Welche Kriterien werden bei der Festlegung der technischen und organisatorischen Massnahmen berücksichtigt?

Stand der Technik Implementierungskosten

Welche Anforderungen sollten an die Datensicherheit gestellt werden, um Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit zu gewährleisten?

nur Berechtigten zugänglich sein (Vertraulichkeit) verfügbar sind, wenn sie benötigt werden (Verfügbarkeit) nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität) nachvollziehbar bearbeitet werden (Nachvollziehbarkeit)

Welche geeigneten technischen und organisatorischen Maßnahmen müssen von Verantwortlichen und Auftragsbearbeitern ergriffen werden, um die Vertraulichkeit von Daten zu gewährleisten?

berechtigte Personen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen (Zugriffskontrolle) nur berechtigte Personen Zugang zu den Räumlichkeiten und Anlagen haben, in denen Personendaten bearbeitet werden (Zugangskontrolle) unbefugte Personen automatisierte Datenbearbeitungssysteme nicht mittels Einrichtungen zur Datenübertragung benutzen können (Benutzerkontrolle)

Wie kann man den Zugang zu den Daten kontrollieren?

Zugangskontrolle (physicher Zugang) Nur berechtigte Personen einlassen (Portier, Schliesskonzept) Zugriffskontrolle, Benutzerkontrolle/Zugangskontrolle (elektronischer Zugang, Authentisierung) Authentisierung zur Sicherstellung der Integrität (Echtheit, Authentizität) von Absendern (Kommunikationspartnern) Nur berechtigten Nutzern/Geräten Zugang zu Daten erlauben (Benutzeraccounts, Benutzerregelung) Firewall, Application Firewall, Proxy Nur "berechtigte" Datenpakete, Programme, Mails, Webseiten,...

Welche Sicherheitsmaßnahmen müssen implementiert werden, um Datenträger, gespeicherte Daten und den Transport von Daten zu schützen, die Verfügbarkeit und Integrität der Daten sicherzustellen und das System zuverlässig und aktuell zu halten?

Datenträgerkontrolle: unbefugte Personen sollen Datenträger nicht lesen, kopieren, verändern, verschieben, löschen oder vernichten können Speicherkontrolle: unbefugte Personen sollen Personendaten im Speicher nicht speichern, lesen ändern, löschen oder vernichten können Transportkontrolle: unbefigte Personen sollen bei der Bekanntgabe von Personendaten oder beim Transport von Datenträgern Personendaten nicht lesen, kopieren, verändern, löschen oder vernichten können Wiederherstellung: die Verfügbarkeit von Personendaten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden können Verfügbarkeit: alle Funktionen des automatisierten Datenbearbeitungssystems zur Verfügung stehen Zuverlässigkeit: Fehlfunktionen gemeldet werden Datenintegrität: gespeicherte Personendaten sollen nicht durch Fehlfunktionen des Systems beschädigt werden können Systemsicherheit: Betriebssysteme und Anwendungssoftware stets auf dem neuen Sicherheitsstand gehalten und bekannte kritische Lücken geschlossen werden

Welche Massnahmen braucht es um die Nachvollziehbarkeit zu gewährleisten?

es muss überprüft werden können, welche Personendaten zu welcher Zeit und von welcher Person im automatisierten Datenbearbeitungssystem eingegeben oder verändert werden es muss überprüft werden können, wem Personendaten mit Hilfe von Einrichtungen zur Datenübertragung bekanntgegeben werden Verletzungen der Datensicherheit müssen rasch erkannt werden und Massnahmen zur Minderung oder Beseitigung der Folgen ergriffen werden können

Wann braucht es eine Protokollierung?

Bei der automatisierten Verarbeitung sensibler Daten oder risikoreichem Profiling müssen, wenn präventive Maßnahmen unzureichend sind, alle Datenbearbeitungsvorgänge protokolliert werden, um deren Zweckmäßigkeit nachträglich überprüfen zu können.

Wann muss ein Reglement für automatisierte Bearbeitungen erstellt werden?

für das bearbeiten von besonders schützenswerte Personendaten in grossem Umfang wenn ein Profiling mit hohem Risiko durchgeführt wird

Was soll beim Sicherheitsgrundprinzip "Organisieren" gemacht werden?

