Datenschutzerklärung der Pensionskasse Post
Datenschutzbeauftragter
Für Fragen oder Rückmeldungen betreffend Datenschutz oder die Bearbeitung Ihrer Personendaten steht Ihnen der Datenschutzberater der PK Post unter folgenden Kontaktdaten zur Verfügung:
PricewaterhouseCoopers AG
Birchstrasse 160
8050 Zürich
Referenz: Datenschutz / PK Post
L0l1WVoEWUoQXGxDAQ0QEgZKJBoTWxZQAA==
Datenschutzerklärung
1. Zweck, Inhalt und Geltungsbereich
2. Grundsatz und gesetzliche Bestimmungen
3. Definition Personendaten und deren Bearbeitung
4. PK Post als Verantwortliche
5. Adressaten vorliegender Datenschutzerklärung
6. Kategorien betroffener Personen
7. Kategorien bearbeiteter Personendaten
8. Datenquellen von Personendaten
9. Bearbeitungszweck von Personendaten
10. Rechtsgrundlagen zur Bearbeitung von Personendaten
11. Weitergabe von Personendaten
12. Bekanntgabe von Personendaten ins Ausland
13. Bearbeitung besonders schützenswerter Personendaten
14. Schutz der Personendaten
15. Speicherort von Personendaten
16. Speicherdauer von Personendaten
17. Rechte von betroffenen Personen
18. Kontaktkoordinaten
19. Änderungen der Datenschutzerklärung
1. Zweck, Inhalt und Geltungsbereich
Vorliegende Datenschutzerklärung der Pensionskasse Post (PK Post) bezweckt eine transparente, verständliche sowie vollständige Information betreffend die Herkunft, Bearbeitung und Weitergabe von Personendaten, welche insbesondere für die Durchführung der beruflichen Vorsorge sowie damit im Zusammenhang stehenden weiteren Aufgaben einer Vorsorgeeinrichtung verwendet werden.
Die Datenschutzerklärung der PK Post beinhaltet unter anderem Aussagen betreffend:
welche Daten erhoben und bearbeitet werden;
zu welchem Zweck die Daten erhoben und bearbeitet werden;
welche Zugangs- und Bearbeitungsberechtigungen auf den Daten bestehen;
welche Rechte betroffene Personen, deren Daten bearbeitet werden, gegenüber der PK Post ausüben können; sowie
der Kontaktaufnahme mit der PK Post zu Datenschutzfragen und –anliegen.
Die Datenschutzerklärung gilt für sämtliche durch die PK Post bearbeiteten Daten, unabhängig davon, ob die PK Post (als Verantwortliche) die Daten selber bearbeitet, oder mittels Auftrag durch einen Dritten (Auftragsbearbeiter) bearbeiten lässt.
Die PK Post ist eine umhüllende Vorsorgeeinrichtung, deren Leistungen über die gesetzlichen Mindestleistungen (Obligatorium) hinausgehen; administrativ erfolgt keine Trennung zwischen obligatorischer und überobligatorischer beruflicher Vorsorge. Die Informationen in vorliegender Datenschutzerklärung gelten somit für den obligatorischen und überobligatorischen Bereich der beruflichen Vorsorge gleichermassen.
2. Grundsatz und gesetzliche Bestimmungen
Die PK Post verpflichtet sich dem Grundsatz, ausschliesslich jene Daten zu bearbeiten, welche für die Durchführung der beruflichen Vorsorge sowie der damit im Zusammenhang stehenden weiteren Aufgaben einer Vorsorgeeinrichtung zwingend notwendig sind.
Die PK Post hält sich bei der Bearbeitung von Daten strikt an die Bestimmungen des Bundesgesetztes über den Datenschutz (DSG) vom 25. September 2020, der Verordnung zum Bundesgesetz über den Datenschutz (VDSG) vom 31. August 2022 sowie den datenschutzrechtlichen Bestimmungen im Bundesgesetz über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (BVG) sowie der Verordnung über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (BVV 2).
3. Definition Personendaten und deren Bearbeitung
Das DSG definiert Personendaten als alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Als betroffene Personen werden natürliche Personen verstanden, über die Personendaten bearbeitet werden.
Gemäss DSG ist die Bearbeitung definiert als jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten.
