🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 06.08.2026

Nationaler Spitex-Tag 2026: Datenschutz am Aktionstag

Der Nationale Spitex-Tag 2026 findet am Samstag, 5. September 2026, statt — unter dem Motto «Gute Pflege heisst: Cool bleiben – Verantwortungsvolle Aufgaben. Selbständiges Handeln.» Spitex-Organisationen in der ganzen Schweiz führen an diesem Tag Aktionen und Anlässe durch, bei denen die Bevölkerung mit der Spitex ins Gespräch kommen kann. Wer dabei Fotos oder Videos veröffentlicht, bearbeitet Personendaten — und das hat konkrete Konsequenzen nach dem Datenschutzgesetz (DSG).

Betrifft mich das?

Das DSG (SR 235.1) gilt für die Bearbeitung von Personendaten durch private Personen und Bundesorgane (Art. 2 DSG). Die meisten Spitex-Organisationen sind als Verein, Stiftung oder AG organisiert und damit aus Beratungssicht als private Verantwortliche im Sinne des DSG zu behandeln.

Für Kantonsorganisationen oder öffentlich-rechtliche Träger kann abweichendes kantonales Recht gelten — hier empfehlen wir, die eigene Rechtsform zu prüfen.

Nicht betroffen von den Einwilligungspflichten nach Art. 6 Abs. 7 DSG sind Fotos und Videos, auf denen keine Personen erkennbar sind (z. B. reine Standortaufnahmen, Materialfotos).

Foto und Video am Aktionstag: Einwilligung zuerst

Dies ist das akuteste Problem am Aktionstag: Sobald Sie Mitarbeitende oder Klientinnen und Klienten in Fotos oder Videos zeigen, bearbeiten Sie Personendaten. Zeigen die Aufnahmen Gesundheitssituationen — etwa eine Pflegefachperson bei der Arbeit am Klienten — handelt es sich um besonders schützenswerte Personendaten.

Das DSG ist hier eindeutig: Nach Art. 6 Abs. 7 DSG muss die Einwilligung für die Bearbeitung besonders schützenswerter Personendaten ausdrücklich erfolgen. Eine stillschweigende oder allgemeine Zustimmung genügt nicht. Ausserdem gilt nach Art. 6 Abs. 6 DSG: Die Einwilligung ist nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.

Aus Beratungssicht empfehlen wir folgende praktische Regeln:

Einwilligung vor der Veröffentlichung einholen — nicht erst nach dem Posten.
Die Einwilligung schriftlich dokumentieren, damit Sie die Nachweisbarkeit sicherstellen können. Eine solche Dokumentation ist eine Empfehlung zur Beweissicherung, keine gesetzliche Formpflicht.
Im Zweifel keine Personenfotos — wer nicht erkennbar ist, muss nicht einwilligen.
Keine erkennbaren Klientensituationen ohne ausdrückliche Einwilligung der abgebildeten Person.
Einen Freigabeprozess für Social-Media-Posts einrichten: Wer prüft vor dem Absenden, ob Personen erkennbar sind und ob die Einwilligung vorliegt?

Mehr zu den Grundlagen, welche Personendaten Ihre Organisation überhaupt veröffentlichen darf, lesen Sie in unserem Artikel Dürfen Praxen Personendaten veröffentlichen?.

Der Tag als Kommunikationsanlass

Laut Spitex Schweiz zeigt die Kampagne den Pflegealltag mit einem Augenzwinkern und macht deutlich: Neben Fachwissen braucht es in der Spitex Gelassenheit sowie die Fähigkeit, auch in herausfordernden Situationen eigenständig und verantwortungsvoll zu handeln. Unter dem Hashtag #SpitexTag werden Eindrücke und Aktivitäten auf Social Media geteilt.

Das ist eine echte Chance für Ihre Aussenkommunikation — wenn Sie die Datenschutzregeln einhalten:

Zeigen Sie den Alltag Ihrer Teams, ohne erkennbare Klientensituationen.
Nutzen Sie Symbolfotografie oder Aufnahmen, bei denen Personen nicht identifizierbar sind.
Wenn Mitarbeitende erkennbar auftreten möchten: ausdrückliche Einwilligung einholen und dokumentieren.
Posts vor der Veröffentlichung durch eine verantwortliche Person freigeben lassen.

