Datenschutzaufsicht in der Schweiz: Zuständigkeiten von EDÖB und kantonalen Stellen

Zwei Ebenen, zwei Aufsichten: Wie der Datenschutz in der Schweiz beaufsichtigt wird

Die Datenschutzaufsicht in der Schweiz ist zweigeteilt. Auf Bundesebene wacht der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) als unabhängige Behörde; für die öffentlichen Organe der Kantone bestehen eigene Aufsichtsstellen.

Zuständig ist nicht das Thema, sondern die handelnde Stelle: Bundesorgane und private Unternehmen auf der einen Seite, kantonale öffentliche Organe auf der anderen. Jede Ebene stützt sich auf eigene Erlasse – auf Bundesebene das Datenschutzgesetz (DSG), in den Kantonen Informations- und Datenschutzgesetze (IDG), etwa jenes des Kantons Zürich oder des Kantons Basel-Stadt.

Der EDÖB: Aufsicht über Bundesorgane und private Unternehmen

Der EDÖB ist eine unabhängige Behörde mit Aufgaben im Datenschutz und Öffentlichkeitsprinzip. Als Datenschutz-Aufsichtsbehörde schützt er das Recht jeder Person auf Privatsphäre und wirkt darauf hin, dass Bundesorgane und private Unternehmen keine unrechtmässigen Personendatenbearbeitungen vornehmen.

Er untersucht Verstösse gegen Datenschutzvorschriften und ordnet nötigenfalls Verwaltungsmassnahmen zu deren Durchsetzung an. Verantwortliche – private wie behördliche – müssen eine Datenschutz-Folgenabschätzung erstellen, wenn eine Personendatenbearbeitung ein potenziell hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen erkennen lässt.

Das zweite Standbein ist das Öffentlichkeitsprinzip: Der EDÖB ist Schlichtungsstelle für den Zugang zu amtlichen Dokumenten. Verweigert eine Bundesbehörde den Zugang nach dem Öffentlichkeitsgesetz, vermittelt er auf Antrag zwischen Privaten und Behörde; kommt keine Einigung zustande, erlässt er Empfehlungen.

Der Bundesversammlung erstattet er jährlich Bericht (Tätigkeitsbericht des EDÖB). Die Hotline für Datenschutzfragen ist von Montag bis Freitag zwischen 10 und 11:30 Uhr unter 058 462 43 95 erreichbar; alternativ steht das Kontaktformular zur Verfügung. Sitz: Feldeggweg 1, 3003 Bern.

Kantonale Datenschutzbeauftragte: unabhängige Aufsicht mit eigenem Gesetz

Die kantonalen Stellen sind unabhängige Aufsichtsbehörden. Ihr Aufgabenprofil ähnelt dem des EDÖB, ist aber auf die öffentlichen Organe des eigenen Kantons ausgerichtet.

Dr. Dominika Blonski, Datenschutzbeauftragte des Kantons Zürich, nennt als zentrale Aufgabe den Schutz der persönlichen Daten und damit der Privatsphäre der Einwohnerinnen und Einwohner des Kantons. Ihre Stelle unterstützt öffentliche Organe bei der Umsetzung von Datenschutz und Informationssicherheit, stellt dafür Anleitungen und Vorlagen bereit und bietet Gemeinden und Städten ein Schulungsformat zu Datenschutz und Informationssicherheit an.

Für die Bevölkerung führt sie praktische Tipps und Checklisten sowie Musterbriefe für die Durchsetzung eigener Rechte.

Für Basel-Stadt umschreibt Datenschutzbeauftragte Danielle Kaufmann das Profil so: Die Stelle nimmt Aufgaben im Bereich des Datenschutzrechts und des Öffentlichkeitsprinzips wahr, mit dem Ziel, die Grundrechte der Menschen im Kanton Basel-Stadt zu schützen.

Sie berät öffentliche Organe zum rechtmässigen Umgang mit Informationen sowie Private zu ihren Rechten, nimmt Stellung zu relevanten Datenbearbeitungen und Rechtsetzungsprojekten und kontrolliert die Einhaltung der massgeblichen Gesetzesbestimmungen. Auch das Öffentlichkeitsprinzip gehört damit zum kantonalen Aufgabenbereich.

Rechtsgrundlage ist das kantonale IDG. Im Kanton Zürich steht ein neues IDG vor dem Inkrafttreten; der IDG-Praxiskommentar erscheint 2027 rechtzeitig dazu als kostenfreier Open Access, und die Datenschutzbeauftragte erklärt die geltenden Regeln in kompakter Form («IDG kurz erklärt»).

In Basel-Stadt ist das revidierte IDG bereits wirksam und hat neue Anforderungen mit sich gebracht, die zusammen mit der voranschreitenden Digitalisierung der Verwaltung und dem zunehmenden Einsatz von Anwendungen der künstlichen Intelligenz zur hohen Geschäftslast der Aufsichtsstelle beitragen.

Wiederkehrendes Informationsgefäss ist der Tätigkeitsbericht – Zürich veröffentlichte den Tätigkeitsbericht 2025, Basel-Stadt die Berichte 2024 und 2025.

