KI und Datenschutz: Schweizer Compliance-Leitfaden
Das Schweizer Datenschutzgesetz (revDSG) stellt klare Anforderungen an den Umgang mit personenbezogenen Daten. Wenn Sie KI einsetzen, die Kundendaten verarbeitet, müssen Sie diese Anforderungen erfüllen. Dieser Leitfaden erklärt die relevanten Regeln in verständlicher Sprache und gibt Ihnen eine praktische Compliance-Checkliste.
Das revidierte Datenschutzgesetz (revDSG) im Überblick
Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz. Die wichtigsten Änderungen gegenüber dem alten Gesetz: Erweiterte Informationspflichten bedeuten, dass Sie Betroffene über die Verarbeitung ihrer Daten informieren müssen. Privacy by Design verlangt, dass Datenschutz von Anfang an in die Technologie eingebaut werden muss. Datenschutz-Folgenabschätzung bei hohen Risiken bedeutet, dass bei besonders risikoreichter Verarbeitung eine formale Risikobewertung erforderlich ist. Meldepflicht bei Datenschutzverletzungen verpflichtet zur schnellstmöglichen Meldung an den EDÖB. Strengere Sanktionen bringen Bussen bis CHF 250'000 für verantwortliche Personen.
Was das für Ihre KI-Projekte bedeutet
Im KI-Kontext sind vier Grundsätze besonders relevant. Zweckbindung bedeutet, dass Daten nur für den Zweck verwendet werden dürfen, für den sie erhoben wurden. Wenn Sie Kundendaten für die Auftragsabwicklung erhoben haben, dürfen Sie sie nicht ohne Weiteres für KI-basierte Marketinganalysen verwenden. Lösung: Definieren Sie den Verarbeitungszweck klar und holen Sie bei Bedarf die Einwilligung ein.
Datenminimierung verlangt, dass nur die Daten verarbeitet werden, die tatsächlich notwendig sind. Wenn Ihre KI die Lieferadresse für die Routenoptimierung braucht, muss sie nicht gleichzeitig das Geburtsdatum kennen. Lösung: Beschränken Sie den KI-Zugriff auf die minimal notwendigen Daten.
Transparenz erfordert, dass betroffene Personen wissen müssen, dass ihre Daten mit KI verarbeitet werden und was dabei passiert. Lösung: Ergänzen Sie Ihre Datenschutzerklärung um einen Absatz zu KI-Verarbeitung.
Datensicherheit verlangt, dass angemessene technische und organisatorische Massnahmen zum Schutz der Daten vorhanden sein müssen. Lösung: Verschlüsselung, Zugriffskontrolle, Protokollierung und regelmässige Sicherheitsüberprüfungen.
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA ist erforderlich, wenn die KI-Verarbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt. Typische Fälle: Profiling mit hohem Risiko, automatisierte Einzelentscheidungen, umfangreiche Verarbeitung besonders schützenswerter Daten. Für die meisten KMU-KI-Projekte wie Bestellautomatisierung oder Kundenservice ist keine formale DSFA erforderlich. Wir empfehlen aber, für jedes Projekt eine vereinfachte Risikobewertung durchzuführen.
Schweizer Server: Ein Muss?
Das revDSG verlangt nicht zwingend Schweizer Server, aber die Daten müssen in einem Land mit "angemessenem Datenschutzniveau" verarbeitet werden. Die EU und der EWR gelten als angemessen, die USA nur unter bestimmten Bedingungen. Unsere Empfehlung für KMU: Schweizer Server verwenden. Es vereinfacht die Compliance, stärkt das Vertrauen Ihrer Kunden und vermeidet komplexe internationale Datenschutzfragen.
Compliance-Checkliste für KI-Projekte
Verwenden Sie diese Checkliste für jedes KI-Projekt: Ist der Verarbeitungszweck klar definiert und dokumentiert? Werden nur notwendige Daten verarbeitet? Ist die Datenschutzerklärung aktualisiert? Sind betroffene Personen informiert? Ist eine Einwilligung erforderlich und eingeholt? Werden Daten verschlüsselt gespeichert und übertragen? Gibt es eine Zugriffskontrolle? Werden Zugriffe protokolliert? Ist die Datenverarbeitung auf Schweizer oder EU-Servern? Gibt es einen Prozess für Auskunfts- und Löschungsanfragen? Ist ein Auftragsverarbeitungsvertrag mit dem KI-Partner vorhanden? Wurde eine Risikobewertung durchgeführt?
Fazit
Datenschutz und KI schliessen sich nicht aus. Mit den richtigen Massnahmen (Schweizer Server, Verschlüsselung, Transparenz und Datensparsamkeit) können Sie KI nutzen und gleichzeitig die Daten Ihrer Kunden schützen. Die meisten KMU-KI-Projekte lassen sich mit überschaubarem Aufwand datenschutzkonform gestalten.
Entdecken Sie KI Lösungen für Ihr Unternehmen
