Präambel

Der Schutz personenbezogener Daten liegt der Stiftung Special Olympics Switzerland (SOWSI) am Herzen. Die vorliegende Richtlinie soll sicherstellen, dass Personendaten gesetzeskonform bearbeitet werden, und dass ein möglichst hohes Niveau an Informationssicherheit erreicht sowie eingehalten wird.

Diese Richtlinie ist für die Mitarbeitenden verbindlich.

Mit dieser Richtlinie soll gewährleistet werden, dass die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere ihr Recht auf Schutz personenbezogener Daten, gewahrt und geschützt werden.

Die Richtlinie ist für Sie als Mitarbeiter verbindlich, wann immer Sie Personendaten von der Stiftung Special Olympics Switzerland verarbeiten, unabhängig davon, ob dies elektronisch oder in Papierform erfolgt. Die Bestimmungen dieser Richtlinie bilden Bestandteil der vertraglichen Pflichten des Arbeitsvertrages mit dem Mitarbeiter, welche stets beachtet werden müssen.

Die Stiftung Special Olympics Switzerland behält sich vor, besondere Richtlinien zu erlassen, die diese Richtlinie weiter ausführen oder ergänzen, sofern dies als angemessen erachtet wird oder dies notwendig ist, um geltendes Recht einzuhalten. Die Richtlinie ergänzt das anwendbare Datenschutzrecht, welches vorgeht, wenn es eine Abweichung von dieser Datenschutzrichtlinie erfordert oder weitergehende Anforderungen stellt. Insbesondere wenn Personendaten ausserhalb der Schweiz bearbeitet werden oder Personen ausserhalb der Schweiz betreffen, muss jeweils geprüft werden, ob Gesetze mit strengeren Vorschriften anwendbar sind, welche dieser Richtlinie vorgehen.

Wenn Sie mit Bezug auf die Bearbeitung von Personendaten unsicher sind oder Fragen haben, ist die Anlaufstelle für Datenschutz (datenschutz@specialolympics.ch) (nachfolgend «Anlaufstelle für Datenschutz» genannt) zu kontaktieren.

Wann liegt eine relevante Verarbeitung von Personendaten vor

Als «Personendaten» gelten alle Informationen über Personen, welche namentlich genannt werden oder welche aus anderen Gründen einer bestimmten Person zugeordnet werden können. Das können beispielsweise Angaben über andere Mitarbeiter, Lieferanten, Partner, Athleten oder Athletinnen, Coaches, Organisatoren sein, wie bspw. Name, Geschlecht, Foto, Geburtstag, Email-Adresse, Bankkonto oder Sozialversicherungsnummer.

Als «Verarbeiten oder Bearbeiten» gilt jeder Umgang mit Personendaten, wie beispielsweise das Beschaffen, Aufbewahren, Speichern, Umarbeiten, Weitergeben oder Vernichten von Personendaten. Beispiel: Eine Verarbeitung von Personendaten liegt vor, wenn Sie Angaben über Mitarbeiter oder über Kunden im EDV-System erfassen oder wenn Sie die Ergebnisse eines Qualifikationsgesprächs an andere Personen weitergeben.

Personendaten können auch «besonders schützenswerte Personendaten» enthalten, wie etwa Angaben zur Gesundheit, Religionsangehörigkeit oder Rassenzugehörigkeit, politische Meinungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person (Sensible Daten), Personendaten betreffend Straftaten und/oder Verurteilungen oder Daten über Massnahmen der sozialen Hilfe. Wann immer wir besonders schützenswerte Personendaten verarbeiten, sind die strengeren Vorgaben gemäss nachfolgendem Artikel 3.2. einzuhalten.

«Profiling» ist jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten. insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

«Profiling mit hohem Risiko» ist Profiling, dass ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.

Welche Prinzipien müssen für die Verarbeitung von Personendaten beachtet werden

Jeder Mitarbeiter der Stiftung Special Olympics Switzerland muss bei der Verarbeitung von Personendaten folgende Datenschutzprinzipien einhalten:

Rechtmässigkeit	Wir erheben Personendaten nur, wenn wir eine rechtliche Grundlage dafür haben.
Besonders schützenswerte Personendaten und Persönlichkeitsprofile	Wir beachten weitere strengere Vorgaben, wenn wir besonders schützenswerte Personendaten verarbeiten oder Persönlichkeitsprofile erstellen.
Fairness und Transparenz	Wir verarbeiten Personendaten in transparenter Weise und informieren die betroffene Person vorgängig, in umfassender und leicht verständlicherweise über die Datenverarbeitung, damit die betroffene Person diese nachvollziehen kann.
Zweckbindung	Wir erheben Personendaten ausschliesslich für festgelegte, eindeutige und rechtmässige Zwecke.
Datenminimierung	Wir erheben nur die Personendaten, die dem Zweck nach angemessen sind und nur diejenigen, die für die Erreichung des Zweckes unbedingt notwendig sind.
Richtigkeit	Wir stellen sicher, dass die Personendaten jederzeit sachlich richtig und aktuell sind.
Speicherbegrenzung	Wir behalten und verarbeiten Personendaten nur so lange, als dies für die Erreichung des Zwecks, für die sie erhoben wurden, notwendig ist, es sei denn, ein legitimer Grund für eine längere Aufbewahrung liegt vor.
Vertraulichkeit und Integrität	Wir behandeln Personendaten vertraulich und verarbeiten diese in einer Weise, die eine angemessene Sicherheit, Schutz und Integrität der Personendaten gewährleistet.
Übermittlung oder Auslagerung an Auftragsverarbeiter	Wenn wir eine Datenverarbeitung an einen Auftragsverarbeiter auslagern (outsourcen) oder übertragen, prüfen wir diesen sorgfältig auf hinreichende Datenschutzgarantien und schliessen einen schriftlichen Auftragsverarbeitungsvertrag ab.

Übermittlungen ausserhalb der Schweiz und der EU	Wir übermitteln Personendaten an Drittparteien in ein unsicheres Land ausserhalb der Schweiz und/oder der EU, welches keinen angemessenen Datenschutz gewährleistet, nur, wenn wir geeignete Sicherheitsmassnahmen getroffen haben.
Datensicherheit	Wir haben Personendaten in einer Weise zu bearbeiten und aufzubewahren, die eine angemessene Sicherheit der Personendaten vor Verletzungen der Datensicherheit gewährleistet.

Die Bedeutung und Anforderungen der Datenschutzprinzipien, die stets durch die Stiftung Special Olympics Switzerland und ihre Mitarbeiter zu beachten sind, werden nachfolgend näher erläutert.

• Rechtmässigkeit der Verarbeitung (Rechtsgrundlage)
• Personendaten dürfen nur rechtmässig verarbeitet werden. Dies ist der Fall, wenn mindestens eine der folgenden Rechtsgrundlagen gegeben ist:

• Die betroffene Person hat ihre gültige Einwilligung zu der Verarbeitung ihrer Personendaten für den bestimmten Zweck gegeben (z.B. Verarbeitung für Werbezwecke, Newsletters, Anmeldung für Veranstaltungen von SOSWI);

• Die Verarbeitung ist für die Erfüllung eines Vertrages, einer Teilnahme an einer Veranstaltung mit der betroffenen Person notwendig, oder für die Verarbeitung des Mitarbeiters für die Erfüllung des Arbeitsvertrages

• Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der die Stiftung Special Olympics Switzerland unterliegt (z.B. Aufbewahrungspflichten aus dem Zivilrecht oder Steuerrecht);

• Die Verarbeitung ist zur Wahrung der berechtigten Interessen der Stiftung Special Olympics Switzerland erforderlich. Eine Verarbeitung aufgrund berechtigter Interessen kann nur erfolgen, sofern im Einzelfall die Interessen oder Grundrechte und Grundfreiheiten der betroffenen

Person, die den Schutz der Personendaten erfordern, nicht überwiegen. Dabei ist auf die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zur Stiftung Special Olympics Switzerland beruhen, zu berücksichtigen. Die schutzwürdigen Interessen sind für jede Verarbeitung zu prüfen und zu dokumentieren. Beispiele berechtigter Interessen können sein: Schutz von Mitarbeitern und ihrer Personendaten, Schutz von Athleten und Athletinnen und ihrer Personendaten und oder besonders schützenswerten Personendaten, Schutz unserer Geschäftsgeheimnisse und Vermögenswerte, Sicherheit unserer Systeme und Gebäude, Aufrechterhaltung und effiziente Organisation des Geschäftsbetriebs, Verbesserung und Entwicklung unserer Produkte und Leistungen, Einhaltung der rechtlichen und regulatorischen Anforderungen, Verhinderung von Betrug, Vergehen und Verbrechen sowie Untersuchungen im Zusammenhang mit solchen Delikten und sonstigem unangebrachtem Verhalten, Mitwirkung an Rechtsverfahren, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Besteht die Absicht, Personendaten gestützt auf die berechtigten Interessen zu erheben und zu verarbeiten, ist die Kontaktstelle für Datenschutz zu kontaktieren.

Gültige Einwilligung

Damit die Einwilligung gültig erteilt wurde (z.B. im Bereich Werbung oder Anmeldung von Veranstaltungen), müssen besondere Voraussetzungen erfüllt sein. Die Einwilligung ist nur gültig, wenn sichergestellt ist, dass sie freiwillig, für einen bestimmten Fall, in informierter Weise und unmissverständlich in Form einer Erklärung oder einer sonstigen, eindeutig bestätigenden Handlung, erteilt worden ist. Darüber hinaus müssen wir für jede Einwilligung nachweisen können, dass die betroffene Person in die Verarbeitung ihrer Personendaten für die bestimmten Zwecke eingewilligt hat (z.B. eine schriftliche oder elektronische Erklärung, Optin für Erhalt eines Newsletters).

Darüber hinaus hat die betroffene Person das Recht, die Einwilligung jederzeit und ohne Nachteil zu widerrufen. Auf dieses Recht ist der betroffenen Person vor Abgabe der Einwilligung in Kenntnis zu setzen, wie auch darüber, dass der Widerruf der Einwilligung die rechtmässige Verarbeitung der Personendaten bis zum Widerruf nicht berührt.

Bei Unklarheiten oder Fragen zur Rechtmässigkeit der Verarbeitung ist die Anlaufstelle für Datenschutz zu kontaktieren.

