DSG oder DSGVO: Welche Regeln gelten für unsere KI?

Das Problem

Frau Müller liest einen deutschen KI-Ratgeber und findet Begriffe wie «berechtigtes Interesse» und «Auftragsverarbeitung». Im Schweizer Merkblatt stehen andere Ausdrücke. Sie fragt sich, ob sie sich einfach die verständlichere Vorlage aussuchen darf.

Die Abkürzung DSG steht hier für das Schweizer Datenschutzgesetz; DSGVO meint die Datenschutz-Grundverordnung der EU. Beide schützen Menschen bei der Verwendung ihrer Daten, unterscheiden sich aber in Aufbau und Einzelheiten. Für eine erste Klärung brauchen Sie eine Beschreibung Ihres Geschäfts und der konkreten Datenbearbeitung, keine Liste sämtlicher Datenschutzbegriffe.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie den Betrieb. Öffnen Sie ein Arbeitsblatt und notieren Sie Geschäftssitz, Niederlassungen und beteiligte Unternehmen. Trennen Sie die eigene Firma von Lieferanten. Eine Niederlassung in der EU kann rechtlich anders zu beurteilen sein als ein gelegentlicher Einkauf bei einem europäischen Dienstleister.

1. Beschreiben Sie die betroffenen Menschen. Halten Sie fest, wo die Personen sind, an die sich Ihr Angebot richtet. Die Staatsangehörigkeit allein beantwortet die Frage nicht. Schreiben Sie beispielsweise «Online-Angebot gezielt an Kundschaft in Frankreich» statt nur «ausländische Kunden».

1. Sammeln Sie konkrete Hinweise auf EU-Bezug. Prüfen Sie Liefergebiete, Werbung, Buchungsabläufe und die Beobachtung des Verhaltens von Personen in der EU. Nach Artikel 3 DSGVO können solche Umstände auch Unternehmen ohne EU-Sitz erfassen. Eine weltweit aufrufbare Website genügt für sich allein nicht automatisch.

1. Ordnen Sie den KI-Arbeitsschritt zu. Geht es um eine interne Zusammenfassung, personalisierte Werbung oder die Bewertung von Bewerbungen? Notieren Sie, welche Daten aus welchem Vorgang in die KI gelangen. Lassen Sie KI diese Angaben strukturieren, ohne ihr reale Kundendossiers zu übergeben.

1. Trennen Sie Rechtsanwendung und Datentransfer. Ein US-Anbieter wirft Fragen zur Auslandsbekanntgabe auf; daraus folgt nicht automatisch die Anwendbarkeit der DSGVO auf sämtliche Tätigkeiten Ihres Betriebs. Halten Sie beide Prüffragen getrennt fest. Für den zweiten Punkt hilft die Anleitung zu KI-Datentransfers in die USA.

1. Lassen Sie die Einordnung bestätigen. Legen Sie Ihre Beschreibung einer datenschutzkundigen Fachperson vor. Verlangen Sie eine Antwort pro Bearbeitung und eine Liste offener Tatsachen. Fragen Sie ausdrücklich, ob neben dem DSG die DSGVO oder besondere Branchenregeln zu berücksichtigen sind.

1. Übertragen Sie das Ergebnis in Ihre Arbeitsanweisung. Vermerken Sie, für welche Anwendung die Beurteilung gilt. Passen Sie Verträge, Hinweise und interne Abläufe daran an. Prüfen Sie die Einordnung erneut, wenn Sie etwa einen neuen Absatzmarkt erschliessen oder eine EU-Niederlassung eröffnen.

Vorlage zum Kopieren

Ordne die folgenden Angaben für eine Datenschutzabklärung.
Betrieb und Niederlassungen: [Angaben]
Angebot und angesprochene Länder: [Angaben]
KI-Arbeitsschritt: [Beschreibung]
Betroffene Personengruppen: [Gruppen ohne Namen]
Erstelle getrennte Fragen zu Schweizer DSG, EU-DSGVO und Auslandsbekanntgabe.
Entscheide die Anwendbarkeit nicht abschliessend. Zeige, welche Tatsachen noch fehlen,
und formuliere eine verständliche Fragenliste für unsere Fachperson.

Ersetzen Sie die Platzhalter durch Ihre geprüften Angaben; verwenden Sie für die KI-Anfrage keine vertraulichen Originalunterlagen.

