Wer trägt den Datenschutz bei gemeinsam betriebenen KI-Tools?

Das Problem

Zwei Betriebe arbeiten zusammen: ein Treuhandbüro und ein Softwarehaus, ein Fitnessstudio und ein Ernährungsberater, zwei Gemeinden mit einem gemeinsamen Online-Schalter. Sie möchten ein KI-Werkzeug gemeinsam nutzen, etwa einen Assistenten, der Anfragen beider Seiten beantwortet. Wer ist dann für den Datenschutz zuständig?

Ein häufiger Irrtum lautet: «Die Software gehört dem anderen, also ist das sein Problem.» Oder umgekehrt: «Wir sind beide verantwortlich, also kümmert sich jeder um alles und am Ende niemand.» Beides kann teuer werden, wenn eine Betroffene Auskunft verlangt oder eine Datenpanne passiert.

Die rechtliche Frage lautet: Wer entscheidet über Zweck und Mittel der Bearbeitung? Wer das gemeinsam tut, ist gemeinsam verantwortlich.

Wann liegt gemeinsame Verantwortlichkeit vor?

Das Schweizer DSG kennt den Fall, dass ein Verantwortlicher «allein oder zusammen mit anderen» über Zweck und Mittel entscheidet. Die DSGVO regelt gemeinsam Verantwortliche ausdrücklich: Sie müssen in transparenter Form festlegen, wer welche Pflichten erfüllt. Der wesentliche Inhalt dieser Vereinbarung muss den betroffenen Personen zugänglich sein. Die Einordnung im Einzelfall ist anspruchsvoll und gehört in fachkundige Hände.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie die Zusammenarbeit. Wer will was mit den Daten erreichen? Wer entscheidet, welche Daten erfasst und wozu sie verwendet werden?
2. Zeichnen Sie den Datenfluss. Woher kommen die Daten, wer gibt sie in das KI-Werkzeug ein, wer hat Zugriff, wo liegen sie? Siehe auch Verzeichnis der Bearbeitungstätigkeiten.
3. Klären Sie die Rollen. Ist ein Beteiligter nur Dienstleister im Auftrag (dann Auftragsbearbeitung, siehe Auftragsverarbeitung erkennen) oder entscheiden beide mit?
4. Verteilen Sie die Pflichten in einer Tabelle. Information der Betroffenen, Auskunft, Berichtigung und Löschung, Sicherheit, Meldung von Datenpannen, Auswahl und Kontrolle von Anbietern. Wer macht was bis wann?
5. Lassen Sie die Vereinbarung ausformulieren. Mit der Vorlage unten bereiten Sie einen Entwurf vor, den eine Fachperson prüft.
6. Bestimmen Sie eine Anlaufstelle. Betroffene sollten wissen, an wen sie sich wenden können. Dennoch können sie ihre Rechte oft gegenüber beiden geltend machen.
7. Informieren Sie die Betroffenen. Die Datenschutzerklärung nennt die Beteiligten und den Zweck. Siehe Datenschutzerklärung für KI.
8. Überprüfen Sie die Vereinbarung. Bei Änderungen des Werkzeugs, des Zwecks oder der Beteiligten, mindestens aber einmal jährlich.

Vorlage zum Kopieren

Zwei Betriebe nutzen gemeinsam ein KI-Werkzeug: [Betrieb A, Branche] und [Betrieb B, Branche]. Zweck: [z. B. gemeinsame Beantwortung von Kundenanfragen auf einer Plattform].
Daten: [Arten, z. B. Name, E-Mail, Inhalt der Anfrage]. Betroffene: [z. B. Interessenten].
Erstelle einen Entwurf für eine Tabelle zur Rollen- und Pflichtenverteilung mit den Spalten: Aufgabe | verantwortlich (A, B oder beide) | Frist | Nachweis.
Aufgaben: Information der Betroffenen, Anlaufstelle, Auskunft, Berichtigung/Löschung, Datensicherheit, Auswahl des KI-Anbieters und Vertrag, Meldung von Datenpannen, Schulung, Überprüfung.
Schreibe zu jeder Aufgabe eine Leitfrage, die wir klären müssen. Gib keine Rechtsberatung, erfinde keine Gesetzesartikel und markiere Punkte, die juristisch geprüft werden sollten.

