Was ist bei Chatbot-Daten im Ausland zu prüfen?

Das Problem

Ihr Chatbot wirkt wie ein einfaches Fenster auf Ihrer Website. Dahinter arbeiten aber oft mehrere Firmen: ein Anbieter der Software, ein Rechenzentrum, ein Betreiber des KI-Modells. Diese können in verschiedenen Ländern sitzen.

Für Sie wird das wichtig, sobald Personendaten im Spiel sind, also Namen, E-Mail-Adressen oder Angaben in Kundenfragen. Das Schweizer Datenschutzgesetz (DSG) kennt dafür Regeln zur Bekanntgabe ins Ausland. Dazu zählt nicht nur das Speichern im Ausland, sondern auch, dass jemand im Ausland die Daten einsehen kann.

Viele KMU wissen nicht, wohin ihre Chatdaten wirklich gehen. Das Risiko ist nicht nur rechtlich: Wer es nicht weiss, kann Kundschaft auf Nachfrage keine klare Auskunft geben.

So lösen Sie es mit KI – Schritt für Schritt

1. Beteiligte auflisten. Notieren Sie, wer am Chatbot beteiligt ist: Softwareanbieter, Hoster, Modellanbieter, Support. Fragen Sie Ihren Anbieter nach einer Liste seiner Unterauftragnehmer.

1. Länder und Zugriffe klären. Fragen Sie je Beteiligtem: In welchem Land liegen die Daten? Aus welchen Ländern kann zugegriffen werden, etwa vom Support?

1. Personendaten abgrenzen. Prüfen Sie, welche Chatdaten Personendaten enthalten. Reine Produktfragen ohne Personenbezug sind weniger heikel. Oft schreiben Menschen aber Namen und Anliegen in das Chatfenster.

1. Schutzniveau des Landes prüfen. Das DSG verlangt für die Bekanntgabe ins Ausland, dass ein angemessener Schutz gewährleistet ist. Der Bundesrat veröffentlicht, welche Staaten dies erfüllen. Die aktuelle Liste finden Sie über die Quellen unten.

1. Fehlt das Schutzniveau, Garantien verlangen. Dann braucht es zusätzliche Garantien, meist einen Vertrag mit besonderen Klauseln. Fragen Sie den Anbieter, welche er verwendet.

1. Mit KI die Fragen vorbereiten. Lassen Sie sich mit der Vorlage unten einen Fragenkatalog für das Anbietergespräch erstellen.

1. Ergebnis dokumentieren. Halten Sie Länder, Beteiligte, Vertragsgrundlage und Prüfdatum fest. Aktualisieren Sie die Liste bei Anbieterwechseln.

1. Bei Zweifeln fachlich prüfen lassen. Für verbindliche Aussagen ziehen Sie eine Datenschutz- oder Rechtsfachperson bei.

Vorlage zum Kopieren

Du unterstützt ein Schweizer KMU bei der Vorbereitung eines Anbietergesprächs. Du gibst keine Rechtsberatung.

Unser Chatbot: [Zweck, z. B. Kundenfragen auf der Website]
Anbieter und bekannte Beteiligte: [Namen, falls bekannt]
Daten, die im Chat vorkommen können: [z. B. Namen, E-Mail, Anliegen]

Erstelle:
1. Eine Liste von 10 Fragen an den Anbieter zu Standort der Daten, Zugriff aus dem Ausland, Unterauftragnehmern und Vertragsgrundlage.
2. Eine Tabelle zum Ausfüllen mit den Spalten: Beteiligter, Land der Speicherung, Länder mit Zugriff, Vertragsgrundlage, Antwort erhalten am.
3. Drei Punkte, bei denen ich eine Fachperson beiziehen sollte.

Schreibe einfach, in Schweizer Rechtschreibung. Erfinde keine Rechtsgrundlagen.

Passen Sie die Platzhalter an Ihren Chatbot an. Die ausgefüllte Tabelle ist Ihr Nachweis, dass Sie nachgefragt haben.