Datenverarbeitung im Arbeitsverhältnis/Bewerbung

Im Arbeitsverhältnis dürfen nur die Personendaten erhoben und verarbeitet werden, die für die Begründung, Durchführung und Beendigung des Arbeitsvertrages erforderlich sind. Dabei muss die Datenverarbeitung immer auf den Zweck des Arbeitsvertrages bezogen sein, ausser es liegt ein anderer Grund der Rechtmässigkeit vor.

Im Bewerbungsverfahren dürfen die Personendaten erhoben werden, die für die Beurteilung einer möglichen Eignung des Kandidaten für eine möglichen Anstellung notwendig sind. Nach Ablehnung sind die Personendaten des Bewerbers unter Berücksichtigung beweisrechtlicher Fristen zu löschen. Möchte die Stiftung Special Olympics Switzerland die Personendaten für eine spätere Position oder ein anderes Bewerbungsverfahren behalten, ist die Einwilligung des Kandidaten unter Mitteilung der Aufbewahrungsdauer (z.B. für weitere 12 Monate) notwendig. Die Einholung von Referenzen von ehemaligen Arbeitgebern oder Registerauszüge (z.B. Strafregisterauszug) bedarf grundsätzlich der Zustimmung des Kandidaten oder einer gesetzlichen Grundlage.

Durchführung Kontrollmassnahmen

Kontrollmassnahmen, die eine Verarbeitung von Mitarbeiterdaten erfordern, dürfen grundsätzlich nur durchgeführt werden, wenn eine gesetzliche Verpflichtung besteht oder ein legitimer Zweck gegeben ist. Ferner müssen die Kontrollmassnahmen geeignet und erforderlich (mildestes Mittel) sein, um den legitimen Zweck zu erreichen und dürfen nur durchgeführt werden, wenn sie angemessen sind. Dabei müssen die berechtigten Interessen der Unternehmung gegen ein mögliches Schutzinteresse des von der Massnahme betroffenen Mitarbeiters am Ausschluss der Massnahme abgewogen werden. Ferner sind die betroffenen Personen darüber zu informieren, ausser es liegt ein besonderer Grund vor, der die Vornahme der Kontrollmassnahme ohne vorherige Information rechtfertigt (z.B. zur Abwendung einer unmittelbar drohenden Straftat im Rahmen einer strafrechtlichen Untersuchung). Die berechtigten Interessen der Unternehmung sowie die möglichen schutzwürdigen Interessen der Mitarbeiter müssen vor jeder Massnahme festgelegt und dokumentiert werden.

Besteht die Absicht, Kontrollmassnahmen durchzuführen, ist die Anlaufstelle für Datenschutz zu kontaktieren.

Telekommunikation und Internet

Telefonanlagen, E-Mail-Adressen, Intranet und Internet sowie Soziale Netzwerke werden den Mitarbeitern zur Führung des Geschäftsbetriebes als Arbeitsmittel zur

Verfügung gestellt. Sie dürfen im Rahmen der geltenden Rechtsvorschriften und der Unternehmungs-Richtlinien genutzt werden.

Eine generelle Überwachung der Telefon- und E-Mail-Kommunikation sowie die Nutzung von Internet und Intranet findet nicht statt.

Zur Sicherheit und Abwehr von Angriffen auf die IT-Infrastruktur und einzelne Mitarbeiter können Schutzmassnahmen implementiert werden, die bspw. technisch schädigende Inhalte blockieren oder die Muster von Angriffen analysieren.

Personenbezogene Auswertungen dieser Daten dürfen nur bei einem konkreten und begründeten Verdacht eines Verstosses gegen das Gesetz oder die Richtlinien der Stiftung Special Olympics Switzerland unter Einhaltung der Vorschriften gemäss Art. lit. d dieser Richtlinien durchgeführt werden.

Wenn die Absicht besteht, in einem konkreten Fall personenbezogene Auswertungen durchzuführen, ist die Stelle für Datenschutz zu kontaktieren.

Bei Unklarheiten oder Fragen zur Durchführung von Kontrollmassnahmen ist die Anlaufstelle für Datenschutz zu kontaktieren.

Besonders schützenswerte Personendaten und Persönlichkeitsprofile

Bei der Verarbeitung von besonders schützenswerten Personendaten sind folgende, strengere Anforderungen zu beachten:

1. Sensitive Personendaten: die Verarbeitung von sensitiven Personendaten ist grundsätzliche verboten, es sei denn:

• die betroffene Person hat in die Datenverarbeitung explizit eingewilligt;

• die Verarbeitung ist erforderlich, um rechtliche Pflichten zu erfüllen, insbesondere in den Bereichen des Arbeitsrechts sowie des Rechts der sozialen Sicherheit und des Sozialschutzes; oder

• Personendaten von Kindern: Personendaten von Kindern (Kinder unter 16 Jahren) bedürfen zur Rechtmässigkeit der Verarbeitung der Einwilligung bzw. Zustimmung durch den Träger der elterlichen Verantwortung oder einer gesetzlichen Grundlage (z.B. der Vater oder die Mutter), welche die Verarbeitung ausdrücklich erlaubt.

• Personendaten über Straftaten und/oder Verurteilungen: Personendaten über Straftaten und/oder Verurteilungen dürfen nur verarbeitet werden, wenn dies gesetzlich notwendig oder zulässig ist.

