Verlorene Laptops, falsch adressierte E-Mails, ein kompromittiertes Konto, ein Angriff auf eine Datenbank: Verletzungen der Datensicherheit sind keine Ausnahme, sondern Betriebsrealität. Entscheidend ist, wie schnell und geordnet ein Unternehmen reagiert. Die Meldepflichten setzen dafür den Rahmen.
Was eine Verletzung ist
Eine Verletzung der Datensicherheit liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. Dazu gehört auch die Nichtverfügbarkeit, etwa durch Verschlüsselung bei einem Ransomware-Angriff. Nicht jeder Vorfall ist meldepflichtig; aber jeder ist zu beurteilen und zu dokumentieren.
Schweiz: Meldung an den EDÖB
Nach Art. 24 revDSG meldet der Verantwortliche dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich eine Verletzung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führt. Die Meldung nennt mindestens die Art der Verletzung, soweit möglich deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Die betroffenen Personen sind zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Auftragsbearbeiter melden dem Verantwortlichen jede Verletzung so rasch als möglich.
EU: 72 Stunden
Gilt die DSGVO, ist die Verletzung der zuständigen Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko (Art. 33). Bei voraussichtlich hohem Risiko sind die Betroffenen unverzüglich zu benachrichtigen (Art. 34). Unvollständige Informationen dürfen schrittweise nachgereicht werden. Schweizer Unternehmen, die der DSGVO unterliegen, haben deshalb unter Umständen zwei Meldungen mit unterschiedlichen Massstäben vorzunehmen.
Die Risikobeurteilung
Kernfrage ist das Risiko für die Betroffenen, nicht für das Unternehmen. Relevant sind Art und Umfang der Daten, ob besonders schützenswerte Daten betroffen sind, ob die Daten verschlüsselt oder pseudonymisiert waren, wer Zugriff erhalten hat und welche Folgen drohen, etwa Identitätsdiebstahl, Betrug oder Rufschaden. Verschlüsselte Daten mit sicherem Schlüssel senken das Risiko erheblich; das ist einer der stärksten Gründe für Verschlüsselung im Ruhezustand.
Vorbereitung ist die halbe Meldung
Wer erst im Vorfall klärt, wer entscheidet, wer meldet und wer kommuniziert, verliert die Zeit, die die Fristen nicht hergeben. Ein vorbereiteter Ablauf mit Rollen, Vorlagen und Kontaktdaten gehört zu den organisatorischen Massnahmen. Unsere Checkliste für die ersten 72 Stunden beschreibt die Schritte mit prüfbaren Kriterien.