🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Datenschutz personenbezogene Daten: EDÖB mahnt Website-Betreiber

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat einen Website-Betreiber förmlich verwarnt, weil dieser Personendaten ohne ausreichende Rechtsgrundlage öffentlich zugänglich gemacht hat. Dieser Fall ist für Spitäler und Kliniken in der Schweiz mehr als ein Randnotiz: Er zeigt, dass der EDÖB seit der Inkraftsetzung des neuen Datenschutzgesetzes (nDSG) im September 2023 aktiv Aufsichtsmassnahmen ergreift — und dass Datenschutz personenbezogene Daten betreffend keine rein theoretische Compliance-Pflicht mehr ist, sondern ein echtes Durchsetzungsrisiko darstellt.

Ausgangslage: Was hat der EDÖB festgestellt?

Gemäss der Meldung des EDÖB vom 3. Juli 2026 hat der Beauftragte einen Website-Betreiber verwarnt, weil dieser Personendaten auf einer öffentlich zugänglichen Webseite publiziert hat, ohne dass eine hinreichende Rechtsgrundlage vorlag. Konkrete Details zum betroffenen Betreiber oder zur Art der Daten wurden in der Mitteilung nicht vollumfänglich offengelegt — dies entspricht der Praxis des EDÖB, den Datenschutz der betroffenen Personen auch im Aufsichtsverfahren selbst zu wahren.

Relevant für Sicherheitsverantwortliche in Spitälern ist die Signalwirkung: Der EDÖB nutzt seine seit dem nDSG gestärkten Befugnisse aktiv. Er kann seither nicht nur Empfehlungen aussprechen, sondern formelle Verfügungen erlassen und — bei Nichtbefolgung — Strafanzeige einreichen. Die Ära der unverbindlichen Hinweise ist vorbei.

Weiterführende Quelle: FDPIC warns website operator (edoeb.admin.ch)

Rechtliche Einordnung: nDSG, DSV und die Rolle des EDÖB

Das neue Datenschutzgesetz (nDSG), das seit dem 1. September 2023 in der Schweiz gilt, hat den Datenschutzrahmen grundlegend modernisiert. Für Spitäler und Gesundheitseinrichtungen ergeben sich daraus konkrete Pflichten:

Bearbeitungsgrundsätze (Art. 6 nDSG)

Jede Bearbeitung von Personendaten — also auch die Veröffentlichung auf einer Website — muss auf einer Rechtsgrundlage beruhen. Das nDSG kennt drei mögliche Grundlagen:

  • Einwilligung der betroffenen Person
  • Überwiegendes privates oder öffentliches Interesse
  • Gesetzliche Grundlage (bei Behörden und öffentlichen Einrichtungen besonders relevant)

Für besonders schützenswerte Personendaten — darunter explizit Gesundheitsdaten, Daten über Diagnosen, Behandlungen und psychiatrische Befunde — gelten verschärfte Anforderungen. Hier ist eine ausdrückliche Einwilligung oder eine explizite gesetzliche Grundlage zwingend (Art. 6 Abs. 7 nDSG).

Datenschutz-Verordnung (DSV)

Die Datenschutzverordnung (DSV) konkretisiert die technischen und organisatorischen Anforderungen. Sie regelt unter anderem, welche Angaben ein Datenschutzbeauftragter zu erfüllen hat, wie Datenschutz-Folgenabschätzungen (DSFA) durchzuführen sind und welche Mindeststandards für die Datensicherheit gelten.

Aufsichtsbefugnisse des EDÖB

Der EDÖB kann gestützt auf Art. 49 ff. nDSG:

  • Sachverhaltsabklärungen einleiten
  • Empfehlungen aussprechen
  • Formelle Verfügungen erlassen
  • Bei Widerhandlungen Strafanzeige bei der Staatsanwaltschaft erstatten

Strafbar sind zudem bestimmte Verletzungen von Informations-, Auskunfts- und Meldepflichten — mit Bussen bis zu CHF 250'000 für natürliche Personen (Art. 60 ff. nDSG).

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für rechtliche Fragen zum nDSG wenden Sie sich an einen in der Schweiz zugelassenen Anwalt.

Relevanz für Spitäler: Wo lauern die gleichen Risiken?

