Tools, Know-how und Weiterbildung im Bereich Datenschutz und IT-Recht

Jedes Unternehmen, unabhängig von seiner Grösse oder seinem Tätigkeitsfeld, kann Ziel einer Cyberattacke sein. Daher ist es wichtig, dass ein Unternehmen angemessene Datensicherheitsmassnahmen ergreift und einen Notfallplan implementiert. Hierzu gehört u.a. die Einführung und das Testen eines Notfallplans, die Investition in Datensicherheit, die Schulung von Mitarbeitenden und die Einhaltung der gesetzlichen und vertraglichen Pflichten. Ein wichtiger Aspekt des Notfallplans sind die gesetzlichen und vertraglichen Meldepflichten gegenüber Aufsichtsbehörden, betroffenen Personen und Kunden.

Wurde die IT-Infrastruktur früher fast gänzlich selber betrieben und/oder betreut, ist heutzutage eine klare Tendenz zu einer Auslagerung dieser Tätigkeit zu erkennen. Gewisse Dienstleister haben bereits angekündigt, dass ihre «Offline-Versionen», sprich Versionen ihrer Software, welche lediglich lokal und frei von Abonnementsverträgen sind, nicht mehr lange angeboten werden. Die entsprechenden Kunden müssen in naher Zukunft den (teilweisen) Gang in die Cloud prüfen. Nachfolgend werden die wichtigsten datenschutzrechtlichen Themen in diesem Zusammenhang aufgezeigt, um eine konforme Cloud-Nutzung zu ermöglichen.

Rund um die Datenschutzerklärung für Mitarbeitende bestehen viele Unsicherheiten und datenschutzrechtliche Mythen, welche weit verbreitet sind und sich hartnäckig halten. Eine dieser Unsicherheiten besteht bei der Frage, ob es aus rechtlicher Sicht ausreicht, wenn die Datenschutzerklärung den Mitarbeitenden zur Einsicht zur Verfügung gestellt wird, oder ob diese unterzeichnet werden muss. Dieser Frage gehen wir in diesem Beitrag nach.

Cyberrisiken gehören regelmässig zu den grössten Gefahren für Unternehmen und deren Informationssicherheit. Bereits eine kleine Unachtsamkeit kann verheerende Schäden anrichten oder gar zur Insolvenz führen. Die Frage ist nicht ob, sondern wann man angegriffen wird. Der Umgang mit diesen Risiken kann nicht auf eine rein technische Herausforderung reduziert werden. Es ist ein ganzheitlicher Ansatz erforderlich.

Der Trend zur Auslagerung oder Erweiterung von IT-Ressourcen in so genannte Cloudlösungen ist auch 2025 ungebrochen. Als „Cloud“ wird dabei heutzutage auch so manche Speicherlösung von QNAP, Synology und so weiter bezeichnet. Dabei handelt es sich aber nicht um eine „Cloud“ im engeren Sinne. Ebenso betreiben manche Unternehmen zentrale Lösungen für Kalender, Kontakte und weitere Ressourcen wie Dateifreigaben. Einer der prominenten Vertreter einer solchen softwarebasierten Groupware-Lösung ist OwnCloud beziehungsweise dessen Abspaltung Nextcloud.

Die digitale Welt eröffnet viele Chancen und revolutioniert unser Leben in vielen Bereichen. Das Gegenstück dazu bilden allerdings auch die IT-Risiken, welche zu einem (unerwarteten) Verlust führen können. Deshalb ist es immer wichtig, bei der Implementierung eines Projekts mögliche Risiken möglichst umfassend zu erkennen und diese adäquat einzuschätzen. Vor allem bei digitalen Projekten ist bei Markteinführung nicht klar, wohin der Weg führen wird und ob dem Projekt jemals Erfolg beschieden sein wird. Deshalb ist es wichtig, Risiken zu erkennen und die vorherrschende Risikokultur zu verstehen. Bei einem Risiko handelt es sich um ein unerwünschtes und unvorhersehbares Vorkommnis, das zu einem Verlust führen kann. Ebenso muss die eigene Risikoeinstellung definiert werden. Die Risikoeinstellung stellt das Verhalten des Risikoträgers im Umgang mit potentiellen Risken dar. Es werden risikoaverse Personen und risikofreudige Personen unterschieden.

