Tools, Know-how und Weiterbildung im Bereich Datenschutz und IT-Recht

Apps gibt es mittlerweile für fast alles: zur Kommunikation (WhatsApp), Unterhaltung (Quiz-Apps) oder Erleichterung von alltäglichen Tasks (Google-Maps). Kaum einer weiss vermutlich, wie viele Apps er oder sie denn täglich nutzt. Der Begriff App (Kurzform von engl. «Application») bezieht sich eigentlich auf jede Art von Anwendungssoftware. Im deutschsprachigen Raum werden darunter aber meist mobile Anwendungssoftwares für Smartphones und Tabletts verstanden, auf welche sich auch der vorliegende Beitrag bezieht. Gegenstand eines App-Entwicklungsvertrags sind die Planung, Erstellung und Lieferung der Software mit den vereinbarten Funktionen sowie der Vertrieb an Dritte auf den zwischen den Parteien vereinbarten Plattformen.

Cyberrisiken gehören regelmässig zu den grössten Gefahren für Unternehmen und deren Informationssicherheit. Bereits eine kleine Unachtsamkeit kann verheerende Schäden anrichten oder gar zur Insolvenz führen. Die Frage ist nicht ob, sondern wann man angegriffen wird. Der Umgang mit diesen Risiken kann nicht auf eine rein technische Herausforderung reduziert werden. Es ist ein ganzheitlicher Ansatz erforderlich.

Das alte Sprichwort "Von der Wiege bis zur Bahre - Formulare, Formulare" kann heutzutage gegen "Passwörter, Passwörter" ausgetauscht werden. Aber ist diese Art der Authentifizierung überhaupt noch zeitgemäss? Ist ein Passwort heutzutage "out" - und welche Alternativen gäbe es dann?

Heutzutage erledigt kaum ein Unternehmen sämtliche Aufgaben selbst, sondern lagert einen Teil gegen Entgelt an Drittfirmen aus. Mit dem Outsourcing von Aufgaben ist im Digitalisierungszeitalter regelmässig ein Datentransfer an die Auftragnehmer verbunden. Werden dabei auch personenbezogene Daten an Dritte übermittelt, stellt sich aus datenschutzrechtlicher Sicht die Frage, unter welchen Voraussetzungen der Datentransfer zulässig ist, welche Informationspflichten bestehen und welche Regeln von Auftraggeber bzw. Auftragnehmer zu beachten sind bezüglich Auftragsdatenbearbeitung.

Das Auskunftsrecht begründet zusammen mit den Informationspflichten des Verantwortlichen den Transparenzgrundsatz im Datenschutz. Das Auskunftsrecht ist in Art. 25 ff. des neuen Datenschutzgesetzes (DSG) und in Artikel 16 ff. der entsprechenden neuen Datenschutzverordnung (DSV) geregelt. Es ist das wichtigste Instrument im Datenschutz, weshalb es im DSG zu Beginn der den betroffenen Personen eingeräumte Rechte steht. Das Auskunftsrecht dient in erster Linie dem Schutz der Persönlichkeit und der Grundrechte der Personen, von denen Personendaten bearbeitet werden.

Der Trend zur Auslagerung oder Erweiterung von IT-Ressourcen in so genannte Cloudlösungen ist auch 2024 ungebrochen. Als „Cloud“ wird dabei heutzutage auch so manche Speicherlösung von QNAP, Synology und so weiter bezeichnet. Dabei handelt es sich aber nicht um eine „Cloud“ im engeren Sinne. Ebenso betreiben manche Unternehmen zentrale Lösungen für Kalender, Kontakte und weitere Ressourcen wie Dateifreigaben. Einer der prominenten Vertreter einer solchen softwarebasierten Groupware-Lösung ist OwnCloud beziehungsweise dessen Abspaltung Nextcloud.

IT-Systeme werden immer wichtiger und auch durch eine zunehmende Verlagerung in die sogenannte „Cloud“ nicht weniger komplex, eher im Gegenteil. Wer sich im Alltag seines Unternehmens oder seiner Institution wie selbstverständlich der E-Mail-, Daten-, Web- und sonstigen Server bedient, übersieht nur zu leicht, was einen mindestens ebenso grossen Stellenwert einnimmt wie die Systeme an sich. Wenn die Projekte erst einmal eingerichtet sind und funktionieren, wird das schriftliche Festhalten des angesammelten Know-hows, die IT-Dokumentation, übersehen, vergessen oder einfach aus Bequemlichkeit vermieden. Das kann sich aber irgendwann als fatal erweisen.

