12/2019 – Fachartikel Swiss Infosec AG

Auch das Schweizer Datenschutzrecht nicht vergessen

Zunächst ist daran zu erinnern, dass auf ein Unternehmen mit Sitz in der Schweiz immer das Schweizer Datenschutzrecht zur Anwendung kommt. Bei der Wahl einer geeigneten Strategie, wie mit gleichzeitig geltenden Vorgaben der Europäischen Datenschutzverordnung (DSGVO, GDPR) umzugehen ist, sollte daher immer auch die laufende Revision des Schweizer Datenschutzgesetzes im Auge behalten werden. Bereits am 18. Dezember 2019 wird der Ständerat über den Gesetzesentwurf debattieren.

Obwohl die DSGVO ein europäisches Regelwerk ist und sie somit primär für alle EWR-Länder gilt (EU-Länder plus Liechtenstein, Norwegen und Island), ist sie anhand bestimmter Kriterien auch ausserhalb des europäischen Territoriums anwendbar. Es sind dies:

Kundenausrichtung EWR
Mit Kunden sind nur sog. natürliche Personen gemeint. In B2C-Beziehungen mit angepeilten oder bestehenden Kunden mit Wohnsitz im EWR ist daher die DSGVO grundsätzlich anwendbar, hingegen nicht bei B2B-Beziehungen, wenn nicht gleichzeitig eines der anderen Kriterien greift.

Aber Achtung: Sind die Kunden als Einzelfirmen organisiert, dürfte die DSGVO dennoch regelmässig zu beachten sein, weil sämtliche Daten zum Unternehmen (B2B) dann gleichzeitig einer bestimmten (natürlichen) Person zugeordnet werden können. In keiner Weise relevant ist übrigens die Nationalität einer Person oder ob eine Leistung kostenlos oder entgeltlich angeboten wird.

Kürzlich wurde publik, dass die Datenschutzbehörde Österreich eine Datenschutzverletzung einer schweizerischen Hotelbuchungsplattform festgestellt hat (ungenügende Datenschutzerklärung). Die Ausrichtung auf natürliche Personen in Österreich ergab sich anhand einer .at Domain und der Webseitensprache Deutsch. Es bleibt aber sehr zu hoffen, dass europäische Aufsichtsbehörden in Zukunft für Schweizer Webseiten nicht vorschnell auf eine Ausrichtung auf ein EWR-Land schliessen werden, nur weil diese Webseiten in einer oder mehreren Landessprachen der Schweiz angezeigt werden.

Verhaltensbeobachtung EWR
Die DSGVO gilt weiter, wenn das Verhalten einer Person im EWR beobachtet wird. Der Europäische Datenschutzausschuss (EDSA) hält auch Formen von Offline-Tracking für relevant (beispielsweise über GPS). Im Vordergrund dürften aber die verschiedenen Formen des Online-Tracking stehen.

Für verschiedene Schweizer Unternehmen dürfte es daher von grosser Relevanz sein, wie das häufig genutzte Google Analytics einzustufen ist und ob es die Schwelle der Verhaltensbeobachtung erreicht. Während der EDSA darauf hinweist, dass nicht jede beliebige Online-Erfassung oder -Analyse automatisch als «Überwachung» gelten soll, stuft es ein nachfolgendes Profiling als relevant ein. Unabhängig von einer umgesetzten IP-Kürzung besteht daher die Meinung, dass mit Google Analytics die DSGVO importiert wird (hinsichtlich Webseitenbesucher im EWR).

Niederlassung im EWR
Schliesslich kann die DSGVO auch anwendbar sein auf eine Verarbeitung von Personendaten «im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters» in einem EWR-Land. Eine Niederlassung ist beispielsweise eine Tochtergesellschaft des Schweizer Unternehmens.

Aber nochmals ein Achtung: Der EDSA setzt die Schwelle für eine Niederlassung sehr tief an und will dafür bereits die regelmässige Präsenz eines einzigen Mitarbeitenden genügen lassen. Meisten werden sich hier wohl vertiefende Abklärungen lohnen.

Klagen wegen Datenschutzverletzungen
Damit sind aber noch nicht alle Einfallstore für die DSGVO aufgezählt. Beliebige Personen aus dem EWR können bei Datenschutzverletzungen gegen Unternehmen in der Schweiz klagen und haben dabei regelmässig das Recht, von einem Schweizer Gericht zu verlangen, dass bei der Prüfung ihres Begehrens das Recht des Landes zur Anwendung kommt, wo diese Personen ihren Aufenthalt haben. Handelt es sich um ein EWR-Land, ist damit automatisch auch die DSGVO «im Gepäck».

Wichtig zu wissen ist aber, dass über diesen Kanal gegen das Unternehmen keine Bussen ausgesprochen werden können.

Kennen Sie den Entwurf des Schweizer Datenschutzgesetzes bereits? Wir halten Sie gerne auf dem Laufenden. Kontaktieren Sie uns unter +41 41 984 12 12, infosec@infosec.ch

Gerne beantworten wir all Ihre spezifischen Fragen zu Schweizer Datenschutzrecht und DSGVO und zu allen weiteren datenschutzrechtlichen Fragen in Ihrem Unternehmen. Wir unterstützen Sie bei der Einhaltung des DSG und der DSGVO nach Best Practice: «Genau so viel, wie Sie brauchen und angemessen ist!»

11/2019 – Fachartikel Swiss Infosec AG

Wie halten Sie es mit dem Datenschutz im Bewerbungsverfahren?

Recruiting, aber ohne Fehler bitte! Erhalten Sie nachfolgend ein paar nützliche Anregungen, wie Sie im Bewerbungsverfahren den datenschutzrechtlichen Vorgaben Rechnung tragen können.

