Was ist der Unterschied zwischen DSG, nDSG und revDSG?
Es ist dasselbe Gesetz. Das revidierte Bundesgesetz über den Datenschutz (DSG, SR 235.1) gilt seit dem 1. September 2023; «nDSG» und «revDSG» sind gebräuchliche Kurzformen für diese Fassung.
Was sind besonders schützenswerte Personendaten?
Das DSG nennt sie in Art. 5 lit. c: Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten, über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie, genetische Daten, biometrische Daten, die eine Person eindeutig identifizieren, Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen sowie über Massnahmen der sozialen Hilfe. Bearbeiten Sie solche Daten in grossem Umfang, entfällt zum Beispiel die Befreiung kleinerer Unternehmen vom Verzeichnis der Bearbeitungstätigkeiten (Art. 24 DSV).
Muss mein Unternehmen ein Verzeichnis der Bearbeitungstätigkeiten führen?
Grundsätzlich ja (Art. 12 DSG). Unternehmen mit weniger als 250 Mitarbeitern sind davon befreit, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch (Art. 24 DSV). Die Angaben zu Standort und Sicherheitsmassnahmen bei uns finden Sie im AVV.
Gilt die DSGVO auch für mein Schweizer Unternehmen?
Das kann sein, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten in der EU beobachten (Art. 3 Abs. 2 DSGVO). Ob das bei Ihnen zutrifft, sollten Sie im Einzelfall klären lassen. Zusätzliche Vereinbarungen nach Art. 28 DSGVO halten wir auf Wunsch im AVV fest.
Was droht bei einem Verstoss gegen das DSG?
Mit Busse bis zu CHF 250'000.– werden private Personen auf Antrag bestraft, die vorsätzlich bestimmte Sorgfaltspflichten verletzen (Art. 61 DSG). Dazu gehört, die Datenbearbeitung einem Auftragsbearbeiter zu übergeben, ohne dass die Voraussetzungen nach Art. 9 Abs. 1 und 2 DSG erfüllt sind. Fällt eine Busse von höchstens CHF 50'000.– in Betracht, kann unter bestimmten Voraussetzungen statt der Person der Geschäftsbetrieb verurteilt werden (Art. 64 DSG).
Was muss in meiner Datenschutzerklärung zum Hosting stehen?
Das DSG verlangt unter anderem, die betroffenen Personen über die Empfänger oder Kategorien von Empfängern zu informieren, denen Personendaten bekanntgegeben werden, und bei einer Bekanntgabe ins Ausland über den Staat (Art. 19 Abs. 2 lit. c und Abs. 4 DSG). Wie Sie das für Ihren Fall formulieren, klären Sie am besten mit einer Fachperson. Speicherort Schweiz und keine Unterauftragsbearbeiter lassen sich einfach beschreiben.
Brauche ich einen Auftragsbearbeitungsvertrag?
Wenn ein Anbieter Personendaten in Ihrem Auftrag bearbeitet, muss die Übertragung vertraglich oder durch die Gesetzgebung erfolgen, und Sie müssen sich vergewissern, dass er die Datensicherheit gewährleisten kann (Art. 9 DSG). Ein Auftragsbearbeitungsvertrag hält beides fest. Für ThurVDC, ThurVServer, ThurFiles Business und ThurCloud Business haben wir einen AVV nach Art. 9 DSG.
Darf ich Personendaten in die USA geben?
Nur unter Bedingungen. Gemäss Anhang 1 der Datenschutzverordnung gilt der Datenschutz in den USA nur bei Organisationen als angemessen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind. Sonst braucht es geeignete Garantien wie Standarddatenschutzklauseln (Art. 16 DSG) oder eine der Ausnahmen nach Art. 17 DSG. Bei ThurData stellt sich die Frage nicht: Wir speichern Ihre Daten ausschliesslich in der Schweiz.
Was passiert, wenn beim Anbieter ein Datenleck entsteht?
Der Anbieter muss Ihnen eine Verletzung der Datensicherheit so rasch als möglich melden (Art. 24 Abs. 3 DSG). Führt sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen, melden Sie sie dem EDÖB (Art. 24 Abs. 1 DSG). Wir melden Ihnen einen solchen Vorfall an die Kontaktstelle aus dem AVV und unterstützen Sie bei der Meldung.
Wo liegen die Sicherungskopien?
Ebenfalls ausschliesslich in der Schweiz. Wir sichern täglich auf ein getrenntes Backup-System und zusätzlich auf Band; keine Kopie verlässt das Land.
Kann ThurData meine Daten einsehen?
Wir nehmen keine Einsicht in Ihre Inhalte. Ein Zugriff erfolgt nur, soweit er für eine Störungsbehebung, eine gebuchte Betriebsleistung oder auf Ihre Weisung nötig ist. Bei ThurVDC und ThurVServer kennen wir die Zugangsdaten Ihrer virtuellen Maschinen nicht.
Ist ThurData zertifiziert?
Nein. Das DSG sieht freiwillige Zertifizierungen vor (Art. 13 DSG), eine Pflicht dazu besteht nicht. ThurData ist weder nach dem DSG noch nach ISO 27001 zertifiziert. Unsere Sicherheitsmassnahmen legen wir stattdessen im AVV offen.
Wie geht ThurData mit Anfragen von Behörden um?
Wir geben Kundeninhalte nur heraus, soweit uns schweizerisches Recht oder eine für uns verbindliche Anordnung dazu verpflichtet. Jede Anfrage prüfen wir vorher auf Zuständigkeit, Rechtsgrundlage und Umfang; ausländische Anfragen verweisen wir auf den Rechts- oder Amtshilfeweg. Sie informieren wir vor einer Herausgabe, soweit das rechtlich zulässig ist.
Hilft ThurData, wenn eine Person Auskunft über ihre Daten verlangt?
Ja. Das Auskunftsrecht richtet sich an den Verantwortlichen (Art. 25 DSG), in der Regel also an Ihr Unternehmen. Wendet sich jemand mit einem solchen Begehren direkt an uns, leiten wir es an Sie weiter. Wir unterstützen Sie im Rahmen unserer Möglichkeiten bei der Beantwortung und bei einer Datenschutz-Folgenabschätzung (Art. 22 DSG); Aufwand über den Vertrag hinaus kündigen wir vorher an.
Was passiert mit unseren Daten, wenn wir den Vertrag beenden?
Sie exportieren Ihre Daten vor dem Ende der Leistung; der Export in eigener Regie ist kostenlos, ein Export durch uns wird nach Aufwand verrechnet. Danach löschen wir Ihre Inhalte nach den Bestimmungen des AVV für das jeweilige Produkt.