32. Tätigkeitsbericht 2024/2025

EDÖB 32. Tätigkeitsbericht 2024/2025ch-federal-data-protection-and-information-commissioner1 juil. 2025

Ouvrir la source

img-0.jpeg

32. Tätigkeitsbericht 2024/2025 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schweizerische Eidgenossenschaft Confédération suisse Confederazione Svizzera Confederaziun svizra

Tätigkeitsbericht 2024/2025

des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten

Der EDÖB erstattet der Bundesversammlung jährlich Bericht über seine Tätigkeit. Er übermittelt ihn gleichzeitig dem Bundesrat. Der Bericht wird veröffentlicht (Art. 57 DSG).

Der vorliegende Bericht deckt für den Bereich Datenschutz den Zeitraum zwischen 1. April 2024 und 31. März 2025 ab. Für den Bereich Öffentlichkeitsprinzip entspricht er dem Kalenderjahr 1. Januar bis 31. Dezember 2024.

Schweizerische Eidgenossenschaft Confédération suisse Confederazione Svizzera Confederaziun svizra

img-1.jpeg

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Primat der Politik und Sprache

Mit einer für jedermann zugänglichen künstlichen Intelligenz hat die Digitalisierung ihr jüngstes Maschinenwunder hervorgebracht, das uns mit autonomem Schreiben, Sprechen, Singen oder Malen in Staunen versetzt.

Aber, wer nur vor sich hin «staunt», könnte ins digitale Hintertreffen geraten. Damit es nicht soweit kommt, ist digitale Kompetenz für alle angesagt. Diese Botschaft erreicht uns auf allen Medienkanälen. Verbreitet wird sie auch aus Kreisen des Datenschutzes, die aus guten Gründen darüber aufklären, wie sich das «Tracking», die Weitergabe von Standortdaten oder die Fütterung von künstlicher Intelligenz mit eigenen Daten verhindern lassen.

Berechtigt ist gewiss auch die Erwartung, dass sich Politikerinnen und Politiker mit der digitalen Realität vertraut machen. Übers Ziel hinaus schiessen hingegen Stimmen, die für die Ausübung politischer Ämter einen Nachweis digitaler Kompetenzen fordern. Volksvertreterinnen und -vertreter sind sehr wohl in der Lage, die gesellschaftlichen Chancen und Risiken digitaler Technologien abzuwägen. Aber sie müssen sich darauf verlassen können, dass jene, welche diese Technologien und deren komplexe Anwendungsumgebungen durchschauen, willens und fähig sind, ihr Wissen in einer verständlichen Sprache zu teilen.

So wirkte die Datenschutzaufsicht des Bundes denn auch in der aktuellen Berichtsperiode hartnäckig darauf hin, dass die Verwaltung in den Anträgen an den Bundesrat und den Botschaften zuhanden des Parlaments die datenschutzrelevanten Risiken ihrer Digitalisierungsvorhaben in verständlicher Prosa ausweist.

Adrian Lobsiger

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Bern, den 31. März 2025

  1. Tätigkeitsbericht 2024/2025

Inhaltsverzeichnis

Aktuelle Herausforderungen ... 8

Datenschutz

1.1 Digitalisierung und Grundrechte ... 15

  • Beratung: Projekt CEBA der Bundeskanzlei ... 15
  • Digitale Verwaltung Schweiz (DVS): Neue Aufgaben werfen Rechtsfragen auf ... 16
  • Wahlfälschung: Unlautere Praktiken bei Unterschriftensammlungen ... 16
  • E-Voting: Zuständigkeiten klar geregelt ... 17
  • E-ID: Mitwirkung des EDÖB an der Ausarbeitung des Gesetzesentwurfs für die E-ID ... 17
  • Elektronischer Rechtsverkehr: Projekt Justitia 4.0 von Bund und Kantonen ... 18
  • Cyberkriminalität: Cyberangriff auf OneLog ... 18
  • Cyberangriff: Abschluss der informellen Vorabklärungen betreffend die Concevis AG und das Bundesamt für Statistik (BFS) ... 19

Schwerpunkt ... 20

Neue Praxis und Aufsichtshandlungen

1.2 Justiz, Polizei, Sicherheit ... 29

  • Cyberkriminalität: Untersuchungen gegen das Unternehmen Xplain und die Bundesämter fedpol und BAZG enden mit Annahme der Empfehlungen ... 29
  • Gesetzgebung: Revision des Nachrichtendienstgesetzes ... 30

1.3 Wirtschaft und Gesellschaft ... 32

  • Plattformübergreifendes Tracking: Stellungnahme von Ricardo und TX Group zu den Empfehlungen des EDÖB ... 32
  • Kundenkonto: EDÖB begleitet die Umsetzung der vom Onlineshop angenommenen Empfehlungen ... 33
  • OnlineKampagne: Untersuchung gegen den Verein Bürgerforum Schweiz ... 34
  • Wohnungsmarkt: Unzulässige Fragen in Bewerbungsformularen für Mietwohnungen ... 36

1.4 Gesundheit ... 39

  • Doping: Übermittlung der medizinischen Daten von Schweizer Athletinnen und Athleten ... 39
  • Patientenformulare: Zwischen Informationspflicht und Einwilligung ... 40
  • Elektronisches Patientendossier: Umfassende Revision des Gesetzes und Übergangsfinanzierung ... 41

1.5 Arbeit ... 42

  • Bundespersonalrecht: Whistleblowing-Plattform ... 42
  • Bundespersonalrecht: Profiling im Rahmen von Assessments und aktiver Personalsuche ... 43
  • Mitarbeiterüberwachung: Einhaltung der Datenschutzgrundsätze ... 44

1.6 Verkehr ... 47

  • Projekt Swisscom Broadcast: EDÖB fordert Antworten zum Drohnennetzwerk der Swisscom ... 47
  • Biometrie: Gesichtserkennung am Flughafen Zürich ... 47
  • Passenger Name Records: Flugpassagierdatengesetz ... 48
  • ÖV-Plattform NOVA: Kontrolle bei den SBB ... 48

1.7 International ... 50

  • Data Scraping ... 50
  • Swiss- US DPF (Data Privacy Framework) ... 51
  • Schengen ... 54
  • Europarat ... 57
  • Spring Conference ... 59
  • European Case Handling Workshop (ECHW) ... 57
  • OECD ... 59
  • Privacy Symposium ... 61
  • GPA ... 61
  • AFAPDP ... 62
  • Bilaterale Treffen ... 63

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Inhaltsverzeichnis

Öffentlichkeitsprinzip

2.1 Allgemein 66 2.2 Zugangsgesuche – erhebliche Zunahme im 2024 68 2.3 Schlichtungsverfahren – erhebliche Zunahme der Schlichtungsanträge 72 – Anteil einvernehmlicher Lösungen 72 – Dauer der Schlichtungsverfahren 73 – Anzahl hängiger Fälle 75 2.4 Gesetzgebungsverfahren 76 – Bericht der GPK-S: Bundesrat verzichtet auf nähere Prüfung eines Verfügungsrechts des EDÖB 76 – Bundespersonalrecht: Einschränkung des Öffentlichkeitsprinzips beim Whistleblowing 78 – Luftfahrt: Einschränkung des Öffentlichkeitsprinzips bei der Aufsicht über die Zivilluftfahrt 79 – Luftfahrt: Änderung der Verordnung über die Sicherheitsuntersuchung von Zwischenfällen im Verkehrswesen VSZV 80 – Finanzaufsicht: Neues Bundesgesetz über die Transparenz von juristischen Personen 81 – Notrecht: Anwendung von Notrecht: Bericht des Bundesrates 82 2.5 Spezialgesetzliche Vorbehalte nach Art. 4 BGÖ 84

Der EDÖB

3.1 Aufgaben und Ressourcen 90 – Leistungen und Ressourcen im Bereich Datenschutz 90 – Leistungen und Ressourcen im Bereich Öffentlichkeitsgesetz 92 – Dienststellenbesuch der Subkommission EJPD/BK der Geschäftsprüfungskommission des Nationalrates 94 – Datenschutzberater des EDÖB 94 3.2 Kommunikation 96 – Medienmitteilungen 96 – Kurzmeldungen 96 – Information und Sensibilisierung 96 – Website 97 – Medienarbeit 97 3.3 Statistiken 98 – Statistiken über die Tätigkeiten des EDÖB vom 1. April 2024 bis 31. März 2025 98 – Übersicht der Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar bis 31. Dezember 2024 100 – Statistiken über Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar bis 31. Dezember 2024 101 – Anzahl Schlichtungsgesuche nach Kategorien der Antragstellenden 104 – Zugangsgesuche der gesamten Bundesverwaltung vom 1. Januar bis 31. Dezember 2024 105 3.4 Organisation EDÖB 106 – Organigramm 106 – Mitarbeiter und Mitarbeiterinnen des EDÖB 107 Abkürzungsverzeichnis 108 Abbildungsverzeichnis 109 Impressum 110 Umschlag – Kennzahlen

  1. Tätigkeitsbericht 2024/2025

Aktuelle Herausforderungen

Aktuelle Herausforderungen

I Datenschutz

Die demokratischen Gesellschaften des Westens verfügen über genügend digitale Technologie, Finanzkraft und Manpower, um ihre Kontrollinfrastrukturen so auszubauen, dass sich das von den liberalen Verfassungen garantierte private und selbstbestimmte Leben ihrer Bürgerinnen und Bürger in sein Gegenteil verkehrt. Sensoren und Drohnen sind billig, lassen sich in fast beliebiger Anzahl herstellen und für die flächendeckende Überwachung aller Bewegungen und Gesichter im öffentlichen Raum einsetzen. All das lässt sich kombinieren mit einer Vernetzung aller behördlichen Informationssysteme und einer von Staat und Digitalwirtschaft perfektionierten Überwachung der virtuellen Welt bis hin zur KI-gestützten Sozialkontrolle oder «Social Scoring». So würde alsdann auch der Alltag von Menschen im Westen einer nahezu totalen Überwachung ausgesetzt.

Das technologieneutrale Schweizer Datenschutzgesetz (DSG) verbietet flächendeckende Gesichtserkennung und «Social Scoring», wenngleich der Beauftragte dieses Verbot erst durch Auslegung dieses Erlasses herleiten kann, weil es dort im Gegensatz zum AI Act der EU nicht explizit verankert ist (s. unsere Mitteilung vom 9.11.2023). Datenschutzrecht und -aufsichtsbehörden wie der EDÖB tragen so dazu bei, dass sich westliche Demokratien nicht unbesehen dem süssen Gift des technologisch Machbaren ergeben. Der Datenschutz selbst gründet auf den verfassungsmässigen Freiheitsgarantien und der allgemeinen Rechtsüberzeugung, dass diese Garantien respektiert und durch unabhängige Institutionen des demokratischen Rechtsstaats durchgesetzt werden müssen.

In nicht wenigen westlichen Partnerstaaten der Schweiz öffnet sich indessen ein Meinungsgraben zwischen Anhängern des Rechtsstaats und Kreisen, die angeblich nichts zu verbergen haben und demzufolge den Grundrechts- und Datenschutz für sich als unnötige Bevormundung und für andere als Zwängerei einer abgehobenen Bürokratie zurückweisen, die angeblich lieber «Täter» als Bürger schützt. Mit besonderem Unverständnis reagieren diese oft von Ressentiments gegen

«Eliten» getriebenen Kreise, wenn Gerichte und Aufsichtsbehörden Handlungen der Exekutivmacht überprüfen.

Mit der repetitiven Kritik am Rechtsstaat und stetigen Vertiefung des Meinungsgrabens verfestigt sich in den betroffenen westlichen Gemeinschaften ein von einem unstillbaren Durst nach Sicherheit bestimmtes Denken. Ein kognitives Muster, das nach einer Aufrüstung aller Kontrollinfrastrukturen nach Massgabe des technologisch Machbaren verlangt und die beengenden Folgen der digitalen Sozialkontrolle für «Kriminelle», «Fremde» und Andersdenkende begrüsst und für die eigene Person und Gleichgesinnte ausblendet. Wo solches Denken im Westen zur Leitkultur wird, erwartet auch das dort lebende Individuum eine Existenz als bis in die Intimsphäre fremdbestimmtes Objekt informationeller Übermacht, und zwar eher über kurz als lang.

«Das DSG verbietet flächendeckende Gesichtserkennung und digitale Sozialkontrolle.»

8

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Aktuelle Herausforderungen

II Öffentlichkeitsprinzip

Bearbeitungsdauer von Zugangsgesuchen und Schlichtungsverfahren

Das steigende Interesse am Öffentlichkeitsprinzip führt zu mehr Gesuchen um Zugang zu Verwaltungsdokumenten.

Dies gilt ebenso für die Schlichtungsverfahren beim EDÖB: Im 2024 sind so viele Schlichtungsanträge wie noch nie eingegangen, was sich auf die Erledigungsdauer der Schlichtungsverfahren nachteilig ausgewirkt hat. Die gesetzliche Bearbeitungsdauer von 30 Tagen konnte der Beauftragte im Berichtsjahr nur in gut einem Viertel der Verfahren einhalten (s. Kap. 2.3). Neben der Anzahl hat auch die Komplexität der juristischen Fragestellungen bei den Schlichtungsanträgen zugenommen, was ebenfalls zu längeren Verfahren führte. So erfordern Abgrenzungsfragen bezüglich der Anwendbarkeit des Öffentlichkeitsgesetzes mitunter umfangreiche Abklärungen, bevor allenfalls eine Beurteilung in der Sache erfolgen kann. Auch der Einbezug von Rechtsvertretungen im Schlichtungsverfahren

(sowohl auf Seiten der Gesuchstellenden oder Dritten wie auch bei der Verwaltung) führt in der Mehrheit der Fälle zu längeren Verfahren.

Angesichts des auch für die Zukunft erwartbaren wachsenden Interesses am Zugang zu amtlichen Dokumenten und der damit weiter ansteigenden Zahl von Schlichtungsanträgen wird die zeitnahe Durchführung von Schlichtungsverfahren herausfordernd bleiben.

Wachsende Anzahl spezialgesetzlicher Ausnahmen vom BGÖ

Die Bestrebungen der Verwaltung, Teilbereiche ihrer Tätigkeit oder bestimmte Kategorien von Dokumenten vom Öffentlichkeitsprinzip auszunehmen, halten an. Der EDÖB hat in den jeweiligen Ämterkonsultationen kritisch Stellung bezogen, da die Einführung von Vorbehalten zu einer Schwächung des Öffentlichkeitsprinzips und der damit bezweckten Verwaltungstransparenz führt. Ob einer Gesetzesbestimmung Vorrang im Sinne einer Spezialbestimmung gemäss Art. 4 BGÖ zukommt, ist jeweils für den konkreten Fall durch Auslegung der betreffenden Normen zu ermitteln.

Angesichts der wachsenden Anzahl der spezialgesetzlichen Ausschlüsse des Öffentlichkeitsgesetzes publiziert der EDÖB wie schon im letzten Tätigkeitsbericht eine Tabelle mit dem aktuellen Stand dieser Ausschlüsse (s. Kap. 2.5), die auch auf der Webseite des EDÖB zu finden ist.

«2024 sind so viele Schlichtungsanträge eingegangen wie noch nie.»

  1. Tätigkeitsbericht 2024/2025

9

Aktuelle Herausforderungen

III Nationale und internationale Kooperation

National

Um eine wirksame und umfassende Aufsicht zu gewährleisten, haben die Datenschutzbehörden von Bund und Kantonen ihre Zusammenarbeit weiter verstärkt.

Der EDÖB setzte sich mit den Partnerbehörden weiterhin mit dem Thema auseinander, wann die Datenschutzgesetzgebungen des Bundes und wann jene der Kantone zur Anwendung gelangen (vgl. 31. TB, Kap. III). Diese Abgrenzungsfragen wurden namentlich im Zusammenhang mit arbeitsrechtlichen Vertragsverhältnissen in privatrechtlichen Organisationen untersucht, die öffentliche Aufgaben erfüllen oder die vom Kanton oder von kantonalen öffentlichen Organen einen Leistungsvertrag erhalten haben. Konkret wurden beispielsweise Diskussionen über den öffentlichen Verkehr und über medizinisch-soziale Einrichtungen (z. B. Pflegeheime) geführt.

Die Datenschutzbehörden führten auch regelmässige Gespräche über die Einführung und/oder den Betrieb gemeinsamer Datenbankplattformen. Dazu waren vertiefte juristische und technische Abklärungen vor allem betreffend die klare Differenzierung von Zuständigkeiten und Aufgaben notwendig. Besonders relevant ist diese

Frage, wenn der Bund eine Plattform betreibt, die Personendaten aus kantonalen Quellen bearbeitet, deren Erfassung auf kantonalen Bestimmungen beruht. Als Beispiele seien hierzu die Projekte POLAP (vgl. Kap. 1.2), Justitia (vgl. Kap. 1.1) und eVoting (vgl. Kap. 1.1) angeführt. Zum Projekt POLAP legten der EDÖB und privatim Stellungnahmen vor (EDÖB vom 27.03.2024; privatim vom 23.02.2024).

Austausch mit privatim

Schliesslich nahm der EDÖB als assoziiertes Mitglied an den Versammlungen der kantonalen Datenschutzbehörden (Konferenz der schweizerischen Datenschutzbeauftragten, privatim) teil, an denen aktuelle Fragen zum Thema Cloud und zu den juristischen Auswirkungen von Verstössen gegen den Schutz und die Sicherheit von Daten erörtert wurden.

Jährlicher Austausch mit den Datenschutzberaterinnen und -beratern des Bundes

Zum zweiten Mal in Folge führte der EDÖB eine Informationsveranstaltung für Datenschutzberaterinnen und -berater des Bundes durch. Letztere gelangen regelmässig an den EDÖB, der ihr erster Ansprechpartner ist. Als solcher hat er dafür zu sorgen, dass rechtliche, technische oder praktische Neuerungen im Datenschutzbereich offen kommuniziert werden, damit sie ihren gesetzlichen Auftrag erfüllen können. Zudem bot der Anlass Gelegenheit zur Begegnung mit Kolleginnen und Kollegen und zum Austausch über die alltäglichen Herausforderungen in der Amtstätigkeit.

Jährliche Treffen mit Schweizer Vereinigungen im Bereich des Datenschutzes

Die jährlichen Treffen mit den Schweizer Vereinigungen im Bereich des Datenschutzes dienten dem Austausch über aktuelle Herausforderungen. Dieser unmittelbare Kontakt mit privaten Unternehmen ermöglicht einen wertvollen Einblick in deren Realität und erlaubt es dem EDÖB, sich ein Bild von deren Vorgehensweisen, Herausforderungen, Prioritäten sowie von den Anliegen der verschiedenen Sprachregionen zu verschaffen.

10

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Aktuelle Herausforderungen

International

Der internationale Austausch bleibt angesichts der Präsenz globaler Technologieunternehmen im schweizerischen Markt und der damit verbundenen Vollzugsfragen mit grenzüberschreitendem Charakter weiterhin von zentraler Bedeutung.

Der EDÖB ist weiterhin in wichtigen internationalen Gremien vertreten. Von primärer Bedeutung ist für den Beauftragten der Austausch mit Datenschutzbehörden der EU und des EWR. Mit ebenso grossem Interesse hat er im Berichtsjahr an den informellen Sitzungen der Staaten mitgewirkt, die einen Angemessenheitsbeschluss der EU besitzen (sog. «Adequacy Groups»), zu welchen einerseits die EU und andererseits die Datenschutzbehörde von Grossbritannien einluden.

  1. Tätigkeitsbericht 2024/2025

11

Datenschutz

img-2.jpeg

img-3.jpeg

img-4.jpeg

Datenschutz

1.1 Digitalisierung und Grundrechte

BERATUNG

Projekt CEBA der Bundeskanzlei

Der EDÖB führte seine aufsichtsrechtliche Begleitung des Projekts «Cloud Enabling Büroautomation», kurz CEBA, im Berichtsjahr weiter. Im Fokus stand die Prüfung der von der Verwaltung erstellten Datenschutz-Folgenabschätzung und die ersten Schulungen des Bundespersonals.

Das im Jahr 2019 initiierte Projekt «Cloud Enabling Büroautomation (CEBA)» wird vom Bereich Digitale Transformation und IKT-Lenkung (DTI) der Bundeskanzlei (BK) geleitet. Ziel des Projekts ist es, die aktuell in den Arbeitsplatzsystemen der Bundesverwaltung eingesetzte Office-Produktsuite «Microsoft Office LTSC Professional Plus 2021» durch die cloudbasierte Lösung «Microsoft Office 365» (M365) zu ersetzen. Der Bereich DTI hat den

EDÖB frühzeitig in das Projekt einbezogen, sodass wir die Öffentlichkeit schon in der letzten Berichtsperiode über dieses Auslagerungsprojekt in die Public Cloud informiert hatten (s. 31. TB, Kap. 1.1, sowie Mitteilung vom 7. März 2023).

Nachdem der Beauftragte seit der Lancierung des Projekts u. a. erfolgreich darauf hinwirken konnte, dass das DTI mittelfristig einsetzbare Alternativen zu Microsoft Office 365 prüft, stehen nun die Anpassung und Präzisierung der vom DTI erstellten Datenschutz-Folgenabschätzung (DSFA) und die ersten Schulungen des Personals im Fokus seiner aufsichtsrechtlichen Beratung.

Der EDÖB verlangt, dass die Verhältnismässigkeit einer cloudbasierten Bundeslösung geprüft und datenschutzrechtlich relevante Risiken – insbesondere hinsichtlich ausländischer Behördenzugriffe und Abhängigkeiten von marktbeherrschenden Cloudanbietern – analysiert und bewertet werden müssen. Mit seinen Stellungnahmen zu den laufend angepassten Versionen der DSFA wirkte er darauf hin, dass wesentliche Risiken besser beschrieben und notwendige Massnahmen zur Risikominimierung klarer definiert werden. Derzeit arbeitet das DTI daran, entsprechende Präzisierungen und Ergänzungen vorzunehmen. Gleichzeitig

werden unabhängige Audits durchgeführt, deren Ergebnisse in der nächsten Version der DSFA ebenfalls berücksichtigt werden sollen.

Eine wichtige Massnahme zur Risikominimierung des Projekts CEBA ist die Kennzeichnung von Dokumenten mit sensiblen Personendaten, die weiterhin in den Rechenzentren der Bundesverwaltung bearbeitet werden sollen. Hierzu muss das Bundespersonal entsprechend geschult werden. Einige Mitarbeitende des EDÖB besuchten die ersten Schulungen, um sicherzustellen, dass die Datenschutz- und Sicherheitsanforderungen eingehalten werden. Als der BK administrativ beigeordnete Einheit wird der EDÖB diese Migrationsdienstleistungen und Schulungen zu einem späteren Zeitpunkt ebenfalls in Anspruch nehmen.

  1. Tätigkeitsbericht 2024/2025

15

Datenschutz

DIGITALE VERWALTUNG SCHWEIZ (DVS)

Neue Aufgaben werfen Rechtsfragen auf

Die Digitale Verwaltung Schweiz übernimmt neu die Aufgaben der Schweizerischen Informatikkonferenz. Der EDÖB und die kantonalen Datenschutzbehörden klären ihre Zusammenarbeit mit der DVS im Rahmen ihrer jeweiligen föderalen Zuständigkeiten.

Im Berichtsjahr kam es zur vollständigen Übertragung der Aufgaben der Schweizerischen Informatikkonferenz (SIK) auf die ebenfalls von Bund und Kantonen gemeinsam getragene Digitale Verwaltung Schweiz (DVS). Infolgedessen übernimmt die DVS auch die Konditionserklärungen mit Anbieterinnen und Anbietern im Bereich der Informations- und Kommunikationstechnologie (IKT). Darüber hinaus ist sie neu Mehrheitsaktionärin der eOperations Schweiz AG.

In diesem Zusammenhang stellten sich für den EDÖB und die kantonalen Datenschutzbehörden Fragen zur Rechtsnatur der Digitalen Verwaltung

Schweiz und den daraus resultierenden Rechtsfolgen und Zuständigkeitsabgrenzungen. So etwa, ob die DVS als eine nach dem Obligationenrecht konstituierte einfache Gesellschaft ohne Rechtspersönlichkeit gestützt auf die öffentlich-rechtliche Rahmenvereinbarung, welche den Leistungsauftrag der DVS bestimmt, als öffentliches Organ resp. als öffentliches Bundesorgan i. S. des DSG zu qualifizieren ist.

WAHLFÄLSCHUNG

Unlautere Praktiken bei Unterschriftensammlungen

Infolge verschiedener Medienartikel und Meldungen aus der Bevölkerung setzte sich der EDÖB als Aufsichtsbehörde mit dem Fall von mutmasslich gefälschten Unterschriften und fragwürdigen Unterschriftensammlungen im Zusammenhang mit Volksinitiativen und Referenden auseinander.

Der EDÖB prüfte insbesondere Datenschutzfragen in Verbindung mit den gesetzlich verankerten politischen Rechten. Er ermittelte, wer Zugang zu den Daten hat und zu welchen Zwecken Daten aus Unterschriftensammlungen bearbeitet werden. Nach gegenwärtigem Wissensstand des EDÖB handelt es sich nicht um eine datenschutzrechtliche Problematik. In der Tat scheint der mutmassliche Betrug auf erfundene Unterschriften oder Adressen sowie auf nicht mehr existierende Unterzeichnende zurückzuführen zu sein. Dies schliesst eine Verknüpfung mit identifizierten oder identifizierbaren natürlichen Person aus, was bedeutet, dass die betreffenden Angaben keine Personendaten sind und das Datenschutzgesetz somit nicht anwendbar ist.

16

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

E-VOTING

Zuständigkeiten klar geregelt

Beim E-Voting obliegt die Aufsicht über die Einhaltung des Datenschutzes den Kantonen.

Bund und Kantone betreiben seit 2004 das Projekt Vote électronique. Mit Beschluss vom 26. Juni 2019 hat der Bundesrat die Bundeskanzlei (BK) beauftragt, gemeinsam mit den Kantonen eine Neuausrichtung des E-Voting-Versuchsbetriebes zu konzipieren. Der gemeinsame Schlussbericht zur Neuausrichtung und Wiederaufnahme der Versuche sah eine Revision der Rechtsgrundlagen zum E-Voting vor. Die teilrevidierte Verordnung über die politischen Rechte (VPR) und die totalrevidierte Verordnung der BK über die elektronische Stimmabgabe (VEleS) traten am 1. Juli 2022 in Kraft. Gemäss Art. 14 VEleS liegt die Gesamtverantwortung für den korrekten Ablauf bei den Kantonen.

Die Rolle des Bundes bzw. der Bundeskanzlei im Projekt ist es, den Kantonen Grundbewilligungen für die versuchsweise Durchführung der elektronischen Stimmabgabe zu erteilen (Art. 27a bis 27q VPR). Um die Sicherheit von E-Voting unter Berücksichtigung neuster Entwicklungen zu gewährleisten, führen Bund und

Kantone einen gemeinsamen Massnahmenkatalog. Dieser wird laufend überprüft, angepasst und publiziert und zeigt die geplanten Weiterentwicklungen im Bereich E-Voting und den eruierten Handlungsbedarf auf.

Die Bundeskanzlei ist ausserdem zuständig für die Überprüfung der für das E-Voting eingesetzten Systeme. Aktuell wird das System der Schweizerischen Post eingesetzt. Jeder Kanton kann selber über dessen Einsatz entscheiden. Heute verfügen vier Kantone über eine Bewilligung für die Durchführung von E-Voting; es sind dies St. Gallen, Basel-Stadt, Thurgau und Graubünden.

Da die BK beim E-Voting lediglich die Rolle einer Zertifizierungsstelle wahrnimmt, die Verantwortung für die Überprüfung der Sicherheit der Systeme jedoch bei den Kantonen liegt, liegt die Aufsicht über die Einhaltung des Datenschutzes einzig bei den kantonalen Behörden.

E-ID

Mitwirkung des EDÖB an der Ausarbeitung des Gesetzesentwurfs für die E-ID

Wie in den früheren Berichtsjahren begleitete der EDÖB die Arbeiten zur Gesetzesvorlage für die elektronische Identität (E-ID) aufsichtsrechtlich und setzte sich im Hinblick auf einen besseren Schutz der Privatsphäre weiterhin für den Grundsatz der Nicht-Nachverfolgbarkeit ein. Damit ist gemeint, dass die Verknüpfung unterschiedlicher Transaktionen, die mit einer E-ID vorgenommen werden, verunmöglicht werden soll.

Im Zusammenhang mit der Revision des Gesetzes über den elektronischen Identitätsnachweis hatte der EDÖB die Sorge geäussert, dass die Einführung der E-ID in der digitalen Welt zu übermässigen Einforderungen von Personendaten führen könnte (s. 32. TB, Kap. 1.1). So ist die Abfrage von E-ID-Daten einer Kundin zur Altersprüfung bei einem gewöhnlichen Onlinekauf von Produkten, die nur an volljährige Personen abgegeben werden (wie Alkohol), als übermässig und somit missbräuchlich einzustufen. Zur Bestätigung der Volljährigkeit braucht es lediglich die Teilinformation, ob die betreffende Person über 18 Jahre alt ist.

Der EDÖB trat für den Grundsatz der Nicht-Nachverfolgbarkeit der E-ID und somit für einen zusätzlichen Schutz der Privatsphäre ein und verlangte, den Zugriff auf nicht erforderliche Daten zu verhindern. Seine Forderung nach einer verbindlichen Anwendung dieses Grundsatzes bei der Umsetzung des elektronischen Identitätsnachweises wurde von den Behörden an- und in das Gesetz aufgenommen, welches am 20. Dezember 2024 von der Bundesversammlung verabschiedet wurde.

  1. Tätigkeitsbericht 2024/2025

17

Datenschutz

ELEKTRONISCHER RECHTSVERKEHR

Projekt Justitia 4.0 von Bund und Kantonen

Der EDÖB beaufsichtigt die Schaffung der Plattform justitia.swiss, welche die elektronische Kommunikation im Justizbereich ermöglichen soll.

