Checkliste: Datenschutzverletzung — die ersten 72 Stunden
Für: Schweizer KMU und SaaS-Anbieter
Aktualisiert: 2026-10
Nach einer Datenschutzverletzung gilt: sofort eindämmen, Fakten und Zeitpunkt sichern, ein Entscheidungsteam bilden, das Risiko für Betroffene beurteilen, bei hohem Risiko den EDÖB so rasch als möglich und unter der DSGVO die Aufsichtsbehörde binnen 72 Stunden informieren, Betroffene bei Bedarf benachrichtigen, Auftragsbearbeiter einbeziehen und alles dokumentieren.
Eine Datenschutzverletzung ist eine Ausnahmesituation, in der viel gleichzeitig passiert: Technik muss eindämmen, Geschäftsleitung muss entscheiden, Kommunikation muss vorbereitet werden, und die Fristen laufen. Wer erst im Vorfall klärt, wer was tut, verliert die Zeit, die er nicht hat.
Diese Checkliste beschreibt die ersten 72 Stunden für Schweizer Unternehmen, die unter das revDSG fallen und je nach Tätigkeit zusätzlich unter die DSGVO.
Die Checkliste
- 01
Eindämmen
Den Vorfall stoppen oder begrenzen: kompromittierte Konten sperren, Zugangsdaten und Schlüssel rotieren, betroffene Systeme isolieren, falsch versendete Daten zurückrufen oder Löschung verlangen. Beweise dabei nicht vernichten.
Erledigt, wenn: Der Abfluss oder Zugriff ist gestoppt oder begrenzt, und die Massnahmen sind mit Uhrzeit protokolliert.
- 02
Fakten und Zeitpunkt sichern
Festhalten, wann der Vorfall entdeckt wurde, was bekannt ist, welche Systeme und Daten betroffen sein könnten und welche Protokolle vorliegen. Der Zeitpunkt der Kenntnis ist für die Fristen massgeblich.
Erledigt, wenn: Ein Vorfallprotokoll mit Entdeckungszeitpunkt, bekannten Fakten und offenen Fragen ist angelegt und wird laufend ergänzt.
- 03
Entscheidungsteam bilden
Eine verantwortliche Person aus der Geschäftsleitung, die technische Leitung, die für Datenschutz zuständige Person und gegebenenfalls Kommunikation und externe Beratung zusammenbringen. Rollen und Erreichbarkeit klären.
Erledigt, wenn: Das Team ist benannt, eine Person trägt die Entscheidungsverantwortung, und ein fester Abstimmungsrhythmus ist vereinbart.
- 04
Risiko für Betroffene beurteilen
Art und Umfang der Daten, besonders schützenswerte Daten, Anzahl Betroffener, Verschlüsselung oder Pseudonymisierung, Kreis der Empfänger und mögliche Folgen wie Identitätsdiebstahl, Betrug oder Rufschaden beurteilen.
Erledigt, wenn: Eine begründete Risikoeinstufung — kein Risiko, Risiko, hohes Risiko — mit den berücksichtigten Kriterien liegt vor.
- 05
Meldepflichten prüfen und erfüllen
Bei voraussichtlich hohem Risiko den EDÖB so rasch als möglich informieren (Art. 24 DSG). Gilt die DSGVO, die zuständige Aufsichtsbehörde möglichst binnen 72 Stunden ab Kenntnis informieren, sofern ein Risiko nicht unwahrscheinlich ist (Art. 33 DSGVO). Unvollständige Angaben dürfen nachgereicht werden.
Erledigt, wenn: Die Entscheidung zur Meldung ist begründet dokumentiert, und erfolgte Meldungen sind mit Eingangsbestätigung abgelegt.
- 06
Betroffene informieren, wo nötig
Betroffene benachrichtigen, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt; unter der DSGVO bei voraussichtlich hohem Risiko. Die Information erklärt in klarer Sprache, was passiert ist und was Betroffene tun können, etwa Passwörter ändern.
Erledigt, wenn: Die Entscheidung ist dokumentiert, und versendete Informationen sind mit Datum, Empfängerkreis und Wortlaut abgelegt.
- 07
Auftragsbearbeiter und Partner einbeziehen
Betroffene Dienstleister informieren oder deren Meldung einfordern, Auskünfte zu Ursache und Umfang verlangen, Kunden informieren, für die man selbst Auftragsbearbeiter ist — diese haben eigene Meldepflichten.
Erledigt, wenn: Alle beteiligten Parteien sind informiert, und ihre Rückmeldungen sind im Vorfallprotokoll erfasst.
- 08
Nachbereiten
Ursache analysieren, dauerhafte Massnahmen umsetzen, technische und organisatorische Massnahmen anpassen, das Bearbeitungsverzeichnis aktualisieren und den Ablauf für den nächsten Vorfall verbessern.
Erledigt, wenn: Ein Abschlussbericht mit Ursache, Massnahmen, Verantwortlichen und Terminen liegt vor, und offene Massnahmen werden verfolgt.
Häufige Fehler
- —Beweise werden beim Aufräumen vernichtet, sodass Ursache und Umfang nicht mehr feststellbar sind.
