IT-Kodex

Funktionsfähige Informatiksysteme bilden eine unverzichtbare Grundlage für zahlreiche Geschäfts- und Verwaltungsprozesse. IT-Sicherheit ist deshalb eine wesentliche Voraussetzung:

1. zur Erfüllung des gesetzlichen Auftrages;

2. zur Wahrung des Vertrauens der Öffentlichkeit;

3. zur Sicherung der investierten Werte in Daten und Infrastruktur;

4. zum Schutz von Daten und Programmen vor Missbrauch, Verfälschung und Zerstörung;

5. zur Gewährleistung der Verfügbarkeit und Funktionsfähigkeit der Informatik und der Kommunikationswege. 2 Um eine angemessene IT-Sicherheit gewährleisten zu können, muss dem Faktor „Mensch“ grosse Beachtung geschenkt werden. Der IT-Kodex unterstützt die Mitarbeitenden dabei, durch verantwortungsbewusstes und sorgfältiges Verhalten einen wesentlichen Beitrag zum Schutz der IT-Systeme und der damit verwalteten Daten zu leisten.

Die Informatik der Stadt Chur (ITSC) informiert regelmässig über aktuelle Gefahren und Sicherheitsvorfälle. Alle Mitarbeitenden sind verpflichtet, diese Informationen aufmerksam zu lesen und die darin enthaltenen Empfehlungen und Anweisungen umzusetzen.

Führungspersonen stellen sicher, dass den Mitarbeitenden der Inhalt des IT- Kodex bekannt ist. Sie weisen regelmässig auf sicherheitsrelevante Aspekte hin und fördern das sicherheitsbewusste Verhalten im Arbeitsalltag.

Alle Mitarbeitenden sind verpflichtet, den IT-Kodex korrekt und vollständig einzuhalten und die Datenschutzvorgaben im Rahmen ihres Aufgabenbereiches zu befolgen. Sie tragen die Verantwortung, sich eigenständig und regelmässig über die Anforderungen der Informationssicherheit und den sicheren Umgang mit Informatikmitteln zu informieren.

Verstösse gegen den IT-Kodex gefährden die Informationssicherheit und damit einen wesentlichen Wertbestand der Organisation. Sie können den ordnungsgemässen Ablauf der Geschäftsprozesse erheblich beeinträchtigen.

Verstösse können personalrechtliche Konsequenzen bis hin zur Auflösung des Arbeitsverhältnisses nach sich ziehen. Schwerwiegende Verstösse (z. B. Verletzung des Urheberrechts, des Persönlichkeitsrechts, des Datenschutzes oder die Preisgabe von Dienstgeheimnissen) können zudem zivil- und/oder strafrechtliche Folgen haben.

Bestehen konkrete Anhaltspunkte für einen Verstoss gegen den IT-Kodex, kann die ITSC weitergehende Kontrollen der Nutzung der IT-Systeme anordnen. Im Ereignisfall informiert die ITSC den Informationssicherheitsbeauftragten (ISB), den Rechtsdienst und die Personaldienste über den Vorfall.

Für das Öffnen persönlicher E-Mails und persönlicher Daten ist vorgängig die Einwilligung der betroffenen Person einzuholen. Vorbehalten bleibt der Rechtsweg.

Cloud-Daten werden ausserhalb der Rechenzentren der ITSC beim jeweiligen Cloud-Provider gespeichert. Sie unterliegen in der Regel nicht dem Datensicherungskonzept der ITSC. Folgende Arten von Cloud-Daten werden unterschieden:

1. Geschäftsdaten Cloud-Anwendungen: Geschäftsdaten, die im Rahmen der Nutzung von Cloud-Anwendungen entstehen und innerhalb dieser gespeichert werden.

2. Geschäftsdaten Cloud-Dateiablage: Cloud-Speicher zur Ablage von geschäftlichen Dateien.

3. Persönliche Geschäftsdaten Cloud: 1. Persönlicher Cloud-Speicher des Mitarbeitenden (Microsoft OneDrive). 2. Der persönliche Cloud-Speicher ist für Dritte nicht zugänglich und wird nach dem Austritt automatisch durch den Cloud-Provider gelöscht. 3. Der Speicherplatz ist begrenzt und die Nutzung ist auf das notwendige Minimum zu beschränken 2 Für die Nutzung von Cloud-Anwendungen und Cloud-Speichern gelten die Bestimmungen gemäss Art. 43.

