Wie setzt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) seine beschränkten Ressourcen ein? Welche Bedeutung haben Gerichtsurteile für seine Aufsichtstätigkeit? Wie geht der EDÖB mit Datenschutzverletzungen um? Und welche Rolle spielt er bei der Regulierung künstlicher Intelligenz (KI)?
Am Datenschutz-Festival 2026 der Digitalen Gesellschaft diskutierte ich am 23. Oktober 2026 im Kulturhaus Helferei in Zürich vor Publikum mit Dr. Adrian Lobsiger, dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
Im Austausch ging es unter anderem um die begrenzten Ressourcen der Datenschutz-Aufsichtsbehörde, das jüngste Urteil zur Stimmerkennung bei PostFinance, den Cyberangriff auf einen Softwarelieferanten der Pensionskasse Publica, Einsatz von Bodycams im öffentlichen Verkehr und die Herausforderungen durch KI.
Adrian Lobsiger erläuterte, nach welchen Überlegungen er Untersuchungen eröffnet, wie er seine gesetzlichen Befugnisse nutzt und weshalb für ihn bei der Aufsicht nicht nur juristische, sondern auch taktische Fragen eine Rolle spielen.
Ich fasse den Austausch nachfolgend aufgrund der Notizen, die mir ein Teilnehmer am Datenschutz-Festival zur Verfügung stellte, ohne Anspruch auf Vollständigkeit, mit ergänzten Weblinks zusammen. Im Zweifelsfall gilt selbstverständlich das gesprochene Wort.
Meine Gesprächsführung war bewusst auf die Perspektive der betroffenen Personen ausgerichtet: Was bedeutet die Aufsicht des EDÖB konkret für jene Menschen, deren Personendaten bearbeitet werden?
Austausch mit Dr. Adrian Lobsiger (EDÖB) am Datenschutz-Festival 2026
32 Vollzeitstellen: Der EDÖB muss Prioritäten setzen
Dr. Adrian Lobsiger ist seit Juni 2016 der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Er befindet sich inzwischen in seiner dritten und letzten Amtszeit.
Lobsiger erinnerte daran, dass er ursprünglich vom Bundesrat gewählt und vom Parlament bestätigt worden war. Erst mit dem neuen Datenschutzgesetz (DSG), das seit dem 1. September 2023 gilt, erfolgt die Wahl direkt durch die Vereinigte Bundesversammlung.
Die Aufsichtstätigkeit des EDÖB wird durch die verfügbaren personellen Ressourcen begrenzt. Mit 32 Vollzeitstellen muss die Behörde zahlreiche unterschiedliche Aufgaben rund um den Datenschutz erfüllen. Zur Sprache kamen unter anderem knapp 2’500 Anzeigen, über 150 «niederschwellige» Interventionen, über 6’500 Anfragen verschiedener Art und mehr als 300 Ämterkonsultationen nach Angaben im Tätigkeitsbericht 2025 / 2026.
Angesichts dieser Arbeitsbelastung müsse sich der EDÖB «auf das Wichtigste konzentrieren», erklärte Lobsiger.
Ausgangspunkt sei die Perspektive der betroffenen Personen. Seine Behörde müsse sich in die Lage der Bürgerinnen und Bürger versetzen und prüfen, welche Bedeutung eine Datenbearbeitung für sie habe. Davon hänge ab, ob eine summarische Stellungnahme ausreiche oder ob eine vertiefte Prüfung erforderlich sei.
Bei Bundesorganen könne der EDÖB häufig bereits im Gesetzgebungs- und Planungsprozess mitwirken. Als Beispiel erwähnte Lobsiger die Zusammenlegung von Sozialversicherungsplattformen, bei der seine Behörde schon vor der technischen Umsetzung einbezogen worden sei.
In anderen Fällen werde zunächst eine technische Lösung entwickelt, für die erst anschliessend eine gesetzliche Grundlage geschaffen werden müsse. Diese unterschiedliche Reihenfolge beeinflusse auch die Tätigkeit des EDÖB.
Stimmerkennung bei PostFinance: «Rechtssicherheit schafft Erleichterung»
Ein aktuelles Thema waren die Urteile des Bundesverwaltungsgerichts vom 13. Oktober 2026 zur Stimmerkennung bei PostFinance.