IT-Systeme werden immer wichtiger und auch durch eine zunehmende Verlagerung in die sogenannte „Cloud“ nicht weniger komplex, eher im Gegenteil. Wer sich im Alltag seines Unternehmens oder seiner Institution wie selbstverständlich der E-Mail-, Daten-, Web- und sonstigen Server bedient, übersieht nur zu leicht, was einen mindestens ebenso grossen Stellenwert einnimmt wie die Systeme an sich. Wenn die Projekte erst einmal eingerichtet sind und funktionieren, wird das schriftliche Festhalten des angesammelten Know-hows, die IT-Dokumentation, übersehen, vergessen oder einfach aus Bequemlichkeit vermieden. Das kann sich aber irgendwann als fatal erweisen.

Ist ein Arbeitnehmer krank bzw. verunfallt, oder wird das Arbeitsverhältnis beendet, so stellt sich die Arbeitgeberin meist die Frage, wie mit dem E-Mail-Account des Arbeitnehmers und dem Serverzugang umzugehen ist. Jedoch auch der Arbeitnehmer kann unsicher sein, was er mit der geschäftlichen Mailbox und dem Informatikzugang machen darf.

In diesem Beitrag erfahren Sie mehr über das Thema BYOD und COPE. Unabhängig davon, ob Unternehmen ihren Mitarbeitenden erlauben, private mobile Endgeräte wie Smartphones, Tablets oder Laptops im Arbeitsbereich einzusetzen, oder ob sie konzerneigene Devices für die private Nutzung freigeben: Beide Modelle weisen Sicherheitsrisiken sowie arbeits- und datenschutzrechtliche Fragen auf. Der nutzbringende Einsatz von Bring Your Own Device oder Corporate Owned, Personally Enabled für alle Beteiligten bedingt daher die Umsetzung zahlreicher einschlägiger rechtlicher, technischer und organisatorischer Massnahmen.

Das revidierte Bundesgesetz über den Datenschutz ist am 1. September 2023 in Kraft getreten und bringt neue Dokumentationspflichten für Organisationen mit sich. Eine dieser Pflichten betrifft die mögliche Führung eines Verzeichnisses der Bearbeitungstätigkeiten, auch als "Bearbeitungsverzeichnis" bekannt. In diesem Verzeichnis sollen alle Datenbearbeitungen eines Unternehmens dokumentiert werden, um eine zentrale Dokumentation über die im Unternehmen vorhandenen Datenbearbeitungen zu schaffen. Der vorliegende Artikel erklärt, welche Informationen im Bearbeitungsverzeichnis enthalten sein müssen, wer zur Führung verpflichtet ist und wie es erstellt und gepflegt wird.

Im Rahmen eines Arbeitsverhältnisses bearbeitet der Arbeitgeber diverse Daten seiner Mitarbeitenden. Ob und wie lange diese HR-Daten aufbewahrt werden dürfen oder sogar müssen, ist jedoch oft unklar und nicht immer einfach zu bestimmen.

Ab einer gewissen Grösse einer Organisation ist es nicht mehr möglich, die Vorgaben und Vorgehensweisen bei Fragen der IT Security nur in den Köpfen der Verantwortlichen aus Management und Administration zu belassen – es muss ein schriftlich ausgearbeitetes Konzept in Form eines Sicherheitskonzepts her.

Das Gespann Outlook mit Exchange ist sicher die führende Lösung für eine sogenannte Groupware, vor allem in mittelständischen Büros. Nicht jeder hat aber die finanziellen oder persönlichen Möglichkeiten für einen eigenen Exchange-Server. Wie man trotzdem (fast) genau so arbeiten könnte, als habe man einen solchen Server, wollen wir Ihnen heute einmal aufzeigen.