Ab einer gewissen Grösse einer Organisation ist es nicht mehr möglich, die Vorgaben und Vorgehensweisen bei Fragen der IT Security nur in den Köpfen der Verantwortlichen aus Management und Administration zu belassen – es muss ein schriftlich ausgearbeitetes Konzept in Form eines Sicherheitskonzepts her.

Das Gespann Outlook mit Exchange ist sicher die führende Lösung für eine sogenannte Groupware, vor allem in mittelständischen Büros. Nicht jeder hat aber die finanziellen oder persönlichen Möglichkeiten für einen eigenen Exchange-Server. Wie man trotzdem (fast) genau so arbeiten könnte, als habe man einen solchen Server, wollen wir Ihnen heute einmal aufzeigen.

Am 1. September 2023 sind das neue Datenschutzgesetz (im Folgenden: DSG) und seine Ausführungsbestimmungen in Kraft getreten. In diesem Zusammenhang sind einige Änderungen in Bezug auf das Auskunftsrecht des Arbeitnehmers eingeführt worden, welche im Folgenden mit einigen Empfehlungen zu den von der Arbeitgeberin einzuführenden Massnahmen erläutert werden.

Die meisten Webseiten setzen Analyse-Tools wie Google Analytics ein. Oft werden die Tools von den Webentwicklern standardmässig in die Webseite eingebaut, ohne dass die webseitenbetreibenden Unternehmen die Tools aktiv nutzen oder gar davon wissen. Dabei bestehen gerade beim Einsatz von solchen Tools datenschutzrechtliche Risiken. Um diesen Risiken entgegenzuwirken, ist eine sorgfältige Auswahl der Analyse-Tools, deren technische Einstellung sowie die Schaffung der rechtlichen Grundlagen für deren Nutzung entscheidend.

Im Folgenden erhalten Sie Hinweise zu wichtigen Fragestellungen, welche im Sinne von Vertragsklauseln üblicherweise in Lizenzverträge einfliessen.

Unabhängig davon, ob Unternehmen ihren Mitarbeitenden erlauben, private mobile Endgeräte wie Smartphones, Tablets oder Laptops im Arbeitsbereich einzusetzen, oder ob sie konzerneigene Devices für die private Nutzung freigeben: Beide Modelle weisen Sicherheitsrisiken sowie arbeits- und datenschutzrechtliche Fragen auf. Der nutzbringende Einsatz von Bring Your Own Device oder Corporate Owned, Personally Enabled für alle Beteiligten bedingt daher die Umsetzung zahlreicher einschlägiger rechtlicher, technischer und organisatorischer Massnahmen.

Unzählige Untersuchungen zeigen, dass die allermeisten Cybersicherheitsvorfälle auf menschliche Fehler zurückzuführen sind. Adäquate Schulungen können helfen, dieses Risiko zu verkleinern und damit die Sicherheit des Unternehmens zu stärken. Warum die Mitarbeiterausbildung in diesem Bereich so wichtig ist und wie effektive Awareness-Programme auszugestalten sind, wird in diesem Artikel dargelegt.

Seit dem 1. September 2023 gilt gemäss Art. 22 und 23 des revidierten Datenschutzgesetzes (DSG), dass bei hohen Bearbeitungsrisiken eine Datenschutz-Folgenabschätzung (DSFA) erstellt werden muss. Gemäss DSG besteht die Pflicht, eine DSFA zu erstellen, wenn die vorgesehene Datenbearbeitung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat zur DSFA ein aufschlussreiches Merkblatt vorgelegt.

Als Ende Juni 2021 bekannt wurde, dass der Bund Daten auf Clouds von amerikanischen und chinesischen Cloud-Providern auslagern wird, war der Aufschrei in der Bevölkerung gross. «Daten sollen besser von Schweizer Cloud-Providern in der Schweiz gespeichert werden», dachte sich wohl so mancher Bürger. Doch sind Daten in den Händen (ausländischer) Cloud-Provider wirklich ungenügend geschützt?

