Darf KI personenbezogene Daten ohne Einwilligung verarbeiten?

Das Problem

Ihr Betrieb möchte eingehende Anfragen mit KI sortieren. Frau Müller soll herausfinden, ob vorher alle Kundinnen und Kunden zustimmen müssen. Die einen behaupten, ohne Einwilligung gehe gar nichts; andere halten jede Bearbeitung für erlaubt, solange sie dem Geschäft nützt.

Beide Pauschalaussagen führen in die Irre. Eine Einwilligung ist eine informierte Zustimmung zu einer bestimmten Verwendung von Daten. Sie ist weder der einzige mögliche Ausgangspunkt noch ein Ersatz für Datensicherheit, transparente Information oder die Prüfung des Dienstleisters.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie die einzelne Bearbeitung. Öffnen Sie ein Dokument und notieren Sie, was die KI tun soll. «Kundenservice verbessern» ist zu allgemein; «eingehende Fragen nach Thema ordnen» ist prüfbar. Erfassen Sie auch, ob Daten zusätzlich gespeichert, weitergegeben oder für andere Zwecke verwendet werden sollen.

1. Bestimmen Sie die Rechtsordnung. Lassen Sie klären, ob Schweizer DSG, DSGVO oder weitere Regeln massgeblich sind. Die Seite DSG oder DSGVO hilft bei der Vorbereitung. Übertragen Sie die Formulierung «berechtigtes Interesse» nicht ungeprüft aus einem deutschen Muster ins Schweizer Arbeitsblatt.

1. Notieren Sie die vorgesehenen Daten. Führen Sie Datenarten statt echte Datensätze auf, etwa Kontaktangaben, Anliegen und Bestellbezug. Prüfen Sie, ob besonders heikle Informationen auftauchen können. Für einen internen Test reicht häufig ein erfundener Satz von Anfragen.

1. Lassen Sie die tragfähige Begründung bestimmen. Unter der DSGVO braucht es eine Rechtsgrundlage nach Artikel 6; bei besonderen Datenkategorien sind zusätzliche Anforderungen zu prüfen. Im Schweizer Privatrechtsbereich besteht kein identischer Katalog für jede Bearbeitung; Persönlichkeitsschutz und allfällige Rechtfertigung sind nach DSG zu beurteilen.

1. Prüfen Sie die Erforderlichkeit praktisch. Fragen Sie die zuständige Person, warum gerade diese Daten und dieser externe Dienst benötigt werden. Könnte eine allgemeine Textvorlage dieselbe Aufgabe lösen? Halten Sie die Antwort fest, statt allein auf die bequemere Arbeitsweise zu verweisen.

1. Bereiten Sie Information und Wahlmöglichkeiten vor. Wenn eine Einwilligung vorgesehen ist, lassen Sie prüfen, ob sie freiwillig, verständlich und ausreichend bestimmt ist. Dokumentieren Sie, wie eine Ablehnung und ein späterer Widerruf bearbeitet werden. Betroffene sollten nicht mit einer unverständlichen Sammelerklärung konfrontiert werden.

1. Testen Sie den beschlossenen Ablauf. Spielen Sie mit erfundenen Angaben eine Anfrage, eine Ablehnung und einen Widerruf durch. Prüfen Sie, wer jeweils zuständig wäre. Verwenden Sie KI nur zum Ordnen der offenen Fragen und übernehmen Sie keine von ihr erfundene Rechtsgrundlage als Freigabe.

Vorlage zum Kopieren

Bereite eine Fragenliste für unsere Datenschutzprüfung vor.
Geplante KI-Aufgabe: [Beschreibung]
Datenarten: [Liste ohne echte Daten]
Betroffene Gruppen: [Kundschaft, Mitarbeitende oder andere]
Bereits geklärte Rechtsordnung: [Angabe oder offen]
Vorgesehene Information und Alternative: [Beschreibung]
Trenne Tatsachen, Annahmen und offene Rechtsfragen.
Prüfe sprachlich, ob der Zweck verständlich beschrieben ist.
Erteile keine rechtliche Freigabe und erfinde keine Interessenabwägung.

Ersetzen Sie die Platzhalter durch Ihre geprüften Angaben; verwenden Sie für die KI-Anfrage keine vertraulichen Originalunterlagen.

Welche Rückfragen lohnen sich vor dem Entscheid?

Bitten Sie die zuständige Fachperson, die geprüfte Verwendung möglichst konkret zu beschreiben. Fragen Sie nach, ob die Begründung nur die aktuelle Aufgabe betrifft oder auch eine spätere Auswertung der gespeicherten Gespräche. Lassen Sie ebenfalls festhalten, welche Information eine betroffene Person erhalten soll und wie Mitarbeitende auf Rückfragen antworten können.

Dokumentieren Sie keine blossen Schlagworte wie «Vertrag» oder «Interesse» ohne Zusammenhang. Eine Stellvertretung sollte erkennen können, welche Daten zu welchem Zweck verwendet werden dürfen. Wenn der Betrieb später eine zusätzliche Funktion einschaltet, lässt sich dann gezielt prüfen, ob die ursprüngliche Einordnung noch passt.

Worauf Sie achten müssen

• Vertragserfüllung bedeutet unter der DSGVO nicht, dass jede nützliche Zusatzverarbeitung automatisch erforderlich ist. Eine neue Trainingsnutzung kann einen anderen Zweck darstellen als die Bearbeitung einer Kundenanfrage.
• Bei besonders schützenswerten Daten und bei Mitarbeitenden ist besondere Sorgfalt nötig. Eine Unterschrift allein beweist weder Freiwilligkeit noch die Zulässigkeit des gesamten Ablaufs.
• Information und Einwilligung sind verschiedene Dinge. Eine Datenschutzerklärung beschreibt die Bearbeitung; ihr blosses Vorhandensein ersetzt keine erforderliche Zustimmung.
• Der EDÖB erläutert in seinen Datenschutz-FAQ, dass nicht jede Datenbearbeitung eine Einwilligung voraussetzt. Das erlaubt keinen ungeprüften KI-Einsatz.
• Lassen Sie offene Rechtsfragen anhand Ihres konkreten Falls fachlich prüfen. Eine KI kann Informationen ordnen, aber auch Regeln, Quellen und Schlussfolgerungen erfinden.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Reparaturbetrieb in Aarau möchte Kundenmails automatisch vorsortieren. Frau Müller bereitet zuerst eine pauschale Zustimmungserklärung für alle bisherigen Kunden vor. Dann wird deutlich, dass weder die Datenarten noch die Rolle des Anbieters geklärt sind.

Der Betrieb beschreibt deshalb zuerst den Sortierablauf und prüft diesen fachlich. Für den Versuch werden erfundene Anfragen verwendet; Gesundheitsangaben und andere besondere Inhalte bleiben ausserhalb des Versuchs. Erst nach der Einordnung werden die nötigen Hinweise und gegebenenfalls Zustimmungen gestaltet. So entsteht eine begründete Entscheidung statt einer Unterschriftensammlung ohne klaren Zweck.

So hilft Ihnen Alpasana

Die Online-Weiterbildung von absofort behandelt den verantwortungsvollen Umgang mit Unternehmensdaten und den Einsatz von KI in Verwaltung, Kommunikation und Analyse. Schweizer Praxisbezug und Datenschutz gehören zu den Lerninhalten; bei EU-Bezug wird auch der EU AI Act behandelt. Mitarbeitende lernen im eigenen Tempo und können ihre Abschlüsse verifizieren lassen. Das Angebot finden Sie unter KI-Weiterbildung für Unternehmen.

Eine gemeinsame Weiterbildung unterstützt Mitarbeitende dabei, solche Fragen früh zu erkennen und an die richtige Stelle weiterzugeben. Eine Weiterbildung und ihr Nachweis ersetzen keine rechtliche Einzelfallprüfung und garantieren keine vollständige Erfüllung gesetzlicher Pflichten.

Häufige Fragen

Kann eine Zustimmung mündlich erfolgen?

Das hängt von den konkreten Anforderungen ab; häufig ist insbesondere der Nachweis schwierig. Lassen Sie festlegen, welche Form im betreffenden Fall genügt und wie Inhalt sowie Zeitpunkt dokumentiert werden.

Darf die KI unsere Interessenabwägung schreiben?

Sie kann die Gliederung und verständliche Formulierungen vorbereiten. Die tatsächlichen Interessen, Folgen für Betroffene und rechtliche Bewertung müssen zuständige Menschen ermitteln und prüfen.

Müssen wir bei einem Widerruf alles löschen?

Ein Widerruf betrifft zunächst die darauf gestützte Bearbeitung; andere Gründe für eine Aufbewahrung können gesondert zu prüfen sein. Stoppen Sie deshalb nicht wahllos sämtliche Geschäftsvorgänge, sondern führen Sie die Anfrage über den festgelegten Datenschutzweg.