DSGVO

Diese Erklärung erläutert die bei quorvanto vorgesehenen organisatorischen Verfahren zum Schutz von Personendaten. Grundlage sind die einschlägigen Anforderungen des schweizerischen Datenschutzgesetzes (DSG) sowie der Datenschutz-Grundverordnung der Europäischen Union, Verordnung (EU) 2016/679 (DSGVO), soweit diese Anwendung findet.

Ergänzend zur Datenschutzerklärung und zur Cookie-Richtlinie behandelt dieses Dokument die internen Zuständigkeiten, die Bewertung datenschutzbezogener Risiken und die organisatorischen Schutzverfahren.

1. Zuständigkeit und Beurteilungsrahmen

Datenschutz gehört zur Organisation der über die Website ausgeübten Geschäftstätigkeit.

Die Beurteilung einzelner Bearbeitungen berücksichtigt insbesondere:

Die ausgeübten Tätigkeiten
Die verwendeten technischen Systeme und Anwendungen
Die mit der Bearbeitung verbundenen Gefahren für Rechte und Freiheiten betroffener Personen

Änderungen an Arbeitsabläufen, Werkzeugen oder anderen datenschutz- und sicherheitsrelevanten Rahmenbedingungen geben bei Bedarf Anlass zu einer erneuten Prüfung der betroffenen Verfahren.

2. Planung datenschutzgerechter Verfahren

Datenschutzbelange fliessen bereits in die Planung neuer Funktionen, Anwendungen und Arbeitsprozesse ein, sofern diese mit der Bearbeitung von Personendaten verbunden sind.

Die Einrichtung der Systeme orientiert sich, soweit angemessen, an folgenden Vorgaben:

Beschränkung des Datenzugriffs auf den tatsächlich benötigten Umfang
Verwendung der Angaben ausschliesslich für die jeweils erforderlichen Zwecke
Prüfung der Voreinstellungen zur weitgehenden Vermeidung nicht erforderlicher Bearbeitungen

3. Bewertung datenschutzbezogener Risiken

Für die Einschätzung einer Datenbearbeitung sind deren Auswirkungen auf die Rechte und Freiheiten der betroffenen Personen massgeblich.

In die Beurteilung fliessen je nach Sachverhalt insbesondere ein:

Die konkrete Bearbeitungsart
Das Datenvolumen
Die betroffenen Datenkategorien
Die eingesetzten technischen Verfahren
Die bestehenden Zugriffswege
Die Folgen einer unberechtigten Verwendung

Bei einer voraussichtlich mit hohem Risiko verbundenen Bearbeitung erfolgt nach Massgabe der DSGVO die Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

4. Datenschutz-Folgenabschätzung

Bei Vorliegen der gesetzlichen Voraussetzungen sieht das Verfahren vor Beginn der betreffenden Bearbeitung eine Datenschutz-Folgenabschätzung vor. Diese wird auch als Data Protection Impact Assessment (DPIA) bezeichnet.

Die Untersuchung dient insbesondere folgenden Aufgaben:

Ermittlung der mit dem Vorhaben verbundenen Risiken
Einschätzung von Eintrittswahrscheinlichkeit und Schwere der Auswirkungen
Festlegung geeigneter Vorkehrungen zur Risikoreduktion
Beurteilung der datenschutzgerechten Durchführbarkeit des geplanten Vorhabens

Verbleibt trotz geeigneter Schutzvorkehrungen ein nicht ausreichend vermindertes hohes Risiko, richtet sich die Prüfung weiterer Schritte nach dem anwendbaren Recht.

5. Einbindung von Auftragsbearbeitern

Bei der Auswahl externer Stellen, die Personendaten im Auftrag von quorvanto bearbeiten, werden die gesetzlich erforderlichen Datenschutzvorkehrungen berücksichtigt.

Welche Tätigkeiten übertragen werden, ergibt sich aus dem tatsächlichen betrieblichen Bedarf und der jeweiligen Aufgabenverteilung.

Verlangt die DSGVO eine vertragliche Regelung, erfolgt die Ausgestaltung der Zusammenarbeit durch geeignete Verträge oder andere rechtswirksame Vereinbarungen.

Für beauftragte Stellen ist vorgesehen, dass sie:

Die Bearbeitung auf die ihnen übertragenen Tätigkeiten beschränken
Einschlägige Vorgaben und rechtmässige Weisungen beachten

6. Vergabe und Verwaltung von Zugriffsrechten

Betriebliche Aufgaben und Zuständigkeiten bestimmen, wer in welchem Umfang auf Personendaten zugreifen darf.

Die Berechtigungsvergabe folgt dem jeweiligen Bedarf. Entfällt dieser, stehen die betreffenden Rechte zur Anpassung oder zum Entzug.

