1.    Zweck und Umfang

Die vorliegende Datenschutzpolitik der SwissSign AG sowie aller mit ihr verbundenen Tochter-Gesellschaften (nachfolgend «SwissSign» genannt) legt die Bedeutung und den Stellenwert des Datenschutzes im Sinne der Achtung der Privatsphäre und der Persönlichkeitsrechte ihrer Kunden, Geschäftspartner und Mitarbeitenden fest. Sie ist für jedes Bearbeiten von Personendaten verbindlich und dient als Grundlage für alle Massnahmen und Aktivitäten in den datenschutzrelevanten Bereichen der SwissSign, namentlich für das Bearbeiten von

• Personendaten im Zusammenhang mit der Geschäftstätigkeit der SwissSign (insb. Identitäts-Services unter der Marke SwisslD sowie Zertifikatsdienste);

• Administrativen Daten über Kunden, Geschäftspartner, Lieferanten und weitere Externe der SwissSign soweit Personendaten betroffen sind;

• Personaldaten von internen und externen Mitarbeitenden, inklusive Daten über Stellenbewerber und ehemalige Mitarbeitende.

2.    Gesetzliche Grundlagen

Als Grundlage der vorliegenden Datenschutzpolitik für die SwissSign dient das revidierte Bundesgesetz über den Datenschutz vom 19. Juni 1992 (DSG, SR 235.1) sowie die Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 (VDSG, SR 235.11).

Das DSG bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen und juristischen (z.B. Aktiengesellschaft, GmbH) Personen, über welche Daten bearbeitet werden (Art. 1 DSG).

3.    Begriffe

Die Begriffe sind in Anhang 1 dieser Datenschutzpolitik definiert.

4.    Geltungsbereich

Die Datenschutzpolitik gilt für alle Mitarbeitenden der SwissSign, die im Rahmen der Erfüllung ihrer beruflichen Aufgaben Zugang zu Personendaten haben, gleichermassen und uneingeschränkt. Die Datenschutzpolitik gilt ebenfalls für externe Personen und Firmen, die im Auftrag der SwissSign tätig sind. Diese werden durch entsprechende Vereinbarungen schriftlich zu deren Einhaltung verpflichtet.

Der Inhalt der vorliegenden Datenschutzpolitik hat Gültigkeit für alle Personendaten, insbesondere für personenbezogene Daten von Kunden, Mitarbeitenden, Geschäftspartnern und Lieferanten, unabhängig von der Art ihrer Bearbeitung und Form (auf Papier, digital, mündlich).

5.    Datenschutzziele

5.1    Schutz der Persönlichkeit

Das Hauptziel des Datenschutzes ist der Schutz der Persönlichkeit vor widerrechtlicher oder unverhältnismässiger Bearbeitung von Personendaten.

Aus diesem Hauptziel lassen sich die folgenden Teilzielsetzungen ableiten:

• Restriktive Bearbeitung personenbezogener Daten unter dem Gesichtspunkt des Datenschutzes («Datensparsamkeit»);

• Transparenz und Kontrollierbarkeit für interne und externe Kontrollinstanzen;

• Transparenz und Kontrollierbarkeit (der Daten) für die Betroffenen;

• Die Mitarbeitenden der SwissSign kennen die für ihren Tätigkeitsbereich anwendbaren datenschutzrechtlichen Vorgaben und halten diese ein.

Die vorliegende Datenschutzpolitik bildet die Grundlage dafür, dass die Bearbeitung von Personendaten durch Mitarbeitende der SwissSign unter Beachtung der gesetzlichen und internen Bestimmungen erfolgt und die von der Bearbeitung Betroffenen nicht in Ihren Persönlichkeitsrechten widerrechtlich verletzt werden.

Im Mittelpunkt steht dabei die sachgerechte und gesetzeskonforme Bearbeitung von Kundendaten, Personaldaten und der weiteren durch die SwissSign bearbeiteten Personendaten, insbesondere von Geschäftspartnern, Lieferanten und weitere Externe.