Die Bearbeitung und Speicherung von Geschäftsdaten ist ausschliesslich mittels Anwendungen oder Cloud-Plattformen gestattet, welche von der ITSC für diesen Zweck freigegeben wurden.

Die Speicherung von Geschäftsdaten hat grundsätzlich nach folgender Prioritätenordnung zu erfolgen:

1. Erste Priorität: In der Geschäftsfallverwaltung (CMI) oder in den dafür vorgesehenen Fachanwendungen (Art. 12 lit a);

2. Zweite Priorität: In der zentralen geschäftlichen Dateiablage (Art. 12 lit b). Die Daten sind unverschlüsselt zu speichern;

3. Dritte Priorität: In der persönlichen Ablage (Art. 12 lit c), sofern nachvollziehbare Gründe vorliegen, welche eine Speicherung gemäss lit a und b ausschliessen. 3 E-Mails mit geschäftsrelevanten Inhalten sind gemäss Abs. 2 lit. a und b zu speichern. Als geschäftsrelevant gelten E-Mails, welche einen Bezug zu Geschäftsvorgängen haben und für die Nachvollziehbarkeit dieser Vorgänge relevant sind. 4 Es ist ausdrücklich untersagt:

1. Private Daten in der geschäftlichen Dateiablage zu speichern. Private E-Mails sind aus der persönlichen Mailbox zu entfernen und entweder gem.

Die Speicherung geschäftsrelevanter Daten auf lokalen Datenträgern (z. B. PC, Laptop, Tablet) ist nur in Ausnahmefällen und nur für kurze Zeit zulässig. Die Daten sind so rasch wie möglich auf die zentrale Dateiablage zu übertragen.

Lokale Daten sind nicht Bestandteil des Datensicherungskonzepts der ITSC. Die Verantwortung für deren Sicherheit und Verfügbarkeit liegt vollumfänglich bei der nutzenden Person.

Bei einer Neuinstallation eines Geräts (z. B. infolge eines technischen Defekts oder einer Malware-Infektion) gehen lokal gespeicherte Daten unwiderruflich verloren.

Bei Verlust oder Diebstahl des Geräts kann ein unbefugter Zugriff auf lokal gespeicherte Daten nicht ausgeschlossen werden.

Die Synchronisation von geschäftlichen Daten mit privaten Geräten ist grundsätzlich untersagt.

Eine Ausnahme bildet die Synchronisation mit privaten Smartphones und Tablets, sofern diese über einen von der ITSC genehmigten und bereitgestellten Dienst (z. B. E-Mail- und Kalendersynchronisation) erfolgt. Weitere Ausnahmen können von der ITSC ausdrücklich definiert und freigegeben werden.

Die ITSC behält sich das Recht vor, technische Massnahmen zu ergreifen und Konfigurationsrichtlinien auf den privaten Geräten durchzusetzen, um eine angemessene Informationssicherheit zu gewährleisten. Wird diesen Massnahmen oder Richtlinien nicht zugestimmt, wird die Datensynchronisation unterbunden.

Vor der Weitergabe oder der Entsorgung eines privaten Geräts (z. B. Smartphone, Tablet oder PC) sind alle geschäftlichen Daten (z. B. E-Mails, Kontakte, Kalender, Dokumente) vollständig zu löschen. Das Gerät ist auf die Werkseinstellungen zurückzusetzen (Factory Reset).

Bei Beendigung des Arbeitsverhältnisses sind die Mitarbeitenden verpflichtet, sämtliche geschäftliche Daten auf privaten Geräten unverzüglich zu löschen.

Der Austausch vertraulicher Daten mit externen Stellen darf ausschliesslich in verschlüsselter Form erfolgen. Für die Verschlüsselung sind ausschliesslich die von der ITSC bereitgestellten oder ausdrücklich autorisierten Mittel und Dienste zu verwenden.

Benötigt der Empfänger der Daten für die Entschlüsselung ein Passwort, so ist dieses über einen separaten Kanal mitzuteilen (z. B. telefonisch oder per SMS).

Benötigt die Arbeitgeberin aus geschäftlichen Gründen Zugriff auf die persönliche Datenablage eines Mitarbeitenden (Mailbox, Home-Laufwerk, Cloud-Speicher), ist vorgängig die schriftliche Einwilligung des betroffenen Mitarbeitenden einzuholen. Vorbehalten bleibt der Rechtsweg.

Um Zugriffskonflikte zu vermeiden, sind geschäftsrelevante Daten ausschliesslich an den in Art. 12 lit. a und b definierten Ablageorten zu speichern.

