Patientendaten stehen im Spannungsfeld zwischen ärztlichem Behandlungsauftrag und Datenschutzrecht. Ärztinnen, Therapeuten und weitere Gesundheitsfachpersonen müssen sensible Gesundheitsdaten bearbeiten, um ihre Aufgaben zu erfüllen – zugleich sind sie verpflichtet, die Privatsphäre und den Persönlichkeitsschutz der Patientinnen und Patienten zu wahren.

Dieses Spannungsverhältnis zeigt sich besonders bei der Erhebung, Weitergabe und Speicherung von Daten im Praxisalltag – etwa in Patientenformularen zur Anmeldung, Einwilligung oder zur Dokumentation der Behandlung. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat hierzu ein neues Merkblatt zu Patientenformularen für ärztliche und therapeutische Konsultationen1 veröffentlicht. Es konkretisiert, wie Informationspflichten, Einwilligungen und Datensicherheit im Behandlungsumfeld rechtskonform umgesetzt werden können.

Mit der Veröffentlichung will der EDÖB Leistungserbringer wie Ärztinnen und Ärzte, Therapeutinnen und Therapeut, Praxen und Gesundheitszentren für die Anforderungen des revidierten DSG sensibilisieren und bestehende Formularvorlagen in Einklang mit dem Datenschutz zu bringen.

Informationspflicht und Einwilligung – zwei getrennte Pflichten

Das Merkblatt stellt klar: Wer Gesundheitsdaten bearbeitet, hat eine umfassende Informationspflicht – unabhängig davon, ob eine Einwilligung eingeholt wird. Gesundheitsfachpersonen müssen Patientinnen und Patienten transparent über die Datenbearbeitung informieren: Zweck, Rechtsgrundlage, Empfänger und Aufbewahrungsdauer müssen verständlich offengelegt werden (Art. 19 DSG).

Die Einwilligung kommt ergänzend ins Spiel, wenn keine andere Rechtsgrundlage vorliegt oder besonders heikle Bearbeitungen erfolgen, etwa bei Datenweitergaben an Dritte oder für Forschungszwecke. Dabei gilt: Eine gültige Einwilligung muss freiwillig, informiert, spezifisch und jederzeit widerrufbar sein. Pauschale oder vorausgefüllte Zustimmungserklärungen – etwa eine vorgängige Bekanntgabe des Patientendossiers oder bestimmter Elemente davon an Dritte – sind unzulässig.

Das Merkblatt mahnt Leistungserbringer, ihre Formulare kritisch zu prüfen: Informations- und Einwilligungsteile müssen klar getrennt und verständlich formuliert sein. Wer dies beachtet, reduziert das Risiko von Datenschutzverstössen und schafft zugleich Vertrauen im Patientenkontakt.

Elektronischer Datenaustausch – Sicherheit geht vor Bequemlichkeit

Ein weiterer Schwerpunkt liegt auf dem sicheren Umgang mit Patientendaten in der digitalen Kommunikation. Das Merkblatt warnt ausdrücklich vor der ungesicherten Übermittlung sensibler Daten – insbesondere per E-Mail oder Online-Formular ohne Verschlüsselung.

Eine elektronische Datenübertragung darf nur erfolgen, wenn sie angemessen gesichert ist. Nur in Ausnahmefällen – und nach ausdrücklicher, informierter Einwilligung der betroffenen Person – kann eine weniger sichere Übermittlung gerechtfertigt sein. In solchen Fällen muss die Patientin oder der Patient die Risiken kennen und eine echte Wahl haben (z. B. zwischen sicherem Portal und herkömmlicher E-Mail).

Gerade in zunehmend digitalisierten Praxen ist die Umsetzung technischer und organisatorischer Sicherheitsmassnahmen entscheidend. Wer Patientendaten über unsichere Kanäle übermittelt, riskiert nicht nur datenschutzrechtliche Beanstandungen, sondern auch Haftungsfolgen.

Datensparsamkeit und Zweckbindung – weniger ist mehr

Der EDÖB erinnert daran, dass im Gesundheitsbereich nur jene Daten erhoben werden dürfen, die für die Behandlung oder Verwaltung zwingend notwendig sind. Das Prinzip der Verhältnismässigkeit verlangt, dass Patientendaten zweckgebunden, korrekt und so sparsam wie möglich erhoben werden.

Formulare, die übermässige Angaben abfragen – etwa Beruf, Nationalität oder Zivilstand ohne medizinischen Zusammenhang – sind unzulässig. Jede erhobene Information muss einem klaren Zweck dienen und medizinisch oder administrativ erforderlich sein.

Ärztinnen und Therapeuten dürfte dieser Hinweis auf den Grundsatz der Verhältnismässigkeit etwas aufstossen. In der Praxis ist dies schwierig umzusetzen ohne enormen Zusatzaufwand. Diese Anforderungen zielen jedoch nicht auf Bürokratie ab, sondern auf Vertrauen: Eine schlanke, zweckmässige Datenerfassung schützt sowohl die Patient:innen als auch die Praxen vor unnötigen Datenschutzrisiken.

Bedeutung & praktische Empfehlungen für Gesundheitsdienstleister

Das neue Merkblatt ist ein Weckruf für alle Gesundheitsakteure – von Einzelpraxen bis zu Therapiezentren. Wer Patientendaten verarbeitet, sollte jetzt prüfen:

      • Sind meine Patientenformulare verständlich, aktuell und datenschutzkonform?

      • Sind Informationspflicht und Einwilligung klar getrennt und dokumentiert?

      • Ist die elektronische Kommunikation technisch ausreichend gesichert?

      • Werden nur jene Daten erhoben, die tatsächlich notwendig sind?

