Art. 24 DSG — Meldung von Verletzungen der Datensicherheit

Art. 24 DSG — Meldung von Verletzungen der Datensicherheit

1 Der Verantwortliche meldet dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt.

2 In der Meldung nennt er mindestens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen.

3 Der Auftragsbearbeiter meldet dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit.

4 Der Verantwortliche informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.

5 Er kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn: a. ein Grund nach Artikel 26 Absatz 1 Buchstabe b oder Absatz 2 Buchstabe b vorliegt oder eine gesetzliche Geheimhaltungspflicht dies verbietet; b. die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert; oder c. die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist.

5bis Der EDÖB kann die Meldung mit dem Einverständnis des Verantwortlichen zur Analyse des Vorfalls an das Bundesamt für Cybersicherheit weiterleiten. Die Mitteilung kann Personendaten enthalten, einschliesslich besonders schützenswerter Personendaten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen betreffend den Verantwortlichen.

6 Eine Meldung, die aufgrund dieses Artikels erfolgt, darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden. {: .gesetzeszitat}

I. Bedeutung und Funktion

Art. 24 DSG statuiert die für Unternehmen und Behörden operativ bedeutsamste neue Pflicht der DSG-Totalrevision: die Meldung von Sicherheitsvorfällen (sog. Data Breaches) an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sowie — unter bestimmten Voraussetzungen — die Information der betroffenen Personen selbst. Anders als etwa sektorielle Meldepflichten im Finanzmarkt- oder Kritische-Infrastruktur-Bereich (z.B. gegenüber der FINMA oder dem Bundesamt für Cybersicherheit BACS) verfolgt die datenschutzrechtliche Meldepflicht nicht primär den Schutz kritischer Systeme, sondern den Individualschutz der von der Verletzung betroffenen Personen (vgl. Botschaft zum Bundesgesetz betreffend die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen, BBl 2023 84).

II. Abs. 1 und 2: Meldepflicht gegenüber dem EDÖB

1 Verletzung der Datensicherheit («Data Breach»): Nach der Legaldefinition von Art. 5 lit. h DSG liegt eine Verletzung der Datensicherheit vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. Massgebend sind drei Schutzziele: Vertraulichkeit (Zugänglichkeit nur für Berechtigte), Verfügbarkeit (Daten sind bei Bedarf verfügbar) und Integrität (keine unberechtigte oder unbeabsichtigte Veränderung). Eine Verletzung liegt vor, sobald mindestens eines dieser Schutzziele beeinträchtigt wird (BVGer A-3790/2024 vom 8. April 2026, E. 5.2.2).

2 Die Vertraulichkeit gilt bereits als beeinträchtigt, sobald die blosse Möglichkeit besteht, dass Personendaten für Unbefugte zugänglich sind — ob ein tatsächlicher Zugriff stattgefunden hat, ist irrelevant. Ebenso unbeachtlich ist, ob die Verletzung schuldhaft oder widerrechtlich herbeigeführt wurde oder durch Dritte oder den Verantwortlichen selbst verursacht ist (BVGer A-3790/2024, E. 5.2.2). So wurde eine Datensicherheitsverletzung bejaht, als über einen längeren Zeitraum kundenspezifische Support-URLs eines Online-Shops (mit Namen, E-Mail- und Postadressen, Kommunikationsinhalten, IBAN und Produktfotos) von einer Internetsuchmaschine indexiert und damit öffentlich auffindbar wurden, unabhängig davon, ob Dritte diese Daten tatsächlich abgerufen hatten (BVGer A-3790/2024, E. 5.3.1).

3 Schwellenwert «hohes Risiko»: Meldepflichtig ist nur eine Verletzung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person führt. Die Risikobeurteilung erfolgt prospektiv im Zeitpunkt der Kenntnisnahme und ist unabhängig von der (nachträglichen) Frage zu beantworten, ob sich das Risiko tatsächlich verwirklicht hat.

4 Meldeinhalt: Die Meldung an den EDÖB muss mindestens Angaben zur Art der Verletzung, deren Folgen sowie den ergriffenen oder vorgesehenen Massnahmen enthalten (Abs. 2); die Datenschutzverordnung konkretisiert diese Anforderungen (Art. 15 Abs. 3 DSV: Art der Verletzung, soweit möglich Zeitpunkt und Dauer, betroffene Datenkategorien und ungefähre Anzahl).

III. Abs. 3: Meldung durch den Auftragsbearbeiter

5 Wird die Datenbearbeitung an einen Auftragsbearbeiter ausgelagert, trifft diesen keine eigene Meldepflicht gegenüber dem EDÖB; er muss die Verletzung stattdessen so rasch als möglich dem Verantwortlichen melden, der seinerseits die Meldung an den EDÖB (Abs. 1) sowie gegebenenfalls die Information der betroffenen Personen (Abs. 4) vorzunehmen hat.

IV. Abs. 4 und 5: Information der betroffenen Person

6 Der Verantwortliche muss die betroffene Person informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB dies verlangt. Diese Informationspflicht ist von der Meldepflicht gegenüber dem EDÖB (Abs. 1) zu unterscheiden: Sie dient nicht der aufsichtsrechtlichen Kontrolle, sondern soll der betroffenen Person ermöglichen, selbst Schutzmassnahmen zu ergreifen (z.B. Passwortänderung, Kreditkartensperre).

7 Ausnahmen (Abs. 5): Der Verantwortliche kann die Information einschränken, aufschieben oder darauf verzichten, wenn ein Einschränkungsgrund nach Art. 26 DSG oder eine gesetzliche Geheimhaltungspflicht entgegensteht (lit. a), die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert (lit. b), oder die Information durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist (lit. c).

