Ist ein KI-Anbieter eine zulässige Hilfsperson?

Das Problem

Frau Müller führt das Sekretariat einer kleinen Praxis. Die Inhaberin möchte eine KI-Software für Berichte einsetzen und sagt: «Der Anbieter ist ja dann einfach unsere Hilfsperson.» Frau Müller fragt sich, ob das so einfach stimmt.

Der Gedanke ist naheliegend. Für Berufe mit gesetzlichem Berufsgeheimnis, etwa Ärztinnen, Anwälte oder Psychologinnen, gilt die Verschwiegenheit auch für Hilfspersonen. Man könnte meinen, damit sei die Weitergabe an einen Dienstleister erlaubt. Ganz so einfach ist es aber nicht.

Diese Seite erklärt, was eine Hilfsperson ist, welche Bedingungen bei einem KI-Anbieter geprüft werden sollten und wo die rechtliche Unsicherheit liegt. Sie ist eine Orientierung und keine Rechtsberatung.

Einfach erklärt: Was ist eine Hilfsperson?

Im Schweizerischen Strafgesetzbuch (Artikel 321) sind bestimmte Berufsgruppen zur Verschwiegenheit verpflichtet. Das Gesetz nennt ausdrücklich auch ihre Hilfspersonen. Gemeint sind Menschen, die der geheimnispflichtigen Person bei ihrer Tätigkeit zur Hand gehen, zum Beispiel die Praxisassistentin, die Sekretärin oder die Praktikantin. Sie dürfen das Geheimnis ebenfalls nicht weitergeben.

Dasselbe Gedankenmodell wird auch auf externe Dienstleister angewendet, etwa auf eine IT-Firma, die die Praxissoftware betreut. In der Fachdiskussion wird gefragt, unter welchen Bedingungen ein solcher Dritter noch «Teil des Geheimniskreises» ist. Typische Kriterien sind:

• eine Verpflichtung zur Verschwiegenheit im Vertrag,
• Weisungsgebundenheit: Der Dienstleister handelt nur nach Auftrag,
• Kontrolle: Sie wissen, wer Zugriff hat,
• Zweckbindung: Die Daten werden nicht für eigene Zwecke genutzt.

Ob ein global tätiger KI-Anbieter diese Kriterien erfüllt, ist im Einzelfall zu klären. Mehr zur Grundlage lesen Sie unter Berufsgeheimnis und KI.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären Sie, ob Sie überhaupt unter ein Berufsgeheimnis fallen. Nicht jede Branche tut das. Fragen Sie Ihren Berufsverband oder Ihre Rechtsstelle.

1. Beschreiben Sie, was der KI-Dienst tun soll. Zum Beispiel: Berichte formulieren oder Akten durchsuchen. Je weniger Geheimnisse dafür nötig sind, desto besser.

1. Prüfen Sie, ob echte Geheimnisse nötig sind. Oft genügen Platzhalter. Dann stellt sich die Hilfspersonen-Frage gar nicht, siehe Falldaten anonymisieren.

1. Lesen Sie die Vertragsunterlagen des Anbieters. Suchen Sie Angaben zu Vertraulichkeit, Speicherung, Training mit Eingaben, Unterauftragnehmern und Zugriff durch Mitarbeitende. Hilfreich ist Vertraulichkeit im KI-Vertrag.

1. Klären Sie die datenschutzrechtliche Rolle. Handelt der Anbieter nur in Ihrem Auftrag? Siehe Auftragsverarbeitung erkennen.

1. Fordern Sie eine schriftliche Verpflichtung. Eine Verschwiegenheitsklausel, die ausdrücklich auch die Mitarbeitenden des Anbieters bindet, ist die Mindestanforderung. Lehnt der Anbieter ab, ist das ein klares Warnsignal.

1. Prüfen Sie Alternativen. Eine Lösung, die im eigenen Haus oder in einer Umgebung mit klarer Kontrolle läuft, ist meist leichter zu begründen. Eine zweite Option ist die Einwilligung der Betroffenen.

1. Dokumentieren Sie die Prüfung. Halten Sie schriftlich fest, was Sie geprüft und wer entschieden hat. Das hilft bei Rückfragen.

Vorlage zum Kopieren

Dieser Prompt hilft Ihnen, eine Fragenliste an einen KI-Anbieter vorzubereiten. Er arbeitet ohne echte Daten.