4. PK Post als Verantwortliche
Datenschutzrechtlich verantwortlich für eine bestimmte Datenbearbeitung ist jenes Unternehmen, welches festlegt, ob eine Bearbeitung erfolgen soll, zu welchem Zweck diese erfolgt und wie die Datenbearbeitung ausgestaltet wird.
Für die Bearbeitung von Daten im Geltungsbereich vorliegender Datenschutzerklärung ist datenschutzrechtlich die PK Post verantwortlich.
5. Adressaten vorliegender Datenschutzerklärung
Vorliegende Datenschutzerklärung richtet sich an und gilt für alle betroffenen Personen, deren Daten die PK Post bearbeitet, unabhängig davon, auf welche Weise die Personen mit der PK Post in Kontakt treten (Telefon / Handy, via Website, E-Mail etc.).
Die Datenschutzerklärung gilt zudem für betroffene Personen, für welche die PK Post Daten im Zusammenhang mit der Durchführung der beruflichen Vorsorge sowie der damit im Zusammenhang stehenden weiteren Aufgaben einer Vorsorgeeinrichtung, bearbeitet.
Die Datenschutzerklärung ist sowohl auf die Bearbeitung bereits erhobener als auch künftig noch zu erhebender Daten anwendbar.
6. Kategorien betroffener Personen
Bei der Datenbearbeitung durch die PK Post können insbesondere nachfolgende Personen betroffen sein, sofern dabei Personendaten bearbeitet werden.
Versicherte in der obligatorischen und überobligatorischen beruflichen Vorsorge;
Angehörige von Versicherten (z. B. aktuelle und ehemalige Ehe- oder Lebenspartner, Eltern, Kinder) und andere begünstigte Personen;
Bevollmächtigte (z. B. gesetzlicher Vertreter, Vormund etc.);
Kontaktpersonen bei früheren, aktuellen oder künftigen Arbeitgebern;
Anspruchsteller, haftpflichtige Personen oder weitere beteiligte Personen;
Mitglieder der Organe der PK Post (Stiftungsrat, Anlageausschuss, Audit Committee, Schiedsgericht und Wahlbüro);
Kontaktpersonen von Sozial- und Privatversicherern, anderen Vorsorge- und Freizügigkeitseinrichtungen, Behörden, Ämtern, Geschäftspartnern und Lieferanten;
Kontaktpersonen, welche weitere Dienstleistungen der PK Post in Anspruch nehmen;
Personen, welche die Website der PK Post nutzen;
Personen, welche auf andere Weise mit der PK Post in Kontakt treten; sowie
Mitarbeiterinnen und Mitarbeiter der PK Post.
7. Kategorien bearbeiteter Personendaten
7.1. Stammdaten
Stammdaten sind die grundlegenden Daten einer Person, welche die PK Post für die Abwicklung vertraglicher – worunter auch die Beziehung zwischen einer versicherten Person und der PK Post fällt – und sonstiger geschäftlicher Beziehungen benötigt. Die PK Post kann Stammdaten für sämtliche unter Abschnitt 6 "Kategorien betroffener Personen" genannten Personen bearbeiten.
Betreffend die Stammdaten können – je nach Kategorie der betroffenen Personen – von der PK Post insbesondere bearbeitet werden (Auflistung nicht abschliessend):
Vorname, Name, Geschlecht, Geburtsdatum;
Kontaktdaten wie Adresse, E-Mail-Adresse, Telefonnummer;
Für versicherte Personen zusätzlich: Zivilstand, Datum der Eheschliessung oder Scheidung, Heimatort, Staatsangehörigkeit, Angaben aus Ausweispapieren (Pass, Identitätskarte etc.), AHV-Nummer, Versicherungsnummer, Arbeitgeber, Angaben zur früheren Vorsorge- oder Freizügigkeitseinrichtung, Eintritts- und Austrittsdatum, Beschäftigungsgrad oder Grad der Arbeitsfähigkeit, gemeldeter und versicherter Jahreslohn sowie der BVG-Jahreslohn, Angaben über Beziehungen zu Drittpersonen wie Angehörige oder Begünstigte;
Für Arbeitgeber und weitere Vertragspartner: Stammdaten der entsprechenden Kontaktpersonen, allenfalls mit Titel und Funktionsbezeichnung.