Situation (Schwachstellen) und Zuständigkeiten klären Übersicht, Ordnung schaffen (Clean Desk Policy) klassieren Motivation Beachtung von Richtlinien (Vorgaben der Revision, Anforderungen von Kunden) Verfügbarkeit (Betriebssicherheit) Ruf der Oganisation Persönlichkeitsverletzungen (Missbrauch von Personendaten) Massnahmen Komplexität reduzieren, Überblick schaffen (Bearbeitungsreglement) ausbilden, sensibilisieren Risiko-Bewusstseinsmachung (Schulung für Mitarbeiter/Geschäftsleitung) Notfall-/Krisenmanagement (inkl. Kommunikation) vorbereiten Information Security Management System (ISMS) aufbauen, überprüfen/zertifizieren lassen

Was soll beim Sicherheitsgrundprinzip "Schützen" beachtet werden?

Verschlüsselung Daten sollen nur lesbar sein, wenn man über den richtigen geheimen Schlüssel verfügt Signieren Digitale Signaturen verhindern, dass Daten unbemerkt verändert werden können Duplizieren, Backup Sicherungskopien und ein gut durchdachtes und getestetes Backupsystem helfen, bewusst oder versehentlich gelöschte/verschlüsselte Daten wiederherszustellen

Was soll beim Sicherheitsgrundprinzip "Überprüfen" beachtet werden?

Erkennung von Schwachstellen und Zwischenfällen bspw. leaks, Databreaches etc.

Wann muss eine Verletzung der Datensicherheit dem EDÖB gemeldet werden?

Bei einer Verletzung des Schutzes personenbezogener Daten muss die zuständige Aufsichtsbehörde informiert werden, wenn Risiken für die Rechte und Freiheiten natürlicher Personen bestehen. Zusätzlich müssen betroffene Personen benachrichtigt werden, wenn ein hohes Risiko für ihre persönlichen Rechte und Freiheiten vorliegt.

Wie unterscheidet die "just culture" zwischen verschiedenen Arten von Fehlern bei Zwischenfällen, und welche Reaktionen oder Schuldzuweisungen werden in jedem Fall vorgenommen?

Human Error: Bei unbeabsichtigten Fehlern, wie Ausrutschern oder Versehen, wird die verantwortliche Person getröstet. Zum Beispiel, wenn ein Reifen auf der Autobahn platzt und ein Unfall mit Verletzten passiert. At Risk Behavior: Bei Fehleinschätzungen einer Situation, die zu einem Zwischenfall führen, wird die verantwortliche Person geschult oder trainiert. Zum Beispiel, wenn jemand auf der Autobahn eine Smartphone-Meldung liest und dadurch einen Unfall verursacht. Reckless Behavior: Bei bewusst rücksichtslosen oder waghalsigen Handlungen, die zu einem Zwischenfall führen, wird die verantwortliche Person bestraft. Zum Beispiel, wenn jemand aggressiv und nahe auf der Autobahn fährt und dadurch einen Unfall verursacht.

Was soll mit dem neuen Datenschutz (nDSG) geschützt werden?

Persönlichkeit und Grundrechte von Personen

Welche Aussagen zum neuen Datenschutzgesetz (nDSG) treffen zu?

Das DSG richtet sich an Bundesorgane (d.h. an die Bundesverwaltung und an Private, die Aufgaben des Bundes wahrnehmen). & Das DSG richtet sich an private Datenbearbeiter (Unternehmen, Vereine, Einzelpersonen).

Das DSG unterscheidet zwischen verschiedenen Bearbeitungsmethoden und der Art, wie die Informationen gespeichert sind (z.B. elektronisch oder auf Papier).

Das DSG richtet sich an Bundesorgane (d.h. an die Bundesverwaltung und an Private, die Aufgaben des Bundes wahrnehmen).

Das DSG richtet sich an kantonale und kommunale Behörden.

Das DSG richtet sich an private Datenbearbeiter (Unternehmen, Vereine, Einzelpersonen).

Was sind gemäss neuem Datenschutzgesetz (nDSG) "Personendaten"?

Informationen über eine bestimmte oder bestimmbare Person & Pseudonymisierte Daten

Informationen über eine bestimmte oder bestimmbare Person

Welche Daten gelten gemäss nDSG als „besonders schützenswerte Personendaten“?

