Datenschutzverletzung melden: So funktioniert die Meldung an den EDÖB
Eine Datenschutzverletzung muss in der Schweiz dem EDÖB gemeldet werden, wenn sie voraussichtlich ein hohes Risiko für die betroffenen Personen darstellt (Art. 24 DSG). Die Meldung muss «so rasch als möglich» erfolgen — es gibt keine feste Stundenzahl wie in der EU. Massgeblich ist der EDÖB-Leitfaden vom April 2025. Alle Vorfälle — auch nicht meldepflichtige — müssen intern dokumentiert und mindestens 2 Jahre aufbewahrt werden.
Art. 24
DSG — gesetzliche Grundlage
«So rasch»
als möglich — keine feste Frist
2 Jahre
Dokumentationspflicht für alle Vorfälle
Wann besteht Meldepflicht an den EDÖB?
Nicht jede Datenpanne muss gemeldet werden. Art. 24 DSG knüpft die Meldepflicht an eine einzige Bedingung: Die Verletzung muss voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen. Der EDÖB-Leitfaden vom April 2025 konkretisiert diese Schwelle.
Für die Risikobeurteilung sind vier Faktoren massgeblich:
Art der Daten:
Sensible Daten (Gesundheit, Finanzen, politische Meinung, AHV-Nummer) erhöhen das Risiko erheblich.
Anzahl betroffener Personen:
Je mehr Personen betroffen sind, desto eher liegt hohes Risiko vor.
Mögliche Folgen:
Identitätsdiebstahl, finanzielle Schäden, Diskriminierung, Rufschädigung oder physische Gefährdung.
Kontext:
Verletzbarkeit der betroffenen Personen (Kinder, Kranke, Schutzsuchende erhöhen das Gewicht).
Hohes Risiko — Meldepflicht
Typische Beispiele
- ✗Hackerangriff auf Kundendatenbank mit Zahlungsdaten
- ✗Ransomware-Angriff mit Verschlüsselung von HR-Daten
- ✗Verlust USB-Stick mit Patientendaten
- ✗E-Mail mit Lohnliste an falschen Empfänger
- ✗Unbefugter Zugriff auf Gesundheitsdaten
- ✗Phishing-Angriff mit Zugriff auf CRM-Daten
Kein hohes Risiko — nur Dokumentation
Typische Beispiele
- ✓Verlust Visitenkartenstapel ohne sensible Daten
- ✓Falsch adressierte E-Mail mit allgemeinen Informationen
- ✓Kurzzeitiger Ausfall ohne Datenzugriff durch Dritte
- ✓Interner Zugriff auf eigene Akte durch Fehler
- ✓Verlust Smartphone mit PIN-Schutz und Remote-Wipe
EDÖB-Leitfaden April 2025: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat im April 2025 einen detaillierten Leitfaden zur Risikobeurteilung veröffentlicht. Er enthält konkrete Kriterien und Beispiele für die Einordnung eines Vorfalls. Download unter edoeb.admin.ch.
Vom Vorfall zur Meldung: Schritt-für-Schritt
Der folgende Ablauf gilt für alle Datenschutzverletzungen — unabhängig davon, ob am Ende eine Meldung erforderlich ist.
Vorfall erkennen und sofort eindämmen
SofortSysteme isolieren, unbefugten Zugang sperren, Beweisspuren sichern. Zeitpunkt der Entdeckung und des vermuteten Beginns dokumentieren. Interne Eskalationskette auslösen (IT, Geschäftsleitung, ggf. DPO).
Risikobewertung durchführen
Innert StundenVier Leitfragen beantworten: Welche Datenkategorien sind betroffen? Wie viele Personen? Welche möglichen Folgen für Betroffene? Wie vulnerabel sind die betroffenen Personen? Grundlage: EDÖB-Leitfaden April 2025. Ergebnis schriftlich festhalten.