Datenschutz im HR

Dass das Personaldossier vor neugierigen Blicken geschützt im verschlossenen feuerfesten Schrank (oder seinem elektronischen Pendant) aufzubewahren ist, dürfte für viele nichts Neues sein.

Datenschutz beginnt aber nicht erst mit der Anstellung, sondern schon im Bewerbungsverfahren. Ein Kompass zur rechtlichen Zulässigkeit der Erhebung von Personendaten bietet dabei die mit Ja zu beantwortende Frage, ob mit den Daten objektiv die Beurteilung der Eignung für das konkrete Arbeitsverhältnis möglich ist.

Stellen Sie die richtigen Fragen
Für die meisten Jobs sind daher Interviewfragen zu Schwangerschaft und familiärer Situation ein No-Go. Fragen zur Gesundheit des Kandidaten sind nur dann zulässig, wenn ein bestimmter Gesundheitszustand die Arbeitstauglichkeit beeinträchtigen könnte. Auch dies dürfte allgemein bekannt sein, wenn auch nicht immer eingehalten werden. In aller Regel unproblematisch erweisen sich Fragen zu beruflichem Werdegang, Aus- und Weiterbildungen, Sprachkenntnissen, Diplomen und Führungskompetenzen. Datenschutzrechtlich unzulässige oder diskriminierende Fragen führen soweit ersichtlich aber nur selten zu nachträglichen Rechtsstreitigkeiten, weil der Beweis in einer Aussage gegen Aussage-Situation oft nicht gelingt. Schliesslich ist auch der Nachweis schwer zu erbringen, dass jemand nur aufgrund einer (zutreffend beantworteten) unzulässigen Frage für den Job letztendlich nicht ausgewählt wurde.

Bewerbungsunterlagen hochladen
Bereits vor dem ersten Interview will der Datenschutz aber schon beachtet werden: Anstelle des Versands der Bewerbungsunterlagen per (unverschlüsseltem) E-Mail empfiehlt sich für Organisationen eine Online-Plattform, mit der die Daten auf ihrem Transportweg verschlüsselt hochgeladen werden können (HTTPS/TLS). Bekanntermassen bietet hingegen das unverschlüsselte E-Mail keine Gewähr für eine sichere Übertragung, was aber für den Versand mindestens sensibler Daten, wie sie Bewerbungsunterlagen in aller Regel umfassen, zunehmend gefordert wird.

Googeln und Social Media
Und wie war das nochmals mit der Online-Recherche über Kandidaten? Leider ist hier die Rechtslage unklar. Teilweise wird jegliches Googeln ganz grundsätzlich abgelehnt und teilweise gleich auch noch die Suche auf beruflichen sozialen Netzwerken. Wir hingegen schlagen einen Mittelweg vor: Als eindeutig rote Linie sehen wir die Suche in privaten Netzwerken wie beispielsweise Instagram oder Facebook (jedenfalls dann, wenn die entsprechenden User-Profile nicht öffentlich geschaltet wurden). Als zulässig erachten wir hingegen den Profilabruf in einem beruflichen Netzwerk, weil wir annehmen, dass eine Mehrheit der dort vertretenen User den Aufruf ihres Profils durch mögliche zukünftige Arbeitgeber bewusst anstreben bzw. sich mit ihren Dienstleistungen sonst geeignet präsentieren wollen. Die Übergänge können ja fliessend sein.

Unser Kompromissvorschlag zum Googeln: Die Online-Recherche beschränkt sich auf Bewerber, die zu einem zweiten Interview eingeladen werden und sollte sich nur auf Informationen beziehen, die der Kandidat selber öffentlich gemacht hat. Bewerber sollen sich im zweiten Interview zu den Resultaten einer Online-Recherche äussern können und so Gelegenheit erhalten, die entsprechende Angaben zu bestätigen oder zu widerlegen. Grundsätzliche Einwände gegen Googeln lassen sich natürlich nach wie vor machen. Wir sind aber der Meinung, dass mit einer pragmatischen Vorgehensweise mehr zu erreichen ist als mit einem grundsätzlichen Verbot, an das sich niemand hält.

Bewerbungsunterlagen nach Absage
Für die meisten Kandidaten ist der Abschluss mit dem Bewerbungsverfahren ja mit einer Absage verbunden. Hier stellt sich regelmässig die Herausforderung, dass Linienvorgesetzte dann noch im Besitz von Bewerbungsunterlagen bleiben (bzw. Kopien davon), die schnell vergessen gehen können. Um nicht sensible Daten überlang aufzubewahren, schlagen wir einen Prozess vor, bei dem im Absagefall standardmässig beispielsweise per E-Mail zur Löschung sich im Umlauf befindlicher Bewerbungsunterlagen aufgefordert wird. Unabhängig davon ist sicherzustellen, dass nach einigen Monaten auch im HR die elektronisch eingetroffenen Unterlagen gelöscht werden. Eine längere Aufbewahrung (z.B. im Rahmen eines Talent Pools) erfordert in aller Regel die Einwilligung des Kandidaten.

Gerne beantworten wir all Ihre spezifischen Fragen zu Datenschutz und Recruiting und zu allen weiteren datenschutzrechtlichen Fragen in Ihrem Unternehmen. Wir unterstützen Sie bei der Einhaltung des DSG und der DSGVO nach Best Practice: «Genau so viel, wie Sie brauchen und angemessen ist!»

Kennen Sie den Entwurf des DSG bereits? Wir halten Sie gerne auf dem Laufenden. Kontaktieren Sie uns unter +41 41 984 12 12, infosec@infosec.ch