Den Anwendungsfall präzise beschreiben

Schreiben Sie zunächst auf, was das System tun soll. Eine anonymisierte Formulierungshilfe unterscheidet sich von einer Analyse vollständiger Kundenakten.

Notieren Sie, welche Angaben benötigt werden und welche Sie weglassen können. Für die sprachliche Verbesserung einer Nachricht sind Name, Adresse und gesamte Kundenhistorie oft nicht erforderlich. Prüfen Sie auch vertrauliche Geschäftsinformationen, selbst wenn sie keine Personendaten darstellen.

Das DSG gilt auch bei KI

Der EDÖB zu KI und Datenschutz hält fest, dass das Schweizer Datenschutzgesetz technologieneutral auf KI-gestützte Bearbeitung anwendbar ist. Transparenz, Zweck und Schutz der betroffenen Personen bleiben relevant.

Eine Einstellung gegen Modelltraining beantwortet daher nur einen Teil der Prüfung. Auch Speicherung, Supportzugriffe und weitere Verwendungszwecke müssen geklärt sein.

Das konkrete Konto und Produkt prüfen

Unterscheiden Sie private Konten, Firmenabonnemente und API-Angebote. Innerhalb derselben Produktfamilie können unterschiedliche Vertragsbedingungen und Konfigurationen gelten.

Bewahren Sie die zum Entscheid gehörenden Unterlagen auf. Dokumentieren Sie Produkt, Kontotyp, Einstellungen und Prüfdatum. So lässt sich bei einer späteren Änderung erkennen, worauf die ursprüngliche Freigabe beruhte.

Vertrag und Dienstleister bewerten

Wenn ein Anbieter als Auftragsbearbeiter tätig ist, braucht es eine passende Regelung der Bearbeitung. Prüfen Sie Weisungen, Datensicherheit, Unterauftragnehmer und Unterstützung bei Berichtigung oder Löschung.

Die EDÖB-Erläuterungen zur Auftragsdatenbearbeitung helfen bei dieser Prüfung. Die Verantwortung wird durch die Auslagerung nicht vollständig an den Anbieter abgegeben.

Auslandbezug vollständig erfassen

Fragen Sie nach Verarbeitung, Speicherung, Sicherungen und administrativen Zugriffen. Ein Schweizer Hauptspeicher schliesst weitere Bearbeitungen im Ausland nicht automatisch aus.

Bei einem Auslandbezug sind die anwendbaren Voraussetzungen zu prüfen. Der EDÖB zur Bekanntgabe von Personendaten ins Ausland erläutert angemessene Schutzniveaus, Garantien und Ausnahmen. Eine pauschale Aussage «Cloud ist verboten» oder «Standardklauseln lösen alles» wäre zu grob.

Eine betriebliche Prüfliste

• Zweck und benötigte Daten sind dokumentiert.

• Zuständige Personen haben Produkt und Vertragsbedingungen geprüft.

• Zugriffe sind auf den vorgesehenen Nutzerkreis begrenzt.

• Aufbewahrung, Löschung und allfällige Trainingsnutzung sind geklärt.

• Auslandbezüge und Unterauftragnehmer sind bekannt.

• Ein Meldeweg für Fehlversand oder unerwartete Offenlegung besteht.

Prüfen Sie zusätzlich, ob besondere Risiken eine Datenschutz-Folgenabschätzung oder weitergehende fachliche Abklärung erfordern. Bei Berufsgeheimnissen oder branchenspezifischen Regeln reicht eine allgemeine Tool-Freigabe nicht aus.

Mit geeigneten Testdaten starten

Verwenden Sie für die technische Erprobung möglichst synthetische oder ausreichend bearbeitete Beispiele. Prüfen Sie dabei, ob auch Dateinamen, Anhänge und Freitextfelder identifizierende Angaben enthalten.

Testen Sie den tatsächlichen Löschweg und kontrollieren Sie, welche Informationen in Protokollen verbleiben. Eine Funktion in der Oberfläche sollte durch ein nachvollziehbares Verfahren ergänzt werden.

Die Freigabe verständlich machen

Halten Sie fest, für welche Aufgaben und Daten die Anwendung verwendet werden darf. Die Mitarbeitenden benötigen eine klare Handlungsregel, nicht den gesamten Vertragsordner.

Unsere Vorlage für eine KI-Richtlinie hilft bei dieser Übersetzung. Unsere KI-Beratung in der Schweiz unterstützt die technische und organisatorische Vorbereitung; die rechtliche Einzelfallbeurteilung gehört bei Bedarf zu einer qualifizierten Fachstelle. Stand: Oktober 2026.