8 Grenzen der Unmöglichkeits-/Unverhältnismässigkeitseinrede: Hat der Verantwortliche selbst durch die zur Schadensbegrenzung getroffenen technischen Massnahmen (z.B. vollständige Sperrung der betroffenen URLs bei der Suchmaschine) die spätere Identifikation der einzelnen betroffenen Personen verunmöglicht, kann er sich nicht ohne Weiteres auf nachträgliche Unmöglichkeit nach Abs. 5 lit. b berufen, um jegliche Information zu unterlassen — der EDÖB kann in solchen Fällen anordnen, dass die Information zumindest durch öffentliche Bekanntmachung erfolgt (BVGer A-3790/2024, E. 6.2.1 ff.).

9 Öffentliche Bekanntmachung (lit. c): An deren Form stellt das Gesetz keine formalen Anforderungen; sie kann etwa durch ein gut sichtbares Banner auf der Webseite des Verantwortlichen, einen Beitrag in einem von den Betroffenen regelmässig frequentierten Online-Forum oder Anzeigen in Printmedien erfolgen, auch kumulativ über mehrere Kanäle. Inhaltlich ist über dieselben Aspekte wie bei der individuellen Information zu orientieren, damit die Information «in vergleichbarer Weise» sichergestellt ist. Praktisch kommt die öffentliche Bekanntmachung namentlich dort in Betracht, wo sich die betroffenen Personen nicht eruieren lassen oder deren individuelle Information unverhältnismässigen Aufwand erfordern würde — eine ausdrückliche gesetzliche Pflicht zur öffentlichen Bekanntmachung in solchen Fällen besteht jedoch nicht (BVGer A-3790/2024, E. 6.5, unter Verweis auf Mathys/Thomann, in: Blechta/Vasella [Hrsg.], Datenschutzgesetz-Öffentlichkeitsgesetz, Basler Kommentar, 4. Aufl. 2024, N 94 f. zu Art. 24).

10 Inhaltliche und sprachliche Anforderungen: Die Information muss mindestens Angaben zur Art der Verletzung, zu den Folgen für die betroffenen Personen (einschliesslich der Risiken) und zu den ergriffenen bzw. vorgesehenen Massnahmen enthalten, ferner Name und Kontaktdaten einer Ansprechperson. Sie sollte insbesondere aufzeigen, welche Massnahmen die betroffene Person selbst ergreifen kann oder muss. Die Information ist gemäss Art. 15 Abs. 3 DSV «in einfacher und verständlicher Sprache» zu vermitteln — der oft technisch geprägte Fachjargon des Datenschutzrechts darf einer durchschnittlichen betroffenen Person nicht zugemutet werden; Formvorschriften bestehen nicht, eine textlich nachweisbare Form empfiehlt sich aber (BVGer A-3790/2024, E. 6.5).

V. Abs. 5bis: Weiterleitung an das Bundesamt für Cybersicherheit

11 Mit Zustimmung des Verantwortlichen kann der EDÖB die Meldung zur Analyse des Vorfalls an das Bundesamt für Cybersicherheit (BACS) weiterleiten; diese Mitteilung darf auch besonders schützenswerte Personendaten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen des Verantwortlichen enthalten. Diese Bestimmung wurde erst nachträglich durch das Bundesgesetz über die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen eingefügt (in Kraft seit 1. April 2025) und schafft eine Brücke zur separaten, andersartig motivierten Meldepflicht für Cyberangriffe auf kritische Infrastrukturen: Während Letztere eine möglichst lückenlose Erfassung aller Vorfälle im Sinne einer Sicherheitskultur («just culture») anstrebt, verfolgt Art. 24 DSG den individuellen Persönlichkeitsschutz der betroffenen Personen. Ein Cyberangriff auf eine kritische Infrastruktur kann beide Meldepflichten gleichzeitig auslösen (Botschaft, BBl 2023 84).

VI. Abs. 6: Verwendungsverbot im Strafverfahren

12 Eine gestützt auf Art. 24 DSG erfolgte Meldung darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden. Diese Schutzbestimmung soll verhindern, dass die Erfüllung der Meldepflicht die meldepflichtige Person faktisch zur strafrechtlichen Selbstbelastung zwingt, und sichert damit die Funktionsfähigkeit der Meldepflicht als Instrument der Aufsicht statt der Strafverfolgung (Botschaft, BBl 2023 84).

Annotation

13 Keine Entlastung durch eigene Schadensbegrenzungsmassnahmen. Bemerkenswert an BVGer A-3790/2024 ist, dass das Gericht die Berufung auf nachträgliche Unmöglichkeit zurückwies, obwohl die Unmöglichkeit der Identifikation gerade Folge der vom Verantwortlichen selbst zur Schadensbegrenzung getroffenen — und für sich genommen sachgerechten — technischen Massnahmen war. Für die Praxis bedeutet dies, dass Verantwortliche bei der Wahl ihrer Sofortmassnahmen nach einem Data Breach von Anfang an mitbedenken müssen, ob und wie sie die spätere Erfüllung der Informationspflicht (sei es individuell oder über eine öffentliche Bekanntmachung) noch sicherstellen können; ein Verweis auf die Wirksamkeit der ergriffenen technischen Massnahmen allein befreit nicht von der Informationspflicht nach Abs. 4.

Spezialliteraturverzeichnis

MATHYS PATRICK/THOMANN LUCA, Kommentierung zu Art. 24 DSG, in: Blechta Gabriel/Vasella David (Hrsg.), Datenschutzgesetz-Öffentlichkeitsgesetz, Basler Kommentar, 4. Aufl., Basel 2024 (zitiert nach BVGer A-3790/2024, E. 5.2.2 und E. 6.5)