5.2    Unternehmensweiter Datenschutz

Innerhalb der SwissSign wird ein einheitliches Datenschutzniveau eingehalten und es werden damit die folgenden Ziele verfolgt:

• Die Vereinbarungen/ Verträge mit den Kunden in Bezug auf den Datenschutz werden bei allen von der SwissSign angebotenen Dienstleistungen permanent eingehalten;

• Personendaten werden transparent und nachvollziehbar sowie nur unter Einhalten der relevanten gesetzlichen Vorschriften bearbeitet;

• Datenschutzvorfälle werden verhindert;

• Verletzungen/ Verstösse anwendbarer Datenschutzvorschriften, namentlich der Datenschutzgesetzgebung und den arbeitsrechtlichen Bestimmungen, werden vermieden;

• Alle Mitarbeitenden, Geschäftspartner und Lieferanten der SwissSign kennen ihre Eigenverantwortlichkeit in Bezug auf den Datenschutz und verpflichten sich, diese wahrzunehmen.

5.3    Datenschutzgrundsätze

Bei der Bearbeitung von Personendaten sind das DSG sowie weitere in diesem Zusammenhang zu beachtende Bestimmungen einzuhalten. Personendaten dürfen nur rechtmässig und grundsätzlich nur in jenem Umfang bearbeitet werden, der für den Geschäftsablauf absolut nötig ist.

Die SwissSign verpflichtet sich insbesondere zur Einhaltung folgender Grundsätze:

• Art und Weise der Bearbeitung - Die Beschaffung der Personendaten erfolgt rechtmässig, nach Treu und Glauben und verhältnismässig.

• Rechtmässigkeit - Die Bearbeitung von Personendaten darf nur rechtmässig erfolgen. Das heisst, es wird ein Rechtfertigungsgrund benötigt, entweder in Form einer Einwilligung der betroffenen Person, eines überwiegenden Interesses, einer Vertragserfüllung oder eines Gesetzes.

• Zweckbindung - Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.

• Verhältnismässigkeit - Die Prinzipien der Datenvermeidung und Datensparsamkeit sind zu beachten, insbesondere beim Einsatz von Informatiksystemen. Folglich werden nur Daten gespeichert und bearbeitet, die für die Aufgabenerfüllung wirklich notwendig sind.

• Treu und Glauben - Personendaten dürfen nicht ohne Wissen und gegen den Willen der betroffenen Person beschafft werden. Betroffene Personen dürfen darauf vertrauen, dass Personen, die personenbezogene Daten bearbeiten, sorgfältig damit umgehen.

• Aufbewahrungsdauer - Personendaten dürfen nur solange aufbewahrt werden als sie zum Zweck der Bearbeitung erforderlich sind. Danach sind sie zu löschen oder zu vernichten. Vorbehalten bleibt eine längere Aufbewahrungspflicht, die sich aus einer entsprechenden rechtlichen Bestimmung ergibt.

• Transparenz - Die betroffene Person muss über den Umgang mit ihren Daten informiert werden. Das heisst, dass die betroffene Person weiss oder erkennen kann, welche Daten beschafft werden und zu welchem Zweck. Das heimliche Beschaffen von Daten verstösst gegen diesen Grundsatz.

• Datenrichtigkeit - Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind.

• Datensicherheit - Der Inhaber der Datensammlung gewährleistet durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden.

• Privacy by Design (Datenschutz durch Technik) - Technische Systeme haben den Datenschutz von Beginn an einzubeziehen. Die Datenschutzvorkehrungen sind proaktiv, nicht reaktiv, sowie präventiv, nicht repressiv einzurichten.

• Privacy by Default (datenschutzfreundliche Voreinstellungen) - Der Bearbeitungsvorgang ist standardmässig möglichst datenschutzfreundlich eingerichtet, so z.B. ein Opt-ln (ausdrückliches Zustimmungsverfahren).

• Ausbildung/Sensibilisierung - Mitarbeitende erhalten hinsichtlich ihrer Verantwortung für den Datenschutz und ihrer Tätigkeit die entsprechende Sensibilisierung und Ausbildung. Sie erhalten Zugriff auf Dokumente, Formulare, Meldungen und Informationen zum Thema Datenschutz.

• Bearbeitung von besonders schützenswerten Personendaten - Das Bearbeiten besonders schützenswerter Personendaten unterliegt zusätzlichen Anforderungen. Rechtfertigend sind u.a. eine konkrete gesetzliche Pflicht oder die ausdrückliche Einwilligung des Betroffenen.

• Einwilligung - Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information, freiwillig und eindeutig erteilt wird.

