Den Begriff im Angebot konkretisieren

Fragen Sie, welche Bestandteile tatsächlich in der Schweiz betrieben werden: Anwendung, Originaldateien, Suchindex, Sprachmodell, Protokolle und Sicherungen.

Eine Schweizer Website kann für die Antwortbildung einen externen Modelldienst aufrufen. Umgekehrt können einzelne technische Dienste ausserhalb des Landes arbeiten, obwohl die Hauptdatenbank hier steht. Lassen Sie diese Unterschiede schriftlich beschreiben.

Eine Datenflussübersicht verlangen

Bitten Sie den Anbieter um eine verständliche Darstellung vom Upload bis zur Antwort. Markieren Sie jeden Dienst, der Inhalte erhält, speichert oder lesen kann.

• Welche Daten werden an das Sprachmodell übermittelt?

• Wo werden Suchvektoren und Dokumentausschnitte gespeichert?

• Welche Inhalte landen in Fehlerprotokollen?

• Wo liegen Backups und wie lange bleiben sie bestehen?

• Von welchen Ländern aus ist administrativer Zugriff möglich?

• Welche weiteren Unternehmen sind beteiligt?

Eine solche Übersicht macht Rückfragen gezielt möglich. Ein einzelnes Rechenzentrumslogo ersetzt sie nicht.

Verträge mit der tatsächlichen Architektur abgleichen

Prüfen Sie, ob die vertraglichen Angaben alle relevanten Dienstleister abdecken. Die EDÖB-Erläuterungen zur Auftragsdatenbearbeitung behandeln unter anderem Unterbeauftragung und die Verantwortung des Auftraggebers.

Fragen Sie auch, wie Änderungen mitgeteilt werden. Eine heute passende Architektur kann sich ändern, wenn der Anbieter ein neues Modell oder einen zusätzlichen Supportdienst einsetzt.

Auslandzugriffe gesondert bewerten

Ein Zugriff aus dem Ausland kann für die datenschutzrechtliche Beurteilung relevant sein, auch wenn Dateien auf einem Schweizer Server liegen. Prüfen Sie daher Bearbeitungsorte und Zugriffsmöglichkeiten gemeinsam.

Der EDÖB zur Datenbekanntgabe ins Ausland beschreibt die Voraussetzungen. Welche Massnahmen in Ihrem Fall nötig sind, hängt von Ländern, Empfängern, Daten und konkreter Bearbeitung ab.

Technische Nachweise passend auswählen

Fragen Sie nach Rollen, Mehrfaktoranmeldung, Verschlüsselung und Mandantentrennung. Lassen Sie erklären, wer Schlüssel verwaltet und welche Personen im Support Inhalte sehen können.

Zertifikate können nützliche Nachweise sein. Prüfen Sie ihren Geltungsbereich: Erfasst die Prüfung den angebotenen KI-Dienst oder nur einen Teil der Infrastruktur? Eine allgemeine Zertifizierung beantwortet nicht jede Frage zur Anwendung.

Löschung und Wechsel praktisch testen

Laden Sie einen geeigneten Testbestand hoch und löschen Sie ihn anschliessend über den vorgesehenen Weg. Prüfen Sie, wann er aus Suche und Anwendung verschwindet und welche Aufbewahrungsregeln für Sicherungen gelten.

Klären Sie zudem Exportformate, Fristen und Unterstützung beim Vertragsende. Ein Wechsel betrifft oft nicht nur Dateien, sondern auch Metadaten, Berechtigungen, Prompts und Konfigurationen.

Verfügbarkeit gehört zur Hosting-Entscheidung

Definieren Sie, wie wichtig die Anwendung für den Betrieb ist. Eine ergänzende Suche hat andere Anforderungen als ein Prozess, der täglich Kundenanfragen vorbereitet.

Prüfen Sie Supportzeiten, Wiederherstellungsverfahren und einen manuellen Ersatzablauf. Lassen Sie sich erklären, was bei einem Ausfall des eingebundenen Modelldienstes geschieht.

Ein begründeter Entscheid statt eines Standort-Siegels

Vergleichen Sie Angebote anhand derselben Fragen und dokumentieren Sie offene Punkte. Die beste Lösung ist diejenige, deren Datenfluss und Betrieb zu Ihren Anforderungen passen.

Unser Vergleich Cloud oder On-Premise für Firmen-KI ergänzt die Architekturfrage. Unsere KI-Beratung für Schweizer Unternehmen hilft bei der technischen Anbieterprüfung und der Vorbereitung der nötigen Datenschutzabklärungen. Stand: Oktober 2026.