7.2. Vertrags-, Fall- und Leistungsdaten
Vertrags-, Fall- und Leistungsdaten sind Personendaten, welche im Zusammenhang stehen mit dem Abschluss, der Abwicklung oder der Auflösung von Verträgen – worunter auch die Beziehung zwischen einer versicherten Person und der PK Post fällt – mit der Aufnahme von Versicherten in die berufliche Vorsorge, mit der Entgegennahme von Meldungen, mit der Bearbeitung von Vorsorgefällen und mit anderen Leistungen (z.B.: Auszahlung der Austrittsleistung).
Betreffend die Vertrags-, Fall- und Leistungsdaten können – je nach Vertrag – von der PK Post insbesondere bearbeitet werden (Auflistung nicht abschliessend):
Daten im Zusammenhang mit einer Anschlussvereinbarung zwischen der PK Post und einem Arbeitgeber (z. B. Art und Datum des Anschlussvertrages, unterzeichnende Personen, Angaben betreffend Vertragsanpassungen etc.);
Daten im Zusammenhang mit der Bearbeitung von Vorsorgefällen (z. B. Meldung des Eintritts des Vorsorgefalls, Angaben über dessen Grund [Unfall, Krankheit sowie Ereignisdatum], Angaben im Zusammenhang mit der Prüfung des Vorsorgefalls, Angaben über andere Versicherungen und Versicherer sowie über allenfalls beteiligte Dritte, besonders schützenswerte Personendaten [z. B. Gesundheitsdaten, IV-Dossier etc.]);
Daten im Zusammenhang mit der Austrittsleistung (z. B. Höhe der Austrittsleistung, mögliche und erfolgte Einkäufe);
Daten im Zusammenhang mit weiteren Leistungsfällen (z. B. Daten betreffend die Auszahlung der Austrittsleistung [Grund, Konto- und Bankkoordinaten, Freizügigkeitseinrichtungen, Zustimmung des Ehepartners], Daten im Zusammenhang mit einer Zivilstandsänderung [Datum der Scheidung, erworbene Austrittsleistungen, Vorbezüge oder bezogene Invalidenrenten und gerichtliche Anordnungen in diesem Zusammenhang]).
7.3. Finanzdaten
Finanzdaten sind Personendaten, welche sich auf finanzielle Verhältnisse, auf Zahlungen und auf die Vollstreckung von Forderungen beziehen. Dazu gehören Daten im Zusammenhang mit Zahlungen und Bankverbindungen (z. B. Beitragszahlungen des Arbeitgebers, Vollstreckung von Forderungen, bei versicherten Personen Angaben über Lohn sowie Einkäufe und Auszahlungen von Austrittsleistungen, Rentenleistungen). Die PK Post bearbeitet ferner auch Daten über Begünstigte (z. B. im Zusammenhang mit Rentenleistungen an den überlebenden Ehepartner, an Kinder oder andere Begünstigte).
7.4. Kommunikationsdaten
Tritt eine Person mit der PK Post in Kontakt oder nimmt die PK Post mit einer Person Kontakt auf (z. B. per Telefon, E-Mail oder einem Schreiben), bearbeitet die PK Post die so ausgetauschten Kommunikationsinhalte und Angaben über Art, Zeitpunkt und Ort. In bestimmten Situationen kann die PK Post auch einen Identitätsnachweis (Kopie eines amtlichen Ausweises) verlangen. Kommunikationsdaten sind insbesondere Name, Vorname, Kontaktangaben (Postadresse, E-Mail-Adresse, Telefonnummer), der Inhalt von E-Mails sowie sonstiger schriftlicher Korrespondenz, von Telefongesprächen und Videokonferenzen etc. sowie weitere Randdaten der Kommunikation.
7.5. Technische Daten
Bei der Nutzung der Website der PK Post, des Guest-WLAN bei einem Besuch vor Ort oder anderer elektronischer Angebote fallen bestimmte technische Daten an (z. B. IP-Adresse oder Geräte-ID). Zu den technischen Daten gehören ebenfalls Protokolle, mittels derer die Nutzung der Systeme (z. B. Log-Daten zur Website) aufgezeichnet wird. Teils wird einem Endgerät (PC, Tablet, Smartphone etc.) eine eindeutige Kennnummer zugewiesen (z. B. mittels Cookies oder ähnlichen Technologien), damit das Gerät wiedererkannt wird und eine optimale Nutzung, beispielsweise der Website, gewährleistet werden kann.