Das Bundesverwaltungsgericht bestätigte, dass PostFinance für die Erstellung biometrischer Stimmabdrücke zur Authentifizierung eine ausdrückliche Einwilligung der betroffenen Personen benötigt. Ferner bestätigte das Gericht, dass der EDÖB seine entsprechende Verfügung veröffentlichen darf.
Auf meine Frage, ob beim EDÖB nach den Urteilen Champagner geöffnet worden sei, bezeichnete Adrian Lobsiger die Urteile als Motivationsspritze.
Dabei gehe es ihm nicht in erster Linie darum, dass die Position seiner Behörde bestätigt werde. Entscheidend sei vielmehr, dass die betroffenen Rechtsfragen gerichtlich geklärt würden: «Rechtssicherheit schafft Erleichterung».
Das Verfahren hatte eine längere Vorgeschichte, die bis 2018 beziehungsweise 2019 zurückreicht. Lobsiger verwies auf den Übergang vom alten zum neuen Datenschutzgesetz. Dieser habe auch die Verfahrensführung beeinflusst.
Nach früherem Recht musste der EDÖB zur Durchsetzung seiner Empfehlungen gegebenenfalls selbst ein Rechtsmittel ergreifen. Unter dem neuen Datenschutzgesetz kann er selbst Verfügungen erlassen.
Lobsiger unterschied dabei zwischen der juristischen Arbeit seiner Mitarbeitenden und seinen eigenen Überlegungen zur Verfahrensstrategie.
Cyberangriff bei Publica: Datenschutzverletzungen gehören zur Realität
Ein weiteres Thema war der Cyberangriff auf einen externen Softwarelieferanten der Pensionskasse des Bundes Publica.
Ende September 2026 war der Softwarelieferant PK Softech AG Opfer eines Cyberangriffs geworden. Dabei waren Personendaten abgeflossen, unter anderem aus dem Umfeld der Publica und weiterer Vorsorgeeinrichtungen.
Der EDÖB hatte am 14. Oktober 2026 eine informelle Vorabklärung bei Publica eingeleitet und am 22. Oktober 2026 eine formelle Untersuchung gegen den Softwarelieferanten eröffnet.
Adrian Lobsiger erklärte in der Diskussion, dass die gesetzlichen Meldepflichten eingehalten worden seien. Seine Behörde stehe seit rund zehn Tagen im Austausch mit Publica und verschiedenen Bundesstellen.
Datenschutzverletzungen seien inzwischen ein regelmässiges Thema. Lobsiger nannte für 2025 ungefähr 330 Meldungen und für das laufende Jahr bereits rund 500: «Es ist Realität, dass es Breaches gibt.»
Auch bei solchen Vorfällen müsse der EDÖB überlegen, wie er an die benötigten Informationen gelange und welche Schritte zweckmässig seien. Er betonte dabei erneut die taktische Dimension seiner Tätigkeit.
Der EDÖB verstehe sich auch als Dienstleister, der im Austausch mit den beteiligten Stellen zur Klärung eines Vorfalls beitrage.
«Wir sind keine Straf-, sondern eine Verwaltungsbehörde»
Im Zusammenhang mit Datenschutzverletzungen und behördlichen Untersuchungen diskutierten wir auch über Strafanzeigen und Sanktionen.
Adrian Lobsiger verwies auf die Unterschiede zwischen dem schweizerischen und dem europäischen Datenschutzrecht: «Wir sind keine Straf-, sondern eine Verwaltungsbehörde.»
Die Bussen nach dem schweizerischen Datenschutzgesetz seien im internationalen Vergleich begrenzt. Dennoch könnten Sanktionen für einzelne Unternehmen oder Dienstleister erhebliche wirtschaftliche Folgen haben.
Eine Bestrafung müsse nach seiner Darstellung an ein entsprechendes Fehlverhalten anknüpfen. Der schweizerische Gesetzgeber habe ausdrücklich eine vorsätzliche Tatbegehung vorausgesetzt.
Auf meine Frage, ob er weitergehende Sanktionsmöglichkeiten vermisse, erklärte Lobsiger: «Wichtig ist, dass man nutzt, was man hat.»
Er wies zugleich die Vorstellung zurück, er orientiere sich unkritisch am europäischen Datenschutzrecht.
Seine Aufgabe bestehe darin, das geltende schweizerische Recht auszulegen und die betroffenen Personen zu schützen. Das Parlament habe keinen schwachen Datenschutz gewollt.
Beschwerden, Einzelfälle und systematische Probleme
Ich sprach Adrian Lobsiger darauf an, dass betroffene Personen die Wirksamkeit des schweizerischen Datenschutzrechts teilweise anders – nämlich als ungenügend – wahrnehmen könnten.
Wer sich wegen einer mutmasslichen Datenschutzverletzung an den EDÖB wende, erwarte häufig eine konkrete Untersuchung oder Intervention. Lobsiger bestätigte, dass die Ressourcen seiner Behörde Grenzen setzen. Nicht jede Beschwerde könne zu einer vertieften Untersuchung führen.
Er verwies in diesem Zusammenhang auf den Austausch mit anderen europäischen Datenschutzbehörden. Auch diese müssten ihre Aufgaben mit begrenzten Ressourcen erfüllen.
Allerdings: «Die Bevölkerung hat das Recht auf Bearbeitung» (von Anzeigen). Gleichzeitig könne der EDÖB nicht jeden individualisierten Sachverhalt selbst behandeln.
Für die Durchsetzung individueller Ansprüche verwies Lobsiger auf den zivilrechtlichen Persönlichkeitsschutz nach Art. 28 ZGB. Ausserdem biete der EDÖB eine Hotline an.
Die eingehenden Beschwerden seien für die Aufsicht dennoch wichtig. Sie würden erfasst und gezählt, damit die Behörde wiederkehrende Probleme erkennen könne.
Lobsiger illustrierte dies mit einer humorvollen Schilderung typischer Reaktionen von Unternehmen:
Auf eine erste Beschwerde werde häufig erklärt, es handle sich lediglich um einen Einzelfall. Bei weiteren Beschwerden sei dann möglicherweise der zuständige Datenschutzbeauftragte gerade in den Ferien gewesen. Häuften sich die Beschwerden weiter, könne auch dessen Stellvertretung abwesend gewesen sein.
Durch die systematische Erfassung solcher Meldungen könne der EDÖB feststellen, ob hinter vermeintlichen Einzelfällen ein grundsätzliches Problem stecke.
Als Beispiel erwähnte Lobsiger die Untersuchung gegen die Cembra Money Bank AG. Diese betraf die Behandlung von Auskunftsbegehren und die Einhaltung der gesetzlichen Fristen.
Warum der EDÖB nicht 100 Verfahren gleichzeitig führen kann
Adrian Lobsiger erläuterte auch, wie seine Behörde auf unterschiedliche Arten von Beschwerden reagiert.
Bei einem klaren, aber begrenzten Problem könne ein Schreiben an das betroffene Unternehmen genügen. Häufig werde der beanstandete Zustand daraufhin korrigiert.
Aufwendiger seien Untersuchungen, bei denen die betroffenen Unternehmen ihre Datenbearbeitungen während des laufenden Verfahrens verändern.
Lobsiger sprach in diesem Zusammenhang von der «Lebendigkeit des Untersuchten». Unternehmen würden beispielsweise ihre Allgemeinen Geschäftsbedingungen (AGB) oder ihre Website anpassen, während sich der EDÖB bereits mit einer bestimmten Datenbearbeitung befasse.
Solche Änderungen könnten zusätzliche Abklärungen und Verzögerungen verursachen.
Als aktuelles Beispiel erwähnte Lobsiger erneut PostFinance. Dort seien selbst während der gerichtlichen Überprüfung noch Anpassungen vorgenommen worden: «Es gibt 100 Tricks, aber jetzt kennen wir diese auch alle.»
Entscheidend sei für ihn die grösstmögliche Effizienz der Aufsicht. Der EDÖB könne «nicht 100 Verfahren gleichzeitig» führen. Deshalb lege er Wert auf Untersuchungen mit «exemplarischer Wirkung».
Mit ausgewählten Verfahren sollen demnach Rechtsfragen geklärt werden, die über den jeweiligen Einzelfall hinaus Bedeutung haben.
Informationelle Selbstbestimmung und Einwilligung in der Praxis
Ein weiterer Teil der Diskussion betraf die informationelle Selbstbestimmung. Ich sprach die Schwierigkeiten an, die sich bei ihrer praktischen Umsetzung ergeben. Besonders deutlich werden diese bei der Einwilligung in Datenbearbeitungen.
Adrian Lobsiger betonte, dass es immer auf den konkreten Kontext ankomme. Er verwies unter anderem auf die Merkblätter seiner Behörde, beispielsweise zur Überwachung von betreuten Personen.
Bei solchen Fragestellungen müsse ermittelt werden, welche Lösung rechtlich wirksam und in der jeweiligen Situation angemessen sei. Nach einem «vollendeten, lückenlosen Gesetz» könne man zwar streben. Lobsiger plädierte jedoch dafür, sich auf das «Wesentliche und Vorhersehbare» zu konzentrieren.
Er stimmte zu, dass eine tatsächliche informationelle Selbstbestimmung im Alltag häufig nur eingeschränkt oder gar nicht möglich sei.
Ich sprach ausserdem das Verhältnis zwischen der Aufsicht über Bundesorgane und jener über private Unternehmen an.
Lobsiger erklärte, dass seine Behörde Bundesorgane nach Möglichkeit bereits während der Gesetzgebung und der Umsetzung neuer Projekte begleite. Dabei könne der EDÖB auch Datenschutz-Folgenabschätzungen verlangen.
Bei privaten Projekten fehle eine vergleichbare systematische Einbindung im Vorfeld. Daraus könnten sich besondere Risiken ergeben, die später vertiefte Untersuchungen erforderlich machten.
Bodycams im öffentlichen Verkehr: Deshalb intervenierte der EDÖB
Auch der Einsatz von Bodycams im öffentlichen Verkehr war Gegenstand der Diskussion.
Der EDÖB hatte am 29. September 2026 eine Verfügung gegen die BLT Baselland Transport AG erlassen und die betreffende Datenbearbeitung untersagt.
Adrian Lobsiger erläuterte die Besonderheiten der datenschutzrechtlichen Aufsicht im öffentlichen Verkehr. Dabei sei unter anderem zwischen hoheitlichen Aufgaben und privatrechtlichen Tätigkeiten von Transportunternehmen zu unterscheiden.
Er verwies auf die Sensibilität der Daten, die mit tragbaren Kameras aufgezeichnet werden können: «Die Bevölkerung erwartete eine Reaktion des EDÖB.»
Ein weiterer Gesichtspunkt sei gewesen, dass andere Transportunternehmen vergleichbare Überwachungstechnologien einsetzen könnten.
Lobsiger erklärte, dass die Untersuchung auch aus taktischen Gründen eröffnet worden sei. Das geschah, obwohl der Bundesrat bereits an einer vorübergehenden Regelung neuer technischer Überwachungsmöglichkeiten im öffentlichen Verkehr arbeitete.
Neben Bodycams stellen sich nach Lobsigers Darstellung weitere Fragen, insbesondere zur Verwendung künstlicher Intelligenz bei der Überwachung und Auswertung von Aufzeichnungen.
«Der Datenschutz ist vorab eine juristische Disziplin und nicht technologiebezogen»
Von den Bodycams führte die Diskussion zur künstlichen Intelligenz. Ich erwähnte die gemeinsame Sensibilisierungskampagne des Bundesamtes für Cybersicherheit (BACS) und des EDÖB zum Einsatz generativer KI am Arbeitsplatz.
Dabei stellte ich die Frage, ob entsprechende Sensibilisierung angesichts der bereits verbreiteten unkritischen Nutzung von KI nicht zu spät komme.
Adrian Lobsiger antwortete mit einer grundsätzlichen Einordnung des Datenschutzrechts: «Der Datenschutz ist vorab eine juristische Disziplin und nicht technologiebezogen.»
Schutzobjekte seien die Privatsphäre und die informationelle Selbstbestimmung. Entscheidend sei nicht, welche Technologie eingesetzt werde, sondern welche Auswirkungen eine Datenbearbeitung auf die betroffenen Personen habe. Die verwendete Technologie sei lediglich eine Modalität der Bearbeitung.
