nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 22 E-DSG, welcher im revDSG als Art. 24 ausgestaltet ist.)

Artikel 22 E‑DSG führt die Pflicht zur Meldung von Verletzungen der Datensicherheit ein. Diese Bestimmung verwirklicht die Anforderungen von Artikel 7 Absatz 2 E‑SEV 108 sowie der Artikel 30 f. der Richtlinie (EU) 2016/680. Die Artikel 33 f. der Verordnung (EU) 2016/679 enthalten eine ähnliche Regelung.

Abs. 1 Begriff und Grundsatz

Nach Absatz 1 meldet der Verantwortliche dem Datenschutzbeauftragen so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Die vorliegende Bestimmung gilt sowohl für private Verantwortliche als auch für Bundesorgane, weshalb nicht nur von einem Risiko für die Persönlichkeit der betroffenen Person, sondern auch für deren Grundrechte die Rede ist.

Die Verletzung der Datensicherheit ist in Artikel 4 Buchstabe g E‑DSG definiert. Demnach handelt es sich dabei um eine Verletzung der Sicherheit, die, ungeachtet der Absicht oder der Widerrechtlichkeit, dazu führt, dass Personendaten verlorengehen, gelöscht oder vernichtet, verändert oder Unbefugten offengelegt oder zugänglich gemacht werden. Die Verletzung kann durch Dritte erfolgen, aber auch durch Mitarbeiter, die ihre Kompetenzen missbrauchen oder fahrlässig handeln. Durch eine Verletzung der Datensicherheit kann die betroffene Person die Kontrolle über ihre Daten verlieren, oder diese Daten werden missbraucht. Darüber hinaus kann sie auch zu einer Verletzung der Persönlichkeit der betroffenen Person führen, zum Beispiel indem geheime Informationen über sie bekannt werden. Dementsprechend gilt nach Artikel 26 Absatz 2 Buchstabe a E‑DSG eine Verletzung der Datensicherheit als Persönlichkeitsverletzung.

Auf diese Gefährdungen kann die betroffene Person nur reagieren, wenn sie von der Verletzung der Datensicherheit weiss. Daher muss der Verantwortliche prinzipiell eine unbefugte Bearbeitung melden, wobei die Meldung zunächst an den Beauftragten geht und nur unter den Voraussetzungen von Absatz 4 an die betroffene Person. Die Meldung hat ab dem Zeitpunkt der Kenntnisnahme so rasch als möglich zu erfolgen. Der Verantwortliche muss grundsätzlich schnell handeln, aber die Bestimmung gibt einen gewissen Ermessensspielraum. Massgebend ist dabei unter anderem das Ausmass der Gefährdung der betroffenen Person. Je erheblicher die Gefährdung, je grösser die Anzahl der betroffenen Personen, umso schneller muss der Verantwortliche handeln.

Die Meldung an den Beauftragten ist jedoch nur nötig, wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Dies soll verhindern, dass selbst unbedeutende Verletzungen gemeldet werden müssen. Der Verantwortliche muss dafür eine Prognose in Bezug auf die möglichen Auswirkungen der Verletzung für die betroffene Person stellen.

Abs. 2 Inhalt der Meldung

Absatz 2 enthält die Mindestanforderungen an eine Meldung an den Beauftragten. Der Verantwortliche muss zunächst die Art der Verletzung der Datensicherheit nennen, soweit ihm dies möglich ist. Dabei lassen sich vier Arten der Verletzung unterscheiden: die Vernichtung oder Löschung, der Verlust, die Veränderung und die Bekanntgabe von Daten an Unbefugte. Ebenfalls muss er die Folgen der Verletzung der Datensicherheit soweit als möglich umschreiben. Hierbei stehen die Folgen für die betroffene Person im Vordergrund; gemeint sind nicht diejenigen für den Verantwortlichen selbst. Schliesslich muss der Verantwortliche angeben, welche Massnahmen er aufgrund der Verletzung ergriffen hat bzw. welche Massnahmen er für die Zukunft vorschlägt. Dabei geht es um Massnahmen, welche die Verletzung beseitigen oder deren Folgen mildern. Insgesamt soll die Meldung dem Beauftragten erlauben, möglichst zeitnah und wirksam zu intervenieren.

