Datenschutzrichtlinie der Firmen der Maréchaux-Gruppe
Stand: 29.08.2023
I. Allgemeines
1. Ziel und Anwendungsbereich der Datenschutzrichtlinie
Diese Datenschutzrichtlinie beschreibt die wesentlichen Regeln, welche alle Mitarbeitenden der Firmen der Maréchaux-Gruppe beim Bearbeiten von Personendaten zu beachten haben. Weitergehende Weisungen bleiben vorbehalten.
Diese Datenschutzrichtlinie gilt für jegliche Bearbeitung von Personendaten (insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten). Sie findet Anwendung auf sämtliche Arten von Personendaten (Daten von Mitarbeitenden, Kunden, Lieferanten etc.).
2. Definitionen
Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.
Betroffene Personen sind diejenigen natürlichen Personen, über die Personendaten bearbeitet werden.
Verantwortliche ist eine private Person, die allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet.
II. Grundregeln der Datenbearbeitung
3. Rechtmässigkeit, Treu und Glauben und Verhältnismässigkeit
Personendaten müssen rechtmässig und nach Treu und Glauben bearbeitet werden.
Gemäss dem Grundsatz der Verhältnismässigkeit dürfen nur solche Daten erhoben werden, die für den entsprechenden Zweck notwendig und geeignet sind.
4. Zweckbindung
Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist. Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5. Richtigkeit
Alle Mitarbeitenden haben darauf zu achten, dass Personendaten richtig sind und auf dem neuesten Stand gehalten werden. Es müssen alle angemessenen Massnahmen getroffen werden, um unzutreffende oder unvollständige Daten zu berichtigen oder zu vernichten.
6. Datensicherheit
Die Weisungen des Unternehmens (insbesondere der IT-Abteilung) betreffend Datensicherheit sind zu beachten. Zudem ist darauf zu achten, dass nur diejenigen Mitarbeitenden Zugriff auf Personendaten erhalten, die sie zur Erledigung ihrer Aufgaben benötigen.
7. Informationspflicht
Betroffene Personen müssen bei der Beschaffung der Personendaten angemessen über die Beschaffung und den Zweck der Bearbeitung der Daten informiert werden. Werden die Daten nicht direkt bei der betroffenen Person beschafft, wird diese innert eines Monats nach Erhalt der Daten informiert.
8. Auftragsbearbeitung
Wenn Dienstleister des Unternehmens in dessen Auftrag Personendaten verarbeiten (sog. Auftragsbearbeiter), sind jene vertraglich zur Einhaltung der gleichen Sorgfalt beim Bearbeiten der Daten zu verpflichten, mit Sicherstellung der Zweckbindung und der Datensicherheit.
9.Übermittlung von Personendaten ins Ausland
Personendaten dürfen nur dann ins Ausland übermittelt werden, wenn die betroffene Person dazu eingewilligt hat, der Bundesrat festgestellt hat, dass der betreffende Staat ein ähnlich hohes Datenschutzniveau hat wie die Schweiz, oder bei schriftlicher Zustimmung der Verantwortlichen.
III. Weitere Bestimmungen
10. Verbot der Nutzung zu privaten Zwecken und der Übermittlung an Unbefugte
Den Mitarbeitenden ist es untersagt, Personendaten für private Zwecke zu nutzen, an Unbefugte zu übermitteln oder sie Unbefugten zugänglich zu machen. Die Pflicht zur Wahrung der Vertraulichkeit gilt über das Ende der Anstellung hinaus.
11. Meldung an die Verantwortliche
Verantwortliche im Sinne des Datenschutzgesetzes (DSG) ist:
Maréchaux Management AG
Arsenalstrasse 41
6010 Kriens
Telefon: 041 319 44 44
Mail: datenschutz@marechaux.ch
Fragen zum Thema Datenschutz können der Verantwortlichen gestellt werden.
In Vorfällen, in welchen die Sicherheit von Daten oder die Rechte von Personen in massgeblicher Weise tangiert werden, ist der Verantwortlichen umgehend eine Meldung zu machen.
Insbesondere ist die Verantwortliche in folgenden Fällen sofort zu informieren:
- Wenn Hinweise bestehen, dass die Datensicherheit nicht gewährleistet ist (wenn Unbefugte Zugang zu Daten haben, bei Datenverlust, bei einem Cyberangriff etc.).
- Wenn eine Person Auskunft darüber verlangt, ob Personendaten über sie bearbeitet werden.
- Bei Eröffnung einer Untersuchung durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)
- Bei Eröffnung eines Strafverfahrens wegen Verletzung von Informations-, Auskunfts-, Mitwirkungs- oder Sorgfaltspflichten gemäss Art. 60 f. DSG
- Bei einer Klage wegen Persönlichkeitsverletzung im Zusammenhang mit der Bearbeitung von Personendaten
12. Hinweis auf Strafbestimmungen im DSG
Werden datenschutzrechtliche Pflichten verletzt, droht dem Fehlbaren gemäss Art. 60 ff. DSG eine Busse bis CHF 250’000. Strafrechtlich verantwortlich ist in erster Linie die natürliche Person, d.h. der vorsätzlich fehlbare Mitarbeiter.
13. Änderungen
Die Maréchaux-Gruppe kann die vorliegende Datenschutzrichtlinie jederzeit anpassen.