Mitarbeitende tragen die Verantwortung für alle Zugriffe auf IT- und Kommunikationsmittel, Anwendungen und Daten, die unter ihrer persönlichen Benutzerkennung erfolgen.

Es ist untersagt, IT-Sicherheitsvorkehrungen auszuschalten, zu umgehen oder dies zu versuchen.

Der Anschluss fremder Geräte an das Netzwerk der ITSC (ChurNet) ist grundsätzlich untersagt. Ausgenommen sind Geräte, die von der ITSC ausdrücklich freigegeben wurden, sowie Verbindungen über speziell dafür vorgesehene Netzwerke wie z. B. das Public WLAN.

Die Verwendung der IT-Infrastruktur im Zusammenhang mit rassistischen, gewalttätigen, sexistischen oder anderen illegalen Inhalten ist verboten.

Schadsoftware kann grossen Schaden anrichten. Trotz technischer Schutzmassnahmen bleiben Restrisiken bestehen. Deshalb ist ein sorgfältiger Umgang mit IT-Systemen unerlässlich.

Mitarbeitende sind verpflichtet, sicherheitsrelevante Vorfälle sowie entsprechende Verdachtsmomente unverzüglich dem ITSC-Servicedesk zu melden. Dazu zählen insbesondere:

1. Malware-Befall (z. B. Viren, Trojaner);

2. Offenlegung oder unbefugter Zugriff auf Daten;

3. Datenverlust;

4. Diebstahl von IT-Geräten oder Datenträgern;

5. sonstige ungewöhnliche oder verdächtige Vorkommnisse im IT-Betrieb. 2 Nur durch eine rasche Meldung können Gegenmassnahmen zeitnah eingeleitet und potenzielle Schäden wirksam begrenzt werden.

Die IT-Anwendungen, welche durch die ITSC betrieben werden, beinhalten verschiedene Massnahmen, um die Geschäftsdaten zu schützen. Die Mitarbeitenden werden durch ihre persönlichen Zugangsdaten (Login) zur Nutzung der ihnen zugewiesenen Anwendungen und Daten autorisiert. Bei der Nutzung der Zugangsdaten ist folgendes zu beachten:

1. Mitarbeitende sind verpflichtet, Anmeldenamen und Passwort geheim zu halten. Das Passwort darf niemals anderen Personen bekannt geben werden, auch nicht dem IT-Support;

2. es ist nicht erlaubt, Anmeldenamen und Passwort von anderen Personen zu benutzen;

3. Passwörter müssen den geltenden Passwortrichtlinien entsprechen und dürfen nicht leicht zu erraten sein (mindestens 12 Zeichen, bestehend aus Gross- und Kleinbuchstaben sowie Zahlen und Sonderzeichen);

4. bei Anzeichen einer möglichen Kompromittierung (z. B. Passwort offengelegt oder erraten), ist das Passwort sofort zu ändern und der Vorfall dem ITSC-Servicedesk zu melden;

5. geschäftliche Passwörter müssen sich von privaten Passwörtern deutlich unterscheiden;

6. nach Beendigung des Arbeitsverhältnisses sind der Arbeitgeberin auf Verlangen alle Passwörter im Zusammenhang mit den geschäftlichen Anwendungen und Dateiablagen bekannt zu geben. 2 Mitarbeitende, die ihren Benutzernamen oder ihr Passwort vergessen haben, können sich telefonisch an den ITSC-Servicedesk wenden.

Die geschäftliche E-Mail-Adresse darf für die Anmeldung bei externen Anwendungen (z. B. Webdienste, Webportale) nur verwendet werden, wenn dies für die Ausübung der geschäftlichen Tätigkeit erforderlich ist.

Für externe Anwendungen darf niemals dasselbe Passwort verwendet werden wie für die IT-Lösungen der ITSC. Folgende Vorgaben sind zu berücksichtigen:

1. Pro Dienst muss ein separates Passwort verwendet werden;

2. es sind Passwörter zu wählen, die den gängigen Passwortrichtlinien entsprechen;

3. zusätzliche Sicherheitsfunktionen (z. B. Zwei-Faktor-Authentifizierung) des jeweiligen Diensteanbieters sind zu nutzen, sofern diese angeboten werden.

Beim Verlassen des Arbeitsplatzes ist die Bildschirmsperre zu aktivieren oder eine Abmeldung vom System vorzunehmen.

Nach Arbeitsschluss ist die Arbeitsstation inklusive Bildschirm ordnungsgemäss herunterzufahren.

