Wann liegt eine Datenpanne im Sinne des Datenschutzgesetzes vor?

Im Datenschutzgesetz ist die «Verletzung der Datensicherheit» definiert als eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. Eine Datenpanne liegt damit nicht schon bei jeder Unregelmässigkeit vor, sondern dann, wenn eine Sicherheitsverletzung gerade solche Folgen für Personendaten hat. Zu prüfen ist deshalb insbesondere, ob überhaupt Personendaten betroffen sind und ob eines der genannten Ereignisse eingetreten ist: Verlust, Löschung, Vernichtung, Veränderung, Offenlegung oder Zugänglichmachen an Unbefugte.^[1]

Ob Personendaten betroffen sind, richtet sich danach, ob Angaben vorliegen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Der Begriff des Bearbeitens ist weit und umfasst jeden Umgang mit Personendaten, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten. «Bekanntgeben» bedeutet das Übermitteln oder Zugänglichmachen von Personendaten. Für die Einordnung einer Datenpanne sollte daher geprüft werden, welche Daten betroffen sind, ob sie einer natürlichen Person zugeordnet werden können und ob die Sicherheitsverletzung zu einem der gesetzlich genannten Eingriffe in diese Daten geführt hat. Besonders sorgfältig ist dies bei besonders schützenswerten Personendaten zu prüfen, etwa bei Daten über Gesundheit, genetischen oder biometrischen Daten.^[1]

Diese Antwort fasst den auf Fedlex veröffentlichten Gesetzestext zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Fassung der betreffenden Bestimmung und jede spätere Änderung.^[1]