Sicherheitsmassnahmen für den Datenschutz in der Schweizer Pensionskassenbranche

In einer zunehmend digitalen Welt ist der Schutz sensibler Daten unerlässlich. Besonders Pensionskassen tragen eine immense Verantwortung, das Vertrauen ihrer Mitglieder zu wahren – eine Herausforderung, die durch Integration der Pensionskasse in die IT-Systemlandschaft großer Unternehmensgruppen noch komplexer wird.

Das Schweizer Bundesverwaltungsgericht hat bereits mit Urteil vom 10. April 2012 (A 4467/2011) eindeutig festgelegt: Vorsorgeeinrichtungen dürfen Arbeitgebern nur solche Personendaten bereitstellen, die für die Erfüllung der im Arbeitsvertrag und im Rahmen der beruflichen Vorsorge vorgesehenen Aufgaben objektiv notwendig sind. Unbefugter Zugriff auf persönliche Daten von Versicherten und Rentnern verstösst gegen den Grundsatz der Datensicherheit. Die Trennung zwischen Arbeitgeber und Pensionskasse muss somit nicht nur technisch, sondern auch vertraglich und organisatorisch sichergestellt werden. Gemeinsame IT-Systeme dürfen den Arbeitgebern keinen unbefugten Zugriff auf persönliche Daten der Versicherten ermöglichen. IT-Dienste müssen für den unbefugten Durchgriff der Arbeitgeber auf Versichertendaten absolut undurchlässig bleiben.

Ist eine Pensionskasse in die IT-Infrastruktur und -Organisation einer Unternehmensgruppe einbezogen, so können diese vertraglichen Massnahmen bei der Abgrenzung und dem Datenschutz helfen:

  1. Klare Regelungen für Arbeitgeber und eigenverantwortlich handelnde IT-Servicegesellschaften der Unternehmensgruppe: Die Vereinbarungen sollten Verpflichtungen enthalten, den Umgang mit Personendaten streng vertraulich und ausschliesslich zweckgebunden zu behandeln. Der Zugriff auf diese Daten darf ausschließlich für vertraglich klar definierte und spezifische Zwecke gestattet sein.

  2. Auftragsbearbeitungsverträge mit externen Dienstleistern abschliessen: Diese Verträge sollen sicherstellen, dass die Datenverarbeitung nur auf Anweisung der Pensionskasse erfolgt. Sofern Dienstleister in die Unternehmensgruppe einbezogen sind, soll klar geregelt sein, dass die Pensionskasse die einzige weisungsbefugte Stelle gegenüber diesen Dienstleistern ist.

  3. Genehmigung bei Unter-Auftragsbearbeitern: Sofern ein Dienstleister weitere Unter-Auftragsbearbeiter einbeziehen möchte, darf dies nur mit ausdrücklicher vorheriger Zustimmung der Pensionskasse geschehen. Eine Weitergabe von Personendaten an einen weiteren Unter-Auftragsbearbeiter darf erst mit Vorliegen der Genehmigung erfolgen.

  4. Einschränkungen bei Vollmachten: Klarheit und Kontrolle gewährleisten. Wenn der IT-Servicegesellschaft innerhalb einer Unternehmensgruppe die Vollmacht erteilt ist, im Namen der Unternehmensgesellschaften Verträge und Vereinbarungen zur Datenverarbeitung abzuschließen, sollten klare Beschränkungen definiert sein. Diese Beschränkungen sollten sicherstellen, dass die Systeme zur technischen Verwaltung der Pensionskasse nicht unzulässig beeinflusst oder genutzt werden.

  5. Sanktionen bei Verstößen: Verträge sollten Strafen für den Fall beinhalten, dass Datenschutzvorgaben nicht eingehalten werden.