Betroffene nach einer KI-Datenpanne informieren

Das Problem

Ein Mitarbeiter hat Kundenlisten in einen öffentlich zugänglichen KI-Dienst eingefügt. Oder ein KI-Assistent hat Antworten mit Angaben anderer Kundinnen verschickt. Die ersten Massnahmen sind getroffen, der Vorfall ist untersucht. Nun stellt sich die schwierige Frage: Wie sagen wir es den Betroffenen?

Viele Betriebe schieben diese Mitteilung auf, weil sie nicht wissen, was sie schreiben sollen. Oder sie verfassen eine juristisch vorsichtige Mail, die niemand versteht. Für die Betroffenen ist das schlecht, denn sie sollen sich schützen können, etwa Passwörter ändern oder auf Betrugsversuche achten.

Ein gutes Schreiben ist ehrlich, konkret und kurz. Es nennt, was bekannt ist, und gibt zu, was noch unklar ist.

Was gehört in die Mitteilung?

Die Gesetze beschreiben ähnliche Inhalte: Art des Vorfalls, mögliche Folgen, getroffene Massnahmen und eine Kontaktstelle. Ob und wie rasch informiert werden muss, regeln das Schweizer DSG und die DSGVO unterschiedlich; siehe Datenpanne melden.

So lösen Sie es mit KI – Schritt für Schritt

1. Sichern Sie zuerst den Vorfall. Stoppen Sie die Ursache, sichern Sie Beweise und beginnen Sie die Aufarbeitung, siehe Sofortmassnahmen bei einer Datenpanne.
2. Klären Sie die Fakten. Wer ist betroffen, welche Daten, ab wann, was ist bekannt, was unklar? Schreiben Sie nur auf, was gesichert ist.
3. Klären Sie die Pflicht. Ist eine Mitteilung an Betroffene oder an die Aufsichtsbehörde nötig, und bis wann? Das hängt vom Risiko, vom Recht und von Ihrer Rolle ab. Holen Sie dazu rasch Fachrat ein.
4. Wählen Sie den Kanal. E-Mail, Brief oder Hinweis auf der Website? Persönlich Betroffene sollten direkt angeschrieben werden.
5. Lassen Sie die KI einen ersten Entwurf erstellen. Geben Sie nur die Eckdaten des Vorfalls ein, keine echten Personendaten (Vorlage unten).
6. Prüfen und kürzen Sie den Entwurf. Verständlich für Frau Müller? Keine Schuldzuweisung, keine Rechtfertigung, keine Beschwichtigung wie «es besteht kein Grund zur Sorge», wenn Sie das nicht sicher wissen.
7. Lassen Sie das Schreiben prüfen. Von der Datenschutzverantwortlichen, bei erheblichen Vorfällen auch juristisch, und von der Geschäftsleitung freigeben.
8. Versenden und dokumentieren Sie. Halten Sie fest, wann wer informiert wurde, und bereiten Sie die Erreichbarkeit der Kontaktstelle für Rückfragen vor.

Vorlage zum Kopieren

Schreibe einen Entwurf für eine Mitteilung an Betroffene nach einer Datenschutzverletzung.
Absender: [Betrieb, Ort in der Schweiz]. Empfänger: [z. B. Kundinnen und Kunden].
Was ist passiert (gesicherte Fakten): [z. B. Am 12. Oktober 2026 wurden irrtümlich Kundenanfragen an einen externen KI-Dienst übermittelt].
Betroffene Daten: [z. B. Name, E-Mail-Adresse, Text der Anfrage]. Nicht betroffen: [z. B. Zahlungsdaten].
Mögliche Folgen: [z. B. unerwünschte Nachrichten oder Phishing].
Unsere Massnahmen: [z. B. Zugang gesperrt, Löschung beim Anbieter verlangt, Abläufe angepasst].
Empfehlungen an Betroffene: [z. B. bei verdächtigen Mails Vorsicht walten lassen].
Kontaktstelle: [Name, Telefon, E-Mail].
Anforderungen: einfache Sprache, Anrede «Sie», Schweizer Schreibweise, höchstens 250 Wörter, sachlich und ehrlich,
keine Schuldzuweisung, keine Aussagen über Folgen, die nicht gesichert sind. Fehlende Angaben markierst du mit [?] und erfindest nichts.

