Source: http://www.basenet.ch/unternehmen/news/detail/eu-dsgvo-compliance-der-base-net-informatik-ag/
Timestamp: 2019-03-23 13:29:37
Document Index: 105605028

Matched Legal Cases: ['Art. 1', 'Art. 2', 'Art. 3', 'Art. 3', 'Art. 28', 'Art. 3']

Base-Net Informatik AG - EU-DSGVO-Compliance der Base-Net Informatik AG
Die DSGVO gilt nicht nur für Unternehmen mit Sitz oder Niederlassung in der EU, sondern darüber hinaus unter gewissen Voraussetzungen auch für die Bearbeitung personenbezogener Daten durch Unternehmen, die ausserhalb der EU – also zum Beispiel in der Schweiz – domiziliert sind. Man spricht in diesem Zusammenhang auch von der extraterritorialen Wirkung der neuen EU-Datenschutzgesetzgebung. In Schweizer Unternehmen ist deshalb in den letzten Monaten eine gewisse operationelle Hektik in Bezug auf die Bewältigung der Anforderungen aus der DSGVO zu beobachten. Dieser Artikel versucht in der gebotenen Kürze darzulegen, wie die Base-Net Informatik AG dem Thema begegnet.
Welche Daten werden durch die DSGVO geschützt, welche Tätigkeiten werden geregelt?
Gemäss Art. 1 DSGVO bezweckt diese den Schutz natürlicher Personen bei der Bearbeitung der auf sie bezogenen Daten. Die DSGVO gilt für die ganz oder teilweise automatisierte – also IT-gestützte – Verarbeitung und Speicherung personenbezogener Daten (Art. 2 Abs. 1 DSGVO). Personenbezogene Daten im Sinne der DSGVO sind all jene Informationen, die sich auf eine identifizierte bzw. identifizierbare natürliche Person beziehen. Dazu gehören Name, Adresse, E-Mail-Adresse und Telefonnummern der betreffenden Person, aber auch andere Daten wie zum Beispiel die IP-Adresse, GPS-Daten, eine User ID etc., die zur Identifizierung einer Person verwendet werden können.
Wieso ist die DSGVO für Schweizer Unternehmen relevant?
Schweizer Unternehmen geraten in den Anwendungsbereich der DSGVO, wenn sie Waren oder Dienstleistungen aktiv und gezielt natürlichen Personen anbieten, die sich auf dem Gebiet der EU aufhalten (sogenanntes Marktortprinzip, Art. 3 Abs. 2 Bst. a DSGVO). Von aktiver Marktbearbeitung im Sinne eines offensichtlichen Anbietens an Kunden im EU-Raum kann zum Beispiel nicht gesprochen werden, wenn bloss die Website des Schweizer Unternehmens von der EU aus zugänglich ist oder wenn das Unternehmen eine Sprache verwendet, die in der Schweiz wie auch in anderen Ländern als Landessprache gilt (also Deutsch, Französisch, Italienisch). Im Umkehrschluss deutet hingegen die Verwendung einer Sprache und/oder Währung, die in einem oder mehreren EU-Mitgliedsländern – aber eben nicht in der Schweiz – gebräuchlich sind bzw. ist, auf eine gezielte Ansprache von potenziellen Kunden in diesen Ländern hin.
Auf Schweizer Unternehmen anwendbar ist die DSGVO zudem dann, wenn das betreffende Unternehmen personenbezogene Daten bearbeitet, indem es das Verhalten von natürlichen, sich in der EU aufhaltenden Personen beobachtet (Art. 3 Abs. 2 Bst. b DSGVO). Es geht hierbei um das Überwachen und Analysieren von Internetaktivitäten, um von der betreffenden Person ein Profil zu erstellen, das dann zum Beispiel für personalisierte Angebote von Waren oder Dienstleistungen verwendet werden kann (Profiling, Tracking Tools).
Neben den beiden vorstehend erwähnten Anwendungskategorien, in denen das betreffende Schweizer Unternehmen von der DSGVO direkt betroffen ist, kann die DSGVO für Schweizer Unternehmenindirekt anwendbar sein. Dies ist dann der Fall, wenn ein Schweizer Unternehmen als sogenannter Auftragsverarbeiter im Auftrag eines anderen, von der DSGVO direkt betroffenen Unternehmens, die von diesem zur Verfügung gestellten personenbezogenen Daten von Personen mit Aufenthaltin der EU bearbeitet. In diesen Fällen ergibt sich die Pflicht zur Einhaltung der DSGVO-Vorschriften aus dem zwingend abzuschliessenden Vertrag zwischen dem Datenverantwortlichen und dem Auftragsverarbeiter (Art. 28 DSGVO in Verbindung mit Art. 3 Abs. 2 DSGVO).
