Datenschutz

• Profiling: automatisierte Bearbeitung von Personendaten
• Ziel: Bewertung bestimmter persönlicher Aspekte
• Bezug: natürliche Person

1. Rechtsmässigkeit: Vorhandene Rechtsgrundlage für Datenbearbeitung.
2. Transparenz: Beachtung des Rechts auf informationelle Selbstbestimmung.
3. Zweckbindung: Datenbearbeitung nur für bestimmte Zwecke.
4. Verhältnismässigkeit: Treue Bearbeitung; Minimierung der Datenerfassung; Vernichtung/Anonymisierung bei Nichtbedarf.
5. Richtigkeit: Sicherstellung der Datenkorrektheit.
6. Informationssicherheit: Zugriffsschutz und ständige Verfügbarkeit.
7. Kontrolle: Überwachung durch Datenschutzbehörden und Betroffene (Auskunftsrecht).

In der Schweiz gibt es natürliche und juristische Personen. Beide sind rechtsfähig und können vor Gericht agieren. Natürliche Personen sind von Geburt an rechtsfähig, während juristische Personen eine Eintragung ins Handelsregister benötigen, wie z.B. Aktiengesellschaften, GmbHs, Vereine und Stiftungen.

• Betroffene/Datensubjekt: Person, von der Daten gesammelt werden. Laut EU-DSGVO ist es eine identifizierte oder identifizierbare natürliche Person. Synonyme: "betroffene Person", "natürliche Person".
• Verantwortlicher (Controller): Entität (natürlich oder juristisch), die über Datenverarbeitung entscheidet. Im nDSG als "private Datenbearbeiter" bezeichnet.
• Auftragsbearbeiter (Processor): Entität (natürlich oder juristisch), die Daten im Auftrag des Verantwortlichen verarbeitet.
• Datenschutzberater: Verantwortlicher kann Datenschutzberater ernennen
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeuftragter (EDÖB): Kann Datenbearbeitung und Räumlichkeiten durchsuchen und Löschung bzw. Unterlassung von Bearbeiten anordnen.

jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten.

das Übermitteln oder Zugänglichmachen von Personendaten

eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtliche verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden

• Bearbeitung von besonders schützenswerten Personendaten
• Profiling mit hohem Risiko durch eine private Person
• Profiling durch ein Bundesorgan

Daten werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nciht mehr erforderlich sind

Profiling, das Daten verknüpft und so eine Bewertung wesentlicher Persönlichkeitsaspekte einer Person ermöglicht, birgt ein hohes Risiko für deren Persönlichkeitsrechte und Grundrechte.

• Menschenwürde (unantastbar und unverzichtbar)
• Recht auf Leben und persönliche Freiheit (bspw. körperliche u. geistige Unversehrtheit)
• Schutz der Privatsphäre (Schutz vor Datenmissbrauch) (anspruch auf Achtung des Privat- Familienleben, Wohnung, Briefe, Post und Fernmeldeverkehr)
• Glaubens- und Gewissensfreiheit
• Meinungs- und Informationsfreiheit
• Wirtschaftsfreihet

Formelle Gesetze werden von der Bundesversammlung, bestehend aus National- und Ständerat, beschlossen, die Teil der gesetzgebenden Gewalt (Legislative) ist. Die Exekutive, z.B. der Bundesrat, sorgt für die Umsetzung dieser Gesetze durch Verordnungen. Verordnungen sind detaillierte Anweisungen zur Umsetzung von Gesetzen und stehen in der Hierarchie unter der Verfassung und dem Gesetz.

Ein Offizialdelikt ist in der Schweiz eine Straftat, die die Strafverfolgungsbehörde von Amts wegen verfolgen muss, wenn es ihr zur Kenntnis gelangt. Das Gegenstück zum Offizialdelikt ist das Antragsdelikt, das nur verfolgt wird, wenn der Betroffene meist innert kurzer Frist einen Strafantrag stellt.

Management der Prozesse zur Aufrechterhaltung der Vertraulichkeit, Echtheit und Verfügbarkeit von Informationen

Ein Informationssicherheitsvorfall tritt auf, wenn ungewollte Ereignisse den Verlust von Informationswerten wie Vertraulichkeit, Echtheit und Verfügbarkeit verursachen. Die Häufigkeit dieser Vorfälle hängt von der Bedrohung, den Schutzmaßnahmen und der Anfälligkeit dieser Schutzmaßnahmen ab.

Umstand, durch den ein Schaden entstehen kann

• Höhere Gewalt
• Organisatorische Mängel
• Menschliche Fehlhandlungen
• Technisches Versagen
• Vorsätzliche Handlungen

Eine Gefährdung (englisch "applied threat") ist eine Bedrohung, die konkret über eine Schwachstelle auf ein Objekt einwirkt. Eine Bedrohung wird somit aufgrund einer vorhandenen Schwachstelle zur Gefährdung für ein Objekt.