Ich arbeite in der Branche [Branche] in der Schweiz und unterliege voraussichtlich dem Berufsgeheimnis. Ich prüfe den KI-Dienst [Name des Dienstes] für die Aufgabe [Aufgabe].
Erstelle einen Fragenkatalog an den Anbieter mit folgenden Themen:
- Verpflichtung der Mitarbeitenden und Unterauftragnehmer zur Verschwiegenheit
- Wer kann Eingaben lesen oder auswerten, und unter welchen Bedingungen?
- Speicherdauer, Speicherort, Löschung auf Anfrage
- Nutzung der Eingaben zum Training von Modellen
- Zugriff durch ausländische Behörden und Umgang damit
Regeln: Formuliere höfliche, präzise Fragen, die der Anbieter schriftlich beantworten kann. Gib keine rechtliche Einschätzung ab. Deutsch (Schweiz).

Ersetzen Sie die Platzhalter. Die Antworten des Anbieters legen Sie Ihrer Rechtsfachperson zur Beurteilung vor.

Worauf Sie achten müssen

• Offene Rechtslage: Wie streng die Anforderungen an externe Hilfspersonen im KI-Bereich sind, wird fachlich unterschiedlich beurteilt. Gehen Sie vorsichtig vor.
• Anbieter ohne Gegenzeichnung: Standardbedingungen reichen selten, wenn sie keine Verschwiegenheitspflicht für die Mitarbeitenden des Anbieters vorsehen.
• Unterauftragnehmer: Setzt der Anbieter weitere Firmen ein, verlängert sich die Kette. Prüfen Sie auch diese.
• Ausland: Läuft die Verarbeitung im Ausland, kommen weitere Fragen hinzu, siehe Datenübermittlung ins Ausland.
• Datenschutz bleibt: Das Datenschutzgesetz gilt zusätzlich zum Berufsgeheimnis.
• Strafrisiko: Die unbefugte Offenbarung eines Berufsgeheimnisses ist strafbar. Lassen Sie sich im Zweifel beraten, bevor echte Daten fliessen.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Psychotherapiepraxis in Baden möchte Brieftexte mit KI vorbereiten. Die Inhaberin lässt den Vertrag eines Anbieters prüfen.

Vorher: Die Nutzungsbedingungen erlauben dem Anbieter, Eingaben zur Verbesserung seiner Modelle zu nutzen. Die Praxis stuft den Dienst deshalb nicht als zulässige Hilfsperson ein und verzichtet auf echte Patientendaten. Nachher: Sie nutzt die KI nur für Briefvorlagen mit Platzhaltern. Für Inhalte mit Patientenbezug fragt sie bei einem Anbieter nach, der Verschwiegenheit schriftlich zusichert und die Verwendung der Daten vertraglich eng begrenzt. Eine Rechtsfachperson prüft die Antworten, bevor der Einsatz erweitert wird.

So hilft Ihnen Alpasana

Damit im Betrieb alle verstehen, warum solche Prüfungen nötig sind, hilft die KI-Weiterbildung für Unternehmen. Sie vermittelt Schweizer Praxisbezug und Datenschutz als Lerninhalte und den verantwortungsvollen Umgang mit Unternehmensdaten. Die Teilnehmenden lernen online im eigenen Tempo und erhalten verifizierbare Abschlüsse.

Für Firmenlösungen und Teambuchungen gibt es auf der Seite eine Kontaktmöglichkeit. Die rechtliche Beurteilung Ihres Geheimnisschutzes übernimmt Alpasana nicht.

Häufige Fragen

Reicht ein Vertrag zur Auftragsbearbeitung?

Er ist wichtig für den Datenschutz, ersetzt aber nicht automatisch die Anforderungen des Berufsgeheimnisses. Zusätzlich sollte die Verschwiegenheit der Mitarbeitenden des Anbieters geregelt sein.

Ist ein Anbieter in der Schweiz automatisch zulässig?

Nein. Der Standort allein genügt nicht. Entscheidend sind Vertrag, Kontrolle, Zugriff und Zweckbindung.

Kann ich einfach die Betroffenen fragen?

Eine Einwilligung kann je nach Fall eine Grundlage sein. Sie muss freiwillig, informiert und ausdrücklich sein. Mehr dazu lesen Sie unter Berufsgeheimnis und Einwilligung.

Gilt das auch für Anwaltskanzleien?

Ja, Anwältinnen und Anwälte sind ausdrücklich genannt. Besonderheiten für Kanzleien finden Sie unter KI in der Anwaltskanzlei.