Wann gilt die DSGVO für Schweizer Firmen mit EU-Kunden?

Das Problem

Ihr Betrieb sitzt in der Schweiz, betreut aber Kundschaft in Deutschland, Österreich oder Frankreich. Vielleicht liefert Ihr Onlineshop in die EU, vielleicht beraten Sie Firmen in Süddeutschland, vielleicht nutzen Sie eine KI, um deren Anfragen zu beantworten. Nun hören Sie: «Dann gilt für euch auch die DSGVO.» Oder: «Das betrifft nur EU-Firmen.» Beides klingt sicher, keines stimmt ohne Prüfung.

Die Unsicherheit hat Folgen. Wer die DSGVO ignoriert, obwohl sie gilt, riskiert Beanstandungen und Bussen. Wer sie vorsorglich überall anwendet, belastet sich unnötig mit Aufwand. Besonders heikel wird es, wenn KI-Dienste im Spiel sind, denn dann fliessen Personendaten von EU-Kundschaft in Systeme, die Sie womöglich nicht vollständig überblicken.

Hier erfahren Sie, nach welchem Grundsatz sich die Geltung bestimmt, welche Anzeichen für einen EU-Bezug sprechen und wie Sie eine Einschätzung vorbereiten. Eine verbindliche Rechtsauskunft ersetzt diese Seite nicht.

Einfach erklärt

Die DSGVO ist das Datenschutzgesetz der EU. Sie gilt zunächst für Stellen mit Niederlassung in der EU. Sie reicht aber nach dem sogenannten Marktortprinzip auch auf Firmen ausserhalb der EU, wenn diese

• betroffenen Personen in der EU Waren oder Dienstleistungen anbieten, auch ohne dass dafür bezahlt werden muss, oder
• das Verhalten von Personen in der EU beobachten, etwa durch Tracking und Profiling.

Entscheidend ist, ob Sie sich erkennbar an Menschen in der EU richten. Anzeichen dafür sind zum Beispiel eine Website in der Sprache eines EU-Landes, Preise in Euro, Lieferung in EU-Länder, Werbung, die sich an EU-Märkte wendet, oder eine EU-Telefonnummer. Dass eine Seite aus der EU lediglich abrufbar ist, genügt für sich allein nicht.

In der Schweiz gilt parallel das revidierte Datenschutzgesetz (DSG), das in vielen Punkten ähnlich ist, aber nicht deckungsgleich. Beide können gleichzeitig anwendbar sein. Mehr zum Unterschied steht unter DSG und DSGVO im Vergleich.

So lösen Sie es mit KI – Schritt für Schritt

So bereiten Sie eine Einschätzung vor. Die KI hilft beim Ordnen, die rechtliche Beurteilung bleibt bei Fachleuten:

1. Datenflüsse aufschreiben: Wo erfassen Sie Daten von Personen in der EU: Bestellungen, Anfragen, Verträge, Newsletter, Support?
2. Angebot an EU-Märkten prüfen: Gibt es Sprache, Währung, Lieferung, Werbung oder Kundenbetreuung, die sich auf EU-Länder richtet? Notieren Sie Beispiele.
3. Beobachtung prüfen: Nutzen Sie Tracking, Analyse oder Profiling, das Personen in der EU erfasst? Siehe DSG-Pflichten bei KI im KMU.
4. Rolle klären: Sind Sie selbst Verantwortliche oder Dienstleister eines EU-Kunden? Das bestimmt, welche Pflichten und Verträge relevant sind.
5. KI-Einsatz erfassen: Welche Daten von EU-Personen gelangen in welche KI-Dienste? Wo werden sie verarbeitet? Siehe Datenübermittlung ins Ausland.
6. Vorläufige Einschätzung festhalten: Notieren Sie «eher anwendbar», «eher nicht» oder «unklar» mit Begründung.
7. Fachliche Prüfung einholen: Bei «eher anwendbar» oder «unklar» lassen Sie das Ergebnis von einer Datenschutzberatung oder Anwältin prüfen.
8. Massnahmen planen: Wenn die DSGVO gilt, prüfen Sie Informationspflichten, Rechtsgrundlagen, Verträge mit Dienstleistern, Verzeichnis und gegebenenfalls eine Vertretung in der EU.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie die Fragen für ein Beratungsgespräch vor. Verwenden Sie keine echten Kundendaten:

Wir sind ein Schweizer Betrieb ([Branche, Grösse, Standort]) und haben Kundschaft in [EU-Ländern].
Unser Angebot: [Beschreibung]. Sprache und Währung unserer Website/Angebote: [Angaben]. Lieferung/Betreuung in: [Länder].
Wir nutzen KI-Dienste für: [Zwecke, z. B. Beantwortung von Kundenanfragen, Textentwürfe].
Erstelle eine Liste mit Fragen, die eine Datenschutzberatung klären sollte, um festzustellen, ob die DSGVO (Marktortprinzip) auf uns anwendbar ist,
und eine Tabelle der Anhaltspunkte «spricht dafür / spricht dagegen» aus meinen Angaben.
Gib keine Rechtsberatung, kennzeichne Unsicherheiten und erfinde keine Gesetzesstellen oder Urteile.