Zu den technischen Daten gehören beispielsweise:
IP-Adresse des Gerätes und weitere Geräte-IDs (z. B. MAC-Adresse);
Kennnummern, die einem Gerät von Cookies und ähnlichen Technologien (z. B. Pixel Tags) zugewiesen werden;
Angaben über das Gerät und dessen Konfiguration (z. B. Betriebssystem, Spracheinstellung);
Angaben zum verwendeten Browser und dessen Konfiguration;
Informationen betreffend die Aufrufe und Aktionen auf der Website der PK Post;
Angaben über den Internetprovider;
Ungefährer Standort und Zeitpunkt der Nutzung;
Systemseitige Aufzeichnungen von Zugriffen und anderen Vorgängen (Log-Daten).
Die technischen Daten erlauben für sich genommen in der Regel meist keine Rückschlüsse auf die Identität der ein elektronisches Angebot der PK Post nutzenden Person. Zu beachten sind in diesem Zusammenhang auch die Informationen betreffend die Verwendung und den Einsatz von Cookies auf der Website der PK Post.
7.6. Sonstige Daten
Auch in anderen Situationen können bei der PK Post Personendaten anfallen und bearbeitet werden. Beispielsweise im Zusammenhang mit behördlichen oder gerichtlichen Verfahren fallen Daten (z. B. Akten, Beweismittel etc.) an, die sich auf eine Person beziehen. Die PK Post kann auch Daten betreffend die Zugangsberechtigungen zu ihren Büroräumlichkeiten und die entsprechenden Zugangskontrollen, gestützt auf das Zutrittssystem, erheben oder wer und wann die Infrastruktur und die Systeme der PK Post nutzt.
8. Datenquellen von Personendaten
8.1. Überlassene Daten
In vielen Fällen werden der PK Post Personendaten direkt von der betroffenen Person selber bekannt gegeben, beispielsweise wenn eine Person mit der PK Post in Kontakt tritt (z. B. Telefon, E-Mail, Schreiben, Kontaktformular auf der Website etc.) oder der PK Post Personendaten mittels Einreichung eines Formulars direkt übermittelt (z. B. Formular für einen WEF-Bezug, Antrag für einen Einkauf, Verfügung über das Todesfallkapital, das Eintrittsformular etc.).
8.2. Erhaltene Daten
Von Dritten erhält die PK Post im Zusammenhang mit der Durchführung der beruflichen Vorsorge insbesondere Personendaten vom aktuellen und ehemaligen Arbeitgeber sowie von der ehemaligen Vorsorge- oder Freizügigkeitseinrichtung. Diese Dritten sind gesetzlich verpflichtet, der PK Post alle für die Durchführung der beruflichen Vorsorge erforderlichen Daten zuzustellen. In bestimmten Fällen erhält die PK Post auch Daten von weiteren Dritten wie Privat- und Sozialversicherungen, Sachverständigen oder Ärzten.
Die PK Post kann von nachfolgenden Dritten Personendaten erhalten (Aufzählung nicht abschliessend):
von aktuellen und ehemaligen Arbeitgebern;
von Personen aus dem Umfeld (Familienangehörige, Rechtsvertreter etc.), z. B. Vollmachten;
von Die Schweizerische Post AG und von öffentlichen Ämtern, z. B. für Adressaktualisierungen;
von Wirtschaftsauskunfteien;
von Banken und anderen Finanzdienstleistern, von Privat- und Sozialversicherungen, von Vorsorge- und Freizügigkeitseinrichtungen;
von Sachverständigen und von Ärzten und anderen Leistungserbringern für Abklärungen in Leistungsfällen (z. B. Invaliditätsfall);
von Behörden, Gerichten, involvierten Parteien und anderen Dritten im Zusammenhang mit behördlichen oder gerichtlichen Verfahren;
aus öffentlichen Registern wie beispielsweise dem Betreibungs- oder Handelsregister;
von weiteren Dienstleistern;
aus öffentlich zugänglichen Quellen (z. B. Internet).
9. Bearbeitungszweck von Personendaten
Die Bearbeitung von Personendaten bei der PK Post erfolgt in erster Linie zum Zweck der Durchführung der beruflichen Vorsorge sowie der damit im Zusammenhang stehenden weiteren Aufgaben einer Vorsorgeeinrichtung.
