Tools, Know-how und Weiterbildung im Bereich Datenschutz und IT-Recht

Sogenannte Dashcams sind in der Schweiz zwar noch nicht flächendeckend verbreitet. Trotzdem sind sie im Strassenverkehr immer häufiger anzutreffen. Damit stellen sich auch aus datenschutzrechtlicher Sicht verschiedene Fragen, welche bis heute noch nicht verbindlich beantwortet sind. Dies verursacht bei den Nutzern bis heute eine grosse, auch rechtliche Unsicherheit.

Künftig muss jedes Unternehmen alle Personen, von denen es Personendaten beschafft, über die Rahmenbedingungen der Datenbearbeitung transparent informieren. Die Informationen sollen es den betroffenen Personen ermöglichen, ihre Rechte gemäss dem revidierten Datenschutzgesetz (revDSG) geltend zu machen. Dafür müssen ihnen zumindest die im Gesetz vorgesehenen Mindestinformationen zugänglich gemacht werden. Aufgrund dessen haben viele Unternehmen bereits ihre bestehenden Datenschutzerklärungen aktualisiert, oder sind gerade dabei. Vielen ist dabei jedoch nicht bewusst, dass aufgrund der Revision tatsächlich über die Beschaffung aller Personendaten informiert werden muss, was auch die Beschaffung der Personendaten der eigenen Mitarbeitenden oder von Bewerbenden betrifft. Im Folgenden wird erläutert, was bei der praktischen Umsetzung zu beachten ist und welche Ausnahmen von dieser Informationspflicht bestehen.

Software Escrow ist eine Sicherheitshinterlegung des Sourcecodes und der dazugehörigen Dokumentation bei einem Escrow-Agenten durch den Software-Entwickler. Bei Eintritt bestimmter Ereignisse übergibt der Agent den Sourcecode an den Anwender.

Die Sicherheit von IT-Systemen ist ein wichtiges Thema und sollte nicht auf die leichte Schulter genommen werden. Ein sogenannter Pentest kann helfen, potenzielle Schwachstellen aufzudecken und diese dann zu beheben, bevor sie von Cyberkriminellen ausgenutzt werden können.

Mit der Totalrevision des Datenschutzgesetzes (revDSG) wurde nun auch die Rolle eines Datenschutzberaters (häufig auch DPO genannt) in die Schweizer Gesetzgebung aufgenommen. Welche Konsequenzen resultieren daraus für Schweizer Unternehmen? Und inwiefern unterscheiden sich die Rollen des Data Protection Officers (DPO) resp. Datenschutzberaters nach Schweizer und EU-Recht?

Eine Überwachung der Arbeitnehmer zur systematischen Leistungskontrolle ist verboten (Art. 26 ArGV3). Hingegen ist eine auf rein technische oder sachliche Kriterien begrenzte Kontrolle ohne Bezug zur Person des Arbeitnehmers ohne Einschränkung zulässig (zum Beispiel Netzwerkauslastung, Überwachung Verkaufsräume etc.).

In den letzten Jahren hat die Arbeit im Home-Office einen enormen Popularitätsschub erhalten. Nun zeigt sich, dass viele Unternehmer ebenfalls die Vorteile davon erkannt haben und ihre Belegschaft deshalb weiterhin zum Teil oder vollständig von zuhause arbeiten lassen. Ein wichtiges Thema ist und bleibt dabei jedoch die Sicherheit im Umgang mit den teils hochsensiblen Daten. Vor allem, weil viele der beruflichen Transaktionen auch auf mobilen Endgeräten stattfinden. Die Unternehmer sind gut beraten, intensiv daran zu arbeiten, die sich dadurch öffnenden Sicherheitslücken bestmöglich zu schließen.

Was müssen Arbeitgebende resp. Stellenausschreibende datenschutzrechtlich beachten, wenn sie Lösungen von Drittdienstleistern für Onlinebewerbungen einsetzen? Gemeint ist damit konkret die Verwendung von Drittsoftware, welche die Administrierung von Online-Bewerbungen vereinfacht und digitalisiert (sog. E-Recruiting-, SaaS-Recruiting- oder Bewerbermanagement-Software).

