Reglement über die Nutzung der Informations und Kommunikationstechnik (ICTNutzungsreglement) (TIC)

1 Dieses Reglement regelt für alle Mitarbeitenden und die Zweck

Mitglieder des Synodalrats der Römisch-katholischen Körperschaft des

Kantons Zürich die Nutzung der elektronischen Infrastrukturen und die

Nutzung von Internet mit Informatikmitteln der Organisation sowie die

Nutzung von E-Mail und Sozialen Medien.5

2 Das Interesse der Körperschaft liegt dabei in der Sicherstellung

der Datensicherheit und im Datenschutz, in einer möglichst wenig be-

lasteten betrieblichen Informatikinfrastruktur (Speicherplatz, Netzwerk-

bandbreite) sowie in finanziellen (der Arbeitnehmer schuldet dem

Arbeitgeber seine Arbeitszeit) und ideellen Interessen (Schutz vor Re-

putationsschäden). Dem stehen das Informations- und Kommunika-

tionsinteresse sowie der Persönlichkeitsschutz der Arbeitnehmenden

gegenüber.

3 Für Dritte, welche die Informatikmittel der Körperschaft nutzen,

wird dieses Reglement auf vertraglicher Basis für verbindlich erklärt.

1.4.21-112

1

182.42

II. Nutzungsvorschriften

ICT-Nutzungsreglement

Arbeits-

instrumente

und Arbeits-

ergebnis

Sicherheits-

massnahmen

1 Die geschäftlich anfallenden Daten (Dokumente, E-Mails)

sind mit der von der Körperschaft zur Verfügung gestellten Hard- und

Software zu bearbeiten und in der betrieblichen Informatikstruktur (Ser-

ver, Cloud) aufzubewahren.

2 Nicht ausdrücklich zugelassene Plattformen und Collaboration

Tools sind verboten.

3 Nicht erlaubt sind unverschlüsselte USB-Sticks oder unverschlüs-

selte externe Festplatten.

4 Die Installation von Hard- und Software sowie Kommunikations-

einrichtungen durch Mitarbeitende ausser den ICT-Verantwortlichen

ist untersagt.

5 Informatiksysteme, die am Netzwerk angeschlossen sind, dürfen

nicht gleichzeitig mit einem Netz oder System ausserhalb des internen

Netzwerks verbunden werden.

1 Das Passwort ist persönlich und darf nicht weitergegeben

werden. Passwörter müssen aus mindestens acht Stellen bestehen und

sollen eine Kombination von Klein- und Grossbuchstaben, Ziffern und

Sonderzeichen enthalten. Leicht zu erratende Passwörter und solche,

die einen Bezug zur eigenen Person aufweisen (z. B. Name, Name von

Angehörigen, Geburtsdatum usw.), sind nicht erlaubt. Geschäftlich ge-

nutzte Passwörter dürfen nicht privat verwendet werden. Passwörter soll-

ten regelmässig gewechselt werden. Sie sind sofort zu ändern, wenn ein

Verdacht besteht, dass sie Dritten zur Kenntnis gelangt sind. Ein früher

bereits benutztes Passwort darf nicht erneut verwendet werden.

2 Die Mitarbeitenden dürfen nur ihre persönlichen Benutzerkennun-

gen oder die ihnen zugeteilten funktionellen Kennungen verwenden. Sie

sind für die mit ihren Kennungen erfolgten Zugriffe verantwortlich. Der

Zugriff auf Daten, die nicht zur Aufgabenerfüllung benötigt werden, ist

verboten.

3 Beim Verlassen des Arbeitsplatzes für längere Zeit ist die Arbeits-

station zu sperren, oder die Benutzerin bzw. der Benutzer meldet sich

vom System ab. Laptops und Smartphones sind entsprechend zu sichern,

schutzbedürftige Unterlagen vor Zugang zu schützen.

