lage, ein erheblich höheres Datensicherheitsniveau zu gewährleisten, als dies bei lokalen Servern möglich wäre. Die Datenbearbeitung in regionalen oder globalen Datenzentren ist somit auch aus Sicht des Datenschutzrechts zu begrüssen. Datenzentren dienen neben der Datenspeicherung auch der elektronischen Aufbewahrung von Dokumenten. Sie umfassen nicht nur strukturierte Datenbanken, sondern auch Systeme zur elektronischen Aufbewahrung von Dokumenten und s (Dokumenten- und -Speichersysteme). Die elektronische Aufbewahrung von Dokumenten kann so ausgestaltet werden, dass die gesetzlichen Aufbewah- 56 rungsanforderungen in den betroffenen Ländern mehrheitlich oder gar vollständig erfüllt sind, sodass alle oder die meisten Dokumentenarten nicht länger in Papierform aufbewahrt werden müssen. Die elektronische Aufbewahrung von Daten und Dokumenten wird gelegentlich auf mögliche Offenlegungspflichten ausgerichtet. Beispielsweise kann die Speicherung von s im Hinblick auf eine konzernweite Datenoffenlegung im Rahmen einer Pre- Trial Discovery insbesondere in den USA spezifiziert vorgenommen werden. Es sollte in diesem Zusammenhang schliesslich erwähnt werden, dass bei der Aufbewahrung von Daten und Dokumenten in regionalen oder globalen Datenzentren allenfalls auch aufsichtsrechtliche Anforderungen und Einschränkungen beachtet werden müssen, wenn regulierte Geschäftstätigkeiten betroffen sind. Gegebenenfalls können Datenzentren aufsichtsrechtlich als Fälle von IT-Auslagerung gelten, die den Aufsichtsbehörden in den betroffenen Ländern gemeldet oder von diesen gar genehmigt werden müssen. Datenschutzkonforme Produkte Applikationen sind möglichst unter Berücksichtigung des Datenschutzrechts auszugestalten. Nach schweizerischem Datenschutzrecht (Art. 5 VDSZ) können Produkte, deren eigentlicher Zweck die Datenbearbeitung ist, und Produkte, bei deren Benutzung Personendaten anfallen, grundsätzlich zertifiziert werden. Im Rahmen einer solchen Zertifizierung wird die produktimmanente Gewährleistung verschiedener datenschutzrelevanter Aspekte beurteilt. Standardmässige Transparenz Betroffene Personen müssen wissen bzw. erkennen können, dass ein Unternehmen Daten über sie bearbeitet, damit sie ihre Rechte wahrnehmen können. Daraus ergibt sich regelmässig eine datenschutzrechtliche Pflicht für Unternehmen, die betroffenen Personen über die Beschaffung und Bearbeitung ihrer Daten zu informieren. Dieser Grundsatz gilt nicht nur im schweizerischen, sondern auch in anderen Datenschutzrechten. Unternehmen sollten ihre Mitarbeitenden, Kunden und Lieferanten, soweit rechtlich erforderlich, standardmässig und möglichst auf Konzernstufe über die Bearbeitung ihrer Daten informieren. Dies kann mittels Vertragsklauseln, separaten Mitteilungen, Mitteilungen auf der Website oder auf andere Weise geschehen. Identifizierung von Einwilligungsfällen Die Einwilligung ist ein problematischer Rechtfertigungsgrund für die Bearbeitung von Personendaten: Erstens sind die Anforderungen an eine datenschutzrechtlich gültige Einwilligung hoch. Wird die Einwilligung unkorrekt verwendet, stellt sie keine geeignete Grundlage für die Datenbearbeitung dar. Zweitens vermag die Einwilligung keinen Rechtfertigungsgrund für die Datenbearbeitung zu liefern, wenn sie im Rahmen eines klaren Ungleichgewichts zwischen Datenverantwortlichem und betroffener Person erteilt wird (z.b. Einwilligungsfälle im Arbeitsverhältnis). Drittens ist die Einwilligung ein instabiler Rechtfertigungsgrund für die Datenbearbeitung, indem sie jederzeit zurückgezogen werden kann. Die Einwilligung ist einer von mehreren datenschutzrechtlichen Rechtfertigungsgründen für die Bearbeitung von Personendaten. In einem Konzern sollte die Einwilligung nur verwendet werden, wenn für eine notwenige Datenbearbeitung kein anderer Rechtfertigungsgrund zur Verfügung steht. Insbesondere eignet sich die Einwilligung von Mitarbeitenden und Kunden für standardmässige Bearbeitungsprozesse grundsätzlich nicht, wenn keine Bearbeitungsalternative für den Fall des Widerrufs der Einwilligung vorhanden ist. Dagegen eignet sich die Einwilligung für die Rechtfertigung von spezifischen und einmaligen Bearbeitungsfällen (z.b. Zustimmung des Mitarbeitenden zu psychologischem Test in Promotionsverfahren). Es erscheint sinnvoll, die konzernweite Datenbearbeitung auf ihre Rechtfertigungsgründe hin zu untersuchen und jene Fälle zu identifizieren, bei denen die Einwilligung der betroffenen Person erforderlich ist. Für diese Fälle kann in der Folge eine schriftliche Standard-Einwilligungserklärung abgefasst und verwendet werden, die aus datenschutzrechtlicher Sicht gültig ist. 67 Datenschutz-Governance Effektive Umsetzung im Konzern Konzerne müssen praktische Massnahmen ergreifen, um anwendbare Datenschutzrechte effektiv umzusetzen. Dabei stehen insbesondere folgende Massnahmen im Vordergrund: Abschluss von Datentransferverträgen, Erlass von Richtlinien und Reglementen, Ernennung von verantwortlichen Personen, Durchführung von Datenschutzkursen sowie Festlegung von Datenschutzprozessen und Compliance- Massnahmen. Der Datenschutz sollte in einem multinationalen Konzern mehrheitlich zentral organisiert werden, insbesondere weil konzerninterne Datenbearbeitungsprozesse gleichzeitig mehreren Datenschutzrechten mit vergleichbaren Regeln unterstehen. Verantwortliche Personen Es erscheint notwendig, auf Konzernstufe eine verantwortliche Person für den Datenschutz und eine verantwortliche Person für die Datensicherheit zu ernennen. Je nach den Verhältnissen im Einzelfall können diese Funktionen zusammengelegt und mit anderen Funktionen kombiniert werden. Den verantwortlichen Personen sollten erhebliche Kompetenzen im Bereich des Datenschutzes und der Datensicherheit eingeräumt werden, geht es dabei doch überwiegend um technische Fragen, die an Legal & Compliance oder IT gerichtet sind und die zudem rasch und flexible beantwortet werden und zu effizienten Massnahmen führen müssen. Im Weiteren kann es auf der Stufe der Länder oder Gruppengesellschaften gesetzlich vorgeschrieben sein, einen lokalen Datenschutzverantwortlichen einzusetzen. Datenschutzausbildung Die Mitarbeitenden eines Konzerns, die im Rahmen ihrer Aufgaben Personendaten bearbeiten (z.b. HR- Personal), müssen von Zeit zu Zeit im Datenschutzrecht aus- und weitergebildet werden. Nur dann sind sie auch in der Lage, bestehende Konzernrichtlinien und Bearbeitungsreglemente in ihren jeweiligen Verantwortungsbereichen anzuwenden. Datenschutzprozesse Folgende Datenschutzprozesse sollten in multinationalen Konzernen grundsätzlich aufgesetzt werden: Prozess, um Zugriffs-, Berichtigungs- und Löschungsbegehren von betroffenen Personen zu behandeln; Prozess, um Beschwerden von betroffenen Personen zu behandeln; Prozess, um mit Sicherheitsverstössen umzugehen und falls erforderlich diese zu melden; Prozess zur Durchführung von Datenschutz- Folgeabschätzungen unter spezifischen Umständen; Prozess zur Durchführung von Compliance- Massnahmen. Compliance Es sollte in einem Konzern periodisch verifiziert werden, dass die ergriffenen Datenschutzmassnahmen ausreichend sind, um die Bearbeitungsgrundsätze und andere datenschutzrechtliche Anforderungen effektiv umzusetzen. Dies kann etwa dadurch bewerkstelligt werden, dass die verantwortlichen Personen Massnahmen kontrollieren und dass interne oder externe Audits durchgeführt werden. Auf diese Weise kann sichergestellt werden, dass die getroffenen Massnahmen nicht nur auf dem Papier bestehen, sondern im Konzern tatsächlich auch umgesetzt werden. Verträge für gruppeninterne Datentransfers Vertragserfordernis bei Datentransfers In einem Konzern finden über gruppenweite Bearbeitungssysteme täglich unzählige Transfers von Personendaten statt. Solche Datentransfers machen es nach EU und schweizerischem Datenschutzrecht regelmässig erforderlich, dass schriftliche Datentransferverträge zwischen den betroffenen Gruppengesellschaften abgeschlossen werden. 