zazoon ag erfahrungen

ZAZOON AG

  • Transport & Logistics Whitepaper

  • Financial Services Whitepaper

  • Was ist GRC und wie funktioniert es?

    Was ist GRC und wie funktioniert es?

    Der Begriff GRC steht für Governance, Risikomanagement und Compliance. Er kann als ein umfassendes Paket von Fähigkeiten beschrieben werden, das eine Organisation bei der Erreichung ihrer Ziele unterstützt, indem es Fairness und Integrität auf allen Ebenen sicherstellt. Der Bereich Governance umfasst die organisatorischen Aktivitäten, die im Wesentlichen die Rollen, Verantwortlichkeiten und Erwartungen der Personen, die Führungspositionen innehaben, sowie der Interessengruppen umfassen. Risikomanagement bezieht sich darauf, wie gut eine Organisation darauf vorbereitet ist, sowohl vorhersehbare als auch unvorhersehbare Risiken anzugehen und abzumildern. Compliance bezieht sich auf die Einhaltung der einschlägigen Gesetze und Vorschriften, Satzungen und internen Richtlinien der Organisation, einschließlich derjenigen, die sich auf die Sicherheitskontrollen beziehen.

    Andere Bereiche von GRC

    Während Governance, Risikomanagement und Compliance, wie der Begriff schon sagt, die Kernbereiche von GRC sind, zeigt sich die Bedeutung von GRC in einer Reihe anderer miteinander verbundener Bereiche einer Organisation, einschließlich IT-Governance, Finanzen und Audit, Personalwesen, Betrieb und Lieferkette, um nur einige zu nennen. Unter dem Einfluss von GRC stützt sich die IT-Governance in erster Linie auf geeignete Rahmenwerke, Verfahren und Richtlinien, die sicherstellen, dass die Organisation ihre Ziele und Compliance-Anforderungen einhält. Es liegt auf der Hand, dass das gesamte Spektrum der Finanz- und Rechnungsprüfung innerhalb eines Unternehmens durch GRC tiefgreifend beeinflusst wird, da letzteres durch verschiedene Mechanismen wie interne Kontrollsysteme und Rechnungsprüfungspraktiken dem Unternehmen hilft, die Prüfung auf Transparenz, Genauigkeit und Einhaltung der einschlägigen Gesetze und Vorschriften zu bestehen. GRC ist auch in verschiedenen Bereichen des Betriebs- und Lieferkettenmanagements von großer Bedeutung, einschließlich der Kontrolle der Produktqualität, der Nachhaltigkeit der Lieferkette und des Lieferantenmanagements. Darüber hinaus können auch die Personalfunktionen eines Unternehmens durch GRC positiv beeinflusst werden, denn GRC wirkt sich auf Aufgaben aus, die in den Zuständigkeitsbereich des Personalwesens fallen, wie z. B. Vielfalt und Einbeziehung der Mitarbeiter, Verhalten, Ethik und das Wohlbefinden der Mitarbeiter.

    Die unvermeidliche Verbindung zwischen Risikomanagement und Business Continuity Management

    Das Risikomanagement wird oft als das Herzstück der GRC angesehen. Während die Aufgabe des Risikomanagements darin besteht, Probleme abzumildern oder zu bewältigen, verpflichtet das Geschäftskontinuitätsmanagement eine Organisation dazu, sich an ihren fortgeschrittenen Plan zu halten und in Situationen, in denen die Organisation mit den schlimmstmöglichen Ergebnissen konfrontiert ist, entsprechend zu handeln. Je mehr robuste Risikomanagementpraktiken eine Organisation in ihr gesamtes Managementsystem integriert, desto besser, umsichtiger und angemessener kann sie planen und sich vorbereiten, um mit unerwünschten Folgen ihrer eigenen Aktivitäten, Cyberangriffen, Naturkatastrophen, Pandemien usw. umzugehen. Anders ausgedrückt: Ein starkes Risikomanagement hilft einer Organisation zu verstehen, welchen Bereichen sie im Falle von drohenden Herausforderungen in ihrem Business Continuity Management Vorrang einräumen sollte. Das Geschäftskontinuitätsmanagement wiederum ist eine starke Waffe zur Risikominderung. Risikomanagement und Geschäftskontinuitätsmanagement sind eng miteinander verknüpft, und eine isolierte Betrachtung kann der Organisation schaden.

    Um die Kontinuität des Geschäftsbetriebs zu gewährleisten, benötigen Unternehmen eine umfassende Überwachung und Prüfung sowie eine funktionsübergreifende Zusammenarbeit auf konsequenter Basis. Das Fehlen einer Risikomanagement-Strategie und/oder ein fehlerhaftes oder ungenaues Risikomanagement kann daher zum Untergang des Unternehmens führen. Der unvorhergesehene Untergang zweier US-Banken (Silicon Valley Bank und Signature Bank) und einer Schweizer Bank (Credit Suisse) aufgrund eines mangelhaften Risikomanagements ist ein Weckruf für Organisationen nicht nur in der Finanzbranche, sondern auch in anderen Branchen wie dem Gesundheitswesen, der Lebensmittelindustrie und anderen, unabhängig von der Größe der Organisation.

    Erfolgreiche GRC-Implementierung

    Unternehmen sind verpflichtet, GRC-Komponenten durch verschiedene Mechanismen zu berücksichtigen, um einen reibungslosen Geschäftsbetrieb zu gewährleisten und jegliche Kontroverse über die Funktionalität der GRC ihres Unternehmens zu vermeiden. Die Vorteile einer GRC-Strategie sind enorm, und es wäre sicherlich keine Übertreibung zu sagen, dass Unternehmen ohne eine gut definierte GRC-Strategie im Vergleich zu Unternehmen mit einer solchen Strategie eher vor dem Zusammenbruch stehen. Joanna Grama, Direktorin für Cybersicherheits- und IT-GRC-Programme bei EDUCAUSE, erklärt, was der Schlüssel zu einer erfolgreichen, gut definierten GRC-Strategie ist: „Die Implementierung eines Rahmenwerks wird nur dann erfolgreich sein, wenn sich die Unternehmenskultur zur Unterstützung von GRC-Aktivitäten entwickelt.“

    Es mag andere Wege geben, GRC in einem Unternehmen erfolgreich zu implementieren, aber die Wahl von GRC-Software-Tools hat sich als der effektivste Ansatz erwiesen..

