KI-Anbieter in den USA: Wie prüfe ich den Datentransfer?

Das Problem

Der gewünschte KI-Dienst gehört einem amerikanischen Unternehmen. Auf der Produktseite steht «europäische Datenregion», während der Vertrag eine US-Firma nennt. Frau Müller soll einschätzen, ob Kundendaten dort bearbeitet werden dürfen, und weiss nicht, welche Aussage sie zugrunde legen soll.

Ein Speicherort ist nur ein Teil des Bildes. Auch Zugriffe aus anderen Ländern und zusätzliche Dienstleister gehören zum Datenweg. Für die Abklärung brauchen Sie daher die konkrete Firma und deren Rolle, nicht bloss den bekannten Markennamen.

So lösen Sie es mit KI – Schritt für Schritt

1. Erfassen Sie den Empfänger genau. Öffnen Sie Vertrag und Anbieterinformationen. Notieren Sie Firmenbezeichnung, Anschrift, verwendetes Angebot und die Vertragspartei. Fragen Sie nach, wenn eine Konzernmarke mehrere rechtlich selbstständige Gesellschaften umfasst und die Zuordnung unklar bleibt.

1. Zeichnen Sie Speicherung und Zugriffe auf. Lassen Sie festhalten, wo Eingaben, Ausgaben, technische Protokolle und Sicherungen bearbeitet werden. Ergänzen Sie möglichen Supportzugriff aus anderen Ländern. Schreiben Sie unbekannte Stationen sichtbar als offene Punkte auf, statt sie aus einer Werbeaussage abzuleiten.

1. Klären Sie die einschlägige Grundlage. Das Schweizer DSG regelt Auslandsbekanntgaben in Artikeln 16 und 17. Für den Swiss-U.S. Data Privacy Framework gilt die Angemessenheit für entsprechend zertifizierte US-Unternehmen im erfassten Bereich. Andere Konstellationen benötigen eine gesonderte Prüfung geeigneter Garantien oder Ausnahmen.

1. Kontrollieren Sie eine behauptete Zertifizierung. Öffnen Sie die offizielle DPF-Liste und suchen Sie nach der konkreten juristischen Person. Prüfen Sie den aktiven Status, die Teilnahme am Schweizer Rahmen und den erfassten Datenbereich. Dokumentieren Sie Datum und Fundstelle Ihrer Prüfung.

1. Verfolgen Sie weitere Empfänger. Fragen Sie, welche Unterauftragnehmer eingesetzt werden und wie Weiterübermittlungen geregelt sind. Die Freigabe eines Hauptanbieters beantwortet nicht automatisch jeden folgenden Datenweg. Nutzen Sie die Fragen zum KI-Datenschutzvertrag, um Unterlagen vollständig anzufordern.

1. Lassen Sie Lücken fachlich bewerten. Fehlt eine passende Zertifizierung, können etwa anerkannte Standarddatenschutzklauseln zu prüfen sein; das sind vertragliche Schutzvorgaben. Lassen Sie deren Eignung für den konkreten Transfer und nötige zusätzliche Massnahmen beurteilen. Ein angehängtes Muster allein genügt dafür nicht.

1. Dokumentieren Sie die Entscheidung und ihre Grenzen. Halten Sie fest, welche Datenarten für welche Funktionen freigegeben wurden. Planen Sie eine erneute Kontrolle bei Vertragsänderungen, neuen Empfängern oder verändertem Zertifizierungsstatus. Aktualisieren Sie die nötigen Informationen für betroffene Personen.

Vorlage zum Kopieren

Ordne unsere offenen Fragen zu einem KI-Datentransfer.
Vertragliche Anbieterfirma: [Firma]
Bekannte Bearbeitungsländer und Zugriffe: [Angaben]
Datenarten: [Liste ohne echte Daten]
Geprüfte Zertifizierungsangaben: [Angaben mit Datum oder offen]
Weitere Empfänger: [Liste oder offen]
Erstelle eine Fragenliste zu Nachweisen, fehlenden Stationen und Zuständigkeiten.
Leite keine Zertifizierung aus dem Markennamen ab.
Gib keine rechtliche Transferfreigabe.

Ersetzen Sie die Platzhalter durch Ihre geprüften Angaben; verwenden Sie für die KI-Anfrage keine vertraulichen Originalunterlagen.

Wie dokumentieren Sie eine Anbieterantwort?

