KI und das Schweizer Datenschutzgesetz (revDSG)
Ein eigenes KI-Gesetz hat die Schweiz im Oktober 2026 nicht. Es gilt das revidierte Datenschutzgesetz (DSG), das der EDÖB auf KI für unmittelbar anwendbar hält: Sie müssen transparent machen, wofür die KI Daten bearbeitet, bei hohem Risiko eine Datenschutz-Folgenabschätzung erstellen und Auftragsbearbeiter sorgfältig auswählen. Daten dürfen nach Deutschland gehen, weil der Bundesrat dort einen angemessenen Datenschutz festgestellt hat.
Gilt das Datenschutzgesetz auch für KI?
Ja. Das revidierte Datenschutzgesetz (DSG) ist seit dem 1. September 2023 in Kraft und technologieneutral formuliert. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hält es deshalb für unmittelbar anwendbar auf jede Bearbeitung von Personendaten mit KI. Ein eigenes KI-Gesetz gibt es in der Schweiz im Oktober 2026 nicht.
Der EDÖB nennt in seiner Übersicht „KI und Datenschutz“ (September 2025) vor allem diese Pflichten:
| Pflicht | Was der EDÖB verlangt | Grundlage im DSG |
|---|---|---|
| Transparenz | Zweck, Funktionsweise und Datenquellen offenlegen; Personen sollen wissen, ob sie mit einer KI kommunizieren und ob ihre Eingaben weiterverwendet werden | Art. 19 |
| Datenschutz-Folgenabschätzung | bei hohem Risiko, etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten | Art. 22 |
| Automatisierte Einzelentscheidung | informieren; auf Antrag Überprüfung durch einen Menschen | Art. 21 |
| Fälschungen von Bild und Stimme | deutlich erkennbar machen | allgemeine Grundsätze |
Nicht alle Fachleute teilen jede Lesart des EDÖB, etwa zur Transparenz bei KI. Die Auffassung der Aufsicht ist keine Gerichtsentscheidung, aber sie zeigt, was der EDÖB bei einer Untersuchung prüft.
Welche Daten sind besonders geschützt?
Besonders schützenswert sind nach Art. 5 lit. c DSG unter anderem Daten über die Gesundheit, genetische und biometrische Daten, Daten über verwaltungs- und strafrechtliche Verfolgungen sowie Daten über Massnahmen der sozialen Hilfe. Für Spitäler, Heime und Sozialdienste heißt das: Wer solche Daten in grossem Umfang mit KI bearbeitet, braucht in der Regel vorher eine Datenschutz-Folgenabschätzung (Art. 22 Abs. 2 lit. a DSG).
Was gilt, wenn ein Anbieter die KI betreibt?
Dann ist der Anbieter Auftragsbearbeiter. Art. 9 DSG erlaubt das unter drei Bedingungen:
- Gleiche Grenzen: Der Anbieter bearbeitet die Daten nur so, wie Sie es selbst dürften.
- Keine Geheimhaltungspflicht verletzt: Weder Gesetz noch Vertrag verbieten die Übertragung. Für Ärztinnen, Anwälte und andere Berufsgeheimnisträger gilt zusätzlich Art. 321 StGB. Berufsgeheimnis und KI in der Schweiz →
- Datensicherheit geprüft: Sie vergewissern sich, dass der Anbieter die Datensicherheit gewährleistet. Unterauftragsbearbeiter darf er nur mit Ihrer vorgängigen Genehmigung beiziehen.
Wer Daten vorsätzlich übergibt, ohne dass die Voraussetzungen erfüllt sind, riskiert eine Busse bis zu 250 000 Franken (Art. 61 lit. b DSG). Die Strafe trifft natürliche Personen, also etwa die verantwortliche Führungsperson.
Dürfen die Daten nach Deutschland oder in die EU?
Ja. Personendaten dürfen ins Ausland gehen, wenn der Bundesrat dort einen angemessenen Schutz festgestellt hat (Art. 16 Abs. 1 DSG). Deutschland, Österreich und die übrigen EU-Staaten stehen in Anhang 1 der Datenschutzverordnung. Für andere Staaten braucht es Garantien wie vom EDÖB anerkannte Standarddatenschutzklauseln (Art. 16 Abs. 2 DSG).
