HeyPapaya
HeyPapaya
Das nDSG ist kein Grund, auf KI zu verzichten, sondern ein Rahmen, den man schon bei der Konzeption festlegt. Hier, verständlich und ohne Juristendeutsch, die fünf Punkte, die wirklich zählen: wo die Daten gehostet werden, wie Sie Sensibles maskieren, was ein Auftragsbearbeitungsvertrag ist und wer wofür verantwortlich ist.
Das revidierte Schweizer Datenschutzgesetz (nDSG), seit September 2023 in Kraft, regelt die Bearbeitung von Personendaten. Viele Führungskräfte sehen darin ein Hindernis für KI. In Wirklichkeit ist es vor allem eine Frage der Reihenfolge: Wird der Datenschutz schon bei der Konzeption des Agenten mitgedacht, ist er für ein KMU gut handhabbar. Wird er erst im Nachhinein angegangen, muss oft alles neu gebaut werden. Hier sind die fünf konkreten Hebel.
Die erste Frage, die sich Ihre Kundschaft – und die Aufsichtsbehörde – stellt, lautet: Wohin gehen die Daten? Die vernünftige Antwort für ein Schweizer KMU ist, standardmässig in der Schweiz oder in der Europäischen Union zu hosten, also in Rechtsordnungen mit angemessenem Datenschutzniveau. In der Praxis bedeutet das Anbieter wie Infomaniak in Genf für die Infrastruktur und die Wahl von EU-Regionen für Drittdienste. So vermeidet man Bekanntgaben in Länder ohne anerkanntes Schutzniveau oder regelt sie streng, wenn sie sich nicht vermeiden lassen. Das ist ein Architekturentscheid, und er gehört ganz an den Anfang.
Nicht alles, was ein Sprachmodell durchläuft, muss Personendaten im Klartext enthalten. Der Grundsatz der Datenminimierung verlangt, nur das unbedingt Nötige zu übermitteln. Konkret werden sensible Informationen – Name, AHV-Nummer, Kontaktdaten, Gesundheitsdaten – maskiert oder pseudonymisiert, bevor sie Ihre Umgebung verlassen. Der Agent arbeitet mit auf das Minimum reduzierten Daten, und die tatsächliche Identität bleibt bei Ihnen. Das begrenzt das Risiko und vereinfacht die Compliance erheblich.
Sobald ein Dienstleister in Ihrem Auftrag Personendaten bearbeitet, muss ein Auftragsbearbeitungsvertrag (AVV, engl. DPA) das Verhältnis regeln. Er legt den Zweck der Bearbeitung fest, die Datenkategorien, die Sicherheitsmassnahmen, die zugelassenen Unterauftragsbearbeiter und die Pflichten bei einem Sicherheitsvorfall. Das ist keine dekorative Formalität: Es ist das Dokument, das belegt, dass jede Partei weiss, was sie mit den Daten tut. Ein seriöser KI-Einsatz geht immer mit einem unterzeichneten AVV einher.
Daten unbegrenzt aufzubewahren, ist zugleich ein Risiko und nicht konform. Das nDSG verlangt, Aufbewahrungsfristen festzulegen, die dem Zweck angemessen sind, und die Daten danach zu löschen oder zu anonymisieren. Für einen KI-Agenten bedeutet das klare Aufbewahrungsfenster für Gespräche, Transkripte und Logs: Was der Qualität und dem Support dient, wird behalten, der Rest wird nach einem festgelegten Zeitplan gelöscht. Das gehört bereits in die Aufbauphase.
Das ist die am häufigsten missverstandene Unterscheidung – und zugleich die grundlegendste. Verantwortlicher ist, wer entscheidet, warum und wie die Daten bearbeitet werden: Das sind Sie, das KMU. Auftragsbearbeiter ist, wer die Bearbeitung in Ihrem Auftrag und nach Ihren Weisungen ausführt: Das ist Ihr KI-Dienstleister. Diese Aufteilung bestimmt die Verantwortlichkeiten. Bei HeyPapaya ist das Modell klar: Sie bleiben Verantwortlicher, wir sind Auftragsbearbeiter, und der AVV hält dieses Verhältnis fest.
Keiner dieser Punkte erfordert eine Armee von Juristen. Sie müssen nur von Anfang an mitgedacht werden, von einem Partner, der sie standardmässig integriert, statt sie am Schluss zusammenzuflicken. Genau das ist unser Ansatz: Hosting in der Schweiz/EU, Maskierung, AVV und Aufbewahrungsregeln sind Standard, keine Option. Die Compliance-Strategie ist Teil eines umfassenderen Einführungsprozesses, siehe unsere Leistung KI-Strategie & Einführung und unseren Leitfaden zu KI für Schweizer KMU.
Hinweis. Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Ob Sie konform sind, hängt von Ihrer konkreten Situation ab. Für eine auf Ihren Fall zugeschnittene Analyse wenden Sie sich an eine qualifizierte Rechtsberaterin, einen qualifizierten Rechtsberater oder eine Fachperson für Datenschutz.
Buchen Sie ein Gespräch von 30 Minuten. Wir schauen uns gemeinsam Ihre Abläufe und Ihren Datenrahmen an, und Sie nehmen drei konkrete, nDSG-konforme Ideen für KI-Agenten mit.