Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03267.jsonl.gz/1742

Der EDÖB hat diese Woche ein neues Tool vorgestellt, mit dem private und öffentlich-rechtliche Datenbearbeiter Projekte im Vorfeld einer Risikoeinschätzung aus datenschutzrechtlicher Sicht unterziehen können.
Dabei greift das Tool auf folgende Textbausteine zurück:
1. Warnungen bei Risiken
Warnungen bei Risiken lauten etwa wie folgt:
Sie haben die Verantwortlichkeiten im Projekt noch nicht bestimmt. Es ist wichtig, die Zuständigkeiten vor Beginn des Projekts zu definieren. Die betreffende Person ist dadurch in der Lage, Fragen zu beantworten und Entscheidungen zu treffen.
Ihre Organisation hat keine Datenschutzverantwortliche oder keinen Datenschutzverantwortlichen. Es kann eine unabhängige Person ernannt werden, die für diese Aufgabe zuständig ist. Die oder der EDÖB muss darüber informiert werden, wer die Aufgabe wahrnimmt. Die Unabhängigkeit der Person ist wichtig, um Interessenskonflikte zu vermeiden. Ist die betreffende Person ernannt und die oder der EDÖB informiert, müssen die Datensammlungen der oder dem EDÖB nicht mehr gemeldet werden.
Sie wissen noch nicht, wie die Daten beschafft werden. Es ist wichtig, die Methode zu definieren, um die betroffenen Personen, die Sie kontaktieren werden, angemessen informieren zu können.
Bei der Datenbeschaffung gibt es Punkte, denen besondere Aufmerksamkeit zu schenken ist, vor allem was die Information von betroffenen Personen betrifft. Das in Ihrem Namen für die Datenbeschaffung zuständige Unternehmen muss die von Ihnen definierten Bedingungen einhalten: Sie müssen insbesondere sicherstellen, dass dieses Unternehmen die Sicherheit der Daten gewährleistet.
Sie haben nicht vor, die betroffenen Personen spezifisch zu informieren. Diese müssen aber über die Verwendung der Personendaten und über ihre damit zusammenhängenden Rechte informiert werden. Sie können mit Hilfe eines eigens dafür vorgesehenen Dokuments dafür sorgen, dass alle betroffenen Personen die gleichen Informationen erhalten.
Sie haben nicht vorgesehen, das für die Datenbeschaffung zuständige Personal zu schulen. Diese Personen haben eine wichtige Aufgabe. Es ist wichtig, dass sie spezifisch geschult werden, um sicherzustellen, dass sie die Bedeutung ihrer Rolle kennen und ihnen die Notwendigkeit, korrekt zu informieren, bewusst ist.
Wenn die Bearbeitung von Personendaten Dritten übergeben wird, sind Sie dafür verantwortlich, dass die Bearbeitung rechtmässig erfolgt und die Sicherheitsmassnahmen eingehalten werden.
Wenn gewisse Daten durch Dritte bearbeitet werden sollen, muss der Vertrag mit diesem Unternehmen eine Bestimmung zum Datenschutz und insbesondere zur Datensicherheit enthalten.
Auch wenn Sie Daten durch Dritte bearbeiten lassen, sind Sie für die dem externen Unternehmen anvertrauten Daten verantwortlich. Es ist deshalb ratsam, regelmässige Kontrollen einzuplanen, um sicherzustellen, dass die Vorschriften eingehalten werden. Dazu gehört auch der Augenschein.
Zu den Datenkategorien, die Sie verwenden wollen, gehören sogenannte besonders schützenswerte Personendaten. Für diese Daten sind besondere Sicherheitsmassnahmen erforderlich. Es ist wichtig, sicherzustellen, dass diese Daten nur verwendet werden, wenn dies unbedingt notwendig ist.
Sie haben noch keine Kontaktperson bezeichnet. Dies ist nötig, damit Personen, deren Daten bearbeitet werden, Auskünfte über diese Daten einholen können.
Sie bearbeiten besonders schützenswerte Personendaten. Sie sind deshalb verpflichtet, den betroffenen Personen mitzuteilen, wer die Inhaberin oder der Inhaber der Datensammlung ist.
