列支敦士登数据保护局《2025年度活动报告》（Tätigkeitsbericht 2025，2026年9月4日发布，60页）

DATENSCHUTZSTELLE
FÜRSTENTUM LIECHTENSTEIN
2
1. Öffentlichkeitsarbeit 7
1.1 Veranstaltungen 7
1.2 Vorträge und Mitwirkung an Veranstaltungen 9
1.3 Internetseite 1 2
1.4 Newsletter 12
1.5 Datenschutz in den Medien 1 3
2
4
3
2. Beratung zu konkreten Anfragen 15
2.1 Allgemeines 1 5
2.2 Videoüberwachung und Veröffentlichung
von Bildmaterial 17
2.3 Verbindliche interne
Datenschutzvorschriften 19
2.4 Auswahl konkreter rechtlicher Fragen 19
2.5 Auswahl konkreter technischer Fragen 2 1
2.6 Auswahl wichtiger EuGH-Entscheidungen
2025 22
3. Stellungnahmen zu Vorlagen und Erlassen 27
4. Interne Organisation 33
4.1 Personal allgemein 33
4.2 Personal Schengen-Evaluation 34
Inhalt 2025 / Tätigkeitsbericht Datenschutzstelle
Inhaltsverzeichnis
1
3
5
6
7
5. Aufsicht, Beschwerden und Meldungen von
Datenschutzverletzungen 37
5.1 Aufsicht 37
5.2 Beschwerden 39
5.3 Meldung von Datenschutzverletzungen gemäss
Art. 33 DSGVO 43
6. Mitarbeit in Arbeitsgruppen,
Projekten und Kommissionen der
Landesverwaltung 47
6.1 Arbeitsgruppe «M365-Copilot» 47
6.2 ZPR-Kommission 47
6.3 Task Force zur Prüfung von
Handlungsbedarf und Massnahmen
betreffend Datenschutz im schulischen
Umfeld 47
6.4 Kompetenzgruppe Digitalisierung 47
6.5 Fachstab Cyber – Aufbau einer nationalen
Krisenorganisation zur Bewältigung von
Cybersicherheitsvorfällen grossen
Ausmasses und Krisen 47
6.6 VwbP-Kommission 47
6.7 Beratung zu weiteren Gesetzgebungs-
prozessen 48
8. Schlussbemerkung und
Ausblick 59
7. Internationale Zusammenarbeit 51
7 .1 Europäischer Datenschutzausschuss (EDSA) 5 1
7 .2 Gemeinsame Massnahmen der
Aufsichtsbehörden gemäss Art. 62 DSGVO 56
7 .3 Schengen-Arbeitsgruppen 56
7 .4 Europarat 57
Inhalt 2025 / Tätigkeitsbericht Datenschutzstelle
8
Impressum
Herausgeber: Datenschutzstelle Fürstentum Liechtenstein
Grafische Gestaltung und Druck: Gutenberg AG, Schaan
Text: Datenschutzstelle Fürstentum Liechtenstein
Bilder: Stockphoto.com, Pixabay.com, Pexels.com, 123rf.com, Datenschutzstelle Fürstentum Liechtenstein
5
2025 / Tätigkeitsbericht Datenschutzstelle
Vorwort
Sie haben es vermutlich schon bemerkt: Unser
Tätigkeitsbericht präsentiert sich in diesem Jahr in
einem teilweise neuen Design. Diese Veränderung be-
ruht auf zwei Gründen. Erstens markiert das neue Er-
scheinungsbild den Beginn meiner zweiten Amtszeit,
die am 1. Januar 2026 begonnen hat. Vor acht Jahren
übernahm ich die Leitung der Datenschutzstelle (DSS)
nahezu zeitgleich mit dem Wirksamwerden der Daten-
schutz-Grundverordnung (DSGVO). Für das erneute
Vertrauen der Regierung und des Landtages danke ich
ausdrücklich. Die behutsame Modernisierung des Be-
richts soll diesen Übergang sichtbar machen und einen
neuen Abschnitt meiner Amtsführung unterstreichen.
Zweitens trägt das neue Design der inhaltlichen
Dynamik des Datenschutzes Rechnung. Datenschutz
ist keine statische Rechtsmaterie, sondern entwi -
ckelt sich kontinuierlich weiter – insbesondere im
Spannungsfeld technologischer Innovationen, zu -
nehmender Digitalisierung und datengetriebener Ge -
schäftsmodelle. Das aktualisierte Erscheinungsbild
verdeutlicht symbolisch, dass sich rechtliche Rah -
menbedingungen wie technische Realitäten stetig
verändern und der Datenschutz diesen Entwicklungen
aktiv begegnen muss.
Das Jahr 2025 hat diese Dynamik besonders be -
stätigt. Die fortschreitende Integration künstlicher In-
telligenz (KI) in Verwaltung, Wirtschaft und Bildung
warf neue Fragen zur Rechtmässigkeit der Datenver -
arbeitung, zu automatisierten Entscheidungen sowie
zur Transparenz von Trainingsdaten auf. Die KI-Ver -
ordnung ist in Liechtenstein mangels Übernahme ins
EWR-Recht zwar noch nicht verbindlich, entfaltet je -
doch faktische Vorwirkung. Verantwortliche Stellen
sollten ihre Systeme frühzeitig an künftigen Anforde-
rungen ausrichten.
Auch auf europäischer Ebene war 2025 von Wei-
terentwicklungen geprägt. Eine neue EU-Verord -
nung harmonisiert zusätzliche Verfahrensregeln zur
Durchsetzung der DSGVO in grenzüberschreitenden
Verfahren. Mit dem Digital-Omnibus-Paket sollen
Digitalrechtsakte punktuell angepasst und besser auf -
einander abgestimmt werden. Diese Reformen stehen
für die fortschreitende Konsolidierung des europäi -
schen Digitalrechtsrahmens. Konkrete langfristige
Auswirkungen auf Aufsichtspraxis und Pflichten der
Verantwortlichen, insbesondere kleiner und mittlerer
Unternehmen, lassen sich noch nicht abschliessend
beurteilen. Klar ist jedoch: Die rechtlichen Rahmen -
bedingungen bleiben in Bewegung.
Das Berichtsjahr war zudem von zunehmen -
der Komplexität in sämtlichen Tätigkeitsbereichen
der DSS geprägt. Neben einer quantitativen Zunahme
von Anfragen, Beschwerden und Meldungen über
Datenschutzverletzungen stiegen auch die qualitati -
ven Anforderungen. Eine kritischere Haltung betrof -
fener Personen traf auf wachsende Erwartungen an
Digitalisierung und KI. Die DSS war daher wiederholt
gefordert, eine vermittelnde Rolle einzunehmen. Neue
europäische Digitalrechtsakte verursachten zusätzli -
chen Analyse- und Abstimmungsaufwand.
Der Bericht dokumentiert diese Entwicklungen,
benennt Defizite, würdigt Fortschritte und gibt Orien-
tierung für die Praxis. Datenschutz bleibt eine Quer -
schnittsaufgabe, die rechtliche Präzision, technische
Expertise und gesellschaftliche Verantwortung er -
fordert. Dass wir unseren Auftrag unter anspruchs -
vollen Bedingungen erfüllen konnten, ist dem Engage-
ment und der Fachkompetenz aller Mitarbeitenden der
DSS zu verdanken. In diesem Spannungsfeld wird die
DSS auch künftig unabhängig und grundrechtsorien -
tiert handeln.
Vaduz, im April 2026
Dr. Marie-Louise Gächter, Leiterin Datenschutzstelle
«Für die Vermittlung von
Fachinformationen nutzt die
DSS vor allem vier Kanäle:
Veranstaltungen und Vorträge,
Newsletter, ihre Internetseite
und individuelle Beratungen.»
7
Öffentlichkeitsarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
1. Öffentlichkeitsarbeit
Der gesetzliche Auftrag zur Wissensvermittlung
im Datenschutz unterstreicht die zentrale Bedeutung
einer aktiven, transparenten und adressatengerechten
Öffentlichkeitsarbeit für die Tätigkeit der DSS. Daten -
schutzrechtliche Grundsätze, aktuelle regulatorische
Entwicklungen sowie die Positionen nationaler und
europäischer Aufsichtsbehörden und Gerichte müssen
verständlich aufbereitet und einer breiten Öffentlich -
keit zugänglich gemacht werden.
Die Öffentlichkeitsarbeit dient aber auch dazu,
der Verbreitung von nicht-datenschutzkonformen
Praktiken auf einer breiten Ebene entgegenzuwirken,
um den Verantwortlichen die Möglichkeit zu bieten,
ihre Datenverarbeitungen in Übereinstimmung mit
den gesetzlichen Vorgaben zu bringen.
Darüber hinaus informierte die DSS unter an -
derem auch über aktuelle datenschutzrechtliche
Fragestellungen im digitalen Umfeld, die vor allem
Bürgerinnen und Bürger betreffen – wie etwa die
Datenübermittlungen von TikTok in den Drittstaat
China und deren kritischer Bewertung nach der DSGVO
oder das KI-Training durch LinkedIn und die Empfeh-
lung zur Wahrnehmung des Widerspruchsrechts. Ziel
ist es, betroffenen Personen eine fundierte Orientie -
rung zu ermöglichen und das Bewusstsein für daten -
schutzrechtliche Risiken nachhaltig zu stärken.
In Bezug auf die Verantwortlichen bildete wie be-
reits im Vorjahr auch 2025 insbesondere das Thema
KI einen zentralen Schwerpunkt der Wissensvermitt -
lung. In kaum einem anderen Bereich ist der Informa-
tions- und Orientierungsbedarf derzeit so ausgeprägt.
Vor dem Hintergrund der dynamischen technischen
Entwicklung und der zunehmenden praktischen Im -
plementierung von KI-Systemen war es der DSS ein be-
sonderes Anliegen, die Anforderungen der KI-Verord -
nung frühzeitig zu vermitteln – ungeachtet ihrer noch
ausstehenden formalen Übernahme in das liechten -
steinische Recht.
Die Informationsarbeit konzentrierte sich dabei
insbesondere auf die Regelungen zu verbotenen KI-
Praktiken, auf die Verpflichtung zur Sicherstellung
angemessener KI-Kompetenz (AI Literacy) sowie auf
Transparenzanforderungen gegenüber Nutzerinnen
und Nutzern, aber auch im Verhältnis zwischen An -
bieter und Betreiber. Diese Vorgaben gelten innerhalb
der Europäischen Union (EU) bereits unmittelbar und
entfalten aus Sicht der DSS auch für Verantwortliche in
Liechtenstein eine faktische Relevanz, die im Rahmen
einer vorausschauenden und verantwortungsvollen
Compliance nicht unberücksichtigt bleiben darf.
Diese Erkenntnisse zeigen erneut deutlich auf,
dass Datenschutz ohne eine aktive und frühzeitige In-
formations- bzw. Wissensvermittlung seitens der Auf-
sichtsbehörden nicht die Rolle bei den öffentlichen
und privaten Stellen spielen kann, die ihm der Gesetz-
geber zugedacht hat. Die Wissensvermittlung darf sich
ausserdem nicht damit begnügen, auf Neuerungen
hinzuweisen, sondern muss nach wie vor auch den Be-
darf an Grundwissen abdecken.
Für die Vermittlung von Fachinformationen
nutzt die DSS vor allem vier Kanäle: Veranstaltungen
und Vorträge, Newsletter, Internetseite und individu -
elle Beratungen. Insbesondere das Zusammenwirken
dieser Kommunikationskanäle ermöglicht es, eine
sehr grosse Zahl an Adressatinnen und Adressaten zu
erreichen.
1.1 Veranstaltungen
Der 19. Datenschutztag fand wie üblich zu Beginn
des Jahres am 28. Januar im Gemeindesaal in Triesen
statt und widmete sich den datenschutzrechtlichen
Herausforderungen vernetzter Fahrzeuge. Unter dem
Titel «Mit Vollgas in die Zukunft – Was weiss mein
Auto über mich?» stand die zunehmende Digitalisie -
rung der Automobilindustrie im Mittelpunkt. Moderne
Fahrzeuge sind heute mit einer Vielzahl von Sensoren,
Assistenzsystemen und Online-Diensten ausgestattet.
Dabei werden umfangreiche personenbezogene Daten
erhoben, etwa zum Fahrverhalten, zu Standortbewe -
gungen, zur Nutzung von Infotainment-Systemen
oder zur Interaktion mit mobilen Endgeräten.
Im Rahmen der Veranstaltung beleuchtete der
Hauptreferent, Markus Reuter von netzpolitik.org,
auf Grundlage aktueller journalistischer Recherchen,
welche Daten moderne Fahrzeuge erfassen und wel -
che Risiken sich daraus für die Privatsphäre ergeben
können. Im Anschluss diskutierten er, die Leiterin
der DSS, sowie Franziska Füglistaler von cardossier
über technische Entwicklungen, rechtliche Rahmen -
bedingungen und ethische Fragestellungen rund um
Fahrzeugdaten.
Die Veranstaltung, die auf sehr grosses Interesse
stiess, bot den rund 120 Teilnehmenden eine praxis -
nahe Einordnung eines Themenfeldes, das angesichts
zunehmender Vernetzung und datengetriebener Ge-
schäftsmodelle weiter an Bedeutung gewinnen wird.
8
Öffentlichkeitsarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
Am 10. November führte die DSS ihr jährliches
Vernetzungstreffen für Datenschutzbeauftragte
durch. Ziel der Veranstaltung war es, aktuelle Entwick-
lungen im Datenschutzrecht praxisnah zu beleuchten,
Erfahrungen auszutauschen und den Dialog mit Daten-
schutzbeauftragten sowie Verantwortlichen weiter zu
stärken. Ein Schwerpunkt lag auf der Auswertung der
Beratungs-, Beschwerde- und Meldetätigkeit im Be -
richtsjahr. Besonders häufig betrafen Beschwerden das
Auskunftsrecht nach Art. 15 DSGVO, Fragen der Rechts-
grundlage nach Art. 6 DSGVO sowie Informations- und
Löschpflichten. Wiederkehrende Problemfelder zeigten
sich insbesondere bei unzureichend konkreten Aus -
künften, fehlender vorgängiger Festlegung der Rechts-
grundlage sowie uneinheitlichen internen Prozessen.
Auch gemeldete Datenschutzverletzungen – etwa durch
Phishing, Fehlversand von E-Mails oder Cyberangriffe
– verdeutlichten die anhaltende Relevanz technischer
und organisatorischer Schutzmassnahmen.
Ein weiterer Programmpunkt des Vernetzungs -
treffens widmete sich aktuellen Entwicklungen im
In- und Ausland. Behandelt wurden unter anderem
neue Entscheidungen des Europäischen Gerichtshofs
(EuGH) zu Fragen wie etwa den Rechtsgrundlagen für
Datenverarbeitungen oder der Pseudonymisierung
und Anonymisierung sowie die geplante Verfahrens -
harmonisierung auf EU-Ebene. Ergänzend erfolgte
eine Einordnung zentraler Digitalrechtsakte wie KI-
Verordnung, Digital Services Act (DSA) und Digital
Markets Act (DMA).
Zudem stellte die DSS die nationalen Ergebnis -
se der auf EU/EWR-Ebene koordinierten Aktion 2025
zum Recht auf Löschung nach Art. 17 DSGVO vor («Co-
ordinated Enforcement Framework»). Die Befragung
von fünf liechtensteinischen Organisationen zeigte,
dass zwar grundsätzlich Verfahren und Prozesse zur
Umsetzung dieses Betroffenenrechts in den Institu -
tionen bestehen, jedoch teils grosse Unterschiede in
Struktur, Dokumentation, Transparenz und techni -
scher Ausgestaltung vorhanden sind. Daraus leitete die
DSS konkrete Empfehlungen für Verantwortliche und
insbesondere für ein umfassendes und nachvollzieh -
bares Löschkonzept ab.
Das Vernetzungstreffen bot damit erneut einen
vertieften Überblick über Vollzugspraxis, rechtliche
Entwicklungen und nach wie vor bestehende Prob -
lemfelder und leistete einen wichtigen Beitrag zur
Stärkung der datenschutzrechtlichen Compliance in
Liechtenstein.
Am 6. Mai veranstaltete die DSS bereits zum
dritten Mal einen Kinoabend mit anschliessender
Podiumsdiskussion im Skino. Die Veranstaltung im
Rahmen der Reihe «Datenschutz goes Cinema» stand
unter dem Titel «Identitätsdiebstahl: Du hast vielleicht
nichts zu verbergen, aber etwas zu verlieren – deine
Identität» und war innerhalb weniger Tage ausgebucht
– ein deutliches Zeichen für das grosse öffentliche In-
teresse am Thema.
Gezeigt wurde der Thriller Das Netz von Irwin
Winkler (USA 1995), in dem eine von Sandra Bullock
gespielte Computerexpertin Opfer eines perfiden Iden-
titätsdiebstahls wird. Der Film verdeutlichte eindrück-
lich, wie existenziell digitale Identität für die gesell -
schaftliche und wirtschaftliche Teilhabe ist – und wie
gravierend die Folgen ihres Missbrauchs sein können.
Trotz seines Erscheinungsjahres 1995 sind die darge -
stellten Risiken angesichts zunehmender Digitalisie -
rung, Social Media und datengetriebener Geschäfts -
modelle aktueller denn je.
Im Anschluss diskutierten Tina Groll, Journalis -
tin und Expertin für Identitätsdiebstahl und Internet-
kriminalität, Vertreter der Landespolizei sowie die Lei-
terin der DSS über typische Erscheinungsformen von
Identitätsmissbrauch, Präventionsmöglichkeiten und
rechtliche Konsequenzen. Besonderes Gewicht erhielt
der praxisnahe Austausch: Welche ersten Schritte sind
im Schadensfall zu setzen? Welche Beweise sollten ge-
sichert werden? Welche Rolle spielen strafrechtliche
Anzeigen und zivilrechtliche Ansprüche?
Zudem wurde der datenschutzrechtliche Kon -
text beleuchtet. Identitätsdiebstahl ist regelmässig
mit unrechtmässiger Datenverarbeitung verbunden;
entsprechend können Betroffenenrechte – insbeson -
dere auf Auskunft, Berichtigung und Löschung – ein
wichtiges Instrument zur Schadensbegrenzung dar -
stellen. Die Veranstaltung klang mit einem Apéro aus
und bot Raum für vertiefende Gespräche zwischen
Referierenden und Publikum.
Mit dem neuen Veranstaltungsformat «KI-Früh -
stück» beschritten die DSS und die Hochschule Lu -
zern im Jahr 2025 bewusst neue Wege der Wissens -
vermittlung. Ziel war es, aktuelle Fragen rund um
den Einsatz von KI in kompakter Form, praxisnah
und im direkten Dialog zu diskutieren – und dies in
ungezwungener Atmosphäre bei Kaffee und frischen
Gipfeli.
Die Resonanz übertraf sämtliche Erwartungen:
Der erste Termin am 23. Juni im Haus Gutenberg in
Balzers war innerhalb von 30 Minuten ausgebucht.
Aufgrund der grossen Nachfrage wurde kurzfristig
ein zweiter Termin am 17 . September mit erweiterter
Teilnehmerzahl angesetzt. Dieses hohe Interesse ver -
deutlichte den erheblichen Informationsbedarf im
Bereich KI und Compliance.
9
Öffentlichkeitsarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
In drei Kurzreferaten wurden zentrale Fragestel -
lungen beleuchtet: Die Leiterin der DSS thematisierte
die Pflicht zur Sicherstellung von KI-Kompetenz ge -
mäss Art. 4 der KI-Verordnung und deren Bedeutung
für private wie öffentliche Stellen. Ein Wirtschafts -
informatiker und KI-Praktiker zeigte praxisnah An -
wendungsfälle, Chancen und Risiken des KI-Einsatzes
in Unternehmen auf, einschliesslich unvorhergese -
hener Effekte im operativen Alltag. Ein Spezialist für
Cybersicherheit widmete sich schliesslich der Frage,
inwieweit Datenschutz und Datensicherheit in KI-Mo-
dellen technisch realisierbar sind – und wo die Gren -
zen liegen.
Beim zweiten Termin wurde das Programm
um einen zusätzlichen Vortrag zu den Transparenz -
pflichten nach der KI-Verordnung ergänzt. Dabei ging
es insbesondere um Informationspflichten, Kenn -
zeichnungserfordernisse und die Anforderungen an
nachvollziehbare Kommunikation beim Einsatz von
KI-Systemen.
Die anschliessende angeregte Diskussion zeig -
te, dass das gewählte Format – konzentrierte Inputs,
gefolgt von einer offenen Fragerunde – den Nerv der
Zeit trifft. Fachlicher Tiefgang und niederschwelliger
Austausch schlossen sich dabei keineswegs aus; im
Gegenteil: Zwischen Kaffeetasse und Gipfeli wurden
hochkomplexe Fragen mit bemerkenswerter Präzision
diskutiert.
Aufgrund der positiven Rückmeldungen und der
anhaltenden Nachfrage wird die Veranstaltungsreihe
im Herbst 2026 im selben Format fortgeführt – mit
denselben Referenten, aber mit aktualisierten The -
men, die den weiteren Entwicklungen im Bereich KI
Rechnung tragen.
Im Jahr 2025 setzte die DSS zudem einen neuen
fachlichen Schwerpunkt im Bereich Datenschutz und
Datensicherheit im Gesundheitswesen . Zwischen
23. Oktober und 25. November wurden insgesamt
drei spezifische Fachveranstaltungen mit knapp 90
Teilnehmenden durchgeführt. Zwei Veranstaltungen
fanden bei der LAK in Triesen statt, eine weitere rich-
tete sich an Mitglieder der Liechtensteinischen Ärz -
tekammer. Inhaltlich standen praxisrelevante Frage -
stellungen im Vordergrund, darunter der Umgang mit
besonders schützenswerten Gesundheitsdaten, Zu -
griffs- und Berechtigungskonzepte, Datensicherheits -
anforderungen sowie Meldepflichten bei Datenschutz-
verletzungen im medizinischen Kontext.
Den Teilnehmenden wurde im Vorfeld Gelegen -
heit zur Einreichung von Fragen gegeben, da es das Ziel
war, eine praxisorientierte Veranstaltung durchzufüh-
ren. Das Interesse war gross und die DSS konnte zahl-
reiche Fragen beantworten. Die DSS bedankt sich bei
den Teilnehmenden für ihr grosses Engagement.
1.2 Vorträge und Mitwirkung an Veranstaltungen
Zusätzlich zu den eigenen Veranstaltungen nah-
men Mitarbeitende der DSS als Referentinnen bzw.
Referenten an Informations- und Diskussionsveran -
staltungen von externen Organisatoren teil.
1.2.1 Kooperation mit den Universitäten
in Liechtenstein
Auch im Berichtsjahr war die Intention der DSS,
schwerpunktmässig mit den beiden Universitäten in
Liechtenstein zusammenzuarbeiten und gemeinsame
Veranstaltungen anzubieten.
Am 27 . November fand das 7 . Fortbildungsse -
minar zur Datenschutz-Grundverordnung (DSGVO)
statt. Die etablierte Fachveranstaltung wurde in be -
währter Zusammenarbeit mit der Privaten Universität
im Fürstentum Liechtenstein (UFL), dem Datenschutz-
verein Liechtenstein, der Liechtensteinischen Indust -
rie- und Handelskammer, BWBLEGAL, privacyoffi -
cers.at, der Data Privacy Community, dem Verein für
Unternehmens-Datenschutz (VUD) sowie dem Berufs-
verband der Datenschutzbeauftragten Deutschlands
(BvD) e.V. durchgeführt.
Die Veranstaltung bot praxisorientierte Fach -
vorträge renommierter Expertinnen und Experten
aus Liechtenstein, Deutschland, Österreich und der
Schweiz. Im Zentrum standen aktuelle Entwicklungen
in Rechtsprechung und (Aufsichts-)Praxis sowie deren
konkrete Auswirkungen auf Unternehmen und öffent-
liche Stellen. Die DSS war als Mitveranstalterin auch
aktiv in die Organisation sowie in die Themen- und
Referentenauswahl eingebunden.
Der Vortrag der DSS widmete sich dem Aus -
kunftsrecht gemäss Art. 15 DSGVO im Lichte der jün-
geren Rechtsprechung des EuGH. Unter dem Leitge -
danken «Auskunftsrecht – neu interpretiert durch
den EuGH» wurden insbesondere das weitreichende
Recht auf Kopie sowie das zentrale Erfordernis der
Kontextualisierung der offengelegten Daten vertieft
behandelt. Dabei wurde deutlich, dass eine pauschale
oder abstrakte Beschreibung der verarbeiteten Daten
regelmässig nicht (mehr) ausreicht, sondern konkre -
te und verständliche Informationen zur jeweiligen
tatsächlichen Verarbeitungssituation bereitzustellen
sind.
Das Fortbildungsseminar unterstrich erneut die
Bedeutung kontinuierlicher Fortbildung im Daten -
schutzrecht. Angesichts dynamischer rechtlicher Ent -
10
Öffentlichkeitsarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
wicklungen und einer zunehmend differenzierten
Rechtsprechung bleibt der fachliche Austausch auf
hohem Niveau ein wesentlicher Bestandteil wirksa -
mer Compliance.
Darüber hinaus bot die DSS in Kooperation mit
der UFL im Vorfeld des Fortbildungsseminars im Mai
2025 auch einen Kurs Basiswissen Datenschutz an.
Ziel dieses Kurses war es, Einsteigerinnen und Ein -
steigern eine Möglichkeit zu bieten, Grundwissen im
Bereich Datenschutz zu erwerben, um dann in einem
Betrieb die Rolle des betrieblichen Datenschutzbeauf-
tragten übernehmen zu können. Die DSS deckte in die-
sem Kurs sowohl die rechtliche als auch die technische
Seite des Datenschutzes ab. Eine Neuerung in diesem
Kurs war eine noch stärkere Praxisorientierung. Durch
gezielte Übungen am Ende jeder Unterrichtseinheit er-
hielten die Teilnehmenden einen Einblick in die prak-
tische Umsetzung der DSGVO und ein Gefühl für die
kniffligen Fragen in der Praxis.
Ergänzt wurde dieser Basiskurs mit einem In -
tensivkurs Datenschutzmanagement von Septem -
ber bis Oktober 2025, der ebenfalls von der UFL in
Kooperation mit der DSS und dem Datenschutzver -
ein Liechtenstein angeboten wurde. Der Intensivkurs
Datenschutzmanagement ist modular aufgebaut und
verbindet fachliche Vertiefung mit praxisorientierter
Anwendung.
Im ersten Modul vermitteln Expertinnen und Ex-
perten fundiertes Wissen zu zentralen Themen des
Datenschutzes und der Datensicherheit. Die Teilneh -
menden erhalten einen strukturierten Überblick über
rechtliche Grundlagen, organisatorische Anforderun -
gen sowie technische Schutzmassnahmen.
Im zweiten Modul steht die praktische Umset -
zung im Vordergrund. Anhand konkreter Fallbeispiele
und typischer Praxissituationen wird das erworbene
Wissen gemeinsam analysiert, angewendet und ver -
tieft. Ziel ist es, datenschutzrechtliche Fragestellun -
gen systematisch zu erfassen und tragfähige Lösungen
zu entwickeln.
Das dritte Modul umfasst die Teilnahme am Fort-
bildungsseminar zur Datenschutz-Grundverordnung.
Auf Einladung der Universität Liechtenstein
übernahm die DSS im Berichtsjahr erneut jeweils
mehrere Lehreinheiten zu rechtlichen und techni -
schen Anforderungen des Datenschutzes in verschie -
denen Weiterbildungs- und Studienprogrammen.
Dazu zählten der Zertifikatsstudiengang Complian -
ce-Officer, der Executive Master of Laws (LL.M.) im
Bank- und Finanzmarktrecht, der Diplomstudiengang
Treuhandwesen sowie Weiterbildungsformate im
Versicherungswesen.
