Informationspflicht bei Datensicherheitsverletzungen: Erste Leitlinien des Bundesverwaltungsgerichtes (BVGer) zu Art. 24 DSG

I.               Keypoints des Urteils im Überblick

• Das BVGer konkretisiert erstmals die Melde- und Informationspflichten bei Datensicherheitsverletzungen nach Art. 24 DSG.

• Eine Datensicherheitsverletzung liegt bereits vor, wenn Personendaten für Unbefugte zugänglich sind. Ein tatsächlicher Zugriff, Missbrauch oder Schaden muss nicht nachgewiesen werden.

• Das Datenschutzrecht hat einen präventiven Charakter: Die Informationspflicht dient nicht primär der Transparenz, sondern soll Betroffenen ermöglichen, rechtzeitig Schutzmassnahmen zu ergreifen (z.B. Konten überwachen, Passwörter ändern), um potenzielle Schäden zu verhindern.

• Nachträgliche technische Massnahmen (z.B. Schliessen der Sicherheitslücke oder Entfernen aus Suchmaschinen) sowie erheblicher Zeitablauf seit der Datenschutzverletzung beseitigen die bereits erfolgte Offenlegung der Personendaten nicht und lassen die Informationspflicht grundsätzlich nicht entfallen.

• Die Ausnahmeregelung der Informationspflicht (Art. 24 Abs. 5 DSG) ist restriktiv anzuwenden. Bei hohem Risiko für Betroffene sind mildere Mittel einem vollständigen Verzicht auf Information vorzuziehen.

• Ist eine individuelle Benachrichtigung unmöglich oder unverhältnismässig, kann eine öffentliche Bekanntmachung als Ersatz der individuellen Information in Betracht kommen. Eine öffentliche Bekanntmachung bleibt auch dann verhältnismässig, wenn dadurch viele nicht betroffene Personen erreicht werden. Entscheidend ist, dass die tatsächlich Betroffenen noch erreicht werden können. Das DSG verpflichtet aber in solchen Fällen nicht zur öffentlichen Bekanntgabe. Da der EDÖB im Rahmen verwaltungsrechtlicher Massnahmen grundsätzlich nur gesetzlich bereits bestehende Pflichten durchsetzen kann, fehlt ihm die Kompetenz eine öffentliche Bekanntmachung anzuordnen. Offen bleibt daher die Frage, auf welcher rechtlichen Grundlage eine Pflicht zur öffentlichen Bekanntmachung bestehen soll, wenn eine individuelle Information unmöglich oder unverhältnismässig ist.

II.            Hintergrund

Im Urteil A-3790/2024 vom 8. April 2026 hat das BVGer erstmals die Melde- und Informationspflichten bei Datensicherheitsverletzungen nach Art. 24 DSG vertieft ausgelegt. Anlass war eine Datenschutzverletzung beim Onlineshop «Apfelkiste»: Aufgrund über den Suchindex von Bing auffindbarer RMA-URLs konnten unbefugte Dritte während mehrerer Monate auf kundenspezifische Supportseiten zugreifen. Betroffen waren rund 19'000 Kunden, von welchen unter anderem Namen, E-Mail-Adressen, teilweise Postadressen, Supportkorrespondenzen, IBAN-Daten, Produktfotos und Gutscheincodes zugänglich waren. Nach Entdeckung der Sicherheitslücke ergriff das Unternehmen technische Sofortmassnahmen, liess die betroffenen URLs aus dem Suchindex entfernen und meldete den Vorfall dem EDÖB. Dieser verpflichtete die Unternehmung nach seiner Untersuchung zur Information der betroffenen Personen innert 10 Tagen ab Rechtskraft der Verfügung, woraufhin das Unternehmen Beschwerde beim BVGer erhob.

Das BVGer hiess die Beschwerde aufgrund einer Verletzung des rechtlichen Gehörs gut. Die Verfügung des EDÖB erwies sich als widersprüchlich und unzureichend begründet, da sie einerseits die individuelle Information als unverhältnismässig bezeichnete, andererseits jedoch deren Vornahme anordnete, ohne die Form der Information näher festzulegen. Die Verfügung wurde deshalb aufgehoben. Weil das BVGer mit voller Kognition entscheidet und eine Rückweisung daher ein Leerlauf wäre, entscheidet dies selbst.