Der räumliche Geltungsbereich der DSGVO ist in Artikel 3 geregelt.

Wie halten Sie unterschiedliche Regeln auseinander?

Verwenden Sie im Arbeitsblatt getrennte Spalten für Sachverhalt, gesetzliche Prüfung und zusätzliche Vertragsvorgaben. Notieren Sie etwa die gezielte Ansprache eines bestimmten Marktes als Tatsache. Die daraus folgende rechtliche Einordnung trägt die zuständige Fachperson ein; eine vom Kunden gewünschte Bestätigung steht daneben als Vertragsfrage.

Diese Trennung hilft besonders, wenn mehrere Personen Unterlagen zusammentragen. Eine Aussage aus dem Verkaufsgespräch wird dadurch nicht versehentlich zur rechtlichen Schlussfolgerung. Lassen Sie jede bestätigte Einordnung auf den beschriebenen Ablauf beziehen und halten Sie fest, welche Änderung eine neue Rückfrage auslösen würde.

Worauf Sie achten müssen

• Ein Vertragsformular mit dem Wort «DSGVO» beweist keine vollständige rechtliche Prüfung. Umgekehrt kann eine ausländische Kundin zusätzliche Vertragsanforderungen stellen, selbst wenn die direkte gesetzliche Anwendung noch zu klären ist.
• Übernehmen Sie eine europäische Rechtsgrundlage nicht unverändert als Schweizer Begründung. Die Frage nach Datenschutz ohne Einwilligung muss für jede Rechtsordnung gesondert beantwortet werden.
• Die KI darf aus wenigen Angaben keine sichere Rechtsentscheidung ableiten. Prüfen Sie insbesondere, ob sie Staatsangehörigkeit, Aufenthaltsort und Zielmarkt verwechselt.
• Lassen Sie offene Rechtsfragen anhand Ihres konkreten Falls fachlich prüfen. Eine KI kann Informationen ordnen, aber auch Regeln, Quellen und Schlussfolgerungen erfinden.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein kleiner Onlineshop in Winterthur möchte Kundenanfragen mit KI zusammenfassen. Frau Müller hält zunächst nur fest, dass der Betrieb in der Schweiz sitzt. Im Gespräch wird deutlich, dass der Shop gezielt französische Kundschaft anspricht und dorthin liefert.

Sie ergänzt deshalb den Zielmarkt und den genauen Ablauf der Bestellabwicklung. Die Fachperson erhält eine klare Sachverhaltsbeschreibung statt der pauschalen Frage «Sind wir DSGVO-pflichtig?». Anschliessend werden die tatsächlich betroffenen Abläufe dokumentiert. Der Betrieb vermeidet, dass ein Schweizer Standardtext ohne Prüfung für alle Verkaufskanäle verwendet wird.

So hilft Ihnen Alpasana

Wenn Sie Unterschiede zwischen DSG und DSGVO im KI-Alltag im Team verständlich einordnen möchten, behandelt die KI-Weiterbildung für Unternehmen Datenschutz, Unternehmensdaten und Schweizer Praxisbezug. Bei EU-Bezug gehört auch der EU AI Act zu den Lerninhalten; der Kurs ersetzt keine rechtliche Einzelfallprüfung.

Häufige Fragen

Reicht ein Schweizer Server als Begründung?

Nein, der Speicherort entscheidet die Rechtsanwendung nicht allein. Er ist ein wichtiger Teil des Datenwegs, sagt aber wenig darüber aus, an wen Ihr Unternehmen Angebote richtet und welche Verarbeitung stattfindet.

Was bedeutet Auftragsbearbeitung gegenüber Auftragsverarbeitung?

Die Begriffe bezeichnen im jeweiligen Datenschutzrecht die Bearbeitung im Auftrag eines anderen. Die ähnliche Bedeutung macht Vertragsanforderungen und gesetzliche Einzelheiten aber nicht vollständig austauschbar.

Sollen wir einfach immer die strengere Regel nehmen?

Eine vorsichtige Praxis kann hilfreich sein, ersetzt jedoch keine Zuordnung konkreter Pflichten. Beginnen Sie mit den Schweizer Grundlagen zum KI-Einsatz und ergänzen Sie die fachlich bestätigten EU-Anforderungen.