Der Schutz personenbezogener Daten ist ein wichtiger Bestandteil der organisatorischen Abläufe von NELCARIO. Diese Richtlinie erläutert, wie Datenschutzanforderungen bei der Verwaltung unseres Onlineshops berücksichtigt werden, wie wir mit möglichen Risiken umgehen und welche organisatorischen Verfahren zum Schutz personenbezogener Daten vorgesehen sind.
Die Grundlage bildet das Schweizer Bundesgesetz über den Datenschutz (DSG) mit der dazugehörigen Datenschutzverordnung (DSV). Soweit die europäische Datenschutz-Grundverordnung (DSGVO) auf bestimmte Bearbeitungstätigkeiten anwendbar ist, werden auch deren Anforderungen berücksichtigt.
Im Mittelpunkt dieser Richtlinie stehen die organisatorische Verantwortung, die Risikobewertung, die Zusammenarbeit mit Dienstleistern und die regelmässige Überprüfung von Datenschutzmassnahmen.
1. Verantwortung für den Datenschutz
NELCARIO berücksichtigt den Schutz personenbezogener Daten bei der Planung und Durchführung seiner betrieblichen Tätigkeiten.
Die Anforderungen an die Datenbearbeitung werden insbesondere anhand folgender Faktoren beurteilt:
-
Art und Zweck der jeweiligen Bearbeitung
-
Eingesetzte technische Systeme und Anwendungen
-
Umfang und Art der betroffenen Daten
-
Mögliche Risiken für die Persönlichkeit und die Grundrechte betroffener Personen
-
Gesetzliche Anforderungen an die jeweilige Bearbeitung
Wenn sich Geschäftsabläufe, technische Systeme oder sicherheitsrelevante Umstände ändern, können bestehende Datenschutzverfahren erneut überprüft und entsprechend angepasst werden.
2. Datenschutz bei der Entwicklung neuer Funktionen
Bei der Einführung neuer Website-Funktionen, technischer Anwendungen oder interner Prozesse werden die damit verbundenen Datenschutzanforderungen bereits in der Planungsphase berücksichtigt.
Dabei orientieren wir uns an den Grundsätzen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.
Je nach Funktion und technischem Bedarf können folgende Aspekte berücksichtigt werden:
-
Beschränkung des Datenzugriffs auf berechtigte Personen
-
Bearbeitung nur der für den jeweiligen Zweck erforderlichen Daten
-
Begrenzung unnötiger Datenverwendungen
-
Prüfung der vorgesehenen Standardeinstellungen
-
Berücksichtigung geeigneter technischer Schutzmassnahmen
Ziel ist es, unnötige Datenbearbeitungen möglichst früh zu vermeiden und Datenschutzanforderungen in die jeweiligen Abläufe einzubeziehen.
3. Bewertung und Verwaltung von Datenschutzrisiken
Bei Tätigkeiten, die eine Bearbeitung personenbezogener Daten umfassen, werden mögliche Risiken entsprechend ihrer Art und Bedeutung beurteilt.
Eine solche Bewertung kann insbesondere folgende Faktoren berücksichtigen:
-
Zweck und Art der Datenbearbeitung
-
Umfang der bearbeiteten Informationen
-
Kategorien der betroffenen Daten
-
Eingesetzte Technologien
-
Zugriffs- und Berechtigungsmöglichkeiten
-
Mögliche Folgen eines unberechtigten Zugriffs oder einer missbräuchlichen Verwendung
Werden erhöhte Risiken festgestellt, wird geprüft, welche organisatorischen oder technischen Massnahmen erforderlich sind, um diese zu verringern.
Bei Bearbeitungstätigkeiten, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen mit sich bringen, werden die gesetzlichen Anforderungen an eine Datenschutz-Folgenabschätzung berücksichtigt.
4. Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (DSFA) dient dazu, mögliche Risiken einer geplanten Datenbearbeitung frühzeitig zu erkennen und geeignete Schutzmassnahmen festzulegen.
Wenn die Voraussetzungen nach dem Schweizer Datenschutzgesetz oder einer zusätzlich anwendbaren DSGVO erfüllt sind, wird die Erforderlichkeit einer solchen Abschätzung vor Beginn der betreffenden Bearbeitung geprüft.
Im Rahmen einer Datenschutz-Folgenabschätzung können insbesondere folgende Aspekte untersucht werden:
-
Art und Zweck der geplanten Datenbearbeitung
-
Mögliche Risiken für betroffene Personen
-
Wahrscheinlichkeit und Schwere möglicher Auswirkungen
-
Vorgesehene Massnahmen zur Risikobegrenzung
-
Verbleibende Risiken nach Umsetzung der Schutzmassnahmen
Zeigt die Bewertung, dass trotz vorgesehener Massnahmen ein hohes Risiko bestehen bleibt, werden die nach anwendbarem Recht erforderlichen weiteren Schritte geprüft. Dazu kann unter den gesetzlichen Voraussetzungen auch die Konsultation der zuständigen Datenschutzaufsichtsbehörde gehören.
