KI-Auswahl bei Kunden in Schweiz und EU: Was klären?

Das Problem

Ihr Betrieb hat Kundschaft in der Schweiz und in Deutschland, Österreich oder Frankreich. Nun möchten Sie ein KI-Modell einsetzen, das Texte, Anfragen oder Dokumente verarbeitet, in denen Namen, Adressen oder andere Personendaten vorkommen. Sofort tauchen Fragen auf: Gilt das Schweizer Datenschutzgesetz, die europäische DSGVO oder beides? Darf der Anbieter die Daten im Ausland verarbeiten? Müssen wir Verträge abschliessen?

Die Unsicherheit führt oft zu zwei Fehlern. Manche entscheiden allein nach Qualität und Preis und merken erst später, dass der Dienst nicht zu ihren Datenschutzpflichten passt. Andere verzichten ganz auf KI aus Angst vor Fehlern.

Diese Seite hilft Ihnen, die wichtigsten Fragen zu sammeln und strukturiert zu klären. Sie ist eine Orientierung und ersetzt keine Rechtsberatung. Stand der Hinweise: Oktober 2026.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenarten festhalten. Notieren Sie, welche Daten das Modell verarbeiten soll: nur allgemeine Texte oder auch Personendaten, etwa Namen, Adressen, Bewerbungen, Gesundheitsangaben? Siehe Personendaten erkennen.

1. Anonymisierung prüfen. Fragen Sie, ob sich Personenbezüge entfernen lassen, bevor Sie Daten eingeben. Wo das möglich ist, sinkt das Risiko deutlich.

1. Kundenkreis klären. Wer sind die betroffenen Personen? Ist Kundschaft in der EU betroffen, kann die DSGVO relevant sein, auch für ein Schweizer Unternehmen. Siehe DSGVO für Schweizer Firmen mit EU-Kunden.

1. Anbieter fragen. Stellen Sie dem Anbieter schriftlich die Fragen aus der Checkliste unten und halten Sie die Antworten fest. Siehe Fragen an Anbieter.

1. Vertrag prüfen. Wenn der Anbieter in Ihrem Auftrag Personendaten bearbeitet, braucht es in der Regel eine vertragliche Regelung zur Auftragsbearbeitung. Lassen Sie diese prüfen.

1. Datenstandort und Ausland klären. Wo werden Daten verarbeitet und gespeichert, wer hat Zugriff? Eine Bekanntgabe ins Ausland ist nur zulässig, wenn ein angemessener Schutz oder geeignete Garantien bestehen. Siehe Datenstandort Schweiz.

1. Interne Regeln festlegen. Bestimmen Sie, welche Daten in das Modell dürfen, wer es nutzt und wie Ergebnisse geprüft werden.

1. Fachperson beiziehen. Lassen Sie die Auswahl von einer Datenschutzfachperson oder Anwältin prüfen, bevor Sie Personendaten produktiv verarbeiten.

1. Dokumentieren. Halten Sie fest, was Sie geprüft und entschieden haben, und überprüfen Sie es regelmässig.

Checkliste: Fragen an den Anbieter

Vorlage zum Kopieren

Mit diesem Prompt bereiten Sie die Klärung vor, ohne Personendaten einzugeben. Er hilft, Fragen zu sammeln, nicht, Rechtsfragen zu beantworten:

Du unterstützt mich bei der Vorbereitung einer Datenschutzklärung. Du gibst keine Rechtsberatung.
Mein Betrieb: [Branche, Grösse, Sitz in der Schweiz].
Kundschaft: [Schweiz / EU-Länder].
Geplanter KI-Einsatz: [Aufgabe, z. B. Kundenanfragen vorbereiten].
Verarbeitete Datenarten: [z. B. Namen, Adressen, Bestellangaben, keine Gesundheitsdaten].
Erstelle eine Liste mit Fragen, die ich einem KI-Anbieter stellen und mit einer
Datenschutzfachperson klären sollte. Gruppiere nach: Datenstandort, Verträge,
Unterauftragnehmer, Löschung, Sicherheit, Rechte der Betroffenen.
Nenne keine Gesetzesartikel, wenn du dir nicht sicher bist, und markiere Annahmen.

