Wer mit Weitsicht seinen Nachlass regeln möchte, denkt häufig ans Eigenheim, das eigene Unternehmen oder erworbene Wertschriften, Schmuck und sein Vermögen. Selten schweifen die Gedanken zum digitalen Erbe, das man hinterlässt. Dabei sind Schweizerinnen und Schweizer im Durchschnitt 5.7 Stunden täglich im Internet unterwegs, im Jahr 2025.1 E-Mail-Konten, Social-Media-Profile, Cloud-Speicher voller Familienfotos oder digitale Vermögen wie Kryptowährungen gehören längst zum Leben dazu – deshalb sollte der digitale Nachlass nicht dem Zufall überlassen werden.

Der Tod ist analog, doch unser Erbe ist längst digital. Für Hinterbliebene bildet der komplexe «digitalen Nachlass» oft zu eine unüberwindbaren Hürde, wenn Zugangsdaten fehlen und globale Tech-Konzerne den Zugriff verweigern. Als Ihre Spezialisten für Digital-, Daten- und Erbrecht in der Zentralschweiz beleuchten wir die rechtliche Lage und zeigen Ihnen, wie Sie mit proaktiver Planung sicherstellen, dass Ihr digitales Erbe nach Ihren Wünschen verwaltet wird und Ihre Angehörigen entlastet werden.

Die rechtliche Ausgangslage: Universalsukzession trifft auf digitale Realität

Grundsätzlich ist die Rechtslage in der Schweiz klar: Gemäss dem Prinzip der Universalsukzession (Art. 560 Abs. 1 ZGB) treten die Erben mit dem Tod des Erblassers automatisch und als Ganzes in alle seine Rechte und Pflichten ein. Das gilt auch für den digitalen Nachlass:

In der Praxis erweist sich die Durchsetzung dieser Rechte jedoch als komplex und langwierig. Die Erben sehen sich mit mehreren Hürden konfrontiert:

  1. Allgemeine Geschäftsbedingungen (AGB): Viele internationale Anbieter (insbesondere aus den USA) legen in ihren AGB fest, dass Konten persönlich und nicht übertragbar sind. Die Gültigkeit solcher Klauseln ist nach Schweizer Recht höchst umstritten. Es ist davon auszugehen, dass Schweizer Erbrecht dem Vertragsrecht der Provider vorgeht, ähnlich wie es der deutsche Bundesgerichtshof entschieden hat. Die Rechtsdurchsetzung bleibt jedoch aufwändig, gerade mit Bezug ins Ausland.
  2. Datenschutz und Persönlichkeitsschutz: Provider verweigern den Zugang oft unter Berufung auf den Schutz der Privatsphäre des Verstorbenen (postmortaler Persönlichkeitsschutz, Art. 28 ZGB) und seiner Kommunikationspartner. Das Bundesgericht hat bereits festgehalten, dass ein datenschutzrechtlicher Auskunftsanspruch nicht ohne Weiteres auf Erben übergeht, wenn es allein um die Verfolgung erbrechtlicher Ansprüche geht. Offen bleibt, ob der postmortale Persönlichkeitsschutz reicht, dass Hinterbliebene die digitalen Verhältnisse regeln können, wenn der Erblasser keine Anordnungen getroffen hat.
  3. Fernmeldegeheimnis: Insbesondere E-Mail-Provider sind dem strengen Fernmeldegeheimnis verpflichtet. Die Weitergabe von Kommunikationsinhalten an Dritte – wozu auch Erben zählen – ist strafbar und stellt eine hohe Hürde dar.
  4. Risiko für Erben: Versuchen Erben, sich mit erratenen oder gefundenen Passwörtern Zugang zu verschaffen, riskieren sie eine Strafverfolgung wegen unbefugten Eindringens in ein Datenverarbeitungssystem (Art. 143bis StGB). Das Bundesgericht hat dies in einem Leitentscheid unmissverständlich klargestellt (BGE 145 IV 185) – zumindest in Bezug auf getrennt lebenden Ehegatten.

Sonderfall Kryptowährungen im Nachlass: Wo Code über dem Gesetz steht

Kryptowährungen wie Bitcoin sind rechtlich als (immaterielle) Vermögenswerte qualifiziert und fallen damit in den Nachlass. Die entscheidende Herausforderung ist hier jedoch rein technischer Natur: Die Verfügungsmacht hängt ausschliesslich vom Besitz des privaten Schlüssels (Private Key) ab. Ohne diesen Schlüssel ist das Vermögen für die Erben faktisch und unwiederbringlich verloren. Hier gilt eine «Nullfehlertoleranz». Werden die Kryptowährungen auf einer Handelsplattform gehalten, bestehen immerhin die hiervor erklärten vertragsrechtlichen Probleme.

Gehören digitale Vermögenswerte wie Bitcoin oder Ether zum geplanten Nachlass, wirft dies weitere komplexe Fragen hinsichtlich der Sicherung, Bewertung und Verteilung auf. Was geschieht mit Kryptowerten bei Urteilsunfähigkeit? Wie wird der Zugriff für die Erben gewährleistet und nach welchen Regeln erfolgt die Bewertung in einem volatilen Marktumfeld?

Strategische Vorsorge: So übernehmen Sie die Kontrolle

Angesichts dieser komplexen Gemengelage ist eine proaktive Regelung unerlässlich. Wir empfehlen Ihnen die folgenden strategischen Schritte:

  1. Ordnung schaffen: Das digitale Inventar

Erstellen Sie eine umfassende Liste Ihrer digitalen Plattformen und Werte: E-Mail-Konten, Social-Media-Profile, Cloud-Dienste, Online-Abos, Domainnamen und Krypto-Wallets. Notieren Sie die Benutzernamen, aber bewahren Sie die Passwörter an einem separaten, sicheren Ort auf (z.B. in einem versiegelten Umschlag bei einer Vertrauensperson oder einem Notar). Wichtig ist, dass eine Vertrauensperson – oder der Willensvollstrecker (siehe Ziffer 3 unten) – weiss, wo diese Informationen zu finden sind.

  1. Zugang erleichtern: Technische und vertragliche Vorsorge nutzen

Viele grosse Anbieter (Apple, Google, Facebook/Meta) bieten die Möglichkeit, einen «Nachlasskontakt» einzurichten. Diese Person erhält nach Ihrem Tod und Vorlage einer Sterbeurkunde eingeschränkten Zugriff, um Daten zu sichern oder das Konto zu verwalten. Diese vertragliche Regelung zu Lebzeiten ist äusserst wirksam und umgeht viele erbrechtliche Hürden. Ergänzend können Passwort-Manager mit einer «Notfallzugriff»- oder «Vererbungsfunktion» genutzt werden.

Eine blosse Liste mit Anweisungen genügt nicht. Ihre Wünsche müssen in einer rechtlich gültigen Form festgehalten werden, also in einem eigenhändig verfassten Testament (Art. 505 ZGB) oder einem öffentlich beurkundeten Erbvertrag. Darin sollten Sie:

  1. Rechtssicherheit schaffen: Testamentarische Anordnungen

4. Vorsorge- statt Nachsorge: Der Vorsorgeauftrag zur Sicherung der Handlungsfähigkeit bei Urteilsunfähigkeit

Nicht zuletzt ist bei der vorausschauenden Planung zu berücksichtigen, dass bereits vor dem Ableben die Urteilsunfähigkeit verloren gehen kann, und damit die Handlungsfähigkeit. Tritt infolge von Krankheit oder Unfall eine Urteilsunfähigkeit ein, wird ohne eigene Vorkehrungen die Kindes- und Erwachsenenschutzbehörde (KESB) einen Beistand bestellen, der sich um die personellen und finanziellen Angelegenheiten kümmert. Gerade bei komplexen digitalen Vermögenswerten besteht hier das Risiko, dass dieser nicht über das spezifische technische Know-how verfügt, um Kryptowährungen adäquat zu verwalten oder der Zugriff auf die Kryptowährung geht im schlimmsten Fall für immer verloren. Sinnvoll ist hier also eine kompetente Vertrauens-
oder Fachperson zu bezeichnen, die mit der Funktionsweise von Kryptowährungen vertraut ist.