Meldepflicht prüfen und parallel DSGVO beachten
Innert 24–48hKein hohes Risiko: Intern dokumentieren, keine EDÖB-Meldung zwingend (freiwillige Meldung bleibt möglich). Hohes Risiko: EDÖB-Meldung «so rasch als möglich» vorbereiten. Parallel prüfen: Unterliegt das Unternehmen auch der DSGVO? Dann läuft die 72h-Frist für EU-Behörden.
EDÖB-Meldung einreichen
So rasch als möglichÜber das interaktive Online-Portal databreach.edoeb.admin.ch. Alle 7 Pflichtfelder nach DSV Art. 15 ausfüllen. Fehlende Informationen können nachgereicht werden — eine unvollständige Erstmeldung ist besser als eine verzögerte vollständige.
Betroffene informieren (wenn erforderlich)
Wenn nötig, zeitnahDirektinformation der betroffenen Personen ist erforderlich, wenn sie zum Schutz vor den Folgen handeln müssen — z.B. Passwort ändern, Kreditkarte sperren, Betrug melden. Inhalt: was passiert ist, welche Risiken bestehen, welche Schutzmassnahmen zu ergreifen sind.
Dokumentation vervollständigen und aufbewahren
AbschlussDen gesamten Vorfall dokumentieren: was passiert ist, wann, wie entdeckt, welche Daten betroffen, welche Massnahmen ergriffen, ob und wann gemeldet. Aufbewahrung: mindestens 2 Jahre ab Datum der Meldung (DSV Art. 15 Abs. 3).
Was muss die EDÖB-Meldung enthalten?
DSV Art. 15 Abs. 1 legt den Mindestinhalt der Meldung abschliessend fest. Fehlende Informationen können nach Art. 15 Abs. 2 nachgereicht werden — eine unvollständige Erstmeldung ist ausdrücklich zulässig.
| # | Pflichtangabe | Erläuterung |
|---|---|---|
| 1 | Art der Verletzung | Vertraulichkeitsverletzung (unbefugter Zugang), Integritätsverletzung (Daten verändert), Verfügbarkeitsverletzung (Daten gelöscht/gesperrt). Mehrere Typen möglich. Beispiel: «Ransomware-Angriff mit Verschlüsselung und möglichem Datenabfluss» |
| 2 | Zeitpunkt des Vorfalls | Soweit bekannt: Beginn der Verletzung und Zeitpunkt der Entdeckung. Schätzungen sind zulässig. Beispiel: «Vermutlich 12. April 2026, entdeckt am 14. April 2026» |
| 3 | Kategorien betroffener Personen | Art der Betroffenen: Kunden, Mitarbeitende, Lieferanten, Patienten etc. — und ungefähre Anzahl. Beispiel: «Ca. 850 Kunden mit Kaufhistorie und Lieferadressen» |
| 4 | Kategorien betroffener Datensätze | Welche Datenarten sind betroffen? Kontaktdaten, Zahlungsdaten, Gesundheitsdaten etc. Beispiel: «Name, E-Mail, Bestellhistorie; ca. 3'200 Datensätze» |
| 5 | Folgen und mögliche Folgen | Tatsächliche und wahrscheinliche Konsequenzen: Identitätsdiebstahl, Phishing-Risiko, finanzielle Schäden, Rufschädigung. Beispiel: «Phishing-Angriffe gegen betroffene Kunden möglich» |
| 6 | Ergriffene und geplante Massnahmen | Was wurde bereits getan (Systeme isoliert, Passwörter zurückgesetzt) und was ist geplant (Penetrationstest, Sicherheits-Audit, neue Zugriffskontrollen). |
| 7 | Ansprechperson | Name, Funktion, E-Mail und Telefon der für die Meldung verantwortlichen Person im Unternehmen. Nicht zwingend ein DPO. |
Meldeportal: Die Meldung erfolgt ausschliesslich über das interaktive Online-Formular des EDÖB unter databreach.edoeb.admin.ch. Meldungen per E-Mail oder Post sind nicht vorgesehen. Das Portal führt strukturiert durch alle Pflichtfelder und ermöglicht die Nachreichung fehlender Informationen.
Praxisbeispiele: Meldepflichtig oder nicht?
