Tools, Know-how und Weiterbildung im Bereich Datenschutz und IT-Recht

Cyberrisiken gehören regelmässig zu den grössten Gefahren für Unternehmen und deren Informationssicherheit. Bereits eine kleine Unachtsamkeit kann verheerende Schäden anrichten oder gar zur Insolvenz führen. Die Frage ist nicht ob, sondern wann man angegriffen wird. Der Umgang mit diesen Risiken kann nicht auf eine rein technische Herausforderung reduziert werden. Es ist ein ganzheitlicher Ansatz erforderlich.

Der Trend zur Auslagerung oder Erweiterung von IT-Ressourcen in so genannte Cloudlösungen ist auch 2025 ungebrochen. Als „Cloud“ wird dabei heutzutage auch so manche Speicherlösung von QNAP, Synology und so weiter bezeichnet. Dabei handelt es sich aber nicht um eine „Cloud“ im engeren Sinne. Ebenso betreiben manche Unternehmen zentrale Lösungen für Kalender, Kontakte und weitere Ressourcen wie Dateifreigaben. Einer der prominenten Vertreter einer solchen softwarebasierten Groupware-Lösung ist OwnCloud beziehungsweise dessen Abspaltung Nextcloud.

In diesem Beitrag erfahren Sie mehr über das Thema BYOD und COPE. Unabhängig davon, ob Unternehmen ihren Mitarbeitenden erlauben, private mobile Endgeräte wie Smartphones, Tablets oder Laptops im Arbeitsbereich einzusetzen, oder ob sie konzerneigene Devices für die private Nutzung freigeben: Beide Modelle weisen Sicherheitsrisiken sowie arbeits- und datenschutzrechtliche Fragen auf. Der nutzbringende Einsatz von Bring Your Own Device oder Corporate Owned, Personally Enabled für alle Beteiligten bedingt daher die Umsetzung zahlreicher einschlägiger rechtlicher, technischer und organisatorischer Massnahmen.

Das revidierte Bundesgesetz über den Datenschutz ist am 1. September 2023 in Kraft getreten und bringt neue Dokumentationspflichten für Organisationen mit sich. Eine dieser Pflichten betrifft die mögliche Führung eines Verzeichnisses der Bearbeitungstätigkeiten, auch als "Bearbeitungsverzeichnis" bekannt. In diesem Verzeichnis sollen alle Datenbearbeitungen eines Unternehmens dokumentiert werden, um eine zentrale Dokumentation über die im Unternehmen vorhandenen Datenbearbeitungen zu schaffen. Der vorliegende Artikel erklärt, welche Informationen im Bearbeitungsverzeichnis enthalten sein müssen, wer zur Führung verpflichtet ist und wie es erstellt und gepflegt wird.

Im Rahmen eines Arbeitsverhältnisses bearbeitet der Arbeitgeber diverse Daten seiner Mitarbeitenden. Ob und wie lange diese HR-Daten aufbewahrt werden dürfen oder sogar müssen, ist jedoch oft unklar und nicht immer einfach zu bestimmen.

Ab einer gewissen Grösse einer Organisation ist es nicht mehr möglich, die Vorgaben und Vorgehensweisen bei Fragen der IT Security nur in den Köpfen der Verantwortlichen aus Management und Administration zu belassen – es muss ein schriftlich ausgearbeitetes Konzept in Form eines Sicherheitskonzepts her.

Das Gespann Outlook mit Exchange ist sicher die führende Lösung für eine sogenannte Groupware, vor allem in mittelständischen Büros. Nicht jeder hat aber die finanziellen oder persönlichen Möglichkeiten für einen eigenen Exchange-Server. Wie man trotzdem (fast) genau so arbeiten könnte, als habe man einen solchen Server, wollen wir Ihnen heute einmal aufzeigen.

Das alte Sprichwort "Von der Wiege bis zur Bahre - Formulare, Formulare" kann heutzutage gegen "Passwörter, Passwörter" ausgetauscht werden. Aber ist diese Art der Authentifizierung überhaupt noch zeitgemäss? Ist ein Passwort heutzutage "out" - und welche Alternativen gäbe es dann?

Die meisten Webseiten setzen Analyse-Tools wie Google Analytics ein. Oft werden die Tools von den Webentwicklern standardmässig in die Webseite eingebaut, ohne dass die webseitenbetreibenden Unternehmen die Tools aktiv nutzen oder gar davon wissen. Dabei bestehen gerade beim Einsatz von solchen Tools datenschutzrechtliche Risiken. Um diesen Risiken entgegenzuwirken, ist eine sorgfältige Auswahl der Analyse-Tools, deren technische Einstellung sowie die Schaffung der rechtlichen Grundlagen für deren Nutzung entscheidend.

