Tools, Know-how und Weiterbildung im Bereich Datenschutz und IT-Recht

Apps gibt es mittlerweile für fast alles: zur Kommunikation (WhatsApp), Unterhaltung (Quiz-Apps) oder Erleichterung von alltäglichen Tasks (Google-Maps). Kaum einer weiss vermutlich, wie viele Apps er oder sie denn täglich nutzt. Der Begriff App (Kurzform von engl. «Application») bezieht sich eigentlich auf jede Art von Anwendungssoftware. Im deutschsprachigen Raum werden darunter aber meist mobile Anwendungssoftwares für Smartphones und Tabletts verstanden, auf welche sich auch der vorliegende Beitrag bezieht. Gegenstand eines App-Entwicklungsvertrags sind die Planung, Erstellung und Lieferung der Software mit den vereinbarten Funktionen sowie der Vertrieb an Dritte auf den zwischen den Parteien vereinbarten Plattformen.

Heutzutage erledigt kaum ein Unternehmen sämtliche Aufgaben selbst, sondern lagert einen Teil gegen Entgelt an Drittfirmen aus. Mit dem Outsourcing von Aufgaben ist im Digitalisierungszeitalter regelmässig ein Datentransfer an die Auftragnehmer verbunden. Werden dabei auch personenbezogene Daten an Dritte übermittelt, stellt sich aus datenschutzrechtlicher Sicht die Frage, unter welchen Voraussetzungen der Datentransfer zulässig ist, welche Informationspflichten bestehen und welche Regeln von Auftraggeber bzw. Auftragnehmer zu beachten sind bezüglich Auftragsdatenbearbeitung.

E-Mail-Marketing ist eine effiziente und kostengünstige Werbemethode. In der Praxis herrscht jedoch oft Unsicherheit darüber, unter welchen Voraussetzungen der Versand von Werbe-E-Mails und Newslettern – insbesondere im Zusammenhang mit dem Datenschutz Newsletter – rechtlich zulässig ist. Grundsätzlich dürfen elektronische Werbe-E-Mails nur dann versendet werden, wenn die betroffene Person zuvor ausdrücklich eingewilligt hat (z.B. durch ein Double Opt-In-Verfahren) oder wenn eine bestehende Geschäftsbeziehung besteht und die Werbung eigene, ähnliche Produkte oder Dienstleistungen betrifft. In beiden Fällen muss der Absender klar erkennbar sein und die Empfänger müssen jederzeit einfach und kostenlos der weiteren Zusendung widersprechen können.

Jedes Unternehmen muss alle Personen, von denen es Personendaten beschafft, über die Rahmenbedingungen der Datenbearbeitung transparent informieren. Die Informationen sollen es den betroffenen Personen ermöglichen, ihre Rechte gemäss dem Datenschutzgesetz (revDSG) geltend zu machen. Dafür müssen ihnen zumindest die im Gesetz vorgesehenen Mindestinformationen zugänglich gemacht werden. Aufgrund dessen haben viele Unternehmen bereits ihre bestehenden Datenschutzerklärungen aktualisiert, oder sind gerade dabei. Vielen ist dabei jedoch nicht bewusst, dass aufgrund der Revision tatsächlich über die Beschaffung aller Personendaten informiert werden muss, was auch die Beschaffung der Personendaten der eigenen Mitarbeitenden oder von Bewerbenden betrifft. Im Folgenden wird erläutert, was bei der praktischen Umsetzung zu beachten ist und welche Ausnahmen von dieser Informationspflicht bestehen.

Mit Inkrafttreten des revidierten Datenschutzgesetzes (DSG) am 1. September 2023 ist eine verbindliche Datenschutzweisung für Schweizer Unternehmen wichtiger denn je. Eine solche Weisung regelt den Umgang mit Personendaten im Betrieb und schafft klare Verantwortlichkeiten. Dieser Beitrag bietet eine praxisnahe Anleitung zur Erstellung einer wirksamen Datenschutzweisung speziell für KMU.

Die digitale Transformation schreitet unaufhaltsam voran und stellt Unternehmen auch 2025 vor immer neue Herausforderungen in Sachen IT-Sicherheit. Besonders Betriebssystem-Updates entwickeln sich zu einer tragenden Säule moderner Sicherheitskonzepte. Wer glaubt, Updates seien nur technische Notwendigkeit, unterschätzt ihren Wert für die Wettbewerbsfähigkeit. Frische Sicherheitsstandards, Compliance-Anforderungen und die steigende Bedrohungslage verlangen von Unternehmen, dem Thema Software-Updates höchste Priorität einzuräumen. Gerade im Kontext steigender Cyberangriffe und immer komplexerer IT-Landschaften entscheidet das effektive Management von Betriebssystem-Updates zunehmend über den Geschäftserfolg.

