🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Datenschutz Datenpublikation: EDÖB warnt Websitebetreiber

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im Juli 2026 einen Websitebetreiber formell verwarnt, weil dieser Personendaten ohne hinreichende Rechtsgrundlage öffentlich zugänglich gemacht hatte. Für Spitäler, Kliniken und andere Gesundheitseinrichtungen ist dieser Fall ein klares Signal: Die Publikation von Personendaten – auch scheinbar «harmloser» Daten – auf Websites und Portalen kann eine schwerwiegende Datenschutzverletzung darstellen und regulatorische Konsequenzen nach sich ziehen. Das nDSG (neues Datenschutzgesetz, in Kraft seit September 2023) verschärft die Anforderungen erheblich, und der EDÖB macht von seinen neuen Durchsetzungsbefugnissen zunehmend Gebrauch.

Was ist passiert: EDÖB warnt wegen unzulässiger Datenpublikation

Der EDÖB hat einen Websitebetreiber verwarnt, weil auf dessen Plattform Personendaten veröffentlicht wurden, die datenschutzrechtlich nicht hätten öffentlich zugänglich sein dürfen. Die formelle Warnung durch den Beauftragten ist unter dem nDSG ein regulatorisches Instrument mit erheblichem Gewicht: Sie ist nicht bloss eine informelle Empfehlung, sondern ein offizieller Akt, der dokumentiert wird und bei weiteren Verstössen als Grundlage für weitergehende Massnahmen dienen kann.

Die genauen Umstände – welche Art von Personendaten betroffen war, wie lange sie öffentlich einsehbar waren und auf welchem technischen Weg die Publikation erfolgte – wurden vom EDÖB nicht in vollem Umfang öffentlich kommuniziert. Dies entspricht der üblichen Praxis des Beauftragten, die betroffenen Parteien nicht unnötig zu exponieren und gleichzeitig ein generalpräventives Signal an die Öffentlichkeit zu senden.

Was der Fall jedoch unmissverständlich zeigt: Der EDÖB prüft aktiv, ob Websitebetreiber Personendaten korrekt behandeln, und scheut sich nicht, bei Verstössen öffentlich sichtbare Massnahmen zu ergreifen.

Rechtliche Einordnung: Was das nDSG verlangt

Das nDSG, das seit September 2023 in der Schweiz gilt, stellt klare Anforderungen an die Bearbeitung von Personendaten – und dazu gehört auch deren Publikation auf Websites oder Portalen.

Bearbeitungsgrundsätze als Massstab

Jede Bearbeitung von Personendaten – einschliesslich der Publikation – muss den Grundsätzen des nDSG genügen:

  • Rechtmässigkeit: Es braucht eine Rechtsgrundlage (Einwilligung, überwiegendes Interesse oder gesetzliche Grundlage).
  • Verhältnismässigkeit: Es dürfen nur so viele Daten bearbeitet werden, wie für den Zweck notwendig sind.
  • Zweckbindung: Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden.
  • Erkennbarkeit: Die betroffene Person muss wissen, dass ihre Daten bearbeitet werden.

Die unkommentierte Publikation von Personendaten auf einer öffentlich zugänglichen Website verletzt in vielen Fällen gleich mehrere dieser Grundsätze gleichzeitig.

Besonders schützenswerte Personendaten im Gesundheitsbereich

Für Spitäler und Kliniken ist besonders relevant: Gesundheitsdaten gelten nach nDSG als besonders schützenswerte Personendaten (Art. 5 lit. c nDSG). Für deren Bearbeitung gelten erhöhte Anforderungen – insbesondere braucht es eine ausdrückliche Rechtsgrundlage oder eine ausdrückliche Einwilligung. Die versehentliche oder unzulässige Publikation von Patientendaten auf einer Website würde nicht nur eine Datenschutzverletzung nach nDSG darstellen, sondern auch die Meldepflicht an den EDÖB auslösen.

