Datenpanne melden Schweiz: EDÖB und Ablauf

Datenpanne melden Schweiz: wann an den EDÖB?

Sie melden eine Datenpanne beim EDÖB, wenn Personendaten verloren gingen oder offengelegt wurden und ein hohes Risiko für die Betroffenen wahrscheinlich ist. Nutzen Sie das Bundesportal databreach.edoeb.admin.ch und reichen Sie die Meldung so rasch als möglich ein. Die Schweiz kennt keine feste 72-Stunden-Frist wie die DSGVO. Jeden ernsthaften Vorfall dokumentieren Sie intern mindestens zwei Jahre, meldepflichtig oder nicht.

Der Text richtet sich an Geschäftsleitung, HR und die Datenschutz-Ansprechperson in einem KMU mit etwa 20 bis 250 Mitarbeitenden. Auslöser kann eine falsche E-Mail, ein verlorenes Gerät oder Ransomware sein. Das ist Einordnung, keine Rechtsauskunft.

1. Eindämmen

   Weiteren Verlust oder Zugriff stoppen.

2. Bewerten

   Datenarten, Anzahl Personen, wahrscheinlicher Schaden.

3. Dokumentieren

   Fakten, Zeitachse, Entscheide.

4. EDÖB

   Bei wahrscheinlich hohem Risiko über das Portal, so rasch als möglich.

5. Betroffene

   Informieren, wenn sie handeln müssen.

Wann die Meldung beim EDÖB fällig ist

Art. 24 DSG verpflichtet den Verantwortlichen zur Meldung, wenn voraussichtlich ein hohes Risiko für Persönlichkeit oder Grundrechte der Betroffenen besteht. Der EDÖB-Leitfaden nennt Faktoren wie Sensibilität, Identifizierbarkeit, Schwere für die Person und Vertrauenswürdigkeit des Empfängers.

Sie melden nicht, weil ein deutscher Artikel es so schreibt oder ein Versicherungsformular «Vorfall» erwähnt. Sie melden, wenn die Schweizer Risikoschwelle erreicht ist. Ist das unklar, halten Sie die Begründung schriftlich fest und holen Sie Beratung, bevor Sie schweigen.

Ist jede Panne meldepflichtig?

Nein. Ein Tippfehler in einer internen Verteilerliste, die nie das Unternehmen verliess, ist nicht dasselbe wie ein Lohnexport auf einer öffentlichen Leak-Liste. Der Leitfaden fragt, ob Schaden für Betroffene wahrscheinlich und ernst ist. Gesundheitsdaten, vollständige Identitätssätze, noch gültige Zugangsdaten und Daten bei einem unbekannten Empfänger sprechen eher für eine Meldung. Ein verschlüsseltes Gerät unter Ihrer Kontrolle ohne Zugriffsspuren kann im internen Log bleiben. Grenzfälle halten Sie schriftlich fest, mit der Begründung zum Zeitpunkt der Entscheidung.

Zur falsch adressierten Mail: E-Mail an falschen Empfänger. Dort geht es um Empfänger und Inhalt, nicht um «immer melden».

Wie schnell ist «so rasch als möglich»?

Es gibt keine Schweizer Entsprechung zur 72-Stunden-Regel der DSGVO. «So rasch als möglich» heisst: sobald Sie den Vorfall glaubwürdig beschreiben können, ohne bei laufender Gefahr auf den abschliessenden Forensik-Bericht zu warten. Parallel arbeiten ist üblich: IT dämmt, Geschäftsleitung bewertet, jemand entwirft die Portal-Meldung.

Brauchen Sie einen Tag, um zu bestätigen, dass Verschlüsselung intakt war und niemand öffnete, nutzen Sie ihn. Liegen Kundenzugangsdaten im Internet, zählen Stunden mehr als Tage.

• Schweizer FristSo rasch als möglich

  Keine feste Stundenzahl im DSG. Dokumentieren Sie, wann Sie genug wussten.

• EU parallel72 Stunden

  Eigene Pflicht, wenn die DSGVO auf Ihre Bearbeitung gilt. Kein Ersatz für den Schweizer Schritt.

• Internes LogZwei Jahre

  Ab Meldung oder Entscheid gegen Meldung, Art. 15 Abs. 4 DSV.

