Orientierungsgespräch vereinbaren
Ein Bericht geht an die falsche E-Mail-Adresse. Ein Tablet mit Zugriff auf die Pflegedokumentation wird gestohlen. Ein Angreifer verschlüsselt den Server. In solchen Momenten muss schnell klar sein: Was ist passiert, wer entscheidet, und muss der Vorfall gemeldet werden?
Kostenlos · 30 Minuten online · unverbindlich
Fachverantwortlich: Mayouran Patheeswaran · Aktualisiert am 10. Oktober 2026
Das Datenschutzgesetz spricht von einer Verletzung der Datensicherheit, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden.¹
Typische Beispiele im Gesundheitswesen:
fehlgeleitete E-Mail, Fax- oder Briefsendung mit Gesundheitsdaten
verlorenes oder gestohlenes Gerät ohne ausreichende Verschlüsselung
Mitarbeitende greifen ohne Berechtigung auf Dossiers zu
Schadsoftware oder Ransomware-Angriff
Sicherheitsvorfall bei einem Software- oder Cloud-Anbieter
Ihre Organisation muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) eine Verletzung so rasch als möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt.²
Das Gesetz nennt keine feste Frist in Stunden. Massgebend ist «so rasch als möglich».²
Nicht auf vollständige Gewissheit warten: Bestehen konkrete Anhaltspunkte für ein voraussichtlich hohes Risiko, etwa bei einem Ransomware-Angriff, darf die Meldung nicht bis zum Abschluss länger dauernder Abklärungen hinausgezögert werden. Massgebend ist die Einschätzung aufgrund der jeweils verfügbaren Informationen; fehlende Angaben können nachgereicht werden.³
Ist das Risiko nicht hoch, besteht keine Meldepflicht. Der EDÖB nimmt aber auch freiwillige Meldungen entgegen; dafür ist nicht das Meldeportal für Pflichtmeldungen vorgesehen.³
Besondere Vorsicht bei Gesundheitsdaten: Gesundheitsdaten gehören zu den besonders schützenswerten Personendaten.⁴ Nach dem Leitfaden des EDÖB ist bei deren Verletzung in vielen Fällen von einem hohen Risiko auszugehen.³ Entscheidend sind insbesondere die Sensibilität der Informationen, die möglichen Folgen für die Betroffenen, der Kreis der unberechtigten Empfänger und die Wirksamkeit vorhandener Schutzmassnahmen wie einer Verschlüsselung. Die Meldepflicht hängt nicht von einer Mindestanzahl Betroffener ab: Auch die Offenlegung eines einzelnen Patientendossiers kann schwerwiegende Folgen haben.
Dienstleister: Passiert die Verletzung bei einem Auftragsbearbeiter, etwa beim Softwareanbieter, muss dieser Ihnen den Vorfall so rasch als möglich melden.⁵ Diese Pflicht gilt für jede Verletzung der Datensicherheit, unabhängig von der Risikohöhe.³ Erst Ihre Organisation beurteilt als Verantwortliche, ob daraus eine Meldung an die zuständige Aufsichtsbehörde folgt.
Kantonales Recht: Für Spitex-Organisationen, Heime und andere Gesundheitsinstitutionen, die öffentliche Aufgaben erfüllen, können kantonale Datenschutzgesetze gelten. Diese können eigene Meldepflichten und zuständige Aufsichtsstellen vorsehen. Welche Behörde zuständig ist, muss deshalb anhand der konkreten Organisation und der anwendbaren Rechtsgrundlagen geprüft werden.
Die Meldung an den EDÖB enthält:⁶
die Art der Verletzung
soweit möglich Zeitpunkt und Dauer
soweit möglich Kategorien und ungefähre Anzahl der betroffenen Daten und Personen
die Folgen und Risiken für die Betroffenen
die getroffenen oder vorgesehenen Massnahmen
Name und Kontaktdaten einer Ansprechperson
Liegen noch nicht alle Angaben vor, können sie nachgeliefert werden.⁷ Eine rasche erste Meldung ist also besser als eine späte vollständige. Für Meldungen stellt der EDÖB auf seiner Website das Meldeportal «DataBreach» bereit.⁸
Unabhängig von der Meldepflicht gegenüber dem EDÖB müssen betroffene Personen informiert werden, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt,⁹ etwa damit sie Passwörter ändern, betrügerische Nachrichten erkennen oder andere Schutzmassnahmen ergreifen können.
Wichtig: Auch wenn eine Verletzung nicht dem EDÖB gemeldet werden muss, kann eine Informationspflicht gegenüber den Betroffenen bestehen.³ Die Information erfolgt in einfacher und verständlicher Sprache.¹⁰ Unter bestimmten Voraussetzungen kann sie eingeschränkt, aufgeschoben oder ersetzt werden, etwa wenn sie unverhältnismässigen Aufwand erfordert oder eine öffentliche Bekanntmachung genügt.¹¹
Datensicherheitsverletzungen müssen dokumentiert werden: die wesentlichen Tatsachen, die Auswirkungen und die ergriffenen Massnahmen. Nach Art. 15 Abs. 4 DSV ist die Dokumentation ab dem Zeitpunkt der Meldung mindestens zwei Jahre aufzubewahren.¹²
Empfehlung: Dokumentieren Sie auch Vorfälle, bei denen keine Meldung erforderlich war, und halten Sie fest, weshalb kein voraussichtlich hohes Risiko angenommen wurde. So kann Ihre Organisation später nachvollziehbar darlegen, wie sie den Vorfall beurteilt hat.