Sie haben die Projektziele noch nicht definiert. Dies ist jedoch wichtig. Die Ziele erlauben es, das Projekt einzugrenzen und das Volumen und den zeitlichen Rahmen zu kennen. Ob Sie Personendaten verwenden oder nicht, ist möglicherweise von den Zielen, die Sie festlegen, abhängig. Es ist darum wichtig, die Ziele so rasch wie möglich zu definieren!
Sie haben vor, Daten ins Ausland bekannt zu geben. Mehr Informationen dazu finden Sie auf der Website des EDÖB unter «”Übermittlung ins Ausland».
Wenn das Land, in das Sie Daten übermitteln möchten, keinen angemessenen Datenschutz gewährleistet, gibt es nach Artikel 6 Absatz 2 DSG verschiedene Alternativen.
Sie haben noch nicht bestimmt, wer für Anfragen von Personen zuständig ist, die wissen möchten, ob Daten über sie bearbeitet werden. Die betroffenen Personen haben das Recht, ein Auskunftsbegehren zu stellen. Sie müssen deshalb ein Verfahren zur Bearbeitung dieser Anfragen definieren und eine Person bezeichnen, die die Begehren entgegennimmt und bearbeitet.
Es ist offenbar nicht vorgesehen, der Auskunft verlangenden Person alle Daten, die sie betreffen, mitzuteilen. Dies muss aber gewährleistet sein.
Es ist offenbar nicht vorgesehen, eine Auskunft verlangende Person über die Ziele des Projekts, in dem ihre Daten verwendet werden, zu informieren. Sie hat aber ein Recht darauf. Die Bearbeitungsziele müssen ihr deshalb mitgeteilt werden.
Es ist offenbar nicht vorgesehen, dass die Auskunft verlangende Person über die Rechtsgrundlagen des Projekts informiert wird. Sie hat aber ein Recht darauf. Die Rechtsgrundlagen müssen mitgeteilt werden.
Es ist ein Verfahren vorzusehen, das die Identifizierung der Auskunft verlangenden Person sicherstellt.
Bei einem Auskunftsbegehren muss sichergestellt sein, dass die Auskunft verlangende Person diejenige ist, für die sie sich ausgibt. Dies kann mit einem gültigen Ausweis geschehen.
Sie haben vor, der betroffenen Person die Erteilung von Auskünften zu verrechnen. Dieser Dienst müsste kostenlos sein. Es ist möglich, der betroffenen Person die Auskunftserteilung ausnahmsweise zu verrechnen, wenn ein besonders grosser Arbeitsaufwand damit verbunden ist.
Sie müssen gewährleisten können, dass die Personendaten, die Sie im Rahmen Ihres Projekts bearbeiten, richtig sind. Für Zweifelsfälle braucht es Kontrollmechanismen. Die damit verbundenen Verfahren sind einzuhalten.
Da die Daten richtig sein müssen, ist es auch nötig, sie berichtigen zu können. Die betroffenen Personen haben so die Möglichkeit, bei Bedarf eine Korrektur zu verlangen. Die Verfahren sind so zu planen, dass die Mitarbeiterinnen und Mitarbeiter die Änderungen aufeinander abstimmen und korrekt vornehmen können.
Technische und organisatorische Massnahmen sind zwingend nötig, um Personendaten zu schützen. Aufgrund Ihrer Antworten können Sie, abgestimmt auf den Bedarf, den Kontext, die Datenkategorien usw., mehr oder weniger strenge Massnahmen vorsehen.
Sie haben noch keine Risikoanalyse durchgeführt. Eine frühzeitige Durchführung ermöglicht es, die Risiken festzustellen, sie im Voraus zu erkennen und die Massnahmen zu optimieren.
Es ist wichtig, dass zum Beispiel eine Aufsichtsbehörde die Möglichkeit hat, zu verstehen, wie die unterschiedlichen, mit dem System zusammenhängenden Verfahren funktionieren. Bei Bedarf müssen die Verfahren neu definiert sowie systematisch und umfassend dokumentiert werden.
2. Erläuterungen zum Datenschutzrecht
Das Tool gibt ferner gewisse, sehr knappe Erläuterungen, wie folgt:
Rechtmässigkeit
Inhaberinnen und Inhaber von Datensammlungen
Die Inhaberin oder der Inhaber der Datensammlung im Sinne des DSG ist für die Daten und insbesondere die Datenbeschaffung verantwortlich. Sie oder er entscheidet aber auch über den Zweck und den Inhalt der Datensammlung.