78 Ein schriftlicher Datentransfervertrag ist für gewöhnlich notwendig, wenn Personendaten grenzüberschreitend aus einem EU-Staat oder der Schweiz in ein Land ohne angemessenen Datenschutz transferiert werden. Der Transfervertrag soll bei der Empfängergesellschaft einen angemessenen Datenschutz gewährleisten. Zu diesem Zweck stehen in der EU und der Schweiz geeignete Standard- Vertragsklauseln zur Verfügung. Ein schriftlicher Vertrag ist selbst für Datentransfers innerhalb der EU oder der Schweiz erforderlich, wenn eine Gesellschaft Personendaten im Auftrag einer anderen Gesellschaft bearbeitet (Auftragsdatenbearbeitung). Das Vertragserfordernis gilt auch für die entsprechenden Datentransfers zwischen Gruppengesellschaften eines Konzerns. Vorbehalten bleibt der Fall, da in einem Konzern Binding Corporate Rules implementiert werden. Gegebenenfalls besteht ein reduzierter bzw. geänderter Bedarf nach bindenden Verträgen (siehe hinten). Multilaterale Datentransferverträge Es wäre kaum praktikabel, für alle Arten von Datentransfers in einem Konzern bilaterale Datentransferverträge zwischen betroffenen Gruppengesellschaften abzuschliessen. Deshalb drängt es sich auf, statt unzähliger bilateraler Transferverträge konzernweit nur einen oder wenige multilaterale Transferverträge abzuschliessen. Multilaterale Verträge können etwa auf der Stufe der einzelnen Bearbeitungssysteme (z.b. HR-Datenbank, geschäftsspezifische Systeme, -Server etc.) abgeschlossen werden. Bei diesem Ansatz dürften in einem grossen Konzern immer noch zahlreiche Verträge erforderlich sein. Es ist deshalb sinnvoll, einen einzigen multilateralen Vertrag für alle geschäftsbezogenen Datentransfers abzufassen. Ein solcher Vertrag ist gewiss umfassend und beinhaltet mehrere Anhänge zur Regelung der verschiedenen Geschäftsfunktionen und deren Bearbeitungssysteme. Es ist aber immer noch einfacher, einen einzigen komplizierten Vertrag zu handhaben als eine Vielzahl bilateraler oder systembezogener multilateraler Verträge zu verwalten. Neben einem solchen umfassenden geschäftsbezogenen Vertrag wird grundsätzlich nur noch ein multilateraler Vertrag für HR-bezogene Datentransfers erforderlich sein. Ring fencing auf tiefem Schutzniveau Aus Sicht der Datenschutzrechte der Schweiz und der EU gibt es einerseits Länder mit angemessenem Datenschutz (EU-Staaten, Schweiz, gewisse weitere Länder) und andererseits Länder ohne angemessenen Datenschutz. Soweit die Bearbeitung von Personendaten auf Länder beschränkt wird, die über keinen angemessenen Datenschutz verfügen, besteht auch keine Notwendigkeit, die weitergehenden datenschutzrechtlichen Anforderungen in Ländern mit angemessenem Datenschutz anzuwenden. Somit ist es für global tätige Konzerne grundsätzlich möglich, die konzerninterne Bearbeitung von Personendaten auf unterschiedlichen Niveaus zu betreiben. Beispielsweise kann die Datenbearbeitung in der Schweiz unter Beachtung hoher Anforderungen und jene in den USA unter Beachtung geringerer Anforderungen betrieben werden. Ob dies wünschbar ist, ist eine andere Frage. Viele Konzerne sind vielmehr bestrebt, ein gruppenweit einheitliches und hohes Datenschutzniveau umzusetzen und dieses an ihre Kunden und die Öffentlichkeit zu kommunizieren. Die Bearbeitung von Personendaten auf tiefem Schutzniveau ist im Konzern nur zulässig, solange sie auf Länder ohne angemessenen Datenschutz beschränkt bleibt. Dabei ist es für Gruppengesellschaften in Ländern ohne angemessenen Datenschutz (z.b. USA) grundsätzlich immer noch möglich, ihre Personendaten auf einen zentralen Gruppenserver in einem Land mit angemessenem Datenschutz (z.b. Schweiz) zu transferieren, sie dort zu speichern und in der Folge auf sie online zuzugreifen. Soweit dabei nur Mitarbeitende in den Ursprungsländer vorgängig transferierte Personendaten bearbeiten, müssen die betreffenden Gruppengesellschaften m.e. deswegen nicht zu einem höheren Datenschutzniveau verpflichtet werden. Anders verhält es sich hingegen grundsätzlich mit Personendaten, die nicht vorgängig transferiert wurden, sondern im Rahmen der Datenbearbeitung im Gruppensystem neu bzw. zusätzlich geschaffen wurden. Auf die Bearbeitung solcher Daten wird an sich der höhere Datenschutzstandard anwendbar sein ( Infizierung durch höheres Datenschutzniveau ). 89 Konzernrichtlinien und Reglemente Regelungsarchitektur im Konzern Im Interesse eines effektiven Datenschutzes im Konzern ist es entscheidend, dass die zuständigen Mitarbeitenden angemessen angewiesen werden, wie Personendaten rechtskonform zu bearbeiten sind. Dies betrifft nicht nur die Mitarbeitenden in Ländern mit angemessenem Datenschutz, sondern auch jene in Ländern ohne angemessenen Datenschutz. Die dortigen Arbeitgeber-Gruppengesellschaften haben sich nämlich durch gruppeninterne Datentransferverträge zur Einhaltung eines angemessenen Datenschutzes verpflichtet (siehe vorne). Es stellt sich die Frage, wie Mitarbeitende, die Personendaten bearbeiten, im Konzern am besten informiert und instruiert werden können. Datenschutzrechtliche Informationen und Instruktionen zuhanden von Mitarbeitenden erfolgen grundsätzlich auf dem Weg von Richtlinien und Reglementen. Es müssen zunächst vom zuständigen Gremium konzernweite Datenschutzrichtlinien und Datensicherheitsrichtlinien erlassen werden. Übergeordnete Konzernrichtlinien sind zwar erforderlich, helfen dem einzelnen bearbeitenden Mitarbeitenden beim konkreten Umgang mit Personendaten in seinem Arbeitsbereich aber kaum. Wenn in der Datenschutzrichtlinie beispielsweise steht, Personendaten seien verhältnismässig zu bearbeiten, so dürfte der einzelne Mitarbeitende oftmals nicht in der Lage sein, zu bestimmen, was Verhältnismässigkeit im konkreten Einzelfall bedeutet. Aus diesem Grund müssen die Konzernrichtlinien für die wichtigen Bearbeitungsfälle mittels geeigneter Bearbeitungsreglemente (z.b. HR- Bearbeitungsreglement) konkretisiert werden. Die Architektur der datenschutzrechtlichen Richtlinien und Reglemente in einem Konzern können vereinfacht wie folgt dargestellt werden: Datenschutz- Richtlinien Im Konzern gibt es regelmässig eine Vielzahl von verschiedenen Datenbearbeitungsfällen, bei denen sich jeweils spezifische datenschutzrechtliche Fragen stellen. Es ist deshalb datenschutzrechtlich erforderlich, die wichtigen Datenbearbeitungsprozesse zu regeln. Dabei geht es nicht nur um Prozesse im HR- 9 Bearbeitungsreglemente Datensicherheits- Richtlinien Die in einem Konzern bestehenden datenschutzrechtlichen Richtlinien und Bearbeitungsreglemente richten sich hauptsächlich an die Mitarbeitenden, die Personendaten