Datenpanne dem EDÖB melden: wann es Pflicht ist und wie

Eine Kundenliste landet in einem privaten KI-Konto, ein Laptop bleibt im Zug liegen, ein Entwurf geht an die falsche Adresse. Ob daraus eine Meldung an den EDÖB wird, regelt Art. 24 DSG. Die Schwelle liegt höher als in der EU, die Frist ist offener.

Diese Seite geht den Fall von der Entdeckung bis zur Akte durch. Grundlage sind das DSG, Art. 15 der Datenschutzverordnung und der Leitfaden DataBreach des EDÖB. Was das DSG sonst beim KI-Einsatz verlangt, steht im Leitfaden zum Schweizer Datenschutzgesetz im KI-Alltag.

Wann muss ich eine Datenpanne melden?

Zuerst braucht es eine Verletzung der Datensicherheit im Sinn von Art. 5 lit. h DSG. Personendaten gehen verloren, werden gelöscht, vernichtet, verändert oder Unbefugten offengelegt oder zugänglich gemacht, unbeabsichtigt oder widerrechtlich. Ein Angriff von aussen ist nicht nötig; ein Irrtum im Büro genügt.

Melden muss nur der Verantwortliche, also wer über Zweck und Mittel der Bearbeitung entscheidet. Ihr Auftragsbearbeiter, etwa die Informatikfirma, meldet Ihnen jede Verletzung so rasch als möglich, ohne eigene Risikoabwägung (Art. 24 Abs. 3). «So rasch als möglich» ist dehnbar. Meine Wahl wäre, im Vertrag mit der Informatikfirma eine Frist in Stunden festzuschreiben.

Für Daten nur über Verstorbene oder reine Geschäftsgeheimnisse gilt Art. 24 DSG nicht. Bei Gesundheitsangaben dagegen geht der EDÖB in vielen Fällen von einem hohen Risiko aus; welche Daten das Gesetz besonders schützt, zeigt der Leitfaden zu besonders schützenswerten Personendaten nach Art. 5 lit. c.

Hohes Risiko nach Art. 24 DSG: die Kriterien des EDÖB

Der Leitfaden DataBreach misst das Risiko an zwei Dingen: wie schwer die Folgen für die Betroffenen wären und wie wahrscheinlich sie eintreten. Massgebend ist die Person, die am schwersten getroffen wird, nicht der Durchschnitt der Liste.

Zwei Regeln werden oft übersehen. Massnahmen, die Sie erst nach dem Vorfall planen, senken die Bewertung nicht; nur Sofortmassnahmen mit belegter Wirkung zählen. Und pseudonymisierte Daten bleiben Personendaten; nur wirksam verschlüsselte gelten für Dritte ohne Schlüssel als anonym. Was diesen Unterschied ausmacht, erklärt der Leitfaden zur Pseudonymisierung von Kundendaten.

Ausweiskopien nennt der EDÖB ausdrücklich als Beispiel für ein hohes Risiko, obwohl sie nicht besonders schützenswert sind. Aus meiner Sicht ist das schlüssig: Mit einer Ausweiskopie lässt sich ein Konto eröffnen. Wie man sie vor dem Versand abdeckt, zeigt die Anleitung zur Kopie der Identitätskarte.

KI-Chat, geteilter Link, falscher Empfänger: wann die Datensicherheit verletzt ist

Der Leitfaden des EDÖB enthält kein einziges Beispiel mit KI. Die Begriffe passen trotzdem. Nach unserer Lesart sind Kundendaten auch dann «Unbefugten offengelegt», wenn sie an einen Dienst gehen, der nicht als Auftragsbearbeiter nach Art. 9 DSG für das Unternehmen arbeitet.

Und der Anbieter sei doch seriös? Ein nicht näher begründetes Vertrauen in unbekannte Empfänger schliesst laut EDÖB ein objektiv hohes Risiko nicht aus. Ein bekannter Markenname ersetzt für mich keinen Vertrag. Welche Kontoarten OpenAI anbietet, steht unter ChatGPT und Datenschutz in der Schweiz.

Ein erfundenes Beispiel: In einem Treuhandbüro in Frauenfeld lädt Sachbearbeiter Reto Inäbnit eine Lohnliste in sein privates Chatkonto, um Abweichungen zu finden. Danach teilt er den Chat per Link mit einer Kollegin. Damit sind zwei der folgenden Fälle gleichzeitig eingetreten.