Die PK Post bearbeitet Personendaten insbesondere für (Aufzählung nicht abschliessend):
den Abschluss und die Abwicklung von Anschlussvereinbarungen mit dem Arbeitgeber einschliesslich der Beratung und des Kundendienstes, der Durchsetzung von Rechtsansprüchen und der Beendigung von Vereinbarungen. Zu diesem Zweck werden durch die PK Post insbesondere Stamm-, Vertrags-, Fall- und Leistungsdaten, Finanz- und Kommunikationsdaten bearbeitet;
die Aufnahme versicherter Personen, wozu die PK Post insbesondere Stammdaten bearbeitet. Die PK Post führt für jede versicherte Person eines oder mehrere Vorsorgekapitalkonten (Sparkonten Basis- und Zusatzplan, Konto vorzeitige Pensionierung, Konto AHV-Überbrückungsrente), für welche Angaben wie Beiträge, Einkäufe, Altersguthaben und Auszahlungen bearbeitet werden;
die Prüfung und Abwicklung von Vorsorgefällen, einschliesslich der Koordination mit anderen Versicherern (z. B. Eidgenössische Invalidenversicherung) und die Durchsetzung von Regressansprüchen. Zu diesem Zweck werden durch die PK Post insbesondere Vertrags-, Fall- und Leistungsdaten der versicherten Person und von deren Angehörigen oder Begünstigten, Gesundheitsdaten und Daten von Dritten (z. B. externe Sachverständige oder Leistungserbringer) bearbeitet.
Die PK Post bearbeitet Personendaten auch für die mit der Durchführung der beruflichen Vorsorge im Zusammenhang stehender Aufgaben, insbesondere für (Aufzählung nicht abschliessend):
die Kommunikation, mit versicherten Personen und Dritten individuell zwecks Beantwortung von Anfragen und kollektiv gerichtet an sämtliche Destinatäre – oder eine Gruppe davon – zwecks Wahrnehmung der gesetzlichen Informationspflichten (z. B. Massenmailing an aktiv Versicherte). Zu diesem Zweck werden durch die PK Post insbesondere Kommunikations- und Stammdaten – je nach Gegenstand der Kommunikation auch Vertrags-, Fall- und Leistungsdaten – bearbeitet.
die Vertragsabwicklung – auch von anderen Verträgen als den Anschlussvereinbarungen (z.B. Verträge mit externen Vermögensverwaltern) –, namentlich Vertragsverhandlungen, Vertragsmanagement und der Abwicklung von Vertragsbeziehungen. Zu diesem Zweck werden durch die PK Post insbesondere Stamm-, Kommunikations- und Vertragsdaten bearbeitet.
die Einhaltung rechtlicher Anforderungen, um die Voraussetzungen zu deren Einhaltung zu schaffen. Die PK Post bearbeitet Personendaten um rechtliche Pflichten einzuhalten und Verstösse zu verhindern oder aufzudecken. Darunter fallen beispielsweise die Erfüllung von Auskunfts-, Informations- oder Meldepflichten, beispielsweise im Zusammenhang mit aufsichtsrechtlichen Pflichten, der Erfüllung von Archivierungspflichten und die Unterstützung bei der Verhinderung, Aufdeckung und Abklärung von Straftaten und anderen Verstössen, aber auch die Entgegennahme und Bearbeitung von Beschwerden und anderen Meldungen, die Überwachung von Kommunikation, interne oder externe Untersuchungen oder die Offenlegung von Unterlagen gegenüber einer Behörde, wenn dazu ein sachlicher Grund oder eine rechtliche Verpflichtung besteht. Zu diesem Zweck werden durch die PK Post insbesondere Stamm-, Vertrags- und Finanzdaten sowie Kommunikationsdaten bearbeitet (z. B. bei Verdacht auf missbräuchliche Leistungserwirkung).
die Rechtswahrung, damit die PK Post in der Lage ist ihre Ansprüche (gerichtlich, vor- oder aussergerichtlich sowie vor Behörden im In- und Ausland) durchzusetzen oder sich gegen ungerechtfertigte Ansprüche anderer zu verteidigen. Die PK Post bearbeitet zu diesem Zweck und je nach Konstellation unterschiedliche Personendaten wie beispielsweise Kontaktdaten sowie Angaben über Abläufe, die zu einer Auseinandersetzung Anlass gegeben haben oder geben könnten.
weitere Zwecke wie Sicherheit und Prävention (z. B. Gewährleistung der IT-Sicherheit) sowie im Rahmen der internen Abläufe, deren Optimierung und der Administration (z. B. Verwaltung der IT, Buchführung, Archivierung und Archivbewirtschaftung, interne Schulungen und Ausbildung).
