Rechtsprechung zu Art. 24 DSG

I. Leitentscheide

• Begriff der Datensicherheitsverletzung, Grenzen der Unmöglichkeitseinrede und Anforderungen an die öffentliche Bekanntmachung BVGer A-3790/2024 vom 8. April 2026 Grundlegender, bislang soweit ersichtlich einziger Leitentscheid zu Art. 24 DSG. Eine Verletzung der Datensicherheit (Art. 5 lit. h DSG) liegt vor, sobald eines der drei Schutzziele Vertraulichkeit, Verfügbarkeit oder Integrität beeinträchtigt wird; die Vertraulichkeit gilt bereits bei blosser Zugriffsmöglichkeit für Unbefugte als beeinträchtigt, unabhängig von Verschulden oder tatsächlichem Zugriff (E. 5.2.2, 5.3.1). Ein Verantwortlicher, der durch eigene Schadensbegrenzungsmassnahmen die Identifikation einzelner betroffener Personen verunmöglicht hat, kann sich nicht auf Unmöglichkeit nach Art. 24 Abs. 5 lit. b DSG berufen, um jede Information zu unterlassen; der EDÖB kann eine öffentliche Bekanntmachung anordnen (E. 6.2.1 ff.). Zu Form und Inhalt der öffentlichen Bekanntmachung sowie der individuellen Information: E. 6.5. Bestätigung der EDÖB-Verfügung, Beschwerde abgewiesen.

Letzte Aktualisierung: 2026-08-07