Ist ein Arbeitnehmer krank bzw. verunfallt, oder wird das Arbeitsverhältnis beendet, so stellt sich die Arbeitgeberin meist die Frage, wie mit dem E-Mail-Account des Arbeitnehmers und dem Serverzugang umzugehen ist. Jedoch auch der Arbeitnehmer kann unsicher sein, was er mit der geschäftlichen Mailbox und dem Informatikzugang machen darf.

Komplexe IT-Projekte mit ungenügender Rollenverteilung und schlechtem Projektmanagement sind zum Scheitern verurteilt. IT-Projekte, bei denen zu Beginn keine Detailspezifikationen und keine konkreten Umschreibungen der verlangten Leistungen und Funktionen bestehen, bedürfen besonderer Aufmerksamkeit. In diesem Umfeld agiler Software- und Produktentwicklung kann auch die Methode SCRUM eingesetzt werden.

Im Rahmen der Totalrevision des Schweizer Datenschutzrechts wurden die Straftatbestände erheblich ausgeweitet. Das betrifft auch die Verletzung der beruflichen Schweigepflicht: Der Geheimnisschutz erstreckt sich neu auf sämtliche Arten von Personendaten. Gemäss Bundesrat sollte mit dieser Ausweitung dem Umstand Rechnung getragen werden, dass heute angesichts der weiterentwickelten Informations- und Kommunikationstechnologie massiv mehr Daten erhoben werden. Welches Verhalten ist konkret strafbar und was gilt es bei einem Verdacht auf eine Straftat aus Unternehmenssicht zu tun?

Die EU reguliert künstliche Intelligenz – und dies mit über 250 Seiten Gesetzestext. Mit dem AI Act, der ersten umfassenden Regelung für künstliche Intelligenz auf EU-Ebene, wird ein einheitlicher Rechtsrahmen geschaffen. Um was es dabei geht, welche Inhalte hervorzuheben sind und welche Kritik geäußert wird, soll der vorliegende Artikel im Sinne einer Übersicht über das neue Gesetz beleuchten.

Mit der staatlichen E-ID möchte die Schweiz einen weiteren Schritt in Richtung Digitalisierung vollziehen. Zwar steht die endgültige Abstimmung am 28. September 2025 noch an, aber für Experten gilt sie nur als Formsache, da die Bedenken der Bevölkerung durch gezielte gesetzliche Anpassungen weitgehend ausgeräumt sein dürften. Was wir mit Sicherheit sagen können, ist, dass die Einführung der E-ID nicht nur private, sondern auch unternehmerische Prozesse erleichtern wird.

Jedes dritte kleine oder mittlere Unternehmen in der Schweiz war in den letzten Jahren bereits mit einem Cyberangriff konfrontiert. Besonders beunruhigend ist die Tatsache, dass es dafür oft keine hochentwickelten Hackertricks braucht, sondern kleine Nachlässigkeiten im Alltag genügen. Ein unbedachter Klick auf eine E-Mail oder ein schwaches Passwort reichen, um ganze Geschäftsprozesse lahmzulegen. Die Informationssicherheit KMU steht dadurch zunehmend im Fokus. Wie können Firmen bestehen, wenn selbst einfache Fehler fatale Folgen haben? Welche Schritte bringen sofort mehr Schutz, ohne enorme Kosten zu verursachen?

Locken nach einem langen und trüben Winter die ersten Sonnerstrahlen und die aufblühende Pracht der Natur auch Sie von Ihrem PC-Arbeitsplatz weg und hinaus ins Grüne? Dafür hat sicher Jede und Jeder Verständnis - aber vergessen Sie darüber nicht, auch Ihren IT-Systemen eine «Frühjahrskurs» zu gönnen: denn Schadsoftware und Cyberkriminalität sind leider ganzjährig aktiv. Zeit für eine «Aktion Frühjahrsputz»!

Die DSGVO als einheitliche Verordnung für EU-Länder und Länder, in denen Daten von EU-Bürgern gesammelt und verarbeitet werden, regelt die Handhabung personenbezogener Daten im Geltungsbereich - mithin der EU. Seit dem 25. Mai 2018 gilt diese Verordnung unmittelbar für alle EU-Länder, aber sofern wir Dienstleistungs- und Warenaustausch mit solchen Ländern betreiben, gelten die Bestimmungen der DSGVO eben auch für Schweizer Unternehmer. Und Hand aufs Herz: wer täte das nicht?

