Der EDÖB hat seinen 33. Tätigkeitsbericht für die Periode vom 1. April 2025 bis 31. März 2026 vorgelegt. Im Vordergrund steht das 20 Jahre-Jubiläum des Öffentlichkeitsprinzips. Datenschutzrechtlich treten zwei Themen hervor: die Konsolidierung der Aufsicht über das revidierte DSG und eine bemerkenswert dichte Reihe von Verfahren gegen private Verantwortliche, insbesondere aus dem Finanzsektor sowie dem Inkasso- und Auskunfteiwesen. Das Gespräch zum Bericht zwischen RA Martin Steiger und Andreas von Gunten kann man sich beim Podcast “Datenschutz-Plaudereien” hier anhören.
Zu einigen Kennzahlen für die Berichtsperiode:
- Beratungen: 971
- Ämterkonsultationen: 306
- Anzeigen: 2447 (Vorjahr: 1053), davon 2347 gegen Private und rund 100 gegen den Bund
- Aufsichtshandlungen: 156 niederschwellige Interventionen, 22 Vorabklärungen, 9 formelle Untersuchungen
- Schlichtungsanträge (BGÖ): 203
- Gemeldete Datensicherheitsverletzungen: 484, davon 141 freiwillig (Vorjahr: 363, davon 26 freiwillig). Gemeint ist wohl, dass die niedrige Zahl die ausdrücklich als freiwillig bezeichneten Meldungen wiedergibt. Es dürfte eine hohe Dunkelziffer ebenfalls freiwilliger Meldungen geben, die aufgrund des Meldeformulars aber nicht als solche deklariert werden konnten
- Für DSG-Belange einsetzbare Stellen: 32 (Vorjahr: 33)
Wesentliche Punkte
Aufsicht über das revidierte DSG konsolidiert
Der EDÖB bezeichnet den aufsichtsrechtlichen Vollzug des seit dem 1. September 2023 geltenden DSG als “konsolidiert”:
Der aufsichtsrechtliche Vollzug des am 1. September 2023 in Kraft getretenen DSG kann als konsolidiert gelten, nachdem der EDÖB sein Informationsangebot zur Anwendung des neuu.U. Rechts im Berichtsjahr durch weitere Ratgeber für die Praxis abrunden konnte und das Bundesverwaltungsgericht am 6. Oktober 2025 die neue Verfügungspraxis der Behörde mit einem ersten, in Rechtskraft erwachsenen Urteil bestätigt hat.
Dabei geht es um das Urteil vom 6. Oktober 2025 i.S. Pfarrercheck, mit dem das Bundesverwaltungsgericht eine Verfügung des EDÖB bestätigt hatte, d.h. das Verbot der Publikation von Kontaktdaten von Pfarrpersonen ohne Einwilligung untersagt und die Anordnung der Löschung innert 40 Tagen. Ebenfalls bestätigte wurde dabei die auf dem effektiven Zeitaufwand beruhende Gebühr und die Anonymisierung der Anzeigen im Rahmen der Akteneinsicht.
Dass die Aufsichtspraxis damit konsolidiert ist, ist allerdings eine mutige Aussage, nachdem das BVGer dem EDÖB mit Urteil i.S. Apfelkiste eine schwerwiegende Verletzung von Verfahrensrechten bescheinigt hatte. Die Konsolidierung dürfte noch einige Zeit in Anspruch nehmen.
Bisher ist auch nicht gerichtlich geklärt, ob die Publikationspraxis des EDÖB – die Publikation von Verfügungen unter Namensnennung des Verfügungsadressaten als Standardvorgehen – rechtsstaatlichen Grundsätzen standhält. Sowohl die gesetzliche Grundlage von Art. 57 Abs. 2 DSG als auch das Verhältnismässigkeitsgebot verlangen jedenfalls eine Abwägung des Informationsinteresses des Publikums an der Namensnennung gegen das Diskretionsinteresse des Verfügungsadressaten, die sich in den Publikationsverfügungen des EDÖB nicht findet. Augenfällig ist auch, dass bei einer “freiwilligen” Befolgung niederschwelliger Interventionen (z.B. hier) keine Namen genannt werden, bei Verfügungen aber schon. Dies macht aus der niederschwelligen Interventionen faktisch eine Zwangsmassnahme ohne Rechtsgrundlage. Die hohe “Erfolgsquote” dieser Interventionen dürfte sich jedenfalls zum Teil nicht mit spontaner Einsicht, sondern der Furcht vor Reputationsschäden infolge einer Untersuchung und Verfügung erklären lassen.
