Der Doppelname kommt von zwei Aufgaben in einer Behörde. Als Datenschutzbeauftragter wacht der EDÖB darüber, dass Bundesorgane und private Personen Personendaten rechtmässig bearbeiten. Als Öffentlichkeitsbeauftragter vermittelt er, wenn jemand Einsicht in ein Dokument der Bundesverwaltung verlangt und diese verweigert wird. Für einen Gewerbebetrieb zählt nur die erste Rolle.
Was der EDÖB tut, und was er nicht tut
| Er tut das | Er tut das nicht |
|---|---|
| Untersuchungen eröffnen, von Amtes wegen oder auf Anzeige (Art. 49) | Bussen aussprechen. Verfolgung und Beurteilung liegen bei den Kantonen (Art. 65) |
| Verfügen, dass eine Bearbeitung angepasst, unterbrochen oder abgebrochen wird (Art. 51) | Schadenersatz zusprechen. Dafür ist das Zivilgericht da |
| Die Bekanntgabe ins Ausland aufschieben oder untersagen (Art. 51 Abs. 2) | Verzeichnisse privater Unternehmen entgegennehmen. Das melden nur Bundesorgane (Art. 12 Abs. 4) |
| Informieren, schulen und beraten, auch private Personen (Art. 58 Abs. 1 Bst. a) | Software oder Anbieter zertifizieren. Bewertungen nehmen anerkannte unabhängige Zertifizierungsstellen vor (Art. 13) |
| Jährlich der Bundesversammlung Bericht erstatten und ihn veröffentlichen (Art. 57) | Kantonale und kommunale Stellen beaufsichtigen. Dafür gibt es kantonale Beauftragte |
Gewählt vom Parlament, unabhängig im Amt
Die Vereinigte Bundesversammlung wählt die Leiterin oder den Leiter des EDÖB (DSG Art. 43 Abs. 1). Die Amtsdauer beträgt vier Jahre und kann zwei Mal erneuert werden (Art. 44 Abs. 1). Die oder der Beauftragte übt die Funktion unabhängig aus, ohne Weisungen einer Behörde oder eines Dritten, ist administrativ der Bundeskanzlei zugeordnet und verfügt über ein eigenes Budget und eigenes Personal (Art. 43 Abs. 4 und 5). Adrian Lobsiger ist seit Juni 2016 im Amt; am 20. Dezember 2023 hat ihn die Vereinigte Bundesversammlung für die Amtsperiode 2024 bis 2027 gewählt.
Untersuchung, Verfügung, Verwarnung
Eine Untersuchung eröffnet der EDÖB, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Vorschriften verstossen könnte. Bei geringfügigen Verletzungen kann er davon absehen (Art. 49 Abs. 1 und 2). Wer untersucht wird, muss alle Auskünfte erteilen und die Unterlagen zur Verfügung stellen (Abs. 3). Hat der Betrieb während der Untersuchung die nötigen Massnahmen getroffen, kann es bei einer Verwarnung bleiben (Art. 51 Abs. 5).
Wann ein Betrieb dem EDÖB etwas melden muss
- Verletzung der Datensicherheit. Führt sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen, meldest du sie dem EDÖB so rasch als möglich (Art. 24 Abs. 1), über das Portal DataBreach. Eine feste Frist von 72 Stunden wie in der Datenschutz-Grundverordnung der EU kennt das Schweizer Gesetz nicht.
- Datenschutzberaterin oder Datenschutzberater. Wer freiwillig eine solche Person ernennt und von der Erleichterung nach Art. 23 Abs. 4 profitieren will, veröffentlicht deren Kontaktdaten und teilt sie dem EDÖB mit (Art. 10 Abs. 3 Bst. d), über das DPO-Portal.
