Was bedeutet das revDSG für KI im Schweizer KMU?

Das Problem

Eine Mitarbeiterin möchte Kundenbriefe zusammenfassen lassen. Ein Kollege verwendet KI für Bewerbungen, die Geschäftsleitung für Sitzungsnotizen. Niemand hat festgehalten, welche Informationen dabei den Betrieb verlassen und wer bei einer Rückfrage zuständig ist.

Das revidierte Datenschutzgesetz, kurz revDSG, ist kein eigenes KI-Gesetz. Personendaten sind Angaben über bestimmte oder bestimmbare Menschen, etwa eine persönliche E-Mail-Adresse. Nach der Einordnung des EDÖB zu KI gilt das DSG auch für KI-gestützte Bearbeitungen; ein neues Werkzeug hebt bestehende Verantwortung also nicht auf.

So lösen Sie es mit KI – Schritt für Schritt

1. Beginnen Sie mit einer einzigen Aufgabe. Öffnen Sie ein leeres Dokument und beschreiben Sie den gewünschten Arbeitsschritt ohne Kundennamen. Schreiben Sie beispielsweise «Antwortentwurf auf eine Lieferanfrage». So lässt sich später beurteilen, welche Angaben für diese Aufgabe wirklich nötig sind.

1. Notieren Sie den Datenweg. Zeichnen Sie mit einfachen Pfeilen: Eingang im Betrieb, Eingabe beim KI-Anbieter, Ausgabe, Ablage. Ergänzen Sie, wer auf jeder Station lesen kann. Fragen Sie die IT-Ansprechperson, ob automatische Verbindungen zusätzliche Dokumente oder E-Mails einbeziehen.

1. Verringern Sie die Eingabe. Eine Formulierungshilfe braucht meist weder die ganze Kundenakte noch eine private Adresse. Ersetzen Sie den Originalbrief durch eine sachliche Beschreibung. Die Anleitung zum Anonymisieren von Dokumenten hilft, versteckte Hinweise auf Personen mitzudenken.

1. Klären Sie die Anbieterrolle. Fordern Sie die Vertragsunterlagen des tatsächlich verwendeten Angebots an. Festzuhalten sind insbesondere Bearbeitungszweck, Zugriffe, Speicherorte und Löschung. Bei einem Dienstleister, der Daten in Ihrem Auftrag bearbeitet, unterstützt die Checkliste zum Datenschutzvertrag die Vorbereitung.

1. Lassen Sie KI offene Fragen sortieren. Geben Sie nur die bereinigte Beschreibung und die Felder des Arbeitsblatts im Abschnitt «Einfach erklärt» ein. Verlangen Sie eine Trennung zwischen belegten Angaben und fehlenden Informationen. Kontrollieren Sie, ob das Ergebnis neue Annahmen über Ihren Betrieb enthält, und streichen Sie diese.

1. Legen Sie die betriebliche Freigabe fest. Bestimmen Sie eine verantwortliche Person und eine Stellvertretung. Schreiben Sie auf, welche Daten für welche Aufgabe zugelassen sind und wann eine fachliche Prüfung nötig wird. Besonders folgenreiche Anwendungen sollten Sie vor einem Versuch mit echten Daten beurteilen lassen.

1. Üben Sie den Ablauf gemeinsam. Testen Sie mit einem erfundenen Musterbrief, lassen Sie die Antwort gegenlesen und speichern Sie die geprüfte Arbeitsanweisung. Vereinbaren Sie, dass ein neuer Anbieter oder eine neue Datenart eine erneute Prüfung auslöst. Das verhindert, dass eine begrenzte Freigabe unbemerkt ausgeweitet wird.

Einfach erklärt

Das Gesetz schützt Menschen, deren Daten Ihr Betrieb bearbeitet. Es schützt nicht nur eine Tabelle mit der Überschrift «Kundendaten». Auch eine einzelne Nachricht kann eine Person erkennbar machen und deshalb in die Prüfung gehören.

Ein Beispiel: Für «Schreiben Sie eine freundliche Erinnerung an fehlende Unterlagen» braucht ein Textassistent keinen Namen. Ob die Aufgabe mit einer allgemeinen Beschreibung erledigt werden kann, ist deshalb eine praktische Frage vor jeder Datenweitergabe. Die rechtliche Prüfung des gewählten Dienstes bleibt davon getrennt.

Erstellen Sie ein Arbeitsblatt mit Aufgabe, benötigten Angaben, Empfänger, offenen Fragen und zuständiger Person. Die KI kann eine solche Liste sprachlich ordnen; die Freigabe erteilen die zuständigen Menschen anhand geprüfter Tatsachen.