    Eine datenschutzkonforme Praxis stärkt nicht nur die rechtliche Sicherheit, sondern auch das Vertrauen der Patientinnen und Patienten – das Fundament jeder medizinischen Tätigkeit.

    Häufige Fragen zum Datenschutz In Patientenformularen

    1. Mitteilung vom 30. September 2025 - Der EDÖB veröffentlicht ein Merkblatt zu Patientenformularen für ärztliche und therapeutische Konsultationen https://www.edoeb.admin.ch/de/merkblatt-zu-patientenformularen ↩︎

    Nein. Für die meisten Bearbeitungen im Rahmen der medizinischen Behandlung besteht eine gesetzliche Grundlage (Art. 31 Abs. 1 DSG, Gesundheitsgesetze der Kantone). Eine ausdrückliche Einwilligung ist nur nötig, wenn Daten ausserhalb des Behandlungsauftrags bearbeitet oder an Dritte weitergegeben werden – etwa für Forschungszwecke, Marketing oder Versicherungsabklärungen. Entscheidend ist, dass jede Patientin oder jeder Patient über die Datenbearbeitung informiert wird, auch wenn keine Einwilligung verlangt wird.

    Ja, aber nur mit klarer Trennung der Funktionen. Der EDÖB betont, dass Informationspflicht und Einwilligung inhaltlich und visuell unterscheidbar sein müssen. Patientinnen und Patienten müssen verstehen, welche Bearbeitungen zwingend (gesetzlich) erfolgen und wofür sie freiwillig zustimmen. Empfehlenswert ist, separate Abschnitte oder Checkboxen zu verwenden, um die Freiwilligkeit der Einwilligung sicherzustellen.

    Gesundheitsdaten gehören zu den besonders schützenswerten Personendaten (Art. 5 lit. c DSG). Sie dürfen elektronisch nur übermittelt werden, wenn die Vertraulichkeit und Integrität der Daten gewährleistet ist – etwa durch verschlüsselte E-Mails, sichere Patientenportale oder spezialisierte Kommunikationslösungen. Eine unverschlüsselte Übermittlung ist nur zulässig, wenn die Patientin oder der Patient nach umfassender Information ausdrücklich zustimmt.

    Nein. Das Datenschutzgesetz verpflichtet Leistungserbringer zur Datenminimierung: Es dürfen nur jene Angaben erhoben werden, die für Diagnose, Therapie oder administrative Zwecke erforderlich sind. Fragen zu Beruf, Religion oder Familienstand sind nur dann zulässig, wenn sie einen erkennbaren medizinischen Bezug haben.

    Ja. Eine Einwilligung muss jederzeit widerruflich sein. Der Widerruf gilt ab dem Zeitpunkt seiner Erklärung und entfaltet Wirkung für die Zukunft. Bereits rechtmässig bearbeitete Daten (z. B. für durchgeführte Behandlungen oder abgerechnete Leistungen) dürfen jedoch weiterhin aufbewahrt werden, soweit gesetzliche Pflichten bestehen – etwa zur Dokumentation oder Abrechnung.

    Persönlichkeitsschutz umfasst im Schweizer Recht sowohl zivil- als auch strafrechtliche Mechanismen, um die Ehre, den Ruf und die Integrität einer Person vor unzulässigen Angriffen zu bewahren. Der Fall um die SVP Stadt Luzern und das damalige Parteimitglied Yves Holenweger1 illustriert, wie Medienberichte rechtlich relevant sein können und welche Möglichkeiten Betroffene haben, sich zu schützen.

    Zivilrechtlicher Persönlichkeitsschutz

    Das Zivilrecht schützt die Persönlichkeit umfassend gemäss Art. 28ff. ZGB. Geschützt werden dabei physische und psychische Aspekte, aber auch Ehre, Privatsphäre und der wirtschaftlicher Ruf.

    Im Fall der medienwirksamen Kritik wie vorliegend kann der Betroffene z.B. eine Gegendarstellung verlangen oder rechtliche Schritte zur Unterbindung und Beseitigung einer ehrverletzenden Behauptung einleiten.

    Strafrechtlicher Persönlichkeitsschutz

    Das Strafrecht greift bei besonders gravierenden Persönlichkeitsverletzungen, wie etwa übler Nachrede, Verleumdung oder Beschimpfung.

    Auch hier kann der oder die Betroffene parallel zivilrechtliche Schritte einleiten, um die Folgen einer strafbaren Verletzung zusätzlich zivilrechtlich abzufedern.

    Effektiver Schutz der Persönlichkeit: Rechtliche Schritte und Handlungsempfehlungen bei Rufschädigung und Ehrverletzung und Medien

    Exemplarisch am Beispiel von der ehrverletzenden Medienmitteilung, die unterzeichnet wurde von Dieter Haller, der damalige Präsident der Stadtluzerner SVP, und Timo Lichtsteiner, der damalige und heutige Vizepräsident, zeigt sich, wie der Persönlichkeitsschutz funktioniert.

    1. Betroffene von ehrverletzenden Äusserungen oder Medienbeiträgen sollten zeitnah prüfen, ob ein rechtfertigender Grund vorliegt und – falls nicht – anwaltliche Unterstützung für zivilrechtliche und strafrechtliche Schritte erwägen.
    2. Gerade bei politischer Kritik oder öffentlicher Berichterstattung ist die sorgfältige Interessenabwägung (Meinungsfreiheit vs. Persönlichkeitsschutz) elementar – Gerichte wägen oft zwischen öffentlichem Interesse und den Rechten des Einzelnen ab.

