Kameras, Radarsensoren und KI können Stürze erkennen und Pflegepersonal alarmieren. Doch wo technische Assistenz in Schlafzimmern, Patientenzimmern oder anderen privaten Bereichen eingesetzt wird, steht besonders viel auf dem Spiel. EDÖB und privatim zeigen in einem neuen Leitfaden, welche Grenzen das Datenschutzrecht setzt. Für Spitäler und Pflegeeinrichtungen bedeutet dies vor allem: Überwachung darf kein Standardinstrument werden – und Datenschutz muss bereits beim Einkauf der Technologie beginnen.
Neue Leitlinien für digitale Überwachung in Spitälern und Pflegeheimen
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) und privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, haben am 16. September 2026 ein gemeinsames Merkblatt zur Überwachung von betreuten Personen veröffentlicht. Anlass ist die zunehmende Verbreitung digitaler Assistenz- und Überwachungssysteme in Spitälern, Pflegeheimen und vergleichbaren Einrichtungen. Neben klassischen Kameras kommen dabei zunehmend Infrarotsensoren, Radar und teilweise künstliche Intelligenz zum Einsatz.
Die Technologie verspricht praktische Vorteile. Systeme können beispielsweise erkennen, ob eine Person gestürzt ist, und automatisch das Pflegepersonal alarmieren. Datenschutzrechtlich macht es allerdings einen erheblichen Unterschied, ob permanent hochauflösende Bilder auf einen Monitor übertragen werden oder ein lokales System lediglich einen Sturz erkennt und anschliessend ein Warnsignal oder ein abstrahiertes Piktogramm übermittelt. Genau an diesem Unterschied setzt der neue Leitfaden an.
Aus unserer Sicht setzt der Leitfaden damit an der richtigen Stelle an. Die entscheidende Frage ist nicht, ob digitale Überwachung in Pflegeeinrichtungen grundsätzlich zulässig oder unzulässig ist, sondern wie viel Überwachung zur Erreichung eines legitimen Betreuungszwecks tatsächlich erforderlich ist. Gerade angesichts des zunehmenden Einsatzes intelligenter Assistenzsysteme ist dieser technologieneutrale Ansatz zu begrüssen.
Das Schlafzimmer ist kein gewöhnlicher Überwachungsraum
EDÖB und privatim qualifizieren die Überwachung betreuter Personen als besonders intensive Datenbearbeitung. Pflegebedürftige Personen befinden sich häufig in einer vulnerablen Situation. Bei längerfristigen Aufenthalten kann das überwachte Zimmer zudem faktisch das private Zuhause der betroffenen Person darstellen. Die Überwachung greift damit nicht bloss in irgendeinen Aufenthaltsbereich, sondern möglicherweise in die Privat- oder sogar Intimsphäre ein.
Das hat praktische Konsequenzen: Was technisch möglich oder organisatorisch bequem ist, ist noch lange nicht datenschutzrechtlich zulässig. Insbesondere reicht nach dem Leitfaden ein rein logistisches oder organisatorisches Interesse grundsätzlich nicht aus. Eine Überwachung soll in erster Linie dem Wohl der betreuten Person dienen. Ein System allein deshalb einzusetzen, um beispielsweise festzustellen, ob ein Bett gemacht oder eine Mahlzeit beendet wurde, genügt diesen Anforderungen nicht. Zudem darf Überwachung nicht pauschal für sämtliche Bewohnerinnen und Bewohner eingeführt werden. Die konkrete Situation der jeweiligen Person ist zu berücksichtigen.
Diese individualisierte Betrachtung ist datenschutzrechtlich konsequent, dürfte Einrichtungen in der Praxis aber vor erhebliche Herausforderungen stellen. Standardisierte technische Lösungen lassen sich leichter betreiben als ein System, dessen Einsatz für jede betreute Person gesondert geprüft und gegebenenfalls unterschiedlich konfiguriert werden muss. Gerade hier zeigt sich ein grundlegendes Spannungsverhältnis: Je stärker eine Einrichtung Überwachungsmassnahmen standardisiert, desto effizienter ist deren Betrieb – desto grösser wird aber zugleich das Risiko, dass die konkreten Bedürfnisse und Persönlichkeitsrechte der einzelnen Person aus dem Blick geraten.
Öffentlich oder privat? Zuerst ist das anwendbare Recht zu klären
Bei der rechtlichen Beurteilung muss zunächst unterschieden werden, wer die Einrichtung betreibt und in welchem Rahmen sie tätig wird.