III.          Die zentralen rechtlichen Erwägungen

1.             Weites und präventives Verständnis der Datensicherheitsverletzung

Das BVGer bestätigt das weite Begriffsverständnis von Art. 5 lit. h DSG. Eine Datensicherheitsverletzung ist ein planwidriger sicherheitsrelevanter Vorfall, der die Vertraulichkeit, Integrität oder Verfügbarkeit von Personendaten beeinträchtigt. Eine Datensicherheitsverletzung liegt bereits vor, wenn Personendaten unbeabsichtigt oder widerrechtlich Unbefugten zugänglich gemacht werden. Für deren Bejahung ist weder ein tatsächlicher Zugriff noch ein nachgewiesener Missbrauch der Daten erforderlich. Bereits die blosse Möglichkeit eines unbefugten Zugriffs beeinträchtigt die Vertraulichkeit der Daten und genügt, um eine Datensicherheitsverletzung anzunehmen. Seit Juni 2023 waren RMA-URLs von Supportfällen über die Suchmaschine Bing auffindbar, wodurch Personendaten von Kunden für Unbefugte zugänglich wurden.

Konsequenterweise stellt das BVGer auch klar, dass weder ein eingetretener Schaden noch konkrete Missbrauchsfälle Voraussetzung für die Informationspflicht nach Art. 24 DSG sind. Massgeblich ist vielmehr das durch Datensicherheitsverletzung geschaffene Risiko für die betroffenen Personen. Damit unterstreicht das Gericht den präventiven Charakter des Datenschutzrechts: Die Informationspflicht soll nicht auf bereits eingetretene Schäden reagieren, sondern den betroffenen Personen ermöglichen, rechtzeitig Schutzmassnahmen zu ergreifen und potenzielle Schäden zu verhindern.

2.             Unerheblichkeit einer potenziellen Einwilligung

Das BVGer erachtet das Vorbringen der Beschwerdeführerin, wonach eine allfällige Einwilligung der Kundschaft in die Nutzung von Microsoft-Produkten eine Verletzung der Datensicherheit ausschliesse, als nicht überzeugend. Die Indexierung durch die Suchmaschine Bing war nur möglich, weil die betreffenden RMA-URLs technisch öffentlich zugänglich und nicht ausreichend gegen den Zugriff von Suchmaschinen geschützt waren. Die Verantwortung hierfür liegt bei der Beschwerdeführerin und kann nicht auf die Kundschaft abgewälzt werden. Dass die Beschwerdeführerin den Zugriff des Crawlers nachträglich selbst sperrte, bestätigt zudem, dass die Ursache in einer unzureichenden Konfiguration bzw. Absicherung der URLs lag.

3.             Schutzbedarf der Betroffenen als entscheidendes Kriterium

Den Schwerpunkt des Urteils bildet die Auslegung von Art. 24 Abs. 4 DSG.

Das BVGer hält fest: «Der EDÖB darf die Information auch nur anfordern, wenn es zum Schutz der betroffenen Person erforderlich ist». Damit dürfte die bisherige Auffassung des EDÖB, wonach bereits ein öffentliches Informationsinteresse eine Information der Betroffenen rechtfertigen könne, entkräftet werden. Entscheidend ist nach dem BVGer der konkrete Schutzbedarf der betroffenen Personen.

Das BVGer betont, dass die Informationspflicht nicht primär der Transparenz dient, sondern dem Schutz der Persönlichkeit und Grundrechte der Betroffenen. Sie besteht, wenn die Betroffenen aufgrund der Information Schutzmassnahmen ergreifen können, um die Folgen einer Datenschutzverletzung abzuwenden oder zu mindern. Die Beschwerdeführerin machte zwar geltend, ihre eigenen Massnahmen seien ausreichend gewesen. Es sei nicht ersichtlich, welche zusätzlichen Massnahmen die betroffenen Personen über diese bereits ergriffenen Massnahmen hinaus zur Minderung der Risiken vornehmen könnten. Das BVGer erkannte jedoch weiterhin Risiken wie Identitätsmissbrauch, Phishing, Social Engineering oder finanzielle Schäden. Durch eine Information könnten die Betroffenen etwa ihre Kontobewegungen überwachen, Zugangsdaten ändern oder besondere Vorsicht walten lassen.

Der Schutzbedarf entfällt weder aufgrund der Anzahl Betroffener noch wegen des beschränkten Empfängerkreises von rund 19'000 Personen. Da ein Datenmissbrauch nicht ausgeschlossen werden kann, besteht ein relevantes Risiko für die Persönlichkeit und Grundrechte der Betroffenen und damit eine Informationspflicht.

