KI und Datenschutz in der Schweiz: das revidierte DSG (revDSG)

In der Schweiz gilt für KI und Datenschutz das revidierte Datenschutzgesetz (revDSG). Es ist seit dem 1. September 2023 in Kraft. Die Aufsicht führt der EDÖB. Wenn Sie Texte in ein KI-Tool geben, bearbeiten Sie oft Personendaten. Dann gelten die Regeln des revDSG — auch wenn der KI-Anbieter im Ausland sitzt.

Das revDSG gilt seit 2023

Das revDSG hat das alte Gesetz von 1992 abgelöst. Es stärkt die Rechte der betroffenen Personen. Und es bindet auch KI-Projekte, sobald Personendaten im Spiel sind.

• In Kraft seit dem 1. September 2023.
• Aufsichtsbehörde ist der EDÖB.
• Gilt für private Firmen und Bundesorgane.
• Schützt die Daten natürlicher Personen.
• Nähert sich der DSGVO an, bleibt aber ein eigenes Gesetz.

Ihre wichtigsten Pflichten

Das Gesetz baut auf klaren Grundsätzen auf. Sie müssen Daten fair und verhältnismäßig bearbeiten. Und Sie brauchen einen Zweck, der von Anfang an feststeht.

• Treu und Glauben, Verhältnismäßigkeit und Zweckbindung beachten.
• Betroffene Personen transparent informieren.
• Eine angemessene Datensicherheit gewährleisten.
• Ein Verzeichnis der Bearbeitungen führen.
• Bei hohem Risiko eine Datenschutz-Folgenabschätzung erstellen.

revDSG und DSGVO zusammen

Viele Schweizer Firmen bedienen Kundschaft in der EU. Dann kann zusätzlich die DSGVO gelten. Die europäische Verordnung wirkt nämlich auch über die Grenze hinaus.

• Das revDSG gilt für Bearbeitungen mit Bezug zur Schweiz.
• Die DSGVO kann Schweizer Firmen mit EU-Betroffenen treffen.
• Beide verlangen Datenminimierung und Sicherheit.
• Beide kennen die Folgenabschätzung bei hohem Risiko.
• Im Zweifel prüfen Sie beide Regelwerke.

Sanktionen richtig einordnen

Hier unterscheiden sich beide Gesetze deutlich. Das revDSG kennt keine hohen Unternehmensbußen wie die DSGVO. Stattdessen trifft die Strafe verantwortliche Personen.

• Laut DSG drohen Bußen bis 250 000 CHF.
• Sie richten sich gegen verantwortliche natürliche Personen.
• Die DSGVO sieht Bußgelder gegen Unternehmen vor.
• Diese können bis 20 Mio. € oder 4 % des Umsatzes betragen.
• Datenschutz ist damit auch Chefsache.

KI-Risiko praktisch senken

Der beste Schutz ist einfach: Teilen Sie weniger. Geben Sie der KI nur das, was die Aufgabe wirklich braucht. So bleibt die Exposition klein. Laut OpenAI trainiert das Unternehmen nicht mit den Geschäftsdaten seiner API- und Enterprise-Kunden — prüfen Sie aber die aktuelle Dokumentation.

1. 1Prüfen Sie, ob echte Personendaten nötig sind.
2. 2Entfernen oder ersetzen Sie Namen, Nummern und Adressen.
3. 3Nutzen Sie Pseudonyme statt Klartext.
4. 4Schließen Sie mit dem KI-Anbieter einen Auftragsverarbeitungsvertrag ab.
5. 5Dokumentieren Sie Zweck und Rechtsgrundlage.

Werkzeuge helfen, die Datenmenge zu senken. ONYRI Sanitize erkennt sensible Daten in Ihrem Text und ersetzt sie durch umkehrbare Jetons. Die Zuordnungstabelle bleibt im Browser und wird nie an den Server gesendet. Nach der Antwort der KI werden die echten Werte wieder eingesetzt. Wichtig und ehrlich: Das ist Pseudonymisierung, keine Anonymisierung. Pseudonyme Daten bleiben Personendaten (Erwägungsgrund 26 DSGVO). Ein Werkzeug ersetzt weder einen Auftragsverarbeitungsvertrag (AVV/DPA) noch eine Rechtsgrundlage. Es senkt die Exposition, es beseitigt sie nicht.

Fazit: Das revDSG nimmt Schweizer Firmen bei KI in die Pflicht. Wer weniger Personendaten teilt, senkt sein Risiko. Datensparsamkeit ist der einfachste erste Schritt.