Mit justitia.swiss soll eine Online-Plattform für die elektronische Kommunikation unter allen Akteuren eines Justizverfahrens, d. h. Justizbehörden, Anwältinnen und Anwälten sowie weiteren Verfahrensbeteiligten, zur Verfügung gestellt werden. Die Plattform bezweckt die Implementierung des elektronischen Rechtsverkehrs und der elektronischen Akteneinsicht.

Auf Wunsch der Kantone wirkte der EDÖB im Berichtsjahr dabei mit, für die bei ihnen und dem Bund geplanten und teilweise bereits laufenden Pilotversuche möglichst einheitliche

Rahmenbedingungen zu schaffen und gleichzeitig den datenschutzkonformen Betrieb der Plattform sicherzustellen.

Da bis zum frühestens ab 2026 erfolgenden Vollbetrieb von justitia.swiss noch rechtliche, technische und organisatorischen Problemstellungen zu lösen sind, hat der EDÖB in Absprache mit den Kantonen, zusammen mit dem Bundesamt für Justiz und der Projektorganisation von justitia.swiss die Koordination der datenschutzrechtlichen Aspekte des Projekts übernommen.

Gemäss dem frühestens auf den 1.1.2026 in Kraft tretenden Bundesgesetz über die Plattformen für die elektronische Kommunikation in der Justiz (BEKJ) soll der EDÖB dereinst die alleinige datenschutzrechtliche Aufsicht über die Plattform justitia.swiss ausüben. Zurzeit sind noch die Datenschutzaufsichtsstellen der Kantone für die Vorab-Kontrolle der in einzelnen Kantonen laufenden Pilotbetriebe von justitia.swiss verantwortlich. Die Aufsichtskompetenz soll nun aber so rasch als möglich an den EDÖB gehen, indem die hierzu erforderlichen Bestimmungen des BEKJ frühzeitig in Kraft gesetzt werden. In der Folge kann ein einheitlicher Pilotversuch des Bundes durchgeführt und durch den EDÖB beaufsichtigt werden.

CYBERKRIMINALITÄT

Cyberangriff auf OneLog

Infolge eines Cyberangriffes am 24. Oktober 2024 war der Login-Dienst OneLog während rund einer Woche nicht erreichbar. Um die Datensicherheit der zahlreichen Nutzerinnen und Nutzer zu gewährleisten, wird der EDÖB von den Verantwortlichen kontinuierlich über die getroffenen Massnahmen und das weitere Vorgehen informiert.

Am 25. Oktober 2024 informierte die Datenschutzbeauftragte von OneLog den EDÖB darüber, dass der Login-Dienst OneLog gehackt worden sei. Der EDÖB erhielt in der Folge weitere freiwillige Mitteilungen von den Verantwortlichen und wird von diesen laufend über neue Erkenntnisse zum Ereignis informiert. Als freiwillige Meldungen gelten gemäss dem Leitfaden des EDÖB betreffend die Meldung von Datensicherheitsverletzungen und

18

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

CYBERANGRIFF

Informationen der Betroffenen nach Art. 24 DSG solche, bei denen der Verantwortliche im Rahmen seiner Risikoeinschätzung kein hohes Risiko für die Betroffenen erkennt, die Datensicherheitsverletzung aber aus anderen Gründen dem EDÖB mitteilen möchte (s. dazu Text zur Meldung von Datensicherheitsverletzungen im Schwerpunkt). Solche freiwilligen Meldungen erweisen sich gerade in jenen Fällen für alle Beteiligten als sinnvoll und auch unter dem Blickwinkel des öffentlichen Interesses als zielführend, in denen zwar die Risikoanalyse aufgrund der betroffenen Daten ein tiefes Risiko ausweist, aber z. B. aufgrund der grossen Anzahl von betroffenen Personen ein mediales Interesse entstehen kann.

Bei OneLog handelt es sich um ein Angebot der Schweizer Digital-Allianz. Die Allianz, ein Zusammenschluss mehrerer Schweizer Medienunternehmen, hatte ihr Projekt zur Schaffung des zentralen Login-Lösung im Frühjahr 2021 in einer Pilotphase gestartet. Der EDÖB hat im 28. Tätigkeitsbericht dazu berichtet (s. 28. TB, Kap. 1.1).

Abschluss der informellen Vorabklärungen betreffend die Concevis AG und das Bundesamt für Statistik (BFS)

Der EDÖB schloss die Vorabklärungen betreffend Concevis und das Bundesamt für Statistik ab. Es wurden keinerlei schwerwiegende Versäumnisse festgestellt. Zudem ist die Wahrscheinlichkeit, dass die Cyberpiraten die gehackten Daten einsehen konnten, ziemlich gering. Dennoch nannte der EDÖB einige Punkte, die zu verbessern sind.

Im November 2023 wurde die Firma Concevis, die unter anderem Softwarelösungen anbietet, Opfer eines Ransomware-Angriffs. Dabei wurden auch Daten des Bundesamtes für Statistik (BFS) entwendet. Deshalb eröffnete der EDÖB zwei informelle Vorabklärungen betreffend Concevis bzw. das BFS (s. 31. TB, Kap. 1.2).

Die Abklärungen des EDÖB erbrachten, dass eine Untersuchung gemäss Art. 49 DSG aufgrund des Fehlens eines schwerwiegenden Versäumnisses nicht erforderlich ist. Da die gehackten Daten verschlüsselt waren, gilt es zudem als unwahrscheinlich, dass die Angreifer sie einsehen konnten.

Allerdings stellte der EDÖB fest, dass einige Vorgänge der Datenbearbeitung zwischen dem BFS und Concevis klarer hätten definiert werden müssen. Er betonte daher, dass Verträge zwischen Verwaltungseinheiten des Bundes und Leistungserbringern den Datenlebenszyklus von der Erfassung bis zur Zerstörung präzise definieren müssen. Ausserdem verwies er auf die Notwendigkeit, die Möglichkeit von Kontrollen und Audits durch das Amt oder externe Dienstleister klar zu regeln. Schliesslich erinnerte der EDÖB das BFS und die Firma Concevis daran, dass die im Zusammenhang mit dem Verfahren betreffend Xplain erlassenen Empfehlungen allgemeingültig sind (s. Kap. 1.2).

  1. Tätigkeitsbericht 2024/2025

19

Schwerpunkt

Neue Praxis und Aufsichtshandlungen

Praxis des EDÖB bezüglich der Rechte der Betroffenen

Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Das Auskunftsrecht als Kerninstrument des Datenschutzgesetzes dient der Gewährleistung der Transparenz und erlaubt den betroffenen Personen, die über sie beschafften Daten zu kontrollieren. Allerdings stellt der EDÖB in Anbetracht der Anzahl eingegangener Anzeigen fest, dass die Verantwortlichen mit diesem Instrument oftmals nachlässig umgehen.

Dem EDÖB wurden eine Reihe von mutmasslichen Verstössen gegen das Auskunftsrecht gemeldet. In mehreren Fällen liessen Verantwortliche Auskunftsbegehren unbeantwortet liessen oder sich mit einem Verweis auf allgemeine

Inhalte ihrer Datenschutzrichtlinien begnügten, anstatt die im einschlägigen Gesetzesartikel vorgesehenen Informationen zu liefern.

Der EDÖB forderte im Rahmen seiner Aufsichtstätigkeit Verantwortliche auf, Auskunftsbegehren zu beantworten und mit einschlägigen Massnahmen für eine DSG-konforme Handhabung der Auskunftserteilung zu sorgen. In einem Fall eröffnete der EDÖB eine Untersuchung.

Auskunftsrecht (Art. 25 DSG)

Das Auskunftsrecht ist ein Kernelement des Datenschutzgesetzes und erlaubt jeder Person, vom Verantwortlichen Angaben betreffend die Personendaten zu verlangen, die über sie bearbeitet werden.

Mit diesem Recht geht die Pflicht der Verantwortlichen einher, Auskunft zu erteilen. Falls der Verantwortliche über Personendaten der auskunftsersuchenden Person verfügt, muss er diese innerhalb von 30 Tagen übermitteln. Sodann muss er über die Identität des Verantwortlichen, den Bearbeitungszweck und die Aufbewahrungsdauer der Personendaten informieren sowie verfügbare Angaben über

die Herkunft der Personendaten und gegebenenfalls über die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern machen, denen Personendaten bekanntgegeben wurden. Eine Fristverlängerung ist möglich, sofern die neue Frist innerhalb von 30 Tagen angekündigt wird.

Die oder der Verantwortliche ist verpflichtet, über die bearbeiteten Personendaten als solche Auskunft zu erteilen, damit die betroffenen Personen feststellen können, welche Daten über sie bearbeitet werden, um deren Richtigkeit sowie die Rechtsmässigkeit der Bearbeitung überprüfen zu

können und um gegebenenfalls deren Berichtigung oder Löschung zu veranlassen.

In bestimmten Fällen kann der Verantwortliche gemäss Art. 26 DSG die Auskunft über die betreffenden Angaben verweigern, einschränken oder aufschieben. Er muss diesen Entscheid rechtfertigen, damit die betroffene Person den Grund oder die Gründe für die Einschränkung des Zugangsrechts nachvollziehen und deren Rechtmässigkeit prüfen kann.

Verantwortliche, die falsche oder unvollständige Auskünfte erteilen (Verstoss gegen die Auskunftspflicht), haben strafrechtliche Folgen zu gewärtigen.

20

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schwerpunkt

Informationspflicht

Im Rahmen des Gesetzgebungsprojektes zum Flugpassagierdatengesetz (E-FPG) hat der EDÖB (neben verschiedenen anderen Punkten) auch auf die Problematik der Informationspflicht der Behörden aufmerksam gemacht (s. auch Kap. 1.6). In der Botschaft zum E-FPG wird deshalb festgehalten, dass die Flugpassagiere von den Luftverkehrsunternehmen schriftlich darüber zu informieren sind, dass ihre Daten nicht lediglich für die Abwicklung ihrer Flugreise, sondern zusätzlich auch nach dem Flugpassagierdatengesetz bearbeitet werden. Die Information kann in den allgemeinen Geschäftsbedingungen der Luftverkehrsunternehmen Eingang finden. Die Informationspflicht gemäss Artikel 5 E-FPG rechtfertigt sich, auch wenn es sich um eine Wiederholung handelt: Die Bearbeitung der Flugpassagierdaten erfolgt in zwei vollständig verschiedenen Kontexten (technische Abwicklung Flugbuchung/Umsetzung Flugpassagierdatengesetz) zu unterschiedlichen Zwecken (Flugbuchung/Verbrechensbekämpfung) und unter unterschiedlicher Verantwortung (Luftverkehrsunternehmen/fedpol). Der Zweck der Datenbearbeitung muss aus der Information klar hervorgehen (vgl. Art. 6 Abs. 3 DSG). Weitere Einzelheiten, über welche die betroffenen Personen zu informieren sind, werden sich aus der Umsetzung der der Verordnung zum DSG ergeben.

Löschrecht

Hinsichtlich der Löschung von Daten stellte der EDÖB im Berichtsjahr fest, dass den Gesuchen sowohl bei privaten Datenbearbeiterinnen und -bearbeitern wie auch in der Bundesverwaltung entsprochen wird. Schwierigkeiten bereiten im Einzelfall weniger der Wille zur Löschung, als technische Umstände. Dies kann beispielsweise dann der Fall sein, wenn ein Privater eine Datenplattform mit anderen Anbietern teilt und der Betroffene nur die Daten eines Anbieters gelöscht haben möchte. Hier können sich in der Praxis technisch bedingte Abhängigkeiten ergeben.

  1. Tätigkeitsbericht 2024/2025

21

Schwerpunkt

Aufsichtshandlungen und Kampagnen unter dem neuen DSG

Das neue Datenschutzgesetz hat die Rechte der Betroffenen gestärkt und den EDÖB mit zusätzlichen Aufgaben und Befugnissen ausgestattet, die er mit folgenden Instrumenten und Aufsichtshandlungen umsetzt:

Instrumente

Auf der Webseite des EDÖB stehen folgende Instrumente zur Verfügung:

  • Anzeigeformulare:

Mutmassliche Verstösse gegen das DSG können uns von Betroffenen und Dritten mittels Formulars gemeldet werden.

  • Meldeportale für Verantwortliche:

Über unsere Meldeportale können uns Verantwortliche eine Verletzung der Datensicherheit (Data Breach) melden oder die Ernennung eines Datenschutzberaters mitteilen.

Aufsichtshandlungen

Gemäss dem Merkblatt betreffend die Untersuchung von Verstössen gegen Datenschutzvorschriften lassen sich die Aufsichtshandlungen wie folgt unterteilen:

  • Formelle Untersuchung

Nach dem Verwaltungsverfahrensrecht des Bundes durchzuführende Untersuchungen dienen der Überprüfung von Personendatenbearbeitungen, die aufgrund von genügend Anzeichen gegen die Datenschutzvorschriften des Bundes verstossen könnten.

  • Informelle Vorabklärung:

Im Rahmen von informellen Vorabklärungen prüft der EDÖB, ob die Voraussetzungen zur Eröffnung einer formellen Untersuchung gegeben sind oder nicht.

  • Niederschwellige Intervention:

Niederschwellige Interventionen sind schriftliche Einladungen an die Verantwortlichen, bei einfachen Sachverhalten freiwillig zur raschen Herstellung der Datenschutzkonformität einer Bearbeitung beizutragen.

Kampagnen

Ehe der EDÖB von Amtes wegen Aufsichtshandlungen gegen private Bearbeitungsverantwortliche oder Bundesorgane einleitet, kann er diese Kreise mittels Sensibilisierungskampagnen auf datenschutzrechtliche Risiken und Massnahmen zu deren Senkung hinweisen oder ihnen Präzisierungen seiner Aufsichtspraxis vorankündigen.

Merkblätter und Leitfäden

Präzisierungen der Aufsichtspraxis werden nötigenfalls in Merkblättern und Leitfäden dokumentiert. Im Berichtsjahr wurden Letztere durch folgende Publikationen ergänzt:

  • Merkblatt Planung und Begründung des Online-Zugangs zu Personendaten (18. Juni 2024)
  • Leitfaden des EDÖB betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien (22. Januar 2025)
  • Leitfaden des EDÖB betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG (6. Februar 2025)

Aufsichtshandlungen in Zahlen

Im Geschäftsjahr sind beim EDÖB über 1000 Anzeigen eingegangen. Zu den statistischen Angaben s. Tabelle 9 auf Seite 91.

22

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schwerpunkt

Kampagne zur Sensibilisierung bei der Verwendung der AHV-Nummer

Der EDÖB lancierte eine Kampagne zur Sensibilisierung für die Pflichten der eidgenössischen Departemente und der Bundeskanzlei im Zusammenhang mit der systematischen Verwendung der AHV-Nummer. Im Mittelpunkt steht dabei die Pflicht zur Durchführung periodischer Risikoanalysen.

Mit der Lancierung dieser Sensibilisierungskampagne zur Verwendung der AHV-Nummer ist der EDÖB gegenüber den eidgenössischen Departementen und der Bundeskanzlei proaktiv tätig geworden. Sie soll die betreffenden Einheiten einerseits an die einschlägigen Gesetzesbestimmungen zur systematischen Verwendung der AHV-Nummer ausserhalb des Sozialversicherungsbereichs und andererseits an ihre Pflicht zu erinnern, deren Einhaltung durch Stichproben zu überprüfen.

Im Bundesgesetz über die Alters- und Hinterlassenenversicherung (AHVG) wurde für die Verwendung der AHV-Nummer eine ganze Reihe technischer und organisatorischer Massnahmen eingeführt, von denen zwei in Art. 153e AHVG zu finden sind: Die eidgenössischen Departemente und die Bundeskanzlei sind verpflichtet, für Datenbanken, die sie selber führen, eine periodische Risikoanalyse vorzunehmen, die insbesondere dem Risiko einer unerlaubten Zusammenführung von Datenbanken Rechnung trägt. Ausserdem müssen diese Einheiten im Hinblick auf die Risikoanalyse ein Verzeichnis der Datenbanken führen, in denen die AHV-Nummer systematisch verwendet wird.

In ihrer Eigenschaft als Anlaufstelle gemäss Art. 28 der Verordnung über den Datenschutz (DSV) erhielten die Datenschutzberaterinnen und Datenschutzberater sämtlicher eidgenössischen Departemente sowie der Bundeskanzlei am 26. September 2024 zur Erinnerung an ihre Pflichten nach AHVG ein Schreiben des EDÖB. Zur Vertiefung der Kenntnisse fand zudem am 30. Oktober 2024 eine departementsübergreifende Sitzung statt.

Die Datenschutzberaterinnen und Datenschutzberater der Bundesämter wurden am 26. November 2024 anlässlich einer Informationsveranstaltung über die Lancierung der Kampagne unterrichtet.

  1. Tätigkeitsbericht 2024/2025

23

Schwerpunkt

Pflicht zur Bezeichnung einer Vertretung nach Art. 14 DSG

Der EDÖB hat ausländische Unternehmen, die im grossen Umfang Daten von Personen in der Schweiz bearbeiten, aufgefordert, eine Vertretung in der Schweiz zu bezeichnen.

Damit das Gesetz für alle Sachverhalte durchsetzbar ist, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden, zählt Art. 14 DSG die Voraussetzungen auf, unter denen eine Vertretung in der Schweiz bezeichnet werden muss. Die Bezeichnung soll unter anderem gewährleisten, dass betroffene Personen und Behörden über eine Anlaufstelle auf Schweizer Boden verfügen, sowie verhindern, dass der Schutz von Personen in der Schweiz einzig dadurch verringert wird, dass der verantwortliche Datenbearbeiter seinen Sitz im Ausland hat.

Sodann sind sämtliche privaten Unternehmen, welche Personendaten im Zusammenhang mit dem Angebot von Waren und Dienstleistungen oder der Beobachtung des Verhaltens von Personen in der Schweiz bearbeiten, sofern es sich um eine umfangreiche, regelmäßige Bearbeitung mit hohem Risiko für die Persönlichkeit der betroffenen Personen handelt, verpflichtet, eine Vertretung in der Schweiz zu benennen.

Der EDÖB intervenierte deshalb gezielt bei zahlreichen internationalen Firmen, auf die die Kriterien des Gesetzesartikels zutreffen, um zu überprüfen, ob sie eine Vertretung benannt und deren Kontaktdaten veröffentlicht hatten.

Auf seiner Website stellt der EDÖB umfassende Informationen über die Pflicht zur Benennung einer Vertretung nach Artikel 14 DSG bereit (s. Datenschutz/Basiswissen).

Meldungen von Datensicherheitsverletzungen

Der EDÖB hat einen Leitfaden betreffend Umgang mit Datensicherheitsverletzungen publiziert und zwei Untersuchungen gegen Verantwortliche eröffnet, die Betroffene nicht über eine solche Verletzung informiert haben.

Seit Inkrafttreten des revidierten Datenschutzgesetzes müssen Verantwortliche dem EDÖB Datensicherheitsverletzungen melden, wenn diese voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Im Berichtsjahr hat der EDÖB 363 Meldungen nach Art. 24 Abs. 1 DSG von Verantwortlichen erhalten.

Unter dem alten wie dem geltenden Datenschutzgesetz meldeten Verantwortliche Verletzungen, obwohl sie kein hohes Risiko für die Betroffenen voraussehen. Dabei handelt es sich um freiwillige Meldungen, zum Beispiel weil die Verletzung ein Medienecho auslösen oder sich Betroffene oder Whistleblower beim EDÖB melden könnten.

Der EDÖB prüft bei Pflichtmeldungen summarisch, ob die vom Verantwortlichen getroffenen und geplanten Massnahmen zum Schutz der Betroffenen und zur Minderung von Schaden ausreichend sind. Wenn nötig, fordert

24

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schwerpunkt

der EDÖB Ergänzungen zum Sachverhalt an oder verlangt zusätzliche Massnahmen zum Schutz der Betroffenen. Er prüft zudem, ob die Betroffenen über den Vorfall angemessen informiert wurden. Bei freiwilligen Meldungen, bei denen der Verantwortliche kein hohes Risiko für die Betroffenen identifiziert hat, prüft er grundsätzlich nur, ob eine Informationspflicht gegenüber den Betroffenen besteht und wie diese gegebenenfalls wahrgenommen wurde.

Im Berichtsjahr stellte der EDÖB fest, dass bei den Verantwortlichen Unklarheit herrschte über den Begriff des «hohen Risikos», das zu einer Meldepflicht an den EDÖB führt, und dessen Unterscheidung vom Begriff der «Schutzbedürftigkeit», die eine Information der Betroffenen erforderlich macht. Auch schien einigen Verantwortlichen nicht klar, welche Aufgaben sie im Zusammenhang mit der Kenntnisnahme und Prüfung von Pflicht- und freiwilligen Meldungen und der Umsetzung der Informationspflichten gegenüber den Betroffenen zu erfüllen haben.

Um die Verantwortlichen bei der Wahrnehmung ihrer Pflichten zu unterstützen und Klarheit über ihre Rolle zu schaffen, publizierte der EDÖB am 22. Januar 2025 ein Leitfaden betreffend den Umgang mit Datensicherheitsverletzungen. Darin führt er aus, nach welchen Kriterien die Verantwortlichen beurteilen sollen, ob eine Meldepflicht gegenüber dem EDÖB besteht. Auch erklärt er, dass die betroffenen Personen zu informieren sind, wenn diese selber Handlungen vornehmen können oder müssen, um einen Schaden aus einer Datensicherheitsverletzung zu mindern

oder abzuwenden. So wenn sie Zugangsdaten oder Passwörter ändern, Kreditkarten sperren, Kontoauszüge oder Nachrichten und Anfragen, sprich Phishing-Mails, kritisch prüfen müssen.

Der EDÖB kann eine Information der Betroffenen verlangen, wenn nach seiner Einschätzung die Schutzbedürftigkeit der Betroffenen gegeben ist oder wegen der grossen Anzahl Betroffener oder einer medialen Berichterstattung ein öffentliches Interesse an einer Information seitens des Verantwortlichen besteht. Seine Befugnis besteht unabhängig davon, ob ihm die Verletzung vom Verantwortlichen zuvor freiwillig oder als Pflichtmeldung mitgeteilt oder gar nicht notifiziert worden ist.

Gegen zwei Verantwortliche hat der EDÖB eine Untersuchung nach Art. 49 ff. DSG eröffnet, da sie die betroffenen Personen nicht oder nicht genügend über die Verletzung informiert hatten, obwohl es zu ihrem Schutz erforderlich schien. Beide Verantwortlichen vertraten die Auffassung, dass eine Informationspflicht nicht gegeben war und weigerten sich auch nach Verlangen des EDÖB, betroffene Personen über die Verletzung zu informieren. Die Verfahren laufen.

Datensicherheitsverletzungen in Zahlen

Im Geschäftsjahr 2024/2025 wurden dem EDÖB insgesamt 363 Datensicherheitsverletzungen gemeldet. Die exakten Zahlen zu den Databreach-Meldungen finden sich in Kapitel 3.1.

  1. Tätigkeitsbericht 2024/2025

25

Schwerpunkt

Zunahme von DSFA-Prüfungen

Nach Inkrafttreten des revidierten Datenschutzgesetzes wurden dem EDÖB mehrere Datenschutz-Folgenabschätzungen (DSFA) von Bundesorganen zur Stellungnahme eingereicht. Eine DSFA ist zu erstellen, wenn eine Datenbearbeitung ein voraussichtlich hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann.

Die Datenschutz-Folgenabschätzung (DSFA) ist ein Instrument, mit dem verantwortliche Datenbearbeiter datenschutzrechtliche Risiken erfassen, bewerten und angemessen senken. Ergibt sich aus der DSFA, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, muss eine Stellungnahme des EDÖB eingeholt werden.

Eine Ausnahme gilt für private Verantwortliche, wenn sie ihre betriebliche Datenschutzberaterin oder Datenschutzberater konsultiert haben. Für sie hat der EDÖB bereits im Jahr 2023 ein Merkblatt zur DSFA veröffentlicht. Die Rückmeldungen von Privaten zum Umgang mit dem Instrument sind mehrheitlich positiv, und verschiedene Akteure haben Mustervorlagen und automatisierte Bewertungshilfen entwickelt. Der EDÖB begrüsst diese privaten Initiativen, zumal sie die nötigen Anpassungen der DSFA erleichtern können.

DSFA in Projekten des Bundes

Wie erwartet, haben uns mehrere Bundesorgane DSFA zur Stellungnahme vorgelegt, weil dieselben gemäss den einschlägigen Richtlinien des Bundesrates den Ämterkonsultationen zu Gesetzesvorlagen beizulegen sind (so u. a. bei den Konsultation zum Flugpassagierdatengesetz FPG, siehe Kap. 1.6).

Die vom EDÖB eingebrachten Ergänzungen zielten insbesondere darauf ab, mit den geplanten Datenbearbeitungen einhergehende Risiken und die zu deren Eindämmung getroffenen Massnahmen für den Bundesrat und das Parlament in verständlicher Sprache zusammenzufassen, sodass diese politischen Organe ihren Entscheid in Kenntnis der verbleibenden Risiken fällen konnten.

26

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schwerpunkt

Umsetzung der Protokollierungspflicht

Mit Inkrafttreten des neuen Datenschutzgesetzes (DSG) und der dazugehörigen Datenschutzverordnung (DSV) am 1. September 2023 trat auch die Protokollierungspflicht gemäss Art. 4 DSV in Kraft. Diese verpflichtet Verantwortliche und deren Auftragsbearbeiter, bei der automatisierten Bearbeitung von Personendaten Vorgänge wie Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten von Daten aufzuzeichnen. Protokolldaten dienen dazu, Datenschutzverletzungen aufzudecken, nachzuverfolgen und abzuklären.

Die Protokollierungspflicht betrifft unter anderem die gesamte Bundesverwaltung mit ihrer Vielzahl an Applikationen. Diese Pflicht gilt bereits seit mehr als zwanzig Jahren für die Bearbeitung von besonders schützenswerten Personendaten und bei Persönlichkeitsprofilen. Zudem ist sie Bestandteil des IKT-Grundschutzes (Ziffer T2.1c und Ziffer 5), der von allen Verwaltungseinheiten des Bundes umgesetzt werden muss. Beim Betrieb grösserer Informationssysteme in der Bundesverwaltung, wie beispielsweise das Geschäftsverwaltungssystem GEVER, ist die Protokollierung auch bei gewöhnlichen Personendaten eine gängige Praxis.

Übergangsbestimmungen zur Einführung der Leseprotokollierung

Um die Einführung der durch Art. 4 Abs. 2 DSV geforderten Leseprotokollierungs-Funktionalität mit den Entwicklungszyklen der IKT-Systeme in Einklang zu bringen, enthält Art. 46 DSV eine Übergangsbestimmung. Diese sieht vor, dass die Ausweitung der Protokollierungspflicht für Systeme, die nicht unter die Schengen-Richtlinie (EU) 2016/680 fallen, erst drei Jahre nach Inkrafttreten der DSV (also ab dem 1. September 2026) oder nach Ablauf des Lebenszyklus des jeweiligen Systems gilt. Dadurch kann die Verpflichtung so lange ausgesetzt werden, bis systembedingte Anpassungen ohnehin erforderlich sind. Diese Regelung soll entlastend wirken, so dass nicht alle Informationssysteme des Bundes auf einen Schlag per Stichtag 1. September 2026 angepasst sein müssen.

Herausforderungen und Massnahmen

Die Pflicht zur Protokollierung gilt sowohl für verantwortliche Datenbearbeiter als auch für deren Auftragsbearbeiter. Sie sind angehalten, bei der automatisierten Bearbeitung von Personendaten Vorgänge wie Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten von Daten aufzuzeichnen. Die Protokollierung schafft Transparenz über die vorgenommenen Datenbearbeitungen und ist wichtig, um bei Datenschutzverletzungen rasch reagieren zu können. Die Protokolldaten dienen dazu, Datenschutzverletzungen aufzudecken, nachzuverfolgen und zu analysieren.

Die Protokollierungspflicht kann jedoch mit einem erheblichen Mehraufwand für die Applikationsbetreiber verbunden sein. Besonders die schrittweise Anpassung und Skalierung der bestehenden IT-Infrastruktur an die neuen Anforderungen erfordert zusätzlichen Aufwand.

Das Bundesamt für Informatik und Telekommunikation (BIT) hat auf Basis von Erfahrungswerten eine Kostenschätzung erstellt, die unter anderem im Rahmen der Ämterkonsultation zur DSV zu Forderungen nach risikobasierten Einschränkungen der Protokollierungspflicht führte. Im Jahr 2025 führt der EDÖB Round-Table Gespräche mit den beteiligten Bundesstellen durch, um diesen Forderungen im Rahmen der rechtlichen Vorgaben gebührend Rechnung tragen zu können.

  1. Tätigkeitsbericht 2024/2025

27

← 2

img-5.jpeg

Datenschutz

1.2 Justiz, Polizei, Sicherheit

CYBERKRIMINALITÄT

Untersuchungen gegen das Unternehmen Xplain und die Bundesämter fedpol und BAZG enden mit Annahme der Empfehlungen

Der EDÖB hat bei drei Untersuchungen gegen fedpol und BAZG sowie das Unternehmen Xplain Verletzungen des Datenschutzgesetzes festgestellt. Die publizierten Ergebnisse der Untersuchungen zeigten auf, dass Personendaten vom fedpol und BAZG einerseits ohne die notwendigen Datenschutzvorkehrungen an das Privatunternehmen

Xplain gelangten und diese andererseits anschliessend datenschutz- und teilweise vertragswidrig von Xplain aufbewahrt wurden.