  • What is GRC and how does it work?

    What is GRC and how does it work?

    The term GRC stands for governance, risk management and compliance. It can be described as a comprehensive set of capabilities that assists an organisation in achieving its objectives by ensuring fairness and integrity at all levels. The governance section encompasses the organisational activities which essentially include roles, responsibilities and expectations of the individuals who hold management positions as well as stakeholders. Risk management pertains to how well an organisation is prepared to address and mitigate both foreseeable and unforeseeable risks. Compliance refers to the organisation’s adherence to relevant laws and regulations, bylaws, organisation’s internal policies including those related to security controls.

    Other domains of GRC

    While governance, risk management, and compliance are the core areas of focus in GRC as the term implies, the significance of GRC is evident in a number of other interconnected areas of an organisation including IT governance, finance and audit, human resources, operations and supply chain to name a few. By being influenced by GRC, IT governance primarily relies on apposite frameworks, procedures, and policies which ensure that the organisation aligns with its objectives and compliance requirements. It is evident that the entire spectrum of finance and auditing within an organisation is profoundly influenced by GRC since the latter through different mechanisms such as internal control systems and auditing practices helps the organisation pass the test of transparency, accuracy and compliance with the relevant laws and regulations. GRC also holds significant relevance in various areas of operations and supply chain management, including product quality control, supply chain sustainability and vendor management. Moreover, the functions of human resources of an organisation can also be impacted positively by GRC, where the latter influences tasks that fall within the remit of human resources including employee diversity and inclusion, conduct, ethics, and the well-being of the employees.

    The inevitable link between risk management and business continuity management

    Risk management is often considered the heart of GRC. While the task of risk management is to mitigate or tackle problems, business continuity management obliges an organisation to stick to its advanced plan and act in accordance with it in situations where the organisation faces the worst possible results. The more robust risk management practice an organisation inculcates into its overall management system, the better, judicious, and measured planning and preparation it can come up with in dealing with unwanted results of its own activities, cyber-attacks, natural disasters, pandemics, etc. To put it differently, strong risk management in place helps an organisation understand what areas it should prioritise in its business continuity management in the event of any looming challenges. Business continuity management on the other hand acts as a strong weapon in mitigating risks. Risk management and business continuity management are so interdependent and considering them in silo may cause the organisation harm.

    To effectuate business continuity management, organisations require overall monitoring and testing, and cross-functional collaboration on a consistent basis hence the absence of any risk management strategy in place and/or any flawed or inaccurate risk management can sink the organisation. The unforeseen recent demise of the two US banks (Silicon Valley Bank and Signature Bank) and a Swiss bank (Credit Suisse) due to poor risk management is a wake-up call for organisations not only within the financial industry but also in other industries such as health, food, and more, regardless of the organisation’s size.

    Successful GRC implementation

    Organisations are obligated to consider GRC components through various mechanisms in order to ensure smooth business operations and prevent any controversy regarding the functionality of their organisation’s GRC. The benefits of adopting a GRC strategy are enormous, and it would certainly not be an exaggeration to say that organisations lacking a well-defined GRC strategy in place are more likely to face collapse compared to those that do. Regarding the key to a successful well-defined GRC strategy, Joanna Grama, director of cybersecurity and IT GRC programs for EDUCAUSE said: “Implementing a framework will never be successful unless the organisation’s culture evolves to support GRC activities.”

    There may be other ways to successfully implement GRC in an organisation, however, choosing GRC software tools, has been proven to be the most effective approach.

  • Revidiertes Schweizer Datenschutzgesetzes (revDSG)

    Revidiertes Schweizer Datenschutzgesetzes (revDSG)

    Mit dem Inkrafttreten des revidierten Datenschutzgesetzes (revDSG) am 1. September 2023 ergeben sich neue Anforderungen an Schweizer Unternehmen und deren Datenschutzmaßnahmen. Das aktualisierte DSG wurde insbesondere an den technischen Fortschritt angepasst und soll den Schutz von Personendaten in Zukunft verbessern. Das neue Gesetz stärkt die Selbstbestimmung und erhöht die Transparenz bei der Beschaffung von Personendaten. Das revidierte Gesetz verschärft die Vorschriften für Unternehmen und zwingt sie, ihre bestehenden Datenschutzrichtlinien und -konzepte anzupassen. Wir haben die wichtigsten Änderungen hier zusammengefasst.  

    Personenbetreffende Neuerungen 

    Nur Daten von natürlichen Personen  

    Das revidierte DSG gilt nur noch für Daten von natürlichen Personen, juristische Personen sind nicht mehr durch das DSG geschützt. Schweizer Unternehmen und internationale Organisationen, die Personendaten von in der Schweiz ansässigen Personen bearbeiten und grenzüberschreitende Transaktionen durchführen, müssen das revidierte DSG anwenden. Der Anwendungsbereich der revidierten DSG entspricht in dieser Hinsicht demjenigen der DSGVO, die sich ebenfalls nur auf den Schutz der Privatsphäre natürlicher Personen in Bezug auf ihre personenbezogenen Daten konzentriert.  

    Private Unternehmen haben die Möglichkeit, einen Datenschutzbeauftragten zu ernennen, der entweder ein Angestellter oder ein Externer des Unternehmens sein kann. Im Gegensatz zur europäischen Datenschutz-Grundverordnung sind private Unternehmen nicht gesetzlich verpflichtet, Berater zu ernennen, und nur Bundesbehörden sind dazu angehalten. Der Datenschutzbeauftragte muss eine unabhängige Beratung in Datenschutzfragen leisten und jegliche Beeinflussung durch andere Unternehmensaktivitäten vermeiden. Es wird empfohlen, die datenschutzrechtliche Beratung von der sonstigen rechtlichen Beratung und Vertretung zu trennen. In Situationen, in denen es zu Meinungsverschiedenheiten kommt, sollte der Datenschutzbeauftragte die Möglichkeit haben, seine Bedenken gegenüber der Unternehmensleitung vorzubringen.  

