Information für Mitarbeitende: Sicherheitsüberwachung unserer Konten und Computer

1. Wer verantwortlich ist

[Name und Adresse des Unternehmens] ist für diese Überwachung verantwortlich (Verantwortlicher). Kontakt für Fragen: [Name, E-Mail].

Wir nutzen dafür den Dienst Ojava (Ojava, Dhanush Kalyan Guntaka, Genf, Schweiz), der in unserem Auftrag handelt (Auftragsbearbeiter).

2. Wozu

Um Angriffe auf die Konten und Computer des Unternehmens zu erkennen, etwa ein gestohlenes Passwort, ein übernommenes Postfach, Ransomware oder Schadsoftware, und um [wer die Alarme erhält] zu alarmieren. Die Überwachung dient nur der Sicherheit. Sie wird nicht verwendet, um Ihre Arbeit, Ihre Leistung oder Ihr Verhalten zu beurteilen.

3. Was erfasst wird

• Microsoft 365 / Google Workspace [streichen, was wir nicht nutzen]: Anmeldeereignisse (Zeit, IP-Adresse, ungefährer Ort, Gerät), Änderungen der Anmeldemethoden, Postfachregeln und Weiterleitungen, App-Berechtigungen, administrative Aktionen, ausserhalb des Unternehmens geteilte Dateien und Datei-Downloads, ohne deren Inhalt.
• Windows-PCs [streichen, falls nicht genutzt]: Windows-Sicherheitsereignisse, Namen, Pfade und Befehlszeilen gestarteter Programme, Ordnerart und Dateiendung geänderter Dateien (nicht deren Namen), Adressen von Netzwerkverbindungen, automatisch startende Programme, Sicherheitseinstellungen und der Name des PCs. Windows führt zudem auf dem PC selbst ein lokales Protokoll darüber, welches Programm Dateien in Ihren Benutzerordnern ändert; die Administratoren des PCs können es einsehen, und es wird nicht an Ojava gesendet.
• Nie erfasst: der Inhalt von E-Mails, Dokumenten, Dateien oder Chats, der Browserverlauf, Tastatureingaben oder der Bildschirm.

4. Wer Einsicht hat

[Namen oder Funktionen, zum Beispiel die Geschäftsleitung und unser IT-Dienstleister] sehen die Alarme. Ojava bearbeitet die Daten in der Schweiz (Genf). Um einen Alarm verständlich zu erklären, sendet Ojava dessen Angaben an seinen KI-Anbieter Anthropic (USA), wobei Namen, E-Mail-Adressen, IP-Adressen und PC-Namen durch Platzhalter ersetzt sind.

5. Wie lange

Anmelde- und Aktivitätsereignisse: 90 Tage. Rohe Ereignisse der PCs: 30 Tage. Ein Alarm wird mit den Angaben, auf denen er beruht, bis zu seinem Abschluss aufbewahrt und danach [3 Monate / 2 Jahre / 5 Jahre, je nach unserem Ojava-Abo].

6. Ihre Rechte

Sie können uns fragen, welche Daten über Sie bearbeitet werden, sie berichtigen lassen und der Bearbeitung widersprechen, indem Sie an [Kontakt] schreiben. Sie können sich auch beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder, in der EU, bei Ihrer Datenschutzbehörde beschweren.

[Falls zutreffend: Unsere Arbeitnehmervertretung / Personalkommission wurde am (Datum) angehört.]