4. Datengovernance und digitale Arbeitsmittel

Internes Reglement für Mitarbeitende

RADIX Schweizerische Gesundheitsstiftung verarbeitet schützenswerte und besonders schützenswerte Personendaten nach schweizerischem Recht. Als Gesundheitsstiftung ist der Schutz dieser Daten von grosser Wichtigkeit. Dieses Reglement gilt für alle Mitarbeitenden, Praktikant:innen, Freiwillige sowie freischaffende Mitarbeitende.

1. Wer ist dafür verantwortlich?

2. Welche Grundregeln gelten im Umgang mit Daten?

• Nur notwendige Daten erheben (Verhältnismässigkeit)

• Daten nur für den angegebenen Zweck nutzen (Zweckmässigkeit)

• Daten korrekt und aktuell halten (Richtigkeit)

• Daten sicher speichern (Datensicherheit)

Daten nach Ablauf der Frist löschen (Rechtmässigkeit)

3. Was sind Personendaten?

Schützenswerte Personendaten

• Name, Adresse, E-Mail, Telefon, Geburtsdatum, berufliche Angaben

• Diese Daten umfassen sowohl private (z. B. Wohnadresse) wie auch geschäftliche Angaben (Geschäfts-E-Mail)

Besonders schützenswerte Daten

• Gesundheitsdaten, Diagnosen, Behandlungen, Beratungsinhalte, Sozialhilfe-Angaben, Religiöse Ansichten

• Diese Daten brauchen besonderen Schutz. Die Bearbeitung erfolgt nur mit Einwilligung oder bei gesetzlicher Pflicht.

4. Wann dürfen wir Daten bearbeiten?

• Personendaten dürfen nur bearbeitet werden bei:

• Ausdrückliche Einwilligung der betroffenen Person (kann jederzeit widerrufen werden)

• Erforderlich zur Erfüllung eines Vertrags oder für vorvertragliche Massnahmen

• Notwendig zur Einhaltung gesetzlicher Verpflichtungen (z.B. steuerrechtliche oder buchhalterische Anforderungen)

• Berechtigtes Interesse, das die Interessen oder Grundrechte der betroffenen Person nicht überwiegt

• Zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person

• Zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt

Datenbearbeitung von Kindern

• Die Bearbeitung von Personendaten von Kindern unter 16 Jahren erfolgt nur mit ausdrücklicher Einwilligung der gesetzlichen Vertreter (z.B. Eltern oder Erziehungsberechtigte). Unter 16 Jahren ist eine Empfehlung. Rechtlich gilt minderjährig als unter 13 Jahren.

5. Wie lange werden Daten aufbewahrt?

Bitte beachtet, dass die Tabelle nicht umfassend ist und dass Fristen sich ändern können. Die genannten Fristen basieren auf dem Obligationenrecht (OR), nicht auf dem Schweizer Datenschutzgesetz (DSG). Das DSG verlangt die Löschung nach Zweckerfüllung. Das OR definiert die zeitliche Frist.

6. Welche Rechte haben betroffene Personen (Kunden, Auftraggebende, Klienten)

• Diese Rechte stehen unseren Kunden, Auftraggebenden, Klienten zu:

• Kunden, Auftraggebende, Klienten können jederzeit fragen, welche Daten wir von ihnen gespeichert haben (Auskunftsrecht)

• Sind diese Daten falsch oder veraltet? Wir korrigieren sie (Berichtigungsrecht)

• Kunden, Auftraggebende, Klienten können die Löschung der Daten verlangen, wenn wir sie nicht mehr benötigen (ausser es gibt gesetzliche Aufbewahrungspflichten) (Löschungsrecht)

• In bestimmten Fällen können Kunden, Auftraggebende, Klienten verlangen, dass wir die Daten nur noch eingeschränkt bearbeiten (Einschränkungsrecht)

• Kunden, Auftraggebende, Klienten können der Bearbeitung der Daten widersprechen, zum Beispiel bei Direktwerbung (Widerspruchsrecht)

• Kunden, Auftraggebende, Klienten können ihre Daten in einem gängigen Format (z.B. Excel, PDF) von uns erhalten (Datenübertragungsrecht)

• Kunden, Auftraggebende, Klienten können eine erteilte Einwilligung (z. B. für Newsletter) jederzeit widerrufen (dies betrifft nur zukünftige Bearbeitungen) (Widerrufsrecht)

So können Kunden, Auftraggebende, Klienten ihre Rechte geltend machen:

Betroffene Personen können ihre Rechte jederzeit ausüben.