Darüber hinaus unterliegen diese Kategorien von Personendaten besonderen Schutz- und Sicherheitsvorkehrungen, die in der strengsten Form umgesetzt werden müssen, um die Personendaten insbesondere vor unbefugter Verarbeitung, Zugriff sowie Offenbarung zu schützen (z.B. Verschlüsselung, minimale Zugriffsberechtigungen; vgl. dazu Ziff. 3.8.). Bei Unklarheiten oder Fragen zur Erhebung, Verarbeitung oder Sicherstellung dieser Kategorien von Personendaten ist die Anlaufstelle für Datenschutz zu kontaktieren.

Dasselbe gilt für Angaben, welche Rückschlüsse auf wesentliche Eigenschaften von Personen, wie etwa Charaktereigenschaften, erlauben (sogenannte Persönlichkeitsprofile). Dies kann etwa bei Bewerbungsdossiers der Fall sein.

Wenn Sie solche Personendaten beschaffen, müssen Sie die betroffene Person vorgängig darüber informieren (vgl. Artikel 3.3). Wenn Sie dies aus einem bestimmten Grund in einem konkreten Fall nicht als angezeigt erachten, wenden Sie sich bitte an die Anlaufstelle für Datenschutz. Diese wird dann prüfen, ob es gerechtfertigt werden kann, die betroffene Person nicht oder erst später zu informieren.

Fairness und Transparenz

Die betroffene Person ist bei der Erhebung der Personendaten umfassend, nach Treu und Glauben, sowie in transparenter Weise über die Datenverarbeitung zu informieren. Die Informationen sind in einer verständlichen und leicht zugänglichen Form sowie in einer klaren und möglichst einfachen Sprache zu verfassen. Die Informationen haben mindestens die Angaben in Anhang 1 dieser Richtlinie zu enthalten.

Die Informationen sind in schriftlicher oder elektronischer Form, über die Website, in Applikationen (Apps) (z.B. mittels einer Datenschutzerklärung und ggf. Cookie- Hinweisen) oder in anderer geeigneter Form mitzuteilen und zu Beweiszwecken zu dokumentieren.

Auf der Website oder bei Apps ist die Datenschutzerklärung (inkl. Cookie-Hinweise) so zu integrieren, dass diese für die Nutzer bzw. die betroffenen Personen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar ist.

Werden zur Auswertung des Nutzerverhaltens von Websiten oder Apps Nutzerprofile erstellt (Tracking), so sind die betroffenen Personen darüber in der Datenschutzerklärung zu informieren. Zudem darf ein personenbezogenes Tracking nur erfolgen, wenn dies gesetzlich zulässig ist oder die betroffene Person eingewilligt hat. Werden auf Websiten oder bei Apps in einem registrierungs-/anmeldepflichtigen Bereich Zugriffe auf Personendaten ermöglicht, so sind die Identifizierung (z.B. Nutzername) und Authentifizierung (z.B. Passwort) der betroffenen Personen so zu gestalten, dass ein für den jeweiligen Zugriff angemessener Datenschutz erreicht wird.

Werden die Personendaten nicht direkt bei der betroffenen Person, sondern über einen Dritten erhoben, ergreifen wir angemessene Massnahmen, um sicherzustellen, dass der Dritte die notwendigen Informationen gemäss dieser Richtlinie der betroffenen Person mitgeteilt hat. In jedem Fall stellen wir sicher, dass die Informationen der betroffenen Person spätestens ein Monat nach Erhalt der Personendaten mitgeteilt werden.

Ausnahmsweise müssen die Informationen gemäss Anhang 1 nicht mitgeteilt werden, wenn eine der folgenden Voraussetzungen erfüllt, ist:

• die betroffene Person verfügt bereits über die Informationen;

• die Erteilung dieser Informationen erweist sich als unmöglich oder würde einen unverhältnismässigen Aufwand erfordern;

• die Erlangung oder Offenlegung der Personendaten ist ausdrücklich gesetzlich geregelt; oder

• die Personendaten gemäss Gesetz dem Berufsgeheimnis oder einer anderen besonderen Geheimhaltungspflicht unterliegen und daher vertraulich zu behandeln sind.

Bei Unklarheiten oder Fragen zu den Informationspflichten ist die Anlaufstelle für Datenschutz zu kontaktieren.

• Zweckbindung

Personendaten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden, welche:

• der betroffenen Person vorgängig in transparenter Weise mitgeteilt wurden (vgl. obiger Artikel 3.3.);

• für die betroffene Person aufgrund der Umstände klar erkennbar sind; oder

• gesetzlich vorgeschrieben sind.

Personendaten dürfen nicht für andere, mit diesen nicht zu vereinbarenden Zwecken, weiterverarbeitet werden. Eine Datenerhebung ohne Zweck, wie beispielsweise die Speicherung von Daten auf Vorrat, ist unzulässig.

Besteht die Absicht, die Personendaten für andere, als für die ursprünglich festgelegten Zwecke weiterzuverarbeiten, sind die betroffenen Personen vorgängig über die neuen Zwecke zuzüglich aller anderen massgeblichen Informationen gemäss Anhang 1 zu informieren und soweit notwendig, die Einwilligung einzuholen.

