Datenpanne im Onlineshop (Schweiz): Meldung an den EDÖB

Ein Datenabfluss im Shop ist zuerst ein technisches und sofort auch ein rechtliches Problem: Die Reihenfolge der ersten Stunden entscheidet über die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die Warnung an Ihre Kundschaft.

Was das DSG bei einer Datenpanne verlangt

Eine Verletzung der Datensicherheit liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden (Art. 5 lit. h DSG). Im Shop ist das ein offener Konfigurationsfehler, ein übernommenes Administratorkonto oder ein verlorenes Notebook.

Die Meldepflicht knüpft an zwei Umstände an: an eine Verletzung der Datensicherheit und daran, dass sie voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt (Art. 24 Abs. 1 DSG). Das revidierte Datenschutzgesetz gilt seit 1. September 2023; Aufsichtsbehörde ist der EDÖB (Art. 4 Abs. 1 DSG).

Eine Frist in Stunden nennt die Norm nicht. Nach dem Leitfaden des EDÖB ist die Pflicht ausgelöst, wenn nach der Risikoanalyse ein voraussichtlich hohes Risiko erkennbar ist und sich nicht oder nicht innert kurzer Zeit mit abschliessender Gewissheit bestimmen lässt; Situationen des Zweifels, welche den Eintritt eines hohen Risikos nicht mit hinreichender Wahrscheinlichkeit ausschliessen, berechtigen nicht zum Zuwarten (Ziff. 1.3 und 1.6). Eine blosse Unsicherheit über das Risiko, die kein voraussichtlich hohes Risiko erkennen lässt, löst die Pflicht dagegen nicht aus; dann bleibt die freiwillige Meldung (Ziff. 1.4). Für Pflichtmeldungen steht das Meldeportal DataBreach bereit, das den Zeitpunkt bestätigt und Folgemeldungen erlaubt (Ziff. 1.5).

Wer melden muss – und wer nicht

Meldepflichtig ist der Verantwortliche, also die private Person, die über Zweck und Mittel der Bearbeitung entscheidet (Art. 5 lit. j DSG): der Shopbetreiber, auch wenn er Hosting, Newsletter oder Zahlungsabwicklung ausgelagert hat.

Ist ein von Ihnen beauftragter Dienstleister Auftragsbearbeiter, also eine private Person, die in Ihrem Auftrag Personendaten bearbeitet (Art. 5 lit. k DSG), trifft ihn eine zweite Pflicht: Er meldet Ihnen so rasch als möglich jede Verletzung der Datensicherheit, unabhängig vom Risiko (Art. 24 Abs. 3 DSG; Leitfaden Ziff. 1.2). Ob ein Dienstleister für Sie Auftragsbearbeiter oder selbst Verantwortlicher ist, folgt aus der konkreten Ausgestaltung und aus der Vereinbarung (Art. 5 lit. j und k DSG); wer selbst über Zweck und Mittel entscheidet, meldet dem EDÖB. Die Meldung an den EDÖB bleibt beim Verantwortlichen, also beim Shop.

Geschützt sind nur Personendaten natürlicher Personen (Art. 2 Abs. 1, Art. 5 lit. a DSG); ein Geschäftsgeheimnis ohne Personendaten und Daten über verstorbene Menschen fallen nach dem Leitfaden nicht unter Art. 24 DSG. Wirksam verschlüsselte Daten gelten für Dritte als anonym, die Meldepflicht entfällt; pseudonymisierte Daten bleiben Personendaten (Leitfaden Ziff. 1.6.1). Die Betriebsgrösse nennt der Leitfaden nicht als Kriterium; wer ein tiefes Risiko annimmt, darf freiwillig melden (Ziff. 1.4).

Wann ein voraussichtlich hohes Risiko vorliegt

Ob Sie melden müssen, entscheidet die Risikobeurteilung. Der Leitfaden nennt unter anderem diese Kriterien:

Kriterium	Was im Shop den Ausschlag gibt
Schutzwürdigkeit der Daten	besonders schützenswerte Personendaten nach Art. 5 lit. c DSG; laut Leitfaden auch Identitäts- und Kreditkartendaten
Art und Umstände, Kreis der Empfänger	im Darknet veröffentlichte Daten sprechen dafür
Aufwand zur Bestimmung der Person	eine Kundennummer ohne weitere Angaben zur Person wiegt weniger als sprechende E-Mail-Adressen
Ideelle und wirtschaftliche Nachteile	Identitätsdiebstahl, Kreditkartenbetrug, Rufschädigung
Verletzliche Personen	Daten von Minderjährigen
Zahl der Betroffenen	eine hohe Zahl allein begründet kein hohes Risiko

Massgeblich ist die am schwersten betroffene Person (Leitfaden Ziff. 1.6.1). Massnahmen, die Sie erst nach dem Vorfall planen, ankündigen oder veranlassen, zählen bei der Beurteilung nicht mit; Sofortmassnahmen vor der rechtzeitigen Meldung, welche die befürchteten Folgen nachweislich ausgeschlossen oder gemindert haben, kann der EDÖB nach Ziff. 1.6 berücksichtigen.