bearbeiten. Sie müssen deshalb (anders als Datentransferverträgen) möglichst einfach und verständlich abgefasst sein. Datenschutzrichtlinien auf Konzernstufe Die Datenschutzrichtlinien auf Konzernstufe enthalten lediglich eine datenschutzrechtliche Rahmenordnung. Sie regeln u.a. die Bearbeitungsgrundsätze und Aspekte der Datenschutz-Governance. Sie können für gruppenweite Detailregelungen auch auf separate Richtlinien verweisen und dabei Kompetenzen delegieren (z.b. Regelung erforderlicher Bearbeitungsprozesse). Datensicherheitsrichtlinien auf Konzernstufe IT-spezifische Risiken müssen mit einem effizienten Risikomanagement bewirtschaftet werden. Ein solches Risikomanagement ist über eine klar definierte IT-Governance und eine sich daran orientierende IT- Sicherheitsstrategie zu erreichen. Die IT-Governance umfasst die Steuerung und Kontrolle von Risiken sowie die Spezifizierung von Verantwortlichkeiten in der Informationstechnologie. Die IT-Sicherheitsstrategie legt die Sicherheitsprinzipien und Sicherheitsziele fest. Die Inhalte der IT-Governance und Informationssicherheit sind in international anerkannten Rahmenwerken (Selbstregulierungs-Standards) festgelegt (z.b. ISO 2700X). Ausgehend von den Inhalten dieser internationalen Rahmenwerke und den gesetzlichen Vorgaben in den betroffenen Ländern ist eine Informationssicherheitsrichtlinie zu erlassen, um die IT-Governance, die IT-Sicherheitsstrategie und deren Umsetzung zu regeln. Geregelt werden schliesslich etwa auch das Reporting und die Anpassung an veränderte Verhältnisse. Bearbeitungsreglemente10 Bereich (z.b. Anstellungsprozess, Internet- und E- Mail-Überwachung, Video- und GPS-Überwachung etc.). Jedes wichtige Bearbeitungssystem mit einem spezifischen Zweck kann besondere Regeln erforderlich machen, wenn darin Personendaten bearbeitet werden. Diesbezüglich enthält beispielsweise das schweizerische Datenschutzrecht eine grundsätzliche Pflicht zur Erstellung eines Bearbeitungsreglements für jede automatisierte Datensammlung, bei der regelmässig Personendaten an Dritte bekannt gegeben werden oder regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet werden (Art. 11 Abs. 1 VDSG). Es erscheint m.e. aus verschiedenen Gründen sinnvoll, die Kompetenz zum Erlass spezifischer Bearbeitungsreglemente an den Datenschutzverantwortlichen des Konzerns zu delegieren: Dieser ist fachlich in der Lage, zu entscheiden, wo ein Bearbeitungsreglement erforderlich ist und welche Regeln gegebenenfalls in einem Bearbeitungsreglement enthalten sein müssen. Im Weiteren kann der Datenschutzverantwortliche auf laufende Veränderungen bei der Datenbearbeitung im Konzern reagieren und einmal erlassene Bearbeitungsreglemente nötigenfalls auch rasch wieder ändern. Dies liegt ganz im Interesse eines effektiven Datenschutzes im Konzern. Binding Corporate Rules BCRs als genehmigtes Gesamtkonzept Die Verwendung von Binding Corporate Rules (BCRs) als rechtliche Grundlage für den grenzüberschreitenden Datentransfer innerhalb des Konzerns macht es nach EU-Recht erforderlich, dass von den Data Controllers im Konzern angemessene Schutzmassnahmen ergriffen werden. Auf der Grundlage solcher Schutzmassnahmen und deren Dokumentierung werden dann die grenzüberschreitenden Datentransfers in einem besonderen EU- Verfahren unter der Verantwortung eines Lead Regulators genehmigt. Die BCRs umfassen verschiedene interne Massnahmen, um die Bearbeitungsgrundsätze im Konzern umzusetzen (z.b. Ernennung von verantwortlichen Personen, Festlegung von Prozessen, Durchführung der Ausbildung, Erlass von Richtlinien). Diese konzernweiten internen Massnahmen dienen letztlich der Umsetzung der vertraglichen Gewährleistung des angemessenen Datenschutzes beim grenzüberschreitenden Datentransfer in Länder ohne angemessenen Datenschutz. Die Genehmigung von BCRs steht auch Konzernen mit Sitz in der Schweiz und Tochtergesellschaften in der EU offen. Schweizerische Konzerne können das Verfahren grundsätzlich vor der Datenschutzbehörde eines EU-Staates einleiten, in dem sie geschäftlich tätig sind. Sind die BCRs in der EU einmal genehmigt worden, müssen sie noch dem Schweizerischen Datenschutz- und Öffentlichkeitsbeauftragten mitgeteilt werden (Art. 6 Abs. 2 lit. g und Abs. 3 DSG; Art. 6 Abs. 1 VDSG). Inhalt von BCRs Die BCRs (in einem weiten Sinn verstanden) stellen ein Gesamtkonzept für die Regelung des Datenschutzes in einem Konzern dar und umfassen alle genehmigten und dokumentierten Massnahmen. Sie umfassen insbesondere folgende Arten von Dokumenten: Genehmigungsgesuch mit Erklärungen und Beschreibungen der Bearbeitungssysteme und Datenflüsse; BCRs (in einem engen Sinn verstanden) als übergeordnete Datenschutzrichtlinien, allenfalls mit Anhängen; Richtlinien und Reglemente, welche insbesondere auch die Datenschutzprozesse umschreiben; erforderliche konzerninterne Transferverträge; Informationsdokumente (Transparenz); Erfüllung spezifischer Anforderungen gemäss nationaler Datenschutzrechte (z.b. Meldepflichten). Genehmigte BCRs oder eigenständige Massnahmen Ein Konzern muss nicht unbedingt BCRs genehmigen lassen, um eine grundsätzlich rechtskonforme interne Bearbeitung von Personendaten sicherzustellen. Er kann dies auch eigenständig ohne behördliche Genehmigung bewerkstelligen, indem er multila- 1011 terale Verträge abschliesst und zusätzlich Richtlinien und Reglemente erlässt und diese umsetzt. Es besteht für den Konzern somit eine Wahl zwischen behördlich genehmigten BCRs und eigenständig umgesetzten Datenschutzmassnahmen. Bei beiden Ansätzen sind die erforderlichen Massnahmen und Dokumente vergleichbar. Allerdings sind die vertraglichen Anforderungen bei BCRs teilweise anders und geringfügiger als bei eigenständig umgesetzten Datenschutzmassnahmen. Cloud Computing Cloud Computing-Dienstleistungen können den Einbezug von mehreren Vertragsparteien als Auftragsdatenbearbeiter umfassen. Im Weiteren ist es üblich, dass Auftragsdatenbearbeiter zusätzliche Unterauftragsdatenbearbeiter beauftragen, die Zugriff auf Personendaten erhalten. Es kann in einer Cloud in der Folge zu einer Vielzahl von Datentransfers zwischen Servern bzw. Datenzentren von Auftrags- und Unterauftragsbearbeitern kommen. Die Bearbeitung von Personendaten in einer Cloud im Auftrag von Konzerngesellschaften kann vereinfacht wie folgt dargestellt werden: Externe Auftragsdatenbearbeitung Es erscheint für einen Konzern insbesondere aus Kostengründen sinnvoll, einen Teil der Datenbearbeitung durch einen spezialisierten Dienstleister in einer Cloud durchführen zu lassen. Dabei ist die sogenannte Public Cloud gemeint, bei der die Infrastruktur vollständig durch einen externen Cloud-Anbieter bewirtschaftet und bestimmt wird. Der Cloud-Nutzer hat insbesondere keinen Einfluss auf die Server- Standorte. Cloud Computing besteht aus einer Reihe von Technologien und Servicemodellen, die sich auf den internetbasierten Gebrauch und die internetbasierte Lieferung von IT Applikationen, Verarbeitungsfähigkeiten sowie Aufbewahrungs- und Speicherkapazitäten beziehen. Der Service kann in der blossen Infrastruktur bestehen, wobei der Cloud-Anbieter in der Cloud einen Server zur Verfügung stellt, auf dem die Cloud-Nutzer ihre Daten und Anwendungen abspeichern können ( Infrastructure as a Service (IaaS) ). Im