Spitäler sind keine klassischen Website-Betreiber im kommerziellen Sinne — aber sie betreiben digitale Präsenzen, Patientenportale, Online-Formulare, Mitarbeiterverzeichnisse und zunehmend auch Apps. Jede dieser Schnittstellen kann Personendaten exponieren, wenn die Konfiguration oder das Berechtigungsmanagement nicht stimmt.

Typische Risikoszenarien im Spitalumfeld

1. Patientenportale ohne ausreichende Zugangskontrolle Ein fehlerhaft konfiguriertes Patientenportal kann dazu führen, dass Dokumente — etwa Laborbefunde oder Terminbestätigungen — über öffentlich erreichbare URLs abrufbar sind. Solche Fehler entstehen häufig beim Deployment neuer Versionen oder nach Konfigurationsänderungen.

2. Suchmaschinenindexierung interner Dokumente Wenn robots.txt-Einträge fehlen oder Metadaten-Einstellungen falsch gesetzt sind, können interne PDFs, Formulare oder Berichte durch Suchmaschinen indexiert und damit de facto öffentlich zugänglich werden — ohne dass dies beabsichtigt war.

3. Formulardaten in Logfiles Kontakt- oder Anmeldeformulare, die Personendaten (Name, Geburtsdatum, Versicherungsnummer) in URL-Parametern übertragen (GET statt POST), schreiben diese Daten in Server-Logfiles, die möglicherweise nicht ausreichend geschützt oder zu lange aufbewahrt werden.

4. Mitarbeiterverzeichnisse und Organigramme Die Veröffentlichung detaillierter Mitarbeiterdaten (Funktion, direkte Durchwahl, Foto, persönliche Arbeitszeiten) auf der Spital-Website ist grundsätzlich datenschutzrechtlich zu prüfen — insbesondere wenn es sich um Personaldaten handelt, die ohne explizite Einwilligung publiziert werden.

5. Drittanbieter-Skripte und Tracking Analytics-Tools, Chat-Widgets oder Feedback-Tools von Drittanbietern, die auf Spital-Websites eingebettet sind, können Personendaten an Server ausserhalb der Schweiz übermitteln. Hier greifen neben dem nDSG auch die Anforderungen an internationale Datenübermittlung (Art. 16 ff. nDSG).

Datenschutz-Folgenabschätzung: Wann ist sie im Spital Pflicht?

Eine Datenschutz-Folgenabschätzung (DSFA) ist gemäss Art. 22 nDSG durchzuführen, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt. Im Spitalkontext ist dies regelmässig der Fall bei:

  • Bearbeitung von Gesundheitsdaten in grösserem Umfang
  • Nutzung von automatisierten Entscheidungssystemen (z. B. KI-gestützte Diagnoseunterstützung)
  • Profiling von Patientinnen und Patienten
  • Einführung neuer digitaler Systeme mit Patientendatenbezug (KIS, EPDG-Anbindung, Telemedizin-Plattformen)

Die DSFA ist zu dokumentieren und — wenn ein hohes Restrisiko verbleibt — dem EDÖB vorab zu melden (Art. 23 nDSG). Dies ist eine Pflicht, die in der Praxis vieler Spitäler noch unzureichend verankert ist.

Technische und organisatorische Massnahmen: Checkliste für ISB

Der aktuelle EDÖB-Fall zeigt, dass Datenschutz personenbezogene Daten betreffend nicht allein eine juristische Frage ist — er hat eine klare technische Dimension. Für Informationssicherheitsbeauftragte und IT-Leitungen empfehlen sich folgende Sofortmassnahmen:

