Der EDÖB hat am 5. Februar 2025 einen Leitfaden zur Meldung von Datensicherheitsverletzungen und zur Information der Betroffenen gemäss Art. 24 DSG veröffentlicht.
Wann spricht man von einer Datensicherheitsverletzung?
Eine Datensicherheitsverletzung liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht oder verändert werden oder Unbefugten zugänglich sind. Dies kann auf verschiedene Weise geschehen:
- Ein Hackerangriff, bei dem Kriminelle auf Kundendaten zugreifen
- Eine falsch adressierte E-Mail mit vertraulichen Dokumenten
- Gestohlene oder verlorene Datenträger wie USB-Sticks oder Laptops
- Technische Fehler, durch die Daten unbeabsichtigt gelöscht oder verändert werden
Solche Vorfälle können schwerwiegende Folgen haben, darunter Identitätsdiebstahl, finanzielle Verluste oder Vertrauensverlust. Daher ist es entscheidend, dass Unternehmen und Organisationen wissen, wie sie reagieren müssen.
Meldepflicht: Wann muss der EDÖB informiert werden?
Nicht jede Datensicherheitsverletzung ist meldepflichtig. Eine Meldung an den EDÖB ist erforderlich, wenn ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen besteht.
Folgende Kriterien beurteilen die Schwere der Beeinträchtigung:
- Schutzwürdigkeit der betroffenen Personendaten
- Art und Umstände der Verletzung sowie Kreis und Motive der unberechtigten Dritten
- Aufwand zur Identifikation der betroffenen Personen
- Menge und Bearbeitungsdauer der Daten
- Ideelle und wirtschaftliche Nachteile
- Besondere Schutzbedürftigkeit der Betroffenen
- Gesamtanzahl der betroffenen Personen
Nach der Entdeckung einer Datensicherheitsverletzung muss der Verantwortliche die Wahrscheinlichkeit des Schadenseintritts einschätzen. Dabei sind nachträglich ergriffene Schutzmassnahmen nicht zu berücksichtigen.
Besteht ein hohes Risiko, ist der Vorfall unverzüglich über das offizielle Meldeportal des EDÖB zu melden. Die Meldung muss den Vorfall, den Zeitpunkt, das Ausmass der Verletzung und die ergriffenen Massnahmen beschreiben. Fehlende Informationen können nachgereicht werden.
Der EDÖB nimmt auch freiwillige Meldungen entgegen, wenn der Verantwortliche trotz geringerem Risiko eine Meldung für sinnvoll erachtet.
Wann muss die betroffene Personen informiert werden?
Zusätzlich zur Meldung an den EDÖB kann es erforderlich sein, die betroffenen Personen direkt zu informieren. Dies gilt insbesondere, wenn sie Massnahmen zum Selbstschutz ergreifen müssen, etwa durch das Ändern von Passwörtern oder das Sperren von Kreditkarten. Auch in anderen Fällen kann ein Schutzbedürfnis bestehen, z. B. bei Phishing-Angriffen oder der Überprüfung von Kontoauszügen.
Welche Sanktionen drohen bei unterlassener Meldung oder Information?
Wird eine meldepflichtige Datensicherheitsverletzung nicht gemeldet , kann der EDÖB die Nachholung anordnen und weitere Massnahmen ergreifen.
Wenn betroffene Personen hätten informiert werden müssen, kann der EDÖB die Nachholung der Information anordnen und weitere Massnahmen ergreifen.
Strafrechtliche Konsequenzen können entstehen, wenn die Mindestanforderungen an die Datensicherheit nicht eingehalten wurden.
Fazit
Datensicherheitsverletzungen können jedes Unternehmen treffen. Eine schnelle Reaktion, eine fundierte Risikoeinschätzung und gegebenenfalls eine Meldung an den EDÖB sowie die betroffenen Personen sind essenziell.
Der Leitfaden unterstützt Unternehmen dabei, ihre Datenschutzstrategie zu verbessern. Mit geeigneten Sicherheitsmassnahmen und guter Vorbereitung lässt sich das Risiko von Datensicherheitsverletzungen reduzieren und das Vertrauen der Kundinnen und Kunden langfristig erhalten.
Hier geht’s zum Leitfaden.
Sehr gerne unterstützen wir Sie bei Fragen rund um den Datenschutz und die Datensicherheit. Wir freuen uns auf Ihre Kontaktaufnahme.