4.             Nachträgliche Schutzmassnahmen und Zeitablauf beseitigen den Schutzbedarf nicht

Das Unternehmen argumentierte, die Sicherheitslücke sei unmittelbar nach Entdeckung geschlossen worden und die URLs seien inzwischen aus den Suchindizes entfernt worden. Das BVGer stellte jedoch klar, dass dadurch die bereits erfolgte Offenlegung nicht rückwirkend beseitigt werden könne. Daten, die während Monaten abrufbar gewesen seien, könnten bereits gespeichert, kopiert oder weitergegeben worden sein. Die Verletzung der Vertraulichkeit und der Schutzbedarf der betroffenen Person bleibe daher bestehen.

Für die Praxis bedeutet dies, dass technische Sofortmassnahmen zwar zwingend erforderlich sind, sie jedoch die datenschutzrechtlichen Folgepflichten – insbesondere die Informationspflicht – nicht automatisch entfallen lassen.

Besondere Aufmerksamkeit verdient auch die Aussage des BVGers zum Faktor Zeit. Zwischen der erstmaligen Offenlegung der Daten und dem Urteil lagen rund zwei Jahre. Das Unternehmen machte geltend, eine Information könne mittlerweile keine risikomindernde Wirkung mehr entfalten. Das BVGer widersprach dem ausdrücklich. Personendaten könnten jederzeit gespeichert, kopiert oder weitergegeben werden. Ein Missbrauch könne daher auch lange nach der eigentlichen Datenschutzverletzung erfolgen. Der Zeitablauf lasse keinen verlässlichen Schluss zu, dass kein Risiko mehr bestehe. Der Schutzbedarf der betroffenen Personen bleibe deshalb bestehen.

5.             Informationspflicht

a.             Einschränkung der Informationspflicht

Besonders praxisrelevant sind die Ausführungen zur Ausnahmebestimmung von Art. 24 Abs. 5 DSG. Diese Bestimmung sieht vor, dass der Verantwortliche die Information der betroffenen Person einschränken, aufschieben oder darauf verzichten kann, wenn die Informationserteilung unmöglich ist oder mit einem unverhältnismässigen Aufwand verbunden wäre.

Das Unternehmen machte geltend, die betroffenen Personen könnten nach den getroffenen technischen Massnahmen nicht mehr zuverlässig identifiziert werden, weil sie als Schutzmassnahme alle möglicherweise betroffenen URLs bei Bing blockieren liess. Eine individuelle Information sei deshalb unmöglich oder zumindest unverhältnismässig.

Selbst wenn die Identifikation der Betroffenen möglich wäre, würde die Einschränkung nach Art. 24 Abs. 5 lit. b DSG zur Anwendung gelangen, da die Information der 19’000 betroffenen Kunden einen unverhältnismässigen Aufwand darstellen würde.

Das BVGer hält fest, dass stehts die mildeste Form der Einschränkung der Information zu wählen sei; wobei die öffentliche Bekanntgabe, ein Aufschub oder eine Information mit eingeschränkten Angaben einem Verzicht auf die Information vorzuziehen sei. Liegt ein hohes Risiko für die betroffenen Personen vor und kann die Information zur Risikominimierung beitragen, sind die Ausnahmetatbestände von Art. 24 Abs. 5 DSG zurückhaltend anzuwenden.

b.            Öffentliche Bekanntmachung als Ersatz der individuellen Information

Das BVGer bestätigt grundsätzlich, dass in Fällen einer Unverhältnismässigkeit der individuellen Benachrichtigung, eine öffentliche Bekanntmachung an deren Stelle treten kann. Art. 24 Abs. 5 lit. c DSG ermögliche ausdrücklich, die Information der Betroffenen durch eine öffentliche Bekanntmachung «in vergleichbarer Weise» sicherzustellen. Dies wird bejaht, wenn die betroffenen Personen durch eine persönliche Benachrichtigung nicht wesentlich besser informiert würden. Zwar sieht Art. 24 Abs. 5 DSG die Möglichkeit einer öffentlichen Bekanntgabe vor, begründet jedoch keine generelle Pflicht zur öffentlichen hierzu. Auch fehlt dem EDÖB in solchen Fällen die Kompetenz, eine öffentliche Bekanntmachung anzuordnen, da er im Rahmen verwaltungsrechtlicher Massnahmen grundsätzlich nur gesetzlich bereits bestehende Pflichten durchsetzen kann. Gleichwohl kann eine solche aus Gründen des Persönlichkeitsschutzes und der Verhältnismässigkeit angezeigt sein, insbesondere wenn zahlreiche Personen betroffen sind. Die durch die öffentliche Bekanntgabe erreichten Kunden können die entsprechenden Schutzmassnahmen ergreifen. Aufgrund dieser Umstände erweist sich die öffentliche Bekanntgabe als möglich.

