Der EDÖB hat am 7. Februar 2025 einen auf den 6. Februar 2025 datierten achtseitigen “Leitfaden betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG” veröffentlicht:
Der Leitfaden betrifft die Pflichten im Fall einer Verletzung der Datensicherheit i.S.v. Art. 5 lit. h DSG, also nur, wenn Personendaten betroffen sind. Andere Meldepflichten bspw. nach Art. 29 Abs. 2 FINMAG, nach der revidierten Fassung des ISG usw. sind nicht Gegenstand des Leitfadens.
Information der Verantwortlichen
Gegenstand der Meldung: Der Leitfaden bleibt hier sehr knapp und verweist auf Art. 15 DSV.
Meldepflicht und Melderecht:
- Der EDÖB nimmt freiwillige Meldungen bei tieferen Risiken entgegen, besonders wenn ein mediales Interesse bestehen kann (wovon i.d.R. aber abzuraten ist, ausser bei Fällen mit ohnehin drohender Medienöffentlichkeit, weil der EDÖB dem BGÖ unterliegt [siehe unten] und Medien weitere Angaben verlangen können, und das auch regelmässig tun, und weil der EDÖB bei der Veröffentlichung sehr freigiebig ist). Freiwillige Meldungen können leider nach wie vor nicht über das Meldeformular des EDÖB für Verletzungen erfolgen, weshalb zumindest solche Meldungen in anderer Form erfolgen sollten.
- Eine Meldepflicht besteht bei “hohen Risiken”. Weil das DSG Risikostufen nicht einheitlich bestimmt, ist Art. 24 DSG sozusagen autonom auszulegen. Wann ein Risiko in diesem Sinne hoch ist, lässt der Leitfaden offen; er enthält nur Hinweise, wie das Risiko zu bestimmen ist (aber eben nicht, ab wann es hoch ist):
- Zu berücksichtigen seien keine Massnahmen, die erst nach der Verletzung ergriffen werden. “In der bisherigen Praxis” habe der EDÖB aber auch Sofortmassnahmen berücksichtigen können, die noch vor der Meldung wirksam wurden. Das scheint weiterhin zu gelten, auch wenn der Leitfaden gerade hier eine klare Aussage vermissen lässt. Dass solche Massnahmen beachtlich sind, ergibt sich aber nicht nur daraus, dass der EDÖB auf seine “frühere” Praxis verweist, davon aber gerade nicht klar abrückt, sondern auch aus dem Normzweck der Meldepflicht. Es ist daher wohl richtig, das Erfordernis des hohen Risikos auf den Zeitpunkt der Meldung und nicht oder nicht nur des Eintritts der Verletzung zu beziehen. “Im Zweifel” sei aber zu melden und nicht zuzuwarten.
- Schwere der Folgen: Diese sei zu bestimmen abhängig von
- der Schutzwürdigkeit der Daten;
- der Art und der Umstände der Verletzung;
- des Kreises und der Motive unberechtigter Dritter;
- des Aufwands für die Bestimmung der Betroffenen (eine Bekanntgabe von für Empfänger anonymen – bspw. wirksam verschlüsselten – Daten falle nicht unter Art. 24 DSG, wie der EDÖB zu Recht festhält);
- der Menge der Daten und der Bearbeitungsdauer (weshalb letzteres, ist unklar und fraglich);
- der möglichen ideellen und wirtschaftlichen Nachteile;
- der Vulnerabilität Betroffener; und
- der Gesamtmenge der betroffenen Personen und Daten.
- Eintrittswahrscheinlichkeit: Hier geht es um eine Einschätzung, weshalb der Verantwortliche nicht zuwarten darf, bis Gewissheit besteht.
Meldefrist: Meldepflichtige Verletzungen sind möglichst rasch zu melden, ggf. stufenweise. Das Meldeportal kann verwendet werden, aber zwingend ist das nicht, und das Formular fragt auch nach nicht meldepflichtigen Angaben, die dann öffentlich werden können.