Gesundheitsdaten & Daten über gewerkschaftliche Aktivitäten & Daten über strafrechtliche Verfolgung

Daten über gewerkschaftliche Aktivitäten

Daten über strafrechtliche Verfolgung

Was bezeichnet man gemäss nDSG als „Bearbeiten von Personendaten“?

das Lesen der Daten & das Bekanntgeben der Daten auf Papier & das Verschlüsseln der Daten & das Bekanntgeben der Daten in elektronischer Form (e-Mail, Web) & das Löschen der Daten

das Bekanntgeben der Daten auf Papier

das Bekanntgeben der Daten in elektronischer Form (e-Mail, Web)

card2brain.ch

Das Privatrecht (Zivilrecht) regelt die Rechtsbeziehungen

zwischen Staat und Bürger

zwischen Behörden

zwischen „gleichgestellten“ Privaten

zwischen Staat und Bürger

zwischen Behörden

zwischen „gleichgestellten“ Privaten

In welcher schweizerischen Rechtsnorm ist der Absatz „Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.“ zu finden?

Obligationenrecht

Datenschutzgesetz

Zivilgesetzbuch

Bundesverfassung

Obligationenrecht

Datenschutzgesetz

Zivilgesetzbuch

Bundesverfassung

Beschreiben Sie, was unter den drei wesentlichen „Players“ gemäss Datenschutz zu verstehen ist

Betroffene Person (Data Subject) natürliche Person über die Personendaten bearbeitet werden
Verantwortlicher (Controller) natürliche oder juristische Person, Behörde, Einrichtung, die allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung von personenbezogenen Daten entscheidet.
Auftragsbearbeiter (Processor) natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet

Die Begriffe „Datenschutz“ und „Datensicherheit“ werden häufig synonym verwendet bzw. nicht richtig unterschieden. Beschreiben Sie, was darunter zu verstehen ist.

Datenschutz Schutz der Persönlichkeit, rechtlicher Begriff, Schutz vor „Missbrauch“ der Daten über Personen, (engl. Privacy)
Datensicherheit allgemeiner Schutz der Daten im Sinne der Informationssicherheit, technischer Begriff (engl. Data Protection)

Welche Aussagen zu den Rechten betroffener Personen treffen zu (gemäss nDSG)?

Personen können vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden

Der Verantwortliche ist nicht auskunftspflichtig, wenn die Personendaten durch einen Auftragsdatenvearbeiter bearbeitet wurden.

Personen müssen einen Grund angeben, wenn sie Auskunft über Personendaten wollen.

Personen müssen sich identifizieren, wenn sie Auskunft über Personendaten wollen.

Personen können vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden

Der Verantwortliche ist nicht auskunftspflichtig, wenn die Personendaten durch einen Auftragsdatenvearbeiter bearbeitet wurden.

Personen müssen einen Grund angeben, wenn sie Auskunft über Personendaten wollen.

Personen müssen sich identifizieren, wenn sie Auskunft über Personendaten wollen.

Welche der folgenden Aussagen zum Risiko sind zutreffend?

Das Risiko entspricht dem durchschnittlichen jährlichen Schaden, welcher aufgrund von Sicherheitszwischenfällen zu erwarten ist.

Das Risiko ist die Schadensumme, welche durch einen bestimmten Angriff verursacht wurde.

Das Risiko entspricht der Kombination aus der Wahrscheinlichkeit eines Ereignisses (Vorfalls) und dessen Auswirkungen.

Das Risiko ist die Wahrscheinlichkeit, dass eine Verletzlichkeit ausgenutzt wird.

Das Risiko entspricht dem durchschnittlichen jährlichen Schaden, welcher aufgrund von Sicherheitszwischenfällen zu erwarten ist.

Das Risiko ist die Schadensumme, welche durch einen bestimmten Angriff verursacht wurde.

Das Risiko entspricht der Kombination aus der Wahrscheinlichkeit eines Ereignisses (Vorfalls) und dessen Auswirkungen.

Das Risiko ist die Wahrscheinlichkeit, dass eine Verletzlichkeit ausgenutzt wird.

Gemäss nDSG braucht es eine Datenschutz Folgenabschätzung, …

wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann.

immer, wenn Datenübermittlungen in Drittstaaten ausserhalb der EU geplant sind.

wenn eine Bearbeitung ein hohes Risiko für die Firma, welche die Daten bearbeitet, mit sich bringen kann.

wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann.

immer, wenn Datenübermittlungen in Drittstaaten ausserhalb der EU geplant sind.

wenn eine Bearbeitung ein hohes Risiko für die Firma, welche die Daten bearbeitet, mit sich bringen kann.