Situation
E-Mail mit Patientendaten an einen falschen externen Empfänger
Mögliche Beurteilung
Hohes Risiko möglich; Inhalt, Empfänger und Folgen prüfen
Situation
Verlorenes Tablet mit wirksamer Verschlüsselung, Schlüssel nicht kompromittiert
Mögliche Beurteilung
Unter Umständen keine Meldepflicht
Situation
Ransomware-Angriff auf die Pflegedokumentation
Mögliche Beurteilung
Hohes Risiko naheliegend; unverzüglich beurteilen und nötigenfalls melden
Situation
Mitarbeitende greifen ohne Berechtigung auf Patientendossiers zu
Mögliche Beurteilung
Risikobeurteilung anhand der Zugriffe, Daten und möglichen Folgen erforderlich
Diese Beispiele dienen der Orientierung. Ob eine Meldepflicht besteht, hängt von den konkreten Umständen des Einzelfalls ab.
Erkennen und melden: Alle Mitarbeitenden wissen, wem sie einen möglichen Vorfall sofort melden, auch im Nacht- und Wochenenddienst, und zwar auch dann, wenn noch nicht feststeht, ob tatsächlich eine Verletzung vorliegt.
Eindämmen und Beweise sichern: Unberechtigte Zugriffe unterbinden, betroffene Systeme absichern, Empfänger um Löschung bitten, relevante Protokolle und Beweise sichern, IT oder externe Spezialisten beiziehen. Bei schweren Vorfällen laufen Eindämmung, Beweissicherung und Bewertung teilweise parallel.
Bewerten: Welche Daten, wie viele Personen, wie wahrscheinlich ist ein Schaden? Liegt ein hohes Risiko vor?
Melden und informieren: Bei hohem Risiko an den EDÖB (bzw. die kantonale Stelle), bei Bedarf an die Betroffenen.
Dokumentieren und lernen: Vorfall festhalten, Ursache beheben, Schulung oder Prozess anpassen.
Die Vorlage dafür sollte vorbereitet sein, bevor etwas passiert, mit Kontaktliste, Bewertungsraster und Textbausteinen.
Ein Datenschutzvorfall lässt sich nicht immer verhindern. Entscheidend ist, dass Ihre Organisation vorbereitet ist und im Ernstfall richtig handelt. Ich unterstütze Gesundheitsorganisationen dabei, klare Verantwortlichkeiten, praktikable interne Meldewege und nachvollziehbare Abläufe zur Beurteilung von Vorfällen festzulegen.
In der Datenschutz-Standortbestimmung für Spitex prüfe ich unter anderem, wie Vorfälle erkannt, intern weitergegeben, bewertet und dokumentiert werden. In einer Spitex gehörten Meldeprozesse für Datenschutzverletzungen und Schulungen zu den umgesetzten Massnahmen. Ziel ist ein Meldeprozess, den Ihre Mitarbeitenden verstehen und der auch unter Zeitdruck funktioniert.
→ Datenschutz-Standortbestimmung für Spitex · → Praxisbeispiel ansehen · → Datenschutz für Spitex und Gesundheitswesen
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.
Akuter Datenschutzvorfall? Informieren Sie unverzüglich Ihre intern zuständigen Stellen und Ihre IT-Sicherheitsverantwortlichen. Prüfen Sie parallel die gesetzlichen Meldepflichten und kontaktieren Sie bei Bedarf die zuständige Datenschutzbehörde. Warten Sie bei einem voraussichtlich hohen Risiko nicht auf ein reguläres Beratungsgespräch.
Fussnoten
Art. 5 lit. h DSG (SR 235.1), https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_5
Art. 24 Abs. 1 DSG, https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_24
EDÖB, Leitfaden betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, Version 1.2 vom 23. April 2025, https://www.edoeb.admin.ch/dam/de/sd-web/T64CAUyvAMcF/1_2%20Leitfaden%20des%20ED%C3%96B%20betreffend%20die%20Meldung%20von%20Datensicherheitsverletzungen%20und%20Information%20der%20Betroffenen%20nach%20Art.%2024%20DSG_DE.pdf
Art. 5 lit. c Ziff. 2 DSG
Art. 24 Abs. 3 DSG
Art. 24 Abs. 2 DSG; Art. 15 Abs. 1 DSV (SR 235.11), https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_15
Art. 15 Abs. 2 DSV
EDÖB, Meldeportal «DataBreach», erreichbar über https://www.edoeb.admin.ch (Meldeportale); vgl. Leitfaden (Fn. 3)
Art. 24 Abs. 4 DSG
Art. 15 Abs. 3 DSV
Art. 24 Abs. 5 DSG
Art. 15 Abs. 4 DSV
Im kostenlosen 30-minütigen Orientierungsgespräch ordnen wir Ihr Anliegen ein.
Orientierungsgespräch vereinbaren
Kostenlos · 30 Minuten online · unverbindlich