Heute wollen wir mal ein wenig Typenkunde betreiben - welcher Typ sind Sie? Wer von uns kennt nicht diese Ansprachen aus Werbemitteilungen - in diesem Fall geht es aber um Ihr heimisches oder Unternehmensnetzwerk. Und da geht es um eine Begrifflichkeit, die in vielerlei Hinsicht erstaunlich ist - genauer gesagt um die unterschiedlichen NAT-Typen. Sie wissen nicht, was das ist, weil es doch nur NAT oder nicht-NAT gibt? Dann lesen Sie weiter und bleiben Sie gespannt!

Private Unternehmen oder Personen dürfen nicht eigenmächtig nach IP-Adressen forschen, wenn sie Beweismittel für einen Zivilprozess benötigen. IP-Adressen gelten nach Bundesgericht als Personendaten und für sie gilt das Datenschutzrecht. Firma X forschte im Auftrag von Urheberrechtsinhabern in Peer-to-Peer-Netzwerken nach IP-Adressen von Personen, die illegal urheberrechtsgeschützte Dateien zum Tausch anbieten. Das wird immer wieder ohne Lizenz der Urheber betrieben und natürlich werden die Dateien oft auf illegalem Weg und ohne eine Zahlung an die Urheber beschafft.

Trotz teilweise teurer Antivirenlösungen, die aufwendig zu installieren, einzurichten und zu warten sind, kommt es auf PCs und Servern immer noch zu Malwarebefall. Gerade die berüchtigten Verschlüsselungstrojaner (Stichwort Ransomware) legen auch im Jahre 2022 so manches System schneller lahm, als die Admins auf "3!" zählen können. Ist die klassische AV (Antivirensoftware) wirkungslos?

Mit zunehmender Digitalisierung und Globalisierung werden alternative Telefon-Lösungen immer gefragter. Auch die sich verändernde Arbeitskultur, sei es Homeoffice oder der Freelancer, der neben dem Job die Welt bereist, lassen die alten klassischen Telefone wie ein Relikt aus längst vergangenen Tagen erscheinen. Aufgrund dieser vielen Veränderungen in der Arbeits- und Geschäftswelt, werden Softphones immer beliebter.

Die DSGVO als einheitliche Verordnung für EU-Länder und Länder, in denen Daten von EU-Bürgern gesammelt und verarbeitet werden, regelt die Handhabung personenbezogener Daten im Geltungsbereich - mithin der EU. Seit dem 25. Mai 2018 gilt diese Verordnung unmittelbar für alle EU-Länder, aber sofern wir Dienstleistungs- und Warenaustausch mit solchen Ländern betreiben, gelten die Bestimmungen der DSGVO eben auch für Schweizer Unternehmer. Und Hand aufs Herz: wer täte das nicht?

Die Konzeptionen Privacy by Design und Privacy by Default wurden mit der DSGVO im EU-Raum für die Verarbeitung von Personendaten zu verbindlichem Recht. Mit dem neuen Datenschutzgesetz müssen die Prinzipien nun auch in der Schweiz beachtet werden.

Wer an Virtualisierung denkt, wird an VMWare vSphere und Microsoft Hyper-V denken. Es gibt aber Lösungen wie Xen und KVM, für die es durchaus lohnt, einmal über den Tellerrand zu schauen. Und mit XCP-NG tritt ein Newcomer an, dem altehrwürdigen Xen zu neuem Glanz zu verhelfen.

Sicherheitslücken im Exchange-Server, fehlerhafte Updates, die weltweit Tausende von Druckern und PCs lahmlegen - in den letzten Wochen stand der Softwaregigant Microsoft eher schlecht da. Kann man sich derzeit überhaupt noch auf Windows-Clients und -Server verlassen? Und welche Alternativen gibt es?

Locken nach einem langen und trüben Winter die ersten Sonnerstrahlen und die aufblühende Pracht der Natur auch Sie von Ihrem PC-Arbeitsplatz weg und hinaus ins Grüne? Dafür hat sicher Jede und Jeder Verständnis - aber vergessen Sie darüber nicht, auch Ihren IT-Systemen eine "Frühjahrskur" zu gönnen: denn Schadsoftware und Cyberkriminalität sind leider ganzjährig aktiv. Zeit für eine "Aktion Frühjahrsputz"!

