Datenpanne in der Schweiz: Meldung an den EDÖB

Eine Datenpanne ist rechtlich eine Verletzung der Datensicherheit. Art. 5 Bst. h DSG zählt auf, was darunter fällt: Personendaten gehen unbeabsichtigt oder widerrechtlich verloren, werden gelöscht, vernichtet oder verändert, oder Unbefugte erhalten Zugang zu ihnen. Verantwortlicher ist nach Art. 5 Bst. j DSG, wer über Zweck und Mittel der Bearbeitung entscheidet; Auftragsbearbeiter ist nach Art. 5 Bst. k DSG, wer im Auftrag des Verantwortlichen Personendaten bearbeitet.

Was Art. 24 DSG verlangt

Den Verantwortlichen treffen zwei Pflichten. Er meldet den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), sobald daraus voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte einer betroffenen Person entsteht (Abs. 1), und er unterrichtet die betroffene Person, wenn deren Schutz es erfordert oder der EDÖB es verlangt (Abs. 4). Eine dritte Pflicht trifft den Auftragsbearbeiter: Er muss dem Verantwortlichen jede Verletzung der Datensicherheit melden (Abs. 3).

Für die Meldung nennt Abs. 2 drei Mindestinhalte: Art der Verletzung, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Die vollständige Liste steht in Art. 15 Abs. 1 DSV.

Wen die Pflicht trifft

Das DSG gilt nach Art. 2 Abs. 1 für die Bearbeitung von Personendaten durch private Personen und durch Bundesorgane. Für ein privates Unternehmen ist der EDÖB die zuständige Behörde. Eine Mindestgrösse oder ein Sitz in der Schweiz steht in Art. 24 DSG nicht; entscheidend ist die Rolle als Verantwortlicher.

Drei Abgrenzungen sind praktisch wichtig:

• Kein Personenbezug. Sind nur Sachdaten ohne Bezug zu einer natürlichen Person betroffen, greift Art. 24 DSG nicht. Nach der Einleitung des EDÖB-Leitfadens gilt das auch für Daten über verstorbene Menschen, die keine Rückschlüsse auf lebende Personen zulassen.
• Wirksame Verschlüsselung. Nach Ziff. 1.6.1 des Leitfadens gelten wirksam verschlüsselte Daten für Unbefugte ohne Schlüssel als anonym; die Meldepflicht nach Art. 24 Abs. 1 DSG entfällt. Pseudonymisierte Daten bleiben Personendaten.
• Zusätzlich EU-Recht. Die DSGVO gilt nicht unmittelbar in der Schweiz; sie kann ein Unternehmen mit Sitz in der Schweiz aber treffen, wenn seine Bearbeitung unter Art. 3 Abs. 2 DSGVO fällt, etwa weil es Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet. In diesem Fall bleiben Sie nach DSG meldepflichtig und müssen zusätzlich die Meldung nach Art. 33 DSGVO prüfen; die eine Pflicht ersetzt die andere nicht.

Entscheidungsbaum: Wann Sie melden müssen

Arbeiten Sie die Schritte 1 bis 6 der Reihe nach ab; sie entscheiden allein über die Meldung an den EDÖB und enden, sobald diese Pflicht feststeht oder entfällt. Schritt 7 prüfen Sie in jedem Fall gesondert: die Information der Betroffenen und die Dokumentation hängen nicht am hohen Risiko.

1. Verletzung der Datensicherheit? Prüfen Sie die Fälle des Art. 5 Bst. h DSG: Daten gehen verloren, werden gelöscht, vernichtet oder verändert, oder sie werden Unbefugten offengelegt oder zugänglich gemacht. Ist nichts davon erfüllt, endet die Prüfung.
2. Personendaten lebender Personen betroffen? Reine Sachdaten ohne Personenbezug lösen keine Pflicht nach Art. 24 DSG aus.
3. Wirksam verschlüsselt und Schlüssel geschützt? Wenn ja, entfällt die Meldepflicht an den EDÖB (Ziff. 1.6.1 des Leitfadens); die Pflichten nach Schritt 7 prüfen Sie davon unabhängig weiter. Bei blosser Pseudonymisierung geht es weiter.
4. Voraussichtlich hohes Risiko? Massgebend sind nach Ziff. 1.6.1 des Leitfadens die am schwersten betroffenen Personen und die Sensibilität der Daten. Gesundheits- oder biometrische Daten nach Art. 5 Bst. c DSG, verlorene Identitätsdokumente und Kreditkartenangaben können ein hohes Risiko bedeuten.
5. Keine Abklärungen abwarten. Massnahmen, die Sie erst nach dem Vorfall planen, zählen nicht mit (Ziff. 1.6 des Leitfadens); länger dauernde Nachforschungen dürfen die Meldung nicht verzögern (Ziff. 1.3).
6. Pflichtmeldung oder freiwillige Meldung? Bejahen Sie das hohe Risiko, melden Sie dem EDÖB so rasch als möglich. Sonst dürfen Sie freiwillig melden (Ziff. 1.4 des Leitfadens).
7. Betroffene und Dokumentation, unabhängig von den Schritten 1 bis 6. Nach Ziff. 2 des Leitfadens ist die Informationspflicht nach Abs. 4 unabhängig vom hohen Risiko zu beurteilen; halten Sie den Vorfall ausserdem nach Art. 15 Abs. 4 DSV fest.