Besteht die Absicht, die Personendaten für andere als für die ursprünglich festgelegten Zwecke zu nutzen und ist unklar, ob die neuen Zwecke mit den ursprünglichen Zwecken vereinbar sind, ist die Anlaufstelle für Datenschutz zu kontaktieren.

Datenminimierung, Data Protection by Design and by Default

Die Personendaten müssen dem Zweck angemessen sein und auf das für die Zwecke der Verarbeitung notwendige Mass beschränkt sein. Falls möglich, sollte auf eine personenbezogene Verarbeitung verzichtet werden und stattdessen, wo immer möglich und sinnvoll, die Personendaten pseudonymisiert oder anonymisiert werden (z.B. bei statistischen Auswertungen oder Befragungen).

Gleiches gilt für die Auswahl von Datenverarbeitungssystemen. Der Datenschutz ist von Beginn an in die Spezifikationen und die Architektur von Datenverarbeitungssystemen zu integrieren, um die Grundsätze des Datenschutzes und des Schutzes der Privatsphäre soweit wie möglich einzuhalten, insbesondere auch den Grundsatz der Datenminimierung.

Richtigkeit

Die Personendaten müssen sachlich richtig, vollständig und, soweit notwendig, auf dem neusten Stand sein. Es sind alle angemessenen Massnahmen zu treffen, damit die Personendaten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig, unvollständig oder veraltet sind, umgehend gelöscht, berichtigt, ergänzt oder aktualisiert werden.

Speicherbegrenzung

Personendaten dürfen nur so lange verarbeitet werden, als dies für die Erreichung des Zwecks, für die sie erhoben wurden, notwendig ist, es sei denn, eine längere Aufbewahrung ist aus folgenden Gründen notwendig:

• zur Erfüllung von gesetzlichen Pflichten (z.B. Aufbewahrungs- und Dokumentationspflichten beispielsweise aus dem Zivilrecht oder dem Steuerrecht);

• zur Erfüllung von vertraglichen oder vorvertraglichen Pflichten (z.B. Erstellung eines Arbeitszeugnisses); oder

• zur Erfüllung von berechtigten Geschäftsinteressen der Stiftung Special Olympics Switzerland (z.B. Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, Census, etc.).

Diesfalls sind geeignete technische und organisatorische Massnahmen durchzuführen (z.B. Pseudonymisierung, Beschränkung auf einen sehr kleinen Personenkreis), um die Personendaten angemessen zu schützen.

Vertraulichkeit und Integrität

Die Personendaten müssen im Umgang vertraulich behandelt werden und in einer Weise verarbeitet werden, die eine angemessene Sicherheit der Personendaten gewährleistet, einschliesslich Schutz vor unbefugter oder unrechtmässiger Verarbeitung, unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.

Eine unbefugte Erhebung, Verarbeitung oder Nutzung ist untersagt. Unbefugt ist jede Verarbeitung, die ein Mitarbeiter vornimmt, ohne damit im Rahmen der Aufgabenerfüllung betraut und entsprechend berechtigt zu sein (z.B. unbefugte Übermittlung der Personendaten oder das Zugänglichmachen an unbefugte

Mitarbeiter oder Dritte oder die Nutzung für eigene private Zwecke). Mitarbeiter dürfen nach dem Need-to-Know Prinzip nur Zugang zu Personendaten haben, wenn und soweit dies für ihre jeweiligen Aufgaben erforderlich ist. Zu diesem Zweck treffen wir geeignete technische und organisatorische Massnahmen, welche insbesondere folgende Massnahmen eischliesst:

• Pseudonymisierung und Verschlüsselung der Personendaten: Wir werden die Personendaten pseudonymisieren, verschlüsseln oder auf anderer Weise identifizierbare Informationen durch ein Code ersetzen, um eine Identifikation des Betroffenen zu verhindern, soweit dies vernünftigerweise möglich und angemessen ist;

• Sicherstellung der andauernden Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung der Personendaten;

• Sorgfältige Aufteilung und Trennung von Rollen und Zuständigkeiten sowie deren Umsetzung und Pflege im Rahmen von Berechtigungskonzepten nach dem Need- to-Know-Prinzip;

• Rasche Wiederherstellung der Verfügbarkeit der Personendaten und des Zugangs zu ihnen bei einem physischen oder technischen Zwischenfall;

• Privacy by Design and by Default: Wir werden bereits bei der Festlegung der Mittel für die Datenverarbeitung wie auch beim Design neuer Produkte, Dienstleistungen und Nutzung von neuen Technologien den Datenschutz und den Schutz der Rechte und Freiheiten der betroffenen Personen genügend berücksichtigen. Wir werden nur Personendaten erheben und nutzen, welche für den bestimmten Verarbeitungszweck tatsächlich erforderlich sind. Ferner werden wir den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit auf das Nötigste beschränken;

• Implementierung eines Prozesses zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen, um die Sicherheit der Datenverarbeitung zu gewährleisten.

Nutzung von Auftragsverarbeiter

Eine Auftragsverarbeitung liegt vor, wenn ein Dritter (Auftragsverarbeiter) in unserem Auftrag und auf unsere Anweisung hin Personendaten für uns verarbeitet, ohne dass dem Auftragsverarbeiter die Verantwortung über den betroffenen Geschäftsprozess übertragen wird, d.h. die gesamte Verantwortung über die korrekte Durchführung der Datenverarbeitung bleibt bei uns als Auftragsgeber. Der Auftragsverarbeiter darf die Personendaten nur im Rahmen unserer Weisungen verarbeiten. Befindet sich der Auftragsverarbeiter ausserhalb der Schweiz oder der EU, sind die Anforderungen gemäss nachfolgendem Artikel 3.10. zu beachten. Bei einer Auftragsverarbeitung müssen folgende Bedingungen erfüllt sein:

• Der Auftragsverarbeiter muss sorgfältig auf hinreichende Schutzgarantien geprüft werden, wonach dieser geeignete technische und organisatorische Massnahmen so durchführt, dass die Verarbeitung der Personendaten im Einklang mit dieser Richtlinie und den Anforderungen des anwendbaren Datenschutzgesetzes erfolgt und der Schutz der Rechte der betroffenen Personen gewahrt ist. Die Prüfung der Schutzgarantien sollte auch während einer Zusammenarbeit regelmässig wiederholt werden;

• Mit jedem Auftragsverarbeiter muss ein schriftlicher Auftragsverarbeitungsvertrag abgeschlossen werden, in dem u.a. Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der Personendaten, die Kategorien betroffener Personen, die Gewährleistung der Datensicherheit durch Umsetzung geeigneter technischen und organisatorischen Massnahmen sowie weitere Pflichten des Auftragsverarbeiters regelt.

Wenn die Absicht besteht, Personendaten an einen Auftragsverarbeiter auszulagern (Outsourcing), ist die Anlaufstelle für Datenschutz zu kontaktieren.

Übermittlungen an Dritte und Übermittlung ausserhalb der Schweiz und der EU

Werden Personendaten an Dritte übermittelt (z.B. Tochtergesellschaft, Vertragspartner, Behörde), darf dies nur rechtmässig, bei Vorliegen eines Rechtsgrundes gemäss Ziffer 3.1., erfolgen (z.B. Vertrag, Gesetz, oder Einwilligung). Zudem muss der Empfänger verpflichtet werden, die Personendaten nur zu den festgelegten Zwecken zu verwenden.

Übermittlungen von Personendaten ausserhalb der Schweiz und der EU in ein Drittland mit einem unangemessenen Datenschutzniveau, dürfen nicht erfolgen, es sei

denn, der betroffenen Person stehen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung und die Stiftung Special Olympics Switzerland hat angemessene Schutzgarantien vorgesehen, wie bspw.:

• EU-Standarddatenschutzklauseln;

• Verbindliche interne Datenschutzvorschriften;

• Genehmigte Verhaltensregeln (Code of Conduct);

• Bei Vorliegen einer Ausnahme für bestimmte Fälle (z.B. ausdrückliche Zustimmung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen).

Wenn die Absicht besteht, Personendaten ausserhalb der Schweiz und der EU zu transferieren oder an einen Dritten, der ausserhalb der Schweiz und der EU ansässig ist, Zugriff auf die Personendaten zu geben, ist die Anlaufstelle für Datenschutz zu kontaktieren.

3.11        Datensicherheit

Wir bearbeiten und bewahren Personendaten in einer Weise auf, die eine angemessene Sicherheit der Personendaten vor Verletzungen der Datensicherheit gewährleistet. Wir implementieren hierzu insbesondere Zugangskontrollen, Zugriffskontrollen sowie Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen. Wir vermindern identifizierte Risiken für betroffene Personen namentlich mit technischen und organisatorischen Massnahmen sowie (soweit dies die Erreichung der Bearbeitungszwecke nicht ungebührend beeinträchtigt) durch datenschutzfreundliche Voreinstellungen.

• Rechte der betroffenen Personen

Wir verarbeiten die Personendaten stets im Einklang mit den Rechten der betroffenen Person. Die betroffene Person hat insbesondere folgende Rechte:

• Recht auf Information

Die betroffene Person hat das Recht, in transparenter Weise über die Personendaten, die über sie verarbeitet werden, informiert zu werden. Die Informationen, welche der betroffenen Person bei der Datenerhebung mitgeteilt werden müssen, sind im Anhang II dieser Richtlinie aufgeführt.

• Recht auf Auskunft

Die betroffene Person hat das Recht, von uns eine Bestätigung darüber zu verlangen, ob sie betreffende Personendaten verarbeitet werden. Bei einem entsprechenden Antrag sind gegenüber der beantragenden Person grundsätzlich die in Anhang II aufgeführten Informationen mitzuteilen.

Die Zuständige Abteilung stellt eine Kopie der Personendaten, die Gegenstand der Verarbeitung sind, kostenlos zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantrag, kann eine angemessene Entschädigung auf der Grundlage der Verwaltungskosten verlangt werden.

Stellt die betroffene Person einen Antrag in elektronischer Form, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

In jedem Fall zu beachten ist, dass durch die Auskunftserteilung keine Rechte und Freiheiten anderer Personen beeinträchtigt werden.

• Recht auf Berichtigung, Vervollständigung und Löschung

Die betroffene Person hat das Recht, vom Verantwortlichen unverzüglich die Berichtigung sie betreffender Personendaten zu verlangen, wenn sich diese als unrichtig erweisen. Ebenso können sie die Vervollständigung unvollständiger Personendaten verlangen. Darüber hinaus können sie bei gegebenen Voraussetzungen die Löschung ihrer Daten beantragen.