Im Zeitalter der Digitalisierung ist es sinnvoll – ja sogar ein MUSS – dass die Archivierung von Daten und Belegen papierlos erfolgt. Mit dem Schritt in die papierlose Zukunft lassen sich Effizienzsteigerungen und somit Kosteneinsparungen für Unternehmungen erzielen. Damit eine elektronische Archivierung aber gesetzeskonform erfolgt, sind einige Herausforderungen zu meistern.

Seit dem 1. September 2023 gilt gemäss Art. 22 und 23 des revidierten Datenschutzgesetzes (DSG), dass bei hohen Bearbeitungsrisiken eine Datenschutz-Folgenabschätzung (DSFA) erstellt werden muss. Gemäss DSG besteht die Pflicht, eine DSFA zu erstellen, wenn die vorgesehene Datenbearbeitung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat zur DSFA ein aufschlussreiches Merkblatt vorgelegt.

Seit vielen Jahren bieten Unternehmen Lösungen auf der Basis künstlicher Intelligenz (KI) an (KI-Lösungen) und nutzen sie, um etwa Vorhersagen zu treffen und die Entscheidungsfindung zu automatisieren. Dennoch scheint es, als sei KI erst Ende 2022 aus dem Nichts aufgetaucht, um die Welt im Sturm zu erobern. Generative Lösungen der künstlichen Intelligenz («Gen-KI»), die relativ neu sind, haben die Dynamik völlig verändert. Sie erzeugen kreative Ergebnisse wie Text, Softwarecode, Bilder, Musik und Videos («Output») als Reaktion auf Benutzeranweisungen («Prompts»). Ein Ergebnis dieser neuen Welle der Gen-KI-Begeisterung ist die Zunahme von Unternehmen bzw. Einzelpersonen, die Verträge über die Nutzung und Bereitstellung von Gen-KI abschliessen. Diese Verträge können in Form allgemeiner Geschäftsbedingungen (AGB) oder ausgehandelter, komplexer Verträge abgeschlossen werden.

Nicht jede Datenbearbeitung von Personendaten erfordert die Einwilligung der betroffenen Person. Nur wenn eine Bearbeitungstätigkeit nicht anders gerechtfertigt werden kann, muss eine Einwilligung eingeholt werden. Damit die Einwilligung gültig ist, muss die betroffene Person zwingend vorgängig angemessen informiert werden. Der erforderliche Inhalt der Information hängt von den konkreten Umständen ab. Zudem muss die Einwilligung freiwillig erfolgen. Aus Beweisgründen sollte die Einwilligung dokumentiert werden, selbst wenn das Gesetz auch formlose Einwilligungen zulässt.

Das neue Datenschutzgesetz (nDSG) mit der neuen Datenschutzverordnung (nDSV) und der neuen Verordnung über Datenschutzzertifizierungen treten per 1. September 2023 in Rechtskraft. Das hat der Bundesrat an seiner Sitzung vom 31. August 2022 entschieden. Das Gesetz sieht keine Übergangsbestimmungen vor. Unternehmungen müssen bis spätestens den 1. September 2023 die neuen Datenschutzanforderungen umgesetzt haben.

Heute wollen wir mal ein wenig Typenkunde betreiben - welcher Typ sind Sie? Wer von uns kennt nicht diese Ansprachen aus Werbemitteilungen - in diesem Fall geht es aber um Ihr heimisches oder Unternehmensnetzwerk. Und da geht es um eine Begrifflichkeit, die in vielerlei Hinsicht erstaunlich ist - genauer gesagt um die unterschiedlichen NAT-Typen. Sie wissen nicht, was das ist, weil es doch nur NAT oder nicht-NAT gibt? Dann lesen Sie weiter und bleiben Sie gespannt!

Seit dem 25. Mai 2018 gilt die EU-Datenschutz-Grundverordnung (EU-DSGVO), auch bekannt unter ihrer englischen Bezeichnung General Data Protection Regulation (GDPR). Die EU hat in Art. 3 Abs. 2 EU-DSGVO das sog. Marktortprinzip verankert. Dies bedeutet, dass das EU-Datenschutzrecht immer dann zur Anwendung kommt, wenn personenbezogene Daten von Personen bearbeitet werden, die sich in der EU befinden, auch wenn das bearbeitende Unternehmen selbst keinen Sitz in der EU hat, sich aber entweder mit dem Angebot von Waren oder Dienstleistungen an Kunden in der EU richtet oder das Verhalten von Personen in der EU beobachtet wird.

