Der am 30. Juni 2026 veröffentlichte 33. Tätigkeitsbericht 2025/2026 des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) vermittelt einen aufschlussreichen Überblick über den Stand des Datenschutzes in der Schweiz. Mehr noch als einzelne Entscheidungen verdeutlichen die Zahlen die Entwicklung des Systems: Die Meldungen von Verletzungen der Datensicherheit nehmen zu, die Aufsichtstätigkeit wird intensiviert und die Bedeutung einer wirksamen Datenschutz-Governance wird erneut hervorgehoben.
Die wichtigsten Zahlen
Im Berichtszeitraum gingen 484 Meldungen von Verletzungen der Datensicherheit ein, gegenüber 363 im Vorjahr.
Besonders bemerkenswert ist die Zunahme der freiwilligen Meldungen, deren Zahl von 26 auf 141 gestiegen ist. Hierzu hat auch die Aktualisierung des Leitfadens des EDÖB zur Meldung von Verletzungen der Datensicherheit beigetragen.
Die Aufsichtstätigkeit der Behörde bestätigt eine Intensivierung der Kontrollen:
- 2’447 Anzeigen, davon 2’347 gegen private Stellen und 100 betreffend den Bund;
- 156 niederschwellige Interventionen;
- 22 Vorabklärungen;
- 9 formelle Untersuchungen.
Der Bericht weist zudem auf eine Zunahme der vorläufigen Meldungen hin. Diese werden eingereicht, wenn ein Vorfall noch untersucht wird und seine Auswirkungen auf die betroffenen Personen noch nicht unmittelbar beurteilt werden können.
Weiter wird bekräftigt, dass die Meldepflicht nach Artikel 24 DSG im Falle einer Verletzung der Datensicherheit beim Verantwortlichen verbleibt. Zugleich wird der Nutzen freiwilliger Meldungen durch Auftragsbearbeiter anerkannt, da diese die Koordination komplexer Vorfälle erleichtern können.
Die Rolle des Datenschutzberaters (DPO)
Der Bericht widmet dem Datenschutzberater (DPO) eine besondere Vertiefung und bezeichnet diese Funktion sowohl im öffentlichen als auch im privaten Sektor als wesentlich für das schweizerische Datenschutzsystem. Zu seinen Aufgaben gehören die Schulung und Sensibilisierung des Personals, die Unterstützung bei der Umsetzung des DSG sowie die Funktion als Ansprechperson für den EDÖB und die betroffenen Personen.
Der bedeutsamste Aspekt betrifft jedoch einen von der Behörde ausdrücklich hervorgehobenen Kritikpunkt: Der Datenschutzberater wird vom Verantwortlichen nicht immer ausreichend in die Prozesse einbezogen. Der EDÖB stellt fest, dass er selbst innerhalb der Bundesverwaltung häufig um Stellungnahmen zu Datenschutzfragen ersucht wird, ohne dass angegeben wird, ob der Datenschutzberater der betreffenden Stelle zuvor konsultiert wurde.
Aus diesem Grund erinnert der Bericht an einen klaren Governance-Grundsatz: Der Datenschutzberater muss frühzeitig und angemessen in die Prozesse einbezogen werden, damit Projekte von Beginn an korrekt ausgestaltet werden können. Die Behörde stellt zudem klar, dass sich Bundesorgane zunächst an ihren eigenen Datenschutzberater und erst anschliessend, soweit erforderlich, an den EDÖB wenden sollten.
Die zunehmende Bedeutung der Governance
Die Zunahme der Meldungen von Verletzungen der Datensicherheit bestätigt, dass Organisationen in einem immer komplexeren digitalen Umfeld tätig sind. Gleichzeitig unterstreicht der Bericht die Notwendigkeit, die Governance der Datenbearbeitungen zu stärken und den Datenschutzberater frühzeitig in Projekte und Entscheidungen einzubeziehen, die sich auf die Bearbeitung personenbezogener Daten auswirken.
Die Einhaltung des DSG hängt nicht nur von technischen und organisatorischen Massnahmen ab, sondern auch von der Fähigkeit der Organisation, den Datenschutz bereits ab der Konzeptions- und Planungsphase in ihre Entscheidungsprozesse zu integrieren.