Das alte Sprichwort "Von der Wiege bis zur Bahre - Formulare, Formulare" kann heutzutage gegen "Passwörter, Passwörter" ausgetauscht werden. Aber ist diese Art der Authentifizierung überhaupt noch zeitgemäss? Ist ein Passwort heutzutage "out" - und welche Alternativen gäbe es dann?

Die meisten Webseiten setzen Analyse-Tools wie Google Analytics ein. Oft werden die Tools von den Webentwicklern standardmässig in die Webseite eingebaut, ohne dass die webseitenbetreibenden Unternehmen die Tools aktiv nutzen oder gar davon wissen. Dabei bestehen gerade beim Einsatz von solchen Tools datenschutzrechtliche Risiken. Um diesen Risiken entgegenzuwirken, ist eine sorgfältige Auswahl der Analyse-Tools, deren technische Einstellung sowie die Schaffung der rechtlichen Grundlagen für deren Nutzung entscheidend.

Das Auskunftsrecht begründet zusammen mit den Informationspflichten des Verantwortlichen den Transparenzgrundsatz im Datenschutz. Das Auskunftsrecht ist in Art. 25 ff. des neuen Datenschutzgesetzes (DSG) und in Artikel 16 ff. der entsprechenden neuen Datenschutzverordnung (DSV) geregelt. Es ist das wichtigste Instrument im Datenschutz, weshalb es im DSG zu Beginn der den betroffenen Personen eingeräumte Rechte steht. Das Auskunftsrecht dient in erster Linie dem Schutz der Persönlichkeit und der Grundrechte der Personen, von denen Personendaten bearbeitet werden.

Da sich mittlere und grössere IT-Outsourcing-Übergänge über mehrere Monate oder auch Jahre – z.B. bei Grossrechenzentren der Banken oder der Automobilindustrie – hinziehen können, muss man zwischen physischen und logischen "Moves" differenzieren. Bei einem physischen Move werden sowohl der Rechner als auch die Datenhaltung, Programme etc. an den OSP übergeben. Bei einem logischen Move verbleibt die "alte Hardware" nach dem Übergang der Programme, Middleware, Daten etc. beim IT-Outsourcing-Kunden und wird in der Regel nicht mehr weiter genutzt. Mehr zum Thema IT-Outsourcing erfahren Sie in diesem Beitrag.

Nicht jede Bearbeitung von Personendaten erfordert die Einwilligung der betroffenen Person. Nur wenn eine Bearbeitungstätigkeit nicht anders gerechtfertigt werden kann, muss eine Einwilligung eingeholt werden. Damit die Einwilligung gültig ist, muss die betroffene Person zwingend vorgängig angemessen informiert werden. Der erforderliche Inhalt der Information hängt von den konkreten Umständen ab. Zudem muss die Einwilligung freiwillig erfolgen. Aus Beweisgründen sollte die Einwilligung dokumentiert werden, selbst wenn das Gesetz auch formlose Einwilligungen zulässt.

Es wurde bereits oft wiederholt, aber die Daten von Unternehmen haben einen extrem hohen Wert für die Aufrechterhaltung ihrer Geschäftstätigkeit erlangt. Daher ist es wichtig, die Risiken zu identifizieren, die mit ihrer Verarbeitung verbunden sind, insbesondere wenn sie in die Cloud verlagert werden, um dann entsprechend verwalten zu können und die Datensicherheit zu gewährleisten.

Der IT-Wartungsvertrag wird für eine breite Palette von Verträgen verwendet, in welchen ein Service (vorwiegend im Bereich IT) erbracht wird. Lesen Sie in diesem Beitrag mehr zum IT-Wartungsvertrag.

Mit der Revision des Datenschutzgesetzes gibt es für Verantwortliche auch eine neue Pflicht: die Erstellung einer Datenschutz-Folgenabschätzung (DSFA), «wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann». Mit der Revision wurde der risikobasierte Ansatz gestärkt, und die DSFA ist eines der Instrumente dazu. Wir zeigen, wie in einem solchen Fall vorzugehen ist.