Viele Anzeigen, wenige formelle Aufsichtshandlungen
Die Zahl der eingegangenen Anzeigen hat sich auf 2’447 mehr als verdoppelt. Davon richteten sich 2’347 gegen private Verantwortliche und nur rund 100 gegen Bundesbehörden. 2’210 davon wurden behandelt, 237 waren offen. Aus dieser Masse resultierten 156 niederschwellige Interventionen, 22 Vorabklärungen und 9 formelle Untersuchungen, von denen im Berichtsjahr 6 eröffnet worden.
Die Quoten zu den Anzeigen liegen damit in etwa wie folgt:
- Niederschwellige Interventionen: 6%
- Vorabklärungen: 1%
- formelle Untersuchungen: 0.36%
Das spricht für das Augenmass des EDÖB und lässt deutlich werden, was auch für Auskunftsbegehren gilt: In der Regel geht es nicht um datenschutzrechtliche Anliegen (zumindest wenn nicht mehrere Anzeigen gegen dasselbe Unternehmen eingehen).
Für Belange des DSG stehen 2026 32 Vollzeitstellen zur Verfügung, eine weniger als 2025. Der Aufwand verteilt sich auf
- Beratung (49,7 %)
- Aufsicht (21,5 %)
- Information (17 %) und
- Gesetzgebung (11,8 %).
Der Aufsichtsanteil ist dabei gegenüber dem Vorjahr (20,3 %) leicht gestiegen.
Verfahren gegen Private: Banken, Inkasso, Auskunfteien
Die Aufsicht konzentriert sich auf private Verantwortliche, mit einer Häufung bei Finanzdienstleistern und beim Auskunftsrecht:
- Gegen PostFinance verfügte der EDÖB, bei der Erstellung von Stimmabdrücken zur Authentifizierung mittels Stimmerkennung eine ausdrückliche Einwilligung einzuholen und Stimmabdrücke ohne solche Einwilligung zu löschen (dazu hier). PostFinance hat gegen die Verfügung und die beabsichtigte Publikation Beschwerde erhoben. Beide Verfahren waren bei Redaktionsschluss des Berichts offenbar noch hängig.
- Gegen Cembra Money Bank schloss der EDÖB im Januar 2025 eine Untersuchung zum Umgang mit Auskunftsgesuchen ab. Cembra hatte keine Beschwerde gegen die Verfügung erhoben.
- Gegen Inkasso-Team ordnete der EDÖB an, die Publikation von Personendaten mutmasslicher Schuldner im Internet zu unterlassen und publizierte Daten zu löschen.
- Gegen eine nicht namentlich genannte Wirtschaftsauskunftei eröffnete der EDÖB eine Untersuchung zur Frage, ob aus Bonitätsauskünften stammende Daten zu Marketingzwecken an Dritte weitergegeben werden dürfen und ob ihr Umgang mit Auskunfts- und Löschungsgesuchen rechtmässig ist.
- In einem Fall, bei Add Conti GmbH, hat der EDÖB wegen Verletzung der Mitwirkungspflicht bei der Staatsanwaltschaft St. Gallen Strafanzeige eingereicht.
KI und Biometrie
Am 3. März 2026 leitete der EDÖB nach einer informellen Vorabklärung eine Untersuchung gegen ein schweizerisches Unternehmen ein, das Dienstleistungen der digitalen Identitätsprüfung und der KI-gestützten Altersidentifikation anbietet und die zur Identitätsprüfung erhobenen biometrischen Daten zur Schulung ihrer KI verwendet. Geprüft wird dabei die Vereinbarkeit der KI-gestützten Bearbeitungen mit den Bearbeitungsgrundsätzen und die Umsetzung der Betroffenenrechte. Auslöser waren offenbar unzureichende Antworten zum Umgang mit Betroffenenbegehren.