Meldepflicht bei Verletzungen der Datensicherheit

Seit September 2023 gilt in der Schweiz: Verletzungen der Datensicherheit, die zu einem hohen Risiko für die betroffenen Personen führen, müssen dem EDÖB so rasch wie möglich gemeldet werden (Art. 24 nDSG). Eine unzulässige Datenpublikation, die Patientendaten oder andere schützenswerte Daten betrifft, fällt typischerweise in diese Kategorie.

Relevanz für Spitäler: Typische Risikoszenarien

Gesundheitseinrichtungen betreiben eine Vielzahl von digitalen Plattformen – Websites, Patientenportale, Mitarbeiterinformationssysteme, Forschungsdatenbanken – und sind damit in besonderem Mass exponiert. Folgende Szenarien sind in der Praxis besonders relevant:

Szenario 1: Fehlkonfiguration von Webapplikationen

Ein Patientenportal oder ein internes System ist durch eine Fehlkonfiguration versehentlich öffentlich erreichbar. Suchmaschinencrawler indexieren die Seiten. Daten, die nur für angemeldete Benutzer gedacht waren, sind plötzlich öffentlich – und möglicherweise bereits durch Dritte gespeichert worden.

Szenario 2: Veröffentlichung von Mitarbeiterdaten

Auf der Spital-Website werden Mitarbeiterdaten publiziert (z.B. Kontaktlisten, Dienstpläne, Fotos), ohne dass eine klare Einwilligung eingeholt wurde oder geprüft wurde, welche Daten tatsächlich veröffentlicht werden müssen.

Szenario 3: Forschungsdaten ohne ausreichende Anonymisierung

Ein Spital veröffentlicht Auswertungen oder Datensätze im Rahmen von Forschungsprojekten, ohne sicherzustellen, dass die Daten tatsächlich anonymisiert (und nicht bloss pseudonymisiert) sind. Auch scheinbar anonyme Datensätze können unter Umständen re-identifiziert werden.

Szenario 4: Third-Party-Inhalte und Einbindungen

Externe Dienstleister (z.B. Buchungssysteme, Chatbots, Formularlösungen) werden in die Spital-Website eingebunden, ohne dass geprüft wurde, welche Daten dabei an Dritte übermittelt oder gespeichert werden. Die datenschutzrechtliche Verantwortung liegt dennoch beim Spital als Verantwortlichem im Sinne des nDSG.

Massnahmen: Datenpublikation systematisch absichern

Die Warnung des EDÖB ist ein Anlass, die eigenen Prozesse rund um die Publikation von Daten auf Websites und digitalen Plattformen kritisch zu überprüfen. Die folgenden Massnahmen helfen, das Risiko unzulässiger Datenpublikationen zu minimieren.

1. Inventar der öffentlich zugänglichen Systeme erstellen

Erfassen Sie alle Websites, Portale und Web-Applikationen, die Ihre Einrichtung betreibt oder auf denen sie Inhalte publiziert. Prüfen Sie für jedes System:

  • Welche Daten werden dargestellt oder verarbeitet?
  • Welche davon sind öffentlich zugänglich?
  • Auf welcher Rechtsgrundlage beruht die Publikation?
  • Gibt es Access-Controls, und werden diese regelmässig überprüft?

2. Datenschutz-Folgenabschätzung (DSFA) wo erforderlich

Für Systeme, die besonders schützenswerte Personendaten verarbeiten – also insbesondere Patientendaten – ist eine Datenschutz-Folgenabschätzung nach Art. 22 nDSG zu prüfen. Dies gilt insbesondere dann, wenn neue Systeme eingeführt oder bestehende Systeme wesentlich verändert werden.

3. Privacy by Design bei Webprojekten

Datenschutzanforderungen müssen von Beginn an in die Entwicklung und Konfiguration von Webapplikationen einbezogen werden – nicht erst nachträglich. Konkret bedeutet das:

  • Minimierung der öffentlich zugänglichen Daten
  • Standardmässig restriktive Zugriffsrechte (Privacy by Default)
  • Regelmässige Penetrationstests und Konfigurationsreviews
  • Protokollierung von Zugriffen auf sensible Bereiche

4. Vertragsgestaltung mit Webdienstleistern

Externe Agenturen, Hosting-Provider und Softwareanbieter, die im Auftrag des Spitals Personendaten verarbeiten, müssen als Auftragsbearbeiter nach nDSG vertraglich eingebunden werden. Dies umfasst klare Regelungen zu Datensicherheit, Subunternehmern und Verhalten bei Datenschutzverletzungen.

5. Prozess für Datenpublikationen etablieren

Führen Sie einen internen Freigabeprozess ein, der vor jeder Publikation von Inhalten auf öffentlichen Plattformen prüft:

  • Werden Personendaten publiziert? Wenn ja: welche?
  • Ist die Publikation notwendig und verhältnismässig?
  • Liegt eine Rechtsgrundlage vor (Einwilligung, gesetzliche Grundlage, überwiegendes öffentliches Interesse)?
  • Wurden die betroffenen Personen informiert?

Dieser Prozess sollte nicht nur die IT-Abteilung, sondern auch Kommunikation, HR und Forschung einschliessen.

6. Reaktionsplan für unzulässige Publikationen

Was passiert, wenn eine unzulässige Datenpublikation entdeckt wird? Der Reaktionsplan sollte mindestens umfassen:

  • Sofortige Abschaltung oder Zugriffsbeschränkung der betroffenen Inhalte
  • Prüfung, ob und wie lange Daten öffentlich einsehbar waren
  • Risikobeurteilung gemäss Art. 24 nDSG (Meldepflicht?)
  • Dokumentation des Vorfalls
  • Kommunikation an betroffene Personen falls erforderlich
  • Meldung an den EDÖB falls die Schwelle erreicht ist

Checkliste: Datenpublikation Datenschutz-Check für Spitäler

Prüfpunkt Status
Inventar aller öffentlichen Webauftritte und Portale vorhanden ☐
Für jede Plattform: Datenfluss dokumentiert und geprüft ☐
Rechtsgrundlage für alle publizierten Personendaten vorhanden ☐
Zugriffskontrollen für nicht-öffentliche Bereiche konfiguriert und getestet ☐
Auftragsbearbeitungsverträge mit Webdienstleistern abgeschlossen ☐
DSFA für risikoreiche Applikationen durchgeführt ☐
Interner Freigabeprozess für Datenpublikationen etabliert ☐
Reaktionsplan für unzulässige Datenpublikationen definiert ☐
Mitarbeitende in Kommunikation/HR/IT zu Datenpublikation sensibilisiert ☐
Regelmässige Konfigurationsreviews und Penetrationstests geplant ☐

Einordnung: EDÖB als aktiver Durchsetzer

Die Warnung des EDÖB ist kein Einzelfall. Seit Inkrafttreten des nDSG im September 2023 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte mehrfach deutlich gemacht, dass er von seinen neuen Befugnissen Gebrauch machen wird. Im Gegensatz zur früheren, eher beratenden Rolle kann der EDÖB heute Sachverhaltsabklärungen einleiten, Empfehlungen abgeben, die nicht ignoriert werden können, und bei anhaltenden Verstössen Verfügungen erlassen.

Für Spitäler und andere Einrichtungen des Gesundheitswesens, die besonders schützenswerte Personendaten in grossem Umfang verarbeiten, bedeutet das: Das regulatorische Risiko ist real und gestiegen. Datenschutz ist kein rein administratives Thema mehr, das in der Rechtsabteilung verwaltet wird – es ist ein operatives Sicherheitsthema, das in die Prozesse des Informationssicherheitsmanagements integriert gehört.

Hinweis: Dieser Artikel dient der allgemeinen Information. Für rechtliche Beratung zu Datenschutzfragen wenden Sie sich an einen in der Schweiz zugelassenen Anwalt mit Spezialisierung auf Datenschutzrecht.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen