Datenschutzerklärung AVKZ

 I.       ALLGEMEINES

In dieser Datenschutzerklärung erläutern wir, APOTHEKENVERBAND KANTON ZÜRICH (AVKZ), wie wir Personendaten erheben und bearbeiten. Das ist keine abschliessende Beschreibung; zusätzlich gelten für die Mitglieder die Statuten. Unter Personendaten werden alle Angaben verstanden, die sich auf eine bestimmte oder bestimmbare Person beziehen.

 

Die Websites www.avkz.ch und unsere Angebote richten sich an Personen aus dem Kanton Zürich. Der AVKZ hält die Bestimmungen des Bundesgesetzes über den Datenschutz (DSG) ein. Alle Mitarbeitenden, die Zugang zu vertraulichen Daten oder Informationen haben, unterstehen einer Geheimhaltungspflicht. Die Geheimhaltungspflicht gilt auch für externe Mitarbeitende und beigezogene Dritte.

 

1.      Verantwortliche

Verantwortlich für die Datenbearbeitungen, die wir hier beschreiben, ist der APOTHEKENVERBAND KANTON ZÜRICH (AVKZ). Wenn Sie datenschutzrechtliche Anliegen haben, können sie uns diese an folgende Kontaktadresse mitteilen:

 

APOTHEKENVERBAND KANTON ZÜRICH (AVKZ)
Geschäftsstelle – Datenschutz

Sihlquai 253

8005 Zürich

info@avkz.ch

 

2.      Allgemeines 

2.1       Die im AVKZ vorhandenen Daten sind für den AVKZ von grossem Wert. Diese Daten sind daher gegen unbefugte Zugriffe und andere Gefährdungen zu schützen. 

2.2       Die Mitglieder, Kund/innen, Partner/innen sowie die Mitarbeitenden des AVKZ erwarten, dass die dem AVKZ anvertrauten Daten besonders geschützt werden und ein sorgsamer Umgang mit ihnen erfolgt. 

2.3       Bei Fragen zum Thema Datenschutz oder zum Umgang mit Personendaten kann die Datenschutzbeauftragte – Sybille Eberhard, sybille.eberhard@avkz.ch, 044 363 45 32 – kontaktiert werden.

 

3.      Ziel der Datenschutzrichtlinie 

3.1       Mit dieser Datenschutzrichtlinie sollen einheitliche Standards für den Datenschutz im AVKZ geschaffen werden. 

3.2       Durch die Einhaltung der in dieser Datenschutzrichtlinie definierten Standards kommt der AVKZ seinen datenschutzrechtlichen Verpflichtungen nach und sorgt für eine ausreichende Berücksichtigung der Interessen sowie Rechte der betroffenen Personen. 

3.3       Die Beachtung dieser Datenschutzrichtlinie ist Voraussetzung für den sicheren Austausch von Personendaten innerhalb des AVKZ und mit Dritten. 

 

4.      Anwendungsbereich der Datenschutzrichtlinie 

4.1       Diese Datenschutzrichtlinie gilt für jegliche Bearbeitung von Personendaten, wobei insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten erfasst werden. Sie findet Anwendung auf sämtliche Arten von Personendaten, insbesondere Daten von Mitarbeitenden, Kund/innen, Lieferant/innen und anderen Geschäftspartner/innen. 

4.2       Die Datenschutzrichtlinie beschreibt, konkretisiert bzw. ergänzt dabei auch gesetzliche Vorgaben, namentlich solche aus dem Schweizer Datenschutzgesetz (DSG). 

 

5.      Definitionen 

5.1       Personendaten im Sinne dieser AVKZ-Richtlinie sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. 

5.2       Betroffene Personen sind diejenigen natürlichen Personen, über die Personendaten bearbeitet werden. 

5.3       Verantwortliche/r ist eine private Person, die allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet. 

5.4       Auftragsdatenbearbeiter/in ist ein/e Dritte/r, die oder der im Auftrag der oder des Verantwortlichen Personendaten bearbeitet.  

