Automatisierung und Datenschutz: Was vorher prüfen?

Das Problem

Sie haben einen Ablauf eingerichtet: Wenn über das Kontaktformular eine Anfrage eintrifft, landet sie automatisch in der Kundenverwaltung, eine Bestätigung geht per E-Mail raus, und eine Meldung erscheint im Teamchat. Das spart Zeit. Aber wo liegen eigentlich die Daten, die dabei fliessen? Wer sieht sie? Was speichert der Automatisierungsdienst?

Automatisierungen verbinden Dienste und geben dabei Daten weiter, oft unbemerkt: Namen, E-Mail-Adressen, Nachrichtentexte, Anhänge. Manche Werkzeuge protokollieren jede Ausführung samt Inhalten. Das macht sie praktisch, aber auch heikel.

Mit einer Checkliste klären Sie vorab, welche Daten betroffen sind und ob der Ablauf datenschutzkonform gestaltet werden kann. Sie ersetzt keine Rechtsberatung.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenfluss aufzeichnen. Zeichnen Sie auf, woher die Daten kommen, durch welche Dienste sie laufen und wo sie landen. Notieren Sie je Schritt, welche Felder übertragen werden. Siehe Workflow-Vorlage.

1. Personendaten erkennen. Welche Felder sind Personendaten: Name, Adresse, E-Mail, Telefon, Nachrichten, Anhänge, Notizen? Gibt es besonders schützenswerte Daten, etwa zu Gesundheit oder Personalfragen? Siehe Personendaten erkennen.

1. Nur Nötiges übertragen. Überlegen Sie, ob der Ablauf wirklich alle Felder braucht. Entfernen Sie überflüssige Daten aus dem Fluss. Weniger Daten bedeuten weniger Risiko.

1. Beteiligte Dienste prüfen. Wo verarbeitet jeder Dienst die Daten? Gibt es einen Vertrag oder eine Vereinbarung zur Datenbearbeitung? Wer sind Unterauftragnehmer? Siehe Auftragsbearbeitung erkennen.

1. Standort klären. Werden Daten ins Ausland übertragen? Dann gelten besondere Anforderungen. Klären Sie das mit einer Fachperson.

1. Zugriff und Protokolle regeln. Wer sieht die Abläufe und Ausführungsprotokolle? Enthalten die Protokolle Personendaten? Wie lange werden sie gespeichert? Legen Sie Fristen fest.

1. Fehlermeldungen beachten. Fehlerbenachrichtigungen per E-Mail oder Chat können Daten enthalten. Konfigurieren Sie sie datensparsam. Siehe Fehlerbenachrichtigung.

1. Transparenz und Dokumentation. Prüfen Sie, ob Ihre Datenschutzerklärung den Ablauf abdeckt und ob der Ablauf im internen Verzeichnis der Bearbeitungen aufgeführt werden muss. Halten Sie Entscheide fest.

Vorlage zum Kopieren

Du bist eine erfahrene Datenschutzberaterin für kleine und mittlere Unternehmen in der Schweiz. Ich möchte einen automatischen Ablauf auf Datenschutzfragen prüfen. Du gibst keine Rechtsberatung und erfindest keine Gesetzesartikel. Bei rechtlichen Fragen schreibe «mit Fachperson klären».

Ablauf (Auslöser, Schritte, Dienste): [Beschreibung, z. B. Kontaktformular -> Kundenverwaltung -> Bestätigungsmail -> Teamchat]
Übertragene Daten pro Schritt: [Felder]
Beteiligte Dienste und deren Standort, soweit bekannt: [Liste]
Kundschaft: [nur Schweiz / auch EU]

Erstelle:
1. Eine Datenfluss-Tabelle (Schritt, Daten, Dienst, Zweck, Speicherort, Aufbewahrung).
2. Eine Prüfliste mit fünfzehn Fragen zu Zweck, Datenminimierung, Verträgen, Standort, Zugriff, Protokollen, Löschung.
3. Vorschläge, wie der Ablauf datensparsamer gestaltet werden kann.
4. Eine Liste von Fragen an die Anbieter und die Datenschutzverantwortlichen.
Regeln: Erfinde nichts. Erkläre Fachwörter in einem Halbsatz.