    Erweiterter Umgang mit wichtigen Informationen  

    Ausdehnung der Informationspflicht  

    Das revidierte DSG erweitert zudem die Auskunftspflicht. In diesem Fall wird die betroffene Person bei jeder Erhebung von Personendaten vorgängig informiert. Das alte Recht sah eine Informationspflicht nur vor, wenn besonders schützenswerte Personendaten erhoben wurden. Zumindest müssen die Identität und die Kontaktdaten des für die Verarbeitung Verantwortlichen, der Zweck der Verarbeitung und die Kategorien von Empfängern mitgeteilt werden. Wenn Daten ins Ausland fließen, muss diese Tatsache sowie weitere Informationen wie die vorliegende Datenschutzregelung kommuniziert werden. 

    Sensible personenbezogene Daten 

    Eine wichtige Änderung betrifft die Liste der so genannten sensiblen Daten, zu denen in Zukunft auch genetische und biometrische Daten gehören werden. Genetische Daten, die aus biologischen Proben gewonnen werden können, geben Aufschluss über die genetischen Merkmale einer Person, z. B. über ihre Gesundheit. Beispiele hierfür sind DNA-Analysen und ähnliche Tests. Biometrische Daten ermöglichen die eindeutige Identifizierung von Personen. Beispiele hierfür sind Gesichtsbilder oder Fingerabdrücke. 

    Neu in das Gesetz aufgenommen wurde auch der Begriff Profiling, also die automatisierte Auswertung von personenbezogenen Daten. Wenn in einem Profil einzigartige Merkmale einer Person identifiziert werden können, handelt es sich um risikoreiches Profiling. Hierfür muss immer vorher die ausdrückliche Zustimmung der betroffenen Person eingeholt werden. 

    Neue Dokumentationspflichten 

    Verzeichnis der Datenverarbeitungstätigkeiten  

    Was die Dokumentationspflicht betrifft, so ist nun auch ein umfassendes Verzeichnis der Verarbeitungstätigkeiten verpflichtend, mit Ausnahme von kleinen und mittleren Unternehmen mit weniger als 250 Beschäftigten. Eine weitere Ausnahme gilt für Unternehmen, deren Datenverarbeitung ein geringes Risiko für die Verletzung des Schutzes personenbezogener Daten darstellt. Das Register ist eine Bestandsaufnahme aller Datenverarbeitungstätigkeiten, die zur Transparenz beiträgt und hilft festzustellen, ob die Datenverarbeitung rechtmäßig war. Art und Umfang der verarbeiteten personenbezogenen Daten sowie deren Empfänger müssen ebenfalls angegeben werden.   

    Datenschutz-Folgenabschätzung  

    Eine weitere wichtige Ergänzung ist die Datenschutz-Folgenabschätzung. Diese wird relevant, sobald ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen besteht. Eine Datenschutz-Folgenabschätzung beinhaltet eine Bewertung des potenziellen Schadens, der durch mangelnde Datensicherheit entstehen könnte. Ziel ist es, diejenigen Prozesse, die mit einem hohen Risiko behaftet sind, mit zusätzlichen Schutzmaßnahmen auszustatten, um den möglichen Schaden zu reduzieren. 

    Ausnahmen für die Datenschutz-Folgenabschätzung  

    Einhalten eines geprüften Verhaltenskodexes  

    Das neue DSG ermutigt Berufs-, Handels- und Wirtschaftsverbände, eigene Verhaltenskodizes zu formulieren und sie dem EDÖB zur Überprüfung vorzulegen. Die Stellungnahmen des EDÖB zu diesen Kodizes werden dann veröffentlicht und können Einwände oder Empfehlungen für Änderungen oder Klarstellungen enthalten. Organisationen, die eine positive Stellungnahme des EDÖB erhalten, können davon ausgehen, dass das in ihrem Kodex festgelegte Verhalten mit dem Datenschutzrecht übereinstimmt. Zu allgemein gehaltene Kodizes entbinden die Organisationen jedoch nicht von allfälligen Risiken, die nicht detailliert beschrieben sind. Durch die Einhaltung eines Verhaltenskodexes können die Verbandsmitglieder vermeiden, eigene Hilfestellungen und Richtlinien zur Einhaltung des neuen DSG zu entwickeln. Eine solche Selbstregulierung hat den Vorteil, dass die für die Datenverarbeitung Verantwortlichen keine eigene Datenschutz-Folgenabschätzung durchführen müssen, wenn sie sich an einen Verhaltenskodex halten, der auf einer früheren Datenschutz-Folgenabschätzung beruht, weiterhin gültig ist, Maßnahmen zum Schutz der Privatsphäre und der Grundrechte enthält und vom EDÖB genehmigt wurde.  

    Zertifizierungen erlangen  

    Das neue DSG erlaubt neu nicht nur die Zertifizierung von Managementsystemen und Produkten, sondern auch von Dienstleistungen und Prozessen. Diese Zertifizierung dient den Unternehmen als Nachweis, dass sie den Grundsatz des „privacy-by-default“ einhalten und über ein angemessenes Datenschutzmanagementsystem verfügen. Durch den Einsatz eines zertifizierten Systems, Produkts oder Dienstes werden die für die private Datenverarbeitung Verantwortlichen von der Erstellung einer Datenschutz-Folgenabschätzung befreit. Der Bundesrat hat mit einer Verordnung, der so genannten Datenschutz-Zertifizierungsverordnung, zusätzliche Regelungen zum Zertifizierungsprozess und zu den Gütesiegeln eingeführt.  

    Zusätzliche Rechte für betroffenen Personen  

    Recht auf Information 

    Eine weitere wichtige Neuerung ist das Recht, Auskunft über die verarbeiteten Personendaten zu verlangen. Die neue Gesetzesnovelle enthält eine Mindestliste von Informationen, die der für die Datenverarbeitung Verantwortliche übermitteln muss, z.B. wie lange die personenbezogenen Daten gespeichert werden. Im Allgemeinen müssen die betroffenen Personen die Informationen so transparent und umfassend wie möglich erhalten, um ihre Rechte geltend machen zu können. Wie bisher hat der für die Datenverarbeitung Verantwortliche das Recht, unter bestimmten Umständen Informationen zu verweigern, einzuschränken oder zurückzuhalten. Dies kann zum Beispiel der Fall sein, wenn die Anfrage offensichtlich unbegründet und übertrieben ist. Allerdings müssen dann auch die Gründe für eine Ablehnung mitgeteilt werden. 