Es ist schon eine verrückte Welt in der IT: da laufen Gaming-PCs zu ständig neuen Hochleistungen auf, während in vielen Serverräumen und Rechenzentren noch betagte Systeme mit in die Jahre gekommenen Prozessoren und Festplatten vor sich hin werkeln. Gleichzeitig bekommt man kaum noch einen Büro-PC, der nicht wenigstens mit einem i3-Prozessor und 8 Gigabyte RAM ausgestattet ist. Da kommt so mancher Admin und IT-Verantwortliche schon ins Grübeln - tut es bei der nächsten Serveranschaffung vielleicht ein etwas besser ausgestatteter Gaming-PC?

Bereits viele Menschen arbeiten im Homeoffice und die Zahlen sind weiterhin steigend. In der Tat bringt das Homeoffice – sowohl für den Arbeitgeber als auch für den Arbeitnehmer – viele Vorteile mit sich. Dennoch handelt es sich bei der Arbeit im Homeoffice um eine Medaille mit zwei Seiten. Auf der einen Seite befinden sich die vorteilhaften Aspekte. Auf der anderen Seite stehen die Risiken, die vor allem durch die Cyber-Kriminellen und ihren Cyber-Attacken ausgehen.

Backups sind sicher das A und O der IT. Backupsoftware ist aber oftmals teuer, aufwendig einzurichten und schwerfällig. Mit rsync gibt es aber eine sehr interessante Alternative. Diese stammt zwar ursprünglich aus der Unixwelt, ist aber auch auf Windows-Systeme portiert worden. rsync sichert Ihre Daten verblüffend einfach, schnell und zuverlässig.

Rund um die Datenschutzerklärung für Mitarbeitende bestehen viele Unsicherheiten und datenschutzrechtliche Mythen, welche weit verbreitet sind und sich hartnäckig halten. Eine dieser Unsicherheiten besteht bei der Frage, ob es aus rechtlicher Sicht ausreicht, wenn die Datenschutzerklärung den Mitarbeitenden zur Einsicht zur Verfügung gestellt wird, oder ob diese unterzeichnet werden muss. Dieser Frage gehen wir in diesem Beitrag nach.

Komplexe IT-Projekte mit ungenügender Rollenverteilung und schlechtem Projektmanagement sind zum Scheitern verurteilt. IT-Projekte, bei denen zu Beginn keine Detailspezifikationen und keine konkreten Umschreibungen der verlangten Leistungen und Funktionen bestehen, bedürfen besonderer Aufmerksamkeit. In diesem Umfeld agiler Software- und Produktentwicklung kann auch die Methode SCRUM eingesetzt werden.

Es wurde bereits oft wiederholt, aber die Daten von Unternehmen haben einen extrem hohen Wert für die Aufrechterhaltung ihrer Geschäftstätigkeit erlangt. Daher ist es wichtig, die Risiken zu identifizieren, die mit ihrer Verarbeitung verbunden sind, insbesondere wenn sie in die Cloud verlagert werden, um dann entsprechend verwalten zu können.

In der heutigen Zeit, in der wir viele Aktivitäten ins Internet verlagert haben, ist es wichtiger denn je, sich über mögliche Bedrohungen zu informieren – und natürlich auch zu schützen. Hacker haben es nicht nur auf große Unternehmen abgesehen, auch Privatpersonen fallen den Kriminellen immer wieder zum Opfer. Dabei werden die Strategien der Cyberangreifer immer ausgefeilter. In diesem Artikel zeigen wir auf, wie Sie sich über Bedrohungen im Netz auf dem Laufenden halten können und welche Maßnahmen Sie ergreifen können, um sich optimal zu schützen.

Jedes Unternehmen, unabhängig von seiner Grösse oder seinem Tätigkeitsfeld, kann Ziel einer Cyberattacke sein. Daher ist es wichtig, dass ein Unternehmen angemessene Datensicherheitsmassnahmen ergreift und einen Notfallplan implementiert. Hierzu gehört u.a. die Einführung und das Testen eines Notfallplans, die Investition in Datensicherheit, die Schulung von Mitarbeitenden und die Einhaltung der gesetzlichen und vertraglichen Pflichten. Ein wichtiger Aspekt des Notfallplans sind die gesetzlichen und vertraglichen Meldepflichten gegenüber Aufsichtsbehörden, betroffenen Personen und Kunden.