Weiteren kann der Cloud-Anbieter eine Anwendung entwickeln und diese den Nutzern in der Cloud zwecks Datenbewirtschaftung zur Verfügung stellen ( Platform as a Service (PaaS) ). Schliesslich kann der Cloud-Anbieter auch die Bewirtschaftung der Daten mittels geeigneter Software übernehmen, sodass der Cloud-Nutzer nur noch Konsument in der Cloud ist, dem eine Funktionalität zur Verfügung gestellt wird, um dort Daten bearbeiten zu können ( Software as a Service (SaaS) ). UAB UAB AB UAB Risiko und Risikoanalyse AB Die Datenschutz-Risiken im Zusammenhang mit Cloud Computing betreffen vor allem die mangelnde Kontrolle über die Personendaten und die ungenü- UAB 1112 gende Information darüber, wie, wo und durch wen die Daten bearbeitet oder unterbearbeitet werden. Datenschutzrechtlich handelt es sich bei der Beziehung zwischen Cloud-Kunde und Cloud-Anbieter in der Regel um eine Controller-Processor-Beziehung. Das Unternehmen, das Personendaten in eine Cloud transferiert, ist für die Einhaltung des Datenschutzrechts verantwortlich. Es muss deshalb einen Cloud- Anbieter auswählen, der die Einhaltung des anwendbaren Datenschutzrechts gewährleistet, und sicherstellen, dass die rechtlichen Anforderungen auch tatsächlich umgesetzt werden. Dies betrifft nicht nur den Aspekt der Datensicherheit, sondern auch die verschiedenen datenschutzrechtlichen Pflichten (z.b. Beachtung von Zweckbestimmung, Verhältnismässigkeit, Transparenz etc.). Im Ergebnis muss das Unternehmen vor der Beauftragung eines Cloud-Anbieters eine datenschutzrechtliche Risikoanalyse durchführen. Es muss sich überlegen, welche Anwendungen und Daten es am eigenen Standort behalten will und welche in die Cloud wandern sollen und gegebenenfalls welche Cloud für die Datenbearbeitung geeignet ist. Bei den Cloud-Anbietern wird man insbesondere zwischen solchen unterscheiden, die eine Datenbearbeitung in der Schweiz bzw. der EU garantieren, und solchen, die eine entsprechende Garantie nicht abgeben. Dabei wird man allenfalls auch das Risiko der Datenüberwachung im Fall von US-Anbietern bzw. Serverstandorten in den USA einbeziehen. mehr als Standard-Klauseln gelten können). Wenn der Cloud-Anbieter seinen Sitz in einem Land mit angemessenem Datenschutz hat, kann die Situation komplizierter werden, weil die Standardklauseln dann nicht anwendbar sind. Was die vertragliche Beziehung zwischen dem Auftragsbearbeiter in einem Land ohne angemessenen Datenschutz und einem Unterauftragsbearbeiter betrifft, so sollte ein schriftlicher Vertrag abgeschlossen werden, der dieselben Pflichten des Unterauftragsbearbeiters vorsieht, die gemäss Standardklauseln auch für den Auftragsbearbeiter gelten. Eine Regelungsalternative bieten in der EU die 2012 und 2013 von der Artikel-29-Datenschutzgruppe entwickelten Processor-BCRs, die den Datentransfer innerhalb der Gruppe des Cloud-Anbieters (d.h. an Unterauftragsbearbeiter) im Interesse des Controllers erlauben, ohne dass dafür die Unterzeichnung von Verträgen zwischen Auftragsbearbeiter und Unterauftragsbearbeitern je Kunde erforderlich wäre. Der Inhalt der Processor-BCRs einer Processor-Gruppe muss vorgängig von den betreffenden Datenschutzbehörden in der EU genehmigt werden. Die genehmigten Richtlinien bilden in der Folge einen Anhang zum Dienstleistungsvertrag zwischen dem Cloud- Anbieter und dem jeweiligen Unternehmen (Kunde). Abkürzungen Verträge und Processor-BCRs für die Cloud Cloud Computing basiert regelmässig auf dem vollständigen Fehlen eines stabilen Datenstandorts innerhalb des Netzwerkes des Cloud-Anbieters. Dabei können Daten um 3 Uhr in einem Datenzentrum und um 6 Uhr in einem anderen Datenzentrum auf der anderen Seite der Welt sein. Vor diesem Hintergrund stossen die herkömmlichen Mittel, den Datentransfer in Länder ohne angemessenen Datenschutz zu regeln, an Grenzen. Eine Regelungsmöglichkeit besteht darin, im Vertrag zwischen dem Unternehmen und dem Cloud- Anbieter in einem Land ohne angemessenen Datenschutz die Standard-Klauseln zu verwenden und falls nötig anzupassen (wobei die Klauseln dann nicht AB: BCRs: BGE: DS: DSG: : EDÖB: EU: : VDSG: UAB: VDSZ: Auftragsdatenbearbeiter Binding Corporate Rules Bundesgerichtsentscheid Datenschutz Schweizerisches Bundesgesetz über den Datenschutz von 1992 Datenzentrum Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Europäische Union Konzerngesellschaft oder Zweigniederlassung einer Konzerngesellschaft Verordnung zum Bundesgesetz über den Datenschutz von 1993 Unterdatenauftragsbearbeiter Verordnung über die Datenschutzzertifizierung von13 Auf verfügbare Bulletins und Broschüren in PDF-Form 2013 Wettbewerbsabreden und Marktbeherrschung unter besonderer Berücksichtigung des schweizerischen Versicherungsmarktes (Deutsch und Englisch) Geschäftsraummiete Chasper Kamer, LL. M. Aufsichtsrechtliche Optimierung in der unabhängigen Vermögensverwaltung (Deutsch und Englisch) Dr. Alois Rimle, LL.M Verantwortlichkeit und Haftung des Verwaltungsrats (eine Übersicht) (RVP) Umstrukturierungen im Versicherungskonzern (eine Übersicht) Der Vorsorgeauftrag Delegieren Sie Ihre Sorge(n) Bigna Grauer 2012 Entwicklungen im Unternehmens- Datenschutzrecht der Schweiz und der EU im Jahr Entwicklungen im schweizerischen Versicherungsrecht 2011/1 (Deutsch und Englisch) Entwicklungen im schweizerischen Transaktionsrecht 2011/1 (RVP) Vermeidung der Regulierung von Private Equity- Investitionen in der Schweiz (Deutsch und Englisch) ; Alfred Gilgen, LL.M., N.Y. BAR Durchsetzung von Geldforderungen nach der neuen ZPO 2010 Der Aktionärsbindungsvertrag Chasper Kamer, LL.M. Entwicklungen im schweizerischen Transaktionsrecht 2010/1 (Deutsch und Englisch) (RVP) Entwicklungen im Unternehmens-Daten-schutzrecht der Schweiz und der EU 1/2010 Entwicklungen im schweizerischen Banken- und Kapitalmarktrecht 2010/1 (Deutsch und Englisch) Entwicklungen im schweizerischen Versicherungsrecht 2010/1 (Deutsch und Englisch) Rechtliche Rahmenbedingungen der Unternehmenssanierung (RVP) 2009 Entwicklungen im schweizerischen Transaktionsrecht 2009/2 (Deutsch und Englisch) (RVP) Überstunden und Überzeit Dr. Franziska Buob Entwicklungen im schweizerischen Versicherungs-, Banken- und Kapitalmarktrecht 2009/2 (Deutsch und Englisch) Entwicklungen im Datenschutzrecht für Unternehmen in der Schweiz und der EU 2009/2 Unternehmensleitung in Krisenzeiten Worauf es zu achten gilt Dr. Franziska Buob Entwicklungen im schweizerischen Versicherungs-, Banken- und Kapitalmarktrecht 2009/1 (Deutsch und Englisch) Entwicklungen im Datenschutzrecht für Unternehmen in der Schweiz und der EU 2009/1 (Deutsch und Englisch) Entwicklungen im schweizerischen Transaktionsrecht 2009/1 (RVP) 2008 Revision des Revisionsrechtes: Eine Übersicht über die wichtigsten Neuerungen Sara Sager Entwicklung im schweizerischen Versicherungs-, Bankenund Kapitalmarktrecht 2008/2 (Deutsch und Englisch) Vom Prozessieren Dr. Franziska Buob Liegenschaften im Erbgang: Häufige Tücken und Fallen (Teil I: Nachlassplanung) Pio R. Ruoss Outsourcing Dr. Marc M. Strolz IP IT Outsourcing Pascale Gola, LL.M. Entwicklung im schweizerischen Versicherungs-, Bankenund Kapitalmarktrecht 2008/1 (Deutsch und Englisch) 2007 Aktuelles aus dem Bereich des Immaterialgüter- und Firmenrechts Dr. Martina Altenpohl Die kleine Aktienrechtsreform und Neuerungen im Recht der GmbH Chasper Kamer, LL.M. Swiss Insurance Law Update 2007/1 Privatbestechung (Art. 4a UWG) Dr. Reto T. Ruoss Neue Phase der Freizügigkeit für EU/EFTA-Bürger, deren Familienangehörige und Erbringer von Dienstleistungen in der Schweiz Alfred Gilgen, LL.M. Revidiertes Datenschutzrecht für Unternehmen in der Schweiz Aktuelles aus dem Bereich des Wettbewerbs- und Immaterialgüterrechts Chasper Kamer, LL.M. Actions Required under New Swiss Collective Investment Schemes Act 2006 Dokumenten- und Datenaufbewahrung im schweizerischen Unternehmen Schweizerische Versicherungs- und Vermittleraufsicht 13 Mehr anzeigen