Windows 11 Home vs. Pro: Windows 11 ist längst in vielen Haushalten und Unternehmen angekommen, doch die Entscheidung zwischen Home- und Pro-Edition führt oft zu Unsicherheit. Anwender stehen vor der Frage, ob die günstige Home-Version den eigenen Ansprüchen genügt oder ein Upgrade auf Pro langfristig Vorteile bringt. Der Unterschied zwischen beiden Varianten betrifft weit mehr als nur Zusatzfunktionen für Unternehmen oder ambitionierte User. Wer einen neuen Computer kauft, muss sich spätestens dann festlegen. Daher ist es entscheidend, die relevanten Unterschiede klar zu kennen und die individuellen Anforderungen nüchtern abzuwägen.

Auf dem Weg zur Konformität mit dem Datenschutzgesetz (DSG) bildet die Aufdatierung von bestehenden oder der Entwurf von neuen Datenschutzerklärungen eine wichtige Aufgabe. Dabei liegt es meist auf der Hand, dass die datenschutzrechtliche Informationspflicht gegenüber Kunden oder Webseitenbesuchern erfüllt werden muss. In der Praxis geht die Datenschutzerklärung für Mitarbeitende jedoch oft vergessen, weil übersehen wird, dass auch Mitarbeitende betroffene Personen im Sinne des Datenschutzrechts sind.

Die Datenschutzverordnung (DSV), die am 01. September 2023 in Kraft getreten ist, konkretisiert in den Artikeln 1-6 die Anforderungen an die Datensicherheit. Zu den technischen und organisatorischen Massnahmen zählt auch die Pflicht, unter gewissen Voraussetzungen ein Bearbeitungsreglement für automatisierte Bearbeitungen zu erstellen und dieses regelmässig zu aktualisieren. Dieser Artikel zeigt auf, wann gemäss DSG ein solches Reglement erstellt werden muss und welche Herausforderungen dabei bestehen.

Die Dashcam ist in der Schweiz zwar noch nicht flächendeckend verbreitet. Trotzdem sind sie im Strassenverkehr immer häufiger anzutreffen. Damit stellen sich auch aus datenschutzrechtlicher Sicht verschiedene Fragen, welche bis heute noch nicht verbindlich beantwortet sind. Dies verursacht bei den Nutzern bis heute eine grosse, auch rechtliche Unsicherheit.

Aktuelle und ehemalige Mitarbeitende können ihre datenschutzrechtlichen Betroffenenrechte gegenüber dem Arbeitgeber geltend machen. Für Unternehmen ist es deshalb empfehlenswert, interne Prozesse aufzusetzen und Verantwortlichkeiten festzulegen, um ihren Pflichten gesetzeskonform und fristgerecht nachzukommen. Dieser Beitrag soll Unternehmen aufzeigen, was betreffend das Auskunfts-, das Berichtigungs- und das Löschrecht von Mitarbeiterdaten gemäss dem DSG gilt. Zudem werden praxisbezogenen Hinweise und Empfehlungen zur Umsetzung dieser Betroffenenrechte gegeben.

Eine Überwachung der Arbeitnehmer zur systematischen Leistungskontrolle ist verboten (Art. 26 ArGV3). Hingegen ist eine auf rein technische oder sachliche Kriterien begrenzte Kontrolle ohne Bezug zur Person des Arbeitnehmers ohne Einschränkung zulässig (zum Beispiel Netzwerkauslastung, Überwachung Verkaufsräume etc.).

Das Auskunftsrecht begründet zusammen mit den Informationspflichten des Verantwortlichen den Transparenzgrundsatz im Datenschutz. Das Auskunftsrecht ist in Art. 25 ff. des neuen Datenschutzgesetzes (DSG) und in Artikel 16 ff. der entsprechenden neuen Datenschutzverordnung (DSV) geregelt. Es ist das wichtigste Instrument im Datenschutz, weshalb es im DSG zu Beginn der den betroffenen Personen eingeräumte Rechte steht. Das Auskunftsrecht dient in erster Linie dem Schutz der Persönlichkeit und der Grundrechte der Personen, von denen Personendaten bearbeitet werden.

Startups haben viele Dinge, die sie beachten, im Hinterkopf behalten, planen und organisieren müssen. Dazu gesellt sich in den meisten Fällen die Tatsache, dass Startups in der Regel mit einem recht begrenzten Budget arbeiten und aus diesem Grund immer auf der Suche nach Möglichkeiten sind, um Geld zu sparen, ohne dabei jedoch an Effizienz einzubüssen. Ein Bereich, in dem Startups effizient und kostengünstig agieren können, ist die Cyber-Security.

