Wann ist eine Datenschutz-Folgenabschätzung zu prüfen?

Das Problem

Sie planen einen Chatbot, der mit Kundendaten, Personalunterlagen oder Gesundheitsangaben arbeiten könnte. Im Internet lesen Sie von einer «Datenschutz-Folgenabschätzung» und fragen sich: Brauchen wir das auch? Ist das ein dicker Bericht, den nur Juristen schreiben können?

Sie wissen nicht, ob Ihr Chatbot-Vorhaben eine vertiefte Datenschutzprüfung braucht. Diese Unsicherheit ist verbreitet, denn der Begriff klingt gewaltig und die Grenze ist nicht immer eindeutig.

Die gute Nachricht: Der Grundgedanke ist einfach. Bevor Sie etwas einführen, das Menschen ernsthaft betreffen könnte, denken Sie schriftlich über die Risiken nach. Wie umfangreich das ausfällt, hängt vom Einzelfall ab.

So lösen Sie es mit KI – Schritt für Schritt

1. Verstehen Sie den Begriff. Eine Datenschutz-Folgenabschätzung (kurz DSFA) ist eine Risikoprüfung vor Beginn einer Datenbearbeitung. Das Schweizer Datenschutzgesetz (DSG) sieht sie vor, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt.

1. Beschreiben Sie Ihr Vorhaben. Halten Sie in einem Absatz fest: Was soll der Chatbot tun, für wen, mit welchen Daten, wo werden sie bearbeitet und wer hat Zugriff?

1. Prüfen Sie die Daten. Enthält der Chatbot Personendaten? Besonders schützenswert sind zum Beispiel Gesundheitsdaten oder Angaben zu Religion, Gewerkschaft oder Sozialhilfe. Das Gesetz zählt sie ausdrücklich auf. Mehr dazu in der Checkliste für vertrauliche Daten.

1. Achten Sie auf Warnsignale. Mehr Risiko entsteht bei vielen betroffenen Personen, bei besonders schützenswerten Daten, bei automatischen Entscheiden mit Folgen für Menschen, bei Auswertungen von Verhalten oder bei Datenübermittlung ins Ausland.

1. Halten Sie die Datenflüsse fest. Zeichnen Sie auf, wohin Daten gehen. Siehe Datenflüsse dokumentieren.

1. Bewerten Sie Risiken und Gegenmassnahmen. Notieren Sie: Was könnte schiefgehen (falsche Auskunft, Datenabfluss, Zugriff Unbefugter)? Wie wahrscheinlich ist es, wie schwer wären die Folgen, was verhindern wir?

1. Holen Sie fachlichen Rat. Ob eine DSFA im Einzelfall verlangt ist, beurteilt am sichersten eine Fachperson. Das gilt besonders bei sensiblen Daten oder grossen Datenmengen.

1. Dokumentieren und überprüfen Sie. Halten Sie das Ergebnis schriftlich fest und legen Sie einen Termin zur Überprüfung fest, etwa nach grösseren Änderungen am Chatbot.

Vorlage zum Kopieren

Mit dieser Vorlage ordnen Sie Ihr Vorhaben für das Gespräch mit einer Fachperson:

Du bist Assistent für die Vorbereitung einer Datenschutzprüfung in einem Schweizer KMU. Du ersetzt keine Rechtsberatung. Hilf mir, mein Chatbot-Vorhaben so zu beschreiben, dass eine Fachperson rasch beurteilen kann, ob eine Datenschutz-Folgenabschätzung nötig ist.

Vorhaben: [Was soll der Chatbot tun?]
Betroffene Personen: [Kundschaft, Mitarbeitende, Patientinnen, andere; ungefähre Anzahl]
Daten: [z. B. Name, E-Mail, Vertragsdaten, Gesundheitsangaben, Personalakten]
Wo bearbeitet: [Schweiz / EU / USA / weiss ich nicht]
Anbieter und Modell: [Name oder «unbekannt»]
Automatische Entscheide: [ja/nein, welche]

Erstelle:
1. Eine einseitige Beschreibung des Vorhabens in einfacher Sprache.
2. Eine Tabelle möglicher Risiken (Beschreibung, mögliche Folge, mögliche Massnahme).
3. Fünf Fragen, die ich einer Datenschutzfachperson stellen sollte.
4. Eine Liste der Informationen, die noch fehlen.

