Wann werden KI-Daten rechtlich ins Ausland übermittelt?

Das Problem

Sie nutzen einen KI-Dienst eines Anbieters mit Sitz im Ausland, oder einen Schweizer Dienst mit Support im Ausland. Ihre Datenschutzverantwortliche fragt: «Gelangen unsere Daten ins Ausland? Ist das erlaubt?» Sie antworten, die Daten lägen auf einem Server in Europa, also sei alles in Ordnung. Doch dann hören Sie, dass auch der Zugriff durch einen Support-Mitarbeiter in einem anderen Land als Übermittlung zählen könne.

Das verunsichert, weil der Begriff im Alltag enger verstanden wird als im Recht. Bei Cloud-Diensten und KI-Angeboten sind Datenflüsse oft verzweigt: Hauptserver, Backup, Support, Unterauftragnehmer, Wartung. Jede dieser Stellen kann in einem anderen Land liegen.

Hier erfahren Sie, was rechtlich als Übermittlung ins Ausland gilt, welche Voraussetzungen es gibt und wie Sie die Datenflüsse Ihres Anbieters klären. Eine verbindliche Rechtsauskunft ersetzt das nicht.

Einfach erklärt

Das Schweizer Datenschutzgesetz spricht von der Bekanntgabe von Personendaten ins Ausland. Eine Bekanntgabe liegt vor, wenn Personendaten einem Empfänger im Ausland zugänglich gemacht werden. Dazu gehört nicht nur das Senden, sondern auch der Zugriff aus dem Ausland, zum Beispiel durch Support, Wartung oder Konzerngesellschaften. Die DSGVO sagt Ähnliches für die Übermittlung in Drittländer.

Zulässig ist die Bekanntgabe nach dem Schweizer Gesetz, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des Ziellandes einen angemessenen Schutz gewährleistet. Die Liste dieser Staaten führt die Datenschutzverordnung. Andernfalls braucht es geeignete Garantien, etwa Standarddatenschutzklauseln, oder eine gesetzliche Ausnahme. Für die USA gibt es einen Angemessenheitsmechanismus für Unternehmen, die sich unter dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert haben. Prüfen Sie jeweils den aktuellen Stand, denn er kann sich ändern.

So lösen Sie es mit KI – Schritt für Schritt

So klären Sie die Datenflüsse Ihres KI-Dienstes:

1. Dienst und Daten festhalten: Welcher Dienst, welche Personendaten, welche Zwecke? Ohne Personendaten stellt sich die Frage nicht.
2. Verarbeitungsorte erfragen: Wo liegen Hauptserver und Backups? Der Anbieter muss dazu Auskunft geben. Suchen Sie in Vertrag, Datenschutzhinweisen und Unterlagen zur Sicherheit.
3. Support und Zugriffe klären: Wer kann aus welchem Land auf Daten zugreifen: Support, Wartung, Entwicklung?
4. Unterauftragnehmer prüfen: Welche weiteren Firmen sind beteiligt, wo sitzen sie? Siehe Unterauftragsverarbeiter.
5. Zielländer bewerten: Gilt für das Land ein anerkannter angemessener Schutz, oder braucht es Garantien? Siehe Datentransfer in die USA.
6. Garantien prüfen: Gibt es Standardvertragsklauseln oder eine Zertifizierung? Siehe Standardvertragsklauseln und Transfer Impact Assessment.
7. Risiken abwägen: Welche Zugriffsrisiken bestehen, etwa durch ausländische Behörden? Besprechen Sie das mit Ihrer Beratung.
8. Entscheid dokumentieren: Halten Sie fest, welche Datenflüsse bestehen, auf welcher Grundlage sie erfolgen und welche Daten Sie nicht eingeben.