    Die Affäre Holenweger zeigt, wie persönliche Angriffe schnell zu einer juristischen Auseinandersetzung über Ehre und Persönlichkeit werden können. Eine spezialisierte Anwaltskanzlei bietet kompetente Unterstützung im Umgang mit solchen komplexen Fallkonstellationen und sorgt für eine sachliche, effiziente Wahrung der Rechte und Interessen der Betroffenen.

    Erfahren Sie hier mehr über Persönlichkeitsschutz im Zivil- und Strafrecht.

    1. Bericht in der Luzerner Zeitung vom 23. September 2025: «SVP Stadt Luzern: Strafbefehl gegen Vizepräsidenten und ehemaligen Präsidenten», online abrufbar unter https://www.luzernerzeitung.ch/zentralschweiz/stadt-region-luzern/artikel-ld.4016595 zuletzt besucht am 23. September 2025. ↩︎

    Die Schweiz festigt ihren Anspruch, zu den führenden Innovationsstandorten Europas zu zählen. Dabei spielt die ETH Zürich als Impulsgeberin eine zentrale Rolle. Drei jüngste Entwicklungen unterstreichen das technologische Potenzial und die digitale Souveränität des Landes (persönliche Auswahl):

    Alle Projekte stehen sinnbildlich für eine Innovationsstrategie, die auf wissenschaftlicher Exzellenz ebenso gründet wie auf unternehmerischer Skalierbarkeit, nachhaltiger Infrastruktur und regulatorischer Weitsicht.

    Digitale Souveränität: Das ETH-Sprachmodell für den öffentlichen Nutzen

    Mit dem von der ETH Zürich lancierten LLM entsteht erstmals eine KI-Technologie, die auf Schweizer Rechtsgrundlagen, Mehrsprachigkeit und höchste Datenschutzstandards zugeschnitten ist. Dieses entstand aus einer Zusammenarbeit der EPFL und der ETH Zürich und wurde auf dem «Alps» Supercomputer des Swiss National Supercomputing Centre (CSCS) trainiert. Für Unternehmen, Verwaltungen und insbesondere KMU, welche Wert auf datensichere Prozesse legen, eröffnet dies neue Möglichkeiten im Bereich Automatisierung, Informationserschliessung und moderner Kundeninteraktion – ohne auf global agierende Cloud-Plattformen angewiesen zu sein. Diese Entwicklung verdeutlicht, wie sich technologischer Fortschritt und Standortpolitik verbinden lassen. Die Schweiz positioniert sich damit als Vorreiter für vertrauenswürdige und unabhängige Digitalisierung, sowohl im öffentlichen als auch im privaten Sektor.

    Halbleiterkompetenz im Herzen Europas: Das Swiss Chip Fablab

    Auch im Bereich Hard- und Halbleiterentwicklung markiert die ETH Zürich einen Meilenstein: Mit der geplanten Beteiligung am Swiss Chip Fablab im Innovationspark Dübendorf entsteht ein Netzwerk, das Forschung, Entwicklung und Produktion an einem geopolitisch sicheren, verlässlichen Standort vereint. Ziel ist es, die Resilienz der Lieferketten zu stärken und unabhängige Halbleiterexpertise zu etablieren – ein zentrales Anliegen in Zeiten globaler Unsicherheit. Es dient nicht als Alternative zu KI-Prozessorchips, die überwiegend in Taiwan hergestellt werden, sondern vielmehr hochspezialiserte Chips für Anwendungen wie Energie, Mobilität, Medizin oder Kokmmunikation zu entwickeln. Das Fablab bietet Start-ups, etablierten Unternehmen und internationalen Partnern Zugang zu modernster Infrastruktur, Begleitung bei regulatorischen Fragestellungen und die Chance auf strategische Vernetzung.

    Neuer ETH-Hub für den Kanton Luzern: Stärkung der Region und Förderung von Innovationen

    Durch die 100-Millionen-Franken-Spende der Jörg-G.-Bucherer-Stiftung an die ETH, soll ein Erdbeobachtungszentrum im Kanton Luzern realisiert werden. Diskutiert werden zum Beispiel Emmen/Viscosistadt, Horw um die Hochschule für Technik oder Hochdorf. Dies zeigt auf, wie Innovationskraft gezielt gestärkt und dezentral gefördert werden kann. Ein solcher ETH-Hub schafft neue Möglichkeiten für Unternehmen und Start-ups in der Zentralschweiz, in direktem Austausch mit Forschung und Lehre zu treten – und setzt dabei ein starkes Zeichen für die Attraktivität des Standorts Emmen als Technologie- und Innovationsstandort. Die regionale Verankerung technologischer Exzellenz trägt dazu bei, Innovationspotenziale breit zu erschließen und Synergien zwischen Wissenschaft und Wirtschaft zu nutzen.

    Was bedeutet das für Unternehmen, Investoren und Unternehmerinnen?

    Für technologieorientierte Unternehmen, Investorinnen und innovative Unternehmer entstehen neue Kooperationsmöglichkeiten, aber auch komplexe regulatorische Fragestellungen:

    Als auf Datenschutzrecht, digitale Geschäftsmodelle und wirtschaftsrechtliche Fragestellungen spezialisierte Boutique-Anwaltskanzlei aus Luzern begleiten wir Unternehmen, Behörden und Institutionen bei allen Herausforderungen der digitalen Transformation. Unser Team unterstützt Sie in allen Belangen des Datenschutzes, IT-Projekten, aber auch bei wirtschaftsrechtlichen Themen wie Corporate Governance, Restrukturierungen und M&A. Wir legen Wert auf rechtssichere Innovation, regulatorische Compliance und pragmatische Umsetzung. Von der Datenschutz-Folgeabschätzung über Lizenzverträge bis zur unternehmensübergreifenden Transformation profitieren Sie von unserer Expertise im digitalen und wirtschaftlichen Umfeld.

    Kontaktieren Sie uns unverbindlich zu Fragen zu digitalen Geschäftsmodellen.

    Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat seinen Tätigkeitsbericht 2024/2025 veröffentlicht. In seiner Medienmitteilung titelt er „Verstärktes Einschreiten gegen Rechtsverstösse im Datenschutz und neue Höchststände bei den Zugangsgesuchen nach dem Öffentlichkeitsgesetz“ und zieht ein viel beachtetes Resümee zu Digitalisierung und Grundrechten, sowohl in öffentlichen Bereich wie Justiz, Polizei, Sicherheit und Gesundheit, aber auch bei Wirtschaft und Gesellschaft. Im Privatbereich fallen besonders folgende Themen auf:

    Cyberangriff auf OneLog: Risiken bei Login-Lösungen

    Der EDÖB dokumentiert einen gezielten Cyberangriff auf die Login-Plattform OneLog. Der Vorfall zeigt deutlich, dass cloudbasierte Authentifizierungsdienste zu attraktiven Zielen für Hacker werden – mit potenziell weitreichenden Folgen für tausende Privatpersonen. Der Bericht mahnt zu strikten Sicherheits- und Incident-Response-Prozessen bei Identity‑Anbietern. Verantwortliche treffen nicht nur die Meldepflicht von Datensicherheitsverletzungen (Art. 24 Abs. 1 DSG), sie müssen den EDÖB kontinuierlich über die getroffenen Massnahmen und das weitere Vorgehen informieren.

    Pflicht zur Vertretung (Art. 14 DSG): Klare Verantwortung im Privatbereich

    Neu fordert das DSG eindeutig eine Vertretung nach Art. 14 DSG für Private mit Sitz oder Wohnsitz im Ausland, die Personendaten bearbeiten. Das heisst: Wer umfangreich und regelmässig Daten verarbeitet – z.B. im Rahmen privater Online-Plattformen oder Community-Diensten –, muss eine gewählte oder eingesetzte Person benennen, die für die Einhaltung des DSG verantwortlich ist. Dies stärkt die Nachvollziehbarkeit datenschutzrelevanter Prozesse. Dazu können Unternehmen und andere Private eine Vertretung benennen, als Anlaufstelle sowohl für die betroffenen Personen als auch für den EDÖB.

    BPS Legal bietet Vertretungen nach Art. 14 DSG an, ggf. in Kombination mit der Rolle des Schweizer Datenschutzberaters nach Art. 10 DSG. Nehmen Sie gerne mit uns Kontakt auf.

    Plattformübergreifendes Tracking: Auf dem Radar des Aufsehers

    Besonders interessant für Online-Marketing: Der EDÖB legt einen Schwerpunkt bei plattformübergreifenden Trackings, z.B. mittels Cookies oder Fingerprinting. Der EDÖB stellt fest, dass solche Methoden im Privatbereich oft im rechtsfreien Raum erfolgen – und fordert klare Regeln für Transparenz, Einwilligung und Dokumentation. Ohne geeignete technische und organisatorische Massnahmen drohen Bussen und Reputationsverlust. Bei der Verwendung von Drittdiensten und Third-Party-Cookies durch Webseiten- und Appbetreiber sind Informationspflichten, Gestaltungsrechte der betroffenen Personen und Verantwortlichkeiten zu beachten.

    Datenschutz zieht in die Unternehmenskultur ein

    Der EDÖB zeigt im Tätigkeitsbericht 2024/2025, dass Datenschutz im Privatbereich zunehmend ernst genommen wird. Von Cloud-Sicherheit bis Tracking-Regulierung – die Zahlen sprechen eine klare Sprache. Für Plattformbetreiber, KMU und Privatpersonen gilt: Proaktive Rechtsberatung ist wichtiger denn je, um Rechtssicherheit und Vertrauen zu schaffen. Den vollständigen Bericht finden Sie beim EDÖB unter: https://backend.edoeb.admin.ch/fileservice/sdweb-docs-prod-edoebch-files/files/2025/07/01/de77df3c-8cdb-4a72-9109-6783d8218fbc.pdf

    Kontaktieren Sie uns unverbindlich zu Fragen Datenschutzrecht und Digitalisierung.

     

     

    FAQ: Fragen und Antworten zum Datenschutz für KMU und Plattformbetreiber

    Der Vorfall zeigt, dass zentrale Login-Dienste ein hohes Sicherheitsrisiko darstellen. Plattformbetreiber müssen sicherstellen, dass Authentifizierungsprozesse besonders geschützt sind – durch starke Passwörter, Zwei-Faktor-Authentifizierung und ein funktionierendes Sicherheits- und Notfallmanagement. Datensicherheitsverletzungen müssen zudem schnell gemeldet werden.

    Unternehmen mit Sitz im Ausland, die systematisch Personendaten von Personen in der Schweiz bearbeiten, müssen zwingend eine Datenschutz-Vertretung in der Schweiz benennen. Auch kleinere Betreiber von Websites oder Plattformen können betroffen sein – etwa wenn sie regelmässig Daten von Schweizer Nutzern verarbeiten. Die Vertretung muss im Datenschutzhinweis transparent ausgewiesen werden.

    Wer Nutzerverhalten über verschiedene Websites und Geräte hinweg verfolgt, benötigt eine explizite Einwilligung der betroffenen Personen. Die Verwendung von Cookies, Pixeln oder Fingerprinting-Tools ohne klare Zustimmung ist datenschutzwidrig. KMU müssen ihre Cookie-Banner und Tracking-Prozesse technisch und rechtlich prüfen und anpassen.