Damit dies im Kontext einer Urteilsunfähigkeit Bestand hat, ist die Form eines Vorsorgeauftrags gemäss Art. 360 ff. ZGB zu wählen. Dieser ist eigenhändig, d.h. von Anfang bis Ende von Hand, zu errichten oder öffentlich zu beurkunden. Damit ein Vorsorgeauftrag auch zum Einsatz kommen kann, macht das Zivilstandsamt auf Antrag mitsamt Hinterlegungsort einen Eintrag in ihrer zentrale Datenbank.

Der Kontext im Kanton Luzern

Im Kanton Luzern nimmt die zuständige Teilungsbehörde nach einem Todesfall von Amtes wegen ein Inventar auf (§ 72 EGZGB LU). Eine klare testamentarische Regelung und die Ernennung eines kompetenten Willensvollstreckers erleichtern diesen Prozess erheblich und stellen sicher, dass Ihre Anordnungen auch im digitalen Raum rasch und korrekt umgesetzt werden und digitale Werte nicht untergehen – oder bis in die Ewigkeit im Internet sind.

Fazit – das digitale Erbe nicht dem Zufall überlassen

Der digitale Nachlass ist kein technisches, sondern ein strategisches Thema. Sich allein auf das Gesetz zu verlassen, führt oft in eine Sackgasse. Nur die Kombination aus sorgfältiger Inventarisierung, Nutzung technischer Vorsorgemöglichkeiten und präzisen, formgültigen testamentarischen Anordnungen garantiert, dass Ihre digitale Souveränität gewahrt bleibt und Ihre Angehörigen geschützt sind.

Haben Sie Fragen oder möchten Sie Ihren digitalen Nachlass professionell regeln? Wir stehen Ihnen als kompetente Partner zur Seite. Kontaktieren Sie uns für ein Beratungsgespräch.

  1. https://www.srf.ch/news/schweiz/studie-zur-internetnutzung-schweizer-verbringen-im-schnitt-einen-viertel-des-tages-im-netz ↩︎

Ein Datenleck beginnt nicht erst dann, wenn Daten missbraucht werden. Es beginnt dort, wo sie unbefugt zugänglich sind. Genau diese Erkenntnis macht den kürzlich bekannt gewordenen Fall der Parkplatzüberwachungsfirmen Funkwache AG und Unisecur GmbH zu einem Lehrstück für Unternehmen mit digitalen Geschäftsmodellen.

Gemäss Medienberichten waren über längere Zeit Datenbanken mit mehreren hunderttausend Einträgen über das Internet erreichbar. Betroffen gewesen sein sollen unter anderem Namen, Adressen, Fahrzeugdaten, Aufenthaltsorte sowie Informationen zu Strafverfahren und Strafbefehlen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat angekündigt, den Sachverhalt zu prüfen.

Unabhängig davon, wie die Untersuchung im Einzelfall ausgeht, zeigt der Fall exemplarisch, wo heute die grössten Risiken digitaler Geschäftsmodelle liegen: weniger in spektakulären Hackerangriffen als vielmehr in organisatorischen Schwächen, fehlender Governance und unzureichender Informationssicherheit.

Datenschutz beginnt bei der Unternehmensführung – nicht in der IT

Viele Unternehmen verstehen Datenschutz noch immer primär als juristische Pflicht oder als Aufgabe der IT-Abteilung. Das greift zu kurz.

Wer digitale Dienstleistungen anbietet oder Personendaten bearbeitet, trägt Verantwortung für den gesamten Lebenszyklus dieser Daten – von der Erhebung über die Speicherung bis zur Löschung. Datenschutz, Informationssicherheit und Governance bilden dabei keine voneinander getrennten Disziplinen, sondern greifen ineinander.

Gerade Unternehmen, deren Geschäftsmodell auf digitalen Prozessen oder Plattformen basiert, sollten den vorliegenden Fall deshalb weniger als Einzelfall denn als Anlass verstehen, die eigene Organisation kritisch zu hinterfragen.

Exkurs: Was ist eine Datensicherheitsverletzung?

Nach dem Schweizer Datenschutzgesetz liegt eine Datensicherheitsverletzung nicht erst dann vor, wenn Personendaten gestohlen oder veröffentlicht werden. Art. 8 DSG verlangt, dass um Verletzungen der Datensicherheit zu vermeiden angemessene Massnahmen getroffen werden.

Für eine Verletzung bereits ausreichend ist beispielsweise,

  • dass Personendaten unbefugten Dritten zugänglich werden könnten,
  • dass Administratorenbereiche ohne ausreichenden Schutz erreichbar sind,
  • dass Daten versehentlich offengelegt werden oder
  • dass Verfügbarkeit, Integrität oder Vertraulichkeit von Personendaten beeinträchtigt werden.

Ob tatsächlich ein Missbrauch stattgefunden hat, ist für die rechtliche Beurteilung zunächst nicht entscheidend.

Sieben Lehren aus dem Data Leak für Unternehmen

1. Informationssicherheit ist eine gesetzliche Pflicht

Der Fall zeigt eindrücklich, dass grundlegende Sicherheitsmassnahmen nicht bloss technische Empfehlungen darstellen.

Nach dem Datenschutzgesetz müssen Personendaten durch angemessene technische und organisatorische Massnahmen geschützt werden. Dazu gehören unter anderem Zugriffskontrollen, Authentifizierung, sichere Systemarchitekturen sowie ein zeitgemässes Schwachstellen- und Patchmanagement. Für Behörden, verpflichtete Organisationen und gewisse Firmen gelten sodann für die Informationssicherheit anwendbare Gesetze wie das ISG oder Standards wie ISO27001 oder BSI IT Grundschutz.

Der vielfach zitierte Grundsatz Security through Obscurity – also die Hoffnung, dass eine technische Schnittstelle schon niemand finden werde – genügt den heutigen Anforderungen nicht.

2. Sensible Daten verlangen besonders hohen Schutz

Besonders ins Gewicht fällt, dass nach den Medienberichten auch Angaben zu Strafverfahren und Strafbefehlen betroffen gewesen sein sollen.

Solche Informationen zählen nach dem Datenschutzgesetz zu den besonders schützenswerten Personendaten. Entsprechend steigen die Anforderungen an Zugriffsschutz, Verschlüsselung, Protokollierung und organisatorische Kontrollen erheblich.

Je sensibler die Daten, desto höher sind die Anforderungen an deren Schutz.

3. Veraltete Systeme werden zum Compliance-Risiko

Ein weiterer Aspekt betrifft die offenbar eingesetzte Softwareplattform, deren Weiterentwicklung und Support bereits vor Jahren eingestellt worden sein sollen.

