Chatbot und Schweizer Datenschutz: Was ist zu prüfen?

Das Problem

Ein Chatbot ist schnell eingerichtet, doch kaum jemand fragt vorher: Welche Daten verarbeitet er eigentlich? Kundinnen schreiben ihren Namen, ihre Telefonnummer und ihr Anliegen in das Chatfenster. Mitarbeitende kopieren Texte aus Mails hinein. All das sind Personendaten, also Angaben, die sich auf bestimmte oder bestimmbare Menschen beziehen.

Damit greift in der Schweiz das Datenschutzgesetz (DSG), das seit dem 1. September 2023 in der revidierten Fassung gilt. Es schützt die Persönlichkeit der Menschen, deren Daten bearbeitet werden. Für Unternehmen bedeutet das: Sie müssen wissen, was mit den Daten geschieht, und dafür geradestehen.

Frau Müller muss dafür keine Juristin sein. Aber sie sollte die richtigen Fragen stellen können, bevor der Chatbot live geht. Diese Seite gibt die Grundsätze und eine Prüfliste. Sie ersetzt keine Rechtsberatung.

So lösen Sie es mit KI – Schritt für Schritt

1. Zweck des Chatbots festhalten. Schreiben Sie in zwei Sätzen auf, wofür er da ist. Der Zweck bestimmt, welche Daten überhaupt nötig sind.
2. Datenarten auflisten. Welche Personendaten können in Gesprächen oder Dokumenten vorkommen? Namen, Kontaktdaten, Kundennummern, Gesundheits- oder Finanzangaben? Besonders schützenswerte Daten brauchen mehr Sorgfalt.
3. Datenfluss aufzeichnen. Wohin gehen die Daten: Ihr System, der Chatbot-Anbieter, ein Modellanbieter, ein Server im Ausland? Siehe Datenflüsse dokumentieren.
4. Verantwortung klären. Ihr Betrieb ist in der Regel der «Verantwortliche», der Anbieter ein «Auftragsbearbeiter». Prüfen Sie den Vertrag. Siehe Auftragsverarbeitung prüfen.
5. Auslandbezug prüfen. Werden Daten ausserhalb der Schweiz bearbeitet oder von dort abgerufen? Dafür gelten besondere Vorgaben. Siehe Daten ins Ausland.
6. Information der Betroffenen sicherstellen. Besucherinnen sollen erfahren, dass sie mit einer KI schreiben und was mit den Daten geschieht. Siehe Datenschutzerklärung-Checkliste.
7. Datensicherheit prüfen. Zugriffsrechte, Verschlüsselung, Protokolle und Löschung müssen geregelt sein.
8. Risiko einschätzen und dokumentieren. Bei hohem Risiko für die betroffenen Personen kann eine Datenschutz-Folgenabschätzung nötig sein. Siehe Folgenabschätzung. Halten Sie Ihre Überlegungen schriftlich fest.

Vorlage zum Kopieren

Dieser Prompt hilft Ihnen, die Fragen für Ihre Datenschutzverantwortliche oder Beratung zu sammeln. Er enthält keine echten Personendaten:

Ich plane den Einsatz eines Chatbots in einem Schweizer Unternehmen ([Branche], [Anzahl] Mitarbeitende).
Zweck: [z. B. Kundenfragen auf der Website beantworten / interne Unterlagen durchsuchen]
Mögliche Daten in den Gesprächen: [z. B. Namen, E-Mail-Adressen, Bestellnummern]
Anbieter und Verarbeitungsort: [Angaben oder «unbekannt»]
Erstelle:
1. Eine Checkliste mit Fragen, die ich vor dem Start klären muss (Verantwortung, Vertrag, Ausland, Information der Betroffenen, Datensicherheit, Löschung).
2. Eine Liste von Unterlagen, die ich beim Anbieter anfordern sollte.
3. Fragen an unsere Datenschutzberatung.
Gib keine rechtliche Beurteilung ab, sondern nur Fragen und Prüfpunkte.

