Wann und wie schnell muss eine Datenpanne dem EDÖB gemeldet werden?
Eine Verletzung der Datensicherheit ist dem EDÖB so rasch als möglich zu melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Die Meldung muss mindestens die Art der Verletzung, deren Folgen sowie die ergriffenen oder vorgesehenen Massnahmen enthalten.
Eine Meldung an den EDÖB ist nicht bei jeder Datenpanne vorgeschrieben. Massgeblich ist, ob die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Liegt diese Schwelle vor, muss der Verantwortliche dem EDÖB die Verletzung so rasch als möglich melden. Das Gesetz nennt dafür keine feste Frist in Stunden oder Tagen. Zu prüfen ist deshalb insbesondere, ob tatsächlich eine Verletzung der Datensicherheit vorliegt, ob das Risiko voraussichtlich hoch ist und wer in der konkreten Konstellation als Verantwortlicher handelt, denn die Meldepflicht gegenüber dem EDÖB trifft den Verantwortlichen.[1]
Für den Inhalt der Meldung verlangt das Gesetz mindestens drei Punkte: die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Wenn ein Auftragsbearbeiter eine Verletzung feststellt, meldet nicht er direkt dem EDÖB, sondern er meldet dem Verantwortlichen die Verletzung ebenfalls so rasch als möglich. Zusätzlich kann eine Information der betroffenen Person erforderlich sein, wenn es zu ihrem Schutz nötig ist oder der EDÖB dies verlangt. Eine Einschränkung, ein Aufschub oder ein Verzicht auf diese Information ist nur in den ausdrücklich genannten Fällen möglich; dafür sollte die vollständige Regelung geprüft werden.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor jedem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung, bevor Sie sich darauf verlassen.[1]