Reicht ein Server in der Schweiz für den KI-Datenschutz?

Das Problem

Ein KI-Anbieter wirbt: «Ihre Daten bleiben in der Schweiz.» Das klingt beruhigend, und Sie überlegen, ob damit alle Datenschutzfragen gelöst sind. Ihre Kundschaft schätzt Schweizer Standorte, und Ihre Geschäftsleitung fragt, ob Sie nicht einfach nur Dienste mit Schweizer Servern wählen sollten.

Der Standort ist tatsächlich wichtig, aber er ist nur ein Baustein. Datenschutz entscheidet sich auch dort, wo andere Teile des Systems liegen und wer zugreifen kann: Support, Wartung, Unterauftragnehmer, Mutterkonzern, Backups. Ein Dienst kann Daten in der Schweiz speichern und trotzdem aus dem Ausland zugänglich machen. Ebenso ist ein ausländischer Standort nicht automatisch unzulässig.

Hier lernen Sie, was ein Schweizer Standort leistet, was er nicht leistet und welche Fragen Sie stellen sollten. Rechtsberatung ersetzt das nicht.

Einfach erklärt

Der Begriff Datenresidenz beschreibt, wo Daten gespeichert und verarbeitet werden. Ein Standort in der Schweiz hat Vorteile: Die Daten unterliegen unmittelbar dem Schweizer Recht, Datenflüsse ins Ausland sind eingeschränkt, und das Vertrauen der Kundschaft ist oft grösser.

Er beantwortet aber nicht automatisch diese Fragen:

Ausserdem benutzen viele KI-Anwendungen Modelle, die bei einem anderen Anbieter laufen. Dann kann ein Schweizer Dienst im Hintergrund Daten an einen Modellanbieter im Ausland senden. Das muss aus den Unterlagen ersichtlich sein.

So lösen Sie es mit KI – Schritt für Schritt

So prüfen Sie ein Angebot mit Schweizer Standort:

1. Versprechen notieren: Was genau wird zugesichert: Speicherung, Verarbeitung, Backups, Support in der Schweiz? Nehmen Sie die Aussagen schriftlich.
2. Vertragsunterlagen lesen: Nutzungsbedingungen, Datenschutzhinweise, Vertrag zur Datenverarbeitung, Liste der Unterauftragnehmer.
3. Modell und Verarbeitungskette klären: Läuft das KI-Modell beim Anbieter selbst oder bei einem Dritten, und wo?
4. Supportzugriffe erfragen: Wer kann aus welchem Land auf Daten zugreifen, und unter welchen Bedingungen?
5. Anbieterstruktur prüfen: Wem gehört der Anbieter, wo sitzt er? Welche Herausgabeverlangen sind möglich?
6. Vertragsklauseln prüfen: Festgelegter Speicherort, Zugriffsbeschränkungen, Information bei Änderungen, Kündigung und Datenrückgabe. Siehe Speicherort im Vertrag.
7. Rolle und Training klären: Verarbeitet der Anbieter nur nach Ihren Weisungen? Siehe Auftragsverarbeitung erkennen.
8. Alternativen abwägen: Für besonders sensible Daten kann eine lokale Lösung sinnvoll sein, siehe Lokale KI und Datenschutz.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie Fragen an Anbieter mit Schweizer Standort vor:

Ein KI-Anbieter [Name] wirbt mit «Datenhaltung in der Schweiz». Wir sind [Betrieb, Branche] und möchten Daten von [Datenarten] verarbeiten lassen.
Erstelle eine Fragenliste, mit der wir prüfen, ob der Schweizer Standort unsere Datenschutzfragen wirklich beantwortet:
Verarbeitungsort aller Komponenten (inklusive KI-Modell, Backups, Protokolle), Supportzugriffe aus dem Ausland, Unterauftragnehmer und deren Länder,
Sitz und Eigentümer des Anbieters, Nutzung der Daten für eigene Zwecke oder Training, Verschlüsselung und Schlüsselverwaltung, Vertragsinhalte, Information bei Änderungen, Datenrückgabe und Löschung.
Formuliere die Fragen so, dass der Anbieter sie schriftlich mit ja, nein oder einer Erklärung beantworten kann. Gib keine Rechtsberatung und erfinde keine Anbieterangaben.