Deshalb seien die bestehenden Grundsätze des Datenschutzrechts auch auf neue technische Entwicklungen anwendbar.
Lobsiger betonte die Bedeutung dieser generell-abstrakten Grundsätze. Sie ermöglichten es, Datenbearbeitungen unabhängig von der jeweils verwendeten Technologie zu beurteilen.
Betroffene Personen: «KI darf keine Black-Box sein»
Besonders deutlich wurde Lobsiger beim Thema Transparenz: «KI darf keine Black-Box sein».
Betroffene Personen müssten erfahren können, wie ihre Personendaten bearbeitet würden. Dies gelte unabhängig davon, ob ein KI-System mit Menschen kommuniziere, Informationen aufbereite oder automatisierte Entscheidungen treffe. Die Transparenzanforderungen seien nicht auf bestimmte Arten von Algorithmen beschränkt.
Adrian Lobsiger betonte, dass betroffene Personen ein Recht auf entsprechende Informationen hätten. Gleichzeitig räumte er ein, dass sich die heute verbreiteten KI-Modelle in der Praxis nur schwer mit einer umfassenden informationellen Selbstbestimmung vereinbaren liessen.
Daraus leitete er eine Erwartung an die Anbieter und Betreiber entsprechender Technologien ab: «Ich sollte nicht fragen müssen.»
Die Technologie müsse von sich aus die erforderliche Transparenz gegenüber den betroffenen Personen herstellen.
KI-Konvention: Neue Aufgaben für den EDÖB?
Aus dem Publikum wurde gefragt, welche Folgen die Umsetzung des KI-Übereinkommens des Europarats für den EDÖB haben könnte.
Adrian Lobsiger verwies auf seinen kürzlichen Besuch bei der österreichischen Datenschutzbehörde in Wien. Dort hatte er sich mit seinem Amtskollegen über die Aufsicht über KI-Systeme ausgetauscht.
Seine bisherige Zuständigkeit sei klar: Der EDÖB beaufsichtige Datenbearbeitungen, unabhängig davon, welche Technologie verwendet werde.
Auch bei KI-Systemen könnten deshalb bereits heute datenschutzrechtliche Massnahmen ergriffen werden. Als Beispiele nannte Lobsiger «Social Scoring» und automatische Gesichtserkennung.
In Österreich habe die Datenschutzbehörde zusätzliche Aufgaben im Zusammenhang mit der europäischen KI-Verordnung (AI Act) erhalten.
Dabei gehe es teilweise auch um die technische Beurteilung und Genehmigung von KI-Technologien.
Lobsiger erklärte, dass der schweizerische EDÖB entsprechende zusätzliche Aufgaben mit seinen heutigen personellen Ressourcen und technischen Fachkenntnissen nicht allein bewältigen könnte.
Dafür müsste seine Behörde mit externen IT-Fachleuten zusammenarbeiten. Auch die österreichische Datenschutzbehörde setze auf eine spezialisierte technische Einheit.
Manipulation und Diskriminierung durch KI
Adrian Lobsiger nannte zwei Themen, die von der KI-Konvention erfasst werden, aber nicht unmittelbar zum Kernbereich des Datenschutzgesetzes gehören: Manipulation und Diskriminierung.
Das Datenschutzgesetz begründe für den EDÖB keine allgemeine Zuständigkeit zur Aufsicht über diese beiden Themen. Allerdings könnten sich entsprechende Fragen im Zusammenhang mit der Bearbeitung von Personendaten stellen.
Lobsiger berichtete von einer Arbeitsgruppe mit dem Eidgenössischen Justiz- und Polizeidepartement (EJPD), die sich mit solchen Fragestellungen befasse. Dabei werde unter anderem die Möglichkeit einer Ethikkommission diskutiert.
Ausserdem verwies er auf Datenschutz-Folgenabschätzungen. Diese könnten auch dazu dienen, Risiken im Zusammenhang mit Manipulation oder Diskriminierung zu untersuchen.