    Wenn ein Unternehmen besonders risikobehaftete Datenbearbeitungen durchführt – etwa systematisches Tracking, Profiling oder die Verarbeitung von Gesundheitsdaten – ist häufig eine Datenschutz-Folgenabschätzung erforderlich. Der EDÖB weist im aktuellen Bericht eine Zunahme solcher Prüfungen bei Verantwortlichen aus. KMU sollten frühzeitig klären, ob eine DSFA notwendig ist, um späteren Rechtsfolgen vorzubeugen.

    Das neue Datenschutzgesetz verlangt, dass Verletzungen der Datensicherheit unverzüglich dem EDÖB gemeldet werden – wenn ein hohes Risiko für die betroffenen Personen besteht. Eine spätere oder unvollständige Meldung kann als Pflichtverletzung gewertet werden. KMU sollten klare interne Meldeprozesse etablieren.

    Ab dem 1. Juni 2025 gilt im Kanton Luzern das Öffentlichkeitsprinzip. Damit öffnet sich die kantonale Verwaltung für mehr Transparenz und demokratische Kontrolle: Bürgerinnen und Bürger, Medienschaffende sowie Unternehmen erhalten grundsätzlich Zugang zu amtlichen Informationen und Dokumenten der Verwaltung – ohne Nachweis eines besonderen Interesses. Luzern ist damit der letzte Schweizer Kanton, der diesen wichtigen Schritt vollzieht.

    Was bedeutet das Öffentlichkeitsprinzip?

    Das Öffentlichkeitsprinzip verpflichtet die Behörden, amtliche Dokumente und Informationen auf Anfrage zugänglich zu machen. Die Verwaltung kann den Zugang nur verweigern, wenn gewichtige Gründe dagegen sprechen – etwa der Schutz von Personendaten oder anderer gesetzlich geschützter Interessen. Die Begründungspflicht liegt bei der Behörde. Dieses neue Recht stärkt die Transparenz, die demokratische Kontrolle und die Meinungsbildung im Kanton Luzern.

    Grenzen: Datenschutz und Persönlichkeitsschutz

    Das Öffentlichkeitsprinzip findet dort seine Grenzen, wo der Schutz personenbezogener Daten betroffen ist. Personendaten unterliegen dem verfassungsrechtlichen Persönlichkeitsschutz und dem kantonalen Datenschutzgesetz (KDSG). Beinhaltet ein amtliches Dokument Personendaten Dritter, muss die Verwaltung sorgfältig abwägen: Überwiegt das öffentliche Interesse an Transparenz oder das private Interesse an Geheimhaltung? In der Regel sind Personendaten zu anonymisieren. Ist dies nicht möglich, braucht es eine Einwilligung oder eine Interessenabwägung.

    Praktische Herausforderungen und Anonymisierung

    Die Anonymisierung von Personendaten in amtlichen Dokumenten ist anspruchsvoll. Durch moderne Recherchetools und die Vielzahl öffentlich zugänglicher Daten besteht die Gefahr, dass scheinbar anonymisierte Informationen dennoch einer Person zugeordnet werden können. Auch die Verwendung identifizierender Merkmale wie AHV-Nummern erschwert die effektive Anonymisierung. Verwaltungsstellen müssen daher besonders sorgfältig vorgehen, um Datenschutz und Transparenz in Einklang zu bringen.

    Dezentrale Umsetzung im Kanton Luzern

    Die gesetzlichen Regelungen zum Öffentlichkeitsprinzip und zum Datenschutz sind im Kanton Luzern auf verschiedene Erlasse verteilt. Die Bearbeitung von Zugangsgesuchen erfolgt dezentral durch die jeweiligen Verwaltungsstellen. Ein interdepartementales Gremium soll eine einheitliche Praxis sicherstellen. Dennoch bleibt abzuwarten, ob Gleichbehandlung und Datenschutz in jedem Einzelfall gewährleistet werden können.

    Unsere Kanzlei verfügt über ausgewiesene Expertise im Verwaltungsrecht, Datenschutz und im Umgang mit dem Öffentlichkeitsprinzip. Wir unterstützen Bürgerinnen und Bürger, Unternehmen, Medienschaffende und Behörden bei Gesuchen um Zugang zu amtlichen Dokumenten – von der Antragstellung über die Interessenabwägung bis zur Vertretung im Rechtsmittelverfahren.

    Kontaktieren Sie uns unverbindlich zu Fragen zum Öffentlichkeitsprinzip

    Am Montag, 12. Mai 2025, wurde Matthias R. Schönbächler, ehemaliger Datenschutzbeauftragter des Kantons Luzern, offiziell durch den Luzerner Kantonsrat verabschiedet. Schönbächler hatte das Amt von 2018 bis 2024 inne und und unterstützte im Jahr 2025 die Übergabe an seine Nachfolgerin Natascha Ofner-Venetz.

    In seiner Würdigung betonte Kantonsratspräsident Ferdinand Zehnder die Pionierarbeit Schönbächlers beim Aufbau der kantonalen Datenschutzaufsicht. Diese Aufgabe sei mit juristischer Präzision und technischem Verständnis erfolgreich gemeistert worden.

    «Als Jurist, mit beindruckend breitem Fachwissen, und, wie er es selbst nannte, technischer Mitsprachekompetenz, vereinte Matthias Schönbächler rechtliche Präzision mit technischem Verständnis.»