1. Sie schreiben eine E-Mail an info-zh@radix.ch oder einen Brief und beschreiben, was sie möchten (z.B. Auskunft, Löschung).

2. Wir prüfen die Identität, ob die Anfrage wirklich von dir kommt (z.B. durch Rückfrage oder Kopie eines Ausweises).

3. Die Anfrage wird an den/die Datenschutzkoordinator:in weitergeleitet, egal ob die Identitätsprüfung positiv oder negativ ausgefallen ist.

4. Der/die Datenschutzkoordinator:in prüft die Anfrage und klärt ab, was möglich ist.

5. Die Bearbeitung der Anfrage muss innerhalb von 30 Kalendertagen erfolgen

6. Eine schriftliche Antwort wird an die betroffene Person von uns versendet. Dies mit dem Ergebnis der Anfrage

7. Wir dokumentieren die Anfrage und wie wir sie bearbeitet haben

Gut zu wissen: Die Bearbeitung dauert normalerweise 30 Tage. Bei komplexen Anfragen können wir die Frist um weitere 30 Tage verlängern – wir informieren die betroffene Person darüber. Auch können Kosten, bei zu hohem Aufwand der Bearbeitung, für die betroffene Person entstehen

7. Wie gehen wir technisch und organisatorisch mit den Daten um?

Lies hierzu bitte das geltende interne «Reglement zum Umgang mit Daten».

8. Was ist bei Datenschutzverletzungen zu tun?

Eine Datenschutzverletzung liegt vor bei unbefugtem Zugriff auf Personendaten, Verlust, Löschung, Veränderung oder der Veröffentlichung von bisher nicht zugänglichen, öffentlichen Informationen. Beispiele:

• Verlust oder Diebstahl von Geräten mit Personendaten

• Versand von E-Mails an falsche Empfänger

• Unbefugter Zugriff durch Dritte (Hacking)

• Versehentliche Veröffentlichung sensibler Daten

• Verlust von Backup-Datenträgern

Wer eine Datenschutzverletzung bemerkt, meldet diese bitte sofort dem/der Datenschutzkoordinator:in von RADIX sowie der Leitungsperson des Kompetenzzentrums.

So gehst du vor:

1. Ruhe bewahren!

2. Kontaktiere bitte sofort den/die Datenschutzkoordinator:in und

3. notiere, was passiert ist, wann es passiert ist und welche Daten betroffen sind.

4. Leite sofort Massnahmen ein, um den Schaden zu minimieren (z.B. E-Mail zurückrufen, Zugang sperren). Am besten in Rücksprache mit der Leitungsperson des Kompetenzzentrums.

5. Der/die Datenschutzkoordinator:in bewertet, wie hoch das Risiko für die betroffenen Personen ist

6. Bei hohem Risiko erfolgt die Meldung an den EDÖB innerhalb von 72 Stunden durch den/die Datenschutzkoordinator:in

7. Bei hohem Risiko werden die betroffenen Personen direkt informiert. Dies in Absprache mit dem/der Datenschutzkoordinator:in, Leitung des Kompetenzzentrums sowie der Geschäftsleitung

8. Wir untersuchen, wie es zur Datenschutzverletzung gekommen ist.

9. Wir setzen Massnahmen zur Verbesserung um, damit so etwas nicht wieder passiert

Wichtig zu wissen: Eine Meldung an den EDÖB (oder Kantonale Datenschutzstellen) ist erforderlich, wenn die Verletzung ein hohes Risiko für die betroffenen Personen darstellt (z.B. bei Gesundheitsdaten oder finanziellen Informationen).

Die betroffenen Personen werden direkt informiert, wenn sie durch die Verletzung gefährdet sind und selbst Massnahmen ergreifen können, um sich zu schützen.

9. Wie erteilen wir einen Auftrag an externe Organisationen?

Mit allen mandatierten Organisationen, die für uns Personendaten bearbeiten, schliessen wir einen Auftragsbearbeitungsvertrag (ABV) ab. Das stellt sicher, dass sie die gleichen Datenschutzstandards einhalten wie wir.

Das muss im Vertrag enthalten sein:

• Welche Daten werden wofür bearbeitet?

• Um welche Personen und Datenkategorien (Nicht schützenswert, schützenswert, Besonders schützenswert) geht es?

• Welche Pflichten und Rechte hat RADIX als Auftraggeberin?

• Ist die Vertraulichkeitsverpflichtung der mandatierten Organisationen vorhanden?

• Welche technischen und organisatorischen Schutzmassnahmen gelten (z. B. wer darf die Daten bei den mandatierten Organisationen bearbeiten)?