• Recht auf Widerspruch und Einschränkung

Die betroffene Person hat das Recht, der Verarbeitung ihrer Personendaten aus berechtigten Gründen zu widersprechen und vom Verantwortlichen bei gegebener Voraussetzung die Einschränkung der Verarbeitung zu verlangen.

• Recht auf Datenübertragbarkeit

Die betroffene Person hat bei gegebenen Voraussetzungen das Recht, die sie betreffenden Personendaten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und diese einem anderen Verantwortlichen, zu übermitteln.

• Widerspruchsrecht bei Direktwerbung (einschliesslich Profiling)

Wenn Personendaten verarbeitet werden, um Direktwerbung (einschliesslich Profiling) zu betreiben, so hat die betroffene Person das Recht, jederzeit dieser Datenverarbeitung zu wider-sprechen.

• Recht, nicht Gegenstand einer automatisierten Entscheidung im Einzelfall (ein-schliesslich Profiling) zu sein

Die betroffene Person hat das Recht, nicht einer ausschliesslich auf einer automatisierten Verarbeitung (einschliesslich Profiling) beruhenden Entscheidung (d.h. die Entscheidung erfolgt auf Grundlage einer automatisierten maschinellen Verarbeitung ohne Mitwirkung einer natürlichen Person, z.B. automatische Ablehnung im Online-Bewerbungsverfahren) unterworfen zu werden, wenn diese ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine Ausnahme, bei der ein solches Vorgehen zulässig ist, besteht lediglich in folgenden Fällen:

• eine solche Entscheidung ist notwendig für einen Vertragsabschluss;

• dies ist gemäss anwendbarem Recht zulässig; oder

• die betroffene Person hat dem ausdrücklich zugestimmt.

In diesem Fall treffen wir angemessene Massnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren und räumen ihr mindestens die Möglichkeit ein, gegenüber einer natürlichen Person die Entscheidung anzufechten und ihren Standpunkt darzulegen.

• Umgang und Antworten auf solche Anfragen

Jede Fachabteilung stellt sicher, dass die genutzten Systeme und Prozesse im Einklang mit den Anforderungen zur Gewährleistung der Rechte der betroffenen Personen stehen.

Bei der Bearbeitung von Anträgen ist die Identität der betroffenen Person zweifelsfrei festzustellen. Bei begründeten Zweifeln an der Identität können zusätzliche Angaben vom Antragsteller angefordert werden. Ferner ist zu prüfen, ob aufgrund besonderer Umstände und gegebener Voraussetzungen, die Beantwortung eines entsprechenden Antrags gegebenenfalls verzögert, beschränkt oder verweigert werden muss.

Die betroffene Person ist spätestens innerhalb eines Monats über alle ergriffenen Massnahmen, die auf ihren Antrag hin erfolgt sind, zu informieren.

Entsprechende Anträge von betroffenen Personen sind umgehend an die Anlaufstelle für Datenschutz weiterzuleiten.

• Datenberarbeitungsverzeichnis und Dokumentation

Die Stiftung Special Olympics Switzerland hat ein Verzeichnis über alle Datenberarbeitungstätigkeiten zu führen und zu dokumentieren, dass ihre Verarbeitungstätigkeiten im Einklang mit den Datenschutzgesetzen stehen. Dies beinhaltet eine Beschreibung der Verarbeitungstätigkeiten sowie die Durchführung einer Konformitätsprüfung aller regelmässig durchgeführten Datenverarbeitungen, die Teil oder Gegenstand einer IT-Applikation, eines Geschäftsprozesses, Outsourcing oder einer Kooperation mit einem Dritten sind.

Darüber hinaus hat die Special Olymipcs Switzerland eine schriftliche Dokumentation über folgende Dokumente zu führen:

• Alle Richtlinien, Anleitungen und andere Dokumente, die den Datenschutz und Datensicherheit sicherstellen

• Alle Verträge mit Drittparteien betreffend Datenschutz und Datensicherheit, einschliesslich Auftragsdatenverarbeitungen oder Kooperationen mit Tochtergesellschaften oder Drittparteien;

• Alle Datenverarbeitungen der Stiftung Special Olympics Switzerland zwecks Erstellung des Verzeichnisses, einschliesslich die Überprüfung der Konformität mit dieser Richtlinie und die anwendbaren Datenschutzgesetze, Datenschutz-

Folgenabschätzung, sofern relevant, und die Entscheidung der Verantwortlichen Fachabteilung über eine neue oder geänderte Datenverarbeitung;

• Alle festgestellten oder vermuteten Datenschutzverletzungen;

• Alle Ansprüche von Dritten und Rechtsangelegenheiten betreffend die Verarbeitung von Personendaten.

• Meldung einer Datenschutzverletzung

Jeder Mitarbeiter muss unverzüglich eine mögliche Verletzung dieser Datenschutzrichtlinie oder der Sicherheit der Personendaten, welche zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu Personendaten führt, der Anlaufstelle für Datenschutz melden.

Die Anlaufstelle für Datenschutz wird mit der Unterstützung der möglichen Fachabteilungen, den Vorfall auf Verletzung des Datenschutzes hin prüfen und soweit erforderlich, die mögliche Verletzung den zuständigen Aufsichtsbehörden und den betroffenen Personen melden und alle weiteren Schritte gemäss Datenschutzgesetzgebung vornehmen, um die Auswirkungen der Datenschutzverletzung für die betroffenen Personen und die Unternehmung soweit wie möglich zu minimieren.

