Nein. Das Datenschutzgesetz des Bundes (DSG, SR 235.1) gilt seit 1. September 2023 nach Art. 2 Abs. 1 nur für private Personen und Bundesorgane. Für Gemeinden, Schulen, Spitäler und kantonale Verwaltungen gilt das Datenschutzrecht des jeweiligen Kantons, im Kanton Zürich das IDG (LS 170.4), im Aargau das IDAG (SAR 150.700). Die Aufsicht führt die kantonale Stelle und nicht der EDÖB.
Das Wichtigste in fünf Punkten
- Art. 2 Abs. 1 DSG beschränkt den Geltungsbereich auf private Personen und Bundesorgane; kantonale Organe wurden dem revidierten DSG bewusst nicht unterstellt und die früher geltende Subsidiaritätsklausel wurde gestrichen.
- Massgebend sind 26 kantonale Regelwerke, etwa das IDG des Kantons Zürich (LS 170.4, in Kraft seit 1. Oktober 2008), das IDG Basel-Stadt (SG 153.260) und das IDAG des Kantons Aargau (SAR 150.700) mit der Verordnung VIDAG (SAR 150.711).
- Aufsicht führen kantonale Stellen: im Aargau die Beauftragte für Öffentlichkeit und Datenschutz an der Kasernenstrasse 21 in 5001 Aarau, im Kanton Zürich die Datenschutzbeauftragte, in Basel-Stadt die Datenschutzbeauftragte.
- Der Kanton Bern setzt sein total revidiertes KDSG auf den 1. September 2026 in Kraft; der Grosse Rat stimmte mit 101 zu 28 Stimmen bei 13 Enthaltungen zu, und 341 Gemeinden kommen unter zentrale Aufsicht, während Bern, Biel, Köniz und Thun eigene Stellen behalten.
- Ausnahme: Nimmt ein öffentliches Organ am wirtschaftlichen Wettbewerb teil, gilt im Kanton Zürich nach § 2c Abs. 1 IDG das DSG sinngemäss; die kantonale Aufsicht bleibt nach § 2c Abs. 2 IDG bestehen.
Warum gilt das revDSG nicht für Gemeinden und Schulen?
Weil der Bundesgesetzgeber den Geltungsbereich in Art. 2 Abs. 1 DSG bewusst eng gefasst hat: Das Gesetz gilt für die Bearbeitung von Personendaten durch private Personen und durch Bundesorgane. Kantone und Gemeinden sind weder das eine noch das andere. Der Grund liegt im Föderalismus: Die Organisation der kantonalen und kommunalen Verwaltung ist Sache der Kantone, und dazu gehört auch, wie diese Verwaltung mit Personendaten umgeht. Bei der Totalrevision, in Kraft seit 1. September 2023, wurde die früher bestehende Subsidiaritätsklausel sogar gestrichen, mit der das Bundesrecht bei Lücken im kantonalen Recht eingesprungen war. Die Datenschutzbeauftragte des Kantons Zürich hielt 2023 entsprechend fest, dass die Revision keine Auswirkungen auf die öffentlichen Organe des Kantons hat, solange diese nicht am wirtschaftlichen Wettbewerb teilnehmen.
Welche kantonalen Erlasse regeln den Datenschutz?
Jeder Kanton hat einen eigenen Erlass, meistens mit dem Öffentlichkeitsprinzip im selben Gesetz. Im Kanton Zürich ist es das Gesetz über die Information und den Datenschutz (IDG, LS 170.4), das am 1. Oktober 2008 in Kraft trat und in § 20 den Informationszugang regelt. Basel-Stadt kennt das Gesetz über die Information und den Datenschutz (SG 153.260). Im Aargau gilt das Gesetz über die Information der Öffentlichkeit, den Datenschutz und das Archivwesen (IDAG, SAR 150.700) samt Verordnung (VIDAG, SAR 150.711); nach § 29 Abs. 1 IDAG ist das bearbeitende öffentliche Organ für den Datenschutz verantwortlich. Der Kanton Bern hat sein Datenschutzgesetz total revidiert; es tritt am 1. September 2026 in Kraft. Die Bezeichnungen unterscheiden sich, die Struktur ist ähnlich: Zweckbindung, Verhältnismässigkeit, gesetzliche Grundlage, Auskunftsrecht, Meldung von Verletzungen.
Wer beaufsichtigt Gemeinden und Schulen?
Nicht der EDÖB, sondern die kantonale Datenschutzstelle. Im Aargau ist das die Beauftragte für Öffentlichkeit und Datenschutz mit Sitz an der Kasernenstrasse 21 in 5001 Aarau; sie ist zuständig für alle öffentlichen Organe des Kantons, ausdrücklich auch für Einwohner- und Ortsbürgergemeinden sowie für öffentlich-rechtlich anerkannte kirchliche Körperschaften. Im Kanton Zürich ist es die Datenschutzbeauftragte, in Basel-Stadt die Datenschutzbeauftragte des Kantons. Die kantonalen Stellen sind in der Konferenz privatim zusammengeschlossen. Im Kanton Bern ändert sich die Zuständigkeit mit der Revision spürbar: 341 Gemeinden werden künftig zentral durch die kantonale Behörde beaufsichtigt, während die Einwohnergemeinden Bern, Biel, Köniz und Thun sowie Körperschaften ab 25'000 Einwohnerinnen und Einwohnern beziehungsweise Mitgliedern weiterhin eine eigene Aufsichtsstelle bezeichnen.
Wann gilt das revDSG doch für ein öffentliches Organ?
Wenn es am wirtschaftlichen Wettbewerb teilnimmt und dabei nicht hoheitlich handelt. Der Kanton Zürich hat das in § 2c Abs. 1 IDG ausdrücklich geregelt: In dieser Konstellation ist das Bundesrecht sinngemäss anwendbar. Als Beispiele nennt die kantonale Datenschutzbeauftragte die Zürcher Kantonalbank und den Gastronomiebetrieb einer Gemeinde. Die Aufsicht wechselt dabei nicht: Nach § 2c Abs. 2 IDG bleibt die kantonale Datenschutzbeauftragte zuständig. Für die Praxis heisst das, dass ein und dieselbe Gemeinde je nach Tätigkeit unterschiedlichem Recht folgen kann, etwa kantonalem Recht für die Einwohnerkontrolle und Bundesrecht für das kommunale Restaurant. Wer eine KI-Anwendung einführt, prüft deshalb zuerst, in welcher Rolle das Organ handelt. Ob das auf Ihre Konstellation zutrifft, klären Sie mit einer Fachperson oder der kantonalen Stelle.
Was ändert das kantonale Recht für die KI-Nutzung?
Vor allem den Ausgangspunkt: Ein öffentliches Organ braucht für jede Bearbeitung eine gesetzliche Grundlage, während ein privates Unternehmen mit Rechtfertigungsgründen arbeiten kann. Deshalb beginnt jede KI-Prüfung in einer Gemeinde mit der Frage nach der Aufgabe und der Norm, die sie trägt, und nicht mit dem Werkzeug. Die Datenschutzbeauftragte des Kantons Zürich hat dazu ein Merkblatt zum Vorgehen beim Einsatz von KI bei öffentlichen Organen publiziert; es sieht eine Risikobeurteilung, bei erhöhtem Risiko eine Datenschutz-Folgenabschätzung sowie Regelungen zur Auftragsbearbeitung und zur Bekanntgabe ins Ausland vor. Der Einsatz von Online-KI-Generatoren gilt dabei als Bearbeitung im Auftrag durch einen externen Anbieter. Praktische Folge: Die Vorlage eines Bundesamts oder eines Softwareanbieters ersetzt die kantonale Prüfung nicht. Beispiele für Gemeinden finden Sie unter Gemeindeverwaltung.
Was verlangt das kantonale Datenschutzrecht nicht?
Es verlangt keinen Verzicht auf KI. Kein kantonales Datenschutzgesetz enthält ein Verbot generativer Systeme, keines schreibt ein bestimmtes Produkt vor, und keines verlangt ein Prüfsiegel oder eine Bewilligung der Aufsichtsstelle vor jedem Einsatz. Auch eine Schweizer Serverpflicht steht so in keinem der genannten Erlasse; die Bekanntgabe ins Ausland ist geregelt, nicht ausgeschlossen. Ebenso wenig gilt automatisch die europäische Verordnung über künstliche Intelligenz, denn die Schweiz hat sie nicht übernommen; der Bundesrat entschied am 12. Februar 2025, stattdessen die KI-Konvention des Europarats zu ratifizieren und sektoriell zu regulieren. Verlangt sind Zweckbindung, Verhältnismässigkeit, eine gesetzliche Grundlage und Transparenz. Ob eine geplante Anwendung diese Anforderungen erfüllt, klären Sie mit der kantonalen Aufsichtsstelle oder einer Fachperson.
Vier Kantone im Vergleich
| Kanton | Erlass | Aufsichtsstelle | Besonderheit |
|---|---|---|---|
| Zürich | IDG, LS 170.4, in Kraft seit 1. Oktober 2008 | Datenschutzbeauftragte des Kantons Zürich | § 2c IDG: bei Wettbewerbsteilnahme gilt das DSG sinngemäss |
| Bern | KDSG, total revidiert, in Kraft ab 1. September 2026 | Kantonale Datenschutzbehörde | 341 Gemeinden zentral beaufsichtigt; Bern, Biel, Köniz und Thun mit eigener Stelle |
| Basel-Stadt | IDG, SG 153.260 | Datenschutzbeauftragte des Kantons Basel-Stadt | Datenschutz und Öffentlichkeitsprinzip im selben Erlass |
| Aargau | IDAG, SAR 150.700, mit VIDAG, SAR 150.711 | Beauftragte für Öffentlichkeit und Datenschutz, Aarau | Zuständig auch für Einwohner- und Ortsbürgergemeinden |
| Bund und Private | DSG, SR 235.1, in Kraft seit 1. September 2023 | EDÖB | Gilt für private Personen und Bundesorgane, nicht für kantonale Organe |
Linup ist ein Schulungsangebot der Alpasana GmbH (Farbweg 18, 5745 Safenwil) und keine Rechtsberatung. Das Zertifikat mit QR-Verifikation ist ein Anbieternachweis und kein amtliches Dokument; die Auslegung des kantonalen Rechts bleibt bei der zuständigen Aufsichtsstelle.
Ein nützlicher nächster Schritt: Schlagen Sie das Datenschutzgesetz Ihres eigenen Kantons nach, notieren Sie Erlassnummer und Aufsichtsstelle auf einer Seite und legen Sie diese Seite der geplanten KI-Weisung bei. Damit vermeiden Sie den häufigsten Fehler, nämlich eine aus der Privatwirtschaft übernommene DSG-Vorlage in einer Gemeinde oder Schule einzusetzen. Eine Struktur dafür bietet unsere KI-Weisung als Vorlage, und die Begriffe klärt das Glossar zu Personendaten. Für die Schulung selbst rechnen Sie mit 2 bis 3 Stunden pro Person im Onlinekurs KI sicher am Arbeitsplatz: Einzellizenz CHF 129, Teampaket CHF 105 bis 85 pro Person, Refresh-Abo CHF 39 pro Person und Jahr, ohne Mehrwertsteuer. Die Nachweise sammelt die Nachweismappe.