Setzen Sie Ihren Ablauf ein. Die Ergebnisse dienen dem Gespräch mit den zuständigen Personen und sind keine Freigabe.

Prüfliste

Worauf Sie achten müssen

• Rechtsrahmen: In der Schweiz gilt das Datenschutzgesetz. Bei EU-Bezug kann zusätzlich die Datenschutz-Grundverordnung gelten. Die Einordnung hängt vom Einzelfall ab. Siehe Schweizer Firmen und EU-Kundschaft.
• Auftragsbearbeitung: Wenn ein Dienst Daten in Ihrem Auftrag bearbeitet, braucht es klare Regeln. Lassen Sie Verträge prüfen.
• Protokolle enthalten oft Daten: Ausführungsverläufe speichern Eingaben und Ergebnisse. Begrenzen Sie die Aufbewahrung.
• Ausland: Dienste mit Sitz oder Servern ausserhalb der Schweiz verlangen zusätzliche Prüfung. Gehen Sie nicht davon aus, dass es einfach geht.
• Verzeichnis und Transparenz: Unter Umständen müssen Bearbeitungen dokumentiert und in der Datenschutzerklärung erwähnt werden. Klären Sie das mit den Verantwortlichen.
• Einwilligung nicht vergessen: Wenn Sie Daten für neue Zwecke verwenden, kann eine Information oder Einwilligung nötig sein.

Ein Beispiel aus der Praxis

Ein Beispiel: Frau Lüscher, 56, ist Praxismanagerin einer Physiotherapie in Aarau und möchte Terminanfragen vom Webformular automatisch in die Terminplanung übernehmen. Vorher: Das Formular fragt Beschwerden ab, und der Ablauf würde die Texte an einen externen Dienst weiterleiten.

Sie zeichnet den Datenfluss auf und merkt: Die Beschwerden sind Gesundheitsdaten. Sie bespricht das mit dem Datenschutzverantwortlichen. Nachher: Das Formular überträgt nur Name, Telefonnummer und Wunschzeit, die Beschwerden werden erst im Gespräch aufgenommen. Der Dienst wird mit Vertrag und geklärtem Standort eingesetzt, und Protokolle werden nach kurzer Frist gelöscht.

So hilft Ihnen Alpasana

Wenn Mitarbeitende lernen sollen, mit Daten in automatischen Abläufen verantwortungsvoll umzugehen, bietet Alpasana die KI-Weiterbildung für Unternehmen an. Beschrieben sind unter anderem Schweizer Praxisbezug und Datenschutz als Lerninhalte, EU AI Act bei EU-Bezug, ein verantwortungsbewusster Umgang mit Unternehmensdaten, Lernen im eigenen Tempo mit verifizierbaren Abschlüssen sowie eine Kontaktmöglichkeit für Firmenlösungen und Teambuchungen.

Eine Rechtsberatung oder eine Datenschutz-Prüfung Ihrer Abläufe ist nicht beschrieben. Dafür sind Datenschutzverantwortliche oder eine Fachperson zuständig.

Häufige Fragen

Muss ich jede Automatisierung melden?

Eine allgemeine Meldepflicht ist nicht der Punkt. Wichtiger sind Transparenz, Datensicherheit, saubere Verträge und je nach Betrieb ein internes Verzeichnis der Bearbeitungen. Klären Sie das mit einer Fachperson.

Sind Automatisierungen mit Microsoft sicherer als andere?

Nicht automatisch. Entscheidend sind Konfiguration, Verträge, Standort und Zugriffe. Auch in einer Microsoft-Umgebung müssen Sie den Datenfluss prüfen. Vergleich: Power Automate oder Zapier.

Was, wenn ich die Daten nicht weglassen kann?

Dann sind klare Verträge, ein geeigneter Anbieter, begrenzter Zugriff und kurze Aufbewahrung besonders wichtig. Bei besonders schützenswerten Daten holen Sie vorab Rat ein.