Veraltete Software bedeutet nicht automatisch einen Datenschutzverstoss. Werden bekannte Sicherheitsrisiken jedoch nicht mehr behoben oder fehlen Sicherheitsupdates dauerhaft, kann dies rechtlich problematisch werden.

Lifecycle-Management und regelmässige Sicherheitsupdates gehören deshalb heute ebenso zur Compliance wie klassische Datenschutzrichtlinien.

4. Daten dürfen nicht unbegrenzt gesammelt werden

Der Umfang der gespeicherten Informationen wirft gleichzeitig Fragen zur Datenminimierung auf.

Nach den Berichten sollen Datensätze teilweise bis ins Jahr 2001 zurückgereicht haben. Ob eine derart lange Speicherung jeweils erforderlich und verhältnismässig war, wird im Einzelfall zu beurteilen sein.

Das Datenschutzgesetz verlangt jedoch einen einfachen Grundsatz: Es dürfen nur diejenigen Personendaten bearbeitet und nur solange aufbewahrt werden, wie dies für den konkreten Zweck notwendig ist.

5. Datenschutz endet nicht beim Outsourcing

Besonders interessant ist der Fall auch deshalb, weil offenbar dieselbe Softwareplattform beziehungsweise technische Infrastruktur von mehreren Unternehmen genutzt wurde.

Gerade bei Cloud-Lösungen, SaaS-Angeboten oder ausgelagerten IT-Dienstleistungen zeigt sich häufig ein Missverständnis: Wer die Informatik auslagert, lagert die datenschutzrechtliche Verantwortung nicht mit aus.

Unternehmen bleiben auch beim Einsatz externer Anbieter verantwortlich für die Einhaltung der datenschutzrechtlichen Vorgaben. Dazu gehören insbesondere die sorgfältige Auswahl des Dienstleisters, klare vertragliche Regelungen, angemessene technische und organisatorische Massnahmen sowie eine laufende Kontrolle der ausgelagerten Leistungen.

Mehr dazu erfahren Sie auf unserer Themenseite zum ICT Outsourcing sowie in unserem Fachbeitrag zum Thema ICT Outsourcing.

6. Incident Response gehört zur Corporate Governance

Ebenso bemerkenswert ist die Aussage des EDÖB, wonach ihm zum Zeitpunkt der Medienberichterstattung offenbar keine Meldung der Datensicherheitsverletzung vorgelegen habe.

Besteht ein hohes Risiko für die Persönlichkeit oder Grundrechte betroffener Personen, verpflichtet das Datenschutzgesetz Unternehmen grundsätzlich dazu, den EDÖB so rasch als möglich über die Datensicherheitsverletzung zu informieren.

Ob diese Voraussetzungen im konkreten Fall erfüllt waren, wird Gegenstand der weiteren Abklärungen sein.

Unabhängig davon zeigt der Fall, wie wichtig funktionierende Incident-Response-Prozesse heute sind. Unternehmen sollten nicht erst im Krisenfall klären, wer entscheidet, ob eine Meldepflicht besteht und wie rasch entsprechende Abläufe ausgelöst werden müssen.

7. Datenschutz schützt auch Reputation und Vertrauen

Der vielleicht wichtigste Lehrsatz liegt jedoch ausserhalb des Gesetzestextes.

Selbst wenn sich ein technischer Vorfall rasch beheben lässt, bleibt der Vertrauensverlust häufig wesentlich länger bestehen. Kunden, Geschäftspartner und Investoren beurteilen heute nicht nur Produkte oder Dienstleistungen, sondern zunehmend auch den professionellen Umgang mit Daten.

Datenschutz und Informationssicherheit sind deshalb längst Bestandteil einer verantwortungsvollen Unternehmensführung und eines wirksamen Risikomanagements geworden.

Die wichtigsten Erkenntnisse für das Management

Der Fall Funkwache AG und Unisecur GmbH zeigt exemplarisch, dass Datenschutzverletzungen heute häufig nicht durch hochkomplexe Cyberangriffe entstehen, sondern durch vermeidbare organisatorische und technische Schwächen. Für Unternehmen mit digitalen Geschäftsmodellen ergeben sich daraus klare Handlungsfelder:

Unternehmen, die Datenschutz, Informationssicherheit und digitale Governance frühzeitig zusammendenken, erfüllen nicht nur gesetzliche Anforderungen. Sie schaffen Vertrauen bei Kunden, Mitarbeitenden und Geschäftspartnern – und stärken damit nachhaltig die Resilienz ihres digitalen Geschäftsmodells.

Kontaktieren Sie uns gerne unverbindlich bei Fragen rund um Ihr digitales Geschäftsmodell.

Mit dem neuen Gesetz über E-Government (EGovG) will der Kanton Luzern die Digitalisierung der Verwaltung strukturell vorantreiben. Der Kantonsrat hat sich in der Mai-Session 2026 klar hinter den Gegenvorschlag des Regierungsrats zur Volksinitiative «Digitalisierung jetzt!» gestellt und zugleich betont: Digitalisierung darf nicht zu einem «Digital Only» führen. Behörden sollen auch künftig analog erreichbar bleiben. Dieser politische Grundkonsens ist richtig und wichtig.

Der geplante gesetzliche Rahmen – insbesondere das neue Gesetz über E-Government (EGovG) – bildet dabei das Fundament für eine moderne, digital vernetzte Verwaltung. Die Diskussion zeigt aber zugleich, dass die eigentlichen juristischen und strategischen Herausforderungen erst beginnen. Denn die entscheidende Frage lautet nicht mehr, ob digitalisiert werden soll, sondern wie. Die Vorlage wirft mit Ansätzen wie «Digital First» und «Once Only» gewichtige datenschutz- und grundrechtliche Fragen auf, die im weiteren Gesetzgebungsprozess zwingend geschärft werden müssen.

Digitalisierung ist kein Selbstzweck

Die Luzerner Vorlage verfolgt nachvollziehbare Ziele: effizientere Verwaltungsabläufe, einheitliche Basisdienste, digitale Prozesse und weniger Mehrfacherfassungen von Daten. Gerade Letzteres – das sogenannte «Once-Only»-Prinzip – erscheint auf den ersten Blick bürgerfreundlich und wirtschaftlich sinnvoll.

Rechtlich ist dieses Prinzip jedoch hochsensibel. Wenn Bürgerinnen, Bürger und Unternehmen Daten nur einmal eingeben sollen, bedeutet dies zwangsläufig, dass verschiedene Verwaltungseinheiten auf bereits vorhandene Daten zugreifen können. Genau hier stellt sich die zentrale grundrechtliche Frage: Welche Behörde darf auf welche Daten zugreifen – zu welchem Zweck und gestützt auf welche gesetzliche Grundlage?

Die Vorlage bleibt in diesem Punkt bislang zu offen. Gerade im öffentlichen Recht gilt weiterhin der Grundsatz der Zweckbindung: Daten dürfen nur für jene Zwecke bearbeitet werden, für die sie erhoben wurden oder für die eine klare gesetzliche Grundlage besteht. Wer digitale Verwaltung ernst nimmt, muss deshalb auch ernsthaft definieren, welche Verwaltungseinheiten welche Daten tatsächlich benötigen. Transparenz gegenüber Betroffenen ist dabei zentral. Bürgerinnen und Bürger müssen nachvollziehen können, welche Stellen auf ihre Daten zugreifen und weshalb. Eine generelle Datenvernetzung ohne konkret ausgewiesenen Bedarf birgt das Risiko, dass Daten über ihren ursprünglichen Zweck hinaus verwendet werden. Das wäre mit dem verfassungsmässigen Schutz der informationellen Selbstbestimmung (Art. 13 Abs. 2 BV) nur schwer vereinbar. Datenschutzrechtlich genügt es nicht, dass Daten technisch verfügbar sind. Entscheidend ist, ob ihre Nutzung verhältnismässig, transparent und gesetzlich hinreichend bestimmt ist.

