KI und Datenschutz in der Schweiz: Was das nDSG für Unternehmen bedeutet

Das DSG gilt bereits für künstliche Intelligenz

Das revidierte Datenschutzgesetz ist seit dem 1. September 2023 in Kraft. Die Bezeichnung nDSG wird häufig verwendet; das geltende Gesetz heisst DSG. Der EDÖB betont ausdrücklich, dass es technologieneutral formuliert und auf KI gestützte Datenbearbeitungen direkt anwendbar ist. Unternehmen müssen deshalb nicht auf ein besonderes KI Gesetz warten, bevor sie ihren Einsatz prüfen. Quelle: 1.

Das DSG schützt Personendaten natürlicher Personen. Dazu gehören beispielsweise Namen, persönliche geschäftliche Kontaktangaben, Bewerbungsunterlagen und identifizierbare Gesprächsinhalte. Reine Sachdaten ohne Personenbezug fallen grundsätzlich nicht darunter. Eine entfernte Namensspalte macht Daten aber nicht automatisch anonym, wenn eine Person über weitere Merkmale weiterhin bestimmbar ist. Massgeblich sind Art. 2 und 5 DSG.

Daten und Zwecke vor dem ersten Einsatz erfassen

Beginnen Sie mit einer Übersicht: Welche Informationen gelangen in die Anwendung, aus welchen Quellen stammen sie und was soll damit geschehen? Unterscheiden Sie Eingaben, Anhänge, Ausgaben, Protokolle und eine mögliche Weiterverwendung durch den Anbieter. Ein Werkzeug zur Textverbesserung braucht möglicherweise keinen vollständigen Kundenvertrag samt persönlichen Angaben.

Art. 6 DSG verlangt insbesondere rechtmässige, verhältnismässige und nach Treu und Glauben erfolgende Bearbeitung. Der Zweck muss bestimmt und für die betroffene Person erkennbar sein; die weitere Bearbeitung muss damit vereinbar bleiben. Nicht mehr erforderliche Personendaten sind zu vernichten oder zu anonymisieren, soweit keine andere Pflicht oder Rechtfertigung entgegensteht. Art. 7 verlangt Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen.

Praktisch bedeutet das: Geben Sie nur notwendige Inhalte frei, begrenzen Sie Zugriffe und bestimmen Sie Aufbewahrung sowie Löschung. Legen Sie fest, welche Datenkategorien in allgemein zugänglichen Werkzeugen nicht verwendet werden dürfen. Eine interne Weisung ist hilfreich, ersetzt aber keine geeignete technische Konfiguration und keine Prüfung des gewählten Anbieters.

Transparenz und Einwilligung nicht verwechseln

Nach Art. 19 DSG muss der Verantwortliche die betroffene Person angemessen über die Beschaffung ihrer Personendaten informieren. Dazu gehören insbesondere Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszweck und gegebenenfalls Empfänger oder Empfängerkategorien. Bei einer Bekanntgabe ins Ausland sind zusätzlich die gesetzlich vorgesehenen Länderangaben und gegebenenfalls Garantien oder Ausnahmen mitzuteilen. Die Ausnahmen nach Art. 20 sind im Einzelfall zu prüfen. Quelle: 2.

Bei einem direkt kommunizierenden KI Assistenten sollten Personen erkennen können, dass sie mit einer Maschine sprechen und ob ihre Eingaben etwa zum Training weiterverwendet werden. Der EDÖB hebt diese Transparenz ausdrücklich hervor. Eine bloss allgemeine Aussage, man nutze moderne Technologien, erklärt den tatsächlichen Umgang mit Kundendaten nicht ausreichend.

Nicht jede private Datenbearbeitung benötigt pauschal eine Einwilligung. Die Grundsätze und Art. 30 sowie 31 DSG sind massgeblich; bei einer Persönlichkeitsverletzung braucht es eine Rechtfertigung, etwa Einwilligung, ein überwiegendes Interesse oder Gesetz. Wo eine Einwilligung erforderlich ist, muss sie angemessen informiert und freiwillig erfolgen. Für die in Art. 6 Abs. 7 genannten Fälle ist sie ausdrücklich erforderlich. Eine Checkbox heilt nicht jede unzulässige Bearbeitung.

Anbieter und Unterauftragnehmer sorgfältig prüfen

Wenn ein Dienst Personendaten in Ihrem Auftrag bearbeitet, bleibt Ihr Unternehmen verantwortlich. Art. 9 DSG erlaubt die Übertragung nur unter den gesetzlichen Voraussetzungen. Die Bearbeitung muss auf die zulässige Aufgabe begrenzt sein; der Verantwortliche muss sich insbesondere vergewissern, dass der Anbieter die Datensicherheit gewährleisten kann. Weitere Auftragsbearbeiter benötigen eine vorgängige Genehmigung. Quelle: 4.

