Eine Freiburger Gemeinde verwaltet Daten von Einwohnerinnen und Einwohnern, Steuerpflichtigen, Schülerinnen und Schülern, Bezügerinnen und Bezügern von Sozialhilfe. Ein Heim oder eine beauftragte Einrichtung tut dasselbe. Wenn diese Stellen jedoch nach ihren Pflichten suchen, stossen sie auf Artikel, die dem eidgenössischen Gesetz gewidmet sind, das sie nicht unmittelbar betrifft.
Der Kanton Freiburg verfügt nämlich über ein eigenes Gesetz. Dieser Artikel erklärt, an wen es sich richtet, was es verlangt und vor allem, was es für private KMU ändert, die als Dienstleister einer Gemeinde oder einer öffentlichen Einrichtung tätig sind. Dieser letzte Punkt ist am wenigsten bekannt und am teuersten, wenn man ihn erst während eines laufenden Auftrags entdeckt.
Zwei Gesetze, zwei Zielgruppen: wie behält man den Überblick?
Die Aufteilung ist einfacher, als sie aussieht, wird aber fast immer schlecht wiedergegeben.
Das eidgenössische Datenschutzgesetz (nDSG, SR 235.1) regelt die Bearbeitung von Daten durch Bundesorgane und durch Private. Es ist dieses Gesetz, das für Ihr KMU, Ihr Treuhandbüro, Ihre Garage gilt. Wir behandeln es ausführlich im Artikel zu Ihren nDSG-Pflichten.
Das kantonale Recht hingegen regelt die Bearbeitung durch kantonale und kommunale Organe. In Freiburg handelt es sich um das Gesetz vom 12. Oktober 2023 über den Datenschutz (LPrD, SGF 17.1), das am 1. Januar 2024 in Kraft getreten ist. Es hat einen Text aus dem Jahr 1994 ersetzt, der vor der Verbreitung des Webs verfasst wurde.
| Einrichtung | In der Regel anwendbares Gesetz | Aufsichtsbehörde |
|---|---|---|
| Privates Freiburger KMU (Handel, Gewerbe, Dienstleistungen) | Eidgenössisches Recht (nDSG) | EDÖB |
| Gemeinde, Gemeindeverband, Gemeindedienst | Freiburger LPrD | ÖDSMB |
| Kantonale Einrichtung, juristische Person des öffentlichen Rechts | Freiburger LPrD | ÖDSMB |
| Private Person, die eine öffentlich-rechtliche Aufgabe erfüllt | Freiburger LPrD für diese Aufgabe | ÖDSMB |
| Privates Unternehmen als Auftragsbearbeiter einer Gemeinde | nDSG, zuzüglich der von der Gemeinde vertraglich vorgeschriebenen Pflichten | EDÖB, die Gemeinde bleibt verantwortlich |
Diese Tabelle gibt die allgemeine Orientierung vor. Mischsituationen gibt es: dieselbe Einrichtung kann je nach betroffener Tätigkeit beiden Regelungen unterliegen.
Wer unterliegt tatsächlich der LPrD?
Artikel 2 des Gesetzes ist kurz und entscheidend. Es gilt für folgende öffentliche Organe:
- die Organe des Staates, der Gemeinden und die anderen juristischen Personen des öffentlichen Rechts;
- die Privaten und die Organe privater Einrichtungen, wenn sie öffentlich-rechtliche Aufgaben erfüllen.
Es ist die zweite Kategorie, die überrascht. Der rechtliche Status der Einrichtung allein genügt nicht zur Beurteilung: Massgebend ist die Art der ausgeübten Aufgabe. Ein Verein, eine Stiftung oder eine Aktiengesellschaft kann für den Teil ihrer Tätigkeit, der eine übertragene öffentliche Aufgabe darstellt, dem kantonalen Gesetz unterliegen.
Öffentliche Gelder zu erhalten macht einen Verein nicht automatisch der LPrD unterstellt. Das Kriterium von Artikel 2 ist die Erfüllung einer öffentlich-rechtlichen Aufgabe, nicht die Finanzierung. Eine von einer Gemeinde beauftragte Tagesbetreuungseinrichtung befindet sich nicht in derselben Lage wie ein einfach subventionierter Sportverein. Die Grenze ist rechtlicher Natur und wird von Fall zu Fall gezogen: Lassen Sie sie einordnen, anstatt sie zu erraten.
Umgekehrt schliesst Artikel 3 bestimmte Bearbeitungen aus, namentlich jene im Rahmen laufender Gerichtsverfahren und jene, die ein öffentliches Organ in wirtschaftlichem Wettbewerb mit privatrechtlichen Personen vornimmt.
Was verlangt die LPrD im Alltag von einer Gemeinde?
Vier Pflichten haben sichtbare Auswirkungen auf eine Gemeindeverwaltung.
