Meldepflicht bei Datensicherheitsverletzungen
Die Meldepflicht bei Datensicherheitsverletzungen nach Art. 24 revDSG verpflichtet den Verantwortlichen, eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte betroffener Personen führt, so…
Die Meldepflicht bei Datensicherheitsverletzungen nach Art. 24 revDSG verpflichtet den Verantwortlichen, eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte betroffener Personen führt, so rasch wie möglich dem EDÖB zu melden.
Was gilt als Datensicherheitsverletzung?
| Beispiel | Meldepflichtig? |
|---|---|
| Gehackte Kundendatenbank mit E-Mail-Adressen und Passwörtern | Ja, bei hohem Risiko |
| Kurzzeitiger Serverausfall ohne Datenverlust | Nein |
| Versehentlich an falschen Empfänger verschickte Kundenliste | Je nach Risiko, oft ja |
Praxisbeispiel: gehackter Webshop
Ein Schweizer Online-Shop wird gehackt, Angreifer erlangen Zugriff auf Namen, Adressen und teilweise Zahlungsinformationen von Kundinnen und Kunden. Weil dies zu einem hohen Risiko für die betroffenen Personen führen kann, etwa durch Identitätsdiebstahl, muss der Shop-Betreiber dies dem EDÖB melden und die betroffenen Kundinnen und Kunden informieren.
Was, wenn ein hohes Risiko unklar ist?
Ist unklar, ob ein hohes Risiko vorliegt, empfiehlt sich im Zweifel eine Meldung: eine unnötige, aber sorgfältig begründete Meldung ist weniger riskant als eine unterlassene Meldung, die sich im Nachhinein als pflichtwidrig herausstellt. Der EDÖB bietet dazu ein Online-Meldeformular an.
Was muss die Meldung enthalten?
Mindestens die Art der Verletzung, ihre Folgen sowie die bereits getroffenen oder geplanten Massnahmen. Die Meldung an den EDÖB erfolgt so rasch wie möglich; eine feste Frist wie die 72 Stunden der DSGVO kennt das revDSG nicht ausdrücklich, “so rasch wie möglich” wird in der Praxis aber eng ausgelegt.
Müssen auch betroffene Personen informiert werden?
Ja, wenn dies zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Der Verantwortliche muss dann direkt die betroffenen Personen informieren, nicht nur die Behörde.
Was, wenn ein externer Dienstleister betroffen ist?
Ein Auftragsbearbeiter, etwa ein Hosting-Anbieter, muss eine Datensicherheitsverletzung so rasch wie möglich dem Verantwortlichen melden. Die Meldepflicht gegenüber dem EDÖB bleibt dann trotzdem beim Verantwortlichen, auch wenn die eigentliche Verletzung technisch beim Auftragsbearbeiter entstanden ist. Ein klarer vertraglicher Meldeweg zwischen beiden Parteien erleichtert es, die Frist “so rasch wie möglich” tatsächlich einzuhalten.
Trage das korrekt in dein Impressum ein
Unser Generator erstellt die passenden Angaben automatisch, in wenigen Minuten fertig.