Wann braucht ein Betrieb mit KI Datenschutz-Fachpersonen?

Das Problem

Ihr Betrieb führt KI-Werkzeuge ein: einen Textassistenten für alle, einen Chatbot auf der Website, vielleicht eine Auswertung von Kundenmails. Plötzlich taucht die Frage auf: «Müssen wir jetzt einen Datenschutzbeauftragten haben?» Die Antworten im Internet widersprechen sich. Die einen sagen «ja, sofort», die anderen «nur bei Konzernen».

Der Grund für die Verwirrung ist einfach: Es gibt mehrere Rechtsordnungen mit unterschiedlichen Regeln, und die Begriffe sind verschieden. In der Schweiz spricht das Datenschutzgesetz (DSG) von der Datenschutzberaterin. In der EU spricht die Datenschutz-Grundverordnung (DSGVO) vom Datenschutzbeauftragten. Beide Rollen haben ähnliche Aufgaben, aber andere Voraussetzungen.

Hier erfahren Sie, wie Sie die Frage für Ihren Betrieb einordnen, welche Aufgaben eine solche Person hat und wann sich ein Beizug auch ohne Pflicht lohnt.

Was gilt wo?

Ob Ihr Betrieb unter die DSGVO fällt, klärt DSGVO für Schweizer Firmen mit EU-Kundschaft. Eine Einführung in die Schweizer Gesetzeslage bietet Revidiertes DSG und KI im KMU.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären Sie den Rechtsrahmen. Verarbeiten Sie nur Daten von Personen in der Schweiz, oder auch von Personen in der EU, etwa durch gezielte Angebote an EU-Kundschaft? Fragen Sie im Zweifel eine Fachperson.
2. Verschaffen Sie sich einen Überblick über Ihre KI-Anwendungen. Listen Sie auf: Werkzeug, Zweck, Datenarten, Anbieter. Das hilft für jede weitere Entscheidung, siehe Verzeichnis der Bearbeitungstätigkeiten.
3. Prüfen Sie die Pflichtkriterien. Bei EU-Bezug: Ist Überwachung von Personen Kerngeschäft? Werden in grossem Umfang besondere Daten verarbeitet (etwa Gesundheit)? Wenn ja, ist eine Benennung möglicherweise nötig.
4. Bewerten Sie den Bedarf unabhängig von der Pflicht. Setzen Sie KI mit Personendaten, Profiling oder sensiblen Daten ein, lohnt sich Fachwissen im Haus oder extern, auch ohne Pflicht.
5. Entscheiden Sie: intern oder extern. Eine interne Person braucht Fachkenntnisse und darf keinen Interessenkonflikt haben (zum Beispiel nicht gleichzeitig für die IT-Leitung zuständig sein, die über die Mittel entscheidet). Externe Datenschutzberatungen sind für kleine Betriebe oft praktikabler.
6. Legen Sie die Aufgaben fest. Beratung bei neuen KI-Vorhaben, Mitwirkung bei Folgenabschätzungen, Schulung der Mitarbeitenden, Ansprechstelle für Betroffene und Behörden.
7. Binden Sie die Person früh ein. Vor der Einführung eines KI-Werkzeugs, nicht erst danach. Eine kurze Prüfung vorab ist günstiger als eine Korrektur im Nachhinein.
8. Halten Sie Zuständigkeit und Kontakt fest. Intern und, wo nötig, in der Datenschutzerklärung. Überprüfen Sie die Regelung jährlich.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie ein Gespräch mit einer Datenschutzberatung vor. Geben Sie nur Angaben zum Betrieb und zu den Werkzeugen ein, keine Personendaten:

Wir sind [Betrieb, Branche, Anzahl Mitarbeitende, Ort in der Schweiz]. Wir setzen folgende KI-Werkzeuge ein oder planen sie:
- [Werkzeug 1]: [Zweck, Datenarten, z. B. Textentwürfe mit Kundennamen]
- [Werkzeug 2]: [Zweck, Datenarten]
EU-Bezug: [z. B. Kundschaft in Deutschland: ja/nein].
Bereite eine Checkliste mit Fragen vor, die wir einer Datenschutzberatung stellen sollten, um zu klären:
1. ob wir eine Datenschutz-Fachperson benennen müssen oder sollten,
2. welche Aufgaben sie übernehmen würde,
3. welche Unterlagen wir vorher zusammenstellen sollten.
Erfinde keine Gesetzesartikel. Kennzeichne Annahmen, die geprüft werden müssen.