In seinen Berichten kommt der EDÖB zum Schluss, dass weder das Bundesamt für Polizei (fedpol) noch das Bundesamt für Zoll und Grenzsicherheit (BAZG) mit dem privaten Unternehmen Xplain klar vereinbart hatten, ob bzw. unter welchen Voraussetzungen Personendaten dieser Bundämter im

Rahmen von Supportleistungen auf dem Server von Xplain gespeichert werden dürfen. Es hätte jedoch ausdrücklich festgehalten werden müssen, in welchem Umfang Personendaten an Xplain übermittelt und vom Unternehmen gespeichert werden dürfen. Der tatsächliche Prozess war so ausgestaltet, dass Personendaten im Rahmen von Supportfällen an Xplain gelangten, ohne dass genaue Anforderungen für die Übermittlung und die Erfüllung der Datensicherheit bei Xplain definiert wurden. Dadurch entstand auf dem Server des Unternehmens eine Sammlung von

Empfehlungen zur Auftragsbearbeitung

Beim Betrieb und der Weiterentwicklung ihrer digitalen Applikationen arbeitet die Bundesverwaltung mit privaten Unternehmen zusammen, in deren Zug die Bearbeitung von Personendaten übertragen wird. Die aufsichtsrechtliche Aufarbeitung des Ransomware-Vorfalls bei Xplain zeigt exemplarisch die hohen Risiken und Schadenspotenziale auf, die mit solchen Datenübertragungen einhergehen. Nach Annahme der Empfehlungen durch die Parteien stehen die Bundesverwaltung und ihre privaten Auftragsbearbeiter in ihrer Gesamtheit in der Pflicht, diese hohen Risiken zu erheben und rechtzeitig durch angemessene Massnahmen auf ein vertretbares Mass zu senken.

Gemäss den Erkenntnissen der drei Untersuchungen haben sie dabei folgende Vorgaben der Datenschutzgesetzgebung des Bundes zu beachten:

  • Bundesorgane müssen als datenschutzrechtlich «Verantwortliche» bei der Zusammenarbeit mit privaten Unternehmen als Auftragsbearbeiter (so z. B. für die Erbringung von Supportdienstleistungen) prüfen, ob es erforderlich ist, dass Personendaten die geschützte IKT-Infrastruktur der Bundesverwaltung verlassen oder dass beauftragte Private Zugang zu dieser

Infrastruktur erlangen. Auch ist zu prüfen, ob Personendaten vor ihrer Übermittlung anonymisiert werden können und welche übrigen technischen Massnahmen oder organisatorischen Vorkehren zur Verhinderung von Datenschutzverletzungen zu treffen sind.

  • Nach Analyse der datenschutzrelevanten Risiken und Bestimmung der zu deren Minimierung geeigneten Massnahmen müssen die Bundesorgane und die privaten Unternehmen ihre Umsetzungsprozesse – wie Datenflüsse, Anonymisierung oder Zugriffsmodalitäten – vollständig und verständlich dokumentieren. Auch müssen Bundesorgane die erforderlichen technischen und organisatorischen Massnahmen in den mit den Privaten abgeschlossenen Verträgen gegebenenfalls unter Vereinbarung von Konventionalstrafen festhalten.
  • Private Auftragsbearbeiter haben sich bei der Bearbeitung von Personendaten hinsichtlich deren Umfangs, Intensität und Dauer an den Rahmen der vertraglichen Pflichten und Vorgaben zu halten. Geeignete Massnahmen zur Einhaltung dieser Vorgaben sind Konzepte zur rechtzeitigen Datenlöschung, die Sensibilisierung und Schulung der Mitarbeitenden sowie periodische interne oder externe Audits.
  1. Tätigkeitsbericht 2024/2025

29

Datenschutz

unstrukturierten Daten der betreffenden Bundesämter. Der EDÖB stellte zudem fest, dass die Menge an Personendaten, die im Rahmen dieses Prozesses übertragen wurden, unverhältnismässig hoch war.

Das fedpol und das BAZG sowie Xplain haben die Empfehlungen des EDÖB im Zusammenhang mit dem Ransomware-Vorfall bei Xplain per Ende Mai 2024 vollumfänglich angenommen.

Die Sachverhaltsabklärungen gegen das BAZG und fedpol zur Frage der Rechtmässigkeit von Zugriffen von Mitarbeitenden des BAZG auf das

von fedpol betriebene Fahndungsregister RIPOL wurden von den Verfahren betreffend Xplain getrennt und sind noch im Gang.

Kontrollen in der Bundesverwaltung

In seiner Medienmitteilung zum Abschluss des Verfahrens in Sachen Xplain vom 4. Juni 2024 hat der EDÖB die Bundesverwaltung und deren private Auftragsbearbeiter aufgefordert, ihre Zusammenarbeit betreffend die Bearbeitung von Personendaten aufgrund der Erkenntnisse aus den drei Untersuchungen zu überprüfen. In der gleichen Mitteilung hat er Kontrollen in der ganzen Verwaltung angekündigt.

Im September 2024 hat der EDÖB erste Stichproben in der Bundesverwaltung durchgeführt.

GESETZGEBUNG

Revision des Nachrichtendienstgesetzes

Das Bundesgesetz über den Nachrichtendienst (NDG) soll zwecks Neukonzeption und Erweiterung der nachrichtendienstlichen Datenbearbeitung revidiert werden.

Das Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) hat die laufenden Arbeiten zur NDG-Revision aufgrund der Administrativuntersuchung zur Informationsbeschaffung durch den Bereich Cyber des

Polizeiliche Abfrageplattform POLAP

Die im Berichtsjahr 2023/2024 mehrfach geäusserte Kritik des EDÖB an der geplanten nationalen Verknüpfung der kantonalen Polizeisysteme über eine mit Bundesbeteiligung betriebene Abfrageplattform POLAP (s. dazu auch 31. TB, Kap. 1.2) wurde vom Bundesgericht in seinem Entscheid 1C_63/2023 vom 17. Oktober 2024 bestätigt.

Im erwähnten Entscheid hatte das Bundesgericht auf entsprechende Beschwerde hin eine Regelung des Kantons Luzern zu beurteilen, mit welcher die Anbindung der kantonalen Systeme an POLAP ermöglicht werden sollte, sobald die Plattform in Betrieb genommen wird. Das Bundesgericht hob die entsprechende Regelung auf, da für die vorgesehenen Zugriffe keine ausreichend bestimmte Gesetzesgrundlage vorhanden war und die weitreichenden Zugriffe mittels Abrufverfahren zudem

gegen das Prinzip der Verhältnismässigkeit und die mit dem Amtshilfeverfahren verbundenen Betroffenenrechte verstießen.

Die von den Datenschutzbehörden von Bund und Kantone empfohlene Überarbeitung des Vereinbarungsentwurfs der KKJPD über den polizeilichen Datenaustausch unter Einbezug des Bundes ist noch nicht erfolgt. Ebenfalls ausstehend ist die von fedpol in Aussicht gestellte ausdrückliche gesetzliche Grundlage für den Betrieb der Abfrageplattform, welche Bestandteil der Nationalen Strategie zur Bekämpfung der organisierten Kriminalität bildet. Der EDÖB geht davon aus, dass Bund und Kantone ihre Arbeiten in der nächsten Berichtsperiode weiterführen und ihn und seine kantonalen Partnerbehörden über das weitere Vorgehen informieren und rechtzeitig zu allen datenschutzrelevanten Fragen konsultieren werden.

30

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

Nachrichtendienstes des Bundes (NDB) in zwei Teile aufgeteilt. Zum ersten Teil und der dort geregelten Anpassung des Auskunftsrechts hat der EDÖB bereits in der Vorperiode Stellung genommen (s. 29. TB, Kap. 1.2).

Die Revision sieht u. a. eine Neukonzeption der nachrichtendienstlichen Datenbearbeitung vor, indem der Gesetzesentwurf die Kategorien der bearbeiteten Personendaten statt einzelner Informationssysteme nennt. Bis Juli 2025 soll eine ergänzende Vernehmlassung zum zweiten Teil der Revision stattfinden. Der EDÖB begleitet die Arbeiten.

img-6.jpeg

  1. Tätigkeitsbericht 2024/2025

31

Datenschutz

1.3 Wirtschaft und Gesellschaft

PLATTFORMÜBERGREIFENDES TRACKING

Stellungnahme von Ricardo und TX Group zu den Empfehlungen des EDÖB

Im Berichtsjahr veröffentlichte der EDÖB seinen Schlussbericht, nachdem Ricardo und TX Group Gelegenheit hatten, zu seinen Empfehlungen Stellung zu nehmen. Der EDÖB prüft derzeit das weitere Vorgehen.

Im Frühjahr 2024 schloss der EDÖB sein nach dem alten Datenschutzgesetz gegen Ricardo und TX Group (TX) eröffnetes Verfahren gegen die Auktionsplattform und das plattformübergreifende Tracking zum Zweck der zielgerichteten Werbung ab.

In seinem Schlussbericht empfahl der EDÖB der Firma Ricardo, die Plattform dahingehend anzupassen, dass die Nutzenden klar und transparent über die Datenbearbeitung durch TX und deren Zwecke informiert werden, sowie deren Einwilligung einzuholen, bevor Daten zum Zweck der zielgerichteten Werbung an TX weitergegeben werden. Zudem empfahl er TX, bereits übermittelte Daten zu löschen, für die keine Einwilligung vorliege (s. 31. TB, Kap. 1.3).

Ricardo und TX äusserten sich zum Schlussbericht und zu den Empfehlungen des EDÖB. In ihren jeweiligen Stellungnahmen lehnten beide Firmen die Einstufung der Daten als Personendaten ab und vertraten den

Standpunkt, das Datenschutzgesetz sei folglich nicht anwendbar. Sie gaben bekannt, die Empfehlungen nicht zu befolgen, da diese rechtlich haltlos oder gegenstandslos seien, weil sie sich auf einen überholten Sachverhalt und ein nicht mehr geltendes Gesetz beziehen würden.

Sollte der EDÖB feststellen, dass die in seinem Schlussbericht monierten Mängel fortbestehen, behält er sich vor, nötige Anpassungen durch geeignete Massnahmen zu veranlassen.

Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien

Die Verwendung von Cookies und ähnlichen Technologien durch Webseiten- und Appbetreiber und die damit verbundene Bearbeitung von Personendaten betrifft alle, die sich täglich im Internet bewegen. Der EDÖB hatte sich in Anwendung des aDSG mit diesen Arten von Datenbearbeitungen in den Sachverhaltsabklärungen betreffend die Auktionsplattform Ricardo und gegen Digitec Galaxus näher befasst. Mit der Revision des Datenschutzgesetzes, die unter anderem zu einer Ablösung der Begrifflichkeit des «Persönlichkeitsprofils» durch jene des «Profilings» und des «Profilings mit hohem Risiko» führte, stellt sich die Frage, was Webseiten- und Appbetreiber bei der Verwendung von Cookies und ähnlicher Technologien neu zu beachten haben.

Um diesbezüglich Klarheit zu schaffen und seine Aufsichtspraxis unter dem neuen Recht zu präzisieren, hat der EDÖB am 22. Januar 2025 einen Leitfaden publiziert. Dieser richtet sich in erster Linie an private Verantwortliche, enthält aber auch punktuelle Hinweise auf die für Bundesorgane geltenden Sonderbestimmungen.

Der Leitfaden erklärt:

  • wie die Spezialbestimmung von Art 45c des Fernmeldegesetzes kumulativ zu den allgemeinen Vorgaben des DSG anzuwenden ist;
  • welche Verantwortung die Webseitenbetreiber beim Einsatz von Drittdiensten und Third-Party-Cookies tragen;
  • wie sie ihre Informationspflichten in diesem Kontext wahrnehmen können;
  • und wie sie die Gestaltungsrechte der betroffenen Personen gewähren und technisch so umsetzen können, dass eine rechtfertigende Einwilligung gültig eingeholt oder das gesetzlich garantierte Widerspruchsrecht rechtsgenüglich eingeräumt werden.

32

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

KUNDENKONTO

Am 22. Januar 2025 veröffentlichte der EDÖB einen Leitfaden zu Datenbearbeitungen mittels Cookies. Darin werden die Anforderungen konkretisiert, die für einen datenschutzkonformen Einsatz von Cookies nach dem neuen DSG erfüllt sein müssen.

Auf Ersuchen von Ricardo und der TX Group veröffentlichte der EDÖB im Oktober 2024 eine eingeschwärzte Version seines Schlussberichts, begleitet von einer Medienmitteilung. Aufgrund eines gewährten Zugangsgesuches gemäss BGÖ wurde der ungeschwärzte Bericht im März 2025 auf der Webseite des EDÖB publiziert.

EDÖB begleitet die Umsetzung der vom Onlineshop angenommenen Empfehlungen

Am 15. April 2024 schloss der EDÖB seine Sachverhaltsabklärung beim Schweizer Onlineshop Digitec Galaxus mit formellen Empfehlungen ab. Zurzeit begleitet er die für das zweite Quartal 2025 geplante Umsetzung der vom Unternehmen angenommenen Empfehlung.

Die von der Schweizer Online-Plattform Digitec Galaxus angenommene Empfehlung betraf die fehlende Möglichkeit, den untersuchten Datenbearbeitungen, insbesondere zu Marketingzwecken, zu widersprechen. Da das Erstellen eines Kundenkontos Voraussetzung für die Aufgabe einer Bestellung war, und die daraus resultierenden Datenbearbeitungen zur Durchführung eines Kaufvertrags nicht zwingend notwendig sind, verstösst deren Koppelung mit dem Kundenkonto gegen das Verhältnismässigkeitsprinzip (s. 31. TB, Kap. 1.3). Der EDÖB empfahl Digitec Galaxus daher eine Anpassung der Datenbearbeitung, um sicherzustellen, dass die durch den Verantwortlichen durchgeführten Datenbearbeitungen nicht stärker in die informationelle Selbstbestimmung der Kunden eingreifen als nötig.

Im Dezember 2024 erläuterte Digitec Galaxus dem EDÖB einen Lösungsvorschlag für die Umsetzung der angenommenen Empfehlungen, die er noch in Anwendung des alten DSG ausgesprochen hatte. Digitec Galaxus teilte uns mit, dass die konkrete Umsetzung der Empfehlungen im 2. Quartal des Jahres 2025 erfolgen werde. Am 22. Januar 2025 hat der EDÖB einen umfassenden Leitfaden zum Einsatz von Cookies publiziert, der konkrete Hinweise enthält, welche Digitec Galaxus zur Herstellung der Datenschutzkonformität nach dem neuen DSG beachten muss.

  1. Tätigkeitsbericht 2024/2025

33

Datenschutz

ONLINEKAMPAGNE

Untersuchung gegen den Verein Bürgerforum Schweiz

Der EDÖB untersuchte die Datenbearbeitungen des Vereins «Bürgerforum Schweiz» im Zusammenhang mit der Onlinekampagne «Pfarrer-Check». Diese umfassen die Erhebung von Kontaktdaten von Pfarr- und anderen im kirchlichen Umfeld tätigen Personen, um diesen einen Fragebogen zu verschicken. Hinzu kommt der Betrieb einer Internetdatenbank, die u. a. öffentlich macht, wer den Fragebogen erhalten und allenfalls wie geantwortet hat. Da Personen teils gegen ihren Willen in der Datenbank verzeichnet sind, verfügte der EDÖB eine Verwaltungsmassnahme, über die nun das Bundesverwaltungsgericht urteilen muss.

Im Laufe des Jahrs 2023 wurde der EDÖB auf die Datenbearbeitungen des Vereins Bürgerforum Schweiz im Zusammenhang mit seiner Onlinekampagne «Pfarrer-Check» aufmerksam. Der Verein erhebt Personendaten von im kirchlichen Umfeld tätigen Personen (Pfarrerinnen und Pfarrer, Mitglieder eines Kirchenrats oder Synode,

Universitätsangestellte, Jugendarbeiterinnen und -arbeiter etc.), deren Adressen öffentlich auffindbar sind, um ihnen einen Fragebogen zu unterbreiten. Die Fragen sollten es ermöglichen festzustellen, ob diese Personen die Glaubensansichten des Vereins teilen. Der Verein unterhält eine öffentlich zugängliche Datenbank mit diesen Informationen und weigerte sich, Einträge zu Personen, welche in der Datenbank gegen ihren Willen verzeichnet waren, auf deren Begehren hin zu löschen (s. 31. TB, Kap. 1.3).

Der EDÖB eröffnete Ende 2023 eine formelle Untersuchung, um die fraglichen Datenbearbeitungen im Detail auf ihre Datenschutzkonformität hin zu überprüfen. Dabei kam er u. a. zum Schluss, dass der Verein gegen den Grundsatz der Verhältnismässigkeit verstösst, indem er in der öffentlich zugänglichen Datenbank auch Daten

von Personen veröffentlicht, die erst «erfasst» oder lediglich «angefragt» wurden. Diese Daten sind nach Ansicht des EDÖB weder geeignet, um verlässliche Aussagen über die Glaubensauffassung der betreffenden Personen zu erhalten, noch erforderlich, um etwa die Repräsentativität der Umfrage aufzuzeigen. Deren Veröffentlichung bedarf daher eines datenschutzrechtlichen Rechtfertigungsgrunds.

Ein überwiegendes privates oder öffentliches Interesse, das es rechtfertigen würde, Personen, die andernorts öffentlich verzeichnet sind, mit dem Status «erfasst» oder «angefragt» in der Datenbank auszuweisen, ist nach Ansicht des EDÖB zu verneinen. Personen dürfen daher, unabhängig davon, ob sie andernorts öffentlich verzeichnet sind, nur dann in der Datenbank registriert werden, wenn sie vorgängig rechtsgültig eingewilligt haben. Hat eine Person bereits ein Löschbegehren gestellt, müssen deren Daten gelöscht werden. Der EDÖB verfügte im Frühjahr 2024 eine entsprechende Verwaltungsmassnahme (s. 31. TB, Kap. 1.3). Dagegen erhob der Verein Bürgerforum im Berichtsjahr Beschwerde beim Bundesverwaltungsgericht; dessen Entscheid steht noch aus.

34

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Kondensierten Altersfolgen Cavallo, Superland und Hark

Kon Okk Gold / - Gods Blogideen

Datenschutz

WOHNUNGSMARKT

Unzulässige Fragen in Bewerbungsformularen für Mietwohnungen

Bewerbungsformulare für Mietwohnungen, die von Vermieterinnen und Vermietern bereitgestellt werden, müssen datenschutzkonform sein. Der EDÖB stellt die Rechtslage nach dem neuen DSG klar und ermahnt Immobilienverwaltungen, deren Formulare Informationen abfragen, die zu stark in die Persönlichkeitsrechte der Bewerberinnen und Bewerber eingreifen.

Bereits in den 90er-Jahren hatte der EDÖB Empfehlungen zum Umgang mit Personendaten von Bewerberinnen und Bewerbern für Mietwohnungen ausgesprochen (s. 4. TB, S. 49). Das Beschaffen von Daten über Mietinteressenten ist grundsätzlich zulässig,

soweit diese Informationen geeignet sind, aufgrund von objektiven Kriterien eine geeignete Mieterschaft auszuwählen. Insbesondere muss die Datenbearbeitung transparent und zweckgebunden erfolgen. Der Zweck wird dabei durch den in Aussicht gestellten Vertragsabschluss definiert. Nach dem Grundsatz der Verhältnismässigkeit dürfen somit nur diejenigen Daten beschafft und bearbeitet werden, die objektiv gesehen diesen Zweck erfüllen. Die Datenbearbeitung darf dabei die Privatsphäre der betroffenen Personen nicht unnötig verletzen. Eine Entscheidung aus dem Jahr 1996 der damaligen Datenschutzkommission bestätigte grösstenteils die Auffassung des EDÖB und bildete seitdem den Grundstein für seine langjährige Praxis.

Im Berichtsjahr hatte der EDÖB erneut Gelegenheit, sich mit dieser Thematik zu befassen und seine Praxis im Nachgang zur Revision des Datenschutzgesetzes anhand konkreter Beispiele auf ihre Aktualität hin zu überprüfen. Er erhielt zahlreiche Anzeigen von betroffenen Personen zu Bewerbungsformularen, und auch die Medien machten den EDÖB immer wieder auf fragwürdige Beispiele aufmerksam.

Der EDÖB führte deshalb im Berichtsjahr eine Kampagne durch, die Massnahmen auf drei Ebenen beinhaltete:

In Erfüllung seines Sensibilisierungsauftrags hat er insbesondere das Merkblatt «Anmeldeformulare für Mietwohnungen» angepasst, um Klarheit über die datenschutzrechtlichen Anforderungen zu schaffen. Der EDÖB hat die Formulierungen vereinfacht und sie mit Beispielen ergänzt, die veranschaulichen, wie Vermieterinnen und Vermieter die Daten von Mietinteressenten unter Einhaltung der Grundsätze des DSG beschaffen und bearbeiten können.

In Wahrnehmung seiner Beratungsaufgabe hat der EDÖB einen Austausch mit dem Schweizerischen Verband der Immobilienwirtschaft SVIT und dem Hauseigentümerverband Schweiz

36

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

HEV durchgeführt. Wir bestätigten unsere Position betreffend die Unzulässigkeit der Abfrage des Zivilstands, der Nationalität, des Heimatorts, der Religion, der derzeitigen Wohnsituation und von Kopien des Identitätsausweises. Die Argumente der Branche konnten uns aber überzeugen, dass eine Kopie des Betreibungsregisterauszugs bereits im Rahmen des Bewerbungsverfahrens von allen Bewerbern verlangt werden kann, und nicht erst vom tatsächlichen Mieter, wie es der EDÖB bisher vertrat. Wichtig ist aber, dass diese Kopien sofort gelöscht werden, falls die Mietinteressentinnen und -interessenten nicht ausgewählt werden. Das Merkblatt wurde in diesem Punkt entsprechend angepasst. Das überarbeitete Merkblatt teilte der EDÖB auch mit dem Mieterverband.

Der EDÖB nutzte die Gelegenheit des Gespräches, um die Branche auf weitere Datenschutzprobleme im Rahmen des Vermietungsprozesses aufmerksam zu machen, wie bspw. die Bekanntgabe von Angaben zum aktuellen Mieter zwecks Vereinbarung der Wohnungsbesichtigung und die Aufnahme von Fotos der Wohnung im bewohnten Zustand ohne Einwilligung des Mieters. Der SVIT ergänzte

im Anschluss an den Austausch seine Branchenempfehlung betreffend Personendaten im Bewerbungsformular für Mietobjekte um diese Punkte.

Im Rahmen seiner Aufsichtstätigkeit hat der EDÖB die Bewerbungsformulare von verschiedenen ihm angezeigten Immobilienverwaltungen in der Deutschschweiz und der Romandie untersucht. Sofern Angaben verlangt wurden, die den Grundsatz der Verhältnismässigkeit verletzten, schrieb er die Verantwortlichen im Rahmen einer niederschwelligen Intervention an. Insbesondere wurde nach der Nationalität, dem Zivilstand oder dem Vorhandensein einer Beistandschaft gefragt.

Auch wurden unzulässige Fragen zur bisherigen Wohnsituation gestellt, z. B. die Dauer des Mietvertrags, die Anzahl Zimmer oder die Höhe der Miete. Einige Liegenschaftsverwaltungen verlangten ausserdem systematisch Lohnabrechnungen der letzten drei Monate oder Originale von Betreibungsregisterauszügen, oder ihre Formulare beinhalteten eine pauschale Einwilligungserklärung, die es dem zukünftigen Vermieter erlaubte, alle weiteren nötigen Angaben über die Bewerberin oder den Bewerber einzuholen. In einem Einzelfall wurde sogar ein Privatdetektiv durch die Liegenschaftsverwaltung beauftragt, der Abklärungen über einen Bewerber bei Dritten vorgenommen hat.

Auch wenn die Interventionen des EDÖB grossenteils erfolgreich waren, zeigten sich nicht alle angeschriebenen Immobilienverwaltungen bereit, ihre Praxis freiwillig anzupassen. Somit dürfte die Bearbeitung von Personendaten zum Abschluss eines Mietvertrages durch die zunehmende Digitalisierung in der Immobilienbranche den EDÖB auch im kommenden Jahr beschäftigen.

  1. Tätigkeitsbericht 2024/2025

37

1

Datenschutz

1.4 Gesundheit

DOPING

Übermittlung der medizinischen Daten von Schweizer Athletinnen und Athleten

Eine systematische Übermittlung von medizinischen Dossiers an die Welt-Anti-Doping-Agentur (WADA) zum Zweck der Durchführung von Stichprobenkontrollen, wie sie die WADA von Swiss Sport Integrity (SSI) forderte, wäre unverhältnismässig und beruht nicht auf einer ausreichenden gesetzlichen Grundlage. Nach Intervention des EDÖB kann die SSI an der bisherigen Praxis festhalten.

Die Stiftung Swiss Sport Integrity (SSI) setzt sich zusammen mit der WADA für die Bekämpfung von Doping ein. Letztere beaufsichtigt unter anderem die Einhaltung des Welt-Anti-Doping-Programms. Sie unterzog die SSI einem Audit und ordnete eine Reihe von Massnahmen an. Eine davon betraf die Daten von Sporttreibenden, denen eine Ausnahmebewilligung zu therapeutischen Zwecken (ATZ) erteilt wurde. Mit dieser Bewilligung wird es Sporttreibenden erlaubt, eine Dopingsubstanz zu Behandlungszwecken einzunehmen. Die WADA forderte von der SSI die systematische Übermittlung der medizinischen Dossiers sämtlicher Inhaberinnen und Inhaber einer

ATZ zur Durchführung von Stichprobenkontrollen. Bislang legte die SSI jeweils lediglich eine Kurzzusammenfassung des medizinischen Zustands der betreffenden Person vor. Das medizinische Dossier wurde nur dann eingereicht, wenn die WADA in einem konkreten Fall eine Kontrolle ansetzte. Weil diese Praxisänderung eine deutlich umfangreichere Bearbeitung von Daten mit sich gebracht hätte, gelangte die SSI an den EDÖB.

In einem Schreiben des EDÖB, das die SSI der WADA unterbreitete, wurde an das Prinzip der Verhältnismässigkeit erinnert, das jeglicher Bearbeitung von Personendaten zugrunde liegt. Nach Prüfung des Sachverhalts beurteilte der EDÖB die von der WADA verlangte Praxisänderung als unverhältnismässig, da eine systematische Übermittlung der medizinischen Dossiers von sämtlichen Athletinnen und Athleten mit einer für die Aufsichtstätigkeit der WADA,

die lediglich in Form von Stichprobenkontrollen ausgeübt wird, nicht erforderlich ist. Die bisherige Praxis hat sich bewährt und erlaubt es der WADA, die gewünschten Kontrollen durchzuführen, so dass die geforderte Änderung nicht als unverzichtbar erachtet werden kann. Zudem haben die Sporttreibenden ein berechtigtes Interesse, ihre besonders schützenswerten Daten nur bei tatsächlichen Kontrollen zu übermitteln. In diesem Zusammenhang erinnerte der EDÖB auch daran, dass jede Datenübermittlung an Dritte mit einem zusätzlichen Risiko verbunden ist, insbesondere wenn es sich um eine Übermittlung ins Ausland handelt (die WADA hat ihren Sitz in Kanada). Das Eingehen eines solchen Zusatzrisikos muss durch ein überwiegendes Interesse gerechtfertigt sein, welches im vorliegenden Fall fehlt.

Zudem machte der EDÖB geltend, es sei anzunehmen, die SSI verfüge über keine ausreichend spezifische Gesetzesgrundlage, um eine systematische Übermittlung von Daten in der geplanten Form zu genehmigen.

Die WADA akzeptierte die Sichtweise des EDÖB. Sie willigte ein, dass die SSI ihre gegenwärtige Praxis fortführt und schloss das betreffende Verfahren ab.

  1. Tätigkeitsbericht 2024/2025

39

Datenschutz

PATIENTENFORMULARE

Zwischen Informationspflicht und Einwilligung

Das Einwilligungsformular, welches den Patientinnen und Patienten beim Besuch einer Ärztin oder eines anderen Therapeuten zur Unterschrift vorgelegt wird, wirft zahlreiche Fragen auf und stiftet zuweilen Verwirrung, weil es sich auf mehrere juristische Sachverhalte bezieht. Der EDÖB bemüht sich, Leistungserbringerinnen und Leistungserbringer beziehungsweise ihre Dachorganisationen über die einschlägigen Anforderungen des DSG aufzuklären.

Im Berichtsjahr wurde der EDÖB regelmässig mit Fragen zum Formular der Einwilligungserklärung befasst. Er wird auf seiner Website demnächst eine Anleitung veröffentlichen, damit Leistungserbringerinnen und Leistungserbringer beziehungsweise deren Dachorganisationen ihre Formulare nötigenfalls an die Anforderungen des Bundesgesetzes über den Datenschutz (DSG) anpassen können.

Aus datenschutzrechtlicher Sicht im Vordergrund steht hierbei die Unterscheidung zwischen den Anforderungen im Zusammenhang mit der Informationspflicht und den Anforderungen bezüglich der Einwilligung.

Informationspflicht

Für die Bearbeitung von besonders schützenswerten Daten, zu denen Gesundheitsdaten zählen, galt die Informationspflicht für die Ärzteschaft sowie für andere Gesundheitsfachpersonen bereits im alten DSG. Das neue DSG brachte eine Ausdehnung der Informationspflicht auf sämtliche Kategorien von Personendaten.

Die Information muss alle Angaben umfassen, die erforderlich sind, damit eine transparente Datenbearbeitung gewährleistet ist und die betreffende Person ihre Rechte geltend machen kann. Die Information muss der jeweiligen Situation angemessen sein und mindestens die Angaben gemäss Art. 19 Abs. 1 DSG enthalten. Der Detaillierungsgrad der Informationen hängt von der Art der beschafften Personendaten, von Art und Umfang der Bearbeitung sowie von der Einstufung des Risikoniveaus und des Schweregrads einer Verletzung der Persönlichkeitsrechte ab.

Für die Umsetzung der Informationspflicht sieht das Gesetz keinerlei Formvorschriften vor. Die Informationen müssen in transparenter, knapper, verständlicher und leicht zugänglicher Form mitgeteilt werden. Eine mündliche Übermittlung ist demnach zulässig, allerdings kann eine schriftlich dokumentiert Information aus beweistechnischen Gründen angemessen sein. Der Patientin oder dem Patienten steht es jedoch frei, das betreffende Dokument (nicht) zu lesen; eine Pflicht zur Empfangsbestätigung und zur Einwilligung besteht nicht. In der Praxis gelten Präzisierungen in einem Formular oder die Übermittlung eines spezifischen Informationsblatts, welches gegebenenfalls zur Kenntnisnahme unterschrieben wird, als ausreichend.

