Datenschutz und AI Automation — DSGVO & DSG Guide

Datenschutz und KI-Automatisierung: Ein Compliance-Leitfaden für DSGVO und DSG

Automatisierung ohne Datenschutz ist ein Risiko – nicht nur rechtlich, sondern auch für den Ruf des Unternehmens. Unternehmen, die KI-Automatisierung ohne strikte Compliance implementieren, riskieren Bussgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO) – und den Vertrauensverlust ihrer Kunden. Diese Seite zeigt die rechtlichen Anforderungen und praktischen Implementierungsschritte für datenschutzkonforme AI Automation.

Warum Datenschutz für AI Automation kritisch ist

AI Automation hat drei Datenschutz-Besonderheiten:

1. Automatisierte Entscheidungen treffen (Art. 22 DSGVO)
Wenn eine KI über Menschen entscheidet – wer eingestellt wird, wem ein Kredit gewährt wird, wer überwacht wird – braucht es spezielle Schutzmassnahmen.

2. Bias und Diskriminierung (Art. 5 Abs. 1 Bst. a DSGVO, Erwägungsgrund 71)
AI-Systeme können geschlechtliche, ethnische oder altersbedingte Diskriminierung reproduzieren oder verstärken – oft unbewusst.

3. Daten in Grösse und Intensität (Art. 32, 33 DSGVO)
AI braucht oft grosse Datenmengen. Das Missbrauchsrisiko ist höher.

Deshalb: Datenschutz in AI Automation ist nicht fakultativ – es ist ein Geschäftsrisiko.

Die DSGVO-Anforderungen für AI Automation

Artikel 22: Automatisierte Entscheidungsfindung

Art. 22 Abs. 1 DSGVO: «Die betroffene Person hat das Recht, nicht einer ausschliesslich auf einer automatisierten Verarbeitung — einschliesslich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.»

Das bedeutet konkret:

• Wenn deine KI über Kreditgenehmigung entscheidet → Verboten ohne Einspruchsrecht
• Wenn deine KI Stellenkandidaten automatisch aussortiert → Verboten ohne Überprüfung durch Mensch
• Wenn deine KI Betrugsdetektionen macht → Erlaubt, aber mit Transparenzpflicht

Praktische Implikation:

• High-Impact-Automatisierung braucht manuelle Überprüfung oder Opt-Out
• Nutzer müssen wissen, dass eine Maschine entscheidet
• Nutzer müssen Einspruchsrecht haben

Artikel 33 & 34 DSGVO: Meldepflicht bei Datenschutzverletzungen

Wenn deine KI einen Sicherheitsvorfall hat – etwa: Trainingsdaten werden gestohlen – musst du:

1. Meldung an die Aufsichtsbehörde innerhalb 72 Stunden (nach Art. 33 DSGVO; in der Schweiz gilt stattdessen Art. 24 DSG: Meldung an den EDÖB «so rasch als möglich», wenn ein hohes Risiko zu erwarten ist)
2. Betroffene Personen benachrichtigen (wenn Risiko hoch)

Wichtig: Bei AI ist die Fehlertoleranz gering. Ein Trainings-Daten-Leak kann massive Auswirkungen haben.

Artikel 5 & 6: Rechtmässigkeit und Zweckbindung

Drei kritische Anforderungen:

1. Rechtmässige Grundlage: Warum darfst du diese Daten für AI nutzen?

- Einwilligung (schwierig bei AI, da Nutzer nicht alle Nutzungen überblicken)
- Vertrag (besser)
- Rechtliche Verpflichtung (z. B. Compliance)
- Lebenswichtige Interessen (nur in Notfällen)

1. Zweckbindung: Du darfst Daten nicht für "irgendwelche zukünftigen AI-Zwecke" sammeln

- Sondern: Spezifisch "AI-Automatisierung von Rechnungsverarbeitung" - Neue Zwecke = neue Einwilligung (meist)

1. Daten-Minimierung: Nutze nur Daten, die du tatsächlich brauchst

- Nicht: "Lass mich alles sammeln, vielleicht brauch ich es mal" - Sondern: "Diese 7 Datenpunkte sind nötig, alles andere raus"

