revDSG und KI: Was ein Schweizer KMU vor dem Start wissen muss

Künstliche Intelligenz eröffnet KMU viele Möglichkeiten: E-Mails sortieren, Dokumente zusammenfassen, Sprachagenten, interne Assistenten. Sobald diese Tools jedoch Informationen über Personen bearbeiten (Kundinnen und Kunden, Patientinnen und Patienten, Mitarbeitende), kommt der Datenschutz ins Spiel. In der Schweiz ist der massgebende Rahmen das revidierte Bundesgesetz über den Datenschutz, kurz revDSG (neues Datenschutzgesetz).

Dieser Artikel stellt die wichtigsten Eckpunkte vor. Er ist keine Rechtsberatung: Für jede Entscheidung empfehlen wir Ihnen, eine Juristin, einen Juristen oder eine spezialisierte Anwaltskanzlei beizuziehen.

Der Rahmen: ein Gesetz, das seit dem 1. September 2023 gilt

Das revDSG und seine Ausführungsverordnung (DSV) sind am 1. September 2023 in Kraft getreten. Sie ersetzen das alte Gesetz von 1992 und nähern das Schweizer Recht den europäischen Standards an, behalten aber eigene Regeln.

Das Gesetz ist technologieneutral formuliert. Es enthält kein eigenes Kapitel zur KI, gilt aber uneingeschränkt für jede Bearbeitung von Personendaten – auch wenn sie über ein KI-Modell läuft. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat dies in seinen Mitteilungen bekräftigt.

Grundsätze, die im Alltag einzuhalten sind

Mehrere Grundsätze des revDSG betreffen KI-Projekte direkt:

• Transparenz: Die Personen müssen über die Beschaffung ihrer Daten und deren Zweck informiert werden. Konkret muss Ihre Datenschutzerklärung die tatsächlich eingesetzten Tools widerspiegeln. Wird eine Entscheidung ausschliesslich automatisiert getroffen und hat sie erhebliche Auswirkungen auf eine Person, sieht das Gesetz grundsätzlich eine besondere Informationspflicht vor.
• Zweckbindung und Verhältnismässigkeit: Es werden nur die Daten beschafft, die für den angegebenen Zweck nötig sind. Das ist der Grundsatz der Datenminimierung. Bevor Sie ein ganzes Dokument an ein KI-Tool senden, fragen Sie sich, ob alle darin enthaltenen Informationen nützlich sind.
• Richtigkeit: Die bearbeiteten Daten müssen korrekt sein. Ein von einer KI erzeugtes Ergebnis muss überprüft und berichtigt werden können.
• Sicherheit: Der Verantwortliche muss dem Risiko angemessene technische und organisatorische Massnahmen treffen: Zugriffsverwaltung, Verschlüsselung, Protokollierung, Datensicherungen.
• Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen: Die Standardeinstellungen eines Tools müssen die Bearbeitung auf das absolut Nötige beschränken.

Birgt die Bearbeitung ein hohes Risiko für die betroffenen Personen, sieht das Gesetz eine Datenschutz-Folgenabschätzung vor, die vor der Bearbeitung durchzuführen ist.

Verzeichnis, Verletzungen und Auftragsbearbeiter

Drei praktische Pflichten verdienen besondere Aufmerksamkeit:

• Verzeichnis der Bearbeitungstätigkeiten: Das revDSG verlangt grundsätzlich ein Verzeichnis, das die vorgenommenen Bearbeitungen beschreibt. Die Verordnung sieht eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitenden vor, es sei denn, sie bearbeiten umfangreich besonders schützenswerte Personendaten oder führen ein Profiling mit hohem Risiko durch. Auch wenn es nicht obligatorisch ist, bleibt ein einfaches Verzeichnis ein gutes Steuerungsinstrument.
• Meldung von Verletzungen: Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen, muss der Verantwortliche sie so rasch wie möglich dem EDÖB melden. Der EDÖB stellt dafür auf seiner Website ein Meldeformular zur Verfügung.
• Auftragsbearbeitung: Bearbeitet ein Dienstleister (Anbieter eines KI-Tools, Hoster) Daten in Ihrem Auftrag, muss ein Vertrag diese Bearbeitung regeln, und Sie bleiben dafür verantwortlich, sich zu vergewissern, dass der Dienstleister die Datensicherheit gewährleistet.

Bekanntgabe von Daten ins Ausland

Viele KI-Dienste laufen auf Servern ausserhalb der Schweiz. Das revDSG regelt diese Bekanntgaben:

• Der Bundesrat veröffentlicht eine Liste der Staaten mit angemessenem Datenschutzniveau. Bekanntgaben in diese Länder sind grundsätzlich möglich.
• Für andere Länder braucht es Garantien, zum Beispiel vom EDÖB anerkannte Standarddatenschutzklauseln.
• Die Datenschutzerklärung muss die Empfängerländer angeben.

Das ist einer der Gründe, warum viele KMU wenn möglich ein Datenhosting in der Schweiz bevorzugen. Das entbindet nicht von den übrigen Pflichten, vereinfacht aber die Frage der Bekanntgabe ins Ausland.

So arbeiten wir

Bei LYL Software berücksichtigen wir diese Fragen ab der Konzeption eines Projekts für KI und Automatisierung:

• Wir ermitteln mit Ihnen die betroffenen Personendaten und beschränken, was an die Modelle gesendet wird;
• wir bevorzugen wenn möglich ein Hosting in der Schweiz (Infomaniak) und dokumentieren allfällige ausländische Dienstleister;
• wir sehen Zugriffsverwaltung, Protokollierung und eine menschliche Freigabe bei wichtigen Entscheidungen vor;
• wir liefern Ihnen die technischen Informationen, die Sie für Ihr Verzeichnis und Ihre Datenschutzerklärung benötigen.

Wir sind keine Juristen. Um Ihre Konformität zu bestätigen, insbesondere in sensiblen Branchen wie Arztpraxen oder Versicherung und Maklerwesen, ziehen Sie eine Juristin, einen Juristen oder eine spezialisierte Anwaltskanzlei bei. Die offiziellen Websites admin.ch und edoeb.admin.ch veröffentlichen zudem nützliche Leitfäden.