Verbindliche unternehmensinterne Datenschutzvorschriften nach Artikel 16 Absatz 2 Buchstabe e DSG gelten für alle Unternehmen, die zum selben Konzern gehören. Sie umfassen mindestens die in Artikel 9 Absatz 1 genannten Punkte sowie die folgenden Angaben: a. die Organisation und die Kontaktdaten des Konzerns und seiner Unternehmen; b. die innerhalb des Konzerns getroffenen Massnahmen zur Einhaltung der
Personendaten dürfen ins Ausland bekanntgegeben werden, wenn ein Verhaltenskodex oder eine Zertifizierung einen geeigneten Datenschutz gewährleistet. Der Verhaltenskodex muss vorgängig dem EDÖB zur Genehmigung unterbreitet werden. Der Verhaltenskodex oder die Zertifizierung muss mit einer verbindlichen und durchsetzbaren Verpflichtung des Verantwortlichen oder des Auftragsbearbeiters im Drittstaat verbunden werden, die darin enthaltenen Massnahmen anzuwenden.
Der Verantwortliche muss der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen.
Der Verantwortliche muss die Datenschutz-Folgenabschätzung nach Beendigung der Datenbearbeitung mindestens zwei Jahren aufbewahren.
Die Meldung einer Verletzung der Datensicherheit an den EDÖB muss folgende Angaben enthalten: a. die Art der Verletzung; b. soweit möglich den Zeitpunkt und die Dauer; c. soweit möglich die Kategorien und die ungefähre Anzahl der betroffenen Personendaten; d. soweit möglich die Kategorien und die ungefähre Anzahl der betroffenen Personen; e. die Folgen, einschliesslich der
Wer vom Verantwortlichen Auskunft darüber verlangt, ob Personendaten über sie oder ihn bearbeitet werden, muss dies schriftlich tun. Ist der Verantwortliche einverstanden, so kann das Begehren auch mündlich mitgeteilt werden. Die Auskunftserteilung erfolgt schriftlich oder in der Form, in der die Daten vorliegen. Im Einvernehmen mit dem Verantwortlichen kann die betroffene Person ihre Daten an
Bearbeiten mehrere Verantwortliche Personendaten gemeinsam, so kann die betroffene Person ihr Auskunftsrecht bei jedem Verantwortlichen geltend machen. Betrifft das Begehren Daten, die von einem Auftragsbearbeiter bearbeitet werden, so unterstützt der Auftragsbearbeiter den Verantwortlichen bei der Erteilung der Auskunft, sofern er das Begehren nicht im Auftrag des Verantwortlichen beantwortet.
Die Auskunft muss innerhalb von 30 Tagen seit dem Eingang des Begehrens erteilt werden. Kann die Auskunft nicht innerhalb von 30 Tagen erteilt werden, so muss der Verantwortliche die betroffene Person darüber informieren und ihr mitteilen, innerhalb welcher Frist die Auskunft erfolgt. Verweigert der Verantwortliche die Auskunft, schränkt er sie ein oder schiebt er sie
Ist die Erteilung der Auskunft mit einem unverhältnismässigen Aufwand verbunden, so kann der Verantwortliche von der betroffenen Person verlangen, dass sie sich an den Kosten angemessen beteiligt. Die Beteiligung beträgt maximal 300 Franken. Der Verantwortliche muss der betroffenen Person die Höhe der Beteiligung vor der Auskunftserteilung mitteilen. Bestätigt die betroffene Person das Gesuch nicht innerhalb
Als Personendaten, die die betroffene Person dem Verantwortlichen bekanntgegeben hat, gelten: a. Daten, die sie diesem wissentlich und willentlich zur Verfügung stellt; b. Daten, die der Verantwortliche über die betroffene Person und ihr Verhalten im Rahmen der Nutzung eines Diensts oder Geräts erhoben hat. Personendaten, die vom Verantwortlichen durch eigene Auswertung der bereitgestellten oder beobachteten