(Rechts-)Sicher in die Cloud Datenschutzrechtliche Aspekte von Cloud Computing RA lic. iur. Nicole Beranek Zanon, Exec. MBA HSG Nicole Beranek Zanon RA lic. iur., EMBA HSG 2 Warum in die Cloud? 3 4 Häufige Mehr Endgültige Vernichtung von Daten Risiken und rechtliche Anforderungen
Endgültige Vernichtung von Daten Risiken und rechtliche Anforderungen Security Zone 2010 Themen Müssen Daten und Dokumente vernichtet werden? Informationssicherheit Geheimhaltungspflichten Datenschutzrecht Mehr Risiken und Haftungsfragen für Sicherheits- und Führungskräfte
Risiken und Haftungsfragen für Sicherheits- und Führungskräfte mag. iur. Maria Winkler Geschäftsführerin der IT & Law Consulting GmbH SSI-Fachtagung vom 28.10.2010 Unternehmenssicherheit - Neue Herausforderungen Mehr Schweizerisches Bundesverwaltungsrecht
Prof. Dr. Felix Uhlmann Lehrstuhl für Staats- und Verwaltungsrecht sowie Rechtsetzungslehre Universität Zürich Prof. Dr. Felix Uhlmann 1 Datenschutz Leseplan: Skript 36 BGE 138 II 346 ff. EuGH, Urteil Mehr BEARBEITUNGSREGLEMENT EXTERN. Geschäftsleitung Mitarbeiter Homepage
BEARBEITUNGSREGLEMENT EXTERN Verteiler: Vorstand Geschäftsleitung Mitarbeiter Homepage Dokument: QzDAS-006/Bearbeitungsreglement extern Geändert am: 12:00:00 AM Freigegeben am: 12/22/2015 Seite 2 von 8 Mehr EUROPEAN NETWORK OF CLOUD ASSOCIATIONS
CPC Transparency, Security, Reliability An Initiative of EuroCloud Cloud Privacy Check (CPC) Datenschutzrechtliche Anforderungen, die ein Kunde vor der Nutzung von Cloud-Services einhalten muss. Legal Mehr Data-Mining in Unternehmen die rechtliche Sicht
Data-Mining in Unternehmen die rechtliche Sicht 15. Symposium on Privacy and Security, 31. August 2010 Dr. Alois Rimle, Ruoss Vögele Partner, Zürich Übersicht Begriff des Data-Mining 3 Anwendung und Auswirkungen Mehr Datenschutzrichtlinie für die Plattform FINPOINT
Datenschutzrichtlinie für die Plattform FINPOINT Die FINPOINT GmbH ( FINPOINT ) nimmt das Thema Datenschutz und Datensicherheit sehr ernst. Diese Datenschutzrichtlinie erläutert, wie FINPOINT die personenbezogenen Mehr IT SECURITY IN THE HYBRID CLOUD
Vielfältiges Dialogmarketing Datenschutz Feind des Mobile Marketing? Referat für den SDV vom 23. April 2013 Dr. Oliver Staffelbach, LL.M. 1 Einleitung (1) Quelle: http://www.20min.ch/digital/news/story/schaufensterpuppe-spioniert-kunden-aus-31053931 Mehr Verordnung über die Datenschutzzertifizierungen
Verordnung über die Datenschutzzertifizierungen (VDSZ) 235.13 vom 28. September 2007 (Stand am 1. Januar 2008) Der Schweizerische Bundesrat, gestützt auf Artikel 11 Absatz 2 des Bundesgesetzes vom 19. Mehr Lukas Bühlmann, LL.M., Zürich Berlin, 10. März 2010
Google Street View Ticken Schweizer Uhren anders? Erhebung, Bearbeiten und Verwendung von Personendaten Lukas Bühlmann, LL.M., Zürich Berlin, 10. März 2010 Übersicht. Einführung. Google Street View ( GSV Mehr Verordnung über die Datenschutzzertifizierungen
Verordnung über die Datenschutzzertifizierungen (VDSZ) 235.13 vom 28. September 2007 (Stand am 1. April 2010) Der Schweizerische Bundesrat, gestützt auf Artikel 11 Absatz 2 des Bundesgesetzes vom 19. Juni Mehr Datenverwendung und Datenweitergabe - was ist noch legal?
RA Andreas Jaspers Geschäftsführer der Gesellschaft für Datenschutz und Datensicherung (GDD) e.v. Pariser Str. 37 53117 Bonn Tel.: 0228-694313 Fax: 0228-695638 E-Mail: jaspers@gdd.de Die GDD e.v. Die GDD Mehr Krankenkasse Simplon. Bearbeitungsreglement extern
Krankenkasse Simplon Bearbeitungsreglement extern Ausgabe 2014 Inhaltsverzeichnis 1. Allgemeines 1 1.1. Rechtliche Grundlagen 1 1.2. Ziel des Bearbeitungsreglements 1 2. Kurzbeschreibung Krankenkasse Mehr Thementag Cloud Computing Datenschutzaspekte
Thementag Cloud Computing Datenschutzaspekte Gabriel Schulz Stellvertreter des Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern Heise online 30. Juni 2011: US-Behörden Mehr Rechtliche Herausforderungen für IT-Security-Verantwortliche
Workshop vom 6. Dezember 2004 Einführung ins Datenschutzrecht Dr. Wolfgang Straub Überblick Wozu Datenschutz? Grundlagen Grundsätze der Datenbearbeitung Rechte der Betroffenen Anwendungsbeispiele 2 1 Rechtsquellen Mehr Datenschutzrecht. Informations- und Kommunikationsrecht HS 2012. PD Dr. Simon Schlauri, Rechtsanwalt. Datenschutzrecht
1 Vorlesung Veranstaltungen 19. September: 26. September: Urheberrecht 3. Oktober: Patent- und Markenrecht 10. Oktober: Kartell- und Lauterkeitsrecht 17. Oktober: Telekommunikationsrecht 24. Oktober: Grundtypen Mehr Bearbeitungsreglement. Extern
Bearbeitungsreglement Extern Ausgabe 2014 Inhaltsverzeichnis 1. Allgemeines 1 1.1. Rechtliche Grundlage 1 1.2. Ziel des Bearbeitungsreglementes 1 2. Kurzbeschreibung Krankenkasse Birchmeier 1 3. Organisation Mehr Kirstin Brennscheidt. Cloud Computing und Datenschutz. o Nomos
Kirstin Brennscheidt Cloud Computing und Datenschutz o Nomos Inhaltsverzeichnis Abkürzungsverzeichnis I Einleitung 1. Motivation und Begriff des Cloud Computing 11. Gegenstand der Untersuchung III. Gang Mehr Cloud Computing: Rechtliche Aspekte
Cloud Computing: Rechtliche Aspekte Information Center und IT-Services Manager Forum Schweiz 22. März 2012 Dr. iur., Rechtsanwalt Froriep Renggli gegründet 1966 Büros in Zürich, Zug, Lausanne, Genf, London Mehr Datendienste und IT-Sicherheit am 11.06.2015. Cloud Computing und der Datenschutz (k)ein Widerspruch?
Datendienste und IT-Sicherheit am 11.06.2015 Cloud Computing und der Datenschutz (k)ein Widerspruch? Datensicherheit oder Datenschutz? 340 Datenschutz Schutz des Einzelnen vor Beeinträchtigung seines 220 Mehr Rundschreiben 2008/7 Outsourcing Banken
Häufig gestellte Fragen (FAQ) Rundschreiben 2008/7 Outsourcing Banken (Letzte Änderung vom 6. Februar 2015) 1. Nach welchen Kriterien beurteilt sich die Anwendbarkeit des Rundschreibens 2008/7? Ein Outsourcing Mehr Was Sie vom Provider (auch) verlangen sollten
25.1.2005 Rechtliche Vorgaben beim Outsourcing von Bank-IT: Was Sie vom Provider (auch) verlangen sollten David Rosenthal Die «üblichen» Vorgaben - Übergang von Arbeitsverhältnissen bei Betriebsübergang Mehr «Zertifizierter» Datenschutz
«Zertifizierter» Datenschutz Dr.iur. Bruno Baeriswyl Datenschutzbeauftragter des Kantons Zürich CH - 8090 Zürich Tel.: +41 43 259 39 99 datenschutz@dsb.zh.ch Fax: +41 43 259 51 38 www.datenschutz.ch 6. Mehr Leitlinie Datenschutz
Legal & Compliance Datenschutz Leitlinie Datenschutz Dokumenten-Nr. [1] Autor Dr. Alexander Lacher Dokumenten-Eigner BDSV Dokumenten-Bereich/Art Legal & Compliance Dokumenten-Status Final Klassifizierung Mehr Wir danken Ihnen für die Möglichkeit der Stellungnahme zu den beiden oben erwähnten Verordnungen.