• Wie unterstützt die mandatierte Organisation bei Ersuchen/Anfragen von betroffenen Personen?

• Was passiert mit den Daten nach Vertragsende (Löschung oder Rückgabe)?

Wie kann RADIX die Einhaltung kontrollieren?

So gehen wir vor, wenn wir eine neue Organisation beauftragen:

1. Brauchen wir diese Organisation? Gibt es Alternativen?

2. Wir wählen eine vertrauenswürdige Organisation aus und bewerten ihre Eignung

3. Wir schauen uns an, welche technischen und organisatorischen Massnahmen die Organisation hat

4. Wir schliessen einen Leistungsvertrag sowie einen Auftragsbearbeitungsvertrag ab. Dieser Auftragsbearbeitungsvertrag regelt alle wichtigen Datenschutzpunkte

5. Wir tragen die Organisation in unser Verzeichnis der Bearbeitungstätigkeiten (DBV) ein

6. Wir überprüfen in regelmässigen Abständen, ob die Organisation die Vereinbarungen einhält oder ob sich etwas Grundlegendes verändert hat

Gut zu wissen: Alle unsere mandatierten Organisationen sind vertraglich verpflichtet, den Datenschutz sowie Datensicherheit einzuhalten und unsere Daten vertraulich zu behandeln.

10. Wie stellen wir Wissen und Themensensibilisierung sicher?

Alle Mitarbeitenden werden regelmässig im Datenschutz geschult. Schulungen finden mindestens einmal jährlich statt. Neue Mitarbeitende erhalten eine Schulung innerhalb der ersten drei Monate. Die Teilnahme an Schulungen wird dokumentiert.

11. Wie wird die Einhaltung kontrolliert?

Die Einhaltung des Reglements wird regelmässig (ad-hoc, halbjährlich, jährlich) überprüft. Der/die Datenschutzkoordinator:in führt die Kontrollen durch und berichtet der Geschäftsleitung über die Ergebnisse. Verstösse gegen das Reglement werden dokumentiert und Nachschulungen finden obligatorisch statt.

12. Wo kann ich mich melden bei Fragen oder Verstössen?

Bei Fragen oder Verstössen steht der/die Datenschutzkoordinator:in als Ansprechperson zur Verfügung.

13. Änderung des Reglements

• Das vorliegende Reglement kann den sich ändernden Verhältnissen angepasst werden. Änderungen werden in geeigneter Form bekannt gegeben. Das geänderte Reglement wird den Mitarbeitenden durch die vorgesetzten Personen abgegeben oder zugestellt.

• Kann sich ein Mitarbeitender mit einer geänderten Bestimmung nicht einverstanden erklären, so ist dies der vorgesetzten Person innert Monatsfrist, vom Tage der Bekanntmachung angerechnet, schriftlich mitzuteilen. Andernfalls gilt das aktuelle Reglement als angenommen.

14. Wann tritt das Reglement in Kraft?

Das Reglement tritt am 28.8.2026 in Kraft. Es wurde vom Stiftungsrat genehmigt am 30.6.2026.

Notebooks, die nicht mit der Domaine verbunden sind: Tagungs-, Browser-, Website-Notebooks

Regelmässig zu beachten

Ein Update aller Notebooks erfolgt einmal pro Monat durch Thomas Joho. Zuständige Personen machen mit ihm ab, wann er Zugriff hat.

Das Tagungs-Notebook bitte zwei Tage vor dem Einsatz anschliessen und bei Thomas melden, er kontrolliert nochmals, damit alles richtig installiert ist und an der Tagung gut läuft.

Umgang mit Dateien

Daten können über einen neuen oder formatierten Stick übermittelt werden. D.h. vor dem Einstecken in ein mit der Domäne RADIX verbundenes Gerät - inkl. Spare Notebook -, muss der Stick neu sein oder auf einem Tagungs- Browser- oder Website-Notebook formatiert werden:

1. USB-Stick einstecken

2. Explorer öffnen (Tastenkürzel: Windows + E)

3. Unter „Dieser PC“ den USB-Stick finden

4. Rechtsklick → „Formatieren…“

5. Einstellungen wählen:

Dateisystem:

• FAT32 (kompatibel, aber max. 4 GB pro Datei)

• exFAT (empfohlen für grosse Dateien)

• NTFS (nur für Windows optimal)

Schnellformatierung aktivieren (reicht meist aus)

6. Auf Starten klicken → bestätigen

IT-Verantwortliche (ccz), 19.05.2026