Von „Bekanntgabe ins Ausland“ spricht man gemäss nDSG

wenn Persondendaten von einer Schweizer Firma zu einer Niederlassung der Firma im Ausland übertragen werden.

wenn Informationen im Internet veröffentlicht werden.

wenn Personendaten zu einem Datenverarbeiter im Ausland übermittelt werden.

wenn Persondendaten von einer Schweizer Firma zu einer Niederlassung der Firma im Ausland übertragen werden.

wenn Informationen im Internet veröffentlicht werden.

wenn Personendaten zu einem Datenverarbeiter im Ausland übermittelt werden.

Welche Aussagen zur Nutzung eines Human Resource Software Pakets einer US Firma in einer Schweizer Firma treffen zu?

US Behörden können Zugang zu Personendaten der Schweizer Firma erhalten, indem sie sich auf die neue „Executive Order“ von US Präsident Joe Biden berufen.

Die Schweizer Firma muss prüfen, ob eine Datenschutz Folgeabschätzung nötig ist.

Die Schweizer Firma muss im Vertrag mit der US Firma Vertragsklauseln über zusätzlich technische Massnahmen zum Schutz der Personendaten einführen.

US Behörden können Zugang zu Personendaten der Schweizer Firma erhalten, indem sie sich auf die neue „Executive Order“ von US Präsident Joe Biden berufen.

Die Schweizer Firma muss prüfen, ob eine Datenschutz Folgeabschätzung nötig ist.

Die Schweizer Firma muss im Vertrag mit der US Firma Vertragsklauseln über zusätzlich technische Massnahmen zum Schutz der Personendaten einführen.

Geben Sie die englischen und deutschen Begriffe an, welche im Rahmen der organisatorischen und technischen Massnahmen unter „Anforderungen an die Informationssicherheit gemäss Datenschutzgesetz“ (in der Vorlesung mit CIA abgekürzt) verwendet wurden.

C Confidentiality Vertraulichkeit
I Integrity Echtheit (Integrität)
A Availabiltity Verfügbarkeit

Was bedeutet die Abkürzung ISMS im Rahmen des Vorlesungsmoduls Datenschutz?

Information Security Management System

Nennen Sie zwei technische Grundprinzipien des Datenschutzes, welche bei der Anwendungsentwicklung zu beachten sind. Beschreiben Sie, was darunter zu verstehen ist.

Privacy by Default Die Einstellungen sollten in der Grundeinstellung immer so sein, dass keine Personendaten erfasst werden bzw. dass sie „datenschutzfreundlich“ sind.
Privacy by Design Schon beim Entwurf der Anwendung sollte der Datenschutz beachtet werden.

Meine Firma hat auf der Webseite Kontaktinformationen mit Fotos zu allen Mitarbeitenden veröffentlicht. Ich erhalte eine Mail, dass die Informationen auf der Webseite aufgeschaltet werden. Welches Vorgehen wird als "Opt-out" bezeichnet?

Die Daten werden automatisch veröffentlicht, ausser ich reagiere und verlange mit der Mailantwort, dass sie nicht veröffentlicht werden.

Die Daten werden nicht veröffentlicht, solange ich nicht per Mail die Zustimmung dafür gebe.

Die Daten werden nur angezeigt, wenn jemand auf der Webseite auf "Opt-out" klickt.

Die Daten werden automatisch veröffentlicht, ausser ich reagiere und verlange mit der Mailantwort, dass sie nicht veröffentlicht werden.

Die Daten werden nicht veröffentlicht, solange ich nicht per Mail die Zustimmung dafür gebe.

Die Daten werden nur angezeigt, wenn jemand auf der Webseite auf "Opt-out" klickt.

Beschreiben Sie vier prinzipiell unterschiedliche Punkte, welche für JUST Culture charakteristisch sind.

Sicherheitszwischenfälle (Fehler) sollen in jedem Fall gemeldet werden.
Die Strafen sind der Art des Fehlers angepasst. (Für Versehen wird man nicht bestraft. Für rücksichtsloses, bewusstes Fehlverhalten wird man bestraft.)
Wenn nötig, falls angemessen, wenn die Situation es verlangt soll man Regeln übertreten. (JUST Culture umfasst auch, dass situativ Regeln übergangen werden, wenn das angezeigt ist.)
Bekannte Fehler sollten seltener vorkommen. (JUST Culture bewirkt, dass wesentliche bekannte Fehler viel seltener passieren.)

Worum handelt es sich beim "Cloud Act"?

Der Cloud Act ist ein US-Gesetz, welches festlegt, unter welchen Bedingungen US-Behörden Cloud Computing nutzen dürfen.