    – Ferdinand Zehnder, Kantonsratspräsident

    Die Videoaufzeichnung der Kantonsratssession vom 12. Mai 2025 ist auf der Webseite des Kantonsrats verfügbar: https://www.lu.ch/kr/Sessionen/videoaufnahmen?keyword=Session&sessionoverview=true

    Nach diesen lobenden Worten dankte der Kantonsratspräsident Matthias R. Schönbächler im Namen des Kantonsrates für seinen langjährigen Einsatz zum Wohle des Standes Luzern.

    Auch wir danken Matthias R. Schönbächler herzlich für seine Verdienste um den Datenschutz und die Verwaltungsentwicklung im Kanton Luzern. Unser besonderer Dank gilt ebenso dem Kantonsrat Luzern sowie Staatsschreiber Vinc Blaser für die würdige Verabschiedung.

    Derzeit gibt es in der Schweiz keine speziellen Rechtsvorschriften für künstliche Intelligenz (KI). Angesichts der zunehmenden Einführung und Nutzung von KI-Tools in verschiedenen Sektoren – insbesondere im Finanzbereich – müssen die mit solchen Systemen verbundenen Risiken jedoch zwangsläufig gründlich geprüft werden.

    Zu diesem Zweck hat die Eidgenössische Finanzmarktaufsicht (FINMA) vor kurzem eine Reihe von Erkenntnissen und Beobachtungen veröffentlicht[i], die einen risikobasierten Ansatz verfolgen, der sich auf operative, datenbezogene, IT- und Cyber-Risiken sowie rechtliche und reputationsbezogene Aspekte bezieht. Die beaufsichtigten Unternehmen müssten daher die mit ihren KI-Anwendungen verbundenen Risiken identifizieren, bewerten, überwachen, verwalten und kontrollieren, sei es als Eigenentwicklung oder ausgelagert, und sicherstellen, dass diese Risiken in ihren jeweiligen Governance-Modellen abgestimmt und berücksichtigt werden.

    Die FINMA hebt vor allem operationelle Risiken wie mangelnde Robustheit, Korrektheit, Voreingenommenheit und Erklärbarkeit, Risiken im Zusammenhang mit Drittanbietern sowie Herausforderungen bei der Zuweisung von Verantwortlichkeiten als die dringlichsten Probleme hervor.

    Sobald die Risiken identifiziert sind, muss die ‘Wesentlichkeit’ der betreffenden Risiken bestimmt werden. Mit anderen Worten, es ist zu definieren, ob eine bestimmte KI-Anwendung in Fällen, in denen sie „…zur Einhaltung von Aufsichtsrecht oder zur Ausübung kritischer Funktionen eingesetzt wird oder wenn Kunden oder Mitarbeiter von ihren Ergebnissen stark betroffen sind“, einen höheren Schwellenwert aufweisen darf.

    Unter dem Gesichtspunkt der datenbezogenen Risiken ist es offensichtlich, dass falsche, inkonsistente, unvollständige, nicht repräsentative oder veraltete Daten die Glaubwürdigkeit und Wirksamkeit einer KI-Anwendung untergraben würden. Daher müssten bestimmte Massnahmen ergriffen werden, um die Integrität der Eingabedaten zu gewährleisten und die Verfügbarkeit von und den Zugang zu Daten sicherzustellen. Andererseits verweist die FINMA auf regelmässige Kontrollen, um Datenabweichungen zu erkennen, und auf Validierungsmethoden, um die kontinuierliche Qualität der Ausgangsdaten zu gewährleisten.

    Schliesslich wird darauf hingewiesen, dass die Erklärbarkeit der Ergebnisse für eine wirksame Bewertung einer KI-Anwendung von entscheidender Bedeutung ist, wobei die Triebkräfte einer bestimmten Anwendung und ihr Verhalten unter verschiedenen Umständen und Bedingungen auch für Nichtfachleute wie Kunden, Anleger, Aufsichtsbehörden usw. verständlich sein müssen. Bei Anwendungen mit höherer „Wesentlichkeit“ müssten die Ergebnisse einer unabhängigen Prüfung, die sich eine fundierte und unvoreingenommene Meinung über die Zuverlässigkeit der betreffenden Anwendung bildet, ebenfalls in der Entwicklungsphase dieser Anwendung berücksichtigt werden.

    [i] Siehe hier https://www.finma.ch/de/news/2024/12/20241218-mm-finma-am-08-24/.

    Das neue FINMA-Rundschreiben 2025/2 zu den Verhaltenspflichten nach dem Finanzdienstleistungsgesetz (FIDLEG) und der Finanzdienstleistungsverordnung (FIDLEV), das am 1. Januar 2025[i] in Kraft treten soll, hat zum Ziel, einheitliche Standards für die Information und Betreuung von Kunden im Finanzdienstleistungsbereich zu schaffen.

    Für die Umsetzung bestimmter Anforderungen ist eine Übergangsfrist bis zum 30. Juni 2025 vorgesehen.

    Das Rundschreiben wird im Wesentlichen für Banken und Wertpapierfirmen, Verwalter von Kollektivvermögen und Unternehmen mit Fondsmanagement- sowie Portfolio-Management-Dienstleistungen gelten. Finanzdienstleister, die nicht der Aufsicht der FINMA unterstellt sind, fallen somit grundsätzlich nicht in den Anwendungsbereich des Rundschreibens.

     Zusammenfassend sind folgende Punkte zu nennen.

    – In Bezug auf die vom FIDLEV angewandten Ausnahmen im Bereich der Unternehmensfinanzierung stellt das Rundschreiben klar, dass Dienstleistungen der „Kaufseite“ in Abgrenzung zu Dienstleistungen der „Verkaufsseite“, d.h. das Anbieten von Finanzinstrumenten an Anleger bzw. deren Verkauf an Kunden, in den Anwendungsbereich des FIDLEG fallen.