Die Lehrveranstaltungen waren jeweils zwei -
geteilt aufgebaut. Im ersten Teil wurden die recht -
lichen Rahmenbedingungen und die praktische
Umsetzung der DSGVO in Unternehmen bzw. Fi -
nanzintermediären behandelt. Dabei standen ins -
besondere Fragen der Rechtsgrundlagen, der Re -
chenschaftspflicht, der Betroffenenrechte sowie der
organisatorischen Implementierung datenschutz -
konformer Prozesse im Fokus.
Der zweite Teil widmete sich vertieft techni -
schen und organisatorischen Aspekten. Thematisiert
wurden unter anderem Anforderungen an die Daten -
sicherheit, die Durchführung und Dokumentation
von Datenschutz-Folgenabschätzungen, der Umgang
mit Datenschutzverletzungen einschliesslich Melde -
pflichten sowie die Umsetzung der Prinzipien «Pri -
vacy by Design» und «Privacy by Default». Ergänzend
wurden praxisrelevante Fragestellungen zum rechts -
konformen Einsatz von Tracking-Technologien und
zu einem datenschutzkonformen Cookie-Manage -
ment behandelt.
1.2.2 Schulungen zu Datenschutz und Sozialen
Medien
Im Auftrag des Elternbeirats der weiterführen -
den Schulen in Eschen fand im Mai 2025 ein Infor -
mationsabend für die Eltern zum Thema «Mediener-
ziehung im digitalen Zeitalter: Strategien für Eltern»
statt. Neben Vertretern der DSS gestalteten die Liech -
tensteinische Landespolizei, die Offene Jugendarbeit
Eschen-Nendeln, die Fachgruppe Medienkompetenz
sowie die Fachbereichsleiterin der Schulsozialarbeit
die Veranstaltung mit. Im Impulsvortrag wurde der
bewusste Umgang mit digitalen Medien thematisiert.
Konkret wurden die Bedeutsamkeit von Medienkom -
petenz, Chancen und Risiken der Sozialen Medien
sowie rechtliche Aspekte wie Strafmündigkeit und
Datenschutz präsentiert. Im Anschluss an den Vortrag
wurden im Podium Fragen und Erfahrungsberichte
aus dem Publikum rege diskutiert.
Auf Anfrage der Fachgruppe Medienkompetenz
beteiligte sich die DSS am 26. Februar an einem The -
menabend «Mentale Gesundheit» im Clinicum Alpi-
num. Die DSS gestaltete gemeinsam mit der Stabsstel-
le Cyber-Sicherheit sowie der Schulsozialarbeit einen
Impulsvortrag. Inhaltlich wurden die Bedeutung von
Medienkompetenz im digitalen Alltag, insbesondere
im Kontext psychischer Gesundheit, sowie Chancen
und Risiken der Medien- und Smartphone-Nutzung
beleuchtet. Dabei wurden sowohl entwicklungspsy -
chologische als auch datenschutz- und sicherheitsre -
levante Aspekte angesprochen. Anschliessend fand
11
Öffentlichkeitsarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
eine Diskussion mit den Teilnehmenden statt, die auf
grosses Interesse stiess. Besonders geschätzt wurden
die praxisnahen Hinweise und konkreten Empfehlun-
gen zum reflektierten Umgang mit Sozialen Medien
und Smartphones.
1.2.3 Zentrum für Schulmedien – Weiterbildung
Datenschutz/Datensicherheit für pädagogi-
sche Medienmentoren (PMM)
Am 26. März fand im Zentrum für Schulme -
dien in Vaduz ein Weiterbildungskurs zum Thema
Da tenschutz/Datensicherheit für die pädagogischen
Medienmentoren des Schulamts (SA) statt. Der Kurs
wurde vom SA in Kooperation mit der DSS abgehal -
ten. Neben den grundlegenden Zielen und Prinzipien
des Datenschutzrechts wurden auch die datenschutz -
rechtlichen Anforderungen bei der Prüfung von Soft -
wareanträgen – insbesondere von digitalen Lehrmit -
teln – vertieft beleuchtet. Der Vortragsteil der DSS
vermittelte die wesentlichen Grundlagen der Datensi -
cherheit nach DSGVO, einschliesslich der technischen
und organisatorischen Massnahmen (TOM) sowie der
zugrunde liegenden Gewährleistungsziele. Abschlies -
send wurde diskutiert, wie Datensicherheit in der Pra-
xis wirksam umgesetzt werden kann.
1.2.4 Interne Vorträge für die Mitarbeitenden
der Landesverwaltung (LLV)
Wie in den Vorjahren bot die DSS im Rahmen
der internen LLV-Weiterbildung erneut einen halbtä -
gigen Kurs zum Thema «Datenschutz» an. Vermit -
telt wurden die rechtlichen Grundlagen des Schutzes
des informationellen Selbstbestimmungsrechts sowie
zentrale datenschutzrechtliche Prinzipien wie Recht -
mässigkeit, Zweckbindung, Verhältnismässigkeit,
Transparenz und Datensicherheit. Ergänzend wurden
technische Aspekte des Datenschutzes behandelt. Im
Fokus stand der datenschutzbewusste Umgang mit di-
gitalen Endgeräten. Anhand von Webbrowsern, gängi-
gen Smartphone-Betriebssystemen und häufig genutz-
ten Apps wurden praxisnah Einstellungen aufgezeigt,
mit denen sich der Schutz der Privatsphäre verbes -
sern lässt. Abgerundet wurde der Kurs durch Hinwei -
se zu weiterführenden Massnahmen, insbesondere
zur Nutzung von Passwortmanagern, Zwei-Faktor-Au-
thentifizierung (2FA), VPN-Diensten sowie zu einem
insgesamt sparsamen und reflektierten Umgang mit
personenbezogenen Daten.
Ebenfalls leistete die DSS mit einem Webinar zum
Thema «Ethik und KI in der Verwaltung» einen fach-
lichen Beitrag zur LLV-Akademie. Die KI-Verordnung
der EU verankert ethische Prinzipien wie Transparenz,
Nicht-Diskriminierung, Sicherheit und Grundrechts -
schutz in einem risikobasierten Regulierungsansatz.
In der öffentlichen Verwaltung bedeutet dies, KI ver -
antwortungsvoll, transparent und menschenzentriert
einzusetzen, um Vertrauen und demokratische Werte
zu sichern. Das Fazit und die zentrale Handlungsemp-
fehlung an die Mitarbeitenden der LLV war, dass der
verantwortungsvolle Einsatz von KI nicht allein durch
rechtliche Regeln sichergestellt wird, sondern mass -
geblich vom individuellen Handeln abhängt. Jede und
jeder Einzelne trägt Verantwortung dafür, KI reflektiert,
transparent und menschenzentriert einzusetzen. Dazu
gehört, den Einsatz von KI kritisch zu hinterfragen, ihre
Rolle offen zu kommunizieren, ihre Grenzen klar zu er-
kennen und die Letztverantwortung für Entscheidun -
gen beim Menschen zu belassen. Ebenso wesentlich
sind ein grundlegendes Verständnis der gesellschaftli-
chen und rechtlichen Auswirkungen von KI sowie der
Mut, ethische Bedenken anzusprechen.
1.2.5 Weitere Vorträge
Darüber hinaus engagierten sich die Mitarbeiten-
den der DSS im Berichtsjahr bei insgesamt dreizehn wei-
teren Informations- und Diskussionsveranstaltungen.
Innerhalb Liechtensteins gab die DSS eine Prä -
sentation zur KI-Verordnung am Liechtenstein-Insti -
tut und hielt Vorträge mit einem Update zu den Daten-
schutzanforderungen beim Unternehmeranlass der
Gemeinde Eschen-Nendeln, dem Aus- und Weiterbil -
dungstag des Pensionskassenverbandes sowie dem
Datenschutzverein. Ebenso hielt die DSS einen Vortrag
zum Thema «Update Datenschutz: Rechte und Pflich -
ten für Vereine» als Teil einer Weiterbildung für Verei-
ne in der Erwachsenenbildung Stein Egerta.
Im nahen Ausland nahm die DSS erneut an einer
Fachveranstaltung in Zürich für betriebliche Daten -
schutzexpertinnen und -experten aus der Schweiz teil
und stellte dort ihre Perspektiven zu aktuellen regu -
latorischen und aufsichtsrechtlichen Entwicklungen
dar. Darüber hinaus war die DSS mit eigenen Fachbei-
trägen beim Privacy Ring in Luzern, bei der Jahresta -
gung 2025 der Datenschutzbeauftragten der öffent -
lichen Verwaltung Österreichs in Innsbruck, beim
Schulthess Forum Data Privacy 2025 in Zürich sowie
im Rahmen eines Roundtable für Studierende des CAS
Datenschutz der Universität Zürich vertreten.
Inhaltlich befassten sich die Vorträge mit ak -
tuellen Fragestellungen des Datenschutzrechts, ein -
schlägiger Rechtsprechung sowie zunehmend mit den
neuen Digitalisierungsrechtsakten der EU – insbeson-
dere deren systematischem Zusammenspiel mit der
DSGVO. Dabei standen Fragen der Kohärenz, Abgren -
12
Öffentlichkeitsarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
zung und praktischen Umsetzung im Unternehmens-
und Verwaltungsalltag im Mittelpunkt.
Diese breit gefächerten Aktivitäten unterstrei -
chen die Rolle der DSS als fachliche Ansprechpart -
nerin über die Landesgrenzen hinaus. Zugleich leis -
ten sie einen wichtigen Beitrag zur Sensibilisierung
von Fachkreisen und Öffentlichkeit für die rechtli -
chen, technischen und organisatorischen Herausfor -
derungen eines zunehmend komplexen europäischen
Datenschutz- und Digitalrechtsrahmens.
1.3 Internetseite
Zwei zentrale Säulen der Öffentlichkeitsarbeit der
DSS sind der Internetauftritt und der im Berichtsjahr
sechzehn Mal versandte Newsletter. Beide Elemente
sind miteinander verbunden, indem der Newsletter
jeweils einen kurzen Überblick zu einem Thema gibt
und zugleich auf weiterführende Informationen auf
der Internetseite verweist. Diese integrierte Herange -
hensweise ermöglicht es den Empfängern, sich über
den Newsletter hinaus nachgängig tiefergehend mit
den präsentierten Themen auseinanderzusetzen.
Im Berichtsjahr verzeichnete die Internetseite
zwar eine leichte Abnahme der Zugriffe, diese blieben
jedoch insgesamt auf einem hohen Niveau. Dies unter-
streicht nicht nur die Relevanz der von der DSS bereit-
gestellten Informationen, sondern auch die konstante
Nachfrage nach qualitativ hochwertigen Ressourcen
im Bereich Datenschutz. Die rege Nutzung beider Ka -
näle – Internetseite und Newsletter – zeigt die erfolg -
reiche Strategie der DSS, sowohl regelmässig aktuelle
Informationen zu liefern als auch auf weiterführende
Inhalte aufmerksam zu machen.
Die meisten Zugriffe auf die Internetseite be -
treffend die verschiedenen Themen unter der Rubrik
«Datenschutz / Themen A–Z» wurden bei folgenden
Beiträgen verzeichnet: Berechtigtes Interesse, beson -
dere Datenkategorien nach Art. 9 und 10 DSGVO, Infor-
mationspflicht nach Art. 13 und 14 DSGVO, Schwärzen
von Dokumenten und Bildern sowie Löschrecht und
Löschpflicht.
1.4 Newsletter
Ende 2025 hatten 1'175 Personen den Newsletter
der DSS abonniert und das Interesse daran bleibt wei-
terhin hoch. Im Berichtsjahr hat die DSS insgesamt 24
neue Informationsbeiträge und Veranstaltungsankün-
digungen auf ihrer Internetseite veröffentlicht und
dazu 16 Newsletter versandt. Die drei meistgelesenen
Newsletter 2025 waren jener zum KI-Training durch
Meta, Aktuelles aus der Datenschutzstelle #5, sowie
KI-Training durch LinkedIn.
Abbildung 1: Entwicklung Newsletter-Abonnentinnen und Abonnenten
0
20 0
40 0
60 0
800
10 00
1200
1400
20 16 20 17 20 18 20 19 20 20 20 21 20 22 20 23 20 24 20 25
13
Öffentlichkeitsarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
Sämtliche Newsletter können jederzeit auf der
Internetseite der DSS nachgelesen werden. Ausserdem
finden sich viele Inhalte der Newsletter dort auch in
ausführlicher Form im Bereich «Themen A-Z» wie -
der. Nachdem bei jeder bedeutenden inhaltlichen Än -
derung oder Neuerung auf der Internetseite der DSS
ein Newsletter versandt wird, bleiben die Newslet -
ter-Abonnentinnen und -Abonnenten immer auf dem
Laufenden, auch ohne die Internetseite in regelmäs -
sigen Abständen besuchen und auf Neuigkeiten hin
überprüfen zu müssen.
Anregungen der Leserinnen und Leser zu neuen
Themen für den Newsletter sind jederzeit willkom-
men und werden soweit möglich aufgenommen und
umgesetzt.
1.5 Datenschutz in den Medien
Im Berichtsjahr war das Thema Datenschutz er -
neut regelmässig in den liechtensteinischen Medien
präsent. Mit knapp 30 Beiträgen bewegte sich die Be -
richterstattung quantitativ auf einem ähnlichen
Niveau wie im Vorjahr. Inhaltlich lag der Schwerpunkt
der Printmedien insbesondere auf Fragen der fort -
schreitenden Digitalisierung und dem Einsatz von KI,
auf datenschutzrechtlichen Herausforderungen im
Bildungsbereich sowie auf der Thematik der Aktenein-
sicht im Zusammenhang mit dem Erzbistum Vaduz.
Die mediale Aufmerksamkeit verdeutlicht, dass Daten-
schutzfragen zunehmend gesellschaftspolitische Re -
levanz besitzen und über den rein juristischen und
technischen Kontext hinaus öffentlich diskutiert wer -
den. Die mediale Berichterstattung zu datenschutz -
rechtlichen Themen und ihre positive Haltung gegen -
über diesem Bereich leisten einen wertvollen Beitrag
zur Umsetzung des kommunikativen Konzepts im
Wissenstransfer. Dadurch werden auch Privatperso -
nen erreicht, die beruflich weniger mit Datenschutz in
Berührung kommen und die auf diese Weise ebenfalls
einen verständlichen Zugang zu dieser Materie
erhalten.
«Über die letzten vier Jahre
hinweg lässt sich ein klarer Trend
zur steigenden Komplexität der
An fragen erkennen, der sich auch
2025 fortsetzte.»
15
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
2.1 Allgemeines
Im Berichtsjahr bearbeitete die DSS insgesamt
1'563 Anfragen von öffentlichen und privaten Institu-
tionen sowie von Privatpersonen. Im Vergleich zu den
1'521 Anfragen des Vorjahres entspricht dies einem
leichten Anstieg um 2,8 %. Über die letzten vier Jahre
hinweg lässt sich jedoch ein klarer Trend zur steigen-
den Komplexität der Anfragen erkennen, der sich auch
2025 fortsetzte.
Die fortschreitende technologische Entwicklung
führte zu einer Vielzahl neuer und anspruchsvoller
Fragestellungen, insbesondere im Hinblick darauf, ob
und wie technische Systeme die Anforderungen des
Datenschutzes erfüllen können. Besonders der Einsatz
von KI sorgte erneut für zahlreiche Anfragen von Ver-
antwortlichen. Ein weiterer Beratungsschwerpunkt
lag auch im Berichtsjahr wieder auf der Nutzung von
Videoüberwachungen durch private und kommerziel -
le Akteure.
Ergänzend rückte die Frage der datenschutzrecht-
lichen Zulässigkeit und praktischen Ausgestaltung
von Cloud-Lösungen verstärkt in den Fokus. Zahl -
reiche öffentliche Stellen und Unternehmen prüften
im Berichtsjahr die Auslagerung von Datenverarbei-
tungen an grosse internationale Cloud-Dienstleister.
Dabei stellten sich komplexe Fragen zur Rollenver -
teilung zwischen Verantwortlichem und Auftrags -
2. Beratung zu konkreten Anfragen
verarbeiter, zu geeigneten Garantien bei Drittstaaten -
transfers sowie zur vertraglichen und technischen
Absicherung gemäss der DSGVO. Neben den Vorteilen
solcher Lösungen – etwa Skalierbarkeit, hohe Sicher -
heitsstandards und professionelle Betriebsstrukturen
– waren auch Risiken wie Abhängigkeiten von einzel-
nen Anbietern, eingeschränkte Kontrollmöglichkei -
ten und die Transparenz von Datenflüssen sorgfältig
zu bewerten. Eine besondere Herausforderung in der
Beratungspraxis bestand darin, dass die DSS weder
einzelne Produkte noch konkrete Cloud-Dienstleis -
ter bewerten oder empfehlen kann. Aufgrund ihres
gesetzlichen Mandats und ihrer institutionellen Un -
abhängigkeit ist es der Aufsichtsbehörde verwehrt,
Marktakteure zu zertifizieren oder bestimmte Lösun -
gen als «datenschutzkonform» freizugeben.
Hinzu kam, dass die datenschutzrechtliche Be -
urteilung von Cloud-Nutzungen regelmässig nicht
abstrakt, sondern nur auf Grundlage der jeweils kon -
kret gewählten Konfiguration, der vertraglichen Aus -
gestaltung sowie der getroffenen technischen und
organisatorischen Massnahmen erfolgen kann. As -
pekte wie Speicherort, Verschlüsselung, Zugriffs- und
Berechtigungskonzepte, Protokollierung, Unterauf -
tragsverhältnisse oder internationale Datenflüsse be -
einflussen die rechtliche Bewertung wesentlich. Viele
Fragestellungen liessen sich daher nur einzelfallbezo -
/five.tf%
/three.tf%
/two.tf/seven.tf,/one.tf%
/two.tf/five.tf,/eight.tf%
/two.tf/five.tf%
/one.tf/four.tf,/one.tf%
/one.tf/zero.tf,/eight.tf%
/one.tf/three.tf%
/three.tf/one.tf,/three.tf%
/two.tf/zero.tf,/three.tf%
/one.tf/five.tf,/four.tf%
/six.tf,/nine.tf%
/two.tf,/three.tf%
■ Internationales
■ Öffentliche Hand
■ Privatwirtschaft
■ Privatpersonen
■ Vereine und Stiftungen
■ Medien
■ Finanzintermediäre
■ IT und Telekommunikation
■ Anwaltskanzleien
■ Industrie
■ Versicherungen
■ Gesundheitswesen
■ Andere
Wer stellt die Fragen? Verteilung der Anfragen aus der Privatwirtschaft
16
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
gen beantworten und erforderten von den Verantwort-
lichen eine sorgfältige, dokumentierte Risikoanalyse
im Sinne der Rechenschaftspflicht gemäss der DSGVO.
Weitere aktuelle Themen des Jahres 2025 betra -
fen die rechtssichere Ausgestaltung von Tracking- und
Cookie-Mechanismen, den Umgang mit vermehrten
Cyberangriffen und Phishing-Vorfällen sowie die Ab -
grenzung zwischen Pseudonymisierung und Anony -
misierung im Lichte aktueller europäischer Recht -
sprechung. Auch die Anforderungen an Transparenz,
Dokumentation und Rechenschaftspflicht bei automa-
tisierten Entscheidungsprozessen gewannen weiter an
Bedeutung. Insgesamt zeigte sich, dass technische In -
novationen zunehmend eine vertiefte rechtliche und
technische Analyse erfordern und die DSS sowohl be-
ratend als auch aufsichtsrechtlich in komplexen digi -
talen Transformationsprozessen gefordert war.
Die Herkunft der Anfragen zeigt ein vielfältiges
Bild: Jeweils rund ein Viertel der Anfragen stammte
aus dem internationalen bzw. EU/EWR-Raum (27 ,1 %),
dem öffentlichen Sektor (25,8 %) sowie der Privatwirt-
schaft (25,0 %). Der Grossteil der Anfragen aus dem
privaten Sektor kam von Kleinen und Mittleren Be -
trieben (KMU) verschiedener Branchen, gefolgt von
Finanzintermediären, der IT und Telekom-Branche
sowie von Anwaltskanzleien. Der Anteil von Privatper-
sonen, die Anfragen an die DSS stellten, hat mit 14,1 %
leicht abgenommen. Anfragen von Vereinen und Stif -
tungen sind ebenfalls leicht zurückgegangen (5,0 %),
während sich die Anfragen von Medien 2025 verdop -
pelt haben (3,0 %).
Diese Zahlen verdeutlichen die wachsende Be -
deutung datenschutzrechtlicher Themen in unter -
schiedlichsten Bereichen. Gleichzeitig zeigen sie, wie
eng Liechtenstein als EWR-Mitgliedstaat in die euro -
päische Datenschutz- und Digitalisierungsagenda ein-
gebunden ist und welch zentrale Rolle der DSS bei der
Unterstützung und Information der betroffenen Ak -
teure zukommt.
Beratungsanfragen konnten telefonisch, schrift -
lich – insbesondere mittels E-Mail – oder auch in
einem persönlichen Gespräch bei der DSS eingebracht
werden.
Ganz allgemein stellte sich auch im Berichts -
jahr wieder die Frage, ob und in welchem Ausmass
eine Datenschutz-Aufsichtsbehörde überhaupt bera -
tend tätig sein sollte bzw. ob Aufsicht durch Beratung
überhaupt im Sinne der DSGVO ist. Die DSS blieb bei
ihrer grundsätzlichen Auffassung, dass Beratung ein
zentrales Element der Umsetzung der Datenschutzbe -
stimmungen darstellt. So ist es zwar korrekt, dass die
Beratung von Verantwortlichen und Auftragsverarbei -
tern weder in der DSGVO noch im liechtensteinischen
Datenschutzgesetz (DSG) als explizite Aufgabe der Auf-
sichtsbehörden erwähnt wird, allerdings lässt sie sich
als Teil von Art. 57 Abs. 1 Bst. v DSGVO verstehen, wo-
nach die Aufsichtsbehörde «jede sonstige Aufgabe im
Zusammenhang mit dem Schutz personenbezogener
Daten erfüllen kann».
Vor dem Hintergrund der aktuell begrenzten
personellen Ressourcen sowie einer stetigen Zunah -
me komplexer Aufgaben – insbesondere im Zusam -
menhang mit neuen technologischen Entwicklun -
gen – müsste diese auf Eigeninitiative beruhende
Beratungstätigkeit im Falle weiterer Ressourcenver -
knappung allerdings überprüft und gegebenenfalls

0
50 0
10 00
1500
20 00
2500
20 16 20 17 20 18 20 19 20 20 20 21 20 22 20 23 20 24 20 25
Abbildung 2: Anzahl Anfragen pro Jahr
17
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
reduziert werden. Auf die personellen Rahmenbedin -
gungen und deren Auswirkungen auf die Aufgaben -
wahrnehmung wird im Kapitel «Interne Organisation»
näher eingegangen.
Heikel ist die Frage der Beratung durch die DSS
jedoch in einem laufenden Beschwerdeverfahren ge -
mäss Art. 57 Abs. 1 Bst. f DSGVO oder während einer
amtswegigen Untersuchung gemäss Art. 57 Abs. 1
Bst. h DSGVO. Die DSS hält in Bezug auf diese spe -
zielle Fallkonstellation deshalb eine ganz klare Tren -
nung zwischen ihren Beratungsaufgaben und ihrer
Aufsichtstätigkeit für unumgänglich. Sobald die DSS
von ihren Untersuchungsbefugnissen gemäss Art. 58
Abs. 1 DSGVO Gebrauch macht, ist eine Beratung nicht
mehr möglich und die Kommunikation mit den Ver -
antwortlichen hat sich auf die Durchführung der
Untersuchung bzw. die Erfüllung von Anordnungen
der DSS in diesem Zusammenhang zu beschränken.
Es kann zwar eine Anleitung zur Erfüllung der Anwei-
sungen gegeben werden, nicht jedoch eine umfassen -
de Rechtsberatung, wie sie bei einer reinen Anfrage
einer öffentlichen oder privaten Stelle möglich wäre.
Bereits im Jahr 2023 hat die DSS ihre Strategie
zur klaren Abgrenzung zwischen aufsichtsrechtlicher
Untersuchung und beratender Tätigkeit punktuell wei-
terentwickelt. Seither bietet sie – auf Wunsch der ver-
antwortlichen Stelle – gezielte Beratungstermine zur
Umsetzung rechtskräftiger Verfügungen an. Ziel die -
ser Anpassung ist es, nach Abschluss des formellen
Verfahrens eine sachgerechte und effiziente Umset -
zung der angeordneten Massnahmen zu unterstützen,
ohne die institutionelle Trennung zwischen Kontrolle
und Beratung aufzugeben.
Im Berichtsjahr bestätigte sich erneut die Zweck-
mässigkeit dieses Vorgehens. Durch die strukturierte
Begleitung im Anschluss an eine Verfügung konnten
offene Umsetzungsfragen frühzeitig geklärt, Missver -
ständnisse vermieden und Verzögerungen reduziert
werden. Dies führte in mehreren Fällen zu einer deut-
lich beschleunigten Herstellung eines datenschutz -
konformen Zustands und trug zugleich zur Rechtssi -
cherheit der betroffenen Organisationen bei.
2.2 Videoüberwachung und Veröffentlichung
von Bildmaterial
Seit Inkrafttreten der DSGVO hebt die DSS in
jedem Tätigkeitsbericht hervor, dass Videoüberwa -
chungen einen dauerhaften Schwerpunkt ihrer Auf-
sichtstätigkeit bilden. Dies traf auch im Berichtsjahr
zu. Angesichts der fortschreitenden technischen Ent -
wicklungen bleibt festzuhalten, dass Videoüberwa -
chung ein datenschutzrechtliches Kernthema bleibt,
solange entsprechende Systeme eingesetzt werden.
Im Berichtsjahr zeigte sich abermals, dass neue tech -
nische Lösungen und Einsatzformen auf den Markt
gelangen und bestehende Überwachungspraktiken
verändern.
Ein erkennbarer Trend betraf die Videoüberwa -
chung von Baustellen. Die DSS erhielt Anfragen so -
wohl zur Dokumentation des Baufortschritts als auch
zur Kontrolle der Arbeitsleistung im Zusammenhang
mit Abrechnungen. Während die rein technische Er -
fassung des Baufortschritts grundsätzlich ohne Ver -
arbeitung personenbezogener Daten möglich ist, wirft
die Leistungsüberwachung von Arbeitnehmenden er -
hebliche datenschutzrechtliche Fragen auf. Für beide
Zwecke ist die Verarbeitung personenbezogener Daten
grundsätzlich nicht erforderlich, da der Baufortschritt
oder Materialbestände etc. auch ohne Identifizierbar -
keit einzelner Personen dokumentiert werden können.
Technische Lösungen, die Personen automatisiert aus
dem Bildmaterial entfernen oder verpixeln, lösen das
datenschutzrechtliche Problem jedoch nicht voll -
ständig, da bereits dieser Anonymisierungsprozess
eine Datenverarbeitung darstellt. Werden zudem Roh-
daten gespeichert, die noch identifizierbare Personen
enthalten, bestehen weiterhin erhebliche rechtliche
Anforderungen, insbesondere hinsichtlich Rechts -
grundlage, Zweckbindung, Speicherbegrenzung und
Zugriffskontrolle. Die DSS prüft entsprechende Vor -
haben vertieft, sobald sie konkret umgesetzt werden
sollen.
Ein weiterer Schwerpunkt lag auf Videoüberwa -
chungen in Wohnbereichen. Während entsprechende
Fragestellungen im nachbarschaftlichen Kontext seit
Jahren auftreten, verzeichnete die DSS im Berichts -
jahr einen deutlichen Anstieg von Anfragen zu Video-
überwachungen in Mehrfamilienhäusern. Betroffen
waren insbesondere Garagen, Abfallräume, Hausein -
gänge sowie allgemein zugängliche Innenbereiche.