Artikel 32: Technische und organisatorische Schutzmassnahmen

Die DSGVO verlangt "angemessene" Sicherheit. Bei AI ist das strenger:

Anforderungen:

• Verschlüsselung (ruhende Daten und in Transit)
• Zugriffskontrolle (Least Privilege)
• Pseudonymisierung / Anonymisierung wo möglich
• Regelmässige Sicherheitstests
• Incident Response Plan

Die Datenschutz-Folgenabschätzung (DPIA) für AI

Eine DPIA ist eine systematische Analyse von Datenschutz-Risiken. Sie ist nicht optional: Art. 35 Abs. 3 DSGVO macht sie in drei Fällen zur Pflicht — bei systematischer, umfassender automatisierter Bewertung mit Rechtswirkung, bei umfangreicher Verarbeitung besonderer Datenkategorien und bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche.

DPIA-Prozess (Art. 35 DSGVO)

Schritt 1: Ist eine DPIA nötig?
Ja, wenn dein AI-Projekt:

• Personenbezogene Aspekte systematisch und umfassend bewertet, gestützt auf automatisierte Verarbeitung, und daran Entscheidungen mit Rechtswirkung knüpft (Art. 35 Abs. 3 Bst. a)
• Besondere Datenkategorien nach Art. 9 oder Daten über Straftaten nach Art. 10 umfangreich verarbeitet (Art. 35 Abs. 3 Bst. b)
• Öffentlich zugängliche Bereiche systematisch und umfangreich überwacht (Art. 35 Abs. 3 Bst. c)

Eine zahlenmässige Schwelle — etwa eine Mindestzahl betroffener Personen — kennt die DSGVO nicht; massgeblich sind Art, Umfang, Umstände und Zwecke der Verarbeitung (Art. 35 Abs. 1).

Schritt 2: Zweck, Datenquellen, Empfänger dokumentieren
Beispiel Rechnungsaudit-AI:

• Zweck: Automatische Anomalie-Erkennung in Rechnungen
• Datenquellen: Rechnungsdatenbank (100'000 Einträge)
• Empfänger: Finance-Team, externe Auditoren
• Sensible Daten: Lieferant-Kreditratings (wirtschaftliche Daten, aber nicht hochsensibel)

Schritt 3: Datenschutz-Risiken analysieren

Die folgenden Wahrscheinlichkeiten sind Einschätzungen für dieses Modellprojekt — keine erhobenen Werte und kein Erfahrungswert aus Kundenprojekten. In einer echten DPIA werden sie aus den eigenen Fehlerstatistiken hergeleitet.

Tabelle: Schritt 3: Datenschutz-Risiken analysieren

Risiko	Eintritts-wahrscheinlichkeit	Schaden	Mitigation
Falsche Markierung (die KI markiert rechtmässige Rechnungen als Betrug)	Mittel (~5 %)	Hoch (falscher Verdacht, Prozess-Verzögerung)	Manuelle Überprüfung vor Ablehnung
Bias gegen Kleinlieferanten (AI diskriminiert systematisch)	Niedrig (1–2 %)	Sehr Hoch (Diskriminierung)	Test auf Bias vor Go-Live, regelmässiges Monitoring
Daten-Leak (Trainings-Daten werden gehackt)	Niedrig (0,5 %)	Sehr Hoch (Datenschutzverletzung)	Verschlüsselung, Zugriffskontrolle, regelmässige Pen-Tests
Intransparenz (Nutzer wissen nicht, dass AI entscheidet)	Hoch — ohne Transparenz-Massnahme tritt sie definitionsgemäss ein	Mittel (Nutzer-Frustration, Vertrauensverlust)	Transparenz-Kommunikation, einfache Erklärbarkeit

Schritt 4: Massnahmen definieren und implementieren Aus der Analyse: Was brauchst du, um Risiken zu reduzieren?

• Technisch: Verschlüsselung, Zugriffskontrolle
• Organisatorisch: Training, Oversight, Audit
• Governance: Wer überprüft die AI regelmässig?