Prüfen Sie vertraglich Weisungen, Vertraulichkeit, Unterauftragnehmer, technische Schutzmassnahmen, Unterstützung bei Betroffenenrechten und Vorgehen bei Vorfällen. Klären Sie ausdrücklich, ob Eingaben oder Ausgaben für eigene Zwecke des Anbieters verwendet werden. Eigene Trainingszwecke lassen sich nicht einfach mit der Bezeichnung Auftragsbearbeitung gleichsetzen. Vertragsunterlagen und tatsächliche Einstellungen müssen zusammenpassen.

Schweizer Hosting ist keine vollständige Datenschutzprüfung

Ein Speicherort in der Schweiz beantwortet noch nicht, wer Zugriff hat. Modellanbieter, technische Betreuung, Sicherungskopien und Protokollsysteme können weitere Empfänger oder Länder ins Spiel bringen. Zeichnen Sie deshalb den gesamten Datenfluss nach, nicht nur den Standort der Hauptdatenbank.

Für Auslandbekanntgaben gelten Art. 16 und 17 DSG. Bei einem vom Bundesrat festgestellten angemessenen Schutz ist die Ausgangslage anders als ohne einen solchen Entscheid. Fehlt er, kommen insbesondere geeignete Garantien oder gesetzliche Ausnahmen in Betracht. Ob diese im konkreten Fall genügen und zusätzliche Massnahmen nötig sind, muss geprüft werden. Eine Vertragsklausel ist kein universeller Freipass.

Hohe Risiken und automatisierte Entscheidungen erkennen

Eine Datenschutzfolgenabschätzung ist nach Art. 22 DSG erforderlich, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für Persönlichkeit oder Grundrechte mit sich bringt. KI allein löst diese Pflicht nicht automatisch aus. Art, Umfang, Umstände und Zweck der Bearbeitung sowie neue Technologien sind relevant. Besonders sensible Personaldaten oder weitreichende Bewertungen können eine genauere Prüfung verlangen. Quelle: 1.

Art. 21 DSG betrifft Entscheidungen, die ausschliesslich auf automatisierter Bearbeitung beruhen und mit einer Rechtsfolge verbunden sind oder die betroffene Person erheblich beeinträchtigen. Grundsätzlich muss der Verantwortliche informieren und auf Antrag ermöglichen, den Standpunkt darzulegen und die Entscheidung von einem Menschen überprüfen zu lassen. Gesetzliche Ausnahmen bleiben vorbehalten. Ein unverbindlicher Textvorschlag ist nicht automatisch eine solche Entscheidung.

Sicherheit, Vorfälle und Betroffenenrechte organisieren

Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. In der Praxis kommen etwa abgestufte Berechtigungen, sichere Zugänge, begrenzte Protokollinhalte und regelmässig geprüfte Konfigurationen infrage. Bestimmen Sie zudem, wer Auskunftsbegehren nach Art. 25 bearbeitet und wo personenbezogene Eingaben sowie Ausgaben gefunden werden können.

Nach Art. 24 DSG meldet der Verantwortliche dem EDÖB eine Verletzung der Datensicherheit so rasch als möglich, wenn sie voraussichtlich zu einem hohen Risiko führt. Das DSG setzt hierfür keine allgemeine Frist von 72 Stunden. Auftragsbearbeiter informieren den Verantwortlichen so rasch als möglich; betroffene Personen sind unter den gesetzlichen Voraussetzungen ebenfalls zu informieren. Ein dokumentierter interner Meldeweg hilft, diese Prüfung rechtzeitig vorzunehmen.

Den KI Einsatz verantwortbar vorbereiten

Legen Sie vor der Freigabe Verantwortlichkeit, zulässige Zwecke, freigegebene Werkzeuge und ausgeschlossene Daten fest. Prüfen Sie danach Anbieter, Datenflüsse, Information, Rechte und Risiken. Schulen Sie Mitarbeitende auch für Fehlerfälle: Unbeabsichtigt eingegebene Personendaten sollten gemeldet werden können, statt im Alltag unbemerkt zu bleiben.

Procera beschreibt unter anderem Dokumentenverarbeitung, Assistenten und Systemintegration. Besprechen Sie über KI Automatisierung, wie Ihr Ablauf mit klaren Zugriffsrechten und menschlichen Prüfschritten gestaltet werden kann. Dieser Ratgeber ersetzt keine rechtliche Einzelfallprüfung; besonders bei sensiblen Daten und erheblichen Entscheidungen sollte passende Fachberatung beigezogen werden.

Häufige Fragen