Die Einwilligung

Das neue DSG bringt auch bezüglich der Einwilligung keine wesentliche Änderung mit sich. Grundsätzlich ist die Einwilligung nicht Vorbedingung für eine Behandlung, kann aber insbesondere bei der Weitergabe von besonders schützenswerten Personendaten als Rechtfertigungsgrund angeführt werden. In den übrigen Fällen kann die Bearbeitung gegebenenfalls durch ein überwiegendes privates Interesse begründet sein, wenn sie in direktem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags steht.

Die Einwilligung ist dann gültig, wenn sie vor oder bei Beginn der betreffenden Behandlung erteilt wurde, und wenn sie freiwillig und in Kenntnis der Tatsachen erfolgte: Die betreffende Person muss mindestens die in Art. 19 DSG aufgeführten Angaben erhalten. Je nach Kontext und Art der bearbeiteten Daten sind zuweilen Präzisierungen nötig, damit die betreffende Person die Bedeutung der Einwilligung nachvollziehen kann; das bedeutet: Die Einwilligung muss für eine oder mehrere bestimmte Bearbeitungen gegeben werden und sich auf alle Bearbeitungszwecke beziehen. Sie kann nicht pauschal für sämtliche zukünftigen Bearbeitungen erfolgen.

Die Form der Einwilligung ist nach wie vor frei wählbar. Eine schriftliche Einwilligung ist nicht zwingend erforderlich. Verantwortliche müssen allerdings deren Vorliegen beweisen und haben deshalb ein Interesse, die Einwilligung schriftlich zu dokumentieren.

40

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

ELEKTRONISCHES PATIENTENDOSSIER

Umfassende Revision des Gesetzes und Übergangsfinanzierung

Das elektronische Patientendossier (EPD) entwickelt sich stetig weiter. Die Vernehmlassung zur Vorlage zur umfassenden Revision des Gesetzes zeigte, dass eine stärkere Zentralisierung gewünscht wird. Gemäss Entscheid des Bundesrates soll deshalb neu der Bund für die Bereitstellung und Weiterentwicklung der technischen Infrastruktur zuständig sein. In einem ersten Schritt genehmigte das Parlament eine Übergangsfinanzierung zur Unterstützung des Betriebs und der Weiterentwicklung des EPD. Der EDÖB beobachtet den Fortgang der Arbeiten.

Im Sommer 2023 schickte der Bundesrat eine Vorlage zur umfassenden Revision des Bundesgesetzes über das elektronische Patientendossier (EPDG) in die Vernehmlassung. Der EDÖB nahm dazu Stellung (s. 31. TB, Kap. 1.4). Mit diversen Massnahmen sollte das EPD zusätzlich verbessert und weiterentwickelt werden, etwa mit einer Anschlusspflicht für alle Leistungserbringerinnen und Leistungserbringer oder mit der Einführung eines Opt-Out-Modells (Widerspruchsrecht anstelle der ausdrücklichen Einwilligung).

Zudem sollen die Rollen von Bund und Kantonen in Bezug auf das EPD klarer geregelt werden.

Angesichts der kritischen Rückmeldungen betreffend die dezentrale Struktur des EPD sieht der Bundesrat nunmehr eine stärkere Zentralisierung vor. An seiner Sitzung vom 27. September 2024 entschied er, die Beschaffung und Weiterentwicklung der technischen Infrastruktur zur Bundesaufgabe zu erklären. Bislang werden die verschiedenen technischen Infrastrukturen des EPD von den Gemeinschaften und Stammgemeinschaften zur Verfügung gestellt, die auf verschiedene Anbieterinnen und Anbieter von EPD-Plattformen zurückgreifen.

Die Botschaft zur umfassenden Revision enthält diese Änderung und wird dem Parlament voraussichtlich im Herbst 2025 unterbreitet.

Übergangsfinanzierung, Einwilligung und Zugriff auf Abfragedienste

Die zur Weiterentwicklung des EPD notwendige umfassende Gesetzesrevision wird mehrere Jahre in Anspruch nehmen. Um die Verbreitung und Nutzung des EPD zu fördern, legte der Bundesrat dem Parlament deshalb im Rahmen einer separaten EPDG-Revision eine Übergangsfinanzierung für die EPD-Anbieterinnen und -Anbieter (Stammgemeinschaften) vor. Um dessen Betrieb und Weiterentwicklung zu unterstützen, gewährte das Parlament im Frühjahr 2024 eine Finanzhilfe von 30 Franken pro eröffnetes EPD;

sie kann während fünf Jahren ab Inkrafttreten der oben genannten Gesetzesänderung ausgerichtet werden. Die Übergangsfinanzierung trat am 1. Oktober 2024 in Kraft.

Mit dieser Teilrevision wird zudem das EPD als Instrument der obligatorischen Krankenpflegeversicherung (OKP) verankert sowie der Prozess für die Eröffnung eines EPD vereinfacht. Die Patientinnen und Patienten können fortan ihre Einwilligung mit einem elektronischen Identifikationsmittel bestätigen, das von einem zertifizierten Herausgeber ausgestellt wurde. Eine handschriftliche oder digitale Unterschrift ist nicht mehr erforderlich. Ferner erhalten die Kantone Zugriff auf den Dienst zur Abfrage der Gesundheitseinrichtungen und Gesundheitsfachpersonen. Damit können sie überprüfen, ob Spitäler, Geburtshäuser, Pflegeheime und seit dem 1. Januar 2022 neu zugelassene Ärztinnen und Ärzte ihrer Pflicht nachgekommen sind, einer zertifizierten (Stamm-)Gemeinschaft beizutreten.

Der EDÖB wird die Entwicklung des EPD weiterhin aktiv mitverfolgen und sich anlässlich der Ämterkonsultationen zum Vollzug des Gesetzes sowie im Zusammenhang mit spezifischen Fragen für die Einhaltung der Datenschutzbestimmungen einsetzen.

  1. Tätigkeitsbericht 2024/2025

41

Datenschutz

1.5 Arbeit

BUNDESPERSONALRECHT

Whistleblowing-Plattform

Der EDÖB sorgte durch mehrmalige Stellungnahmen für eine Präzisierung der gesetzlichen Bestimmungen betreffend die Bearbeitung von Daten im Zusammenhang mit Whistleblowing-Meldungen und -Anzeigen von Angestellten des Bundes.

Im Rahmen der Revision des Bundespersonalgesetzes (BPG) intervenierte der EDÖB zugunsten einer besseren Rechtsgrundlage für Meldungen, die von Hinweisgebenden erstattet werden (Whistleblowing-Meldungen). Die Angestellten des Bundes sind verpflichtet, alle von Amtes wegen zu verfolgenden Verbrechen oder Vergehen, die sie bei ihrer amtlichen Tätigkeit festgestellt haben oder die ihnen gemeldet wurden, ihren Vorgesetzten, der Eidgenössischen Finanzkontrolle (EFK), oder den Strafverfolgungsbehörden anzuzeigen. Sie sind auch berechtigt, andere Unregelmässigkeiten, die sie bei ihrer amtlichen Tätigkeit festgestellt haben oder die ihnen zur Kenntnis gebracht wurden, zu melden.

In seiner gegenwärtigen Fassung weist Artikel 22a BPG über Meldungen an die Whistleblowing-Plattform der EFK jedoch Lücken auf. Zwar wurde der Auftrag der EFK durch den Gesetzgeber im BPG festgelegt, und die

Whistleblowing-Datensammlung wurde beim EDÖB pflichtgemäss registriert; was im Gesetz aber fehlt ist eine Definition der Datenbearbeitungen selbst. Der Artikel sagt dazu lediglich Folgendes: «Die EFK klärt den Sachverhalt ab und trifft die notwendigen Massnahmen». Die Bearbeitung von besonders schützenswerten Daten durch die EFK bedarf jedoch einer detaillierten Regelung innerhalb des Gesetzes, zumal Meldungen teilweise unter Namensnennung erfolgen und gegebenenfalls konkrete Personen und besonders schützenswerte Daten betreffen, etwa im Zusammenhang mit Indiskretionen oder strafrechtlich relevanten Vergehen (z. B. Korruption, Veruntreuung, Unregelmässigkeiten im öffentlichen Beschaffungswesen).

Ausgehend von den Stellungnahmen, die der EDÖB im Verlauf der Ämterkonsultationen einreichte, wurden die Entwürfe zur Revision von drei Bundesgesetzen angepasst. Bei den betreffenden Änderungen ging es darum, die Whistleblowing-Meldungen selbst, die dazugehörigen Verfahren sowie die daraus resultierenden Datenbearbeitungen zu präzisieren.

Sodann wurden im Entwurf zu Artikel 22a BPG die Umstände, die zu einer Meldung oder Anzeige Anlass geben, sowie die Stellen präzisiert, an die sich Hinweisgebende wenden können. Insbesondere hält das Gesetz klar fest, dass Angestellte des Eidgenössischen Departements für auswärtige Angelegenheiten (EDA) auch die Möglichkeit haben, ihren Verdacht bei der Meldestelle des EDA zu hinterlegen.

In einem neuen Artikel 10a des Finanzkontrollgesetzes (FKG) wurden auch spezifische Bestimmungen dafür erlassen, welche Datenbearbeitungen die EFK im Zusammenhang mit Whistleblowing-Meldungen vornehmen darf. Der Entwurf sieht zudem den Betrieb einer Meldestelle vor, welche Meldungen und Anzeigen entgegennimmt; er regelt die Bearbeitung besonders schützenswerter Daten durch diese Meldestelle sowie die Bekanntgabe von Daten an andere Behörden.

Im Bundesgesetz über die Bearbeitung von Personendaten durch das Eidgenössische Departement für auswärtige Angelegenheiten (SR 235.2)

42

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

BUNDESPERSONALRECHT

wurden schliesslich Bestimmungen für die Bearbeitung von Daten aus Meldungen aufgenommen, die bei der Meldestelle des EDA eingingen: In einem neuen 10. Abschnitt «Personen, die im Zusammenhang mit Meldungen zu Verbrechen, Vergehen und Unregelmässigkeiten stehen» definiert der Entwurf, wie das EDA Daten im Zusammenhang mit Meldungen nach Artikel 22a BPG bearbeiten darf, die auf seiner Whistleblowing-Plattform eingegangen sind.

Mit diesen Präzisierungen, die auf Stellungnahmen des EDÖB beruhen und im Zuge der Revision der betreffenden Bundesgesetze eingeführt werden, kann die Rechtssicherheit bei der Bearbeitung von Whistleblowing-Meldungen und -Anzeigen gewährleistet und eine adäquate Normdichte des Rechtsrahmens hergestellt werden.

Profiling im Rahmen von Assessments und aktiver Personalsuche

Der EDÖB hat sich im Rahmen der Revision des Bundespersonalgesetzes in verschiedenen Stellungnahmen dafür eingesetzt, dass die gesetzliche Grundlage für das Profiling im Rahmen von Assessments und der aktiven Personalsuche genügend präzise und transparent ist. Ausserdem sprach er sich dafür aus, dass für solche Datenbearbeitungsmethoden vorgängig Datenschutz-Folgenabschätzungen durchgeführt werden, welche die damit verbundenen Risiken bewerten und geeignete Schutzmassnahmen festlegen. Im Rahmen der Revision des Bundespersonalgesetzes (BPG) hat sich der EDÖB zu verschiedenen Aspekten des Datenschutzes geäussert. Mit dem Inkrafttreten des neuen DSG wurde der Begriff «Persönlichkeitsprofil» aufgehoben und die Begriffe «Profiling» und «Profiling mit hohem Risiko» eingeführt. Das BPG muss somit an die neue Begrifflichkeit angepasst werden. Dabei stehen zwei Tätigkeiten im Vordergrund: das Assessment (Beurteilungen und Persönlichkeitstests von

Bewerbenden und Angestellten) und die aktive Personalsuche. Während das Assessment bereits unter dem aktuellen BPG vorgesehen war, ist der Vorgang der aktiven Personalsuche, d. h. der Bearbeitung von Informationen über Personen, die weder Bewerbende noch Angestellte sind, noch nicht gesetzlich verankert.

Damit der Bund als Arbeitgeber auch in Zukunft Assessments im Bereich der Rekrutierung, des Förderungsbedarfs und des Entwicklungspotenzials nutzen kann, um beispielsweise die Eignung einer angestellten Person für ein Projekt oder eine Beförderung abzuschätzen oder um Angestellten eine berufliche Laufbahn empfehlen zu können, musste die Bestimmung des BPG mit Hinblick auf den neuen Begriff des Profilings angepasst werden.

Ausserdem ist eine gesetzliche Grundlage für die aktive Personalsuche notwendig, so dass die Arbeitgeber die sozialen Medien (wie beispielsweise

  1. Tätigkeitsbericht 2024/2025

43

Datenschutz

LinkedIn) für die Suche nach geeignetem Personal und für die Einschätzung der Eignung einer Person für eine konkrete Stelle nutzen dürfen.

Je nach Umständen können solche Datenbearbeitungen nicht nur ein Profiling, sondern ein solches mit hohem Risiko darstellen, da auch an sich harmlose Informationen sich rasch zu einem umfassenden Bild einer Person verdichten können, das eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. Daher muss eine gesetzliche Grundlage geschaffen werden, die entsprechend präzise und transparent ausgestaltet ist, um den Legalitäts- und Transparenzgrundsätzen gerecht zu werden. Insbesondere müssen für die verschiedenen Operationen die dafür notwendigen Kategorien von besonders schützenswerten Daten bestimmt und im Gesetz festgelegt werden. Das

Eidgenössische Personalamt (EPA) hat infolge der Stellungnahme des EDÖB die Bestimmung entsprechend ergänzt und präzisiert.

Weiter hat der EDÖB die Ansicht vertreten, dass für die mit von der Gesetzesrevision vorgesehenen Bearbeitungsmethoden Datenschutz-Folgenabschätzungen durchgeführt werden müssen, da ein Profiling aufgrund der Art und des Umfangs der Bearbeitung ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringen kann. So müssen die damit verbundenen Risiken identifiziert und die angemessenen Schutzmassnahmen beschrieben werden, um diesen Risiken zu begegnen. Das EPA hat die verlangten Risikoanalysen sodann durchgeführt und dabei verschiedene Risiken festgestellt und entsprechende Massnahmen zu deren Minderung definiert: Dazu gehören unter anderem die gesetzliche Regelung der Zugriffsberechtigungen, Massnahmen der Datensicherheit, die Schulung und Sensibilisierung der Mitarbeitenden, die Einführung von Weisungen sowie die Protokollierung der Bearbeitungen. Die Ergebnisse der Risikoanalysen wurden in der Botschaft des Bundesrats zuhanden der eidgenössischen Räte ausgewiesen.

MITARBEITERÜBERWACHUNG

Einhaltung der Datenschutzgrundsätze

Einsätze von Überwachungssystemen am Arbeitsplatz haben zu mehreren Interventionen des EDÖB geführt. Eine datenschutzkonforme Ausgestaltung verlangt insbesondere, dass sich die Datenbearbeitung auf das Notwendige beschränkt und dass die Mitarbeitenden angemessen informiert werden.

Im Berichtsjahr wurde der EDÖB vermehrt in Bezug auf die Datenschutzkonformität von Videoüberwachungssystemen kontaktiert. Er ist hierzu in bestimmten Fällen im Rahmen von Vorabklärungen und niederschwelligen Interventionen tätig geworden und hat

44

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

65797 cm D/B N R

Datenschutz

in diesem Zusammenhang auf die Grundsätze des Datenschutzes hingewiesen. Ausserdem hat er bezüglich eines Überwachungssystems eine Untersuchung eröffnet.

Der Arbeitgeber darf Daten über den Arbeitnehmer nur bearbeiten, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind (Grundsatz der Verhältnismässigkeit). Der Arbeitgeber muss jedoch die Gesundheit und die Persönlichkeit der Arbeitnehmenden schützen. So sind Überwachungssysteme verboten, die der gezielten Überwachung des Verhaltens der Angestellten dienen. Ist eine Überwachung aus anderen Gründen erforderlich, ist sie so zu gestalten, dass die Gesundheit und Bewegungsfreiheit der Angestellten nicht beeinträchtigt werden. Die Überwachung muss daher auf das Notwendige beschränkt sein. Bei einer Videoüberwachungsanlage bedeutet dies beispielsweise, dass die Aufnahmen nicht zur

Verhaltensüberwachung der Arbeitnehmenden genutzt werden dürfen und der Arbeitgeber dafür ein legitimes Betriebsinteresse hat, welches gegenüber dem Interesse der Arbeitnehmenden am Schutz ihrer Persönlichkeit überwiegt. Die Videokameras sind so zu positionieren und einzustellen, dass der Aufnahmebereich auf ein Minimum begrenzt ist und die Angestellten eine Rückzugsmöglichkeit haben. Das Filmen im Pausenbereich ist grundsätzlich nicht zulässig.

Wichtig ist auch die Transparenz. Mitarbeitende müssen vor dem Einsatz umfassend und in verständlicher Weise über die Art, den Zweck und den Umfang eines Überwachungssystems informiert werden. In dieser Hinsicht sind in der Praxis häufig Mängel zu beobachten: Arbeitnehmende werden oft nicht oder nicht genügend über den Einsatz von Überwachungsmassnahmen orientiert.

Die Einhaltung dieser Grundsätze ist von zentraler Bedeutung, da die Einwilligung im Arbeitsverhältnis im Zusammenhang mit Überwachungsmassnahmen nur begrenzt zum Zug kommen kann, da Angestellte aufgrund ihrer untergeordneten Stellung oft nicht frei entscheiden können.

Mitarbeiterüberwachung

Die Überwachung von Mitarbeitenden ist ein Thema, mit dem sich der EDÖB immer wieder befasst: digitalisierte Zeiterfassung, GPS-Tracking oder Zugriff auf Geschäfts-E-Mails von Angestellten sind einige Beispiele, die oftmals datenschutzrechtliche Fragen aufwerfen. Die Sachverhaltsabklärung betreffend digitalisierter Zeiterfassung bei einer Gebäudereinigungsfirma konnte inzwischen abgeschlossen werden (s. 27. TB, Kap. 1.6).

46

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

1.6 Verkehr

PROJEKT SWISSCOM BROADCAST

EDÖB fordert Antworten zum Drohnennetzwerk der Swisscom

Mit dem Drohnennetzwerk Schweiz von Swisscom Broadcast wird in den kommenden Jahren eine neue Infrastruktur für automatisierte Drohnenflüge aufgebaut. Sie soll die Nutzung von Drohnen als Service, etwa für Infrastrukturinspektionen, Polizeieinsätze oder zum Schutz grosser Areale, ermöglichen.

Um die datenschutzkonforme Bearbeitung von Personendaten bei der Nutzung dieser Infrastruktur sicherzustellen, führte der EDÖB Abklärungen bei der Serviceanbieterin Swisscom Broadcast durch. Dabei hat sich gezeigt, dass die Betreiberin des Drohnennetzwerks die erforderlichen Massnahmen zur Gewährleistung des Datenschutzes trifft. Dazu gehört u. a. die Erstellung einer Risikovorprüfung vor der Inbetriebnahme eines Drohnennetzwerks sowie eine Datenschutz-Folgenabschätzung, wenn hohe Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Personen bestehen sollten. Der EDÖB wird den Aufbau dieser Infrastruktur weiterhin beobachten und sich dazu regelmässig mit der Betreiberin austauschen.

BIOMETRIE

Gesichtserkennung am Flughafen Zürich

Gesichtserkennung am Flughafen Zürich soll nur gestützt auf eine gesetzliche Grundlage eingeführt werden. Da das Vorhaben mit potenziell hohen Risiken für die Persönlichkeits- und Grundrechte der Betroffenen verbunden ist, hat es der EDÖB vertieft geprüft.

Die Flughafen Zürich AG hat den EDÖB über die beabsichtigte Beschaffung einer Technologie informiert, die eine auf automatisierter Gesichtserkennung basierende Identifizierung von Flugpassagieren ermöglicht. Zugleich wurde der EDÖB um eine datenschutzrechtliche Ersteinschätzung des Vorhabens gebeten. Da biometrische Daten, welche für die Bordkartenkontrolle der Flugpassiere und somit zu deren Identifizierung eingesetzt werden sollen, als besonders schützenswerte Personendaten i. S. des DSG einzustufen sind, bestehen bei einer solchen Datenbearbeitung grundsätzlich hohe Risiken für die Persönlichkeit und die Grundrechte von betroffenen Personen.

Die Flughafen Zürich AG übt ihre Tätigkeit gestützt auf eine Betriebskonzession gemäss Luftfahrtgesetz aus, weshalb sie als Bundesorgan i. S. des DSG gilt. Bearbeiten Bundesorgane besonders schützenswerte Personendaten, so bedarf es hierzu einer Grundlage im formellen Gesetz. Das sich derzeit in Revision befindliche Luftfahrtgesetz sieht in Übernahme von international geltenden Regelungen die

Möglichkeit des Einsatzes von biometrischen Daten für die Kontrolle der Bordkarten vor. Bis zu dessen Inkraftsetzung fehlt es jedoch an einer formellen gesetzlichen Grundlage. Der Einsatz ist deshalb nur unter den für einen Pilotversuch gemäss DSG geltenden Rahmenbedingungen möglich.

Nach Angaben der Flughafen Zürich AG soll die geplante Gesichtserkennung ausschliesslich im Rahmen der Bordkartenkontrolle und freiwillig zur Anwendung kommen. Zudem soll am Flughafen Zürich eine gut erkennbare Signalisation jene Zonen ausweisen, in welchen sich die Passagiere künftig biometrisch erfassen lassen können. Der EDÖB hat sowohl die rechtlichen als auch die technischen Rahmenbedingungen der Bearbeitung eingehend analysiert und wird den Flughafen Zürich bei einer allfälligen Umsetzung dieses Vorhabens weiterhin aufsichtsrechtlich begleiten.

  1. Tätigkeitsbericht 2024/2025

47

Datenschutz

PASSENGER NAME RECORDS

Flugpassagierdatengesetz

Heute kann die Schweiz Flugpassagierdaten nicht systematisch nutzen, weil eine gesetzliche Grundlage dafür fehlt. Eine solche wird nun mit dem Flugpassagierdatengesetz (FPG) geschaffen. Der Bundesrat hat am 15. Mai 2024 eine Gesetzesbotschaft ans Parlament überwiesen. National- und Ständerat haben dem Gesetz am 21. März 2025 zugestimmt. Die Referendumsfrist läuft bis am 10. Juli 2025.

Flugpassagiere müssen den Fluggesellschaften oder Reisebüros bei der Buchung persönliche Informationen wie Vor- und Nachname, Kontaktdaten (inkl. Adresse und Telefonnummer), Reisebüro, Zahlungsinformationen mitteilen. Für die Erhebung dieser Flugpassagierdaten (in Englisch »Passenger Name Records – PNR«) – bestehen internationale Vorgaben der UNO, der Internationalen Zivilluftfahrtorganisation (ICAO) sowie der EU. Die PNR-Daten dienen der Bekämpfung von Terrorismus und Schwerstkriminalität. Ihre Bekanntgabe haben die USA zur Bedingung für den Verbleib der Schweiz im Visa Waiver Program (VWP) gemacht, welches die visafreie Einreise in die Vereinigten Staaten für touristische oder berufliche Zwecke ermöglicht (s. dazu auch Artikel zu BTLE und EDSA in Kap. 1.7).

Nebst dem Entwurf des Flugpassagiergesetzes (FPG) hat der EDÖB auch die vom zuständigen Bundesamt erarbeitete Datenschutz-Folgenabschätzung geprüft. Die von ihm verlangten Präzisierungen wurden aufgenommen. Der EDÖB wird das Projekt weiter begleiten.

ÖV-PLATTFORM NOVA

Kontrolle bei den SBB

Der EDÖB hat die von ihm geforderten datenschutzrechtlichen Nachbesserungen bei der zentralen Vertriebsplattform NOVA überprüft.

Im Zusammenhang mit der 2022 gemeldeten Schwachstelle der zentralen Vertriebsplattform NOVA, welche die SBB im Auftrag der Branchenvereinigung des öffentlichen Verkehrs Alliance SwissPass betreiben (s. 29. TB, Kap. 1.7 und 31. TB, Kap. 1.6), veranlasste der EDÖB, dass die SBB ein Audit durchführen, um zu klären, ob die geforderten Löschregeln in NOVA umgesetzt wurden.

Ferner hat die Branchenvereinigung auf den 1. Januar 2024 verbindliche Standards zur Informationssicherheit

(sogenannte Vorschrift 591) in Kraft gesetzt, welche die an NOVA angeschlossenen Verkehrsunternehmen einhalten müssen. Bereits angeschlossene Verkehrsbetriebe standen in der Pflicht, bis spätestens Ende Juni 2024 mittels Self-Assessment nachzuweisen, dass sie die entsprechenden Vorgaben einhalten. Der EDÖB hat die SBB deshalb aufgefordert, auch hierüber Bericht zu erstatten.

Die SBB teilten dem EDÖB mit, dass sie Anfang 2024 ein Audit durchgeführt haben, in dessen Rahmen festgestellt wurde, dass die definierten Löschregeln inzwischen vollständig in allen NOVA-Anwendungen implementiert wurden. Parallel dazu seien die nötigen Strukturen geschaffen worden, damit die Vorschrift 591 auditiert und laufend weiterentwickelt werden kann. Im Verlauf des Jahres 2025 soll ein objektiveres Bild der aktuellen Situation ermittelt werden. Der EDÖB wird das Projekt weiter begleiten.

48

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

img-7.jpeg

img-8.jpeg

img-9.jpeg

img-10.jpeg

img-11.jpeg

img-12.jpeg

img-13.jpeg

Datenschutz

1.7 International

Angesichts der Präsenz globaler Technologieunternehmen im schweizerischen Mark stellen sich für den EDÖB zahlreiche Vollzugsfragen mit grenzüberschreitendem Charakter, zu deren Lösung dank der Modernisierung der Datenschutzerlasse auf nationaler, europäischer und globaler Ebene verbesserte Instrumente zur Verfügung stehen, die es zu nutzen gilt.

Für die Durchsetzung des DSG und völkerrechtlicher Abkommen gegenüber weltweit tätigen Unternehmen ist die grenzüberschreitende Zusammenarbeit mit ausländischen Datenschutzbehörden unerlässlich. Mit dem beschleunigten Austausch von Informationen im Rahmen der internationalen Amtshilfe lassen sich einerseits der Rechtsschutz der von der Bearbeitung ihrer Daten betroffenen Bevölkerung und andererseits die Rechtssicherheit für die dafür Verantwortlichen verbessern.

Im informellen Kreis sog. «Adequacy Groups» hat sich der EDÖB denn auch zu dieser Thematik mit den Datenschutzbehörden jener Staaten ausgetauscht, denen die EU formell bescheinigt, hinsichtlich Datenschutzgesetzgebung und deren Vollzug über ein gleichwertiges Datenschutzniveau zu verfügen. Mit Blick auf soziale Plattformen und weitere Angebote internationaler

Grossunternehmen wurden Möglichkeiten aufgezeigt, die grenzüberschreitende Amtshilfe zu beschleunigen und die Zustellung von Dokumenten zu vereinfachen.

Einerseits gestattet das auch für die Datenschutzaufsicht anwendbare Europarat-Übereinkommen über die Direktzustellung in Verwaltungssachen (SR 0.172.030.5 – EÜZ) eine vereinfachte Zustellung von Schriftstücken zwischen den Vertragsstaaten. Andererseits räumt das DSG dem EDÖB die Kompetenz ein, zu Gunsten ausländischer Datenschutzbehörden zu erklären, dass in der Schweiz für sie direkte Formen der Zustellung zulässig sind, wenn diese dem EDÖB garantieren, Gegenrecht zu halten.

DATA SCRAPING

Gemeinsame Abschlusserklärung zur Datenextraktion

Nach der Veröffentlichung einer gemeinsamen Erklärung zur Datenextraktion 2023 berieten sich der EDÖB und seine Amtskolleginnen und Amtskollegen aus 16 weiteren nationalen Datenschutzbehörden mit einigen der weltweit grössten Social-Media-Unternehmen. Die Abschlusserklärung mit neuen Punkten für die Industrie, die aus dieser Zusammenarbeit hervorging, wurde veröffentlicht.

Die massive Extraktion von Personendaten aus Social-Media-Plattformen, namentlich zur Unterstützung von KI-Systemen, gibt zu wachsender Besorgnis Anlass. Dies veranlasste Datenschutzbehörden aus aller Welt, die gemeinsame Erklärung aus dem Jahr 2023 durch eine Abschlusserklärung zu ergänzen. Sie enthält zusätzliche Richtlinien, mit denen Unternehmen sicherstellen können, dass die Personendaten ihrer Nutzerinnen und Nutzer vor illegalem Data Scraping geschützt sind und richtet unter anderem folgende Anforderungen an sie:

  • Einhaltung der datenschutzrechtlichen Bestimmungen, wenn die Unternehmen Personendaten (auch von ihren eigenen Plattformen) verwenden, um mit Hilfe von künstlicher Intelligenz grosse Sprachmodelle zu erstellen;

50

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

SWISS-US DPF

  • Einsatz kombinierter Schutzmassnahmen und regelmässige Überprüfung und Aktualisierung derselben, damit neuen Methoden und Technologien des Data Scraping Rechnung getragen werden kann;
  • Sicherstellen, dass Datenextraktion, welche zu kommerziellen Zwecken oder im Hinblick auf einen gesellschaftlichen Nutzen erfolgt, rechtmässig ist und strenge Vertragsbedingungen erfüllt.

Die erste Erklärung wurde 2023 unterzeichnet (vgl. 31. TB, Kap 1.6) und anschliessend den Unternehmen Youtube, Tiktok, Instagram, Threads, Facebook, Linkedin, Weibo und X (ehemals Twitter) unterbreitet.

Dadurch entstand ein konstruktiver Dialog zwischen den Datenschutzbehörden und mehreren dieser Social-Media-Unternehmen sowie mit der Organisation zur Bekämpfung der illegalen Datenextraktion (Mitigating Unauthorized Scraping Alliance). Die Datenschutzbehörden gewannen ihrerseits ein besseres Verständnis der Herausforderungen, vor denen Unternehmen beim Schutz vor illegalem Data Scraping stehen. Dazu gehören die zunehmend raffinierteren Data-Scraping-Methoden, die ständig fortschreitende Datenextraktionstechnologie

und die Schwierigkeit, Data-Scraping-Programme von autorisierten Nutzerinnen und Nutzern zu unterscheiden.