II.     GRUNDREGELN DER DATENBEARBEITUNG 

6.      Rechtmässigkeit

6.1       Personendaten werden rechtmässig bearbeitet. Die Bearbeitung gilt nur als rechtmässig, wenn sie durch (a) Einwilligung der betroffenen Person, durch (b) ein überwiegendes privates oder öffentliches Interesse oder durch (c) Gesetz gerechtfertigt ist. 

7.      Transparenz 

7.1       Die Bearbeitung der Daten muss grundsätzlich so erfolgen, dass sie der betroffenen Person bekannt ist.  

 

8.      Verhältnismässigkeit 

8.1       Bei der Bearbeitung von Personendaten ist der Grundsatz der Verhältnismässigkeit zu beachten. Gemäss diesem Grundsatz dürfen nur solche Daten erhoben werden, die für den entsprechenden Zweck notwendig und geeignet sind.  

8.2       Weiter dürfen Personendaten nur so lange gespeichert werden, wie dies für den Zweck notwendig ist (vgl. hiernach).  

 

9.      Zweckbindung 

9.1       Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist. 

9.2       Werden die Personendaten zum Zweck der Bearbeitung nicht mehr benötigt, werden diese vernichtet oder anonymisiert. 

 

10.   Richtigkeit 

10.1    Alle Mitarbeitenden haben darauf zu achten, dass Personendaten richtig sind und auf dem neuesten Stand gehalten werden. 

10.2    Es werden alle angemessenen Massnahmen getroffen, um unzutreffende oder unvollständige Daten zu berichtigen oder zu vernichten.  

 

11.   Datensicherheit 

11.1    Für den AVKZ ist von grosser Bedeutung, dass die Sicherheit der Daten jederzeit gewährleistet ist. Vor diesem Hintergrund sind die Personendaten durch technische und organisatorische Massnahmen u.a. gegen Verlust, gegen unbefugten Zugriff und vor anderen Gefahren zu schützen. 

11.2    Für die einzelnen Vorgänge der Datenbearbeitung sind die konkreten Schutzmassnahmen zu dokumentieren und auf ihre Angemessenheit zu überprüfen. 

11.3    Die IT-Abteilung kann weitergehende Vorgaben im Interesse der Datensicherheit erlassen, insbesondere in Bezug auf die Nutzung von IT-Systemen im AVKZ. 

 

12.   Einwilligung und Widerspruch 

12.1    Eine Einwilligung der betroffenen Person zur Datenbearbeitung durch den AVKZ ist grundsätzlich nicht erforderlich, auch nicht bei besonders schützenswerten Personendaten.  

12.2    Widerspricht die betroffene Person hingegen einer Datenbearbeitung ausdrücklich, ist diese nur gerechtfertigt, wenn überwiegende Interessen des Verantwortlichen oder eine gesetzliche Grundlage vorliegen.  

 

13.   Informationspflicht 

13.1    Betroffene Personen werden möglichst vorgängig informiert, zu welchem Zweck Personendaten über sie erhoben und bearbeitet werden. Werden die Daten nicht direkt bei der betroffenen Person beschafft, wird diese innert eines Monats nach Erhalt der Daten informiert.  

13.2    Macht die betroffene Person ihre Personendaten dem/der Verantwortlichen von sich aus zugänglich, gilt diese als informiert. 

13.3    Wenn sich der Zweck der Datenbearbeitung ändert, werden bereits informierte Personen erneut informiert. 

 

14.   Auftragsbearbeitung 

14.1    Wenn Dienstleister/innen des AVKZ in dessen Auftrag Personendaten verarbeiten (sog. Auftragsbearbeiter/innen), ist zu beachten, dass die gleichen Sorgfaltsanforderungen wie beim verantwortlichen AVKZ auch für den/die Auftragsdatenbearbeiter/in gelten. Insbesondere sind die Zweckbindung und Datensicherheit vertraglich sicherzustellen. 