Da sich mittlere und grössere IT-Outsourcing-Übergänge über mehrere Monate oder auch Jahre – z.B. bei Grossrechenzentren der Banken oder der Automobilindustrie – hinziehen können, muss man zwischen physischen und logischen "Moves" differenzieren. Bei einem physischen Move werden sowohl der Rechner als auch die Datenhaltung, Programme etc. an den OSP übergeben. Bei einem logischen Move verbleibt die "alte Hardware" nach dem Übergang der Programme, Middleware, Daten etc. beim IT-Outsourcing-Kunden und wird in der Regel nicht mehr weiter genutzt.

Wurde die IT-Infrastruktur früher fast gänzlich selber betrieben und/oder betreut, ist heutzutage eine klare Tendenz zu einer Auslagerung dieser Tätigkeit zu erkennen. Gewisse Dienstleister haben bereits angekündigt, dass ihre «Offline-Versionen», sprich Versionen ihrer Software, welche lediglich lokal und frei von Abonnementsverträgen sind, nicht mehr lange angeboten werden. Die entsprechenden Kunden müssen in naher Zukunft den (teilweisen) Gang in die Cloud prüfen. Nachfolgend werden die wichtigsten datenschutzrechtlichen Themen in diesem Zusammenhang aufgezeigt, um eine konforme Cloud-Nutzung zu ermöglichen.

Nicht jede Bearbeitung von Personendaten erfordert die Einwilligung der betroffenen Person. Nur wenn eine Bearbeitungstätigkeit nicht anders gerechtfertigt werden kann, muss eine Einwilligung eingeholt werden. Damit die Einwilligung gültig ist, muss die betroffene Person zwingend vorgängig angemessen informiert werden. Der erforderliche Inhalt der Information hängt von den konkreten Umständen ab. Zudem muss die Einwilligung freiwillig erfolgen. Aus Beweisgründen sollte die Einwilligung dokumentiert werden, selbst wenn das Gesetz auch formlose Einwilligungen zulässt.

Kaum ein Unternehmen kommt heute um die Implementierung bestimmter Softwarelösungen herum. Insbesondere für ein effektives Marketing und Kundenmanagement verwenden die meisten Unternehmen Softwarelösungen. Diese Lösungen helfen besser und effektiver mit bestehenden und potenziellen Kunden zu kommunizieren. Die Auswahl und danach auch die Einbindung solcher Lösungen lösen allerdings einige rechtliche Fragen aus. Nun haben die meisten kleineren und mittleren Unternehmen aber keine Rechtsabteilung, welche sich um diese Fragen kümmern könnte und sicherstellt, dass das Unternehmen rechtmässig vorgeht.

In den Anfangsjahren der Vernetzung wurde der Fokus sicherlich eher auf Erweiterung der neuen, aufregenden Möglichkeiten und eine Steigerung der Performance gelegt – dass in der schönen, neuen Welt von LAN und WAN schnell auch böse Buben und Mädchen aufregende Möglichkeiten sahen, wurde anfänglich entweder ignoriert, übersehen oder als weniger wichtig bewertet.

Die Bearbeitung von Personaldaten ist nur soweit zulässig, als dies für das Arbeitsverhältnis erforderlich ist. Der Arbeitnehmer hat ein Einsichtsrecht in das Personaldossier und kann unrichtige Einträge berichtigen lassen.

Die digitale Welt eröffnet viele Chancen und revolutioniert unser Leben in vielen Bereichen. Das Gegenstück dazu bilden allerdings auch die IT-Risiken, welche zu einem (unerwarteten) Verlust führen können. Deshalb ist es immer wichtig, bei der Implementierung eines Projekts mögliche Risiken möglichst umfassend zu erkennen und diese adäquat einzuschätzen. Vor allem bei digitalen Projekten ist bei Markteinführung nicht klar, wohin der Weg führen wird und ob dem Projekt jemals Erfolg beschieden sein wird. Deshalb ist es wichtig, Risiken zu erkennen und die vorherrschende Risikokultur zu verstehen. Bei einem Risiko handelt es sich um ein unerwünschtes und unvorhersehbares Vorkommnis, das zu einem Verlust führen kann. Ebenso muss die eigene Risikoeinstellung definiert werden. Die Risikoeinstellung stellt das Verhalten des Risikoträgers im Umgang mit potentiellen Risken dar. Es werden risikoaverse Personen und risikofreudige Personen unterschieden.