Portal und Vorbereitung

Meldungen laufen über databreach.edoeb.admin.ch. Das Portal ist auf Deutsch, Französisch und Italienisch nutzbar. Ein Login pro Verantwortlichem reicht in der Regel. Vor dem Login sammeln Sie:

• Ihr Unternehmen als Verantwortlicher, Kontaktperson, UID
• Zeitpunkt des Vorfalls und der Entdeckung
• Kategorien und ungefähre Anzahl Betroffener
• Art der Verletzung (falscher Empfänger, Diebstahl, Ransomware usw.)
• Wahrscheinliche Folgen und bereits ergriffene Massnahmen
• Ob und wie Sie Betroffene informiert haben

Sie können die Meldung aktualisieren, wenn die Forensik später mehr zeigt. Bewahren Sie Kopien auf. Speichern Sie Referenz oder Bestätigung im selben Ordner wie das interne Log. Der EDÖB kann Rückfragen stellen. Ihre Kontaktperson bleibt erreichbar, auch wenn die erste Meldung «vorläufig» war.

Wer die Meldung im Betrieb vorbereitet

In vielen KMU mit 20 bis 250 Mitarbeitenden gibt es keine Datenschutzabteilung. Trotzdem braucht der EDÖB eine erreichbare Kontaktperson mit UID, Adresse und Telefon. Legen Sie im Voraus fest, wer das Portal bedient, wer die Geschäftsleitung informiert und wer Kundendienst oder HR bei Betroffeneninformation einbindet. IT liefert technische Fakten, HR kennt Mitarbeitendenlisten, Finanzen kennt Zahlungsdaten. Ein kurzes Protokoll aus der letzten Übung oder einem Near-Miss spart Stunden, wenn es ernst wird.

Haben Sie noch nie gemeldet, lesen Sie den Leitfaden einmal durch und speichern Sie den Link zum Portal im internen Handbuch. Das ersetzt keine Beratung, aber Sie wissen, welche Felder kommen und wer unterschreibt.

Betroffene informieren

Bei wahrscheinlich hohem Risiko informieren Sie die Betroffenen verständlich, soweit das Gesetz es verlangt. Was passiert ist, welche Daten, was Sie tun, was sie tun können (Passwörter, Konten, Kontakt). Eine sachliche Mail mit Namen und Telefon schlägt ein anonymes Template.

Internes Log auch ohne Meldung

Art. 15 Abs. 4 DSV verlangt Aufzeichnung auch nicht gemeldeter Verletzungen mit Tatsachen, Auswirkungen und Massnahmen, mindestens zwei Jahre ab Meldung oder Entscheid gegen Meldung. Prüfer und Versicherer fragen eher nach dem Log als nach der EDÖB-Bestätigung.

Was das nicht ist

EDÖB-Meldung ist nicht die BACS-Meldepflicht für kritische Infrastrukturen, die die meisten KMU nicht haben. Es ist nicht dieselbe Mitteilung an die Cyberversicherung, obwohl Sie beides brauchen können. Es ersetzt keine Strafanzeige bei Diebstahl oder Erpressung.

Wer vor dem Absenden Beratung braucht

Betriebe mit Gesundheitsdaten, grossen Lohnfiles oder Mandatsdaten sollten früh Beratung einbeziehen. Unterliegen Sie zusätzlich der DSGVO, weil Sie Waren oder Dienstleistungen an Personen in der EU anbieten, kann eine parallele EU-Meldung nötig sein. Das ist eine eigene Prüfung neben dem Schweizer Portal.

Ein erfundenes Beispiel: Ransomware mit Kundenexport

Ein erfundenes Beispiel: ein Metallbetrieb mit 62 Mitarbeitenden in der Ostschweiz. Sonntagnacht verschlüsselt Ransomware einen Fileserver. Montagmorgen steht die Produktion. IT trennt das Segment und findet ein exfiltriertes Zip mit 1’400 Kundenkontakten und Auftragshistorie auf einer Leak-Liste. Es wird nicht bezahlt. Montagnachmittag kennt die Geschäftsleitung Namen, Adressen, Auftragswerte und Telefonnummern auf Lieferscheinen. Hohes Risiko ist wahrscheinlich, weil die Daten öffentlich suchbar sind. Meldung über das Portal Montagabend, Kundeninformation Dienstag mit Hinweis auf Shop-Passwörter, Log-Ergänzung am Mittwoch nach Forensik.

Die Geschichte ist erfunden. Sie zeigt Melden bei laufender Untersuchung, nicht nach drei Wochen Stille.

Den nächsten Vorfall verkleinern

Nach dem Abschluss planen Sie Schulung zum Alltag mit Personendaten. Falsche Empfänger und schwache Zugriffe verursachen viele KMU-Pannen, bevor Ransomware ins Spiel kommt. Datenschutz Awareness behandelt DSG und DSGVO im Betrieb, Eskalation und Meldepflicht in verständlicher Sprache.