Öffentliche Einrichtungen unterstehen grundsätzlich dem jeweiligen kantonalen Datenschutzrecht und dem Legalitätsprinzip. Für die Datenbearbeitung ist daher eine hinreichende gesetzliche Grundlage erforderlich. Nach dem Leitfaden kann beispielsweise eine Überwachung im Rahmen eines Behandlungsplans unter Umständen auf den gesetzlichen Pflegeauftrag gestützt werden. Eine Einwilligung der betroffenen Person kann eine erforderliche gesetzliche Grundlage jedoch nicht ersetzen.
Private Einrichtungen unterliegen dem Bundesgesetz über den Datenschutz (DSG). Entscheidend sind dort insbesondere die Bearbeitungsgrundsätze sowie die Vorgaben zum Schutz vor widerrechtlichen Persönlichkeitsverletzungen. Zu beachten ist zudem eine wichtige Differenzierung des Leitfadens: Nicht allein die Rechtsform entscheidet. Auch eine privatrechtlich organisierte Klinik kann für bestimmte Tätigkeiten als öffentliche Einrichtung behandelt werden, soweit sie einen entsprechenden kantonalen Auftrag erfüllt.
Für Betreiber bedeutet dies: Die Frage nach dem anwendbaren Datenschutzrecht gehört an den Anfang jedes Überwachungsprojekts und nicht ans Ende der technischen Beschaffung. Aus praktischer Sicht ist allerdings wenig befriedigend, dass vergleichbare Überwachungssysteme je nach Trägerschaft und kantonalem Leistungsauftrag unterschiedlichen datenschutzrechtlichen Regelwerken unterstehen können. Für Hersteller, Betreiber von mehreren Einrichtungen und schweizweit tätige Unternehmensgruppen erschwert dies die Entwicklung einheitlicher Compliance-Standards. Umso wichtiger ist es, die rechtliche Einordnung nicht schematisch anhand der Rechtsform vorzunehmen.
Einwilligung ist kein datenschutzrechtlicher Freipass
Besonders praxisrelevant sind die Ausführungen zur Einwilligung. EDÖB und privatim halten es zwar für wünschenswert, eine Einwilligung einzuholen, wenn dies möglich ist. Sie warnen aber davor, sie als universelle Rechtsgrundlage für Überwachungsmassnahmen zu verstehen.
Gerade in einem Pflegeverhältnis stellt sich die Frage, wie freiwillig eine Einwilligung tatsächlich erfolgt. Bewohnerinnen und Bewohner können sich aufgrund ihrer Abhängigkeit von der Einrichtung unter Druck gesetzt fühlen. Auch ein fehlender Widerspruch bedeutet deshalb nicht automatisch, dass die Überwachung rechtmässig ist. Bei urteilsunfähigen Personen stellen sich zusätzliche Schwierigkeiten.
Für private Einrichtungen rückt damit insbesondere die Frage in den Mittelpunkt, ob ein überwiegendes Interesse besteht. Das vorrangige Ziel eines Überwachungssystems soll nach Auffassung von EDÖB und privatim in einer Verbesserung der Betreuung liegen.
Die Zurückhaltung gegenüber der Einwilligung überzeugt. Gerade im Pflegeverhältnis besteht die Gefahr, dass eine formal erklärte Zustimmung mehr Rechtssicherheit suggeriert, als sie tatsächlich schafft. Eine Unterschrift sollte deshalb unseres Erachtens nicht dazu verleiten, die vorgelagerte Prüfung von Zweck, Erforderlichkeit und Verhältnismässigkeit abzukürzen. Entscheidend bleibt, ob die konkrete Überwachungsmassnahme sachlich gerechtfertigt und möglichst wenig eingriffsintensiv ausgestaltet ist.
Datenschutz durch Technik: Ein Alarm kann besser sein als ein Videostream
Der neue Leitfaden ist zugleich ein Plädoyer für Privacy by Design.
Für die Sturzerkennung muss das Pflegepersonal beispielsweise nicht zwingend ein Livebild aus dem Zimmer sehen. Ein System kann Bild- oder Sensordaten lokal verarbeiten und lediglich dann ein Signal oder ein abstrahiertes Piktogramm übermitteln, wenn tatsächlich ein bestimmtes Ereignis erkannt wird. Solange nichts geschieht, verlassen keine entsprechenden Informationen den überwachten Bereich.
EDÖB und privatim bevorzugen daher grundsätzlich indirekte und situative Systeme gegenüber permanenter Echtzeitüberwachung. Funktionen wie Tonaufzeichnung, Zoom oder besonders hohe Bildauflösung sollen deaktiviert werden, wenn sie für den vorgesehenen Zweck nicht erforderlich sind. Eine längerfristige Speicherung von Roh- oder Ergebnisdaten ist im typischen Pflegekontext nach dem Merkblatt grundsätzlich ebenfalls nicht gerechtfertigt, wenn sie über die technisch notwendige Bearbeitungsdauer hinausgeht und kein konkreter legitimer Zweck besteht.
Damit wird die Auswahl des Produkts selbst zur datenschutzrechtlichen Entscheidung. Darin liegt unseres Erachtens eine der wichtigsten Botschaften des Leitfadens. Datenschutz lässt sich bei solchen Systemen nur begrenzt nachträglich durch Reglemente oder Einwilligungserklärungen «reparieren». Wenn ein Produkt technisch nur einen permanenten Videostream, unnötig hohe Auflösungen oder eine dauerhafte Cloud-Speicherung vorsieht, sind die datenschutzrechtlichen Handlungsspielräume bereits bei der Beschaffung erheblich eingeschränkt. Die datenschutzfreundlichste Entscheidung fällt daher häufig nicht bei der späteren Nutzung, sondern bereits bei der Wahl des Systems.
KI und Cloud: Komfort schafft zusätzliche Risiken
Besondere Aufmerksamkeit widmet der Leitfaden KI-basierten Systemen. KI kann datenschutzfreundlich eingesetzt werden, wenn sie beispielsweise ein Kamerabild lokal analysiert und lediglich einen Alarm weitergibt. Gleichzeitig entstehen neue Risiken.
Nach Auffassung von EDÖB und privatim sollte die KI-Verarbeitung möglichst lokal erfolgen. Cloud-Lösungen werden kritisch beurteilt, weil zusätzliche Zugriffs- und Sicherheitsrisiken entstehen können. Auch eine spätere Verwendung der erfassten Daten zum Training von KI-Modellen ist nicht automatisch vom ursprünglichen Pflegezweck gedeckt. Der Leitfaden verweist unter anderem auf Risiken der Weitergabe, Speicherung und Reidentifizierung und stellt die Erforderlichkeit eines solchen Trainings für die konkrete Betreuung infrage.
Wer ein KI-basiertes Pflegeprodukt einkauft, sollte deshalb genau klären, wo die Rohdaten verarbeitet werden, ob Anbieter auf sie zugreifen können, ob Daten gespeichert werden und ob sie für das Training weiterer Modelle verwendet werden dürfen.
Positiv ist dabei, dass der Leitfaden KI nicht pauschal als zusätzliches Datenschutzrisiko versteht. Richtig eingesetzt kann gerade die automatisierte Auswertung dazu beitragen, weniger personenbezogene Informationen an Menschen weiterzugeben. Ein System, das lokal einen Sturz erkennt und nur einen Alarm auslöst, kann die Privatsphäre erheblich besser schützen als eine dauerhafte visuelle Überwachung. KI und Datenschutz sind deshalb auch in diesem sensiblen Bereich nicht zwingend Gegensätze – entscheidend ist die konkrete technische Architektur.
Datenschutz-Folgenabschätzung frühzeitig planen
Bei besonders risikoreichen Bearbeitungen kann zudem eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein. Für private Verantwortliche ergibt sich diese Pflicht aus Art. 22 DSG, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann. Der EDÖB nennt unter anderem die umfangreiche Bearbeitung besonders schützenswerter Personendaten als möglichen Risikoindikator.
Eine DSFA soll Zweck und Ablauf der Datenbearbeitung, die Bearbeitungsorte, die Risiken sowie die vorgesehenen Schutzmassnahmen dokumentieren. Bleibt bei einer dem DSG unterstehenden Bearbeitung trotz der vorgesehenen Massnahmen ein hohes Restrisiko bestehen, sieht Art. 23 DSG grundsätzlich eine Vorabkonsultation des EDÖB vor; für öffentliche Einrichtungen richten sich entsprechende Pflichten nach dem jeweiligen kantonalen Recht.