Die Digitalisierung hält in Personalabteilungen von KMU Einzug, mit dem Ziel, bestehende Prozesse effizienter und kostengünstiger zu machen durch Digitale Recruiting-Tools. Gerade im Bewerbungsprozess besteht hierbei grosses Potenzial. Durch den digitalen Prozess können beispielsweise die Grundangaben zur Person standardisiert und vollständig erfasst werden. Zudem wird es Bewerbenden erspart, ihre Dokumente und Angaben in eine E-Mail zu verpacken. Die meisten digitalen Recruiting-Tools lassen sich einfach einbinden und nutzen. Sofern die rechtlichen Anforderungen geklärt wurden und insbesondere den datenschutzrechtlichen Risiken Beachtung geschenkt wurde, lässt sich der Bewerbungsprozess durch den Einsatz digitaler Tools somit einfacher und angenehmer gestalten.

Apps gibt es mittlerweile für fast alles: zur Kommunikation (WhatsApp), Unterhaltung (Quiz-Apps) oder Erleichterung von alltäglichen Tasks (Google-Maps). Kaum einer weiss vermutlich, wie viele Apps er oder sie denn täglich nutzt. Der Begriff App (Kurzform von engl. «Application») bezieht sich eigentlich auf jede Art von Anwendungssoftware. Im deutschsprachigen Raum werden darunter aber meist mobile Anwendungssoftwares für Smartphones und Tabletts verstanden, auf welche sich auch der vorliegende Beitrag bezieht. Gegenstand eines App-Entwicklungsvertrags sind die Planung, Erstellung und Lieferung der Software mit den vereinbarten Funktionen sowie der Vertrieb an Dritte auf den zwischen den Parteien vereinbarten Plattformen.

Es ist schon eine verrückte Welt in der IT: da laufen Gaming-PCs zu ständig neuen Hochleistungen auf, während in vielen Serverräumen und Rechenzentren noch betagte Systeme mit in die Jahre gekommenen Prozessoren und Festplatten vor sich hin werkeln. Gleichzeitig bekommt man kaum noch einen Büro-PC, der nicht wenigstens mit einem i3-Prozessor und 8 Gigabyte RAM ausgestattet ist. Da kommt so mancher Admin und IT-Verantwortliche schon ins Grübeln - tut es bei der nächsten Serveranschaffung vielleicht ein etwas besser ausgestatteter Gaming-PC?

Wenn Daten zwischen Behörden ausgetauscht werden, braucht es hierfür ebenfalls eine rechtliche Grundlage. Die Tatsache, dass die Behörden beim gleichen Staat bzw. bei der gleichen Gemeinde sind, ändert daran nichts. Der Datenaustausch zwischen Behörden wird deshalb in den Datenschutzgesetzen des Bundes und der Kantone ausdrücklich geregelt. Nachstehend wird der Datenaustausch des Bundes beleuchtet, wie er im revidierten Datenschutzgesetz (revDSG) geregelt ist.

Für kleine und mittlere Unternehmen ist es von sehr grosser Bedeutung zur Unterstützung ihrer internen betrieblichen Abläufe, zur Bereitstellung ihrer Dienstleistungen oder Produkte oder für das Marketing auf externe Service-Provider zugreifen zu können. Nun befinden sich aber viele solcher Dienstleister im Ausland. Sind Personendaten bei der Inanspruchnahme einer solchen Dienstleistung betroffen, so sind die datenschutzrechtlichen Regeln zur sog. Auftragsbearbeitung und zum Transfer von Personendaten ins Ausland zu beachten. Dieser Beitrag soll eine praxisnahe Hilfestellung für solche Situationen sein.

Am 1. September 2023 sind das neue Datenschutzgesetz (im Folgenden: DSG) und seine Ausführungsbestimmungen in Kraft getreten. In diesem Zusammenhang sind einige Änderungen in Bezug auf das Auskunftsrecht des Arbeitnehmers eingeführt worden, welche im Folgenden mit einigen Empfehlungen zu den von der Arbeitgeberin einzuführenden Massnahmen erläutert werden.