Die datenschutzrechtliche Beurteilung orientiert sich
grundsätzlich an denselben Kriterien wie bei Einfa -
milienhäusern. Als Rechtsgrundlage kommt entweder
eine Einwilligung oder ein berechtigtes Interesse in
Betracht. In Wohnbereichen lässt sich ein berechtig -
tes Interesse allerdings regelmässig nicht ausreichend
begründen, da das Schutzinteresse der anderen Be -
wohner und Besucher überwiegt. Praktisch verbleibt
daher nur die Einwilligung sämtlicher betroffener Be-
wohner. Diese muss freiwillig, informiert und jeder -
zeit widerrufbar sein und darf nicht an vertragliche
Verpflichtungen – etwa einen Mietvertrag – gekoppelt
werden. In der Praxis führt dies zu erheblichen Umset-
zungsproblemen, da bereits der Widerruf durch eine
einzelne Person die Abschaltung der Anlage erforder -
lich macht.
18
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
Auch im nachbarschaftlichen Umfeld von Einfa -
milienhäusern blieb die DSS beratend tätig. Besonders
hervorzuheben sind zwei Fälle, in denen sich betrof -
fene Nachbarn aufgrund eines von der DSS bereitge -
stellten Musterschreibens eigenständig meldeten.
Dieses Schreiben steht seit mehreren Jahren auf der
Internetseite der DSS zur Verfügung und ermöglicht
es Nachbarn, anonym oder offen auf eine potenziell
unzulässige Videoüberwachung hinzuweisen und er -
mutigt zur Kontaktaufnahme mit der DSS. Dieses nie-
derschwellige Instrument trägt dazu bei, eskalierende
Nachbarschaftskonflikte zu vermeiden und daten -
schutzkonforme Lösungen im Dialog zu erreichen.
Im Bereich Hotellerie und Gastronomie setzte die
DSS ihre Beratungstätigkeit zu Videoüberwachungen
ebenfalls fort. Bereits im Vorjahr hatte sie zur Video -
überwachung in einem Hotel Stellung genommen und
klargestellt, dass Gäste in Bereichen der Freizeitge -
staltung nicht überwacht werden dürfen. Die Überwa-
chung von Lobby- oder Aufenthaltsräumen ist somit
unzulässig. Im Berichtsjahr prüfte die DSS weitere
Konstellationen. Massgeblich sind jeweils der konkre-
te Zweck, der Kreis der betroffenen Personen und die
Eingriffsintensität. So ist etwa die Überwachung eines
nicht öffentlich zugänglichen Weinkellers zulässig,
während eine Überwachung des Restaurationsbe -
triebs unzulässig ist. Für Hotelgänge reicht ein berech-
tigtes Interesse grundsätzlich nicht aus, wohingegen
Eingangsbereiche oder Tiefgaragen unter bestimmten
Voraussetzungen überwacht werden dürfen.
Ein weiterer Fall betraf die Videoüberwachung
eines Spielplatzes. Geprüft wurde die Erfassung des
Bereichs vor WC-Anlagen, des Holzlagers sowie des
Spielplatzes selbst. Aufgrund wiederholter Vorkomm -
nisse von Vandalismus wurde eine Kameraüberwa -
chung unmittelbar vor den WC-Anlagen als zulässig
beurteilt. Unter Berücksichtigung der Rechtsprechung
des Verwaltungsgerichtshofs (VGH 2022/109) ist auch
die Überwachung eines Holzlagers zur Durchsetzung
eines Feuerverbots und zum Schutz vor Sachbeschä -
digung zulässig. Dagegen ist die flächendeckende
Überwachung des Spielplatzes mit dem berechtigten
Interesse der Besucher und Besucherinnen an einer
unbeobachteten Freizeitgestaltung nicht verein -
bar. Als milderes Mittel kommt eine rein technische
Live-Übersicht ohne Speicherung personenbezogener
Daten in Betracht.
Darüber hinaus befasste sich die DSS mit Video -
überwachungen innerhalb privater Wohnräume. Sol -
che Systeme fallen nicht unter die Haushaltsausnah -
me, wenn sie Zwecken wie Sicherheit oder Kontrolle
gegenüber Dritten dienen. Besonders problematisch
ist der Einsatz von Kameras gegenüber Mitarbeiten -
den oder externen Dienstleistern wie etwa Reini -
gungs- oder Pflegepersonal, da dies eine Form der
Arbeitsplatzüberwachung darstellt. Diese ist nur
unter äusserst restriktiven Voraussetzungen zuläs -
sig. Eine Einwilligung scheidet regelmässig ebenfalls
aus, da davon ausgegangen werden kann, dass sie im
Arbeitsverhältnis nicht freiwillig erteilt wird. Die Rele-
vanz dieses Themas zeigte sich auch im europäischen
Kontext: Im Rahmen eines behördlichen Austauschs
wurde eine vergleichbare Fragestellung aus einem an-
deren EU-Staat an die DSS herangetragen.
Neben privaten Haushalten und Gastronomiebe -
trieben beriet die DSS auch Unternehmen, Detailhan -
delsgeschäfte, eine Tankstelle sowie Behörden zu ge -
planten oder bestehenden Videoüberwachungen.
Im letzten Tätigkeitsbericht informierte die DSS
über die Eröffnung einer datenschutzrechtlichen
Überprüfung der Videoüberwachung der Landes -
polizei in Schaan. Die DSS war bereits im Vorfeld der
Umsetzung beratend eingebunden. Angesichts der
besonderen Grundrechtssensibilität stationärer Vi -
deoüberwachung im öffentlichen Raum entschied sie
sich dann zusätzlich für eine eigenständige, vertief -
te aufsichtsrechtliche Prüfung. Die umfassende tech -
nische und rechtliche Analyse ergab, dass die Lan -
despolizei insgesamt um eine datenschutzkonforme
Ausgestaltung bemüht ist und zahlreiche Schutzmass-
nahmen implementiert hat. Gleichwohl identifizierte
die DSS mehrere Punkte mit Anpassungsbedarf, deren
Umsetzung im Folgejahr vorgenommen wird.
Die Überprüfung zeigte insbesondere, dass trotz
umfangreicher Massnahmen zur Verpixelung auf -
grund der hohen Bildauflösung sowie der vorhande -
nen Zoom- und Schwenkfunktionen private Liegen -
schaften, namentlich Häuser und Wohnungen, erfasst
werden konnten. Darüber hinaus gerieten auch Berei-
che ins Sichtfeld der Kameras, die der Freizeitgestal -
tung sowie dem sozialen und kulturellen Austausch
dienen, insbesondere Gastronomiebetriebe. Eine sol -
che Erfassung steht nicht im Einklang mit den ge -
setzlichen Vorgaben und den datenschutz- sowie
grundrechtlichen Anforderungen an die Verhältnis-
mässigkeit und Zweckbindung der Überwachung.
Ferner stellte die DSS Defizite bei der Erfüllung
der Informationspflichten fest. Im Rahmen der Sach -
verhaltsermittlung führte sie als ergänzendes Element
eine nicht repräsentative Vor-Ort-Befragung von Pas -
santen durch. Diese ergab, dass die Verantwortlichkeit
für die Videoüberwachung für Betroffene nicht klar er-
kennbar war. Zudem wusste keine der befragten Perso-
nen, dass die Kameras am Lindaplatz standardmässig
nicht aufzeichnen. Auch die auf der Internetseite der
Landespolizei bereitgestellten Informationen wiesen
19
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
punktuelle Transparenzmängel auf und bedurften
einer Präzisierung.
Insgesamt gingen im Berichtsjahr 21 Meldungen
über neu installierte stationäre Videoanlagen sowie
vier Meldungen über Drohnenflüge mit Kameras bei
der DSS ein.
2.3 Verbindliche interne Datenschutzvorschriften
Im Berichtsjahr stellte die internationale Daten -
übermittlung erneut einen thematischen Schwerpunkt
der Beratungstätigkeit dar. Wie bereits im Vorjahr aus-
geführt, bilden verbindliche interne Datenschutzvor -
schriften (Binding Corporate Rules; BCR) eines der in
Kapitel V der DSGVO vorgesehenen Instrumente zur
rechtlichen Absicherung von Übermittlungen perso -
nenbezogener Daten in Drittländer. Sie richten sich
speziell an international tätige Unternehmen bzw.
Unternehmensgruppen und schaffen für diese ein ver-
bindliches, konzernweit einheitliches Datenschutzre -
gelwerk, wenn im Rahmen von Datenverarbeitungen
personenbezogene Daten aus dem EU/EWR-Raum in
Drittländer gelangen. BCR ermöglichen eine struktu -
rierte und langfristig tragfähige Lösung für konzern -
interne Datentransfers, da sie organisationsweit gel -
ten und jederzeit an gesetzliche sowie technologische
Entwicklungen angepasst werden können.
BCR wurden bereits vor Inkrafttreten der DSGVO
als aufsichtsbehördlich anerkanntes Instrument für
internationale Datenübermittlungen in Drittstaaten
entwickelt und mit der DSGVO sodann ausdrücklich
normiert und inhaltlich konkretisiert. Ihre Genehmi -
gung erfolgt im Kohärenzverfahren: Die federführen -
de Aufsichtsbehörde prüft den Antrag eines Unterneh-
mens in enger Abstimmung mit anderen europäischen
Datenschutz-Aufsichtsbehörden; zudem ist der Euro -
päische Datenschutzausschuss (EDSA) in das Verfah -
ren eingebunden.
Wie im letzten Tätigkeitsbericht angekündigt, in-
itiierte die DSS im Berichtsjahr ein neues BCR-Geneh-
migungsverfahren als federführende Aufsichtsbehör -
de. Im Rahmen dieses Verfahrens fanden zunächst
mehrere Vorabklärungen und Beratungsgespräche
statt. Gegen Ende des Berichtsjahres reichte das an -
tragstellende liechtensteinische Unternehmen einen
ersten umfassenden Entwurf der BCR-Dokumenta -
tion ein. Die inhaltliche Prüfung, die Abstimmung mit
den europäischen Partnerbehörden sowie die weitere
begleitende Beratung durch die DSS werden im 2026
fortgesetzt.
2.4 Auswahl konkreter rechtlicher Fragen
Die DSS hat im Berichtsjahr wieder zahlreiche An-
fragen zur Klärung und Beurteilung von datenschutz-
rechtlichen Fragestellungen erhalten. Einige davon,
vor allem solche, die mehrfach gestellt wurden und
allgemein beantwortet werden konnten, werden nach-
folgend kurz dargestellt.
Datenschutz nach dem Tod
Im Berichtsjahr wurde die DSS wiederholt mit
der Frage konfrontiert, ob und unter welchen Vor -
aussetzungen Auskünfte über personenbezogene
Daten verstorbener Personen verlangt werden kön -
nen. In ihrer Beratung stellte die DSS klar, dass die
DSGVO gemäss Erwägungsgrund 27 nicht für perso -
nenbezogene Daten Verstorbener gilt. Zwar eröffnet
der Erwägungsgrund den Mitgliedstaaten die Mög -
lichkeit, nationale Regelungen für den Umgang mit
Daten Verstorbener vorzusehen; Liechtenstein hat
von dieser Option im DSG jedoch keinen Gebrauch
gemacht. Der datenschutzrechtliche Schutz bezieht
sich somit ausschliesslich auf lebende natürliche Per-
sonen – mit dem Tod endet die Anwendbarkeit des
Datenschutzrechts.
Auskünfte nach dem Tod einer Person können
sich daher nicht auf Art. 15 DSGVO stützen, sondern
müssen gegebenenfalls auf andere Rechtsgrundla -
gen gestützt werden. In Betracht kommen etwa zivil-
rechtliche Ansprüche, erbrechtliche Konstellationen
oder spezifische vertragliche bzw. regulatorische Be -
stimmungen einzelner Branchen (z.B. Banken oder
Versicherungen). Zu berücksichtigen ist zudem, dass
bestimmte Berufsgeheimnisse oder Verschwiegen -
heitspflichten – anders als der Datenschutz – über
den Tod hinaus fortwirken können. Auch Fragen der
Form und Sicherheit der Übermittlung richten sich
in solchen Fällen nicht mehr nach der DSGVO. Wei -
terführende Hinweise stellt die DSS auf ihrer Inter -
netseite unter dem Titel «Spezialfall: Auskunft über
personenbezogene Daten verstorbener Personen» zur
Verfügung.
Zulässigkeit von personenbezogenen Daten in der
Betreff-Zeile eines E-Mails
Ob personenbezogene Daten in der Betreffzei -
le einer E-Mail verwendet werden dürfen, ist nach
den Grundsätzen der Datenminimierung und Ver -
traulichkeit gemäss Art. 5 Abs. 1 Bst. c und f DSGVO
zu beurteilen. Da Betreffzeilen häufig bereits in der
Vorschau sichtbar sind – etwa auf Sperrbildschirmen
– besteht ein erhöhtes Risiko unbefugter Kenntnis -
nahme. Hinzu kommt, dass Betreffzeilen aus techni -
scher Sicht regelmässig nicht oder nur eingeschränkt
Ende-zu-Ende-verschlüsselt sind und als Metadaten
in Mailservern, Logfiles oder Backups verarbeitet wer-
den. Sie sind daher strukturell weniger geschützt als
20
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
der eigentliche Nachrichteninhalt. Personenbezoge -
ne Daten dürfen folglich nur unter sehr engen Voraus-
setzungen in der Betreffzeile erscheinen, etwa wenn
sie für den Kommunikationszweck unabdingbar sind
und kein besonderes Schutzbedürfnis besteht. Sen -
sible Daten, insbesondere solche im Sinne von Art. 9
DSGVO, dürfen dort grundsätzlich nicht genannt wer-
den. Im Zweifel ist eine neutrale Formulierung zu
wählen und detaillierte Informationen sind im E-Mail-
Text selbst – gegebenenfalls unter Einsatz geeigneter
Schutzmassnahmen – zu übermitteln.
Einrichtung einer Abwesenheitsnotiz durch den
Arbeitgeber
Mehrmals gelangten Verantwortliche mit der
Frage an die DSS, ob ein Arbeitgeber bei unvorherge -
sehener Krankheit oder sonstiger kurzfristiger Abwe -
senheit eines Mitarbeitenden eigenständig eine Ab -
wesenheitsnotiz im geschäftlichen E-Mail-Postfach
einrichten darf.
Die DSS stellte klar, dass dies grundsätzlich zuläs-
sig sein kann, sofern die Verarbeitung auf berechtigte
Interessen des Arbeitgebers im Sinne von Art. 6 Abs. 1
Bst. f DSGVO gestützt werden kann. Ein solches Interes-
se liegt insbesondere in der Aufrechterhaltung des Ge-
schäftsbetriebs und der Sicherstellung einer geordneten
externen Kommunikation. Für die Interessenabwägung
mit allfälligen schutzwürdigen Interessen der betroffe-
nen Person ist wesentlich, ob die private Nutzung des ge-
schäftlichen E-Mail-Kontos untersagt oder zumindest
stark eingeschränkt ist. Je geringer die Wahrscheinlich-
keit privater Inhalte, desto eher überwiegt das berech -
tigte Interesse des Arbeitgebers. Die Umsetzung sollte
zudem verhältnismässig erfolgen, nach Möglichkeit im
Vier-Augen-Prinzip und – sofern vorhanden – unter Ein-
bezug der oder des Datenschutzbeauftragten.
Anbieter bzw. Betreiber eines KI-Tools als Auftrags-
verarbeiter oder eigener Verantwortlicher
Ob ein Anbieter oder Betreiber eines KI-Tools als
Auftragsverarbeiter oder als eigener Verantwortlicher
einzuordnen ist, richtet sich nach seiner tatsächli -
chen Rolle bei der Festlegung von Zweck und Mitteln
der Datenverarbeitung im Sinne von Art. 4 Nr. 7 und
8 DSGVO. Massgeblich ist nicht seine vertragliche Be -
zeichnung, sondern seine Beteiligung an der konkre -
ten Ausgestaltung der Datenverarbeitung.
Ein KI-Anbieter ist als Auftragsverarbeiter im
Sinne von Art. 28 DSGVO einzuordnen, wenn er per -
sonenbezogene Daten ausschliesslich im Auftrag und
nach dokumentierten Weisungen des Kunden ver -
arbeitet und dabei keine eigenen Zwecke verfolgt.
Diesfalls ist ein Auftragsverarbeitungsvertrag abzu -
schliessen. Die Anwendbarkeit von Art. 28 DSGVO
setzt insbesondere voraus, dass die Daten nicht für
eigene Trainingszwecke, Produktverbesserungen oder
sonstige eigenständige Analysen genutzt werden.
Verfolgt der Anbieter solche eigenen Zwecke –
etwa indem eingegebene Daten zur Weiterentwick -
lung des Modells verwendet, mit anderen Datenquel -
len zusammengeführt oder eigenständig ausgewertet
werden –, liegt regelmässig eine eigene oder gemein -
same Verantwortlichkeit im Sinne von Art. 24 oder 26
DSGVO vor. Gerade bei generativen KI-Diensten ist des-
halb zu prüfen, ob eine rein weisungsgebundene Ver -
arbeitung tatsächlich gegeben ist oder ob der Anbieter
über einen eigenständigen Entscheidungsspielraum
bzw. über eigene Nutzungsmöglichkeiten der Daten
verfügt.
Organisationen, die ein KI-Tool einsetzen möch -
ten, sind daher gehalten, die konkreten Datenflüsse,
die technischen Rahmenbedingungen sowie die ver -
traglichen Regelungen sorgfältig zu analysieren. Ent -
scheidend für die Beurteilung der Rolle des Anbieters
ist stets seine tatsächliche Kontrolle über Zweck und
Mittel der Datenverarbeitung.
Gültigkeitsdauer einer Einwilligung
Nach der DSGVO und dem DSG gibt es keine feste
gesetzliche Frist, nach der eine einmal erteilte Ein -
willigung automatisch «abläuft». Stattdessen muss
jede Einwilligung im Kontext des konkreten Verarbei-
tungszwecks und der Verarbeitungstätigkeit bewer -
tet werden. Massgeblich ist, dass personenbezogene
Daten und die zugehörigen Einwilligungsnachweise
nur so lange gespeichert werden dürfen, wie sie für den
ursprünglichen Verarbeitungszweck erforderlich sind
und der Zweck weiterhin besteht bzw. auch die betrof-
fenen Personen darauf vertrauen dürfen. Somit muss
die Einwilligung regelmässig überprüft werden, um si-
cherzustellen, dass sie weiterhin den Anforderungen
der DSGVO entspricht. Wenn sich die Verarbeitung än-
dert oder erweitert, ist grundsätzlich eine neue, aktua-
lisierte Einwilligung einzuholen.
Ausserdem haben betroffene Personen zu jedem
Zeitpunkt das Recht, ihre Einwilligung zu widerrufen.
Dies ist jederzeit möglich und muss so einfach sein
wie die Erteilung der Einwilligung selbst. Ein solcher
Widerruf wirkt jeweils für die Zukunft und lässt die
vor dem Widerruf vorgenommene Datenverarbeitung
unberührt. Die bisherige Datenverarbeitung bleibt also
auch im Falle eines Widerrufs rechtmässig.
Kurz gesagt: Eine Einwilligung «verfällt» nicht
automatisch nach einer bestimmten Zeit, sie sollte
aber nur so lange aufbewahrt und genutzt werden, wie
sie tatsächlich für die legitimen Zwecke erforderlich
21
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
und aktuell ist, und deshalb regelmässig auf ihre Fort -
geltung geprüft werden.
2.5 Auswahl konkreter technischer Fragen
Unter den zahlreichen Anfragen zu technischen
Themen wurden im Berichtsjahr die folgenden beiden
am häufigsten gestellt:
DSGVO-Konformität bestimmter Softwarelösungen
oder Cloud-Dienste
Die DSS erhielt in diesem Berichtsjahr mehrfach
Anfragen zur DSGVO-Konformität bestimmter Soft -
warelösungen oder Cloud-Dienste. Die Anfragen wur-
den häufig allgemein gestellt, ohne spezifische Details
wie den geplanten Einsatzzweck oder die konkret ver-
arbeiteten Daten anzugeben. Die DSGVO verlangt aller-
dings eine eingehende Analyse jedes Einzelfalls einer
Verarbeitung personenbezogener Daten. Daher ist eine
pauschale datenschutzrechtliche Beurteilung einer
Software oder eines Online-Dienstes ohne Kennt -
nis der spezifischen Details einer geplanten Daten -
verarbeitung in der Regel nicht möglich. Am Beispiel
eines Cloud-Dienstes ist unter anderem zunächst zu
prüfen, wie schutzwürdig die verarbeiteten – in der
Cloud zu speichernden – Daten sind und welche mög-
lichen Folgen sich für die Betroffenen bei Verlust, Ver-
änderung oder Offenlegung ergeben (Art. 32 DSGVO).
Anschliessend ist zu prüfen, ob der jeweilige Cloud-
Dienst das zuvor ermittelte erforderliche Schutzniveau
erreichen kann. (Schutz-)Massnahmen in der Cloud
sind unter anderem Verschlüsselungsmechanismen
und Regelungen zu Zugriffsrechten. Unter bestimm -
ten Voraussetzungen ist die vorgenannte Prüfung in
Form einer sogenannten Datenschutz-Folgenabschät -
zung (DSFA) durchzuführen (Art. 3 5 DSGVO). Im Zu-
sammenhang mit Cloud-Diensten, bei denen die in
der Cloud gespeicherten Daten in einen Drittstaat
ausserhalb der EU/EWR-Raumes übermittelt wer -
den, ist zudem zu prüfen, ob dieser ein gleichwerti -
ges Schutzniveau für die Daten bietet. Zudem werden
Anbieter von Cloud-Diensten häufig als Auftragsver -
arbeiter gemäss Art. 28 DSGVO qualifiziert, weshalb
das Vorliegen eines rechtskonformen Auftragsver -
arbeitungsvertrages zu prüfen ist. Zusammenfassend
kann festgehalten werden, dass der Einsatz einer be -
stimmten Softwarelösung oder eines Cloud-Dienstes
nicht grundsätzlich unzulässig oder zulässig bzw. mit
dem Datenschutz unvereinbar oder vereinbar ist. Viel-
mehr kommt es auf den konkreten Einzelfall und ins-
besondere auch auf die verarbeiteten personenbezo -
genen Daten an. Diese Prüfung hat jedoch durch den
Verantwortlichen zu erfolgen und nicht durch die DSS.
DSGVO-Konformität der Nutzung öffentlich zugäng-
licher, Cloud-basierter, generativer KI-Systeme
Im Berichtsjahr erhielt die DSS zahlreiche Anfra -
gen zur datenschutzkonformen Nutzung öffentlich
zugänglicher, Cloud-basierter, generativer KI-Systeme.
Im Rahmen der Beantwortung dieser Anfragen hielt
die DSS stets fest, dass aus verschiedenen Gründen
– darunter etwa die äusserst zahlreichen Nutzungs -
bedingungen, Lizenzmodelle etc., die mitunter auch
einem ständigen Wandel durch die Anbieter unterlie -
gen – grundsätzlich keine pauschalen Produkt- oder
Versionsbeurteilungen von KI-Systemen durch die
DSS vorgenommen werden können. Zudem hängt die
datenschutzrechtliche Beurteilung unter anderem we-
sentlich von der konkreten Konfiguration beim Nutzer
sowie von den tatsächlichen Verarbeitungsvorgängen
des jeweiligen Systems ab. Generell betonte die DSS,
dass vor jeder Nutzung von KI-Systemen mit perso -
nenbezogenen Daten insbesondere Fragen zur Rolle
des Anbieters, zur Datenverwendung, Rechtsgrundla -
ge, Datensicherheit und zu internationalen Übermitt -
lungen zu klären sind.
Bei vielen grossen, öffentlich zugänglichen, kom-
merziellen Online-Plattformen und Cloud-Systemen
mit KI bestehen derzeit Unsicherheiten hinsichtlich
der genauen Rolle der Anbieter, weil die Datenwei -
terverwendung durch diese häufig intransparent ist.
Daher kann derzeit davon ausgegangen werden, dass
die Anbieter häufig selbst Verantwortliche sind und
eine eigene Rechtsgrundlage für diese Weiterverarbei-
tung bräuchten (sowohl eine gültige Einwilligung ein-
zuholen als auch ein effektives Widerspruchs- und
Widerrufsrecht zu gewähren, scheint aber schwierig
zu sein). Einige Anbieter nutzen zudem Server in Dritt-
staaten, für welche die datenschutzrechtlichen Garan-
tien für die Datenübermittlung geklärt werden müs -
sen. Herausforderungen in Bezug auf Datensicherheit,
-richtigkeit und die Umsetzung der Betroffenenrechte
treten insbesondere bei sogenannten Large Language
Models (LLMs) häufig auf. Dies liegt daran, dass die
Anbieter oftmals nicht transparent kommunizieren,
ob und wie sie die von den Nutzenden eingegebenen
Daten speichern und/oder weiterverwenden – und
diese wieder irgendwo (womöglich falsch) ausgeben,
selbst wenn die Verwendung zu Trainingszwecken
ausgeschlossen wurde.
Vor diesem Hintergrund hielt die DSS fest, dass aus
Sicht des Datenschutzes heute (noch) kein vollständig
datenschutzkonformer, risikofreier Einsatz solcher Sys-
teme unter Verwendung von personenbezogenen Daten
möglich ist. In diesem Zusammenhang weist die DSS
jedoch darauf hin, dass die europäischen Datenschutz-
behörden derzeit verschiedene Systeme und Techno -
22
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
logien untersuchen. Sobald sich hierfür gesicherte Er -
kenntnisse ergeben, wird die DSS darüber informieren.
2.6 Auswahl wichtiger EuGH-Entscheidungen
2025
Nachdem die Entscheidungen des EuGH für die
Beurteilung der Zulässigkeit von Datenverarbeitungen
durch die DSS eine zunehmend gewichtige Rolle spielen
und von ihr auch regelmässig in die eigenen Entschei-
dungen einfliessen, wird nachfolgend auf die aus Sicht
der DSS bedeutendsten Entscheidungen des EuGH im
Berichtsjahr hingewiesen. Zusätzlich erfolgt eine kurze
Bewertung, welchen Einfluss diese Entscheidungen auf
die Beratung und Aufsicht durch die DSS haben.
EuGH-Urteil vom 9. Januar 2025, C-416/23: Kriterien
zur Beurteilung von «exzessiven» Anfragen an
Aufsichtsbehörden
Der EuGH hat entschieden, dass Anfragen an eine
Aufsichtsbehörde nicht allein aufgrund ihrer Zahl
während eines bestimmten Zeitraums als «exzessiv»
im Sinne von Art. 57 Abs. 4 DSGVO eingestuft werden
können, da die Bestimmung voraussetzt, dass die Auf-
sichtsbehörde das Vorliegen einer Missbrauchsabsicht
der anfragenden Person nachweist. Die betroffene Per-
son hatte bei der Datenschutzaufsichtsbehörde inner-
halb eines Zeitraums von ca. 20 Monaten 77 ähnliche
Beschwerden gegen verschiedene Verantwortliche
eingebracht.
Eine Aufsichtsbehörde kann bei exzessiven An -
fragen wählen, ob sie eine angemessene Gebühr auf
der Grundlage der Verwaltungskosten verlangt oder
sich weigert, aufgrund der Anfrage tätig zu werden,
wobei sie alle relevanten Umstände berücksichtigen
und sich vergewissern muss, dass die gewählte Option
geeignet, erforderlich und verhältnismässig ist. Sie
muss dies in einer mit Gründen versehenen Entschei-
dung darlegen. Zudem hat der EuGH klargestellt, dass
der in Art. 57 Abs. 4 DSGVO enthaltene Begriff «Anfra-
ge» Beschwerden nach Art. 57 Abs. 1 Bst. f und Art. 77
Abs. 1 DSGVO umfasst.
Die DSS war bislang in ihrer Praxis nie in der Situ -
ation, von exzessiven Beschwerden im Sinne eines
missbräuchlichen Vorgehens ausgehen zu müs -
sen. Zwar gibt es Einzelfälle, in denen Personen
wiederholt oder auch regelmässig Beschwerden
einbringen. Diese werden jedoch jeweils formell
und materiell geprüft und nach Massgabe der na -
tionalen Vorschriften, insbesondere des Landes-
verwaltungsgesetzes, behandelt. Eine pauschale
Einstufung als exzessiv allein aufgrund der An -
zahl der Eingaben erfolgte durch die DSS bislang
nicht.
