EDÖB: Untersuchungshandlungen des EDÖB
Florian Müller, RA MLaw Notar, Informatiker EFZ
Florian Müller, RA, MLaw, Informatiker EFZ ist Partner bei LEXcellence AG. Er berät als erfahrener Technologie-Anwalt nationale und internationale Unternehmen in den Bereichen IT-, Datenschutz-, Immaterialgüterrecht (IP) sowie weiteren wirtschaftsrechtlichen Bereichen. Er hat weitere Dozentenaufträge an der FHNW sowie HSLU im Bereich IT- und Datenschutzrecht.
Passende Arbeitshilfen
Was ist eine Untersuchung des EDÖB?
Einige Leser dürften sich wohl fragen, was die Charakteristik einer Untersuchung des EDÖB aufweist. Dabei ist der Art. 49 DSG, welcher festhält, dass es sich bei einer förmlichen Untersuchung eine offizielle Handlung gegen ein Bundesorgan oder eine private Person handelt. Diese Untersuchungen können von Amtes wegen oder auf Anzeige von Dritten hin erfolgen. Eine formell eröffnete Untersuchung legt bereits die Vermutung zu Grunde, dass ein Verstoss gegen Datenschutzvorschriften vorliegen könnte.
Ein beim EDÖB sehr beliebtes Instrument ist die niederschwellige Intervention sowie Vorabklärung. Diese beiden Instrumente sind gesetzlich nicht vorgesehen, sondern werden als mildere Mittel zur Untersuchung gesehen. Der EDÖB kontaktiert dabei die Unternehmen bzw. privaten Personen und bittet um bspw. Auskünfte oder erteilt Vorschläge für eine Erledigung.
Lediglich bei der Untersuchung nach Art. 49 DSG besteht eine Mitwirkungspflicht. Kontaktierte Personen und Unternehmen sind wohl jeweils gut beraten, bereits bei niederschwelligen Interventionen sowie Vorabklärungen mitzuwirken, um eine formelle Eröffnung einer Untersuchung zu verhindern.
Begleitung des Projektes CEBA
Auch wenn die Ankündigung des EDÖB, das Projekt «Cloud Enabling Büroautomation» keine eigentliche Untersuchungshandlung darstellt, ist die Mitteilung vom 13. März 2025[1] durchaus interessant. Bei diesem Projekt handelt es sich um die Einführung der Microsoft Office-Produktsuite in der Version Microsoft Office 365.
Gemäss der Mitteilung hat der EDÖB eine kontinuierliche Anpassung der Datenschutz-Folgenabschätzung verlangt. Insbesondere die Risiken hinsichtlich ausländischer Behördenzugriffe (bspw. der CLOUD-Act oder FISA-Erlasse) oder der Nutzung von markbeherrschenden Cloudanbietern (Microsoft) sollen überprüft werden. Gerade in politisch turbulenten Zeiten dürfen die möglichen Risiken durch die Nutzung ausländischer Cloud-Anbieter sicher nicht unterbewertet werden.
Microsoft sperrte im Frühjahr 2025 das E-Mail-Konto des Chefanklägers des Internationalen Strafgerichtshof, nachdem Donald Trump den Gerichtshof und die dort beschäftigten Mitarbeitenden aus politischen Gründen sanktioniert hatte. Auch wenn Microsoft in der Zwischenzeit gemäss eigenen Aussagen ein «Schlupfloch» gefunden habe und solche Sperrungen nicht mehr durchführen müsse, entschied sich der Strafgerichtshof dazu, neu auf eine Deutsche Softwaresuite zu setzen.
Gerade das Risiko, dass einfach die Zugänge gesperrt werden, dürfte bei der Bundesverwaltung wohl ausführlich diskutiert werden. Auf die möglichen Risikominimierungsmassnahmen darf man sicher gespannt sein. Allenfalls wird der Tätigkeitsbericht 2025/2026 des EDÖB weitere Informationen dazu enthalten.
Personendaten für Grok-Training
Der EDÖB war auch im Bereich Training von Künstlicher Intelligenz nicht untätig.[2] Der EDÖB erbat proaktiv Auskünfte von der Twitter International Unlimited Company (TIUC) über den genauen Prozess, wie Daten von X Nutzern ins Training der Hauseigenen KI «Grok» eingebunden werden. Die informelle Vorabklärung erfolgte, nachdem im Jahr 2024 bekannt wurde, dass X die Einwilligung der Nutzer ohne grosse Ankündigung implementierte. Nutzer, welche der Verwendung zu Trainingszwecken nicht zustimmen, müssen aktiv die «Einwilligung» wiederrufen (Opt-Out).[3] Der EDÖB wollte insbesondere in Erfahrung bringen, wie transparent diese Datenbearbeitungen waren und welche Ablehnungsmöglichkeiten zur Verfügung standen.
Der EDÖB zeigte sich mit den erhaltenen Informationen zufrieden. So veröffentlichte er am 20. März 2025 den Abschluss der Vorabklärung mit dem Hinweis, dass es mittels Datenschutzeinstellungen möglich sei, die voreigenstellte Verwendung von X-Beiträgen für das Training zu unterbinden. Es würden auch die Nutzenden der Plattform in der Verantwortung stehen, von den Gestaltungsmöglichkeiten (der Ablehnungsmöglichkeit) Gebrauch zu machen.
Da das Schweizer Datenschutzgesetz, anders als bspw. die Datenschutzgrundverordnung der EU, als Einwilligung der Verzicht eines Widerrufes anerkennt, ist der Entscheid rechtlich nachvollziehbar. Sehr wichtig war zudem der Hinweis, dass die Nutzer selbst für die Verwendung ihrer Daten verantwortlich sind. Der EDÖB sieht es folglich als genügend an, wenn transparent informiert wird und Gestaltungsmöglichkeiten vorliegen. Es gilt für die Verwendung der entsprechenden Daten das angepasste Sprichwort: «Unwissen schützt vor Verwendung nicht». Es ist deshalb ratsam in einem bestimmten Rhythmus die Nutzungsbedingungen auf Plattformen, auf welchen viele Daten gespeichert bzw. preisgegeben werden zu lesen. Wussten Sie zum Beispiel, dass auch LinkedIn eine entsprechende Einstellung besitzt?[4]
[1] https://www.edoeb.admin.ch/de/projekt-ceba-bk
[2] https://www.edoeb.admin.ch/de/abschluss-vorabklaerung-x-grok
[3] Einstellungen unter: https://x.com/settings/grok_settings
[4] Einstellungen unter: https://www.linkedin.com/mypreferences/d/settings/data-for-ai-improvement
Jetzt Member werden und weiterlesen:
- Unlimitierter Zugriff auf alle 1300 Arbeitshilfen
- Alle kostenpflichtigen Beiträge auf weka.ch frei
- Zugriff auf alle Videos
- Täglich aktualisiert
- Wöchentlich neue Inhalte und Arbeitshilfen
- Exklusive Spezialangebote
- News- & Update-Services
- Seminargutscheine