Lobsiger sprach sich dafür aus, bei der Beurteilung von Datenbearbeitungen nicht ausschliesslich das Datenschutzgesetz isoliert zu betrachten, sondern auch andere einschlägige Rechtsnormen zu berücksichtigen.
Er erwähnte in diesem Zusammenhang das Gleichstellungsgesetz und das «Helsana+»-Urteil des Bundesverwaltungsgerichts aus dem Jahr 2019.
Bei «Helsana+» hatte das Bundesverwaltungsgericht bestimmte Grenzen der vom EDÖB geltend gemachten Ansprüche aufgezeigt. Lobsiger hielt dennoch an seiner Auffassung fest, dass bei Datenbearbeitungen die gesamte einschlägige Rechtsordnung berücksichtigt werden sollte.
Nutzt der EDÖB selbst künstliche Intelligenz?
Ich fragte Lobsiger auch, ob seine Behörde selbst KI einsetze. Seine Antwort lautete: Ja.
Der EDÖB nutze und erprobe KI-Anwendungen, die auch innerhalb der Bundesverwaltung eingesetzt werden dürften.
Dies gehöre für ihn zur Wahrnehmung der Aufsichtstätigkeit. Seine Behörde müsse die Technologien kennen, deren Einsatz sie beaufsichtige.
Lobsiger erklärte, dass der EDÖB neue Anwendungen möglichst früh selbst ausprobiere.
Zum Einsatz kämen unter anderem KI-Funktionen im Zusammenhang mit Office- und Webanwendungen. Als Anwendungsfälle nannte er das Zusammenfassen, Übersetzen und Schwärzen von Dokumenten.
Künftig könnten entsprechende Funktionen möglicherweise auch auf der eigenen Infrastruktur des Bundes bereitgestellt werden.
Digitale Souveränität: Grosse und kleine Anbieter im Vergleich
Eine weitere Publikumsfrage betraf die digitale Souveränität der Schweiz.
Gefragt wurde insbesondere, welche Bedeutung die Unternehmensgrösse für die Umsetzung des Datenschutzes habe. Viele Schweizer Technologieunternehmen seien vergleichsweise klein und verfügten nur über begrenzte Ressourcen.
Lobsiger bestätigte, dass die Grösse eines Anbieters bei Fragen der technischen Sicherheit eine Rolle spielen könne.
Grosse Anbieter verfügten über mehr Ressourcen. Gleichzeitig stellten sich bei ihnen Fragen der Marktmacht, der Abhängigkeit und des Klumpenrisikos: «Die Grossen haben ja auch ihre Pannen».
Bei kleineren Unternehmen seien hingegen die Verantwortlichkeiten, die verfügbaren Mittel und das Haftungssubstrat zu berücksichtigen.
Lobsiger wies darauf hin, dass strenge aufsichtsrechtliche Massnahmen für kleine Anbieter besonders schwerwiegende Folgen haben könnten. Ein Verbot könne unter Umständen dazu führen, dass ein Unternehmen seine Geschäftstätigkeit einstellen müsse.
Er verwies zudem auf unterschiedliche Erwartungen an die digitale Souveränität innerhalb der Schweiz. In der Romandie werde diesem Anliegen teilweise besonders grosse Bedeutung beigemessen.
Für die Aufsicht über kleinere Schweizer IT-Unternehmen formulierte Lobsiger einen Grundsatz: «Wenn wir in der Schweiz eine eigene IT-Branche wollen, müssen wir den Unternehmen eine Chance geben. Sie müssen üben können.»
Deshalb könne es Situationen geben, in denen der EDÖB bewusst diskret vorgehe, statt eine Intervention öffentlich zu machen.
Lobsiger erwähnte abschliessend einen Fall, in dem er interveniert habe, um zu verhindern, dass Server eines konkursiten Unternehmens durch das Konkursamt an den Meistbietenden verkauft würden.
Dabei habe auch die Frage eine Rolle gespielt, in wessen Hände die darauf gespeicherten Daten gelangen könnten.
Die Aufsicht über Datenbearbeitungen umfasse somit nicht nur den laufenden Betrieb von IT-Systemen, sondern könne sich auch auf den Umgang mit Daten bei der Einstellung einer Geschäftstätigkeit erstrecken.
Bild: OpenAI / ChatGPT (KI-generiert).