Leitfaden · Datenschutzgesetz Schweiz
Das Schweizer Datenschutzgesetz (revDSG) und KI-Tools im Unternehmen
Closed Beta / geschlossene Pilotphase: Die rechtlichen Dokumente bilden den aktuellen Entwicklungs- und Betriebsstand ab.
Kontaktstelle
PromptAudit™ Switzerland, c/o Vault Operations, Rapperswil-Jona, Schweiz. Für rechtliche, datenschutzbezogene oder vertragliche Anfragen: info@promptaudit-vault.ch
Gilt das DSG für künstliche Intelligenz?
Ja. Das revidierte Datenschutzgesetz ist seit dem 1. September 2023 in Kraft und technologieneutral formuliert. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat festgehalten, dass es direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Sobald Mitarbeitende Personendaten in einen KI-Dienst eingeben, gelten die Bearbeitungsgrundsätze des DSG.
1. Bearbeitungsgrundsätze und Datenschutz durch Technik (Art. 6–7 DSG)
Bearbeitungen müssen rechtmässig, verhältnismässig, zweckgebunden und für Betroffene erkennbar sein. Unternehmen müssen Systeme so gestalten, dass nur die nötigen Daten bearbeitet werden — etwa indem Namen, IBAN oder AHV-Nummern vor der Eingabe in KI-Tools maskiert werden.
2. Datensicherheit (Art. 8 DSG)
Verlangt sind angemessene technische und organisatorische Massnahmen, zum Beispiel Verschlüsselung, Zugriffsbeschränkungen und nachvollziehbare Protokollierung der KI-Nutzung.
3. Auftragsbearbeitung und Auslandbekanntgabe (Art. 9, 16–17 DSG)
KI-Anbieter sind häufig Auftragsbearbeiter mit Sitz oder Rechenzentren im Ausland. Erforderlich sind ein Vertrag nach Art. 9 DSG sowie für Staaten ohne angemessenes Schutzniveau geeignete Garantien, etwa Standardvertragsklauseln.
4. Informationspflicht und automatisierte Entscheide (Art. 19, 21 DSG)
Betroffene sind über die Datenbeschaffung zu informieren, einschliesslich Empfänger im Ausland. Wird eine Entscheidung mit rechtlicher Wirkung ausschliesslich automatisiert getroffen, muss dies mitgeteilt und auf Wunsch eine Überprüfung durch eine natürliche Person ermöglicht werden.
5. Datenschutz-Folgenabschätzung (Art. 22 DSG)
Birgt ein KI-Einsatz voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte, etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten oder Profiling, ist vorab eine Datenschutz-Folgenabschätzung durchzuführen.
6. Verzeichnis und Meldung von Verletzungen (Art. 12, 24 DSG)
KI-gestützte Bearbeitungen gehören in das Verzeichnis der Bearbeitungstätigkeiten (Ausnahmen für Unternehmen unter 250 Mitarbeitenden bei geringem Risiko). Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko sind dem EDÖB so rasch als möglich zu melden.
7. Sanktionen
Bei vorsätzlicher Verletzung bestimmter Pflichten, etwa der Informations- oder Sorgfaltspflichten, drohen den verantwortlichen natürlichen Personen Bussen bis CHF 250'000.
Praktische Checkliste
Freigegebene KI-Tools festlegen · Datenklassen und Verbote definieren · Personendaten vor Eingabe maskieren · Verträge und Auslandbekanntgabe prüfen · Nutzung verschlüsselt protokollieren · Mitarbeitende schulen · Richtlinie jährlich überprüfen.
Eine Vorlage für die interne Regelung finden Sie in unserer KI-Richtlinie (Muster).
Wie PromptAudit unterstützen kann
PromptAudit verschlüsselt KI-Interaktionen im Browser und protokolliert sie in einer manipulationsnachweisbaren SHA-256-Hashkette. Das Produkt befindet sich in einer geschlossenen Pilotphase, ist nicht zertifiziert und ersetzt keine rechtliche Prüfung.