• Profiling - Jede Art der automatisierten Zusammenführung von personenbezogenen Daten zwecks der nutzbaren Erstellung des Gesamtbildes einer Persönlichkeit der betroffenen Personen, ist zu unterlassen.

5.4    Datenschutzprinzipien im Kontext der «SwisslD»

Folgende Prinzipien werden im Zusammenhang mit der «SwisslD» befolgt:

• Transparenter und sicherer Umgang mit den Daten der Anwender - Nur mit Einwilligung des Anwenders (Opt-ln) werden Daten zwischen dem Identitätsprovider (ldP) und einem Onlinedienstanbieter ausgetauscht (Privacy by Default). Der Anwender muss der Datenübergabe zustimmen.

• Der Anwender hat jederzeit die Hoheit über seine Daten und an welche Onlinedienstanbieter er welche Daten freigibt. Die Freigaben kann der Anwender in einem Dashboard auf www.swissid.ch oder auf der SwisslD-App einsehen und den Austausch jederzeit beenden.

• Jeder Anwender erhält pro Onlinedienstanbieter eine unterschiedliche technische Kennung (UUID) - Eine technische Zusammenführung der Kundendaten über mehrere Onlinedienstanbieter hinweg ist auf Basis der technischen Kennung nicht möglich (Privacy by Design).

• Unterscheidung zwischen selbstdeklarierten Identitäten und geprüfte Identitäten - Die Anwender von SwisslD verfügen nach der Registration über eine selbstdeklarierte Identität (SDID). Sie haben die Möglichkeit geprüfte Identitäten (GPID) hinzuzufügen.

• Attributsdienste können Daten von Personen mit Unterstützung von SwisslD den Onlinedienstanbieter zur Verfügung stellen - Mit Einwilligung der betroffenen Personen können Attributsdienste Daten von Personen ins Ökosystem beisteuern (z.B. Bonitätsinformationen, Korrespondenzadressen, etc.).

• Blindness - Es findet keine personenbezogene Auswertung statt, weder durch SwissSign selbst noch durch beauftragte Dritte. Die statistische Auswertung anonymiserter Datensätze bleibt vorbehalten.

• Datensparsamkeit - Ein Onlinedienstanbieter darf nur jene Daten eines Anwenders anfragen, welche für die Durchführung der Geschäftsprozesse notwendig sind. Der Anwender muss der Datenübergabe zustimmen.

• Möglichkeit der pseudonymen Nutzung - Verlangt ein Onlinedienstanbieter für die Durchführung seiner Geschäftsprozesse keine verifizierten Personendaten, hat jeder Anwender die Möglichkeit, für das Login eine selbstdeklarierte Alias-Identität zu verwenden.

• Verhältnis SwissSign - Onlinedienstanbieter - Das SwisslD Login ist freiwillig. Onlinedienstanbieter werden nicht verpflichtet, ihre bestehenden Login-Verfahren zu deaktivieren. Es besteht kein Zwang resp. keine Pflicht, das SwisslD Login exklusiv einzuführen. Das Login-Verfahren der Onlinedienstanbieter kann bestehen bleiben bzw. liegt in deren Entscheidungsfreiheit.

5.5    Angemessenheit der technischen und organisatorischen Massnahmen

SwissSign ergreift unter Beachtung der gesetzlichen Vorgaben alle notwendigen Vorkehrungen, um Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten zu schützen.

Alle innerhalb der SwissSign bearbeiteten Datensammlungen werden vom dafür zuständigen Dateneigner dem Datenschutzkoordinator (vgl. Ziff. 6.4) gemeldet. Er untersucht die Daten und die zu ihrem Schutz notwendigen Massnahmen darauf, ob sie den Bestimmungen des Datenschutzes entsprechen.

6.    Datenschutzorganisation

6.1    Verwaltungsrat

Der Verwaltungsrat genehmigt die vorliegende Datenschutzpolitik und unterstützt deren Umsetzung. Er trägt die Gesamtverantwortung für den Datenschutz und delegiert dessen Umsetzung an die Geschäftsleitung.

6.2    Geschäftsleitung

Die operative Hauptverantwortung für den Schutz der bearbeiteten Personendaten obliegt der Geschäftsleitung. Sie erlässt und überprüft laufend die «Datenschutzweisung» und die «Personal­ Datenschutzweisung».