Übertragen Sie die Antwort in Ihr Arbeitsblatt und verweisen Sie auf das Originaldokument. Notieren Sie, für welches Angebot, welche Gesellschaft und welche Funktion sie gilt. Markieren Sie Begriffe, die offenbleiben, etwa «grundsätzlich» oder «in der Regel», und fragen Sie nach der Bedeutung für Ihren konkreten Ablauf.

Bewahren Sie einen datierten Nachweis der Prüfung auf, ohne dafür unnötige personenbezogene Informationen zu sammeln. Wenn später ein anderer Dienst oder eine zusätzliche Funktion hinzukommt, vergleichen Sie den neuen Datenweg mit dieser dokumentierten Fassung. So lässt sich erkennen, ob die bisherige Entscheidung überhaupt noch dieselbe Verarbeitung betrifft.

Worauf Sie achten müssen

• Verwechseln Sie Swiss-U.S. und EU-U.S. Data Privacy Framework nicht. Welche Regeln neben dem DSG zu beachten sind, erläutert die Seite DSG oder DSGVO.
• Die amtliche Schweizer Übersicht zur Auslandsbekanntgabe ist Ausgangspunkt für die fachliche Prüfung. Kontrollieren Sie den aktuellen Stand, statt ältere Aussagen über frühere Rahmenwerke zu übernehmen.
• Eine europäische Speicherregion oder verschlüsselte Verbindung beantwortet nicht automatisch die Frage nach Auslandzugriffen. Verschlüsselung schützt Daten technisch, ist aber keine allgemeine rechtliche Erlaubnis.
• Dokumentieren Sie keine Personen- oder Kundendaten in öffentlich zugänglichen Prüflisten. Für die Abklärung genügen in der Regel Datenarten und eine Beschreibung der Verarbeitung.
• Lassen Sie offene Rechtsfragen anhand Ihres konkreten Falls fachlich prüfen. Eine KI kann Informationen ordnen, aber auch Regeln, Quellen und Schlussfolgerungen erfinden.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Planungsbüro in Basel möchte Projektkorrespondenz zusammenfassen lassen. Frau Müller findet die Konzernmarke auf einer Zertifizierungsseite und hält die Sache zunächst für erledigt. Im Vertrag steht jedoch eine andere Gesellschaft.

Sie lässt die Zuordnung und die beteiligten Empfänger klären. Bis dahin verwendet das Team nur eigens erstellte Mustertexte. Die spätere Entscheidung nennt das geprüfte Angebot und die erlaubten Datenarten ausdrücklich. Bei einem Wechsel der Vertragspartei ist dadurch klar, dass die Prüfung erneut aufgenommen werden muss.

So hilft Ihnen Alpasana

Die Online-Weiterbildung von absofort behandelt den verantwortungsvollen Umgang mit Unternehmensdaten und den Einsatz von KI in Verwaltung, Kommunikation und Analyse. Schweizer Praxisbezug und Datenschutz gehören zu den Lerninhalten; bei EU-Bezug wird auch der EU AI Act behandelt. Mitarbeitende lernen im eigenen Tempo und können ihre Abschlüsse verifizieren lassen. Das Angebot finden Sie unter KI-Weiterbildung für Unternehmen.

Die Weiterbildung vermittelt Datenschutz als Teil verantwortungsvoller KI-Nutzung. Sie kann Mitarbeitende befähigen, fehlende Anbieterangaben zu erkennen und gezielte Rückfragen zu stellen. Eine Weiterbildung und ihr Nachweis ersetzen keine rechtliche Einzelfallprüfung und garantieren keine vollständige Erfüllung gesetzlicher Pflichten.

Häufige Fragen

Sind US-Dienste grundsätzlich verboten?

Nein, eine solche Pauschalaussage wäre falsch. Die Zulässigkeit hängt vom konkreten Transfer, den Empfängern, den Schutzvoraussetzungen und weiteren Pflichten Ihres Betriebs ab.

Wer sollte die Zertifizierung kontrollieren?

Benennen Sie eine zuständige Person, die das Ergebnis nachvollziehbar ablegt. Bei unklarer Firmenzuordnung oder Rechtswirkung braucht sie Unterstützung durch eine datenschutzkundige Fachperson.

Müssen wir die Kundschaft über den Transfer informieren?

Die Informationspflichten sind anhand des anwendbaren Rechts zu prüfen. Sammeln Sie dafür tatsächliche Länder- und Empfängerangaben; die Vorlage zur Datenschutzerklärung hilft bei der Vorbereitung.