4 Es ist dafür zu sorgen, dass keine Unbefugten Zutritt zu den Arbeits-

räumlichkeiten haben. Halten sich externe Personen in den Büroräum-

lichkeiten auf, sind Massnahmen zu treffen, die Unbefugten einen Zu-

gang zu Informationen verhindern.

5 USB-Sticks und externe Festplatten von Dritten sind vor dem Öff-

nen durch einen Virenschutz zu überprüfen. Es dürfen nur Geräte aus

bekannten Quellen verwendet werden.

2

ICT-Nutzungsreglement

182.42

6 Die Mitarbeitenden dürfen die Sicherheitssoftware (Virenschutz,

Firewall usw.) nicht ausschalten, blockieren oder ihre Konfiguration ver-

ändern. E-Mails mit unbekanntem Absender, verdächtigem Betreff oder

unüblichem Inhalt sind vorsichtig zu behandeln, da sie von der Viren-

schutzsoftware nicht erkannte Viren enthalten könnten. Ihre Anhänge

sowie Links auf Websites sollen keinesfalls geöffnet werden. Jeder Ver-

dacht auf Virenbefall muss sofort den ICT-Verantwortlichen gemeldet

werden.

Zur Wahrung der Daten- und Anwendungssicherheit (Verfüg- Daten- und

barkeit, Integrität, Vertraulichkeit) dürfen nur von den ICT-Verantwort- Anwendungs-

lichen der Körperschaft zugelassene Programme installiert werden.

sicherheit

1 Personendaten und vertrauliche Sachdaten dürfen ausserhalb Personendaten

des körperschaftseigenen Netzwerks oder der iKath-Cloud nur verschlüs- und vertrauliche

selt aufbewahrt werden. Sie dürfen online nicht genannt werden, also

nicht im Internet, auch nicht in Sozialen Medien, unverschlüsselten E-

Mails oder sonstigen unverschlüsselten Kommunikationsmitteln.

2 Sie dürfen unverschlüsselt nur im körperschaftseigenen Netzwerk

oder innerhalb der iKath-Cloud übertragen werden.

Sachdaten

1 Geschäftliche Daten dürfen nicht auf privaten PCs, Laptops Verwendung

und Tablets gespeichert oder aufbewahrt werden.

2 Ausnahmen bewilligt die Generalsekretärin bzw. der Generalsekre-

tär nach Rücksprache mit der Leitung ICT.

3 Die Bewilligung für private Geräte wird nur erteilt, wenn es unzu-

mutbar ist, ein geschäftliches Gerät zu benutzen und wenn die Sicher-

heitsmassnahmen gemäss Arbeitsplatzvorgaben erfüllt sind.

4 Werden Smartphones zu geschäftlichen Zwecken genutzt, müssen

sie mit sechsstelligem Passwort, Fingerprint oder Gesichtserkennung ge-

sichert werden. Dokumente mit vertraulichem bzw. schützenswertem

Inhalt dürfen nicht gespeichert werden. Enthalten die Geräte schützens-

werte Daten, dürfen sie nicht unbeaufsichtigt gelassen oder Dritten zur

Nutzung überlassen werden.

von privaten

Geräten

1 Die private Nutzung von Internet, E-Mail und Sozialen Me- Private Nutzung

dien ist während der Arbeitszeit auf ein Minimum zu beschränken und

sollte grundsätzlich nur während Pausen erfolgen.

2 Nicht erlaubt ist das Herunterladen und/oder Speichern von priva-

ten Dateien in grosser Menge/ mit grosser Netzwerkbelastung auf den

Server (Foto-, Video- und Musikdateien).

3 Der Zugang zum Internet mit privaten Geräten ist nur im Gäste-

bereich des WLAN erlaubt.

1.4.21-112

3

182.42

ICT-Nutzungsreglement

Rechtswidriges

Dokumente, Videos und Bilder sowie E-Mails, Webseiten und

andere Webinhalte mit rassistischen, pornografischen, sexistischen, ge-

waltverherrlichenden oder ganz allgemein rechtswidrigen Inhalten dür-

fen weder konsumiert noch heruntergeladen oder weiterverbreitet wer-

den. Ganz allgemein sind Handlungen, die nach Schweizerischem Straf-

gesetzbuch unter Strafe stehen, zu unterlassen.

Private E-Mails

und Weiter-

leitung von

E-Mails

1 Das Versenden und Empfangen privater E-Mails über das

Mail-Konto der Organisation ist erlaubt. Entsprechende E-Mails müs-

sen in einem als «privat» bezeichneten Ordner abgelegt werden. Bei der

automatischen Sicherung (Backup) der E-Mails der Arbeitnehmenden

werden auch die privaten E-Mails gesichert.

2 Private E-Mails, die nicht als solche gekennzeichnet sind, gelten als

geschäftliche E-Mails.

3 Nicht erlaubt ist das Publizieren der dienstlichen E-Mail-Adresse

auf Webseiten zu privaten Zwecken.

4 Das automatische Weiterleiten (Forwarding) von E-Mails an die

private sowie weitere externe E-Mail-Adressen braucht die Bewilligung

der Generalsekretärin bzw. des Generalsekretärs.

5 Die vorgesetzte Stelle ist bei längerer Abwesenheit (Unfall, Krank-

heit oder sonstigen ausserordentlichen Ereignissen) einer bzw. eines Mit-

arbeitenden nach Rücksprache oder versuchter Rücksprache mit der

bzw. dem Mitarbeitenden berechtigt, auf deren bzw. dessen E-Mail-

Konto zuzugreifen. Sie macht es unter Mitwirkung der Bereichsleiterin

bzw. des Bereichsleiters Personal und der bzw. des Datenschutzverant-

wortlichen.

Respekt

Alle Mitarbeitenden der Körperschaft zeigen sich jederzeit

respektvoll gegenüber ihren Kommunikationspartnern. Das gilt auch

für jene, über die sie allenfalls online schreiben wie Freunde, Arbeitskol-

legen, Kunden, Kritiker usw., aber auch die katholische Kirche als solche.

Soziale Medien

Die Online-Präsenz der Mitarbeitenden beeinflusst auch das

Image der Katholischen Kirche im Kanton Zürich. In persönlichen Blogs

oder Einträgen und Profilen in Sozialen Netzwerken wie z. B. Facebook

soll aus den Umständen klar ersichtlich werden, dass hier die Privatper-

son ihre eigene Meinung vertritt. Sofern das nicht sowieso aus den Um-

ständen deutlich erkennbar ist, müssen die Mitarbeitenden einen Hinweis

darauf anbringen, dass die geäusserten Meinungen alleine jene der Auto-

rin bzw. des Autors sind und nicht die Sicht der Katholischen Kirche im

Kanton Zürich repräsentieren.

4

ICT-Nutzungsreglement

III. Organisation

1 Die ICT-Verantwortung obliegt dem Synodalrat.

182.42

ICT-Verantwor-

2 Die operative Verantwortung obliegt der Generalsekretärin bzw. tung

dem Generalsekretär, technisch zuständig ist die ICT-Stabsstelle.

3 Verwaltung, Generalvikariat, Fach- und Dienststellen und Missio-

nen haben je eine Ansprechperson für Informations- und Kommunika-

tionstechnik (ICT). Wird keine bezeichnet, ist diese die Stellenleiterin

bzw. der Stellenleiter.

4 Die ICT-Stabsstelle der Verwaltung unterstützt die Ansprechperso-

nen und hat einen Überblick über die Verwendung der Hard- und Soft-

ware in der Körperschaft. Die Einzelheiten regelt der Synodalrat in

einem ICT-Konzept.

1 Als Betreiberstellen gelten die Informatikdienste, die für Betreiberstelle

den Betrieb der elektronischen Infrastruktur und der Dienste der Kör-

perschaft zuständig sind.