- —Die Meldung unterbleibt, weil man den Umfang noch nicht vollständig kennt, obwohl Angaben nachgereicht werden dürfen.
- —Unter der DSGVO wird die 72-Stunden-Frist ab Abschluss der Analyse statt ab Kenntnis gerechnet.
- —Die Entscheidung, nicht zu melden, wird nicht dokumentiert.
- —Kunden, für die man Auftragsbearbeiter ist, werden zu spät informiert und verpassen ihre eigenen Fristen.
Was diese Checkliste nicht abdeckt
- —Diese Checkliste ist keine Rechtsberatung. Bei grösseren Vorfällen, besonders schützenswerten Daten oder Bezug zu mehreren Rechtsordnungen ist spezialisierte Beratung beizuziehen.
- —Sie ersetzt keine forensische Untersuchung; bei Angriffen sollten Fachleute für Incident Response beigezogen werden.
- —Branchenspezifische Meldepflichten, etwa gegenüber der FINMA oder bei Cyberangriffen auf kritische Infrastrukturen gegenüber dem Bundesamt für Cybersicherheit, sind nicht vollständig abgedeckt.
- —Strafanzeige, Versicherungsmeldung und arbeitsrechtliche Fragen werden nur am Rand behandelt.
Übergeordnete Leistung: Datenschutzberatung
Passende Angebote
revDSG-Umsetzung für KMU: vom Ist-Zustand zum Nachweis
Ein abgegrenztes Paket, das ein Schweizer KMU von der Unsicherheit zum dokumentierten Stand bringt: Datenflüsse und Dienstleister erfassen, Pflichten bestimmen, Verträge und Auslandübermittlungen prüfen, Datenschutzerklärung-Grundlage liefern und klare Abläufe für Datenschutzverletzungen und Auskunftsbegehren festlegen.
DSGVO- & revDSG-Audit für SaaS
Ein Datenschutz-Audit für SaaS prüft, ob Datenflüsse, Auftragsverarbeitung, Löschkonzept und technische Massnahmen DSGVO- und revDSG-konform sind. Ergebnis ist ein konkreter Befund mit priorisierten Korrekturen — aus Sicht von Leuten, die selbst SaaS betreiben.
Häufige Fragen
Muss jede Datenschutzverletzung gemeldet werden?
Nein. In der Schweiz ist an den EDÖB zu melden, wenn voraussichtlich ein hohes Risiko für die Betroffenen besteht. Unter der DSGVO ist zu melden, ausser ein Risiko ist unwahrscheinlich. Jeder Vorfall sollte aber beurteilt und dokumentiert werden.
Ab wann läuft die 72-Stunden-Frist?
Unter der DSGVO ab dem Zeitpunkt, an dem der Verantwortliche Kenntnis von der Verletzung erlangt. Das revDSG kennt keine feste Stundenfrist, verlangt aber eine Meldung so rasch als möglich.
Was gilt, wenn wir Auftragsbearbeiter sind?
Auftragsbearbeiter melden die Verletzung dem Verantwortlichen so rasch als möglich. Die Meldung an die Behörde und die Information der Betroffenen liegen beim Verantwortlichen.
Senkt Verschlüsselung die Meldepflicht?
Sie kann das Risiko für Betroffene erheblich senken, wenn die Daten nach Stand der Technik verschlüsselt und die Schlüssel nicht kompromittiert sind. Das fliesst in die Risikobeurteilung ein.
Weitere Checklisten
Checkliste: Sicherheit vor dem SaaS-Go-live
Vor dem Go-live eines SaaS-Produkts müssen acht Punkte stimmen: getestete Mandantentrennung auf Datenebene, sichere Authentifizierung mit Mehrfaktor, Geheimnisse ausserhalb des Codes, aktuelle Abhängigkeiten, Backups mit getesteter Wiederherstellung, Protokollierung sicherheitsrelevanter Ereignisse, Schutz vor Missbrauch und ein vorbereiteter Ablauf für Sicherheitsvorfälle.
Checkliste: eine KI-Nutzungsrichtlinie, die tatsächlich befolgt wird
Eine wirksame KI-Nutzungsrichtlinie regelt in kurzer, verständlicher Form: welche Werkzeuge zugelassen sind, welche Daten hineingehören und welche nicht, dass Menschen Ergebnisse prüfen und verantworten, wann KI-Einsatz offengelegt wird, wie neue Werkzeuge freigegeben werden, welche Schulung es gibt, wie Vorfälle gemeldet werden und wann die Richtlinie überprüft wird.
Checkliste: KI-Anbieter und KI-Funktionen prüfen, bevor sie eingesetzt werden
Vor dem Einsatz eines KI-Dienstes sind zehn Fragen zu klären: Wird auf eigenen Daten trainiert, wo werden Daten verarbeitet, wie lange werden Eingaben gespeichert, gibt es einen Auftragsbearbeitungsvertrag, wie ist die Sicherheit belegt, welche Rolle hat man nach AI Act, welche Dokumentation liefert der Anbieter, wie werden Modellwechsel angekündigt, wie werden Kosten begrenzt und wie steigt man wieder aus.