Demgegenüber wird das Argument der Exzessivi -
tät regelmässig von Beschwerdegegnern vorge -
bracht. Die DSS hat insoweit stets einen strengen
Prüfungsmassstab angelegt. Eine Einschränkung
des Tätigwerdens gestützt auf Art. 57 Abs. 4
DSGVO kam bisher nicht zur Anwendung und ging
noch nie zu Lasten einer beschwerdeführenden
Person.
Das Urteil bestätigt somit im Wesentlichen die
bisherige Praxis der DSS, wonach das Beschwerde-
recht als zentrales Instrument der Rechtsdurch -
setzung nur in klaren Ausnahmefällen und unter
strikter Wahrung des Verhältnismässigkeitsprin -
zips eingeschränkt werden darf.
EuGH-Urteil vom 13. Februar 2025, C-383/23: Geld-
bussen und der Begriff «Unternehmen»
Gemäss EuGH entspricht der Begriff «Unter -
nehmen» aus Art. 83 Abs. 4 bis 6 DSGVO dem Begriff
«Unternehmen» im Sinne der Art. 101 und 102 AEUV.
Unter einem Unternehmen im Sinne des Art. 83 Abs. 4
bis 6 DSGVO ist demnach eine wirtschaftliche Einheit
zu verstehen, auch wenn diese in rechtlicher Hinsicht
aus mehreren natürlichen oder juristischen Personen
besteht. Das bedeutet, dass der Höchstbetrag einer
Geldbusse, die gegen einen Verantwortlichen wegen
eines Verstosses gegen die DSGVO verhängt wird, auf
der Grundlage eines Prozentsatzes des gesamten welt-
weit erzielten Jahresumsatzes des vorangegangenen
Geschäftsjahres des Unternehmens bestimmt wird.
Der Begriff «Unternehmen» ist auch zu berück -
sichtigen, um die tatsächliche oder materielle Leis -
tungsfähigkeit des Adressaten der Geldbusse zu be -
urteilen und so zu überprüfen, ob die Geldbusse
sowohl wirksam und verhältnismässig als auch ab -
schreckend ist. Diverse Unternehmen hatten in der
Vergangenheit mit getrennten Einheiten (Tochter -
unternehmen etc.) argumentiert, um die Geldbusse
niedrig zu halten.
Diese Entscheidung des EuGH wirkt weit über den
Anwendungsbereich der DSGVO hinaus. Auch die KI-
Verordnung, der Digital Markets Act und der Digital
Services Act enthalten ähnliche Bussgeldbestimmun -
gen, für die dieses Urteil massgebend sein wird.
Auch wenn in Liechtenstein bislang Geldbussen
nur gegen Unternehmen ausgesprochen wurden,
bei denen kein weltweiter Konzernumsatz zu be -
23
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
rücksichtigen war, stellt das Urteil eine klare Be -
stätigung der in der DSGVO vorgesehenen Syste -
matik der Bussgeldbemessung dar. Es schiebt
Umgehungsversuchen, etwa durch die Aufspal -
tung wirtschaftlicher Einheiten in mehrere, for -
mell getrennte Gesellschaften zur Reduktion des
zur Berechnung relevanten Umsatzes, einen deut-
lichen Riegel vor.
Die DSS weist allerdings darauf hin, dass auch rein
national tätige Unternehmen in Einzelfällen ver -
suchen, ihre massgeblichen Umsatzzahlen durch
unterschiedliche gesellschaftsrechtliche oder
buchhalterische Gestaltungen zu reduzieren, um
die Bemessungsgrundlage einer allfälligen Geld -
busse zu beeinflussen. Ein entsprechender Fall ist
derzeit bei der zuständigen Beschwerdekommis -
sion für Verwaltungsangelegenheiten (VBK) hän -
gig. Die DSS erhofft sich von dieser Entscheidung
zusätzliche Klarheit hinsichtlich der Offenlegung
und Beurteilung relevanter Umsatzzahlen im
Bussgeldverfahren.
EuGH-Urteil vom 27 . Februar 2025, C-203/22: Aus-
kunftsrecht bei automatisierten Entscheidungen
und bei Geschäftsgeheimnissen
Der EuGH entschied, dass Art. 15 Abs. 1 Bst. h
DSGVO dahingehend auszulegen ist, dass Unternehmen
bei automatisierten Entscheidungsfindungen (ein -
schliesslich Profiling) im Sinne von Art. 22 Abs. 1 DSGVO
der betroffenen Person detailliert über die eingesetzten
Verfahren Auskunft geben müssen.
Eine Wirtschafts-Auskunftei hatte die Offenle -
gung ihrer Scoring-Logik unter Berufung auf das Ge -
schäftsgeheimnis verweigert. Der EuGH hat jedoch
entschieden, dass Unternehmen verpflichtet sind,
den Betroffenen zumindest die Verfahren und Grund-
sätze bei automatisierten Entscheidungen in präziser,
transparenter, verständlicher und leicht zugänglicher
Form zu erläutern. Betroffene müssen die Informatio-
nen in vollem Umfang verstehen können, weshalb die
mitgeteilten Informationen allenfalls zu kontextuali -
sieren sind. Darüber hinaus sind Unternehmen jeden-
falls verpflichtet, Geschäftsgeheimnisse im Sinne von
Art. 2 Nr. 1 der Richtlinie (EU) 2016 / 943 gegenüber
der zuständigen Datenschutzaufsichtsbehörde oder
einem zuständigen Gericht offenzulegen. Die Daten -
schutzaufsichtsbehörde bzw. das Gericht hat in der
Folge abzuwägen, ob und inwieweit Geschäftsgeheim-
nisse für die betroffene Person relevant sind und of -
fengelegt werden müssen.
Im konkreten Fall ging es darum, dass der betroffe-
nen Person aufgrund eines KI-gestützten Bonitäts-Sco-
rings mangels Kreditwürdigkeit ein Vertragsabschluss
verweigert worden war.
Die DSS hatte bislang keine Beschwerdefälle zu
automatisierter Entscheidungsfindung im enge -
ren Sinne von Art. 22 DSGVO zu beurteilen. Zu -
nehmend ist jedoch festzustellen, dass Beschwer -
degegner im Rahmen von Auskunftsersuchen
nach Art. 15 DSGVO geltend machen, bestimmte
Informationen könnten wegen angeblicher Ge -
schäftsgeheimnisse nicht offengelegt werden –
ohne diese näher zu spezifizieren.
In sämtlichen bisher geprüften Fällen stellte sich
heraus, dass die Voraussetzungen eines Geschäfts-
geheimnisses nicht erfüllt waren. Der unions -
rechtliche Begriff des Geschäftsgeheimnisses geht
nämlich über das umgangssprachliche Verständ -
nis hinaus und richtet sich nach der Richtlinie
(EU) 2016/943 des Europäischen Parlaments und
des Rates vom 8. Juni 2016 über den Schutz ver -
traulichen Know-hows und vertraulicher Ge -
schäftsinformationen (Geschäftsgeheimnisse) vor
rechtswidrigem Erwerb sowie rechtswidriger Nut-
zung und Offenlegung. Geschützt sind demnach
nur solche Informationen, die geheim sind, wirt -
schaftlichen Wert gerade aufgrund ihrer Geheim -
haltung besitzen und Gegenstand angemessener
Geheimhaltungsmassnahmen sind. Eine bloss in-
terne oder betriebsinterne Information genügt
hierfür nicht.
Das Urteil bestätigt damit die bisherige Praxis der
DSS, wonach eine Berufung auf Geschäftsgeheim -
nisse nicht schematisch akzeptiert wird, sondern
einer substanziellen Begründung bedarf. Bevor
man sich auf das Geschäftsgeheimnis beruft, um
eine Auskunft zu verweigern, sollte somit immer
geprüft werden, ob wirklich alle drei Kriterien der
erwähnten Richtlinie erfüllt sind; insbesondere,
ob die geheime Information nicht nur geheim ist,
sondern auch kommerziellen Wert hat.
EuGH-Urteil vom 4. September 2025, C-413/23:
Pseudonymisierung – Relativität des
Personenbezugs
Der EuGH hat entschieden, dass pseudonymisier-
te Stellungnahmen, die persönliche Meinungen enthal-
ten, nicht in jedem Fall personenbezogene Daten dar -
stellen müssen. So ist bei einer Weitergabe der Daten
an Dritte entscheidend, ob der Empfänger die betroffe-
ne Person noch identifizieren kann oder ob die Pseu -
donymisierung eine Identifizierbarkeit wirksam ver -
hindert, sodass die Daten für den Empfänger faktisch
24
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
anonymisiert sind. Demnach sind pseudonymisierte
Daten nicht in jedem Fall und für jede Person als per -
sonenbezogene Daten zu betrachten, sondern es hat
eine relative Beurteilung zu erfolgen. Ob eine Identi -
fizierbarkeit (zumindest als theoretische Möglichkeit)
durch den Empfänger besteht, hängt massgeblich von
den konkreten Umständen im Einzelfall ab. Stehen dem
Empfänger keine Mittel (z.B. ergänzende Informationen
oder technische «Schlüssel», die eine erneute Herstel-
lung des Personenbezugs ermöglichen) zur Re-Identi -
fizierung der natürlichen Person zur Verfügung oder
ist eine Zuordnung gesetzlich verboten oder praktisch
nicht durchführbar, liegen für den Empfänger keine
personenbezogenen Daten vor. Die Vorgaben des Daten-
schutzrechts finden somit für den Empfänger keine An-
wendung. Für den ursprünglich Verantwortlichen stel-
len die Daten jedoch in jedem Fall personenbezogene
Daten dar, weswegen er den datenschutzrechtlichen
Pflichten nach DSGVO vollumfänglich unterliegt.
Die DSS folgt diesem relativen Verständnis bereits
seit 2019. In einem damaligen Fall übermittelte
ein Verantwortlicher in Liechtenstein pseudony -
misierte Daten an einen Auftragsverarbeiter in der
Schweiz, der daraus eine anonymisierte Statistik
erstellte. Aus Sicht des Auftragsverarbeiters waren
die Daten faktisch anonym, da er über keinerlei
rechtlich zulässige Mittel verfügte, Zugang zum
Identifizierungsschlüssel oder zu anderen für
eine Re-Identifizierung erforderlichen Informa-
tionen zu erhalten. Die DSS gelangte daher zur
Auffassung, dass für den Auftragsverarbeiter im
konkreten Fall keine personenbezogenen Daten
vorlagen.
Zu einem vergleichbaren Ergebnis kam die DSS
kürzlich in einem Beschwerdefall, in dem ein Ver-
antwortlicher versehentlich eine E-Mail an zahl -
reiche unbefugte Empfänger versandt hatte, worin
auch die E-Mail-Adresse des Beschwerdeführers
ersichtlich war. Die E-Mail-Adresse des Beschwer-
deführers enthielt jedoch nicht dessen Namen,
sondern war pseudonymisiert. Da die übrigen
Empfänger über keinerlei rechtliche oder fakti -
sche Mittel verfügten, die Identität des Beschwer -
deführers zu ermitteln, war die E-Mail-Adresse
aus ihrer Perspektive anonymisiert und stellte
kein personenbezogenes Datum des Beschwerde -
führers dar. Es lag somit keine unbefugte Offenle -
gung personenbezogener Daten vor und die DSS
wies die Beschwerde zurück. Auch hier wurde die
Beurteilung von der DSS für den konkreten Fall
und akteursbezogen vorgenommen.
Die DSS weist jedoch darauf hin, dass dieser relati-
ve Ansatz zwar in klar gelagerten, technisch über -
schaubaren Konstellationen praktikabel und
sachgerecht ist, in komplexeren Sachverhalten je -
doch neue Abgrenzungsfragen aufwerfen kann.
Insbesondere bei umfangreichen und komplexen
Datenverarbeitungen oder bei mehreren beteilig -
ten Akteuren kann die Bewertung der tatsächli -
chen Identifizierungsmöglichkeiten anspruchs -
voll sein. Das Urteil bestätigt somit die bisherige
Praxis der DSS, macht aber zugleich deutlich, dass
eine sorgfältige, kontextbezogene Analyse un -
erlässlich bleibt.
25
Beratung zu konkreten Anfragen 2025 / Tätigkeitsbericht Datenschutzstelle
«Die detaillierten Stellungnahmen ermöglichten
es, datenschutzrelevante Aspekte zu identifi­
zieren, zu analysieren und gegebenenfalls Anpas­
sungen vorzuschlagen, um sicherzustellen,
dass die Gesetzgebung den aktuellen Datenschutz­
standards gerecht wird.»
27
Stellungnahmen zu Vorlagen und Erlassen 2025 / Tätigkeitsbericht Datenschutzstelle
Im Berichtsjahr war die DSS wieder stärker als in
den Vorjahren bereits in den eigentlichen Gesetzge -
bungsprozess integriert worden und konnte die zu -
ständigen Amtsstellen schon bei der Ausarbeitung der
Gesetzesvorlagen umfassend beraten. So konnte unter
anderem bei der nationalen Umsetzung der KI-Ver -
ordnung, des Data Governance Acts oder auch bei der
Revision des FIU-Gesetzes substanziell beratend mit -
gewirkt werden. Formell prüfte die DSS im Verlauf des
Berichtsjahres insgesamt 26 ausgearbeitete Gesetzes -
vorlagen und Erlasse. Bei 12 dieser Vorlagen stellte die
DSS fest, dass entweder keine datenschutzrechtlichen
Aspekte betroffen waren oder dass die entsprechen -
den Elemente in Übereinstimmung mit den geltenden
Datenschutzbestimmungen umgesetzt wurden. Bei
der Gesetzesvorlage zur Abänderung des Datenschutz-
gesetzes verzichtete die DSS auf eine Stellungnah -
me, da sie bereits in der vorbereitenden Arbeitsgrup -
pe aktiv mitgewirkt hatte. In Bezug auf 13 Vorlagen
und Erlasse erstellte die DSS ausführliche inhaltliche
Stellungnahmen. Diese detaillierten Stellungnahmen
ermöglichten es, datenschutzrelevante Aspekte zu
identifizieren, zu analysieren und gegebenenfalls An -
passungen vorzuschlagen, um sicherzustellen, dass
die Gesetzgebung den aktuellen Datenschutzstan -
dards gerecht wird. Die umfangreichsten Stellungnah-
men der DSS werden nachfolgend kurz beschrieben.
In Bezug auf den Vernehmlassungsbericht
(VNB) der Regierung betreffend die Abänderung des
Strafgesetzbuches, der Strafprozessordnung, des
Strafvollzugsgesetzes, des Gesetzes über das Straf -
register und die Tilgung gerichtlicher Verurtei -
lungen, des Staatsanwaltschaftsgesetzes sowie
des Jugendgerichtsgesetzes traf die DSS folgende
Feststellungen:
Die DSS anerkennt, dass im VNB zentrale Aspek -
te des Grundrechtsschutzes und des Datenschutzes
bei der Einführung der optischen und akustischen
Überwachung von Personen berücksichtigt wurden.
Gleichwohl sieht sie in mehreren Punkten Klärungs-
und Präzisierungsbedarf. Grundsätzlich stellt die ge -
plante Überwachung einen erheblichen Eingriff in das
Recht auf Privatsphäre dar, der zwar unter bestimm -
ten Voraussetzungen gerechtfertigt sein kann, jedoch
keinesfalls den Kernbereich privater Lebensgestaltung
berühren darf. Die DSS fragt daher, wie im Rahmen der
Anordnung sichergestellt werde, dass dieser Kernbe -
reich nicht tangiert wird, und wie vorzugehen sei, falls
dennoch kernbereichsrelevante Daten erhoben wer-
den – insbesondere, wie deren Nichtverwendung bzw.
Löschung garantiert wird.
Weiter weist die DSS auf terminologische Un -
klarheiten in § 104e StPO hin, da dort teils von «Be -
schuldigten» und teils von «verdächtigten Personen»
die Rede ist. Es stellt sich die Frage, ob diese Differen-
zierung beabsichtigt ist oder ob aus Gründen der Sys -
tematik und Rechtsklarheit ein einheitlicher Begriff
verwendet werden sollte. In Bezug auf § 104f StPO kri-
tisiert die DSS, dass zwar gesetzlich vorgesehen ist, die
Überwachungsmassnahme zu beenden, sobald deren
Voraussetzungen wegfallen, dass jedoch aus dem Ge -
setzestext selbst nicht hervorgeht, wer diese Beurtei -
lung trifft. Die entsprechenden Zuständigkeitsrege -
lungen finden sich lediglich in den Erläuterungen. Aus
Gründen der Rechtssicherheit und Transparenz regt
die DSS an, diese Rollenverteilung ausdrücklich im
Gesetz zu verankern.
Hinsichtlich § 104g StPO wird darauf hingewie -
sen, dass der Untersuchungsrichter im Beschluss den
Beginn und das Ende der Überwachung festlegen muss
und damit über deren Dauer entscheidet. Die DSS emp-
fiehlt hier die Einführung einer gesetzlichen Höchst -
dauer, um eine periodische richterliche Überprüfung
sicherzustellen und gegebenenfalls eine Verlängerung
nur bei fortbestehender Rechtfertigung zu ermögli-
chen. Zudem sollte der Katalog der Beschlussinhalte
um eine ausdrückliche Begründung der Erforderlich -
keit und Verhältnismässigkeit der Massnahme ergänzt
werden. Aus datenschutzrechtlicher Sicht ist es ferner
angezeigt, auch den konkreten Zweck beziehungswei-
se den zugrunde liegenden Tatvorwurf im Beschluss
zu benennen.
Bezüglich § 104h Abs. 1 StPO bemängelt die DSS
eine unklare Formulierung und empfiehlt – in Anleh-
nung an die österreichische Vorlage – eine strukturier-
te Aufzählung der einzelnen Varianten zur Verbesse -
rung der Verständlichkeit. Zu § 104h Abs. 2 StPO stellt
sie eine Diskrepanz zwischen Gesetzestext und Erläu-
terungen fest: Während der Gesetzestext die Zulässig-
keit der Verwendung von Zufallsfunden einschränkt,
lassen die Erläuterungen eine weitergehende Verwen-
dung auch bei Straftaten mit geringerer Strafdrohung
zu. Die dort genannten Strafrahmen von einem Jahr
beziehungsweise sechs Monaten Freiheitsstrafe stim-
men nach Ansicht der DSS nicht mit den im Gesetz for-
mulierten Voraussetzungen überein.
Abschliessend kritisiert die DSS, dass die vorge -
sehenen Bestimmungen keine expliziten Regelungen
3. Stellungnahmen zu Vorlagen und Erlassen
28
Stellungnahmen zu Vorlagen und Erlassen 2025 / Tätigkeitsbericht Datenschutzstelle
zur Löschung der durch die Überwachung gewonne -
nen personenbezogenen Daten enthalten. Zwar ver-
pflichtet § 104g Abs. 2 StPO den Untersuchungsrichter,
die Ergebnisse zu prüfen und nur verfahrensrelevante
Teile zu den Akten zu nehmen, doch bleibt unklar, was
mit den übrigen Daten geschieht. Die DSS empfiehlt
daher, ergänzend klare Löschregelungen vorzusehen
und sich dabei an § 145 Abs. 1–3 der österreichischen
Strafprozessordnung zu orientieren.
In Bezug auf den Vernehmlassungsbericht (VNB)
der Regierung betreffend die Abänderung des Poli -
zeigesetzes nahm die DSS umfassend Stellung und
wies auf folgende kritische Punkte hin:
Ausgangspunkt der Revision ist gemäss Zusam -
menfassung die Umsetzung der sogenannten Istan -
bul-Konvention zur Verhütung und Bekämpfung von
Gewalt gegen Frauen und häuslicher Gewalt. Die DSS
kritisiert jedoch, dass in der Zusammenfassung ledig-
lich beiläufig auf weitere, in ihrer Tragweite erhebliche
Änderungen hingewiesen wird. Insbesondere betref -
fen diese die Einführung einer automatisierten Fahr -
zeugfahndung mittels Kennzeichenerfassung (ANPR)
sowie neue präventive Befugnisse der Landespolizei
zur Verhinderung terroristischer und sonstiger schwe-
rer Straftaten. Diese Massnahmen sind aus Sicht der
DSS mit erheblichen Grundrechtseingriffen verbun -
den und sollten aus Gründen der rechtsstaatlichen
Transparenz in der Zusammenfassung gleichwertig
dargestellt werden.
Zur automatisierten Fahrzeugfahndung hält die
DSS fest, dass Nummernschilder personenbezogene
Daten darstellen, da sie (auch) einer bestimmten na -
türlichen Person zugeordnet werden können. Bereits
die automatisierte Erfassung und der Abgleich – unab-
hängig davon, ob ein Treffer vorliegt – greifen in das
Recht auf informationelle Selbstbestimmung ein. Eine
solche Massnahme bedarf daher einer klaren, präzi -
sen gesetzlichen Grundlage mit eindeutig definierten
Voraussetzungen, strenger Zweckbindung sowie wirk-
samen Kontroll- und Löschregelungen. In Bezug auf
Art. 24dbis Abs. 1 PolG bemängelt die DSS, dass zwar
verschiedene Zwecke aufgelistet werden, jedoch ins -
besondere im Bereich des Staatsschutzes weitergehen-
de Konkretisierungen erforderlich sind, damit polizei-
liches Handeln vorhersehbar und kontrollierbar bleibt.
Auch zu den übrigen Tatbeständen sind detailliertere
Erläuterungen im Bericht wünschenswert.
Besonders kritisch beurteilt die DSS Art. 24dbis
Abs. 3 PolG, wonach Nummernschild, Zeitpunkt (und
mutmasslich Fahrtrichtung) für bis zu 30 Tage ge -
speichert werden dürfen. Obwohl keine Bilddaten ge -
speichert werden sollen, stellt diese Regelung eine
Art anlasslose Vorratsdatenspeicherung dar. In einem
Rechtsstaat darf staatliche Überwachung jedoch
grundsätzlich nicht ohne konkreten Anlass erfolgen.
Für den unmittelbaren Abgleich mit polizeilichen Sys-
temen ist eine darüberhinausgehende Speicherung
nicht erforderlich. Die vorgesehene Aufbewahrung
geht daher über den ursprünglichen Zweck hinaus
und ist unverhältnismässig. Die DSS empfiehlt, Abs. 3
zu streichen und klarzustellen, dass bei Nichttref -
fern keinerlei Daten gespeichert werden dürfen. Offen
bleibt zudem, wie mit sogenannten «unechten Tref -
fern» (false positives) umzugehen ist. Weder Gesetz
noch Erläuterungen enthalten hierzu ausreichende
Vorgaben. Die DSS verlangt eine präzise Regelung, um
Fehlzuordnungen datenschutzkonform zu behandeln.
Auch Art. 24dbis Abs. 4 PolG ist zu konkretisieren:
Der Polizeichef muss bei der Anordnung der Massnah-
me bestimmte Voraussetzungen – etwa eine Lageana-
lyse – berücksichtigen; flächendeckende oder zeitlich
übermässige Einsätze sind auszuschliessen. Kontrol -
len dürfen nur punktuell, örtlich und zeitlich begrenzt
erfolgen. Da zudem ein Abgleich mit internationalen
Datenbanken wie dem Schengener Informationssys -
tem (SIS) und Interpol vorgesehen ist, sind die entspre-
chenden unionsrechtlichen Voraussetzungen einzu -
halten. Art. 24dbis Abs. 6 PolG schliesslich bedarf einer
Präzisierung hinsichtlich der Protokollierungspflich -
ten, da eine effektive datenschutzrechtliche Kontrol -
le nur auf Grundlage aussagekräftiger Dokumenta -
tion möglich ist. Darüber hinaus weist die DSS auf die
einschlägigen Informationspflichten nach DSG und
DSGVO hin, da die Massnahmen teilweise in deren An-
wendungsbereich fallen.
In Bezug auf Art. 24gbis Abs. 2 PolG, der die Über-
mittlung von Dokumentationen bei Betretungsverbo -
ten an eine Beratungsstelle vorsieht, regt die DSS an,
eine Datenweitergabe erst dann zuzulassen, wenn
die Notwendigkeit einer Gewaltpräventionsberatung
rechtlich gesichert ist. Da ein Betretungsverbot binnen
72 Stunden überprüft und aufgehoben werden kann,
wäre eine sofortige Datenübermittlung unter Umstän-
den unverhältnismässig.
Besonders kritisch beurteilt die DSS die Einfüh -
rung des neuen Art. 26a PolG, welcher der Landes -
polizei weitreichende präventive Massnahmen zur
Verhinderung terroristischer und sonstiger schwerer
Straftaten einräumt. Dabei handelt es sich um tiefgrei-
fende Eingriffe in Grundrechte, insbesondere in die
Bewegungsfreiheit und das soziale Leben der betrof -
fenen Personen, und zwar gestützt auf einen blossen
Verdacht ohne vorgängiges Gerichtsurteil. Eine der -
art intensive Einschränkung verlangt eine besonders
präzise gesetzliche Grundlage sowie eine umfassende
Verhältnismässigkeitsprüfung im Gesetzgebungsver -
29
Stellungnahmen zu Vorlagen und Erlassen 2025 / Tätigkeitsbericht Datenschutzstelle
fahren. Die DSS wirft zudem spezifische Fragen auf: So
ist unklar, wie sich die vorgesehene Gesprächspflicht
gegenüber der Polizei zu einem allfälligen Zeugnisver-
weigerungsrecht verhält. Ebenso bleibt offen, ob eine
Person, die zwar physisch an einem Gespräch teil -
nimmt, jedoch schweigt, ihre Pflicht erfüllt oder mit
einer Busse rechnen muss. Problematisch erscheint
auch die Regelung zur Befristung der Massnahmen
auf sechs Monate mit einmaliger Verlängerungsmög -
lichkeit. In der vorgesehenen Ausgestaltung können
die Massnahmen faktisch unbeschränkt verlängert
werden, indem sie jeweils kurzzeitig unterbrochen
und erneut angeordnet werden. Dies wäre mit den
verfassungsrechtlichen Anforderungen nur schwer
vereinbar.
Hinsichtlich der Videoüberwachung (Art. 34
Abs. 3 und 4 PolG) weist die DSS darauf hin, dass durch
die Ausdehnung auf die Suche nach Vermissten der
Anwendungsbereich der einschlägigen datenschutz-
rechtlichen Vorschriften erweitert wird. Die daraus
folgenden Informationspflichten sind entsprechend
zu berücksichtigen.
Abschliessend bemängelt die DSS, dass im Ge -
setzgebungsverfahren keine umfassende, dokumen -
tierte Verhältnismässigkeitsprüfung vorgenommen
wurde. Gerade angesichts der erheblichen Grund -
rechtseingriffe – insbesondere durch Art. 26a PolG –
ist eine vertiefte Grundrechtsprüfung unerlässlich.
Der Gesetzgeber ist verpflichtet, neben einer klaren
gesetzlichen Grundlage stets auch dem Grundsatz der
Verhältnismässigkeit Rechnung zu tragen. Eine sol -
che Prüfung ist hier nicht nur rechtsstaatlich geboten,
sondern angesichts der Tragweite der vorgesehenen
Massnahmen zwingend erforderlich.
In Bezug auf den Vernehmlassungsbericht (VNB)
der Regierung betreffend die Abänderung des
Wert papierdienstleistungsgesetzes, des Vermö -
gensverwaltungsgesetzes, des Handelsplatz- und
Börsegesetzes, EWR-Wertpapierprospekt-Durch -
führungsgesetzes, des EWR-Marktmissbrauchsver -
ordnungs-Durchführungsgesetzes und weiterer
Gesetze empfiehlt die DSS vor allem die geplante
Anpassung von Art. 30 Wertpapierfirmengesetz zu
überdenken.
