Protokollierung bei der Bearbeitung von Personendaten durch den Bund: angepasste Regeln ab Dezember 2025
Bern, 29.10.2025 — Wenn Bundesorgane besonders sensitive Personendaten automatisiert bearbeiten, müssen sie dies in jedem Fall protokollieren. Bei der Bearbeitung von weniger sensitiven Personendaten entscheidet künftig eine Risikoanalyse darüber, ob und wie detailliert die Bearbeitung protokolliert werden muss. Der Bundesrat hat an seiner Sitzung vom 29. Oktober 2025 entschieden, die entsprechenden Änderungen der Datenschutzverordnung auf den 1. Dezember 2025 in Kraft zu setzen.
Die Protokollierung hat zum Ziel, die Bearbeitung von Daten nachvollziehbar und transparent zu machen. Sie trägt zudem zur Datensicherheit bei und hilft, den Missbrauch von Personendaten zu verhindern. Die Protokollierungspflicht für Bundesorgane wurde mit der Totalrevision des Datenschutzrechts im Jahr 2023 ausgeweitet. Bundesstellen oder ihre Auftragsbearbeiter sind seither verpflichtet, mindestens das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten sämtlicher Personendaten zu protokollieren.
In der Praxis hat sich aber gezeigt, dass die neue Regelung zu wenig berücksichtigt, ob insbesondere die Kosten der Protokollierung dem datenschutzrechtlichen Risiko angemessen sind. Deshalb hat der Bundesrat entschieden, auch bei der Protokollierungspflicht für Bundesorgane dem risikobasierten Ansatz des Datenschutzrechts zu folgen. Die Datenschutzverordnung soll daher in Bezug auf die Protokollierung bei der Bearbeitung von weniger sensitiven Personendaten punktuell angepasst werden.
Bearbeiten Bundesorgane also weniger sensitive Personendaten, müssen sie neu jeweils spezifisch prüfen, ob ein Risiko für die Verletzung der Grundrechte einer Person besteht – namentlich des Rechts auf informationelle Selbstbestimmung oder des Schutzes der Privatsphäre. Dabei sind auch der Stand der Technik und die Kosten der Protokollierung zu berücksichtigen. Gestützt auf diese Prüfung legen die Bundesorgane fest, ob und in welchem Umfang die Bearbeitung protokolliert werden muss. Dabei gilt: Je höher das Risiko für die Verletzung der Grundrechte, desto umfassender die Pflicht zur Protokollierung.
Keine Änderungen bei Protokollierung von besonders schützenswerten Personendaten
Unverändert bleibt die Protokollierungspflicht für die Bearbeitung namentlich von besonders schützenswerten Personendaten – wie beispielsweise Informationen über die Gesundheit oder politische Überzeugungen. Diese Bearbeitungsvorgänge müssen weiterhin in jedem Fall protokolliert werden.
An seiner Sitzung vom 29. Oktober 2025 hat der Bundesrat entschieden, die geänderte Datenschutzverordnung auf den 1. Dezember 2025 in Kraft zu setzen. Für automatisierte Bearbeitungen von Personendaten, die vor Inkrafttreten der neuen Regelung geplant oder begonnen wurden, müssen die Bundesorgane eine Prüfung der Protokollierung bis Ende 2026 erstellen. Ergibt sich daraus die Pflicht zur Protokollierung, ist diese bis Ende 2029 umzusetzen. Die Übergangsfrist gilt hingegen nicht für Datenbearbeitungen, die schon nach altem Recht protokollierungspflichtig waren.