Datenschutz in Organisationen

Wenn mehrere Firmen -  welche sich auf ihre Kernkompetenzen konzentrieren - sich zusammenschliessen bzw. zusammenarbeiten.

Ja

Nein

Ja

Nein

1. Falsch

2. Richtig

3. Richtig

4. Falsch

1. Nein
2. Ja
3. Ja
4. Nein

Verordnung über die Datenschutzzertifizierung

DSG: Bundesgesetz über den Datenschutz

• Staat
• Lieferant
• Mitarbeiter
• Geschäftsleitung
• Konkurrenz
• Kunden

Strenghts, Weaknesses, Opportunities, Threats

Mitarbeiter, Vorgesetzte, Unternehmung, Geschäftsführung etc.

Schriftliche Anfrage (Regel), sich Ausweisen
Art. 1 Abs. 1 VDSG

Rechtsanwalt, Arzt, Hebamme

Extraterritorialität, mit plausibler Begründung
(Ja, wenn Daten von EU-Bürgern betroffen sind) --> Nicht präzise genug

Sobald der Controller der Verletzung personenbezogener Daten bewusst ist.

Es werden keine Geldstrafen sofort ausgesprochen. Es gibt zwei verschiedene Abläufe (oder Fälle):

• Datenschutzbehörde stellt fest, dass die DSGVO gebrochen ist. Dennoch ohne Geldstrafe aber mit korrektive Massnahmen wie z.B. Unterbrechung des Datenverkehrs oder eine Mahnung an die Firma oder Verbot der Datenverarbeitung
• Im Falle sich von wiederholenden Verletzungen (z.B. mehrere Mahnungen erhalten oder keine korrektive Massnahmen für die Zuwiderhandlung), dann je nach Verstoss, bis zu 4% des globalen Jahresumsatz des Unternehmens oder bis zu 20 Mio Euro

Die DSGVO gilt in allen Fällen, n denen personenbezogene Daten von EU-Bürgern verarbeitet werden, unabhängig von der Organisation oder dem geografischen Standort des Verbrauchers.

Sicherheit - Risiko - Beachtung (als minimale Disziplinen) plus andere eventuell.
Die Grundlage für die Einhaltung der DSGVO ist die IDENTIFIZIERUNG UND KATEGORISIERUNG VON PERSONENBEZOGENEN DATEN.

Ja es ist gerechtfertigt. Falls Nein geantwortet wurde, dann mit guter Argumentation
Es besteht ein überwiegendes Interesse oder ähnliche Umschreibung
Art 13. Abs 2 lit a DSG
Art. 4:
Abs. 1: Gegeben
Abs. 2: Gegeben
Abs. 3: Gegeben
Abs. 4: ? Nicht im Text beschrieben / vermutlich gegeben
Falls Abs. 4 auch gegeben:
Art. 12 Abs. 2 Zif. c) --> Übergabe an Dritte nur bei Rechtfertigung
Art. 13 Abs. 2 Zif. c) --> Gegeben

Eine schriftliche (Art. 28 ZGB)

• Private Personen
• Bundesorgane
• Ausgenommen die in Art. 2 Abs. 2 DSG aufgeführten

Art. 3 Zif. c DSG

• religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten
• Gesundheit, Intimsphäre oder Rassenzugehörigkeit
• Massnahmen der sozialen Hilfe
• administrative oder strafrechtliche Verfolgungen und Sanktionen

Data Protection Officer

Bevor sie eröffnet wird

Der Dateninhaber

• Treu & Glaube
• Transparenz
• Richtigkeit
• Zweckmässigkeit
• Auskunftsrecht
• Verhältnismässigkeit
• Rechtmässigkeit

• Identität ausweisen
• Schriftliches Gesuch

Unterstützungs

• Berater des Managements und der Geschäftsleitung
• Gibt Inputs zur Optimierung
• Überblick über die Strukturen
• Beeinflusst die Kultur im Umgang mit Daten
• Coacht Funktionen/Inhaber von Datensammlungen
• Anlaufstelle für Mitarbeiter bzg. Daten

Art. 11a DSG

• Beauftragter führt ein Register der Datensammlungen, das über das Internet zugänglich ist.
• Bundesorgane müssen sämtliche Datensammlungen beim Beauftragten zur Registrierung anmelden
• Private Personen müssen Datensammlungen anmelden, wenn
  • regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet werden; oder
  • regelmässig Personendaten an Dritte bekannt gegeben werden
• Ausnahmen Art 11a Zif. 5 DSG

• Schriftliche Auskunft
• Zweck der Datenbearbeitung mitteilen
• innert 30 Tagen
• i.d.R. kostenlos

• Antrag in Briefform
• Nur wenn Vollmacht oder gesetzlich erlaubt

Alle personellen, organisatorischen & technischen Massnahmen

Ja, da es keine Regelung im DSG bezüglich dem Import von Daten gibt

Ja

Daten fallen beim Import automatisch in den Geltungsbereich des DSG

Art. 6 DSG

1. Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.
2. Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, so können Personendaten ins Ausland nur bekannt gegeben werden, wenn:
   1. hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten;
   2. die betroffene Person im Einzelfall eingewilligt hat;
   3. die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags steht und es sich um Personendaten des Vertragspartners handelt;
   4. die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist;
   5. die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen;
   6. die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat;
   7. die Bekanntgabe innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfindet, sofern die Beteiligten Datenschutzregeln unterstehen, welche einen angemessenen Schutz gewährleisten.
3. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Beauftragte, Art. 26) muss über die Garantien nach Absatz 2 Buchstabe a und die Datenschutzregeln nach Absatz 2 Buchstabe g informiert werden. Der Bundesrat regelt die Einzelheiten dieser Informationspflicht.

Nur, wenn sie von der Geheimhaltungsverpflichtung entbunden sind.

Personen & Prozesse