Vorlage zum Kopieren

Mit diesem Fragebogen klären Sie die Datenflüsse mit Ihrem Anbieter. Er lässt sich auch einem Assistenten übergeben, um Ihre Fragen zu ordnen:

Fragen an den KI-Anbieter [Name] zu Datenflüssen und Ausland (Dienst/Tarif: [Angabe]):
1. In welchen Ländern werden Kundendaten verarbeitet und gespeichert (Hauptsystem, Backups)?
2. Aus welchen Ländern kann auf Kundendaten zugegriffen werden (Support, Wartung, Entwicklung, Konzerngesellschaften)?
3. Welche Unterauftragnehmer sind beteiligt, in welchen Ländern, mit welchem Zugriff?
4. Auf welcher Grundlage erfolgen Übermittlungen in Länder ohne anerkannten Schutz (Standardvertragsklauseln, Zertifizierung, andere)?
5. Wie werden Daten verschlüsselt, und wer verfügt über die Schlüssel?
6. Wie reagieren Sie auf Herausgabeverlangen ausländischer Behörden?
7. Wird über Änderungen bei Orten und Unterauftragnehmern informiert, und können wir widersprechen?
Bitte beantworten Sie schriftlich. Bis zur Klärung geben wir keine Personendaten ein.

Passen Sie die Fragen an Ihren Fall an. Bewahren Sie die Antworten für Ihr Verzeichnis und Ihre Dokumentation auf.

Worauf Sie achten müssen

• Fernzugriff: Er zählt oft als Übermittlung, auch wenn Daten nur angezeigt werden. Fragen Sie ausdrücklich danach.
• Pauschalaussagen: «Wir speichern in Europa» sagt nichts über Support und Unterauftragnehmer.
• Aktueller Stand: Anerkennungen und Mechanismen können sich ändern, etwa durch Entscheide von Behörden und Gerichten. Prüfen Sie aktuelle Quellen, auch beim Eidgenössischen Datenschutzbeauftragten.
• Behördenzugriff: Risiken durch ausländische Zugriffsrechte sind Teil der Abwägung. Verträge allein beseitigen sie nicht immer.
• Ausnahmen: Eine Einwilligung kann im Einzelfall eine Möglichkeit sein, sollte aber nicht der Normalfall für laufende Verarbeitungen sein.
• Besondere Daten: Bei Berufsgeheimnis und sensiblen Daten gelten strengere Anforderungen.
• Keine Rechtsberatung: Ziehen Sie bei Zweifeln Fachleute bei.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in Winterthur nutzt eine Cloud-Software mit KI-Funktionen. Der Anbieter wirbt mit Servern in der EU.

Vorher: Das Büro nimmt an, dass damit keine Auslandsfragen offen sind. Später erfährt es, dass der Support der Anbieterfirma von einem Drittland aus auf Kundendaten zugreifen kann.

Nachher: Das Büro schickt den Fragebogen an den Anbieter und lässt sich schriftlich bestätigen, wo Daten liegen, wer zugreifen kann und welche Garantien bestehen. Es prüft die Antworten mit seiner Datenschutzberatung, schränkt die Daten ein, die in den Dienst gelangen, und dokumentiert den Entscheid. Bis zur Klärung bleiben besonders sensible Mandatsdaten draussen.

So hilft Ihnen Alpasana

Wer Datenschutzfragen rund um KI und Cloud im Betrieb verständlich einordnen lernen möchte, findet bei absofort passende Weiterbildung. Die KI-Weiterbildung für Unternehmen behandelt laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte sowie den verantwortungsbewussten Umgang mit Unternehmensdaten, mit Lernen im eigenen Tempo. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Rechtsberatung ersetzt das nicht.

Häufige Fragen

Ist ein Server in der EU unproblematisch?

Meist ist das Schutzniveau anerkannt, aber Sie müssen trotzdem Support, Unterauftragnehmer und Verträge prüfen. Auch die Verarbeitung in der EU ist Bekanntgabe ins Ausland.

Gilt auch ein Zugriff nur zur Wartung?

Ja, ein Zugriff, der Personendaten zugänglich macht, kann bereits eine Bekanntgabe sein. Klären Sie mit dem Anbieter, ob und wie Zugriffe erfolgen.

Was, wenn der Anbieter nichts dazu sagt?

Dann fehlen Ihnen Grundlagen für die Beurteilung. Geben Sie in diesem Fall keine Personendaten ein, bis die Fragen beantwortet sind.

Reicht die Zustimmung der Kundschaft?

Eine Einwilligung kann je nach Fall eine Grundlage sein, ist aber an hohe Anforderungen gebunden und kein Ersatz für saubere Verträge. Siehe Einwilligung für KI-Verarbeitung.