Beim mobilen Arbeiten und im Home-Office sind die folgenden Punkte einzuhalten:

1. Es dürfen nur IT-Mittel genutzt werden, welche von der ITSC für diesen Zweck zur Verfügung gestellt werden (z. B. Remote-Zugang oder Notebook der ITSC);

2. sämtliche Daten und Informationen sind angemessen zu schützen und der Arbeitsplatz muss so eingerichtet sein, dass Unbefugte keinen Zugang zu geschäftlichen Daten erhalten;

3. beim mobilen Arbeiten ist darauf zu achten, dass Dritte den Bildschirm nicht einsehen können, insbesondere in öffentlichen Verkehrsmitteln;

4. geschäftliche IT-Mittel dürfen nicht unbeaufsichtigt bleiben und müssen sicher aufbewahrt werden;

5. für die anvertrauten Wertbestände (Hardware und Daten auf dem System) sind die Mitarbeitenden persönlich verantwortlich. Der Verlust eines mobilen Arbeitsgerätes ist unverzüglich dem ITSC-Servicedesk zu melden;

6. die ITSC leistet keinen Support für private Geräte. 2 Ebenfalls ist die separate „Richtlinie mobile Endgeräte“ als verbindlich zu beachten.

Mitarbeitende sollten sich der Gefahren des Social Engineering stets bewusst sein und sich nicht aus Hilfsbereitschaft, Gutgläubigkeit oder Angst vor Konsequenzen dazu verleiten lassen, die IT-Sicherheit zu vernachlässigen. Besondere Vorsicht ist geboten, wenn versucht wird, Mitarbeitende zu unerlaubten Handlungen zu verleiten, wie z. B.:

1. Weitergabe von vertraulichen Informationen;

2. Bekanntgabe von Passwörtern;

3. Erteilen von Zugriffen auf IT-Systeme;

4. Gewähren des Zuganges zu Büroräumlichkeiten. 2 Unbefugten Personen darf weder Zugang zu IT-Systemen noch Einsicht in schützenswerte Daten und Geschäftsprozesse gewährt werden.

Der Unterhalt an IT-Systemen, sowie deren Austausch oder Entsorgung erfolgt ausschliesslich durch Mitarbeitende der ITSC oder durch von der ITSC beauftragte Lieferanten. Unbekannten oder nicht identifizierten Personen darf niemals Zugriff auf IT-Systeme gewährt werden.

Personen, die berechtigt sind, Wartungsarbeiten an IT-Systemen durchzuführen, müssen einen sichtbaren Ausweis auf sich tragen. Wird kein Ausweis sichtbar getragen, ist die betreffende Person darauf anzusprechen. Wenn kein Ausweis vorgelegt werden kann, muss durch eine Rückfrage bei der ITSC geklärt werden, ob die Person im Auftrag der ITSC handelt.

Zur Gewährleistung der technischen IT-Sicherheit sowie für die Kapazitätsplanung werden die Nutzung der Informatik- und Kommunikationsmittel automatisiert protokolliert und ausgewertet (z. B. Netzwerkauslastung oder die Speicherbelegung). Eine vertiefte Auswertung erfolgt, wenn ein sicherheitsrelevanter Vorfall eingetreten ist, eine Störung des Betriebs vorliegt, oder Hinweise auf einen möglichen Vorfall bestehen.

Allfällige private Nutzungen können mitprotokolliert werden, da aus technischen Gründen keine Trennung zwischen privater und geschäftlicher Nutzung möglich ist.

Die Beschaffung und Installation von Hard- und Software erfolgt ausschliesslich durch die ITSC. Die Nutzung jeglicher Hard- und Software, welche nicht durch die ITSC freigegeben wurde, ist untersagt.

Jegliche Manipulationen an Hard- und Software sind untersagt. Die installierte Software darf weder kopiert noch auf andere Geräte übertragen, weitergegeben oder modifiziert werden.

Die Entsorgung von IT-Geräten erfolgt ausschliesslich durch die ITSC, welche die ordnungsgemässe Löschung der Daten sicherstellt.

Gefährliche E-Mails sind Nachrichten, die aufgrund ihres Inhalts oder bestimmter Merkmale als verdächtig oder potenziell betrügerisch gelten. Sie können verschiedene Ziele verfolgen, wie den Diebstahl sensibler Daten (z. B. Phishing-Mails) oder die Verbreitung von Schadsoftware (z. B. Malware, Ransomware). Solche Schadsoftware kann Daten verschlüsseln oder unlesbar machen und erheblichen Schaden verursachen.