Alles in allem bestätigten die Social-Media-Unternehmen den Datenschutzbehörden, dass sie zahlreiche der in der ursprünglichen Erklärung aufgeführten Massnahmen umgesetzt haben. Zu den zusätzlichen Schutzmassnahmen der gemeinsamen Abschlusserklärung gehören unter anderem die Verwendung von Elementen im Aufbau der Plattform, die eine automatisierte Datenextraktion erschweren, Schutzmassnahmen mit Hilfe künstlicher Intelligenz und kostengünstige Lösungen, die kleine und mittlere Unternehmen nutzen könnten, um ihren Datenschutzverpflichtungen nachzukommen.

Rahmenwerk für die Datenbekanntgabe in die USA

Nachdem sich die Europäische Union sowie das Vereinigte Königreich mit den Vereinigten Staaten 2023 auf ein Rahmenwerk für die Datenübermittlungen in die USA geeinigt hatten (s. 31. TB, Kap. 1.7), trat am 15. September 2024 zwischen der Schweiz und den Vereinigten Staaten das analoge Data Privacy Framework (Swiss-US DPF) in Kraft. Dementsprechend wurden die Vereinigten Staaten in die vom Bundesrat zu genehmigende Liste der angemessenen Staaten aufgenommen, wobei sich die Angemessenheit der USA auf die nach diesem Framework zertifizierten US-Unternehmen beschränkt.

Neben dem DPF umfasst das rechtliche Rahmenwerk, auf den sich der Angemessenheitsbeschluss des Bundesrates stützt, auch den Executive Order 14086 zur Einführung eines zweistufigen Beschwerdemechanismus sowie von zusätzlichen Garantien für Betroffene und verschiedene Ausführungsbestimmungen, mit welchen das US-Justizministerium die im Order statuierten Garantien konkretisiert.

Mit dem zweistufigen Rechtsbehelfsmechanismus sollen einerseits die im Schrems II-Urteil hervorgehobenen Rechtsschutzmöglichkeiten verbessert und andererseits die Schwachstellen des ehemaligen Swiss-US Privacy Shield beseitigt werden. In der ersten Stufe überprüft der oder die US-amerikanische Beauftragte für den Schutz

  1. Tätigkeitsbericht 2024/2025

51

Datenschutz

bürgerlicher Freiheiten (Civil Liberties Protection Officer – CLPO) des Büros des Direktors der Nationalen Nachrichtendienste (Office of the Director of National Intelligence – ODNI) die Individualbeschwerden. Sobald die Untersuchung des CLPO abgeschlossen ist, kann die betroffene Person die Überprüfung der Entscheidung in einer zweiten Stufe beim neu geschaffenen Datenschutzüberprüfungsgericht (Data Protection Review Court – DPRC) verlangen.

Beschwerde beim EDÖB

Während des ganzen Verfahrens läuft die Kommunikation zwischen den US-amerikanischen Behörden und einer betroffenen Person in der Schweiz ausschliesslich über den EDÖB. In der ersten Stufe reicht eine solche Person ihre Beschwerde beim EDÖB ein. Bevor Letzterer die Beschwerde an das CLPO-ODNI übermittelt, hat er diese auf ihre Vollständigkeit zu kontrollieren. Zu prüfen ist dabei, ob die eingereichte Beschwerde die Voraussetzungen einer qualifizierten Beschwerde

(qualifying complaint) erfüllt. Um als solche zu gelten, muss die Beschwerde in Schriftform eingereicht werden. Der Beschwerdeführer muss dabei seine Identität nachweisen und die grundlegenden Informationen, die eine Überprüfung der Beschwerde ermöglichen, zur Verfügung stellen. Der Nachweis einer befürchteten US-behördlichen Einmischung durch den Beschwerdeführer ist nicht notwendig, eine vernünftige Glaubhaftmachung reicht aus. Ferner muss der Beschwerdeführer u. a. die spezifischen Mittel nennen, durch welche seine Daten in die USA übermittelt worden seien. Sofern alle Voraussetzungen erfüllt sind, übermittelt der EDÖB die Beschwerde an den CLPO-ODNI.

Nach Abschluss der Überprüfung durch das CLPO wird der Beschwerdeführer durch den EDÖB darüber informiert, dass die Überprüfung stattgefunden hat und dass entweder keine Verstösse festgestellt worden sind oder dass das CLPO-ODNI eine angemessene Abhilfe angeordnet hat. Durch diese stets gleichlautende Standardantwort wird weder bestätigt noch verneint, dass der Beschwerdeführer Gegenstand von Aktivitäten der US-amerikanischen Nachrichtendienste war. Eine gleichlautende Standardantwort wird der betroffenen Person durch den EDÖB auch im Fall des Weiterzugs der Beschwerde an das DPRC übermittelt. Ein vergleichbares Verfahren mit

Standardantworten kommt in der Schweiz auch bei der Behandlung von Auskunftsersuchen nach dem Bundesgesetz über den Nachrichtendienst des Bundes zur Anwendung.

Nicht-zertifizierte

US-Unternehmen

Bei Datenübermittlungen aus der Schweiz an nicht-zertifizierte US-Unternehmen braucht es weiterhin zusätzliche Garantien i. S. v. Art. 16 Abs. 2 DSG, welche einen geeigneten Datenschutz gewährleisten (z. B. Standardvertragsklauseln oder verbindliche interne Datenschutzregelungen). Allerdings ist hervorzuheben, dass die durch den EO 14086 eingeführten Garantien und Rechtswegmöglichkeiten für sämtliche Datenübermittlungen aus der Schweiz in die USA gelten und nicht nur für solche, die gestützt auf den Angemessenheitsbeschluss des Bundesrates i. S. v. Art. 16 Abs. 1 DSG erfolgen.

  1. Tätigkeitsbericht 2024/2025

53

Datenschutz

SCHENGEN

Evaluierung der Schweiz

Vom 20. bis 24. Januar 2025 besuchte eine europäische Expertengruppe die Schweiz als Schengen-assoziiertes Mitglied, um die Umsetzung des Schengen-Besitzstandes im Bereich des Datenschutzes zu evaluieren.

Ein aus Sachverständigen der Datenschutzaufsichtsbehörden der Schengen-Mitgliedstaaten (Peer-to-Peer-Ansatz), einem Beobachter des Europäischen Datenschutzbeauftragten (EDSB) und einer Vertreterin der europäischen Kommission zusammengesetztes Team besuchte die Schweiz, um die Umsetzung des Schengen-Besitzstandes im Bereich Datenschutz zu evaluieren.

Im Rahmen des mehrjährigen Evaluierungsprogramms 2023–2029 werden alle Schengen-Mitgliedstaaten hinsichtlich ihrer Gesamtleistung bei der Umsetzung des Schengen-Besitzstands in den Bereichen Verwaltung der Aussengrenzen, Binnengrenzen ohne Grenzkontrollen, Visumpolitik, Rückkehr, IT-Grosssysteme zur Unterstützung der Anwendung des Schengen-Besitzstands, polizeiliche Zusammenarbeit, justizielle Zusammenarbeit in Strafsachen und Datenschutz evaluiert. Das Schengen-Evaluierungskonzept der dritten Generation zielt darauf ab, ein umfassendes Bild der Umsetzung des Schengen-Besitzstands zu vermitteln und somit das gegenseitige Vertrauen im Schengen-Raum zu stärken. Die Evaluierung erfolgt nicht mehr alle fünf, sondern neu alle sieben Jahre (s. 31. TB, Kap. 1.7).

Der datenschutzrechtliche Teil der Evaluierung zielt darauf ab, die wirksame Umsetzung der Datenschutzanforderungen des Schengen-Besitzstands zu überprüfen. Der EDÖB beteiligte sich aktiv an den Arbeiten in Zusammenhang mit dieser Schengen-Evaluierung der Schweiz. Er hat die europäischen Experten am 20. Januar 2025 in seinen Räumlichkeiten empfangen und ihnen seine Funktion und seine Tätigkeiten vorgestellt, sowie die noch offenen Fragen beantwortet.

Das europäische Recht sieht vor, dass vier Wochen nach Abschluss der Evaluierungstätigkeit die EU-Kommission der Schweiz den Entwurf des Evaluierungsberichts und die Entwürfe der Empfehlungen übermittelt. Die Schweiz hat danach innerhalb von zwei Wochen Zeit Stellung zu nehmen. Im Evaluierungsbericht werden die qualitativen, quantitativen, operativen, administrativen und organisatorischen Aspekte analysiert und die bei der Evaluierung festgestellten Mängel, verbesserungsbedürftigen Bereiche und bewährten Vorgehensweisen aufgelistet.

SCHENGEN

Aufsichtskoordinationsgruppen über die Informationssysteme SIS, VIS, Eurodac

Die VIS-Aufsichtskoordinationsgruppe wurde in das «Coordinated Supervision Committee» überführt, das neu auch für die Informationssysteme EES und ETIAS zuständig ist.

Die VIS-Aufsichtskoordinationsgruppe (VIS SCG) wurde in das «Coordinated Supervision Committee» (CSC) überführt. Die Gruppe setzt sich immer noch aus den gleichen Datenschutzbehörden zusammen, darunter auch die Schweiz. Der Vorsitz und das Sekretariat gingen vom Europäischen Datenschutzbeauftragten (EDSB) auf den Europäischen Datenschutzausschuss (EDSA) über. Das CSC wird in Zukunft auch die Informationssysteme EES (Einreise-/Ausreisesystems resp. Entry/Exit System) und ETIAS (Europäisches Reiseinformations- und genehmigungssystem resp. «European Travel Information and Authorisation System») abdecken.

Der EDSA wertet zurzeit die von den Schengen-Mitgliedstaaten das erste Mal gemeldete Anzahl eingereichter Auskunfts-, Berichtigungs- oder Löschungsgesuche betreffend die im SIS bearbeiteten Daten aus. Er ermittelt, in wie vielen Fällen dem Gesuch Folge geleistet, d. h. der Zugang gewährt wurde, oder die Daten berichtigt oder

54

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

gelöscht wurden. Der Bericht sollte im Jahr 2025 abgeschlossen werden können.

Die operative Einführung des EES, welches für den 10. November 2024 geplant war, hat sich aufgrund eines auf europäischer Ebene nicht ausreichend stabilen und robusten Zentralsystems verzögert. In den verschiedenen Schengen-Mitglieds- und assoziierten Staaten ist nun eine schrittweise Einführung des Informationssystems ab Oktober 2025 geplant.

Ein Vertreter des EDÖB hat zudem an der Evaluierung von Ungarn im Bereich Datenschutz teilgenommen.

SCHENGEN

Koordinationsgruppe der schweizerischen Datenschutzbehörden

Die Schengen-Koordinationsgruppe der schweizerischen Datenschutzbehörden von Bund und Kantonen, bei der die Datenschutzstelle Liechtenstein einen Beobachterstatus hat, traf sich zweimal unter dem Vorsitz des EDÖB.

Der EDÖB informierte seine kantonalen Partnerbehörden über Sitzungsergebnisse der europäischen Aufsichtskoordinationsgruppen betreffend die bestehenden Informationssysteme SIS und VIS sowie über den aktuellen Stand der Umsetzungsarbeiten des Einreise- und Ausreisesystems (EES) und des Europäischen Reiseinformations- und genehmigungssystems (ETIAS).

Weiter wurden Besuche beim Bundesamt für Polizei (fedpol) und dessen SIRENE-Büro durchgeführt. Zudem wurden Mustertexte für die kantonalen Webseiten betreffend die Systeme SIS und VIS erstellt und der Leitfaden für SIS-Kontrollen aktualisiert.

SCHENGEN

Tätigkeiten auf nationaler Ebene

Die Kontrollen bei fedpol als zentrale Zugangsstelle des zentralen Visa-Informationssystem (C-VIS) und die C-VIS-Logfiles-Kontrolle beim Grenzwachtkorps wurden abgeschlossen. Der EDÖB hat ausserdem eine SIS-Logfiles-Kontrolle bei der Zentralstelle Waffen des fedpol durchgeführt.

Gegenstand der Kontrolle beim Bundesamt für Polizei (fedpol) waren die Datenbearbeitungen bei der Einsatzzentrale als zentrale Zugangsstelle des C-VIS. Der EDÖB stellte bei der Kontrolle keine unrechtmässigen Verarbeitungen von Personendaten fest und konnte sie ohne Erlass einer Verfügung abschliessen.

  1. Tätigkeitsbericht 2024/2025

55

Datenschutz

SCHENGEN

Bei der Kontrolle der Logfiles und der Datenbearbeitung beim Grenzwachtkorps hat der EDÖB einen unrechtmässigen Zugriff auf das SIS festgestellt und hat vom Bundesamt für Zoll- und Grenzsicherheit (BAZG) Anpassungen beim Berechtigungsmanagement sowie die Durchführung von Eigenkontrollen gefordert. Der EDÖB wird die Umsetzung verfolgen.

Der EDÖB prüfte stichprobenmässig die Logfiles bei der Zentralstelle Waffen des fedpol, um die Rechtmässigkeit der getätigten Zugriffe der zugriffsberechtigten Mitarbeiterinnen und Mitarbeiter zu überprüfen. Hierfür hat er beim Datenschutzberater des fedpol über einen bestimmten Zeitraum vom 4. bis 8. September 2024 sämtliche Zugriffe aller Mitarbeiterinnen und Mitarbeiter herausverlangt und analysiert. Der EDÖB stellte im Schlussbericht vom 19. Dezember 2024 keine unrechtmässigen Zugriffe fest.

BTLE und EDSA

Als Unterarbeitsgruppe des Europäischen Datenschutzausschusses behandelt Border Travel and Law Enforcement Themen zum Schengen-Besitzstand sowie erweiterte Sachverhalte in Zusammenhang mit dem Schengen-Assoziierungsabkommen. Die Schweiz beteiligt sich als Schengen-assoziiertes Land an den Arbeiten.

Dieses Jahr konnte die Unterarbeitsgruppe Border Travel and Law Enforcement (BTLE) die Arbeiten zu den

Leitlinien von Artikel 37 der Richtlinie (EU) 2016/680 der EU (Law Enforcement Directive, LED) finalisieren (s. 31. TB, Kap. 1.7). Artikel 37 LED regelt die rechtlichen Voraussetzungen (Garantien) für die Datenübermittlung in ein Drittland ausserhalb des EU/EWR-Raums. Die Leitlinien zu Artikel 37 LED wurden im Juni 2024 vom Europäischen Datenschutzausschuss (EDSA) genehmigt und verabschiedet.

Weiter beteiligte sich der EDÖB u. a. an Arbeiten zur Umsetzung der Passenger Name Record (PNR) Richtlinie (EU) 2016/681 anhand des PNR-Urteils (C-817/19) des Europäischen Gerichtshofs (EuGH). Das Urteil befasste sich

56

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

EUROPARAT

mit der Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität und nennt wichtige Einschränkungen betreffend Bearbeitung von Personendaten, damit die Anwendung der PNR-Richtlinie im Einklang mit der Europäischen Menschenrechtskonvention (EMRK) steht. Wichtige Einschränkungen sind unter anderem die ausschliessliche Anwendung auf terroristische Straftaten und schwere Kriminalität sowie die strikt einzuhaltende Aufbewahrungsfrist von maximal fünf Jahren für sämtliche Fluggastdatensätze (s. dazu auch Artikel in Kap. 1.6).

Aktuell werden zudem die EDSA-Richtlinien zum Verhältnis des AI Act zu den EU-Datenschutzgesetzen (DSGVO, LED) behandelt.

Inkrafttreten der Konvention 108+ in Aussicht

Es ist damit zu rechnen, dass die modernisierte Datenschutzkonvention des Europarates (Konvention 108+) 2026 in Kraft treten wird. An den Plenarversammlungen des beratenden Ausschusses zur Datenschutzkonvention des Europarates wurde das dritte und letzte Modul der Standardvertragsklauseln für die grenzüberschreitende Übermittlung personenbezogener Daten sowie Richtlinien zur Verarbeitung personenbezogener Daten im Rahmen von Abstimmungen und Wahlen verabschiedet.

Das Inkrafttreten der modernisierten Datenschutzkonvention des Europarates (Konvention 108+) verzögert sich weiter, sollte aber im Verlaufe des Jahres 2026 erfolgen. Wie im letzten Tätigkeitsbericht dargelegt, wird sie erst in Kraft treten, wenn 38 Vertragsstaaten sie ratifiziert haben (s. 31. TB, Kap. 1.7). Die Konvention steht auch Staaten offen, die nicht Mitglieder des Europarats sind, und entfaltet somit auch ausser-europäisch Wirkung. Ende März 2025 hatten 33 Staaten die Konvention ratifiziert. 13 Staaten hatten sie noch ohne Ratifizierung unterzeichnet. In verschiedenen Staaten ist der Ratifizierungsprozess jedoch weit fortgeschritten, weshalb ein Inkrafttreten bis Ende 2026 wahrscheinlich ist. Mit der modernisierten Konvention (C108+) wird der beratende Ausschuss durch einen Übereinkommensausschuss ersetzt und ein Evaluationsmechanismus eingeführt werden.

Der EDÖB nahm an den beiden Plenarversammlungen sowie an den beiden Bürositzungen des beratenden

Ausschusses zur Konvention 108+ teil. Der Ausschuss hat an seiner Plenarversammlung vom Juni 2024 das dritte und letzte Modul der Standardvertragsklauseln für die grenzüberschreitende Übermittlung personenbezogener Daten verabschiedet. Dieses Modul 3 gilt für die Datenbekanntgabe zwischen zwei Auftragsbearbeitern. (Modul 1 gilt für die Datenübermittlung zwischen zwei Verantwortlichen, Modul 2 derjenigen von einem Verantwortlichen an einen Auftragsbearbeiter). Die drei Module wurden in ein Dokument zusammengefügt. Der EDÖB anerkennt diese Standardvertragsklauseln des Europarates und hat sie auf seiner Webseite publiziert. Weiter wurden Richtlinien zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Wählerregistrierung und -authentifizierung verabschiedet.

Auf der Tagesordnung der Plenarversammlung vom November 2024 standen unter anderem die Erneuerungswahlen des Büros des beratenden Ausschusses. Als Vorsitzende wurde neu die Vertreterin der Datenschutzbehörde Argentiniens gewählt. Die Vertreterin des EDÖB wurde als erste Vize-Vorsitzende bestätigt.

  1. Tätigkeitsbericht 2024/2025

57

Video Gottlieb

S

M

Datenschutz

SPRING CONFERENCE

Europäische Konferenz der Datenschutzbeauftragten

An ihrer jährlichen Spring Conference tagen die europäischen Datenschutzbehörden, um Fragestellungen zu ihrer Aufsichtspraxis zu erörtern. 2024 veranstaltete die lettische Datenschutzbehörde den Anlass vom 14. bis 16. Mai in Riga.

An der 32. Spring Conference kamen über 130 Delegierte und drei Organisationen aus 45 Ländern zusammen. Sie tauschten sich über ihre Aufsichtspraxis und grenzüberschreitende Zusammenarbeit aus, die angesichts der technologischen Entwicklung weiter an Bedeutung zunehmen.

Der Beauftragte beteiligte sich an einer Podiumsdiskussion zu Kooperationsverfahren zwischen EWR- und Nicht-EWR-Staaten und den Herausforderungen, die sich daraus ergeben, dass die global tätigen Tech-Konzerne, Personendaten über verschiedene Wirtschaftszonen hinweg bearbeiten.

ECHW

Workshops zu Praxisfällen

Der European Case Handling Workshop (ECHW) bildet eine Unterarbeitsgruppe der Spring Conference. Gegenstand dieser jährlichen Zusammenkunft auf Expertenniveau ist die Besprechung von Fällen aus der Aufsichtspraxis. Der ECHW 2024 wurde vom 5. bis 6. Dezember 2024 in Tallinn durch die estländische Datenschutzbehörde abgehalten. In den Workshops wurden u. a. Fälle betreffend den Einsatz von Videokameras im öffentlichen Raum und in Wohnkomplexen, die Durchführung von Datenschutz-Folgenabschätzungen sowie die Definition von personenbezogenen Daten in sozialen Medien besprochen. Die Vertreterin des EDÖB hat eine Fallstudie zum Thema Gesichtserkennungskameras im öffentlichen Raum mit rechtsvergleichenden Aspekten präsentiert.

OECD

Working Party on Data Governance and Privacy in the Digital Economy

Die OECD engagiert sich in der Forschung und Analyse im Bereich des Datenmanagements und fördert die internationale datenschutzrechtliche Debatte unter Berücksichtigung der jüngsten Entwicklungen und Herausforderungen. Ein zentrales Anliegen der OECD ist es, das Vertrauen in den grenzüberschreitenden Datenverkehr zu stärken und sicherzustellen, dass dieser sicher und effizient erfolgt. Durch ihre Arbeit strebt die OECD die Förderung eines globalen digitalen Umfelds an, das reibungslose und sichere Datenströme über nationale Grenzen hinweg ermöglicht. Einer der Schwerpunkte der OECD liegt dabei in der Sicherstellung eines hohen Niveaus an Datenschutz und Datenkontrolle insbesondere bei der grenzüberschreitenden Datenübermittlung. Die OECD zielt darauf ab, Standards und Richtlinien zu entwickeln, die sowohl den Bedürfnissen der Datensicherheit gerecht werden als auch die Innovationskraft und den freien Fluss von Informationen unterstützen. Letztendlich möchte die OECD durch ihre Bemühungen zur Schaffung eines

  1. Tätigkeitsbericht 2024/2025

59

Datenschutz

vertrauenswürdigen und transparenten Rahmens beitragen, der das Potenzial digitaler Technologien voll ausschöpft und gleichzeitig die Rechte und Freiheiten der Nutzer schützt.

Arbeitsgruppe für Datenmanagement und Schutz der Privatsphäre

Der EDÖB ist in der Arbeitsgruppe der OECD für Data-Governance und Schutz der Privatsphäre in der digitalen Wirtschaft (Working Party on Data Governance and Privacy in the Digital Economy, DGP) vertreten. Diese erstattet dem OECD-Ausschuss für die Politik der digitalen Wirtschaft (Committee on Digital Economy Policy, CDEP) Bericht und setzt sich aus Delegierten der 38 Mitgliedstaaten der OECD zusammen, darunter insbesondere Vertreter der Regierungen und der Datenschutzbehörden. Sie arbeitet

mit den anderen Arbeitsgruppen des CDEP und anderen OECD-Gremien zusammen und ist für die Entwicklung und Förderung evidenzbasierter Strategien zur Datenverwaltung und zum Schutz der Privatsphäre zuständig.

Die Arbeit zielt darauf ab, den sozialen und wirtschaftlichen Nutzen der umfassenden und effektiven Nutzung von Daten zu maximieren und gleichzeitig die damit verbundenen Risiken und Herausforderungen für den Schutz der Privatsphäre zu bewältigen.

Einer der Schwerpunkte der Arbeit der DGP betraf die Analyse des Zugriffs von Behörden auf Daten des Privatsektors, welcher die effiziente Ausübung öffentlicher Aufgaben ermöglicht und gleichzeitig einen wirksamen Datenschutz sicherstellt. Darüber hinaus hat die DGP das komplexe Zusammenspiel zwischen verschiedenen digitalen Regulierungsrahmen untersucht, um kohärente und effiziente Governance-Strukturen zu schaffen. Die Arbeitsgruppe hat sich auch mit der Rolle vertrauenswürdiger Datenvermittler (data intermediaries) befasst, die als neutrale Instanzen einen sicheren und

effizienten Datenaustausch ermöglichen sollen. Ein besonderes Augenmerk wurde auf die Integration von Künstlicher Intelligenz (KI) in digitale Systeme gelegt und auf die Bedeutung von Technologien zur Verbesserung des Datenschutzes (Privacy Enhancing Technologies, PETs). Auch hat sich die DGP mit der Dynamik grenzüberschreitender Zahlungen befasst, um die Effizienz und Sicherheit dieser Transaktionen in einer globalisierten Wirtschaft zu verbessern. Ziel ist die Erstellung einer Übersicht über die Wechselwirkung von Data-Governance und Datenschutzgesetzen sowie Finanzvorschriften im Zusammenhang mit grenzüberschreitenden Zahlungen. Dies soll zu einem besseren Verständnis der Datenschutzbehörden für die Funktionsweise und die Compliance-Herausforderungen dieses Sektors führen.

60

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

SYMPOSIUM

Privacy Symposium in Venedig

Massive Datenextraktion, Schutz der Privatsphäre im Rahmen der humanitären Hilfe sowie die internationale und regionale Zusammenarbeit bildeten die Schwerpunktthemen des Privacy Symposiums.

Am Privacy Symposium waren über 300 Behörden, Expertinnen und Experten anwesend. Sie konnten ihre Perspektive einbringen und boten damit den Datenschutz-Fachpersonen, den Expertinnen und Experten sowie den Forschenden Gelegenheit, sich auszutauschen.

Der EDÖB äusserte sich in verschiedenen Panels unter anderem zu folgenden Themen:

  • Datenextraktion (Data Scraping); gemeinsame Abschlusserklärung (s. oben).
  • Datenschutz in der humanitären Hilfe; in Anwesenheit von internationalen Organisationen und Datenschutzbehörden (vgl. Box zu GT AID). Die Panelteilnehmenden setzten sich mit Datenschutzaspekten bei humanitären Einsätzen auseinander; Datengrundlagen sind namentlich in der

Katastrophenhilfe und bei der Erfassung von Migrationsbewegungen ausschlaggebend für die Effizienz von humanitären Interventionen.

  • Bedeutung der internationalen und regionalen Zusammenarbeit; die Panelteilnehmenden besprachen den Ausbau der bestehenden Zusammenarbeitskanäle, insbesondere zwischen Behörden aus Nicht-EU-Staaten.

Das Privacy Symposium fördert den internationalen Dialog, die Zusammenarbeit und den Wissensaustausch im Bereich des Datenschutzes und der technologischen Neuerungen. 2024 fand das Symposium unter der Schirmherrschaft der italienischen Datenschutzbehörde Il Garante vom 10. bis 14. Juni in Venedig statt.

GPA

Schutz der Privatsphäre im digitalen Zeitalter

Die Macht der Information stand im Mittelpunkt der Arbeiten der Internationalen Konferenz der Datenschutzbeauftragten (GPA). An der Jahresversammlung wurden vier Resolutionen zu zentralen Fragen verabschiedet.

Das Hauptthema der Konferenz lautete «The Power of i» und wurde in acht wichtige Teilfragen aufgeteilt: Individuum, Innovation, Information, Integrität, Unabhängigkeit, international, interkulturell sowie indigen.

Die öffentliche Sitzung konzentrierte sich auf die Frage, wie die Macht der Information mit dem Bedürfnis der Bürgerinnen und Bürger nach Kontrolle über ihre Personendaten in Einklang gebracht werden kann. Thematisiert wurden die Erfassung von Verletzungen der Privatsphäre, des Datenschutzes und der psychischen Gesundheit, die Auswirkungen der Technologie auf Regulierungsbehörden sowie die Vorteile und Herausforderungen im Zusammenhang mit Datentransfer-Tools. Ferner besprachen die Teilnehmenden unter anderem die Bedeutung der Datenvertraulichkeit in humanitären Krisen,

  1. Tätigkeitsbericht 2024/2025

61

Datenschutz

die Überwindung von Ungleichbehandlung im Bereich des Rechts auf Privatsphäre (Erörterung verschiedener Dimensionen der Vertraulichkeit und der Diversität) sowie den Datenaustausch zwischen Regierungen und Drittparteien. In einem konstruktiven Dialog wurden die Angemessenheit der aktuellen Regulierungsmodelle und die Möglichkeiten erörtert, deren Wirksamkeit angesichts des rasanten technologischen Wandels zu erhöhen.

An der geschlossenen Sitzung verabschiedete die GPA vier Resolutionen:

  • Resolution über die Förderung und Verbreitung der Anwendung von Datenschutz-Zertifizierungsmechanismen;

  • Resolution über Grundsätze betreffend die Bearbeitung von Personendaten in den Bereichen Neurowissenschaften und Neurotechnologie;

  • Resolution über freien Datenverkehr mit Vertrauen (Data Free Flow with Trust) und über eine wirksame Regulierung der globalen Datenflüsse;

  • Resolution über neue Verfahrensregeln der GPA.

Der EDÖB ist Mitglied der GPA, die 1979 ins Leben gerufen wurde. Ihr gehören Datenschutzbehörden aus über 100 Ländern an. Ihre Schwerpunktthemen betreffen Kernfragen im Zusammenhang mit dem Schutz der Privatsphäre sowie die effiziente Zusammenarbeit von Regulierungsbehörden, um sowohl individuell als auch gemeinsam für den Schutz der Privatsphäre in einer zunehmend datengesteuerten Welt zu sorgen. Die 46. Tagung der GPA fand vom 29. Oktober bis zum 1. November 2024 in Saint-Hélier (Jersey) statt.

AFAPDP

Neue Präsidentin und Anpassung der Statuten

Die Mitglieder der französischsprachigen Vereinigung der Datenschutzbehörden (AFAPDP) wählten eine neue Präsidentin und verabschiedeten die neuen Statuten der Vereinigung. Ebenfalls auf dem Programm: die Unterstützung der madagassischen Behörden bei der Einrichtung einer speziellen Kommission.

Die Datenschutzbeauftragte von Mauritius Drudeisha Madhub wurde als erste Frau von den Mitgliedern der Generalversammlung einstimmig zur neuen Präsidentin gewählt. Sie ist auch die erste Vertreterin der Region Afrika-Indischer Ozean seit der Gründung der Vereinigung.

