Dokumenten-Center

Welcher Gesetzesartikel wie adressiert wird

Zuordnung der massgeblichen Artikel des Schweizer Datenschutzgesetzes (SR 235.1) zu den Funktionen von PromptAudit. PromptAudit unterstützt die Erfüllung dieser Pflichten; die Verantwortung bleibt beim Unternehmen.

• Art. 6 DSG

  Bearbeitungsgrundsätze (Verhältnismässigkeit, Zweckbindung)

  Lokale RAM-Maskierung von Namen, IBAN und AHV-Nummern vor dem Versand an KI-Dienste

  Reduziert die Menge übermittelter Personendaten

  Technisch umgesetzt (Pilot)

• Art. 7 DSG

  Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

  Maskierung und Verschlüsselung sind standardmässig aktiv, nicht optional

  Technische Voreinstellung statt Mitarbeiterdisziplin

  Technisch umgesetzt (Pilot)

• Art. 8 DSG

  Datensicherheit (angemessene TOM)

  AES-256-GCM-Verschlüsselung im Browser mit PBKDF2-Schlüsselableitung; Backend speichert nur Chiffrat

  Siehe TOM-Katalog in Anhang 2 des AVV

  Technisch umgesetzt (Pilot)

• Art. 9 DSG

  Bearbeitung durch Auftragsbearbeiter

  Schweizer Auftragsverarbeitungsvertrag (AVV) mit Liste der Unterauftragsbearbeiter

  Vertragsvorlage, vor Abschluss juristisch zu prüfen

  Vertraglich geregelt

• Art. 16–17 DSG

  Bekanntgabe ins Ausland

  Jurisdiktionsprüfung blockiert US-Speicheranbieter für BYOS; Zielarchitektur Schweizer Rechenzentren

  Wahl des KI-Anbieters bleibt Verantwortung des Kunden

  Unterstützt – Pflicht beim Kunden

• Art. 12 DSG

  Verzeichnis der Bearbeitungstätigkeiten

  Exportierbare Audit-Protokolle als Grundlage für das Verzeichnis

  Das Verzeichnis selbst führt der Verantwortliche

  Unterstützt – Pflicht beim Kunden

• Art. 22 DSG

  Datenschutz-Folgenabschätzung

  Technische Dokumentation und Risikorechner als Input für die DSFA

  Die DSFA führt der Verantwortliche durch

  Unterstützt – Pflicht beim Kunden

• Art. 24 DSG

  Meldung von Verletzungen der Datensicherheit

  Append-only SHA-256-Hashkette (WORM) zur Rekonstruktion; Meldefrist 48 Stunden gemäss AVV

  Meldung an den EDÖB erfolgt durch den Verantwortlichen

  Vertraglich geregelt

Allgemeine Information, keine Rechtsberatung. PromptAudit befindet sich in einer geschlossenen Pilotphase und ist nicht zertifiziert. Die Matrix ersetzt keine Prüfung durch Ihre Datenschutzberatung.

Wer wofür verantwortlich ist

Verschlüsselung schützt Daten mathematisch, solange der Schlüssel geheim bleibt und das Endgerät nicht kompromittiert ist. Deshalb sind die Verantwortlichkeiten klar aufgeteilt.

Allgemeine Information, keine Rechtsberatung und keine Garantie absoluter Sicherheit. Die GeBüV-Einordnung beschreibt ein Designziel; ob die Aufbewahrung im Einzelfall den Anforderungen genügt, ist durch Ihre Revisionsstelle zu beurteilen. Pilotphase, keine Zertifizierung.

Viren-Resistenz: So ist das System selbst geschützt

Diese Massnahmen verringern die Angriffsfläche auf Server, Cloud und Browser-Erweiterung. Sie ergänzen den Virenschutz auf Ihren Endgeräten, ersetzen ihn aber nicht.

• Isolierte Server-Umgebung

  Serverfunktionen laufen in isolierten, verwalteten Laufzeitumgebungen ohne eigene Server-Zugänge, die wir selbst betreiben müssten.

• Keine Programm-Uploads

  Das System nimmt von aussen keine ausführbaren Dateien entgegen. Formulareingaben werden geprüft und begrenzt.

• Nur Chiffrate in der Cloud

  Auch bei einem Server-Vorfall liegen Prompts und Antworten nur als AES-256-GCM-Chiffrat vor, ohne Schlüssel.

• Abgeschottete Browser-Erweiterung

  Manifest V3 trennt die Erweiterung von besuchten Webseiten (Isolated Worlds). Webseiten-Skripte erhalten keinen direkten Zugriff.

• Kein nachgeladener Fremdcode

  Der Code der Erweiterung ist fest im Paket enthalten; Manifest V3 untersagt das Ausführen von aus dem Internet nachgeladenem Code.

• Browser-eigene Kryptografie

  Verschlüsselung nutzt die integrierte WebCrypto-Schnittstelle des Browsers statt eigener Krypto-Bibliotheken.

Pilotphase: Store-Freigabe und Penetrationstest stehen noch aus. Keine Zertifizierung. Absolute Sicherheit kann kein System garantieren.

Endgeräte schützen: 5 Massnahmen gegen Viren und Lücken

PromptAudit verschlüsselt Eingaben im Browser. Ist das Gerät selbst mit Schadsoftware befallen, kann diese Text jedoch abgreifen, bevor er verschlüsselt wird. Diese Massnahmen liegen in der Verantwortung Ihres Unternehmens.

1. 01

   Aktiver Virenschutz / EDR

   Microsoft Defender for Endpoint oder eine gleichwertige EDR-Lösung auf allen Arbeitsplätzen aktivieren. So werden Spionagesoftware und Keylogger erkannt, bevor sie Eingaben vor der Verschlüsselung abgreifen können.

2. 02

   Automatische Updates

   Betriebssystem (Windows, macOS) und Browser (Chrome, Edge, Firefox) zentral und automatisch aktualisieren, damit bekannte Sicherheitslücken rasch geschlossen werden.

3. 03

   Kontrolle der Browser-Erweiterungen

   Fremde Erweiterungen können Webseiteninhalte mitlesen. Per Intune/GPO nur geprüfte Erweiterungen zulassen (Freigabeliste) und alle übrigen sperren.

4. 04

   Geräte-Vollverschlüsselung

   BitLocker (Windows) bzw. FileVault (macOS) aktivieren, damit bei Verlust oder Diebstahl keine lokalen Daten ausgelesen werden können.

5. 05

   Sichere Schlüsselverwaltung

   Passphrase bzw. Firmenschlüssel nur in einem Firmen-Passwortmanager aufbewahren, nie per E-Mail oder Chat teilen und nie an den Support senden. Zugänge mit Mehrfaktor-Authentifizierung schützen.

Empfehlungen zur Orientierung, keine abschliessende Sicherheitsberatung. Genannte Produkte sind Beispiele ohne Partnerschaft. Absolute Sicherheit kann kein System garantieren.