    Recht auf Datenübertragbarkeit 

    Betroffene Personen haben nun das Recht, ihre personenbezogenen Daten von einem privaten für die Verarbeitung Verantwortlichen in einem gängigen und maschinenlesbaren Format anzufordern oder sie an einen Dritten zu übermitteln. Der für die Verarbeitung Verantwortliche muss die Daten in automatisierter Form und mit Einwilligung der betroffenen Person verarbeiten oder wenn dies in direktem Zusammenhang mit einem Vertrag steht. Dieses Recht ist unentgeltlich, es sei denn, die Offenlegung oder Übermittlung erfordert einen unverhältnismäßigen Aufwand oder unverhältnismäßige Kosten. Ein Beispiel hierfür könnten Kommunikationsdaten sein, bei denen eine Triage erforderlich ist, um die Aussagen der betroffenen Person von denen Dritter zu trennen, was zeitaufwendig sein kann. 

    Ergänzte Kommunikationspflichten 

    Pflicht zur Meldung von Datensicherheitsverstößen 

    Neuerdings ist auch eine sofortige Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) im Falle einer Datenschutzverletzung erforderlich. Die Meldepflicht gilt für jede Datenpanne und erfordert nicht nur eine Meldung an den Datenschutzbeauftragten, sondern auch an die betroffenen Personen, deren Daten nicht mehr sicher sind. Die betroffenen Personen müssen jedoch nur benachrichtigt werden, wenn ihre persönlichen oder grundlegenden Rechte infolge der Datenverletzung beeinträchtigt werden. 

    Ausbau der präventiven Schutzvorgaben 

    Grenzüberschreitende Offenlegung von personenbezogenen Daten

    Besonders relevant für Unternehmen, die im Ausland tätig sind, ist ein weiterer Artikel des revidierten DSG, der vorsieht, dass Daten im Ausland nur bekannt gegeben werden dürfen, wenn der Bundesrat bestätigt, dass die Gesetzgebung des ausländischen Staates einen ausreichenden Schutz gewährleistet. Die bisherige, vom EDÖB veröffentlichte Liste ist öffentlich auf der Website der EDÖB einsehbar. Ist das Zielland nicht auf der Liste des Bundesrates aufgeführt, können die Daten wie nach bisherigem Recht dorthin übermittelt werden, sofern ein angemessener Schutz auf andere Weise gewährleistet ist. Beispiele für solche Mittel sind internationale Verträge, dem EDÖB mitgeteilte Datenschutzklauseln oder verbindliche Unternehmensregeln. Standardvertragsklauseln, die von der Europäischen Kommission unter GDPR genehmigt wurden, werden vom EDÖB ebenfalls anerkannt. 

    Das DSG geht weiter als die DSGVO, indem es vorschreibt, dass die betroffenen Personen über die Länder informiert werden müssen, die an der grenzüberschreitenden Weitergabe von Personendaten beteiligt sind, einschließlich der Speicherung auf ausländischen Systemen (Cloud), unabhängig davon, ob diese einen angemessenen Datenschutz bieten. Darüber hinaus muss bei der Offenlegung angegeben werden, welche Datenschutzgarantien (z. B. EU-Standardvertragsklauseln) oder Ausnahmen der für die Verarbeitung Verantwortliche ggf. in Anspruch nimmt. Auch hier geht das revDSG einen Schritt weiter als die EU-Datenschutz-Grundverordnung.

    Datenschutz durch Technik und durch Voreinstellungen

    Darüber hinaus gelten die Grundsätze des eingebauten und des Standard-Datenschutzes, die von den Entwicklern verlangen, den Datenschutz von Anfang an in die Struktur von Produkten und Diensten einzubauen. Der Grundsatz des „eingebauten Datenschutzes“ gewährleistet, dass bereits bei der Markteinführung eines Produkts oder Dienstes ein Höchstmaß an Sicherheit gegeben ist. Software, Hardware und Dienste müssen daher so konfiguriert werden, dass sie Daten schützen und die Privatsphäre der Nutzer wahren.

    Einführung von Bussen

    Schließlich sieht das revidierte Datenschutzgesetz eine Anpassung der Bussen für natürliche Personen vor, die für Bearbeitungstätigkeiten verantwortlich sind. Konkret geht es um Bussen von bis zu 250’000 Franken pro Verstoß, wenn die Informations- und Auskunftspflichten sowie gewisse Sorgfaltspflichten vorsätzlich verletzt werden. Für die Durchsetzung der strafrechtlichen Sanktionen sind die kantonalen Strafverfolgungsbehörden zuständig. Auch zivilrechtliche Klagen auf Beseitigung, Unterlassung oder Schadenersatz sind möglich.

    Fazit 

    Neben den bereits bekannten Anpassungen zum 1. September 2023 ist schon heute absehbar, dass sich das DSG auch in Zukunft weiter der Datenschutz-Grundverordnung annähert. Zum einen um die Rechte der Schweizer Bürgerinnen und Bürger zu stärken, zum anderen um den wirtschaftlichen Austausch mit der EU zu vereinfachen. Um den mittel- und langfristigen Anforderungen gerecht zu werden, ist es sinnvoll, sich mit einem starken Partner für den digitalen Datenschutz zusammenzutun. Ein solcher weiß, wie die Prozesse aus dem neuen Gesetz umgesetzt und digitalisiert werden können, schafft aber auch ein Bewusstsein für künftige regulatorische Änderungen und gibt Ihnen die Chance, entsprechende Projekte frühzeitig und rechtssicher abzuschließen.