Die Bearbeitungstätigkeiten melden. Dies ist der wichtigste mechanische Unterschied zum eidgenössischen Gesetz. Unter dem nDSG führt ein KMU sein eigenes Verzeichnis oder ist unter bestimmten Voraussetzungen davon befreit. Unter der LPrD sieht Artikel 38 vor, dass die Aufsichtsbehörde ein öffentliches Register führt und dass jeder Verantwortliche ihr seine Tätigkeiten sowie deren spätere Änderungen meldet. Artikel 39 nimmt bestimmte rein interne Verwaltungsbearbeitungen aus: Adresslisten, Korrespondenz, Buchhaltungsunterlagen.
Technische und organisatorische Massnahmen umsetzen. Artikel 40 verlangt geeignete Massnahmen, die bereits bei der Konzeption der Bearbeitung festzulegen sind. Er fügt zwei oft vergessene Anforderungen hinzu: Voreinstellungen, die die Bearbeitung auf das erforderliche Minimum beschränken, und die Dokumentation der getroffenen Massnahmen.
Bei hohem Risiko eine Folgenabschätzung durchführen. Artikel 41 nennt die typischen Fälle: umfangreiche Bearbeitung besonders schützenswerter Daten, Profiling, systematische Überwachung grosser Teile des öffentlichen Raums, Bearbeitungen ungewöhnlichen Ausmasses. Bestätigt die Abschätzung ein hohes Risiko, das besondere Vorsichtsmassnahmen erfordert, verlangt Artikel 42 die Konsultation der Aufsichtsbehörde, die grundsätzlich zwei Monate Zeit für die Antwort hat, verlängerbar um einen Monat bei komplexer Bearbeitung. Diese Frist muss geplant werden: Sie darf nicht erst drei Tage vor der Inbetriebnahme entdeckt werden.
Sicherheitsverletzungen bearbeiten. Wir kommen weiter unten darauf zurück.
Ein Terminpunkt sei erwähnt. Artikel 62 gewährte den bereits laufenden Bearbeitungen eine Frist von zwei Jahren seit Inkrafttreten, um sich anzupassen, wobei die Artikel 43 und 44 von Anfang an unmittelbar anwendbar waren. Diese Übergangsfrist ist inzwischen abgelaufen.
Sie sind Dienstleister einer Gemeinde: was auf Sie zukommt
Dies ist die häufigste Situation für ein Westschweizer KMU und die am wenigsten dokumentierte. Sie verkaufen Software, hosten eine Website, erbringen IT-Betreuung, digitalisieren Archive. Ihr Kunde ist eine Gemeinde.
Erster Punkt: Sie werden nicht allein durch diesen Vertrag der LPrD unterstellt. Sie bleiben ein privates Unternehmen unter dem nDSG. Die Gemeinde jedoch bleibt vollständig verantwortlich, und das Gesetz verpflichtet sie, Sie zu beaufsichtigen. Ihre Pflichten werden damit zu Ihren Vertragsklauseln.
Die Artikel 18 bis 21 regeln die Auslagerung. Artikel 19 zählt auf, was der Vertrag mindestens beschreiben muss:
- Gegenstand, Art, Zweck und Dauer der Auslagerung;
- die betroffenen Datenkategorien;
- die Pflichten und Rechte jeder Partei;
- die Rechte und Kontrollmöglichkeiten gegenüber dem Auftragsbearbeiter, mit anderen Worten ein Prüfrecht bei Ihnen;
- das Verbot, ohne vorherige schriftliche Genehmigung weiter unterzuauftragen;
- Ihre Pflicht, den Verantwortlichen unverzüglich zu informieren, wenn ein ausländisches Gesetz oder ein Gerichtsentscheid Sie zur Übermittlung der Daten an eine ausländische Behörde verpflichtet.
Artikel 18 Abs. 2 fügt eine strukturierende Anforderung hinzu: Die Bearbeitungsorte müssen sich jederzeit auf Schweizer Staatsgebiet oder auf dem Gebiet eines Staates befinden, der ein angemessenes Schutzniveau gewährleistet. Beruht Ihr Werkzeug auf einer Infrastruktur ausserhalb dieses Bereichs, oder bearbeitet einer Ihrer eigenen Auftragsbearbeiter die Daten dort, können Sie sich grundsätzlich nicht ohne Anpassung an der Ausschreibung beteiligen.
Artikel 20 verlangt, dass die Integrität, Authentizität, Verfügbarkeit und Vertraulichkeit der ausgelagerten Daten durch dem Risiko angemessene Massnahmen gewährleistet werden und dass die Geschäftskontinuität bei einem Vorfall gesichert ist. Artikel 21 geht für besonders schützenswerte Daten und für Daten, die einem gesetzlichen Berufsgeheimnis unterliegen, weiter: Verpflichtung, ohne ausdrückliche Zustimmung nicht auf den Inhalt zuzugreifen, Führung eines Zugriffsprotokolls, Stellung als Hilfsperson des Geheimnisträgers. Schliesslich erinnert Artikel 37 daran, dass der Verantwortliche sich vergewissern muss, dass Sie in der Lage sind, die Datensicherheit zu gewährleisten, was voraussetzt, dass Sie dies nachweisen können.
