Datenschutz Basel-Stadt: Was Organisationen jetzt wissen müssen

Datenschutz Basel-Stadt bedeutet konkret: Zwei Rechtsebenen greifen ineinander. Kantonale öffentliche Organe — Verwaltung, Spitäler, Universität — unterstehen dem kantonalen Informations- und Datenschutzgesetz SG 153.260, kurz IDG BS. Private Verantwortliche, darunter Arztpraxen und Therapeutenbüros, fallen unter das revidierte Bundesgesetz über den Datenschutz (DSG, SR 235.1), das seit dem 1. September 2023 in Kraft ist. Primäre kantonale Anlaufstelle ist die Datenschutzbeauftragte (DSB) des Kantons Basel-Stadt. Für bundesrechtliche und privatrechtliche Fragen ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig.

Was Organisationen in Basel-Stadt jetzt prüfen sollten:
Klären Sie zuerst, ob Ihre Einrichtung dem IDG BS oder dem Bundes-DSG untersteht. Öffentliche Organe wenden sich bei Vorhaben mit hohem Risiko frühzeitig an die DSB zur Vorabkonsultation. Private Verantwortliche melden Datensicherheitsverletzungen mit hohem Risiko an den EDÖB. Beide Gruppen führen ein Verzeichnis der Bearbeitungstätigkeiten und schulen ihre Mitarbeitenden regelmässig.

Kantonales Recht (IDG BS, SG 153.260): gilt für kantonale und kommunale Organe sowie Private mit übertragenen kantonalen Aufgaben.
Bundesrecht (DSG/DSV): gilt für private Verantwortliche; stärkt Betroffenenrechte und führt Meldepflichten ein.
DSB Basel-Stadt: Beratung, Aufsicht und Vorabkonsultation für öffentliche Organe; erreichbar über Bs.
EDÖB: Aufsicht über private Unternehmen und Bundesorgane; Meldeportal für Datensicherheitsverletzungen.
Privatim: Konferenz der schweizerischen Datenschutzbeauftragten; koordiniert interkantonale Praxis und veröffentlicht gemeinsame Empfehlungen.

Wer ist die Datenschutzbeauftragte des Kantons Basel-Stadt?

Die DSB des Kantons Basel-Stadt ist eine unabhängige Behörde. Sie berät kantonale und kommunale öffentliche Organe, beaufsichtigt deren Datenbearbeitungen und nimmt Vorabkonsultationen entgegen. Danielle Kaufmann leitet die Stelle; ihr Team umfasst juristische und technische Fachpersonen. Veröffentlichte Tätigkeitsberichte dokumentieren Schwerpunkte wie Cloud-Projekte, KI-Vorhaben und Vorabkonsultationen — und liefern konkrete Praxisbeispiele aus dem Kanton.

Aufgaben der DSB im Überblick:

Beratung öffentlicher Organe bei Datenschutzfragen und Projektplanung
Aufsicht über die Einhaltung des IDG BS
Entgegennahme und Beurteilung von Vorabkonsultationen bei hohem Risiko
Veröffentlichung von Merkblättern, Vorlagen und Tätigkeitsberichten
Bearbeitung von Beschwerden betroffener Personen gegenüber öffentlichen Organen

Wichtige Abgrenzung: Die DSB ist nicht zuständig für private Unternehmen oder Arztpraxen. Wer als Praxisinhaber eine Datenschutzfrage zum Bundesrecht hat, wendet sich an den EDÖB — nicht an die kantonale DSB.

Die Zuständigkeitsgrenze verläuft klar: Die Universität Basel, das Universitätsspital oder die kantonale Verwaltung unterstehen der DSB. Eine private Hausarztpraxis oder ein Therapiezentrum hingegen fällt unter die Aufsicht des EDÖB. Einzige Ausnahme: Private, denen kantonale Aufgaben übertragen wurden, können partiell dem IDG BS unterliegen.

Vertrauliche Unterlagen sollten verschlüsselt übermittelt werden. Die DSB gibt auf ihrer Website Hinweise zu sicheren Übertragungswegen. Für eine Vorabkonsultation sollten Unterlagen vollständig eingereicht werden; die DSB benötigt in der Regel rund zwei Monate für eine Stellungnahme.

Welche Gesetze gelten für wen in Basel-Stadt?

Zwei Rechtsquellen prägen das Datenschutzrecht Basel: das kantonale IDG BS und das Bundes-DSG. Beide verfolgen ähnliche Ziele, unterscheiden sich aber im Geltungsbereich erheblich.

