EDÖB hadert mit systemischen Risiken und kritisiert öffentlichkeitsscheue Behörden

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat seinen Tätigkeitsbericht für die Berichtsperiode vom 1. April 2025 bis zum 31. März 2026 veröffentlicht. Die zentrale Botschaft ist unbequem: Die Behörde kritisiert Führungs- und Projektkulturen, die systemische Datenschutzrisiken bei digitalen Grossvorhaben nicht benennen. Statt heikle Punkte frühzeitig zu adressieren, würden sie gegenüber den obersten politischen und operativen Gremien zu oft verschwiegen. Der EDÖB fordert deshalb, dass Restrisiken offengelegt werden – insbesondere hohe –, und dass ungelöste Meinungsverschiedenheiten bis an Bundesrat und Parlament getragen werden. Datenschutz soll damit zur Chefsache werden und nicht auf der Arbeitsebene versanden.

Die Kennzahlen des Berichtsjahrs zeigen, wie viel die Behörde bewegt. Es gingen über 2000 Meldungen möglicher Datenschutzverletzungen ein. Der EDÖB intervenierte 156-mal gegenüber den jeweils Verantwortlichen, führte 22 Vorabklärungen und 9 formelle Untersuchungen durch und nahm 306-mal zu Gesetzgebungsprojekten des Bundes Stellung. Die hohe Zahl an Meldungen illustriert, dass Datenpannen längst Alltag sind – von Fehlversänden über Hackerangriffe bis zu Fehlkonfigurationen von Systemen.

Thematisch sticht die Warnung vor der sensorgestützten Überwachung heraus. Der EDÖB beschreibt eine Entwicklung, bei der immer mehr Systeme Menschen beobachten und die dabei erhobenen Daten in Analysen durch Künstliche Intelligenz einspeisen. Genannt werden Umgebungen, in denen Patientinnen und Patienten, Reisende, Kinder oder ältere Menschen erfasst werden. Solche Systeme lösen automatisierte Alarme aus, auf die anschliessend Menschen oder weitere Maschinen reagieren. Das Problem: Je dichter das Sensornetz und je leistungsfähiger die Auswertung, desto tiefer der Eingriff in die Persönlichkeitsrechte der beobachteten Personen.

Der EDÖB adressiert zunächst die Bundesstellen. Sie müssten Datenschutzrisiken bereits in der Beschaffungsphase prüfen. Dazu gehöre auch die Frage, ob sich die Bearbeitungsintensität eines Systems so weit herunterregeln lässt, dass sie nur noch das abdeckt, was die gesetzlichen Aufgaben tatsächlich verlangen. Diese Logik – nur so viel Datenbearbeitung wie nötig – ist der Kern des Verhältnismässigkeitsprinzips und zieht sich durch den gesamten Bericht.

Ausdrücklich nimmt die Behörde aber auch private Akteure in die Verantwortung. Sie nennt private Spitäler, Kindertagesstätten, Pflegeheime sowie Ladenbetreiber, die ihre Kundschaft beobachten wollen. Die Warnung ist unmissverständlich: Wer sich nicht frühzeitig mit der Datenschutzkonformität solcher Überwachungssysteme befasst, müsse mit bösen Überraschungen rechnen. Im schlimmsten Fall zwinge eine späte Compliance-Prüfung zu einschneidenden Änderungen bis hin zum vollständigen Austausch eines Systems – verbunden mit Zusatzkosten und Reputationsschaden. Diese Aussage richtet sich an jede Organisation, die Menschen technisch erfasst, und damit grundsätzlich auch an Arbeitgeber.

Konkret wird der Bericht an mehreren Beispielen. Der EDÖB untersucht ein Schweizer Unternehmen, das Identitätsprüfungen und KI-basierte Alterskontrollen anbietet. Das Unternehmen soll biometrische Daten, die es zur Identitätsprüfung erhebt, zum Training seiner KI verwenden. Das Verfahren ist noch nicht abgeschlossen. Daneben führte die Behörde eine Vorabklärung zu einer Gesichtserkennungsfunktion des Meta-Konzerns durch. Meta sicherte zu, die Funktion in der Schweiz vorerst nicht einzuführen und keine Daten von Schweizer Nutzerinnen und Nutzern an seinen Auftragsbearbeiter in Kenia zu übermitteln. Zudem flaggt der Bericht die Risiken smarter Brillen, die ihre Umgebung unauffällig aufzeichnen können.

Ein eigenes Schwerpunktkapitel widmet der EDÖB der Künstlichen Intelligenz. Die Kernaussage: Das revidierte Datenschutzgesetz (DSG) ist technologieneutral formuliert und findet deshalb unmittelbar auf KI-gestützte Datenbearbeitungen Anwendung. Es braucht also kein separates KI-Spezialgesetz, damit Grundsätze wie Zweckbindung, Transparenz, Datenminimierung und die Rechte der betroffenen Personen greifen. Die Behörde war überdies an der Vorbereitung von KI-Assistenzsystemen für die Bundeskanzlei und das Bundesamt für Informatik beteiligt und prüfte KI-Trainingspläne bei der Plattform X. Das zeigt, dass der EDÖB nicht nur reagiert, sondern sich früh in die Gestaltung neuer Systeme einbringt.

Dass die neuen Regeln auch durchgesetzt werden, belegt ein weiterer Punkt: Das Bundesverwaltungsgericht bestätigte eine Anordnung des EDÖB gegen einen Verein, der ein umstrittenes Bewertungsportal betrieb. Der EDÖB bezeichnet dies als das erste rechtskräftige Urteil unter dem revidierten DSG. Für Organisationen bedeutet das, dass Verstösse nicht folgenlos bleiben und die Rechtsprechung die neuen Pflichten zu konkretisieren beginnt.

Schliesslich verknüpft der Bericht den Datenschutz mit dem Öffentlichkeitsprinzip. Die Zahl der Zugangsgesuche nach dem Öffentlichkeitsgesetz hat sich in zehn Jahren mehr als verdreifacht. Der EDÖB zählt 13 bestehende Ausnahmen vom Gesetz und 11 weitere in Planung und kritisiert Bestrebungen, einzelne Stellen vom Geltungsbereich auszunehmen. Transparenz des Staates und Schutz der Personendaten sind für die Behörde zwei Seiten derselben Medaille.

Für Arbeitgeber behandelt der Bericht die Mitarbeiterüberwachung zwar nicht ausdrücklich, doch die Prinzipien sind direkt übertragbar. Jedes System, das Beschäftigte beobachtet, lokalisiert, misst oder mittels KI auswertet, ist eine Bearbeitung von Personendaten und muss von Beginn weg verhältnismässig, transparent und zweckgebunden ausgestaltet sein. Die Warnung vor teuren Nachbesserungen trifft Unternehmen genauso wie Verwaltungsstellen. Wer Erfassungstechnik einführt, sollte die Datenschutzfragen also nicht ans Ende, sondern an den Anfang des Projekts stellen – im Sinne von Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.