Datenschutzverletzung in der Schweiz: Wann muss der EDÖB informiert werden?

Eine falsch adressierte E-Mail, ein verlorener Laptop, eine offene Datenbank oder ein Ransomware-Angriff kann eine Datenschutzverletzung auslösen. Neben der technischen Reaktion braucht es früh eine rechtliche Risikobeurteilung. Art. 24 DSG unterscheidet dabei zwischen der Meldung an den EDÖB und der Information der betroffenen Personen. Die allgemeinen Unternehmenspflichten erläutert unser Überblick zum neuen Schweizer Datenschutzgesetz.

Was gilt als Verletzung der Datensicherheit?

Eine Verletzung liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt beziehungsweise zugänglich gemacht werden. Betroffen sein können Vertraulichkeit, Integrität und Verfügbarkeit.

Beispiele sind ein öffentlich erreichbarer Cloud-Ordner, der Versand einer Kundenliste an die falsche Person, gestohlene Zugangsdaten, manipulierte Datensätze oder ein Systemausfall ohne funktionierendes Backup. Nicht jeder IT-Fehler ist automatisch eine Datenschutzverletzung: Es müssen Personendaten und deren Sicherheit betroffen sein.

Wann muss der EDÖB informiert werden?

Der Verantwortliche muss die Verletzung dem EDÖB so rasch als möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt. Das Schweizer DSG nennt keine starre Stundenfrist. Längere Abklärungen dürfen eine Meldung aber nicht verzögern, sobald ein voraussichtlich hohes Risiko erkennbar ist und nicht kurzfristig zuverlässig ausgeschlossen werden kann.

Ein Auftragsbearbeiter meldet einen Vorfall nicht anstelle des Verantwortlichen. Er muss den Verantwortlichen seinerseits so rasch als möglich informieren. Nach dem EDÖB-Leitfaden gilt diese Pflicht für jede bei ihm festgestellte Datensicherheitsverletzung und nicht erst ab einer bestimmten Risikostufe.

Wie wird das hohe Risiko beurteilt?

Beurteilen Sie sowohl die Schwere möglicher Folgen als auch deren Wahrscheinlichkeit. Eine hohe Anzahl betroffener Personen genügt für sich allein nicht. Umgekehrt kann bereits ein kleiner Datensatz ein hohes Risiko verursachen, wenn besonders schwerwiegende Folgen drohen.

• Art der Daten: Gesundheits-, biometrische oder Sozialhilfedaten sind besonders schützenswert. Auch Identitätsdokumente, Passwörter und Kreditkartendaten können ein hohes Risiko begründen.
• Mögliche Folgen: Relevant sind etwa Identitätsdiebstahl, Betrug, Diskriminierung, Rufschädigung, finanzielle Verluste oder erhebliche Sorgen.
• Betroffene Personen: Bei Minderjährigen oder anderen vulnerablen Personen können die Folgen schwerer wiegen.
• Empfänger und Umstände: Kriminelle Zugriffe oder eine Veröffentlichung im Internet sind anders zu bewerten als ein Fehlversand an einen bekannten, kooperierenden Empfänger.
• Schutz und Bestimmbarkeit: Wirksame Verschlüsselung kann das Risiko wesentlich senken, sofern der Schlüssel nicht betroffen ist. Eine blosse Pseudonymisierung beseitigt den Personenbezug hingegen nicht zwingend.

Halten Sie Annahmen, Belege und Unsicherheiten schriftlich fest. Geplante spätere Massnahmen dürfen nicht dazu dienen, ein bereits erkennbares hohes Risiko kleinzurechnen.

Sofortmassnahmen in sieben Schritten

1. Incident-Team und klare Entscheidungswege aktivieren.
2. Vorfall eindämmen, ohne wichtige Protokolle oder Beweise zu vernichten.
3. Betroffene Systeme, Datenarten, Zeiträume und Personengruppen bestimmen.
4. Auftragsbearbeiter und weitere zuständige Stellen einbeziehen.
5. Schwere und Wahrscheinlichkeit möglicher Folgen beurteilen.
6. Bei voraussichtlich hohem Risiko über das DataBreach-Portal melden.
7. Schutzmassnahmen, Kommunikation und technische Nachbearbeitung koordinieren.

Je nach Branche, Vertrag und internationaler Tätigkeit können zusätzlich weitere Meldepflichten bestehen. Diese sind getrennt vom DSG zu prüfen.

Was gehört in die Meldung?

Die Meldung sollte Art, Zeitpunkt, Dauer und Umfang des Vorfalls beschreiben, die betroffenen Daten und Personen soweit möglich eingrenzen, bekannte oder befürchtete Folgen erläutern und bereits getroffene oder geplante Massnahmen nennen. Zudem ist eine Kontaktstelle anzugeben. Fehlen anfangs einzelne Angaben, dürfen sie so rasch als möglich nachgereicht werden. Warten Sie bei erkennbarem hohem Risiko nicht auf einen lückenlosen Abschlussbericht.

Wann müssen Betroffene informiert werden?

Betroffene Personen sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Diese Prüfung ist von der Meldung an den EDÖB zu unterscheiden. Eine Information kann etwa nötig sein, damit Passwörter geändert, Kreditkarten gesperrt, Kontoauszüge kontrolliert oder Phishing-Nachrichten erkannt werden können.

Die Mitteilung sollte verständlich erklären, was passiert ist, welche Daten betroffen sind, welche Folgen drohen, was das Unternehmen unternimmt und wie sich Betroffene konkret schützen können. Verharmlosende oder rein technische Formulierungen helfen dabei nicht.

Dokumentation und Nachbereitung

Der Verantwortliche muss Datensicherheitsverletzungen dokumentieren. Nach Art. 15 DSV ist diese Dokumentation grundsätzlich mindestens zwei Jahre ab der Meldung beziehungsweise Feststellung aufzubewahren. Halten Sie auch nicht meldepflichtige Vorfälle und die Begründung Ihrer Risikoeinschätzung fest.

Nach der Akutphase sollten Ursachen, Zugriffsrechte, Backups, Meldewege und Dienstleisterverträge überprüft werden. Auch die Angaben zu Empfängern und Sicherheitsprozessen in Ihrer Datenschutzerklärung müssen weiterhin der tatsächlichen Bearbeitung entsprechen.

Weiterführende Ratgeber

• Auftragsbearbeitung nach Schweizer DSG: Hosting, SaaS und Agenturen
• Datenschutz im Schweizer Online-Shop: Praxis-Check
• Neues Datenschutzgesetz Schweiz (nDSG) einfach erklärt