Diese Angaben muss die Meldung enthalten

Art. 15 Abs. 1 DSV zählt sieben Angaben auf; drei davon sind mit “soweit möglich” eingeschränkt.

Nr.	Angabe	Vorbehalt
a	Art der Verletzung	keine
b	Zeitpunkt und Dauer	soweit möglich
c	Kategorien und ungefähre Anzahl der betroffenen Personendaten	soweit möglich
d	Kategorien und ungefähre Anzahl der betroffenen Personen	soweit möglich
e	Folgen einschliesslich der allfälligen Risiken für die betroffenen Personen	keine
f	getroffene oder vorgesehene Massnahmen zur Behebung des Mangels und zur Minderung der Folgen	keine
g	Name und Kontaktdaten einer Ansprechperson	keine

Können Sie nicht alle Angaben gleichzeitig liefern, schicken Sie die fehlenden nach (Art. 15 Abs. 2 DSV). Für Pflichtmeldungen stellt der EDÖB nach Ziff. 1.5 des Leitfadens ein Meldeportal bereit, das die Übermittlung sichert, die Vollständigkeit der Angaben sicherstellt, den Zeitpunkt der Meldung bestätigt und Ergänzungen zulässt; freiwillige Meldungen erfolgen ausserhalb dieses Portals.

Wann Sie betroffene Personen informieren

Die Information der Betroffenen steht neben der Meldung an den EDÖB. Sie schulden sie nach Art. 24 Abs. 4 DSG, wenn sie zum Schutz der betroffenen Person erforderlich ist oder der EDÖB sie verlangt; ein voraussichtlich hohes Risiko ist dafür keine Voraussetzung. Nach Ziff. 2 des Leitfadens ist diese Pflicht unabhängig von der Meldepflicht nach Abs. 1 und dem dort genannten hohen Risiko auszulegen. Nach Ziff. 2.1 des Leitfadens besteht ein Schutzbedürfnis, wenn die Betroffenen selbst handeln können oder müssen, etwa ein Passwort ändern, eine Kreditkarte sperren oder Phishing-Mails prüfen.

Art. 24 Abs. 5 DSG lässt Ausnahmen zu: bei einer gesetzlichen Geheimhaltungspflicht oder einem Grund nach Art. 26 DSG, bei Unmöglichkeit oder unverhältnismässigem Aufwand sowie dann, wenn eine öffentliche Bekanntmachung die Information in vergleichbarer Weise sicherstellt. Von den Gründen des Art. 26 DSG kommt für ein privates Unternehmen Abs. 1 Bst. b in Betracht; Abs. 2 Bst. b betrifft Bundesorgane. Inhaltlich genügen nach Art. 15 Abs. 3 DSV die Art der Verletzung und die Angaben nach Abs. 1 Bst. e bis g.

Schweiz und DSGVO: zwei Meldepflichten nebeneinander

Die DSGVO gilt nicht unmittelbar in der Schweiz; sie kann ein Unternehmen mit Sitz in der Schweiz aber treffen, wenn seine Bearbeitung unter Art. 3 Abs. 2 DSGVO fällt, etwa weil es Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet. In diesem Fall bestehen beide Meldepflichten nebeneinander: die Meldung an den EDÖB nach Art. 24 Abs. 1 DSG und die Meldung an die nach Art. 51 DSGVO zuständige Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO. Die eine Pflicht ersetzt die andere nicht; prüfen Sie beide gesondert. Die DSGVO nennt dabei eine Stundenzahl, das DSG nicht.

Punkt	Schweiz: Art. 24 Abs. 1 DSG	EU: Art. 33 Abs. 1 DSGVO
Auslöser	voraussichtlich hohes Risiko für Persönlichkeit oder Grundrechte	voraussichtlich jedes Risiko für Rechte und Freiheiten; die Meldung entfällt nur, wenn kein Risiko zu erwarten ist
Frist	so rasch als möglich; keine Stundenzahl im DSG	unverzüglich und möglichst binnen 72 Stunden nach Kenntnis der Verletzung
Verspätung	keine Begründungspflicht im DSG	Begründung für die Verzögerung ist beizufügen
Adressat	EDÖB	zuständige Aufsichtsbehörde nach Art. 51 DSGVO
Betroffene	Information, wenn der Schutz es erfordert oder der EDÖB es verlangt (Abs. 4 und 5)	unverzügliche Benachrichtigung bei voraussichtlich hohem Risiko (Art. 34 DSGVO)

Welche Regeln für eine Datenpanne im EU-Bezug gelten, behandelt Datenpanne im ERP: 72 Stunden (EU).

