Meldung Datenschutzverletzung

Gemeldet werden muss die unbefugte Bearbeitung von Personendaten oder die Verletzung der Datensicherheit, wenn die Grundrechte der betroffenen Person gefährdet sind. Bestehen Zweifel, ob Grundrechte gefährdet sind, ist ebenfalls Meldung zu erstatten.

Eine Verletzung der Datensicherheit liegt vor wenn Personendaten 

• verloren gehen, 
• unbeabsichtigt oder widerrechtlich gelöscht, vernichtet oder verändert werden,
• Unbefugten bekannt gegeben oder zugänglich gemacht werden, 
• von Unbefugten zur Kenntnis genommen werden.

Das für die Datenbearbeitung verantwortliche öffentliche Organ muss den Datenschutzvorfall der Datenschutzstelle melden. Für die Stadt Winterthur bedeutet dies, dass zumeist der verantwortliche Bereich der Stadtverwaltung Meldung erstatten muss.

Ist eine Auftragnehmerin respektive Outsourcingpartnerin involviert, muss sie das die verantwortliche Verwaltungsstelle sofort über die Verletzung informieren. Dieses meldet den Vorfall der Datenschutzstelle.

Ein Datenschutzvorfall ist gemäss Gesetz unverzüglich zu melden. Die Meldung über einen Datenschutzvorfall darf nicht verzögert werden.

Zum Zeitpunkt der Meldung müssen nicht alle Angaben vorliegen. Zusätzliche Informationen zum Vorfall können nachgereicht werden.

Betroffene Personen sind über den Datenschutzvorfall zu informieren, wenn die Umstände es erfordern oder die Datenschutzstelle es verlangt. Das kann beispielsweise in folgenden Situationen der Fall sein:

• wenn die betroffenen Personen aktiv Massnahmen zu ihrem Schutz treffen können (z.B. Passwort ändern)
• wenn die betroffenen Personen Entscheidungen treffen müssen aufgrund des Verlusts der Vertraulichkeit von Informationen über sie (z.B. Kommunikation mit Dritten)
• wenn die betroffene Person aufgrund ihrer Stellung oder aufgrund der Art der bekannt gewordenen Informationen oder der Art der Bekanntgabe die Informationshoheit über die Bekanntheit ihrer Informationen haben muss (z.B. wegen Aussenwahrnehmung)

Die Information an die betroffenen Personen beinhaltet die neben einer kurzen Beschreibung des Vorfalls auch die vom Vorfall betroffenen Daten und möglichen Folgen der Verletzung, die notwendigen Schutzmassnahmen sowie die Kontaktdaten der Datenschutzstelle.

Die Information an die betroffenen Personen kann eingeschränkt oder aufgeschoben oder es kann auf sie verzichtet werden, wenn ein überwiegendes öffentliches oder privates Interesse entgegensteht. Das ist beispielsweise der Fall, wenn durch die Information an eine betroffene Person die Privatsphäre von Dritten beeinträchtigt werden kann. Die Datenschutzstelle berät öffentliche Organe beim Entscheid über die Information an betroffene Personen.