Gemäss Vernehmlassungsbericht soll Art. 30
Wertpapierfirmengesetz im Wortlaut geändert und
mit Art. 42 Vermögensverwaltungsgesetz sowie
Art. 15 Bankengesetz harmonisiert werden. Künftig
soll ausdrücklich vorgesehen sein, dass Wertpapier -
firmen personenbezogene Daten, einschliesslich be -
sonderer Kategorien personenbezogener Daten sowie
Daten über strafrechtliche Verurteilungen und Straf-
taten, verarbeiten dürfen, soweit dies für die Erbrin -
gung von Wertpapier- und Nebendienstleistungen
oder für Anlagetätigkeiten erforderlich ist. Inhaltlich
kritisiert die DSS, dass diese Bestimmungen pauscha-
le gesetzliche Grundlagen für die Datenverarbeitung
durch die betroffenen Unternehmen schaffen. Dies
widerspricht dem System der DSGVO, welche die zu -
lässigen Rechtsgrundlagen für die Verarbeitung per -
sonenbezogener Daten in Art. 6 Abs. 1 abschliessend
regelt, für besondere Kategorien personenbezogener
Daten in Art. 9 Abs. 2 und für Daten über strafrecht -
liche Verurteilungen und Straftaten in Art. 10. Natio-
nale Gesetzgeber dürfen nur im Rahmen der in der
DSGVO vorgesehenen Öffnungsklauseln ergänzende
Regelungen treffen, und auch dies nur unter strengen
Voraussetzungen.
Für besondere Kategorien personenbezogener
Daten kommt vorliegend allenfalls Art. 9 Abs. 2 Bst. g
DSGVO als Rechtsgrundlage in Betracht. Diese Bestim-
mung erlaubt eine Verarbeitung aus Gründen eines er-
heblichen öffentlichen Interesses, sofern eine gesetz -
liche Grundlage besteht, die verhältnismässig ist, den
Wesensgehalt des Datenschutzrechts wahrt und ange -
messene Schutzmassnahmen vorsieht. Bei den vorge -
sehenen Regelungen fehlt jedoch ein solches erhebli -
ches öffentliches Interesse. Die Datenverarbeitung in
den genannten Gesetzen wird zur Erbringung kommer-
zieller Dienstleistungen erlaubt. Eine rein wirtschaft -
liche Tätigkeit stellt kein erhebliches öffentliches In -
teresse im Sinne der DSGVO dar. Die Bestimmungen
stehen daher in Widerspruch zu Art. 9 Abs. 2 DSGVO.
Zwar benötigen Vermögensverwalter, Banken oder
Wertpapierfirmen in Einzelfällen bestimmte sensib -
le Daten, etwa zur Erfüllung gesetzlicher Prüfpflich -
ten. Solche Konstellationen müssen jedoch präzise ge-
setzlich umschrieben werden und können keinesfalls
kommerzielle Dienstleistungen mitumfassen. Die ak-
tuelle Formulierung ist daher zu allgemein und genügt
den Anforderungen der DSGVO nicht.
Auch im Hinblick auf Art. 6 DSGVO besteht ein
vergleichbares Problem. Art. 6 Abs. 2 DSGVO erlaubt
nationale Präzisierungen nur im Zusammenhang mit
einer gesetzlichen Verpflichtung (Art. 6 Abs. 1 Bst. c
DSGVO) oder der Wahrnehmung einer Aufgabe im öf -
fentlichen Interesse (Art. 6 Abs. 1 Bst. e DSGVO). Die
Erbringung kommerzieller Finanzdienstleistungen
erfüllt keine dieser Voraussetzungen. Eine generelle
gesetzliche Erlaubnis zur Datenverarbeitung für Ge -
schäftszwecke überschreitet daher den zulässigen
Rahmen. Falls die Unternehmen Daten zur Erfüllung
spezifischer gesetzlicher Pflichten – etwa nach dem
Sorgfaltspflichtgesetz – verarbeiten, sind diese Pflich-
ten bereits in den entsprechenden Spezialgesetzen
geregelt. Eine zusätzliche, pauschale Ermächtigungs -
30
Stellungnahmen zu Vorlagen und Erlassen 2025 / Tätigkeitsbericht Datenschutzstelle
norm in den hier betroffenen Gesetzen ist daher nicht
erforderlich.
Die DSS weist zudem auf eine inkonsistente Ge -
setzgebung hin. Entsprechende Datenverarbeitungs -
bestimmungen finden sich in einzelnen finanz -
marktrechtlichen Gesetzen, fehlen jedoch in anderen
regulierten Bereichen wie etwa im Treuhänderrecht
oder im Versicherungsrecht. Dies führt zu einer Un -
gleichbehandlung regulierter Unternehmen und steht
im Spannungsverhältnis zu datenschutzrechtlichen
Grundprinzipien.
Aus diesen Gründen empfiehlt die DSS, vorerst
auf die geplante Änderung von Art. 30 Wertpapierfir-
mengesetz zu verzichten. Unabhängig vom laufenden
Vernehmlassungsverfahren regt sie eine vertiefte Prü-
fung der bestehenden gesetzlichen Bestimmungen im
Hinblick auf ihre Vereinbarkeit mit der DSGVO an.
31
Stellungnahmen zu Vorlagen und Erlassen 2025 / Tätigkeitsbericht Datenschutzstelle
«Sollte auch für das Jahr 2027
keine Erhöhung des Personal­
bestandes genehmigt werden,
sind weitere Priorisierungen
unausweichlich.»
33
Interne Organisation 2025 / Tätigkeitsbericht Datenschutzstelle
die DSS zusätzliche Aufgaben im Zusammenhang
mit der Vorbereitung und Umsetzung weiterer EU-
Digitalrechtsakte, insbesondere der KI-Verordnung,
des Data Act und des Data Governance Act. Auch die
Reform des FIU-Gesetzes wurde von der DSS eng be-
gleitet und wird voraussichtlich weitere Kontroll -
aufgaben nach sich ziehen. Daneben war die DSS im
Berichtsjahr in die Arbeitsgruppe der LLV zu M365-
Copilot involviert, hat die ZPR-Kommission wieder
beratend unterstützt, wurde in die Task Force zur
Prüfung von Handlungsbedarf und Massnahmen be-
treffend Datenschutz im schulischen Umfeld aufge -
nommen und beteiligte sich im Rahmen der Kompe-
tenzgruppe Digitalisierung bei der Nutzungsregelung
von KI in der LLV. All diese Entwicklungen führen
mittlerweile zu einer beträchtlichen Überlastung.
Folglich kam es im Berichtsjahr vor allem bei der
Beantwortung von Beratungsanfragen bereits zu spür-
baren Verzögerungen. Darüber hinaus musste die DSS
Priorisierungen vornehmen und einzelne Aufgaben
vollständig einstellen. So musste sie bereits die Durch-
führung von nicht-anlassbezogenen amtswegigen
Datenschutzüberprüfungen aussetzen und die Fre -
quenz von Veranstaltungen und Newslettern reduzie-
ren, was nicht nur die Aufsichtstätigkeit einschränkt,
sondern auch der bewährten kommunikativen Stra -
tegie der DSS schadet. Darüber hinaus stellte sie ihre
Mitwirkung im European Fundamental Rights Gui -
dance Board (EFRGB) sowie in der Arbeitsgruppe zum
Zusammenspiel von Datenschutz und anderen Rech -
ten und Freiheiten der Global Privacy Assembly (GPA)
weitgehend ein und hat bis auf eine Ausnahme keine
aktiven Aufgaben oder Rollen im Rahmen des EDSA
mehr übernommen. Ebenso wenig wird sie sich 2026
an der koordinierten Aktion der europäischen Daten -
schutz-Aufsichtsbehörden für ein bestimmtes Daten -
schutzthema beteiligen. Und künftig wird sie, sollte
sich an der Situation nichts ändern, auch LLV-intern
ihre Beratungen und Schulungen im Rahmen der
LLV-Akademie nicht mehr im gewohnten Umfang an -
bieten können. Exemplarisch für diese Entwicklung
konnte sie für den Fachstab Cyber nur einen statt der
gewünschten zwei Vertreter nominieren und muss -
te zudem festhalten, dass keine Kapazitäten für eine
aktive Mitarbeit zur Verfügung stehen. Des Weiteren
ist aufgrund des Personalmangels für das Jahr 2026
kein «Datenschutz goes Cinema» geplant. Schliesslich
musste auch die Entsendung eines Juristen zur Teil -
nahme an einer Schengen-Evaluation in einem an -
4. Interne Organisation
Die DSS ist die nationale Datenschutz-Aufsichts -
behörde im Sinne des Art. 5 1 DSGVO sowie des Art. 9
DSG. Sie übt ihre Befugnisse in vollständiger Unabhän-
gigkeit aus und untersteht keiner Dienst- oder Fach -
aufsicht. Die Aufgaben der DSS ergeben sich direkt aus
der DSGVO und dem DSG sowie einzelnen Bestimmun-
gen in Spezialgesetzen.
4.1 Personal allgemein
Im Tätigkeitsbericht 2024 hielt die DSS fest, dass
sie ihre gesetzlichen Aufgaben trotz hoher Anforde -
rungen mit einem Personalbestand von insgesamt 700
Stellenprozenten erfüllen konnte. Gleichzeitig wies sie
darauf hin, dass keine Reserven mehr vorhanden sind
und künftig bereits geringfügige Mehrbelastungen
nicht mehr aufgefangen werden können. Vor diesem
Hintergrund beantragte die DSS die Genehmigung von
mindestens einer zusätzlichen Juristenstelle, um die
Aufgabenerfüllung nachhaltig sicherzustellen. Dieser
Antrag wurde abgelehnt.
Bereits in den vergangenen Jahren war der Auf -
wand für die Beantwortung der mannigfachen Bera -
tungsanfragen stetig gestiegen und das Volumen von
Beschwerden gemäss Art. 77 DSGVO und Meldungen
von Datenschutzverletzungen gemäss Art. 33 DSGVO
nahm kontinuierlich zu. Die personellen Ressour -
cen der DSS waren somit schon in den letzten Jah -
ren stark absorbiert in der Verfassung von Antworten
und Stellungnahmen auf konkrete Fragen, der tech -
nischen Untersuchung und Analyse von Systemen
und Meldungen, sowie der Prüfung der eingegange -
nen Beschwerden und Hinweise und der Führung der
entsprechenden Verfahren. Dazu kamen eine immer
stärkere Einbindung der DSS in zahlreiche Gesetz -
gebungsverfahren oder Arbeitsgruppen der LLV auf-
grund der voranschreitenden Digitalisierung.
Im Berichtsjahr verschärfte sich dieser Trend
nun nochmals deutlich, was eine weitere beträcht -
liche Erhöhung des Arbeitsvolumens der DSS nach
sich zog. Die Komplexität der Beratungsanfragen,
doch insbesondere die Zahl der Beschwerden ge -
mäss Art. 77 DSGVO sowie der Meldungen von Daten-
schutzverletzungen gemäss Art. 33 DSGVO nahm
2025 enorm zu, rund 50 % bei den Beschwerden und
rund 3 5 % bei den Meldungen. Dies scheint nach
ähnlichen Aussagen anderer Datenschutz-Aufsichts -
behörden einem europäischen Trend zu entspre -
chen und es ist keine Veränderung in den kommen -
den Jahren zu erwarten. Parallel dazu entstanden für
34
Interne Organisation 2025 / Tätigkeitsbericht Datenschutzstelle
deren Schengen-Staat 2026 mangels personeller Res -
sourcen abgesagt werden.
Sollte auch für das Jahr 2027 keine Erhöhung
des Personalbestandes genehmigt werden, sind wei -
tere Priorisierungen unausweichlich. Da die Bera -
tungstätigkeit im Gegensatz zu den Aufsichtstätig -
keiten nicht ausdrücklich gesetzlich vorgeschrieben
ist, bleibt sie faktisch als einziger Bereich, in wel -
chem weitere Einschränkungen vorgenommen wer -
den können. Dies führt dazu, dass öffentliche Stellen
und Unternehmen künftig deutlich längere Antwort-
zeiten in Kauf nehmen oder ganz auf eine vorgängige
datenschutzrechtliche Beratung verzichten müssen,
was das Risiko von Rechtsunsicherheiten und Fehl -
umsetzungen erhöht.
4.2 Personal Schengen-Evaluation
Die gesetzlichen Grundlagen diverser EU-Infor -
mationssysteme im Schengen-Raum sehen vor, dass
diese alle vier Jahre einer datenschutzrechtlichen Kon-
trolle unterzogen werden müssen. Aufgrund der Mit -
gliedschaft Liechtensteins im Schengen-Raum ent -
sandte die DSS im Berichtsjahr in einem Fall einen
Experten zwecks Evaluierung eines anderen Schen-
gen-Staates. Nach regelmässiger jährlicher Teilnah-
me mindestens eines Mitarbeitenden der DSS an einer
solchen Evaluierung in einem anderen Mitgliedstaat
muss die DSS 2026 auf eine Entsendung mangels Res-
sourcen verzichten.
Datenschutzstelle
Technik Recht Öffentlichkeitsarbeit Internationales
Sekretariat
Abbildung 3: Organigramm Datenschutzstelle
35
Interne Organisation 2025 / Tätigkeitsbericht Datenschutzstelle
«Mit Hilfe ihrer umfangreichen Kon­
troll­, Anordnungs­ und Sanktions­
befugnisse hat die Aufsichtsbehörde
zu gewährleisten, dass die Verant­
wortlichen und Auftragsverarbeiter
ihren Pflichten auch tatsächlich
nachkommen.»
37
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
5.1 Aufsicht
Die DSGVO nimmt die Verantwortlichen und Auf-
tragsverarbeiter klar in die Pflicht und verlangt, dass
sie die Rechte der betroffenen Personen respektieren
und ihre diesbezüglichen Verpflichtungen erfüllen.
Sie vertraut dabei jedoch nicht allein auf die Eigen -
verantwortung der Verantwortlichen und Auftrags -
verarbeiter, sondern erachtet darüber hinaus die Auf -
sicht als unabdingbar. Gemäss Art. 57 Abs. 1 Bst. a
DSGVO muss die Aufsichtsbehörde die Anwendung
dieser Verordnung überwachen. Dazu soll die Behör -
de nach Bst. h «Untersuchungen über die Anwendung
dieser Verordnung durchführen, auch auf der Grund -
lage von Informationen einer anderen Aufsichtsbehör-
de oder einer anderen Behörde». Im Rahmen einer sol-
chen Untersuchung stehen der Aufsichtsbehörde alle
in Art. 58 Abs. 1 DSGVO genannten Untersuchungsbe-
fugnisse zur Verfügung.
Mit Hilfe umfangreicher Kontroll-, Anordnungs-
und Sanktionsbefugnisse hat die Aufsichtsbehörde
ausserdem zu gewährleisten, dass die Verantwortli -
chen und Auftragsverarbeiter ihren Pflichten auch tat-
sächlich nachkommen. Die Befugnisse gehen weiter
als unter der vor dem 25. Mai 2018 geltenden Rechts-
lage und konzentrieren sich auf die in Art. 58 Abs. 2
DSGVO genannten Abhilfemassnahmen sowie die
Sanktionsmöglichkeiten nach Art. 83 DSGVO.
Wie bereits in den vergangenen Jahren musste die
DSS auch im Berichtsjahr feststellen, dass die aktuel -
len Personalressourcen für umfassende amtswegige
Überprüfungen bei Unternehmen nicht ausreichen.
Folglich wurde erneut entschieden, amtswegige Über-
prüfungen nur anlassbezogen durchzuführen, wenn
die DSS klare Hinweise erhält oder ihr anderweitig be-
kannt wird, dass in einem Unternehmen oder einer öf-
fentlichen Stelle bestimmte Datenverarbeitungsvor -
gänge nicht gesetzeskonform durchgeführt wurden.
Die DSS hat auf diese Weise bei acht privaten und einer
öffentlichen Organisation spezifische Untersuchun -
gen aufgrund von konkreten Anlassfällen durchge -
führt. Dies sind zwei mehr als im Vorjahr. Dabei wurde
jeweils Hinweisen oder Anzeichen dafür nachgegan -
gen, dass bei den Organisationen unzulässige Daten -
verarbeitungen stattgefunden haben.
Darüber hinaus konnten im Berichtsjahr mehrere
bereits 2024 von Amtes wegen, aber auch von Geset -
zes wegen, eröffnete datenschutzrechtliche Überprü -
fungen abgeschlossen werden.
5.1.1 Amtswegige Überprüfungen
bei Unternehmen
Nachfolgend wird ein Beispiel der im Berichtsjahr
von der DSS vorgenommenen anlassbezogenen amts -
wegigen Datenschutzüberprüfungen bei Unterneh -
men vorgestellt.
Amtswegige Überprüfung bei einer Eventagentur
Im Berichtsjahr wurde bei einer Eventagen -
tur eine datenschutzrechtliche Prüfung eingeleitet.
Das Unternehmen hat bei der Veranstaltung von
grösseren Anlässen ohne Einwilligung der Betrof -
fenen umfassende Teilnehmerlisten im Internet
veröffentlicht sowie teilweise diese Listen auch in
Papierform ausgeteilt. Die Verantwortliche stütz -
te die Veröffentlichung auf ein berechtigtes Inter -
esse nach Art. 6 Abs. 1 Bst. f DSGVO (Förderung von
Austausch und vorgängige Vernetzung), was grund -
sätzlich zulässig sein könnte. Die DSS verneinte je -
doch die Erforderlichkeit, da eine Teilnehmerliste
weder absolut notwendig noch das mildeste Mittel
ist. Vernetzung vor einer Veranstaltung ist zudem
nicht zentraler Zweck einer Veranstaltung. Während
der Veranstaltung könnte die Vernetzung vor allem
durch weniger eingriffsintensive Massnahmen, wie
etwa mittels Namensschilder, gewährleistet werden.
Diese sind üblicher, freiwillig nutzbar und effektiver.
Auch der Hinweis, die Daten seien teils öffentlich zu-
gänglich, rechtfertigte keine Weiterverarbeitung für
eigene Zwecke. Teilnehmende müssen zudem nicht
damit rechnen, dass ihre Teilnahme veröffentlicht
wird. Folglich stellte die DSS fest, dass die Bereit -
stellung oder Veröffentlichung von Teilnehmerlisten
nur mit wirksamer Einwilligung nach Art. 6 Abs. 1
Bst. a i.V.m. Art. 7 DSGVO zulässig ist; auch ausge -
druckte Listen vor Ort lösen das Problem ohne Ein -
willigung nicht.
5.1.2 Amtswegige Überprüfung bei öffentlichen
Stellen
Wie bei privaten Unternehmen hat die DSS im
Berichtsjahr auch bei öffentlichen Stellen Daten -
schutz-Überprüfungen von Amtes wegen vorgenom -
men. Bereits in Kapitel 2.2. ausgeführt wurde die
Datenschutz-Überprüfung einer Videoüberwachung
der Landespolizei. Daneben prüfte die DSS etwa beim
Schulamt die datenschutzrechtliche Zulässigkeit
einer bestimmten Aufsichtspraxis.
5. Aufsicht, Beschwerden und Meldungen von
Datenschutzverletzungen
38
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
Amtswegige Überprüfung beim Schulamt
Nach Hinweisen von Eltern untersuchte die DSS
im Berichtsjahr die datenschutzrechtliche Zulässigkeit
von Zugriffen durch Lehrpersonen auf Chatnachrich -
ten, die von Schülerinnen und Schülern über die schu-
lischen Computer verfasst wurden und private Inhalte
aufwiesen. Gegenstand der Überprüfung war insbe -
sondere, ob und unter welchen Voraussetzungen ein
solcher Zugriff – etwa zu Aufsichts-, Sicherheits- oder
Disziplinarzwecken – mit den einschlägigen daten -
schutzrechtlichen Vorgaben sowie dem Schutz der Pri-
vatsphäre der betroffenen Schülerinnen und Schüler
vereinbar ist. Die DSS kam zum Schluss, dass die Mass-
nahmen nicht unbedingt erforderlich waren zur Erfül-
lung der gesetzlichen Aufsichtspflichten und vor allem
durch gelindere, weniger eingriffsintensive Mass -
nahmen derselbe Zweck erreicht werden könnte. Zu -
sätzlich mussten Schülerinnen und Schüler mangels
transparenter Informationen gemäss Art. 1 3 DSGVO
nicht mit solchen Eingriffen in die Privatsphäre rech-
nen. Ebenso wenig war zum Zeitpunkt der Überprü -
fung die private Nutzung gänzlich untersagt, weshalb
die Aufsichtspersonen davon ausgehen mussten, dass
sich unter den eingesehenen Nachrichten auch verein-
zelte zulässige private Nachrichten befinden können.
5.1.3 Aufsicht über Videoüberwachungsanlagen
Im Bereich der Videoüberwachung zeigte sich er -
neut, dass die Abgrenzung zwischen einer unverbind -
lichen Beratung und einer formellen Beschwerde –
insbesondere im nachbarschaftlichen Kontext – für
betroffene Personen häufig unklar ist. Die DSS trägt
diesem Umstand Rechnung, indem sie auch informel-
le Eingaben entgegennimmt, den Sachverhalt vorab
klärt und zunächst auf eine einvernehmliche Lösung
hinwirkt, bevor ein formelles Aufsichtsverfahren ein -
geleitet wird.
Während im Vorjahr sämtliche Anliegen im Rah -
men von Gesprächen und Vor-Ort-Begehungen berei -
nigt werden konnten, führten im Berichtsjahr insbe -
sondere zwei eskalierte Nachbarschaftskonflikte zu
einem erheblichen Mehraufwand. Die Parteien reich-
ten wiederholt formelle Beschwerden gegeneinander
ein, was bereits im Stadium der Sachverhaltsermitt -
lung umfangreiche Abklärungen, Stellungnahmen
und Dokumentationen erforderte. Am Ende des Be -
richtsjahres standen in diesen Verfahren noch drei
Verfügungen aus. In einem der Fälle war zusätzlich
ein Drohnenflug mit Kamerafunktion Gegenstand der
Prüfung.
In materiell-rechtlicher Hinsicht betreffen die
Streitigkeiten regelmässig dieselben Kernfragen: Er -
fasst die Kamera öffentlich zugängliche Bereiche,
etwa Strassen oder Gehwege, oder richtet sie sich auf
Nachbargrundstücke? Die datenschutzrechtliche Be -
urteilung ist konstant. Videoüberwachungen im rein
privaten Bereich sind zulässig, sofern sie sich auf das
eigene Grundstück beschränken und weder öffentlich
zugängliche Flächen noch benachbarte Liegenschaf -
ten erfassen. Sobald jedoch eine solche Erfassung er -
folgt, fehlt es an einer tragfähigen Rechtsgrundlage.
Auf die spezifische Problematik von Mehrfamilien -
häusern wurde in Kapitel 2.2 gesondert eingegangen.
Sowohl bei einvernehmlich gelösten Konflikten
als auch im Anschluss an formelle aufsichtsrechtliche
Verfahren unterstützt die DSS die Beteiligten bei der
datenschutzkonformen technischen und organisato -
rischen Anpassung bestehender Anlagen.
Erfahrungsgemäss steht bei nachbarschaftli -
chen Auseinandersetzungen, in denen eine Video -
überwachung Anlass für die Einschaltung der DSS ist,
nicht selten ein tieferliegender persönlicher Konflikt
im Vordergrund. Die Videoüberwachung fungiert
dabei als Auslöser oder Verstärker bestehender Span -
nungen. Die Lösung solcher Grundsatzkonflikte fällt
jedoch nicht in die Zuständigkeit der DSS, deren Man -
dat sich auf die datenschutzrechtliche Beurteilung
beschränkt.
5.1.4 Überprüfungen von Gesetzes wegen
Eine datenschutzrechtliche Überprüfung des
Einsatzes der europäischen IT-Systeme Schengener
Informationssystem (SIS) und Visa Informationssys -
tem (VIS) durch die Landespolizei und das Auslän -
der- und Passamt wurde bereits im Vorjahr initiiert.
Die Überprüfung des Einsatzes des VIS konnte im Be-
richtsjahr noch nicht vollständig abgeschlossen wer -
den, diejenige des Einsatzes des SIS hingegen schon.
Beim SIS handelt es sich um ein europaweites Fahn -
dungssystem. Ausschreibungen erfolgen grundsätz -
lich über ein SIRENE-Büro. Dieses ist in Liechtenstein
bei der Landespolizei angegliedert. Auch in der täg -
lichen Arbeit der Landespolizei ergeben sich zahlrei -
che Berührungspunkte mit dem SIS. So waren auch
Zugriffskonzepte, Informationspflichten, Protokollie -
rung und Selbstkontrolle der Landespolizei, der Um -
gang mit Auskunftsbegehren, vertragliche Regelun -
gen mit Auftragsdatenverarbeitern wie auch von der
Kriminaltechnik zur Fahndung ausgeschriebene Tat -
ortspuren mutmasslicher Täter im Fokus der daten -
schutzrechtlichen Überprüfung. Im Rahmen die -
ser Überprüfung kam die DSS unter anderem zum
Schluss, dass Datenweitergaben ans Landesarchiv auf
Grund der Überschreitung der maximalen Speicher -
fristen aus EU-Verordnungen unzulässig sind und die
implementierte Protokollierung und Selbstkontrolle
39
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
nicht alle Anforderungen erfüllt. Bezüglich der Nut -
zung von USB-Sticks ist die Vertraulichkeit und der
Schutz vor Zugriff Unberechtigter nicht gewährleistet
und im Rahmen der Informationspflichten verweist
die Landespolizei lediglich auf die Internetseite der
DSS, was nicht den gesetzlichen Voraussetzungen ent-
spricht. Darüber hinaus ist jedoch auch festzuhalten,
dass die Landespolizei um einen hohen Datenschutz -
standard bemüht ist und die DSS die überaus koopera-
tive und gute Zusammenarbeit schätzt.
5.1.5 Schengen-Evaluationen im In-
und Ausland
Die gesetzlichen Grundlagen der verschiedenen
EU-Informationssysteme im Schengen-Raum schrei -
ben vor, dass deren nationale Implementierung und
Nutzung alle sieben Jahre einer datenschutzrechtli -
chen Überprüfung auf europäischer Ebene unterzo -
gen werden. Im Rahmen der Mitgliedschaft Liechten -
steins im Schengen-Raum beteiligte sich die DSS im
Berichtsjahr an einer solchen europäischen Evaluie -
rung und entsandte hierfür einen Experten zu einer
ersten datenschutzrechtlichen Prüfung eines neuen
Mitgliedstaates im Schengenraum.
Wie im Vorjahr schon erwähnt, wird Liechten -
stein im Jahr 2026 durch externe Experten, bestehend
aus Mitarbeitenden der Europäischen Kommission
(EU-Kommission) wie auch anderer EU/EWR-Auf -
sichtsbehörden, evaluiert werden. Die DSS begann
folglich bereits im Sommer 2024, wie durch den
Schengen-Acquis gesetzlich gefordert, mit dem Daten-
schutzaudit beim Ausländer- und Passamt sowie der
Landespolizei einschliesslich des SIRENE-Büros. Im
Berichtsjahr wurde zudem der umfangreiche Fragebo-
gen, der den Experten zur Vorbereitung der Schengen
Evaluation dient, in Zusammenarbeit mit der Landes-
polizei, dem Ausländer und Passamt und dem Schen -
gen-Koordinator ausgefüllt und eingereicht.
5.2 Beschwerden
Betroffene Personen haben nach Art. 77 DSGVO
das Recht, sich bei einer Aufsichtsbehörde zu beschwe-
ren, wenn sie der Ansicht sind, dass die Verarbeitung
der sie betreffenden personenbezogenen Daten nicht
rechtmässig erfolgt. Dazu bietet die DSS – wie in Er -
wägungsgrund 141 der DSGVO empfohlen – auf ihrer
Internetseite in der Rubrik «Services» ein elektroni -
sches Beschwerdeformular an. Insgesamt (nationale
und internationale) gingen bei der DSS im Berichts -
jahr 77 Beschwerden und somit rund 50% mehr als
im Vorjahr ein. Von den insgesamt eingelangten Be -
schwerden richteten sich 11 gegen öffentliche Stellen.
Die übrigen Verfahren betrafen Unternehmen und – in
einzelnen Fällen – Privatpersonen.