    – Pflicht der Dienstleistungserbringer, die Kunden über a) die Art der Anlageberatung (transaktionsbasiert oder portfoliobasiert), b) die Risiken von Differenzkontrakten (CFD) und c) die Risikokonzentrationen bei der Erbringung von Portfoliomanagement- und portfoliobasierten Anlageberatungsdienstleistungen zu informieren.

    – Im Rahmen der Angemessenheits- und Eignungsanforderungen müssen die Dienstleister Informationen über die Kenntnisse und Erfahrungen der Privatkunden in Bezug auf jede angebotene Anlagekategorie sammeln.

    – Pflicht der Dienstleistungserbringer, die Kunden über die Verwendung eigener Finanzinstrumente, alternativ die eines Dritten oder eine Kombination aus beidem im Rahmen der Erbringung ihrer Dienstleistungen zu informieren und geeignete organisatorische Massnahmen zu ergreifen, um potenzielle Interessenkonflikte so weit wie möglich zu vermeiden. In Ausnahmefällen, in denen der Interessenkonflikt unvermeidbar ist, sind die Dienstleister zur Offenlegung verpflichtet.

    – Pflicht der Dienstleistungserbringer zur ordnungsgemässen Offenlegung der Entschädigung durch Dritte (Retrozession) gegenüber den Kunden und zur Sicherstellung, dass die Einzelheiten in standardisierten Verträgen hervorgehoben werden.

    – In Fällen, in denen Dienstleister als Gegenpartei Finanzinstrumente aus den Portfolios ihrer Kunden ausleihen bzw. als Vermittler für diese Geschäfte auftreten, muss in Übereinstimmung mit dem FIDLEG die vorherige und ausdrückliche Zustimmung der Kunden eingeholt werden. Das Rundschreiben nennt nun ein Minimum an Informationen, die den Kunden zur Verfügung gestellt werden müssen, damit ihre Zustimmung in diesem Zusammenhang als gültig betrachtet werden kann.

    [i] Siehe hier https://www.finma.ch/de/news/2024/11/20241121-mm-rs-verhaltenspflichten-fidleg/.

    Am 17. Oktober 2024[i] verabschiedete die Europäische Kommission die ersten Durchführungsbestimmungen für die Cybersicherheit kritischer Einrichtungen und Netze in Übereinstimmung mit der NIS2-Richtlinie in Form einer Durchführungsverordnung[ii]. Die Verordnung soll Ende November in Kraft treten, genauer gesagt 20 Tage nach ihrer Veröffentlichung im Amtsblatt, die am 7. November 2024 erfolgte.

    Die Annahme der Verordnung fällt auch mit dem letzten Tag der Frist zusammen, die den EU-Mitgliedstaaten für die Umsetzung der NIS2-Richtlinie in nationales Recht gesetzt wurde.

    In den Durchführungsbestimmungen werden im Wesentlichen Massnahmen für das Risikomanagement im Bereich der Cybersicherheit sowie Meldepflichten für Unternehmen, die digitale Infrastrukturen und Dienste bereitstellen, für den Fall, dass „erhebliche“ Vorfälle auftreten, festgelegt. Insbesondere Unternehmen, die digitale Dienste anbieten, wie z. B. Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Online-Marktplätze, Online-Suchmaschinen und Plattformen für soziale Netzwerke, würden in den Anwendungsbereich fallen.

    In der NIS2-Richtlinie[iii] wird der bisherige Anwendungsbereich, der ursprünglich zwei Kategorien von i) Betreibern wesentlicher Dienste (OES) und ii) Anbietern relevanter digitaler Dienste (RDSP) umfasste, neu kategorisiert und deutlich erweitert, indem die erfassten Einrichtungen entweder als wesentliche Einrichtungen (EE) oder als wichtige Einrichtungen (IE) eingestuft werden.

    EE umfasst die Sektoren Energie, Verkehr, Finanzen, öffentliche Verwaltung, Gesundheit, Raumfahrt, Wasserversorgung und digitale Infrastrukturen wie Cloud-Computing-Dienstleister und IKT-Verwaltung.

    IE umfasst Sektoren wie Postdienste, Abfallwirtschaft, Chemikalien, Forschungseinrichtungen, Lebensmittelverarbeitung, Fertigung und digitale Anbieter wie soziale Netzwerke, Suchmaschinen und Online-Marktplätze.

    Da Kleinst- und Kleinunternehmen grundsätzlich vom Anwendungsbereich ausgenommen sind, sieht die Richtlinie eine Grössenschwelle vor. Mit anderen Worten, ein Schwellenwert von 250 Beschäftigten, ein Jahresumsatz von €50 Mio. oder eine Bilanzsumme von €43 Mio. für die EE-Unternehmen bzw. ein Schwellenwert von 50 Beschäftigten, ein Jahresumsatz von €10 Mio. oder eine Bilanzsumme von €10 Mio. für die Unternehmen auf der IE-Liste.

    Dennoch kann eine Einrichtung unabhängig von ihrer Grösse als ‘wesentlich’ oder ‘wichtig’ eingestuft werden, wenn sie der einzige Erbringer eines kritischen Dienstes für gesellschaftliche oder wirtschaftliche Aktivitäten in einem bestimmten Mitgliedstaat bzw. ein Anbieter von Vertrauensdiensten oder eine zentrale oder regionale Regierungseinrichtung ist.

    Ähnlich wie bei der Datenschutz-Grundverordnung verpflichtet die Richtlinie die Mitgliedstaaten, bei Nichteinhaltung Sanktionen zu verhängen, die je nach Klassifizierung unterschiedlich hoch sind. €10 Mio. oder mindestens 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist, für EE-Unternehmen bzw. €7 Mio. oder mindestens 1,4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist, für IE-Unternehmen.