Wie wird daraus eine brauchbare Arbeitsregel?

Schreiben Sie die Regel so, dass eine Stellvertretung sie ohne zusätzliches Gespräch anwenden kann. Nennen Sie den erlaubten Arbeitsschritt, den freigegebenen Arbeitsbereich und die Daten, die draussen bleiben. Ergänzen Sie, wer das Ergebnis vor seiner Verwendung kontrolliert und an wen Unsicherheiten gemeldet werden.

Lesen Sie die Anweisung anschliessend gemeinsam mit einer Person, die den Ablauf noch nicht kennt. Lassen Sie diese erklären, was sie bei einem Kundenbrief mit einem unerwarteten Anhang tun würde. Wenn die Antwort unklar bleibt, verbessern Sie die Regel an dieser Stelle. Damit prüfen Sie nicht nur das Wissen einer Mitarbeiterin, sondern auch die Verständlichkeit Ihrer Organisation.

Worauf Sie achten müssen

• Das DSG verlangt unter anderem angemessenen Schutz und transparente Bearbeitung; bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Das ist eine strukturierte Prüfung der Folgen für betroffene Menschen, keine blosse Werkzeugbewertung.
• Für Gemeinden und kantonale Stellen können kantonale Datenschutzregeln massgeblich sein. Übernehmen Sie eine KMU-Vorlage deshalb nicht unverändert für eine öffentliche Verwaltung.
• Eine technisch mögliche Eingabe ist noch keine betriebliche Erlaubnis. Auch Geschäftsgeheimnisse und vertragliche Vertraulichkeit können einer Weitergabe entgegenstehen.
• Lassen Sie offene Rechtsfragen anhand Ihres konkreten Falls fachlich prüfen. Eine KI kann Informationen ordnen, aber auch Regeln, Quellen und Schlussfolgerungen erfinden.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Frau Müller betreut das Büro eines Handwerksbetriebs in Baden. Bisher kopiert sie ganze E-Mail-Verläufe in ein KI-Werkzeug, damit dieses eine höfliche Antwort vorschlägt. Die Verläufe enthalten private Telefonnummern und Bemerkungen aus früheren Aufträgen.

Nach der Abklärung beschreibt sie nur noch das Anliegen und den gewünschten Ton. Namen und Auftragsnummer setzt sie im betrieblichen E-Mail-Programm selbst ein. Die Geschäftsleitung dokumentiert den erlaubten Ablauf und benennt eine Ansprechperson für Abweichungen. Frau Müller kann dadurch nachvollziehen, welche Arbeit sie selbst erledigen darf und wann sie nachfragen muss.

So hilft Ihnen Alpasana

Die Online-Weiterbildung von absofort behandelt den verantwortungsvollen Umgang mit Unternehmensdaten und den Einsatz von KI in Verwaltung, Kommunikation und Analyse. Schweizer Praxisbezug und Datenschutz gehören zu den Lerninhalten; bei EU-Bezug wird auch der EU AI Act behandelt. Mitarbeitende lernen im eigenen Tempo und können ihre Abschlüsse verifizieren lassen. Das Angebot finden Sie unter KI-Weiterbildung für Unternehmen.

Die Weiterbildung kann Ihrem Team helfen, einen gemeinsam beschlossenen Ablauf im Alltag anzuwenden und Ergebnisse sorgfältig zu kontrollieren. Eine Weiterbildung und ihr Nachweis ersetzen keine rechtliche Einzelfallprüfung und garantieren keine vollständige Erfüllung gesetzlicher Pflichten.

Häufige Fragen

Gilt das auch für ein sehr kleines Geschäft?

Die Grösse allein befreit einen Betrieb nicht vom Datenschutz. Beginnen Sie mit einer übersichtlichen Liste Ihrer tatsächlichen Anwendungen; eine kleine, gepflegte Dokumentation ist nützlicher als eine umfangreiche ungeprüfte Mustersammlung.

Brauchen wir zwingend eine besondere Datenschutzstelle?

Die organisatorische Lösung hängt von Ihrem Betrieb und den anwendbaren Regeln ab. Für den Alltag sollten Mitarbeitende jedenfalls wissen, welche Person Fragen entscheidet und wer sie bei Abwesenheit vertritt.

Was ist bei Kundschaft aus der EU anders?

Prüfen Sie zusätzlich, ob die europäische Datenschutz-Grundverordnung anwendbar ist. Die Gegenüberstellung DSG oder DSGVO erklärt, welche Umstände dafür relevant sind.