Datenschutzverantwortliche/r
Die oder der Datenschutzverantwortliche ist als Kontaktperson für alle Fragen rund um den Datenschutz zuständig. Alle Departemente wie auch einige Bundesämter ernennen eine Datenschutzverantwortliche oder einen Datenschutzverantwortlichen. Im privaten Sektor kann es sich um eine unabhängige Person handeln, der diese Aufgabe übertragen wird; die oder der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist darüber zu informieren, wer die Aufgabe wahrnimmt.
Information der betroffenen Person
Die betroffene Person – also die Person, auf die sich die im Projekt verwendeten Daten beziehen – muss hinreichend informiert werden, wenn Daten beschafft werden, die sie betreffen. Die Auskunft muss vollständig und verständlich sein und die Art der Daten berücksichtigen.
Einwilligung
Die betroffene Person muss die Möglichkeit haben, ihre Einwilligung freiwillig zu geben, nachdem sie angemessen informiert wurde.
Rechtmässigkeit der Bearbeitung
Es ist wichtig, dass die Rechtmässigkeit der Bearbeitung garantiert ist.
Bearbeitung durch Dritte
Wird die Datenbearbeitung an Dritte übertragen, ist es wichtig, dass der korrekte Umgang mit den Daten jederzeit gewährleistet ist.
Verhältnismässigkeit
Verhältnismässigkeitsprinzip
Das Verhältnismässigkeitsprinzip ist im Datenschutz ein zentraler Punkt. Es bedeutet, dass nicht mehr Daten verwendet werden sollen, als unbedingt notwendig ist. Ausserdem sollen die Daten nicht länger als notwendig aufbewahrt werden.
Transparenz
Rolle der Inhaberin oder des Inhabers der Datensammlung
Die Kontaktperson hat den Auftrag, auf Anfrage Auskunft über im Projekt verwendete Daten, deren Aktualität und Zuverlässigkeit zu erteilen.
Beschaffung von Daten durch Dritte
Werden die Daten von Dritten beschafft und nicht bei der betroffenen Person eingeholt, so muss diese darüber informiert werden, dass die Daten beschafft oder an Dritte weitergegeben werden, sofern es sich um besonders schützenswerte Personendaten oder Persönlichkeitsprofile handelt.
Information der betroffenen Person (besonders schützenswerte Personendaten)
Bei der Beschaffung von besonders schützenswerten Personendaten und Persönlichkeitsprofilen teilt die Inhaberin oder der Inhaber der Datensammlung der betroffenen Person mit, wer sie oder er ist, welches der Zweck des Bearbeitens ist und welches die Kategorien der Datenempfängerinnen und -empfänger sind, wenn eine Datenbekanntgabe vorgesehen ist.
Beschaffung von Persönlichkeitsprofilen
Werden besonders schützenswerte Personendaten oder Persönlichkeitsprofile erfasst und sollen solche Daten bekannt gegeben werden, muss die betreffende Person über die Datenkategorien und die Identität der Datenempfängerinnen und empfänger informiert werden.
Ziele
Zweck der Datenbearbeitung
Der Zweck der Datenbearbeitung ist wichtig. Deshalb muss man schon zu Beginn des Projekts die Ziele kennen, die erreicht werden sollen.
Sie haben die Projektziele noch nicht definiert. Dies ist jedoch wichtig. Die Ziele erlauben es, das Projekt einzugrenzen und das Volumen und den zeitlichen Rahmen zu kennen. Ob Sie Personendaten verwenden oder nicht, ist möglicherweise von den Zielen, die Sie festlegen, abhängig. Es ist darum wichtig, die Ziele so rasch wie möglich zu definieren!
Bekanntgabe
Bekanntgabe von Daten ins Ausland
Daten dürfen nur ins Ausland bekannt gegeben werden, wenn die Gesetzgebung des anderen Landes einen angemessenen Schutz gewährleistet. Mit den Vereinigten Staaten besteht ein vom EDÖB unterzeichnetes bilaterales Abkommen, das den Austausch von Personendaten vereinfacht (Safe Harbor).