Ersetzen Sie die Platzhalter durch allgemeine Angaben und geben Sie keine echten Personendaten ein. Die entstehende Fragenliste prüfen Sie mit einer Fachperson.

Worauf Sie achten müssen

• Zwei Rechtsordnungen: Das Schweizer Datenschutzgesetz (DSG) und die DSGVO der EU haben ähnliche Grundsätze, unterscheiden sich aber in Einzelheiten. Siehe DSG und DSGVO bei KI.
• Keine pauschalen Aussagen: Ob die DSGVO für Ihren Betrieb gilt, hängt von Ihrem Angebot und Ihrer Kundschaft ab. Das ist im Einzelfall zu klären.
• Werbeversprechen: «DSGVO-konform» oder «Schweizer Datenschutz» in der Werbung ersetzt keine Prüfung. Verlangen Sie konkrete Angaben und Verträge.
• Eingaben im Chat: Auch Chat-Eingaben können Personendaten enthalten. Instruieren Sie Mitarbeitende.
• Besondere Personendaten: Gesundheits-, Religions- oder Strafdaten unterliegen strengeren Regeln. Hier ist besondere Vorsicht nötig.
• Berufsgeheimnisse: Bei Anwältinnen, Ärzten, Treuhändern und weiteren Berufen gelten zusätzliche Verschwiegenheitspflichten.
• Veränderungen: Anbieter ändern Bedingungen und Standorte. Prüfen Sie regelmässig.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Online-Händler für Sportartikel in Zürich beliefert Kundschaft in der Schweiz, Deutschland und Österreich. Er möchte ein KI-Modell einsetzen, das Kundenanfragen vorbereitet.

Vorher: Er hat zwei Modelle in der engeren Auswahl und achtet nur auf Qualität und Preis. Nachher: Er füllt die Checkliste aus und schickt sie beiden Anbietern. Ein Anbieter beantwortet alle Fragen konkret und bietet einen Vertrag zur Auftragsbearbeitung an, der andere bleibt vage. Der Händler führt zudem eine interne Regel ein: Kundennamen und Bestellnummern werden vor der Eingabe entfernt. Die Auswahl und die Verträge lässt er von einer Datenschutzberaterin prüfen. So kann er KI nutzen und kennt seine Pflichten.

Behalten Sie im Blick, dass Datenschutz kein einmaliges Projekt ist. Anbieter ändern ihre Bedingungen, Modelle werden ersetzt, und Ihr Einsatz wächst. Legen Sie deshalb einen Termin fest, an dem Sie Verträge, Einstellungen und Datenflüsse überprüfen, mindestens einmal pro Jahr.

So hilft Ihnen Alpasana

Damit Mitarbeitende den Umgang mit Daten und KI verstehen, hilft eine Schulung. Die KI-Weiterbildung für Unternehmen von absofort umfasst laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte, den EU AI Act bei EU-Bezug sowie den verantwortungsbewussten Umgang mit Unternehmensdaten. Eine rechtliche Beratung für Ihren Betrieb ersetzt das nicht.

Häufige Fragen

Gilt die DSGVO für mein Schweizer Unternehmen?

Sie kann gelten, etwa wenn Sie Personen in der EU gezielt Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Ob das bei Ihnen zutrifft, sollten Sie im Einzelfall mit einer Fachperson klären.

Darf ich Kundendaten in ein KI-Modell eingeben?

Das hängt von Zweck, Rechtsgrundlage, Anbieter, Vertrag und Datenstandort ab. Eine pauschale Antwort gibt es nicht. Wo möglich, geben Sie nur anonymisierte Daten ein.

Reicht es, wenn der Anbieter einen Serverstandort in Europa hat?

Der Standort ist ein wichtiger Punkt, aber nicht der einzige. Entscheidend sind auch Zugriffsmöglichkeiten, Verträge, Unterauftragnehmer und der Umgang mit Eingaben.