Die Risikoidentifikation ist der Prozess der Erfassung und Bewertung von Gefahrenquellen und möglichen Konsequenzen in einem Unternehmen, um ein detailliertes Risikoinventar zu erstellen. Dies wird durch Methoden wie Besichtigungen, Interviews und Checklisten in interdisziplinären Teams durchgeführt.

Die Risikobewertung beurteilt identifizierte Risiken anhand ihrer Eintrittswahrscheinlichkeit und des Schadensausmaßes. Eine präzise Quantifizierung ist oft nicht möglich, daher erfolgt eine qualitative, vergleichende Bewertung. Die Ergebnisse werden häufig in einer farblich differenzierten Risikomatrix dargestellt.

Risikobewältigung umfasst Maßnahmen zur Risikovermeidung oder -reduktion, wie Aktivitätsänderungen, Haftungsbegrenzung, technische Maßnahmen oder Versicherungen.

Richtet sich an:

• natürliche Personen
• Bundesorgane

Richtet sich nicht an:

• kantonale Behörden
• Gemeinden
• Diplomaten
• nicht persönlichen Gebrauch

• regelt die Beziehungen zwischen "gleichgestellten" Privaten (Nicht-Behörden)
• Beispiele (ZGB, OR, DSG)

• regelt die Rechtsbeziehungen zwischen dem Staat und dem Bürger
• Beispiele: Staatsrecht, Verwaltungsrecht, Strafrecht, Prozessrecht, SchKG, DSG

Verträge bspw. Menschenrechtskonventionen

Wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.

Wenn kein Entscheid des Bundesrates vorliegt so dürfen sie bekanntgegeben werden wenn der Datenschutz gewährleistet wird durch: 

• einen völkerrechtlichen Vertrag
• Datenschutzklauseln in einem vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seinem Vertragspartner, die dem EDÖB vorgängig mitgeteilt wurden
• spezifische Garantien, die das zuständige Bundesorgan erarbeitet und dem EDÖB vorgängig mitgeteilt hat

• betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt (bspw. Social Media)
• Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages:
  • zwischen dem Verantwortlichen und der betroffenen Person oder zwischen dem Verantwortlichen und seinem Vertragsoartner im Interesse der betroffenen Person
• Die Bekanntgabe ist notwendig für:
  • die Wahrung eines überwiegenden öffentlichen Interesses
  • die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde

Nein, da privacy shield kein angemessenes Datenschutzniveau bietet. US Law Enforcement konnte ohne das Wissen der betroffenen Person trotzdem direkt auf die Daten der Cloud Provider zugreifen.

Die USA sind zudem nicht mehr auf der Staatenliste mit angemessenem Datenschutzniveau aufgeführt

"Privacy by Design" bezieht sich auf die Integration von Datenschutz in die technische Gestaltung von Datenverarbeitungsvorgängen von Anfang an. Durch frühzeitiges Ergreifen technischer und organisatorischer Maßnahmen während der Entwicklung, wird sichergestellt, dass Software oder Hardware bei Einsatzbeginn bereits DSGVO-konform ist.

• Proaktiver Datenschutz
  • Berücksichtigung der Datenschutzaspekte von Projektbeginn an
• Datenvermeidung (Datensparsamkeit)
  • nur so viele Daten sammeln, wie dies für die jeweilige Anwendung unbedingt notwendig ist
  • Daten nur so lange abspeichern, wie dies für die jeweilige Anwendung unbedingt notwendig ist (Speicherbegrenzung)
• Datennutzung
  • Zugriff zu den Daten nur denjenigen ermöglichen, welche die Daten wirklich benötigen
• Pseudonymisierung und Anonymisierung
  • Daten zu Personen sind über ein "Pseudonym" abgelegt und nur dann den Personen zuordbar, wenn man Zugriff auf eine "Korrespondenztabelle" hat
  • Daten zu Personen werden ohne Identifizierungsmerkmal abgelegt
• Einsatz von Privacy Enhancing Technologies (PET)
• Datenschutzfreundliche Voreinstellungen
  • Privacy by Default

"Privacy by Default" bedeutet, dass Systeme von Anfang an datenschutzfreundliche Voreinstellungen haben, um insbesondere weniger technikaffine Nutzer zu schützen, die ihre Einstellungen wahrscheinlich nicht anpassen würden. Dies adressiert das "Privacy Paradox", bei dem Nutzer den Datenschutz befürworten, aber keine aktiven Anpassungen der Einstellungen vornehmen.

• Die Grundeinstellungen sind stets "datenschutzfreundlich" ausgelegt
• Wenn der Anwender nichts macht, so werden keine (oder nur die absolut nötigen) Personendaten erfasst
• Nur wenn er dies ausdrücklich verlangt, oder die App sonst nicht funktioniert bzw. ihren Zweck nicht erfüllt, werden Personendaten erfasst

• Art der bearbeitenden Daten
• Zweck, Art, Umfang und Umstände der Bearbeitung

• unbefugte oder zufällige Vernichtung
• zufälligen Verlust
• technische Fehler
• Fälschung, Diebstahl oder widerrechtliche Verwendung
• unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen