Kurzantwort
Das Bundesgesetz über den Datenschutz (DSG) gilt, wenn private Verantwortliche oder Bundesorgane Personendaten natürlicher Personen bearbeiten und die Bearbeitung Auswirkungen in der Schweiz hat. Es schützt seit 1. September 2023 nicht mehr Daten juristischer Personen. Kantonale und kommunale Behörden unterstehen primär ihrem kantonalen Datenschutzrecht; Spezialgesetze, Berufsgeheimnisse, Arbeitsrecht und die DSGVO können daneben anwendbar sein.
Profiling ist nicht generell verboten. Bei Profiling mit hohem Risiko gelten aber strengere Anforderungen, insbesondere an ausdrückliche Einwilligung, Transparenz, Datenschutz-Folgenabschätzung und Sicherheitsmassnahmen. Biometrische Daten sind besonders schützenswert, wenn sie eine natürliche Person eindeutig identifizieren. Gesichtserkennung, Fingerabdruckzugang und Stimmidentifikation benötigen daher eine präzise Zweck-, Verhältnismässigkeits- und Risikoprüfung.
Arbeitgeber dürfen nach Artikel 328b OR Arbeitnehmerdaten nur bearbeiten, soweit sie die Eignung für das Arbeitsverhältnis betreffen oder zur Vertragsdurchführung erforderlich sind. Dauernde Verhaltensüberwachung ist zusätzlich durch Artikel 26 ArGV 3 begrenzt. Transparenz, Zweckbindung, Zugriffsbeschränkung und Verhältnismässigkeit gelten auch für E-Mail-, Internet-, GPS-, Video- und KI-Auswertung.
Ein Cloud-Anbieter ist meist Auftragsbearbeiter. Der Verantwortliche bleibt rechenschaftspflichtig, muss Auswahl, Vertrag, Unterauftragsbearbeitung, Sicherheit, Löschung, Auditrechte, Vorfälle und ausländische Zugriffe beherrschen. Bekanntgabe ins Ausland ist ohne zusätzliche Garantie nur zulässig, wenn der Bundesrat einen angemessenen Schutz anerkennt; sonst braucht es insbesondere anerkannte Standardklauseln, einen völkerrechtlichen Vertrag oder eine gesetzliche Ausnahme plus Transferprüfung.
Für KI besteht am 19. Juli 2026 noch kein allgemeines Schweizer KI-Gesetz. Das technologieneutrale DSG gilt jedoch direkt, sobald ein KI-System Personendaten bearbeitet. Automatisierte Einzelentscheide, hohe Risiken, Datenquellen, Modelltraining und Betroffenenrechte müssen deshalb schon heute geprüft werden.
Anwendungsbereich und Rollen
Personendaten sind Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Pseudonymisierung beseitigt den Personenbezug nicht, wenn eine Reidentifizierung mit vernünftigen Mitteln möglich bleibt. Wirklich anonymisierte Daten fallen nicht unter das DSG; die Kombination grosser Datensätze oder KI kann jedoch einen Personenbezug wiederherstellen.
Verantwortlicher ist, wer Zweck und Mittel bestimmt; ein Auftragsbearbeiter bearbeitet in dessen Auftrag. Gemeinsame Verantwortlichkeit kann entstehen, wenn mehrere Beteiligte wesentliche Entscheidungen gemeinsam treffen. Bei ausländischen Unternehmen greift Artikel 3 für Sachverhalte mit Auswirkungen in der Schweiz; unter Umständen ist eine Schweizer Vertretung zu bezeichnen.
Jede Bearbeitung muss rechtmässig, nach Treu und Glauben, verhältnismässig, zweckgebunden und transparent sein; Daten müssen richtig sein. Anders als die DSGVO verlangt das private DSG nicht für jede Bearbeitung eine vorab benannte Rechtsgrundlage. Eine Persönlichkeitsverletzung nach Artikel 30 — etwa entgegen Grundsätzen, gegen ausdrücklichen Willen oder durch Bekanntgabe besonders schützenswerter Daten — braucht aber Einwilligung, überwiegendes privates oder öffentliches Interesse oder Gesetz als Rechtfertigung. Bundesorgane benötigen grundsätzlich eine gesetzliche Grundlage, bei besonders schützenswerten Daten oder Profiling regelmässig eine Grundlage im formellen Gesetz.
Profiling und automatisierte Entscheide
Profiling ist jede automatisierte Bearbeitung, mit der persönliche Aspekte bewertet werden, etwa Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel. „Profiling mit hohem Risiko“ liegt vor, wenn die Kombination von Daten eine Beurteilung wesentlicher Persönlichkeitsaspekte erlaubt und ein hohes Risiko für Persönlichkeit oder Grundrechte mit sich bringt.
Stützt ein privater Verantwortlicher die Bearbeitung besonders schützenswerter Daten oder ein Hochrisiko-Profiling auf Einwilligung, muss diese ausdrücklich erfolgen. Einwilligung ist nur gültig, wenn sie nach angemessener Information freiwillig für die konkrete Bearbeitung erteilt wird. Im Arbeitsverhältnis ist Freiwilligkeit wegen des Abhängigkeitsverhältnisses besonders kritisch.
Führt eine geplante Bearbeitung voraussichtlich zu hohem Risiko, verlangt Artikel 22 eine Datenschutz-Folgenabschätzung (DSFA): Beschreibung, Zweck, Risikobewertung und Schutzmassnahmen. Bleibt ein hohes Restrisiko, ist der EDÖB vorab zu konsultieren, sofern nicht ein qualifizierter Datenschutzberater eingebunden ist und die gesetzlichen Voraussetzungen erfüllt sind.
Artikel 21 betrifft Entscheide, die ausschliesslich automatisiert erfolgen und für die betroffene Person mit Rechtsfolge oder erheblicher Beeinträchtigung verbunden sind. Der Verantwortliche muss darüber informieren und auf Verlangen eine menschliche Überprüfung ermöglichen. Ausnahmen gelten insbesondere, wenn der Entscheid unmittelbar mit dem ausdrücklichen Begehren der Person zusammenhängt und diesem stattgegeben wird oder wenn ausdrücklich eingewilligt wurde. Das allgemeine Auskunftsrecht umfasst zusätzliche Angaben über das Zustandekommen solcher Entscheide.
Biometrie, Gesichtserkennung und öffentliche Stellen
Genetische Daten und biometrische Daten, die eine natürliche Person eindeutig identifizieren, sind nach Artikel 5 besonders schützenswert. Ein gewöhnliches Foto ist nicht automatisch biometrisches Datum; die technische Verarbeitung zu einer eindeutigen Gesichts- oder Merkmalsvorlage kann dies ändern. Organisationen müssen Zweck, Alternativen, Fehlerraten, Bias, Speicherort, Vorlagenformat, Löschung und Missbrauchsfolgen prüfen.
Im Urteil 1C_63/2023 beurteilte das Bundesgericht Luzerner Polizeiregeln für automatisierte Fahrzeugfahndung und Datenanalyse. Es hielt zur biometrischen Analyse fest:
Stellt die automatisierte Gesichtserkennung einen schweren Eingriff in das Recht auf informationelle Selbstbestimmung dar, so bedarf sie einer ausdrücklichen Grundlage im formellen Gesetz.
—
Die kantonale Norm erlaubte umfangreiche automatisierte Analysen, Bewegungsprofile und potenziell Gesichtserkennung ohne hinreichend bestimmte Grenzen. Das Gericht verlangte klare Zwecke, Datenkategorien, Speicherdauer sowie technische, organisatorische und verfahrensrechtliche Sicherungen und untersagte die weitergehende automatisierte Analyse auf dieser Grundlage. Das Urteil betrifft öffentliches Polizeirecht, zeigt aber die hohe Eingriffsintensität, Fehler- und Diskriminierungsrisiken biometrischer Systeme.
