revDSG und KI: Welche Pflichten gelten für Schweizer Unternehmen?

revDSG in Kürze: Geltung, Umfang und Bussen

Das revDSG hat das alte Datenschutzgesetz von 1992 abgelöst und die Schweiz näher an das europäische Schutzniveau gebracht, ohne mit der DSGVO identisch zu sein. Es schützt nur noch Daten natürlicher Personen; Daten juristischer Personen fallen nicht mehr darunter. Für KI zählt vor allem: Sobald ein Modell oder Tool Personendaten bearbeitet, greifen die Pflichten - unabhängig davon, ob der Anbieter in Zürich, Dublin oder Kalifornien sitzt.

• Extraterritoriale Wirkung: Das revDSG erfasst auch Bearbeitungen im Ausland, die sich in der Schweiz auswirken.
• Aufsicht: Der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) überwacht und kann Untersuchungen führen.
• Sanktionen: Bussen bis 250'000 Franken treffen im Grundsatz die verantwortlichen natürlichen Personen, nicht primär das Unternehmen - anders als bei der DSGVO.

Besonders schützenswerte Personendaten und KI

Das revDSG definiert besonders schützenswerte Personendaten, deren Bearbeitung strengere Anforderungen auslöst - etwa eine ausdrückliche Einwilligung oder eine Datenschutz-Folgenabschätzung. Genau diese Kategorien tauchen in KI-Projekten häufig auf: Gesundheits-Chatbots, biometrische Gesichts- oder Stimmerkennung, HR-Screening oder Bonitätsmodelle. Wer solche Daten in ein KI-System speist, muss die Rechtsgrundlage und die Schutzmassnahmen vorher klären.

• Erfasste Kategorien: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten und Tätigkeiten; Gesundheit, Intimsphäre, Rassenzugehörigkeit oder Ethnie.
• Genetische Daten sowie biometrische Daten, die eine Person eindeutig identifizieren - hochrelevant für KI-basierte Erkennungssysteme.
• Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen sowie über Massnahmen der sozialen Hilfe.

Kernpflichten beim KI-Einsatz

• Grundsätze einhalten: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Transparenz und Datenrichtigkeit - auch für Trainings- und Eingabedaten.
• Informationspflicht: Betroffene sind über die Beschaffung von Personendaten und den KI-Einsatz verständlich zu informieren.
• Datenschutz-Folgenabschätzung (DSFA) bei voraussichtlich hohem Risiko, etwa bei neuen Technologien, umfangreicher Bearbeitung sensibler Daten oder systematischer Überwachung; bleibt ein hohes Restrisiko, ist der EDÖB zu konsultieren.
• Verzeichnis der Bearbeitungstätigkeiten führen; KMU mit weniger als 250 Mitarbeitenden und geringem Risiko sind teilweise befreit.
• Privacy by Design und datenschutzfreundliche Voreinstellungen von Beginn an in KI-Systeme einbauen.
• Datensicherheit gewährleisten und Datenschutzverletzungen so rasch als möglich dem EDÖB melden, wenn ein hohes Risiko für Betroffene besteht.

Automatisierte Einzelentscheide und Profiling mit hohem Risiko

Trifft ein KI-System eine Entscheidung ausschliesslich automatisiert und hat diese eine rechtliche Wirkung oder erhebliche Beeinträchtigung - etwa Kreditablehnung, automatische Bewerberauswahl oder Tarifeinstufung -, muss das Unternehmen die betroffene Person darüber informieren. Diese kann verlangen, dass eine natürliche Person die Entscheidung überprüft, und ihren Standpunkt einbringen. Ausnahmen bestehen unter anderem, wenn der Entscheid im Zusammenhang mit einem Vertrag steht und dem Begehren entsprochen wird oder eine Einwilligung vorliegt.

• Profiling mit hohem Risiko - eine umfassende Bewertung wesentlicher Persönlichkeitsmerkmale - kann eine ausdrückliche Einwilligung erfordern.
• Dokumentieren Sie, wann ein Mensch die KI-Entscheidung überprüft (Human-in-the-Loop), und wie Betroffene Einspruch erheben können.

Datenübermittlung ins Ausland: KI-Anbieter richtig einsetzen

Viele KI-Dienste laufen auf Servern ausserhalb der Schweiz. Eine Bekanntgabe ins Ausland ist zulässig, wenn der Zielstaat auf der Angemessenheitsliste des Bundesrates steht. Fehlt ein angemessenes Schutzniveau, braucht es geeignete Garantien wie Standardvertragsklauseln, verbindliche unternehmensinterne Datenschutzvorschriften oder in engen Grenzen eine Einwilligung. Für Anbieter in den USA ist zusätzlich der jeweils geltende Rahmen (Swiss-US Data Privacy Framework) zu prüfen.

• Prüfen Sie Auftragsbearbeitungsverträge: Der KI-Anbieter bearbeitet Daten nur auf Weisung und mit ausreichender Datensicherheit.
• Souveräne Alternativen prüfen: Schweizer oder EU-Hosting und offene Modelle wie Apertus (ETH Zürich, EPFL, CSCS) können Auslandtransfers reduzieren.

revDSG, DSGVO und EU AI Act: das Zusammenspiel

Schweizer Unternehmen unterstehen dem revDSG, können aber zusätzlich von der DSGVO erfasst werden, wenn sie Personen in der EU ansprechen. Der EU AI Act regelt KI produktbezogen nach Risikoklassen und wirkt ebenfalls extraterritorial - er kann greifen, wenn KI-Ergebnisse in der EU genutzt werden. Die drei Regelwerke ergänzen sich: Das revDSG adressiert den Datenschutz, der EU AI Act die Sicherheit und Governance des KI-Systems.

• Schutzobjekt: revDSG - Daten natürlicher Personen; EU AI Act - Sicherheit und Grundrechte rund um das KI-System.
• Sanktionslogik: revDSG - Bussen gegen verantwortliche Personen bis 250'000 Franken; DSGVO - Bussgelder gegen Unternehmen bis zu prozentualen Umsatzanteilen.
• Praxis: Ein gemeinsames Governance-Framework deckt Datenschutz und KI-Risiko effizienter ab als getrennte Projekte.

Praxis-Checkliste für Schweizer Unternehmen

• Inventarisieren Sie alle KI-Tools und die dabei bearbeiteten Personendaten, inklusive Prompts und hochgeladener Dokumente.
• Legen Sie eine interne KI-Nutzungsrichtlinie fest: Was darf eingegeben werden, was nicht (besonders schützenswerte Daten, Geschäftsgeheimnisse)?
• Aktualisieren Sie Datenschutzerklärung, Verzeichnis der Bearbeitungstätigkeiten und Auftragsbearbeitungsverträge um den KI-Einsatz.
• Führen Sie bei riskanten KI-Vorhaben früh eine DSFA durch und definieren Sie einen Human-in-the-Loop für automatisierte Entscheide.
• Hinweis: Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.