E-Mails können bestimmte Hinweise enthalten, die auf eine fehlende Vertrauenswürdigkeit schliessen lassen:

1. Der Absender ist unbekannt, und es besteht kein erkennbarer geschäftlicher Zusammenhang;

2. der Absender ist bekannt, aber der Inhalt der E-Mail weist keinen Bezug zu einem geschäftlichen Vorgang auf;

3. ein geschäftlicher Zusammenhang ist zwar erkennbar, jedoch ist der Kommunikationskanal oder der Zeitpunkt der E-Mail ungewöhnlich;

4. es sind dringende Aufforderungen zu sofortigen Massnahmen enthalten, wie

26. z. B. Zahlungen auszuführen oder Bildschirmfreigaben zu erteilen;

5. die E-Mail enthält unerwartet zugesandte Dateianhänge;

6. die E-Mail enthält Links zu scheinbar offiziellen Webseiten, die zur Eingabe vertraulicher Informationen (z. B. Passwörter, Zahlungsdaten) auffordern;

7. Rechtschreibung und Grammatik sind fehlerhaft. 3 Bei Unsicherheit über die Echtheit einer E-Mail ist telefonisch beim vermeintlichen Absender nachzufragen oder die E-Mail ist zur Überprüfung an die ITSC weiterzuleiten.

E-Mails werden standardmässig unverschlüsselt übertragen und können deshalb auf jedem für die Übertragung involvierten Mail-Gateway mitgelesen und verändert werden. Deshalb dürfen vertrauliche Informationen nicht ohne spezielle Schutzmassnahmen per E-Mail an externe Empfänger versendet werden.

Die Übertragung vertraulicher Daten an interne E-Mail-Adressen ist zulässig, da diese nicht über das öffentliche Internet erfolgt. Alle IT-Service- Bezüger der ITSC (Stadt Chur, IBC, Bus & Service AG, Region Plessur usw.), sowie Empfänger der kantonalen Verwaltung Graubünden (E-Mail-Adresse mit xx@xx.gr.ch) gelten dabei als interne Empfänger, weil diese über vertrauenswürdige Netzwerke direkt angebunden sind.

Für den Versand von vertraulichen Informationen via E-Mail an externe Empfänger stellt die ITSC separate Werkzeuge zur Verfügung. Informationen hierzu sind im Intranet verfügbar oder können beim ITSC-Servicedesk eingeholt werden.

Bei Abwesenheit ist eine Abwesenheitsnotiz zu aktivieren, die über die Dauer der Abwesenheit und die Vertretung informiert.

Im Falle der Einrichtung einer automatischen Weiterleitung von E-Mails oder der Leseberechtigung Dritter für die persönliche Mailbox sind der Datenschutz und das Amtsgeheimnis zu gewährleisten.

Die Nutzung von Cloud-Diensten für geschäftliche Zwecke ist grundsätzlich untersagt, sofern sie nicht ausdrücklich von der Arbeitgeberin bereitgestellt oder genehmigt wurden. Vor der Einführung oder Nutzung eines Cloud-Dienstes sind die Verantwortlichkeiten, kommerziellen Aspekte und Sicherheitsanforderungen in Abstimmung mit der ITSC verbindlich zu regeln.

Der Cloud-Nutzer (bzw. die nutzende Organisation) trägt die Verantwortung für die Daten und die Einhaltung aller gesetzlichen Vorgaben, insbesondere des Datenschutzgesetzes.

Der Cloud-Nutzer (bzw. die nutzende Organisation) trägt die Verantwortung für die Informationssicherheit und Datensicherung, sofern keine anderweitige Regelung besteht.

Die geltenden Leitlinien, Merkblätter und Weisungen der ITSC bezüglich der Nutzung bestimmter Cloud-Dienste sind zwingend zu beachten.

Die Eingabe oder Weitergabe vertraulicher oder schützenswerter Daten über Internetdienste ist untersagt. Insbesondere dürfen keine vertraulichen Daten in Suchmaschinen, Übersetzungsdienste, Chat-Dienste oder Dienste mit künstlicher Intelligenz (KI) eingegeben werden. Es besteht das Risiko, dass diese Daten vom Dienstanbieter für andere Zwecke, wie beispielsweise das Training von KI-Modellen, genutzt werden.

Die nutzende Person ist dafür verantwortlich zu prüfen, ob die Nutzung des Dienstes für den vorgesehenen Zweck zulässig ist und den gesetzlichen Vorgaben, insbesondere dem Datenschutzgesetz, entspricht.

