1 Die Meldung einer Verletzung der Datensicherheit an den EDÖB muss folgende Angaben enthalten:
- a.
die Art der Verletzung;
- b.
soweit möglich den Zeitpunkt und die Dauer;
- c.
soweit möglich die Kategorien und die ungefähre Anzahl der betroffenen Personendaten;
- d.
soweit möglich die Kategorien und die ungefähre Anzahl der betroffenen Personen;
- e.
die Folgen, einschliesslich der allfälligen Risiken, für die betroffenen Personen;
- f.
welche Massnahmen getroffen wurden oder vorgesehen sind, um den Mangel zu beheben und die Folgen, einschliesslich der allfälligen Risiken, zu mindern;
- g.
den Namen und die Kontaktdaten einer Ansprechperson.
2 Ist es dem Verantwortlichen nicht möglich, alle Angaben gleichzeitig zu melden, so liefert er die fehlenden Angaben so rasch als möglich nach.
3 Ist der Verantwortliche verpflichtet, die betroffene Person zu informieren, so teilt er ihr in einfacher und verständlicher Sprache mindestens die Angaben nach Absatz 1 Buchstaben a und e–g mit.
4 Der Verantwortliche muss die Verletzungen dokumentieren. Die Dokumentation muss die mit den Vorfällen zusammenhängenden Tatsachen, deren Auswirkungen und die ergriffenen Massnahmen enthalten. Sie ist ab dem Zeitpunkt der Meldung nach Absatz 1 mindestens zwei Jahre aufzubewahren.