Zugriff
Kontaktstelle für Auskunftsbegehren
Möchte eine Person Auskunft darüber, ob Daten über sie bearbeitet werden, so ist die Inhaberin oder der Inhaber der Datensammlung die zuständige Kontaktperson.
Auskunftsrecht
Jede Person kann von der Inhaberin oder dem Inhaber der Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Zur Bearbeitung dieser Anfragen braucht es ein spezifisches Verfahren.
Auskunftsrecht und Ziele
Jede Auskunft verlangende Person hat das Recht, die Projektziele zu kennen.
Auskunftsrecht und Rechtsgrundlagen
Jede Auskunft verlangende Person hat das Recht, die Rechtsgrundlagen des Projekts zu kennen.
Modalitäten
Es ist ein Verfahren vorzusehen, das die Identifizierung der Auskunft verlangenden Person sicherstellt.
Kostenlosigkeit
In der Regel ist die Auskunft für die betroffene Person kostenlos. Die Ausnahmen sind in der VDSG geregelt.
Richtigkeit
Richtigkeit der Daten
Es ist wichtig, die Richtigkeit der bearbeiteten Daten zu gewährleisten. Diese sollten keine Fehler enthalten. Jede Person kann verlangen, dass unrichtige, sie betreffende Daten berichtigt werden.
Berichtigung
Jede Person kann verlangen, dass unrichtige, Sie betreffende Daten berichtigt werden. Dazu muss ein geeignetes Verfahren definiert werden.
Berichtigung
Jede Person kann verlangen, dass sie betreffende Daten korrigiert werden. Dazu muss ein geeignetes Verfahren definiert werden.
Vernichtung
Jede Person kann verlangen, dass die Daten, die sie betreffen, vernichtet, das heisst vollständig aus dem System entfernt werden. Dazu braucht es ein geeignetes Verfahren. In Fällen, in denen die Richtigkeit bestimmter Daten bestritten wird, ist es nötig, dass ein entsprechender Vermerk angebracht werden kann.
Sicherheit
Massnahmen
Die Datensicherheit wird mit technischen und organisatorischen Massnahmen geschützt.
Vertraulichkeit
Zu den technischen und organisatorischen Massnahmen gehören solche, die die Vertraulichkeit der Daten gewährleisten müssen.
Integrität
Die Integrität der Daten ist mit Hilfe von geeigneten Massnahmen zu gewährleisten.
Verfügbarkeit
Die Daten müssen jederzeit verfügbar sein. Es sind angemessene technische und organisatorische Massnahmen zu treffen.
Technischer Fortschritt
Der technische Fortschritt ist immer zu berücksichtigen. Die getroffenen Massnahmen müssen deshalb an künftige Standards angepasst werden können.
Massnahmen und Zweck der Datenbearbeitung
Massnahmen müssen dem Zweck der Datenbearbeitung angemessen sein.
Massnahmen und Art der Daten
Je nach Sensibilität der Daten, müssen mehr oder weniger anspruchsvolle Massnahmen getroffen werden.
Massnahmen und Risiken
Die Massnahmen müssen den Risiken angemessen sein und bei der Risikoanalyse definiert werden.
Bearbeitungsreglement
Ein Bearbeitungsreglement muss definiert und regelmässig durch den Inhaber der Datensammlung angepasst werden.
Übriges
Risikoanalyse
Eine Risikoanalyse muss vollständig und von einer erfahrenen Person durchgeführt werden. Die Analyse dient dazu, Probleme im Voraus zu erkennen und so rasch wie möglich geeignete Massnahmen für den Umgang mit den Risiken zu treffen.
Externe Kontrolle
Die zuständige Behörde kann jederzeit die Kontrolle einer Datenbearbeitung beschliessen. Es ist wichtig, zu wissen, dass es solche Kontrollen gibt, sie einzuplanen und mit Hilfe von Dokumentationen die Durchführung zu erleichtern.
Registrierung
Register
Unter bestimmten Bedingungen müssen Datensammlungen beim Register der Datensammlungen des EDÖB angemeldet werden.
Zertifizierung
Um sich von der Anmeldepflicht für Datensammlungen zu befreien, können Organisationen ein Zertifizierungsverfahren durchlaufen.