Hackerangriff auf Online-Shop-Datenbank
Angreifer hat Zugriff auf Kundendatenbank mit 1'200 Einträgen (Name, E-Mail, Lieferadresse, verschlüsselte Passwörter). Kreditkartendaten nicht betroffen (externer Zahlungsanbieter). Zugriff innert 6 Stunden unterbunden.
Falsch adressierte E-Mail mit Lohnliste
Mitarbeiter sendet Lohnliste aller 45 Angestellten (Name, Lohn, AHV-Nummer) an externe Person statt an den internen HR-Verteiler. Empfänger bestätigt Löschung sofort.
Ransomware mit Verschlüsselung von Patientendaten
Arztpraxis: Ransomware verschlüsselt alle Patientendossiers. Backup vorhanden, Wiederherstellung in 48h möglich. Datenabfluss unklar — kann nicht ausgeschlossen werden.
Verlust USB-Stick ohne Verschlüsselung
Mitarbeiter verliert USB-Stick mit internen Projektdokumenten und Kontaktliste von 30 Geschäftspartnern (Name, E-Mail, Telefon). Keine sensiblen Personendaten, kein Finanzinhalt.
Fehlkonfiguration Cloud-Speicher — kurzzeitig öffentlich
Firmen-SharePoint-Ordner war durch Konfigurationsfehler 3 Stunden öffentlich zugänglich. Ordner enthielt HR-Dokumente (Arbeitsverträge, Lohnabrechnungen) von 80 Mitarbeitenden. Kein nachweisbarer externer Zugriff, aber nicht ausschliessbar.
Unterschied zur DSGVO-Meldepflicht
Wer beiden Rechtsordnungen unterliegt, muss beide Meldepflichten beachten — und im Zweifel die strengere DSGVO-Frist einhalten.
Schweiz — revDSG
Empfänger
EDÖB (Bern)
Frist
«So rasch als möglich» — keine Stundenzahl
Schwelle
Nur bei voraussichtlich hohem Risiko
Portal
databreach.edoeb.admin.ch
Rechtsgrundlage
Art. 24 DSG, DSV Art. 15
EU — DSGVO
Empfänger
Nationale Aufsichtsbehörde (z.B. BfDI DE, DSB AT)
Frist
Innerhalb 72 Stunden
Schwelle
Bei jedem Risiko (ausser voraussichtlich kein Risiko)
Portal
Jeweilige nationale Behörde
Rechtsgrundlage
Art. 33 DSGVO
Dual-Jurisdiction-Falle: Ein Schweizer Unternehmen mit EU-Kunden, das einen Hackerangriff erleidet, muss gleichzeitig den EDÖB «so rasch als möglich» und die zuständige EU-Behörde innerhalb von 72 Stunden informieren — und zwar die nationale Behörde jedes EU-Landes, in dem Betroffene wohnen. In der Praxis heisst das: Der 72h-Timer ist der massgebliche Takt für alle Erstmeldungen.
Häufige Fragen
Wann muss eine Datenpanne in der Schweiz dem EDÖB gemeldet werden?+
Was muss eine EDÖB-Meldung enthalten?+
Müssen auch nicht meldepflichtige Datenpannen dokumentiert werden?+
Was ist der Unterschied zur DSGVO-Meldepflicht?+
Ist das Nicht-Melden einer Datenpanne strafbar?+
Incident-Response direkt in ComplianceCore starten
Unser geführter Incident-Workflow begleitet Sie von der Erkennung bis zur fertigen EDÖB-Meldung — mit automatischer Risikobewertung nach EDÖB-Leitfaden, vorausgefülltem Meldeformular und revisionssicherer Dokumentation für 2 Jahre.
Incident-Response startenThis content is for informational purposes only and does not constitute legal advice.
Related Articles
Neues Datenschutzgesetz Schweiz (revDSG): Was KMU jetzt wissen müssen
revDSG vs. DSGVO: Die wichtigsten Unterschiede für Schweizer Unternehmen
Bussen und persönliche Haftung unter dem revDSG: Was Geschäftsführer wissen müssen