Ob ein KI-Tool in deinem Unternehmen zulässig ist, entscheidet selten die Technik. Meistens entscheidet es ein Dokument, das kaum jemand liest: der Auftragsbearbeitungsvertrag. Die Diskussion läuft trotzdem meist über andere Fragen. Ist der Anbieter seriös? Stehen die Server in Europa? Trainiert das Modell mit unseren Daten? Alles berechtigte Punkte. Rechtlich hängt die Antwort aber an etwas Unspektakulärerem: Sobald ein KI-Tool Personendaten für dich bearbeitet, ist der Anbieter dein Auftragsbearbeiter. Und dafür kennt das nDSG klare Regeln, die deutlich älter sind als der aktuelle KI-Schub.
Was Art. 9 nDSG verlangt, in drei Sätzen
Das Gesetz ist an dieser Stelle erfreulich kurz. Art. 9 nDSG erlaubt dir, die Bearbeitung von Personendaten einem Auftragsbearbeiter zu übertragen, wenn er die Daten nur so bearbeitet, wie du es selbst tun dürftest. Du musst dich vergewissern, dass er die Datensicherheit gewährleisten kann. Und er darf die Bearbeitung nur mit deiner vorgängigen Genehmigung an Dritte weitergeben.
Übersetzt: Du bleibst verantwortlich. Der Anbieter arbeitet in deinem Auftrag, nach deinen Regeln, und der Auftragsbearbeitungsvertrag hält fest, was er mit den Daten deiner Kunden und Mitarbeitenden tun darf und was nicht.
Dass KI daran nichts ändert, hat der Eidgenössische Datenschutzbeauftragte klargestellt: Das Datenschutzgesetz ist technologieneutral formuliert und auf KI-gestützte Datenbearbeitungen direkt anwendbar. Es gibt keine KI-Übergangsfrist und keine Grauzone, in der du auf ein Schweizer KI-Gesetz warten könntest. Die Regeln gelten, seit das Tool im Einsatz ist.
Noch ein Begriff, der Verwirrung stiftet: In Deutschland heisst dasselbe Dokument Auftragsverarbeitungsvertrag, kurz AVV. Das Schweizer Gesetz spricht vom Auftragsbearbeiter. Internationale Anbieter nennen es Data Processing Agreement oder Data Processing Addendum, kurz DPA. Gemeint ist in allen drei Fällen dasselbe Prinzip. Wenn du auf der Website eines Anbieters ein DPA findest, hast du das richtige Dokument vor dir.
Warum das bei KI-Tools trotzdem schiefgeht
Auftragsbearbeitung ist keine neue Disziplin. Für die Lohnbuchhaltung, das Hosting und das CRM haben viele Firmen die Verträge irgendwann sauber aufgesetzt. Bei KI-Tools reisst die Routine ab, und zwar aus drei Gründen.
Erstens kommen KI-Tools selten über den Einkauf ins Haus. Sie kommen über Mitarbeitende, die ein Problem lösen wollen, und tauchen in keinem Vertragsordner auf. Wir haben das im Beitrag über Schatten-KI im Unternehmen beschrieben: Was niemand beschafft hat, hat auch niemand vertraglich geregelt.
Zweitens entscheidet bei KI-Diensten die Kontostufe über die Vertragslage. Dieselbe Software existiert als privates Gratiskonto und als Firmenkonto, und nur eines davon steht in einem Vertragsverhältnis mit deinem Unternehmen. Ein privates Gratiskonto kann keinen Auftragsbearbeitungsvertrag mit deiner Firma haben, weil deine Firma an diesem Konto gar nicht beteiligt ist. Welche Daten in ChatGPT dürfen, hängt darum weniger am Tool als am Konto, über das es läuft.
Drittens fühlt sich der Datenfluss nicht nach Datenbearbeitung an. Ein Meeting-Transkript, ein zusammengefasster Mailverlauf, eine hochgeladene Kundenliste zur Analyse: Das wirkt wie Alltagsarbeit, nicht wie die Übertragung von Personendaten an einen Dritten. Genau das ist es aber, in dem Moment, in dem die Daten beim Anbieter ankommen.