SG 153.260 — IDG Basel-Stadt:

Das IDG BS regelt die Bearbeitung von Personendaten durch kantonale und kommunale öffentliche Organe sowie durch Private, denen öffentliche Aufgaben übertragen wurden. Es enthält auch Regelungen zum Öffentlichkeitsprinzip — also zum Recht auf Zugang zu amtlichen Dokumenten. Für Basler Einrichtungen wie Schulen, Sozialämter oder das Gesundheitsdepartement ist das IDG BS die massgebliche Grundlage.

Bundes-DSG (SR 235.1) und DSV:

Das revidierte Bundes-DSG gilt für private Verantwortliche und stärkt die Rechte Betroffener spürbar. Neu eingeführt wurden Meldepflichten bei Datensicherheitsverletzungen, verschärfte Sanktionen und die Pflicht zur Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko. Die Datenschutzverordnung (DSV) konkretisiert die technischen und organisatorischen Anforderungen: Verantwortliche müssen den Schutzbedarf bestimmen und Massnahmen dem Risiko entsprechend festlegen.

Gesetzestexte abrufbar unter: Fedlex (DSG) und Gesetzessammlung (IDG BS)
Grenzüberschreitende Datenflüsse — etwa bei Studienteilnehmenden aus Deutschland oder Frankreich — können zusätzlich DSGVO-Bezüge auslösen; hier empfiehlt sich rechtliche Beratung.
Private Praxen, die im Auftrag des Kantons tätig sind (z. B. Schulärzte), können in bestimmten Konstellationen beiden Rechtsebenen unterliegen.

Was müssen öffentliche Organe bei Cloud-Projekten und Vorabkonsultationen beachten?

Öffentliche Organe in Basel-Stadt durchlaufen vor risikoreichen Datenbearbeitungen eine strukturierte Prüfung. Der Ausgangspunkt ist die Schwellwertanalyse (SWA).

Schritt-für-Schritt: Von der SWA zur Vorabkonsultation

Schwellwertanalyse durchführen: Prüfen Sie, ob das Vorhaben besondere Personendaten, Profiling, KI-Systeme oder Outsourcing umfasst. Treffen mehrere Kriterien zu, ist eine DSFA erforderlich.
DSFA erstellen: Dokumentieren Sie Risiken, Bearbeitungszwecke, Datenkategorien und geplante Schutzmassnahmen systematisch.
Vorabkonsultation einreichen: Bei hohem Restrisiko muss die DSB frühzeitig einbezogen werden. Reichen Sie vollständige Unterlagen ein; unvollständige Dossiers verlängern den Prozess erheblich.
Frist einplanen: Die DSB benötigt rund zwei Monate für eine Stellungnahme. Planen Sie dies in Beschaffungs- und Projektzeitpläne ein.
Empfehlungen umsetzen: Passen Sie das Vorhaben gemäss DSB-Stellungnahme an, bevor Sie produktiv gehen.

Auftragsdatenbearbeitung und Cloud:

Verträge mit Cloud-Anbietern müssen Garantien zu Datenstandort, Subprozessorenregelung, Audit-Rechten und Löschpflichten enthalten. Kantone verlangen bei öffentlichen Beschaffungen zunehmend Nachweise wie ISO 27001 oder DSFA-Dokumentationen vor Zuschlag.

Profi-Tipp: Binden Sie die DSB bereits in der Konzeptphase ein — nicht erst kurz vor dem Go-live. Wer Datenschutz früh in die Beschaffung integriert, vermeidet teure Nachbesserungen und Projektverzögerungen.

Welche Rechte haben Betroffene, und was gilt für private Praxen?

Private Verantwortliche in Basel-Stadt — also Arztpraxen, Therapiezentren und ähnliche Einrichtungen — unterstehen dem Bundes-DSG. Die Kernrechte Betroffener sind klar geregelt.

Praxissoftware-Lösung gesucht? MediCloud Med ist die cloudbasierte Praxissoftware für Schweizer Ärzte und Therapeuten. → Kostenlose Anfrage senden

Rechte Betroffener auf einen Blick:

Auskunftsrecht: Betroffene können jederzeit Auskunft über gespeicherte Daten verlangen. Praxen müssen innerhalb von 30 Tagen antworten.
Recht auf Löschung: Daten, die nicht mehr benötigt werden oder unrechtmässig bearbeitet wurden, sind zu löschen.
Informationspflicht: Bei der Datenerhebung müssen Betroffene über Zweck, Verantwortliche und Empfänger informiert werden — in verständlicher Sprache.
Datenminimierung: Nur Daten erheben, die für den Behandlungszweck tatsächlich erforderlich sind.
Zweckbindung: Patientendaten dürfen nicht für andere Zwecke verwendet werden, ohne dass eine Rechtsgrundlage besteht.

