Make und Datenschutz: Datenflüsse vor dem Start prüfen

Das Problem

Ein Physiotherapie-Zentrum in Zug möchte Terminanfragen über ein Make-Szenario in eine Liste übernehmen und Bestätigungen versenden. Die Anfragen enthalten Namen, Telefonnummern und manchmal Hinweise auf Beschwerden. Frau Müller aus der Administration fragt: «Wo speichert Make das alles? Sieht jemand bei Make unsere Anfragen? Was steht in den Protokollen?»

Die Fragen sind richtig, und viele Betriebe stellen sie zu spät. Ein Automatisierungsdienst sitzt wie eine Zwischenstation zwischen Ihren Programmen. Daten gehen durch, werden zwischengespeichert, in Protokollen festgehalten und an Dritte weitergegeben. Wer das nicht kennt, kann seine Pflichten gegenüber Kundschaft und Datenschutzrecht nicht erfüllen.

Mit einer Checkliste gehen Sie die wichtigsten Punkte Schritt für Schritt durch. Sie ersetzt keine Rechtsberatung, bereitet das Gespräch mit Fachleuten aber gut vor.

So lösen Sie es mit KI – Schritt für Schritt

1. Ablauf und Daten aufzeichnen. Zeichnen Sie das Szenario auf: Welche Daten kommen woher, welche Module verarbeiten sie, wohin gehen sie? Notieren Sie jede Datenart (Name, E-Mail, Gesundheitshinweis, Anhänge).

1. Sensibilität einordnen. Einfache Kontaktdaten sind weniger heikel als Gesundheits- oder Sozialdaten. Für besonders schützenswerte Daten gelten strengere Anforderungen, und oft ist eine fachliche Prüfung nötig.

1. Datenminimierung anwenden. Geben Sie nur die Daten weiter, die der Ablauf wirklich braucht. Entfernen Sie Felder, die nur «nice to have» sind.

1. Wo Make Daten hält, kennenlernen. Make speichert je nach Einstellung Ausführungsprotokolle mit den verarbeiteten Daten, unvollständige Ausführungen und Daten in internen Speichern. Prüfen Sie in der Dokumentation und in den Szenario-Einstellungen, was gespeichert wird und wie lange.

1. Protokolle begrenzen. Nutzen Sie, soweit angeboten, Einstellungen, um vertrauliche Inhalte in Protokollen auszublenden oder die Aufbewahrung zu verkürzen. Prüfen Sie die aktuelle Dokumentation, denn Optionen ändern sich.

1. Datenregion und Anbieter prüfen. Wo werden Ihre Daten verarbeitet? Make bietet je nach Tarif verschiedene Regionen an. Klären Sie, welche gewählt ist, und ob Unterauftragnehmer beteiligt sind.

1. Vertrag zur Auftragsbearbeitung klären. Prüfen Sie, ob der Anbieter eine Vereinbarung anbietet und ob sie für Ihr Konto gilt. Siehe Auftragsverarbeitung.

1. Verbundene Dienste mitdenken. Make leitet Daten an andere Programme weiter: Mailprogramme, KI-Dienste, Tabellen. Für jeden gilt dieselbe Prüfung.

1. Zugriffe und Konten regeln. Wer im Team darf Szenarien ansehen, ändern und Protokolle lesen? Verwenden Sie getrennte Zugänge, siehe Make: Team-Zugänge.

1. Information und Dokumentation. Passen Sie die Datenschutzerklärung an und halten Sie die Prüfung schriftlich fest.

Vorlage zum Kopieren

Mit diesem Prompt bereiten Sie eine Prüfliste und Fragen an den Anbieter vor. Geben Sie keine echten Personendaten ein.

