Müssen die Betroffenen über eine Datenpanne informiert werden?

Nach dem DSG besteht keine allgemeine Pflicht, Betroffene bei jeder Datenpanne zu informieren. Der Verantwortliche informiert die betroffene Person dann, wenn dies zu ihrem Schutz erforderlich ist oder wenn der EDÖB die Information verlangt. Massgeblich ist also nicht jede Verletzung der Datensicherheit als solche, sondern die Frage, ob eine Benachrichtigung zum Schutz der betroffenen Person nötig ist oder behördlich angeordnet wird. Davon zu unterscheiden ist die Meldung an den EDÖB: Diese ist vorgesehen, wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Wer die Informationspflicht prüft, sollte deshalb insbesondere klären, ob Schutzmassnahmen gegenüber der betroffenen Person nötig sind und ob eine Anordnung des EDÖB vorliegt.^[1]

• Das Gesetz erlaubt, die Information an die betroffene Person einzuschränken, aufzuschieben oder darauf zu verzichten, wenn ein Grund nach Artikel 26 Absatz 1 Buchstabe b oder Absatz 2 Buchstabe b vorliegt oder eine gesetzliche Geheimhaltungspflicht dies verbietet.
• Ein Verzicht ist auch möglich, wenn die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert.
• Ebenfalls genügt es, wenn die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist.
• Zu prüfen ist daher nicht nur, ob grundsätzlich informiert werden müsste, sondern auch, ob einer dieser gesetzlich genannten Fälle vorliegt und welche Form der Information den Schutz der betroffenen Person tatsächlich sicherstellt.

^[1]

Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.^[1]