Ergänzen Sie Anbieter und Datenarten. Schriftliche Antworten gehören in Ihre Dokumentation.

Worauf Sie achten müssen

• Werbung ist keine Zusicherung: Nur was vertraglich festgehalten ist, können Sie später einfordern.
• Teilversprechen: «Speicherung in der Schweiz» heisst nicht «Verarbeitung» oder «Support». Prüfen Sie die genaue Formulierung.
• Ausländische Behördenzugriffe: Anbieter mit ausländischem Mutterkonzern oder Standorten können Herausgabeverlangen unterliegen. Lassen Sie das bei sensiblen Daten bewerten.
• Eigene Pflichten: Zweckbindung, Information, Datensparsamkeit und Zugriffsrechte gelten unabhängig vom Standort.
• Berufsgeheimnis: Der Standort ersetzt die Prüfung der Geheimnisanforderungen nicht, siehe Berufsgeheimnis und KI.
• Änderungen: Standorte und Unterauftragnehmer können wechseln. Verlangen Sie Information und Widerspruchsrechte.
• Preis und Nutzen: Schweizer Angebote sind oft teurer. Wägen Sie ab, welche Daten wirklich diesen Schutz brauchen.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Gemeinde im Kanton St. Gallen sucht einen KI-Assistenten für die Beantwortung von Bürgeranfragen und bevorzugt einen Anbieter mit Schweizer Rechenzentrum.

Vorher: Der Gemeindeschreiber ist beruhigt, weil «alles in der Schweiz» liegt, und unterschreibt die Bestellung.

Nachher: Er stellt vorab die Fragen und erfährt, dass das KI-Modell im Hintergrund von einem Anbieter im Ausland betrieben wird und der Support teilweise aus einem Drittland erfolgt. Die Gemeinde prüft mit dem Datenschutzverantwortlichen, ob und wie das akzeptabel ist, verlangt eine Vertragsklausel zum Speicherort und zur Information bei Änderungen und beschränkt die Eingaben auf nicht sensible Anfragen. Für besonders heikle Fälle bleibt die Bearbeitung manuell.

So hilft Ihnen Alpasana

Wer Anbieter fundiert beurteilen und Datenschutz im KI-Alltag verstehen möchte, findet bei absofort passende Weiterbildung. Die KI-Weiterbildung für Unternehmen behandelt laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte sowie den verantwortungsbewussten Umgang mit Unternehmensdaten, mit Lernen im eigenen Tempo und verifizierbaren Abschlüssen. Rechtsberatung ersetzt das nicht.

Häufige Fragen

Ist ein Schweizer Anbieter automatisch datenschutzkonform?

Nein. Er muss die gesetzlichen Pflichten erfüllen, und Sie bleiben für Ihre Verarbeitung verantwortlich. Prüfen Sie Vertrag und Praxis.

Ist ein ausländischer Standort verboten?

Nicht grundsätzlich. Die Bekanntgabe ins Ausland ist unter Bedingungen erlaubt, etwa bei anerkanntem Schutzniveau oder mit Garantien. Siehe Datenübermittlung ins Ausland.

Wie erkenne ich, wo das KI-Modell läuft?

Fragen Sie den Anbieter ausdrücklich nach der gesamten Verarbeitungskette. In den Unterlagen sollten die beteiligten Unterauftragnehmer und Länder genannt sein.

Ist eine lokale KI die sicherere Wahl?

Sie kann Risiken verringern, braucht aber Technik und Pflege. Mehr dazu in Lokale KI oder Cloud.