6.3    Datenschutzbeauftragter

Die SwissSign hat einen externen betrieblichen Datenschutzverantwortlichen - den Datenschutzbeauftragten - ernannt. Der (externe) Datenschutzbeauftragte leistet bei der Durchsetzung und Umsetzung des Datenschutzes in der SwissSign Unterstützung. Er führt intern eine Liste der Datensammlungen nach Art. lla Abs. 3 DSG (Art. 12b Abs. 1 lit. b VDSG) und prüft, ob alle relevanten Datensammlungen im Inventar enthalten sind.

Der Datenschutzbeauftragte beobachtet und berücksichtigt die Entwicklung der gesetzlichen Vorgaben im Bereich des Datenschutzes.

Siehe Details hier.

6.4    Datenschutzkoordinator

Zusätzlich zum (externen) Datenschutzbeauftragten hat die SwissSign eine interne datenschutzverantwortliche Person - den Datenschutzkoordinator - ernannt. Der Datenschutzkoordinator ist die interne Anlaufstelle (erste Ansprechperson) für den Datenschutz in der SwissSign. Er arbeitet eng mit dem Datenschutzbeauftragten zusammen und unterstützt diesen bei der Erfüllung seiner Aufgaben.

Kontakt: [email protected]

6.5    Head HR (Human Resources)

Der Head HR und die im HR tätigen Mitarbeitenden sind für die sorgfältige und datenschutzkonforme Bearbeitung der Personaldaten verantwortlich.

6.6    CCO (Chief Commercial Officer)

Der CCO ist in seinem Verantwortungsbereich für die Durchsetzung und Einhaltung des Datenschutzes verantwortlich, insbesondere im Rahmen der Produktentwicklung und der Produktbetreuung. Er berücksichtigt die datenschutzrechtlichen Anforderungen sowohl bei der Planung als auch bei der Durchführung einer Bearbeitung.

6.7    CIO (Chief Information Officer)

Der CIO trägt die Verantwortung, dass die Datensicherheit und datenschutzrechtliche Massnahmen technisch umgesetzt werden. Dabei unterstützt er insbesondere die Applikations- und Systemverantwortlichen. Er arbeitet eng mit dem Datenschutzbeauftragten zusammen, um die Konformität der Massnahmen zu prüfen. So beurteilt er Risiken, Vorfälle und Beinahe-Vorfälle, welche den Datenschutz gefährden können.

6.8    Vorgesetzte

Die Vorgesetzten aller Stufen sind in ihren Verantwortungsbereichen für die Durchsetzung und Einhaltung des Datenschutzes verantwortlich, insbesondere im Rahmen der Geschäftsprozesse. Sie sorgen in Zusammenarbeit mit dem Datenschutzbeauftragten für Schulung und Sensibilisierung der Mitarbeitenden. Sie nehmen eine Vorbildfunktion wahr und fördern die Motivation der Mitarbeitenden, Massnahmen zum Datenschutz einzuhalten.

6.9    Dateneigner

Der Dateneigner ist grundsätzlich der Verantwortliche für die einzelnen Datensammlungen und bestimmt die zum Bearbeiten der Daten befugten Personen und deren Zugriffsrechte nach dem Need-to-know-Prinzip.

Dateneigner müssen die Einhaltung der datenschutzrechtlichen Anforderungen in technischer und organisatorischer Hinsicht sicherstellen.

6.10    Mitarbeitende

Sämtliche Mitarbeitenden sind für den Datenschutz verantwortlich und verpflichtet, Personendaten nach den intern und gesetzlich vorgegebenen Bestimmungen zu bearbeiten. Kritische Aufmerksamkeit und eigenverantwortliches Verhalten werden vorausgesetzt.

Mitarbeitende werden hinsichtlich ihrer Verantwortung für den Datenschutz entsprechend ihrer Funktion sensibilisiert und ausgebildet.

7.    Auditing und Reporting

Der Datenschutzbeauftragte ist für die interne Durchführung regelmässiger Audits zuständig. Das Audit soll sicherstellen, dass die Datenschutzpolitik und die Datenschutzbestimmungen unternehmensweit eingehalten werden.

Ein regelmässiges Reporting wird sichergestellt, damit die Geschäftsleitung über datenschutzrelevante Risiken, erkannte Defizite sowie ergriffene Massnahmen informiert wird. Die Geschäftsleitung wird in der Regel einmal jährlich (z.B. im Zusammenhang mit der Budgetierung) durch den Datenschutzbeauftragten informiert. Basierend auf den Ergebnissen des Reports werden durch die Geschäftsleitung richtungsweisende Vorgaben bezüglich der notwendigen Massnahmen definiert.