Es wurde bereits oft wiederholt, aber die Daten von Unternehmen haben einen extrem hohen Wert für die Aufrechterhaltung ihrer Geschäftstätigkeit erlangt. Daher ist es wichtig, die Risiken zu identifizieren, die mit ihrer Verarbeitung verbunden sind, insbesondere wenn sie in die Cloud verlagert werden, um dann entsprechend verwalten zu können und die Datensicherheit zu gewährleisten.

Mit der Revision des Datenschutzgesetzes gibt es für Verantwortliche auch eine neue Pflicht: die Erstellung einer Datenschutz-Folgenabschätzung (DSFA), «wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann». Mit der Revision wurde der risikobasierte Ansatz gestärkt, und die DSFA ist eines der Instrumente dazu. Wir zeigen, wie in einem solchen Fall vorzugehen ist.

Die Digitalisierung hält in Personalabteilungen von KMU Einzug, mit dem Ziel, bestehende Prozesse effizienter und kostengünstiger zu machen durch Digitale Recruiting-Tools. Gerade im Bewerbungsprozess besteht hierbei grosses Potenzial. Durch den digitalen Prozess können beispielsweise die Grundangaben zur Person standardisiert und vollständig erfasst werden. Zudem wird es Bewerbenden erspart, ihre Dokumente und Angaben in eine E-Mail zu verpacken. Die meisten digitalen Recruiting-Tools lassen sich einfach einbinden und nutzen. Sofern die rechtlichen Anforderungen geklärt wurden und insbesondere den datenschutzrechtlichen Risiken Beachtung geschenkt wurde, lässt sich der Bewerbungsprozess durch den Einsatz digitaler Tools somit einfacher und angenehmer gestalten.

Es ist schon eine verrückte Welt in der IT: da laufen Gaming-PCs zu ständig neuen Hochleistungen auf, während in vielen Serverräumen und Rechenzentren noch betagte Systeme mit in die Jahre gekommenen Prozessoren und Festplatten vor sich hin werkeln. Gleichzeitig bekommt man kaum noch einen Büro-PC, der nicht wenigstens mit einem i3-Prozessor und 8 Gigabyte RAM ausgestattet ist. Da kommt so mancher Admin und IT-Verantwortliche schon ins Grübeln - tut es bei der nächsten Serveranschaffung vielleicht ein etwas besser ausgestatteter Gaming-PC?

Wenn Daten zwischen Behörden ausgetauscht werden, braucht es hierfür ebenfalls eine rechtliche Grundlage. Die Tatsache, dass die Behörden beim gleichen Staat bzw. bei der gleichen Gemeinde sind, ändert daran nichts. Der Datenaustausch zwischen Behörden wird deshalb in den Datenschutzgesetzen des Bundes und der Kantone ausdrücklich geregelt. Nachstehend wird der Datenaustausch des Bundes beleuchtet, wie er im revidierten Datenschutzgesetz (revDSG) geregelt ist.

Für kleine und mittlere Unternehmen ist es von sehr grosser Bedeutung zur Unterstützung ihrer internen betrieblichen Abläufe, zur Bereitstellung ihrer Dienstleistungen oder Produkte oder für das Marketing auf externe Service-Provider zugreifen zu können. Nun befinden sich aber viele solcher Dienstleister im Ausland. Sind Personendaten bei der Inanspruchnahme einer solchen Dienstleistung betroffen, so sind die datenschutzrechtlichen Regeln zur sog. Auftragsbearbeitung und zum Transfer von Personendaten ins Ausland zu beachten. Dieser Beitrag soll eine praxisnahe Hilfestellung für solche Situationen sein.

Am 1. September 2023 sind das neue Datenschutzgesetz (im Folgenden: DSG) und seine Ausführungsbestimmungen in Kraft getreten. In diesem Zusammenhang sind einige Änderungen in Bezug auf das Auskunftsrecht des Arbeitnehmers eingeführt worden, welche im Folgenden mit einigen Empfehlungen zu den von der Arbeitgeberin einzuführenden Massnahmen erläutert werden.