Digitale Souveränität: Die Schweiz darf Cloud-Fehler nicht wiederholen

Die Diskussion um das EGovG berührt zudem eine strategische Frage, die weit über Luzern hinausgeht: digitale Souveränität.

Die Schweiz hat die Tragweite von Abhängigkeiten im Cloud-Bereich lange unterschätzt. Viele staatliche und private Akteure stehen heute vor der Realität, dass zentrale digitale Infrastrukturen von wenigen internationalen Technologieanbietern abhängig geworden sind. Diese Entwicklung lässt sich kaum kurzfristig korrigieren.

Aus Sicht der Kantonsregierung gibt es dazu jedoch keinen Regulierungsbedarf. Entwicklungen um die künstliche Intelligenz zeigen jedoch, dass sich das Muster zu wiederholen droht. Gerade weil die technologische Entwicklung komplex und dynamisch ist, besteht die Gefahr, dass regulatorische und strategische Weichenstellungen erneut zu spät erfolgen. Umso wichtiger wäre es, bereits heute technologieneutrale und langfristig tragfähige Grundsätze zu definieren.

Dazu gehören etwa – je nachdem wie kritisch die eingesetzte Lösung für das Funktionieren der Verwaltung ist:

klare Anforderungen an Interoperabilität,
die Vermeidung unnötiger Vendor-Lock-ins,
transparente Governance-Strukturen,
sowie Überlegungen zu einem «Second Source»-Prinzip, um kritische Abhängigkeiten von einzelnen IT-Dienstleistern zu reduzieren.

Digitale Souveränität bedeutet nicht technologische Abschottung. Sie bedeutet vielmehr, die tatsächliche Kontrolle über Daten, Systeme und strategische Handlungsfähigkeit nicht aus der Hand zu geben. Echte digitale Souveränität erfordert mehr als organisatorische Koordination.

Digitale Verwaltung („digital first“) – ein Paradigmenwechsel

Das EGovG verfolgt einen klaren Ansatz: Behördenleistungen sollen künftig primär digital erbracht werden („digital first“), gestützt auf eine zentrale E-Government-Infrastruktur. Nutzerkonten, Authentifizierungssysteme und standardisierte Schnittstellen sollen einen durchgängigen Austausch zwischen Verwaltungseinheiten ermöglichen. Dass dabei nicht auf „digital only“ gesetzt werden soll, beweist die Regierung Augenmass.

Nichtsdestotrotz: Das verfassungsmässige Recht auf Schutz der Privatsphäre und der personenbezogenen Daten (Art. 13 Abs. 2 BV) verlangt, dass staatliche Datenbearbeitungen klar bestimmt, verhältnismässig und zweckgebunden erfolgen. Die Luzerner Vorlage bleibt in diesem Bereich teilweise zu offen. Insbesondere stellt sich die Frage, ob die geplante Datenvernetzung ausreichend präzise gesetzlich begrenzt ist, gepaart mit der pilotweisen Weiterentwicklung ohne gesetzliche Grundlage kratzt dies am Vertrauen der Bevölkerung. Ohne klare Zweckdefinition droht eine schleichende Ausweitung staatlicher Datenverwendung – mit entsprechendem Risiko für die informationelle Selbstbestimmung.

Hinzu kommt ein strukturelles Transparenzproblem: Je stärker Daten zwischen Behörden fliessen, desto schwieriger wird für Betroffene nachvollziehbar, wer wann welche Informationen bearbeitet. Damit gerät ein zentrales Element des Datenschutzrechts unter Druck: die Kontrollfähigkeit der betroffenen Person.

Kritik der Datenschutzaufsicht: zu Recht präzise

Die kantonale Datenschutzbeauftragte hat denn auch zentrale Schwachstellen benannt:
Unklare Zweckbindungen, ungenügende gesetzliche Bestimmtheit, fehlende Transparenz und nicht ausreichend konkretisierte Sicherheitsanforderungen.

Diese Kritik ist aus rechtsstaatlicher Sicht konsequent. Sie verweist auf grundlegende Prinzipien des Datenschutzrechts: Legalitätsprinzip, Zweckbindung, Verhältnismässigkeit und Datensicherheit. Gerade bei einem System, das auf umfassende Datenvernetzung abzielt, müssen diese Prinzipien nicht nur erwähnt, sondern präzise normiert und technisch umgesetzt werden.

Digitalisierung braucht demokratische Diskussion – nicht nur technische Umsetzung

Positiv ist, dass der politische Diskurs im Luzerner Kantonsrat die Risiken einer rein technokratischen Digitalisierung erkannt hat. Mehrfach wurde betont, dass Digitalisierung nicht zum Ausschluss analoger Zugänge führen darf. Dieser Gedanke ist zentral: Digitalisierung muss den Menschen dienen – nicht umgekehrt.

Das EGovG bietet deshalb eine wichtige Grundlage. Nicht, weil es bereits alle Antworten liefert, sondern weil es die notwendige Diskussion eröffnet: Wo schafft Digitalisierung echten Mehrwert? Wo entstehen neue Risiken? Und welche rechtsstaatlichen Leitplanken braucht eine moderne Verwaltung?

Gerade bei datengetriebenen Verwaltungsprozessen genügt Effizienz allein nicht. Entscheidend ist, dass Digitalisierung transparent, verhältnismässig und grundrechtskonform ausgestaltet wird. Nur so entsteht langfristig Vertrauen – sowohl bei Bürgerinnen und Bürgern als auch bei Unternehmen.

Wo der Gesetzgeber nachschärfen muss

Der Kantonsrat steht nun vor einer zentralen Weichenstellung. Soll die Digitalisierung der Verwaltung nachhaltig und rechtskonform gelingen, braucht es insbesondere:

  1. Klare gesetzliche Grenzen der Datennutzung, statt offener Generalklauseln
  2. Verbindliche Regeln für das Once-Only-Prinzip, gekoppelt mit Transparenzpflichten
  3. Nachvollziehbare Datenflüsse und Kontrollrechte für Bürgerinnen und Bürger
  4. Konkrete Vorgaben zur digitalen Souveränität, insbesondere bei Cloud- und IT-Outsourcing
  5. Verpflichtende Datenschutz- und Sicherheitsstandards (Privacy by Design)

Fazit: Effizienz braucht Rechtsstaatlichkeit

Die Luzerner Vorlage ist ein wichtiger Schritt in Richtung einer modernen, digitalen Verwaltung. Sie ist politisch realistischer und ausgewogener als ein starres «Digital First» auf Verfassungsstufe. Sie zeigt aber auch exemplarisch, wie eng Digitalisierung, Datenschutz und Grundrechte miteinander verknüpft sind.

Effizienzgewinne dürfen nicht zulasten der informationellen Selbstbestimmung gehen. Eine nachhaltige digitale Transformation gelingt nur dann, wenn sie auf einem klaren rechtlichen Fundament steht – transparent, kontrollierbar und technisch souverän und darf nicht dazu führen, dass zentrale Fragen des Datenschutzes und der digitalen Souveränität offenbleiben.

Die kommenden Beratungen bieten die Chance, aus einem reinen Digitalisierungsprojekt ein rechtsstaatlich robustes Modell moderner Verwaltung zu machen. Dafür braucht es klare Grenzen der Datennutzung, transparente Datenflüsse und strategische Leitplanken gegen neue technologische Abhängigkeiten. Digitalisierung sollte nicht dort stattfinden, wo sie möglich ist – sondern dort, wo sie sinnvoll, verhältnismässig und gesellschaftlich legitimiert ist.

Die Gewinnherausgabe bei persönlichkeitsverletzenden Medienberichten wirft nicht nur dogmatische, sondern auch sehr praktische Fragen auf: Lässt sich aus einer Persönlichkeitsverletzung tatsächlich ein Geldbetrag ableiten, der an die betroffene Person herauszugeben ist? Der Entscheid des Kantonsgerichts Zug vom 22. Januar 2025 gibt darauf eine bemerkenswerte Antwort, doch ob sich daraus bereits eine gefestigte Linie für künftige Fälle ableiten lässt, bleibt offen.

In diesem Beitrag wird der Entscheid des Kantonsgerichts Zug vom 22. Januar 2025 und seine mögliche Signalwirkung trotz fehlender Rechtskraft eingeordnet. Jolanda Spiess-Hegglin klagte gegen die Ringier AG auf Herausgabe des Gewinns aus verschiedenen persönlichkeitsverletzenden Artikeln im Zusammenhang mit der Zuger Landammannfeier vom 20. Dezember 2014.

Schutz der Persönlichkeit nach Art. 28 Abs. 1 ZGB

Wer in seiner Persönlichkeit verletzt wird, kann sich gestützt auf Art. 28 ZGB dagegen zur Wehr setzen. Dieser Schutz richtet sich gegen jede Person oder jedes Unternehmen, das an der Verletzung durch Veröffentlichung, Verbreitung oder technischer Unterstützung mitwirkt.

Nicht jede Beeinträchtigung der Persönlichkeit ist automatisch widerrechtlich. Nach Art. 28 Abs. 2 ZGB gilt eine Persönlichkeitsverletzung nur dann als widerrechtlich, wenn kein Rechtfertigungsgrund vorliegt. Solche Rechtfertigungsgründe sind insbesondere:

Damit ist das Prüfprogramm bei einer widerrechtlichen Persönlichkeitsverletzung immer sowohl die Verletzung der Persönlichkeit an sich, als auch eine allfällige Rechtfertigung für das verletzende Handeln.

Informationsauftrag der Medien

Die Medien erfüllen eine zentrale Kontroll- und Informationsfunktion in der Demokratie, doch diese rechtfertigt nicht jede Persönlichkeitsverletzung. Berichterstattung muss durch gewichtige Gründe gestützt sein und bleibt an strenge Vorgaben gebunden.

Medien dürfen wahre Tatsachen verbreiten, sofern diese mittels Fakten bewiesen werden können. Zusätzlich muss ein gewichtiges Informationsinteresse der Öffentlichkeit bestehen. Selbst wahre Tatsachen sind jedoch nicht vom Informationsinteresse gedeckt, wenn sie unnötig verletzend sind oder aus der Privat- oder Geheimsphäre stammen.

Medien steht es frei, vertretbare Werturteile zu äussern. Diese dürfen jedoch nicht unsachlich oder verletzend sein. Eine sachliche und fundierte Meinungsäusserung bleibt zulässig, solange sie nicht primär diffamierend wirkt.

Besonderheiten bei Personen des öffentlichen Lebens

Bei Personen des öffentlichen Lebens gilt ein anderer Massstab als bei üblichen Privatpersonen. Ihr geschützter Privatbereich ist enger, da ein legitimes, öffentliches Informationsinteresse besteht. Nach bundesgerichtlicher Rechtsprechung ist die Berichterstattung nur soweit zulässig, als sie vom Informationsbedürfnis gerechtfertigt ist. Der Persönlichkeitsschutz bleibt somit auch bei Personen des öffentlichen Lebens gewahrt.

Widerrechtliche Verletzung der Persönlichkeitsrechte

Bei widerrechtlichen Verletzungen der Persönlichkeitsrechte eröffnet Art. 28a ZGB der betroffenen Person verschiedene Rechtsbehelfe. Dazu gehören insbesondere Unterlassungs-, Beseitigungs- und Feststellungsansprüche sowie – je nach Konstellation – Schadenersatz-, Genugtuungs- sowie Gewinnherausgabeansprüche.

Gewinnherausgabe nach Art. 28a Abs. 3 ZGB

Wird durch eine Persönlichkeitsverletzung ein Gewinn erzielt, kann die verletzte Person grundsätzlich die Herausgabe des dadurch erzielten Gewinns verlangen. Ziel ist es, dass der Gewinn nicht dem Verletzer zukommt, sondern an die Betroffenen herausgegeben wird.

Voraussetzungen für den Gewinnherausgabeanspruch

Für die Gewinnherausgabe müssen zwei Bedingungen kumulativ erfüllt sein.

Nach bundesgerichtlicher Rechtsprechung genügt es, wenn der Artikel dazu beiträgt, die bisherige Leserschaft zu erhalten. Eine Steigerung der Leserschaft muss somit nicht nachgewiesen werden.

Urteil des Kantonsgericht Zug vom 22. Januar 2025

Das Kantonsgericht Zug verpflichtete die Ringier AG Fr. 309’531.00 plus 5% Zins an Frau Jolanda Spiess-Hegglin herauszugeben. Das Gericht entsprach dabei weitestgehend Frau Jolanda Spiess-Hegglin, welche eine Gewinnherausgabe in der Höhe von Fr. 430’000.00 forderte.

Das Urteil des Kantonsgericht ist u.W. noch nicht rechtskräftig und wurde von der Ringier AG an das Obergericht des Kantons Zug weitergezogen.

Gewinnberechnung persönlichkeitsverletzender Medienberichte

Dem Urteil ging ein früheres Urteil des Zuger Kantonsgerichts aus dem Jahr 2022 voraus, in welchem Ringier AG verpflichtet wurde Informationen zu vier persönlichkeitsverletzenden Artikeln offenzulegen. Die Offenlegungspflicht umfasste:

Aus diesen Angaben berechnete das Gericht den Betrag über Fr. 309’531.00 (vgl. für die genaue Berechnung Urteil A1 2020 56 vom 22. Januar 2025).

Wirkung des Entscheids auf zukünftige Berichterstattung?

Dem Urteil kommt trotz fehlender Rechtskraft eine starke Signalwirkung zu. Nach heutigem Kenntnisstand dürfte es sich um den ersten Fall handeln, in dem ein Schweizer Gericht ein Medienunternehmen zur Herausgabe eines konkret berechneten Gewinns verpflichtet hat. Sodann legt der Entscheid die konkrete Berechnung und Bezifferung des Gewinns dar.

Medienunternehmen müssen sich künftig fragen, ob sich grenzwertige Berichterstattung wirtschaftlich lohnt. Schwere Persönlichkeitsverletzungen können teuer werden, wenn Gerichte Gewinnherausgaben anordnen. Der Entscheid unterstreicht, dass sich persönlichkeitsverletzende Berichterstattung auch wirtschaftlich nicht auszahlen darf.

