Art. 22 Abs. 1 DSG verlangt eine Datenschutz-Folgenabschätzung, bevor eine Bearbeitung startet, die ein hohes Risiko für Persönlichkeit oder Grundrechte auslösen kann. Art. 22 Abs. 2 nennt zwei Regelbeispiele: die umfangreiche Bearbeitung besonders schützenswerter Personendaten und die systematische umfangreiche Überwachung öffentlicher Bereiche. Bleibt trotz Schutzmassnahmen ein hohes Restrisiko, folgt die Konsultation nach Art. 23; der EDÖB äussert sich innert zwei Monaten.
Das Wichtigste in fünf Punkten
- Auslöser ist nach Art. 22 Abs. 1 DSG das hohe Risiko einer Bearbeitung, nicht die Grösse des Betriebs oder der Preis der Software.
- Art. 22 Abs. 3 schreibt genau drei Bestandteile vor: Beschreibung der Bearbeitung, Bewertung der Risiken, Massnahmen zum Schutz.
- Art. 23 Abs. 2 DSG gibt dem EDÖB zwei Monate für seine Einwände, verlängerbar um einen Monat bei komplexer Datenbearbeitung.
- Art. 23 Abs. 4 erlaubt privaten Verantwortlichen, statt des EDÖB die Datenschutzberaterin oder den Datenschutzberater nach Art. 10 DSG zu konsultieren.
- Der EDÖB stellt seit August 2023 eine Anleitung zur Folgenabschätzung bereit und nannte sie in seiner KI-Mitteilung vom 9. November 2023 ausdrücklich als Schutzmassnahme.
Welche KI-Vorhaben überschreiten die Schwelle von Art. 22 Abs. 1?
Entscheidend ist die Kombination aus Art, Umfang, Umständen und Zweck der Bearbeitung. Art. 22 Abs. 2 hält fest, dass sich ein hohes Risiko insbesondere bei Verwendung neuer Technologien ergibt, und nennt als Regelbeispiele die umfangreiche Bearbeitung besonders schützenswerter Personendaten sowie die systematische umfangreiche Überwachung öffentlicher Bereiche. Für ein KMU heisst das etwa: Ein Sprachmodell, das Bewerbungsdossiers in eine Rangfolge bringt, verbindet Profiling mit Entscheidungen über Lebenschancen. Eine Spitex-Organisation, die Pflegeberichte samt Diagnosen automatisch zusammenfassen lässt, bearbeitet Gesundheitsdaten und damit besonders schützenswerte Personendaten. Eine Kamera mit Personenerkennung vor dem Ladeneingang trifft das zweite Regelbeispiel unmittelbar. Ein Textassistent dagegen, der Offerten formuliert und dabei nur Firmennamen sieht, bleibt unterhalb der Schwelle.
Wie ist eine Folgenabschätzung nach Art. 22 Abs. 3 aufgebaut?
Sie besteht aus drei Teilen, mehr verlangt das Gesetz nicht. Art. 22 Abs. 3 nennt erstens eine Beschreibung der geplanten Bearbeitung, zweitens eine Bewertung der Risiken für Persönlichkeit oder Grundrechte der betroffenen Person und drittens die Massnahmen zum Schutz von Persönlichkeit und Grundrechten. In der Praxis füllt sich Teil eins mit Modell, Anbieter, Datenkategorien, Speicherort und Aufbewahrungsdauer. Teil zwei benennt die Szenarien: fehlerhafte Ausgabe mit Folgen für eine Person, unbeabsichtigte Offenlegung, Weiterverwendung der Eingaben zur Verbesserung des Modells. Teil drei hält fest, was dagegen unternommen wird, etwa Rollen und Zugriffe, eine Sperrliste für Datenkategorien, verpflichtende menschliche Kontrolle vor jedem Entscheid, Anonymisierung der Eingaben und Schulung der Anwenderinnen und Anwender. Der EDÖB veröffentlicht dazu seit August 2023 eine Anleitung.
Wer erstellt das Dokument, und wer unterschreibt es?
