Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

diese Daten werden missbraucht. Darüber hinaus kann eine unbefugte Datenbearbeitung auch zu einer Verletzung der Persönlichkeit der betroffenen Person führen, zum Beispiel indem geheime Informationen über sie bekannt werden. Dementsprechend gilt nach

Artikel 23 Absatz 2 Buchstabe a eine Verletzung der Datensicherheit als

Persönlichkeitsverletzung.

Auf diese Gefährdungen kann die betroffene Person nur reagieren, wenn sie von der Verletzung des Datenschutzes weiss. Daher muss der Verantwortliche prinzipiell eine unbefugte Bearbeitung melden, wobei die Meldung zunächst an den Beauftragten geht und nur unter den Voraussetzungen von Absatz 2 an die betroffene Person. Die Meldung hat ab dem Zeitpunkt der Kenntnisnahme unverzüglich zu erfolgen. Der Verantwortliche muss grundsätzlich rasch handeln, aber die Bestimmung gibt einen gewissen

Ermessensspielraum. Massgebend ist dabei unter anderem das Ausmass der Gefährdung der betroffenen Person. Je erheblicher die Gefährdung, je grösser die Anzahl der betroffenen Personen, umso schneller muss der Verantwortliche handeln.

Die Meldung an den Beauftragten kann nur unterbleiben, wenn die Verletzung des

Datenschutzes voraussichtlich nicht zu einem Risiko für die Persönlichkeit und die

Grundrechte der betroffenen Person führt. Dadurch soll verhindert werden, dass selbst unbedeutende Verletzungen gemeldet werden müssen. Die Ausnahme ist jedoch eng auszulegen. Der Verantwortliche muss eine Prognose in Bezug auf die möglichen

Auswirkungen der Verletzung für die betroffene Person stellen und kann die Meldung nur unterlassen, wenn von der unbefugten Datenbearbeitung höchstwahrscheinlich keine Gefahr ausgeht.

Absatz 2 Mitteilung an die betroffene Person

Grundsätzlich muss die betroffene Person nicht benachrichtigt werden. Gemäss Absatz 2 muss sie jedoch über die Verletzung des Datenschutzes informiert werden, wenn es zum Schutz der betroffenen Person erforderlich ist oder der Beauftragte es verlangt. Dabei besteht ein gewisser Ermessensspielraum. Bedeutsam ist insbesondere, ob durch die Information die Risiken für die Persönlichkeit und die Grundrechte der betroffenen Person reduziert werden können. Dies ist insbesondere der Fall, wenn die betroffene Person entsprechende Vorkehren zu ihrem Schutz treffen muss, zum Beispiel indem sie ihre

Zugangsdaten oder Passwörter ändert.

Absatz 3 und 4

Der Verantwortliche kann nach Absatz 3 die Meldung der betroffenen Person einschränken, aufschieben oder darauf verzichten, wenn einer der Gründe von Artikel 14 Absätze 3 und 4 vorliegt (vgl. Ziff. 8.1.3.2).

Eine unbefugte Datenbearbeitung kann auch beim Auftragsbearbeiter erfolgen. Daher ist er nach Absatz 4 verpflichtet, dem Verantwortlichen jede unbefugte Datenbearbeitung zu melden. Es ist es am Verantwortlichen, anschliessend eine Risikoabschätzung vorzunehmen und darüber zu entscheiden, inwieweit eine Meldepflicht gegenüber dem Beauftragten und der betroffenen Person besteht.

Ein Verstoss gegen die Meldepflicht bei einer Verletzung des Datenschutzes wird

sanktioniert (siehe Art. 50 Abs. 2 Bst. d VE-DSG).

8.1.3.6 Art. 18 Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

Artikel 18 VE-DSG führt die Pflicht zum Datenschutz durch Technik sowie durch

datenschutzfreundliche Voreinstellungen ein. Die Bestimmung verwirklicht die

Anforderungen von Artikel 8 Ziffer 3 E-SEV 108 sowie von Artikel 20 Absatz 1 der Richtlinie (EU) 2016/680. Der Artikel 25 der Verordnung (EU) 2016/679 enthält eine ähnliche

Regelung.

Absatz 1 Datenschutz durch Technik

Absatz 1 verlangt vom Verantwortlichen und dem Auftragsbearbeiter, angemessene

Massnahmen zu treffen, die bereits ab der Planung einer Datenbearbeitung das Risiko von