Arztpraxen müssen zudem ein Verzeichnis der Bearbeitungstätigkeiten führen. Dieses ersetzt das frühere Register der Datensammlungen und enthält Mindestangaben wie Bearbeitungszweck, Datenkategorien, Empfänger und Aufbewahrungsfristen. Die FMH empfiehlt, Datenschutz als integralen Bestandteil der Praxissoftware-Auswahl zu sehen — Privacy by Design und rechtliche Absicherung sind dabei zentral.

Technische und organisatorische Massnahmen umfassen Verschlüsselung, Zugangsbeschränkungen, regelmässige Back-ups und Protokollierung von Zugriffen. Die DSV verlangt, dass der Schutzbedarf dokumentiert und Massnahmen dem Risiko angepasst werden.

Was tun bei einer Datenschutzverletzung in Basel-Stadt?

Wer meldet, an wen und wann — das ist bei einem Datensicherheitsvorfall die entscheidende Frage. Die Antwort hängt davon ab, ob die betroffene Organisation ein öffentliches Organ oder ein privater Verantwortlicher ist.

Interne Incident-Response: 7 Schritte

Erstbewertung: Vorfall erkennen, Ausmass und betroffene Datenkategorien grob einschätzen.
Eindämmung: Sofortmassnahmen ergreifen — Zugang sperren, Systeme isolieren, Ausbreitung stoppen.
Dokumentation: Art der Verletzung, Zeitpunkt, Dauer, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen schriftlich festhalten.
Risikobeurteilung: Prüfen, ob ein hohes Risiko für die Grundrechte Betroffener besteht.
Meldung an Aufsichtsbehörde: Bei hohem Risiko: private Verantwortliche melden an den EDÖB (Meldeportal unter edoeb.admin.ch); öffentliche Organe melden gemäss IDG BS §16a an die DSB.
Betroffene informieren: Wenn das Risiko für Einzelpersonen hoch ist, müssen diese ohne Verzug benachrichtigt werden.
Nachbearbeitung: Ursachen beheben, Massnahmen dokumentieren, interne Prozesse anpassen.

Kerninhalte einer Meldung:

Art und Umfang der Verletzung
Zeitpunkt und Dauer des Vorfalls
Kategorien und ungefähre Anzahl betroffener Personen und Datensätze
Wahrscheinliche Folgen
Ergriffene und geplante Massnahmen
Ansprechperson im Unternehmen

Bei Arztpraxen besteht laut FMH-Hinweisen eine Meldepflicht beim EDÖB, sobald ein hohes Risiko für die Grundrechte Betroffener vorliegt. Ein internes Vorgehensreglement sollte deshalb vorab definiert sein.

Was hat sich in Basel-Stadt zuletzt geändert?

Die Jahre 2024 und 2025 stehen im Zeichen der Umsetzung. Das revidierte IDG BS führt einen präventiven Ansatz ein: Öffentliche Organe prüfen Risiken vor der Bearbeitung, nicht erst im Nachhinein. Schwellwertanalyse und Vorabkonsultation sind damit feste Bestandteile des Projektmanagements geworden.

Aktuelle Schwerpunkte der DSB Basel-Stadt:

Cloud-Migrationsprojekte: Die DSB hat mehrere Vorabkonsultationen zu Cloud-Vorhaben durchgeführt und dabei Anforderungen an Datenstandort und Subprozessoren präzisiert.
KI-Projekte: Künstliche Intelligenz in der Verwaltung löst regelmässig eine DSFA-Pflicht aus; die DSB hat dazu Hilfsmittel und Formulare veröffentlicht.
Tätigkeitsbericht: Der aktuelle Tätigkeitsbericht der DSB enthält konkrete Beispiele zu Kontrollen, Beratungen und häufigen Mängeln — lesenswert für alle, die Projekte planen.
Danielle Kaufmann leitet die DSB; das Team umfasst juristische und technische Fachpersonen für Anfragen und Vorabkonsultationen.
Privatim koordiniert interkantonale Empfehlungen; Beschlüsse der Konferenz fliessen in die kantonale Praxis ein.

Trend für Organisationen: Cloud-Anbieter müssen vertraglich an hohe Datenschutzstandards gebunden werden. Wer das nicht bereits geprüft hat, sollte bestehende Verträge jetzt nachbessern.

Pflicht-Checkliste für Arztpraxen in Basel-Stadt

Private Arztpraxen in Basel-Stadt unterstehen dem Bundes-DSG und der DSV. Die folgenden Punkte sind sofort umsetzbar.