GPA – GT AID

Stärkung des Schutzes der Privatsphäre in Notlagen

Die GT AID (Arbeitsgruppe zur Rolle des Schutzes personenbezogener Daten in der internationalen Entwicklungshilfe, der internationalen humanitären Hilfe und dem Krisenmanagement) der GPA hat unter dem Vorsitz des EDÖB ihre Tätigkeit zur Stärkung des Bewusstseins für den Schutz der Privatsphäre in Notlagen intensiviert. Unter anderem führte sie am Symposium in Venedig ein Panel zu diesem Thema durch und beteiligte sich an den Arbeiten zur dritten Ausgabe des IKRK-Handbuchs zum Datenschutz in der internationalen humanitären Hilfe. Im Rahmen

ihres Engagements für die weltweite Förderung des Schutzes der Privatsphäre nahm sie an mehreren Panels teil, namentlich am Datenschutz-Workshop der internationalen Organisationen, der vom EDSB und der Weltbank gemeinsam organisiert wurde. Zudem erstellte die Gruppe eine Liste der afrikanischen Länder, die über ein Datenschutzgesetz und eine Datenschutzbehörde verfügen. Die Liste enthält auch die Kontaktangaben der betreffenden Behörden.

62

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

BILATERALETREFFEN

Der EDÖB beteiligte sich in einer Arbeitsgruppe an der Aktualisierung der Statuten, die aus dem Jahr 2013 stammten. Die Neufassung wurde angenommen.

Die Mitglieder besprachen ausserdem, in welcher Form sie die madagassischen Behörden beim Teil «Schutz personenbezogener Daten» des Projekts der «Organisation internationale de la Francophonie» betreffend die Modernisierung des Datenökosystems der Informatik- und Zivilstandsbehörde Madagaskars unterstützen können.

Die AFAPDP vereinigt unabhängige Behörden aus 26 Ländern – darunter die Schweiz –, die eine gemeinsame Sprache, juristische Tradition und gemeinsame Werte teilen. Die 16. Generalversammlung trat am 28. November 2024 in Saint-Hélier (Jersey) zusammen.

Austausch zwischen Amtskollegen

Im Berichtsjahr empfing der EDÖB zwei ausländische Delegationen in Bern zu Gesprächen über gemeinsame Herausforderungen und die bilaterale Zusammenarbeit.

Der Beauftragte empfing seinen neu gewählten Amtskollegen Matthias Schmidl am 22. Juni 2024 zu einem Meinungsaustausch. Inhalt der Gespräche

waren gemeinsame Herausforderungen sowie die bilaterale Zusammenarbeit auf dem Gebiet der Digitalisierung und des Datenschutzes, die Informationsfreiheit und das Öffentlichkeitsprinzip.

Im August 2024 empfing der Datenschutzbeauftragte seinen somalischen Amtskollegen Mohamed Ali, den ersten Datenschutzbeauftragten seines Landes. Das somalische Datenschutzgesetz wurde im März 2023 verabschiedet. Der Meinungsaustausch betraf die ersten Erfahrungen der neu eingeführten Datenschutzbehörde und die allgemeinen datenschutzbezogenen Herausforderungen in der digitalen Welt.

  1. Tätigkeitsbericht 2024/2025

63

Öffentlichkeitsprinzip

Öffentlichkeitsprinzip

2.1 Allgemein

Das Öffentlichkeitsgesetz soll die Transparenz über den Auftrag, die Organisation und die Tätigkeit der Verwaltung fördern, indem es den Zugang zu amtlichen Dokumenten gewährleistet (vgl. Art. 1 BGÖ). Es soll das Vertrauen in Staat und Behörden fördern, indem es das Verwaltungshandeln nachvollziehbar macht und dadurch die Akzeptanz staatlichen Handelns erhöht.

Die von der Bundesverwaltung gelieferten Zahlen zu den im Jahr 2024 eingegangenen Gesuchen um Zugang zu amtlichen Dokumenten lassen erkennen, dass das Bedürfnis von Medien und Gesellschaft nach spezifischer Information und einer transparenten Verwaltung(stätigkeit) ungebrochen ist und zu einem neuen Höchststand an Gesuchen geführt hat. Im Berichtsjahr sind fast 30 Prozent mehr Zugangsgesuche bei den Bundesbehörden eingereicht worden als im Vorjahr. Diese Zunahme hat sich gemäss Rückmeldung der Behörden auch im Aufwand für die Bearbeitung der Gesuche

niedergeschlagen. Insgesamt zeigte sich, dass die Umsetzung des Öffentlichkeitsprinzips anspruchsvoll und herausfordernd bleibt. Den nachfolgenden Zahlen (s. Kap. 2.2) ist zu entnehmen, dass die in den letzten Jahren festgestellte Tendenz eines konstant hohen Anteils an Fällen, in welchen der Zugang vollständig gewährt wird, auch für das Berichtsjahr bestätigt werden kann.

Sind Gesuchstellende oder von der Zugangsgewährung betroffene Dritte mit der von der Behörde beabsichtigten Zugangsgewährung nicht einverstanden, bietet das Öffentlichkeitsgesetz diesen die Möglichkeit, beim Beauftragten einen Antrag auf Schlichtung einzureichen. Im Jahr 2024 wurden so viele Schlichtungsverfahren

angestrengt wie noch nie seit Inkrafttreten des Öffentlichkeitsgesetzes: Der Beauftragte verzeichnete 202 eingegangene Schlichtungsanträge, was im Vergleich zum Vorjahr eine Zunahme von 53 Prozent bedeutet. Ziel des Schlichtungsverfahrens ist die rasche Einigung zwischen den Beteiligten. Die Durchführung von mündlichen Schlichtungsverhandlungen vor Ort hat sich auch im Jahr 2024 bewährt: 76 Prozent der Schlichtungssitzungen konnten mit einer einvernehmlichen Lösung abgeschlossen werden.

Die seit Jahren grosse Zahl an Schlichtungsanträgen und die zunehmende Komplexität der zu beantwortenden juristischen Fragestellungen führten zu einem Rückstau bei der Erledigung der Schlichtungsverfahren. Dies hatte zur Folge, dass der Beauftragte in 72 Prozent der Verfahren die gesetzliche Erledigungsfrist von 30 Tagen überschritt. Diese negative Entwicklung dürfte sich weiter verschärfen, sodass die vom

66

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

Gesetzgeber verlangte rasche Verfahrensabwicklung weiter ins Hintertreffen geraten wird (s. dazu die näheren Informationen in Kapitel 2.3).

Gleich zu Beginn des Jahres 2025 kam es erneut zur unerfreulichen Situation, dass eine antragstellende Person, in diesem Fall ein lokaler Politiker, unentschuldigt nicht zur Schlichtungssitzung erschienen ist. Der Beauftragte bedauert diese Nachlässigkeit, die für ihn, seine juristischen Mitarbeitenden und die zuständige Behörde unnötigen Zeit- und Arbeitsaufwand verursacht hat. Im Fall einer unentschuldigten Abwesenheit der antragstellenden Person wird das Schlichtungsverfahren von Gesetzes wegen abgeschrieben.

Wenig erfreulich war auch ein Fall, bei dem sich eine Behörde nicht an die in der Schlichtungssitzung mit der antragstellenden Person schriftlich getroffene Vereinbarung gehalten hat. Wenn eine Behörde ihre vertragliche Verpflichtung nicht erfüllt, kann die antragstellende Person vor dem Bundesverwaltungsgericht den vereinbarten Zugang zu amtlichen Dokumenten mittels Klage einfordern.

Auch im Jahr 2024 wurden Bestrebungen der Verwaltung festgestellt, Teilbereiche ihrer Tätigkeit oder bestimmte Kategorien von Dokumenten von der Verwaltungsöffentlichkeit auszunehmen. Eine Übersicht über die spezialgesetzlichen Vorbehalte gemäss Art. 4 BGÖ findet sich in Kapitel 2.5.

Hervorzuheben ist die auf Art. 2 Abs. 3 BGÖ gestützte Ausnahme der Schweizerischen Sicherheitsuntersuchungsstelle (SUST) vom Geltungsbereich des Öffentlichkeitsgesetzes durch den Bundesrat (s. Kap. 2.4). Die zentrale Problematik liegt aus der Warte des Beauftragten darin, dass sich die Verwaltung in diesem Fall selbst von der

Verwaltungstransparenz ausnimmt und einen ohnehin ausstehenden Entscheid des Gesetzgebers (im Rahmen der Teilrevision des Luftfahrtgesetzes LFG) faktisch vorwegnimmt. Überdies bestreitet der EDÖB die Notwendigkeit dieser bedingungslosen Einschränkung des Öffentlichkeitsgesetzes. Die Einführung solcher Ausnahmen führt zu einer Schwächung des Öffentlichkeitsprinzips und der damit bezweckten Verwaltungstransparenz.

Insgesamt kann jedoch festgestellt werden, dass der mit dem Öffentlichkeitsgesetz erfolgte Paradigmenwechsel vom Geheimhaltungs- zum Öffentlichkeitsprinzip vom Gros der Bundesbehörden vollzogen ist und weiterhin aktiv umgesetzt wird.

  1. Tätigkeitsbericht 2024/2025

67

Öffentlichkeitsprinzip

2.2 Zugangsgesuche – erhebliche Zunahme im 2024

Gemäss den von den Bundesbehörden gemeldeten Zahlen gingen im Berichtsjahr 2186 Zugangsgesuche ein (2023 waren es 1701 Gesuche); dies entspricht einer Zunahme von 29 Prozent gegenüber 2023. Hinzu kommen 46 im Jahr 2024 bearbeitete Zugangsgesuche, welche in Vorjahren eingereicht worden sind. In 1159 Fällen (52 Prozent) gewährten die Behörden einen vollständigen Zugang (gegenüber 830 bzw. 48 Prozent im Jahr 2023), während bei 474 Gesuchen (21 Prozent) ein teilweiser Zugang zu den Dokumenten gewährt respektive der Zugang aufgeschoben wurde (Vorjahr: 402 Gesuche resp. 23 Prozent). In 179 Fällen (acht Prozent) wurde die Einsichtnahme vollständig verweigert (gegenüber 176 bzw. zehn Prozent im Jahr 2023). Nach Angaben der Behörden wurden 133 Zugangsgesuche zurückgezogen (sechs Prozent gegenüber 73 bzw. vier Prozent im Vorjahr), 102 Gesuche waren Ende 2024 noch hängig, und in 185 Fällen war kein amtliches Dokument vorhanden.

Zusammenfassend stellt der Beauftragte fest, dass im Berichtsjahr in mehr als der Hälfte der Fälle ein vollständiger Zugang zu den Dokumenten gewährt wurde. Mit Ausnahme des

Vorjahres scheint sich damit diese langjährige Tendenz im Jahr 2024 zu bestätigen. Die vollständigen Zugangsverweigerungen, welche sich im Laufe der Jahre auf knapp zehn Prozent einpendelten, blieben stabil auf tiefem Niveau.

Departemente und Bundesämter

Einzelne Verwaltungseinheiten standen im Jahr 2024 besonders im Fokus von Medien und Gesellschaft. Aufgabenbedingt sahen sich insbesondere das VBS (527), das UVEK (324) sowie das EDA (306) mit einer grossen Anzahl von Zugangsgesuchen konfrontiert. Gemäss den Behörden handelte es sich dabei teilweise um sehr umfangreiche und komplexe Gesuche. Oft sei eine aufwändige verwaltungsinterne Koordination zwischen Ämtern oder Departementen notwendig gewesen.

Auf Stufe Amt zeigen die gemeldeten Zahlen, dass das BASPO mit 317 Fällen im Jahr 2024 am meisten Zugangsgesuche meldete. Danach folgen der

ETH-Bereich mit 143, das BAFU mit 139 und die BK mit 94 Gesuchen. Sieben Behörden meldeten, im Berichtsjahr kein Zugangsgesuch erhalten zu haben. Der EDÖB selbst sah sich mit 29 Zugangsgesuchen konfrontiert, wobei er den Zugang in 18 Fällen vollständig gewährte. In einem Fall wurde der Zugang vollständig verweigert, und in vier Fällen gewährte der Beauftragte einen teilweisen Zugang. Sechs Gesuche waren Ende 2024 noch hängig.

Der 2024 für den Zugang zu amtlichen Dokumenten erhobene Gebührenbetrag beläuft sich auf insgesamt CHF 9950 und liegt damit deutlich (30 Prozent) unter der Vorjahresumme von CHF 14 226. Während die Bundeskanzlei, das EDA, das EJPD, das VBS, die Parlamentsdienste und die Bundesanwaltschaft überhaupt keine Gebühren erhoben, verrechneten die übrigen vier Departemente den Gesuchstellenden einen Teil ihres Zeitaufwands (EDI: CHF 4250; WBF: CHF 3600; EFD: CHF 2000; UVEK: CHF 100).

Dazu sei vermerkt, dass lediglich bei sieben der 2232 bearbeiteten Zugangsgesuche eine Gebühr erhoben wurde. Gegenüber dem Vorjahr, in dem in 19 Fällen eine Gebühr verlangt wurde, stellt dies – sowohl in Bezug

68

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

auf die Anzahl Fälle wie auch den Gesamtbetrag – einen deutlichen Rückgang dar. Die Erhebung von Gebühren bleibt weiterhin die Ausnahme (0,3 Prozent). Die Verwaltungspraxis, wonach amtliche Dokumente grundsätzlich kostenlos eingesehen werden können, ist seit dem 1. November 2023 im Öffentlichkeitsgesetz verankert. Gebühren können ausnahmsweise erhoben werden, wenn ein Zugangsgesuch eine besonders aufwändige Bearbeitung erfordert.

Was den Zeitaufwand für die Bearbeitung von Zugangsgesuchen anbelangt, weist der Beauftragte darauf hin, dass die Behörden nicht verpflichtet sind, diesen zu erfassen, und es keine für die gesamte Bundesverwaltung geltenden gesetzlichen Vorgaben für eine einheitliche Erfassung gibt. Die ihm

auf freiwilliger Basis übermittelten Angaben widerspiegeln die tatsächlich geleisteten Arbeitsstunden daher nur bedingt. Gemäss den gemeldeten Angaben hat der Zeitaufwand für das Berichtsjahr mit 7256 Stunden im Vergleich zum Vorjahr (6469 Stunden) jedoch erneut deutlich zugenommen.

Dass die von den Behörden gemeldeten, für die Bearbeitung der Zugangsgesuche anfallenden Aufwände nur bedingt dem tatsächlich geleisteten Zeitaufwand entspricht, lässt sich

Grafik 1: Beurteilung Zugangsgesuche – Entwicklung seit 2011

img-14.jpeg

  1. Tätigkeitsbericht 2024/2025

69

by Spalding

Öffentlichkeitsprinzip

exemplarisch an den vom BAG gemeldeten Angaben erkennen. Zusätzlich zu den von den zuständigen Facheinheiten des BAG punktuell angegebenen Aufwandzeiten von 482 Stunden, meldete das BAG für die Bearbeitung der Zugangsgesuche (einschliesslich Schlichtungs- und Beschwerdeverfahren) und der juristischen Unterstützung durch seine Öffentlichkeitsberaterin einen hohen Aufwand, welcher mindestens 3,6 Vollzeitstellen betrug. Ähnliches dürfte für weitere Behörden gelten.

Eine deutliche Zunahme ist auch beim gemeldeten Zeitaufwand für die Vorbereitung von Schlichtungsverfahren auszumachen: 1271 Stunden gegenüber 730 Stunden im Vorjahr (vgl. dazu im Jahr 2022: 1006 Stunden; 2021: 865 Stunden; 2020: 569 Stunden).

Parlamentsdienste

Gemäss Angabe der Parlamentsdienste sind im Berichtsjahr fünf Zugangsgesuche eingegangen. In einem Fall wurde der Zugang vollständig, in einem anderen Fall teilweise gewährt. In zwei Fällen wurde der Zugang vollständig verweigert, und in einem Fall existierte kein amtliches Dokument.

Bundesanwaltschaft

Die Bundesanwaltschaft meldete für 2024 acht Gesuche. In drei Fällen wurde der Zugang vollumfänglich gewährt, in zwei andern vollständig verweigert. Drei Fälle waren Ende 2024 noch hängig.

Grafik 2: Erhobene Gebühren seit Inkrafttreten des BGÖ

img-15.jpeg

  1. Tätigkeitsbericht 2024/2025

71

Öffentlichkeitsprinzip

2.3 Schlichtungsverfahren – erhebliche Zunahme der Schlichtungsanträge

Im Jahr 2024 wurden beim Beauftragten 202 Schlichtungsanträge eingereicht – so viele wie noch nie seit Inkrafttreten des Öffentlichkeitsgesetzes. Verglichen mit den 2023 eingegangenen 132 Anträgen entspricht dies einer Zunahme von 53 Prozent. Die meisten Schlichtungsanträge wurden von Privatpersonen (66) und Medienschaffenden (61) eingereicht. Diese Zahlen lassen folgende Feststellungen zu: In den 838 Fällen, in denen die Bundesverwaltung den Zugang vollständig oder teilweise verweigerte beziehungsweise aufschob oder vorbrachte, dass keine amtlichen Dokumente vorhanden sind, kam es 202 Mal bzw. in 24 Prozent der Fälle zur Einreichung eines Schlichtungsantrags.

2024 konnten 157 Schlichtungsanträge erledigt werden, was ebenfalls ein neuer Höchstwert ist. Davon waren 130 im Berichtsjahr und 27 im Vorjahr eingegangen. In 92 Fällen konnte eine Einigung zwischen den Parteien erzielt werden. Ausserdem erliess der Beauftragte 30 Empfehlungen, wodurch 32 Fälle erledigt werden konnten, in denen eine einvernehmliche Lösung zwischen den Beteiligten nicht ersichtlich war.

Zu den abgeschlossenen Fällen zählen auch 15 Anträge, die nicht fristgerecht eingereicht wurden, zehn Fälle,

in denen die Voraussetzungen für die Anwendung des Öffentlichkeitsgesetzes nicht gegeben waren, sowie acht Schlichtungsanträge, die zurückgezogen wurden. In zehn Schlichtungsverfahren war im Einvernehmen mit den Beteiligten resp. auf Wunsch der Antragstellenden eine Sistierung erfolgt.

Anteil einvernehmlicher Lösungen

Zu den vielen Vorteilen der einvernehmlichen Lösungen gehört u.a. auch, dass sie eine Klärung der Sachlage und eine Beschleunigung des Zugangsverfahrens ermöglichen sowie eine allfällige zukünftige Zusammenarbeit zwischen den Beteiligten erleichtern.

Grafik 3: Schlichtungsanträge seit Inkrafttreten des BGÖ

img-16.jpeg

72

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

Die Wirksamkeit der Durchführung von mündlichen Schlichtungssitzungen lässt sich vor allem am Anteil der einvernehmlichen Lösungen im Verhältnis zu den Empfehlungen ablesen. Im Berichtsjahr konnten 92 einvernehmliche Lösungen erzielt werden, und der Beauftragte gab 30 Empfehlungen zur Lösung von 32 Fällen ab. Im Verhältnis zu den Empfehlungen machen die einvernehmlichen Lösungen somit einen Anteil von 74 Prozent aus. Im Berichtsjahr konnte in den 82 durchgeführten Schlichtungsverhandlungen in 62 Fällen (76 Prozent) eine Einigung erzielt werden.

Dies zeigt deutlich, dass die mündliche Schlichtungspraxis des EDÖB geeignet ist, um einvernehmliche Lösungen zu finden. Da sich die Durchführung von mündlichen Schlichtungssitzungen für alle Verfahrensbeteiligten als vorteilhaft erweist, soll diese Praxis beibehalten werden.

Hinweis: Sämtliche Empfehlungen aus dem Berichtsjahr sind auf der Website des Beauftragten abrufbar (www.edoeb.admin.ch).

Tabelle 1: Einvernehmliche Lösungen

202474 %
202347 %
2022 (Corona-Einfluss)51 %
2021 (Corona-Einfluss)44 %
2020 (Corona-Einfluss)34 %
201961 %
201855 %

Dauer der Schlichtungsverfahren

Tabelle 2 weist in drei Messgrössen die Verfahrensdauer aus, wobei der Zeitraum, während dem ein Schlichtungsverfahren auf Antrag resp. mit Einverständnis der Beteiligten sistiert ist, nicht zur Behandlungsdauer gezählt wird. Eine Sistierung des Schlichtungsverfahrens erfolgt insbesondere dann, wenn eine Behörde nach der Schlichtungssitzung ihre Position überprüfen möchte, oder wenn sie betroffene Dritte anhören muss. Wird die Schlichtungssitzung auf Antrag einer beteiligten Partei verschoben (bspw. aufgrund von Ferienabwesenheit, Krankheit), wird die daraus resultierende Verfahrensverlängerung ebenfalls nicht zur Bearbeitungsdauer gezählt.

Aus der Tabelle wird ersichtlich, dass 28 Prozent der im Jahr 2024 abgeschlossenen Schlichtungsverfahren innerhalb der ordentlichen Frist von 30 Tagen erledigt wurden. In 45 Prozent der Fälle dauerte das Schlichtungsverfahren zwischen 31 und 99 Tage und in 27 Prozent 100 Tage oder länger.

  1. Tätigkeitsbericht 2024/2025

73

Öffentlichkeitsprinzip

In nur 16 (36 Prozent) von 44 innerhalb der Frist von 30 Tagen erledigten Schlichtungsanträgen fand eine materielle Auseinandersetzung mit dem Schlichtungsgegenstand statt. In den anderen 28 Fällen (64 Prozent) resultierte keine materielle Beurteilung in der Sache; es handelte sich dabei insbesondere um Fälle, welche offensichtlich ausserhalb des Geltungsbereichs des Öffentlichkeitsgesetzes anzusiedeln sind oder in welchen die formellen Voraussetzungen für die Eröffnung eines Schlichtungsverfahrens nicht gegeben waren.

Der Bearbeitungsrückstand aus den Vorjahren und die grosse Anzahl an Neueingängen im 2024 führte erneut zu einer verlängerten Verfahrensdauer. Hinzu kommt, dass die Anzahl der eingegangenen Schlichtungsanträgen Schwankungen ausgesetzt ist. Während beispielsweise im Juni (30) und Oktober (26) viele Anträge beim

Beauftragten eingingen sind, waren es im August nur acht und im Dezember neun Anträge.

Die Vorgabe der gesetzlichen Frist von 30 Tagen für die Durchführung von Schlichtungsverfahren konnte vor der Pandemie regelmässig eingehalten werden, wenn die Schlichtungssitzungen erfolgreich mit einer Einigung abgeschlossen werden können. Dies gilt für das Berichtsjahr nicht mehr. Immerhin konnte im Falle der Erledigung des Verfahrens durch eine Einigung die 30-tägige Frist noch in 20 Prozent

der Fälle eingehalten werden (Vorjahr: 35 Prozent). In 95 Prozent der Fälle musste die Schlichtungssitzung aufgrund der verfügbaren personellen Ressourcen und des Bearbeitungsrückstands so angesetzt werden, dass die Frist bereits im Zeitpunkt des Sitzungstermins abgelaufen war. Hatte der Beauftragte mangels einvernehmlicher Lösung eine Empfehlung auszusprechen, konnte er den Beteiligten die schriftliche Empfehlung in keinem Fall innert 30 Tagen nach Eingang des Antrags und damit innert gesetzlicher Frist zustellen.

Weitere Gründe für eine Fristüberschreitung waren ausserordentlich umfangreiche Zugangsbegehren, eine grosse Zahl der am Verfahren beteiligten Drittpersonen oder die juristische Komplexität der Fragestellung. Weil die Bearbeitung in solchen Fällen oft besonders aufwändig ist, steht es dem Beauftragten gemäss Artikel 12a der

Tabelle 2: Bearbeitungsdauer Schlichtungsverfahren

Bearbeitungsdauer in TagenZeitraum 2014 – August 2016*Pilotphase 2017Zeitraum 2018Zeitraum 2019Zeitraum 2020Zeitraum 2021Zeitraum 2022Zeitraum 2023Zeitraum 2024
innert 30 Tagen11%59%50%57%43%42%25%27%28%
zwischen 31 und 99 Tagen45%37%50%38%30%51%42%35%45%
mehr als 100 Tage44%4%0%5%27%7%33%38%27%
  • Quelle: Präsentation des Beauftragten, Veranstaltung zum 10. Jahrestag des BGÖ, 2. September 2016

74

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

Verordnung über das Öffentlichkeitsprinzip der Verwaltung (VBGÖ; SR 152.31) frei, die ordentliche Frist angemessen zu verlängern.

Während Überschreitungen der kurzen Frist von 30 Tagen bei komplexen Fällen sowie Mehrparteienverfahren (d. h. mehrere Drittbetroffene) aufgrund der gesetzlichen Verlängerungsmöglichkeit als systemimmanent gelten, stellen die sich erneut häufenden Fristüberschreitungen, die sich einzig mit dem hohen Anstieg an Schlichtungsgesuchen erklären lassen, rechtlich betrachtet Rechtsverzögerungen dar.

Anzahl hängiger Fälle

Die unten aufgeführten Angaben geben Auskunft über die Anzahl der Fälle, die am Ende der jeweiligen Berichtsjahre hängig waren. Anfang Januar 2025 waren 66 Schlichtungsverfahren hängig, wovon zehn sistiert sind (je eines aus den Jahren 2019 und 2021, zwei aus dem Jahr 2022 und sechs aus dem Berichtsjahr). 19 Fälle konnten bis zum Redaktionsschluss des vorliegenden Berichts abgeschlossen werden.

Tabelle 3: Hängige Schlichtungsverfahren

Ende 202466 (davon 19 bis zum Redaktionsschluss erledigt und 10 sistiert)
Ende 202331 (davon 17 bis zum Redaktionsschluss erledigt und 9 sistiert)
Ende 202241 (davon 16 bis zum Redaktionsschluss erledigt und 13 sistiert)
Ende 202127 (davon 14 bis zum Redaktionsschluss erledigt und 8 sistiert)
Ende 202017 (davon 9 bis zum Redaktionsschluss erledigt und 8 sistiert)
Ende 201943 (davon 40 bis zum Redaktionsschluss erledigt und 3 sistiert)
Ende 201815 (davon 13 im Februar 2019 erledigt und 2 sistiert)
  1. Tätigkeitsbericht 2024/2025

75

Öffentlichkeitsprinzip

2.4 Gesetzgebungsverfahren

BERICHT DER GPK-S

Bundesrat verzichtet auf nähere Prüfung eines Verfügungsrechts des EDÖB

Die Geschäftsprüfungskommission des Ständerates (GPK-S) hielt in ihrem Bericht über nicht auffindbare E-Mails im Generalsekretariat des Eidgenössischen Departements des Innern (GS-EDI) fest, dass die Vorgaben in Sachen Ablage und Archivierung von Dokumenten in der Bundesverwaltung nicht einheitlich sind und einer Klärung bedürfen. Die Kommission gab fünf Empfehlungen ab, wobei sie u. a. zum Schluss kam, dass das Einsichtsrecht des Beauftragten in amtliche Dokumente zu stärken ist. Der Bundesrat informierte in Form eines Berichts über seine Einschätzung zu den fünf Empfehlungen. Die GPK-S setzte sich in ihrem Bericht vom 10. Oktober 2023 (»Archivierung und Ablage von Dokumenten sowie Verfahren bei Zugangsgesuchen nach BGÖ: allgemeine Abklärungen zu den Vorgaben und im Kontext des Vorwurfes von nicht auffindbaren E-Mails im GS-EDI«) mit den gesetzlichen Grundlagen der Aufbewahrung, Ablage und Archivierung von Unterlagen

(Archivgesetz) und mit dem Zugang zu amtlichen Dokumenten (Öffentlichkeitsgesetz) auseinander. Der EDÖB hat sich in seinen letzten Tätigkeitsberichten bereits ausführlich dazu geäussert (s. 31. TB Kap. 2.4 sowie 30. TB, Kap. 2.4).

Die Kommission veröffentlichte in ihrem Bericht fünf Empfehlungen an den Bundesrat, von denen drei einen direkten Bezug zum Öffentlichkeitsgesetz aufweisen:

  • In Empfehlung 1 lädt die Kommission den Bundesrat ein zu prüfen, ob Anpassungen der gesetzlichen Vorgaben in Bezug auf das Einsichtsrecht zu Dokumenten notwendig sind, die sowohl einen Bezug zum Amt von Bundesangestellten aufweisen wie auch deren privaten Bereich tangieren, insbesondere auch im Hinblick auf Magistratspersonen.
  • In der Empfehlung 4 wird der Bundesrat eingeladen zu prüfen, ob das Öffentlichkeitsgesetz auch auf abgeschlossene Strafverfahren anwendbar ist bzw. sein sollte und gegebenenfalls bei der nächsten Revision präzisiert werden müsste.
  • In Empfehlung 5 wird der Bundesrat eingeladen, eine Änderung des Öffentlichkeitsgesetzes zu prüfen, wonach dem Beauftragten ein Interventions- oder Verfügungsrecht eingeräumt wird, wenn sein Einsichtsrecht nicht respektiert wird.

Der Bundesrat äusserte sich in seiner ersten Stellungnahme vom 11. Januar 2024 an die GPK-S dahingehend, dass er die Prüfaufträge hinsichtlich der Empfehlungen 1–4 vollumfänglich annehme. Die Prüfung eines Verfügungsrechts für den Beauftragten im Sinne der Empfehlung 5 lehne der Bundesrat ab; indessen schlug er vor, die Interventionsrechte des Beauftragten einer Prüfung zu unterziehen, für den Fall, dass dessen Einsichtsrecht nicht gewahrt werde.