Korrekt gespeicherte Daten können entscheidend sein in einem Prozess. Eine Studie von Symantec zeigt, dass viele Anwälte Probleme bekommen, weil sie wichtige elektronische Archivierungen zur Beweisführung überhaupt nicht oder nicht fristgerecht vorlegen können. Im Rahmen der so genannten E-Discovery-Studie von Symantec wurden im August 2010 insgesamt rund 5000 Anwälte in Frankreich, Deutschland, Italien, den Niederlanden, Südafrika, Spanien, Schweden, der Schweiz, Grossbritannien und den Vereinigten Arabischen Emiraten befragt.

Nach Rechtskraft der Datenschutz-Grundverordnung Ende Mai 2018 haben die Aufsichtsbehörden mit der Durchsetzung der Datenschutz-Grundverordnung («DSGVO») begonnen und haben diverse Verstösse gegen die DSGVO sanktioniert. Nachfolgender Beitrag gibt einen Überblick über verschiedene Verstösse gegen die DSGVO. Diese Übersicht sowie weitere Urteile und Vorlagen zum Datenschutz finden Sie in der Online-Lösung «Datenschutz kompakt».

Hohe Datenschutzanforderungen in Europa und bald auch in der Schweiz: Erhöhte Informations- und Meldepflichten bei Datenschutzverletzungen erfordern ein rasches Handeln. Bei Verletzungen drohen Bussen für Mitarbeiter und Reputationsrisiken. Handlungsbedarf besteht deshalb in juristischer, IT- und Prozesssicht für alle Unternehmen.

Aktuelle und ehemalige Mitarbeitende können ihre datenschutzrechtlichen Betroffenenrechte gegenüber dem Arbeitgeber geltend machen. Für Unternehmen ist es deshalb empfehlenswert, interne Prozesse aufzusetzen und Verantwortlichkeiten festzulegen, damit sie vorbereitet sind, um ihren Pflichten gesetzeskonform und fristgerecht nachzukommen. Dieser Beitrag soll Unternehmen aufzeigen, was sich betreffend das Auskunfts-, das Berichtigungs- und das Löschrecht von Mitarbeiterdaten mit dem revidierten DSG ändert. Zudem werden praxisbezogenen Hinweise und Empfehlungen zur Umsetzung dieser Betroffenenrechte gegeben.

Sowohl das revidierte Datenschutzgesetz als auch die Datenschutz-Grundverordnung (DSGVO) sehen vor, dass Personendaten gelöscht werden müssen, wenn sie nicht mehr verarbeitet werden. Im Bereich des Records Managements gilt dies schon lange. Gibt es hier Gemeinsamkeiten bzw. Prozesse, die sich nun auch für die Löschung von Personendaten anwenden lassen?

Während das IT Asset Management alle IT-Assets wie Hard- und Software, Lizenzen, IT-relevante Verträge und so weiter in einer Organisation umfasst, beschreibt das "Asset Lifecycle Management" die Planung, Steuerung und Kontrolle des gesamten Lebenszyklusses der Assets.

Die Relevanz des CLOUD Acts ist in der Öffentlichkeit umstritten. Mit dem «Schrems II»-Entscheid wird die Frage einer Datenbearbeitung in Europa wieder aktueller. Ob der CLOUD Act bei der Wahl eines europäischen Angebots eines US-Providers beeinflussen soll, wird im Folgenden näher beleuchtet.

Sensible und vertrauliche Daten von Unternehmen müssen besonders gut geschützt werden, um nicht Ziel von Hackern und Cyber-Kriminalität zu werden. Noch wichtiger zeigt sich die Notwendigkeit derzeit mit dem situationsbedingten Arbeitsmodell der Heimarbeit. Mitarbeiter müssen auch im Home-Office auf die Unternehmensnetzwerke zugreifen können, um überhaupt ihrer Arbeit nachgehen zu können. Hier kommt der Einsatz von Virtual Private Network (VPN) ins Spiel. Ein Virtual Private Network verschlüsselt den Datenverkehr, wodurch sich Informationen schwerer hacken lassen. So können Angestellte standortunabhängig sicher auf Unternehmensdaten zugreifen.

Im Zeitalter der Digitalisierung ist es sinnvoll – ja sogar ein MUSS – dass die Archivierung von Daten und Belegen papierlos erfolgt. Mit dem Schritt in die papierlose Zukunft lassen sich Effizienzsteigerungen und somit Kosteneinsparungen für Unternehmungen erzielen. Damit eine elektronische Archivierung aber gesetzeskonform erfolgt, sind einige Herausforderungen zu meistern.