Was in der Meldung stehen muss

Art. 15 Abs. 1 DSV zählt sieben Angaben auf.

Buchstabe	Angabe
a	Art der Verletzung
b	soweit möglich Zeitpunkt und Dauer der Verletzung
c	soweit möglich Kategorien und ungefähre Anzahl der betroffenen Personendaten
d	soweit möglich Kategorien und ungefähre Anzahl der betroffenen Personen
e	Folgen einschliesslich der allfälligen Risiken für die betroffenen Personen
f	getroffene oder vorgesehene Massnahmen zur Behebung des Mangels und zur Minderung der Folgen
g	Name und Kontaktdaten einer Ansprechperson

Was Sie noch nicht wissen, liefern Sie nach (Art. 15 Abs. 2 DSV); die Dokumentation mit Tatsachen, Auswirkungen und Massnahmen bewahren Sie ab der Meldung zwei Jahre auf (Art. 15 Abs. 4 DSV).

Die ersten 72 Stunden: ein Ablaufplan

Das DSG nennt keine Stundenzahl; verbindlich ist allein „so rasch als möglich” (Art. 24 Abs. 1 DSG). Der Raster und die Tagesangaben sind unsere redaktionellen Zielmarken, keine gesetzlichen Fristen; die Spalte Grundlage nennt den Ursprung.

Zeitfenster	Schritt	Grundlage
Stunde 0 bis 2	Zugänge sperren, System vom Netz trennen, Administratorkennwörter ändern, Protokolle sichern	dem Risiko angemessene Datensicherheit durch geeignete technische und organisatorische Massnahmen (Art. 8 Abs. 1 DSG); Erkennung und Beseitigung (Art. 3 Abs. 3 lit. c DSV)
Stunde 2 bis 12	Zeitpunkt der Kenntnisnahme, betroffene Systeme, Datenkategorien und Zahl der Personen erfassen; verantwortliche Person bestimmen	Art. 24 Abs. 1 DSG; Angaben nach Art. 15 Abs. 1 lit. a bis d DSV
Stunde 12 bis 24	Risiko beurteilen, Verschlüsselung prüfen; bei erkennbar voraussichtlich hohem Risiko melden, statt es abschliessend zu klären	Leitfaden Ziff. 1.3 und 1.6
so rasch als möglich	Meldung im Meldeportal DataBreach erfassen, auch unvollständig, Bestätigung herunterladen	Art. 24 Abs. 1 DSG; Art. 15 Abs. 2 DSV
Tag 3 (unsere Zielmarke) und danach	über die Information der Betroffenen entscheiden; ist sie zu deren Schutz erforderlich, sofort informieren; Dokumentation anlegen	Art. 24 Abs. 4 DSG; Art. 15 Abs. 3 und 4 DSV

Nach einem physischen oder technischen Zwischenfall muss die Verfügbarkeit der Personendaten und der Zugang zu ihnen rasch wiederhergestellt werden können (Art. 3 Abs. 2 lit. d DSV); das Vorgehen steht in Backup und Wiederherstellung für Shops.

Meldetext für das Meldeportal

Unsere Vorlage, kein amtlicher Text; verbindlich sind die Felder des DataBreach-Formulars (Art. 15 Abs. 1 DSV).

Meldung einer Verletzung der Datensicherheit nach Art. 24 Abs. 1 DSG

Verantwortlicher: [Firma, Adresse, UID]
Ansprechperson (lit. g): [Name, Funktion, Telefon, E-Mail]

Art der Verletzung (lit. a): [unbefugter Zugriff über ein nicht gesichertes
Administrationskonto auf die Bestelldatenbank]

Zeitpunkt und Dauer (lit. b): [Kenntnisnahme am ... um ... Uhr; Zugriff laut
Serverprotokollen vom ... bis ...]

Betroffene Personendaten (lit. c): [Name, Anschrift, E-Mail, Bestellhistorie,
gehashte Kennwörter; Anzahl Datensätze: ...]

Betroffene Personen (lit. d): [ungefähre Anzahl Kundinnen und Kunden: ...]

Folgen und Risiken (lit. e): [Zuordnung der Bestellhistorie zu einer bestimmbaren
Person, gezielte Phishing-Mails]

Massnahmen (lit. f): [Konto gesperrt, Kennwörter zurückgesetzt, Lücke
geschlossen, Protokolle gesichert]

Risikobeurteilung: [voraussichtlich hohes Risiko, weil ...; oder: offen,
Nachlieferung nach Art. 15 Abs. 2 DSV]

Wann Sie Ihre Kundschaft informieren müssen

Sie informieren die Betroffenen, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt (Art. 24 Abs. 4 DSG); die Pflicht hängt nicht an der Schwelle des hohen Risikos (Leitfaden Ziff. 2).