Ziel dieser Zugriffsbeschränkungen ist die Verringerung unberechtigter Einsichtnahmen, Verwendungen und Veränderungen.

7. Sicherheitsereignisse und Datenschutzverletzungen

Bei Anzeichen einer Beeinträchtigung der Datensicherheit umfasst die Prüfung insbesondere die Art des Ereignisses, dessen Umfang und die daraus entstehenden Folgen.

Eine festgestellte Datenschutzverletzung gibt Anlass zu geeigneten Massnahmen zur Eindämmung des Vorfalls und zur Begrenzung seiner Auswirkungen.

Besteht eine gesetzliche Pflicht zur Meldung an die Aufsichtsbehörde oder zur Information betroffener Personen, richten sich die weiteren Schritte nach den einschlägigen Voraussetzungen, Fristen und sonstigen Anforderungen.

8. Nachvollziehbarkeit und Unterlagen

Die Dokumentation erfolgt entsprechend den gesetzlichen Anforderungen unter Berücksichtigung von Art und Umfang der Geschäftstätigkeit. Sie dient dazu, die Umsetzung der einschlägigen Datenschutzvorgaben nachvollziehbar festzuhalten.

Je nach Dokumentationspflicht gehören hierzu insbesondere Aufzeichnungen über:

Die durchgeführten Datenbearbeitungen
Eingesetzte technische und organisatorische Schutzvorkehrungen
Risikoprüfungen und deren Ergebnisse
Vergebene Zugriffsrechte
Ergänzende datenschutzbezogene Massnahmen

9. Information und Schulung zugriffsberechtigter Personen

Für Personen mit Datenzugriff ist die Kenntnis ihrer datenschutzbezogenen Verantwortung vorgesehen.

Die aufgabenbezogene Information und Schulung umfasst je nach Zuständigkeitsbereich insbesondere:

Vertraulichen Umgang mit Personendaten und deren Schutz
Berechtigte und ordnungsgemässe Datenzugriffe
Behandlung von Anliegen betroffener Personen
Vorgehensweisen bei festgestellten oder vermuteten Sicherheitsereignissen

Eine erteilte Zugriffsberechtigung gestattet keine Verwendung ausserhalb des freigegebenen Aufgabenbereichs oder für andere als die vorgesehenen Zwecke.

10. Prüfung der Pflicht zur Benennung einer Datenschutzperson

Nach Massgabe der gesetzlichen Voraussetzungen der DSGVO erfolgt die Prüfung, ob eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter zu benennen ist. Die englische Bezeichnung lautet Data Protection Officer (DPO).

Für diese Beurteilung sind insbesondere die Art, der Umfang und die Zwecke der Datenbearbeitung relevant.

Aus dieser Erklärung ergibt sich keine Aussage über eine bereits erfolgte Benennung.

11. Austausch mit zuständigen Aufsichtsstellen

Die Zusammenarbeit von quorvanto mit Datenschutzaufsichtsbehörden erfolgt im gesetzlich erforderlichen Umfang.

Auf Bundesebene nimmt in der Schweiz der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die Datenschutzaufsicht wahr.

Bei Anwendbarkeit der DSGVO richtet sich eine zusätzliche Zuständigkeit europäischer Datenschutzaufsichtsbehörden nach den einschlägigen Vorschriften.

Zum behördlichen Austausch gehören je nach gesetzlichem Erfordernis insbesondere:

Die Bearbeitung amtlicher Anfragen
Die Mitwirkung an Prüfungen
Die Behandlung vorgeschriebener Mitteilungen

12. Kontrolle bestehender Schutzvorkehrungen

Wesentliche Veränderungen der Geschäftsvorgänge, der technischen Systeme, der erkannten Risiken oder der Rechtslage lösen eine Überprüfung der betroffenen Datenschutzverfahren aus.

Gegenstand dieser Prüfung sind je nach Sachverhalt insbesondere:

Die Wirksamkeit vorhandener Schutzvorkehrungen
Die eingeräumten Datenzugriffe
Die organisatorischen Arbeitsabläufe
Bereits bekannte und neu erkannte Risiken

Erforderliche Anpassungen richten sich nach der tatsächlichen Tätigkeit und der damit verbundenen Risikolage.

13. Pflege dieser Erklärung

Veränderungen gesetzlicher Vorgaben, technischer Gegebenheiten, organisatorischer Verfahren oder der Verwaltung von Datenbearbeitungen geben Anlass zur Überarbeitung dieses Dokuments.

Hierfür werden erforderliche Änderungen geprüft und bei Bedarf eingearbeitet. Massgeblich bleibt eine angemessene und nachvollziehbare Darstellung des organisatorischen Datenschutzrahmens.