Welche weiteren Anbieter erhalten unsere KI-Daten?

Das Problem

Sie haben einen KI-Dienst gewählt, den Vertrag gelesen und sich für den Anbieter entschieden. Damit, so denken Sie, ist klar, wer Ihre Daten bekommt. In der Praxis ist die Kette länger. Der Anbieter betreibt seine Software womöglich auf der Infrastruktur eines Cloud-Unternehmens, nutzt ein Sprachmodell eines anderen Herstellers, lässt Kundendienst-Anfragen von einem Ticketsystem verwalten und misst die Nutzung mit einem Analysewerkzeug.

Jede dieser Firmen kann Teile Ihrer Daten sehen oder verarbeiten: Texte, Dateien, Namen, E-Mail-Adressen, Metadaten. Man nennt sie Unterauftragnehmer oder Unterauftragsbearbeiter. Rechtlich muss der Anbieter dafür sorgen, dass sie dieselben Schutzpflichten einhalten, und er darf sie je nach Vertrag nur mit Ihrer Zustimmung einsetzen. Für Sie als Verantwortliche ist entscheidend, die Kette zu kennen.

Diese Seite zeigt, wie Sie die Datenwege Ihres Anbieters sichtbar machen. Sie ersetzt keine Rechtsberatung. Bei Personendaten ist die fachliche Prüfung der Verträge Teil der Sorgfalt.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenarten festlegen: Welche Daten geben Sie dem Dienst? Unkritische Texte, Kundendaten, Personalakten, Gesundheitsangaben? Je sensibler, desto genauer müssen Sie die Kette kennen.
2. Unterlagen sammeln: Suchen Sie Vertrag, Auftragsbearbeitungsvertrag, Datenschutzerklärung und die Liste der Unterauftragnehmer. Viele Anbieter veröffentlichen sie auf ihrer Website, oft unter «Subprozessoren» oder «Sub-processors».
3. Liste lesen und ordnen: Notieren Sie für jeden Eintrag: Firma, Aufgabe (Hosting, Modell, Support, Analyse), Standort, Art der Daten. Fehlen Angaben, fragen Sie nach.
4. Standorte prüfen: Wo werden die Daten verarbeitet? Schweiz, EU, USA, andere? Beim Transfer in Länder ohne gleichwertigen Datenschutz gelten besondere Anforderungen. Siehe Datenübermittlung ins Ausland.
5. Zweck und Zugriff klären: Brauchen alle diese Firmen wirklich Zugriff auf Inhalte? Oder nur auf technische Daten? Fragen Sie, ob Inhalte zu Support- oder Trainingszwecken weitergegeben werden.
6. Änderungsregeln prüfen: Wie informiert Sie der Anbieter über neue Unterauftragnehmer, und haben Sie ein Widerspruchsrecht? Legen Sie fest, wer im Betrieb die Mitteilungen liest.
7. Löschung und Rückgabe klären: Was geschieht mit Daten bei Kündigung, und wie wird die Löschung bei den Unterauftragnehmern bestätigt?
8. Ergebnis dokumentieren: Halten Sie die Kette in Ihrem Datenflussplan fest. Siehe Datenfluss-Vorlage. Prüfen Sie sie jährlich.

Vorlage zum Kopieren

Mit diesem Auftrag erstellen Sie eine Fragenliste an den Anbieter und eine Auswertungstabelle:

Wir sind [Betrieb, Branche, Grösse, Schweiz] und nutzen den KI-Dienst [Name] für [Zweck]. Dabei verarbeiten wir [Datenarten, z. B. Kundenkorrespondenz mit Personendaten].
Erstelle: 1. eine Liste mit zehn Fragen an den Anbieter zu Unterauftragnehmern (Liste, Aufgaben, Standorte, Datenarten, Zugriff auf Inhalte, Training, Änderungsmitteilung, Widerspruchsrecht, Löschung, Nachweise).
2. eine Tabelle «Unterauftragnehmer | Aufgabe | Standort | Daten | Zugriff auf Inhalte (ja/nein/unklar) | Bemerkung».
3. eine Liste mit Punkten, die ich mit Datenschutzverantwortlichen oder Rechtsberatung klären sollte.
Gib keine Rechtsberatung, nenne keine Gesetzesartikel als sicher und markiere Unsicherheiten.

Ersetzen Sie die Angaben und senden Sie die Fragen schriftlich an den Anbieter. Tragen Sie die Antworten in die Tabelle ein.