Die Information erfolgt in einfacher und verständlicher Sprache und nennt mindestens die Art der Verletzung, die Folgen, die Massnahmen und eine Ansprechperson (Art. 15 Abs. 3 DSV). Eine Formvorschrift fehlt; grundsätzlich informieren Sie einzeln, eine öffentliche Bekanntmachung genügt nur bei vergleichbarer Information (Art. 24 Abs. 5 lit. c DSG; Leitfaden Ziff. 2.3).

Einschränken, aufschieben oder darauf verzichten dürfen Sie nach Art. 24 Abs. 5 DSG, wenn ein Grund nach Art. 26 Abs. 1 lit. b oder Abs. 2 lit. b DSG vorliegt oder eine gesetzliche Geheimhaltungspflicht es verbietet (lit. a) oder die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert (lit. b). Den Ablauf für Anfragen beschreibt Auskunft und Löschung im Shop (Schweiz).

Was passiert, wenn Sie nicht melden

Der EDÖB kann anordnen, dass Sie ihn oder die Betroffenen nach Art. 24 DSG informieren (Art. 51 Abs. 3 lit. f DSG), und die Bearbeitung anpassen, unterbrechen oder abbrechen lassen (Art. 51 Abs. 1 DSG). Stellen Sie während der Untersuchung selbst die Einhaltung der Datenschutzvorschriften wieder her, kann er sich auf eine Verwarnung beschränken (Art. 51 Abs. 5 DSG).

Nach Ziff. 1.8 des Leitfadens ist die Missachtung der Meldepflicht an sich nicht strafbewehrt; die Strafbestimmungen nennen Art. 24 DSG nicht (Art. 60 Abs. 1, Art. 61 DSG). Strafbar wird ein Vorfall, wenn der Betrieb die Mindestanforderungen an die Datensicherheit nach Art. 8 Abs. 3 DSG nicht eingehalten hat (Art. 61 lit. c DSG): bei Vorsatz bis CHF 250’000, auf Antrag, verfolgt von den Kantonen (Art. 65 Abs. 1 DSG). Wer einer Verfügung des EDÖB oder einem Entscheid der Rechtsmittelinstanz, die unter Hinweis auf die Strafdrohung von Art. 63 DSG ergangen sind, vorsätzlich nicht Folge leistet, wird ebenfalls mit bis zu CHF 250’000 bestraft (Art. 63 DSG).

Eine Meldung nach Art. 24 DSG darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden (Art. 24 Abs. 6 DSG); auf ein Verfahren gegen Dritte erstreckt die Bestimmung diesen Schutz nicht. Mit Ihrem Einverständnis kann der EDÖB die Meldung ausserdem zur Analyse des Vorfalls an das Bundesamt für Cybersicherheit weiterleiten (Art. 24 Abs. 5bis DSG, seit 1. April 2025).

Für Kundschaft in der EU gilt die DSGVO zusätzlich

Verkaufen Sie an Kundschaft in Deutschland oder Österreich und fällt die Bearbeitung unter die Datenschutz-Grundverordnung, gilt parallel deren Meldepflicht: Der Verantwortliche meldet der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde; die Frist läuft nicht, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen führt, und bei einer Überschreitung ist der Meldung eine Begründung beizufügen (Art. 33 Abs. 1 DSGVO; nach Art. 3 DSGVO auch für Anbieter ausserhalb der Union). Es gelten dann zwei Massstäbe (Datenpanne im Onlineshop (DSGVO)).

Checkliste für Ihren Shop

• Halten Sie fest, wer einen Verdacht aufnimmt und wer die Meldung auslöst (Art. 24 Abs. 1 DSG).
• Vereinbaren Sie mit jedem Dienstleister, der für Sie als Auftragsbearbeiter tätig ist, die Meldung an Sie für jede Verletzung der Datensicherheit, unabhängig vom Risiko (Art. 24 Abs. 3 DSG).
• Beurteilen Sie das Risiko an der am schwersten betroffenen Person (Leitfaden Ziff. 1.6).
• Melden Sie, wenn ein voraussichtlich hohes Risiko erkennbar ist und sich nicht innert kurzer Zeit abschliessend klären lässt (Art. 24 Abs. 1 DSG; Leitfaden Ziff. 1.3); fehlende Angaben liefern Sie nach (Art. 15 Abs. 2 DSV), die Dokumentation bewahren Sie ab der Meldung zwei Jahre auf (Art. 15 Abs. 4 DSV).
• Entscheiden Sie innert drei Tagen über die Information Ihrer Kundschaft (unsere Zielmarke, keine gesetzliche Frist); ist die Information zu ihrem Schutz erforderlich, erfolgt sie sofort (Art. 24 Abs. 4 DSG). Die technischen Mindestanforderungen aus Art. 3 DSV stehen in Shop-Sicherheit: Grundschutz-Checkliste.