5.2.1 Nationale Beschwerden
Im Berichtsjahr erhielt die DSS insgesamt 72 Be -
schwerden von Privatpersonen, die sich direkt an die
DSS als für ein liechtensteinisches Unternehmen oder
eine lokale öffentliche Stelle zuständige Behörde rich-
/zero.tf
/five.tf
/one.tf/zero.tf
/one.tf/five.tf
/two.tf/zero.tf
/two.tf/five.tf
/two.tf/zero.tf/one.tf/nine.tf /two.tf/zero.tf/two.tf/zero.tf/two.tf/zero.tf/two.tf/one.tf /two.tf/zero.tf/two.tf/two.tf/two.tf/zero.tf/two.tf/three.tf/two.tf/zero.tf/two.tf/four.tf /two.tf/zero.tf/two.tf/five.tf
Abbildung 4: Anzahl der Datenschutzüberprüfungen pro Jahr ohne Videoüberwachungen)
40
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
teten. Die Beschwerdeführer haben zum überwiegen -
den Teil ihren Wohnsitz in Liechtenstein. Aber auch
Personen aus dem EWR, vor allem aus Deutschland,
brachten Beschwerden bei der DSS ein.
Die DSS machte von ihren Befugnissen unter
Art. 58 Abs. 2 DSGVO weitreichend Gebrauch und
sprach Verwarnungen sowie Anweisungen zur Um -
setzung von Betroffenenrechten und zur Herstellung
von Rechtskonformität bestimmter Datenverarbeitun-
gen aus. Auch eine Geldbusse von CHF 3 1'000 wurde
im Berichtsjahr gegen ein Unternehmen verhängt,
welches einen gravierenden Datenschutzverstoss be -
gangen hatte. Geahndet wurde damit die – entgegen
früheren bereits erfolgten Anweisungen der DSS – wie-
derholte werbliche Kontaktaufnahme mit zahlreichen
Personen, ohne dass hierfür eine gültige Rechtsgrund-
lage im Sinne von Art. 6 Abs. 1 DSGVO vorgelegen hat.
Die entsprechende Verfügung ist allerdings noch nicht
rechtskräftig.
Inhaltlich konzentrierten sich die Beschwerdever-
fahren erneut auf die Betroffenenrechte auf Informa -
tion, Auskunft, Löschung und Widerspruch sowie die
Frage der Rechtmässigkeit einer Datenverarbeitung ge-
mäss Art. 6 Abs. 1 oder Art. 9 Abs. 2 DSGVO. Vermehrt
hinzu kamen auch Verletzungen der Sicherheit und In-
tegrität der Daten gemäss Art. 25 DSGVO.
Nicht in allen Beschwerdefällen der DSS bildete
eine Verfügung den Abschluss des Verfahrens. Stattdes-
sen konnte in einigen Fällen mit der datenverarbeiten-
den Stelle (sprich dem verantwortlichen Unternehmen
oder der öffentlichen Stelle) eine (einvernehmliche) Lö-
sung gefunden werden, die es erlaubte, die Rechte der
Betroffenen zu gewährleisten. Mit diesem auch in Er -
wägungsgrund 131 der DSGVO empfohlenen Vorgehen
konnten im Berichtsjahr erneut einige langwierige und
aufwändige Verfahren verhindert werden.
5.2.2 Internationale Beschwerden
Art. 56 Abs. 1 DSGVO bestimmt, dass die Auf -
sichtsbehörde der Hauptniederlassung oder der ein -
zigen Niederlassung des Verantwortlichen oder des
Auftragsverarbeiters im EU/EWR-Raum die zustän -
dige federführende Aufsichtsbehörde für die von
diesem Verantwortlichen oder diesem Auftrags -
verarbeiter durchgeführte grenzüberschreitende
Datenverarbeitung ist. Wenn eine betroffene Per -
son Beschwerde bei der Aufsichtsbehörde an ihrem
Wohnsitz einreicht und diese nicht mit der zuständi-
gen federführenden Aufsichtsbehörde identisch ist,
so leitet diese Behörde die Beschwerde an die feder -
führende Behörde im Sitzstaat des Verantwortlichen
oder Auftragsverarbeiters weiter. Im Rahmen dieser
Zusammenarbeit erhielt die DSS im Berichtsjahr zwei
zusätzliche Beschwerden via andere europäische
Datenschutz-Aufsichtsbehörden von Personen aus
einem anderen EWR-Staat, die sich gegen ein liech -
tensteinisches Unternehmen richteten. Umgekehrt
wurden im Berichtsjahr drei Beschwerden von Perso-
nen aus Liechtenstein an andere europäische Daten -
schutz-Aufsichtsbehörden weitergeleitet.
/zero.tf
/one.tf/zero.tf
/two.tf/zero.tf
/three.tf/zero.tf
/four.tf/zero.tf
/five.tf/zero.tf
/six.tf/zero.tf
/seven.tf/zero.tf
/eight.tf/zero.tf
/two.tf/zero.tf/one.tf/nine.tf /two.tf/zero.tf/two.tf/zero.tf/two.tf/zero.tf/two.tf/one.tf /two.tf/zero.tf/two.tf/two.tf/two.tf/zero.tf/two.tf/three.tf/two.tf/zero.tf/two.tf/four.tf /two.tf/zero.tf/two.tf/five.tf
Abbildung 5: Anzahl Beschwerden pro Jahr
41
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
5.2.3 Ausgewählte Verfügungen der DSS
im Berichtsjahr
Nachdem die Verfügungen der DSS nicht veröf -
fentlicht werden, werden nachfolgend einzelne ausge-
wählte Entscheidungen der DSS vorgestellt:
Beschwerde betreffend die Einschränkung des Aus-
kunftsgesuches und die Herausgabe von Daten, die
freiwillig zur Verfügung gestellt wurden
Ein Beschwerdeführer rügte, ihm sei keine voll -
ständige Auskunft nach Art. 15 Abs. 1 DSGVO erteilt
worden; zudem seien nicht sämtliche Datenkopien im
Sinne von Art. 15 Abs. 3 DSGVO übermittelt worden. Die
verantwortliche Stelle brachte vor, dass die Auskunfts-
gesuche jeweils thematisch eingegrenzt gewesen seien
und sich auf bestimmte Daten oder Verarbeitungsvor -
gänge bezogen hätten.
Die DSS stellte fest, dass eine verantwortliche Stel-
le grundsätzlich davon ausgehen darf, dass sich ein
Auskunftsersuchen auf jene Daten beschränkt, die von
der betroffenen Person im Gesuch konkretisiert oder
erkennbar eingegrenzt wurden. Erwägungsgrund 63
DSGVO sieht vor, dass der Verantwortliche bei einer
grossen Datenmenge eine Präzisierung des Begehrens
verlangen kann. Im vorliegenden Fall hatte jedoch die
betroffene Person selbst ihre Gesuche inhaltlich klar
auf bestimmte Zwecke oder Sachverhalte beschränkt.
Die DSS kam daher zum Schluss, dass eine entsprechen-
de inhaltliche Begrenzung des Auskunftsanspruchs
auch ohne formelles Präzisierungsverlangen durch die
verantwortliche Stelle zulässig ist, sofern sich die Ein-
schränkung eindeutig aus dem Gesuch ergibt.
In Bezug auf die Auskunft über Daten, welche eine
betroffene Person selbst (ohne dass dies erforderlich
gewesen wäre) zur Verfügung gestellt hat, stellte die
DSS fest: Nach den Leitlinien 01/2022 des EDSA zum
Auskunftsrecht (Rn. 19) umfasst das Auskunftsrecht
nach Art. 15 Abs. 1 DSGVO die Mitteilung der konkret
verarbeiteten personenbezogenen Daten selbst und
nicht lediglich eine allgemeine Beschreibung oder die
Angabe von Datenkategorien. Der Anspruch besteht
grundsätzlich hinsichtlich aller verarbeiteten perso-
nenbezogenen Daten, unabhängig von deren Art oder
Herkunft. Dies gilt ausdrücklich auch für Daten, wel -
che die betroffene Person dem Verantwortlichen ur -
sprünglich selbst zur Verfügung gestellt hat. Zweck der
Auskunft ist es, der betroffenen Person Transparenz
über die tatsächliche Verarbeitung ihrer Daten zu ver -
schaffen. Der Verantwortliche wurde entsprechend
von der DSS angewiesen, die Auskunft diesbezüglich
noch zu vervollständigen. Die Verfügung ist allerdings
noch nicht rechtskräftig.
Beschwerde betreffend Cookie-Banner
Der Beschwerdeführer brachte vor, dass der auf
einer Internetseite eingesetzte Cookie-Banner die
Datenschutzerklärung ganz oder teilweise verdeckte
und damit den Zugang zu den nach Art. 1 3 DSGVO er-
forderlichen Informationen erschwerte. Nach Art. 1 3
DSGVO sind betroffene Personen zum Zeitpunkt
der Datenerhebung umfassend über Art, Zweck und
Rechtsgrundlagen der Verarbeitung zu informieren.
Art. 12 DSGVO verlangt zudem eine transparente, ver-
ständliche und leicht zugängliche Bereitstellung die -
ser Informationen. Die DSS stellte daher fest, dass
ein Cookie-Banner, welcher die Datenschutzerklä -
rung überlagert oder blockiert, diesen Anforderungen
nicht genügt. Wird der Zugang zu den Informationen
im Zeitpunkt der Datenerhebung faktisch verhindert
oder erheblich erschwert, fehlt es an der notwendigen
Transparenz. Eine unter solchen Umständen eingehol-
te Einwilligung kann nicht als «informiert» gelten und
ist folglich unwirksam.
Zum Einsatz von Cookies stellte die DSS fest,
dass dieser entweder auf eine Einwilligung (Art. 6
Abs. 1 Bst. a DSGVO) oder auf berechtigte Interessen
(Art. 6 Abs. 1 Bst. f DSGVO) und in selteneren Fällen
auf einen Vertrag (Art. 6 Abs. 1 Bst. b DSGVO) gestützt
werden muss. Massgeblich ist die Funktion der je -
weiligen Cookies. Nicht funktionale Cookies – insbe -
sondere Tracking- und Analysedienste zu Marketing-
oder Profilingzwecken – erfordern grundsätzlich
eine ausdrückliche Einwilligung, da die Interessen
der Betroffenen am Schutz ihrer Privatsphäre über -
wiegen. Technisch notwendige Cookies oder solche
zur anonymisierten Reichweitenmessung können
hingegen auf berechtigte Interessen gestützt werden,
sofern die Grundprinzipien der DSGVO eingehalten
werden. Zudem müssen einwilligungspflichtige Coo -
kies standardmässig blockiert bleiben, bis eine aktive
Zustimmung erfolgt. Das heisst, dass bereits bei der
Einholung der Einwilligung – etwa über eine Con -
sent-Management-Plattform (CMP) – sicherzustellen
ist, dass keine Daten verarbeitet werden, die ihrer -
seits einer vorgängigen Einwilligung bedürfen. Die
CMP darf ausschliesslich solche personenbezogenen
Daten erheben und verarbeiten, die für das Einwilli -
gungsmanagement technisch zwingend erforderlich
sind (Grundsatz der Datenminimierung). Der Verant -
wortliche hat daher die eingesetzte Lösung auf die
strikte Einhaltung dieser Anforderungen zu überprü-
fen und gegebenenfalls datenschutzkonform zu kon -
figurieren. Ist eine entsprechende Anpassung nicht
möglich, ist eine datenschutzkonforme Alternative
einzusetzen.
42
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
Beschwerde betreffend Nutzung von Grundbuch-
daten zu kommerziellen Zwecken
In diesem Fall war zu prüfen, ob ein Unterneh -
men personenbezogene Daten aus dem öffentlich zu -
gänglichen Grundbuch erheben und für kommerzielle
Zwecke verwenden darf. Die DSS stellte fest, dass die
Datenerhebung ausnahmsweise zulässig ist und auch
die Verarbeitung zur einmaligen Kontaktaufnahme mit
Grundstückseigentümern auf Art. 6 Abs. 1 Bst. f DSGVO
(berechtigtes Interesse) gestützt werden kann. Die In -
teressenabwägung ergibt, dass das wirtschaftliche In -
teresse legitim ist, die Verarbeitung im Sinne einer
einmaligen gezielten Kontaktaufnahme mit einem
Grundstücks- / Hauseigentümer zur Zielerreichung er-
forderlich ist und die Interessen der betroffenen Per -
sonen angesichts der öffentlichen Zugänglichkeit der
Daten sowie der Begrenzung auf eine einmalige Kon -
taktaufnahme nicht überwiegen. Eine vorgängige Ge -
schäftsbeziehung ist hierfür nicht erforderlich.
Zulässig ist jedoch lediglich ein einmaliges, trans-
parentes Anschreiben an die Eigentümer. Für weiterge-
hende Kontaktaufnahmen ist grundsätzlich eine Ein -
willigung erforderlich, sofern sich aus dem Erstkontakt
keine vertragliche Beziehung ergibt. Aus diesem Grund
reichte in dem speziellen Fall ein sogenanntes Opt-
out im Sinne eines Widerspruchsrechts gemäss Art. 21
DSGVO nicht, sondern hätte im ersten Anschreiben eine
Einwilligung für eine wiederholte Kontaktaufnahme
eingeholt werden müssen. Folglich erfolgten alle wei -
teren Anschreiben rechtswidrig unter Verletzung des
Art. 6 Abs. 1 DSGVO. Die Verfügung ist allerdings noch
nicht rechtskräftig.
Beschwerde betreffend die praktische Geltendma-
chung von Betroffenenrechten
Ein Beschwerdeführer machte geltend, sein per
E-Mail an die auf der Internetseite angegebene Adres-
se übermitteltes Auskunftsgesuch nach Art. 15 DSGVO
sei von der verantwortlichen Stelle nicht beantwortet
worden. Im Verfahren stellte sich heraus, dass die E-
Mail aufgrund eines technischen Problems nicht zu -
gestellt wurde. Die verantwortliche Stelle bestätigte
diesen Umstand.
Die DSS gab der Beschwerde statt und stellte fest,
dass ungeachtet der technischen Ursache eine Ver -
letzung von Art. 12 Abs. 2 und 3 i.V.m. Art. 15 DSGVO
vorliegt, da das Auskunftsersuchen nicht fristgerecht
beantwortet wurde. Entscheidend ist nicht das Ver -
schulden, sondern die objektive Pflicht zur Gewähr -
leistung einer ordnungsgemässen Bearbeitung von
Betroffenenanfragen. Unter Verweis auf Erwägungs -
grund 63 DSGVO betonte die DSS, dass betroffene Per-
sonen ihr Auskunftsrecht «problemlos» und effektiv
ausüben können müssen, um sich der Datenverarbei -
tung bewusst sein und deren Rechtmässigkeit über -
prüfen zu können. Art. 12 Abs. 2 DSGVO verpflichtet
Verantwortliche ausdrücklich, die Ausübung der Be -
troffenenrechte zu erleichtern. Dazu gehört insbe -
sondere die Sicherstellung eines funktionierenden,
verlässlichen und regelmässig überprüften Kommuni-
kationskanals, über den entsprechende Gesuche ent -
gegengenommen und bearbeitet werden können.
Beschwerde betreffend die Weitergabe personenbe-
zogener Daten an Dritte ohne Bevollmächtigung
Eine betroffene Person hat im Berichtsjahr eine
Beschwerde gegen eine öffentliche Stelle eingereicht.
Sie brachte vor, dass eine Verfügung der öffentlichen
Stelle ohne ihre Einwilligung an eine Drittperson ver-
sandt wurde. Die verantwortliche Stelle führte in ihrer
Stellungnahme aus, dass eine Vollmacht für spezi -
fische Geschäftsbereiche vorläge, und reichte diese
bei der DSS ein. Die Vollmacht war zwar nur von der
Vollmachtgeberin, jedoch nicht von der bevollmäch -
tigten Person unterschrieben worden, wurde jedoch
von letzterer per E-Mail der verantwortlichen Stel -
le übermittelt. Es stellte sich daher die Frage, ob mit
dieser unvollständigen Vollmacht trotzdem eine gül -
tige Rechtsgrundlage im Sinne von Art. 6 Abs. 1 und
Art. 9 Abs. 2 DSGVO für die Weiterleitung der Verfü -
gung vorlag. Die DSS kam in ihrer Beurteilung zum
Schluss, dass es sich bei der Vollmacht um einen Be -
vollmächtigungsvertrag (nach § 1002 ff. ABGB) zwi -
schen der Vollmachtgeberin, der Bevollmächtigten
und der öffentlichen Stelle handelt. Dabei ist eine Wil-
lenserklärung aller Parteien erforderlich. Obwohl die
Bevollmächtigte den Bevollmächtigungsvertrag nicht
unterzeichnete, konnte festgestellt werden, dass der
Versand der Vollmacht eine solche Willensbekundung
darstellt. Somit liegt eine gültige Rechtsgrundlage
nach Art. 6 Abs. 1 Bst. b DSGVO vor. Weiters wurde aus
datenschutzrechtlicher Sicht festgestellt, dass die Voll-
macht mit der alleinigen Unterschrift der Vollmacht -
geberin auch als Einwilligung zu einer Datenweiterga-
be im Sinne von Art. 6 Abs. 1 Bst. a ebenso wie Art. 9
Abs. 2 Bst. a DSGVO verstanden werden kann. Für die
Einwilligung bedarf es lediglich der klaren Bekun -
dung des Einverständnisses der betroffenen Person.
Mit ihrer Unterschrift auf der Vollmacht hat sie klar
zum Ausdruck gebracht, dass sie einer Offenlegung
der Daten an die in der Vollmacht bezeichnete Person
zustimmt. Nachdem der Vollmachtgeberin auch klar
war, dass die Datenverarbeitung durch die öffentliche
Stelle sensible Daten im Sinne des Art. 9 Abs. 1 DSGVO
umfasste, konnte ihre Unterschrift sowohl als Einwil-
ligung im Sinne des Art. 6 Abs. 1 Bst. a (für «normale»
43
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
Daten) sowie Art. 9 Abs. 2 Bst. a DSGVO (für Gesund -
heitsdaten) qualifiziert werden.
5.2.4 Entscheidungen der Beschwerde-
kommission für Verwaltungsangelegen-
heiten (VBK)
Im Berichtsjahr entschied die VBK über vier Be -
schwerden, welche von einer der beiden Verfahrens -
parteien gegen Verfügungen der DSS eingebracht
worden waren. In zwei Fällen bestätigte die VBK die
Entscheidungen der DSS. In den zwei weiteren Fäl -
len wurde die Beschwerde verworfen. Insgesamt sind
noch vier weitere Beschwerden bei der VBK hängig.
5.2.5 Beschwerden an den Verwaltungs-
gerichtshof (VGH)
Der VGH entschied im Berichtsjahr über zwei in-
haltsgleiche Beschwerden aus dem Vorjahr und hiess
beide gut. Streitgegenstand war die Frage, ob eine An-
waltskanzlei im Rahmen eines gerichtlichen Verfah -
rens verpflichtet war, in einer Eingabe an das Gericht
den Namen eines Mitarbeitenden einer inländischen
Aufsichtsbehörde zum Schutz von dessen Privatsphä -
re zu schwärzen. Die DSS sowie die VBK vertraten die
Auffassung, dass die namentliche Nennung des Mit -
arbeitenden für die sachgerechte Vertretung der Man-
dantschaft nicht zwingend erforderlich war. Da die
Identität für die rechtliche Argumentation keine ent -
scheidende Rolle spielte, wäre eine Anonymisierung
oder zumindest eine Reduktion auf die Funktionsbe -
zeichnung ausreichend gewesen. Entsprechend quali-
fizierten sie die vollständige Namensnennung als un-
verhältnismässige Verarbeitung personenbezogener
Daten. Der VGH folgte dieser Argumentation nicht.
Zudem wurde in zwei weiteren Fällen Beschwer-
de gegen Entscheidungen der DSS bzw. der VBK beim
VGH erhoben, wovon der VGH in einem Fall die Ent -
scheidung der DSS bestätigte, der zweite Fall jedoch
nach wie vor hängig ist.
5.2.6 Beschwerden an den Staatsgerichtshof
(StGH)
Im Berichtsjahr wurde ausserdem eine Indivi -
dualbeschwerde beim StGH gegen eine Verfügung
der DSS bzw. das bestätigende Urteil des VGH erho -
ben. Dieser Beschwerde wurde vom StGH jedoch keine
Folge gegeben.
5.3 Meldung von Datenschutzverletzungen
gemäss Art. 33 DSGVO
Art. 33 DSGVO verpflichtet Verantwortliche, Ver-
letzungen des Schutzes personenbezogener Daten der
zuständigen Datenschutz-Aufsichtsbehörde binnen
72 Stunden zu melden, wenn aufgrund der Verletzung
voraussichtlich ein Risiko für die Rechte und Frei -
heiten natürlicher Personen besteht. Überdies müs -
sen die betroffenen Personen gemäss Art. 34 DSGVO
unverzüglich benachrichtigt werden, wenn voraus -
sichtlich ein hohes Risiko für ihre Rechte und Frei -
heiten zu erwarten ist. Verzögerte oder unterlassene
Benachrichtigungen konterkarieren den präventiven
Schutzzweck der DSGVO. Die Informationspflicht
dient dazu, betroffenen Personen frühzeitig Trans -
parenz über eine Datenschutzverletzung zu verschaf -
fen, damit sie konkrete Schutzmassnahmen ergreifen
können, etwa die Sperrung von Zahlungsinstrumen-
ten, die Änderung von Zugangsdaten oder eine erhöh-
te Wachsamkeit gegenüber Phishing- und Betrugs -
versuchen. Erfolgt die Mitteilung nicht unverzüglich,
verlieren Betroffene dieses kritische Zeitfenster. Da -
durch steigt das Risiko von Identitätsdiebstahl, un -
befugten Transaktionen, Reputationsschäden oder
sonstigen finanziellen und immateriellen Nachteilen
erheblich.
Im Berichtsjahr gingen bei der DSS insgesamt 77
Meldungen über Verletzungen des Schutzes personen-
bezogener Daten gemäss Art. 33 DSGVO ein. Gegen -
über dem Vorjahr mit 57 Meldungen entspricht dies
einer signifikanten Steigerung um rund 3 5 %. Im
Vorjahr war lediglich in 19 Fällen zusätzlich eine Be -
nachrichtigung der betroffenen Personen nach Art. 34
DSGVO erforderlich. In den im Berichtsjahr bislang ab-
geschlossenen Verfahren wurde in 41 Fällen eine Be -
nachrichtigung der betroffenen Personen vorgenom -
men. Damit lag in mehr als der Hälfte der Fälle ein
voraussichtlich hohes Risiko für die Rechte und Frei -
heiten der betroffenen Personen vor. Neben der Mel -
depflicht gegenüber der Aufsichtsbehörde bestand
folglich auch eine unmittelbare Informationspflicht
gegenüber den Betroffenen.
Die im Berichtsjahr gemeldeten «klassischen»
Datenschutzverletzungen betrafen überwiegend or -
ganisatorische und manuelle Fehlerquellen. Dazu
zählten insbesondere E-Mails an unzutreffende Emp -
fänger, vertauschte oder falsch adressierte Postsen -
dungen, fehlerhafte Dokumentenanhänge, Tippfeh -
ler in E-Mail-Adressen, irrtümliche Weiterleitungen
oder unbefugte Einsichtnahmen sowie unzutref -
fend vergebene Zugriffs- und Berechtigungsrechte in
IT-Systemen. Auch ein einmaliger Fehlversand per -
sonenbezogener Daten begründet regelmässig ein
relevantes Risiko für die betroffenen Personen, insbe-
sondere, wenn sensible Identifikations-, Finanz- oder
Vertragsdaten betroffen sind. Solche Vorfälle können
Identitätsmissbrauch, Vermögensschäden oder Repu -
tationsbeeinträchtigungen nach sich ziehen und er -
44
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
fordern daher stets eine strukturierte Risikobewer -
tung im Einzelfall.
Parallel dazu nahmen die gemeldeten Cyber -
vorfälle nicht nur zahlenmässig zu, sondern zeigten
auch eine deutlich höhere technische und organisa -
torische Komplexität. Angreifer nutzten gezielte Phi -
shing-Kampagnen, um Zugangsdaten abzugreifen
und E-Mail-Konten zu kompromittieren. Nach erfolg -
reicher Übernahme wurden aus den betroffenen Ac -
counts weitere Phishing-Nachrichten versendet. Da
diese Nachrichten vom tatsächlichen E-Mail-Konto
der betroffenen Organisation ausgingen, wirkten sie
gegenüber Kunden, Geschäftspartnern und weiteren
Kontaktpersonen besonders glaubwürdig. Dadurch er-
weiterte sich der Kreis potenziell Betroffener erheblich
und das Schadenspotenzial stieg deutlich an. Bereits
der Verlust von Zugangsdaten oder die Kompromittie-
rung eines E-Mail-Kontos stellt für sich genommen ein
hohes Risiko für die Rechte und Freiheiten der betrof-
fenen Personen dar, sowohl der eigentlichen Konto -
inhaber, aber eben auch für sämtliche damit unrecht-
mässigerweise kontaktierten Personen. In solchen
Konstellationen ist regelmässig eine unverzügliche
Benachrichtigung gemäss Art. 34 DSGVO erforderlich,
damit Betroffene zeitnah Schutzmassnahmen ergrei -
fen können, etwa die Änderung von Passwörtern, er -
höhte Wachsamkeit gegenüber betrügerischen Nach -
richten oder die Absicherung weiterer Zugänge, um
Folgeschäden zu minimieren.
Zusätzlich meldeten Verantwortliche vermehrt
Vorfälle, bei denen Absenderadressen technisch ge -
fälscht (Spoofing) oder E-Mail-Inhalte während der
Übertragung manipuliert wurden. Diese Nachrichten
waren teilweise kaum von legitimer Geschäftskorres -
pondenz zu unterscheiden und führten vereinzelt zu
finanziellen Schäden oder zur unbefugten Offenle -
gung weiterer personenbezogener Daten mit teils er -
heblichen Folgewirkungen.
Spezielle Aufmerksamkeit erforderten Vorfäl -
le, bei denen besondere Kategorien personenbezoge -
ner Daten im Sinne von Art. 9 Abs. 1 DSGVO betroffen
waren, wie insbesondere Gesundheitsdaten, oder auch
umfangreiche Finanzinformationen. Aufgrund ihres
erhöhten Missbrauchs-, Diskriminierungs- und Re -
putationsschädigungspotenzials ist in solchen Kon -
stellationen regelmässig von einem hohen Risiko für
die Rechte und Freiheiten der betroffenen Personen
auszugehen. Entsprechend bestand in all diesen Fäl -
len eine Pflicht zur unverzüglichen Benachrichtigung
nach Art. 34 DSGVO.
Ein wesentlicher Anteil der gemeldeten Daten -
schutzverletzungen stand im Zusammenhang mit
Auftragsverarbeitern, insbesondere im IT- und Cloud-
Umfeld sowie bei komplexen, arbeitsteiligen Ver -
antwortungsstrukturen. Verzögerte, unvollständige
oder technisch schwer nachvollziehbare Informatio -
nen seitens des Auftragsverarbeiters erschweren die
fristgerechte Meldung an die Aufsichtsbehörde nach
Abbildung 6: Anzahl der gemeldeten Datenschutzverletzungen pro Jahr
■ Anzahl Meldungen (Art. 33) ■ Anzahl Benachrichtungen (Art. 34)
/zero.tf
/one.tf/zero.tf
/two.tf/zero.tf
/three.tf/zero.tf
/four.tf/zero.tf
/five.tf/zero.tf
/six.tf/zero.tf
/seven.tf/zero.tf
/eight.tf/zero.tf
/two.tf/zero.tf/one.tf/nine.tf /two.tf/zero.tf/two.tf/zero.tf/two.tf/zero.tf/two.tf/one.tf /two.tf/zero.tf/two.tf/two.tf/two.tf/zero.tf/two.tf/three.tf/two.tf/zero.tf/two.tf/four.tf /two.tf/zero.tf/two.tf/five.tf
45
Aufsicht, Beschwerden und Meldungen von Datenschutzverletzungen 2025 / Tätigkeitsbericht Datenschutzstelle
Art. 33 DSGVO und die fundierte Entscheidung über
eine Benachrichtigung der betroffenen Personen
nach Art. 34 DSGVO. Dies verdeutlicht die zentrale Be-
deutung der vertraglichen und gesetzlichen Mitwir -
kungs-, Informations- und Unterstützungspflichten
des Auftragsverarbeiters. Er muss dem Verantwortli -
chen Sicherheitsvorfälle unverzüglich anzeigen, sämt-
liche relevanten Informationen bereitstellen und aktiv
an der Sachverhaltsaufklärung sowie an der Risikobe-
wertung mitwirken.
Vor diesem Hintergrund sind belastbare organi -
satorische und technische Strukturen entscheidend.
Ein wirksames Datenschutz-Managementsystem um -
fasst klare interne Zuständigkeiten, definierte Melde-
und Eskalationsprozesse, die frühzeitige Einbindung
des Datenschutzbeauftragten, regelmässige Schulun -
gen der Mitarbeitenden sowie angemessene techni-
sche und organisatorische Massnahmen. Dazu zählen
insbesondere Verschlüsselung, Mehr-Faktor-Authen -
tifizierung, restriktive Berechtigungskonzepte, Pro -
tokollierungssysteme und Incident-Response-Pläne.
Nur durch solche strukturierten Vorkehrungen las -
sen sich die Melde- und Benachrichtigungspflichten
nach Art. 33 und 34 DSGVO fristgerecht erfüllen und
hohe Risiken frühzeitig erkennen sowie wirksam
begrenzen.
«Die DSS beriet diverse
Stellen zu Einzelfragen
in verschiedenen Gesetz­
gebungsprozessen.»
47
Mitarbeit in Arbeitsgruppen, Projekten und Kommissionen der Landesverwaltung 2025 / Tätigkeitsbericht Datenschutzstelle
6.1 Arbeitsgruppe «M365-Copilot»
Im Jahr 2025 wurde eine Arbeitsgruppe zur Aus-
arbeitung eines Grundlagenpapiers für den rechts -
konformen und den Anforderungen an die Infor -
mationssicherheit entsprechenden Einsatz der
KI-Anwendung «M365-Copilot» von Microsoft in der
LLV lanciert. Im Rahmen dieser fachübergreifenden
Arbeitsgruppe wurde die DSS ersucht, sich an der
Ausarbeitung dieses Grundlagenpapiers zu beteili -
gen. Diesem Ersuchen kam die DSS nach und unter -
stützte insbesondere bei der Analyse der spezifi -
schen Datenschutzrisiken.
6.2 ZPR-Kommission
Art. 19 des Gesetzes vom 2. Juni 2022 über das
Zentrale Personenregister (ZPRG) sieht die Einsetzung
einer ZPR-Kommission vor. Im Zuge der Gesetzesrevi-
sion wurde die formelle Vertretung der DSS in diesem
Gremium aufgehoben, sodass seither kein institutio -
nalisierter Einsitz der DSS mehr vorgesehen ist. In der
praktischen Arbeit der Kommission haben sich in den
letzten Jahren jedoch vermehrt Rechtsfragen zur Ver -
arbeitung personenbezogener Daten ergeben, insbe-
sondere im Zusammenhang mit der geplanten Anpas-
sung der einschlägigen Verordnung sowie mit Fragen
der Rechtmässigkeit, Zweckbindung und Datenzu -
griffsberechtigungen. Vor diesem Hintergrund wurde
die DSS ersucht, wieder regelmässig an den Sitzungen
der Kommission teilzunehmen und die Kommission
in datenschutzrechtlichen Fragestellungen beratend
zu unterstützen.
6.3 Task Force zur Prüfung von Handlungsbe-
darf und Massnahmen betreffend Daten-
schutz im schulischen Umfeld
Mit Regierungsbeschluss vom 25. November
2025 setzte die Regierung eine Task Force zur Prü -
fung von Handlungsbedarf und Massnahmen betref -
fend Datenschutz im schulischen Umfeld ein. Auftrag
des Gremiums ist es, allfälligen Handlungsbedarf zu
prüfen und mögliche Massnahmen betreffend Daten -
schutz im schulischen Umfeld sowie zur Lösung der
pendenten Beschwerdefälle zu ergreifen. Die DSS be -
grüsste die Einsetzung dieses Gremiums ausdrücklich
und erklärte ihre Bereitschaft, sich aktiv in die Arbei-
ten der Task Force einzubringen. Die erste Sitzung er -
folgte im Januar 2026.
6. Mitarbeit in Arbeitsgruppen, Projekten und
Kommissionen der Landesverwaltung
6.4 Kompetenzgruppe Digitalisierung
Im September 2025 wurde die DSS eingeladen, in
der Kompetenzgruppe Digitalisierung beratend mitzu-
wirken. In diesem Rahmen beteiligte sie sich an der
Erarbeitung eines Merkblatts «FAQ zur Nutzung gene -
rativer KI in der LLV» sowie an der Ausarbeitung einer
übergeordneten KI-Strategie. Aus Sicht der DSS ist
dabei eine klare Differenzierung zwischen internen,
von der LLV zentral bereitgestellten KI-Tools und ex -
ternen, frei zugänglichen Anwendungen essenziell.
Diese Unterscheidung ist insbesondere im Hinblick
auf Datenschutz, Informationssicherheit und Verant -
wortlichkeiten von Bedeutung. Ein zentrales Ziel der
Strategie sollte es zudem sein, die Entstehung einer so-
genannten «Schatten-KI» zu verhindern, also einer de-
zentralen und ungesteuerten Nutzung externer KI-
Tools ohne vorgängige Prüfung ihrer rechtlichen und
sicherheitstechnischen Konformität.
Die DSS empfiehlt daher die Einrichtung einer
zentralen Meldestelle, über die Bedarf angemeldet und
Vorschläge für geeignete KI-Tools eingebracht werden
können. Ergänzend sollte eine zentrale Beratungsstel -
le geschaffen werden, die Mitarbeitende in Fragen der
datenschutzrechtlichen Zulässigkeit, der rechtlichen
Rahmenbedingungen sowie technischer Anforderun-
gen beim Einsatz von KI-Systemen unterstützt.
6.5 Fachstab Cyber – Aufbau einer natio-
nalen Krisenorganisation zur Bewältigung
von Cybersicherheitsvorfällen grossen
Ausmasses und Krisen
Im September des Berichtsjahres erhielt die DSS
die Aufforderung der Stabsstelle Cyber-Sicherheit, eine
für juristische und eine für technische Fragen zustän -
dige Person der DSS für den Fachstab Cyber zur Verfü -
gung zu stellen. Die DSS konnte entgegen der Aufforde-
rung jedoch nur eine Person formell für den Fachstab
nominieren, da es aufgrund hoher Arbeitsauslastung
nicht möglich sein wird, dass zwei Personen der
DSS entsprechende Ausbildungen absolvieren und an
Sitzungen etc. teilnehmen.
6.6 VwbP-Kommission
Gemäss Art. 27 des Gesetzes vom 3. Dezember
2020 über das Verzeichnis der wirtschaftlich berech -
tigten Personen von Rechtsträgern (VwbPG) hat die
DSS Einsitz in der VwbP-Kommission. Der VwbP-Kom-
48
Mitarbeit in Arbeitsgruppen, Projekten und Kommissionen der Landesverwaltung 2025 / Tätigkeitsbericht Datenschutzstelle
mission obliegt die Entscheidung über die Offenle -
gungsanträge Dritter im Sinne von Art. 17 VwbPG. Im
Berichtsjahr wurde ein Antrag gemäss Art. 17 VwbPG
betreffend die Offenlegung von Daten an Dritte an das
Amt für Justiz gestellt. Der Antrag wurde von der
VwbP-Kommission im Januar 2026 entschieden.
6.7 Beratung zu weiteren Gesetzgebungs-
prozessen
Zusätzlich zu den genannten umfassenden Bera-
tungen beriet die DSS auch diverse weitere Stellen zu
Einzelfragen in verschiedenen Gesetzgebungsprozes -
sen. Dies umfasste unter anderem die geplante Anpas-
sung des Datenschutzgesetzes, des Versicherungsauf -
sichtsgesetzes, des Geldspielgesetzes, des Gesetzes
über die Stabsstelle Financial Intelligence Unit oder
des Abkommens mit Österreich über die Übernahme
von Vollziehungsaufgaben im Zusammenhang mit der
EU-Tabakprodukte-Richtlinie 2014/40/EU. Ebenso
war die DSS eingebunden in die nationale Umsetzung
der EU-Digitalisierungsrechtsakte wie der KI-Verord -
nung oder des Data Governance Acts.
49
Mitarbeit in Arbeitsgruppen, Projekten und Kommissionen der Landesverwaltung 2025 / Tätigkeitsbericht Datenschutzstelle
«Die DSGVO erfordert nicht
nur eine Zusammenarbeit der
europäischen Datenschutz­
Aufsichtsbehörden im bzw. mit
dem EDSA, sondern auch
eine intensive Kommunikation
zwischen den einzelnen
Aufsichtsbehörden.»
51
Internationale Zusammenarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
7.1 Europäischer Datenschutzausschuss (EDSA)
Eine der Hauptaufgaben des EDSA ist der Erlass
von Leitlinien, aber auch die Abgabe von Empfehlun -
gen und Stellungnahmen u.ä., die der einheitlichen
Auslegung und Anwendung der DSGVO dienen. Die
Grundlagen für diese Dokumente des Ausschusses
werden in diversen themenbezogenen Arbeitsgrup -
pen geschaffen, welche die Dokumente für die Ab -
stimmung im Ausschuss vorbereiten. Wie bereits im
Vorjahr konnte die DSS auch 2025 an den meisten Sit-
zungen der Arbeitsgruppen teilnehmen und aktiv mit-
arbeiten. Die DSS nahm ausserdem an allen zwölf Ple-
narsitzungen des Ausschusses teil.
7.1.1 Stellungnahmen, Leitlinien und
Empfehlungen des EDSA
Der EDSA hat im Jahr 2025 auf Grundlage des
Art. 64 Abs. 1 und 2 DSGVO insgesamt 28 Stellung-
nahmen zu Vorlagen und Fragen von nationalen Daten-
schutz-Aufsichtsbehörden abgegeben. Darunter fielen:
– drei Stellungnahmen zu je einem Entwurf der Ak-
kreditierungsanforderungen für eine Zertifizie -
rungsstelle gemäss Art. 42 Abs. 5 DSGVO (Frank -
reich, Griechenland, Österreich);
– 25 Stellungnahmen zu verbindlichen internen
Datenschutzvorschriften (Aramex Group, Arcadis
Group, ASML Group, zwei zu BOX Group, Coface
Group, zwei zu CSG Group, Ferrero Group, zwei zu
Illumina Group, Laval Group, Mowi Group, zwei
zu Nokia Group, zwei zu Northern Trust Group,
zwei zu Shopify Group, Signify Group, Statkraft
Group, Tessi Group, Wilhelmsen Group, zwei zu
Worldline Group).
Auch hat der EDSA im Berichtsjahr auf Grund -
lage des Art. 70 DSGVO folgende Stellungnahmen
abgegeben:
– drei Stellungnahmen zu je einem Entwurf eines
Durchführungsbeschlusses der Europäischen
Kommission gemäss Art. 45 der Verordnung
(EU) 2016 / 679 (DSGVO) über die Angemessen -
heit des Datenschutzniveaus (Brasilien, Euro -
päische Patentorganisation (EPO), Vereinigtes
Königreich);
– eine Stellungnahme zu einem Entwurf eines
Durchführungsbeschlusses der Europäischen
Kommission gemäss Art. 36 der Richtlinie (EU)
2016 / 680 (LED) über die Angemessenheit des
Datenschutzniveaus (Vereinigtes Königreich);
– eine Stellungnahme zur Erweiterung der Durch -
führungsbeschlüsse der Europäischen Kommis -
sion gemäss der DSGVO und der LED über die
Angemessenheit des Datenschutzniveaus (Ver -
einigtes Königreich).
Zusätzlich haben der EDSA und der Europäische
Datenschutzbeauftragte (EDSB) 2025 eine Gemeinsa -
me Stellungnahme erlassen:
– Gemeinsame Stellungnahme 01/2025 zum
Vorschlag für eine Verordnung über Vereinfa -
chungsmassnahmen für KMUs, insbesondere
die Pflicht zur Führung eines Verzeichnisses
von Verarbeitungstätigkeiten gemäss Art. 30
Abs. 5 DSGVO.
Die im Berichtsjahr vom EDSA angenommene
Leitlinie befasst sich mit folgendem Thema:
– Leitlinien zu Artikel 48 DSGVO (EDPB Guidelines
02/2024).
Folgende Leitlinien wurden vom EDSA im Be -
richtsjahr in die öffentliche Konsultation gegeben:
– Leitlinien zur Pseudonymisierung (EDPB Guideli-
nes 01/2025);
– Leitlinien zur Verarbeitung personenbezogener
Daten durch Blockchain-Technologien (EDPB Gui-
delines 02/2025);
– Leitlinien zum Zusammenspiel des Gesetzes über
digitale Dienste (DSA) und der DSGVO (EDPB Gui -
delines 03/2025).
Ausserdem haben der EDSA und die EU-Kommis-
sion 2025 eine Gemeinsame Leitlinie in die öffentli -
che Konsultation gegeben:
– Gemeinsame Leitlinien zum Zusammenspiel
des Gesetzes über digitale Märkte (DMA) und der
DSGVO.
Im Berichtsjahr hat der EDSA ausserdem folgende
Empfehlung verabschiedet:
– Empfehlungen zum Welt-Anti-Doping-Kodex
2027 der WADA (Recommendations 01/2025).
Folgende Empfehlungen wurde vom EDSA 2025
in die öffentliche Konsultation gegeben:
– Empfehlungen zur Rechtsgrundlage bei der ver -
pflichtenden Erstellung von Nutzerkonten in On-
line-Shops (Recommendations 02/2025).
7. Internationale Zusammenarbeit
52
Internationale Zusammenarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
7.1.2 Arbeitsgruppen
Wie bereits ausgeführt, beteiligt sich die DSS
aktiv an der Arbeit des EDSA zur einheitlichen An -
wendung der DSGVO im EU/EWR-Raum. Dazu hat die
DSS nicht nur im Ausschuss selbst, sondern auch in
diversen seiner Arbeitsgruppen (Expert Subgroups,
Taskforces) zu unterschiedlichen Themen Einsitz,
welche nachfolgend dargestellt werden. Die Mitarbei-
tenden der DSS haben 2025 an insgesamt 162 Sit -
zungen des Ausschusses und solcher Arbeitsgruppen
teilgenommen.
Die spezielle Arbeitsgruppe (Task Force) des EDSA
zu Bussgeldern gemäss DSGVO (Taskforce Fining) befasst
sich mit der konkreten Berechnung der Bussgelder und
strebt europaweit eine möglichst einheitliche Herange-
hensweise an. Im Berichtsjahr hat die Arbeitsgruppe die
Überarbeitung der Leitlinien der ehemaligen Artikel-
29-Datenschutzgruppe (Vorgängergremium des EDSA)
zum Thema der Anwendung und Festsetzung von Geld-
bussen (WP 253) weitergeführt. Ausserdem wurde die
Überarbeitung des zentralen Bussgeldregisters des
EDSA abgeschlossen und über Methoden zur Bestim -
mung «geringfügiger Verletzungen» diskutiert. Auch
haben sich die Mitglieder der Arbeitsgruppe über wich-
tige nationale Bussgeld-Entscheidungen sowie rele -
vante Gerichtsurteile ausgetauscht. Schliesslich wurde
die temporäre Task Force Ende 2025 in eine ständige
Arbeitsgruppe (Expertengruppe) des EDSA umgewan -
delt und ihre Zuständigkeit auf die Erarbeitung von
Leitlinien zu sämtlichen Sanktionen der Datenschutz-
Aufsichtsbehörden gemäss Art. 58 Abs. 2 DSGVO ausge-
weitet (Corrective Powers Expert Subgroup).
Diejenige Arbeitsgruppe des EDSA, welche sich mit
der möglichst einheitlichen Durchsetzung der Bestim-
mungen der DSGVO in den Mitgliedstaaten befasst (En-
forcement Subgroup), war im Berichtsjahr mit der Wei -
terführung der Arbeiten an Leitlinien zu Art. 66 DSGVO
und einer Mustervorlage für einen «massgeblichen und
begründeten Einspruch» gemäss Art. 4 Ziff. 24 DSGVO
beschäftigt. Zudem wurde die Arbeitsgruppe zur Behör-
denkooperation bei der Umsetzungsvorbereitung der
neuen Verordnung zur Festlegung weiterer Verfahrens-
regeln für die Durchsetzung der DSGVO unterstützt. Im
Rahmen des Projekts der strategischen Fälle konnte
die gemeinsame Untersuchung mehrerer Aufsichtsbe-
hörden zu Smart TVs abgeschlossen werden. An dieser
Untersuchung hatte sich auch die DSS mit technischer
Expertise beteiligt. Daneben hat die Arbeitsgruppe ein
Pilotprojekt für ein über alle Behörden einheitliches
europäisches Reporting zu ihrer Tätigkeit abgeschlos -
sen. Die Erkenntnisse des Pilotprojekts fliessen in die
weitere Ausarbeitung der künftigen, standardisierten
Berichterstattung ein.
Wertvoll aus Sicht der DSS war darüber hinaus
auch 2025 wieder der im Rahmen der Arbeitsgruppe
regelmässig geführte Austausch über grössere laufen -
de Verfahren oder wichtige Entscheidungen der Daten-
schutz-Aufsichtsbehörden in ihren jeweiligen Län -
dern. Speziell wurde im Berichtsjahr ausserdem über
Verfahren und Entscheidungen in Zusammenhang
mit Betroffenenrechten in Fällen der gesetzlichen
Vertretung vulnerabler Personen und bei der Rechts -
durchsetzung gegenüber internationalen Unterneh -
men sowie über die Arbeit und Kompetenzen der Be -
hörden im KI-Bereich gesprochen.
Die Arbeitsgruppe hat vor einigen Jahren auch
das Coordinated Enforcement Framework ins Leben ge -
rufen, im Rahmen dessen jedes Jahr von europäischen
Datenschutz-Aufsichtsbehörden gemeinsam ein be -
stimmtes datenschutzrechtliches Thema europaweit
untersucht wird. Ziel ist die weitere Harmonisierung
der Rechtsauslegung und -anwendung durch die Auf -
sichtsbehörden. Als Mittel kommen dabei sowohl län-
derübergreifende Informationsbeschaffungen zur
Eruierung des Status quo (für die Planung allfälliger
weiterer Massnahmen) als auch gemeinsam lancierte,
europaweite Kontrollen in Betracht. Jede Aufsichtsbe -
hörde ist dabei frei zu entscheiden, ob sie sich an einer
solchen koordinierten Aktion beteiligen will und wel-
ches Mittel sie einsetzen möchte.
Im Berichtsjahr wurde eine solche Coordinated
Action zum Recht auf Löschung gemäss Art. 17 DSGVO
durchgeführt. Die DSS hat sich daran beteiligt und mit-
tels eines umfangreichen Fragebogens an fünf grosse
Organisationen verschiedener Sektoren und Branchen
in Liechtenstein Informationen darüber erhoben, wie
dieses Betroffenenrecht in den Organisationen konkret
umgesetzt wird. Die Antworten hat die DSS in einem na-
tionalen Bericht zusammengefasst und die wichtigsten
Erkenntnisse daraus sowie konkrete Handlungsemp -
fehlungen den betrieblichen Datenschutzbeauftragten
in Liechtenstein an ihrem jährlichen Vernetzungstref-
fen präsentiert. Der über alle teilnehmenden Länder ag-
gregierte Abschlussbericht des EDSA wird auf europäi-
scher Ebene anfangs 2026 veröffentlicht. Durch die im
Rahmen solch koordinierter Aktionen gewonnenen Er-
kenntnisse kann die DSS die Organisationen in Liech -
tenstein noch besser unterstützen, indem sie zielge -
richtete Weiterbildungen, Informationen und Beratung
anbieten kann.
Für 2026 wurde bereits wieder eine neue Coor -
dinated Action lanciert, welche sich mit Einhaltung
der Transparenz- und Informationspflichten gemäss
Art. 12, 13 und 14 DSGVO befasst. Obwohl eine aktive
Beteiligung der DSS an dieser Aktion aus Ressourcen-
gründen nicht vorgesehen ist, verfolgt sie die Entwick-
53
Internationale Zusammenarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
lungen aufmerksam und nutzt die auf europäischer
Ebene gewonnenen Ergebnisse und Empfehlungen ge-
zielt für die nationale Praxis.
Die bereits 2024 von der Arbeitsgruppe gegründe-
te Task Force zur Anwendung von ChatGPT (ChatGPT
Taskforce), welche die Zusammenarbeit und den In -
formationsaustausch zwischen den Aufsichtsbehör -
den bei Untersuchungen und Verfahren in Zusam -
menhang mit ChatGPT/OpenAI bezweckte, wurde im
Berichtsjahr ebenfalls leicht angepasst. Sie befasst sich
nun auch mit anderen Modellen generativer KI und
stellt einen regelmässigen Austausch der Datenschutz-
Aufsichtsbehörden sicher, insbesondere um deren je -
weilige Verfahren gegen entsprechende Anbieter aus
Drittstaaten besser koordinieren zu können (Generati -
ve AI Enforcement Taskforce).
Von der Arbeitsgruppe, die sich mit der Zusam -
menarbeit der Aufsichtsbehörden befasst (Coopera -
tion Subgroup), wurde im Berichtsjahr erneut speziell
das Verordnungsprojekt der EU-Kommission zur Fest-
legung zusätzlicher Verfahrensregeln für die Durch -
setzung der DSGVO eng begleitet, welches für eine
europaweite Harmonisierung grenzüberschreitender
Verfahren sorgen soll. So konnte aufgrund des fina -
len Gesetzestextes eine Analyse durchgeführt wer -
den, welche Prozesse und Instrumente auf europäi -
scher Ebene angepasst und welche Leitlinien des EDSA
überarbeitet werden müssen. Mit den entsprechen -
den Anpassungsarbeiten wurde ebenfalls bereits be -
gonnen, da die Verordnung schon im Herbst 2026 in
Kraft treten wird. Daneben konnte auch die Überarbei-
tung der internen Leitlinien bzw. die Ausarbeitung von
Best Practices zu Art. 64 Abs. 2 DSGVO bezüglich Stel-
lungnahmen des EDSA im Berichtsjahr abgeschlossen
werden. Zudem hat die Arbeitsgruppe die Überarbei -
tung der Leitlinien zu Art. 6 1 DSGVO zur gegenseitigen
Amtshilfe sowie zu Art. 62 DSGVO zu gemeinsamen
Massnahmen der Aufsichtsbehörden weitergeführt.
Ebenso konnte an einem gemeinsamen europäischen
Register der Vertreter von Organisationen aus Dritt -
staaten gemäss Art. 27 DSGVO weitergearbeitet wer -
den. Schliesslich haben sich die Mitglieder auch im
Berichtsjahr wieder über diverse kleinere Fragen be -
züglich ihrer Zusammenarbeit ausgetauscht.
Die thematische Arbeitsgruppe zu Finanzange -
legenheiten (Financial Matters Subgroup) hat auch im
Berichtsjahr wieder das voranschreitende Projekt zur
Einführung eines Digitalen Euros eng verfolgt und
einen entsprechenden Austausch mit der Europäi -
schen Zentralbank weitergeführt. Zudem erfolgte ein
Austausch mit der Europäischen Bankenaufsichtsbe -
hörde zu datenschutzrechtlichen Themen bei der Be -
kämpfung von Geldwäscherei und Terrorismusfinan -
zierung (AML/CFT) durch die neu dafür geschaffene
europäische Behörde AMLA. Daneben wurde auch die
eigene Arbeit zum Datenschutz bei AML/CFT-Mass -
nahmen fortgesetzt, vorerst insbesondere zur Nutzung
so genannter Watch Lists durch regulierte Finanzinter-
mediäre. Und es wurde über Art. 75 der neuen europäi-
schen Geldwäschereiverordnung diskutiert, welcher
Partnerschaften der regulierten Finanzintermediäre
zum entsprechenden Informationsaustausch ermög -
licht. Darüber hinaus hat die Arbeitsgruppe im Be -
richtsjahr Empfehlungen zur Rechtsgrundlage bei der
zwingenden Nutzerkontoeröffnung in Online-Shops
erarbeitet und kleinere Beiträge und Stellungnahmen
erarbeitet zu Themen wie FATCA, grenzüberschreiten-
der Zahlungsverkehr oder Blockchain Technologien.
Viele dieser Arbeiten werden auch 2026 fortgeführt.
Die neu geschaffene ständige Arbeitsgruppe des
EDSA zu regulierungsübergreifenden Fragestellun -
gen und dem Zusammenspiel von Wettbewerbs- und
Datenschutzrecht (Cross-Regulatory Interplay Expert
Subgroup) hat sich im Berichtsjahr insbesondere mit
der Erarbeitung von gemeinsamen Leitlinien mit der
Kommission zum Zusammenspiel des Gesetzes über
digitale Märkte (DMA) und der DSGVO befasst. Eben -
so hat sie Stellungnahmen zu Berichterstattungen im
Rahmen des DMA vorbereitet und den EDSA in eini -
gen Gremien des DMA vertreten. Darüber hinaus hat
die Arbeitsgruppe eine Auslegeordnung zu den zusätz-
lichen Kompetenzen und Aufgaben der Datenschutz-
Aufsichtsbehörden in Zusammenhang mit den diver -
sen neuen europäischen Digital-Gesetzen erstellt, die
Arbeit an einer Mustervorlage für eine Vereinbarung
zur regulierungsübergreifenden Behördenzusam -
menarbeit sowie entsprechenden Good Practises auf -
genommen und die Arbeitsgruppe für technologische
Themen bei der Erarbeitung von Leitlinien zum Zu -
sammenspiel von KI-Verordnung und DSGVO unter -
stützt. Begleitet wurde dies von weiteren punktuellen
Diskussionen zu einschlägigen Themen im Rahmen
des Mandats der Arbeitsgruppe.
Die Arbeitsgruppe zu Datenübermittlungen in
Drittstaaten (International Transfer Subgroup) hat im
Berichtsjahr ihre Arbeiten zu diversen Themen auf -
genommen oder fortgesetzt. Die im Vorjahr erwähnte
Arbeit an den Empfehlungen für verbindliche interne
Datenschutzvorschriften für Auftragsdatenverarbei -
ter («Processor BCR») wurde im Berichtsjahr abge -
schlossen. Wie schon im Vorjahr beschäftigte sich die
Arbeitsgruppe im Berichtsjahr erneut mit den inter -
nen BCR-Genehmigungsverfahren beim EDSA. Hier
besteht angesichts der hohen Arbeitsbelastung für
die Aufsichtsbehörden sowie einzelner Verfahrens -
unstimmigkeiten weiterhin Optimierungspotenzial.
54
Internationale Zusammenarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
Die Arbeitsgruppe befasste sich zudem mit Fragen in
Zusammenhang mit den jährlichen Aktualisierungen
sowie der Durchsetzung der BCR. Diese Themen wer -
den sie wohl auch in den kommenden Jahren beglei -
ten. Zudem befasste sich die Arbeitsgruppe mit den
Angemessenheitsbeschlüssen der Kommission für di-
verse Länder (Vereinigtes Königreich, Israel, Südkorea,
Brasilien, Kenia und Japan) wie auch eine internatio -
nale Organisation (Europäisches Patentamt) und stand
hierzu im Austausch mit der EU-Kommission, erarbei-
tete Stellungnahmen und tauschte sich mit anderen
Arbeitsgruppen aus.
Die Compliance, E-Government und Health Sub -
group (CEH-Arbeitsgruppe, CEH Expert Subgroup ) be -
fasst sich mit Zertifizierungen und Akkreditierun -
gen sowie E-Government und Gesundheit. Betreffend
Zertifizierung und Akkreditierung prüfte die CEH-
Arbeitsgruppe die Akkreditierungskriterien für Zer-
tifizierungsstellen nach Art. 43 DSGVO einzelner
Mitgliedstaaten, zu denen der EDSA in der Folge eine
Stellungnahme abgab. Ebenfalls war die CEH-Arbeits-
gruppe mit einer Reihe ihr unterbreiteter Zertifizie -
rungskriterien und Verhaltensregeln befasst, hin -
sichtlich welcher der EDSA in der Folge ebenfalls eine
Stellungnahme nach Art. 64 DSGVO abgab. Die der
Arbeitsgruppe im Berichtsjahr unterbreiteten und von
ihr geprüften Zertifizierungskriterien sowie Verhal-
tensregeln umfassten die transnationalen Verhaltens-
regeln für die European Federation of Pharmaceutical
Industries and Associations (Europäischer Verband der
pharmazeutischen Industrie und Verbände, EFPIA),
des Weiteren die Zertifizierungskriterien von Europri-
vacy, die Zertifizierungskriterien von Lexing, die Zer -
tifizierungskriterein von For Humanity sowie den Kri-
terienkatalog der TÜV NORD CERT GmbH.
Im Bereich E-Government verfolgte die CEH-Ar-
beitsgruppe auch im Berichtsjahr erneut die mass -
gebenden Entwicklungen bei den einschlägigen
europäischen Digitalisierungsrechtsakten. Im Ge -
sundheitsbereich schliesslich widmete sich die CEH-
Arbeitsgruppe wieder insbesondere dem Entwurf
der Leitlinien zur Verarbeitung personenbezogener
Daten zu Zwecken der wissenschaftlichen Forschung.
Auch im Berichtsjahr konnten dabei verschiedene of-
fene Detailfragen analysiert und einer gemeinsamen
Lösung zugeführt werden. Aufgrund der Komplexi -
tät der Materie dauert die Arbeit an den Leitlinien je-
doch noch an. Schliesslich wurden gegen Ende des
Berichtsjahres auch in der CEH-Arbeitsgruppe ein -
schlägige Teile des von der EU-Kommission vorgeleg -
ten Digital Omnibus-Reformpakets diskutiert, da der
EDSA gemeinsam mit dem EDSB eine Stellungnahme
dazu ausarbeitete.
Die Arbeitsgruppe zu technologischen Themen
(Technology Expert Subgroup) befasste sich im Jahr
2025 mit einem breiten Themenspektrum und arbei -
tete an mehreren Leitlinien, Empfehlungen und Stel -
lungnahmen für den EDSA. So wurden unter ande -
rem die Leitlinien zu Telemetrie und diagnostischen
Daten, zum Zusammenspiel zwischen KI-Verordnung
und DSGVO, zum Scraping von Daten zum Zweck des
KI-Trainings, zur Anonymisierung und zur Pseudony -
misierung sowie zur biometrischen Zugangskontrol -
le besprochen und bearbeitet. Während die Leitlinien
zur Pseudonymisierung im Jahr 2025 vom EDSA verab-
schiedet und in die öffentliche Konsultation gegeben
wurden, gestaltete sich die Erarbeitung der Leitlinien
zur Anonymisierung weiterhin als äusserst heraus -
fordernd und konnte noch nicht abgeschlossen wer -
den. Die Leitlinien zur Pseudonymisierung befinden
sich mittlerweile auf Grundlage der Ergebnisse der öf-
fentlichen Konsultation in Überarbeitung. Eine ent -
sprechende Veröffentlichung ist jedoch erst nach Ab -
schluss auch der Anonymisierungsleitlinien geplant.
Damit kann in Teilen voraussichtlich im ersten Halb -
jahr 2026 gerechnet werden.
Weitere Themen, die in der Arbeitsgruppe behan-
delt wurden, waren insbesondere die Vertretung des
EDSA in einer Expertengruppe der EU-Kommission zum
Zugang von Strafverfolgungsbehörden zu verschlüssel-
ter Kommunikation, ein Vergleich der Sicherheit von
Webshops mit und ohne Nutzerkonto sowie eine Ver -
einheitlichung der Meldeverfahren bei Datenpannen.
Hinzu kamen die Initiierung einer Arbeitsgruppe, wel-
che Vorlagen und Muster für eine gemeinsame Daten -
schutz-Folgenabschätzung (DSFA) erarbeitet sowie der
Austausch mit anderen Behörden und weiteren Arbeits-
gruppen des EDSA, um nur einige Beispiele zu nennen.
Im Jahr 2025 legte die Arbeitsgruppe für Soziale
Medien (Social Media Subgroup) ihren Schwerpunkt auf
die Ausarbeitung von Leitlinien zur Verarbeitung perso-
nenbezogener Daten zum Zwecke der Ausrichtung oder
Bereitstellung politischer Werbung (auch als «Leitlinien
zur Transparenz und Ausrichtung politischer Werbung»
bezeichnet). Parallel dazu begann sie mit der Ausarbei-
tung vorbereitender Unterlagen für eine im Frühjahr
2026 geplante öffentliche Stakeholder-Veranstaltung
betreffend das Thema dieser Leitlinien. Im September
konnten zudem die Leitlinien zum Zusammenspiel
zwischen dem Gesetz über digitale Dienste (Digital Ser-
vices Act; DSA) und der DSGVO verabschiedet und in die
öffentliche Konsultation gegeben werden. Die zahlrei-
chen Rückmeldungen aus der Konsultationsphase wer-
den in die entsprechende Überarbeitung der Leitlinien
einfliessen. Die Veröffentlichung davon wird voraus -
sichtlich für das erste Halbjahr 2026 erwartet.
55
Internationale Zusammenarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
Im Berichtsjahr setzte die DSS auch die Teilnahme
an der BTLE-Arbeitsgruppe (Border Travel and Law En-
forcement Expert Subgroup) fort, welche zentrale daten-
schutzrechtliche Entwicklungen in den Bereichen
Polizei, Grenzverkehr und Strafjustiz koordiniert. Der
inhaltliche Schwerpunkt der Arbeit lag 2025 erneut
auf der Erarbeitung von Leitlinien zu den Rechten be-
troffener Personen nach der EU-Richtlinie 2016/680
(LED), insbesondere zum Recht auf Auskunft, sowie
von Leitlinien zur Interaktion zwischen der KI-Ver -
ordnung und den EU-Datenschutzgesetzen (DSGVO
und LED). Die Arbeiten erfolgten teilweise in Zusam -
menarbeit mit der Arbeitsgruppe zu technologischen
Themen. Die Leitlinien zu Art. 48 DSGVO konnten
nach Abschluss der öffentlichen Konsultation im Be -
richtsjahr finalisiert und veröffentlicht werden. Sie
präzisieren die Voraussetzungen für internationale
Datenübermittlungen auf Grundlage von Urteilen oder
Entscheidungen von Behörden eines Drittstaats.
Ein weiterer Schwerpunkt der Arbeit lag auf An -
gemessenheitsentscheidungen der EU-Kommission
gemäss Art. 45 DSGVO bzw. Art. 36 LED und deren
Überprüfungen. Die Arbeitsgruppe wirkte in Zusam -
menarbeit mit der Arbeitsgruppe zu Datenübermitt -
lungen an Drittstaaten an mehreren entsprechenden
Stellungnahmen des EDSA mit, namentlich betreffend
die Europäischen Patentorganisation, das Vereinigten
Königreich sowie Brasilien. Zudem befasste sich die
Arbeitsgruppe mit der ersten Überprüfung des Ange -
messenheitsbeschlusses für Südkorea, wobei die ent -
sprechenden Arbeiten im Berichtsjahr noch nicht ab -
geschlossen werden konnten. Darüber hinaus wirkte
die Arbeitsgruppe bei der Evaluierung der LED durch
den EDSA gemäss Art. 62 LED mit.
Die Arbeitsgruppe KEYP (Key Provisions Expert
Subgroup) befasst sich mit Schlüsselthemen der DSGVO
und entwickelt dazu grundlegende Empfehlungen zur
Auslegung und praktischen Anwendung der Daten -
schutzvorschriften. Diesen Arbeiten, oftmals auch in
enger Zusammenarbeit mit anderen Expertengruppen
vorgenommen, kommt eine besondere Bedeutung im
Hinblick auf die einheitliche Rechtsanwendung der
Datenschutzvorschriften zu. Im Berichtsjahr setzte die
Arbeitsgruppe ihre Arbeiten an den Leitlinien zu Con-
sent-or-Pay-Modellen fort. Zudem wurde die Arbeit
an Leitlinien zur Verarbeitung personenbezogener
Daten von Kindern weitergeführt, wobei insbesondere
Fragen zur Altersverifikation und Altersabsicherung
vertieft bearbeitet wurden. In diesem Zusammen -
hang verabschiedete der EDSA im Berichtsjahr auch
eine von der Arbeitsgruppe vorbereitete Erklärung
zur Altersfeststellung. Ferner wurde im Berichtsjahr
eine gezielte Überarbeitung der Leitlinien für Daten -
schutzbeauftragte eingeleitet, nachdem der entspre -
chende Aktualisierungsbedarf festgestellt wurde.
Zudem wurde die Überarbeitung der Leitlinien zum
berechtigten Interesse nach Art. 6 Abs. 1 Bst. f DSGVO
nach Abschluss der öffentlichen Konsultation gestar -
tet. Darüber hinaus wurden auch andere Arbeitsgrup-
pen in spezifischen Fragen unterstützt.
Ebenfalls beteiligt war die Arbeitsgruppe an der
Ausarbeitung der gemeinsamen Stellungnahme des
EDSA und des EDSB zum Vorschlag der EU-Kommission
für eine Verordnung über Vereinfachungsmassnahmen
für KMUs, insbesondere die Pflicht zur Führung eines
Verzeichnisses von Verarbeitungstätigkeiten gemäss
Art. 30 Abs. 5 DSGVO. Und schliesslich lag ein weiterer
zentraler Arbeitsschwerpunkt der Arbeitsgruppe gegen
Ende des Jahres auf der Vorbereitung der gemeinsamen
Stellungnahmen von EDSA und EDSB zu den von der
EU-Kommission vorgelegten AI-Omnibus und Digital
Omnibus-Reformpaketen. Die Arbeitsgruppe hat in die-
sem Zusammenhang sowohl fachlich als auch koordi-
nierend einen massgeblichen Beitrag geleistet.
Die Task Force zum internationalen Engagement
der Mitglieder (Taskforce on International Engagement)
fördert den Austausch unter den Datenschutz-Auf -
sichtsbehörden bezüglich ihrer Teilnahme und ihren
Voten in multilateralen Foren zum Datenschutz und
zum Schutz der Privatsphäre wie dem Europarat (Kon-
vention 108), der Global Privacy Assembly (GPA), der
Organisation für wirtschaftliche Zusammenarbeit und
Entwicklung (OECD), dem G7 Data Protection Authori-
ties Roundtable (G7 DPAR) oder der Spring Conference.
Zu den Hauptaufgaben der Task Force zählen dabei die
Koordinierung der EDSA-Beteiligung an internationa -
len Datenschutzveranstaltungen, der Informations -
austausch über globale Datenschutzentwicklungen
sowie die Unterstützung einer einheitlichen europäi -
schen Position in internationalen Debatten.
Im Berichtsjahr standen als zentrale Themen ins-
besondere die Vorbereitung des G7 DPAR, der Jahres -
konferenz der GPA sowie der Spring Conference und die
Abstimmung der Mitglieder hinsichtlich der Arbeiten
der OECD zum Datenschutz im Fokus. Die Task Force
tauschte sich dabei insbesondere zu aktuell bearbei -
teten Themen und Entwicklungen in den genannten
internationalen Foren aus, darunter Fragen der grenz -
überschreitenden Durchsetzungszusammenarbeit,
der Weiterentwicklung gemeinsamer Standards sowie
thematische Schwerpunkte wie KI und Regulierung
im Digitalbereich.
Das DPO-Network ist das Netzwerk der für die euro-
päischen Datenschutz-Aufsichtsbehörden amtierenden
Datenschutzbeauftragten. Ziel dieses Netzwerkes ist
der Aufbau von gemeinsamem Know-how, der Erfah -
56
Internationale Zusammenarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
rungsaustausch unter den Datenschutzbeauftragten
sowie die Erleichterung ihrer Arbeit durch Schaffung
einheitlicher Standards. Zudem widmet sich das Netz-
werk auch den ihm durch den EDSA zugewiesenen spe-
zifischen Themen. Entsprechend der Zielsetzung des
DPO-Netzwerkes befasste es sich auch im Berichtsjahr
mit relevanten Fragestellungen und Themen in diesem
Bereich. Aufgrund anderer prioritär zu behandelnden
Agenden auf europäischer Ebene fanden 2025 keine
Sitzungen statt. Allerdings war die Möglichkeit des Aus-
tauschs über das eingerichtete Forum stets möglich und
die Zielsetzung auch damit erreicht.
7.1.3 Gegenseitige Amtshilfe
Die DSGVO erfordert neben der Zusammenarbeit
der europäischen Datenschutz-Aufsichtsbehörden im
bzw. mit dem EDSA auch eine intensive Kommunika -
tion zwischen den einzelnen Aufsichtsbehörden, indem
diese gemäss Art. 57 Abs. 1 Bst. g DSGVO «mit anderen
Aufsichtsbehörden zusammenarbeiten, auch durch In-
formationsaustausch, und ihnen Amtshilfe leisten, um
die einheitliche Anwendung und Durchsetzung die -
ser Verordnung zu gewährleisten». Die DSS erhielt im
Berichtsjahr 212 Anfragen von anderen europäischen
Datenschutz-Aufsichtsbehörden, was im Vergleich zu
den im Vorjahr erhaltenen 162 Anfragen eine starke
Zunahme um rund 24 % bedeutete. Die Anfragen wur-
den jeweils gestellt, wenn im Vollzug der aufsichts -
rechtlichen Tätigkeit Interpretationsspielraum bestand
und die anfragende Datenschutz-Aufsichtsbehörde die
Rechtsmeinung anderer Aufsichtsbehörden bzw. die
Anwendung von Bestimmungen der DSGVO durch ande-
re Mitgliedstaaten erfahren wollte. Die Anfragen betra-
fen unter anderem folgende Themen: Auskunftsrecht,
Biometrische Daten und Identifikation bei Zahlungs -
services von Banken, Deepfake, Digital Identity Wallet,
Einsatz von KI zur Planung medizinischer Kontrollen
für krankgeschriebene Arbeitnehmer, Bekämpfung von
Geldwäsche und Terrorismus-Finanzierung, KI und Al-
gorithmen, KI-Kameras zur Altersüberprüfung bzw. -er-
kennung, Smart Doorbell und Domestic CCTV System,
Microsoft Education 365, Phishing E-Mails, Recht auf
Berichtigung, Richtlinien zu öffentlichem Zugang zu
Grundbuchinformationen, Direct Marketing, Verarbei-
tung von personenbezogenen Daten für wissenschaft -
liche Forschungszwecke oder Videoüberwachung auf
Privatgrundstücken.
Auch in diesem Jahr stellte die DSS fest, dass die
Amtshilfeersuchen, dem allgemeinen Trend entspre -
chend, vermehrt komplexe datenschutzrechtliche Fra-
gestellungen im Zusammenhang mit neuen Techno -
logien betreffen. Ausserdem beziehen sich einige der
gestellten Fragen auf Systeme und Technologien, die
in Liechtenstein (noch) nicht zum Einsatz kommen.
Dies stellt eine besondere Herausforderung dar, da
es zunehmend schwieriger wird, alle diese Amtshil -
feersuchen fundiert und praxisnah zu beantworten.
Infolgedessen muss die DSS priorisieren, welche An -
fragen sie vertieft bearbeiten kann und wo eine Beant-
wortung mangels praktischer Relevanz oder fehlender
Erfahrungswerte nicht möglich ist.
7.2 Gemeinsame Massnahmen der Aufsichtsbe-
hörden gemäss Art. 62 DSGVO
Der EDSA beschloss im Jahr 2022, eine länder -
übergreifende strategische Untersuchung zum Thema
«Smart TV» zu starten. Da solche Geräte auch in Liech-
tenstein weit verbreitet sind, sagte die DSS ihre akti -
ve Teilnahme zu und unterstützte die Untersuchung
insbesondere mit technischer Expertise. Die länder -
übergreifende strategische Untersuchung zum Thema
Smart TV konnte nun 2025 mit einem detaillierten Be-
richt abgeschlossen werden. Dieser stellt in der Folge
die gemeinsame Basis für Verfahren der Datenschutz-
Aufsichtsbehörden gegen einzelne Verantwortliche in
diesem Bereich dar.
7.3 Schengen-Arbeitsgruppen
Die DSS engagiert sich aktiv in der europäischen
Zusammenarbeit im Rahmen des Schengen-Acquis und
nimmt regelmässig an den Sitzungen des Coordinated
Supervision Committee (CSC) teil. Dieses Gremium
setzt sich aus Vertreterinnen und Vertretern der natio-
nalen Datenschutz-Aufsichtsbehörden sowie dem EDSB
zusammen und gewährleistet eine koordinierte daten-
schutzrechtliche Aufsicht über IT-Grosssysteme sowie
Einrichtungen, Ämter und Agenturen der EU gemäss
Art. 62 der Verordnung (EU) 2018/1725 zum Schutz na-
türlicher Personen bei der Verarbeitung personenbezo-
gener Daten durch die Organe, Einrichtungen und sons-
tigen Stellen der Union und zum freien Datenverkehr.
Im Berichtsjahr fanden vier Sitzungen des CSC statt. Die
koordinierte Aufsicht dieses Gremiums erstreckt sich
bereits auf acht zentrale IT-Grosssysteme der EU, dar -
unter das Schengen Information System (SIS), das Inter-
nal Market Information System (IMI), das Visa Informa-
tion System (VIS), das Entry/Exit System (EES) sowie das
European Travel Information and Authorisation System
(ETIAS). Hervorzuheben ist, dass das EES im Berichts -
jahr in Betrieb genommen wurde.
Obwohl ETIAS erst Ende 2026 in Betrieb gehen
wird, wurden bereits im Berichtsjahr anspruchsvolle,
weitreichende und komplexe Fragestellungen an die
zuständige Arbeitsgruppe des CSC herangetragen. Die
entsprechenden Diskussionen werden voraussichtlich
bis ins Folgejahr andauern. Im Zentrum steht dabei die
57
Internationale Zusammenarbeit 2025 / Tätigkeitsbericht Datenschutzstelle
Auslegung von Art. 4 Ziff. 9 DSGVO, insbesondere der
dort vorgesehenen Ausnahme, wonach Behörden unter
bestimmten Umständen nicht als Empfänger von per -
sonenbezogenen Daten zu klassifizieren sind. Wann
und unter welchen Umständen dies der Fall sein kann,
ist Gegenstand der gegenwärtigen Diskussion. Sollten
etwa Strafverfolgungsbehörden im Rahmen von Zugrif-
fen auf das ETIAS-System oder im Rahmen sogenannter
«particular inquiries» nicht als Empfänger gelten, hätte
dies unmittelbare Auswirkungen auf die Rechte der be-
troffenen Personen. So müssten diese im Rahmen von
Auskunftsbegehren beispielsweise nicht mehr über die
Weitergabe ihrer personenbezogenen Daten an entspre-
chende Behörden informiert werden. Daneben entstand
auch eine Diskussion über die Abgrenzung der Anwend-
barkeit der DSGVO und der LED. Gegen Ende des Be -
richtsjahres wurde zudem ein Mitarbeiter der DSS zum
Koordinator der Arbeitsgruppe ernannt.
Im Berichtsjahr wurde bekannt, dass künf -
tig noch weitere Systeme in den Aufgaben- und Auf -
sichtsbereich des CSC aufgenommen werden sollen.
Dazu zählen unter anderem das Carbon Border Adjust-
ment Mechanism Transitional Registry, das Informa -
tion System on Deforestation and Forest Degradation
sowie die European Asylum Dactyloscopy Database
(EURODAC). Ausserdem sollen Aufsichtsfunktionen
im Rahmen von Prüm II, der Interoperabilitätsarchi -
tektur und des Data Act hinzukommen. Der Ausblick
auf diese Ausweitung des Aufgabenbereichs, die auf
den ersten Blick teilweise nur geringe inhaltliche Be -
rührungspunkte mit den bislang beaufsichtigten Sys -
temen erkennen lässt, führte zu intensiven Diskussio-
nen innerhalb des Gremiums. Die Erweiterung wird
damit begründet, dass in sämtlichen genannten Fäl -
len eine Verarbeitung personenbezogener Daten statt-
findet und die Systeme zudem von der europäischen
Behörde EU-LISA gehostet werden. Es handle sich folg-
lich um Konstellationen im Sinne von Art. 62 der Ver-
ordnung (EU) 2018/1725, womit die koordinierte Auf-
sicht durch das CSC eröffnet ist.
Weitere Themen und Fragestellungen, mit
denen sich das CSC im Berichtsjahr befasste, betra -
fen beispielsweise die Frage, wie das gesetzlich vor -
geschriebene Überprüfungsintervall für SIS genau
zu interpretieren ist. Auch stellte sich die Frage, wie
Log-Überprüfungen auszusehen haben bzw. was
diese mindestens umfassen müssen. Da das EES im
Berichtsjahr in Betrieb ging, begann das Gremium
ausserdem mit der Ausarbeitung eines «Guide on Data
Subject Rights» zu diesem System.
Die bereits erwähnte EURODAC ist ein zentra -
les IT-System der EU zur Unterstützung des Dub -
lin-Systems im Asylwesen. Es ermöglicht mittels
Fingerabdruckabgleich die Feststellung, welcher Mit-
gliedstaat für die Prüfung eines Asylantrags zustän -
dig ist, indem überprüft wird, ob eine Person bereits
in einem anderen Mitgliedstaat ein Asylgesuch ge -
stellt hat. Seit 2013 können unter bestimmten Vor -
aussetzungen auch Strafverfolgungsbehörden zum
Zweck der Verhütung und Verfolgung schwerer Straf-
taten auf die Daten zugreifen. Zur Aufsicht über die -
ses System wurde bis zum Ende des Berichtsjahres
ein gemeinsames koordiniertes Aufsichtsgremium
geführt. Dieses hielt im Berichtsjahr zwei Sitzungen
ab. Die Sitzung vom Dezember war jedoch die letzte
in der bisherigen Form, denn mit Inkrafttreten der
neuen gesetzlichen Bestimmungen bezüglich EURO-
DAC wird die gemeinsame koordinierte Aufsicht in
das CSC überführt.
7.4 Europarat
Die DSS hat im Berichtsjahr an der 48. und 49.
Versammlung des Beratenden Ausschusses des Über -
einkommens zum Schutz des Menschen bei der
automatischen Verarbeitung personenbezogener
Daten (Konvention 108) des Europarats in Strassburg
teilgenommen.
Der Beratende Ausschuss der Konvention 108 hat
im Berichtsjahr weiter an Leitlinien zum Datenschutz
im Bereich der Neurowissenschaften gearbeitet sowie
die Arbeit an Leitlinien zum Datenschutz im Kontext
von Large Language Models (LLMs) aufgenommen. Im
Übrigen bestand die Hauptarbeit des Beratenden Aus-
schusses an der Erarbeitung von Berichten, Positions-
papieren u.ä. Auch die Diskussion über geeignete Ins -
trumente für grenzüberschreitende Datentransfers
wurde fortgeführt. Die Ergebnisse all dieser Arbeiten
können zu künftigen Handlungsempfehlungen, Leitli-
nien, Resolutionen oder Erklärungen auch übergeord-
neter Organe des Europarates führen.
Vor Kurzem wurde die Konvention 108 mittels
eines Änderungsprotokolls modernisiert und insbe-
sondere an die heutigen informations- und kommu -
nikationstechnologischen Möglichkeiten der Daten -
verarbeitung angepasst. Einschliesslich Liechtenstein
haben bereits 33 Staaten das Änderungsprotokoll ra -
tifiziert. Damit fehlen nur noch 5 Ratifizierungen bis
zum Inkrafttreten des Änderungsprotokolls bzw. der
modernisierten Konvention 108+, was in naher Zu-
kunft erwartet wird. Der Beratende Ausschuss hat
sich entsprechend im Berichtsjahr auch mit dem an -
gestrebten Inkrafttreten des Änderungsprotokolls be -
fasst sowie Leitlinien zur Auslegung von Art. 11 der
modernisierten Konvention 108+, welcher verschiede-
ne Ausnahmen regelt, verabschiedet.
«Auf europäischer Ebene bleibt
die Herstellung eines trag fähigen
Gleichgewichts zwischen tech­
nologischem Fortschritt und dem
Schutz der Privatsphäre zentral.»
59
Schlussbemerkung und Ausblick 2025 / Tätigkeitsbericht Datenschutzstelle
8. Schlussbemerkung und Ausblick
Auch im Jahr 2026 wird sich die digitale Welt mit
unverminderter Dynamik weiterentwickeln. Auf euro-
päischer Ebene bleibt die Herstellung eines tragfähi -
gen Gleichgewichts zwischen technologischem Fort -
schritt und dem Schutz der Privatsphäre zentral – sei
es durch neue Rechtsakte oder durch die Weiterent -
wicklung bestehender Regelwerke.
Junge Menschen kommen dabei immer früher
mit KI, sozialen Netzwerken und digitalen Anwendun-
gen in Kontakt. Ein reflektierter Umgang mit KI-Sys -
temen und personenbezogenen Daten wird zwar zu -
nehmend im schulischen Kontext vermittelt; faktisch
beginnt die digitale Sozialisation jedoch häufig deut -
lich früher – etwa durch elterliche Nutzung digitaler
Dienste oder interaktive, vernetzte Spielzeuge.
Vor diesem Hintergrund wird die DSS im Jahr
2026 einen besonderen Schwerpunkt auf den Daten -
schutz von Kindern und Jugendlichen sowie auf die
Förderung eines sicheren und verantwortungsvollen
Umgangs mit Technologien legen. Die Informations -
angebote auf der Internetseite sollen weiter zielgrup -
penspezifisch ausgebaut, sprachlich vereinfacht und
didaktisch angepasst werden. Ziel ist es, Minderjähri-
ge frühzeitig zur Wahrnehmung ihrer Rechte zu befä-
higen und zugleich Erziehungsberechtigte sowie Bil -
dungseinrichtungen mit praxisnahen Leitlinien zu
unterstützen. Die Abwägung zwischen den Risiken
komplexer datenintensiver Anwendungen und deren
gesellschaftlichem sowie pädagogischem Nutzen
bleibt dabei eine zentrale Herausforderung.
Eine weitere Entwicklung, die die behördliche
Praxis zunehmend prägt, ist die verstärkte Nutzung
generativer KI-Systeme – etwa ChatGPT und vergleich-
barer Anwendungen – durch Beschwerdeführer und
Beschwerdegegner. Eingaben werden vermehrt auto -
matisiert erstellt und weisen nicht selten sachliche
Fehler, unzutreffende Rechtszitate oder verkürzte Ar -
gumentationsketten auf. Dies führt dazu, dass ein er -
heblicher Teil der Verfahrensarbeit der DSS in der Iden-
tifikation und Korrektur inhaltlicher Unrichtigkeiten
besteht, bevor eine materielle datenschutzrechtliche
Prüfung erfolgen kann.
Gleichzeitig stehen der DSS weiterhin nur be -
grenzte personelle Ressourcen zur Verfügung. Ange -
sichts steigender Fallzahlen, zunehmender techni -
scher Komplexität und zusätzlicher Aufgaben ist eine
konsequente Priorisierung erforderlich. Die Sicherstel-
lung einer qualitativ hochwertigen, fundierten und
zeitgerechten Aufgabenerfüllung bleibt daher auch im
Jahr 2026 einmal mehr eine grosse Herausforderung.
Datenschutzstelle Fürstentum Liechtenstein
Kirchstrasse 8
Postfach 684
FL-9490 Vaduz
Telefon +423 236 60 90
info.dss@llv.li
www.datenschutzstelle.li