10. Rechtsgrundlagen zur Bearbeitung von Personendaten
Die Tätigkeit der PK Post im Bereich der obligatorischen beruflichen Vorsorge, handelnd als Bundesorgan, wird durch die entsprechende Gesetzgebung geregelt, insbesondere durch das BVG sowie das Bundesgesetz über die Freizügigkeit in der beruflichen Vorsorge (FZG) und die zugehörigen Verordnungen. Die PK Post bearbeitet Personendaten im Bereich der obligatorischen beruflichen Vorsorge im Rahmen der gesetzlichen Bearbeitungsbefugnisse (z.B. Art. 85a ff. BVG).
Die Tätigkeit der PK Post im Bereich der überobligatorischen beruflichen Vorsorge, handelnd als private Person, untersteht nicht den einschlägigen gesetzlichen Bestimmungen des BVG, jedoch jenen des DSG und der VDSG.
11. Weitergabe von Personendaten
An der Durchführung der beruflichen Vorsorge sind nicht nur Vorsorgeeinrichtungen, sondern weitere Stellen wie Arbeitgeber, Freizügigkeitseinrichtungen, andere Versicherer, medizinische Leistungserbringer, Behörden und Ämter beteiligt. Personendaten werden demzufolge nicht ausschliesslich bei der PK Post bearbeitet, sondern auch von involvierten Dritten.
Die PK Post kann nachfolgenden Dritten Personendaten übermitteln (Aufzählung nicht abschliessend):
Arbeitgeber: Bekanntgabe insbesondere jener Personendaten, welche für die Erhebung der Spar- und Risikobeiträge von Arbeitnehmern und Arbeitgebern notwendig sind. Dem Arbeitgeber werden keine Daten betreffend Gesundheit (z. B. IV-Dossier oder Auszüge davon) oder Vorgänge im Bereich der beruflichen Vorsorge wie privat getätigte Einkäufe, Vorbezüge für WEF oder bei Scheidung bekanntgegeben.
Bekanntgabe bei Vorsorgefällen: Im Zusammenhang mit der Meldung und dem Eintritt eines Vorsorgefalls oder im Zusammenhang mit anderen Leistungen (z. B. einer Überweisung oder Auszahlung einer Austrittsleistung) kann die PK Post Personendaten mit Freizügigkeitseinrichtungen, anderen Vorsorgeeinrichtungen, Behörden und Ämtern (z. B. Sozialversicherern wie insbesondere die Invalidenversicherung oder Sozialämtern), anderen Versicherern, medizinischen Leistungserbringern und Sachverständigen, Banken und Kreditgebern, Gerichten und Anwälten austauschen. Im Rahmen der Bearbeitung von Vorsorgefällen und entsprechenden Abklärungen kann die PK Post auch Daten von Dritten erheben, aber auch an diese weitergeben, beispielsweise an andere Leistungserbringer, an Sachverständige, an Behörden, an Gerichte, Auskunftspersonen und Anwälte. So informiert die PK Post beispielsweise andere Sozial- und Privatversicherer über bestimmte Vorsorgefälle zur Koordination von Leistungspflichten und zur Klärung und Durchsetzung von Regressansprüchen. Insbesondere bei Scheidungen und bei Erbschaftsstreitigkeiten gibt die PK Post Personendaten an Gerichte und andere Vorsorge- und Freizügigkeitseinrichtungen bekannt.
Behörden und Ämter: Die PK Post kann Personendaten an Behörden, Ämter, Gerichte und andere öffentliche Stellen weitergeben, sofern die PK Post zu einer Weitergabe rechtlich verpflichtet oder berechtigt ist oder die Weitergabe zur Wahrung der Interessen der PK Post erforderlich ist (z. B. im Rahmen behördlicher, gerichtlicher sowie vor- und aussergerichtlicher Verfahren und im Rahmen gesetzlicher Informations- und Mitwirkungspflichten). Empfänger der Personendaten sind beispielsweise Betreibungsämter, Strafgerichte und Strafuntersuchungsbehörden, Steuerämter und Sozialversicherungsbehörden. Eine Datenbekanntgabe erfolgt auch, wenn die PK Post Informationen, beispielsweise im Zusammenhang mit der Bearbeitung von Vorsorgefällen, von öffentlichen Stellen bezieht.
