Ihr Mitarbeiter hat einen USB-Stick mit sensiblen Personendaten im Café vergessen oder eine vertrauliche E-Mail an Aussenstehende verschickt? Seit dem 1. September 2026 muss uns jede Behörde über derlei Geschehnisse informieren. Was genau gilt und wie Sie vorgehen müssen, erfahren Sie auf dieser Seite.
Was ist ein Datensicherheitsvorfall?
Eine «Verletzung der Datensicherheit» (auch «Datensicherheitsvorfall» oder «Datenschutzvorfall») liegt vor, wenn Sie Personendaten
- verlieren,
- unbeabsichtigt oder unberechtigt löschen/vernichten/verändern,
- Unbefugten offenlegen oder zugänglich machen.
Vorkommnisse dieser Art sind uns bzw. der zuständigen Datenschutzbehörde zu melden, wenn sie zu einem hohen Risiko für die Betroffenen führen können.
Wann gilt ein Risiko als hoch?
Nehmen Sie eine Risikoeinschätzung vor: Wie schwerwiegend sind die möglichen Folgen für betroffene Personen – und wie wahrscheinlich ist es, dass sie eintreten? Sind die Schäden sehr theoretisch und nicht realistisch, besteht kein hohes Risiko. Zur Bewertung der Folgenschwere sind massgeblich:
- die Art der Datensicherheitsverletzung
- die Sensibilität der betroffenen Daten (z. B. einfache Adresse vs. Gesundheitsdaten)
- die Möglichkeit, mit den Daten weiteren Schaden anzurichten (z. B. mittels sogenannten «Phishings» – also des Kontaktierens der Betroffenen, um an weitere Daten zu gelangen)
- die Eigenschaften der betroffenen Personen (z. B. Sozialhilfe beziehend, erkrankt, inhaftiert)
- die Eigenschaften der vom Vorfall betroffenen Behörde (Polizei, KESB usw. verarbeiten i. d. R. sensible Personendaten)
Wie viele Personen betroffen sind, spielt für die Beurteilung des Risikos keine Rolle. Ebenfalls unerheblich ist, ob die Verletzung der Datensicherheit noch anhält oder schon beseitigt wurde.
Wie und wann melden Sie die Vorfälle?
Falls es in Ihrer Behörde zu einem Datensicherheitsvorfall mit potenziell hohem Risiko gekommen ist, müssen Sie diesen melden – möglichst innerhalb von 72 Stunden seit dessen Bekanntwerden. Nutzen Sie hierfür unser Meldeformular (das demnächst durch ein Web-Formular ersetzt wird).
Sind Sie unsicher, ob ein hohes Risiko besteht, melden Sie den Vorfall vorsichtshalber trotzdem. Beauftragte Dritte (z. B. Softwareanbieter oder IT-Dienstleister) melden Vorfälle unverzüglich an die auftraggebende Behörde.
Was machen wir mit Ihrer Meldung?
Eine wichtige Botschaft vorab: Fehler passieren. Selbst bei noch so gewissenhaftem Datenmanagement kann es zu Vorfällen kommen – sei es durch Unachtsamkeit oder besonders gewiefte Angreifer. Wichtig ist, dass Sie uns darüber informieren. So können wir gemeinsam mit Ihnen das weitere Vorgehen besprechen: Welche Sofortmassnahmen sind nötig? Müssen die Betroffenen informiert werden? Wie lassen sich Vorfälle dieser Art künftig noch besser verhindern? Die Meldepflicht ist nicht dazu da, Sie zu sanktionieren, sondern zu beraten.