Wer ein KI-Werkzeug mit Personendaten füttert, macht den Anbieter in aller Regel zum Auftragsbearbeiter nach Art. 9 DSG. Art. 9 Abs. 1 lässt das zu, wenn der Anbieter die Daten nur so bearbeitet, wie es der Betrieb selbst dürfte, und keine Geheimhaltungspflicht die Übertragung verbietet. Art. 9 Abs. 3 fordert für jede Weitergabe an Dritte eine vorgängige Genehmigung. Für die USA gilt seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework.
Das Wichtigste in fünf Punkten
- Art. 9 Abs. 2 DSG verlangt, dass sich der Verantwortliche vergewissert, ob der Auftragsbearbeiter die Datensicherheit gewährleisten kann.
- Art. 9 Abs. 3 DSG macht jede Weitergabe an einen Dritten von einer vorgängigen Genehmigung abhängig.
- Der Bundesrat anerkannte am 14. August 2024 die USA für zertifizierte Unternehmen als angemessen; die Änderung von Anhang 1 DSV trat am 15. September 2024 in Kraft.
- Der EDÖB anerkannte am 27. August 2021 die Standardvertragsklauseln der EU unter dem Vorbehalt von Anpassungen an das Schweizer Recht.
- Art. 61 lit. a und lit. b DSG stellen die vorsätzliche Bekanntgabe ins Ausland ohne Art. 16 oder Art. 17 sowie die Übertragung ohne Erfüllung von Art. 9 unter Busse bis CHF 250 000.
Ab wann ist ein KI-Dienst Auftragsbearbeiter und nicht bloss Werkzeug?
Sobald der Dienst Personendaten auf Rechnung des Betriebs bearbeitet, ohne selbst über Zweck und Mittel zu bestimmen. Eine Rechtschreibprüfung, die vollständig auf dem eigenen Gerät läuft, bleibt Werkzeug. Ein Cloud-Sprachmodell dagegen, dem ein Architekturbüro Sitzungsprotokolle mit Namen von Bauherrschaft und Handwerkern zur Zusammenfassung schickt, bearbeitet diese Daten auf fremden Servern; der Anbieter wird damit Auftragsbearbeiter. Art. 9 Abs. 1 DSG lässt das zu, wenn zwei Bedingungen erfüllt sind: Der Auftragsbearbeiter bearbeitet die Daten nur so, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht verbietet die Übertragung. Die zweite Bedingung ist in Anwaltskanzleien, Arztpraxen und Treuhandbüros der eigentliche Stolperstein, weil ein Berufsgeheimnis die Übertragung ohne Einwilligung ausschliessen kann.
Was verlangt Art. 9 Abs. 2 zur Prüfung des Anbieters?
Er verlangt, dass sich der Verantwortliche insbesondere vergewissert, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. Das ist eine Prüfpflicht vor dem Start und keine Vertragsfloskel danach. Als Raster eignen sich die Ziele aus Art. 2 DSV, also Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit, sowie die Massnahmenliste in Art. 3 DSV mit Zugriffs-, Zugangs-, Datenträger-, Speicher-, Transport- und Eingabekontrolle. Bei KI-Diensten kommen drei Fragen hinzu, die klassische Cloud-Checklisten nicht kennen: Werden Eingaben zur Verbesserung der Modelle weiterverwendet? Wie lange bleiben Verläufe gespeichert, und wer im Support kann sie einsehen? Lässt sich die Protokollierung nach Art. 4 DSV so einstellen, dass sie bei besonders schützenswerten Personendaten greift? Die Antworten gehören ins Dossier, nicht ins Gedächtnis.
Wie funktioniert die Genehmigung von Unterbeauftragungen nach Art. 9 Abs. 3?
Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen. Bei KI-Diensten ist diese Kette selten kurz: Ein Anbieter nutzt eine fremde Rechenzentrumsplattform, einen Betreiber für die Modellausführung, einen Dienst zur Missbrauchserkennung und ein Unternehmen für den Support. In der Praxis wird die Genehmigung meist als generelle Zustimmung mit Widerspruchsrecht ausgestaltet: Der Anbieter führt eine öffentliche Liste seiner Unterbeauftragten und kündigt Änderungen mit Vorlauf an. Damit das trägt, gehört diese Liste mit Abrufdatum in den Ordner, und jemand im Betrieb liest die Änderungsmeldungen tatsächlich. Wer nie hineinschaut, genehmigt blind, und Art. 61 lit. b DSG stellt die vorsätzliche Übertragung ohne Erfüllung von Art. 9 unter Busse bis CHF 250 000.
Was gehört in den Vertrag mit einem KI-Anbieter?
Art. 9 DSG schreibt keinen Musterinhalt vor, doch die Pflichten des Verantwortlichen lassen sich nur mit bestimmten Klauseln erfüllen. In den Vertrag gehören: Gegenstand, Dauer und Zweck der Bearbeitung; die Kategorien der Daten und der betroffenen Personen; die Bindung an Weisungen; eine ausdrückliche Aussage zur Nutzung der Eingaben für das Training der Modelle; technische und organisatorische Massnahmen mit Bezug auf Art. 8 DSG und Art. 3 DSV; die Regelung der Unterbeauftragung nach Art. 9 Abs. 3; die Unterstützung bei Auskunftsbegehren, die nach Art. 25 Abs. 7 DSG in der Regel innerhalb von 30 Tagen zu beantworten sind; die Meldung von Vorfällen an den Verantwortlichen nach Art. 24 Abs. 3 DSG; sowie Löschung oder Rückgabe am Vertragsende in Anlehnung an Art. 6 Abs. 4 DSG. Für Übermittlungen ins Ausland kommen die Angaben nach Art. 12 Abs. 2 lit. g DSG dazu.