Auskunftsrecht zur Beweisbeschaffung
Der EDÖB erhielt erneut zahlreiche Anzeigen von Personen ohne Zugang zu ihren Konten bei Social Media-Anbietern, stellte dabei aber keine Verletzung des Auskunftsrechts fest. Ob sich Betreiber und Nutzer an die Nutzungsbedingungen gehalten haben, ist eine zivilrechtliche Frage. Das Auskunftsrecht dient ausschliesslich der informationellen Selbstbestimmung und ist kein Instrument der Beweiserhebung für zivil- oder strafrechtliche Anliegen, und es erfasst auch keine Daten Dritter, etwa mutmasslicher Hacker. Zugleich hält der EDÖB fest, dass Anbieter die Identität der Nutzer prüfen und Auskünfte verweigern müssen, wenn die Kontoinhaberschaft nicht nachgewiesen ist.
Datensicherheitsverletzungen
Die Zahl der gemeldeten Datensicherheitsverletzungen stieg auf 484 (Vorjahr: 363). Der Anstieg geht fast nur auf freiwillige Meldungen zurück, die von 26 auf 141 zunahmen, während die obligatorischen Meldungen konstant blieben. Anlass soll eine Anpassung des Leitfadens des EDÖB betreffend die Meldung von Datensicherheitsverletzungen sein, mit der der EDÖB ausdrücklich auf die Möglichkeit freiwilliger Meldungen hinweist. Daneben nehmen auch vorläufige Meldungen zu.
Öffentlichkeitsprinzip
Zum Jubiläum des BGÖ verzeichnet der Bericht 203 Schlichtungsanträge im Jahr 2025, einen mehr als im Vorjahr. Der eigentliche Anstieg der Belastung geht auf die Zahl der Zugangsgesuche an die Bundesverwaltung zurück, die sich über zehn Jahre mehr als verdreifacht hat. Die meisten Schlichtungsanträge stammen von Medien (84) und Privaten (53). In 1’030 Fällen vollständiger oder teilweiser Zugangsverweigerung kam es in 20% zu einem Schlichtungsantrag; 207 Verfahren wurden erledigt, in 98 eine Einigung erzielt.
Weitere Punkte
Der Tätigkeitsbericht enthählt weitere Hinweise und Beobachtungen, von denen einige kurz herausgegriffen seien (mehr oder weniger in der Struktur des Berichts):
Digitalisierung
- Dashcams: Permanente Dashcam-Aufnahmen verletzen laut EDÖB die Grundsätze des DSG, weil Zweck und Rechtsgrundlage nicht hinreichend bestimmt sind. Ereignisgesteuerte Systeme, die etwa nur bei einer Vollbremsung, plötzlicher Bewegung oder Erschütterung aufzeichnen und nicht benötigte Aufnahmen rasch löschen, können DSG-konform betrieben werden.
- M365 und Cloud in der Bundesverwaltung: Bei der Migration der Bundesverwaltung auf Microsoft 365 im Projekt CEBA hat der EDÖB dazu beigetragen, dass GEVER-Dossiers, Inhalte von Outlook-Mailboxen sowie besonders schützenswerte Personendaten und Persönlichkeitsprofile weiterhin in Rechenzentren der Bundesverwaltung bearbeitet werden, on-premise und nicht in der Cloud. Ebenfalls verlangt er eine präzise Beschreibung hoher Risiken und risikomindernder Massnahmen in der DSFA. Begrüsst wird zudem, dass die Bundeskanzlei im Projekt BOSS mittelfristig einsetzbare Open-Source-Alternativen zu M365 prüft.
- Sekundärnutzung von Personendaten. Zur Motion 22.3890 (Rahmengesetz für die Sekundärnutzung von Daten) sieht Der EDÖB datenschutzrechtlich keinen Bedarf an einer Neuregelung. Das DSG erlaube Sekundärnutzungen bereits, soweit die Voraussetzungen von Art. 31 bzw. Art. 39 DSG erfüllt sind. Insbesondere könne eine Zweckänderung für nicht personenbezogene Zwecke wie Forschung, Planung oder Statistik gerechtfertigt werden.