Worauf Sie achten müssen

• Gesetzliche Grundsätze: Das Schweizer Datenschutzgesetz verlangt, dass Auftragsbearbeiter Dritte nur mit Genehmigung beiziehen. Bei EU-Bezug gelten ähnliche Regeln in der DSGVO. Siehe Unterauftragsverarbeiter und AVV prüfen.
• Listen veralten: Anbieter wechseln Partner. Prüfen Sie die Liste regelmässig und abonnieren Sie, wenn möglich, Änderungsmitteilungen.
• Inhalte oder Metadaten? Manche Unterauftragnehmer sehen nur technische Daten, andere Inhalte. Das ist ein wichtiger Unterschied.
• Standort heisst nicht Zugriff: Auch ein Schweizer Rechenzentrum kann von einem Unternehmen mit Sitz im Ausland betrieben werden. Fragen Sie nach der gesamten Struktur. Siehe Speicherort prüfen.
• Training: Klären Sie, ob Inhalte zur Verbesserung von Modellen verwendet werden und wie Sie das ausschliessen können.
• Vorfälle: Wie meldet der Anbieter Sicherheitsvorfälle bei Unterauftragnehmern? Siehe Sicherheitsfragen an Anbieter.
• Dokumentation: Ohne Dokumentation können Sie im Prüfungsfall nicht zeigen, dass Sie die Kette kannten.

So gehen Sie bei vielen Diensten vor: Wenn Ihr Betrieb mehrere KI-Dienste nutzt, lohnt sich eine einfache Übersicht in einer Tabelle: Dienst, Zweck, Datenarten, Unterauftragnehmer, Standort, Prüfdatum. Beginnen Sie mit den Diensten, die die sensibelsten Daten erhalten. Setzen Sie eine Person als Verantwortliche ein und legen Sie einen Prüfrhythmus fest, zum Beispiel jährlich oder bei Mitteilung einer Änderung. Wenn ein Anbieter keine Liste führt oder verweigert, ist das ein Warnzeichen. Für kritische Daten sollten Sie dann eine Alternative prüfen. Eine gute Übersicht hilft zudem bei Anfragen von Kundschaft, Behörden und Versicherungen.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Eine Treuhandfirma in Zürich nutzt einen KI-Assistenten, der Belege vorsortiert.

Vorher: Der Geschäftsführer weiss, dass der Anbieter in der EU sitzt, und hält die Sache für erledigt. Bei einer Kundenanfrage zu Datenflüssen kann niemand antworten.

Nachher: Mit der Vorlage fordert die Firma die Liste der Unterauftragnehmer an. Es zeigt sich, dass das Modell von einem Drittanbieter in den USA stammt und ein Supportdienst Zugriff auf Beispieldateien hat. Die Firma klärt mit einer Fachperson die Zulässigkeit, schliesst die Weitergabe von Dateien an den Support vertraglich aus und dokumentiert die Kette. Kundinnen erhalten auf Anfrage eine klare Auskunft.

So hilft Ihnen Alpasana

Wenn Sie KI-Dienste in Ihre Abläufe einführen und Datenwege klar dokumentieren möchten, begleitet Sie Alpasana bei der KI-Beratung und digitalen Transformation. Laut Beschreibung gehören dazu Prozessaufnahme, KI-Potenzialanalyse, Umsetzungsplan, das Konzipieren von Schnittstellen, das Verbinden von Systemen und die Dokumentation der Umsetzung sowie Einsatzregeln für KI-Agenten.

Projekte werden individuell offeriert. Eine rechtliche Prüfung von Verträgen gehört nicht dazu.

Häufige Fragen

Muss mir der Anbieter seine Unterauftragnehmer nennen?

Bei Personendaten sehen Datenschutzgesetze entsprechende Regeln vor. Üblich ist eine Liste im Vertrag oder auf der Website. Fragen Sie schriftlich nach.

Was tue ich, wenn ein neuer Unterauftragnehmer hinzukommt?

Prüfen Sie Aufgabe, Standort und Datenzugriff. Wenn Sie Bedenken haben, nutzen Sie Ihr Widerspruchsrecht oder fragen Sie nach Alternativen.

Gilt das auch für kostenlose Dienste?

Ja, die Kette existiert auch dort, aber Mitsprache und Auskunft sind oft geringer. Nutzen Sie sie nur für unkritische Daten. Siehe Kostenlose KI-Tools und Sicherheit.

Wie oft soll ich die Liste prüfen?

Mindestens jährlich und bei jeder Änderungsmitteilung. Bei sensiblen Daten häufiger.