2 Durch Vertrag oder Weisung wird sichergestellt, dass die Betreiber-

stellen die rechtskonforme und sichere Nutzung der elektronischen Infra-

struktur und der Dienste der Körperschaft ermöglichen.

Der Bereich ICT der Verwaltung ist zuständig für den Be- Zuständigkeit

trieb des körperschaftseigenen Servers, die körperschaftseigene Netz- Bereich ICT der

werkinfrastruktur in den Fach- und Dienststellen und Missionen sowie Verwaltung

alle Clients (Desktop-PCs und Laptops) der Körperschaft.5

2 Sie ist mithilfe der Betreiberstelle insbesondere zuständig für

a. die Installation eines Spam-Filters und die Löschung als Spam er-

kannter Daten,

b. das Speichern sämtlicher E-Mails im E-Mail-Journal,

c. die Bewilligung von Software gemäss §§ 2 und 4,

d. das Sperren und Freischalten von Internetseiten im Einvernehmen

mit der Generalsekretärin bzw. dem Generalsekretär,

e. bei Bedarf anonyme Auswertungen gemäss § 16,

f. bei Bedarf personenbezogene Auswertungen gemäss § 21.

3 Bei ausserordentlichen Ereignissen (wie technische Störung oder

Netzwerküberlastung) kann die ICT-Stabsstelle den Datenverkehr vo-

rübergehend einschränken. Eine solche Massnahme wird im Intranet

mitgeteilt.

1.4.21-112

5

182.42

ICT-Nutzungsreglement

Zugang zu

geschäftlichen

Daten bei

Abwesenheiten

Anonymisierte

Berichte

Überwachungs-

massnahmen

Definition

Entscheid

über personen-

bezogene

Berichte

1 Die vorgesetzte Stelle ist bei längerer Abwesenheit einer

bzw. eines Mitarbeitenden (Unfall, Krankheit oder sonstigen ausser-

ordentlichen Ereignissen) berechtigt, nach Rücksprache oder versuchter

Rücksprache auf deren bzw. dessen geschäftliche Daten zuzugreifen. Sie

macht es unter Mitwirkung der Bereichsleiterin bzw. des Bereichsleiters

Personal und der bzw. des Datenschutzverantwortlichen.

2 Geschäftliche Daten werden der vorgesetzten Stelle ausgehändigt,

private Dateien bleiben in der Datenablage der betroffenen Person. Die

Vertraulichkeit und der Schutz privater Dateien kann nicht gewährleis-

tet werden.

1 Die Betreiberstellen erstellen auf Verlangen der General-

sekretärin bzw. des Generalsekretärs anonymisierte Berichte, die Auf-

schluss über die angewählten Internetadressen und soweit möglich über

Zeitpunkt und Anzahl der Zugriffe und übertragenen Datenmengen

geben.

2 Die Berichte dürfen keine Rückschlüsse auf einzelne Mitarbeitende

zulassen. Insbesondere dürfen sich aus ihnen weder die einzelnen Mit-

arbeitenden noch die einzelnen Arbeitsplätze ergeben.

IV. Missbrauch der elektronischen Infrastrukturen und Dienste

der Körperschaft

Gegen Missbrauch und technische Schäden setzt die Körper-

schaft technische Schutzmassnahmen (z. B. Sperren bestimmter Web-

dienste, Installieren von Anti-Virensoftware usw.) ein. Auch die anony-

misierte technische Überwachung des Internetverkehrs ist gemäss § 16

zulässig. Besteht der begründete Verdacht, dass trotz technischen Schutz-

massnahmen gegen dieses Reglement verstossen wird, erfolgt eine per-

sonenbezogene Überwachung und Auswertung der Internet- und E-Mail-

Protokollierungen. Der Einsatz von Spionageprogrammen ist dabei ver-

boten.

Ein Missbrauch im Sinne dieses Reglements besteht bei einem

Verstoss gegen §§ 2–8.

