Gesetzliche Ausgangslage in der Schweiz
Nach Art. 24 Abs. 3 DSG meldet der Auftragsbearbeiter dem Verantwortlichen jede Verletzung der Datensicherheit so rasch als möglich, unabhängig vom Risiko. Der Verantwortliche meldet dem EDÖB nur Verletzungen, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führen.
Nach Art. 15 DSV nennt die Meldung unter anderem Art, Zeitpunkt, Folgen und Massnahmen sowie eine Ansprechperson. Fehlende Angaben werden nachgeliefert. Jede Verletzung ist zu dokumentieren, und die Dokumentation ist mindestens zwei Jahre aufzubewahren. Kantonale öffentliche Organe unterstehen dem kantonalen Datenschutzrecht.
Bundesgesetz über den Datenschutz (DSG), SR 235.1 · Verordnung über den Datenschutz (DSV), SR 235.11
Zusätzliche Fristen nach DSGVO und ISG
Fällt die Bearbeitung auch unter die DSGVO, muss der Verantwortliche die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis informieren, ausser ein Risiko ist unwahrscheinlich. Wer später meldet, muss die Verzögerung begründen.
Seit 1. April 2025 müssen die vom Informationssicherheitsgesetz erfassten Betreiber kritischer Infrastrukturen bestimmte meldepflichtige Cyberangriffe innert 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit melden. Es bestehen gesetzliche Kriterien und Ausnahmen; nicht jeder Vorfall ist erfasst. Diese Pflicht kann zusätzlich zur Datenschutzmeldung gelten und verlangt eine gesonderte Prüfung.
Verordnung (EU) 2016/679, Datenschutz-Grundverordnung (DSGVO), Art. 28 und 33 · Informationssicherheitsgesetz (ISG), SR 128, Meldepflicht für Cyberangriffe
Empfohlene Vertragsklauseln und Nachweise
Bewährt hat sich eine feste Frist für die Erstmeldung des Auftragsbearbeiters, etwa 24 bis 48 Stunden ab Entdeckung, mit gestaffelten Nachmeldungen. So bleibt dem Verantwortlichen Zeit für die Risikobeurteilung und eine allfällige Meldung innert 72 Stunden. Unterauftragsbearbeiter sind an dieselbe Frist zu binden.
Der Vertrag sollte zudem Meldekanal, Ansprechpersonen und Mindestinhalt festlegen, ebenso die Mithilfe bei der Information der Betroffenen und die Aufbewahrung der Protokolle. Eine vertragliche Frist ersetzt die gesetzliche Pflicht nicht: Auch wenn eine längere Frist vereinbart ist, bleibt die Meldung so rasch als möglich geschuldet.
Bundesgesetz über den Datenschutz (DSG), SR 235.1 · Verordnung (EU) 2016/679, Datenschutz-Grundverordnung (DSGVO), Art. 28 und 33
Quellen
Mit Omnilex recherchiert und für diesen Beitrag aufbereitet. Allgemeine Information zum Schweizer Recht. Die Beurteilung eines konkreten Falls hängt von den tatsächlichen Umständen und dem anwendbaren Recht ab.