Wer ist zuständig? Abgrenzung zwischen Bund, Kanton und Privatwirtschaft

Drei typische Konstellationen: Richtet sich ein Anliegen gegen ein Bundesorgan, ist der EDÖB zuständig. Betrifft es eine kantonale Verwaltungsstelle, ist die Datenschutzbeauftragte des betreffenden Kantons die richtige Adresse; ihre Aufsicht erstreckt sich auf die öffentlichen Organe ihres eigenen Kantons. Geht es um ein privates Unternehmen, gilt das Bundesrecht und damit die Zuständigkeit des EDÖB.

Für die Wahl der Anlaufstelle sind drei Fragen zu klären: Wer hat die Daten bearbeitet – ein Bundesorgan, ein kantonales öffentliches Organ oder ein privates Unternehmen? In welchem Kanton ist das öffentliche Organ tätig? Und geht es um Datenschutz oder um den Zugang zu amtlichen Dokumenten?

Beim Dokumentenzugang ist die Ebene zu unterscheiden: Auf Bundesebene ist der EDÖB Schlichtungsstelle nach Öffentlichkeitsgesetz; in Basel-Stadt nimmt die Datenschutzbeauftragte zusätzlich Aufgaben des Öffentlichkeitsprinzips wahr. Private können sich bei den kantonalen Stellen über ihre Rechte beraten lassen – die Aufsicht über private Unternehmen liegt aber beim EDÖB.

EDÖB und kantonale Datenschutzbeauftragte: Zuständigkeiten im Vergleich

Zuständige Datenschutz-Aufsichtsstelle bestimmen: drei Fragen

Aktuelle Schwerpunkte: KI, Cloud-Auslagerung und Meldepflichten

Künstliche Intelligenz: Der EDÖB weist darauf hin, dass das Schweizer Datenschutzgesetz (DSG) auf KI-gestützte Datenbearbeitungen direkt anwendbar ist; KI durchdringe auch in der Schweiz in rasch zunehmendem Ausmass das Leben der Bevölkerung.

In dieselbe Richtung weist die Erfahrung der Basler Aufsichtsstelle: Der zunehmende Einsatz von Anwendungen der künstlichen Intelligenz gehört dort zu den Gründen für die gestiegene Geschäftslast.

Cloud und Auslandübermittlung: Privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, warnt eindringlich vor der Auslagerung besonders schützenswerter Personendaten in internationale Cloud-Lösungen.

Der EDÖB behandelt die Bekanntgabe von Personendaten ins Ausland, die besonderen Regeln unterliegt, sowie die Auftragsdatenbearbeitung (Outsourcing) als eigene Themen.

Digitalisierung der Verwaltung: Die Zürcher Datenschutzbeauftragte beschreibt ein neues Thema bei Gemeinden und Städten – die digitale Bearbeitung des Posteingangs.

Viele Gemeinden und Städte planen, eingehende Briefe zentral zu öffnen, zu scannen und automatisiert zuzustellen, damit sie anschliessend in Geschäftsverwaltungssystemen und Fachapplikationen der Verwaltungseinheiten weiterbearbeitet werden können.

Instrumente und Meldepflichten: Wo ein potenziell hohes Risiko besteht, verlangt das DSG eine Datenschutz-Folgenabschätzung.

In Basel-Stadt soll ein neues Formular die Folgenabschätzung für Vorhaben und Projekte sowie die darauf folgende Vorabkonsultation für alle Beteiligten vereinfachen, indem es gezielt die von der Aufsichtsbehörde für ihre Einschätzung benötigten Informationen abfragt.

Ergänzt wurde dort auch das Merkblatt zur Meldung von Datenschutzverletzungen: Es präzisiert, ab welcher Risikoschwelle Datenschutzverletzungen der Datenschutzbeauftragten zu melden und in welchen Fällen die betroffenen Personen zu informieren sind. In der Konferenz Privatim bündeln die schweizerischen Datenschutzbeauftragten gemeinsame Positionen.

Auskunft, Beschwerde, Beratung: die passende Anlaufstelle finden

Betroffene können sich auf das Recht auf informationelle Selbstbestimmung stützen und Auskunft über die Bearbeitung ihrer Personendaten verlangen. Die Informationspflicht dient einer transparenten Datenbearbeitung und stärkt die Rechte der betroffenen Personen: Ohne Information bemerkt eine Person möglicherweise nicht, dass ihre Daten bearbeitet werden, und kann ihre Rechte nach dem DSG nicht geltend machen.

Die kantonale Seite stellt dafür Hilfsmittel bereit – die Zürcher Datenschutzbeauftragte bietet Informationen und Musterbriefe zum Auskunftsrecht und zum Sperren des Zugangs zu den eigenen Daten sowie Checklisten und Tipps zum Schutz der persönlichen Informationen.

Je nach Sachverhalt führen unterschiedliche Wege zum Ziel. Private erhalten bei den kantonalen Beauftragten Beratung zu ihren Rechten; für die Meldung einer Datenschutzverletzung ist die zuständige Aufsichtsstelle die richtige Anlaufstelle.