Seit wann die Meldepflicht gilt

Art. 24 DSG gilt in der Fassung des revidierten Datenschutzgesetzes seit 1. September 2023; die konsolidierte Fassung, die diesem Artikel zugrunde liegt, trägt den Stand 7. Juli 2025. Für die hier genannten Artikel der Datenschutzverordnung gilt dasselbe Datum; die gelesene Fassung trägt den Stand 1. Dezember 2025.

Abs. 5bis von Art. 24 DSG wurde durch das Bundesgesetz vom 29. September 2023 über die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen eingefügt und gilt seit 1. April 2025. Er erlaubt dem EDÖB, eine Meldung mit dem Einverständnis des Verantwortlichen zur Analyse an das Bundesamt für Cybersicherheit weiterzuleiten.

Was bei einem Verstoss droht

Die blosse Missachtung der Meldepflicht nach Art. 24 Abs. 1 DSG ist nicht strafbewehrt; Ziff. 1.8 des EDÖB-Leitfadens sagt das ausdrücklich. Der EDÖB kann die Nachholung der Meldung und die nachträgliche Information der Betroffenen verfügen (Art. 51 Abs. 3 Bst. f DSG); Untersuchungsverfahren und Verfügungen richten sich nach dem Verwaltungsverfahrensgesetz (Art. 52 Abs. 1 DSG).

Strafbar wird der Fall an zwei anderen Stellen. Wer einer unter Hinweis auf die Strafdrohung ergangenen Verfügung des EDÖB vorsätzlich nicht Folge leistet, wird mit Busse bis zu CHF 250’000 bestraft (Art. 63 DSG). Und wer vorsätzlich die Mindestanforderungen an die Datensicherheit nicht einhält, die der Bundesrat nach Art. 8 Abs. 3 DSG erlassen hat und die im Abschnitt Datensicherheit der Datenschutzverordnung (Art. 1 bis 6 DSV) stehen, wird auf Antrag mit Busse bis zu CHF 250’000 bestraft (Art. 61 Bst. c DSG). Die Strafe knüpft an die fehlende Sicherheitsmassnahme an, nicht an die Meldung.

Zwei Nebenfolgen prägen die Formulierung der Meldung. Nach Art. 24 Abs. 6 DSG darf sie in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden; nach Ziff. 1.8 des Leitfadens gilt das auch für freiwillige Meldungen. Nach Ziff. 1.7 des Leitfadens sind Meldungen und der Austausch mit dem EDÖB im Grundsatz amtliche Dokumente nach dem Öffentlichkeitsgesetz. Beschreiben Sie den Vorfall deshalb so, dass eine spätere Veröffentlichung Ihrem Betrieb nicht schadet.

Checkliste für Ihren Betrieb

• Halten Sie fest, wer nach Art. 5 Bst. j DSG Verantwortlicher ist; bei einem SaaS-ERP prüfen Sie das anhand von Zweck und Mitteln der Bearbeitung.
• Legen Sie vorab fest, wer den Vorfall aufnimmt, die Risikobeurteilung vornimmt und die Meldung auslöst.
• Prüfen Sie bei einem Vorfall zuerst Personenbezug und Verschlüsselung, dann die Risikohöhe; das entscheidet über die Meldung an den EDÖB.
• Melden Sie bei voraussichtlich hohem Risiko ohne längere Abklärungen; Nachlieferungen sind zulässig.
• Prüfen Sie zusätzlich, ob die Bearbeitung unter die DSGVO fällt (Art. 3 DSGVO); dann trifft Sie die Meldung nach Art. 33 DSGVO mit ihrer 72-Stunden-Frist daneben.
• Beurteilen Sie die Information der Betroffenen unabhängig von den vorstehenden Prüfungen (Art. 24 Abs. 4 DSG); sie hängt nicht am hohen Risiko.
• Stimmen Sie mit dem Auftragsbearbeiter ab, wie er Sie nach Art. 24 Abs. 3 DSG informiert, und lassen Sie das im Vertrag festhalten.
• Dokumentieren Sie Tatsachen, Auswirkungen und Massnahmen und bewahren Sie die Dokumentation ab der Meldung mindestens zwei Jahre auf (Art. 15 Abs. 4 DSV).

Klären Sie die Risikobeurteilung im Einzelfall mit Ihrer Datenschutzberatung; sie hängt an Umständen, die dieser Artikel nicht kennt. Für die Bearbeitung im ERP gelten daneben die Aufbewahrungs- und Löschfristen, die das Löschkonzept für Schweizer ERP-Daten zusammenstellt, und für Daten in ausländischen Clouds die Regeln der Datenbekanntgabe ins Ausland.