Anlass für den internen Datenschutz-Check

Der Nationale Spitex-Tag eignet sich gut als Aufhänger, um die eigenen Datenschutz-Grundlagen zu überprüfen. Das DSG gilt seit dem 1. September 2023 (Art. 74 DSG). Wer die Grundlagen noch nicht vollständig umgesetzt hat, sollte das jetzt angehen. Eine Übersicht über die Pflichten im Gesundheitswesen bietet unser Artikel Datenschutz im Gesundheitswesen Schweiz.

Zu den zentralen Pflichten nach DSG gehören (Auswahl):

Verzeichnis der Bearbeitungstätigkeiten führen (Art. 12 DSG): Identität des Verantwortlichen, Bearbeitungszweck, Kategorien betroffener Personen und Daten, Empfänger, Aufbewahrungsdauer, Datensicherheitsmassnahmen.
Informationspflicht (Art. 19 DSG): Betroffene Personen über die Beschaffung ihrer Daten informieren.
Datensicherheit (Art. 8 DSG): Durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten.
Meldepflicht bei Datenpannen (Art. 24 DSG): Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko führen, dem EDÖB so rasch als möglich melden.
Auskunftsrecht (Art. 25 DSG): Auskunft über bearbeitete Personendaten in der Regel innerhalb von 30 Tagen und kostenlos erteilen.

Die Strafbestimmungen des DSG richten sich gegen natürliche Personen: Nach Art. 60–63 DSG drohen Bussen bis zu 250 000 Franken — belangt wird die verantwortliche Person, nicht die Organisation. Kann die Behörde die verantwortliche Person nur mit unverhältnismässigem Aufwand ermitteln, kann sie nach Art. 64 DSG stattdessen den Geschäftsbetrieb mit bis zu 50 000 Franken büssen. Für die Spitex-Leitung heisst das: Die Verantwortung für Einwilligungen und Freigaben lässt sich nicht an die Organisation wegdelegieren — sie bleibt bei den Personen, die entscheiden.

Checkliste

Für den Aktionstag (#SpitexTag)

[ ] Sind auf geplanten Fotos/Videos Personen erkennbar? → Einwilligung einholen.
[ ] Handelt es sich um Klientensituationen (Gesundheitsdaten)? → Ausdrückliche Einwilligung nach Art. 6 Abs. 7 DSG zwingend.
[ ] Einwilligung schriftlich dokumentiert (Empfehlung zur Nachweisbarkeit)?
[ ] Freigabeprozess für Social-Media-Posts definiert und kommuniziert?
[ ] Im Zweifel: Personenfotos weglassen oder Personen unkenntlich machen.
[ ] Hashtag #SpitexTag korrekt verwendet.

Interne Grundlagen (DSG-Basischeck)

[ ] Verzeichnis der Bearbeitungstätigkeiten vorhanden und aktuell (Art. 12 DSG)?
[ ] Informationspflichten gegenüber Klientinnen/Klienten und Mitarbeitenden erfüllt (Art. 19 DSG)?
[ ] Datensicherheitsmassnahmen dokumentiert (Art. 8 DSG)?
[ ] Prozess für Datenpannenmeldung an EDÖB definiert (Art. 24 DSG)?
[ ] Auskunftsprozess (30-Tage-Frist) organisiert (Art. 25 DSG)?
[ ] Social-Media-Nutzung in der Datenschutzerklärung abgedeckt?

Einen strukturierten Einstieg in die Umsetzung bietet ISMShield Micro — als Werkzeug zur Bestandsaufnahme Ihrer Datenschutz-Grundlagen. Oder starten Sie direkt mit unserem Selbst-Assessment.

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Diesen Schritt in 10 Minuten erledigen

Jetzt kostenlos starten →

Weitere Ratgeber-Artikel