Die britische Datenschutzaufsicht Information Commissioner's Office (ICO) hat am 14. Oktober 2026 über Massnahmen gegen den Metropolitan Police Service berichtet. Polizeimitarbeitende hatten Personendaten über eine nicht freigegebene Drittplattform geteilt. Der zugrunde liegende Entscheid datiert vom 23. September 2026. Dieser Beitrag behandelt den Fall als dokumentiertes Beispiel, nicht als neuen Entscheid oder als Auslegung des Schweizer Datenschutzrechts.
Was die Aufsicht festgestellt hat
Die Plattform diente dem Austausch von Informationen über vermutete Ladendiebstähle. Laut ICO wurde sie zwischen März 2023 und September 2024 ohne formelle Freigabe genutzt. Von Januar bis September 2024 wurden Angaben zu 179 Personen hochgeladen, darunter Namen, Geburtsdaten und vereinzelt Wohnadressen.
Der Befund betraf unzulässige Verarbeitung, unzureichende Schutzmassnahmen und fehlende Kontrolle über externe Technologien. Auch eine vorgängige Datenschutz-Folgenabschätzung für die risikoreiche Verarbeitung fehlte. Der ICO erliess eine Rüge und eine verbindliche Anordnung zur Verbesserung der Kontrollen.
Die Polizei setzte die Nutzung im September 2024 aus. Vor der Wiedereinführung im Januar 2026 ergänzte sie unter anderem Schulungen, vertragliche Kontrollen und eine Folgenabschätzung. Die Aufsicht verlangte trotzdem weitere Verbesserungen bei der Erfassung, Prüfung und Freigabe von Drittangeboten sowie regelmässige Wirksamkeitstests.
Eine funktionierende App ist noch kein freigegebener Ablauf
Das betriebliche Muster hinter dem Fall ist leicht vorstellbar: Ein Werkzeug löst eine konkrete Aufgabe gut und verbreitet sich im Team. Nach und nach werden echte Arbeitsdaten darin verarbeitet. Die zuständige Stelle erfährt womöglich erst später, dass daraus ein alltäglicher Arbeitsweg geworden ist.
Für ein KMU ist deshalb eine nachvollziehbare Freigabe hilfreicher als eine lange Liste von App-Namen. Eine Anwendung kann für einen bestimmten Zweck geeignet sein, während ein anderer Einsatz genauer geprüft werden muss. Entscheidend ist der konkrete Datenfluss: Was wird eingegeben, wohin gelangt es, wer erhält Zugriff und wie wird die Arbeit dort abgeschlossen?
Ein Beispiel aus dem Büroalltag
Stellen Sie sich vor, ein Team möchte Kundenunterlagen mit einem externen Werkzeug in ein anderes Dateiformat umwandeln. Eine Person testet die Funktion zunächst mit einem erfundenen Dokument. Später lädt jemand eine echte Kundenliste hoch, weil das Werkzeug bereits bekannt ist. Der technische Vorgang ist derselbe, die betriebliche Bedeutung eine andere.
Dieses Beispiel ist eine redaktionelle Einordnung und kein weiterer vom ICO untersuchter Vorfall. Es zeigt, weshalb eine Freigabe auch Datenarten und Einsatzgrenzen beschreiben sollte. «Wir dürfen diese App nutzen» ist weniger eindeutig als «Wir dürfen damit diese Aufgabe mit diesen Daten bearbeiten». Eine klare Beschreibung hilft auch neuen Mitarbeitenden, den vorgesehenen Weg zu verstehen.
Fünf Fragen für eine brauchbare Freigabe
Alphalink ordnet ein: Beginnen Sie mit einer häufigen Aufgabe und beantworten Sie wenige konkrete Fragen. Welches Werkzeug wird verwendet? Welche Daten benötigt die Aufgabe wirklich? Wer entscheidet über den Einsatz? Welche Einstellungen und Zugriffe sind vorgesehen? Wo findet das Team eine geeignete Alternative, wenn ein Dienst noch nicht geprüft ist?
Halten Sie die Antworten so fest, dass sie im Arbeitsalltag auffindbar sind. Eine kurze Beschreibung des erlaubten Zwecks, der zuständigen Person und der Grenzen ist leichter anzuwenden als eine unklare mündliche Zusage. Testen Sie neue Abläufe zunächst mit erfundenen oder passend vorbereiteten Daten. Das ist eine organisatorische Empfehlung, keine Zusicherung rechtlicher Zulässigkeit.
Geben Sie Mitarbeitenden ausserdem einen einfachen Weg, benötigte Werkzeuge zu melden. Wenn eine Freigabe lange unklar bleibt, besteht die Gefahr, dass sich informelle Lösungen etablieren. Rückmeldungen aus dem Team können zeigen, welche freigegebenen Angebote eine Aufgabe noch nicht gut abdecken.
Kontrolle muss im Alltag funktionieren
Der Fall unterstreicht den Wert einer regelmässigen Bestandsaufnahme: Vergleichen Sie den vorgesehenen Ablauf mit dem tatsächlich verwendeten. Können Mitarbeitende erklären, welche Plattform sie für welche Daten einsetzen? Stimmen die Berechtigungen noch? Sind Änderungen an Zweck oder Nutzung bei der verantwortlichen Person angekommen?
Für Schweizer Unternehmen bleibt die konkrete rechtliche Beurteilung vom britischen Polizeifall getrennt. Die praktische Erkenntnis ist dennoch nachvollziehbar: Ein externer Dienst braucht einen bekannten Zweck, klare Zuständigkeiten und Kontrollen, die auch nach seiner Einführung funktionieren.
Quellen
ICO: Metropolitan Police Service – Enforcement notice · 23.09.2026
https://ico.org.uk/action-weve-taken/enforcement/2026/09/metropolitan-police-service/
ICO: ICO takes action against Metropolitan Police Service over information governance failures · 14.10.2026
https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/10/ico-takes-action-against-metropolitan-police-service-over-information-governance-failures/
Geprüft am 14.10.2026.