Komplexe IT-Projekte mit ungenügender Rollenverteilung und schlechtem Projektmanagement sind zum Scheitern verurteilt. IT-Projekte, bei denen zu Beginn keine Detailspezifikationen und keine konkreten Umschreibungen der verlangten Leistungen und Funktionen bestehen, bedürfen besonderer Aufmerksamkeit. In diesem Umfeld agiler Software- und Produktentwicklung kann auch die Methode SCRUM eingesetzt werden.

Im Rahmen der Totalrevision des Schweizer Datenschutzrechts wurden die Straftatbestände erheblich ausgeweitet. Das betrifft auch die Verletzung der beruflichen Schweigepflicht: Der Geheimnisschutz erstreckt sich neu auf sämtliche Arten von Personendaten. Gemäss Bundesrat sollte mit dieser Ausweitung dem Umstand Rechnung getragen werden, dass heute angesichts der weiterentwickelten Informations- und Kommunikationstechnologie massiv mehr Daten erhoben werden. Welches Verhalten ist konkret strafbar und was gilt es bei einem Verdacht auf eine Straftat aus Unternehmenssicht zu tun?

In vielen Zeitungen und auf den Sozialen Medien liest man im Moment über die Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz) und zur Änderung bestimmter Rechtsakte der Union (nachstehend «AI Act») und deren weitreichende Auswirkung auf alle in Europa aktiven Unternehmen. Regelmässig wird dabei auf die Kategorisierung von verschiedenen KI-Systemen eingegangen, doch welche konkreten Pflichten sich durch eine Unterstellung ergeben, wir oft nicht erläutert. Eine der Pflichten, die sich aus dem AI Act ergeben, ist jene der Pflicht zur Transparenz. Was dies für Ihr Unternehmen bedeutet und wie Sie diese Transparenzpflichten umsetzen können, lesen Sie nachstehend.

In einer Welt, die von zunehmender Unsicherheit und schnellem technologischen Fortschritt geprägt ist, wird effektives Risikomanagement für Unternehmen immer wichtiger. Welche Chancen und Gefahren sich im Zusammenhang mit künstlicher Intelligenz ergeben und welches Potenzial sich im Bereich Risikomanagement selbst durch die neue Technologie und KI-Anwendungen eröffnet, soll dieser Artikel beleuchten.

Viele Unternehmen evaluieren zurzeit verschiedene KI-Tools, um diese einzusetzen. Dabei wird der Fokus vermehrt auf die Prüfung des Anbieters gelenkt. Dieser wird aus verschiedenen rechtlichen Perspektiven, wie beispielsweise dem Datenschutzrecht, der Datensicherheit oder dem Urheberrecht, durchleuchtet. An die interne Regelung und Schulung im Umgang mit solchen Tools wird oft erst nachgelagert gedacht. Doch auch intern sollten Unternehmen gewisse Regelungen festhalten und die Mitarbeitenden entsprechend schulen, um die bestehenden Risiken beim Einsatz von KI-Tools auf ein annehmbares Mass zu reduzieren.

In diesem Beitrag erfahren Sie mehr über das Thema Datenschutz Schweiz. Die Bearbeitung von Personaldaten ist nur soweit zulässig, als dies für das Arbeitsverhältnis erforderlich ist. Der Arbeitnehmer hat ein Einsichtsrecht in das Personaldossier und kann unrichtige Einträge berichtigen lassen.

Seit vielen Jahren bieten Unternehmen Lösungen auf der Basis künstlicher Intelligenz (KI) an (KI-Lösungen) und nutzen sie, um etwa Vorhersagen zu treffen und die Entscheidungsfindung zu automatisieren. Dennoch scheint es, als sei KI erst Ende 2022 aus dem Nichts aufgetaucht, um die Welt im Sturm zu erobern. Generative Lösungen der künstlichen Intelligenz («Gen-KI»), die relativ neu sind, haben die Dynamik völlig verändert. Sie erzeugen kreative Ergebnisse wie Text, Softwarecode, Bilder, Musik und Videos («Output») als Reaktion auf Benutzeranweisungen («Prompts»). Ein Ergebnis dieser neuen Welle der Gen-KI-Begeisterung ist die Zunahme von Unternehmen bzw. Einzelpersonen, die Verträge über die Nutzung und Bereitstellung von Gen-KI abschliessen. Diese Verträge können in Form allgemeiner Geschäftsbedingungen (AGB) oder ausgehandelter, komplexer Verträge abgeschlossen werden.

Ob Texte , Bilder oder Videos – Anwendungen generativer künstlicher Intelligenz ("GenAI") erfreuen sich grosser Beliebtheit. Die Möglichkeiten scheinen endlos. Entsprechend gross ist die Versuchung, derartige Tools auch im Unternehmen zu nutzen. Beim Einsatz neuer Tools im Unternehmen stellen sich jeweils mehrere rechtliche Fragen. Nachfolgend werden urheberrechtliche Fragen behandelt, welche sich früher oder später die meisten Unternehmen im Zusammenhang mit KI und Urheberrecht stellen.

Am 1. September 2023 ist das neue Datenschutzgesetz (DSG) in Kraft getreten. In Angleichung an die Europäische Gesetzgebung (DSGVO) wurde das Institut des "Datenschutzberaters" geschaffen (ähnlich dem Pendant des "Datenschutzbeauftragten" in der EU oder oft umgangssprachlich als Data Protection Officer [DPO] bezeichnet). Ganz korrekt ist diese Ausführung indes nicht, denn ganz neu ist dieses Institut für die Schweiz nicht. Bereits unter dem alten DSG existierte das Institut des sog. "Datenschutzverantwortlichen", allerdings kam dies nur in einer Nebenspalte des Gesetzes vor. So bestand grundsätzlich die Pflicht für Unternehmen, ein Verzeichnis von Datensammlungen zu halten. Dieses Erfordernis entfiel aber, wenn man eben stattdessen einen sog. Datenschutzverantwortlichen hatte.

Smartphones und Tablets sind von „Nice-to-have-Gadgets“ längst zu akzeptierten IT-Systemen für den täglichen – auch produktiven – Gebrauch geworden. Glaubt man aktuellen Markterhebungen, bewegt sich der Marktanteil der iPhones um die 2 %. Da drängt sich die Frage auf, wie mit den chic gestylten Geräten respektive deren Betriebssystem iOS im Businessbereich umzugehen ist. Und dabei meinen wir nicht, ob Sie es sich persönlich leisten können und wollen, Ihr neues iPhone vorzuzeigen, was ja immer auch mit einer gewissen Statusaussage verbunden ist. Wir wollen eher einmal einen Blick darauf werfen, ob und inwieweit die Smartphone-Pioniere auch im Businessbereich nützlich sein können. Taugen iPhone und iPad zu mehr als zum “Protzen” vor den Kollegen?

Freie Gäste-WLAN sind heutzutage Standard – auch in Zeiten von LTE-Flatrates und 5G. Vielleicht nutzen Sie unseren Tipp aus dem Beitrag ja auch für sich Zuhause und reglementieren ein wenig die Surfattacken Ihrer Nutzer.

Heutzutage erledigt kaum ein Unternehmen sämtliche Aufgaben selbst, sondern lagert einen Teil gegen Entgelt an Drittfirmen aus. Mit dem Outsourcing von Aufgaben ist im Digitalisierungszeitalter regelmässig ein Datentransfer an die Auftragnehmer verbunden. Werden dabei auch personenbezogene Daten an Dritte übermittelt, stellt sich aus datenschutzrechtlicher Sicht die Frage, unter welchen Voraussetzungen der Datentransfer zulässig ist, welche Informationspflichten bestehen und welche Regeln von Auftraggeber bzw. Auftragnehmer zu beachten sind bezüglich Auftragsdatenbearbeitung.

Im Folgenden erhalten Sie Hinweise zu wichtigen Fragestellungen, welche im Sinne von Vertragsklauseln üblicherweise in Lizenzverträge einfliessen.

Seit dem 1. September 2023 gilt gemäss Art. 22 und 23 des revidierten Datenschutzgesetzes (DSG), dass bei hohen Bearbeitungsrisiken eine Datenschutz-Folgenabschätzung (DSFA) erstellt werden muss. Gemäss DSG besteht die Pflicht, eine DSFA zu erstellen, wenn die vorgesehene Datenbearbeitung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat zur DSFA ein aufschlussreiches Merkblatt vorgelegt.

Bereits viele Menschen arbeiten im Homeoffice und die Zahlen sind weiterhin steigend. In der Tat bringt das Homeoffice – sowohl für den Arbeitgeber als auch für den Arbeitnehmer – viele Vorteile mit sich. Dennoch handelt es sich bei der Arbeit im Homeoffice um eine Medaille mit zwei Seiten. Auf der einen Seite befinden sich die vorteilhaften Aspekte. Auf der anderen Seite stehen die Risiken, die vor allem durch die Cyber-Kriminellen und ihren Cyber-Attacken ausgehen.

Die digitale Bedrohung in Form von Cyberangriffen wächst stetig. Vor allem Unternehmen sind im Visier der Hacker. Sei es Industriespionage, Diebstahl von Kundendaten, Sabotage oder ein politisch motivierter Angriff auf kritische Infrastruktur – Gründe für Cyberpiraterie gibt es viele. Umso wichtiger ist es, dass sich Unternehmen rechtzeitig schützen und die oftmals veralteten Systeme auf den neusten Stand bringen.

Auf dem Weg zur Konformität mit dem revidierten Datenschutzgesetz (revDSG) bildet die Aufdatierung von bestehenden oder der Entwurf von neuen Datenschutzerklärungen eine wichtige Aufgabe. Dabei liegt es meist auf der Hand, dass die datenschutzrechtliche Informationspflicht gegenüber Kunden oder Webseitenbesuchern erfüllt werden muss. In der Praxis geht die Datenschutzerklärung für Mitarbeitende jedoch oft vergessen, weil übersehen wird, dass auch Mitarbeitende betroffene Personen im Sinne des Datenschutzrechts sind.

Der IT-Dienstleistungsvertrag ist ein genereller Vertrag für ganz unterschiedliche Dienstleistungen im Bereich der Informatik. Er findet Einsatz in der Erstellung und dem Betrieb einer Homepage bis hin zur Verfügung stellen einer gesamten externen IT-Infrastruktur, so dass die Mitarbeiter lediglich noch über das Internet und einem Terminal verbunden sind (sogenannten Cloud-Lösungen). Dementsprechend enthalten IT-Dienstleistungsverträge ganz unterschiedliche Vertragsklauseln. Lesen Sie in diesem Beitrag mehr zum IT-Dienstleistungsvertrag.

Die Datenschutzverordnung (DSV), die am 01. September 2023 in Kraft treten wird, konkretisiert in den Artikeln 1-6 die Anforderungen an die Datensicherheit. Zu den technischen und organisatorischen Massnahmen zählt auch die Pflicht, unter gewissen Voraussetzungen ein Bearbeitungsreglement für automatisierte Bearbeitungen zu erstellen und dieses regelmässig zu aktualisieren. Diese Pflicht besteht bereits nach aktuell geltendem Datenschutzrecht, wurde jedoch mit der Revision (revDSG und DSV) angepasst. Dieser Artikel zeigt auf, wann gemäss revidiertem Datenschutzrecht ein solches Reglement erstellt werden muss und welche Herausforderungen dabei zu erwarten sind.

Am 01.09.2023 tritt ein neues Gesetz zum Datenschutz in Kraft (DSG). Auf diese Weise kann sich die Schweiz dem Niveau des DSGVO annähern, eine eigene Richtung ist aber dennoch vorgesehen. Bestimmte Regelungen sind durchaus im Business-Bereich interessant und so lohnt es sich, darüber Bescheid zu wissen.