Das Unternehmen bringt vor, eine öffentliche Bekanntgabe auf der Internetseite sei unverhältnismässig da hunderttausende (potenzielle) Kunden angesprochen würden, welche nicht betroffen seien.

Zur Frage der Verhältnismässigkeit hält das BGer folgendes fest: da eine persönliche Benachrichtigung vorliegend mangels Identifizierbarkeit nicht möglich sei, sei eine öffentliche Bekanntgabe die einzige Möglichkeit die betroffenen zu erreichen. Weiter stellt das BGer fest, dass eine öffentliche Bekanntmachung nicht deshalb ungeeignet bzw. unverhältnismässig wird, weil auch Personen erreicht werden, die nicht betroffen sind. Entscheidend sei vielmehr, dass die betroffenen Personen überhaupt noch erreicht werden können. Da keine milderen Mittel zur Verfügung stehen sei die öffentliche Bekanntgabe auch erforderlich. Im Zusammenhang mit der Zumutbarkeit wird eine Interessenabwägung durchgeführt. Das Interesse der Betroffenen Kenntnis vom Vorfall zu haben, um Schutzmassnahmen zu ergreifen, überwiegen das Interesse der Unternehmung keinen Reputationsschaden zu erlangen.

Das BVGer erachtet die öffentliche Bekanntmachung als möglich und verhältnismässig. Gleichzeitig hält es jedoch fest, dass eine individuelle Information unmöglich oder zumindest unverhältnismässig sei und das DSG keine ausdrückliche Pflicht zur öffentlichen Bekanntmachung vorsieht.

IV.          Fazit

Mit dem Urteil A-3790/2024 konkretisiert das BVGer erstmals die Anforderungen von Art. 24 DSG und bestätigt den präventiven Charakter des Datenschutzrechts. Bereits die Möglichkeit eines unbefugten Zugriffs kann eine Datensicherheitsverletzung begründen; ein tatsächlicher Datenabfluss oder Schaden ist nicht erforderlich.

Die Informationspflicht dient primär dem Schutz der betroffenen Personen und ermöglicht diesen, Schutzmassnahmen zur Risikominimierung zu ergreifen. Weder der Zeitablauf noch nachträgliche technische Massnahmen lassen den Schutzbedarf und die datenschutzrechtlichen Folgepflichten grundsätzlich entfallen. Das Interesse der Betroffenen an einer Information überwiegt dabei regelmässig das Interesse des Verantwortlichen an der Vermeidung von Reputationsschäden.

Ist eine individuelle Benachrichtigung nicht oder nur mit unverhältnismässigem Aufwand möglich, kommt eine öffentliche Bekanntmachung als alternative Informationsform in Betracht. Offen bleibt hingegen die dogmatische Herleitung einer Pflicht zur öffentlichen Bekanntmachung, wenn eine individuelle Information unmöglich oder unverhältnismässig ist.

V.             Unterstützung durch Lezzilegal

Das Urteil zeigt, wie wichtig klare Datenschutzprozesse und eine frühzeitige Compliance sind. Wir unterstützt Sie

-          bei der Bewältigung von Datensicherheitsverletzungen sowie der Beurteilung von Melde- und Informationspflichten gegenüber dem EDÖB und betroffenen Personen;

-          bei Verfahren vor dem EDÖB und anderen und anderen Behörden;

-          bei der Umsetzung der Anforderungen des Datenschutzes und dem Aufbau einer wirksamen Datenschutz-Governance zur frühzeitigen Verhinderung von Datensicherheitsvorfällen;

-          bei der datenschutzkonformen Gestaltung von Geschäftsprozessen, Verträgen sowie IT- und Cloud-Projekten;

-          bei der Erstellung und Aktualisierung von Datenschutzerklärungen, Datenbearbeitungsverzeichnissen und internen Datenschutzrichtlinien;

-          bei der Durchführung von Datenschutz-Audits, Risikoanalysen und Datenschutz-Folgenabschätzungen;

-          bei der Schulung und Sensibilisierung von Mitarbeitenden für datenschutzrechtliche Anforderungen.