Start-Checkliste:

Verantwortliche Person für Datenschutz in der Praxis benennen
Verzeichnis der Bearbeitungstätigkeiten anlegen und aktuell halten (Zweck, Kategorien, Fristen)
Datenschutzerklärung für Patienten aktualisieren — verständlich, vollständig, abrufbar
Back-up-Strategie und Verschlüsselung für Patientendaten prüfen und dokumentieren
Zugriffsrechte auf Praxissoftware auf das Notwendige beschränken
Mitarbeitende mindestens einmal jährlich zu Datenschutzpflichten schulen

Software und Cloud:

Prüfen Sie, ob Ihr Praxissoftware-Anbieter als Auftragsbearbeiter auftritt und ob ein entsprechender Vertrag vorliegt. Dieser muss Regelungen zu Subprozessoren, Datenstandort (Schweiz oder gleichwertiges Drittland), Audit-Rechten und Löschpflichten enthalten. Die FMH empfiehlt Privacy by Design als Auswahlkriterium — ein Punkt, den Praxismanager bei der Software-Evaluation konkret abfragen sollten.

Ärztliche Kernaufgaben sind in der Regel von der DSFA-Pflicht ausgenommen. Eine DSFA wird erst bei zusätzlichen Projekten mit hohem Risiko erforderlich — etwa bei der Einführung einer neuen Cloud-Software oder eines KI-gestützten Diagnosesystems.

Profi-Tipp: Führen Sie kurze, praxisnahe Datenschutzschulungen von 15 bis 20 Minuten durch — quartalsweise, mit konkreten Beispielen aus dem Praxisalltag. Das schafft Bewusstsein, ohne den Betrieb zu belasten, und ist im Ernstfall ein nachweisbarer Compliance-Schritt.

Basel-Stadt ist ein trinationales Wirtschaftszentrum mit einem dichten Life-Sciences-Cluster. Grenzgänger aus Deutschland und Frankreich, internationale Studienteilnehmende und Forschungskooperationen erhöhen die Komplexität der Datenflüsse. Mehrsprachige Datenschutzerklärungen und DSFA-Templates für Cloud-Migrationen sind in diesem Umfeld keine Kür, sondern Pflicht.

Nützliche Links und Dokumente für Ihre Datenschutzpraxis

Alle relevanten Primärquellen sind öffentlich zugänglich. Die wichtigsten Anlaufstellen:

DSB Kanton Basel-Stadt: Bs — Kontakt, Merkblätter, Formulare für Vorabkonsultationen
Informationen für öffentliche Organe: Bs — Prozesse, Fristen, DSFA-Hinweise
IDG BS (SG 153.260): Gesetzessammlung — kantonaler Gesetzestext
Bundes-DSG (SR 235.1): Fedlex — revidiertes Bundesgesetz
DSV: Fedlex — technische und organisatorische Anforderungen
FMH Datenschutz: Fmh — Hilfsmittel für Arztpraxen
Tätigkeitsbericht DSB: PDF herunterladen — Praxisbeispiele und Schwerpunkte
EDÖB: edoeb.admin.ch — Meldeportal für Datensicherheitsverletzungen, Aufsicht über private Verantwortliche

Für Praxismanager, die Datenschutzanforderungen direkt mit der Wahl der richtigen Praxissoftware verbinden möchten, bietet der Medicloudmed-Blog weiterführende Informationen zu regulatorischen Anforderungen im Schweizer Gesundheitswesen.

Warum sich frühe Datenschutzeinbindung rechnet

Datenschutz wird in vielen Praxen und Organisationen noch als Pflichtübung behandelt — etwas, das man am Ende eines Projekts abhakt. Das ist ein Fehler, der sich in Franken messen lässt. Wer eine Vorabkonsultation zu spät einreicht, riskiert Projektverzögerungen von mehreren Monaten. Wer Auftragsdatenbearbeitungsverträge erst nach Produktivgang nachverhandelt, verliert Verhandlungsmacht gegenüber Anbietern.

Proaktiver Datenschutz ist auch ein Vertrauenssignal gegenüber Patienten. Wer klar kommuniziert, wie Daten geschützt werden, stärkt die Patientenbindung. Das ist kein weicher Faktor, sondern ein messbarer Wettbewerbsvorteil — gerade in einem Markt, in dem Patienten zunehmend fragen, wo ihre Gesundheitsdaten gespeichert sind.

Für Arztpraxen, die ihre Praxissoftware auf Datenschutzkonformität prüfen möchten, lohnt sich ein Blick auf die Vertragsklauseln zur Auftragsdatenbearbeitung. Medicloudmed unterstützt Praxen dabei, diese Anforderungen strukturiert zu erfüllen. Einen Beratungstermin können Sie direkt über Calendly buchen.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.