Bundesamt für Justiz 3003 Bern Zürich, 8. Mai 2007 Entwurf zu einer Änderung der Verordnung zum Bundesgesetz über den Datenschutz (VDSG, 235.11) und zu einer Verordnung über die Datenschutzzertifizierung Mehr Recht in der Cloud. Die rechtlichen Aspekte von Cloud Computing. Nicole Beranek Zanon Lic. iur., EMBA HSG. Alpiq Cloud Days 2014
Recht in der Cloud Die rechtlichen Aspekte von Cloud Computing Nicole Beranek Zanon Lic. iur., EMBA HSG 2 Agenda 1 2 3 4 5 6 Ausgangslage: Cloud oder eigener Betrieb?Cloud Ecosystem Verantwortlichkeit Mehr Webinar Datenschutzerklärung. Internet. Severin Walz, MLaw Bühlmann Rechtsanwälte AG www.br-legal.ch
Webinar Datenschutzerklärung im Internet Severin Walz, MLaw Bühlmann Rechtsanwälte AG www.br-legal.ch 1 Überblick Worum geht s. Definition Was ist eine Datenschutzerklärung?. Wie sieht der rechtliche Rahmen Mehr Heiter bis wolkig Datenschutz und die Cloud
Heiter bis wolkig Datenschutz und die Cloud Inhaltsüberblick 1) Kurzvorstellung Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein 2) TClouds Datenschutz in Forschung und Entwicklung 3) Cloud Mehr E i n f ü h r u n g u n d Ü b e r s i c h t
E i n f ü h r u n g u n d Ü b e r s i c h t Informationssicherheit in Gemeinden mit einer Bevölkerungszahl < 4 000 und in privaten Organisationen mit einem Leistungsauftrag wie Alters- und Pflegeheime Mehr Cloud Computing. Oliver Berthold und Katharina Wiatr, Berliner Beauftragter für Datenschutz und Informationsfreiheit. Dozenten
Cloud Computing Oliver Berthold und Katharina Wiatr, Berliner Beauftragter für 02.06.2015 1 Dozenten Katharina Wiatr Referentin für Beschäftigtendatenschutz (030) 13889 205; wiatr@datenschutz-berlin.de Mehr Schweizerisches Bundesverwaltungsrecht
Prof. Dr. Felix Uhlmann Lehrstuhl für Staats- und Verwaltungsrecht sowie Rechtsetzungslehre Universität Zürich Prof. Dr. Felix Uhlmann 1 Datenschutz Leseplan: Skript 35 Hintergrund Steuerstreit CH USA Mehr EuGH erklärt Datentransfer in die USA für illegal 6. Oktober. Rechtsanwalt Arnd Böken
EuGH erklärt Datentransfer in die USA für illegal 6. Oktober Rechtsanwalt Arnd Böken EuGH erklärt Datentransfer in die USA für illegal Am 6. Oktober 2015 hat der Europäische Gerichtshof (EuGH) entschieden, Mehr Digitalisierung: Kundendaten und Mitarbeiterdaten in der Cloud Rechtliche Problemfelder
Digitalisierung: Kundendaten und Mitarbeiterdaten in der Cloud Rechtliche Problemfelder Rechtsanwalt Marcus Beckmann Beckmann und Norda - Rechtsanwälte Rechtsanwalt Marcus Beckmann Rechtsanwalt Marcus Mehr D i e n s t e D r i t t e r a u f We b s i t e s
M erkblatt D i e n s t e D r i t t e r a u f We b s i t e s 1 Einleitung Öffentliche Organe integrieren oftmals im Internet angebotene Dienste und Anwendungen in ihre eigenen Websites. Beispiele: Eine Mehr Recht in der Cloud. Die rechtlichen Aspekte von Cloud Computing. Nicole Beranek Zanon Lic. iur., EMBA HSG. Alpiq Cloud Days 2014
Recht in der Cloud Die rechtlichen Aspekte von Cloud Computing Nicole Beranek Zanon Lic. iur., EMBA HSG 2 Agenda 1 2 3 4 5 Ausgangslage: Cloud oder eigener Betrieb?Cloud Ecosystem Die wichtigsten rechtlichen Mehr VSD: Datenschutz und ISO 27001 Anforderungen an Druckdienstleister
VSD: Datenschutz und ISO 27001 Anforderungen an Druckdienstleister Datenschutz und Informationssicherheit proaktiv und systematisch umgesetzt Pascal Tschachtli, lic. iur. DMC Data Management Consulting Mehr Umsetzung des Datenschutzes mit Hilfe einer GRC Software. Simon Bislin Corporate Risk Manager / Betrieblicher Datenschutzbeauftragter
Umsetzung des Datenschutzes mit Hilfe einer GRC Software Simon Bislin Corporate Risk Manager / Betrieblicher Datenschutzbeauftragter Agenda Ivoclar Vivadent AG Zahlen und Fakten Corporate Governance Programm Mehr Cloud Computing. Datenschutzrechtliche Aspekte. Diplom-Informatiker Hanns-Wilhelm Heibey
Datenschutz und Datensicherheit rechtliche Aspekte 13. OSL-Technologietage 24. September 2015 PENTAHOTEL Berlin-Köpenick Überblick Grundlagen Datenschutz Grundlagen Datensicherheit Clouds In EU/EWR In Mehr RVP Bulletin. Mehr Schutz für Versicherungsnehmer am Point of Sale. Inhalt. Geplantes Finanzdienstleistungsgesetz. Zweck und Gegenstand des FIDLEG
RUOSS VÖGELE PARTNER KREUZSTRASSE 54 CH-8032 ZÜRICH TELEFON +41 44 250 43 00 FAX +41 44 250 43 10 info@rvpartner.ch www.rvpartner.ch RVP Bulletin Mehr Schutz für Versicherungsnehmer am Point of Sale rimle@rvpartner.ch Mehr Cordula E. Niklaus, Fürsprecherin ll.m. Anwaltskanzlei Niklaus, Zürich - www.niclaw.ch. niclaw
Blindflug im Wolkenmeer? Rechtliche Aspekte zum Cloud Computing Last Monday vom 27. Juni 2011 Cordula E. Niklaus, Fürsprecherin ll.m. Anwaltskanzlei Niklaus, Zürich - www..ch Persönliches Cordula E. Niklaus, Mehr RECHTLICHE ASPEKTE DER DATENHALTUNG. von Andreas Dorfer, Sabine Laubichler
RECHTLICHE ASPEKTE DER DATENHALTUNG von Andreas Dorfer, Sabine Laubichler Gliederung 2 Definitionen Rechtliche Rahmenbedingungen C3-Framework Servicemodelle 3 Software as a Service (SaaS) salesforce.com, Mehr Datenschutzerklärung der Gütermann GmbH
Stand: 01. März 2014 Datenschutzerklärung der Datenschutzrechtlich verantwortliche Stelle ist die,, D-79261. Datenschutz ist unser Anliegen Wir freuen uns über Ihr Interesse an unserem Unternehmen und Mehr Rechtliche Anforderungen bei Cloud Computing
Rechtliche Anforderungen bei Cloud Computing Risk in der Cloud Was steckt wirklich hinter diesem Begriff? SGRP-Frühlingsevent vom 05. Mai 2010 Agenda Cloud Computing - eine Qualifikation aus rechtlicher Mehr BIG DATA Herausforderungen für den Handel
BIG DATA Herausforderungen für den Handel RA Adrian Süess, LL.M., Zürich Bühlmann Rechtsanwälte AG www.br-legal.ch 1 2 1 Überblick Worum geht s. Big Data. Was ist Big Data. Beschaffung und Bearbeitung Mehr Rechtliche Aspekte von Informationssicherheitsmessungen
iimt information security brush-up workshop 11/02/2003 measuring information security state of the art and best practices Rechtliche Aspekte von Informationssicherheitsmessungen Dr. Wolfgang Straub Überblick Mehr Rechtliche Anforderungen an Cloud Computing in der Verwaltung
Rechtliche Anforderungen an Cloud Computing in der Verwaltung Dr. Sönke E. Schulz Geschäftsführender wissenschaftlicher Mitarbeiter 19. Berliner Anwenderforum egovernment 19./20. Februar 2013 Bundespresseamt, Mehr Maintenance & Re-Zertifizierung
Zertifizierung nach Technischen Richtlinien Maintenance & Re-Zertifizierung Version 1.2 vom 15.06.2009 Bundesamt für Sicherheit in der Informationstechnik Postfach 20 03 63 53133 Bonn Tel.: +49 22899 9582-0 Mehr Cloud Computing. Rechtliche Rahmenbedingungen und praktische Tipps zur Risikoreduktion. Business Breakfast FFHS. mag. iur.
