Welche Angaben sind personenbezogene Daten?

Das Problem

Sie möchten eine schwierige Kundenmail von der KI beantworten lassen. Den Namen haben Sie schon gelöscht. Trotzdem stehen da noch die Bestellnummer, der Wohnort und der Hinweis, dass die Kundin seit ihrer Hüftoperation nicht mehr Auto fährt.

Ist das nun heikel oder nicht? Viele Menschen denken bei Datenschutz nur an Namen und Adressen. Das Gesetz versteht den Begriff aber viel weiter.

Wer hier unsicher ist, gibt entweder zu viel preis oder traut sich gar nicht, KI zu nutzen. Beides ist unnötig, wenn man weiss, worauf man achten muss.

Einfach erklärt

Das Schweizer Datenschutzgesetz (DSG) nennt sie Personendaten: alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. In der EU spricht die Datenschutz-Grundverordnung (DSGVO) von personenbezogenen Daten. Gemeint ist im Kern dasselbe.

• Bestimmt heisst: Die Person ist direkt genannt, etwa mit Namen.
• Bestimmbar heisst: Man kann mit vertretbarem Aufwand herausfinden, um wen es geht, auch ohne Namen.

Darum ist «die Inhaberin der einzigen Bäckerei in Gais» eine Personenangabe, obwohl kein Name fällt.

Einige Daten gelten als besonders schützenswert, weil ihre Bekanntgabe Menschen stark schaden kann. Dazu zählen nach DSG unter anderem Angaben zur Gesundheit, zur religiösen oder politischen Haltung, zur Ethnie, genetische und bestimmte biometrische Daten sowie Angaben zu Strafverfahren oder Sozialhilfe. Mehr dazu erklärt Sensible Daten und KI.

So lösen Sie es mit KI – Schritt für Schritt

Gehen Sie vor jeder KI-Eingabe diese Checkliste durch:

So setzen Sie die Checkliste um:

1. Text vollständig lesen: Gehen Sie den Text Satz für Satz durch, auch Betreffzeile, Signatur und Anhänge.
2. Direkte Angaben markieren: Markieren Sie Namen, Adressen, Telefonnummern und Kennnummern farbig.
3. Indirekte Angaben suchen: Fragen Sie sich: Könnte jemand aus meinem Umfeld anhand der übrigen Angaben erraten, wer gemeint ist?
4. Besonders Schützenswertes erkennen: Achten Sie auf Gesundheit, Familie, Religion, Strafverfahren und finanzielle Notlagen.
5. Nötiges vom Unnötigen trennen: Streichen Sie alles, was die KI für die Aufgabe nicht braucht. Für eine freundliche Antwort ist die Diagnose meist nicht nötig.
6. Platzhalter einsetzen: Ersetzen Sie, was bleiben muss, durch Platzhalter wie [Kundin] oder [Ort]. Wann das genügt, erklärt Anonymisieren und pseudonymisieren.
7. KI zur Kontrolle nutzen: Lassen Sie einen bereits bereinigten Text zusätzlich von der KI auf übersehene Angaben prüfen.

Vorlage zum Kopieren

Nutzen Sie diesen Prompt nur mit einem Text, den Sie bereits grob bereinigt haben, oder in einem vom Betrieb freigegebenen Werkzeug:

Prüfe den folgenden Text auf personenbezogene Daten nach Schweizer Datenschutzgesetz.
Text: «[bereinigter Text]»
1. Liste alle Angaben auf, die eine Person direkt oder indirekt erkennbar machen könnten.
2. Markiere besonders schützenswerte Angaben (z. B. Gesundheit, Religion, Strafverfahren).
3. Schlage für jede Angabe einen neutralen Platzhalter vor.
4. Gib den Text mit den Platzhaltern neu aus.
Ändere sonst nichts am Inhalt.

Ersetzen Sie den Platzhalter durch Ihren Text; die Liste der KI ist eine Hilfe, Ihre eigene Durchsicht bleibt massgebend.

Worauf Sie achten müssen

• Die KI übersieht auch etwas: Eine automatische Prüfung ist nie vollständig. Indirekte Hinweise in Nebensätzen werden leicht übersehen.
• Kleine Orte, kleine Firmen: In einem Dorf oder einem Kleinbetrieb reichen wenige Merkmale, um eine Person zu erkennen. Seien Sie hier besonders vorsichtig.
• Fotos und Dokumente: Auf Bildern und Scans stecken oft Namensschilder, Unterschriften oder Adressen im Hintergrund.
• Pflichten bleiben bei Ihnen: Wer Personendaten in einen KI-Dienst eingibt, bearbeitet sie im Sinne des DSG. Informationen bietet der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB); im Einzelfall lohnt eine fachliche Prüfung.
• Berufsgeheimnisse: In Arztpraxen, Anwaltskanzleien oder Treuhandbüros gelten zusätzliche Geheimhaltungspflichten. Die rechtliche Seite vertieft Personendaten für KI erkennen.

Ein Beispiel aus der Praxis

Ein Beispiel: Die Leiterin einer Spitex-Geschäftsstelle im Emmental wollte einen Beschwerdebrief einer Angehörigen mit KI beantworten. Der Name der Klientin war bereits gestrichen.

Vorher standen im Text noch die Strasse, das Alter, die Diagnose und der Name der zuständigen Pflegefachfrau. Mit der Checkliste fielen ihr diese Angaben auf. Nachher enthielt der Text nur noch das Anliegen: unpünktliche Einsätze am Morgen. Die KI half beim freundlichen, sachlichen Ton, und die persönlichen Details ergänzte sie erst im fertigen Brief.

So hilft Ihnen Alpasana

Damit alle im Team Personendaten sicher erkennen, bietet Linup: KI sicher am Arbeitsplatz einen kompakten Online-Kurs mit acht Modulen und Quiz. Der Umgang mit Daten ist ein Kernthema, ebenso das Prüfen von KI-Ergebnissen. Technikkenntnisse sind nicht nötig, die beschriebene Lernzeit beträgt zwei bis drei Stunden.

Jede Person erhält ein Zertifikat mit QR-Code, und der Betrieb bekommt eine Nachweismappe mit Abschlussdatum und Ergebnis. Ein kostenloser KI-Risiko-Check hilft beim Einstieg.

Häufige Fragen

Sind Daten von Firmen auch Personendaten?

Nach dem revidierten Schweizer DSG nicht mehr, es schützt nur natürliche Personen. Bei einer Einzelfirma oder Kleinstfirma sind Firmenangaben aber oft gleichzeitig Angaben über die Inhaberin. Zudem können Geschäftsgeheimnisse und Verträge Vertraulichkeit verlangen.

Sind öffentlich bekannte Angaben unproblematisch?

Nicht automatisch. Auch eine Adresse aus dem Telefonbuch bleibt eine Personenangabe. Ob Sie sie für einen bestimmten Zweck verwenden dürfen, hängt von den Umständen ab.

Gilt das auch für Daten von Mitarbeitenden?

Ja. Lohnangaben, Absenzen, Beurteilungen oder Krankmeldungen sind Personendaten, teils besonders schützenswert. Sie gehören nicht ohne klare Regelung in ein KI-Werkzeug.