Schritt 5: DPIA dokumentieren Wichtig: Die DPIA muss dokumentiert sein. Bei einer Behörden-Inspektion ist das erste, was sie fragen: "Habt ihr eine DPIA gemacht?" Wenn nicht, ist das ein grosses Compliance-Loch.

Technische Schutzmassnahmen

1. Encryption at Rest und in Transit

• Alle Trainingsdaten: verschlüsselt in der Datenbank
• Alle Daten-Transporte (API-Calls): HTTPS/TLS 1.2+
• Schlüssel-Management: Zentral, mit Audit-Trail

2. Access Control (Least Privilege)

• Nicht jeder hat Zugang zu Trainings-Daten
• Finance-Team: Sieht Ergebnisse, nicht rohe Daten
• Data Scientists: Sehen anonymisierte Subsets
• Audit-Log: Wer hat wann auf Daten zugegriffen?

3. Pseudonymisierung und Anonymisierung
Ideal: Trainiere AI auf Daten, wo Personenbezüge nicht erkennbar sind

Beispiel:

• Nicht: "Rechnung von Firma XYZ, Betrag CHF 50'000, Datum 15.3.2024"
• Sondern: "Betrag: 50k, Datum: Q1, Industrie: Manufacturing, Kreditrating: B+" (keine Identifikation möglich)

4. Regelmässige Sicherheitstests (Kadenzen sind unsere Empfehlung, keine Vorgabe der DSGVO)

• Halbjährliche Penetrations-Tests («Kann jemand von aussen in die KI eindringen?»)
• Regelmässige Vulnerability-Scans
• Audit-Log-Überprüfung (wurde unautorisiert auf Daten zugegriffen?)

5. Incident Response Plan
Wenn es einen Sicherheits-Incident gibt:

• Wer muss benachrichtigt werden?
• Meldung an die Aufsichtsbehörde: innerhalb von 72 Stunden nach Art. 33 DSGVO, in der Schweiz «so rasch als möglich» an den EDÖB nach Art. 24 DSG?
• Wer kommuniziert extern?

Organisatorische Massnahmen

1. Datenschutz-Governance

• Datenschutzverantwortlicher (DSV) ernennen (muss unabhängig sein)
• DSV überprüft AI-Projekte vor Start
• Regelmässige Audits (mindestens jährlich — eigene Empfehlung, das Gesetz nennt keine Frist)

2. Training und Sensibilisierung

• Alle Data Scientists / AI-Entwickler: Datenschutz-Training
• Finance-Team (nutzt AI): Verständnis für Datenschutz
• Jährliche Auffrischung

3. Data Governance

• Wer darf welche Daten sehen?
• Wie lange werden Daten aufbewahrt? (Retention Policy)
• Wie werden Daten gelöscht? (Secure Deletion)

4. Transparenz und Kommunikation

• Datenschutzerklärung aktualisiert (Abschnitt über KI-Nutzung)
• Nutzer informiert: "Diese Rechnungsprüfung nutzt AI"
• Bei automatisierten Entscheidungen: Erklärbarkeit («Warum wurde das markiert?»)

AI Act: Zukünftige EU-Compliance

Der AI Act (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und gilt gestaffelt: Die Verbote nach Artikel 5 gelten seit dem 2. Februar 2025, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Die Hochrisiko-Pflichten hat die Verordnung (EU) 2026/1744 («Digital Omnibus», in Kraft seit 27. Juli 2026) verschoben: Für eigenständige Systeme nach Anhang III gelten sie ab dem 2. Dezember 2027, für KI in bereits regulierten Produkten nach Anhang I (Artikel 6 Absatz 1) ab dem 2. August 2028. Wichtige Punkte:

Risiko-Klassifizierung
AI-Systeme werden in Kategorien eingeteilt:

• Hochrisiko-AI: nach Anhang III z. B. Bewerbungsfilterung, Kreditwürdigkeitsprüfung, Risikobewertung in der Strafverfolgung

- Strengere Anforderungen: DPIA, Transparent Design, kontinuierliches Monitoring

• Limited-Risk-AI: Interaktive AI (Chatbots, etc.)

- Transparenzanforderung: Nutzer müssen wissen, dass sie mit einer KI interagieren

• Minimal-Risk-AI: Alles andere

- Weniger strikte Anforderungen

Automatisierung in Recruiting oder Finanzen? Wahrscheinlich Hochrisiko. Das bedeutet:

• Strenge Dokumentation
• Bias-Testing vor Go-Live und danach kontinuierlich
• Menschliche Aufsicht erforderlich
• Nutzer hat Anfechtungsrecht

Transparenz- und Erklärbarkeits-Anforderungen

• Bei Hochrisiko-Systemen genügt eine reine «Black Box» nicht mehr
• Nutzer sollen nachvollziehen können, warum eine Entscheidung getroffen wurde
• Erklärbare KI wird zum Erwartungsmassstab

Quelle der AI-Act-Angaben: Verordnung (EU) 2024/1689, Anhang III und Artikel 113 — Anhang III nennt für die Beschäftigung KI-Systeme zur «Analyse und Filterung von Bewerbungen» und zur «Bewertung von Bewerbern», für den Kreditbereich Systeme, die «die Kreditwürdigkeit natürlicher Personen … bewerten», mit Ausnahme der Betrugsaufdeckung. Der Verordnungstext auf EUR-Lex liess sich beim Abruf nicht als Volltext ausliefern; zitiert ist die erreichbare Artikelfassung im AI Act Explorer, abgerufen am 24. August 2026. Quelle der Fristen: Verordnung (EU) 2026/1744 (Digital Omnibus zur künstlichen Intelligenz), in Kraft seit 27. Juli 2026 — sie verschiebt die Hochrisiko-Pflichten auf den 2. Dezember 2027 (eigenständige Systeme nach Anhang III) und den 2. August 2028 (Anhang I in Verbindung mit Artikel 6 Absatz 1) und lässt Artikel 5, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck und Artikel 50 unverändert.

Schweizer DSG spezifische Anforderungen

Für die Schweiz gilt nicht die DSGVO, sondern das eigene Datenschutzgesetz (DSG):

Ähnlichkeiten zu DSGVO:

• Einwilligung und Rechtmässigkeit
• Transparenzpflicht
• Datenschutz-Folgenabschätzung (auch hier erforderlich)
• Incident Response (Meldepflicht bei Verletzungen)

Unterschiede:

• Deutlich tiefere Sanktionen: keine 20-Mio.-Euro-Bussen, sondern bis 250'000 Franken gegen die verantwortliche natürliche Person (Art. 60–63 DSG), subsidiär bis 50'000 Franken gegen das Unternehmen (Art. 64 Abs. 2 DSG)
• Die Reputationsrisiken sind dieselben
• Das revidierte DSG (in Kraft seit 1. September 2023) brachte EU-nähere Standards

Praktisch: Wer mit EU-Kunden arbeitet, fährt mit dem DSGVO-Standard als Grundlinie gut — aber er deckt das DSG nicht vollständig ab. Beim Datenexport ins Ausland ist das DSG enger gebaut, und die Meldefrist ist eine andere («so rasch als möglich» statt 72 Stunden). Beide Regelwerke sind deshalb einzeln zu prüfen.

Praktische Implementierungs-Checkliste

Vor Go-Live einer AI Automation

• [ ] Rechtliche Vorbereitung

- [ ] Rechtmässige Grundlage identifiziert (Vertrag, Einwilligung, etc.)? - [ ] Datenschutzerklärung aktualisiert? - [ ] Auftragsverarbeitungs-Vereinbarung mit Vendor (falls externe AI-Tools)?

Vertiefen Sie Ihr Wissen:

• AI Automation Implementierung
• AI Automation Strategie entwickeln
• Change Management bei AI Automation
• AI Governance und Compliance
• API-Integration für AI Automation
• AI Automation Security Deep Dive
• Ethik der AI Automation

• [ ] DPIA durchgeführt

- [ ] Braucht es eine DPIA? (Hochrisiko? Automatisierte Entscheidung?) - [ ] DPIA-Dokument erstellt und von DSV freigegeben? - [ ] Risiken identifiziert und Mitigation-Massnahmen definiert?

• [ ] Technische Sicherheit

- [ ] Daten-Verschlüsselung geplant (at rest und in transit)? - [ ] Access Control definiert (Least Privilege)? - [ ] Pseudonymisierung/Anonymisierung umgesetzt wo möglich? - [ ] Sicherheits-Test geplant (Pen-Test)? - [ ] Incident Response Plan vorhanden?

• [ ] Datenminimierung

- [ ] Nur notwendige Daten gesammelt? (Keine "alles für später") - [ ] Retention Policy definiert? (Wie lange speichern?) - [ ] Deletion-Process definiert? (Wie sicher löschen?)

• [ ] Transparenz

- [ ] Nutzer/Mitarbeitende wissen, dass das Unternehmen AI nutzt? - [ ] Erklärbarkeit der Entscheidungen möglich? ("Warum wurde X entschieden?") - [ ] Opt-Out oder Anfechtungs-Möglichkeit vorhanden (bei Hochrisiko)?

• [ ] Bias & Fairness

- [ ] Test auf Bias durchgeführt? (Gender, Ethnicity, Age) - [ ] Kontinuierliches Bias-Monitoring geplant? - [ ] Fairness-Metriken definiert?

• [ ] Governance & Audit

- [ ] DSV eingebunden in Projekt-Review? - [ ] Audit-Plan für Monitoring nach Go-Live? - [ ] Training für Team durchgeführt (Datenschutz-Awareness)?

Häufige Compliance-Fehler

Fehler 1: "Wir haben Daten, lass uns AI trainieren"
Das ist Datenverschwendung und Compliance-Risiko. Besser: Zuerst Zweck definieren, dann minimale Datenmenge sammeln.

Fehler 2: "Datenschutz ist IT-Problem"
Nein. Datenschutz ist ein Geschäftsproblem. DSV, Rechtsabteilung und Projektleitung müssen zusammenarbeiten.

Fehler 3: Die DPIA-Checkliste bloss abhaken, statt sie ernst zu nehmen
DPIA ist nicht Bürokratie – es ist legitime Risiko-Analyse. Wenn du es ernst nimmst, vermeidest du teure Fehler.

Fehler 4: "Externe Vendors machen das für uns"
Nein, du bist verantwortlich, auch wenn du externe AI-Tools nutzt. Auftragsverarbeitungs-Vereinbarungen (AV) sind unverzichtbar.

Fehler 5: Bias ignorieren
«Unsere KI ist nicht voreingenommen» – nachprüfen! Regelmässiges Bias-Testing ist nicht optional.

Fehler 6: Kein Audit-Trail
Wenn später Fragen kommen: "Wer hat auf diese Daten zugegriffen?" – und du kannst nicht antworten, ist das ein grosses Problem.

Implementierungsbeispiel: Rechnungs-Audit-AI mit Compliance

Szenario, kein Kundenprojekt. Die folgenden Zahlen sind Annahmen des Modellfalls, nicht Werte aus einem realen Mandat.

Ausgangslage
KMU mit 10 Mio. CHF Beschaffungsvolumen pro Jahr und 5'000 Rechnungen pro Jahr, das die Anomalie-Erkennung automatisieren möchte

Compliance-Planung

Rechtliche Vorbereitung:

• Zweck: "Anomalie-Erkennung zur Fraud-Prävention"
• Rechtmässige Grundlage: berechtigtes Interesse an der Betrugsprävention (Art. 6 Abs. 1 Bst. f DSGVO) — Art. 6 Abs. 1 Bst. d schützt lebenswichtige Interessen einer natürlichen Person, nicht Interessen des Unternehmens
• Lieferanten-Daten: Nicht-sensitive, aber wirtschaftliche Informationen
• AV mit AI-Vendor: Auftragsverarbeitungs-Vereinbarung unterzeichnet

DPIA:

• Durchgeführt: Hochrisiko (Automatisierte Entscheidung über Lieferanten-Ranking)
• Hauptrisiken:

- Falsche Markierung (Mitigation: manuelle Überprüfung, bevor eine Rechnung zurückgewiesen wird)
- Bias gegen kleinere Lieferanten (Mitigation: Regelmässiges Bias-Monitoring)
- Daten-Leak (Mitigation: Verschlüsselung, Zugriffskontrolle)

Technische Massnahmen:

• Daten-Verschlüsselung in Transit (HTTPS) und at Rest (AES-256)
• Zugriffskontrolle: Nur Finance-Lead darf Rechnungs-Details sehen
• Pseudonymisierung: AI trainiert auf "anonymisierten" Daten (Lieferant ID statt Name)
• Audit-Trail: Alle Zugriffe und Entscheidungen geloggt

Governance:

• DSV überprüft Projekt vor Go-Live
• Quartalsweise Prüfung: Bias-Raten, Fehlerraten, Zugriffsprotokolle
• Training: Finance-Team und Data Scientists auf Datenschutz schulen

Was diese Planung leisten soll (Ziele des Szenarios, keine gemessenen Ergebnisse):

• Die dokumentierten Compliance-Pflichten sind vor dem Produktivstart abgearbeitet
• Bei einer Behörden-Anfrage lässt sich die DPIA samt Massnahmen vorlegen
• Lieferanten können nachvollziehen, wie und warum das System eine Rechnung markiert
• Interne Audits finden eine belastbare Dokumentationsspur vor

Häufig gestellte Fragen

Wann braucht ein AI-Automatisierungsprojekt eine Datenschutz-Folgenabschätzung (DPIA)?

Eine DPIA nach Art. 35 DSGVO ist Pflicht, wenn ein AI-Projekt personenbezogene Aspekte systematisch und umfassend automatisiert bewertet und daran Entscheidungen mit Rechtswirkung knüpft, besondere Datenkategorien wie Gesundheits- oder biometrische Daten umfangreich verarbeitet oder öffentlich zugängliche Bereiche systematisch und umfangreich überwacht (Art. 35 Abs. 3). Eine Zahlenschwelle — etwa eine Mindestzahl betroffener Personen — nennt die Verordnung nicht; massgeblich sind Art, Umfang, Umstände und Zwecke der Verarbeitung. Der Prozess umfasst fünf Schritte: Notwendigkeit prüfen, Zweck und Datenquellen dokumentieren, Risiken analysieren, Massnahmen definieren und alles dokumentieren. Bei einer Behörden-Inspektion ist die dokumentierte DPIA das Erste, wonach gefragt wird.

Was verlangt Artikel 22 DSGVO bei automatisierten Entscheidungen durch KI?

Betroffene Personen haben das Recht, keiner Entscheidung unterworfen zu werden, die ausschliesslich auf automatisierter Verarbeitung beruht, sofern diese rechtliche oder ähnlich erhebliche Auswirkungen hat. Praktisch heisst das: High-Impact-Automatisierungen wie Kreditgenehmigung oder das automatische Aussortieren von Stellenkandidaten brauchen eine manuelle Überprüfung oder ein Opt-Out. Nutzer müssen zudem wissen, dass eine Maschine entscheidet, und ein Einspruchsrecht haben.

Welche Bussgelder drohen bei Datenschutz-Verstössen mit AI Automation?

Nach Art. 83 Abs. 5 DSGVO drohen Bussgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist — hinzu kommt der Vertrauensverlust bei Kunden. Das Schweizer DSG (SR 235.1) sieht in den Art. 60–63 Bussen bis 250'000 Franken gegen die verantwortliche natürliche Person vor; nach Art. 64 Abs. 2 kann statt ihrer das Unternehmen mit bis zu 50'000 Franken gebüsst werden, wenn die Ermittlung der verantwortlichen Person unverhältnismässig wäre. Die Beträge sind deutlich tiefer, die Reputationsrisiken jedoch gleich hoch.