Cloud Computing Rechtliche Rahmenbedingungen und praktische Tipps zur Risikoreduktion Business Breakfast FFHS mag. iur. Maria Winkler Cloud Computing Es handelt sich (aus rechtlicher Sicht) einen Outsourcingvertrag, Mehr Datenschutz-Forum HSW. Dienstag, 5. Juni 2007, Luzern. Ursula Sury, Rechtsanwältin, Prof. an der FHZ für Informatikrecht
Datenschutz-Forum Dienstag, 5. Juni 2007, Luzern Hochschule für Wirtschaft, HSW Ursula Sury, Rechtsanwältin, Prof. an Underwriting Vertragsabschluss Neue Offerte Schaden Schadenbehebung Fallablage Underwriting Mehr Vertrauen bestärken: Wege zur Auditierung von Cloud-Diensten. RA Dr. Jan K. Köcher Datenschutzauditor (TÜV) koecher@dfn-cert.de
Vertrauen bestärken: Wege zur Auditierung von Cloud-Diensten RA Dr. Jan K. Köcher Datenschutzauditor (TÜV) koecher@dfn-cert.de Herausforderungen Cloud Übermittlung von Daten an einen Dritten und ggf. Verarbeitung Mehr Datenschutzrichtlinien POS Solutions GmbH (POS)
1 Datenschutzrichtlinien POS Solutions GmbH (POS) Letzte Änderung: November 2011 Diese Datenschutzrichtlinien stellen unsere Richtlinien und Verfahren zur Erfassung, Verwendung und Offenlegung Ihrer Daten Mehr AUFTRAG (Outsourcing)
GEMEINDE METTAUERTAL KANTON AARGAU Reglement über den Datenschutz (Datenschutzreglement) 6. Januar 2015/me Inhaltsverzeichnis A. Zugang zu amtlichen Dokumenten... 3 1 Anwendbares Recht... 3 2 Entgegennahme Mehr Art. 2 Der Geltungsbereich dieser Verordnung bestimmt sich nach 2 des Gesetzes über die Information und den Datenschutz (IDG, LS 170.4).
6.00 Datenschutzverordnung (DSV) Gemeinderatsbeschluss vom 5. Mai 0 Der Gemeinderat erlässt gestützt auf 8 des Gesetzes über die Information und den Datenschutz (IDG), 7 der Verordnung über die Information Mehr RVP Bulletin. Regulierte Vertragsverhältnisse im schweizerischen Versicherungsgeschäft. Inhalt
RUOSS ÖGELE PARTNER KREUZSTRASSE 54 CH-8032 ZÜRICH TELEFON +41 44 250 43 00 FAX +41 44 250 43 10 info@rvpartner.ch www.rvpartner.ch RP Bulletin Regulierte ertragsverhältnisse im schweizerischen ersicherungsgeschäft Mehr Datenschutz und e-commerce: Umsetzungshilfe und Konkretisierungsvorschläge des Eidg. Datenschutzbeauftragten
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB Datenschutz und e-commerce: Umsetzungshilfe und Konkretisierungsvorschläge des Eidg. Datenschutzbeauftragten Elektronischer Geschäftsverkehr Mehr Cloud-Computing - rechtliche Aspekte. Forum 7-it. RA Rainer Friedl
Cloud-Computing - rechtliche Aspekte Forum 7-it RA Rainer Friedl München, 16. November 2015 Verpflichtung zur IT-Compliance: Haftung des Vorstands/Geschäftsführer für IT-Risiken» Vorstandspflicht bei AGs Mehr Ursula Uttinger 15. Oktober 2014 18.15 19.30 Uhr
Ursula Uttinger 15. Oktober 2014 18.15 19.30 Uhr Dr. med. Michael Liebrenz, Leiter Gutachterstelle für Zivil- und Öffentlichrechtliche Fragestellung PUK Ursula Uttinger, lic. iur. /exec. MBA HSG, Präsidentin Mehr der crossinx GmbH Hanauer Landstrasse 291A 60314 Frankfurt/M. nachstehend Unternehmen genannt DS001 DS-Richtlinie Datenschutz-Richtlinie
Datenschutz-Richtlinie der crossinx GmbH Hanauer Landstrasse 291A 60314 Frankfurt/M. nachstehend Unternehmen genannt Für Unternehmen ist die moderne Informations- und Kommunikationstechnologie ein wichtiger Mehr Cloud Computing - Umgang mit Unternehmensinformation. und urheberrechtlicher Sicht
Cloud Computing - Umgang mit Unternehmensinformation aus datenschutzrechtlicher und urheberrechtlicher Sicht Women in IP Suisse, Präsentation 26.10.2012 RA Ursula Sury Was ist Cloud Computing? IT- Leistungen Mehr Steht der Datenschutz der schönen, neuen Welt des Big Data wirklich im Weg?
Steht der Datenschutz der schönen, neuen Welt des Big Data wirklich im Weg? Ansichten eines Praktikers David Rosenthal 10. November 2015 1 Das Schreckgespenst Worum geht es? Sammeln und Analysieren grosser Mehr Erschwerte Bedingungen für Outsourcing durch Captives
Dr. Friedrich Isenbart Versicherungspraxis, Dezember 2015 Solvency II Erschwerte Bedingungen für Outsourcing durch Captives 1. EINLEITUNG Am 1. Januar 2016 treten nach langer Vorbereitungsphase die Neuregelungen Mehr DASSAULT SYSTEMES GROUP DATENSCHUTZRICHTLINIE FÜR BEWERBER
DASSAULT SYSTEMES GROUP DATENSCHUTZRICHTLINIE FÜR BEWERBER Bei ihrer Geschäftstätigkeit erheben Dassault Systèmes und seine Tochtergesellschaften (in ihrer Gesamtheit als 3DS bezeichnet) personenbezogene Mehr Rechtliche Informationen und Datenschutz
Rechtliche Informationen und Datenschutz Letzte Aktualisierung: 01 April 2010 RECHTLICHER HINWEIS Bitte lesen Sie die nachfolgenden Ausführungen genau durch. Mit Ihrem Zugriff auf diese Website und deren Mehr SWICA Datenschutzreglement DS-01
DS-01 SWICA bearbeitet Informationen über versicherten Personen in komplexen organisatorischen Prozessen und mit anspruchsvollen technischen Einrichtungen. Dieses Reglement basiert auf dem Grundkonzept Mehr Muster-Bearbeitungsreglement (öffentlich) für die Krankenversicherer des RVK
Muster-Bearbeitungsreglement (öffentlich) für die Krankenversicherer des RVK 1. BESCHREIBUNG DES UNTERNEHMENS Die sodalis gesundheitsgruppe ist eine Krankenversicherung gemäss KVG. Ausserdem werden diverse Mehr Reglement über den Datenschutz in der Gemeindeverwaltung Würenlos
Reglement über den Datenschutz in der Gemeindeverwaltung Würenlos vom 1. Juni 2015 Inhaltsverzeichnis I. Zugang zu amtlichen Dokumenten 1 Anwendbares Recht 2 Entgegennahme des Gesuches 3 Gesuchsbehandlung Mehr BIG DATA. Herausforderungen für den Handel. RA Adrian Süess, LL.M., Zürich Bühlmann Rechtsanwälte AG www.br-legal.ch
BIG DATA Herausforderungen für den Handel RA Adrian Süess, LL.M., Zürich Bühlmann Rechtsanwälte AG www.br-legal.ch 1 2 Überblick Worum geht s. Was ist Big Data. Beschaffung und Bearbeitung von Datensätzen. Mehr Big Data wohin geht das Recht. Claudia Keller, Rechtsanwältin
Big Data wohin geht das Recht Claudia Keller, Rechtsanwältin Zürich, 24. September 2014 1 Schlagwort Big Data Big Data describes the process of extracting actionable intelligence from disparate, and often Mehr 26.04.2012. Was ist eigentlich (neu am) Cloud Computing? Vertragsbeziehungen Datenschutz Nutzungsrechte Folgen für die Vertragsgestaltung ÜBERBLICK
1 CLOUD COMPUTING - RECHTLICHE RAHMENBEDINGUNGEN Dr. Martin Schirmbacher Berlin, 24. April 2012 Gliederung 2 ÜBERBLICK Was ist eigentlich (neu am) Cloud Computing? Vertragsbeziehungen Nutzungsrechte Folgen Mehr Das Datenschutzgesetz im privaten Bereich. Zwischenbilanz und offene Fragen fünf Thesen David Rosenthal, 27. April 2012