Unsere Kanzlei berät zu Persönlichkeitsschutz und Persönlichkeitsverletzungen.  Kontaktieren Sie uns gerne unverbindlich, zu Fragen rund um Persönlichkeitsschutz.

Datenschutzrecht schützt Personen – aber nicht jede Person, die Datenschutzrecht beansprucht. Der EuGH hat klargestellt: Wer das Auskunftsrecht nicht zur Kontrolle seiner Daten nutzt, sondern gezielt als Hebel für Schadenersatzansprüche, verliert diesen Schutz.  

EUGH-URTEIL (Brillen Rottler) C-526/24 VOM 19. MÄRZ 2026  

Sachverhalt 

TC meldete sich im März 2023 zum Newsletter eines deutschen Optikerunternehmens (Brillen Rottler) an. Bereits 13 Tage später stellte er ein Auskunftsbegehren nach Art. 15 DSGVO. Das Unternehmen verweigerte die Auskunft gestützt auf öffentlich zugängliche Informationen, die ein systematisches Vorgehen von TC belegen sollten: Anmeldung für Dienste -> Auskunftsbegehren -> Schadenersatzforderung. TC klagte auf Zahlung von mindestens EUR 1’000.00 Genugtuung.  

Kernaussagen des Urteils 

UMFANG DES AUSKUNFTSRECHTS (Art. 15 DSGVO) – WAS IST ERFASST, WAS NICHT? 

Vom Auskunftsrecht erfasst (Art. 15 DSGVO) 

Nicht vom Auskunftsrecht erfasst bzw. nicht schutzwürdig 

KONSEQUENZEN FÜR DIE SCHWEIZ UND IHRE RECHTSPRECHUNG  

Relevanz für die Schweiz 

Obwohl die DSGVO in der Schweiz nicht unmittelbar gilt, orientiert sich das revidierte Datenschutzgesetz (DSG, in Kraft seit 1. September 2023) eng an den europäischen Vorgaben. Schweizer Gerichte ziehen die DSGVO und die EuGH-Rechtsprechung regelmässig als Auslegungshilfe für die eurokompatible Anwendung des DSG heran.  

Stärkung des Rechtsmissbrauchsverbots (Art. 2 ZGB) 

Das Urteil bestätigt und stärkt die Anwendung von Art. 2 Abs. 2 ZGB («Der offenbare Missbrauch eines Rechts findet keinen Rechtsschutz») im Datenschutzrecht. Schweizer Gerichte werden die Logik des EuGH voraussichtlich übernehmen: Nicht die Anzahl der Gesuche, sondern die zweckfremde Absicht ist entscheidend.  

Art. 26 Abs. 1 lit. c DSG erlaubt die Verweigerung von Auskunft bei «offensichtlich querulatorischen» Gesuchen oder solchen mit datenschutzwidrigem Zweck. Das EuGH-Urteil liefert wertvolle Kriterien zur Konkretisierung dieser Bestimmung.  

Wesentlicher Unterschied: Höhere Schwelle für Genugtuung (Art. 32 Abs. 3 DSG) 

Während der EuGH den Kontrollverlust als potenziell ersatzfähigen immateriellen Schaden anerkennt, setzt Art. 32 Abs. 3 DSG für einen Genugtuungsanspruch eine schwere Persönlichkeitsverletzung voraus. Die blosse Verweigerung einer Auskunft oder die damit verbundene Ungewissheit dürfte diese Schwelle in der Schweiz regelmässig nicht erreichen.  

Dies stellt für «Datenschutz-Trolle» in der Schweiz eine erheblich höhere Hürde dar als im EU-Recht und dürfte das Geschäftsmodell systematischer Auskunftsbegehren zum Zweck der Schadenersatzerzielung in der Schweiz weitgehend unattraktiv machen.  

Übereinstimmung beim Kausalzusammenhang  

Die Ausführungen des EuGH zur Unterbrechung des Kausalzusammenhangs durch das Verhalten der betroffenen Person decken sich vollständig mit den Grundsätzen des schweizerischen Haftpflichtrechts (Selbstverschulden). Wer einen Verstoss bewusst provoziert, verliert seinen Anspruch.  

KONSEQUENZEN FÜR UNTERNEHMEN  

Das Urteil ist kein Freifahrtschein, Auskunftsbegehren pauschal abzulehnen – die Beweislast für Missbrauch liegt vollständig beim Unternehmen. Fehlerhafte oder verspätete Auskünfte sind das Einfallstor für Schadenersatzansprüche – unabhängig davon, ob die Anfrage gutgläubig oder missbräuchlich gestellt wurde.   

Für Schweizer Unternehmen kommt hinzu, dass das revidierte DSG seit September 2023 vergleichbare Auskunftspflichten kennt. Die Schwelle für Genugtuungsansprüche liegt zwar höher als im EU-Recht – das entbindet aber nicht von der Pflicht zur fristgerechten und vollständigen Auskunftserteilung.  

Konkret empfiehlt sich daher, Auskunftsprozesse zu verschlanken und intern klar zuzuweisen, Antworten verständlich zu formulieren, statt nur Rohdaten zu liefern, Datenhaltung so zu strukturieren, dass Auskünfte rasch und vollständig erteilt werden können.  

FAZIT  

Der EuGH hat mit seinem Urteil eine wichtige Grenze gegen den Missbrauch des datenschutzrechtlichen Auskunftsrechts gezogen: Wer eine Auskunft nach Art. 15 DSGVO nicht zur Kontrolle der eigenen Datenverarbeitung stellt, sondern gezielt zur Konstruktion von Schadenersatzansprüchen, handelt missbräuchlich – und verliert sowohl den Anspruch auf Auskunft als auch auf Genugtuung. Für die Schweiz bestätigt das Urteil die Anwendung des Rechtsmissbrauchsverbots (Art. 2 ZGB) im Datenschutzrecht. Zugleich setzt das Schweizer DSG mit dem Erfordernis einer schweren Persönlichkeitsverletzung für Genugtuungsansprüche die Hürde noch höher als das EU-Recht, was das Geschäftsmodell der «Datenschutz-Trolle» unattraktiv macht. 

Smartphones sind heute oft Dreh- und Angelpunkt in einem Strafverfahren. Jeder hat ein Smartphone. Und damit sind sie der wichtigste Datenträger für Ermittler. Genau deshalb darf ihr Zugriff nicht zum rechtsfreien Raum werden. Es braucht ein taugliches Siegelungsverfahren als wirksamen Schutzschild für Privatsphäre, Persönlichkeitsrechte und Berufsgeheimnisse.

Die Strafverfolgung steht unter Druck, digitale Beweise rasch auszuwerten, während sich betroffene Personen oft erst mit erheblicher Verzögerung gegen eine Durchsuchung wehren können. Gerade diese Spannung macht die Siegelung so zentral.

Warum das Thema jetzt drängt

Die Medien berichten von einem markanten Anstieg der Entsiegelungsverfahren rund um Smartphones; in Zürich sollen diese laut aktueller Berichterstattung zuletzt um 75 Prozent gestiegen sein. Parallel dazu arbeitet der Bund an der effizienteren Sicherstellung elektronischer Beweismittel und betont dabei ausdrücklich Datenschutz und Verfahrensrechte der Betroffenen.

Das zeigt zweierlei: Digitale Beweismittel sind für Strafverfolgungsbehörden unverzichtbar geworden, aber gerade deshalb müssen die rechtsstaatlichen Sicherungen mit derselben Ernsthaftigkeit funktionieren. Wenn Siegelung und Entsiegelung nicht zeitnah und sorgfältig behandelt werden, drohen irreparable Eingriffe in höchstpersönliche Daten.