Der Cloud Act ist ein US-Gesetz, welches US-Behörden Zugriff auf bei US-Firmen im Ausland gespeicherte Daten ermöglicht.

Der Cloud Act verlangt, dass US Internet Firmen und IT-Dienstleister ihre Kunden informieren, wenn US-Behörden auf Personendaten von Benutzer zugegriffen haben.

Mit dem Cloud Act werden ordentliche Rechtshilfeverfahren umgangen.

Der Cloud Act ist ein US-Gesetz, welches festlegt, unter welchen Bedingungen US-Behörden Cloud Computing nutzen dürfen.

Der Cloud Act ist ein US-Gesetz, welches US-Behörden Zugriff auf bei US-Firmen im Ausland gespeicherte Daten ermöglicht.

Der Cloud Act verlangt, dass US Internet Firmen und IT-Dienstleister ihre Kunden informieren, wenn US-Behörden auf Personendaten von Benutzer zugegriffen haben.

Mit dem Cloud Act werden ordentliche Rechtshilfeverfahren umgangen.

Ein Student an der eidgenössischen technischen Hochschule in Zürich (ETHZ) mit Wohnsitz in St. Gallen erhielt keine Antwort auf ein Auskunftsbegehren zu den über ihn an der ETH abgespeicherten Personendaten. An welche Stelle muss er sich wenden?

An die kantonale Datenschutzbeauftragte des Kantons Zürich

An die kantonale Datenschutzbeauftragte des Kantons St. Gallen

An die ETH Zürich

An den Eidgenössischen Datenschutzbeauftragten

An die kantonale Datenschutzbeauftragte des Kantons Zürich

An die kantonale Datenschutzbeauftragte des Kantons St. Gallen

An die ETH Zürich

An den Eidgenössischen Datenschutzbeauftragten

Ist die DSGVO der Europäischen Union auf Firmen in der Schweiz anwendbar?

Nein, die DSGVO gilt nur für Firmen in der EU.

Ja, aber nur, wenn die Firma einen EU-Vertreter für Datenschutz benennt.

Ja, falls die Firma ihre Angebote von Waren und Dienstleistungen auch auf den EU Raum ausrichtet.

Nein, die DSGVO gilt nur für Firmen in der EU.

Ja, aber nur, wenn die Firma einen EU-Vertreter für Datenschutz benennt.

Ja, falls die Firma ihre Angebote von Waren und Dienstleistungen auch auf den EU Raum ausrichtet.

Eine schweizerische Cookie-Regelung findet sich im

Bundesgesetz gegen den unlauteren Wettbewerb (UWG)

Datenschutzgesetz (DSG)

Fernmeldegesetz (FMG)

Bundesgesetz gegen den unlauteren Wettbewerb (UWG)

Datenschutzgesetz (DSG)

Fernmeldegesetz (FMG)

Welches Prinzip gilt im privatrechtlichen Bereich des Schweizer Datenschutzes?

Erlaubnis mit Verbotsvorbehalt >>> gilt auch für NDSG??? 1

Was ist der Unterschied zwischen Datenschutz und Datensicherheit?

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

Datenschutz = Schutz der Persönlichkeit

Datensicherheit = Schutz der Daten

Nenne einige Biologische Merkmale bzgl. Biometrischer Identität.

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

Finger: Fingerabdruck
Auge: Iris, Retina
Hand: Handform
Gesicht: Geometrie, Ohrform etc.

Nenne einige Behavioristische Merkmale bzgl. Biometrischer Identität.

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

Stimme
Handschrift
Gestik
Gang

Was sind Personendaten?

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen

Was ist eine "betroffene Person" im Bezug auf Personendaten?

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

natürliche Person, über die Personendaten bearbeitet werden

Welche Personendaten gelten als besonders schützenswert?

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten
Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie
genetische Daten
biometrische Daten, die eine natürliche Person eindeutig identifizieren
Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen
Daten über Massnahmen der sozialen Hilfe

Was versteht man unter Profiling?

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

Profiling: automatisierte Bearbeitung von Personendaten
Ziel: Bewertung bestimmter persönlicher Aspekte
Bezug: natürliche Person

Nenne die Datenschutz Grundprinzipien

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

Rechtsmässigkeit: Vorhandene Rechtsgrundlage für Datenbearbeitung.
Transparenz: Beachtung des Rechts auf informationelle Selbstbestimmung.
Zweckbindung: Datenbearbeitung nur für bestimmte Zwecke.
Verhältnismässigkeit: Treue Bearbeitung; Minimierung der Datenerfassung; Vernichtung/Anonymisierung bei Nichtbedarf.
Richtigkeit: Sicherstellung der Datenkorrektheit.
Informationssicherheit: Zugriffsschutz und ständige Verfügbarkeit.
Kontrolle: Überwachung durch Datenschutzbehörden und Betroffene (Auskunftsrecht).