Das Datenschutzgesetz im privaten Bereich Zwischenbilanz und offene Fragen fünf Thesen David Rosenthal, Das Datenschutzgesetz im privaten Bereich Zwischenbilanz und offene Fragen fünf Thesen David Rosenthal, Mehr Informationssicherheitspolitik der EGK-Gesundheitskasse
Seite 1 von 5 Informationssicherheitspolitik der Die umfasst die Partnerstiftungen EGK Grundversicherungen Seite 2 von 5 Wichtige Informationen zum Dokument Dokumentenklasse: IT-Rahmendokumentation Dokumententitel: Mehr Fragestellungen im IT Projektgeschäft
Fragestellungen im IT Projektgeschäft 10. November 2011 Beutler Künzi Stutz, Bern 1 Inhalt 1. Agile Softwareentwicklung 2. Cloud Computing 3. Fragen 10. November 2011 Beutler Künzi Stutz, Bern 2 Manifest Mehr Berlin, den 13.07.2015. Transparency International Deutschland e.v. Alte Schönhauser Str. 44 D 10119 Berlin
D Dr. iur. Rainer Frank Arbeitsgruppe Hinweisgeber Geschäftsstelle D- Tel.: (49) (30) 54 98 98 0 Tel. (dienstl.): (49) (30) 31 86 853 Fax: (49) (30) 54 98 98 22 E-Mail: rfrank@transparency.de www.transparency.de Mehr IT-Strategie der zentralen Leistungserbringer der UZH 2014-2016
Universität Zürich Prorektorat Rechts- und Künstlergasse 15 CH-8001 Zürich Telefon +41 44 634 57 44 www.rww.uzh.ch IT-Strategie der zentralen Leistungserbringer der UZH 2014-2016 Version vom 6. Juni 2014 Mehr Anforderungen an Datenschutz und Sicherheit von Cloud-Dienstleistungen
Anforderungen an Datenschutz und Sicherheit von Cloud-Dienstleistungen Forum Kommune21 auf der DiKOM Süd 4. Mai 2011, Frankfurt Marit Hansen Stellvertretende Landesbeauftragte für Datenschutz Schleswig-Holstein Mehr Checkliste zum Datenschutz
Checkliste zum Datenschutz Diese Checkliste soll Ihnen einen ersten Überblick darüber geben, ob der Datenschutz in Ihrem Unternehmen den gesetzlichen Bestimmungen entspricht und wo ggf. noch Handlungsbedarf Mehr FachInfo Dezember 2012
FachInfo Dezember 2012 Datenschutz in der Asylsozialhilfe Inhaltsverzeichnis 1. Einleitung... 2 2. Grundsätze des Datenschutzes... 2 2.1 Verhältnismässigkeit...2 2.2 Zweckbindung...2 2.3 Richtigkeit und Mehr Datenschutzvereinbarung
Datenschutzvereinbarung Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen nach 11 BDSG zwischen dem Nutzer der Plattform 365FarmNet - nachfolgend Auftraggeber genannt - und Mehr 1. bvh-datenschutztag 2013
1 CLOUD COMPUTING, DATENSCHUTZ ASPEKTE DER VERTRAGSGESTALTUNG UND BIG DATA Rechtsanwalt Daniel Schätzle Berlin, 20. März 2013 1. bvh-datenschutztag 2013 Was ist eigentlich Cloud Computing? 2 WESENTLICHE Mehr Hypes und Alltägliches beherrschen: funktionierende Prozesse für den Datenschutz im Mittelstand oder im Konzern
Hypes und Alltägliches beherrschen: funktionierende Prozesse für den Datenschutz im Mittelstand oder im Konzern Natascha Düren Forum Rot, it-sa 2013 Nürnberg, 10.10.2013 Besuchen Sie uns! it-sa 2013, Halle Mehr INFORMATIONEN NEUARTIG BETRACHTEN AKTEN- UND INFORMATIONSMANAGEMENT: GEWUSST WIE - VON ANFANG AN AUFBEWAHRUNGSPLÄNE FÜR AKTEN: GRUNDLAGEN
INFORMATIONEN NEUARTIG BETRACHTEN AKTEN- UND INFORMATIONSMANAGEMENT: GEWUSST WIE - VON ANFANG AN AUFBEWAHRUNGSPLÄNE FÜR AKTEN: GRUNDLAGEN EINFÜHRUNG KURZE EINFÜHRUNG IN DIE ERSTELLUNG UND VERWALTUNG VON Mehr D a t e n s c h u t z - M a n a g e m e n t s y s t e m
Leitfaden D a t e n s c h u t z - M a n a g e m e n t s y s t e m Inhalt 1 Einleitung... 2 2 Datenschutzrechtliche Anforderungen... 2 2.1 Gesetzmässigkeit ( 8 IDG)... 4 2.2 Verhältnismässigkeit ( 8 IDG)... Mehr Datenschutzerklärung zum Online Bewerbungsverfahren für Stellen bei deutschen VOLVO Gesellschaften
1 Datenschutzerklärung zum Online Bewerbungsverfahren für Stellen bei deutschen VOLVO Gesellschaften Die VOLVO Gruppe ist sich bewusst, dass Ihnen der Schutz Ihrer personenbezogenen Daten sehr wichtig Mehr EuroCloud Deutschland Confererence
www.pwc.de/cloud EuroCloud Deutschland Confererence Neue Studie: Evolution in der Wolke Agenda 1. Rahmenbedingungen & Teilnehmer 2. Angebot & Nachfrage 3. Erfolgsfaktoren & Herausforderungen 4. Strategie Mehr Verordnung über die Banken und Sparkassen
Verordnung über die Banken und Sparkassen (Bankenverordnung, BankV) Entwurf Änderung vom Der Schweizerische Bundesrat verordnet: I Die Bankenverordnung vom 17. Mai 1972 1 wird wie folgt geändert: Gliederungstitel Mehr DATENSCHUTZERKLÄRUNG
DATENSCHUTZERKLÄRUNG Wir freuen uns über Ihr Interesse an unserer Website. Der Schutz Ihrer Privatsphäre ist für uns sehr wichtig. Nachstehend möchten wir Sie ausführlich über den Umgang mit Ihren Daten Mehr Datenschutzrechtliche Hinweise zum Einsatz von Web-Analysediensten wie z.b. Google Analytics 1. - Stand: 1. Juli 2010 -
INNENMINISTERIUM AUFSICHTSBEHÖRDE FÜR DEN DATENSCHUTZ IM NICHTÖFFENTLICHEN BEREICH Datenschutzrechtliche Hinweise zum Einsatz von Web-Analysediensten wie z.b. Google Analytics 1 - Stand: 1. Juli 2010 - Mehr Zulässige Durchführung von Gewinnspielen im Schweizer und im deutschen Recht
Zulässige Durchführung von Gewinnspielen im Schweizer und im deutschen Recht Lukas Bühlmann, LL.M. Zürich Bühlmann Rechtsanwälte AG www.br-legal.ch Dr. Carsten Föhlisch, Köln Trusted Shops GmbH www.trustedshops.de Mehr Recht in der Cloud. Die rechtlichen Aspekte von Cloud Computing. Nicole Beranek Zanon Lic. iur., EMBA HSG. Alpiq Cloud Days 2014
Recht in der Cloud Die rechtlichen Aspekte von Cloud Computing Nicole Beranek Zanon Lic. iur., EMBA HSG 2 Agenda 1 2 3 4 5 6 Ausgangslage: Cloud oder eigener Betrieb?Cloud Ecosystem Verantwortlichkeit Mehr BEKANNTGABE VON DATEN INS AUSLAND Informationsblatt zur Datenübermittlung ins Ausland
Autorité cantonale de la transparence et de la protection des données ATPrD Kantonale Behörde für Öffentlichkeit und Datenschutz ÖDSB Kantonale Datenschutzbeauftragte Chorherrengasse 2, 1700 Freiburg Kantonale Mehr Alles sicher? Backup und Archivierung aus rechtlicher Sicht. Gelsenkirchen, 25. März 2014. Rechtsberatung. Steuerberatung. Luther.
Alles sicher? Backup und Archivierung aus rechtlicher Sicht Dr. Maximilian Dorndorf Johanna Langer, LL.M. Gelsenkirchen, 25. März 2014 Rechtsberatung. Steuerberatung. Luther. Agenda I. Begriffsbestimmungen Mehr "EU Safe Harbor" ungültig was gilt in der Schweiz? Wie US-Exporte von Personendaten zulässig bleiben
1 6 "EU Safe Harbor" ungültig was gilt in der Schweiz? Wie US-Exporte von Personendaten zulässig bleiben Viele Unternehmen, nicht nur im EU-Raum, sondern auch in der Schweiz vertrauen beim Datentransfer Mehr 2017 © DocPlayer.org Datenschutzbestimmungen | Nutzungsbedingungen | Feedback

References: Art. 6
 BGE 
 EuGH 

EuGH 
 EuGH 
 Art. 2