Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

(Bst. e) und den vom Verantwortlichen getroffenen Massnahmen (Bst. f), muss der Verantwortliche bei der Information an die betroffene Person unter anderem auch Ausführungen dazu machen, welche Kategorien von Personendaten in ihrem Fall von der Verletzung betroffen sind und welche konkreten Massnahmen die betroffene Person selbst vorsehen kann (z. B. unverzügliche Passwortänderung, falls Anmeldedaten entwendet wurden oder Kreditkartensperre). Schliesslich muss der Verantwortliche den Namen und die Kontaktdaten einer Ansprechperson melden (Bst. g), welche als Anlaufstelle für die Kommunikation mit dem EDÖB als auch den betroffenen Personen fungiert.

Absatz 2 ermöglicht es dem Verantwortlichen, dem EDÖB die Informationen schrittweise zur Verfügung zu stellen, falls es dem Verantwortlichen nicht möglich sein sollte bei Entdeckung der Verletzung der Datensicherheit bereits alle Informationen gemäss Absatz 1 zu liefern. Da der Verantwortliche die Meldung gemäss Artikel 24 Absatz 1 nDSG «so rasch als möglich» abzusetzen hat, wird in der Praxis insbesondere bei den Informationen nach Absatz 1 Buchstaben b–d regelmässig das Problem auftreten, dass diese unmittelbar nach Entdeckung der Verletzung der Datensicherheit häufig noch gar nicht vorliegen. Daher wird es dem Verantwortlichen ermöglicht, dass er in einem ersten Schritt bei der Entdeckung der Verletzung so rasch als möglich nur die ihm bekannten Grundangaben liefert. Sobald ihm die restlichen Informationen vorliegen, die er ohne unangemessene weitere Verzögerung zu beschaffen hat, stellt er diese dem EDÖB schrittweise zur Verfügung.

In Absatz 3 wird festgehalten, welche Angaben der betroffenen Person gemacht werden müssen, falls gemäss Artikel 24 Absatz 4 nDSG eine Information an diese zu erfolgen hat. Weiter muss diese Information – im Vergleich zur Meldung an den Beauftragten – in möglichst einfacher und verständlicher Sprache mitgeteilt werden, da nicht vorausgesetzt werden kann, dass einer durchschnittlichen betroffenen Person der Fachjargon dieser technisch geprägten Materie geläufig ist. Die Meldung an den EDÖB ist dabei inhaltlich etwas breiter gefasst als die Information der betroffenen Personen, da sich Ersterer ein Bild über das Ausmass einer Verletzung der Datensicherheit verschaffen können muss.

Die Meldung erfolgt bei den Bundesorganen durch die Datenschutzberaterin oder den Datenschutzberater (Abs. 4). Die Bundesorgane haben somit durch Weisungen oder andere geeignete Instrumente sicherzustellen, dass die verantwortlichen Fachbereiche die Datenschutzberaterin oder den Datenschutzberater unverzüglich über Verletzungen der Datensicherheit informieren, damit diese oder dieser die Meldung gemäss Artikel 24 Absatz 1 nDSG so rasch als möglich vornehmen kann.

Absatz 5 sieht vor, dass alle mit der gemeldeten Verletzung der Datensicherheit zusammenhängenden Tatsachen, deren Auswirkungen und die ergriffenen Massnahmen zu dokumentieren sind. Die Unterlagen sind dabei ab dem Zeitpunkt der Meldung der Verletzung der Datensicherheit für mindestens drei Jahre aufzubewahren.

Im Zusammenhang mit der praktischen Umsetzung der Meldepflicht nach Artikel 24 nDSG ist darauf hinzuweisen, dass aufgrund von Erfahrungen ausländischer Aufsichtsbehörden bei der Umsetzung der ähnlich ausgestalteten Meldepflicht in Artikel 33 der Verordnung (EU)

2016/679 eine grosse Anzahl jährlicher Meldungen zu erwarten ist. So hat der Austausch mit dem Bayerischen Landesamt für Datenschutzaufsicht, dessen Zahlen sich in etwa auf die Schweiz projizieren lassen, ergeben, dass um die 6000 Meldungen pro Jahr eingehen könnten. Damit den Verantwortlichen eine strukturierte Meldemöglichkeit angeboten und die Masse von Meldungen möglichst effizient abgearbeitet werden kann, arbeitet der EDÖB derzeit an der Entwicklung einer webbasierten Meldeoberfläche, voraussichtlich in Form eines interaktiven Formulars. Im Rahmen dieses Projektes prüft der EDÖB derzeit auch die