Künstliche Intelligenz
- Technologieneutrales DSG: Der EDÖB betont, dass das DSG technologieneutral formuliert ist und auf KI-gestützte Datenbearbeitungen Anwendung findet.
- Zur KI-Konvention des Europarats unterstützt der EDÖB den Ansatz des Bundesrats, die grundrechtsrelevanten Bereiche (auch den Datenschutz) allgemein zu regulieren und bei Bedarf durch sektorielle Vorgaben zu ergänzen (falls es dabei bleibt).
- Bundeseigene KI-Systeme: Für die Bundesverwaltung sieht der EDÖB bundeseigene KI-Systeme als notwendig, um Datenschutz und Informationsschutz einzuhalten. Entscheidend sei, dass Prompts und darin enthaltene Daten lokal bearbeitet und nur befugten Organisationseinheiten zugänglich gemacht werden. Kommerzielle LLM wie Copilot oder ChatGPT bedeuteten demgegenüber aufgrund der mindestens zeitweiligen Speicherung in der Cloud des Anbieters ein Datensicherheitsrisiko.
- Smartglasses: “Intelligente” Brillen werfen Fragen der Transparenz auf. Automatische Lichtsignale genügen dafür nicht ohne Weiteres. Zudem erinnert der EDÖB daran, dass der heimliche Einsatz von Aufnahmegeräten zur Beobachtung oder Aufzeichnung privater Vorgänge strafbar sein kann. Private Nutzer müssen ihre Informationspflichten erfüllen und je nach Verwendung die Einwilligung betroffener Drittpersonen einholen.
- KI-Training mit biometrischen Daten: Am 3. März 2026 eröffnete der EDÖB eine Untersuchung gegen ein schweizerisches Unternehmen, das digitale Identitätsprüfung und KI-gestützte Altersidentifikation anbietet und biometrische Daten aus der Identitätsprüfung zum Training seiner KI verwendet. Gegenstand sind die Vereinbarkeit mit Transparenz, Verhältnismässigkeit, Treu und Glauben, Zweckbindung sowie die Umsetzung der Betroffenenrechte.
Gesundheit
- Elektronisches Gesundheitsdossier: Das elektronische Patientendossier soll durch das elektronische Gesundheitsdossier abgelöst werden. Der Bundesrat hatte die Botschaft dazu im November 2025 ans Parlament überwiesen; mit dem Inkrafttreten sei ab 2030 zu rechnen. Das E‑GD soll automatisch und kostenlos für Personen mit Wohnsitz in der Schweiz eröffnet werden, wobei ein Opt-out möglich sein muss. Der EDÖB verlangt ein echtes, einheitliches und formloses Widerspruchsrecht, einschliesslich analoger Lösungen, eine eigenständige Verwaltung der Zugriffsrechte, Protokolleinsicht sowie hohe Anforderungen an Datenschutz und Datensicherheit. Der Zugriff von Gesundheits-Apps wurde auf seinen Antrag hin verschärft. Die Beibehaltung einer sektoriellen Identifikationsnummer statt der AHV-Nummer begrüsst er, weil sie das Risiko einer Verknüpfung mit anderen Datenbeständen reduziert.
- TARDOC und ambulante Pauschalen: Das neue Tarifsystem für ambulante ärztliche Behandlungen gilt seit dem 1. Januar 2026 und ersetzt TARMED. Es besteht aus TARDOC als Einzelleistungstarif und den ambulanten Pauschalen. Der EDÖB weist hier auf offene technische und rechtliche Fragen hin, insbesondere bei der Übermittlung von Diagnosedaten. Diese dürfen nicht über das hinausgehen, was für die Rechnungskontrolle erforderlich ist.
- SpiGes: SpiGes steht für «Spitalstationäre Gesundheitsversorgung» und ist ein DigiSanté-Projekt zur Umsetzung des Once-Only-Prinzips im stationären Spitalbereich. Spitaldaten sollen einmal erhoben und anschliessend für verschiedene gesetzliche Zwecke genutzt werden können, unter anderem durch Bundesstellen, Kantone, Versicherer, SwissDRG AG und ANQ. Der EDÖB verlangt dabei, dass jeder Empfänger nur auf die für seine gesetzlichen Aufgaben erforderlichen Daten zugreifen kann. Personendaten sind vor der Übermittlung zu anonymisieren und auf das notwendige Minimum zu beschränken.
