Ausgangslage
Die Suva stellte dem EDÖB am 10. Dezember 2021 eine Risikobeurteilung zum Projekt Digital Workplace «M365» zu. Dabei geht es um die Verlagerung von Daten in eine von Microsoft betriebene Cloud-Lösung in dessen Rechenzentrum in der Schweiz. Die betroffenen Daten sind einerseits Inhaltsdaten, also diejenigen Daten, welche die Suva in der Cloud-Anwendung speichert und bearbeitet und andererseits Mitarbeitendendaten (z.B. Zugriffsberechtigungen, Zugriffslogs, Supportanfragen). Als typische Beispiele für Inhaltsdaten erwähnt die Suva Geschäftskorrespondenz, Fallmanagement-Dokumentationen, Projektunterlagen, Videokonferenzen, Telefonate, Weiterbildungsinhalte, Termine sowie E-Mails. Am 13. Mai 2022 versandte der EDÖB seine Stellungnahme, am 9. Juni 2022 die SUVA ihre Antwort darauf.

Datenschutz-Folgenabschätzung
Das neue DSG sieht die Pflicht vor, eine Datenschutz-Folgenabschätzung (DSFA) für Fälle durchzuführen, die ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringen kann. Die Suva hat für ihr Cloud-Projekt eine solche DSFA erstellt und präzisiert, dass eine solche nur...