Was müssen wir nach einer Datenpanne in der Schweiz tun?

Zuerst: eindämmen, beurteilen, dokumentieren

Eine Datenschutzverletzung im Sinne des nDSG ist jede Verletzung der Datensicherheit, die dazu führt, dass Personendaten verloren gehen, gelöscht, verändert oder Unbefugten offengelegt werden — ein gehackter Server, ein verlorener Laptop, ein falsch adressiertes E-Mail, eine untreue Mitarbeiterin. Die ersten Pflichten sind operativ, nicht juristisch: die Blutung stoppen, Beweise sichern, verstehen, was geschehen ist. Isolieren Sie betroffene Systeme, ohne Logs zu zerstören, und stellen Sie ein kleines, entscheidungsfähiges Team zusammen — IT, Recht, Geschäftsleitung, bei Bedarf Spezialisten.

Dann beurteilen Sie ehrlich: Welche Datenkategorien sind betroffen, wie heikel sind sie, wie viele Personen sind berührt, und was kann diesen realistischerweise geschehen — Betrug, Identitätsmissbrauch, Reputations- oder Vermögensschaden? Diese Beurteilung steuert alle rechtlichen Pflichten, die folgen — halten Sie sie schriftlich fest. Dokumentation ist hier keine Bürokratie; sie erlaubt Ihnen später zu zeigen, dass Sie das Risiko ernsthaft geprüft und danach gehandelt haben, wie auch immer der Meldeentscheid ausfiel.

Trifft die Panne einen Dienstleister, der Daten für Sie bearbeitet, muss er Sie informieren — die Beurteilung und allfällige Meldungen bleiben Ihre Verantwortung. Prüfen Sie heute, nicht während eines Vorfalls, ob Ihre Auftragsbearbeitungsverträge das klar so vorsehen.

Wann der EDÖB — und die Betroffenen — informiert werden müssen

Das nDSG verlangt nicht, dass jede Panne gemeldet wird. Die Pflicht zur Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) entsteht, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt; die Meldung hat dann so rasch als möglich zu erfolgen. Ob die Schwelle erreicht ist, ist genau die Wertung, die Ihre dokumentierte Beurteilung trägt: verschlüsselte Daten auf einem verlorenen Gerät sind ein anderer Fall als eine abgeflossene Kundendatenbank mit Ausweisdokumenten.

Die betroffenen Personen sind zu informieren, wenn es zu ihrem Schutz erforderlich ist — typischerweise dann, wenn sie mit der Warnung etwas anfangen können, etwa Passwörter ändern oder auf Betrugsversuche achten — oder wenn der EDÖB es verlangt. Denken Sie daran, dass parallel andere Regimes gelten können, die strenger sind: die DSGVO der EU für Daten von EU-Ansässigen, vertragliche Meldeklauseln gegenüber Kunden und Partnern sowie aufsichtsrechtliche Erwartungen bei regulierten Instituten. Kartieren Sie diese Pflichten, bevor Sie entscheiden, dass «keine Meldung» die Antwort ist.

Kommunikationsdisziplin

Datenpannen werden zweimal verloren: einmal technisch, einmal in der Kommunikation. Die Regeln sind einfach und unter Stress schwer zu befolgen. Ein Team besitzt die Fakten; eine Stimme spricht. Sagen Sie, was Sie wissen, sagen Sie, was Sie noch nicht wissen, und spekulieren Sie nie — verfrühte falsche Beruhigung ist schlimmer als Schweigen und bleibt länger in Erinnerung als die Panne selbst. Halten Sie die Aussagen gegenüber EDÖB, Betroffenen, Kunden und Öffentlichkeit untereinander und mit Ihrer schriftlichen Beurteilung konsistent. Und ziehen Sie früh Rechtsberatung bei — bevor die erste externe Stellungnahme entworfen wird.

Worauf Sie achten sollten

Die Unternehmen, die Datenpannen gut bewältigen, haben alles im Voraus entschieden: ein Incident-Response-Plan mit benannten Rollen, Auftragsbearbeitungsverträge mit klaren Meldepflichten, eine Dokumentationsvorlage und eine Übung. Ob Sie gerade einen Vorfall bewältigen oder vorbereitet sein wollen, bevor einer geschieht — wir besprechen Ihre Situation gerne mit Ihnen.