Unternehmen investieren Millionen in Cybersecurity – Firewalls, Virenscanner, Verschlüsselungen. Doch was, wenn die grösste Schwachstelle kein System, sondern ein Mensch ist? Insider-Bedrohungen gehören zu den grössten, aber oft übersehenen Risiken in der IT-Sicherheit. Ein falscher Klick, eine unbedachte Weitergabe von Daten oder gezielte Sabotage – und schon steht ein Unternehmen vor einem massiven Problem.

Das Gespann Outlook mit Exchange ist sicher die führende Lösung für eine sogenannte Groupware, vor allem in mittelständischen Büros. Nicht jeder hat aber die finanziellen oder persönlichen Möglichkeiten für einen eigenen Exchange-Server. Wie man trotzdem (fast) genau so arbeiten könnte, als habe man einen solchen Server, wollen wir Ihnen heute einmal aufzeigen.

Es wurde bereits oft wiederholt, aber die Daten von Unternehmen haben einen extrem hohen Wert für die Aufrechterhaltung ihrer Geschäftstätigkeit erlangt. Daher ist es wichtig, die Risiken zu identifizieren, die mit ihrer Verarbeitung verbunden sind, insbesondere wenn sie in die Cloud verlagert werden, um dann entsprechend verwalten zu können und die Datensicherheit zu gewährleisten.

Am 1. September 2023 sind das neue Datenschutzgesetz (im Folgenden: DSG) und seine Ausführungsbestimmungen in Kraft getreten. In diesem Zusammenhang sind einige Änderungen in Bezug auf das Auskunftsrecht des Arbeitnehmers eingeführt worden, welche im Folgenden mit einigen Empfehlungen zu den von der Arbeitgeberin einzuführenden Massnahmen erläutert werden.

In diesem Beitrag erfahren Sie mehr über das Thema Datenschutz Schweiz. Die Bearbeitung von Personaldaten ist nur soweit zulässig, als dies für das Arbeitsverhältnis erforderlich ist. Der Arbeitnehmer hat ein Einsichtsrecht in das Personaldossier und kann unrichtige Einträge berichtigen lassen.

Am 1. September 2023 ist das neue Datenschutzgesetz (DSG) in Kraft getreten. In Angleichung an die Europäische Gesetzgebung (DSGVO) wurde das Institut des "Datenschutzberaters" geschaffen (ähnlich dem Pendant des "Datenschutzbeauftragten" in der EU oder oft umgangssprachlich als Data Protection Officer [DPO] bezeichnet). Ganz korrekt ist diese Ausführung indes nicht, denn ganz neu ist dieses Institut für die Schweiz nicht. Bereits unter dem alten DSG existierte das Institut des sog. "Datenschutzverantwortlichen", allerdings kam dies nur in einer Nebenspalte des Gesetzes vor. So bestand grundsätzlich die Pflicht für Unternehmen, ein Verzeichnis von Datensammlungen zu halten. Dieses Erfordernis entfiel aber, wenn man eben stattdessen einen sog. Datenschutzverantwortlichen hatte.

Smartphones und Tablets sind von „Nice-to-have-Gadgets“ längst zu akzeptierten IT-Systemen für den täglichen – auch produktiven – Gebrauch geworden. Glaubt man aktuellen Markterhebungen, bewegt sich der Marktanteil der iPhones um die 2 %. Da drängt sich die Frage auf, wie mit den chic gestylten Geräten respektive deren Betriebssystem iOS im Businessbereich umzugehen ist. Und dabei meinen wir nicht, ob Sie es sich persönlich leisten können und wollen, Ihr neues iPhone vorzuzeigen, was ja immer auch mit einer gewissen Statusaussage verbunden ist. Wir wollen eher einmal einen Blick darauf werfen, ob und inwieweit die Smartphone-Pioniere auch im Businessbereich nützlich sein können. Taugen iPhone und iPad zu mehr als zum “Protzen” vor den Kollegen?

Bereits viele Menschen arbeiten im Homeoffice und die Zahlen sind weiterhin steigend. In der Tat bringt das Homeoffice – sowohl für den Arbeitgeber als auch für den Arbeitnehmer – viele Vorteile mit sich. Dennoch handelt es sich bei der Arbeit im Homeoffice um eine Medaille mit zwei Seiten. Auf der einen Seite befinden sich die vorteilhaften Aspekte. Auf der anderen Seite stehen die Risiken, die vor allem durch die Cyber-Kriminellen und ihren Cyber-Attacken ausgehen.