Vorgehen bei einer Meldung: Geht eine Meldung einer Verletzung ein,
- prüft der EDÖB summarisch, ob die getroffenen oder geplanten Massnahmen zum Schutz der Betroffenen angemessen erscheinen. Ggf. fordert der EDÖB auf, die Informationen zu präzisieren oder andere Massnahmen zu treffen, und der EDÖB kann mit dem Verantwortlichen in Kontakt treten, damit der Vorfall (z.B. durch Sicherung von Logdaten) dokumentiert wird;
- prüft er, ob betroffene Personen angemessen informiert werden, und der EDÖB kann die Öffentlichkeit über seine Feststellungen und Anordnungen informieren (ein Problem, weil es dazu führt, dass auch sinnvolle Meldungen eher unterlassen werden, und weil die Veröffentlichungspraxis des EDÖB enorm weit geht).
Öffentlichkeit: Der EDÖB weist ausdrücklich darauf hin, dass der Inhalt von Meldungen dem BGÖ unterliegt.
Sanktionen: Die Verletzung der Meldepflicht gegenüber dem EDÖB ist nicht sanktioniert (und sie stellt auch keine Persönlichkeitsverletzung dar). Strafbar wäre erst eine Zuwiderhandlung gegen eine Verfügung des EDÖB.
Information der Betroffenen
Nach Art. 24 Abs. 4 DSG muss der Verantwortliche Betroffene dann über eine Datenschutzverletzung informieren, wenn die Information zum Schutz der Betroffenen erforderlich ist (oder der EDÖB es anordnet):
Auslöser: Eine Mitteilung ist zum Schutz der Betroffenen erforderlich (entgegen eines Teils der Literatur, aber im Einklang mit dem BSK: auch dann, wenn keine Meldepflicht gegenüber dem EDÖB besteht, d.h. das Risiko nicht in diesem Sinne hoch ist),
- wenn diese Massnahmen zum Selbstschutz ergreifen sollten (z. B. Passwortänderung, Kreditkartensperrung, erhöhte Wachsamkeit wegen der Phishing-Gefahr) oder wenn Betroffene “in Unkenntnis der Lage […] mit dem Schlimmsten rechnen”, auch wenn das Risiko tief sein mag. Dass in einer solchen Situation eine Information rechtlich zwingend sein kann, begründet der EDÖB allerdings nicht weiter; die Botschaft sagt nichts dergleichen. Es dürfte ein seltener Fall sein; der EDÖB wird hier aber u.U. eine Mitteilung anordnen;
- wenn der EDÖB eine Mitteilung anordnet. Das kann er laut Leitfaden nicht etwa nur dann tun, wenn es der Schutz der Betroffenen erfordert, sondern auch, weil die Medien sich dafür interessieren:
Er kann sie darüber hinaus aber auch verlangen, weil nach seinem Dafürhalten wegen der grossen Anzahl von Betroffenen oder einer medialen Berichterstattung ein öffentliches Interesse daran besteht, dass die Verantwortlichen die hohe Anzahl von Betroffenen und damit indirekt auch eine breite Öffentlichkeit in geeigneter Weise mit näheren Informationen zu den Folgen einer Datensicherheitsverletzung versorgen.
Das ist abzulehnen. Die Anordnung des EDÖB ist als Massnahme gedacht, den Verantwortlichen zu seiner Erfüllung der Mitteilungspflicht anzuhalten; das geht sowohl aus der Gesetzessystematik als auch dem Normzweck als auch der Botschaft klar hervor. Es ergibt sich ferner aus Art. 57 Abs. 2 DSG: Der EDÖB kann – wenn ein ausreichendes öffentliches Interesse denn tatsächlich bestehen sollte – die Öffentlichkeit über seine “Feststellungen und Verfügungen” informieren. Der EDÖB kann eine Massnahme aber sicher nicht verfügen, nur um anschliessend darüber zu berichten, worauf seine Haltung aber hinausläuft. Die Aufgabe des EDÖB besteht darin, die Anwendung des lege artis auszulegenden DSG zu beaufsichtigen (Art. 4 Abs. 1 DSG), und nicht, den Medien zuzuarbeiten oder sich selbst als Medium zu verhalten. Eine Anordnung zur Mitteilung an Betroffene aus dieser Motivation heraus wäre deshalb rechtswidrig.
Art und Weise: Betroffene sind nach Art. 15 Abs. 3 DSV in “einfacher und verständlicher Sprache” und mit gewissen Mindestangaben zu informieren, aber Formvorschriften bestehen nicht. Ausnahmsweise kann eine öffentliche Bekanntmachung genügen, sofern die Information der einzelnen Betroffenen dadurch sichergestellt sei.