Eine DSFA sollte dabei nicht zur blossen Dokumentationsübung verkommen. Ihr praktischer Nutzen liegt gerade darin, dass sie Verantwortliche zwingt, frühzeitig zu hinterfragen, ob die vorgesehene Technologie überhaupt erforderlich ist und ob datenschutzfreundlichere Alternativen bestehen. Wird sie erst kurz vor dem Go-live erstellt, nachdem Produkt, Anbieter und technische Architektur bereits feststehen, kann sie diese Funktion kaum noch erfüllen.
Was Einrichtungen jetzt konkret tun sollten
Für Spitäler, Pflegeheime und andere Betreuungseinrichtungen lässt sich aus dem neuen Leitfaden ein klarer Projektablauf ableiten:
- Bedarf und konkreten Zweck definieren: Welches konkrete Risiko soll durch die Überwachung reduziert werden?
- Anwendbares Recht klären: Handelt die Einrichtung privat oder im Rahmen eines öffentlichen Auftrags?
- Mildere Alternativen prüfen: Ist beispielsweise ein einfacher Sturzsensor ausreichend?
- Datenminimierung technisch umsetzen: Ereignisbasierte Alarme und Piktogramme sind einer permanenten Bildübertragung vorzuziehen, sofern sie den Zweck gleichwertig erfüllen.
- Hersteller und Dienstleister prüfen: Zugriffsrechte, Rohdaten, Speicherorte, Cloud-Komponenten, Updates und eine mögliche KI-Trainingsnutzung gehören in die Prüfung.
- DSFA und Dokumentation vorbereiten: Alternativen, Risiken, Konfigurationen und Entscheidungen sollten bereits während der Beschaffung nachvollziehbar dokumentiert werden.
- Reglemente und Schulungen schaffen: Wer darf das System wann aktivieren? Wer erhält Zugriff? Wann wird es deaktiviert? Wie werden Betroffene, Besucher und Mitarbeitende informiert?
- System regelmässig neu bewerten: Eine einmalige Prüfung vor dem Einkauf genügt nicht. EDÖB und privatim verlangen eine fortlaufende Überprüfung der Datenschutzkonformität.
Fazit: Datenschutz entscheidet sich schon beim Produkteinkauf
Der neue Leitfaden macht deutlich, dass digitale Assistenz in der Pflege nicht per se im Widerspruch zum Datenschutz steht. Im Gegenteil können automatisierte und ereignisbasierte Systeme sogar datenschutzfreundlicher ausgestaltet sein als eine permanente menschliche oder kamerabasierte Beobachtung. Der Leitfaden ist deshalb aus unserer Sicht weniger als Warnung vor neuer Technologie denn als Aufforderung zu deren sorgfältiger Gestaltung zu verstehen. Dies ist zu begrüssen: Ein pauschales Verbot digitaler Assistenzsysteme würde weder den Möglichkeiten moderner Pflege noch den Interessen der betreuten Personen gerecht. Gleichzeitig setzt der Leitfaden zu Recht dort enge Grenzen, wo Überwachung aus Gründen der Bequemlichkeit, Effizienz oder blossen organisatorischen Kontrolle eingesetzt werden soll.
Entscheidend ist jedoch, dass Einrichtungen nicht vom verfügbaren Produkt ausgehen, sondern vom konkreten Betreuungszweck. Erst danach ist zu entscheiden, welche Daten hierfür tatsächlich benötigt werden.
Für Verantwortliche verschiebt sich die Datenschutzprüfung damit weit nach vorne: Zweckdefinition, Rechtsgrundlage, Technologiewahl, Datenminimierung, DSFA, Lieferantenprüfung und technische Konfiguration müssen bereits Bestandteil des Beschaffungsprojekts sein. Besonders bei KI- und Cloud-Lösungen genügt es nicht, sich auf Produktversprechen des Herstellers zu verlassen. EDÖB und privatim verlangen ausdrücklich, technische Informationen einzuholen und Risiken nachvollziehbar zu dokumentieren.
Wer neue Überwachungstechnologie im Pflegebereich plant, sollte den Datenschutz daher nicht als letzte Compliance-Hürde vor dem Go-live verstehen – sondern als Anforderung an das Systemdesign selbst. Gerade darin liegt auch eine Chance: Wer Datenschutz von Beginn an in die Beschaffung und Gestaltung solcher Systeme integriert, muss Innovation und Persönlichkeitsschutz nicht gegeneinander ausspielen.