Meldefrist: «so rasch als möglich» statt 72 Stunden

Eine Stundenzahl steht nicht im DSG. Der EDÖB liest «so rasch als möglich» streng: Zeigt die erste Analyse ein voraussichtlich hohes Risiko, das sich nicht innert kurzer Zeit sicher ausschliessen lässt, wird gemeldet. Länger dauernde Abklärungen darf der Verantwortliche nicht abwarten.

Sein Beispiel ist ein Spital, das nicht warten darf, bis feststeht, ob auch Patientendaten betroffen sind. Nach meinem Urteil läuft die Uhr ab dem Moment, in dem jemand im Betrieb den Vorfall bemerkt. Für eine Arztpraxis liegt derselbe Gedanke nahe; wie Ärztinnen KI ohne Patientennamen nutzen, steht auf der Seite für Arztpraxen.

Bietet Ihre Firma Personen in der EU Waren oder Dienstleistungen an, kann zusätzlich die DSGVO gelten: Meldung «möglichst binnen 72 Stunden», und schon bei einem Risiko, nicht erst bei einem hohen. Ob auch die EU-KI-Verordnung greift, klärt der Leitfaden zur EU-KI-Verordnung für Schweizer Firmen.

Meldeportal DataBreach: was in die Meldung gehört

Obligatorische Meldungen nimmt der EDÖB über sein Portal DataBreach entgegen, eine Online-Maske für Verantwortliche. Nach dem Absenden erhalten Sie eine Report-ID und eine Kopie der Meldung als PDF; die sollten Sie sofort ablegen. Unter derselben ID ergänzen Sie später mit einer Folgemeldung.

Den Inhalt legt Art. 15 Abs. 1 DSV fest. Ist die Lage noch unklar, lässt das Portal ausdrücklich eine vorläufige Meldung zu. Meiner Meinung nach ist eine ehrliche Meldung mit Lücken am Dienstag besser als eine vollständige am Freitag, und der EDÖB sieht das offenbar ähnlich.

Mit Ihrem Einverständnis kann der EDÖB die Meldung zur Analyse an das Bundesamt für Cybersicherheit weiterleiten (Art. 24 Abs. 5bis DSG). Haben Sie eine Cyberpolice, verlangt die oft eine eigene, frühe Anzeige; worauf es dort ankommt, steht im Leitfaden zur Cyberversicherung nach einem KI-Fehler.

Betroffene informieren, auch ohne Meldepflicht

Die Information der Betroffenen hat eine eigene Schwelle. Nach Art. 24 Abs. 4 DSG informieren Sie, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Laut Leitfaden ist das unabhängig vom hohen Risiko zu beurteilen. Meine Reihenfolge: Die Nachricht an die Kundschaft wartet nicht auf den Entscheid über die Meldung.

Typisch ist, dass Betroffene selbst handeln können: ein Passwort ändern, eine Karte sperren, Nachrichten misstrauisch prüfen. Eine Form schreibt das Gesetz nicht vor, aber der EDÖB erwartet grundsätzlich eine direkte, persönliche Information. Ein Rundschreiben auf der Website ist die Ausnahme.

Verzichten oder aufschieben dürfen Sie nur in den Fällen von Art. 24 Abs. 5 DSG, etwa wenn eine gesetzliche Geheimhaltungspflicht entgegensteht. Wie das Berufsgeheimnis mit KI-Werkzeugen zusammenspielt, behandelt der Leitfaden zum Berufsgeheimnis nach Art. 321 StGB.

Busse, Verfügung, Dokumentation: was nach einem Nein bleibt

Wer eine Pflichtmeldung unterlässt, macht sich nach dem DSG nicht strafbar. Die Strafbestimmungen in Art. 60 bis 63 nennen Art. 24 nicht, und der EDÖB bestätigt das in Ziffer 1.8 seines Leitfadens. Erfährt er anderweitig vom Vorfall, kann er die Nachholung verfügen.

Strafbar kann dagegen die schwache Sicherheit dahinter sein. Die Bussen des DSG insgesamt erklärt der Leitfaden zum DSG im KI-Alltag; hier zählt nur, was der Vorfall selbst auslösen kann.