Verkehr
- SBB-Bodycams: Beim geplanten Einsatz von Bodycams durch Zugbegleiter betont der EDÖB das Legalitätsprinzip. Videoüberwachung stelle einen schweren Grundrechtseingriff dar; die wesentlichen Elemente müssen deshalb formellgesetzlich und möglichst technologieneutral geregelt werden. Die heutigen Grundlagen genügen nach Ansicht des EDÖB nicht. Die SBB haben offenbar zugesagt, mit der Umsetzung zuzuwarten. Gegen die BLT Baselland Transport eröffnete der EDÖB am 24. Februar 2026 wegen bereits eingesetzter Bodycams eine Untersuchung.
- Gesichtserkennung am Flughafen Zürich: Die Flughafen Zürich AG gilt aufgrund ihrer Betriebskonzession als Bundesorgan. Für ein Pilotprojekt zur Gesichtserkennung bei der Bordkartenkontrolle fehlt nach Ansicht des EDÖB eine formellgesetzliche Grundlage. Die Flughafen Zürich AG verzichtet bis zum Inkrafttreten der nötigen Rechtsgrundlage auf die Fortführung.
Öffentlichkeitsprinzip
- Mündliche Schlichtung: 2025 wurden 97 Schlichtungsverhandlungen durchgeführt; in 71 Fällen kam es zu einer Einigung, was einer Quote von 73 Prozent entspricht. Insgesamt wurden 203 Schlichtungsanträge eingereicht und 49 Empfehlungen erlassen. Die hohe Einigungsquote spriche für das Instrument, auch wenn die Regelfristen weiterhin ein Problem bleiben.
- Missbrauch des BGÖ: Interessant ist die sehr berechtigte Kritik des EDÖB an einer zunehmenden Nutzung des BGÖ für sachfremde Zwecke. Er beobachtet vermehrte Versuche, über das BGÖ Rechtsfragen klären zu lassen oder Behördenentscheide zu erwirken, bei denen es in der Sache nicht mehr hauptsächlich um den Zugang zu amtlichen Dokumenten geht. Als Gründe dafür nennt er die Niederschwelligkeit und Kostenlosigkeit des Schlichtungsverfahrens.
- Formalismus und Mitwirkung: Der EDÖB kritisiert zunehmenden Formalismus. Behörden klärten teils zentrale Vorfragen erst im Schlichtungsverfahren, etwa Vertretungsvollmacht, Parteifähigkeit oder Berechtigung zur Gesuchstellung. Auf der anderen Seite sieht sich der EDÖB vermehrt mit formalistischen Verfahrensanträgen konfrontiert.
- Spezialgesetzliche Geltungslücken: Unter Geltungslücken versteht der EDÖB spezialgesetzliche Vorbehalte nach Art. 4 BGÖ, d.h. Bestimmungen in anderen Bundesgesetzen, die bestimmte Informationen als geheim bezeichnen oder vom BGÖ abweichende Zugangsvoraussetzungen schaffen. Der EDÖB führt 13 bestehende und 11 geplante solche Geltungslücken auf. Die bestehenden Ausnahmebestimmungen des BGÖ, insbesondere Art. 7 und 9 BGÖ zum Schutz von Geschäftsgeheimnissen, Privatsphäre und Daten juristischer Personen, sollen laut EDÖB grundsätzlich genügen. Dem ist jedenfalls insoweit zu widersprechen, als das Geschäftsgeheimnis durch die sehr strenge Praxis faktisch völlig ausgehebelt wird.
- Aushöhlung des Öffentlichkeitsprinzips. Problematisch sind für den EDÖB Ausnahmen für Aufsichts‑, Kontroll‑, Audit- und Inspektionsbehörden. Gerade hier bestehe ein erhöhtes öffentliches Interesse an Transparenz. Wird die Aufsichtstätigkeit dem BGÖ entzogen, werden das Öffentlichkeitsprinzip zurückgebaut. Der EDÖB will sich deshalb in Ämterkonsultationen weiterhin gegen neue Spezialbestimmungen aussprechen.