 

15.   Übermittlung von Personendaten ins Ausland 

15.1    Die Übermittlung von Personendaten ins Ausland ist nur in Staaten zulässig, in denen durch den Bundesrat ein ähnlich hohes Datenschutzniveau festgestellt wurde, wie in der Schweiz. Eine Einhaltung des Schweizer Datenschutzstandards kann zudem unter anderem durch den Abschluss zusätzlicher vertraglicher Vereinbarungen erreicht werden.  

III.    INNERBETRIEBLIECHE PROZESSE 

16.   Anforderungen an Mitarbeitende 

16.1    Alle Mitarbeitenden des AVKZ sind dem Datenschutz verpflichtet. Sie werden namentlich darüber informiert, dass es untersagt ist, Personendaten für private Zwecke zu nutzen, an Unbefugte zu übermitteln oder sie Unbefugten zugänglich zu machen. Die Pflicht zur Wahrung der Vertraulichkeit gilt über das Ende der Anstellung hinaus. 

16.2    Auch innerhalb des AVKZ ist darauf zu achten, dass nur die Mitarbeitenden Zugriff auf Personendaten erhalten, die sie zur Erledigung ihrer Aufgaben für den AVKZ benötigen. 

16.3    Alle Mitarbeitenden sollen zu Beginn ihrer Anstellung und nachfolgend regelmässig in Datenschutzthemen geschult und sensibilisiert werden. 

 

17.   Datenbearbeitungsverzeichnis

17.1    Der AVKZ führt ein Verzeichnis der Bearbeitungstätigkeiten im Zusammenhang mit Personendaten. Darin sind festgehalten: Identität des/der Verantwortlichen bzw. des/der Auftragsbearbeiter/in, Bearbeitungszweck, Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten, Kategorien der Empfänger/innen, Aufbewahrungsdauer oder Kriterien zu deren Festlegung, wenn möglich Beschreibung der Massnahmen zur Datensicherheit sowie allfällige Zielstaaten, sollten die Daten ins Ausland gehen. Das Verzeichnis sollte stets aktuell sein und einen Überblick über die datenschutzrelevanten Aktivitäten im AVKZ verschaffen. 

 

18.   Datenschutz durch Technik, datenschutzfreundliche Voreinstellungen sowie Datenschutz-Folgeabschätzung 

18.1    Zur Bearbeitung von Personendaten genutzte Systeme sind von Anfang an so zu gestalten, dass der Datenschutz eingehalten werden kann. Die technischen und organisatorischen Massnahmen sind insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie dem Risiko, das die Bearbeitung für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt, angemessen (Privacy by Design). 

18.2    Die Verantwortlichen wählen die Standardeinstellung am Gerät bzw. an der Software so, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt. Dies betrifft bspw. den Akzept von Cookies auf der Website. 

18.3    Namentlich wenn eine geplante Datenschutzbearbeitung ein hohes Risiko für die Persönlichkeit und die Grundrechte betroffener Personen birgt, ist eine Datenschutz-Folgeabschätzung (DSFA) vorzunehmen und zu dokumentieren.  

  

IV.   RECHTE DER BETROFFENEN PERSONEN 

19.   Auskunftsrecht  

19.1    Auf Anfrage ist einer betroffenen Person mitzuteilen, ob vom AVKZ Personendaten über sie bearbeitet werden. Sofern dies der Fall ist, hat die betroffene Person einen Anspruch auf Auskunft über die entsprechenden Personendaten. Beim Auskunftsrecht geht es darum, in Erfahrung zu bringen, ob Personendaten bearbeitet werden und wenn ja, welche, sodass die betroffene Person ihre weiteren Rechte geltend machen kann. Dazu gehören neben den bearbeiteten Personendaten als solche Angaben zur Identität des/der Verantwortlichen, zum Bearbeitungszweck, zur Aufbewahrungsdauer, zur Datenherkunft und gegebenenfalls Informationen über automatisierte Einzelentscheide und die Empfänger/in (auch als Kategorien). 

19.2    Bei der Auskunftserteilung ist sicherzustellen, dass die Identität der betroffenen Person verifiziert wird. Weiter ist zu beachten, dass im Rahmen der Auskunftserteilung keine Personendaten Dritter offenbart werden. Die Auskunft ist in der Regel kostenlos und innert 30 Tagen zu erteilen. 