Worauf Sie achten müssen

• Zugriff zählt: Auch Einsicht aus dem Ausland, zum Beispiel beim Support, kann eine Bekanntgabe sein.
• Listen ändern sich: Länderlisten und Regelungen werden angepasst. Prüfen Sie den Stand bei der Quelle und nicht nach Erinnerung.
• EU-Bezug: Haben Sie Kundschaft in der EU, kann zusätzlich die DSGVO gelten. Das klären Sie im Einzelfall.
• Vertrauliche Daten: Geschäftsgeheimnisse ohne Personenbezug fallen nicht unter das DSG, können aber vertraglich geschützt sein. Siehe vertrauliche Daten.
• KI-Antworten: Verlassen Sie sich nicht auf eine KI für Rechtsfragen. Sie dient hier nur der Vorbereitung.
• Keine Pauschalaussagen: «Alles in Europa» oder «alles verschlüsselt» ersetzt keine Prüfung des Einzelfalls.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in Olten möchte einen Chatbot für Terminfragen. Der Anbieter wirbt mit «Schweizer Lösung». Im Gespräch zeigt sich: Die Software läuft in einem Schweizer Rechenzentrum, das Sprachmodell wird aber über eine Schnittstelle in einem anderen Land abgefragt, und der Support sitzt ebenfalls im Ausland.

Vorher hatte das Büro nur den Firmensitz geprüft. Nachher liegt eine ausgefüllte Tabelle vor. Das Büro entscheidet, im Chat keine Namen zu erfragen, den Anbieter zur Offenlegung der Unterauftragnehmer zu verpflichten und die Vertragsgrundlage von einer Fachperson prüfen zu lassen.

So hilft Ihnen Alpasana

Ein Chatbot-Vorhaben beginnt mit Fragen: Welche Daten fliessen, wer bearbeitet sie, wo ist der Betrieb sinnvoll? Die KI-Beratung und digitale Transformation der Alpasana GmbH umfasst nach Leistungsbeschreibung die Integration von KI-Agenten mit Anwendungsfall, Pilot und Einsatzregeln sowie das Konzipieren von Schnittstellen und das Verbinden von Systemen. Eine Rechtsberatung gehört nicht dazu.

Häufige Fragen

Gilt das auch, wenn nur der Support im Ausland sitzt?

Ja, möglicherweise. Entscheidend ist, ob Personendaten aus dem Ausland einsehbar sind. Fragen Sie deshalb ausdrücklich nach Supportzugriffen. Mehr dazu unter Supportzugriff aus dem Ausland.

Reicht es, wenn der Anbieter «DSGVO-konform» sagt?

Das ist ein Hinweis, aber kein Nachweis für das Schweizer Recht. Lassen Sie sich Standort, Vertragsgrundlage und Unterauftragnehmer schriftlich nennen.

Müssen wir die Kundschaft informieren?

Ihre Datenschutzerklärung soll die Länder nennen, in die Personendaten bekanntgegeben werden. Wie genau, prüfen Sie am besten anhand der Quellen oder mit einer Fachperson. Hilfe bietet die Checkliste zur Datenschutzerklärung.

Was, wenn wir den Chatbot nur intern und ohne Personendaten nutzen?

Dann spielt das DSG für diese Daten keine Rolle. Trotzdem kann es sinnvoll sein, den Standort zu kennen, etwa wegen Geschäftsgeheimnissen oder Kundenverträgen. Fragen Sie auch hier nach, wohin Ihre Dokumente gelangen, und halten Sie die Antwort fest. Sobald später Namen oder Kundenfragen dazukommen, ist die Prüfung nach den Schritten oben nötig.

Wie oft sollten wir das neu prüfen?

Mindestens einmal im Jahr und bei jeder Änderung: neuer Anbieter, neues Modell, neue Funktion oder neue Unterauftragnehmer. Bitten Sie Ihren Anbieter, Sie bei solchen Änderungen vorab schriftlich zu informieren.