Ersetzen Sie die Klammern durch Ihre Angaben. Das Ergebnis ist eine Gesprächsgrundlage, keine Rechtsauskunft.

Worauf Sie achten müssen

• Keine Rechtsberatung: Die Anwendbarkeit hängt vom Einzelfall ab. Ziehen Sie bei Unsicherheit Fachleute bei, und lesen Sie die Hinweise des Eidgenössischen Datenschutzbeauftragten.
• Vertretung in der EU: Wenn die DSGVO gilt, kann die Pflicht bestehen, eine Vertretung in der EU zu benennen, mit Ausnahmen. Klären Sie das im Einzelfall.
• Bussen: Die DSGVO sieht hohe Bussen vor, in schweren Fällen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Auch das Schweizer DSG kennt Strafen, die sich unter Umständen gegen verantwortliche Personen richten.
• Dienstleister-Rolle: Als Auftragsverarbeiter für EU-Kunden unterliegen Sie oft vertraglichen Pflichten, auch ohne eigene Anwendbarkeit der DSGVO.
• KI-Dienste: Prüfen Sie Verträge, Verarbeitungsorte und Zusagen Ihrer KI-Anbieter. Siehe Auftragsverarbeitung erkennen.
• Weitere Regeln: Neben dem Datenschutz können der EU AI Act und nationale Vorschriften relevant sein, siehe EU AI Act und die Schweiz.
• Stand Oktober 2026: Gesetze, Auslegung und Rechtsprechung entwickeln sich weiter. Prüfen Sie aktuelle Quellen.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Schweizer Anbieter von Fahrradzubehör aus Winterthur verkauft über einen Onlineshop auch nach Süddeutschland und möchte Kundenanfragen mit einem KI-Assistenten beantworten.

Vorher: Der Inhaber ist überzeugt, das Schweizer Gesetz genüge, weil sein Betrieb in der Schweiz sitzt. Dass Kunden in Euro zahlen und die Seite auf deutsche Märkte zugeschnitten ist, hat er nie bewertet.

Nachher: Er sammelt Anhaltspunkte: Preise in Euro, Versand nach Deutschland, Werbung für den deutschen Markt. Er schätzt die DSGVO als «eher anwendbar» ein und holt eine Beratung ein. Gemeinsam prüfen sie Datenschutzerklärung, Verträge mit dem KI-Anbieter und die Frage einer Vertretung in der EU. Bis zum Abschluss gibt er in den KI-Assistenten keine Kundendaten ein.

So hilft Ihnen Alpasana

Wer Datenschutz und KI im Betrieb verständlich einordnen lernen möchte, findet bei absofort passende Weiterbildung. Die KI-Weiterbildung für Unternehmen behandelt laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte, den EU AI Act bei EU-Bezug sowie den verantwortungsbewussten Umgang mit Unternehmensdaten. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Rechtsberatung ersetzt das nicht.

Häufige Fragen

Reicht es, dass meine Website in der EU erreichbar ist?

Nein, die blosse Erreichbarkeit genügt in der Regel nicht. Massgeblich ist, ob Sie sich erkennbar an Personen in der EU richten oder deren Verhalten beobachten.

Gilt die DSGVO, wenn ich nur einzelne EU-Kunden habe?

Das hängt davon ab, ob Sie gezielt EU-Kundschaft ansprechen. Einzelne zufällige Kunden begründen nicht automatisch Anwendbarkeit, das Gesamtbild zählt. Lassen Sie unsichere Fälle prüfen.

Muss ich ein Schweizer Gesetz und die DSGVO zugleich beachten?

Ja, das kann der Fall sein. Viele Pflichten ähneln sich, aber nicht alle. Eine abgestimmte Lösung spart Aufwand, siehe DSG und DSGVO im Vergleich.

Was ändert sich bei KI-Diensten?

Die Pflichten gelten auch dort. Besondere Aufmerksamkeit verdienen Rollen, Verträge, Verarbeitungsorte und die Frage, ob Eingaben zum Training verwendet werden.