Bleibt die Akte. Art. 15 Abs. 4 DSV verlangt, jede Verletzung mit Tatsachen, Auswirkungen und Massnahmen zu dokumentieren. Die FMH rät Praxen, bei einem Nein den Grund festzuhalten. Mein Massstab, auch für einen Versicherungsbroker mit Kundendossiers: Zwei Sätze Begründung erklären später mehr als jede Erinnerung.

Datenmissbrauch melden: Betroffene, Gemeinden und Auftragsbearbeiter

Das Portal DataBreach steht nur Verantwortlichen offen. Wer betroffen ist oder einen Missstand beobachtet, erstattet eine Anzeige über das Anzeigeformular des EDÖB. Auf eine solche Anzeige hin kann der EDÖB eine Untersuchung eröffnen und informiert die Person über das Ergebnis (Art. 49 DSG).

Für Gemeinden und kantonale Ämter gilt kantonales Recht. Im Kanton Zürich verlangt § 12a des Gesetzes über die Information und den Datenschutz eine unverzügliche Meldung an die Datenschutzbeauftragte, sobald Grundrechte gefährdet sein können. Laut ihrem Merkblatt wird auch im Zweifel gemeldet.

Ich finde diese tiefere Schwelle für Behörden vernünftig: Wer hoheitlich Daten sammelt, soll eher einmal zu viel melden. Wie Gemeindeämter KI einsetzen, ohne dort zu landen, zeigt der Leitfaden zur KI in der Gemeindeverwaltung.

Den nächsten Vorfall kleiner machen: Namen vor dem Prompt ersetzen

Am Anfang des Falls aus Frauenfeld stand Copy-Paste unter Zeitdruck. Ich sehe wenig Nutzen in einem Verbot, wenn der schnelle Weg offen bleibt. Eine schriftliche Regel mit klarem Meldeweg nach innen gehört dazu; ein Muster bietet der Leitfaden für eine KI-Richtlinie im Unternehmen.

Hier setzt Nonimo an, eine App mit Browser-Erweiterung. Sie ersetzt Namen und Nummern auf Ihrem Computer durch Platzhalter, bevor der Text zu einer KI geht, und fügt sie in der Antwort wieder ein. Was weg muss, zeigt die Checkliste für Text vor dem KI-Chat.

Platzhalter machen einen Text pseudonym, nicht anonym; ein seltener Fall bleibt erkennbar. Hätte Reto Inäbnit seine Lohnliste so vorbereitet, gäbe es heute weniger zu bewerten. Wie die App Prompt und Antwort behandelt, sehen Sie auf der Startseite von Nonimo für die Schweiz.

Ob in Ihrem konkreten Fall gemeldet werden muss, kann nur jemand beurteilen, der die betroffenen Daten kennt; diese Seite ordnet ein, sie entscheidet nicht.

Quellen

• Datenschutzgesetz (DSG), SR 235.1: Art. 5 lit. h, Art. 9, 24, 49, 51, 60 bis 64.
• Datenschutzverordnung (DSV), SR 235.11: Art. 15 zu Inhalt, Nachmeldung, Information und Dokumentation.
• EDÖB, Leitfaden DataBreach zu Art. 24 DSG: vom 6. Februar 2025, Version 1.2 vom 23. April 2025; Risikokriterien, Fristverständnis, Sanktionen.
• EDÖB, Meldeportal DataBreach: vorläufige Meldung, Folgemeldung, Report-ID, Rückfragen des EDÖB in der Regel innert 10 Arbeitstagen.
• Datenschutzbeauftragte des Kantons Zürich, Merkblatt «Meldepflicht bei Datenschutzvorfällen»: § 12a IDG, unverzügliche Meldung öffentlicher Organe.
• FMH, Checkliste und Prozessablauf bei Datenschutzverletzungen: Beispiele für hohes Risiko in Arztpraxen, Begründung eines Verzichts festhalten.
• Datenschutz-Grundverordnung (EU) 2016/679, EUR-Lex: Art. 3 Abs. 2 und Art. 33, Meldung möglichst binnen 72 Stunden.
• Bundesrat, Meldepflicht für Cyberangriffe auf kritische Infrastrukturen: in Kraft seit 1. April 2025, Bussen ab 1. Oktober 2025.
• BACS, Meldepflicht für Cyberangriffe: Meldung innert 24 Stunden nach Entdeckung; meldepflichtig auch Kantons- und Gemeindeverwaltungen (Art. 74b ISG).

Abgerufen am 10. November 2026.