Vier Entscheide des EDÖB in diesem Herbst: Was Schweizer Unternehmen daraus lernen sollten

Von Thomas Contin, Managing Partner

Drei Jahre nach dem Inkrafttreten des revidierten Bundesgesetzes über den Datenschutz (DSG) nutzt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) seine Befugnis, verbindliche Verfügungen zu erlassen. Der Herbst 2026 brachte eine ganze Reihe davon, zusammen mit einem ersten wichtigen Urteil des Bundesverwaltungsgerichts.

Marketing braucht eine nachweisbare Einwilligung

Die Add Conti GmbH verkaufte Adressen an Werbetreibende und machte geltend, die Einwilligungen stammten aus Online-Gewinnspielen. Der EDÖB hielt diese Darstellung für unglaubwürdig, untersagte die Bearbeitung und ordnete die Löschung der Daten innert 30 Tagen nach Rechtskraft der Verfügung an. Das Unternehmen hatte zudem Auskunfts- und Löschbegehren ignoriert, und die Auslagerung dieser Begehren an Dienstleister entband es nicht von seiner Verantwortung. Die Verfügung vom 26. Juni 2026, veröffentlicht am 22. Oktober, ist rechtskräftig.

Die praktische Lehre: Wer Personendaten für Marketing verwendet, trägt die Beweislast für die Einwilligung. Eine gekaufte Liste mit einer Einwilligung, die niemand belegen kann, ist ein Risiko und kein Wert.

Für einen Zweck erhobene Daten bleiben bei diesem Zweck

Am 29. Oktober 2026 gab der EDÖB eine Verfügung gegen eine Wirtschaftsauskunftei bekannt, die Bonitätsdaten auch für Marketing verwendete. Er untersagte diese Verwendung, untersagte die Aufnahme der Daten in ihre Datenbank, die Personen bei einem Auskunftsbegehren angeben, und verpflichtete die Auskunftei, Löschbegehren auch dann zu prüfen, wenn sie nicht begründet werden. Die Auskunftei hat Beschwerde erhoben, die Verfügung ist daher noch nicht rechtskräftig.

Biometrische Daten erfordern eine ausdrückliche Einwilligung

In zwei Urteilen vom 13. Oktober 2026 (A-4467/2025 und A-6813/2025) bestätigte das Bundesverwaltungsgericht die Position des EDÖB zur Stimmerkennung von PostFinance. Ein Stimmabdruck ist ein besonders schützenswertes Personendatum. Wer nach einem aufgezeichneten Hinweis einfach weiterspricht, hat nicht ausdrücklich eingewilligt, und ohne Einwilligung erstellte Stimmabdrücke müssen gelöscht werden.

Aufnahmen von Personen sind ein schwerer Eingriff

Am 29. September 2026 untersagte der EDÖB der Baselland Transport AG den Einsatz von Bodycams, die Bild und Ton von Fahrgästen und Personal aufzeichneten, weil kein Gesetz eine ausreichende Grundlage für ein Unternehmen bietet, das eine öffentliche Aufgabe erfüllt. Die BLT hat Beschwerde erhoben. Ein rein privates Unternehmen braucht keine gesetzliche Grundlage, muss die Aufnahmen aber dennoch mit einem überwiegenden Interesse rechtfertigen, verhältnismässig halten und die betroffenen Personen informieren.

Was jetzt zu tun ist

Prüfen Sie die Einwilligungsnachweise hinter jeder Marketingliste. Stellen Sie sicher, dass jede Bearbeitung dem in Ihrer Datenschutzerklärung genannten Zweck entspricht. Wenn Sie Stimm-, Gesichts- oder Fingerabdruckerkennung einsetzen, holen Sie eine ausdrückliche und separate Einwilligung ein. Dokumentieren Sie vor der Installation von Kameras, weshalb eine weniger einschneidende Massnahme nicht genügt.

Advisorn unterstützt Unternehmen bei der Überprüfung ihrer Datenbearbeitungen, Datenschutzerklärungen und Einwilligungsnachweise und begleitet sie in Verfahren vor dem EDÖB.