Quellen: Bundesgesetz über den Datenschutz (DSG, SR 235.1), Art. 24, 60–64 — Fassung in Kraft seit 1. September 2023. Für die DSGVO-Seite: Art. 83 DSGVO — Absatz 5 nennt «Geldbussen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes», Absatz 4 die tiefere Stufe von 10 000 000 EUR oder 2 %; in beiden Fällen gilt «je nachdem, welcher der Beträge höher ist». Abgerufen am 24. August 2026.

Gilt für Schweizer Unternehmen das DSG oder die DSGVO?

Für ein Unternehmen in der Schweiz gilt in jedem Fall das revidierte Datenschutzgesetz (DSG, SR 235.1, in Kraft seit 1. September 2023) — mit Transparenzpflicht, Datenschutz-Folgenabschätzung und Meldepflicht bei Verletzungen der Datensicherheit. Die DSGVO kommt nicht automatisch dazu, sondern erst über ihren Art. 3: wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Dann gelten beide nebeneinander. «DSGVO ist strenger und deckt das DSG mit ab» stimmt nicht durchgehend: Beim Datenexport ins Ausland ist das DSG enger, und die Meldefrist ist anders gebaut («so rasch als möglich» statt 72 Stunden).

Wann gilt AI Automation als Hochrisiko-AI nach dem EU AI Act?

Der AI Act (Verordnung (EU) 2024/1689, seit 1. August 2024 in Kraft) stuft AI-Systeme etwa in Recruiting, Credit Scoring oder Strafverfolgung als Hochrisiko ein — Anhang III nennt die «Analyse und Filterung von Bewerbungen», die Bewertung der «Kreditwürdigkeit natürlicher Personen» und Risikobewertungen im Strafverfolgungsbereich. Für sie gelten strenge Dokumentationspflichten, Bias-Testing vor Go-Live und danach kontinuierlich, menschliche Aufsicht sowie ein Anfechtungsrecht für Nutzer. Interaktive AI wie Chatbots gilt als Limited-Risk mit Transparenzanforderung: Nutzer müssen wissen, dass sie mit einer AI interagieren. Anwendbar sind die Hochrisiko-Pflichten allerdings erst später: Die Verordnung (EU) 2026/1744 («Digital Omnibus», in Kraft seit 27. Juli 2026) verschiebt sie auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für KI in bereits regulierten Produkten nach Anhang I. Zum 2. August 2026 sind allein die Transparenzpflichten nach Artikel 50 in Kraft getreten.

---

Quellen

1. Quelle der AI-Act-Angaben: Verordnung (EU) 2024/1689, Anhang III und Artikel 113 — Anhang III nennt für die Beschäftigung KI-Systeme zur «Analyse und Filterung von Bewerbungen» und zur «Bewertung von Bewerbern», für den Kreditbereich Systeme, die «die Kreditwürdigkeit natürlicher Personen … bewerten», mit Ausnahme der Betrugsaufdeckung. Der Verordnungstext auf EUR-Lex liess sich beim Abruf nicht als Volltext ausliefern; zitiert ist die erreichbare Artikelfassung im AI Act Explorer, abgerufen am 24. August 2026. Quelle der Fristen: Verordnung (EU) 2026/1744 (Digital Omnibus zur künstlichen Intelligenz), in Kraft seit 27. Juli 2026 — sie verschiebt die Hochrisiko-Pflichten auf den 2. Dezember 2027 (eigenständige Systeme nach Anhang III) und den 2. August 2028 (Anhang I in Verbindung mit Artikel 6 Absatz 1) und lässt Artikel 5, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck und Artikel 50 unverändert.
2. Bundesgesetz über den Datenschutz (DSG, SR 235.1), Art. 24, 60–64 — Fassung in Kraft seit 1. September 2023. Für die DSGVO-Seite: Art. 83 DSGVO — Absatz 5 nennt «Geldbussen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes», Absatz 4 die tiefere Stufe von 10 000 000 EUR oder 2 %; in beiden Fällen gilt «je nachdem, welcher der Beträge höher ist». Abgerufen am 24. August 2026.