Erstellt wird es unter der Verantwortung des Verantwortlichen, im KMU also der Geschäftsleitung. Eine bestimmte Person oder eine Unterschrift schreibt Art. 22 nicht vor; das Gesetz kennt hier keine Formvorschrift. Sinnvoll ist trotzdem eine datierte Freigabe durch jene Person, die das Vorhaben bewilligt, weil die Abschätzung nach Art. 22 Abs. 1 vorgängig zu erstellen ist und dieses Voraus später belegbar sein sollte. Zuliefern können mehrere Stellen: Die Fachabteilung beschreibt den Anwendungsfall, die IT liefert Angaben zu Zugriffen und zur Protokollierung nach Art. 4 DSV, der Anbieter liefert technische Unterlagen. Zieht der Betrieb eine Datenschutzberaterin oder einen Datenschutzberater nach Art. 10 DSG bei, eröffnet diese Person die Erleichterung nach Art. 23 Abs. 4; vorausgesetzt sind Fachwissen, Weisungsunabhängigkeit und die Bekanntgabe der Kontaktdaten an den EDÖB.
Wann kommt der EDÖB nach Art. 23 ins Spiel?
Erst am Schluss, und nur bei verbleibendem hohem Risiko. Art. 23 Abs. 1 verlangt die vorgängige Stellungnahme des EDÖB, wenn sich aus der Folgenabschätzung ergibt, dass die geplante Bearbeitung trotz der vorgesehenen Massnahmen noch ein hohes Risiko für Persönlichkeit oder Grundrechte der betroffenen Person zur Folge hat. Nach Art. 23 Abs. 2 teilt der EDÖB seine Einwände innerhalb von zwei Monaten mit; handelt es sich um eine komplexe Datenbearbeitung, verlängert sich diese Frist um einen Monat. Abs. 3 sieht vor, dass er bei Einwänden geeignete Massnahmen vorschlägt. Für private Verantwortliche öffnet Abs. 4 einen zweiten Weg: Wer die Datenschutzberaterin oder den Datenschutzberater nach Art. 10 DSG konsultiert hat, kann von der Konsultation des EDÖB absehen. Bei einem Zeitplan von wenigen Wochen ist das oft der entscheidende Unterschied.
Wann darf die Folgenabschätzung entfallen?
Das Gesetz nennt zwei ausdrückliche Entlastungen und eine praktische. Art. 22 Abs. 4 nimmt private Verantwortliche aus, wenn sie gesetzlich zur Bearbeitung der Daten verpflichtet sind. Art. 22 Abs. 5 erlaubt den Verzicht, wenn ein System, ein Produkt oder eine Dienstleistung eingesetzt wird, das oder die für die vorgesehene Verwendung nach Art. 13 DSG zertifiziert ist, oder wenn ein Verhaltenskodex nach Art. 11 DSG eingehalten wird, der auf einer Folgenabschätzung beruht, Schutzmassnahmen vorsieht und dem EDÖB vorgelegt wurde. Die praktische Entlastung ist banaler: Wo kein hohes Risiko vorliegt, entsteht die Pflicht gar nicht erst. Wichtig ist die Abgrenzung zu Schulungsnachweisen. Ein Kurszertifikat, auch jenes von Linup, ist keine Zertifizierung nach Art. 13 DSG und löst die Erleichterung von Art. 22 Abs. 5 nicht aus.
Was geschieht, wenn die Folgenabschätzung fehlt?
Das DSG stellt das Unterlassen nicht unmittelbar unter Strafe, doch das Fehlen wirkt an mehreren Stellen weiter. Die Strafbestimmungen in Art. 60 und Art. 61 DSG erfassen Auskunfts- und Informationspflichten, die Bekanntgabe ins Ausland, die Auftragsbearbeitung und die Mindestanforderungen an die Datensicherheit, jeweils mit Busse bis CHF 250 000; die Folgenabschätzung selbst ist dort nicht aufgeführt. Der EDÖB kann jedoch von Amtes wegen eine Untersuchung eröffnen und Massnahmen verfügen. Zivilrechtlich fehlt der Beleg, dass die Risiken vor dem Start überhaupt beurteilt wurden. Und intern fehlt der Text, an dem sich Zuständigkeiten, Zugriffe und Löschfristen ablesen liessen. Wer die Abschätzung erst nach einem Vorfall nachschiebt, dokumentiert mit dem Datum zugleich die Lücke.