  • Revised Swiss Data Protection Act (revDSG)

    Revised Swiss Data Protection Act (revDSG)

    The entry into force of the revised Data Protection Act (revDSG) on September 1, 2023, will result in new requirements for Swiss companies and their data protection measures. The updated DPA has been adapted in particular to technical progress and is intended to improve the protection of personal data in the future. The new law strengthens self-determination and increases transparency in the procurement of personal data. The revised law tightens the regulations for companies and forces them to adapt their existing data protection guidelines and concepts. We have summarized the most important changes here.

    Changes affecting individuals

    Only data from natural persons

    The revised DPA only applies to data of natural persons; legal entities are no longer protected by the DPA. Swiss companies and international organizations that process the personal data of Swiss residents and conduct cross-border transactions must apply the revised DPA. In this respect, the scope of application of the revised DPA is the same as that of the GDPR, which also focuses only on the protection of the privacy of natural persons with respect to their personal data. Data protection officer

    Private companies have the option of appointing a data protection officer, who can either be an employee or an external party to the company. Unlike the European General Data Protection Regulation, private companies are not legally required to appoint advisors, and only federal agencies are required to do so. The data protection officer must provide independent advice on data protection issues and avoid any influence from other company activities. It is recommended that privacy advice be kept separate from other legal advice and representation. In situations where disagreements arise, the data protection officer should have the opportunity to raise his or her concerns with company management.

    Expanded handling of important information

    Extension of the duty to inform

    The revised DPA also extends the obligation to provide information. In this case, the data subject is informed in advance whenever personal data is collected. The old law provided for a duty to inform only if particularly sensitive personal data was collected. At a minimum, the identity and contact details of the controller, the purpose of the processing, and the categories of recipients must be provided. If data flows abroad, this fact must be communicated, as well as other information such as this data protection regulation.

    Particularly sensitive personal data

    An important change concerns the list of so-called sensitive data, which in the future will include genetic and biometric data. Genetic data, which can be obtained from biological samples, provide information about a person’s genetic characteristics, such as their health. Examples include DNA analysis and similar tests. Biometric data enable people to be uniquely identified. Examples include facial images or fingerprints.

    The term profiling, i.e. the automated evaluation of personal data, was also newly included in the law. If unique characteristics of a person can be identified in a profile, this is high-risk profiling. The express consent of the data subject must always be obtained in advance for this.

    New documentation requirements

    Directory of data processing activities

    As far as documentation requirements are concerned, a comprehensive register of processing activities is now also mandatory, with the exception of small and medium-sized enterprises with fewer than 250 employees. Another exception applies to companies whose data processing poses a low risk of personal data breaches. The register is an inventory of all data processing activities, which contributes to transparency and helps determine whether data processing was lawful. The nature and scope of the personal data processed and their recipients must also be indicated.

    Data protection Impact assessment

    Another important addition is the data protection impact assessment. This becomes relevant as soon as there is a high risk to the personality or fundamental rights of the data subjects. A data protection impact assessment involves an evaluation of the potential damage that could result from a lack of data security. The aim is to provide those processes that are at high risk with additional protective measures to reduce the potential damage.

    Exceptions for the data protection impact assessment

    Adherence to an audited code of conduct

    The new DPA encourages professional, trade, and business associations to formulate their own codes of conduct and submit them to the Federal Data Protection and Information Commissioner (FDPIC) for review. The opinions of the FDPIC on these codes are then published and may include objections or recommendations for amendments or clarifications. Organizations that receive a favorable opinion from the FDPIC may assume that the conduct set forth in their code complies with data protection law. However, codes that are too general do not absolve organizations from any risks that are not described in detail. By adhering to a code of conduct, association members can avoid developing their own assistance and guidelines for compliance with the new DPA. Such self-regulation has the advantage that data controllers do not have to conduct their own data protection impact assessment if they adhere to a code of conduct that is based on a previous data protection impact assessment, remains valid, contains measures to protect privacy and fundamental rights, and has been approved by the FDPIC.

    Obtain certifications

    The new DPA now permits certification not only of management systems and products but also of services and processes. This certification serves as proof to companies that they comply with the privacy-by-default principle and have an appropriate data protection management system in place. By using a certified system, product, or service, data controllers are exempted from having to prepare a data protection impact assessment. The Federal Council has introduced additional regulations on the certification process and seals of approval with an ordinance known as the Data Protection Certification Ordinance.

    Additional rights for data subjects

    Right to information

    Another important innovation is the right to request information about the personal data processed. The new amendment contains a minimum list of information that the data controller must provide, e.g. how long the personal data is stored. In general, data subjects must receive the information as transparently and comprehensively as possible in order to exercise their rights. As before, the data controller has the right to refuse, restrict or withhold information in certain circumstances. This may be the case, for example, if the request is manifestly unfounded and excessive. However, the reasons for a refusal must then also be communicated.

    Right to data portability

    Data subjects now have the right to request their personal data from a private controller in a commonly used and machine-readable format or to transfer it to a third party. The controller must process the data in an automated form and with the consent of the data subject or if this is directly related to a contract. This right is free of charge unless disclosure or transfer requires a disproportionate effort or cost. An example of this could be communications data where triage is required to separate the data subject’s statements from those of third parties, which can be time-consuming.

    Added communication obligations

    Obligation to report data security breaches

    Recently, immediate notification to the Federal Data Protection and Information Commissioner (FDPIC) is also required in the event of a data breach. The notification requirement applies to any data breach and requires not only notification to the Data Protection Commissioner but also to the affected individuals whose data is no longer secure. However, data subjects must only be notified if their personal or fundamental rights are affected as a result of the data breach. Expansion of preventive protection requirements

    Expansion of preventive protection requirements

    Cross-border disclosure of personal data

    Of particular relevance to companies operating abroad is another article in the revised FADP, which provides that data may only be disclosed abroad if the Federal Council confirms that the legislation of the foreign state ensures adequate protection. The previous list published by the FDPIC is publicly available on the FDPIC’s website. If the destination country is not on the Federal Council’s list, the data may be transferred there as under previous law, provided that adequate protection is guaranteed by other means. Examples of such means are international treaties, data protection clauses notified to the FDPIC, or binding corporate rules. Standard contractual clauses approved by the European Commission under GDPR are also recognized by the FDPIC.

