Datenschutzverletzung: Pflichten für Unternehmen und HR
Inhalt
KURZ ZUSAMMENGEFASST
Eine Datenschutzverletzung umfasst den Verlust, die unbefugte Offenlegung oder die Veränderung von Personendaten, unabhängig davon, ob der Vorfall vorsätzlich oder fahrlässig geschah. Sobald ein solcher Vorfall erkannt wird, besteht die dringende Pflicht, diesen unverzüglich intern zu melden, um die notwendigen Schritte zur Risikobewertung und Meldung an den EDÖB einzuleiten.
Die wichtigsten Punkte:
- Alle Mitarbeiter müssen jede Datenschutzverletzung sofort dem DPO oder der Geschäftsführung melden.
- Die häufigsten Ursachen sind verlorene Datenträger, Ransomware-Angriffe und menschliches Versagen.
- Bei hohem Risiko für Betroffene ist eine Meldung an den EDÖB innerhalb von 72 Stunden erforderlich.
- HR muss besonders auf die Sensibilität von Lohn- und Gesundheitsdaten achten.
- Jeder Vorfall muss in einem Register dokumentiert und mindestens zwei Jahre aufbewahrt werden.
Dr. iur. Lukas Lezzi
RA Dr.iur. Lukas Lezzi, CIPP/E, CIPM, ist selbständiger Rechtsanwalt in Zürich (LezziLegal). Seine Tätigkeitsschwerpunkte liegen im Bereich Datenschutz- und Finanzmarkrecht.
Passende Arbeitshilfen
Was müssen Unternehmen und HR bei einer Datenschutzverletzung tun?
Datenschutzverletzungen lassen sich im Wesentlichen in drei Kategorien einteilen:
- «Verletzung der Vertraulichkeit»: Verletzung der Datensicherheit durch unbefugte Weitergabe (versehentlich oder durch Missbrauch) oder unbefugten Zugriff
- «Verfügbarkeitsverletzung»: Verletzung der Datensicherheit durch versehentliche oder unsachgemässe Löschung oder Verlust des Zugriffs
- «Integritätsverletzung»: Verletzung der Datensicherheit durch unbeabsichtigte oder unsachgemässe Änderung
Eine Datenschutzverletzung kann mehrere oder alle der oben genannten Kriterien erfüllen. Die häufigsten Ursachen für eine Datenschutzverletzung sind (ohne Anspruch auf Vollständigkeit):
- Verlust eines unverschlüsselten Datenträgers (Notebook, Smartphone, USB-Sticks)
- Ausnutzung einer Sicherheitslücke durch eine dritte Partei, Verursachung einer Datenschutzverletzung durch Dritte, die Personendaten im Auftrag des Unternehmens bearbeiten
- Weitergabe von Personendaten durch Mitarbeiter des Unternehmens, absichtlich oder unabsichtlich
- Hinterlassen von Personendaten an öffentlichen Orten (z. B. Verlust von Dokumenten)
- Infektion mit einer «Ransomware», die Personendaten verschlüsselt und exfiltriert
Spezifische Pflichten für HR
Im Zusammenhang mit Datenschutzverletzungen bei Mitarbeiterdaten müssen aufgrund der Sensibilität der Mitarbeiterdaten folgende Punkte beachtet werden:
- schnelle Identifikation der Betroffenen: Es muss sofort festgestellt werden, welche Mitarbeitenden betroffen sind. Klare Prozesse zur Identifikation betroffener Mitarbeitender sind daher zentral. Besonders bei Lohn- oder Gesundheitsdaten muss präzise dokumentiert werden, welche Personen und welche Kategorien von Daten involviert sind.
- Information und Unterstützung der betroffenen Mitarbeitenden: Im Falle einer Datenschutzverletzung müssen Mitarbeiter sowie ehemalige Mitarbeiter, wenn dies zu ihrem Schutz nötig ist, informiert werden, und es sollten gleichzeitig Beratungs- oder Hilfsangebote (z. B. Hotline, FAQ, Ansprechpartner im HR) bereitgestellt werden (siehe Kap. 16.4).
- Verdacht auf Missbrauch der Personendaten: Ein Verdacht auf Missbrauch der geleakten Personendaten muss der betroffene Mitarbeiter der zuständigen internen Stelle mitteilen. In dringenden Fällen (z. B. unmittelbarer Schaden oder akute Bedrohung) können sich die Mitarbeiter direkt an die Polizei oder das Nationale Zentrum für Cybersicherheit (NCSC) wenden (www.ncsc.admin.ch).
- vertrauliche interne Kommunikation: Nur die absolut notwendigen Personen dürfen über die Datenpanne informiert werden (Need-to-know-Prinzip). Zudem muss sichergestellt werden, dass keine zusätzlichen Personen unbefugt Zugang zu den relevanten Daten erhalten.
- Sensibilisierung und Schulung: HR-Mitarbeiter gehören zu den Abteilungen mit dem höchsten Risiko für Datenschutzverletzungen (z. B. falscher Versand, Ausdrucke von besonders schützenswerten Daten am Drucker liegen lassen, unverschlüsselte Kommunikation). Daher müssen Schulungen und Awareness-Massnahmen verpflichtend und regelmässig erfolgen. Neben den HR-Mitarbeitern muss auch die gesamte Belegschaft mit Trainings sensibilisiert werden.
Meldung an die zuständigen Aufsichtsbehörden
Zu Beginn bewertet die im Unternehmen verantwortliche Person, ob die Datenverletzung ein Risiko für die Persönlichkeitsrechte oder Grundrechte der betroffenen Personen darstellt. Bei dieser Bewertung berücksichtigt der Geschäftsführer, welche Kategorien von Personendaten betroffen sind und welches Ausmass die Datenverletzung hat. Hier ergibt es Sinn, den DPO und Information Security zu involvieren, falls vorhanden. Sind diese Rollen im Unternehmen nicht vorhanden, ist es empfehlenswert, bei einer Datensicherheitsverletzung, welche ein hohes Risiko mit sich bringt, externe Unterstützung beizuziehen.
Der EDÖB ist so schnell wie möglich zu informieren, wenn eine Verletzung des Datenschutzes festgestellt wurde, die wahrscheinlich zu einem Risiko für die Persönlichkeitsrechte oder Grundrechte der betroffenen Person führt. Das Gesetz nennt keine genaue Frist, aber es ist sinnvoll, dieser Verpflichtung innerhalb von 72 Stunden nachzukommen. EDÖB stellt ein Portal für solche Meldungen zur Verfügung (Meldeportal).
Die Meldung muss nur erfolgen, wenn das Unternehmen für die Bearbeitung der Personendaten verantwortlich ist.
Jetzt Member werden und weiterlesen:
- Unlimitierter Zugriff auf alle 1300 Arbeitshilfen
- Alle kostenpflichtigen Beiträge auf weka.ch frei
- Zugriff auf alle Videos
- Täglich aktualisiert
- Wöchentlich neue Inhalte und Arbeitshilfen
- Exklusive Spezialangebote
- News- & Update-Services
- Seminargutscheine
