Datensicherheitsverletzung dem EDÖB melden In Kraft
Wesentliche Fakten
| Punkt | Wert |
|---|---|
| Meldepflicht | Der Verantwortliche meldet dem EDÖB eine Datensicherheitsverletzung so rasch als möglich, wenn sie voraussichtlich ein hohes Risiko für Persönlichkeit oder Grundrechte verursacht. |
| Mindestinhalt | Die Meldung nennt mindestens Art der Verletzung, deren Folgen sowie bereits ergriffene oder vorgesehene Massnahmen. |
| Auftragsbearbeitung | Der Auftragsbearbeiter informiert den Verantwortlichen über jede Datensicherheitsverletzung so rasch als möglich. |
| Information betroffener Personen | Der Verantwortliche informiert betroffene Personen, wenn dies zu ihrem Schutz erforderlich ist; der EDÖB kann dies anordnen. |
| Meldeweg | Der EDÖB stellt Verantwortlichen für Meldungen das DataBreach-Portal bereit. |
Wann liegt eine Datensicherheitsverletzung vor?
Eine Datensicherheitsverletzung liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. Entscheidend für die gesetzliche Meldung an den EDÖB ist zusätzlich, ob daraus voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen entsteht (Art. 24 Abs. 1 DSG).
Meldepflicht an den EDÖB
Der Verantwortliche muss eine solche Verletzung dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich melden. Das Gesetz nennt keinen festen Stundenwert. Die Verantwortlichen müssen die Risikolage deshalb unverzüglich beurteilen und dürfen bei einem voraussichtlich hohen Risiko nicht länger dauernde Abklärungen abwarten.
Die Meldung enthält mindestens die Art der Verletzung, deren Folgen sowie die bereits ergriffenen oder vorgesehenen Massnahmen (Art. 24 Abs. 2 DSG). Der EDÖB stellt dafür das DataBreach-Portal bereit.
Auftragsbearbeiter und betroffene Personen
Ein Auftragsbearbeiter informiert den Verantwortlichen über jede Verletzung der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 DSG). Diese Information hängt nicht davon ab, ob bereits ein hohes Risiko festgestellt wurde.
Der Verantwortliche informiert die betroffene Person, wenn dies zu deren Schutz erforderlich ist (Art. 24 Abs. 4 DSG). Der EDÖB kann eine solche Information anordnen. Ob und wie Personen informiert werden müssen, ist daher getrennt von der Meldung an den EDÖB zu prüfen.
Praktisches Vorgehen
Zuerst sind der Vorfall zu sichern und die betroffenen Daten, Personen, Folgen und Gegenmassnahmen zu dokumentieren. Danach ist das Risiko für Persönlichkeit und Grundrechte einzuschätzen. Bei voraussichtlich hohem Risiko erfolgt die Meldung über das Portal des EDÖB so rasch als möglich; die Angaben können bei fortschreitender Klärung ergänzt werden. Diese Übersicht ersetzt keine Prüfung besonderer Geheimhaltungs-, Melde- oder Aufsichtspflichten in einzelnen Branchen.
Häufige Fragen
Gilt für jede Sicherheitslücke eine Meldung an den EDÖB?
Nein. Die Meldepflicht nach Art. 24 DSG setzt voraus, dass die Verletzung voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt.
Gibt es eine starre Meldefrist?
Das DSG verlangt eine Meldung so rasch als möglich, nennt aber keine feste Stundenzahl.
Meldet ein Auftragsbearbeiter direkt an den EDÖB?
Er informiert den Verantwortlichen so rasch als möglich. Dieser prüft und erfüllt die gesetzliche Meldepflicht gegenüber dem EDÖB.
Quellen
- Fedlex – Datenschutzgesetz, Art. 24: https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_24
- EDÖB – DataBreach: https://www.edoeb.admin.ch/de/databreach