Was ist mit "private Person" natürlichen und juristischen Personen gemeint?

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

In der Schweiz gibt es natürliche und juristische Personen. Beide sind rechtsfähig und können vor Gericht agieren. Natürliche Personen sind von Geburt an rechtsfähig, während juristische Personen eine Eintragung ins Handelsregister benötigen, wie z.B. Aktiengesellschaften, GmbHs, Vereine und Stiftungen.

Welche wesentlichen Rollen gibt es im Bezug auf das nDSG?

Tastatur-Befehle:

= drehen,

= vor-/rückwärts,

= scrollen

Betroffene/Datensubjekt: Person, von der Daten gesammelt werden. Laut EU-DSGVO ist es eine identifizierte oder identifizierbare natürliche Person. Synonyme: "betroffene Person", "natürliche Person".
Verantwortlicher (Controller): Entität (natürlich oder juristisch), die über Datenverarbeitung entscheidet. Im nDSG als "private Datenbearbeiter" bezeichnet.
Auftragsbearbeiter (Processor): Entität (natürlich oder juristisch), die Daten im Auftrag des Verantwortlichen verarbeitet.
Datenschutzberater: Verantwortlicher kann Datenschutzberater ernennen
Eidgenössischer Datenschutz- und Öffentlichkeitsbeuftragter (EDÖB): Kann Datenbearbeitung und Räumlichkeiten durchsuchen und Löschung bzw. Unterlassung von Bearbeiten anordnen.

Welche Aktionen gelten als "Bearbeiten" im Bezug auf das nDSG?

jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten.

Was meint man mit "Bekanntgeben" im Bezug auf das nDSG?

das Übermitteln oder Zugänglichmachen von Personendaten

Was meint man mit "Verletzung der Datensicherheit" im Bezug auf das nDSG?

eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtliche verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden

Für welche Dinge bzgl. Datenverarbeitung muss ausdrücklich eine Einwilligung vorliegen?

Bearbeitung von besonders schützenswerten Personendaten
Profiling mit hohem Risiko durch eine private Person
Profiling durch ein Bundesorgan

Was ist mit dem Recht auf Vergessen gemeint?

Daten werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nciht mehr erforderlich sind

Was versteht man unter Profiling mit hohem Risiko?

Profiling, das Daten verknüpft und so eine Bewertung wesentlicher Persönlichkeitsaspekte einer Person ermöglicht, birgt ein hohes Risiko für deren Persönlichkeitsrechte und Grundrechte.

Nenne einige Grundrechte in der Schweiz

Menschenwürde (unantastbar und unverzichtbar)
Recht auf Leben und persönliche Freiheit (bspw. körperliche u. geistige Unversehrtheit)
Schutz der Privatsphäre (Schutz vor Datenmissbrauch) (anspruch auf Achtung des Privat- Familienleben, Wohnung, Briefe, Post und Fernmeldeverkehr)
Glaubens- und Gewissensfreiheit
Meinungs- und Informationsfreiheit
Wirtschaftsfreihet

Was ist der Unterschied zwischen einer Verordnung und einem Gesetz?

Formelle Gesetze werden von der Bundesversammlung, bestehend aus National- und Ständerat, beschlossen, die Teil der gesetzgebenden Gewalt (Legislative) ist. Die Exekutive, z.B. der Bundesrat, sorgt für die Umsetzung dieser Gesetze durch Verordnungen. Verordnungen sind detaillierte Anweisungen zur Umsetzung von Gesetzen und stehen in der Hierarchie unter der Verfassung und dem Gesetz.

Erkläre den Unterschied zwischen einem Offizialdelikt und einem Antragsdelikt

Ein Offizialdelikt ist in der Schweiz eine Straftat, die die Strafverfolgungsbehörde von Amts wegen verfolgen muss, wenn es ihr zur Kenntnis gelangt. Das Gegenstück zum Offizialdelikt ist das Antragsdelikt, das nur verfolgt wird, wenn der Betroffene meist innert kurzer Frist einen Strafantrag stellt.