Wo der Vertrag liegt: an der Kontostufe, nicht am Produkt
Bei seriösen Anbietern musst du den Vertrag nicht aushandeln. Er existiert schon, du musst ihn nur finden und prüfen, ob er für deine Kontostufe gilt.
Microsoft ist das anschaulichste Beispiel, weil M365 in vielen KMU ohnehin im Einsatz ist. Das Data Protection Addendum gehört zu den Produktbedingungen der Onlinedienste. Wer Microsoft 365 im Firmenabo nutzt, hat die Auftragsbearbeitung für diese Dienste damit geregelt. Kein separates Papier, keine Unterschriftenrunde. Das erklärt nebenbei, warum die Firmenvariante eines KI-Assistenten datenschutzrechtlich anders dasteht als das private Konto desselben Herstellers: Der Unterschied liegt in der Vertragslage drumherum, die Software ist dieselbe.
Bei anderen Anbietern lohnt sich derselbe Blick: Such auf der Website nach «Data Processing Addendum» oder «DPA» und prüfe zwei Dinge. Für welche Kontostufe gilt das Dokument, und deckt es die Art ab, wie ihr das Tool nutzt? Ein DPA, das nur für Enterprise-Verträge gilt, während dein Team mit Einzelkonten arbeitet, schützt genau niemanden.
Zwei Grenzen gehören zur Ehrlichkeit dazu. Der Auftragsbearbeitungsvertrag beantwortet nicht die Frage der Bekanntgabe ins Ausland; die läuft über ein eigenes Kapitel des nDSG und ist bei US-Anbietern ein eigener Prüfpunkt. Und er ändert nichts daran, was ihr in das Tool hineingebt. Ein sauberer Vertrag über die Bearbeitung von Kundendaten macht aus einer schlechten Datenpraxis keine gute.
Der Anbieter deines Anbieters
Ein Punkt aus Art. 9 verdient bei KI-Tools besondere Aufmerksamkeit: Der Auftragsbearbeiter darf die Bearbeitung nur mit deiner vorgängigen Genehmigung an Dritte weitergeben. Bei KI-Diensten ist diese Weitergabe der Normalfall. Das Transkriptionstool schickt die Tonspur an einen Speech-to-Text-Dienst, der Assistent im CRM ruft das Sprachmodell eines anderen Herstellers auf, gehostet wird das Ganze bei einem dritten Cloud-Anbieter. Dein Vertragspartner ist einer, die Datenkette ist länger.
In der Praxis lösen die DPAs das über eine Subprozessoren-Liste: Der Anbieter führt auf, welche Dritten er einsetzt, und du genehmigst diese Liste mit dem Vertrag. Dazu gehört ein Mechanismus, wie der Anbieter Änderungen ankündigt und wie du widersprechen kannst. Dort lohnt sich der Blick. Findest du im DPA keine solche Liste, oder findest du eine, in der das Sprachmodell fehlt, das der Anbieter erkennbar nutzt, dann weisst du nicht, wo die Daten deiner Kunden tatsächlich landen. Das ist kein Grund zur Aufregung, aber ein Grund für eine Rückfrage an den Anbieter, bevor Personendaten fliessen.
Die Kette hat noch eine zweite Konsequenz: Sie dreht sich auch um. Wenn du selbst Auftragsbearbeiter für deine Kunden bist, etwa als Treuhänder, Agentur oder IT-Dienstleister, dann ist das KI-Tool, das du einsetzt, ein Subprozessor deiner Kunden. Deine eigenen Verträge verlangen dann womöglich, dass du diese Nutzung anzeigst oder genehmigen lässt. Der Fragebogen, der das aufdeckt, kommt in dem Fall nicht von der Aufsicht, sondern vom Kunden.
Die Prüfung, die eine Stunde dauert
Drei Schritte reichen für den Anfang, ohne Projekt und ohne externen Auditor.