Inkasso: Die PK Post kann Dritte für das Inkasso von Forderungen beiziehen und diesen dabei Personendaten wie beispielsweise die Höhe der ausstehenden Forderung bekanntgeben.
Dienstleister (Auftragsbearbeiter): Die PK Post kann Personendaten auch an Unternehmen weitergeben, sofern deren Dienstleistungen in Anspruch genommen werden. Diese Dienstleister bearbeiten die Personendaten im Auftrag der PK Post als Auftragsbearbeiter. Die Auftragsbearbeiter dürfen die Personendaten nur so bearbeiten, wie diese durch die PK Post selber bearbeitet werden dürften. Die Auftragsbearbeiter sind verpflichtet, die Personendaten ausschliesslich gemäss den Instruktionen der PK Post zu bearbeiten sowie geeignete Massnahmen betreffend Datensicherheit zu treffen. Durch die sorgfältige Auswahl der Auftragsbearbeiter sowie geeignete Vereinbarungen wird sichergestellt, dass der Datenschutz während der gesamten Bearbeitung gewährleistet ist. Auftragsbearbeiter sind beispielsweise IT-Dienstleister (z. B. Betrieb IT-Infrastruktur, Support Versichertenverwaltungssystem oder Datenspeicherung), Lettershop-Dienstleister (z. B. Aufbereitung und Versand von Mailings oder Vorsorgeausweisen), Beratungsdienstleistungen (z. B. Experte für berufliche Vorsorge, Revisionsstelle oder Anwälte).
Weitere Personen: In Fällen, wo sich der Einbezug von Dritten aus deren Konstellation ergibt, können Personendaten auch an weitere Empfänger bekanntgegeben werden, beispielsweise an Personen, welche an Verfahren vor Gerichten oder Behörden beteiligt sind (z. B. beim Rückgriff auf einen haftpflichtigen Dritten bzw. dessen Haftpflichtversicherung). Weitere Personen sind auch Empfänger einer Zahlung, Bevollmächtigte und weitere an einem Rechtsgeschäft beteiligte Stellen.
Sämtliche genannten Bekanntgaben von Personendaten sind aus rechtlichen oder operativen Gründen erforderlich. Gesetzliche und vertragliche Geheimhaltungspflichten stehen diesen Bekanntgaben nicht entgegen.
12. Bekanntgabe von Personendaten ins Ausland
Die PK Post gibt keine Personendaten an Dritte ins Ausland bekannt.
13. Bearbeitung besonders schützenswerter Personendaten
Bestimmte Arten von Personendaten gelten gemäss DSG als "besonders schützenswert", beispielsweise Daten über Massnahmen der sozialen Hilfe oder Daten über die Gesundheit. Die PK Post bearbeitet besonders schützenswerte Daten nur, soweit dies im Zusammenhang mit der Durchführung der beruflichen Vorsorge zwingend erforderlich ist. Beispielsweise werden bei Invaliditätsfällen die entsprechenden IV-Dossiers nur angefordert und bearbeitet, sofern Unklarheit über die leistungspflichtige Vorsorgeeinrichtung (PK Post oder frühere Vorsorgeeinrichtung) besteht oder eine Klage betreffend Invaliditätsleistungen gegen die PK Post angestrengt wird.
14. Schutz der Personendaten
Die PK Post trifft angemessene Schutzmassnahmen sowohl technischer wie auch organisatorischer Natur, um die Sicherheit der Personendaten zu wahren, um diese gegen unberechtigte oder unrechtmässige Bearbeitungen zu schützen und der Gefahr eines Verlustes, einer unbeabsichtigten Veränderung, einer ungewollten Offenlegung oder eines unberechtigten Zugriffs entgegenzuwirken. Wie alle Unternehmen kann die PK Post Datensicherheitsverletzungen jedoch nicht mit letzter Sicherheit ausschliessen (z. B. aufgrund massiv zunehmender Cyber-Attacken); gewisse Restrisiken sind unvermeidbar.