Das Ergebnis ist ein Arbeitsentwurf für das Gespräch mit Ihrer Datenschutz- oder Rechtsberatung.

Worauf Sie achten müssen

• Schriftlich festhalten: Mündliche Absprachen genügen nicht. Gerade bei Auskunftsbegehren oder Datenpannen ist die Rollenverteilung entscheidend.
• Aussenwirkung: Intern können Sie Aufgaben verteilen, doch Betroffene können sich je nach Rechtslage an jeden der Beteiligten halten. Informieren Sie sich über Haftung und Zuständigkeit.
• Der KI-Anbieter: Stellt ein dritter Anbieter das KI-Werkzeug bereit, braucht es zusätzlich einen Vertrag mit ihm, siehe Auftragsverarbeitungsvertrag prüfen.
• Zweckbindung: Beide Betriebe dürfen die Daten nur für die vereinbarten Zwecke nutzen, siehe Zweckbindung bei KI.
• Rechtliche Einordnung: Ob wirklich gemeinsame Verantwortlichkeit vorliegt, ist ein juristischer Einzelfall. Ziehen Sie bei Zweifeln eine Fachperson bei.

Ein Beispiel aus der Praxis

Ein Beispiel: Zwei Arztpraxen und ein Labor in Bern planen eine gemeinsame Online-Terminplattform mit KI-gestützter Beantwortung von Fragen. Alle drei haben Zugriff auf die Anfragen.

Vorher: Jede Praxis geht davon aus, das Labor kümmere sich um die Plattform und damit um den Datenschutz. Ein Patient verlangt Auskunft über seine Daten, und niemand weiss, wer antworten muss.

Nachher: Die Beteiligten halten in einer Vereinbarung fest, dass sie gemeinsam über Zweck und Betrieb entscheiden. Das Labor übernimmt Technik und Anbietervertrag, die Praxen die Information ihrer Patienten, eine Person pro Standort beantwortet Auskunftsbegehren und leitet sie koordiniert weiter. Weil Gesundheitsdaten betroffen sind, holen sie zusätzlich fachlichen Rat ein.

So hilft Ihnen Alpasana

Wer Kooperationen mit KI plant, sollte Prozesse, Datenflüsse und Zuständigkeiten klar beschreiben. Die KI-Beratung und digitale Transformation von Alpasana unterstützt dabei, Prozesse aufzunehmen, Systeme zu verbinden, Schnittstellen zu konzipieren und die Umsetzung zu dokumentieren. Projekte werden individuell offeriert.

Die juristische Ausgestaltung der Vereinbarung ist darin nicht beschrieben und gehört zu einer Rechts- oder Datenschutzberatung.

Häufige Fragen

Reicht ein Vertrag zwischen den Partnern?

Er ist wichtig, löst aber nicht alles. Betroffene sind an interne Absprachen nicht gebunden, und die Aufsicht beurteilt die tatsächlichen Verhältnisse. Klären Sie den Vertrag und die gelebte Praxis.

Ist mein KI-Anbieter automatisch mein gemeinsam Verantwortlicher?

Nein. Meist ist er Auftragsbearbeiter. Gemeinsam verantwortlich wird er nur, wenn er mit eigenen Zwecken oder eigenem Entscheid über die Mittel mitwirkt, etwa wenn er die Daten auch für sein eigenes Training verwendet. Prüfen Sie das im Vertrag.

Was, wenn ein Partner im Ausland sitzt?

Dann können zusätzliche Regeln gelten, etwa zur Datenübermittlung ins Ausland. Siehe Datenübermittlung ins Ausland und holen Sie fachlichen Rat ein.