In vielen Zeitungen und auf den Sozialen Medien liest man im Moment über die Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz) und zur Änderung bestimmter Rechtsakte der Union (nachstehend «AI Act») und deren weitreichende Auswirkung auf alle in Europa aktiven Unternehmen. Regelmässig wird dabei auf die Kategorisierung von verschiedenen KI-Systemen eingegangen, doch welche konkreten Pflichten sich durch eine Unterstellung ergeben, wir oft nicht erläutert. Eine der Pflichten, die sich aus dem AI Act ergeben, ist jene der Pflicht zur Transparenz. Was dies für Ihr Unternehmen bedeutet und wie Sie diese Transparenzpflichten umsetzen können, lesen Sie nachstehend.

In einer Welt, die von zunehmender Unsicherheit und schnellem technologischen Fortschritt geprägt ist, wird effektives Risikomanagement für Unternehmen immer wichtiger. Welche Chancen und Gefahren sich im Zusammenhang mit künstlicher Intelligenz ergeben und welches Potenzial sich im Bereich Risikomanagement selbst durch die neue Technologie und KI-Anwendungen eröffnet, soll dieser Artikel beleuchten.

Viele Unternehmen evaluieren zurzeit verschiedene KI-Tools, um diese einzusetzen. Dabei wird der Fokus vermehrt auf die Prüfung des Anbieters gelenkt. Dieser wird aus verschiedenen rechtlichen Perspektiven, wie beispielsweise dem Datenschutzrecht, der Datensicherheit oder dem Urheberrecht, durchleuchtet. An die interne Regelung und Schulung im Umgang mit solchen Tools wird oft erst nachgelagert gedacht. Doch auch intern sollten Unternehmen gewisse Regelungen festhalten und die Mitarbeitenden entsprechend schulen, um die bestehenden Risiken beim Einsatz von KI-Tools auf ein annehmbares Mass zu reduzieren.

In diesem Beitrag erfahren Sie mehr über das Thema Datenschutz Schweiz. Die Bearbeitung von Personaldaten ist nur soweit zulässig, als dies für das Arbeitsverhältnis erforderlich ist. Der Arbeitnehmer hat ein Einsichtsrecht in das Personaldossier und kann unrichtige Einträge berichtigen lassen.

Am 1. September 2023 ist das neue Datenschutzgesetz (DSG) in Kraft getreten. In Angleichung an die Europäische Gesetzgebung (DSGVO) wurde das Institut des "Datenschutzberaters" geschaffen (ähnlich dem Pendant des "Datenschutzbeauftragten" in der EU oder oft umgangssprachlich als Data Protection Officer [DPO] bezeichnet). Ganz korrekt ist diese Ausführung indes nicht, denn ganz neu ist dieses Institut für die Schweiz nicht. Bereits unter dem alten DSG existierte das Institut des sog. "Datenschutzverantwortlichen", allerdings kam dies nur in einer Nebenspalte des Gesetzes vor. So bestand grundsätzlich die Pflicht für Unternehmen, ein Verzeichnis von Datensammlungen zu halten. Dieses Erfordernis entfiel aber, wenn man eben stattdessen einen sog. Datenschutzverantwortlichen hatte.

Smartphones und Tablets sind von „Nice-to-have-Gadgets“ längst zu akzeptierten IT-Systemen für den täglichen – auch produktiven – Gebrauch geworden. Glaubt man aktuellen Markterhebungen, bewegt sich der Marktanteil der iPhones um die 2 %. Da drängt sich die Frage auf, wie mit den chic gestylten Geräten respektive deren Betriebssystem iOS im Businessbereich umzugehen ist. Und dabei meinen wir nicht, ob Sie es sich persönlich leisten können und wollen, Ihr neues iPhone vorzuzeigen, was ja immer auch mit einer gewissen Statusaussage verbunden ist. Wir wollen eher einmal einen Blick darauf werfen, ob und inwieweit die Smartphone-Pioniere auch im Businessbereich nützlich sein können. Taugen iPhone und iPad zu mehr als zum “Protzen” vor den Kollegen?

Bereits viele Menschen arbeiten im Homeoffice und die Zahlen sind weiterhin steigend. In der Tat bringt das Homeoffice – sowohl für den Arbeitgeber als auch für den Arbeitnehmer – viele Vorteile mit sich. Dennoch handelt es sich bei der Arbeit im Homeoffice um eine Medaille mit zwei Seiten. Auf der einen Seite befinden sich die vorteilhaften Aspekte. Auf der anderen Seite stehen die Risiken, die vor allem durch die Cyber-Kriminellen und ihren Cyber-Attacken ausgehen.