Was Art. 22 gerade nicht verlangt
Art. 22 verlangt keine Genehmigung. Es gibt kein Bewilligungsverfahren für KI-Projekte, keine Registrierung beim EDÖB und keine Wartefrist vor dem Start, solange die Abschätzung kein verbleibendes hohes Risiko zeigt. Art. 22 schreibt auch kein Formular vor: Weder Länge noch Gliederung noch eine Punkteskala sind vorgegeben, drei Seiten können genügen. Er verlangt keine externe Begutachtung und keine jährliche Wiederholung; nachgeführt wird, wenn sich die Bearbeitung wesentlich ändert, etwa beim Wechsel des Modells oder bei neuen Datenkategorien. Er verlangt sie nicht pro Werkzeug: Art. 22 Abs. 1 erlaubt ausdrücklich eine gemeinsame Abschätzung, wenn mehrere ähnliche Bearbeitungsvorgänge geplant sind. Und weil dieselbe Bestimmung die Abschätzung vorgängig verlangt, lässt sich für eine Bearbeitung, die vor dem 1. September 2023 aufgenommen wurde, keine Vorabprüfung mehr herstellen; wie weit hier nachzuholen ist, klären Sie mit einer Fachperson.
| Bestandteil | Inhalt | Wer liefert ihn | Aufbewahrung |
|---|---|---|---|
| Beschreibung der Bearbeitung (Art. 22 Abs. 3) | Anwendungsfall, Modell, Anbieter, Datenkategorien, Speicherort | Fachabteilung | Solange die Bearbeitung läuft |
| Risikobewertung (Art. 22 Abs. 3) | Szenarien, Eintretenswahrscheinlichkeit, Auswirkung auf Betroffene | Projektleitung mit IT | Jede Fassung mit Datum |
| Schutzmassnahmen (Art. 22 Abs. 3) | Rollen und Zugriffe, Löschfristen, menschliche Kontrolle, Schulung | Geschäftsleitung | Solange die Bearbeitung läuft |
| Freigabe | Datum und Person, die das Vorhaben bewilligt | Geschäftsleitung | Bis zur nächsten Überarbeitung |
| Stellungnahme des EDÖB (Art. 23) | Nur bei verbleibendem hohem Risiko, Frist zwei Monate | EDÖB | Dauerhaft zum Dossier |
| Schulungsnachweis | Wer wann geschult wurde, als Schutzmassnahme dokumentiert | Personaldienst | Nach interner Weisung |
Linup ist ein Angebot der Alpasana GmbH in Safenwil und leistet keine Rechtsberatung; die Erstellung einer Folgenabschätzung gehört in fachkundige Hände. Das Zertifikat aus dem Kurs KI sicher am Arbeitsplatz ist ein Anbieternachweis über eine absolvierte Schulung und kein amtliches Dokument.
Ein nützlicher nächster Schritt: Listen Sie alle KI-Anwendungen im Betrieb auf und markieren Sie jene, bei denen besonders schützenswerte Personendaten, Profiling oder Entscheidungen über Menschen im Spiel sind. Nur diese Zeilen brauchen eine Prüfung nach Art. 22. Für alle übrigen genügt eine kurze Notiz, warum die Schwelle nicht erreicht ist; in einem Gespräch mit dem EDÖB ist eine solche Notiz mehr wert als ein leeres Blatt. Weil Art. 22 Abs. 3 die Schulung der Anwenderinnen und Anwender als Schutzmassnahme trägt, lohnt sich der Blick auf die Nachweismappe, die Kursverlauf, Quizergebnis und Zertifikat pro Person zusammenführt; das Refresh-Abo hält den Stand für CHF 39 pro Person und Jahr aktuell.