Abs. 3 Meldung durch den Auftragsbearbeiter

Eine Verletzung der Datensicherheit kann auch beim Auftragsbearbeiter auftreten. Daher ist dieser nach Absatz 3 verpflichtet, dem Verantwortlichen so rasch als möglich jede unbefugte Datenbearbeitung zu melden. Es ist am Verantwortlichen, anschliessend eine Risikoabschätzung vorzunehmen und darüber zu entscheiden, inwieweit eine Meldepflicht gegenüber dem Beauftragten und der betroffenen Person besteht.

Abs. 4 Information an die betroffene Person

Grundsätzlich muss die betroffene Person nicht benachrichtigt werden. Gemäss Absatz 4 muss sie jedoch über die Verletzung der Datensicherheit informiert werden, wenn es zu ihrem Schutz erforderlich ist oder wenn der Beauftragte es verlangt. Dabei besteht ein gewisser Ermessensspielraum. Bedeutsam ist insbesondere, ob durch die Information die Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person reduziert werden können. Dies ist insbesondere der Fall, wenn die betroffene Person entsprechende Vorkehren zu ihrem Schutz treffen muss, zum Beispiel indem sie ihre Zugangsdaten oder Passwörterändert.

Abs. 5 Einschränkung der Pflicht zur Information der betroffenen Person

Der Verantwortliche kann nach Absatz 5 die Information an die betroffenen Person einschränken, aufschieben oder darauf verzichten, wenn einer der Gründe von Artikel 24 Absatz 1 Buchstabe b oder Absatz 2 Buchstabe b E‑DSG vorliegt oder eine gesetzliche Geheimhaltungspflicht dies verbietet (Bst. a.). Nach Absatz 5 Buchstabe b ist die Einschränkung ebenfalls zulässig, wenn die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert. Eine Information ist unmöglich, wenn der Verantwortliche gar nicht weiss, welche Personen von der Verletzung der Datensicherheit betroffen sind, beispielsweise weil die Logfiles, aus denen dies ersichtlich wäre, nicht mehr vorhanden sind. Ein unverhältnismässiger Aufwand würde beispielsweise vorliegen, wenn bei einer grossen Anzahl Betroffener diese einzeln informiert werden müssten und die dadurch verursachten Kosten im Verhältnis zum Informationsgewinn für die betroffene Person unverhältnismässig erschienen. Insbesondere in solchen Konstellationen kann Absatz 5 Buchstabe c zur Anwendung kommen, der dem Verantwortlichen erlaubt, die betroffenen Personen durch eine öffentliche Bekanntmachung zu informieren, wenn sie dadurch auf vergleichbare Weise informiert werden. Dies ist der Fall, wenn die Information der betroffenen Person durch eine individuelle Information nicht substantiell verbessert wird.

Abs. 6 Einverständnis des Meldepflichtigen

Die Meldepflicht nach Artikel 22 E‑DSG kann in Konflikt geraten mit dem Grundsatz, dass sich niemand selbst belasten muss. Absatz 6 sieht für diese Konstellation vor, dass eine Meldung, die in Erfüllung der Meldepflicht nach Artikel 22 E‑DSG erfolgt, in einem Strafverfahren gegen den Meldepflichtigen nur verwendet werden darf, wenn dieser damit einverstanden ist. Die Bestimmung erfasst sowohl Verantwortliche als auch Auftragsbearbeiter, die eine Verletzung der Datensicherheit melden.

Das 4. Kapitel regelt die Rechte der betroffenen Person. Spezifische Ansprüche gegenüber den privaten Verantwortlichen sind im 5. Kapitel festgelegt, solche gegenüber Bundesorganen im 6. Kapitel.