1 Zuständig für die Anordnung einer personenbezogenen Aus-

wertung ist die Generalsekretärin bzw. der Generalsekretär. Sie bzw. er

trifft den Entscheid zusammen mit der Bereichsleiterin bzw. dem Be-

reichsleiter Personal und der bzw. dem Datenschutzverantwortlichen

der Körperschaft.

6

ICT-Nutzungsreglement

182.42

2 Die Voraussetzungen für die Anordnung einer personenbezogenen

Auswertung sind erfüllt, wenn

bei Internetzugriffen Missbräuche von erheblicher Tragweite vorlie-

gen oder

beim E-Mail-Verkehr ein konkreter Verdacht auf Missbrauch be-

steht.

Die Generalsekretärin bzw. der Generalsekretär weist die be- Ankündigung

troffenen Mitarbeitenden darauf hin, dass für einen bestimmten Zeitraum der personen-

die Internetzugriffe oder der E-Mail-Verkehr personenbezogen proto- Berichte

kolliert und ausgewertet werden.

1 Nach erfolgter Ankündigung kann die Generalsekretärin Durchführung

bzw. der Generalsekretär die Betreiberstellen beauftragen, personen-

bezogene Berichte über die Internetzugriffe oder den E-Mail-Verkehr

zu erstellen.

2 Personenbezogene Berichte dürfen für höchstens drei Monate er-

stellt werden. Über den Zeitraum vor der Ankündigung durch die Ge-

neralsekretärin bzw. den Generalsekretär dürfen keine personenbezo-

genen Berichte erstellt oder ausgewertet werden.

3 Die Betreiberstelle stellt die als vertraulich deklarierten Berichte

der Generalsekretärin bzw. dem Generalsekretär zu.

ten

1 Personenbezogene Berichte über den Internetzugriff enthal- Inhalt

den Namen der Internetnutzerin oder des Internetnutzers,

die angewählten Internetadressen,

soweit möglich den Zeitpunkt und die Anzahl der Zugriffe sowie die

übertragene Datenmenge.

2 Personenbezogene Berichte über den E-Mail-Verkehr enthalten

den Namen der E-Mail-Nutzerin oder des E-Mail-Nutzers,

die angewählten Adressen,

den Versandzeitpunkt,

die Datenmenge der ausgehenden E-Mails.

1 Die Generalsekretärin bzw. der Generalsekretär entschei- Einleitung von

det zusammen mit der Bereichsleiterin bzw. dem Bereichsleiter Perso- Massnahmen

nal und der bzw. dem Datenschutzverantwortlichen der Körperschaft

aufgrund der personenbezogenen Berichte, ob dem Personalausschuss

beantragt wird, gegen die betreffende Person eine Administrativunter-

suchung durchzuführen, oder ob andere Massnahmen zu treffen sind.

2 Die Generalsekretärin bzw. der Generalsekretär teilt der betref-

fenden Person den Entscheid mit.

1.4.21-112

7

182.42 ICT-Nutzungsreglement

Prüfung und

Vernichtung

der Unterlagen

Wird keine Administrativuntersuchung eingeleitet, werden

die personenbezogenen Berichte und Protokolle nach 30 Tagen vernich-

tet und die Mitarbeitenden informiert.

V. Schlussbestimmungen

Kenntnisnahme

des Reglements

Inkrafttreten

Jede Mitarbeiterin und jeder Mitarbeiter unterzeichnet das

Reglement als Erklärung, dass sie bzw. er das Reglement gelesen und

verstanden hat und die Nutzungsvorschriften einhalten wird.

8

¹ OS 74, 488; Begründung siehe ABI 2019-06-14.

2 LS 170.4.

3 LS 182.10.

4 LS 182.41.

5 Fassung gemäss B vom 18. Januar 2021 (OS 76, 65; AB1 2021-02-05). In Kraft

seit 18. Januar 2021.