Wer muss eine Datenpanne melden, wenn sie beim Auftragsbearbeiter passiert?
Passiert die Verletzung der Datensicherheit beim Auftragsbearbeiter, muss der Auftragsbearbeiter sie dem Verantwortlichen so rasch als möglich melden. Die Meldung an den EDÖB trifft danach den Verantwortlichen, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt.
Bei einer Datenpanne beim Auftragsbearbeiter sind die Meldepflichten aufgeteilt. Der Auftragsbearbeiter meldet dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit. Die Meldung an den EDÖB obliegt dagegen dem Verantwortlichen. Diese externe Meldung ist erforderlich, wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Für die Zuständigkeit ist daher zu unterscheiden zwischen der internen Meldung vom Auftragsbearbeiter an den Verantwortlichen und der behördlichen Meldung durch den Verantwortlichen an den EDÖB.[1]
Für den Inhalt der Meldung an den EDÖB nennt das Gesetz Mindestangaben: mindestens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Zusätzlich kann der Verantwortliche verpflichtet sein, die betroffene Person zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Das Gesetz sieht dafür aber Ausnahmen vor, etwa bei einem Grund nach Artikel 26 Absatz 1 Buchstabe b oder Absatz 2 Buchstabe b, bei gesetzlicher Geheimhaltungspflicht, bei Unmöglichkeit oder unverhältnismässigem Aufwand oder wenn eine öffentliche Bekanntmachung die Information in vergleichbarer Weise sicherstellt. Vor einem Vorgehen sollte deshalb geprüft werden, welche Rolle vorliegt, ob ein hohes Risiko besteht und ob eine Information der betroffenen Person nötig ist oder eingeschränkt, aufgeschoben oder unterlassen werden darf.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]