Zu den Sicherheitsmassnahmen technischer Natur gehören beispielsweise die Verschlüsselung, die redundante Datenhaltung an geografisch unterschiedlichen Orten, Zugriffsprotokollierungen und –beschränkungen sowie tägliche Sicherheitskopien (Backup). Sicherheitsmassnahmen organisatorischer Natur umfassen beispielsweise interne Weisungen, Vertraulichkeitsvereinbarungen sowie Kontrollen. Die PK Post verpflichtet auch ihre Auftragsbearbeiter dazu, angemessene technische und organisatorische Sicherheitsmassnahmen zu treffen.
15. Speicherort von Personendaten
Die PK Post speichert sämtliche Personendaten – redundant an zwei Standorten – ausschliesslich in der Schweiz. Personendaten werden teils auch mit Microsoft Office-Produkten M365 bearbeitet, beispielsweise beim Versand einer E-Mail oder der Nutzung von MS-Word bei einem individuellen Schreiben. Diese Personendaten können im Cloudspeicher OneDrive von Microsoft (zwischen-)gespeichert werden; beim erwähnten Cloudspeicher handelt es sich um eine Private Cloud von Die Schweizerische Post AG. Die entsprechenden Speichermedien befinden sich ebenfalls ausschliesslich in der Schweiz.
16. Speicherdauer von Personendaten
Die PK Post bearbeitet und speichert Personendaten:
solange dies für den jeweiligen Zweck der Bearbeitung erforderlich ist;
solange die PK Post ein berechtigtes Interesse an der Speicherung hat. Das kann insbesondere dann der Fall sein, wenn Personendaten benötigt werden, um Ansprüche durchzusetzen oder abzuwehren oder zu Archivierungszwecken;
solange sie einer gesetzlichen Aufbewahrungspflicht unterliegen, insbesondere gemäss Art. 27i ff. BVV 2.
17. Rechte von betroffenen Personen
Personen, von welchen die PK Post Personendaten bearbeitet (betroffene Personen), haben das Recht:
Auskunft über die bearbeiteten Personendaten zu verlangen;
unrichtige oder unvollständige Personendaten korrigieren zu lassen;
die Löschung oder Anonymisierung der Personendaten zu verlangen, sofern diese für die Durchführung der beruflichen Vorsorge nicht oder nicht mehr erforderlich sind;
die Einschränkung der Bearbeitung der Personendaten zu verlangen, sofern diese für die Durchführung der beruflichen Vorsorge nicht oder nicht mehr erforderlich ist;
bestimmte Personendaten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten; und
eine Einwilligung mit Wirkung für die Zukunft zu widerrufen, soweit eine Bearbeitung auf einer Einwilligung beruht.
Genannte Rechte können gegebenenfalls im Einzelfall eingeschränkt oder ausgeschlossen sein, beispielsweise, wenn Zweifel an der Identität bestehen oder dies zum Schutz anderer Personen, zur Wahrung von schutzwürdigen Interessen oder zur Einhaltung gesetzlicher Verpflichtungen erforderlich ist.
Für die Ausübung der obgenannten Rechte oder für Fragen betreffend den Datenschutz können betroffene Personen die PK Post gemäss nachfolgendem Abschnitt "Kontaktkoordinaten" kontaktieren.
Betroffene Personen haben auch die Möglichkeit, bei einer zuständigen Aufsichtsbehörde Beschwerde einzureichen, sollten Bedenken betreffend die rechtskonforme Bearbeitung von Personendaten durch die PK Post bestehen. Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).
18. Kontaktdaten Datenschutzberater
Für Fragen oder Rückmeldungen betreffend Datenschutz oder die Bearbeitung Ihrer Personendaten steht Ihnen der Datenschutzberater der PK Post unter folgenden Kontaktdaten zur Verfügung:
PricewaterhouseCoopers AG
Birchstrasse 160
8050 Zürich
Referenz: Datenschutz / PK Post
L0l1WVoEWUoQXGxDAQ0QEgZKJBoTWxZQAA==
19. Änderungen der Datenschutzerklärung
Vorliegende Datenschutzerklärung kann jederzeit angepasst werden, insbesondere sollte die PK Post die Datenbearbeitungen ändern oder wenn neue Rechtsvorschriften anwendbar werden. Generell gilt für Datenbearbeitungen die Datenschutzerklärung in der bei Beginn der betreffenden Bearbeitung aktuellen Fassung.
Datenschutzerklärung der PK Post / Version 1.0
Bern, 15. August 2023