Die Funktion der Siegelung

Die Siegelung ist kein technisches Detail, sondern ein verfahrensrechtliches Kerninstrument zum Schutz sensibler Informationen. Wer bei der Sicherstellung von Geräten oder Unterlagen Geheimhaltungsinteressen geltend macht, kann verlangen, dass die Inhalte zunächst versiegelt bleiben, bis ein Gericht über die Durchsuchung entscheidet.

Das gilt besonders bei Smartphones, weil sie oft eine extrem breite Datenspur enthalten: Chats, Fotos, Gesundheitsdaten, Standortverläufe, berufliche Unterlagen und private Kommunikation. Eine Durchsuchung greift daher fast zwangsläufig in die Privatsphäre ein und muss besonders sorgfältig begründet werden.

Was das Gericht zur Entsiegelung prüfen muss

Im Entsiegelungsverfahren geht es nicht nur um die Frage, ob die Staatsanwaltschaft die Daten gerne auswerten möchte. Das Zwangsmassnahmengericht muss auch prüfen, ob überhaupt ein hinreichender Tatverdacht besteht und ob die Durchsuchung verhältnismässig ist.

Gerade bei digitalen Daten ist diese Prüfung entscheidend, weil der Eingriff sehr weit reicht. Die Behörden dürfen nicht pauschal auf ganze Geräte zugreifen, wenn sich die relevanten Informationen schon klarer eingrenzen lassen oder wenn schutzwürdige Geheimnisse überwiegen.

Aktuelle Entwicklung und Praxisprobleme

Die aktuelle Diskussion um digitale Beweismittel zeigt ein strukturelles Problem: Die Verfahren dauern oft zu lange, obwohl digitale Daten gerade schnell an Beweiswert verlieren oder in grosser Menge anfallen. Gleichzeitig werden die Mitwirkungspflichten der betroffenen Person in der Praxis teilweise zu streng gehandhabt, obwohl das Bundesgericht in einschlägigen Fällen betont hat, dass substantiierte Angaben genügen können.

Hinzu kommt die neue gesetzliche Dreitagefrist seit der Sicherstellung für das Siegelungsbegehren, die in der Fachliteratur als erhebliche Verschärfung und als mögliche Fallgrube beschrieben wird. Wer diese Frist verpasst oder sein Begehren nicht sauber begründet, riskiert einen irreversiblen Verlust des Schutzes.

Bedeutung für Persönlichkeitsrechte

Das Siegelungsrecht schützt nicht nur Anwältinnen, Journalisten oder andere Berufsgeheimnisträger, sondern letztlich jede betroffene Person, deren intimste Lebensbereiche auf einem Gerät gespeichert sind. Wer ein Smartphone durchsucht, erhält oft einen umfassenden Einblick in das digitale Leben einer Person, weit über das hinaus, was für das Strafverfahren relevant ist.

Darum darf der Rechtsstaat den Schutzmechanismus der Siegelung nicht abbauen, bloss weil manche Gerichte bei digitalen Verfahren noch nicht vollständig auf der Höhe der technischen Entwicklung sind. Der richtige Weg ist nicht weniger Rechtsschutz, sondern präzisere Verfahren, schnellere gerichtliche Behandlung und strengere Begründungsanforderungen für Eingriffe.

Fazit

Die Siegelung ist im digitalen Strafverfahren kein Luxus, sondern eine rechtsstaatliche Notwendigkeit. Gerade bei Smartphones und anderen Datenträgern entscheidet sie darüber, ob die Privatsphäre effektiv geschützt bleibt oder ob sensible Daten vorschnell offengelegt werden.

Wer die Durchsuchung digitaler Geräte erleichtern will, darf den Rechtsschutz der Betroffenen nicht schleichend abbauen. Ein taugliches Siegelungsverfahren ist die Voraussetzung dafür, dass Strafverfolgung, Persönlichkeitsrechte und Privatsphäre in einem fairen Gleichgewicht bleiben.

Ein starkes Stück Schweizer Filmkunst: «The Narrative» erzählt eine Geschichte, die berührt, überrascht und nachhallt.

Wir sind stolz, als rechtliche Berater einen kleinen Beitrag zu diesem grossen Projekt geleistet zu haben – und danken dem gesamten Produktionsteam für das Vertrauen und die wertschätzende Nennung im Film und an der Vorpremiere.

Ein Film, den man nicht nur sieht, sondern erlebt. Wir gratulieren dem ganzen Team zu diesem gelungenen Werk – und wünschen viel Erfolg zum Kinostart am 12. März 2026!

Mit Urteil vom 6. Oktober 2025 bestätigt das Bundesverwaltungsgericht die Verfügung des EDÖB zur Datenbank «Pfarrer-Check» und konkretisiert die Anwendung des revidierten Datenschutzgesetzes (DSG) auf öffentlich zugängliche Personendaten.

Der Entscheid schafft wichtige Klarheit für Betreiber von Online-Plattformen, Verzeichnissen und Kampagnen-Websites im Umgang mit Personendaten aus dem Internet.

Ein Überblick über das Urteil BVGer A-2941/2024

Das Bundesverwaltungsgericht hat mit Urteil vom 6. Oktober 2025 (A-2941/2024) die Verfügung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) im sogenannten «Pfarrer-Check» bestätigt. Die öffentliche Erfassung von über 6’000 Kirchenpersonen in einer Online-Datenbank ohne Einwilligung verstösst nach Auffassung des Gerichts gegen das revidierte Bundesgesetz über den Datenschutz (DSG).

Sachverhalt zum «Pfarrer-Check»-Urteil

Der Verein «Bürgerforum Schweiz» betrieb auf seiner Website eine öffentlich einsehbare Datenbank mit Personendaten von über 6’000 Personen aus dem kirchlichen Umfeld. Erfasst wurden Name, Wohnort und Postleitzahl, Arbeitgeber bzw. Konfession, Tätigkeitsgebiet, Funktion sowie ein Status («erfasst», «angefragt», «beantwortet») im Zusammenhang mit einem Fragebogen zu religiösen Ansichten.

Zweck der Datenbank war es gemäss Betreiberin, eine Unterscheidung zwischen «echten» und «verwässerten» Kirchen zu ermöglichen. Der EDÖB ordnete mit Verfügung vom 9. April 2025 die Löschung der ohne Einwilligung der Betroffenen veröffentlichten Einträge an. Dagegen erhob der Verein Beschwerde, auf welche das Bundesverwaltungsgericht nicht eintrat.

Anwendbares Recht & Verfahren

Das Gericht bestätigt zunächst, dass das revidierte Datenschutzgesetz (DSG, in Kraft seit 1. September 2023) anwendbar ist. Entscheidend ist der Zeitpunkt der Eröffnung der formellen Untersuchung; blosse informelle Vorabklärungen und die Beantwortung von Anfragen begründen noch keine hängige Untersuchung im Sinne des Übergangsrechts.

Die Beschwerdeführerin rügte, die Vorinstanz habe das Akteneinsichtsrecht verletzt, in dem sie ihr die Anzeigen nur anonymisiert zugänglich gemacht hat. Das Gericht erachtete das Vorgehen des EDÖB jedoch als rechtmässig: Das öffentliche Interesse an einer funktionierenden Datenschutzaufsicht überwiegt das Interesse der Betreiberin an der Identität der Hinweisgebenden.