Wir möchten in einem [Branche]-Betrieb in der Schweiz ein Make-Szenario einsetzen, das folgende Daten verarbeitet:
[Datenarten]. Ablauf: [Auslöser] → [Modul 1] → [Modul 2] → [Ziel].
Erstelle eine Prüfliste für den Datenschutz mit: 1. Datenfluss-Tabelle (Datenart, Quelle, Ziel, Zweck, Speicherort),
2. Fragen an den Anbieter (Vertrag zur Datenverarbeitung, Datenregion, Unterauftragnehmer, Speicherdauer von Protokollen,
Löschung, Zugriff durch Mitarbeitende des Anbieters), 3. Fragen an uns intern (Datenminimierung, Zugriffsrechte, Information der Betroffenen),
4. Punkte, die rechtlich geprüft werden sollten. Beziehe dich auf die Grundsätze des Schweizer Datenschutzgesetzes
und bei EU-Bezug der DSGVO, ohne Rechtsberatung zu geben. Markiere Unsicherheiten mit [prüfen].

Ersetzen Sie Branche, Datenarten und Ablauf. Die Antworten des Anbieters und die Beurteilung einer Fachperson sind massgebend.

Worauf Sie achten müssen

• Protokolle sind oft der blinde Fleck: Selbst wenn Sie Daten nur «durchleiten», können sie in Ausführungsprotokollen länger gespeichert sein. Prüfen Sie Einstellungen und Aufbewahrung.
• Besonders schützenswerte Daten: Gesundheits- und ähnliche Daten gehören nur nach sorgfältiger Prüfung in solche Abläufe. Bei Berufsgeheimnissen gelten zusätzliche Pflichten.
• Ausland: Prüfen Sie, wo Daten verarbeitet werden und welche Garantien gelten. Siehe Datenschutz bei Auslandsdaten.
• Mehrere Anbieter: Jeder Baustein, etwa ein KI-Dienst, bringt weitere Fragen mit.
• Zugangsdaten: Verbindungen gewähren Zugriff auf Ihre Konten. Verwenden Sie minimale Rechte und eigene Konten.
• Änderungen im Betrieb: Neue Module oder Felder verändern den Datenfluss. Prüfen Sie bei jeder Änderung erneut.
• Dokumentation: Halten Sie fest, wer wann was geprüft hat.

Ein Beispiel aus der Praxis

Ein Beispiel: Das Physiotherapie-Zentrum in Zug zeichnet den Ablauf auf und stellt fest: Das Formular erfasst auch ein freies Feld «Beschwerden». Dieses Feld ist für die Terminvergabe nicht nötig. Frau Müller streicht es aus dem Ablauf. Sie prüft zusätzlich die Einstellungen für Ausführungsprotokolle und verkürzt die Aufbewahrung.

Vorher: Gesundheitsangaben fliessen unnötig durch das Szenario und liegen in Protokollen. Nachher: Nur Name, Telefonnummer und Terminwunsch laufen durch Make. Die Geschäftsleitung lässt die Auslagerung an den Dienst trotzdem von einer Fachperson beurteilen, weil Patientendaten im Spiel sind. Die Prüfung, die Entscheide und die Einstellungen stehen in einer Seite Dokumentation, die jährlich überprüft wird.

So hilft Ihnen Alpasana

Damit Ihr Team Daten bei Automatisierungen und KI-Werkzeugen sorgfältig behandelt, hilft Weiterbildung. Die KI-Weiterbildung für Unternehmen von absofort umfasst Schweizer Praxisbezug, Datenschutz als Lerninhalt, EU AI Act bei EU-Bezug und den verantwortungsbewussten Umgang mit Unternehmensdaten. Lernen im eigenen Tempo und verifizierbare Abschlüsse sind möglich.

Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Häufige Fragen

Sieht Make meine Daten?

Make verarbeitet die Daten technisch, und je nach Einstellung stehen sie in Protokollen. Wer beim Anbieter darauf Zugriff hat und unter welchen Bedingungen, regeln Datenschutzunterlagen und Vertrag. Fragen Sie den Anbieter ausdrücklich.

Genügt es, wenn Make Server in Europa nutzt?

Das ist ein wichtiger Punkt, aber nicht der einzige. Auch Vertrag, Zugriffe, Unterauftragnehmer und verbundene Dienste zählen. Prüfen Sie das Gesamtbild.

Kann ich Make mit sensiblen Daten nutzen?

Nur nach sorgfältiger Prüfung und oft mit fachlicher Beratung. Für besonders schützenswerte Daten kann ein anderer Weg, etwa ein selbst betriebenes Werkzeug, sinnvoller sein. Siehe Zapier, Make oder n8n.