    The DPA goes further than the GDPR by requiring that data subjects be informed about the countries involved in the cross-border transfer of personal data, including storage on foreign systems (cloud), regardless of whether they provide adequate data protection. In addition, the disclosure must indicate which data protection guarantees (e.g., EU standard contractual clauses) or exemptions, if any, the controller makes use of. Here, too, the revDSG goes a step further than the EU General Data Protection Regulation.

    Data protection through technology and default settings

    In addition, the principles of privacy by design and privacy by default apply, requiring developers to build privacy into the structure of products and services from the outset. The principle of “privacy by design” ensures that the highest level of security is already in place when a product or service is launched. Software, hardware, and services must therefore be configured to protect data and safeguard user privacy.

    Introduction of fines

    Finally, the revised Data Protection Act provides for the adjustment of fines for natural persons responsible for processing activities. Specifically, this involves fines of up to 250,000 Swiss francs per violation if the duties to provide information and disclosure, as well as certain duties of care, are intentionally violated. The cantonal prosecution authorities are responsible for enforcing the criminal sanctions. Civil actions for removal, injunction, or damages are also possible.

    Conclusion

    In addition to the already known adjustments as of September 1, 2023, it is already foreseeable that the DPA will continue to converge with the General Data Protection Regulation in the future. On the one hand, to strengthen the rights of Swiss citizens, on the other hand, to simplify the economic exchange with the EU. In order to meet the medium and long-term requirements, it makes sense to team up with a strong digital data protection partner. Such a partner knows how to implement and digitize the processes from the new law, but also creates awareness of future regulatory changes and gives you the chance to complete corresponding projects early and in a legally secure manner.

  • Hinweisgeberschutzgesetz (HinSchG)

    Hinweisgeberschutzgesetz (HinSchG)

    Nach der EU-Richtlinie ist das Hinweisgeberschutzgesetz (HinSchG), auch bekannt als Whistleblower-Schutzgesetz, am 02. Juli 2023 in Deutschland in Kraft treten. Höchste Zeit, um einen Blick auf die wichtigsten Punkte der neuen Regelung zu werfen.

    Zentrales Ziel des Gesetzes ist es, Hinweisgeber, die Verstöße gegen Gesetze, Vorschriften und interne Unternehmensrichtlinien melden, vor Vergeltungsmaßnahmen ihrer Arbeitgeber zu schützen. Dieses Gesetz ist ein wichtiger Schritt zur Förderung von Transparenz und Verantwortlichkeit am Arbeitsplatz. Es bringt jedoch auch neue Herausforderungen und potenzielle Haftungen für in Deutschland tätige Unternehmen mit sich.   

    Herausforderungen für Unternehmen 

    Das Whistleblower-Schutzgesetz verpflichtet Unternehmen mit mehr als 50 Mitarbeitern, interne Meldewege und Verfahren für Hinweisgeber einzurichten, die Verstöße gegen Gesetze, Vorschriften und interne Unternehmensrichtlinien melden. Diese Meldewege müssen leicht zugänglich sein und die Vertraulichkeit der Identität der meldenden Person gewährleisten. Das Gesetz verbietet auch Vergeltungsmaßnahmen gegen Whistleblower und bietet ihnen Rechtsschutz.   

    Die Nichteinhaltung des Whistleblower-Schutzgesetzes kann zu Geldstrafen und Rufschädigung führen. Unternehmen, die keine internen Meldewege und -verfahren für Hinweisgeber einrichten, riskieren nicht nur einen Verstoß gegen das Gesetz, sondern auch eine negative Medienberichterstattung und eine Schädigung ihres Rufs. Darüber hinaus können Whistleblower, die mit Vergeltungsmaßnahmen konfrontiert sind, Ansprüche gegen ihre Arbeitgeber geltend machen, was zu Rechtsstreitigkeiten und potenziellen finanziellen Verpflichtungen führen kann.   

    Das Gesetz zum Schutz von Hinweisgebern (Whistleblower-Protection-Act) ist ein wichtiger Schritt zur Förderung von Transparenz und Verantwortlichkeit am Arbeitsplatz. Es bringt jedoch auch neue Herausforderungen und potenzielle Verpflichtungen für in Deutschland tätige Unternehmen mit sich. Unternehmen, die sich nicht an das Gesetz halten, riskieren Geldstrafen, Rufschädigung und Rechtsstreitigkeiten; Auswirkungen, die mit einem GRC-Tool vermieden werden können.  

    Vorteile einer Compliance-Lösung 

    Eine professionelle Compliance-Lösung kann Unternehmen dabei helfen, erfolgreich mit den Auswirkungen des Whistleblower-Schutzgesetzes umzugehen, indem es ihnen ermöglicht, ihre Meldeprozesse und -verfahren einzurichten und zu dokumentieren. Dies dient nicht nur der Einhaltung des Gesetzes, sondern hilft auch, potenzielle Schwachstellen im Meldeprozess von Meldungen zu identifizieren.   

    So können potenzielle Risiken schneller erkannt und sukzessive reduziert werden. Dies geschieht mit Hilfe von Analysefunktionen, die Trends und Muster in gemeldeten Verstößen erkennen, so dass Unternehmen proaktiv Maßnahmen ergreifen können, um zukünftige Verstöße zu verhindern.   

    Eine konkrete Risikobehandlung erfolgt dann auf der Basis eines ausgefeilten Risikomanagementprozesses nach ISO 27001 Standard. Das Risiko wird erfasst und mit verschiedenen Maßnahmen behandelt. Dies kann das verbleibende Risiko deutlich reduzieren und dient auch als Nachweis für eine professionelle Risikovermeidung gegenüber öffentlichen Institutionen und zur Abwehr von unternehmerischen Konsequenzen.