Bereiten Sie vor Ihrer nächsten öffentlichen Ausschreibung ein zweiseitiges Dossier vor: genauer Hosting-Standort, Liste Ihrer Auftragsbearbeiter, Sicherheitsmassnahmen, Verfahren zur Meldung von Vorfällen, Frist zur Rückgabe der Daten am Vertragsende. Ihre Konkurrenten werden es nicht haben. Der Cyber-Check-up liefert Ihnen den Stoff für dieses Dossier in wenigen Minuten.
Bei einer Datenpanne in einer öffentlichen Einrichtung
Artikel 43 regelt die Reaktion. Stellt der Verantwortliche eine Verletzung der Sicherheit personenbezogener Daten fest, trifft er unverzüglich die geeigneten Massnahmen, um sie zu beenden und ihre Auswirkungen zu minimieren. Er hält in einem internen Dokument die Art der Verletzung, die Art der Daten und die Kategorien der betroffenen Personen, die wahrscheinlichen Folgen und die getroffenen Massnahmen fest.
Die Meldung an die Behörde erfolgt anschliessend so rasch wie möglich für Fälle, die voraussichtlich ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen. Wie auf eidgenössischer Ebene ist keine zahlenmässig festgelegte Frist wie 72 Stunden vorgesehen, was selbstverständlich keine Verzögerung erlaubt.
Für einen Dienstleister ist Absatz 4 der wichtigste: Der Verantwortliche muss sicherstellen, dass ihm der Auftragsbearbeiter jede bei ihm eingetretene Verletzung unverzüglich meldet. Es gibt keine Schwelle, die Sie selbst beurteilen müssten. Sie stellen fest, Sie melden. Dieselbe Logik wie im eidgenössischen Recht, ausführlich dargestellt in unserem Artikel zur Meldung einer Datenschutzverletzung.
Artikel 44 behandelt die Information der betroffenen Person, mit der Möglichkeit einer öffentlichen Mitteilung, wenn die Verletzung eine grosse Zahl von Personen betrifft. Unser Beitrag zu Datendiebstahl und -leck beschreibt die häufigsten Szenarien.
Was Sie riskieren, und wo Sie anfangen sollten
Die LPrD setzt auf administrative Kontrolle statt auf individuelle Bussen. Artikel 56 erlaubt der beauftragten Person, von Amtes wegen oder auf Beschwerde hin einen Verantwortlichen oder einen Auftragsbearbeiter zu kontrollieren, die Vorlage von Unterlagen zu verlangen und Inspektionen durchzuführen. Artikel 57 erlaubt ihr, eine Empfehlung auszusprechen, und Artikel 58 erlaubt der Kommission, die Sistierung, Änderung oder Einstellung einer Bearbeitung oder sogar die Löschung der Daten anzuordnen. Artikel 35 behält zudem den Ersatz des Schadens und der immateriellen Beeinträchtigung vor, den eine geschädigte Person erlitten hat.
Für einen Dienstleister liegt die eigentliche Sanktion anderswo: Eine gegen Ihren Kunden angeordnete Sistierung der Bearbeitung bedeutet, dass Ihre Lösung gestoppt wird. Und der Verlust eines öffentlichen Auftrags wirkt sich auf die nächsten aus.
Diese Themen stellen sich in einem Umfeld, in dem die Vorfälle zahlreich bleiben: Das Nationale Zentrum für Cybersicherheit hat 2025 64 733 freiwillige Meldungen verzeichnet, gegenüber 62 954 im Jahr 2024 (NCSC, Halbjahresbericht 2025/II, 30. März 2026).
Vier erste Schritte, in dieser Reihenfolge:
- Ordnen Sie Ihre Situation ein. Öffentliches Organ, Private mit öffentlich-rechtlicher Aufgabe, oder einfacher Auftragsbearbeiter? Alles ergibt sich aus dieser Antwort.
- Erfassen Sie den Standort Ihrer Daten, auch bei Ihren eigenen Lieferanten. Dies ist der häufigste Blockierungspunkt bei Artikel 18.
- Überprüfen Sie Ihre bestehenden öffentlichen Verträge im Licht der Liste von Artikel 19. Mandate von vor 2024 sind selten aktuell.
- Schreiben Sie Ihr Verfahren zur Vorfallmeldung, mit einem Namen, einer Nummer und einer Frist. Zwei Absätze reichen aus und ersparen Ihnen eines Tages viel verlorene Zeit.
Dieser Artikel stellt den allgemeinen Rahmen dar und ist keine Rechtsberatung. Bei einem heiklen Punkt beantwortet die ÖDSMB Fragen der dem Gesetz unterstellten Organe, und für eine schwierige Einordnung bleibt eine spezialisierte Fachperson empfehlenswert. Die übrigen in der Schweiz anwendbaren Pflichten sind im Bereich Vorschriften zusammengefasst.