Die Meldung hat alle relevanten Informationen zur Aufklärung des Sachverhaltes zu umfassen, insbesondere die betroffene Fachabteilung, Art und Umfang der Verletzung, wenn möglich eine ungefähre Anzahl der betroffenen Personen sowie eine Beschreibung der wahrscheinlichen Folgen der Verletzung für die betroffenen Personen.

• Kontrolle

Die Einhaltung dieser Richtlinie und der geltenden Datenschutzgesetze wird regelmässig überprüft.

Die Einhaltung dieser Richtlinie ist von grosser Wichtigkeit für die Stiftung Special Olympics Switzerland zur Sicherstellung des Datenschutzes der betroffenen Personen, was im Falle einer Verletzung zu erheblichen Haftungs- und Schadensansprüchen gegen die Stiftung Special Olympics Switzerland führen kann.

• Implementierung und Änderungen

Diese Richtlinie treten am 04.09.2023 in Kraft. Sie wird regemässig überprüft und kann jederzeit mit sofortiger Wirkung angepasst werden. Die Mitarbeiter werden bei einer Anpassung per Email oder auf andere geeignete Weise informiert.

1. Publikation

Eine aktuelle Version dieser Richtlinie steht allen Mitarbeitenden wie folgt zur Verfügung: ….

Anhang I – Recht auf Information

Wenn wir Personendaten erheben, teilen wir der/n betroffenen Person/en vor dem Zeitpunkt der Erhebung im Minimum Folgendes mit:

1. Mindestinformationen gemäss Art. 19 Abs. 2 nDSG:

1. Die Identität und die Kontaktdaten des Verantwortlichen (die Stiftung Special Olympics Switzerland) und evt. die Kontaktdaten der Kontaktstelle für Datenschutzfragen;

• Den Bearbeitungszweck;

• Die Kategorien der betroffenen Personendaten, die von den betroffenen Personen erhoben werden, falls die Personendaten nicht direkt von der betroffenen Person beschafft werden (z.B. von einer Drittunternehmung) und somit für diese nicht erkennbar ist;

• Gegebenenfalls die Empfänger oder Kategorien von Empfänger, denen Personendaten bekanntgegeben werden; und

• Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 nDSG oder die Anwendung einer Ausnahme nach Artikel 17 nDSG mit.

• Weitere Informationen zur Gewährleistung einer transparenten und fairen Datenbearbeitung

Darüber hinaus sind gemäss Art. 19 Ziff. 1 und 2 sowie Art. 25 nDSG weitere Informationen der betroffenen Person mitzuteilen, damit sie ihre Rechte nach dem Datenschutzgesetz geltend machen kann und eine transparente Datenbearbeitung gewährleiste ist, wie bspw. folgende Informationen:

1. Die bearbeiteten Personendaten als solche, oder die Kategorien der betroffenen Personendaten, die von den betroffenen Personen erhoben werden

• Die Dauer, für die die Personendaten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung der Dauer;

• Das Bestehen der Rechte der betroffenen Personen (Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie das Recht auf Datenübertragbarkeit, vgl. Artikel 4 dieser Richtlinie);

• Das Recht, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmässigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung beruht wird;

• Das Recht, bei der zuständigen Aufsichtsbehörde eine Beschwerde einzureichen;

• Ob die Bereitstellung der Personendaten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die Personendaten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte; sowie

• Das Bestehen einer automatisierten Entscheidungsfindung, einschliesslich Profiling, sowie aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffenen Person.

Anhang II – Recht auf Auskunft

1. Mindestinformationen gemäss Art. 25 Abs. 2 nDSG:

Bei einer Antragstellung auf Auskunft durch die betroffene Person über die von ihr verarbeitete Personendaten, sind der betroffenen Person gemäss Art. 25 Abs. 2 nDSG mindestens folgende Informationen mitzuteilen, sofern keine Einschränkung des Auskunftsrechts gemäss Art. 26 nDSG vorliegt:

1. die Identität und die Kontaktdaten des Verantwortlichen;

• Die bearbeiteten Personendaten als solche;

• Der Bearbeitungszweck

• Die Aufbewahrungsdauer der Personendaten, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

• die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;

• gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;

• gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden, sowie die Informationen zu einer Auftragsbearbeitung, falls die Personendaten an einen Auftragsbearbeiter ausgelagert werden.

• Weitere Informationen zur Gewährleistung einer transparenten und fairen Datenbearbeitung

Darüber hinaus sind gemäss Art. 25 Abs. 2 nDSGweitere Informationen der betroffenen Person mitzuteilen, damit sie ihre Rechte nach dem Datenschutzgesetz geltend machen kann und eine transparente Datenbearbeitung gewährleiste ist, wie bspw. folgende Informationen:

1. Das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden Personendaten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

• Das Recht, bei der zuständigen Aufsichtsbehörde eine Beschwerde einzureichen;

• Sofern Personendaten ins Ausland transferiert werden, so hat die betroffene Person das Recht, über die angemessenen Garantien informiert zu werden, die einen angemessenen Datenschutz gewährleisten sollen.