Wer über die Einhaltung des Datenschutzes wacht, ist in der Schweiz auf Bundesebene der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Er ist keine Gerichtsbehörde und kann keine Bussen aussprechen – seit der Revision des DSG kann er aber verbindlich anordnen, dass eine rechtswidrige Datenbearbeitung angepasst, gestoppt oder die Daten gelöscht werden. Wie das abläuft, zeigt das Verfahren gegen PostFinance wegen der Stimmerkennung am Telefon (s. Beispiel am Ende dieses Kapitels).
Aufgaben
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften durch Bundesorgane und private Personen (Art. 4 DSG; www.edoeb.admin.ch). Daneben berät er Private, Behörden und Betroffene, nimmt Stellung zu Gesetzesvorlagen und ist Anlaufstelle für Meldungen, etwa von Verletzungen der Datensicherheit (s. Kapitel 06.07 Grundsatz der Datensicherheit), und für die Konsultation bei Datenschutz-Folgenabschätzungen (s. Kapitel 06.15 Datenschutz-Folgeabschätzung (DSFA)). Seit der Revision des DSG ist er eine unabhängige Behörde mit eigener Verfügungskompetenz – vorher konnte er nur Empfehlungen aussprechen.
Wie viele Datenschutzbeauftragte hat die Schweiz?
Mehr, als man denkt – aber nicht 27: Der EDÖB ist nur für die Bundesorgane und für die privaten Datenbearbeiter zuständig. Für die kantonalen und kommunalen Behörden (Verwaltung, Polizei, öffentliche Spitäler, Schulen usw.) gelten die kantonalen Datenschutzgesetze, und jeder Kanton hat seine eigene Datenschutzaufsicht. Allerdings teilen sich Jura und Neuenburg sowie Schwyz, Obwalden und Nidwalden je eine gemeinsame Stelle. Das ergibt 23 kantonale Stellen plus den EDÖB – also 24 Datenschutzbehörden. Hinzu kommen kommunale Datenschutzbeauftragte, etwa in den Städten Zürich und Bern. Die kantonalen Beauftragten sind in der Konferenz privatim zusammengeschlossen.
Tipp: Merkblätter und Leitfäden des EDÖB
Sehr hilfreich für die Praxis ist die Dokumentation Datenschutz auf der Website des EDÖB: Merkblätter und Leitfäden zu zahlreichen Themen – etwa zu Cookies und Online-Tracking, Videoüberwachung, Patientenformularen, Mietbewerbungsformularen, Datenbearbeitung im Arbeitsverhältnis oder zur Datenschutz-Folgenabschätzung – sowie Musterbriefe für Auskunfts-, Berichtigungs- und Löschungsbegehren und Vorlagen für Bearbeitungsreglemente. Die Merkblätter sind keine Rechtsquellen, geben aber verlässlich wieder, wie die Aufsichtsbehörde das Gesetz auslegt.
Untersuchung
Bestehen genügend Anzeichen, dass eine Datenbearbeitung gegen das Datenschutzrecht verstösst, eröffnet der EDÖB von Amtes wegen oder auf Anzeige hin eine Untersuchung (Art. 49 Abs. 1 DSG); bei geringfügigen Verstössen kann er darauf verzichten (Abs. 2). Die untersuchte Stelle muss alle nötigen Auskünfte und Unterlagen liefern (Abs. 3). Wer Anzeige erstattet hat, wird über die unternommenen Schritte und das Ergebnis informiert (Abs. 4).
Verwaltungsmassnahmen
Liegt eine Verletzung vor, kann der EDÖB verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und dass die Personendaten gelöscht oder vernichtet werden (Art. 51 Abs. 1 DSG). Er kann zudem die Bekanntgabe ins Ausland aufschieben oder untersagen und die Einhaltung einzelner Pflichten anordnen, etwa die Information der Betroffenen oder die Durchführung einer Datenschutz-Folgenabschätzung (Abs. 2–4). Dabei hat er einen erheblichen Ermessensspielraum, muss die Massnahmen aber konkret bezeichnen, begründen und verhältnismässig ausgestalten (Urteil BVGer A-4467/2025, E. 10.1). Hat die untersuchte Stelle den rechtmässigen Zustand bereits während der Untersuchung wiederhergestellt, kann er sich auf eine Verwarnung beschränken (Art. 51 Abs. 5 DSG). Bussen kann der EDÖB nicht aussprechen; die Strafbestimmungen des DSG (Art. 60 ff. DSG) werden von den kantonalen Strafverfolgungsbehörden angewendet (s. Kapitel 06.17 Juristische Folgen der Verletzung von datenschutzrechtlichen Pflichten).
Rechtsweg
Verfügungen des EDÖB können beim Bundesverwaltungsgericht und dessen Urteile beim Bundesgericht angefochten werden.
Beispiel: Stimmerkennung bei PostFinance
Der EDÖB nahm 2017 Kontakt mit PostFinance auf, die ab 2018 von Anrufenden Stimmabdrücke erstellte, ohne eine ausdrückliche Einwilligung einzuholen. Nach mehrjährigem Schriftenwechsel schloss er die Untersuchung am 16. Mai 2025 mit einer Verfügung ab: ausdrückliche Einwilligung einholen, nicht gedeckte Stimmabdrücke löschen. PostFinance erhob Beschwerde. Das Bundesverwaltungsgericht bestätigte die Verfügung im Wesentlichen, rügte aber, der EDÖB habe seine Interessenabwägung ungenügend begründet – ein Mangel, der im Beschwerdeverfahren geheilt wurde, sich jedoch in den Kosten niederschlug (Urteil BVGer A-4467/2025 vom 13. Oktober 2026).
Ausführlich: Darf die Hotline meine Stimme speichern? (juristenfutter.ch)