8.    Ergänzende, mitgeltende Dokumente

Diese Datenschutzpolitik ist im Gesamtzusammenhang mit der «Datenschutzweisung» zu betrachten, welche Vorschriften zum Schutz personenbezogener Daten enthält, die für die SwissSign sowie für alle mit ihr verbundenen Tochter-Gesellschaften zu berücksichtigen sind. Darüber hinaus enthält ergänzend zu dieser Datenschutzpolitik die «Personal-Datenschutzweisung» datenschutzrechtliche Vorgaben für die Bearbeitung von Personaldaten. Bei Bedarf werden weitere Dokumente erarbeitet, die im Zusammenhang mit der Bearbeitung von Personendaten notwendig sind.

9.    Abweichungen / Vorgehen bei Fehlen spezifischer Regelungen

Abweichungen von der Datenschutzpolitik sind in begründeten Ausnahmefällen möglich. Sie müssen jedoch schriftlich vom Datenschutzbeauftragten bewilligt werden.

Existieren für einen bestimmten Bereich der Datenbearbeitung keine datenschutzrelevanten Regelungen, so ist der Datenschutzbeauftragte zu kontaktieren.

10.    Inkrafttreten

Diese Datenschutzpolitik tritt am 01. Januar 2022 in Kraft.
 

Anhang 1: Begriffe

Bearbeiten von Personendaten: Jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, wie das Beschaffen, Speichern, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten.

Bekanntgabe von Personendaten: Jedes Übermitteln oder Zugänglichmachen von Personendaten, wie das Einsichtgewähren, Auskunftgeben, Weitergeben oder Veröffentlichen.

Besonders schützenswerte Personendaten:

• Daten über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten;

• Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie;

• genetische Daten;

• biometrische Daten, die eine natürliche Person eindeutig identifizieren;

• Daten über verwaltungs- und strafrechtliche Verfolgung oder Sanktionen;

• Daten über Massnahmen der sozialen Hilfe.

Datensammlung: Jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach den betroffenen Personen erschliessbar sind.

Dateneigner: Verantwortlicher für eine Datensammlung innerhalb der SwissSign. Ihm obliegt die ordnungsgemässe Klassifizierung der Daten und Informationen. Er bestimmt über Zugriff, Veränderung oder Weitergabe seiner Daten und schützt diese mit entsprechenden Massnahmen vor unerlaubten Zugriffen.

Datenschutzbeauftrager: Externe unabhängige Stelle, welche die betriebsinterne Einhaltung der beauftragter Datenschutzvorschriften überwacht und ein Verzeichnis der Datensammlungen führt. Weitere Informationen

Datenschutzkoordinator: Intern ernannte datenschutzverantwortliche Person, welche vor allem den externen Datenschutzbeauftragten im Bereich Datenschutz unterstützt.

Zentrale Anlaufstelle für den Datenschutz innerhalb der SwissSign.

Kontakt: [email protected]

Inhaber der Datensammlung: Verantwortlicher für eine Datenbearbeitung. Er entscheidet allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung.

HR-Mitarbeitende: Sämtliche Mitarbeitende (interne wie auch externe Personen und Firmen, die im Auftrag der SwissSign tätig sind), die im Rahmen der Erfüllung ihrer beruflichen Aufgaben Zugang zu Personendaten von Mitarbeitenden der SwissSign haben.

Personendaten: Angaben über eine bestimmte oder bestimmbare natürliche oder juristische Person.

Persönlichkeitsprofil: Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.

Profiling: Die nutzbare Erstellung des Gesamtbildes einer Persönlichkeit für bestimmte Zwecke durch das automatisierte zusammenführen von personenbezogenen Daten.

Verletzung der Datensicherheit: Eine Verletzung der Sicherheit, die ungeachtet der Absicht oder der Widerrechtlichkeit dazu führt, dass Personendaten verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.

Geprüfte Identität: Angaben zur Identität, welche von einer entsprechend autorisierten Stelle geprüft wurde.

ldO: ldentity Owner

ldP: ldentity Provider

Selbstdeklarierte Identität: Angaben zur Identität, welche der Anwender selber getätigt hat