    Insbesondere die Leitungsorgane der betroffenen Unternehmen, wie z. B. der Verwaltungsrat, würden bei Nichteinhaltung ebenfalls haftbar gemacht werden.

    Das Schweizer Informationssicherheitsgesetz (ISG) hingegen gilt in erster Linie für die Bundesverwaltung, die kantonalen Behörden und ihre Partnerunternehmen im Inland, und soll in seiner überarbeiteten Fassung am 1. Januar 2025 in Kraft treten. In diesem Zusammenhang könnten Partnerunternehmen in ähnlichen Sektoren tätig sein wie diejenigen, die in der EU in den Anwendungsbereich der Richtlinie fallen, z.B. im Finanz- und Informations- und Kommunikationssektor sowie bei Dienstleistern und Herstellern von Hard- und Softwareprodukten, die in kritischen Infrastrukturen eingesetzt werden.

    Daher würden Zulieferunternehmen indirekt in den Anwendungsbereich des ISG fallen, ähnlich wie bei der Richtlinie in der EU. Die Schweizer Unternehmen, die Teil einer Lieferkette sind, die letztlich auf die von der Richtlinie erfassten Unternehmen mit Sitz in der EU abzielt, wären folglich von den Anforderungen und Verpflichtungen im Rahmen beider Instrumente betroffen.

    Insbesondere die Tochtergesellschaften und Zweigniederlassungen von in der EU registrierten Schweizer Unternehmen, die entweder unter die EE- oder die IE-Klassifizierung fallen, müssen die Richtlinie in der EU einhalten und die Anforderung erfüllen, sich bei der nationalen Behörde eines angeschlossenen Mitgliedstaats zu registrieren. In diesem Szenario kann die Muttergesellschaft oder das verbundene Unternehmen in der Schweiz durch die Verbindung zur Lieferkette ebenfalls indirekt von der Richtlinie erfasst werden.

    [i] Siehe hier https://ec.europa.eu/commission/presscorner/detail/de/ip_24_5342.

    [ii] Siehe hier https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj.

    [iii] Siehe hier https://eur-lex.europa.eu/eli/dir/2022/2555#.

    Nach dem Urteil des Gerichtshofs der Europäischen Union (EuGH) vom 4. Oktober 2024[1] in der Rechtssache C 446/21 zwischen Maximilian Schrems und Meta Platforms Ireland Ltd („Meta“) wurden der Umfang der Erhebung personenbezogener Daten auf Social-Media-Plattformen und die dafür geltenden Beschränkungen, insbesondere im Zusammenhang mit gezielter Werbung, einer strengeren Prüfung unterzogen.

    Dabei wurden die Grundsätze der Datenschutz-Grundverordnung (DSGVO) der Datenminimierung und der Zweckbindung besonders eingehend geprüft.

    Meta verwaltet im Allgemeinen die Bereitstellung von Diensten des sozialen Online-Netzwerks Facebook in der EU und gilt als für die Verarbeitung Verantwortlicher im Sinne der Datenschutz-Grundverordnung. Im vorliegenden Fall geht es um Daten, die Meta aus den Aktivitäten von Facebook-Nutzern nicht nur auf Facebook, sondern auch ausserhalb von Facebook erhebt, einschliesslich der Daten im Zusammenhang mit Besuchen von Online-Plattformen und Navigationsmustern sowie Websites und Anwendungen Dritter. Dazu verwendet Meta Cookies, Social Plug-ins und Pixel, die auf den betreffenden Websites eingebettet sind, um gezielte Werbung zu schalten.

    Die Entscheidung des EuGH bringt weitere Klarheit in folgenden Punkten:

    . der Anwendungsbereich des Grundsatzes der Datenminimierung gemäss Art. 5 Absatz 1 Buchstabe c DSGVO umfasst alle personenbezogenen Daten, die ein für die Verarbeitung Verantwortlicher bei betroffenen Personen oder Dritten auf oder ausserhalb der Plattform zum Zwecke der Aggregation, Analyse und Verarbeitung im Zusammenhang mit gezielter Werbung erhebt, wobei die Aufbewahrungsfrist in jedem Fall begrenzt und die Art der personenbezogenen Daten unterschieden werden muss. Darüber hinaus gilt der Grundsatz unabhängig von der Rechtsgrundlage für die Verarbeitung, und selbst wenn eine betroffene Person gezielter Werbung zugestimmt hat, dürfen ihre personenbezogenen Daten nicht unbegrenzt verwendet werden.

    . Artikel 9 Absatz 2 Buchstabe e der Datenschutz-Grundverordnung über die Verarbeitung besonderer Kategorien personenbezogener Daten müsste restriktiv ausgelegt werden, wobei die blosse Erwähnung einer Tatsache durch eine betroffene Person in einem öffentlichen Umfeld nicht ohne Weiteres dazu führen sollte, dass andere Informationen im Zusammenhang mit dieser besonderen Tatsache als „offenkundig öffentlich gemacht“ eingestuft werden und somit rechtmässig verarbeitet werden dürfen.

    Als Folge des EuGH-Urteils müsste jeder Betreiber einer Social-Media-Plattform oder eines Online-Werbeunternehmens seinen Datenbestand einschränken und eine wirksame Richtlinie zur Datenlöschung einführen. 

    [1] Siehe hier https://curia.europa.eu/juris/document/document.jsf;jsessionid=5CE53D5E3FCC1ABA77F2ACD5AAC2F038?text=&docid=290674&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=1306139.