Ersetzen Sie die Angaben durch Ihre Fakten. Der Entwurf ist nur ein Anfang: Inhalt und Zeitpunkt prüft eine verantwortliche Person.

Worauf Sie achten müssen

• Keine falschen Beruhigungen: Sagen Sie nicht «es ist nichts passiert», wenn Sie es nicht wissen. Ehrlichkeit schafft Vertrauen.
• Keine neuen Datenlecks: Versenden Sie die Mitteilung nicht über offene Verteiler. Nutzen Sie Einzelversand oder Blindkopie.
• Abstimmung mit Meldung: Eine allfällige Meldung an die Aufsichtsbehörde und die Mitteilung an Betroffene sollten inhaltlich zusammenpassen.
• Kein Ersatz für Rechtsberatung: Pflichten, Inhalte und Zeitpunkte sind vom Einzelfall abhängig. Bei unsicherer Lage rufen Sie eine Fachperson. Hinweise gibt der EDÖB.
• Rückfragen vorbereiten: Stellen Sie sicher, dass die Kontaktstelle erreichbar ist und einfache Antworten bereithält, siehe Auskunftsbegehren.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Physiotherapiepraxis in Zofingen bemerkt, dass eine Mitarbeiterin Terminnotizen mit Patientennamen in einen frei zugänglichen KI-Dienst eingegeben hat. Es geht um 45 Personen.

Vorher: Die Inhaberin möchte «erst mal abwarten» und niemanden verunsichern. Der Brief, den ein Berater vorschlägt, hat vier Seiten Juristendeutsch.

Nachher: Nach der Klärung mit der Datenschutzfachperson schreibt die Praxis den Betroffenen: was passiert ist (Terminnotizen mit Namen, keine medizinischen Befunde), was geschehen ist (Dienst gesperrt, Löschung veranlasst), was möglich bleibt (unerwünschte Anrufe) und wer Auskunft gibt. Der Brief ist eine Seite lang und wird von einer Fachperson geprüft. Mehrere Patienten bedanken sich für die Offenheit.

So hilft Ihnen Alpasana

Datenpannen mit KI entstehen oft, weil Mitarbeitende nicht wissen, was sie eingeben dürfen. Die Kurse zu KI und IT für konkrete Arbeitsaufgaben von absofort behandeln unter anderem Phishing, Deepfakes und betriebliche KI-Richtlinien sowie Einsatzregeln und Qualitätsprüfung. Sie üben an Praxisaufgaben und erhalten einen verifizierbaren Abschluss. Die Bewältigung eines konkreten Vorfalls oder eine rechtliche Beurteilung ist damit nicht abgedeckt.

Häufige Fragen

Muss ich immer informieren?

Nicht in jedem Fall. Ob eine Mitteilung nötig ist, hängt vom Risiko für die Betroffenen und vom anwendbaren Recht ab. Klären Sie das rasch, denn Verzögerungen können Folgen haben.

Darf ich die Mitteilung mit KI erstellen lassen?

Ja, als Entwurf mit den gesicherten Eckdaten, ohne echte Personendaten. Prüfen Sie den Text sorgfältig, denn die KI kann Formulierungen wählen, die Fakten verfälschen oder Zusagen enthalten, die Sie nicht machen können.

Sollte ich die Betroffenen anrufen statt schreiben?

Bei besonders sensiblen Daten oder wenigen Betroffenen kann ein persönliches Gespräch ergänzend sinnvoll sein. Eine schriftliche Mitteilung ist wichtig, damit Sie den Inhalt belegen können.