Das Schweizer Datenschutzgesetz (DSG) stammt aus einer Zeit, in der wir noch über viel weniger technologische Möglichkeiten verfügten. Entsprechend überholt ist der Inhalt des DSG. Die aktuell laufende Totalrevision des DSG ist dabei die einzig logische Konsequenz. Dies nicht nur, um den technischen Entwicklungen Rechnung zu tragen, sondern insbesondere auch um mit den modernisierten Vorschriften der EU Schritt zu halten.

Verantwortlich für die Einhaltung des Datenschutzes ist neuerdings gemäss Europäischer Datenschutz-Grundverordnung (EU-DSGVO) nicht nur das Unternehmen als Verantwortlicher der Daten, sondern es sind dies auch alle Auftragnehmer, die im Auftrag des Verantwortlichen dessen Daten bearbeiten. Eine Checkliste zum Inhalt des Auftragsdatenverarbeitungsvertrags (ADV) finden Sie am Schluss dieses Beitrages.

Die DSGVO gilt gemäss Art. 88 uneingeschränkt auch für den Arbeitnehmerdatenschutz, verzichtet jedoch auf eine detaillierte Regelung. Sie enthält eine Öffnungsklausel, die es den Mitgliedsländern erlaubt, den Beschäftigtendatenschutz weitergehend in den nationalen Gesetzgebungen zu regeln. Zusätzlich können Fragen des Beschäftigtendatenschutzes auch in Kollektivvereinbarungen geregelt werden, dazu gehören auch Betriebsvereinbarungen mit dem Betriebsrat.

Dienstleistungsverträge im IT-Bereich treten in verschiedenen Formen auf wie beispielsweise Cloud-Verträge, IT-Beratungsverträge, agile Software-Entwicklungsverträge, Wartungsverträge etc. Sie können rechtlich unter das Auftrags- oder das Werkvertragsrecht fallen und enthalten darüber hinaus fast immer Elemente weiterer Innominatverträge.

E-Mail Marketing ist eine effiziente und kostengünstige Werbemethode. Aufgrund von vielen E-Mail Anfragen in den vergangenen Monaten, die entweder eine Einwilligung zur Datenbearbeitung und zum Versand von elektronischen Newslettern beinhalteten oder teilweise auch nur darüber informierten besteht eine Unsicherheit, in welcher Form E-Mail Marketing rechtlich zulässig ist. Die Zustellung von elektronischen Werbe-E-Mails ist nur zulässig, wenn eine Einwilligung der betroffenen Person vorliegt oder der Werbende in einem Auftraggeberverhältnis zur betroffenen Person steht und die E-Mail-Adresse von dieser erhalten hat. Bestehende Einwilligungen von E-Mail-Empfängern müssen grundsätzlich nicht neu eingeholt werden, der Absender ist aber für das Vorliegen der Einwilligung beweispflichtig. Erneuerungsmails sind in den meisten Fällen nicht notwendig, sondern eher kontraproduktiv.

Seit dem 25. Mai 2018 gilt die EU-Datenschutz-Grundverordnung (EU-DSGVO), auch bekannt unter ihrer englischen Bezeichnung General Data Protection Regulation (GDPR). Die EU hat in Art. 3 Abs. 2 EU-DSGVO das sog. Marktortprinzip verankert. Dies bedeutet, dass das EU-Datenschutzrecht immer dann zur Anwendung kommt, wenn personenbezogene Daten von Personen bearbeitet werden, die sich in der EU befinden, auch wenn das bearbeitende Unternehmen selbst keinen Sitz in der EU hat, sich aber entweder mit dem Angebot von Waren oder Dienstleistungen an Kunden in der EU richtet oder das Verhalten von Personen in der EU beobachtet wird.

In einer Zeit, in der sich die technische Kommunikation rasant weiterentwickelt, stellen sich immer wieder neue rechtliche Fragen im Zusammenhang mit der Nutzung von Kommunikationsmitteln. Darf ein Arbeitnehmer beispielsweise während der Arbeitszeit private E-Mails versenden? Ist die Überwachung des Surfverhaltens von Mitarbeitern zulässig? Darf eine Mitarbeiterin per Video kontrolliert werden? Erfahren Sie in unserem Beitrag «Datenschutz im Arbeitsverhältnis» mehr darüber.