Datensicherheit und Datenschutzverletzungen

Selbst das beste Datenschutzkonzept nützt wenig, wenn Daten in falsche Hände geraten. Das DSG verpflichtet deshalb alle, die Personendaten bearbeiten, zu angemessener Datensicherheit.

Was das Gesetz verlangt (Art. 8)

Verantwortliche und Auftragsbearbeiter müssen mit geeigneten technischen und organisatorischen Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten. Die Datenschutzverordnung (DSV) nennt als Ziele die Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit der Daten (Art. 1–3 DSV). In bestimmten Fällen, etwa bei umfangreicher automatisierter Bearbeitung besonders schützenswerter Daten, sind Bearbeitungen zu protokollieren (Art. 4 DSV). Typische Massnahmen sind:

• Zugriffsrechte nach dem Grundsatz «so viel wie nötig»,
• Verschlüsselung von Geräten und Datenübertragungen,
• regelmässige Sicherungskopien und Software-Updates,
• Schulung der Mitarbeitenden.

Wer die Mindestanforderungen der DSV vorsätzlich nicht einhält, kann auf Antrag gebüsst werden (Art. 61 Bst. c).

Was eine Verletzung der Datensicherheit ist

Eine Verletzung liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, verändert oder Unbefugten zugänglich werden (Art. 5 Bst. h). Beispiele sind ein Hackerangriff, eine E-Mail an den falschen Empfänger oder ein verlorener, unverschlüsselter Laptop.

Meldung an den EDÖB (Art. 24)

• Der Verantwortliche meldet dem EDÖB so rasch als möglich eine Verletzung, die voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Eine feste Stundenfrist wie in der EU gibt es nicht.
• Die Meldung nennt mindestens die Art der Verletzung, die Folgen und die getroffenen Massnahmen.
• Auftragsbearbeiter melden jede Verletzung umgehend dem Verantwortlichen.
• Betroffene Personen sind zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.

Was Sie selbst tun können

Erfahren Sie, dass Ihre Daten von einem Datenleck betroffen sind:

• Ändern Sie das betroffene Passwort und überall dort, wo Sie es ebenfalls verwenden.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung.
• Rechnen Sie mit gezielten Phishing-Nachrichten, die sich auf den Vorfall beziehen.
• Prüfen Sie Konto- und Kreditkartenauszüge.
• Verlangen Sie Auskunft darüber, welche Daten über Sie gespeichert waren (Art. 25).

Informiert ein Unternehmen nicht, obwohl ein hohes Risiko besteht, können Sie dies dem EDÖB anzeigen.

Zum Gesetzestext: Art. 24 DSG – zur Anzeige: Meldung an den EDÖB.