Materielle Kernpunkte (Datenschutzgrundsätze und Rechtfertigung)

Verhältnismässigkeit

Die Veröffentlichung des Status «erfasst» oder «angefragt» war nach Auffassung des Gerichts weder geeignet noch erforderlich, um den vom Verein erklärten Zweck (die Unterscheidung «echter» vs. «gefälschter» Kirchen) zu erreichen. Die Information, dass jemand einen Fragebogen erhalten, aber nicht beantwortet hat, öffnet Raum für Interpretationen, ohne einen sachlichen Mehrwert für den Zweck der Datenbearbeitung zu bieten.

Zweckbindung

Die erfassten Personen hatten ihre Kontaktdaten auf den Websites ihrer Institutionen veröffentlicht, um im Rahmen ihrer beruflichen Tätigkeit kontaktiert werden zu können. Die blosse Tatsache, dass die Daten allgemein zugänglich sind, bedeutet nicht, dass sie für jeden beliebigen Zweck, insbesondere für eine wertende Kampagnen-Datenbank, verwendet werden dürfen. Das Gericht qualifiziert die Nutzung für den «Pfarrer-Check» als Zweckänderung, die für die Betroffenen nicht erkennbar war.

Transparenz

Die betroffenen Personen müssen aktiv und klar über die tatsächliche Datenbearbeitung informiert werden. Dies ist nicht passiert. Insbesondere wurden die Betroffenen nicht ausreichend informiert, dass ihre Daten auch dann veröffentlicht würden, wenn sie den Fragebogen nicht ausfüllen. Ein blosser Verweis auf die Website des Betreibers genügt den Transparenzanforderungen des DSG nicht. Erforderlich ist eine aktive, verständliche Information über Art, Zweck und Umfang der Datenbearbeitung.

Rechtfertigungsgründe / öffentliches Interesse

Das Gericht verneint das Vorliegen eines Rechtfertigungsgrundes im Sinne von Art. 31 DSG. Weder lag eine wirksame Einwilligung vor, noch konnte sich der Verein auf eine gesetzliche Grundlage oder ein überwiegendes öffentliches Interesse berufen. Ein selbst definiertes «öffentliches Interesse» ohne Verankerung im Gesetz oder in der Verfassung reicht nicht aus, um schwerwiegende Persönlichkeitsverletzungen zu rechtfertigen.

Auch die Berufung auf Art. 31 Abs. 2 DSG (Personen des öffentlichen Lebens) bleibt erfolglos. In der Interessenabwägung misst das Gericht dem Status «angefragt» ein hohes Verletzungspotenzial bei, weil er negative Spekulationen über Haltung und Integrität der betroffenen Person zulässt, während der Status «erfasst» lediglich eine mittlere Intensität aufweist.

Demnach kommt das Gericht zum Schluss, dass die Beschwerdeführerin die Persönlichkeit der betroffenen Personen widerrechtlich verletzt.

Bedeutung des Urteils für die Praxis

Seit Inkrafttreten des neuen DSG hat der EDÖB bereits zahlreiche niederschwellige Interventionen vorgenommen und über 14 formelle Untersuchungen in Verfügungen münden lassen. Nur vier dieser Verfügungen wurden bisher vor Bundesverwaltungsgericht angefochten. Der Entscheid zeigt damit, dass die Gerichte die Linie des EDÖB grundsätzlich stützen und die datenschutzrechtlichen Grundprinzipien auch bei öffentlich zugänglichen Online-Daten konsequent durchsetzen.

Der Entscheid setzt ein klares Signal für Betreiber von Online-Datenbanken, Verzeichnissen, Kampagnen- und Bewertungsplattformen: Auch wenn Daten öffentlich zugänglich sind, bleiben Verhältnismässigkeit, Zweckbindung, Transparenz und eine tragfähige Rechtfertigungspflicht zentral.

Unsere Experten im Bereich Datenschutz- und ICT-Recht begleitet Organisationen bei der rechtssicheren Konzeption von Online-Plattformen, Websites und Projketen unter dem revidierten DSG.
Kontaktieren Sie uns unverbindlich zu Fragen in Datenschutz.

Persönlichkeitsschutz umfasst im Schweizer Recht sowohl zivil- als auch strafrechtliche Mechanismen, um die Ehre, den Ruf und die Integrität einer Person vor unzulässigen Angriffen zu bewahren. Der Fall um die SVP Stadt Luzern und das damalige Parteimitglied Yves Holenweger1 illustriert, wie Medienberichte rechtlich relevant sein können und welche Möglichkeiten Betroffene haben, sich zu schützen.

Zivilrechtlicher Persönlichkeitsschutz

Das Zivilrecht schützt die Persönlichkeit umfassend gemäss Art. 28ff. ZGB. Geschützt werden dabei physische und psychische Aspekte, aber auch Ehre, Privatsphäre und der wirtschaftlicher Ruf.

Im Fall der medienwirksamen Kritik wie vorliegend kann der Betroffene z.B. eine Gegendarstellung verlangen oder rechtliche Schritte zur Unterbindung und Beseitigung einer ehrverletzenden Behauptung einleiten.

Strafrechtlicher Persönlichkeitsschutz

Das Strafrecht greift bei besonders gravierenden Persönlichkeitsverletzungen, wie etwa übler Nachrede, Verleumdung oder Beschimpfung.

Auch hier kann der oder die Betroffene parallel zivilrechtliche Schritte einleiten, um die Folgen einer strafbaren Verletzung zusätzlich zivilrechtlich abzufedern.

Effektiver Schutz der Persönlichkeit: Rechtliche Schritte und Handlungsempfehlungen bei Rufschädigung und Ehrverletzung und Medien

Exemplarisch am Beispiel von der ehrverletzenden Medienmitteilung, die unterzeichnet wurde von Dieter Haller, der damalige Präsident der Stadtluzerner SVP, und Timo Lichtsteiner, der damalige und heutige Vizepräsident, zeigt sich, wie der Persönlichkeitsschutz funktioniert.

  1. Betroffene von ehrverletzenden Äusserungen oder Medienbeiträgen sollten zeitnah prüfen, ob ein rechtfertigender Grund vorliegt und – falls nicht – anwaltliche Unterstützung für zivilrechtliche und strafrechtliche Schritte erwägen.
  2. Gerade bei politischer Kritik oder öffentlicher Berichterstattung ist die sorgfältige Interessenabwägung (Meinungsfreiheit vs. Persönlichkeitsschutz) elementar – Gerichte wägen oft zwischen öffentlichem Interesse und den Rechten des Einzelnen ab.

Die Affäre Holenweger zeigt, wie persönliche Angriffe schnell zu einer juristischen Auseinandersetzung über Ehre und Persönlichkeit werden können. Eine spezialisierte Anwaltskanzlei bietet kompetente Unterstützung im Umgang mit solchen komplexen Fallkonstellationen und sorgt für eine sachliche, effiziente Wahrung der Rechte und Interessen der Betroffenen.

Erfahren Sie hier mehr über Persönlichkeitsschutz im Zivil- und Strafrecht.

  1. Bericht in der Luzerner Zeitung vom 23. September 2025: «SVP Stadt Luzern: Strafbefehl gegen Vizepräsidenten und ehemaligen Präsidenten», online abrufbar unter https://www.luzernerzeitung.ch/zentralschweiz/stadt-region-luzern/artikel-ld.4016595 zuletzt besucht am 23. September 2025. ↩︎