Datenschutzverletzung: melden oder nicht?
Eine Verletzung der Datensicherheit ist dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich zu melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Die betroffenen Personen sind zu informieren, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt.
Rechtsstand: Juli 2026
Was als Verletzung gilt
Jede Verletzung der Datensicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.
Das umfasst nicht nur den Hackerangriff: auch der verlorene Laptop, die falsch adressierte E-Mail mit Kundenliste, der offen im Netz stehende Ordner, der gekündigte Mitarbeiter mit noch aktivem Zugang.
Die Schwelle: hohes Risiko
Meldepflichtig ist nicht jeder Vorfall, sondern nur derjenige mit voraussichtlich hohem Risiko für die betroffenen Personen.
Dafür sprechen: besonders schützenswerte Daten wie Gesundheits-, Religions- oder biometrische Daten, grosse Zahl Betroffener, Gefahr von Identitätsdiebstahl oder finanziellem Schaden, unverschlüsselte Daten. Dagegen spricht, wenn die Daten wirksam verschlüsselt waren und der Schlüssel sicher blieb. Halten Sie Ihre Einschätzung schriftlich fest — auch die Entscheidung, nicht zu melden, muss begründbar sein.
Die ersten Stunden
Erstens eindämmen: Zugang sperren, Passwörter zurücksetzen, betroffene Systeme isolieren. Zweitens dokumentieren: was ist passiert, wann, welche Daten, wie viele Personen, wie entdeckt.
Drittens bewerten: Risiko einschätzen, Meldepflicht prüfen. Viertens melden, wenn nötig. Fünftens beheben und die Lücke schliessen. Die Dokumentation ist dabei kein Nebenschauplatz — sie ist die Grundlage jeder späteren Rechtfertigung.
Die Meldung an den EDÖB
Sie erfolgt so rasch als möglich über das Meldeportal des EDÖB. Anzugeben sind Art der Verletzung, Zeitpunkt, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, mögliche Folgen und die getroffenen oder geplanten Massnahmen.
Sind noch nicht alle Angaben verfügbar, melden Sie zuerst das Bekannte und reichen den Rest nach. Warten, bis alles geklärt ist, widerspricht dem «so rasch als möglich».
Die betroffenen Personen informieren
Sie sind zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Erforderlich ist es typischerweise dann, wenn die Betroffenen selbst etwas tun können — Passwort ändern, Karte sperren, Kontoauszüge prüfen.
Schreiben Sie klar und ohne Beschönigung: was passiert ist, welche Daten betroffen sind, was Sie unternommen haben, was die Person tun sollte, und wo sie sich melden kann. Eine verschleiernde Mitteilung richtet mehr Schaden an als der Vorfall selbst.
Der Auftragsbearbeiter
Bearbeitet ein Dienstleister die Daten für Sie, muss er Ihnen eine Verletzung so rasch als möglich melden. Die Meldung an den EDÖB bleibt aber Ihre Aufgabe als Verantwortlicher.
Stellen Sie deshalb sicher, dass diese Meldepflicht im Vertrag steht — mit einer konkreten Frist. Ohne sie erfahren Sie von einem Vorfall unter Umständen erst, wenn er bereits öffentlich ist.
Häufige Fragen
Muss ich jeden Vorfall melden?
Nein, nur wenn voraussichtlich ein hohes Risiko für die betroffenen Personen besteht. Die Einschätzung sollten Sie schriftlich festhalten.
Wie schnell muss die Meldung erfolgen?
So rasch als möglich. Fehlende Angaben können nachgereicht werden — abwarten, bis alles geklärt ist, ist keine Option.
Muss ich die Betroffenen informieren?
Wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Faustregel: immer dann, wenn die Betroffenen selbst etwas tun können.
Wer meldet, wenn der Dienstleister betroffen ist?
Er meldet an Sie, Sie melden an den EDÖB. Die Pflicht des Dienstleisters gehört mit Frist in den Vertrag.
Passende Dokumente zum Fixpreis
Im Detail
Dieser Artikel gibt den Überblick. Die einzelnen Schritte sind hier ausführlich erklärt:
Begriffe aus diesem Bereich
Alles zum Thema Onlineshop, AGB und Datenschutz — Ratgeber, Begriffe und passende Werke auf einen Blick. Läuft bei Ihnen eine Frist? Fristen-Rechner öffnen.
© LexWerk.ch Stand: 29.07.2026
Dieser Ratgeber bietet allgemeine Informationen und ersetzt keine individuelle Rechtsberatung. Für Ihren konkreten Fall erstellen wir das passende Dokument zum Fixpreis.