 

20.   Datenportabilität / Recht auf Datenherausgabe und Datenübertragung 

20.1    Betroffene Personen können ihre Daten, die sie dem AVKZ bekannt gegeben haben, in einem gängigen elektronischen Format herausverlangen, wenn die Daten automatisiert bearbeitet werden und die betroffene Person zur Bearbeitung eingewilligt hat oder die Bearbeitung im Rahmen eines entsprechenden Vertrags erfolgt. 

 

21.   Recht auf Berichtigung 

21.1    Eine betroffene Person kann nach Art. 32 Abs. 1 DSG verlangen, dass unrichtige Personendaten berichtigt werden. 

 

22.   Recht auf Datenlöschung 

22.1    Wenn Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden und keine gesetzliche Grundlage und kein überwiegendes privates Interesse Dritter besteht, kann die betroffene Person die Löschung ihrer Personendaten verlangen. 

 

V.     ZUSTÄNDIGKEIT 

23.   Verantwortung 

23.1    In erster Linie sind diejenigen Mitarbeitenden für die Einhaltung der Vorgaben dieser Datenschutzrichtlinie verantwortlich, die jeweils mit der Datenbearbeitung betraut sind. 

23.2    Alle Mitarbeitenden des AVKZ haben auf die Einhaltung dieser Datenschutzrichtlinie zu achten und auf diese Weise dazu beizutragen, dass im gesamten AVKZ einheitlich hohe Datenschutzstandards etabliert werden. 

23.3    Werden gesetzliche datenschutzrechtliche Pflichten verletzt, drohen den Fehlbaren strafrechtliche (Busse bis CHF 250'000.-) und dem AVKZ zivilrechtliche (bis hin zu Schadenersatz) Konsequenzen sowie Reputationsschäden. Strafrechtlich verantwortlich ist in erster Linie die natürliche Person, d.h. der/die vorsätzlich fehlbare verantwortliche Mitarbeitende. Datenschutzverletzungen können auch AVKZ-interne disziplinarische Konsequenzen haben. 

 

 

24.   Meldung von Verstössen und Zusammenarbeit mit Aufsichtsbehörden 

24.1    Die Mitarbeitenden haben dem/der Vorgesetzten bzw. dem/der Datenschutzbeauftragten unverzüglich Bericht zu erstatten, wenn sie Kenntnis von einem Verstoss gegen diese Datenschutzrichtlinie oder gesetzliche Bestimmungen haben, die sich auf den Schutz personenbezogener Daten beziehen. 

24.2    Verletzungen der Datensicherheit (z.B. Offenlegung für Unbefugte, Datenverlust, Cyberangriff etc.), die für die Betroffenen zu einem hohen Risiko für ihre Persönlichkeit oder ihre Grundrechte führen, werden vom AVKZ dem EDÖB «so rasch als möglich», also zeitnah, gemeldet. 

 

VI.   WEITERE BESTIMMUNGEN 

25.   Publizität 

25.1    Diese AVKZ-Richtlinie ist allen Mitarbeitenden, allen Mitgliedern, allen Partnern des AVKZ in geeigneter Weise zugänglich zu machen, insbesondere auch über die Homepage. 

25.2    Eine allgemeine Veröffentlichung dieser Datenschutzrichtlinie ist nicht vorgesehen. 

 

26.   Änderungen  

26.1    Der AVKZ behält sich das Recht vor, diese Datenschutzrichtlinie bei Bedarf zu ändern. Eine Änderung kann insbesondere erforderlich werden, um gesetzlichen Vorgaben, Forderungen der Aufsichtsbehörden oder AVKZ-internen Verfahren zu entsprechen. 

26.2    In regelmässigen Abständen soll auch geprüft werden, inwieweit technologische Veränderungen eine Anpassung dieser AVKZ-Richtlinie erforderlich machen. 

 Datenschutzrichtlinie AVKZ vom 26.07.2023/25.06.2026