Datenstandort
Klären Sie, wo Daten liegen und wo sie verarbeitet werden. Ein Schweizer Standort oder ein Betrieb im eigenen Haus vereinfacht Nachweise und Auskunftsbegehren spürbar.
Zurück zu ASIMBA AI OSKI und Datenschutz in der Schweiz
Seit dem revidierten Datenschutzgesetz stellt sich in fast jedem Projekt dieselbe Frage: Dürfen wir unsere eigenen Daten überhaupt mit KI bearbeiten? Die kurze Antwort lautet ja — wenn Zweck, Zugriff und Nachweis geklärt sind. Dieser Leitfaden fasst zusammen, worauf es in der Praxis ankommt.
Sechs Punkte, die vor dem Rollout stehen
Rollen und Rechte
Eine KI darf nur sehen, was ihre Aufgabe verlangt. Rechte pro Rolle statt pro Person halten den Zugriff auch dann sauber, wenn Teams wachsen.
Zweckbindung
Jede Quelle wird für einen definierten Zweck freigegeben. Was nicht freigegeben ist, wird nicht indexiert und taucht in keiner Antwort auf.
Protokollierung
Wer hat wann welche Frage gestellt, und auf welche Quellen stützt sich die Antwort? Ohne Protokoll fehlt der Nachweis der Rechtmässigkeit.
Verträge
Auftragsbearbeitungsvertrag, Ausschluss des Modelltrainings auf Ihren Daten, Löschfristen und Regelungen zu Unterauftragnehmern gehören schriftlich fixiert.
Menschliche Kontrolle
Heikle Entscheide bleiben bei Menschen. Die KI bereitet vor, schlägt vor und dokumentiert — freigegeben wird von einer verantwortlichen Person.
Was das revDSG konkret verlangt
Das revidierte Datenschutzgesetz verlangt keine KI-Sonderregeln, sondern dieselben Grundsätze wie für jede andere Bearbeitung: Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und Sicherheit. Praktisch heisst das drei Dinge.
Erstens: Transparenz. Betroffene Personen müssen wissen, dass und wozu ihre Daten bearbeitet werden — die Datenschutzerklärung gehört entsprechend ergänzt. Zweitens: Sicherheit durch Technik und Voreinstellung. Zugriffe werden eingeschränkt, bevor jemand danach fragt. Drittens: Rechenschaft. Ohne Verzeichnis der Bearbeitungstätigkeiten und ohne Protokoll lässt sich im Ernstfall nichts belegen.
Kommen besonders schützenswerte Personendaten ins Spiel — Gesundheit, Religion, Gewerkschaft, biometrische Daten, Strafverfahren — steigen die Anforderungen: ausdrückliche Einwilligung oder eine klare gesetzliche Grundlage, engere Zugriffe und in vielen Fällen eine Datenschutz-Folgenabschätzung.
Eigenes Haus oder Schweizer Cloud?
Betrieb im eigenen Haus
Daten verlassen das Firmennetz nicht. Das vereinfacht die Beurteilung, verlangt aber eigene Hardware, Updates und Betriebsverantwortung. Sinnvoll dort, wo laufend mit besonders schützenswerten Daten gearbeitet wird.
Schweizer Cloud
Betrieb und Wartung liegen beim Anbieter, der Datenstandort bleibt in der Schweiz. Entscheidend sind der Auftragsbearbeitungsvertrag, die Liste der Unterauftragnehmer und der vertragliche Ausschluss von Modelltraining auf Ihren Daten.
In der Praxis ist der Mischbetrieb der Normalfall: sensible Aufgaben lokal, alles Übrige in der Cloud. Wichtig ist, dass die Aufteilung pro Anwendungsfall dokumentiert und technisch durchgesetzt ist — nicht bloss als Absichtserklärung.
Prüfplan vor dem Start
- Verzeichnis der Bearbeitungstätigkeiten um den KI-Anwendungsfall ergänzt
- Rechtsgrundlage und Zweck pro Datenquelle festgehalten
- Datenstandort und allfällige Bekanntgabe ins Ausland dokumentiert
- Auftragsbearbeitungsvertrag inklusive Trainingsausschluss unterzeichnet
- Rollen, Rechte und Freigaben pro digitale Rolle definiert
- Protokollierung aktiviert und Aufbewahrungsfristen gesetzt
- Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist
- Mitarbeitende informiert und Nutzungsregeln kommuniziert
Häufige Fragen
Darf ich als Schweizer Unternehmen KI mit Kundendaten nutzen?
Ja, sofern die Bearbeitung nach revDSG rechtmässig, verhältnismässig und transparent ist. Entscheidend sind Zweckbindung, eine saubere Rechtsgrundlage, ein Verzeichnis der Bearbeitungstätigkeiten und ein Vertrag mit dem Anbieter (Auftragsbearbeitung).
Müssen die Daten in der Schweiz bleiben?
Nicht zwingend. Eine Bekanntgabe ins Ausland ist zulässig, wenn das Zielland über einen angemessenen Datenschutz verfügt oder Garantien wie Standardvertragsklauseln bestehen. Bei besonders schützenswerten Personendaten ist ein Schweizer Datenstandort dennoch der einfachste Weg.
Werden meine Daten zum Training fremder Modelle verwendet?
Das hängt vom Anbieter ab und muss vertraglich ausgeschlossen werden. Ohne ausdrücklichen Ausschluss des Trainings auf Kundendaten sollte kein Personendatensatz in ein Modell gelangen.
Braucht es eine Datenschutz-Folgenabschätzung?
Eine DSFA ist nötig, wenn die Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte bedeutet — etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten oder systematischer Überwachung.
Wie kontrolliere ich, was eine KI im Unternehmen sehen darf?
Über Rollen und Rechte: Jede digitale Rolle erhält nur Zugriff auf die Quellen, die sie für ihre Aufgabe braucht. Alles andere bleibt unsichtbar. Jede Antwort sollte nachvollziehbar protokolliert sein.
Ihr Anwendungsfall im Detail
ASIMBA AI OS ist so gebaut, dass Rollen, Rechte, Datenstandort und Protokollierung von Anfang an zusammenpassen. Schauen Sie sich an, wie das im Betrieb aussieht.
ASIMBA AI OS ansehenDieser Leitfaden ist eine allgemeine Orientierungshilfe und ersetzt keine Rechtsberatung im Einzelfall.