DSGVO

Diese Erklärung beschreibt den organisatorischen Rahmen, den ROMAVIRO für den Schutz personenbezogener Daten und die Umsetzung anwendbarer Datenschutzanforderungen vorsieht. Sie orientiert sich an den Grundsätzen der Datenschutz-Grundverordnung der Europäischen Union (DSGVO, Verordnung (EU) 2016/679), soweit diese anwendbar ist, sowie am Schweizer Datenschutzgesetz (DSG).

Im Unterschied zur Datenschutzerklärung und zur Cookie-Richtlinie liegt der Schwerpunkt hier auf organisatorischen Abläufen, der Zuordnung von Verantwortlichkeiten, der Einschätzung von Risiken und den Verfahren zum Schutz personenbezogener Daten.

1. Verantwortung für den Datenschutz

Der Schutz personenbezogener Daten ist ein wichtiger Bestandteil der Geschäftstätigkeit über unsere Website.

Bei der Beurteilung von Datenbearbeitungen werden insbesondere folgende Aspekte berücksichtigt:

Art der jeweiligen Geschäftstätigkeit
Eingesetzte Technologien und Systeme
Mögliche Risiken für die Rechte und Freiheiten betroffener Personen

Wenn sich Geschäftsabläufe, eingesetzte Werkzeuge oder andere für Sicherheit und Datenschutz relevante Umstände ändern, werden die betreffenden Datenschutzverfahren bei Bedarf erneut überprüft.

2. Datenschutz bei der Gestaltung von Abläufen

Bei der Einführung neuer Funktionen, Werkzeuge oder Prozesse, die eine Bearbeitung personenbezogener Daten umfassen können, werden Datenschutzaspekte bereits bei der Planung berücksichtigt.

Soweit angemessen, orientieren sich die Systemkonfigurationen an folgenden Grundsätzen:

Zugriff auf Personendaten nur im tatsächlich erforderlichen Umfang
Verwendung von Personendaten nur für die jeweiligen notwendigen Zwecke
Überprüfung von Standardeinstellungen, um unnötige Datenbearbeitungen möglichst zu vermeiden

3. Risikobeurteilung und Risikomanagement

Datenbearbeitungen werden unter Berücksichtigung der möglichen Auswirkungen auf die Rechte und Freiheiten betroffener Personen beurteilt.

Dabei können insbesondere folgende Faktoren berücksichtigt werden:

Art der Datenbearbeitung
Umfang der bearbeiteten Daten
Kategorien der betroffenen Personendaten
Eingesetzte Technologien
Möglichkeiten des Datenzugriffs
Mögliche Folgen einer unbefugten Nutzung

Wenn eine Bearbeitung voraussichtlich ein hohes Risiko mit sich bringt, wird nach Massgabe der DSGVO geprüft, ob eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) erforderlich ist.

4. Datenschutz-Folgenabschätzung

Sofern die gesetzlichen Voraussetzungen erfüllt sind, kann vor Beginn einer entsprechenden Datenbearbeitung eine Datenschutz-Folgenabschätzung durchgeführt werden.

Sie dient insbesondere dazu:

Mögliche Risiken zu erkennen
Wahrscheinlichkeit und Schwere möglicher Auswirkungen einzuschätzen
Geeignete Massnahmen zur Risikominderung festzulegen
Zu beurteilen, ob die geplante Datenbearbeitung unter angemessenen Datenschutzbedingungen durchgeführt werden kann

Wenn nach der Bewertung ein hohes Restrisiko bestehen bleibt, das sich durch geeignete Massnahmen nicht ausreichend vermindern lässt, werden die nach dem anwendbaren Recht erforderlichen weiteren Schritte geprüft.

5. Umgang mit externen Auftragsbearbeitern

Wenn externe Dienstleister Personendaten im Auftrag von ROMAVIRO bearbeiten, werden bei ihrer Auswahl die nach dem anwendbaren Datenschutzrecht erforderlichen Schutzvorkehrungen berücksichtigt.

Der Umfang der beauftragten Tätigkeiten richtet sich nach den tatsächlichen betrieblichen Anforderungen und den jeweiligen Zuständigkeiten.

Soweit die DSGVO dies verlangt, wird die Zusammenarbeit mit Auftragsbearbeitern durch geeignete Verträge oder andere rechtlich wirksame Vereinbarungen geregelt.

Beauftragte Stellen sollen:

Personendaten nur im Rahmen der übertragenen Aufgaben bearbeiten
Die anwendbaren Vorgaben und rechtmässigen Weisungen einhalten

6. Berechtigungen und Zugriffskontrolle

Der Zugriff auf Personendaten wird nach dem jeweiligen betrieblichen Bedarf beschränkt.