Ergänzen Sie Zweck, Daten und Anbieter und besprechen Sie die Antworten mit einer fachkundigen Person.

Worauf Sie achten müssen

• Verantwortung bleibt bei Ihnen. Wenn ein Anbieter in Ihrem Auftrag Daten bearbeitet, tragen Sie die Verantwortung für die Einhaltung des DSG und müssen den Anbieter sorgfältig auswählen und vertraglich binden.
• Grundsätze. Daten dürfen nur rechtmässig, nach Treu und Glauben und verhältnismässig bearbeitet werden, für einen erkennbaren Zweck, und sie müssen angemessen geschützt sein. Weniger Daten sind besser als mehr.
• Information. Betroffene Personen müssen über die Beschaffung von Personendaten angemessen informiert werden, zum Beispiel über Verantwortliche, Zweck und gegebenenfalls Empfänger.
• Besonders schützenswerte Daten. Gesundheit, Religion, Sozialhilfe und ähnliche Angaben haben im DSG einen erhöhten Schutz. Sie gehören in der Regel nicht in einen allgemeinen Chatbot.
• EU-Bezug. Richtet sich Ihr Angebot gezielt an Personen in der EU, kann zusätzlich die DSGVO relevant sein. Das klären Sie im Einzelfall.
• Einzelfall prüfen. Branchenspezifische Geheimnisse (zum Beispiel Berufsgeheimnisse bei Treuhand, Medizin, Recht) und Vorgaben für Behörden können strenger sein.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Physiotherapie-Praxis in Wettingen möchte einen Website-Chatbot für Terminfragen einsetzen. Die Inhaberin Frau Sutter denkt zunächst nur an Praktisches.

Vorher: Sie hat weder den Anbieter geprüft noch überlegt, dass Patientinnen im Chat Beschwerden schildern könnten. Nachher: Sie hält den Zweck fest (nur Terminabsprache), weist im Chat darauf hin, dass keine Gesundheitsangaben einzutragen sind, und prüft Vertrag und Verarbeitungsort. Zusätzlich lässt sie sich beraten, weil es um Gesundheitsdaten geht, und ergänzt die Datenschutzerklärung.

So hilft Ihnen Alpasana

Damit Ihre Mitarbeitenden Datenschutz im KI-Alltag verstehen, bietet absofort die KI-Weiterbildung für Unternehmen an. Schweizer Praxisbezug und Datenschutz sind Lerninhalte, ebenso der verantwortungsbewusste Umgang mit Unternehmensdaten und der EU AI Act bei EU-Bezug. Sie lernen im eigenen Tempo und erhalten verifizierbare Abschlüsse. Für rechtliche Einzelfragen bleibt eine Fachperson zuständig.

Häufige Fragen

Gilt das DSG auch für kleine Betriebe?

Ja. Das Datenschutzgesetz gilt für private Personen und Unternehmen unabhängig von ihrer Grösse, wenn sie Personendaten bearbeiten. Für bestimmte Pflichten gibt es Erleichterungen für kleine Betriebe, die Sie im Einzelfall prüfen sollten.

Darf ich Kundendaten in einen Chatbot eingeben?

Das hängt von Zweck, Vertrag, Verarbeitungsort und Information der Kunden ab. Als Grundregel gilt: so wenig wie nötig, nur in geprüften Systemen und nie besonders schützenswerte Daten ohne sorgfältige Klärung.

Reicht eine Datenschutzerklärung auf der Website?

Sie ist ein wichtiger Baustein, ersetzt aber nicht die anderen Klärungen wie Vertrag mit dem Anbieter, Datensicherheit und Löschkonzept. Mehr dazu in der Checkliste zur Datenschutzerklärung.

Wer kann mich beraten?

Datenschutzverantwortliche im Betrieb, spezialisierte Anwältinnen und Anwälte oder Beratungsstellen. Allgemeine Informationen bietet der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) auf seiner Website.