Wichtig ist, wohin die KI-Anfragen tatsächlich gehen: Schickt eine Plattform Ihre Eingaben an das Modell eines Anbieters außerhalb Europas, liegt dort eine Bekanntgabe ins Ausland, die Sie im Verzeichnis der Bearbeitungstätigkeiten angeben müssen (Art. 12 Abs. 2 lit. g DSG).
Wie geht das mit basebox?
basebox bietet die Cloud und den Server in der Schweiz an. Ein Rechenzentrum in der Schweiz für die Cloud ist in Arbeit, spätestens 2027. Bis dahin läuft die Cloud auch für Schweizer Kunden in einem Rechenzentrum in Deutschland, einem Staat mit angemessenem Datenschutz nach Anhang 1 DSV. Der Server steht bei Ihnen; unser Hardware-Partner FAST LTA liefert ihn über einen Partner vor Ort in die Schweiz. Das KI-Modell läuft in der Cloud oder auf Ihrem Server; ein externes Modell gibt es nur als eigene App, wenn Sie sie einrichten lassen. Ihre Daten trainieren kein Modell.
Für die Auftragsbearbeitung nach Art. 9 DSG gibt es eine Ergänzung zur AVV, für Berufs- und Amtsgeheimnis eine Vereinbarung nach Art. 321 und Art. 320 StGB; beide stehen auf /sicherheit#sec-schweiz. Für Ihre Prüfung stehen außerdem AVV, TOMs, die Liste der Unterauftragsverarbeiter und Vorlagen für Verzeichnis und Datenschutz-Folgenabschätzung auf /sicherheit zum Herunterladen. Oberfläche und Support gibt es auf Deutsch und Englisch.
Keine Rechtsberatung: Dieser Artikel gibt einen Überblick über das Bundesrecht. Kantonale Stellen unterstehen dem Datenschutzrecht ihres Kantons. Die Schweiz arbeitet an Regeln zur Umsetzung der KI-Konvention des Europarats; prüfen Sie den aktuellen Stand. Stand der Recherche: 11. Oktober 2026.
Häufige Fragen
Gilt das DSG auch für Kantonsspitäler und Gemeinden?
Nein. Das DSG gilt für private Personen und Bundesorgane (Art. 2 DSG). Kantonale und kommunale Stellen, etwa öffentlich-rechtliche Spitäler oder Gemeindeverwaltungen, unterstehen dem Datenschutzgesetz ihres Kantons. Prüfen Sie dort die Regeln zur Auslagerung und zur Bearbeitung im Ausland.
Braucht der Auftragsbearbeiter einen bestimmten Vertrag?
Art. 9 DSG schreibt keinen festen Vertragsinhalt vor. Die Übertragung ist zulässig, wenn der Auftragsbearbeiter die Daten nur so bearbeitet, wie Sie es selbst dürften, und keine Geheimhaltungspflicht entgegensteht. Sie müssen sich vergewissern, dass er die Datensicherheit gewährleistet. Weitere Dritte darf er nur mit Ihrer vorgängigen Genehmigung beiziehen.
Was droht bei Verstößen?
Das DSG bestraft vorsätzliche Verstöße natürlicher Personen mit Busse bis zu 250 000 Franken, auf Antrag. Dazu gehört, Daten einem Auftragsbearbeiter zu übergeben, ohne dass die Voraussetzungen von Art. 9 Abs. 1 und 2 erfüllt sind (Art. 61 lit. b DSG).
Kommt ein Schweizer KI-Gesetz?
Der Bundesrat hat am 12. Februar 2025 beschlossen, die KI-Konvention des Europarats ins Schweizer Recht zu übernehmen. Eine Vernehmlassungsvorlage soll bis Ende 2026 vorliegen. Bis dahin gilt das DSG.
Quellen
Dieser Artikel wurde mit Unterstützung von KI erstellt, auf Grundlage der genannten Quellen. Verantwortlich für den Inhalt: basebox GmbH. Keine Rechtsberatung, keine Haftung. Stand der Recherche: 11. Oktober 2026.