Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat seinen 33. Tätigkeitsbericht veröffentlicht und setzt damit wichtige Signale für die zukünftige Datenschutzpraxis in der Schweiz. Der Bericht zeigt, welche Themen die Aufsichtsbehörde aktuell beschäftigen und in welchen Bereichen Unternehmen künftig mit einer verstärkten datenschutzrechtlichen Prüfung rechnen müssen. Besonders im Fokus stehen Künstliche Intelligenz, internationale Datenbearbeitungen sowie die praktische Umsetzung des revidierten Datenschutzgesetzes. Unternehmen sollten den Tätigkeitsbericht daher nicht nur als Rückblick verstehen, sondern als Orientierungshilfe für ihre Datenschutz-Compliance.
Der EDÖB tritt als Aufsichtsbehörde zunehmend entschlossener auf
Der 33. Tätigkeitsbericht des EDÖB zeigt deutlich, dass sich die Datenschutzaufsicht in der Schweiz weiterentwickelt. Während der Fokus in den vergangenen Jahren häufig auf der Einführung des revidierten Datenschutzgesetzes (DSG) lag, rückt nun dessen praktische Durchsetzung in den Vordergrund. Der Bericht dokumentiert zahlreiche Untersuchungen, Vorabklärungen und Interventionen und vermittelt damit ein klares Bild der aktuellen Prioritäten des EDÖB.
Für Unternehmen ist der Tätigkeitsbericht deshalb weit mehr als eine Rückschau. Er gibt Aufschluss darüber, welche Themen künftig verstärkt in den Fokus der Aufsicht rücken dürften und wie der EDÖB die neuen Instrumente des revidierten DSG anwenden will.
Konsequenteres Vorgehen bei Untersuchungen
Eine der auffälligsten Entwicklungen betrifft die Aufsichtspraxis des EDÖB. Der Bericht zeigt, dass die Behörde ihre Untersuchungsbefugnisse zunehmend aktiv nutzt. Besonders bemerkenswert ist ein Verfahren gegen ein Schweizer Unternehmen im Bereich Marketing und Adresshandel, das auf wiederholte Anfragen des EDÖB nicht reagierte. Der Beauftragte beschränkte sich nicht auf weitere Mahnungen, sondern verfügte die Mitwirkung formell an nach Art. 50 DSG. und reichte zusätzlich nach Art. 65 DSG. Strafanzeige wegen Verletzung der Mitwirkungspflicht ein.
Damit macht der EDÖB deutlich, dass Unternehmen behördliche Mitwirkungspflichten ernst nehmen müssen. Das revidierte Datenschutzgesetz verleiht der Aufsichtsbehörde wirksame Instrumente, deren Einsatz im Tätigkeitsbericht erstmals deutlich sichtbar wird.
Biometrische Überwachung bleibt unter strenger Beobachtung
Ein weiterer Schwerpunkt betrifft biometrische Systeme. Gleich mehrere Beispiele verdeutlichen, dass der EDÖB hohe Anforderungen an den Einsatz von Gesichtserkennung und Bodycams stellt. Der Grund liegt darin, dass dabei regelmässig biometrische Daten bearbeitet werden, die nach Art. 5 lit. c Ziff. 4 DSG zu den besonders schützenswerten Personendaten zählen.
So verzichtete die Flughafen Zürich AG nach Intervention des EDÖB vorerst auf ein Pilotprojekt zur Gesichtserkennung bei der Bordkartenkontrolle, weil es an einer ausreichenden gesetzlichen Grundlage fehlte. Gleichzeitig eröffnete der EDÖB eine Untersuchung gegen die BLT Baselland Transport AG wegen des Einsatzes von Bodycams im Zugbegleitdienst.
Beide Fälle zeigen, dass bei besonders eingriffsintensiven Technologien nicht allein technische Sicherheitsmassnahmen genügen. Entscheidend bleibt, ob eine ausreichende gesetzliche Grundlage besteht und die Bearbeitung verhältnismässig ausgestaltet ist.
Datenschutzberater sollen früher eingebunden werden
Der Tätigkeitsbericht enthält zudem eine deutliche Botschaft zur Rolle der Datenschutzberaterinnen und Datenschutzberater (Data Protection Officers, DPO). Der EDÖB stellt fest, dass Datenschutzverantwortliche in der Praxis häufig erst spät in Projekte einbezogen werden. Aus seiner Sicht widerspricht dies dem Grundsatz des «Privacy by Design».
Datenschutz soll nicht erst geprüft werden, wenn ein Projekt bereits umgesetzt ist. Vielmehr erwartet der EDÖB, dass Datenschutzberater frühzeitig in Entwicklungs- und Entscheidungsprozesse eingebunden werden. Gerade bei digitalen Transformationsprojekten oder beim Einsatz von Künstlicher Intelligenz dürfte diese Erwartung künftig an Bedeutung gewinnen.
Internationale Unternehmen geraten verstärkt in den Fokus
Auch die internationale Durchsetzung des Datenschutzrechts bleibt ein Schwerpunkt. Der EDÖB überprüfte erneut, ob ausländische Unternehmen ihrer Pflicht nachkommen nach Art. 14 DSG., eine Datenschutzvertretung in der Schweiz zu benennen. Im Berichtsjahr kamen unter anderem TikTok und Tinder dieser Verpflichtung nach.
Damit verdeutlicht der EDÖB, dass die Anforderungen des Schweizer Datenschutzrechts auch gegenüber ausländischen Unternehmen konsequent durchgesetzt werden sollen, sofern diese Personendaten von Personen in der Schweiz bearbeiten.
Datenschutz-Folgenabschätzungen gewinnen weiter an Bedeutung
Ein weiterer Schwerpunkt betrifft Datenschutz-Folgenabschätzungen (DSFA). Der EDÖB betont, dass bereits bei neuen Gesetzesvorhaben systematisch geprüft werden müsse, ob eine DSFA erforderlich ist. Dabei hebt er hervor, dass Risiken möglichst früh erkannt werden sollen, um Datenschutz bereits in der Planungsphase neuer Datenbearbeitungen zu berücksichtigen.
Auch wenn sich diese Ausführungen unmittelbar an Bundesorgane richten, lassen sich daraus wichtige Rückschlüsse für Unternehmen ziehen. Insbesondere bei KI-Anwendungen oder umfangreichen Datenbearbeitungen dürfte die Erwartung steigen, Datenschutzrisiken frühzeitig zu dokumentieren und geeignete Schutzmassnahmen nachzuweisen.
Fazit
Der 33. Tätigkeitsbericht zeigt vor allem eines: Der EDÖB entwickelt sich zunehmend von einer beratenden Stelle zu einer aktiv handelnden Aufsichtsbehörde. Im Mittelpunkt stehen weniger neue gesetzliche Vorgaben als vielmehr deren konsequente Durchsetzung. Besonders die Themen biometrische Daten, internationale Datenbearbeitungen, Datenschutzorganisation und Mitwirkungspflichten dürften Unternehmen auch in den kommenden Jahren begleiten.
Für die Praxis empfiehlt es sich deshalb, den Tätigkeitsbericht nicht lediglich als Jahresrückblick zu lesen. Er bietet vielmehr wertvolle Hinweise darauf, welche datenschutzrechtlichen Fragestellungen der EDÖB künftig besonders aufmerksam beobachten und aufsichtsrechtlich begleiten wird.