Chat- und Messenger-Dienste (z. B. MS Teams, Facebook Messenger, LinkedIn Chat, WhatsApp) sind anfällig für verschiedene Arten von Betrugsversuchen wie Phishing und die Verbreitung von Malware. Bei der Nutzung solcher Dienste ist grundsätzlich die gleiche Vorsicht wie im E-Mail- Verkehr walten zu lassen, um sich vor Betrugsversuchen und Sicherheitsrisiken zu schützen.

Bei der Verwendung von Chat- und Messenger-Diensten sind folgende Grundsätze zu beachten:

1. keine Links in verdächtigen oder unerwarteten Nachrichten anklicken;

2. keine empfangenen Dateianhänge ohne Prüfung öffnen;

3. unbekannten Absendern nicht blind vertrauen, denn das Benutzerprofil könnte gefälscht sein;

4. bei auffällig dringenden oder ungewöhnlichen Aufforderungen (z. B. sofortiges Handeln, Geldüberweisungen) ist besondere Vorsicht geboten;

5. keine vertraulichen oder personenbezogenen Informationen übermitteln;

6. die Datenschutzbestimmungen des genutzten Dienstes sind zu prüfen, ebenso die Zulässigkeit der Nutzung für den vorgesehenen geschäftlichen Zweck.

Daten, Programme und andere digitale Inhalte unterliegen urheberrechtlichen, lizenzrechtlichen oder anderen rechtlichen Schutzbestimmungen. Mitarbeitende sind verpflichtet, diese Vorgaben einzuhalten und insbesondere keine unrechtmässige Vervielfältigung, Nutzung oder Weitergabe vorzunehmen.

Beim Kopieren oder Verwenden von Inhalten aus dem Internet (z. B. Texte, Bilder, Grafiken) sind die damit verbundenen Urheberrechte sowie Quellenangaben zu berücksichtigen. Eine Verwendung ohne klare rechtliche Grundlage oder Nutzungsrecht ist untersagt.

Die Nutzungsrechte an Erfindungen, Entdeckungen, Ideen, Konzepten, Methoden und Softwareprogrammen, die im Zusammenhang mit IT-Lösungen der Arbeitgeberin erarbeitet wurden, sind im Eigentum der Arbeitgeberin.

Die IT-Lösungen der ITSC sind grundsätzlich für die geschäftliche Nutzung vorgesehen. Im Sinne einer grosszügigen Haltung wird jedoch auf ein absolutes Verbot der privaten Nutzung verzichtet.

Zulässig ist eine gelegentliche, nicht regelmässige private Nutzung, solange diese den regulären IT-Betrieb nicht stört und die eigene Auftragserfüllung sowie die der anderen Mitarbeitenden nicht behindert.

Grundsätzlich ist auf die Speicherung von privaten Daten zu verzichten. Falls dies im Rahmen der erlaubten privaten Nutzung dennoch notwendig ist, müssen sie im Verzeichnis „Privat” (H:\Privat\ oder V:\Privat\) des Home- Laufwerks gespeichert werden. Dieses Verzeichnis muss durch den Mitarbeitenden selbst erstellt werden.

Vor dem Austritt hat der Mitarbeitende seine privaten Daten zu löschen oder für die weitere Verwendung selbstständig zu sichern. Auf Wunsch händigt die ITSC dem Mitarbeitenden zum Zeitpunkt des Austritts die Daten aus dem privaten Verzeichnis (H:\Privat\ oder V:\Privat\) aus. Andernfalls werden diese Daten nach dem Austritt gelöscht.

Der Speicherplatz für die Ablage privater Daten ist beschränkt. Die Nutzung ist auf das notwendige Minimum zu reduzieren.

Für die gelegentliche private Nutzung zugelassen sind folgende Standard- Anwendungen: Word, Excel, PowerPoint, Outlook/E-Mail, Internet-Browser, persönlicher Passwortsafe, Programme für die Bildbearbeitung, Telefonie und Kopiergeräte.

Die gelegentliche private Nutzung des Internet-Zugangs zum Zweck der Informationsbeschaffung ist zulässig. Dabei sind die Bestimmungen gemäss Kapitel V. IT-Sicherheit einzuhalten.

Für alle anderen Anwendungen ist die private Nutzung untersagt.

Durch die private Nutzung der IT-Lösungen der Arbeitgeberin entstehen für den Mitarbeitenden keinerlei Rechtsansprüche gegenüber der Arbeitgeberin.