Externe Datenschutzberater für Pensionskassen

Unsere Kompetenz: Datenschutz für Pensionskassen

Mehr über Datenschutz für Pensionskassen

Fragen und Antworten zum Thema Datenschutz für Pensionskassen

Was sind die Hauptpflichten für Pensionskassen nach dem DSG?
Muss eine Pensionskasse einen Datenschutzberater bestellen?
Muss eine kantonale öffentlich-rechtliche Pensionskasse einen Datenschutzberater benennen?
Welche Aufgaben hat der Datenschutzberater einer Pensionskasse?
Welchen Vorteile hat die Benennung eines externen Datenschutzberaters für Pensionskassen?
Welche Strafen drohen bei Verstößen gegen das Datenschutzgesetz?

Was sind die Hauptpflichten für Pensionskassen nach dem DSG?

Zu den Datenschutz-Pflichten einer Pensionskasse gehören unter anderem: Umhüllende (registrierte) Pensionskassen, die sowohl im obligatorischen als auch im überobligatorischen Bereich tätig sind, müssen einen Datenschutzberater benennen und diesen beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) registrieren. Betroffenen müssen umfassend über die Zwecke der Datenbearbeitung informiert werden. Die Datenbearbeitung muss für festgelegte Zwecke erfolgen und soll auf das notwendige Mass beschränkt sein. Ein Verzeichnis der Bearbeitungstätigkeiten muss erstellt und auf der Webseite des EDÖB veröffentlicht werden. Pensionskassen müssen die Datenschutz-Rechte von Betroffenen schützen. Betroffenenanfragen müssen in einem vorgegebenen Zeitraum beantwortet werden. Personendaten müssen gegen Verlust und unberechtigte Offenlegung mit angemessenen technischen und organisatorischen Massnahmen geschützt werden. Mitarbeitende sind im Umgang mit der EDV zu sensibilisieren. Umgesetzte Massnahmen sind zu dokumentieren und ein Verzeichnis der Bearbeitungstätigkeiten ist zu führen.

Muss eine Pensionskasse einen Datenschutzberater bestellen?

Umhüllende (registrierte) Pensionskassen, die sowohl im obligatorischen als auch im überobligatorischen Bereich tätig sind, unterliegen den Datenschutzbestimmungen für Bundesorgane und müssen nach Art. 25 DSV einen Datenschutzberater benennens. Nur wenn die Datenbearbeitung der Pensionskasse ausschließlich dem Überobligatorium zugeordnet werden kann, ist die Benennung eines Datenschutzberaters optional.

Muss eine kantonale öffentlich-rechtliche Pensionskasse einen Datenschutzberater benennen?

Zunächst handelt es sich bei einer kantonalen öffentlich-rechtlichen Pensionskasse nicht um ein private Person und auch nicht um ein Bundesorgan. Das DSG ist somit nicht anwendbar. Solche Pensionskassen unterstehen als öffentliche Organe des Kantons dem jeweiligen kantonalen DSG. Die Datenschutzgesetze der Kantone Freiburg, Luzern und Obwalden enthalten Regelungen für die Benennung eines Datenschutzberaters oder einer Ansprechperson für den Datenschutz. Eine Pflicht zur Benennung muss daher im Einzelfall geprüft werden. Da Pensionskassen jedoch regelmässig besonders schützenswerte Personendaten bearbeiten, wird empfohlen, dennoch eine Datenschutz-Organisation aufzubauen um die Anforderungen an den Datenschutz sicherzustellen.

Welche Aufgaben hat der Datenschutzberater einer Pensionskasse?

Der Datenschutzberater einer Pensionskasse übernimmt eine Vielzahl von Aufgaben, um den Schutz von Personendaten sicherzustellen und die Einhaltung der Datenschutzgesetze zu gewährleisten. Er ist Anlaufstelle für Betroffene und Behörden und schult und berät die Mitarbeitenden der Pensionskasse in Fragen des Datenschutzes. Dabei wirkt er bei der Anwendung der Datenschutzvorschriften mit. Zu seinen Aufgaben gehören ausserdem die Bewertung von Risiken, die mit der Verarbeitung von Personendaten verbunden sind. Er berät bei der Erstellung von Datenschutz-Folgenabschätzungen und überprüft deren Ausführung. Er empfiehlt Korrekturmassnahmen, wenn eine Verletzung der Datenschutzvorschriften festgestellt wird. Der Datenschutzberater prüft Verträge zur Auftragsbearbeitung und kontrolliert, ob bestehende Richtlinien, Verfahren und Datenschutzerklärungen aktualisiert werden müssen, um den rechtlichen Anforderungen gerecht zu werden. Darüber hinaus pflegt die OBSECOM als externer Datenschutzberater das Verzeichnis der Bearbeitungstätigkeiten und unterstützt die Pensionskasse beim Aufbau einer Datenschutz-Organisation und der Beantwortung von Betroffenenanfragen, wie z.B. Auskunftsanfragen. Ausserdem hilft die OBSECOM bei der Bewältigung von Datenschutzverletzungen.

Welchen Vorteile hat die Benennung eines externen Datenschutzberaters für Pensionskassen?

Die Benennung eines externen Datenschutzberaters bietet Pensionskassen zahlreiche Vorteile: Externe Datenschutzberater bringen eine unvoreingenommene Sichtweise mit und können Datenschutzpraktiken neutral bewerten. Die Berater der OBSECOM verfügen über spezialisierte Kenntnisse und langjährige Erfahrung im Datenschutzrecht und liefern hohe Beratungsqualität. Externe Datenschutzberater verfügen über zertifizierte und fundierte Fachkunde. Sie sind stets auf dem aktuellen Stand der Entwicklungen im Datenschutzrecht. Mit einem externen Datenschutzberater lässt sich das Haftungsrisiko des Unternehmens leichter managen. Er hat keinen besonderen Kündigungsschutz. Kündigungsfristen für das Mandat werden vertraglich geregelt. Die Kosten für die externe Dienstleistung sind den Kosten für Gehalt, sowie Aus- und Weiterbildungskosten eines internen Datenschutzberaters gegenüberzustellen.

Welche Strafen drohen bei Verstößen gegen das Datenschutzgesetz?

Die vorsätzliche Missachtung bestimmter Datenschutz-Pflichten kann nach dem DSG strafrechtlich verfolgt und mit einer Busse von bis zu CHF 250’000 sanktioniert werden. Die Geldbussen richten sich an die verantwortlichen Einzelpersonen (z.B. Mitglieder des Verwaltungsrats, Geschäftsleitung, …). Nach Art. 60 DSG kann u.a. die absichtliche Erteilung falscher oder unvollständiger Auskünfte an betroffene Personen sanktioniert werden. Laut Art. 61 DSG haften private Personen wenn Personendaten unerlaubt übermittelt und die Mindestanforderungen für technische und organisatorische Sicherheit missachtet werden. Zum Beispiel: bei vorsätzlicher Übermittlung von Personendaten an Datenverarbeiter ohne die Voraussetzungen in Art. 9 DSG erfüllt zu haben oder vorsätzliche Missachtung der technischen und organisatorischen Mindestanforderungen.