🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[Datenschutzbeauftragte(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie gewährleistet die Einhaltung der Datenschutzgesetze (insbesondere DSG und DSGVO) und definiert den Umgang mit personenbezogenen Daten, um die Rechte betroffener Personen zu wahren und die Vertraulichkeit, Integrität und Verfügbarkeit der Datenverarbeitung im Unternehmen sicherzustellen.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle Mitarbeitenden, externen Dienstleister und Partner, die personenbezogene Daten verarbeiten oder Zugang zu solchen Daten haben.
- Sämtliche Datenverarbeitungstätigkeiten, unabhängig davon, ob sie digital, analog, vor Ort oder remote erfolgen.

---

## 3. Anforderungen

### **3.1 Datenerhebung**
- Personenbezogene Daten dürfen nur für klar definierte, legitime und dokumentierte Zwecke erhoben werden.
- Die Erhebung ist auf das **notwendige Minimum** zu beschränken (Datenminimierung).
- Vor der Erhebung müssen betroffene Personen durch eine vom [[Datenschutzbeauftragte(r)]] genehmigte Datenschutzerklärung informiert werden, die folgende Informationen enthält:
  - Zweck der Verarbeitung,
  - Rechtsgrundlage,
  - Speicherdauer,
  - Rechte der betroffenen Person.

### **3.2 Datenspeicherung und -verarbeitung**
- Personenbezogene Daten sind in sicheren, autorisierten Systemen zu speichern und zu verarbeiten.
- Der Zugriff erfolgt nach dem **Need-to-Know-Prinzip**: Nur Mitarbeitende, die die Daten für ihre Tätigkeit benötigen, dürfen Zugriff erhalten.
- Daten, die nicht mehr benötigt werden, müssen gemäß den internen Löschvorgaben gelöscht oder anonymisiert werden. Diese Prozesse sind regelmäßig zu überprüfen.

### **3.3 Einwilligung und Rechte betroffener Personen**
- Eine Verarbeitung personenbezogener Daten ist nur bei Vorliegen einer gültigen Rechtsgrundlage zulässig (z. B. Einwilligung, Vertragserfüllung, rechtliche Verpflichtung).
- Rechte betroffener Personen:
  - **Auskunft**: Betroffene haben das Recht, Informationen über ihre gespeicherten Daten zu erhalten.
  - **Berichtigung**: Fehlerhafte Daten müssen auf Anfrage berichtigt werden.
  - **Löschung**: Daten sind zu löschen, sofern keine rechtlichen Aufbewahrungspflichten bestehen.
  - **Einschränkung/Widerspruch**: Personen können die Verarbeitung einschränken oder widersprechen.
- Anfragen sind unverzüglich, spätestens jedoch innerhalb der gesetzlichen Fristen zu bearbeiten. Der [[Datenschutzbeauftragte(r)]] unterstützt bei der Bearbeitung.

### **3.4 Maßnahmen zur Datensicherheit**
- Personenbezogene Daten sind durch technische und organisatorische Maßnahmen (TOMs) zu schützen:
  - Verschlüsselung sensibler Daten,
  - Zugriffskontrollen,
  - regelmäßige Sicherheitsupdates.
- Eine Speicherung auf nicht autorisierten Geräten, Plattformen oder Cloud-Diensten ist verboten.
- Datenverarbeitungen außerhalb der EU oder Schweiz bedürfen der Genehmigung des/der [[Datenschutzbeauftragte(r)]] und müssen den DSGVO-Anforderungen entsprechen (z. B. Standardvertragsklauseln, Angemessenheitsbeschluss).

### **3.5 Protokollierung und Überwachung**
- Alle Zugriffe und Verarbeitungstätigkeiten sind zu protokollieren und regelmäßig auf Anomalien zu überprüfen.
- Verdacht auf unbefugte Zugriffe, Datenverluste oder Verstöße gegen Datenschutzvorgaben ist unverzüglich dem [[Datenschutzbeauftragte(r)]] zu melden.

### **3.6 Schulung und Sensibilisierung**
- Jährliche Datenschutzschulungen sind für alle Mitarbeitenden verpflichtend, die personenbezogene Daten verarbeiten.
- Schulungsinhalte umfassen:
  - Rechte und Pflichten im Datenschutz,
  - Maßnahmen zur Datensicherheit,
  - Umgang mit Datenschutzverletzungen.
- Neue Mitarbeitende erhalten während des Onboardings eine Einführung in die Datenschutzrichtlinie.

### **3.7 Datenschutzverletzungen**
- Datenschutzverletzungen sind unverzüglich dem [[Datenschutzbeauftragte(r)]] zu melden. Dieser entscheidet über:
  - Information betroffener Personen,
  - Meldung an die zuständige Datenschutzbehörde (gemäß gesetzlicher Fristen, z. B. 72 Stunden gemäß DSGVO).
- Alle Datenschutzverletzungen werden dokumentiert und regelmäßig ausgewertet, um präventive Maßnahmen abzuleiten.

---

## 4. Überprüfung und Aktualisierung
- Die Datenschutzrichtlinie wird jährlich durch den [[Datenschutzbeauftragte(r)]] überprüft und bei Bedarf angepasst.
- Änderungen in Datenschutzgesetzen oder relevante Gerichtsentscheidungen führen zu einer frühzeitigen Überarbeitung.

---

🏷️ **Tags:**  
- #Datenschutz #PersonenbezogeneDaten  #ISO_Kontrolle_5_34 #ISO_Kontrolle_8_2