Was gilt bei US-Anbietern nach Art. 16 und Art. 17?
Seit dem 15. September 2024 ist der Weg für viele US-Dienste einfacher geworden. Der Bundesrat entschied am 14. August 2024, dass die USA für Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, ein angemessenes Schutzniveau gewährleisten; Anhang 1 der Datenschutzverordnung wurde entsprechend angepasst. Für solche Anbieter trägt Art. 16 Abs. 1 DSG ohne zusätzliche Garantien. Fehlt die Zertifizierung, greift Art. 16 Abs. 2, etwa mit Standarddatenschutzklauseln; der EDÖB anerkannte die Klauseln der EU am 27. August 2021 unter dem Vorbehalt, dass sie im Einzelfall an das Schweizer Recht angepasst oder ergänzt werden. Art. 17 nennt Ausnahmen, darunter die ausdrückliche Einwilligung der betroffenen Person; als Dauerlösung für den Betriebsalltag taugt sie nicht. Der Zertifizierungsstatus eines Anbieters lässt sich in der öffentlichen Liste des Frameworks nachschlagen.
Was Art. 9 nicht fordert
Art. 9 fordert keinen Serverstandort Schweiz. Weder das DSG noch die DSV kennen ein Gebot, Personendaten im Inland zu halten; Art. 16 und Art. 17 stellen Bedingungen auf, kein Verbot. Art. 9 fordert auch keine Genehmigung durch den EDÖB, denn die Aufsichtsbehörde bewilligt keine Auftragsverhältnisse und führt kein Register der Anbieter. Er fordert keinen Vertrag auf Papier und keine handschriftliche Unterschrift; die Annahme eines Zusatzes zur Datenbearbeitung genügt, sofern die Inhalte stimmen. Er fordert keine Prüfung vor Ort, denn das Vergewissern nach Abs. 2 kann bei einem Standarddienst über Unterlagen und Zusicherungen erfolgen. Und er fordert nicht in jedem Fall eine Einwilligung der betroffenen Personen, weil Art. 9 Abs. 4 dem Auftragsbearbeiter dieselben Rechtfertigungsgründe zubilligt wie dem Verantwortlichen; ob Ihr konkreter Fall dennoch eine Einwilligung braucht, klären Sie mit einer Fachperson.
| Vertragspunkt | Norm | Frage an den Anbieter | Beleg im Dossier |
|---|---|---|---|
| Bindung an Weisungen | Art. 9 Abs. 1 DSG | Bearbeiten Sie ausschliesslich nach unseren Vorgaben? | Vertragsklausel mit Datum |
| Training mit Eingaben | Art. 6 Abs. 3 DSG | Werden unsere Eingaben zur Modellverbesserung genutzt? | Schriftliche Zusicherung |
| Datensicherheit | Art. 8 DSG, Art. 3 DSV | Welche Zugriffs- und Transportkontrollen bestehen? | Sicherheitsdokumentation |
| Unterbeauftragte | Art. 9 Abs. 3 DSG | Wo steht die Liste, wie lang ist der Vorlauf bei Änderungen? | Ausdruck mit Abrufdatum |
| Bekanntgabe ins Ausland | Art. 16 und Art. 17 DSG | In welche Staaten fliessen Daten, mit welcher Garantie? | Nachweis der Zertifizierung oder Klauseln |
| Vorfallmeldung | Art. 24 Abs. 3 DSG | Wie rasch und an welche Adresse melden Sie uns Vorfälle? | Kontaktweg im Vertrag |
| Löschung | Art. 6 Abs. 4 DSG | Was geschieht mit Verläufen und Kopien am Vertragsende? | Löschbestätigung |
Linup ist ein Angebot der Alpasana GmbH, Farbweg 18, 5745 Safenwil AG, und keine Rechtsberatung; die Prüfung eines konkreten Anbietervertrags gehört zu einer Fachperson. Das Kurszertifikat ist ein Anbieternachweis über eine absolvierte Schulung und kein amtliches Dokument.
Ein nützlicher nächster Schritt: Legen Sie für jeden KI-Dienst im Betrieb ein einseitiges Anbieterblatt an, mit den sieben Zeilen der Tabelle, dem Datum der letzten Prüfung und dem Namen der zuständigen Person. Danach entscheidet sich in wenigen Minuten, ob ein Dienst überhaupt für Personendaten in Frage kommt. Die häufigste Schwachstelle ist allerdings nicht der Vertrag, sondern die Eingabe: Neben das Anbieterblatt gehören deshalb eine KI-Weisung, die festlegt, welche Daten überhaupt in ein Werkzeug gelangen dürfen, und eine Schulung der Anwenderinnen und Anwender. Der Linup-Kurs dauert 2 bis 3 Stunden, liegt in fünf Sprachen vor und schliesst mit einem Quiz ab (zum Kurs). Die Preise verstehen sich ohne Mehrwertsteuer, weil die Alpasana GmbH nicht mehrwertsteuerpflichtig ist.