Gib keine rechtliche Beurteilung ab und erfinde keine Paragraphen. Wenn du etwas nicht sicher weisst, schreibe es.

Fügen Sie Ihre Angaben ein. Das Ergebnis ist Vorbereitung und ersetzt weder die Prüfung noch die Beratung.

Worauf Sie achten müssen

• Keine Rechtsberatung: Diese Seite erklärt Grundsätze. Pflichten und Ausnahmen im Einzelfall muss eine Fachperson beurteilen.
• Früh prüfen: Eine Prüfung ist vor dem Start sinnvoll, nicht danach. Wer erst nach der Einführung nachdenkt, muss unter Umständen teuer umbauen.
• Anbieter einbeziehen: Fragen Sie Ihren Anbieter nach Datenfluss, Standort und Unterauftragnehmern. Siehe Unterauftragnehmer prüfen.
• Weniger Daten, weniger Risiko: Der einfachste Schutz ist, gar keine Personendaten in den Chatbot zu geben.
• Mitarbeitende einbinden: Beschreiben Sie das Vorhaben auch gegenüber Mitarbeitenden, wenn deren Daten betroffen sind.
• Dokumentation aufbewahren: Halten Sie Entscheide und Begründungen schriftlich fest, auch wenn Sie zum Schluss keine vollständige DSFA erstellen.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Physiotherapie-Praxis in Rapperswil möchte einen Chatbot, der Patientinnen bei Terminfragen und Vorbereitungen hilft. Die Praxisleiterin überlegt, ob der Chatbot auch Beschwerden und Diagnosen entgegennehmen soll.

Vorher: Sie plant, möglichst viel im Chat zu erfassen. Nachher: Mit der Vorlage beschreibt sie das Vorhaben und erkennt, dass Gesundheitsangaben besonders schützenswert sind. Sie holt eine Datenschutzberatung dazu und entscheidet, dass der Chatbot nur allgemeine Fragen und Terminwünsche ohne Beschwerden aufnimmt. Medizinische Angaben bleiben beim persönlichen Gespräch. Das Risiko sinkt, und die Dokumentation ist einfach.

So hilft Ihnen Alpasana

Bei der Planung eines Chatbots mit Blick auf Prozesse, Datenflüsse und Einsatzregeln unterstützt die KI-Beratung und digitale Transformation der Alpasana GmbH. Nach Leistungsbeschreibung gehören dazu das Aufnehmen von Prozessen, das Priorisieren von Vorhaben und die Integration von KI-Agenten mit Anwendungsfall, Pilot und Einsatzregeln. Die rechtliche Beurteilung im Einzelfall bleibt bei einer Fachperson. Projekte werden individuell offeriert.

Häufige Fragen

Brauche ich für jeden Chatbot eine DSFA?

Nein. Entscheidend ist, ob die Bearbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Ein Chatbot, der nur öffentliche Firmeninformationen beantwortet, ist meist weniger heikel als einer mit Gesundheits- oder Personalfragen. Im Zweifel beraten lassen.

Wer erstellt die Folgenabschätzung?

Verantwortlich ist der Betrieb, der die Daten bearbeitet. Unterstützung erhalten Sie von Datenschutzberatern, internen Verantwortlichen oder Juristen. Der Chatbot-Anbieter kann Informationen liefern, trägt aber nicht automatisch Ihre Verantwortung.

Was, wenn ich unsicher bin?

Beginnen Sie mit der Beschreibung des Vorhabens und der Datenflüsse. Mit diesen Unterlagen kann eine Fachperson rasch einschätzen, wie weit eine vertiefte Prüfung nötig ist. Auskünfte und Hilfsmittel bietet auch der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.