Vorlage

6. Grenzüberschreitenden Bekanntgabe (Art. 6 Abs. 1 DSG)

Ziel des Grundsatzes: Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde,

namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.

6.1 Angemessenes Schutzniveau (Art. 6 Abs. 2 DSG)

Massnahme

Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, so können

Personendaten ins Ausland nur bekannt gegeben werden, wenn:

a. hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland garantieren;

b. die betroffene Person im Einzelfall eingewilligt hat;

c. die Bearbeitung in unmittelbaren Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrages steht und es sich um Personendaten des Vertragspartners handelt;

d. die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist;

e. die Bekanntgabe im Einfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen;

f. die betroffene Person die Daten allgemein zugänglich gemacht und eine

Bekanntgabe nicht ausdrücklich untersagt hat;

g. die Bekanntgabe innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen und Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfindet, sofern die Beteiligten Datenschutzregeln unterstehen, welche einen angemessenen Schutz gewährleisten.

Umsetzung (Art. 6 Abs. 1 DSG)

Überprüfen, dass die Datenempfänger einer Gesetzgebung unterstehen, die einen

angemessenen Schutz gewährleistet (vgl. die unverbindliche Liste der Staaten mit

angemessener Datenschutzgesetzgebung, auf der Internetseite www.derbeauftragte.ch publiziert), sowie Überprüfung der Qualität der gelieferten Garantien für die Buchstaben a und g.

7. Datensicherheit (Art. 7 DSG)

Ziel des Grundsatzes: sicherstellen, dass die „Personendaten“ durch angemessene technische und organisatorische Massnahmen gegen unbefugtes „Bearbeiten“ geschützt werden.

7.1 Datenvertraulichkeit

Massnahme

Sicherstellen, dass die „Personendaten“ nicht anderen Personen, Einheiten oder nicht erlaubten Prozessen zur Verfügung gestellt oder bekannt gegeben werden.

Umsetzung (Anhang A von ISO 27001, vollumfänglich auf ISO 27002 verweisend)

A.7.x Management von organisationseigenen Werten

A.10.6.x Management der Netzsicherheit