Mitarbeiterüberwachung
Artikel 328b OR beschränkt die Bearbeitung auf Daten, welche die Eignung des Arbeitnehmers für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind. Die Vorschrift ist relativ zwingend. Artikel 26 ArGV 3 verbietet Überwachungs- und Kontrollsysteme, die das Verhalten am Arbeitsplatz überwachen sollen. Sind Systeme aus anderen Gründen nötig, müssen sie so gestaltet und angeordnet sein, dass Gesundheit und Bewegungsfreiheit nicht beeinträchtigt werden.
Sicherheit, Zeiterfassung, Compliance oder Schutz von Vermögen können legitime Zwecke sein, rechtfertigen aber keine grenzenlose Kontrolle. Erforderlich sind ein konkreter Zweck, mildestes geeignetes Mittel, klare Vorabinformation, kurze Aufbewahrung, enger Zugriff und Regeln für private Nutzung. Heimliche Überwachung ist nur in seltenen, schwerwiegenden Verdachtsfällen nach strenger Verhältnismässigkeitsprüfung denkbar; arbeitsrechtliche Beweisverwertung und Strafrecht sind zusätzlich zu prüfen.
Im Urteil 4A_493/2024 ging es nicht um laufende Überwachung, sondern um Referenzauskünfte. Das Bundesgericht bestätigte, dass Auskunftserteilung Datenbearbeitung ist und Artikel 328b OR sowie DSG beachtet werden müssen. Eine Arbeitgeberreferenz setzt grundsätzlich Einwilligung voraus und darf das Arbeitszeugnis nur innerhalb der Zeugnis- und Datenschutzgrundsätze konkretisieren. Das zeigt, dass der Schutz auch bei Bewerberprüfung, Recruiting-KI und Informationsweitergabe nach Beendigung fortwirkt.
Cloud und Auftragsbearbeitung
Nach Artikel 9 darf der Verantwortliche Bearbeitung übertragen, wenn der Auftragsbearbeiter nur so bearbeitet, wie es der Verantwortliche selbst dürfte, und keine gesetzliche oder vertragliche Geheimhaltung die Übertragung verbietet. Unterauftragsbearbeitung braucht vorgängige Genehmigung. Der Verantwortliche muss sich insbesondere vergewissern, dass Datensicherheit gewährleistet ist.
Ein belastbarer Vertrag regelt Weisungen, Datenarten, Vertraulichkeit, Sicherheit, Unteranbieter, Standorte, Betroffenenrechte, Vorfälle, Löschung und Audits. Berufs-, Bank-, Gesundheits- und Amtsgeheimnisse können zusätzliche Anforderungen schaffen. Drittstaatzugriff kann eine Auslandsbekanntgabe sein, auch bei Schweizer Rechenzentrum.
Artikel 7 verlangt Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen. Artikel 8 verlangt angemessene Sicherheit. Verletzungen der Datensicherheit sind dem EDÖB so rasch wie möglich zu melden, wenn sie voraussichtlich zu hohem Risiko führen; Betroffene sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.
Künstliche Intelligenz
KI als Technik untersteht nicht automatisch dem DSG. Sobald Training, Eingabe, Ausgabe, Protokollierung oder Bewertung Personendaten umfasst, gelten die normalen DSG-Pflichten. Der EDÖB verlangt transparente Angaben zu Zweck, Funktionsweise und Datenquellen. Verantwortliche müssen klären, ob öffentliche Trainingsdaten rechtmässig weiterverwendet werden, Widersprüche berücksichtigen, Halluzinationen und Datenrichtigkeit beherrschen, Prompts schützen und Betroffenenrechte praktisch ermöglichen.
Besonders riskant sind Bewerberranking, Kredit- oder Versicherungsbewertung, Gesundheitssysteme, Emotionserkennung, biometrische Identifikation und Social Scoring. Je nach Einsatz greifen Hochrisiko-Profiling, automatisierte Einzelentscheidung, DSFA, Diskriminierungsschutz und sektorspezifische Aufsicht. Das Bundesgericht bezeichnete in 1C_63/2023 komplexes Data Mining grosser sensibler Bestände als grundsätzlich schwerwiegenden Grundrechtseingriff und verwies auf Intransparenz, falsch-positive Ergebnisse, Bias und Rückkopplungseffekte.
Am 19. Juli 2026 besteht noch keine übergreifende Schweizer KI-Gesetzgebung. Der Bund erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage zur Umsetzung der KI-Konvention des Europarats, insbesondere zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Bis neues Recht in Kraft tritt, gelten DSG, Persönlichkeits-, Arbeits-, Konsumenten-, Immaterialgüter-, Wettbewerbs- und sektorspezifisches Recht bereits heute.
Bekanntgabe ins Ausland
Artikel 16 erlaubt eine Bekanntgabe ohne zusätzliche Garantien, wenn der Bundesrat für den Empfängerstaat oder internationalen Organismus angemessenen Schutz festgestellt hat. Die aktuelle Liste steht in Anhang 1 DSV. Für die USA gilt Angemessenheit nur im Rahmen des Swiss-U.S. Data Privacy Framework für entsprechend zertifizierte Organisationen; sonst bleibt eine andere Grundlage nötig.
Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
—
Fehlt Angemessenheit, kommen insbesondere ein völkerrechtlicher Vertrag, Datenschutzklauseln zwischen Parteien mit vorgängiger Mitteilung an den EDÖB, anerkannte Standarddatenschutzklauseln oder verbindliche unternehmensinterne Regeln in Betracht. Der Exporteur muss prüfen, ob Recht und Praxis des Empfängerstaats die Garantien tatsächlich einhaltbar machen, und nötigenfalls ergänzende technische oder organisatorische Massnahmen treffen. Verschlüsselung hilft nur, wenn Schlüssel und Zugriffswege wirksam getrennt bleiben.
Artikel 17 enthält enge Ausnahmen, etwa ausdrückliche Einwilligung, Vertragsabwicklung, überwiegendes öffentliches Interesse, Rechtsansprüche, Schutz von Leben oder körperlicher Unversehrtheit, von der betroffenen Person allgemein zugänglich gemachte Daten oder gesetzlich vorgesehene Register. Ausnahmen sind keine Dauerlösung für planmässige Cloud-Transfers. Informationspflichten nach Artikel 19 verlangen grundsätzlich Staat oder internationalen Organismus; Verträge und Verzeichnisse müssen Datenflüsse vollständig abbilden.
Betroffenenrechte, Durchsetzung und Sanktionen
Betroffene können nach Artikel 25 Auskunft verlangen und nach Artikel 32 insbesondere Berichtigung, Löschung, Unterlassung oder Feststellung einer widerrechtlichen Bearbeitung nach den Persönlichkeitsschutzregeln beanspruchen. Der Verantwortliche muss Identität prüfen und gesetzliche Einschränkungen begründen. Datenportabilität gilt unter den Voraussetzungen von Artikel 28.
Der EDÖB kann Untersuchungen eröffnen und Bearbeitung anpassen, unterbrechen oder beenden lassen sowie Löschung anordnen. Bestimmte vorsätzliche Pflichtverletzungen können mit Busse bis CHF 250'000 sanktioniert werden; strafrechtlich verantwortlich sind primär handelnde natürliche Personen. Zivilrechtlicher Schadenersatz und Genugtuung, arbeitsrechtliche Folgen sowie sektorale Sanktionen können hinzukommen.
Fazit
Schweizer Datenschutz-Compliance ist technikneutral, aber risikogestuft. Profiling, KI, Biometrie und Monitoring sind nicht pauschal verboten; sie verlangen einen klaren Zweck, minimale Daten, Transparenz, Sicherheit, Verhältnismässigkeit und bei hohem Risiko eine dokumentierte DSFA. Arbeitgeber haben zusätzliche enge Grenzen. Cloud-Nutzung verlagert die Bearbeitung, nicht die Verantwortung. Vor jeder Auslandsbekanntgabe sind Empfänger, Zugriffsorte, Angemessenheit und wirksame Garantien zu prüfen. Neue KI-Regeln sind in Arbeit, ersetzen aber die bereits geltenden Pflichten nicht.
Quellen
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.