    Fazit 

    Trotz der positiven Entwicklung für den Schutz von Hinweisgebern führen neue Gesetze oft zu einem zusätzlichen Aufwand für Unternehmen, diese Gesetze in die bestehende Prozesslandschaft zu implementieren. Dies führt oft zu einer ungewollten Verlagerung von Ressourcen weg vom Kerngeschäft hin zu verpflichtenden Compliance-Aufgaben. Eine effektive Cloud-Softwarelösung kann Unternehmen dabei helfen, mit den Auswirkungen des Whistleblower-Protection-Act umzugehen, indem es sie in die Lage versetzt, ihre Meldekanäle und -verfahren einzurichten und zu dokumentieren, die Einhaltung des Gesetzes zu überwachen und potenzielle Risiken im Zusammenhang mit Whistleblower-Meldungen zu erkennen und zu mindern. Durch die Implementierung eines solchen Tools können Unternehmen nicht nur das Gesetz einhalten, sondern auch ihr Engagement für ethische und verantwortungsvolle Geschäftspraktiken demonstrieren, was sich wiederum positiv auf den Ruf und das Vertrauens gegenüber dem Unternehmen auswirken kann.

  • Whistleblower Protection Act (HinSchG)

    Whistleblower Protection Act (HinSchG)

    According to the EU Directive, the Whistleblower Protection Act (HinSchG), also known as the Whistleblower Protection Act, will come into force in Germany on July 2, 2023. High time to take a look at the most important points of the new regulation.

    The central goal of the law is to protect whistleblowers who report violations of laws, regulations and internal company policies from retaliation by their employers. This law is an important step in promoting transparency and accountability in the workplace. However, it also brings new challenges and potential liabilities for companies operating in Germany.

    Challenges for companies

    The Whistleblower Protection Act requires companies with more than 50 employees to establish internal reporting channels and procedures for whistleblowers to report violations of laws, regulations and internal company policies. These reporting channels must be easily accessible and ensure the confidentiality of the reporting person’s identity. The law also prohibits retaliation against whistleblowers and provides them with legal protection.

    Failure to comply with the Whistleblower Protection Act can result in fines and reputational harm. Companies that do not establish internal reporting channels and procedures for whistleblowers risk not only violating the law, but also negative media coverage and damage to their reputation. In addition, whistleblowers who face retaliation may file claims against their employers, leading to litigation and potential financial liabilities.

    The Whistleblower Protection Act is an important step in promoting transparency and accountability in the workplace. However, it also brings new challenges and potential liabilities for companies operating in Germany. Companies that do not comply with the law risk fines, reputational damage and litigation; repercussions that can be avoided with a GRC tool.

    Benefits of a compliance solution

    A professional compliance solution can help companies successfully deal with the impact of the Whistleblower Protection Act by enabling them to set up and document their reporting processes and procedures. This not only helps ensure compliance with the law, but also helps identify potential weaknesses in the whistleblower reporting process.

    In this way, potential risks can be identified more quickly and successively reduced. This is done with the help of analytics that identify trends and patterns in reported violations so that companies can take proactive measures to prevent future violations.

    Specific risk treatment is then based on a sophisticated risk management process in accordance with the ISO 27001 standard. The risk is recorded and treated with various measures. This can significantly reduce the remaining risk and also serves as proof of professional risk prevention to public institutions and to avert corporate consequences.

    Conclusion

    Despite the positive development for the protection of whistleblowers, new laws often lead to an additional effort for companies to implement these laws into the existing process landscape. This often leads to an unintended shift of resources away from core business to mandatory compliance tasks. An effective cloud software solution can help organisations deal with the impact of the Whistleblower Protection Act by enabling them to establish and document their reporting channels and procedures, monitor compliance with the law, and identify and mitigate potential risks associated with whistleblower reports. By implementing such a tool, companies can not only comply with the law, but also demonstrate their commitment to ethical and responsible business practices, which in turn can have a positive impact on reputation and trust towards the company.

  • GRC als Motor der digitalen Transformation

    GRC als Motor der digitalen Transformation

    Die digitale Transformation hat die Landschaft von Governance, Risk und Compliance (GRC) grundlegend verändert. Unternehmen stehen vor neuen Herausforderungen, die sich aus dem technologischen Fortschritt, der Globalisierung und den sich ändernden regulatorischen Anforderungen ergeben. In diesem Whitepaper diskutieren wir, wie sich der GRC-Markt entwickelt hat und welche Rolle innovative Lösungen wie Zazoon dabei spielen, Unternehmen bei der Bewältigung moderner GRC-Herausforderungen zu unterstützen.

    1. Die Entwicklung des GRC-Marktes

    1.1. Wachsende regulatorische Anforderungen

    In den letzten Jahren haben zahlreiche Länder und Branchen ihre regulatorischen Anforderungen verschärft, um Transparenz, Integrität und Stabilität von Unternehmen und Finanzmärkten zu gewährleisten. Diese Entwicklung hat Unternehmen dazu veranlasst, ihre GRC-Strategien kontinuierlich anzupassen und zu aktualisieren.

    1.2. Globalisierung und Verflechtung

    Die Globalisierung und die Verflechtung der Unternehmen führen zu einer erhöhten Komplexität im GRC-Bereich. Unternehmen müssen in der Lage sein, länder- und branchenspezifische Vorschriften und Richtlinien zu verstehen und einzuhalten und gleichzeitig ihre internationalen Geschäftsaktivitäten effizient und effektiv zu verwalten.

    1.3. Technologischer Fortschritt

    Der rasante Fortschritt von Technologien wie Cloud Computing, künstlicher Intelligenz (KI) und Big Data hat neue Möglichkeiten und Herausforderungen im GRC-Bereich geschaffen. Unternehmen müssen sich anpassen und lernen, diese Technologien effektiv zu nutzen, um ihre GRC-Prozesse zu optimieren und die Anforderungen einer sich ständig weiterentwickelnden digitalen Landschaft zu erfüllen.

    1.4. Datenschutz und Cybersicherheit

    Durch die zunehmende Digitalisierung von Geschäftsprozessen und die wachsende Bedeutung von Daten sind Datenschutz und Cybersicherheit zu zentralen Themen im GRC-Bereich geworden. Unternehmen müssen die Integrität ihrer Systeme und die Sicherheit ihrer Kundendaten gewährleisten und gleichzeitig datenschutzrechtliche Vorgaben einhalten.

    2. Die Rolle von innovativen GRC-Lösungen

    2.1. Automatisierung und Effizienz

    Innovative GRC-Lösungen wie Zazoon ermöglichen es Unternehmen, ihre Compliance-, Risiko- und Kontrollanforderungen effizient zu verwalten, indem sie manuelle Aufgaben und unstrukturierte Arbeitsabläufe reduzieren. Durch Automatisierung und zentralisierte Datenverwaltung können Unternehmen Zeit und Ressourcen sparen und menschliche Fehler minimieren.