Die Analogie zwischen Einbruchssicherungen Ihres Büros oder Firmengebäudes in Form von Sicherheitsschlössern, Wachdiensten, Alarmanlagen und so fort sowie den Sicherungsmassnahmen, die in einem lokalen Computernetzwerk eingesetzt oder eben nicht eingesetzt werden, veranschaulicht einen Schwachpunkt heute gängiger IT-Kommunikation. Auch in Zeiten von Firewalls, verschlüsselten Webseiten und gehärteten Serversystemen werden weite Bereiche der Datenübertragung nach wie vor nicht verschlüsselt und sind anfällig gegen Sniffing.

Dass Webseiten aus Gründen der Sicherheit vorzugsweise verschlüsselt aufgerufen werden sollten, hat sich inzwischen herumgesprochen. Trotzdem genügt es nicht, wenn Sie Ihren Webauftritt von http:// auf https:// umleiten – genau in dieser Umleitung lauert eine Sicherheitslücke, und zwar bedroht diese die PCs der Webseitenbesucher. Mit HSTS können Sie Ihre Webseite noch sicherer machen.

Die Digitalisierung hält in Personalabteilungen von KMU Einzug, mit dem Ziel, bestehende Prozesse effizienter und kostengünstiger zu machen. Gerade im Bewerbungsprozess besteht hierbei grosses Potenzial. Durch den digitalen Prozess können beispielsweise die Grundangaben zur Person standardisiert und vollständig erfasst werden. Zudem wird es Bewerbenden erspart, ihre Dokumente und Angaben in eine E-Mail zu verpacken. Die meisten digitalen Recruiting-Tools lassen sich einfach einbinden und nutzen. Sofern die rechtlichen Anforderungen geklärt wurden und insbesondere den datenschutzrechtlichen Risiken Beachtung geschenkt wurde, lässt sich der Bewerbungsprozess durch den Einsatz digitaler Tools somit einfacher und angenehmer gestalten.

Das revidierte Bundesgesetz über den Datenschutz ist am 1. September 2023 in Kraft getreten und bringt neue Dokumentationspflichten für Organisationen mit sich. Eine dieser Pflichten betrifft die mögliche Führung eines Verzeichnisses der Bearbeitungstätigkeiten, auch als "Bearbeitungsverzeichnis" bekannt. In diesem Verzeichnis sollen alle Datenbearbeitungen eines Unternehmens dokumentiert werden, um eine zentrale Dokumentation über die im Unternehmen vorhandenen Datenbearbeitungen zu schaffen. Der vorliegende Artikel erklärt, welche Informationen im Bearbeitungsverzeichnis enthalten sein müssen, wer zur Führung verpflichtet ist und wie es erstellt und gepflegt wird.

Nicht erst seit der Corona-Pandemie ist Arbeiten ausserhalb des Büroarbeitsplatzes angesagt. Vielmehr handelt es sich hierbei um eine schon länger anhaltende Entwicklung, die durch die zunehmende Vernetzung möglich wurde. Vor allem der Ausbau der Mobilfunknetze – Stichwort LTE und 5G – sowie die inzwischen weitreichende Verfügbarkeit leistungsfähiger Internetanschlüsse auch im Privatbereich haben der Entwicklung hin zu Homeoffice und somit ganz allgemein dem "mobilen Arbeiten" enormen Aufschub gegeben.

Die digitale Bedrohung in Form von Cyberangriffen wächst stetig. Vor allem Unternehmen sind im Visier der Hacker. Sei es Industriespionage, Diebstahl von Kundendaten, Sabotage oder ein politisch motivierter Angriff auf kritische Infrastruktur – Gründe für Cyberpiraterie gibt es viele. Umso wichtiger ist es, dass sich Unternehmen rechtzeitig schützen und die oftmals veralteten Systeme auf den neusten Stand bringen.

Früher oder später kommt der Zeitpunkt, an dem Sie Daten verschieben, löschen oder auslagern müssen. Bietet Daten-Deduplizierung eine nachhaltige Lösung für dieses Problem? Und was ist darunter überhaupt zu verstehen? Die Antworten auf diese Fragen finden Sie hier.

Mit der Revision des Datenschutzgesetzes gibt es für Verantwortliche auch eine neue Pflicht: die Erstellung einer Datenschutz-Folgenabschätzung (DSFA), «wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann». Mit der Revision wurde der risikobasierte Ansatz gestärkt, und die DSFA ist eines der Instrumente dazu. Wir zeigen, wie in einem solchen Fall vorzugehen ist.