Schritt 1: Liste die KI-Tools auf, die Personendaten sehen. Nicht alle KI-Tools, nur die mit Personenbezug: Namen, Mailadressen, Kundendossiers, Bewerbungen, Transkripte mit erkennbaren Personen. Wenn du diese Liste nicht aus dem Stand erstellen kannst, ist das dein eigentlicher Befund. Dann fehlt das KI-Inventar, und der Vertrag ist Schritt zwei.
Schritt 2: Prüfe pro Tool die Kontostufe und den Vertrag. Firmenkonto mit gültigem DPA für eure Nutzungsart: in Ordnung. Privat- oder Gratiskonto, über das Personendaten laufen: Lücke. Firmenkonto, aber das DPA gilt nur für eine höhere Vertragsstufe: ebenfalls Lücke, nur besser getarnt.
So sieht das konkret aus, am Beispiel eines Transkriptionstools für Meetings. Wer hat das Konto eröffnet, die Firma oder eine einzelne Person? Auf welcher Stufe läuft es, Free, Pro oder Business? Gibt es ein DPA, und gilt es für diese Stufe? Steht drin, welche Subprozessoren die Tonspur sehen? Vier Fragen, ein Tool, ein paar Minuten. Die Antworten passen in eine Zeile deiner Liste, und nach zehn Tools hast du ein Bild, das in unserer Erfahrung die wenigsten Firmen von ihrer KI-Nutzung haben.
Schritt 3: Schliesse die Lücken und halte den Entscheid fest. Drei Wege stehen offen: das Konto auf die Firmenstufe heben, die Nutzung auf Daten ohne Personenbezug beschränken, oder das Tool für diesen Zweck stoppen. Welcher Weg es wird, ist eine Geschäftsentscheidung. Dass sie getroffen und festgehalten wurde, ist der Punkt, an dem aus Zufall Governance wird.
Für die meisten KI-Anwendungen im KMU-Alltag ist damit die Pflicht erfüllt. Eine Stufe weiter geht es nur, wenn die Bearbeitung selbst ein hohes Risiko für die betroffenen Personen mit sich bringt: Dann verlangt das Gesetz zusätzlich eine Datenschutz-Folgenabschätzung, und der EDÖB nennt risikoreiche KI-Anwendungen ausdrücklich als Fall dafür. Wann dein KMU eine solche Folgenabschätzung braucht, haben wir separat beschrieben; für das Übersetzungstool mit Firmenkonto brauchst du sie nicht, für das KI-gestützte Bewerber-Screening sehr wohl.
Das nDSG sieht in Art. 61 für die vorsätzliche Missachtung der Voraussetzungen von Art. 9 Bussen bis CHF 250'000 vor, gerichtet an die verantwortliche Person. Vorsatz vorausgesetzt, im Alltag ist das selten der Moment, in dem die Lücke auffliegt. Realistischer ist ein anderer: Der Security-Fragebogen deines grössten Kunden fragt nach der Liste deiner Auftragsbearbeiter, und die KI-Tools stehen nicht drauf.
Der Vertrag ist der Anfang, nicht das Ziel
Ein Auftragsbearbeitungsvertrag macht ein KI-Tool nicht sicher. Er macht die Verantwortlichkeiten klar, und das ist der erste Schritt zu allem Weiteren: Datenklassifizierung, Nutzungsregeln, ein Inventar, das aktuell bleibt. Diese Inventar- und Vertragsarbeit ist der Kern von KI-Governance, wie wir sie mit KMU aufsetzen: unspektakulär, in Wochen statt Monaten, und mit dem Effekt, dass die Frage «Dürfen wir das Tool nutzen?» eine dokumentierte Antwort hat statt eines Bauchgefühls.
Wenn du nicht sicher bist, wo deine KI-Tools vertraglich stehen, ist ein Erstgespräch der kürzeste Weg zu einer ehrlichen Einschätzung.
Und bis dahin die Frage, die eine Stunde deiner Zeit verdient: Welches deiner KI-Tools sieht heute Personendaten, ohne dass ein Vertrag dahintersteht?