Technische Massnahmen

  • [ ] Web-Application-Scan: Regelmässiger automatisierter Scan öffentlich erreichbarer Webseiten und Portale auf unbeabsichtigt exponierte Daten und Verzeichnisse
  • [ ] Zugriffskontrollen prüfen: Sicherstellen, dass Patientenportale, Administrationsoberflächen und Datei-Shares nicht ohne Authentifizierung erreichbar sind
  • [ ] TLS-Verschlüsselung: Alle Formulare und Übertragungswege müssen durchgängig verschlüsselt sein (TLS 1.2 mindestens, TLS 1.3 empfohlen)
  • [ ] robots.txt und Sitemap: Prüfen, ob interne Bereiche korrekt von der Suchmaschinenindexierung ausgeschlossen sind
  • [ ] Drittanbieter-Skripte inventarisieren: Vollständige Liste aller auf Webseiten eingebetteten externen Skripte und deren Datenschutz-Implikationen erstellen
  • [ ] Logging-Konfiguration: Sicherstellen, dass keine Personendaten in URL-Parametern übergeben und damit in Logfiles geschrieben werden
  • [ ] Penetrationstests: Mindestens jährlich, insbesondere nach grossen Systemänderungen

Organisatorische Massnahmen

  • [ ] Datenschutz-by-Design: Neue Webprojekte und Portale durchlaufen vor Go-live eine Datenschutzprüfung durch den DSB
  • [ ] Datenschutzbeauftragter einbinden: Bei allen Webprojekten mit Personendatenbezug ist der interne oder externe DSB frühzeitig einzubeziehen
  • [ ] Verantwortlichkeiten klären: Wer ist für die Datenschutzkonformität der Website verantwortlich? Marketing? IT? Geschäftsführung?
  • [ ] Verzeichnis der Bearbeitungstätigkeiten (VVT): Alle Webseiten-basierten Bearbeitungsvorgänge müssen im VVT erfasst sein (Art. 12 nDSG)
  • [ ] Drittanbieter-Verträge prüfen: Auftragsbearbeitungsverträge (analog zu AVV) mit allen Dienstleistern, die im Auftrag Personendaten bearbeiten

Was tun, wenn der EDÖB ermittelt?

Falls Ihr Spital Post vom EDÖB erhält oder von einer Sachverhaltsabklärung erfährt, gilt folgendes Vorgehen:

  1. Sofort juristischen Beistand hinzuziehen — ein auf Datenschutzrecht spezialisierter Anwalt sollte die Kommunikation mit dem EDÖB begleiten
  2. Intern dokumentieren: Alle relevanten technischen und organisatorischen Massnahmen, die getroffen wurden oder werden, lückenlos festhalten
  3. Keine vorschnellen öffentlichen Statements — insbesondere in sozialen Medien oder gegenüber Medien
  4. Technische Sofortmassnahmen ergreifen: Den beanstandeten Sachverhalt umgehend abstellen und dies dokumentieren
  5. Incident-Response-Plan aktivieren: Ein Datenschutzvorfall kann gleichzeitig ein meldepflichtiger Vorfall nach ISG (Informationssicherheitsgesetz) und ein Datenschutzvorfall nach nDSG sein — beide Meldestränge parallel bearbeiten

Seit April 2025 gilt in der Schweiz zudem eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen beim BACS (Bundesamt für Cybersicherheit). Spitäler gelten als Teil der kritischen Infrastruktur der Schweiz — die Meldepflicht ist daher zu beachten, wenn ein Datenschutzvorfall auf einen Cyberangriff zurückzuführen ist.

Fazit: EDÖB-Aktivität als Warnsignal für das ganze Spitalwesen

Die Verwarnung des Website-Betreibers durch den EDÖB ist ein klares Signal, dass die Datenschutzaufsicht in der Schweiz ihre neuen Befugnisse ernst nimmt. Für Spitäler und Kliniken bedeutet dies: Datenschutz personenbezogene Daten betreffend muss als operatives Sicherheitsthema behandelt werden — nicht als juristische Fussnote.

Die gute Nachricht: Wer ein funktionierendes ISMS betreibt, ein gepflegtes Verzeichnis der Bearbeitungstätigkeiten führt und technische Massnahmen systematisch umsetzt, ist deutlich besser aufgestellt als der Durchschnitt. Der aktuelle Fall zeigt auch, dass viele Risiken durch grundlegende technische Hygiene (korrekte Zugriffssteuerung, regelmässige Scans, sauberes Drittanbieter-Management) kontrollierbar sind.

Möchten Sie den Datenschutz-Reifegrad Ihres Spitals systematisch einschätzen? Das ISMShield Assessment bietet einen strukturierten Einstieg — speziell für Gesundheitseinrichtungen in der Schweiz.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen