Datenschutz

Datenschutzbestimmungen

1. Zweck und Umfang

Wir, die DASTI AG, schätzen Ihr Interesse an unseren Dienstleistungen sehr. Datenschutz hat bei uns einen hohen Stellenwert. Eine Nutzung unserer Internetseiten ist grundsätzlich ohne jede Angabe personenbezogener Daten möglich. Sollten Sie jedoch unsere Dienstleistungen in Anspruch nehmen wollen, könnte eine Verarbeitung personenbezogener Daten erforderlich werden. Ist die Verarbeitung personenbezogener Daten erforderlich und besteht für eine solche Verarbeitung keine gesetzliche Grundlage, holen wir generell eine Einwilligung der betroffenen Person ein. Mit dieser Datenschutzerklärung möchten wir Sie über den Umfang der Verarbeitung Ihrer personenbezogenen Daten (nachfolgend nur noch „Daten“) informieren. Die Verarbeitung Ihrer Daten erfolgt stets im Einklang mit der Datenschutz-Grundverordnung und in Übereinstimmung mit den geltenden landesspezifischen Datenschutzbestimmungen. Daher beachten wir das Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG; SR 235.1) und die Verordnung über den Datenschutz vom 31. August 2022 (DSV; SR 235.11) sowie kantonale Bestimmungen des DSG und der EU-Datenschutz- Grundverordnung (DSGVO). Unser Datenschutzkonzept trägt der Bedeutung und dem Stellenwert des Datenschutzes Rechnung.

Personenbezogene Daten dürfen nur so weit bearbeitet werden, als dies aus betrieblichen Gründen, namentlich im Hinblick auf die ordnungsgemässe Durchführung des Arbeitsvertrags, notwendig ist (Art. 328b OR). Datenübermittlungen in Drittstaaten sind über gesetzeskonforme vertragliche Regelungen wie z.B. EU-Standardverträge geregelt. Unsere Mitarbeitenden sind beim Umgang mit Patientendaten an das kantonale Datenschutzgesetz sowie an das Berufsgeheimnis und Amtsgeheimnis (Art. 320 und 321 StGB) gebunden. Die Schweigepflicht (§ 19 GesG3, Berufsgeheimnis) schützt die Vertrauensbeziehung der behandelten Person zum medizinischen Personal. Wir versichern, alles zu tun, um Ihre persönlichen Daten zu schützen und strikte Vertraulichkeitsstandards einzuhalten, um unbefugten Zugriff oder unbefugte Nutzung zu verhindern. Dabei sollen missbräuchliche Datenbearbeitungen und Verletzungen der Privatsphäre und Persönlichkeitsrechten verhindert werden. Wir haben technische und organisatorische Massnahmen getroffen, um einen möglichst lückenlosen Schutz sicherzustellen, dass die Vorschriften über den Datenschutz sowohl von uns als auch von externen Dienstleistern beachtet werden. Diese Datenschutzbestimmungen stellen keine abschliessende Beschreibung dar; allenfalls regeln andere den Datenschutz betreffende Erklärungen spezifische Sachverhalte.

2. Geltungsbereich

Die nachfolgenden Erläuterungen gelten für alle Organe, die im Rahmen der Erfüllung ihrer Funktionen und Aufgaben personenbezogene Daten verarbeiten. Dies umfassten die Verarbeitung sowie die Einhaltung definierter Richtlinien zur Verarbeitung von personenbezogenen Daten von Kunden, Mitarbeitern, Bewerbern, Partnern, Lieferanten und weiteren Dritten. Der Schutz erstreckt sich auf alle personenbezogenen Daten, die schriftlich oder digital erfasst oder mündlich mitgeteilt werden. Die Verpflichtung zur Einhaltung des Datenschutzes und der hier festgelegten Richtlinien ist ein integraler Bestandteil unserer Allgemeinen Geschäftsbedingungen (AGB) und wird bei der von Arbeitsverträgen, Leistungsvereinbarungen oder Auftragsvergaben gemäss unseren AGB anerkannt.

3. Definitionen und Abkürzungen
Siehe Anhang 1

4. Verantwortung und Kompetenzen

Die Verantwortung für die Einhaltung dieser Weisung liegt bei der von der Geschäftsleitung ernannten Datenschutzverantwortlichen, die auch als Dokumentenverantwortliche fungiert. Die Geschäftsleitung legt in Zusammenarbeit mit der Datenschutzverantwortlichen die übergeordneten Grundsätze zur Sicherstellung des Datenschutzes fest. Die Datenschutzverantwortliche arbeitet gemeinsam mit den jeweils zuständigen Führungspersonen für jede Datensammlung, um festzulegen, wer unter welchen Bedingungen Zugang  zu personenbezogenen Daten hat und wie diese Zugriffe überwacht werden.

Auf Basis des Inventars erstellt die Datenschutzverantwortliche ein Register der Datensammlungen und Datenverarbeitungen, das den gesetzlichen Anforderungen entspricht und stets aktuell gehalten wird. Ebenso ist festgelegt, wer den Zugang zu archivierten Daten gewähren kann. In Einzelfällen prüft die Datenschutzverantwortliche die Zulässigkeit und die ausreichenden Schutzmassnahmen der Datenverarbeitung und

entscheidet über die Art und Weise (schriftlich, mündlich, elektronisch, automatisiert) sowie den Umfang der Weitergabe/Bekanntgabe von personenbezogenen Daten und die erforderlichen Schutzmechanismen. Für jede Datensammlung sind Dateneigner benannt. Diese gewährleisten die Einhaltung der datenschutzrechtlichen Anforderungen in technischer und organisatorischer Hinsicht. Sie bestimmen, welche Personen für die Datenverarbeitung autorisiert sind und welche Zugriffsrechte sie gemäss dem Need-to-Know-Prinzip haben. Im Allgemeinen müssen Mitarbeitende die Autorisierung des Dateneigners einholen, um eine Datensammlung zu bearbeiten. Die Zuordnung der Dateneigner und der aktuelle Stand des Inventars der Datensammlungen sind im Intranet einsehbar. Führungskräfte auf allen Hierarchieebenen übernehmen eine Vorbildfunktion und fördern die Sensibilisierung der Mitarbeitenden für den Datenschutz in ihrem beruflichen Handeln. Sie sind in ihren Verantwortungsbereichen für die Durchsetzung und Einhaltung des Datenschutzes verantwortlich, insbesondere im Rahmen dieses Konzepts und der Geschäftsprozesse. Sie sorgen in Zusammenarbeit mit der Datenschutzverantwortlichen für die Sensibilisierung der Mitarbeitenden für den Datenschutz und bieten praxisnahe Schulungen an. Mitarbeitende bewahren alle Daten so auf, dass Unbefugten der Zugriff verwehrt bleibt. Sie dürfen personenbezogene Daten von Kunden nur in dem Umfang verarbeiten, der für die jeweilige Aufgabe erforderlich ist. Sie sind verpflichtet, personenbezogene Daten unter strikter Einhaltung der Schweigepflicht zu verwalten, um unbefugte Einsichten zu verhindern und das Berufsgeheimnis zu wahren. Papierbasierte Datensätze sind in abschliessbaren Räumen oder Behältnissen aufzubewahren. Die Mitarbeitenden der Abteilung Human Resources sind insbesondere für die sorgfältige und korrekte Verarbeitung der Personaldaten in den Personaldossiers verantwortlich. Bei Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten, schliessen wir Verträge ab, die sicherstellen, dass der Datenschutz gewährleistet wird. Unsere Dienstleister befinden sich grösstenteils in der Schweiz oder der EU

/ dem EWR. Unter bestimmten Umständen können personenbezogene Daten auch in die USA übermittelt werden (z.B. Google Analytics-Daten) oder in Ausnahmefällen in andere Länder weltweit. Sollte eine Übermittlung von Daten in Länder erfolgen, die kein angemessenes Datenschutzniveau bieten, geschieht dies auf Basis der EU-Standardvertragsklauseln (z.B.im Falle von Google) oder anderer geeigneter Instrumente.

5.      Aufklärung

Um die datenschutzrechtliche Korrektheit im Alltag zu gewährleisten, bieten wir umfassende Handlungsanleitungen an. Sowohl unsere Kunden als auch unsere Mitarbeiter werden bei ihrem Eintritt ausführlich über ihre datenschutzrechtlichen Rechte und Pflichten informiert.

6.      Sanktionierung

Im Falle von Datenschutzverstössen trifft die Leitung der Abteilung Human Resources in enger Abstimmung mit der Datenschutzbeauftragten und gegebenenfalls der Geschäftsleitung eine Entscheidung über geeignete disziplinarische Massnahmen und Sanktionen. Diese können von einfachen Verweisen bis hin zur Einleitung strafrechtlicher Verfahren reichen. Die DASTI AG behält sich das Recht vor, bei materiellen oder immateriellen Schäden Haftpflichtansprüche geltend zu machen. Bei unberechtigten Zugriffen auf das Konzept zur Informationssicherheit und zum Datenschutz (KISIM) wird zunächst ein Gespräch geführt, gefolgt von einer schriftlichen Verwarnung. Bei wiederholten Verstössen wird ein Verweis ausgestellt und kann schliesslich zur Kündigung führen. Es ist zu beachten, dass diese Massnahmen dazu dienen, die Integrität unserer Systeme zu wahren und den Schutz der uns anvertrauten Daten zu gewährleisten.

7.      Meldungen zum Datenschutz

Bei Fragen zur Verarbeitung oder Weitergabe personenbezogener Daten können sich die Mitarbeiter an die Datenschutzbeauftragte wenden, die als zentrale Anlaufstelle für Datenschutzfragen fungiert. Jeder Mitarbeiter ist verpflichtet, neue Datensammlungen vor deren Einrichtung der Datenschutzbeauftragten zu melden. Ausgenommen von dieser Meldepflicht sind Datensammlungen, die für einen Zeitraum von weniger als 6 Monaten angelegt werden und ausschliesslich zum Zweck der späteren Integration in eine bereits gemeldete Datensammlung dienen. Änderungen an bestehenden Datensammlungen oder der Datenverarbeitung, insbesondere das Löschen von Datensammlungen oder das Hinzufügen neuer Felder mit besonders schützenswerten personenbezogenen Daten, sind ebenfalls der Datenschutzbeauftragten durch den Mitarbeitenden zu melden.

8. Bereitstellungspflicht

Im Rahmen unserer Geschäftsbeziehung sind Sie verpflichtet, diejenigen personenbezogenen Daten bereitzustellen, die für die Aufnahme und Durchführung einer Geschäftsbeziehung sowie zur Erfüllung der damit verbundenen vertraglichen Verpflichtungen erforderlich sind. Ohne diese Daten könnte die Möglichkeit eines Vertragsabschlusses oder einer Vertragsdurchführung eingeschränkt sein. Eine gesetzliche Pflicht zur Datenbereitstellung besteht in der Regel nicht. Jedoch möchten wir darauf hinweisen, dass ohne diese Daten die Möglichkeit eines Vertragsabschlus