    2.2. Integration und Flexibilität

    Moderne GRC-Lösungen bieten eine integrierte Plattform, die ein effektives Management verschiedener GRC-Aspekte ermöglicht, z. B. Risikomanagement, interne Kontrollsysteme, Richtlinienmanagement, Datenschutz, Prozessmanagement, Lieferantenmanagement und ESG. Eine flexible und anpassungsfähige GRC-Lösung unterstützt Unternehmen bei der Anpassung an sich ändernde regulatorische Anforderungen und Geschäftsumgebungen, ohne ihre bestehenden Prozesse und Systeme zu beeinträchtigen.

    2.3. Datenanalyse und Entscheidungsfindung

    Innovative GRC-Lösungen ermöglichen es Unternehmen, große Mengen GRC-bezogener Daten effektiv zu verarbeiten, zu analysieren und wertvolle Erkenntnisse daraus abzuleiten. Durch den Einsatz von fortschrittlichen Datenanalysetechniken und Visualisierungstools können Unternehmen fundierte Entscheidungen treffen und ihre Risikomanagement- und Compliance-Strategien optimieren.

    2.4. Skalierbarkeit und Cloud Computing

    Moderne GRC-Lösungen bieten skalierbare Infrastrukturen und Cloud-Computing-Optionen, die es Unternehmen ermöglichen, ihre GRC-Prozesse effektiv zu verwalten und an wachsende Anforderungen anzupassen. Cloud-basierte GRC-Lösungen bieten Flexibilität und Skalierbarkeit und erfüllen gleichzeitig die Anforderungen an Sicherheit und Datenschutz.

    Die digitale Transformation hat die GRC-Landschaft grundlegend verändert und neue Herausforderungen für Unternehmen geschaffen. Um in diesem dynamischen Umfeld erfolgreich zu sein, müssen Unternehmen innovative GRC-Lösungen wie Zazoon nutzen, die ihnen helfen, ihre Compliance-, Risiko- und Kontrollanforderungen effizient und effektiv zu verwalten. Mit der richtigen GRC-Lösung können Unternehmen ihre Prozesse optimieren, fundierte Entscheidungen treffen und sich erfolgreich an die sich ständig ändernden regulatorischen Anforderungen und Marktbedingungen anpassen.

    Ihr Weg zum Erfolg

    Wir laden Sie ein, mehr über die Vorteile von Zazoon zu erfahren und zu entdecken, wie unsere GRC-Lösung Ihnen helfen kann, die Herausforderungen der digitalen Transformation zu meistern. Kontaktieren Sie uns noch heute, um mehr zu erfahren und einen persönlichen Demo-Termin zu vereinbaren. Lassen Sie uns zusammenarbeiten, um Ihren Weg zum GRC-Erfolg zu gestalten!

  • GRC driving digital transformation

    GRC driving digital transformation

    The digital transformation has fundamentally changed the landscape of Governance, Risk, and Compliance (GRC). Companies face new challenges arising from technological advancements, globalization, and changing regulatory requirements. In this whitepaper, we discuss how the GRC market has evolved and the role of innovative solutions like Zazoon in helping businesses navigate modern GRC challenges.

    1. The Evolution of the GRC Market

    1.1. Growing regulatory requirements

    In recent years, numerous countries and industries have tightened their regulatory requirements to ensure transparency, integrity, and stability of businesses and financial markets. This development has led companies to continuously adapt and update their GRC strategies.

    1.2. Globalization and interconnectedness

    The globalization and interconnectedness of businesses lead to increased complexity in the GRC field. Companies must be able to understand and comply with country- and industry-specific regulations and guidelines while efficiently and effectively managing their international business activities.

    1.3. Technological advancements

    The rapid progress of technologies such as cloud computing, artificial intelligence (AI), and big data has created new opportunities and challenges in the GRC field. Companies must adapt and learn to effectively use these technologies to optimize their GRC processes and meet the demands of an ever-evolving digital landscape.

    1.4. Data protection and cybersecurity

    The increasing digitization of business processes and the growing importance of data have made data protection and cybersecurity central topics in the GRC field. Companies must ensure the integrity of their systems and the security of their customer data while simultaneously complying with legal data protection requirements.

    2. The Role of Innovative GRC Solutions

    2.1. Automation and efficiency

    Innovative GRC solutions, like Zazoon, enable companies to efficiently manage their compliance, risk, and control requirements by reducing manual tasks and unstructured workflows. Through automation and centralized data management, companies can save time and resources and minimize human error.

    2.2. Integration and flexibility

    Modern GRC solutions provide an integrated platform that allows for effective management of various aspects of GRC, such as risk management, internal control systems, policy management, data protection, process management, supplier management, and ESG. A flexible and adaptable GRC solution supports companies in adapting to changing regulatory requirements and business environments without affecting their existing processes and systems.

    2.3. Data analysis and decision-making

    Innovative GRC solutions enable companies to effectively process, analyze, and derive valuable insights from large volumes of GRC-related data. By utilizing advanced data analysis techniques and visualization tools, companies can make informed decisions and optimize their risk management and compliance strategies.

    2.4. Scalability and cloud computing

    Modern GRC solutions offer scalable infrastructures and cloud computing options, enabling companies to effectively manage their GRC processes and adapt to growing demands. Cloud-based GRC solutions provide flexibility and scalability while meeting security and data protection requirements.

    The digital transformation has fundamentally changed the GRC landscape and created new challenges for businesses. To be successful in this dynamic environment, companies must utilize innovative GRC solutions like Zazoon to help them efficiently and effectively manage their compliance, risk, and control requirements. With the right GRC solution, companies can optimize their processes, make informed decisions, and successfully adapt to constantly changing regulatory requirements and market conditions.

    Your path to success

    We invite you to learn more about the benefits of Zazoon and discover how our GRC solution can help you master the challenges of digital transformation. Contact us today to learn more and schedule a personal demo appointment. Let’s work together to shape your path to GRC success!