- Konsultation. Ergibt eine Datenschutz-Folgenabschätzung trotz Massnahmen noch ein hohes Risiko, holst du vorgängig die Stellungnahme des EDÖB ein (Art. 23 Abs. 1). Er teilt seine Einwände innert zwei Monaten mit; bei einer komplexen Datenbearbeitung kann sich diese Frist um einen Monat verlängern (Art. 23 Abs. 2).
- Nicht zu melden ist das Bearbeitungsverzeichnis. Private Unternehmen sind davon seit dem 1. September 2023 befreit.
Was der EDÖB für dich tun kann
Er informiert, schult und berät Bundesorgane und private Personen in Fragen des Datenschutzes, erteilt betroffenen Personen auf Anfrage Auskunft darüber, wie sie ihre Rechte ausüben können, und erarbeitet Arbeitsinstrumente als Empfehlungen der guten Praxis (Art. 58 Abs. 1). Auf seiner Website stehen Merkblätter und Musterformulierungen, auch zu Werbung und Direktmarketing. Für einen Kleinbetrieb ist das die günstigste erste Quelle, bevor eine Beratung bezahlt wird.
Der andere Weg führt in die Gegenrichtung: Wer mit deiner Datenbearbeitung nicht einverstanden ist, kann sich beim EDÖB melden. Hat die betroffene Person Anzeige erstattet, informiert er sie über die unternommenen Schritte und das Ergebnis (Art. 49 Abs. 4). Welche Pflichten dahinterstehen, steht im Ratgeber Das Datenschutzgesetz im Kleinbetrieb.
Häufige Fragen
Kann mich der EDÖB büssen?
Nein, nicht direkt. Der EDÖB verfügt Massnahmen, Verfolgung und Beurteilung strafbarer Handlungen obliegen den Kantonen (DSG Art. 65 Abs. 1). Er kann aber Anzeige erstatten und im Verfahren die Rechte einer Privatklägerschaft wahrnehmen. Und wer seine Verfügung vorsätzlich missachtet, wird mit Busse bis CHF 250'000.00 bestraft (Art. 63).
Muss ich meinen Betrieb beim EDÖB anmelden?
Nein. Es gibt kein Register, in das sich private Unternehmen eintragen müssten. Das Meldeportal DataReg gilt nur für Bundesorgane. Gemeldet werden von privater Seite nur schwere Datenpannen (Art. 24) und, freiwillig, die Kontaktdaten einer Datenschutzberaterin oder eines Datenschutzberaters (Art. 10 Abs. 3).
Ab wann ist eine Datenpanne meldepflichtig?
Wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt (DSG Art. 24 Abs. 1). Ein verlorenes Notebook mit verschlüsselter Festplatte ist das in der Regel nicht, eine offen im Netz liegende Kundenkartei mit Gesundheitsdaten schon.
Ist der EDÖB auch für kantonale Ämter zuständig?
Nein. Er beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften, also Bundesorgane und private Personen (DSG Art. 4 Abs. 1). Für die Verwaltung eines Kantons oder einer Gemeinde ist die kantonale Datenschutzstelle zuständig, die nach kantonalem Recht arbeitet.
Quellen
- Datenschutzgesetz (DSG), Art. 4: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
- Datenschutzgesetz (DSG), Art. 43 und 44: Wahl, Stellung, Amtsdauer
- Datenschutzgesetz (DSG), Art. 49 und 51: Untersuchung und Verwaltungsmassnahmen
- Datenschutzgesetz (DSG), Art. 57, 58 und 63 bis 65: Information, weitere Aufgaben, Strafbestimmungen
- EDÖB: Der Beauftragte, Adrian Lobsiger, Amtsperiode 2024 bis 2027
- EDÖB: Meldeportale DataBreach, DataReg und DPO-Portal
- Parlamentsdienste: Räte bestätigen Datenschutzbeauftragten Lobsiger im Amt, 20.12.2023
Dieser Text ist eine allgemeine Information für Schweizer Unternehmen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Wenn dir ein Fehler auffällt, schreib uns, wir korrigieren ihn.