DSGVO Assessment bei der Base-Net Informatik AG
Die Base-Net Informatik AG ist nur im B2B-Geschäft tätig, sie hat also ausschliesslich Firmenkunden. Dabei konzentriert sie sich auf den Schweizer Markt. Zudem kommt die Base-Net Informatik AG im Rahmen ihrer Tätigkeit grundsätzlich nicht mit den personenbezogenen Daten ihrer Kunden in Berührung, seien dies nun Mitarbeiter- oder Endkundendaten. Durch diese geschäftlich bedingte Konstellation ist die Anwendbarkeit der DSGVO auf die Base-Net Informatik AG sehr stark limitiert.
In Ausnahmefällen bzw. -situationen kann es sein, dass ein Kunde der Base-Net Informatik AG Personendaten seiner Kunden («Endkunden») zu bestimmten Zwecken – zum Beispiel Testing in Projekten, Fehlerbehebung im Rahmen von Support- und Wartungsverträgen, System-Set-up oder Schnittstellenentwicklung – zur Verfügung stellt oder der Base-Net Informatik AG Zugriff auf solche Daten in den Systemen des Kunden gewährt.
Wenn der Kunde der Base-Net Informatik AG Personendaten seiner Endkunden zur Verfügung stellt oder Zugriff auf solche Daten gewährt, bearbeitet die Base-Net Informatik AG die betreffenden Daten im Auftrag des Kunden, also – sofern und soweit es sich um Endkunden mit Domizil in der EU handelt –als Auftragsverarbeiter gemäss DSGVO, währenddem der Kunde Datenverantwortlicher gemäss DSGVO ist und bleibt.
Die Base-Net Informatik AG gewährleistet in diesen Fällen:
dass sie die betreffenden Endkundendaten nur gemäss Auftrag des Kunden und nur so verarbeitet, wie es zur Erreichung des entsprechenden Zwecks notwendig ist;
dass sie geeignete technische und organisatorische Massnahmen trifft, damit die Datenbearbeitung in Übereinstimmung mit den Anforderungen der DSGVO und weiteren anwendbaren Bestimmungen, insbesondere jenen des Schweizerischen Datenschutzgesetzes, erfolgt und somit der Schutz der betreffenden Daten gegen Verlust sowie unbefugte Aneignung oder Bearbeitung gewährleistet ist;
dass sie den Kunden über allfällige Diebstähle oder Verluste der vom Kunden zur Verfügung gestellten Personendaten umgehend informiert;
dass sie die betreffenden Personendaten, wenn diese zum vereinbarten Zweck nicht mehr benötigt werden, umgehendl öscht; und
dass sie ohne vorgängige schriftliche Genehmigung des Kunden keinen weiteren Auftragsverarbeiter im Sinne eines Subunternehmers für die Datenbearbeitung im Auftrag des Kunden beiziehen wird.
Im Gegenzug hat der Kunde zu gewährleisten:
dass er, wenn er der Base-Net Informatik AG Personendatenseiner Endkunden oder anderer Personen zur Verfügung stellt oder Zugriff auf solche Daten gewährt, hierzu aufgrund der anwendbaren gesetzlichen Bestimmungen und – falls erforderlich– der Zustimmung der betreffenden Personen befugt ist;
dass er der Base-Net Informatik AG Personendaten nur in dem Umfang zur Verfügung stellt oder Zugriff darauf gewährt, wie ihn die Base-Net Informatik AG für die Bearbeitung im Auftrag des Kunden benötigt; und
dass er seine Informations- und Auskunftspflicht gegenüber den betroffenen Personen auch in Bezug auf die Auftragsverarbeitungdurch die Base-Net Informatik AG erfüllt.
Mit der Implementierung dieser Massnahmen ist die Base-Net Informatik AG bestrebt, zwei Ziele zu erreichen, die sich nicht immer einfach miteinander vereinbaren lassen:
Einhaltung der DSGVO-Vorschriften, sofern und soweit diese im konkreten Fall anwendbar sind, und damit den Schutzpersonenbezogener Daten von Individuen; und
Sicherstellung des Geschäfts ihrer Kunden mit modernsten Applikationen und Prozessen, was letztlich wiederum im Interesse der Endkunden liegt, die ungeachtet verschärfter Datenschutzbestimmungen von Top-Dienstleistungen zu attraktiven Konditionen profitieren wollen.