Der Bundesrat beauftragte in der Folge das Eidgenössische Justiz- und Polizeidepartement (EJPD) damit, die Empfehlungen bis Ende 2024 zu überprüfen und ihm Vorschläge zum weiteren Vorgehen in Form eines Berichtes zu unterbreiten. Der Beauftragte konnte sich im Rahmen einer Vorkonsultation sowie einer Ämterkonsultation des EJPD zum Berichtsentwurf in Bezug auf die einzelnen Empfehlungen und die Ausführungen des Bundesrats äussern:

76

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

  • Zu Empfehlung 1 äusserte sich der Bundesrat dahingehend, dass bei Dokumenten, die nicht nur die Amtstätigkeit, sondern auch den privaten Bereich einer Person tangieren, stets im Einzelfall zu prüfen sei, ob ein Anspruch auf Zugang nach dem Öffentlichkeitsgesetz oder auf Einsicht nach dem Archivgesetz bestehe. Er sah keinen gesetzlichen Anpassungsbedarf. Die Empfehlung 1 der GPK-S adressiere einen spezifischen Aspekt der Koordination zwischen dem Archivgesetz und dem Öffentlichkeitsgesetz und ihren Einsichtsrechten. Der Beauftragte vertrat in den Konsultationen demgegenüber die Ansicht, dass eine (Teil-) Revision der Erlasstexte unumgänglich sei, um die Koordination zwischen Archivgesetz und Öffentlichkeitsgesetz mit der nötigen Rechtssicherheit zu regeln, zumal sich die beiden Einsichtsverfahren materiell und verfahrensrechtlich deutlich unterscheiden, was auch vom Bundesrat in seinem Bericht grundsätzlich anerkannt wird.
  • Bezüglich Empfehlung 4 und der Anwendbarkeit des Öffentlichkeitsgesetzes stellten wir fest, dass unsere Anmerkungen zur höchstrichterlichen Rechtsprechung nicht übernommen wurden, wonach das Bundesgericht bereits darüber entschieden hatte, wie Art. 3 Abs. 1 Bst. a BGÖ angewendet werden soll. Gemäss einem restriktiven Verständnis des Ausschlussgrundes für Prozessakten in Art. 3 Abs. 1 Bst. a BGÖ kam das Gericht in seiner Auslegung zum Schluss, dass nur Verfahrensakten im engeren Sinne vom Anwendungsbereich des Öffentlichkeitsgesetzes ausgenommen sind. Bei den vom Gericht entwickelten, erforderlichen Anforderungen für eine solche Ausnahme, spielt die Tatsache, ob ein Verfahren noch hängig oder bereits abgeschlossen ist, keine Rolle. Nach Ansicht des Beauftragten ist die Frage nach dem Zugang zu Verfahrensakten damit bundesgerichtlich abschliessend geklärt.
  • In Bezug auf Empfehlung 5 hielt der Bundesrat an seiner bereits am 11. Januar 2024 geäusserten Einschätzung fest und lehnte die nähere Prüfung einer Verfügungsbefugnis des Beauftragten ab. Er begründet dies damit, dass es sich beim Schlichtungsverfahren nach dem Öffentlichkeitsgesetz um ein formloses, unpräjudizielles und informelles Verfahren handle; eine Verfügungskompetenz des Beauftragten sei nicht systemgemäss. Der Beauftragte hielt dazu in der Ämterkonsultation fest, dass mit dem Verzicht auf eine nähere Prüfung einer Verfügungsbefugnis dem Wunsch der GPK-S, neben der Frage der Interventionsrechte des Beauftragten auch jene eines spezifischen Verfügungsrechts einer Prüfung zu unterziehen, nicht entsprochen worden ist. Unserem Antrag, eine entsprechende Prüfung nachzuholen, wurde nicht entsprochen.

Der Bericht vom 13. Dezember 2024 des Bundesrates an die GPK-S wurde in der vom EJPD vorgeschlagenen Form verabschiedet und publiziert.

  1. Tätigkeitsbericht 2024/2025

77

Öffentlichkeitsprinzip

BUNDESPERSONALRECHT

Einschränkung des Öffentlichkeitsprinzips beim Whistleblowing

Die sich in parlamentarischer Beratung befindende Revision des Bundespersonalgesetzes sieht weitgehende Einschränkungen des Öffentlichkeitsprinzips namentlich im Bereich des Umgangs mit Meldungen von Whistleblowern vor. Der Beauftragte hat sich wiederholt gegen die beabsichtigten Einschränkungen ausgesprochen.

Am 28. August 2024 hat der Bundesrat dem Parlament die Botschaft für das revidierte Bundespersonalgesetz (BPG) übermittelt. Dieses sieht neben Anpassungen in der beruflichen Vorsorge Massnahmen zur Stärkung des Datenschutzes im Zusammenhang mit Profiling sowie die Förderung der Digitalisierung im Personalwesen vor (s. Kap. 1.5). Schliesslich will der Bundesrat in der Revision punktuelle

Anpassungen vornehmen, um die Effizienz in der Umsetzung des Bundespersonalrechts zu steigern.

Als Effizienzmassnahme schlägt der Bundesrat in Art. 22a Abs. 7 des Entwurfs des Bundespersonalgesetzes (E-BPG) vor, die Anwendung des Öffentlichkeitsgesetzes für Dokumente auszuschliessen, die eine Meldung nach Art. 22a E-BPG (Meldungen, Anzeigen und Schutz betreffend Whistleblowing) belegen, mit dieser eingereicht werden oder die gestützt auf eine Meldung erstellt wurden. Das für die Vorlage zuständige Eidgenössische Personalamt EPA begründet die Einschränkung des Öffentlichkeitsprinzips damit, dass das Vertrauen in das Instrument Whistleblowing nachhaltig erhalten bleiben solle. Darüber hinaus diese Vorbehalt vom Öffentlichkeitsprinzips auf die oben genannten Dokumente dem Schutz der Personen, denen im Rahmen einer Meldung unrechtmässiges Verhalten vorgeworfen werde.

Der Beauftragte hat im Rahmen von zwei Ämterkonsultationen sowie einer Zwischenkonsultation vergeblich aufgezeigt, dass die berechtigten privaten Interessen auch bei Anwendbarkeit des Öffentlichkeitsgesetzes geschützt bleiben. Er führte aus, dass das Instrument Whistleblowing zum einen bereits heute grosses Vertrauen geniesst, zumal die Whistleblowing-Regelung in Art. 22a BPG bereits am

  1. Januar 2011 in Kraft trat. Die darin verankerten Anzeige- und Meldepflichten der Bundesangestellten bei Offizialdelikten und ein Melderecht bei anderen Unregelmässigkeiten werden seit Einführung der Bestimmung rege genutzt. So ist die Anzahl der Fälle – wie statistische Auswertungen der Eidgenössischen Finanzkontrolle EFK zeigen – konstant gestiegen. Für den Beauftragten ist nicht ersichtlich, inwiefern eine Beibehaltung der aktuellen Regelung – ohne Vorbehalt gemäss Art. 4 BGÖ – zu einem Vertrauensverlust führen soll oder kann. Zum anderen bietet das Öffentlichkeitsgesetz nach Ansicht des Beauftragten ausreichend Möglichkeiten, um den Schutz sensibler Informationen und der Personendaten sowohl von Personen, die das Instrument Whistleblowing nutzen, als auch von denjenigen, die von Meldungen betroffen sein könnten, zu gewährleisten (vgl. Art. 7 und 9 BGÖ). Der Beauftragte erachtet es somit nicht als

78

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

LUFTFAHRT

notwendig, alle Meldungen, mitsamt allfälligen Beilagen, sowie alle weiteren Dokumente, die gestützt auf eine solche Meldung erstellt werden – inkl. an eine Meldung anschliessende allfällige Abschlussdokumente und Schlussberichte –, dem Zugang der Öffentlichkeit vollständig zu entziehen. Dies entspricht auch nicht dem Verhältnismässigkeitsprinzip nach Art. 5 Abs. 2 BV. Nach Ansicht des Beauftragten lässt sich der vorgesehene Vorbehalt vom Öffentlichkeitsprinzip angesichts des berechtigten öffentlichen Interesses an einer ernsthaften Aufarbeitung von gemeldetem Fehlverhalten von Verwaltungsangestellten nicht rechtfertigen.

Abschliessend gibt der EDÖB zu bedenken, dass Whistleblowing-Stellen auch deshalb nicht in einen staatlichen Geheimbereich gerückt werden sollten, weil sie von Gesetzes wegen die von einer Meldung betroffenen Verwaltungseinheiten und/oder -angestellten überprüfen und deshalb im besonderen Fokus der Öffentlichkeit stehen.

In der vom Bundesrat ans Parlament übermittelten und zurzeit in der parlamentarischen Beratung befindlichen Gesetzesbotschaft ist die Einschränkung des Öffentlichkeitsgesetzes weiterhin enthalten, und die abweichende Position des Beauftragten wird korrekt ausgewiesen.

Einschränkung des Öffentlichkeitsprinzips bei der Aufsicht über die Zivilluftfahrt

Die Aufsicht über die Zivilluftfahrt soll weitgehend vom Öffentlichkeitsprinzip ausgenommen werden. In der Ämterkonsultation und im Rahmen der Vernehmlassung hat sich der Beauftragte gegen die beabsichtigte Einschränkung ausgesprochen.

Der vom Bundesamt für Zivilluftfahrt (BAZL) ausgearbeitete Vernehmlassungsentwurf für eine Änderung des Luftfahrtgesetzes sieht weitgehende Einschränkungen des Öffentlichkeitsprinzips namentlich im Bereich der gesetzlichen Aufsicht des BAZL vor. Gemäss Art. 107d Abs. 2 des Vernehmlassungsentwurfs des Luftfahrtgesetzes (LFG) soll das Öffentlichkeitsgesetz zum einen nicht gelten für den Zugang zu Personendaten und Daten juristischer Personen und zum anderen auch nicht, soweit die Gewährung des Zugangs die Flug- oder Luftsicherheit gefährdet, wenn folgende amtliche

Dokumente betroffen sind: Berichte betreffend Audits, Inspektionen, Begutachtungen und Kontrollen des BAZL (Bst. a), Meldungen und zugehörige Unterlagen über Ereignisse, die dem BAZL gestützt auf die Verordnung (EU) Nr. 376/2014 zugegangen sind (Bst. b), und amtliche Dokumente zu Sicherheitsuntersuchungen der Schweizerischen Sicherheitsuntersuchungsstelle (SUST) (Bst. c).

Der Beauftragte, der als Datenschutz-Aufsichtsbehörde dem Öffentlichkeitsgesetz untersteht, hat die vorgesehenen Bestimmungen abgelehnt, weil das BGÖ auch im Bereich der Aufsichtstätigkeit und im Zusammenhang mit Sicherheitsuntersuchungen ausreichend Möglichkeiten bietet, um den Schutz sensibler Informationen zu gewährleisten (vgl. Art. 7 und 9 BGÖ). Generell haben wir denn auch darauf hingewiesen, dass der Gesetzgeber die Vertraulichkeit zwischen Aufsichtsbehörde und Beaufsichtigten bewusst nicht als Ausnahmebestimmung des Öffentlichkeitsgesetzes vorgesehen hat.

Die Einschränkung des Öffentlichkeitsprinzips begründet das BAZL mitunter damit, dass die Beaufsichtigten ihren Meldepflichten nur dann nachkommen, wenn sie nicht mit einer Bekanntgabe entsprechender Information rechnen müssen. Diese – nach der hier vertretenen Auffassung unzutreffende – Prämisse berücksichtigt nicht, dass in einem Rechtsstaat davon

  1. Tätigkeitsbericht 2024/2025

79

Öffentlichkeitsprinzip

auszugehen ist, dass gesetzliche Auskunfts- und Meldepflichten eingehalten werden. Ausserdem verkennt das BAZL, dass mögliche Rechtsverletzungen von Beaufsichtigten keinesfalls eine Einschränkung des Öffentlichkeitsgesetzes zu rechtfertigen vermögen. Weiter erachtet der Beauftragte die ebenfalls vorgebrachte Begründung, dass die Berichte oft technische Einzelheiten enthielten, die von der Öffentlichkeit nur schwer richtig einzuordnen seien, als unhaltbar und anmassend. Im Ergebnis kann der Beauftragte keine überzeugenden Gründe erkennen, welche den vom BAZL beabsichtigten integralen Ausschluss der Verwaltungsöffentlichkeit und damit die voraussetzungslose Geheimhaltung wesentlicher Teile der Aufsichtstätigkeit rechtfertigen.

Überdies gibt der Beauftragte zu bedenken, dass Behörden mit Aufsichts-, Audit-, Kontroll- oder Inspektionsaufgaben im besonderen Fokus der Öffentlichkeit stehen, da sie von Gesetzes wegen andere Verwaltungseinheiten und/oder Private überprüfen. Gerade in diesen sensiblen Bereichen muss der EDÖB widersprechen, wenn sich Aufsichtsbehörden mit Argumenten wie «Gefahr der Missachtung von Meldepflichten» oder «zu komplex für die Bevölkerung» vom Geltungsbereich des Öffentlichkeitsgesetzes auszunehmen suchen.

Im Rahmen der Teilrevision 1+ des Luftfahrtgesetzes wurde bereits in den Jahren 2014/2015 vorgeschlagen, eine ähnlich umfassende Einschränkung des Öffentlichkeitsprinzips einzuführen, gegen welche sich der Beauftragte dezidiert ausgesprochen hatte (s. 22. TB, Kap. 2.2.2). Nachdem damals auf die Einführung entsprechender Bestimmungen verzichtet wurde, legt das BAZL nicht dar, inwiefern zwischenzeitliche Änderungen der Sachlage einen weitergehenden Ausschluss der Verwaltungsöffentlichkeit erforderlich machen.

Da das BAZL nach der Ämterkonsultation nicht bereit war, die Differenzen des Beauftragten im Erläuternden Bericht zum Gesetzesentwurf gegen aussen auszuweisen, sah sich der Beauftragte aus Transparenzgründen gezwungen, auch im Rahmen der Vernehmlassung Stellung zu nehmen.

LUFTFAHRT

Änderung der Verordnung über die Sicherheitsuntersuchung von Zwischenfällen im Verkehrswesen VSZV

Mit der am 1. Januar 2025 in Kraft getretenen Änderung hat der Bundesrat die Schweizerische Sicherheitsuntersuchungsstelle SUST vom Geltungsbereich des Öffentlichkeitsgesetzes ausgeschlossen. Der Beauftragte hatte sich in der Ämterkonsultation erfolglos gegen diese Einschränkung des Öffentlichkeitsprinzips ausgesprochen.

Gemäss Art. 2 Abs. 3 Bst. a BGÖ kann der Bundesrat Einheiten der Bundesverwaltung vom persönlichen Geltungsbereich des Öffentlichkeitsgesetzes ausnehmen, wenn dies für die Erfüllung der ihnen übertragenen Aufgaben erforderlich ist. Mit Verweis auf diese Möglichkeit legt er im neuen Art. 54a der Verordnung über die Sicherheitsuntersuchung von Zwischenfällen im Verkehrswesen VSZV fest, dass die SUST vom Geltungsbereich des Öffentlichkeitsgesetzes ausgenommen ist, soweit sie Daten von natürlichen und juristischen Personen bearbeitet.

Das für die Verordnungsänderung zuständige Eidgenössische Departement für Umwelt, Verkehr, Energie und Kommunikation UVEK begründet die Erforderlichkeit des Ausschlusses des

80

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

FINANZAUFSICHT

Öffentlichkeitsgesetzes damit, dass die SUST die für die Aufrechterhaltung der Verkehrssicherheit relevanten Informationen nur erhält, wenn die Meldenden nicht mit einer Bekanntgabe der Informationen rechnen müssen. Diese Argumentation wird von der Bundesverwaltung immer wieder vorgebracht, um eine (scheinbare) Notwendigkeit von Einschränkungen der Verwaltungstransparenz zu begründen. Wie der Beauftragte bereits mehrfach dargelegt hat, überzeugt diese Begründung nicht (s. hierzu auch den obenstehenden Text zur LFG-Revision sowie 31. TB, Kap. 2.4 und 22. TB, Kap. 2.2.2). Überdies hat das UVEK nicht erklärt, weshalb die Ausnahmebestimmungen des

Öffentlichkeitsgesetzes für die Sicherstellung der Aufgabenerfüllung der SUST nicht ausreichend sein sollten.

Mit der vom Bundesrat beschlossenen Ausgliederung der SUST aus dem persönlichen Geltungsbereich des Öffentlichkeitsgesetzes nimmt sich die Verwaltung selbst vom Grundsatz der Verwaltungsöffentlichkeit aus. Dies ist umso erstaunlicher, als das BAZL resp. das UVEK bereits im Rahmen der Teilrevision des LFG (s. oben) und damit auf Gesetzesstufe die Einführung einer spezialgesetzlichen Bestimmung vorschlagen, mit welcher die SUST vom Öffentlichkeitsgesetz ausgenommen werden soll. Insofern greift der Bundesrat dem parlamentarischen Entscheidprozess also vor.

Nachdem der Ausschluss der SUST gemäss Art. 54a VSZV am 1. Januar 2025 in Kraft getreten ist, führt das UVEK in den Erläuterungen zu dieser Bestimmung immerhin aus, dass diese bloss provisorischer Natur sei, weil Einschränkungen des Geltungsbereichs des Transparenzprinzips grundsätzlich der Legislative vorbehalten bleiben sollen.

Neues Bundesgesetz über die Transparenz von juristischen Personen

Mit einem Gesetz über die Transparenz von juristischen Personen soll ein zentrales Register zur Identifikation effektiv wirtschaftlich Berechtigter von juristischen Personen geschaffen werden. Trotz Intervention des Beauftragten sieht der Gesetzesentwurf einen Ausschluss des Öffentlichkeitsgesetzes vor.

Am 22. Mai 2024 hat der Bundesrat dem Parlament die Botschaft für ein neues Bundesgesetz über die Transparenz juristischer Personen und die Identifikation der wirtschaftlich berechtigten Personen (TJPG) übermittelt. Dieses sieht die Schaffung eines Registers mit aktuellen Informationen zu wirtschaftlich berechtigten Personen der erfassten Rechtseinheiten vor,

  1. Tätigkeitsbericht 2024/2025

81

Öffentlichkeitsprinzip

wodurch das Dispositiv zur Bekämpfung von Geldwäscherei, Terrorismusfinanzierung und Wirtschaftskriminalität weiter gestärkt werden soll.

Zum Bedauern des Beauftragten hat der Bundesrat im Nachgang an das durchgeführte Vernehmlassungsverfahren (s. 31. TB, Kap. 2.4) den Gesetzesentwurf mit einem expliziten Ausschluss des Öffentlichkeitsgesetzes ergänzt. So soll gemäss Art. 53 Abs. 4 des Gesetzesentwurfs das Öffentlichkeitsgesetz nicht für Daten aus dem Transparenzregister gelten, welche sich auf natürliche und juristische Personen beziehen.

Das für die Vorlage federführende Staatssekretariat für internationale Finanzfragen SIF begründet die Einschränkung des Öffentlichkeitsprinzips damit, dass der Zweck des Transparenzregisters hauptsächlich in der Verbesserung der Bekämpfung von Geldwäscherei und Terrorismusfinanzierung liegt. In einer weiteren Öffnung des Registers

erkennt das SIF keinen Mehrwert, weshalb eine solche einen unverhältnismässigen Eingriff in Persönlichkeitsschutzrechte darstelle.

Der Beauftragte hat in der Ämterkonsultation vergeblich aufgezeigt, dass die berechtigten privaten Interessen auch bei Anwendbarkeit des Öffentlichkeitsgesetzes geschützt bleiben. So gewährleistet es explizit den Schutz von Geschäftsgeheimnissen (Art. 7 Abs. 1 Bst. 8 BGÖ) und der Privatsphäre sowie der Personendaten von natürlichen und juristischen Personen (Art. 7 Abs. 2 BGÖ, Art. 9 Abs. 2 BGÖ in Verbindung mit Art. 36 DSG und Art. 57s RVOG). Der Beauftragte gab überdies zu bedenken, dass von Behörden zur Erfüllung öffentlicher Aufgaben genutzte Datenbanken bzw. Register grundsätzlich vom Zugangsrecht nach dem Öffentlichkeitsgesetz miterfasst werden. Dies im Zusammenhang mit dem Transparenzregister ohne hinreichende Begründung anders zu regeln, ist nach Auffassung des Beauftragten system- resp. konzeptwidrig.

In dem vom Bundesrat ans Parlament übermittelten und zurzeit in der parlamentarischen Beratung befindlichen Entwurf ist die Einschränkung des Öffentlichkeitsgesetzes weiterhin enthalten. Zu erwähnen bleibt, dass die Position des Beauftragten in der Botschaft des Bundesrates aufgenommen wurde.

NOTRECHT

Anwendung von Notrecht: Bericht des Bundesrates

Der Bundesrat kommt in seinem Postulatsbericht vom 19. Juni 2024 zum Schluss, dass das Öffentlichkeitsprinzip gerade in Krisenzeiten von besonderer Wichtigkeit ist und nur in Ausnahmefällen ausgeschlossen werden soll. Die Position des Beauftragten wurde im Bericht ausgewiesen.

Der Bundesrat hat in den letzten zwei Jahrzehnten wiederholt von seinem Recht Gebrauch gemacht, bei drohenden Krisen gestützt auf die Bundesverfassung Notverordnungen zu erlassen (vgl. Art. 184 Abs. 3 und Art. 185 Abs. 3 BV). Im Zusammenhang mit dem Rettungsschirm für die Stromwirtschaft und der Übernahme der Credit Suisse durch die UBS hat er die der Verwaltung übertragenen Tätigkeiten mit demselben Notrecht vom Prinzip

82

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

der Verwaltungsöffentlichkeit ausgeschlossen. Das Parlament beauftragte den Bundesrat, die rechtlichen Grundlagen und Grenzen des Notrechts aufzuzeigen und Anpassungsbedarf zu prüfen.

In seinem Bericht vom 19. Juni 2024 kommt der Bundesrat zum Schluss, dass das im Öffentlichkeitsgesetz verankerte Zugangsrecht nur in Ausnahmefällen durch Notrecht ausgeschlossen werden soll. Nach Auffassung des Bundesrats ist dieses vom Gesetzgeber eingeführte Instrument zur Kontrolle der Verwaltung durch Bürgerinnen und Bürger gerade in Krisenzeiten besonders wichtig. Einschränkungen des Zugangsrechts sind deshalb besonders begründungsbedürftig.

Im Rahmen der Ämterkonsultation hat der Beauftragte zum Berichtsentwurf des Bundesamts für Justiz BJ Stellung genommen. Zentrale Forderung des Beauftragten war die Streichung von zwei Passagen, welche eine juristische Einschätzung zu bis anhin nicht geklärten Rechtsfragen zum Gegenstand

hatten. In seiner Stellungnahme kritisierte er zudem (erneut) die im Bericht dargelegte Begründung des Ausschlusses des Öffentlichkeitsgesetzes mit dem Hinweis, wonach die Einhaltung gesetzlicher Meldepflichten sonst nicht gewährleistet werden könne (s. Text zur LFG-Revision sowie 31. TB, Kap. 2.4 und 22. TB, Kap. 2.2.2). Der Beauftragte begrüsst die Umsetzung der verlangten Änderungen und das Aufführen seiner Position im Bericht.

Der Beauftragte hat bereits in seiner Mitteilung vom 6. April 2023 festgehalten, dass sich aus der Begründung

der notrechtlichen Stützung der Elektrizitäts- oder Finanzwirtschaft keine Notwendigkeit für einen notrechtlichen Ausschluss des Öffentlichkeitsgesetzes ergibt. Diese Einschätzung hat er in seinen Empfehlungen vom 27. November 2023 betreffend den Zugang zu Dokumenten zur Übernahme der Credit Suisse durch die UBS bestätigt. Schliesslich ist darauf hinzuweisen, dass die Parlamentarische Untersuchungskommission PUK in ihrem Bericht vom 17. Dezember 2024 zur Geschäftsführung der Bundesbehörden im Kontext der Credit-Suisse-Krise Zweifel an der Verhältnismässigkeit des Ausschlusses der Verwaltungsöffentlichkeit äussert. Sie empfiehlt dem Bundesrat, auch beim Erlass von Notrecht das Öffentlichkeitsgesetz anzuwenden (Empfehlung Nr. 17 des Berichts).

  1. Tätigkeitsbericht 2024/2025

83

Öffentlichkeitsprinzip

2.5 Spezialgesetzliche Vorbehalte nach Art. 4 BGÖ

Das Öffentlichkeitsgesetz (BGÖ) bedarf der Koordination mit Bestimmungen in Spezialgesetzen des Bundes, welche eine Sonderregelung für den Zugang zu amtlichen Dokumenten vorsehen. Nach Art. 4 BGÖ sind Bestimmungen anderer Bundesgesetze vorbehalten, die

bestimmte Informationen als geheim bezeichnen (lit. a) oder vom Öffentlichkeitsgesetz abweichende Voraussetzungen für den Zugang zu bestimmten Informationen vorsehen (lit. b), was zur Folge hat, dass die Bestimmungen des Öffentlichkeitsgesetzes für den Zugang

zu diesen Informationen nicht anwendbar sind.

Ob einer Gesetzesbestimmung Vorrang im Sinne einer Spezialbestimmung gemäss Art. 4 BGÖ zukommt, ist jeweils für den konkreten Fall durch Auslegung der betreffenden Normen zu ermitteln.

Tabelle 4: Spezialbestimmungen nach Art. 4 BGÖ

Erlass (Kurzform) und AbkürzungSR-Nr.Art./Abs.Inkraftsetzung am:
Informationssicherheitsgesetz (ISG)128Art. 4 Abs. 1bis(noch offen)
Botschaft zur Änderung des Bundespersonalgesetzes (BPG)177.220.1Art. 22a Abs. 7 E-BPGBotschaft vom 28. August 2024 Stand: Beratung im Parlament
Botschaft zum Bundesgesetz über die Transparenz juristischer Personen und die Identifikation der wirtschaftlich berechtigten Personen (TJPG)Art. 53 Abs. 4 BGÖBotschaft vom 22. Mai 2024 Stand: Beratung im Parlament
Änderung des Bundesgesetzes über die Krankenversicherung (Massnahmen zur Kostendämpfung – Paket 2)832.10Art. 52c KVG (Delegationsnorm) Art. 52d Abs. 5 KVG Übergangsbestimmung KVG Abs. 4Am 21. März 2025 vom Parlament angenommen.
831.20Art. 14{quinquies} Abs. 2 u. 3 IVG (Delegationsnorm) Art. 14{sexies} Abs. 5 IVG Übergangsbestimmung IVG Abs. 1
Bundesgesetz über Subsidiäre Finanzhilfen zur Rettung systemkritischer Unternehmen der Elektrizitätswirtschaft (FiREG)734.91Art. 20 Abs. 41. Oktober 2022
Bundesgesetz über das öffentliche Beschaffungswesen (BGB)172.056.1Art. 48 Abs. 1 (expliziter Zugang vorgeschrieben); Art. 11 Bst. e (gilt nur während Vergabeverfahren als Spezialbestimmung)1. Januar 2021
Covid-19-Solidarburgschaftsgesetz (Covid-19-SBG)951.26Art. 12 Abs. 219. Dezember 2020
Bundesgesetz über die Organisation der Bahninfrastruktur (OBI) (Mantelerlass)
Eisenbahngesetz (EBG)742.101Art. 14 Abs. 21. Juli 2020
Seilbahngesetz (SebG)743.01Art. 24e1. Juli 2020
Personenbeförderungsgesetz (PBG)745.1Art. 52a1. Juli 2020
Bundesgesetz über die Binnenschifffahrt (BSG)747.201Art. 15b1. Juli 2020
Nachrichtendienstgesetz (NDG)121Art. 671. September 2017

84

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

Erlass (Kurzform) und AbkürzungSR-Nr.Art./Abs.Inkraftsetzung am:
Lebensmittelgesetz (LMG)817.0Art. 24 Spezialbestimmung gemäss Botschaft zum Bundesgesetz über Lebensmittel und Gebrauchsgegenstände vom 25. Mai 20111. Mai 2017
Bundesgesetz über die Förderung der Forschung und der Innovation (FIFG)420.1Art. 13 Abs. 4 (s. Urteil des BVGer A-6160/2018 vom 4. November 2019 E. 4)1. Januar 2014
Bankengesetz (BankG)952.0Art. 47 Abs. 11. Januar 2009 (Bst. a und b) bzw. 1. Juli 2015 (Bst. c)
Patentgesetz (PatG)232.14Art. 90 PatV, der sich auf Art. 65 Abs. 2 PatG stützt1. Juli 2008
Patentverordnung (PatV)232.141(s. Urteil des BGer 4A_249/2021 vom 10. Juni 2021)
Inkrafttreten des Öffentlichkeitsgesetzes1. Juli 2006
Parlamentsgesetz (ParlG)171.10Art. 47 Abs. 1 (s. Urteil des BVGer A-6108/2016 vom 28. März 2018 E. 3.1)1. Dezember 2003
Güterkontrollgesetz (GKG)946.202Art. 4 und 5 (s. Urteil des BVGer A-5133/2019 vom 24. November 2021 E. 5.3.2.4)1. Oktober 1997
Bundesgesetz über die direkte Bundessteuer (DBG)642.11Art. 110 Abs. 11. Januar 1995
Verrechnungssteuergesetz (VStG)642.21Art. 37 Abs. 11. Januar 1967
Bundesgesetz über die Stempelabgaben (StG)641.10Art. 33 Abs. 11. Juli 1974
Mehrwertsteuergesetz (MWSTG)641.20Art. 74 Abs. 1 (s. Urteil des BGer 1C_272/2022 vom 15. November 2023 E. 3.4)1. Januar 2010
Steuerharmonisierungsgesetz (STHG)642.14Art. 39 Abs. 1 Vgl. JAAC 2016.1 (p. 1-14), édition du 26 janvier 2016: Secret fiscal et accès à des documents officiels1. Januar 1993
Bundesstatistikgesetz (BstatG)431.01Art. 14 (s. Urteil des BGer 1C_50/2015 vom 2. Dezember 2015 E. 4.2 ff.)1. August 1993
  1. Tätigkeitsbericht 2024/2025

85

Öffentlichkeitsprinzip

Tabelle 5: KEINE Spezialbestimmungen nach Art. 4 BGÖ

Erlass (Kurzform) und AbkürzungSR-Nr.Art./Abs.Inkraftsetzung am:
Bundesgesetz über die Produktesicherheit (PrSG)930.11Art. 10 Abs. 4 i.V.m. Art. 12 (s. Urteil des BGer 1C_299/2019 vom 7. April 2020 E. 5.5)1. Juli 2010
Revisionsaufsichtsgesetz (RAG)221.302Art. 19 Abs. 2 (s. Urteil des BGer 1C_93/2021 vom 6. Mai 2022 E. 3.6)1. September 2007
Fernmeldegesetz (FMG)784.10Art. 24f (s. Urteil des BVGer A-516/2022 vom 12. September 2023 E. 6.5)1. April 2007
Bundesgesetz über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG)830.1Art. 33 (Im vorliegenden Fall keine Spezialbestimmung nach Art. 4 BGÖ: s. Urteil des BVGer A-5111/2013 vom 6. August 2014 E. 4.1 ff.; A-4962/2012 vom 22. April 2013 E. 6.1.3)1. Januar 2003
Heilmittelgesetz (HMG)812.21Art. 61 und 62 (s. Urteil des BGer 1C_562/2017 vom 2. Juli 2018 E. 3.2; Urteil des BVGer A-3621/2014 vom 2. September 2015 E. 4.4.2.3 ff.)1. Januar 2002
Bundesgesetz über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (BVG)831.40Art. 86 (s. Urteil des BGer 1C_336/2021 vom 3. März 2022 E. 3.4.3)1. Januar 2001

86

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

1

Der EDÖB

Der EDÖB

3.1 Aufgaben und Ressourcen

Leistungen und Ressourcen im Bereich Datenschutz

Personalbestände

Der Bestand des für Belange des Datenschutzes eingesetzten Personals des EDÖB beläuft sich seit 2023, dem Jahr der Inkraftsetzung des neuen DSG, unverändert auf 33 Vollzeitstellen.

