A. Sofort (in jedem Fall)
☐ Zeitpunkt der Kenntnisnahme, Art, Dauer und Umfang der Verletzung dokumentieren
☐ Sofortmassnahmen ergreifen (Zugänge sperren, Passwörter ändern, Lücke schliessen, Protokolldaten sichern)
☐ Betroffene Datenkategorien und Personenkreise erfassen (besonders schützenswerte Daten, Ausweiskopien, Kreditkarten-/IBAN-Daten, Minderjährige)
☐ Auftragsbearbeiter einbinden (Informationspflicht gegenüber dem Verantwortlichen sicherstellen)
☐ Risikoanalyse schriftlich festhalten (nachträglich geplante Massnahmen ausblenden; im Zweifel hohes Risiko annehmen; nicht auf abschliessende Abklärungen warten)

B. Bei Meldung an den EDÖB
☐ Meldung so rasch als möglich über das Meldeportal DataBreach (www.edoeb.admin.ch/report) einreichen
☐ Angaben nach Art. 15 Abs. 1 DSV bereithalten: Art und Umfang, Zeitpunkt/Dauer, Datenkategorien, Folgen, ergriffene/geplante Massnahmen, Kontaktstelle
☐ Zeitbestätigung des Portals aufbewahren; fehlende Angaben nachmelden (Art. 15 Abs. 2 DSV)
☐ Rückfragen und Aufforderungen des EDÖB beantworten (sonst Untersuchung nach Art. 49 DSG / Massnahmen nach Art. 51 DSG möglich)
☐ Beachten: Meldungen sind grundsätzlich nach BGÖ zugänglich; Pflichtmeldung im Strafverfahren ohne Einverständnis nicht verwendbar (Art. 24 Abs. 6 DSG)

C. Bei Information der Betroffenen
☐ Direkt und individuell, in einfacher und verständlicher Sprache informieren (Art. 15 Abs. 3 DSV): Art der Verletzung, Folgen/Risiken, Massnahmen, Name und Kontakt einer Ansprechperson
☐ Konkrete Selbstschutzempfehlungen geben (Passwörter ändern, Karten sperren, Kontoauszüge und Phishing-Nachrichten kritisch prüfen)
☐ Ausnahmen nach Art. 24 Abs. 5 DSG nur bei Vorliegen prüfen und begründen; öffentliche Bekanntmachung nur bei vergleichbarer Information der Einzelnen
☐ Anzahl der Betroffenen ist irrelevant; Zeitablauf entbindet nicht, solange Schutzmassnahmen sinnvoll sind (BVGer A-3790/2024, Apfelkiste)

D. Abschluss
☐ Entscheid (Meldung/keine Meldung; Information/keine Information) mit Begründung dokumentieren
☐ Datensicherheitsmassnahmen überprüfen (Art. 8 DSG; Mindestanforderungen, Art. 61 lit. c DSG)
☐ Prozess für Vorfälle (Incident Response) und Verträge mit Auftragsbearbeitern aktualisieren

Breave

Melde- und Informationspflichten bei Verletzung der Datensicherheit

Zusätzliche Anmerkungen