5. Zusammenarbeit mit externen Dienstleistern
Für bestimmte technische oder betriebliche Aufgaben kann NELCARIO externe Dienstleister einsetzen, die personenbezogene Daten im Rahmen ihrer Aufgaben bearbeiten.
Bei der Auswahl solcher Dienstleister werden die jeweils anwendbaren Datenschutzanforderungen und die erforderlichen Schutzmassnahmen berücksichtigt.
Die übertragenen Aufgaben richten sich nach dem tatsächlichen betrieblichen Bedarf.
Soweit gesetzlich erforderlich, wird die Zusammenarbeit durch geeignete vertragliche Vereinbarungen oder andere rechtlich verbindliche Regelungen festgelegt.
Dabei werden insbesondere folgende Grundsätze berücksichtigt:
-
Bearbeitung personenbezogener Daten nur im Rahmen der übertragenen Aufgaben
-
Einhaltung der anwendbaren Weisungen
-
Berücksichtigung erforderlicher Vertraulichkeits- und Sicherheitsmassnahmen
-
Beschränkung der Datenverwendung auf die vorgesehenen Zwecke
Wenn Dienstleister Daten im Auftrag von NELCARIO bearbeiten, werden die entsprechenden Verantwortlichkeiten nach den anwendbaren gesetzlichen Bestimmungen geregelt.
6. Verwaltung von Zugriffsrechten
Der Zugriff auf personenbezogene Daten wird entsprechend den jeweiligen betrieblichen Aufgaben und dem tatsächlichen Informationsbedarf beschränkt.
Zugriffsberechtigungen können abhängig von den Zuständigkeiten einzelner Personen oder Dienstleister vergeben werden.
Dabei gelten folgende organisatorische Grundsätze:
-
Zugriffsrechte orientieren sich an der jeweiligen Aufgabe.
-
Personen erhalten nur die für ihre Tätigkeit erforderlichen Berechtigungen.
-
Bestehende Berechtigungen können bei veränderten Aufgaben angepasst werden.
-
Nicht mehr benötigte Zugriffsrechte können aufgehoben werden.
Diese Massnahmen dienen dazu, das Risiko unberechtigter Einsichtnahme, Veränderung oder Verwendung personenbezogener Daten zu reduzieren.
7. Umgang mit Datenschutzvorfällen
Bei einem vermuteten oder festgestellten Vorfall, der die Sicherheit personenbezogener Daten beeinträchtigen könnte, werden die Umstände entsprechend ihrer Bedeutung beurteilt.
Dabei können insbesondere folgende Faktoren berücksichtigt werden:
-
Art des Sicherheitsvorfalls
-
Betroffene Daten und Systeme
-
Umfang der möglichen Beeinträchtigung
-
Auswirkungen auf betroffene Personen
-
Erforderliche Massnahmen zur Begrenzung weiterer Risiken
Wenn eine Verletzung der Datensicherheit festgestellt wird, werden geeignete Massnahmen zur Eindämmung des Vorfalls und zur Verringerung möglicher Folgen geprüft und ergriffen.
Besteht voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen, wird die nach Schweizer Datenschutzrecht erforderliche Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch wie möglich vorgenommen.
Betroffene Personen werden informiert, wenn dies zu ihrem Schutz erforderlich ist oder die zuständige Aufsichtsbehörde eine entsprechende Mitteilung verlangt.
Soweit für eine bestimmte Datenbearbeitung zusätzlich die DSGVO anwendbar ist, werden auch die dort vorgesehenen Melde- und Informationspflichten beachtet.
8. Dokumentation der Datenbearbeitung
Soweit gesetzlich erforderlich, werden geeignete Unterlagen und Aufzeichnungen geführt, um Datenschutzmassnahmen und relevante Bearbeitungstätigkeiten nachvollziehbar zu dokumentieren.
Je nach Art und Umfang der betrieblichen Tätigkeiten können diese Unterlagen folgende Bereiche betreffen:
-
Verzeichnis der Bearbeitungstätigkeiten
-
Technische und organisatorische Datenschutzmassnahmen
-
Ergebnisse von Risikobewertungen
-
Zugriffsberechtigungen
-
Datenschutz-Folgenabschätzungen
-
Massnahmen im Zusammenhang mit Datenschutzvorfällen
Umfang und Inhalt der Dokumentation richten sich nach den tatsächlichen Bearbeitungstätigkeiten und den jeweils geltenden gesetzlichen Anforderungen.
9. Datenschutzbewusstsein und Schulung
Personen, die im Rahmen ihrer Aufgaben Zugriff auf personenbezogene Daten erhalten, sollen die damit verbundenen Pflichten und Verantwortlichkeiten kennen.