Tabelle 6: Für DSG-Belange einsetzbare Stellen

202333
202433
202533

Leistungen

Die Aufgaben des EDÖB als für die Bundesorgane und die Privatwirtschaft zuständige Datenschutzbehörde werden gemäss dem Neuen Führungsmodell

Bund (NFB) den vier Leistungsgruppen Beratung, Aufsicht, Information und Gesetzgebung zugewiesen. Im Berichtsjahr vom 1.4.2024 bis 31.3.2025 wurden die beim EDÖB für den Datenschutz einsetzbaren Personalressourcen wie folgt auf diese Gruppen aufgeteilt:

Tabelle 7: Leistungen Datenschutz

Beratung Bund20,8%
Beratung Private18,0%
Zusammenarbeit mit ausl. Behörden15,1%
Zusammenarbeit mit Kantonen1,2%
Total Beratung55,1%
Aufsicht20,2%
Zertifizierung0,1%
Total Aufsicht20,3%
Information12,5%
Ausbildung/Referate2,6%
Total Information15,1%
Gesetzgebung9,5%
Total Gesetzgebung9,5%
Total Datenschutz100,0%

Beratung

Im Leistungsbereich der Beratung sieht sich der EDÖB aufgrund seiner gesetzlichen Verpflichtung, digitale Grossprojekte zu begleiten, mit einer konstant hohen Nachfrage konfrontiert. Er übt seine Beratungsfunktion sowohl innerhalb der Bundesverwaltung bspw. in den Projekten CEBA (s. Kap. 1.1), POLAP (s. Kap. 1.2), Gesichtserkennung am Flughafen Zürich (s. Kap. 1.6) oder Justitia 4.0 (s. Kap. 1.1) als auch gegenüber öffentlichen (SBB, Swisscom, s. Kap. 1.6) und privaten Unternehmen aus. Im Rahmen dieser Projekte prüft der EDÖB häufig Datenschutz-Folgenabschätzungen. Die für die Beratung aufgewendeten personellen Mittel bezifferten sich im Berichtsjahr auf 55,1 Prozent, was geringfügig über dem Wert des Vorjahres (53,3 %) liegt.

Mit Blick auf die einzelnen Leistungsgruppen ergeben sich somit folgende, für die Bemessung der Mittel wegleitende Wirkungsziele:

Tabelle 8: Wirkungsziele EDÖB im Datenschutz

LeistungsgruppeWirkungsziele
BeratungDer EDÖB entfaltet eine erwartungsadäquate Präsenz für die Beratung von Privatpersonen und die Begleitung von datenschutzensiblen Projekten der Wirtschaft und der Bundesbehörden.
AufsichtDer EDÖB entfaltet eine glaubwürdige Dichte an Kontrollen.
InformationDer EDÖB sensibilisiert die Öffentlichkeit proaktiv für technologie- und anwendungsbezogene Risiken der Digitalisierung. Er stellt der Bevölkerung eine zeitgemässe, benutzerfreundliche Website und digitale Meldeportale zur Verfügung.
GesetzgebungDer EDÖB nimmt rechtzeitig und aktiv Einfluss auf alle datenschutzrelevanten Spezialnormen und Regelwerke, die auf nationaler und internationaler Ebene geschaffen werden. Er unterstützt die interessierten Kreise bei der Formulierung von Regeln der guten Praxis.

90

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Aufsicht und Kampagnen

Die Zahl der Anzeigen, welche die drei Teams des Direktionsbereichs Datenschutz im Berichtsjahr behandelt haben, beläuft sich auf 1053. Der für Kontrollen und Aufsichtsverfahren eingesetzte Anteil an Ressourcen lag mit 20,3 Prozent deutlich höher gegenüber dem Mittelwert der Berichtsjahre ab 2015 von 15 Prozent. Der EDÖB konnte seine Aufsichtstätigkeit somit wie im Rahmen seiner strategischen Ziele geplant verstärken, was sich in der Statistik widerspiegelt. Die untenstehende Tabelle weist die Anzahl niederschwelliger Interventionen, Vorabklärungen und formeller Untersuchungen aus.

Um möglichst viele Menschen, Bundesbehörden oder Privatunternehmen für ausgewählte Themen zu sensibilisieren, wurden zwei Kampagnen durchgeführt: eine Kampagne zur Verwendung der AHV-Nummer ausserhalb der Sozialversicherungen bei Bundesbehörden (s. Schwerpunkt) sowie eine Kampagne zu den Anmeldeformularen für Mietwohnungen (s. Kap. 1,3).

Datensicherheitsverletzungen

Im Geschäftsjahr 2024/2025 wurden dem EDÖB 363 Datensicherheitsverletzungen gemeldet, davon 344 mittels Onlineformular. 19 Meldungen erreichten den EDÖB auf alternativen Kanälen wie Email oder Brief. In 26 Fällen war die Meldung auf freiwilliger Basis.

Für dieses Geschäftsjahr wurde zusätzlich berechnet, wie viel Zeit zwischen dem Auftreten einer Datensicherheitsverletzung und der Meldung an den EDÖB verging: In rund 40 Prozent der Fälle erfolgte die Meldung innerhalb von 6 Tagen. Nach 21 Tagen waren rund 80 Prozent der erkannten Datensicherheitsverletzungen gemeldet worden.

Tabelle 10: Meldung von Datensicherheitsverletzungen

Total Meldungen363
Davon freiwillig26
Innert 6 Tagen40%
Innert 21 Tagen80%

Tabelle 9: Aufsichtstätigkeiten (s. dazu Seite 22)

Anzeigen1053
davon1023 gegen Private 30 gegen Bundesbehörden 788 behandelt 265 hängig
Niederschwellige Interventionen108
davonca. 90% freiwillig befolgt
Vorabklärungen20
Untersuchungen9
davon6 offen 3 abgeschlossen mit Verwaltungsmassnahmen
Vor BVGer hängig2
Kampagnen2
davon1 für Bundesbehörden 1 für Private
  1. Tätigkeitsbericht 2024/2025

91

Der EDÖB

Information

Die für die Leistungsgruppe «Information» eingesetzten Ressourcen konnten im Berichtsjahr mit anteilmässig 15,1% gegenüber dem Vorjahr (17,8%) erneut gesenkt werden.

Gesetzgebung

Die Veränderungen, die die digitale Transformation der Bundesämter bei der Datenbearbeitung mit sich bringt, erfordern eine Vielzahl neuer Bestimmungen oder Revisionen des Bundesrechts, zu denen der EDÖB in verschiedenen Vernehmlassungsverfahren Stellung nimmt. Der damit verbundene Aufwand für die verschiedenen Teams des EDÖB darf nicht vernachlässigt werden: Die meisten Ämterkonsultationen erfordern interdisziplinäre Analysen der Bereiche Datenschutz, IT, Internationale Angelegenheiten sowie des Öffentlichkeitsgesetzes. Wenn sie grosse IT-Projekte

beinhalten oder die Projekte ein hohes Restrisiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen, müssen zudem Datenschutz-Folgenabschätzungen durchgeführt und durch den EDÖB beurteilt werden. Im Berichtsjahr hat der EDÖB an 271 Ämterkonsultationen teilgenommen.

Tabelle 11: Ämterkonsultationen

Total274
abgeschlossen250

Leistungen und Ressourcen im Bereich Öffentlichkeitsgesetz

Der Bestand des für Schlichtungen und Empfehlungen nach dem Öffentlichkeitsgesetz einsetzbaren Personals beträgt unverändert 6 Vollzeitstellen. Der Beauftragte wird weiter darauf hinwirken, dass die wegen der Pandemie und der anhaltend hohen Anzahl von Schlichtungsgesuchen entstandenen Bearbeitungsrückstände in den nächsten Berichtsperioden sukzessive abgebaut werden. Ob und wie schnell dies gelingen kann, wird von der quantitativen Entwicklung der Schlichtungsanträge und deren Komplexität abhängen.

Tabelle 12: Für BÖÖ-Belange einsetzbare Stellen

20235,4
20246,2
20256,2

92

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Teilnahme an Kommissionsberatungen und Anhörungen durch parlamentarische Kommissionen

In der Berichtsperiode hat der Beauftragte an folgenden Anhörungen und Kommissionsberatungen teilgenommen:

  • April 2024: RK-S zum Bundesgesetz über den elektronischen Identitätsnachweis und andere elektronische Nachweise (E-ID-Gesetz)
  • April 2024: Subkommissionen FK-S und FK N zur Rechnung 2023
  • April 2024: SPK-S zum Bundesgesetz über das nationale System zur Abfrage von Adressen natürlicher Personen (Adressdienstgesetz)
  • Mai 2024: SPK-N zum Datenschutzgesetz, Aufnahme einer Bestimmung zu automatisierten Entscheidungen, die auf künstlicher Intelligenz beruhen
  • Juni 2024: SPK-S zum Bundesgesetz über das nationale System zur Abfrage von Adressen natürlicher Personen (Adressdienstgesetz)
  • Juni 2024: Subkommission GPK-S/N zum Tätigkeitsbericht des EDÖB 2023/2024
  • Juni 2024: SPK-N zum Flugpassagierdatengesetz (FPG)
  • Juni 2024: RK-S zum Bundesgesetz über den elektronischen Identitätsnachweis und andere elektronische Nachweise (E-ID-Gesetz)
  • August 2024: SiK-N zum Flugpassagierdatengesetz (FPG)
  • August 2024: SPK-S zum Bundesgesetz über den elektronischen Identitätsnachweis und andere elektronische Nachweise (E-ID-Gesetz)
  • August 2024: GPK-N Dienststellenbesuch der Subkommission EJPD/BK
  • Oktober 2024: Subkommissionen FK-S und FK N zum Budget 2025
  • Oktober 2024: SPK-N zum Bundesgesetz über das nationale System zur Abfrage von Adressen natürlicher Personen (Adressdienstgesetz)
  • Oktober 2024: SPK-N zum Bundespersonalgesetz (BPG)
  1. Tätigkeitsbericht 2024/2025

93

Der EDÖB---

Dienststellenbesuch der Subkommission EJPD/BK der Geschäftsprüfungskommission des Nationalrates

Die Geschäftsprüfungskommissionen (GPK) nehmen im Auftrag der eidgenössischen Räte die Oberaufsicht über die Geschäftsführung des Bundesrates und der Bundesverwaltung, der eidgenössischen Gerichte sowie der anderen Träger von Aufgaben des Bundes wahr.

Zur Ausübung dieses Auftrags besprach die Subkommission EJPD/BK am 27. August 2024 mit dem Datenschutzbeauftragten und leitenden Mitarbeitenden des EDÖB die Aufträge, Aufgaben und Zuständigkeiten des EDÖB sowie die hängigen Fälle. Der Austausch betraf insbesondere die Herausforderungen der Gegenwart und die Mitarbeiterzufriedenheit.

Zudem erhielt der EDÖB Gelegenheit, aktuell wichtige Fragen im Zusammenhang mit dem Öffentlichkeitsprinzip und dem Datenschutz vorzubringen.

Datenschutzberater des EDÖB

Der Datenschutzberater unserer Behörde hat die Aufgabe, Auskunftsersuchen zu beantworten und die Bearbeitung von Personendaten durch den EDÖB als Behörde zu überprüfen sowie Korrekturmassnahmen zu empfehlen, wenn eine Verletzung der Datenschutzvorschriften festgestellt wurde. Darüber hinaus prüft er die Anwendung und Aktualisierung der Bearbeitungsvorschriften.

Im Berichtszeitraum gingen beim Datenschutzberater sechzehn Auskunftsersuchen und ein Löschungsantrag ein. Sechs betroffenen Personen erteilte er innerhalb der gesetzlichen Frist die gewünschten Auskünfte. Die übrigen Anfragen betrafen Personendaten, die der EDÖB nicht bearbeitet und zu denen er keinen Zugang hat. Diese Anfragen beruhten auf dem Irrtum der Bürgerinnen und Bürger, der EDÖB habe Zugang zu allen Datenbanken und Personendaten der Bundesverwaltung. Das ist jedoch nicht der Fall.

94

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

17:32

5G 5

Abbrechen

Fotos

Sammlungen

Fertig

Q Mediathek durchsuchen ...

Beschränkter Zugriff auf deine Mediathek

„Instagram“ kann nur auf die Objekte zugreifen, die du auswählst. Die App kann Inhalte zu deiner Mediathek hinzufügen, selbst wenn keine Objekte ausgewählt sind.

img-17.jpeg

Der EDÖB

3.2 Kommunikation

Der EDÖB hat im Jahr 2024 15 Kurzmeldungen und 5 Medienmitteilungen publiziert. Im Bereich Öffentlichkeitsgesetz hat er 30 Empfehlungen erlassen und auf seiner Website publiziert. In der Rechtsprechung hat sich das Bundesverwaltungsgericht vierzehnmal, das Bundesgericht einmal zum Öffentlichkeitsprinzip in der Verwaltung ausgesprochen. In Teilen der Bundesverwaltung gibt es weiterhin Bestrebungen, Behördentätigkeiten ganz oder teilweise vom Anwendungsbereich des Öffentlichkeitsgesetzes auszunehmen. Der EDÖB führt hierzu eine Liste, die er auf seiner Website publiziert.

Medienmitteilungen

Der EDÖB pflegt den Abschluss seiner formellen Verfahren jeweils mit einer Medienmitteilung zu begleiten. Im Jahr 2024 waren dies die Sachverhaltsabklärungen gegen die Bundesämter fedpol und BAZG im Verwaltungsbereich sowie gegen die Unternehmen Xplain, Digitec Galaxus und die Auktionsplattform Ricardo im Privatbereich. Sämtliche Verfahren wurden noch nach altem Recht abgeschlossen.

Kurzmeldungen

Sieben Kurzmeldungen betrafen den internationalen Bereich des grenzüberschreitenden Datenschutzes. So hat der EDÖB bspw. beim Meta-Konzern interveniert, der Daten von Nutzerinnen und Nutzern in der Schweiz ohne deren Einwilligung zur Verbesserung seiner KI verwenden wollte. Angesichts der wachsenden Besorgnis über das massive Absaugen von Daten aus Social-Media-Plattformen (sog. Data Scraping), insbesondere zur Unterstützung von KI-Systemen, zeigte der

EDÖB mit sechzehn anderen nationalen Datenschutzbehörden in einer gemeinsamen Abschlusserklärung auf, wie Social-Media-Unternehmen ihre Personendaten besser schützen können.

Information und Sensibilisierung

Nach dem Relaunch seiner Website im Jahr 2023, befasst sich der EDÖB weiterhin mit der Erstellung sachdienlicher Informationen und Hilfsmittel, insbesondere betreffend Neuerungen im Zusammenhang mit dem Inkrafttreten des totalrevidierten Datenschutzgesetzes, aber auch mit Blick auf die fortschreitende Digitalisierung und damit

96

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

einhergehende technologische Phänomene wie bspw. KI. Zu erwähnen sind der Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien, der Leitfaden zur Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, das Merkblatt betreffend die Untersuchung von Verstössen gegen Datenschutzvorschriften durch den EDÖB sowie das Merkblatt über die Planung und Begründung des Online-Zugangs zu Personendaten.

Website

Die Website hat mit der Migration auf eine neue Software nochmals ein Facelifting erhalten und bietet mit ausführlichen FAQs rasche und jederzeit verfügbare Hilfestellung an. Die neuen Kontaktformulare bieten den verschiedenen Anspruchsgruppen eine spezifische und unkomplizierte Möglichkeit, dem EDÖB ihre Anliegen zu unterbreiten. Die Meldeportale werden weiterhin gut genutzt (s. Statistik). Sämtliche Leitfäden und Merkblätter sind in der Rubrik «Dokumentation» zu finden.

Medienarbeit

Der EDÖB hat letztes Jahr rund 200 Medienanfragen beantwortet. Die Berichterstattung über aktuelle Themen mit Bezug zu Datenschutz und Datensicherheit sowie zum Öffentlichkeitsgesetz und Transparenzgebot in der Verwaltung tragen zur Sensibilisierung der Bevölkerung bei und sind ein wichtiger Teil der Kommunikationstätigkeit des EDÖB, auch oder gerade wenn dabei zumal Kontroversen ausgelöst werden. So tritt der Beauftragte denn auch regelmässig mit kritischen Stellungnahmen stellvertretend für die betroffenen Bürgerinnen und Bürger in die Öffentlichkeit.

  1. Tätigkeitsbericht 2024/2025

97

Der EDÖB

3.3 Statistiken

Statistiken über die Tätigkeiten des EDÖB vom 1. April 2024 bis 31. März 2025

Aufwand nach Aufgabengebiet in %

img-18.jpeg

Aufwand nach Sachgebiet in %

img-19.jpeg

98

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Anzahl Geschäftsvorfälle

Schlichtungen184
Ämterkonsultationen274
Beratungen1248
Untersuchungen auf Anzeige1087
Beschwerdeverfahren9
Konferenzen und Veranstaltungen49
Medienanfragen170
Hotline-Anrufe1180
Anfragen Kontaktformular1823
Anfragen per E-Mail914
Eingänge Post604
Total Eingänge von natürlichen Personen3668
Total Standardabsagen584
Prozentsatz Standardabsagen16%

Mehrjahresvergleich Aufwand

(Angaben in Prozent)

img-20.jpeg

  1. Tätigkeitsbericht 2024/2025

99

Der EDÖB

Übersicht der Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar bis 31. Dezember 2024

DepartementAnzahl GesucheZugang vollständig gewährtZugang vollständig verzeigeltZugang teilweise gewährt/aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch nängigkein amtliches Dokument vorhanden
BK123681230184
EDA306137277761544
EDI2921311779192521
EJPD212111203710331
VBS527366239010830
EFD1455428434511
WBF290146253563138
UVEK3241422382202235
BA8320030
PD5121001
Total 2024 (%)22321159 (52)179 (8)474 (21)133 (6)102 (5)185 (8)
Total 2023 (%)1738 (100)830 (48)176 (10)402 (23)73 (4)96 (6)161 (9)
Total 2022 (%)1180 (100)624 (53)99 (8)236 (20)53 (5)69 (6)99 (8)
Total 2021 (%)1385 (100)694 (50)126 (9)324 (23)48 (4)78 (6)115 (8)
Total 2020 (%)1193 (100)610 (51)108 (9)293 (24)35 (3)80 (7)67 (6)
Total 2019 (%)916 (100)542 (59)86 (9)171 (19)38 (4)43 (5)36 (4)
Total 2018 (%)647 (100)355 (55)66 (10)119 (18)24 (4)50 (8)33 (5)
Total 2017 (%)586 (100)325 (56)108 (18)106 (18)21 (4)26 (4)-
Total 2016 (%)554 (100)299 (54)88 (16)105 (19)29 (5)33 (6)-
Total 2015 (%)600 (100)320 (53)99 (17)128 (21)31 (5)22 (4)-
Total 2014 (%)582 (100)302 (52)124 (21)124 (21)15 (3)17 (3)-

100

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Statistiken über Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar bis 31. Dezember 2024

Anzahl gesuchedavon eingereicht in Vor-JahrenZugang vollständig gefährtZugang vollständig verwägertZugang teilweise gefährt/aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch niesigkein amlichen Dokument vorhanden
Bundeskanzlei BKBK940501126124
EDÖB2901814060
Total1230681230184
Eidg. Departement für Auswärtige Angelegenheiten EDAEDA3060137277761544
Total3060137277761544
Eidg. Departement des Inneren EDIGS EDI2201324012
EBG81800000
BAK150922020
BAR21200000
METEO CH30300000
NB00000000
BAG850214414132
BFS40400000
BSV3202106104
BLV4202328333
SNM00000000
swissmedic708255181138
Suva70220012
compenswiss20000020
Total292101311779192521
Eidg. Justiz- und Polizeidepartement EJPDGS EJPD3411906108
BJ542251042013
fedpol35091011023
METAS20200000
SEM61039012604
Dienst ÜPF20101000
SIR40300001
IGE40400000
ESBK60400110
ESchK20200000
RAB50203000
ISC-EJPD30100002
NKVF00000000
Total2123111203710331
  1. Tätigkeitsbericht 2024/2025

101

Der EDÖB

Anzahl Gesuchedavon eingereicht in VorgärtenZugang vollständig gewährtZugang vollständig verweigertZugang teilweise gewährt/erfgeschobenZugangsgesuch zurückgezogenZugangsgesuch mangigkein amliches Dokument vorhanden
Eidg. Departement für Verteidigung, Bevölkerungsschutz und Sport VBSGS VBS875197395512
Verteidigung3809019307
NDB1602110003
AB-ND121272100
armasuisse181249120
BASPO317031120013
BABS80404000
swisstopo40300001
OA20200000
SEPOS2301127003
BACS20100001
Total5277366239010830
Eidg. Finanz- departement EFDGS EFD271968103
EFV110622010
EPA50401000
ESTV200738011
BAZG3258910032
BBL120741000
BIT40201001
EFK180843201
SIF110107003
PUBLICA40102100
ZAS10100000
Total14565428434511

102

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Anzahl gesuchedavon eingereicht in VorfahrenZugang vollständig gewährtZugang vollständig verreigertZugang teilweise gewährt/aufgeschobenZugangsgesch. fürückgezogenZugangsgesch. häufigkein amlichen Dokument vorhanden
Eidg. Departement für Wirtschaft, Bildung und Forschung WBFGS WBF200624242
SECO511161016810
SBFI110621002
BLW2221223203
Agroscope30200010
BWL00000000
BWO40400000
PUE80314000
WEKO160913021
ZIVI30300000
BFK10100000
SNF41121000
EHB00000000
ETH Bereich143081525050
InnoSuisse40201100
Total2904146253563138
Eidg. Departement für Umwelt, Verkehr, Energie und Kommunikation UVEKGS UVEK31113230112
BAV190905122
BAZL2621046303
BFE191906220
ASTRA2702302101
BAKOM3427211536
BAFU144558144381110
ARE90810000
ComCom20101000
ENSI73203020
ESTI10000010
PostCom32102000
UBI00000000
ERI00000000
SUST20100001
Total324161422382202235
  1. Tätigkeitsbericht 2024/2025

103

Der EDÖB

Anzahl Gesuchedavon eingereicht in Vor-JahrenZugang vollständig gewährtZugang vollständig verweigertZugang teilweise gewährt/aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch rangigkein welliches Dokument vorhanden
Bundesanwaltschaft BABA80320030
Total80320030
Parlamentsdienste PDPD50121001
Total50121001
Gesamttotal2232461159179474133102185

Anzahl Schlichtungsgesuche nach Kategorien der Antragstellenden

Kategorie Antragsteller20242023202220212020201920182017
Medien6174475331342421
Privatpersonen (bzw. keine genaue Zuordnung möglich)6631374942402635
Interessenvertreter (Verbände, Organisationen, Vereine usw.)16891657914
Rechtsanwälte451627127542
Unternehmen143919747137
Universitäten00001000
Total202132129149931337679

104

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

**Zugangsgesuche der gesamten Bundesverwaltung

vom 1. Januar bis 31. Dezember 2024**

img-21.jpeg

img-22.jpeg

  1. Tätigkeitsbericht 2024/2025

105

Der EDÖB

3.4 Organisation EDÖB (Stand 31. März 2025)

Organigramm

img-23.jpeg

106

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Mitarbeiter und Mitarbeiterinnen des EDÖB

Anzahl Mitarbeitende44
FTE37.2
nach GeschlechtFrauen2250 %
Männer2250 %
nach Beschäftigungsgrad1-89 %2965.91 %
90-100 %1534.09 %
nach SpracheDeutsch3170.45 %
Französisch1227.27 %
Italienisch12.27 %
nach Alter20-49 Jahre2556.82 %
50-65 Jahre1943.18 %
KaderpositionenFrauen555.56 %
Männer444.44 %
Total9
  1. Tätigkeitsbericht 2024/2025

107

Abkürzungsverzeichnis

Abkürzungsverzeichnis

AHVG Bundesgesetz über die Alters- und Hinterlassenenversicherung

BACS Bundesamt für Cybersicherheit

BAZG Bundesamt für Zoll und Grenzsicherheit

BGÖ Bundesgesetz über das Öffentlichkeitsprinzip der Verwaltung (Öffentlichkeitsgesetz)

BPG Bundespersonalgesetz

CDEP Ausschuss für die Politik der digitalen Wirtschaft der OECD

DataReg Register der Datensammlungen

DSFA Datenschutz-Folgenabschätzung

DSG Bundesgesetz über den Datenschutz (Datenschutzgesetz)

DSGVO EU-Datenschutzgrundverordnung

DSV Verordnung über den Datenschutz (Datenschutzverordnung)

DVS Digitale Verwaltung Schweiz

DTI Bereich Digitale Transformation und IKT-Lenkung der Bundeskanzlei

EDÖB Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

EDSA Europäischer Datenschutzausschuss

EDSB Europäischer Datenschutzbeauftragter

E-ID Elektronische Identität

EPD Elektronisches Patientendossier

EPDG Bundesgesetz über das elektronische Patientendossier

Fedpol Bundesamt für Polizei

FPG Flugpassagierdatengesetz

FKG Finanzkontrollgesetz

GPA Internationale Konferenz der Datenschutzbeauftragten

IKT Informations- und Kommunikationstechnologien

ISG Bundesgesetz über die Informationssicherheit

KI Künstliche Intelligenz

LFG Luftfahrtgesetz

NDB Nachrichtendienst des Bundes

NDG Nachrichtendienstgesetz

PNR Flugpassagierdaten (Passenger Name Records)

POLAP Polizeiliche Abfrageplattform

Privatim Konferenz der Schweizer Datenschutzbeauftragten (kantonale Datenschutzbehörden)

SIS II Schengener Informationssystem der zweiten Generation

TB Tätigkeitsbericht des EDÖB

TJPG Gesetz über die Transparenz juristischer Personen

VBGÖ Verordnung über das Öffentlichkeitsprinzip in der Verwaltung

VIS Visa-Informationssystem

108

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Abbildungsverzeichnis

Abbildungsverzeichnis

GrafikenTabellenTabelle 9: Aufsichtstätigkeiten
Grafik 1: Beurteilung Zugangsgesuche – Entwicklung seit 2011Tabelle 1: Einvernehmliche LösungenTabelle 10: Meldung von Datensicherheitsverletzungen
Grafik 2: Erhobene Gebühren seit Inkrafttreten des BGÖTabelle 2: Bearbeitungsdauer SchlichtungsverfahrenTabelle 11: Ämterkonsultationen
Grafik 3: Schlichtungsanträge seit Inkrafttreten des BGÖTabelle 3: Hängige SchlichtungsverfahrenTabelle 12: Für BGÖ-Belange einsetzbare Stellen
Tabelle 4: Spezialbestimmungen nach Art. 4 BGÖ
Tabelle 5: KEINE Spezialbestimmungen nach Art. 4 BGÖ
Tabelle 6: Für DSG-Belange einsetzbare Stellen
Tabelle 7: Leistungen Datenschutz
Tabelle 8: Wirkungsziele des EDÖB im Datenschutz
Tabelle 9: Aufsichtstätigkeiten
Tabelle 10: Meldung von Datensicherheitsverletzungen
Tabelle 11: Ämterkonsultationen
Tabelle 12: Für BGÖ-Belange einsetzbare Stellen
  1. Tätigkeitsbericht 2024/2025

109

Impressum

Dieser Bericht ist in vier Sprachen vorhanden und über das Internet (www.derbeauftragte.ch) aufrufbar.

Vertrieb: BBL, Verkauf Bundespublikationen, CH-3003 Bern

www.bundespublikationen.admin.ch

Art.-Nr. 410.032.D

Layout: Ast & Fischer AG, Wabern

Fotografie: Monika Flückiger

Schriften: Pressura, Documenta

Druck: Ast & Fischer AG, Wabern

Papier: PlanoArt®, holzfrei hochweiss

img-24.jpeg

Kennzahlen

Leistungen Datenschutz

55.1%

Beratung

20.3%

Aufsicht

15.1%

Information

9.5%

Gesetzgebung

Aufsicht

108

Niederschwellige Interventionen

19

Vorabklärungen

9

Untersuchungen nach Art. 49 DSG

2

vor BVGer hängig

Zugangsgesuche beim EDÖB

18

gewährt

4

teilweise gewährt/ aufgeschoben

1

verweigert

0

Rückzug

6

hängig

0

kein amtliches Dokument vorhanden

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Feldeggweg 1 CH-3003 Bern

E-Mail: info@edoeb.admin.ch

Website: www.derbeauftragte.ch

@EDÖB – PFPDT – IFPDT

Telefon: +41 (0)58 462 43 95 (Mo–Fr, 10–11:30 Uhr)

Telefax: +41 (0)58 465 99 96

Poursuivez vos recherches dans ChatGPT ou Claude

Connectez Omnilex pour rechercher dans le corpus juridique depuis votre assistant IA.