Ergänzen Sie Ihre Angaben und nehmen Sie die Liste zum Gespräch mit. Die rechtliche Einordnung nimmt die Fachperson vor.

Worauf Sie achten müssen

• Keine Pauschalantwort: Pflicht und Bedarf hängen von Land, Branche, Datenart und Umfang ab. Eine Tabelle im Internet ersetzt die Prüfung Ihres Falls nicht.
• Verantwortung bleibt beim Betrieb: Eine Datenschutzberatung berät, die rechtliche Verantwortung für die Datenbearbeitung bleibt bei der Firma.
• Interessenkonflikt vermeiden: Wer selbst über KI-Einführung entscheidet, sollte nicht zugleich neutral beraten.
• Kontaktstelle: Betroffene müssen wissen, an wen sie sich wenden können. Siehe Datenschutz-Beschwerde.
• Hinweise der Behörden beachten: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) veröffentlicht Merkblätter und Auskünfte. Für Bundes- und kantonale Stellen gelten eigene Vorgaben.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in Chur mit zwölf Mitarbeitenden möchte einen KI-Assistenten für Kundenkorrespondenz einführen. Ein Teil der Kundschaft sitzt in Liechtenstein und Österreich.

Vorher: Die Inhaberin glaubt, als kleines Büro brauche sie nichts weiter. Wer sich um Datenschutz kümmert, ist nicht festgelegt.

Nachher: Sie bestellt eine kurze Beratung bei einer externen Datenschutzfachperson. Diese klärt, ob wegen der EU-Kundschaft die DSGVO gilt, ob eine Benennungspflicht besteht und welche Unterlagen fehlen. Das Büro erstellt eine Liste seiner KI-Werkzeuge, wählt einen Dienst mit Vertrag aus und vereinbart, dass die Fachperson bei künftigen KI-Vorhaben vorab einbezogen wird.

So hilft Ihnen Alpasana

Gute Entscheidungen beginnen bei geschultem Personal. Die KI-Weiterbildung für Unternehmen von absofort behandelt Datenschutz mit Schweizer Praxisbezug, den EU AI Act bei EU-Bezug und den verantwortungsbewussten Umgang mit Unternehmensdaten. Die Mitarbeitenden lernen im eigenen Tempo und erhalten verifizierbare Abschlüsse; für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Die Weiterbildung ersetzt keine Datenschutzberatung und keine rechtliche Einzelfallprüfung.

Häufige Fragen

Reicht es, wenn ich selbst den Datenschutz «nebenbei» übernehme?

Für sehr kleine Betriebe mit geringem Risiko kann das genügen, solange Sie sich Fachwissen aneignen und bei Unsicherheit Rat holen. Bei sensiblen Daten oder grösseren KI-Vorhaben ist externe Unterstützung sinnvoll.

Was ist der Unterschied zwischen Datenschutzberaterin und Datenschutzbeauftragter?

Die Aufgaben sind verwandt. «Datenschutzberater» ist der Schweizer Begriff im DSG, «Datenschutzbeauftragter» der Begriff der DSGVO. Die Voraussetzungen und Pflichten unterscheiden sich im Einzelnen.

Muss ich die Fachperson dem EDÖB melden?

Ob und wann Meldungen nötig sind, hängt vom Einzelfall und von der Rolle ab. Fragen Sie dazu Ihre Datenschutzberatung oder prüfen Sie die Hinweise des EDÖB.