Je nach Aufgabenbereich können entsprechende Informationen oder Schulungsmassnahmen folgende Themen behandeln:
-
Vertraulicher Umgang mit personenbezogenen Daten
-
Sachgerechte Nutzung von Zugriffsberechtigungen
-
Bearbeitung von Datenschutzanfragen
-
Erkennung möglicher Sicherheitsrisiken
-
Vorgehen bei vermuteten oder festgestellten Datenschutzvorfällen
Eine Zugriffsberechtigung erlaubt keine Verwendung personenbezogener Daten ausserhalb der vorgesehenen und rechtlich zulässigen Zwecke.
10. Datenschutzberatung und Datenschutzbeauftragte
Nach Schweizer Datenschutzrecht können private Verantwortliche unter den gesetzlichen Voraussetzungen eine Datenschutzberaterin oder einen Datenschutzberater ernennen.
Soweit die DSGVO auf bestimmte Bearbeitungstätigkeiten anwendbar ist, wird geprüft, ob eine gesetzliche Pflicht zur Benennung einer oder eines Datenschutzbeauftragten (Data Protection Officer, DPO) besteht.
Diese Beurteilung berücksichtigt insbesondere:
-
Art der Datenbearbeitung
-
Umfang der Verarbeitungstätigkeiten
-
Verfolgte Zwecke
-
Umfang und Regelmässigkeit der betroffenen Tätigkeiten
Wenn die gesetzlichen Voraussetzungen eine entsprechende Ernennung verlangen, werden die erforderlichen Schritte berücksichtigt.
Diese Richtlinie stellt keine Erklärung dar, dass bereits eine Datenschutzberaterin, ein Datenschutzberater oder ein DPO ernannt wurde.
11. Zusammenarbeit mit Aufsichtsbehörden
Bei datenschutzrechtlichen Fragen, die in den Zuständigkeitsbereich einer Aufsichtsbehörde fallen, werden die geltenden gesetzlichen Mitwirkungs- und Auskunftspflichten berücksichtigt.
Für die Aufsicht über die Anwendung der bundesrechtlichen Datenschutzvorschriften in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig.
Die Zusammenarbeit mit zuständigen Behörden kann insbesondere folgende Tätigkeiten umfassen:
-
Bearbeitung behördlicher Anfragen
-
Bereitstellung gesetzlich erforderlicher Informationen
-
Mitwirkung bei zulässigen Prüfungen und Abklärungen
-
Bearbeitung gesetzlich vorgesehener Mitteilungen
Falls für bestimmte Datenbearbeitungen weitere Datenschutzaufsichtsbehörden zuständig sind, werden deren rechtmässige Anforderungen im jeweils anwendbaren Umfang berücksichtigt.
12. Regelmässige Überprüfung der Datenschutzmassnahmen
Datenschutzbezogene Verfahren können überprüft werden, wenn sich wesentliche Rahmenbedingungen ändern.
Dazu zählen insbesondere:
-
Änderungen der betrieblichen Tätigkeiten
-
Einführung neuer technischer Systeme
-
Neue oder veränderte Datenschutzrisiken
-
Anpassungen gesetzlicher Anforderungen
-
Änderungen bei internen Zuständigkeiten oder Zugriffsrechten
Im Rahmen solcher Überprüfungen können die Wirksamkeit bestehender Schutzmassnahmen, die Verwaltung von Berechtigungen und die Angemessenheit organisatorischer Abläufe beurteilt werden.
Falls erforderlich, werden Anpassungen vorgenommen, die sich an den tatsächlichen Risiken und den anwendbaren gesetzlichen Anforderungen orientieren.
13. Aktualisierung dieser Richtlinie
Diese Richtlinie kann überarbeitet werden, wenn Änderungen der rechtlichen, technischen oder organisatorischen Rahmenbedingungen dies erforderlich machen.
Mögliche Gründe für eine Aktualisierung sind:
-
Änderungen des anwendbaren Datenschutzrechts
-
Weiterentwicklungen technischer Anwendungen
-
Anpassungen betrieblicher Prozesse
-
Neue Erkenntnisse aus Risikobewertungen
-
Änderungen bei der Organisation der Datenbearbeitung
Die jeweiligen Anpassungen werden unter Berücksichtigung der tatsächlichen Bearbeitungstätigkeiten und der einschlägigen Datenschutzanforderungen beurteilt.
14. Kontakt bei Fragen zum Datenschutz
Wenn Sie Fragen zu dieser Richtlinie oder zur organisatorischen Umsetzung von Datenschutzanforderungen bei NELCARIO haben, können Sie sich über die folgenden Kontaktdaten an uns wenden.
Shopname: NELCARIO
Kontaktadresse: 7013 Carver Ave, Texas City, TX 77591, USA
Telefon: +1 (409) 638-2947
E-Mail: supportteam@nelcario.com
Belieferte Region: Schweiz
Anfragen zum Datenschutz und zu den entsprechenden organisatorischen Verfahren werden unter Berücksichtigung ihres Inhalts und der anwendbaren gesetzlichen Bestimmungen geprüft und bearbeitet.