Zugriffsberechtigungen werden entsprechend den Aufgaben und Zuständigkeiten vergeben. Wenn ein Zugriff nicht mehr erforderlich ist, können die betreffenden Berechtigungen angepasst oder entzogen werden.

Diese Massnahmen dienen dazu, das Risiko zu verringern, dass Personendaten unbefugt eingesehen, verwendet oder verändert werden.

7. Umgang mit Datenschutzverletzungen

Bei Ereignissen, welche die Sicherheit personenbezogener Daten beeinträchtigen könnten, werden insbesondere deren Art, Umfang und mögliche Folgen beurteilt.

Wird eine Datenschutzverletzung festgestellt, werden geeignete Massnahmen ergriffen, um den Vorfall einzudämmen und mögliche Auswirkungen zu begrenzen.

Soweit eine Meldung an eine Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen gesetzlich vorgeschrieben ist, werden die jeweils anwendbaren Voraussetzungen, Fristen und weiteren Anforderungen berücksichtigt.

8. Dokumentation und Aufzeichnungen

Je nach Art und Umfang der Geschäftstätigkeit werden die gesetzlich erforderlichen Unterlagen und Aufzeichnungen geführt, um die Umsetzung anwendbarer Datenschutzanforderungen nachvollziehbar zu dokumentieren.

Dazu können insbesondere Unterlagen gehören über:

Datenbearbeitungsvorgänge
Umgesetzte technische und organisatorische Schutzmassnahmen
Durchgeführte Risikobeurteilungen
Erteilte Zugriffsberechtigungen
Weitere Massnahmen im Zusammenhang mit dem Datenschutz

9. Sensibilisierung und Schulung

Personen, die zum Zugriff auf Personendaten berechtigt sind, sollen ihre Verantwortung im Umgang mit diesen Daten kennen.

Abhängig von den jeweiligen Aufgaben können die relevanten Informationen und Schulungsinhalte folgende Themen umfassen:

Vertraulichkeit und Schutz personenbezogener Daten
Ordnungsgemässer Zugriff auf Daten
Bearbeitung von Anfragen betroffener Personen
Vorgehen bei tatsächlichen oder vermuteten Sicherheitsvorfällen

Eine Zugriffsberechtigung erlaubt nicht, Personendaten ausserhalb des genehmigten Aufgabenbereichs oder für nicht vorgesehene Zwecke zu verwenden.

10. Datenschutzbeauftragte Person

Wenn die gesetzlichen Voraussetzungen der DSGVO erfüllt sind, wird geprüft, ob eine Datenschutzbeauftragte Person (Data Protection Officer, DPO) benannt werden muss.

Bei dieser Beurteilung werden insbesondere Art, Umfang, Zwecke und Umfang der Datenbearbeitung berücksichtigt.

Diese Erklärung stellt keine Bestätigung dar, dass bereits eine Datenschutzbeauftragte Person benannt wurde.

11. Zusammenarbeit mit Aufsichtsbehörden

Soweit dies gesetzlich erforderlich ist, arbeitet ROMAVIRO bei Datenschutzfragen mit den zuständigen Aufsichtsbehörden zusammen.

Für die Aufsicht über den Datenschutz auf Bundesebene in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig.

Soweit die DSGVO anwendbar ist, können zusätzlich die jeweils zuständigen europäischen Datenschutzaufsichtsbehörden zuständig sein.

Die Zusammenarbeit kann insbesondere die Bearbeitung behördlicher Anfragen, die Mitwirkung bei Prüfungen sowie die Behandlung gesetzlich vorgesehener Mitteilungen umfassen.

12. Überprüfung der Datenschutzmassnahmen

Wenn sich Geschäftsabläufe, eingesetzte Systeme, erkannte Risiken oder anwendbare gesetzliche Anforderungen wesentlich ändern, werden die betreffenden Datenschutzverfahren überprüft.

Dabei können insbesondere folgende Aspekte beurteilt werden:

Wirksamkeit bestehender Schutzmassnahmen
Zugriffsberechtigungen
Organisatorische Abläufe
Bereits erkannte oder neu auftretende Risiken

Soweit erforderlich, werden Anpassungen vorgenommen, damit die Datenschutzmassnahmen zur tatsächlichen Geschäftstätigkeit und den damit verbundenen Risiken passen.

13. Aktualisierung dieser Erklärung

Diese Erklärung kann angepasst werden, wenn sich gesetzliche Anforderungen, technische Rahmenbedingungen, organisatorische Abläufe oder die Verwaltung von Datenbearbeitungen ändern.

Erforderliche Änderungen werden geprüft und bei Bedarf aufgenommen, damit der beschriebene organisatorische Datenschutzrahmen angemessen und nachvollziehbar bleibt.