Ist ein Arbeitnehmer krank bzw. verunfallt, oder wird das Arbeitsverhältnis beendet, so stellt sich die Arbeitgeberin meist die Frage, wie mit dem E-Mail-Account des Arbeitnehmers und dem Serverzugang umzugehen ist. Jedoch auch der Arbeitnehmer kann unsicher sein, was er mit der geschäftlichen Mailbox und dem Informatikzugang machen darf.

Cyber-Kriminelle werden immer gewiefter, und es sind vermehrt auch kleinere Unternehmen von Attacken betroffen. Erst teilweise digitalisierte Prozesse machen Treuhandunternehmen anfällig für Cyber-Angriffe. Welche Bedrohungen lauern und wie sich Treuhandunternehmen vor solchen schützen können, erfahren Sie in diesem Beitrag.

Der Titel dieses Beitrags mag dem einen etwas platt oder dem anderen blasphemisch oder grenzüberschreitend sein. Tatsache ist, dass die Angst vor dem Coronavirus (alias Covid-19) dem Arbeiten im Homeoffice einen unerwarteten und explosionshaften Aufschub gegeben hat. Wie gehen Sie als CEO, Geschäftsführer oder IT-Verantwortlicher mit der Datensicherheit im Homeoffice um?

Wenn Daten zwischen Behörden ausgetauscht werden, braucht es hierfür ebenfalls eine rechtliche Grundlage. Die Tatsache, dass die Behörden beim gleichen Staat bzw. bei der gleichen Gemeinde sind, ändert daran nichts. Der Datenaustausch zwischen Behörden wird deshalb in den Datenschutzgesetzen des Bundes und der Kantone ausdrücklich geregelt. Nachstehend wird der Datenaustausch des Bundes beleuchtet, wie er im revidierten Datenschutzgesetz (revDSG) geregelt ist.

VoIP-Telefonsysteme erleichtern den Arbeitsalltag und sind aus vielen Unternehmen nicht mehr wegzudenken. Dabei bietet die Internettelefonie gegenüber anderen Telefonanlagen zahlreiche Vorteile. Doch wo liegen eigentlich die Unterschiede zu anderen Telefonsystemen? Und vor allem: Lohnt sich ein Umstieg?

Auf dem Weg zur Konformität mit dem revidierten Datenschutzgesetz (revDSG) bildet die Aufdatierung von bestehenden oder der Entwurf von neuen Datenschutzerklärungen eine wichtige Aufgabe. Dabei liegt es meist auf der Hand, dass die datenschutzrechtliche Informationspflicht gegenüber Kunden oder Webseitenbesuchern erfüllt werden muss. In der Praxis geht die Datenschutzerklärung für Mitarbeitende jedoch oft vergessen, weil übersehen wird, dass auch Mitarbeitende betroffene Personen im Sinne des Datenschutzrechts sind.

Der IT-Dienstleistungsvertrag ist ein genereller Vertrag für ganz unterschiedliche Dienstleistungen im Bereich der Informatik. Er findet Einsatz in der Erstellung und dem Betrieb einer Homepage bis hin zur Verfügung stellen einer gesamten externen IT-Infrastruktur, so dass die Mitarbeiter lediglich noch über das Internet und einem Terminal verbunden sind (sogenannten Cloud-Lösungen). Dementsprechend enthalten IT-Dienstleistungsverträge ganz unterschiedliche Vertragsklauseln. Lesen Sie in diesem Beitrag mehr zum IT-Dienstleistungsvertrag.

Die Datenschutzverordnung (DSV), die am 01. September 2023 in Kraft treten wird, konkretisiert in den Artikeln 1-6 die Anforderungen an die Datensicherheit. Zu den technischen und organisatorischen Massnahmen zählt auch die Pflicht, unter gewissen Voraussetzungen ein Bearbeitungsreglement für automatisierte Bearbeitungen zu erstellen und dieses regelmässig zu aktualisieren. Diese Pflicht besteht bereits nach aktuell geltendem Datenschutzrecht, wurde jedoch mit der Revision (revDSG und DSV) angepasst. Dieser Artikel zeigt auf, wann gemäss revidiertem Datenschutzrecht ein solches Reglement erstellt werden muss und welche Herausforderungen dabei zu erwarten sind.