KI & Digitalisierung

KI und Datenschutz in der Schweiz: Was KMU beachten müssen

Roger GloorGründer & Geschäftsführer

Veröffentlicht: 5. Februar 2026
Aktualisiert: 6. Oktober 2026
Lesezeit: 12 Min.

In 30 Sekunden

nDSG beachten: Bei vorsätzlichen Verstössen gegen bestimmte Pflichten drohen den Verantwortlichen persönlich Bussen bis CHF 250’000.
Grundregel: Keine Personendaten (AHV, Löhne, Kundenlisten) in kostenlose KI-Tools eingeben.
So geht’s richtig: Schweizer Anbieter für sensible Daten, Auftragsbearbeitungsvertrag abschliessen, KI-Nutzungsrichtlinie erstellen.

KI-Tools wie ChatGPT, Microsoft Copilot oder KI-gestützte Buchhaltungssoftware sind aus dem KMU-Alltag kaum noch wegzudenken. Sie sparen Zeit, reduzieren Fehler und eröffnen neue Möglichkeiten. Doch mit der Nutzung stellt sich eine zentrale Frage: Was passiert eigentlich mit den Daten, die ich in diese Tools eingebe? In unserem Überblick zu KI-Tools für KMU sehen Sie, worauf Sie beim Datenschutz achten sollten. Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (nDSG) – und das hat direkte Auswirkungen auf den KI-Einsatz in Ihrem Unternehmen.

Das revidierte Datenschutzgesetz (nDSG): Was sich geändert hat

Das neue Datenschutzgesetz hat den Schweizer Datenschutz grundlegend modernisiert und näher an die europäische DSGVO herangeführt. Für KMU, die KI-Tools einsetzen, sind vor allem diese Punkte relevant:

Die wichtigsten Änderungen im Überblick

Nur noch natürliche Personen: Das nDSG schützt ausschliesslich Daten von natürlichen Personen – juristische Personen sind nicht mehr erfasst.
Erweiterte Informationspflicht: Sie müssen betroffene Personen informieren, wenn deren Daten bearbeitet werden – auch durch KI-Tools.
Privacy by Design & Default: Datenschutz muss von Anfang an in Systeme und Prozesse eingebaut werden (Art. 7 nDSG).
Datenschutz-Folgenabschätzung (DSFA): Bei hohem Risiko für die Persönlichkeit ist eine DSFA zwingend – KI-Einsatz kann ein solches Risiko darstellen.
Persönliche Strafbarkeit: Bei vorsätzlicher Verletzung bestimmter Pflichten (z. B. Informations-, Auskunfts- oder Sorgfaltspflichten) drohen den verantwortlichen natürlichen Personen Bussen bis CHF 250’000. Ist die verantwortliche Person nur mit unverhältnismässigem Aufwand zu ermitteln, kann stattdessen das Unternehmen mit bis zu CHF 50’000 gebüsst werden (Art. 64 DSG).

«Personendaten müssen rechtmässig bearbeitet werden. Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.» – Art. 6 Abs. 1 und 2 DSG

Welche Daten verarbeiten KI-Tools wirklich?

Nicht jedes KI-Tool ist gleich problematisch. Der entscheidende Unterschied liegt in der Art der Daten, die verarbeitet werden, und wo diese Verarbeitung stattfindet. Wenn Sie konkrete Lösungen zur Digitalisierung Ihrer Prozesse suchen, lesen Sie auch unseren Artikel über 5 KMU-Prozesse, die Sie sofort automatisieren sollten.

Personendaten vs. Sachdaten

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen: Name, AHV-Nummer, E-Mail-Adresse, Gehaltsdaten, Gesundheitsinformationen. Sachdaten hingegen beziehen sich auf Dinge, Prozesse oder Unternehmen ohne Personenbezug: aggregierte Umsatzzahlen, allgemeine Branchenanalysen, technische Dokumentationen. Auch ohne Personenbezug können solche Daten allerdings Geschäftsgeheimnisse enthalten.

Datenschutzrechtlich meist unproblematisch: Sachdaten in KI-Tools

Allgemeine Fragen zu Buchhaltungsregeln stellen
Marketing-Texte für Produkte erstellen lassen
Anonymisierte Kennzahlen analysieren
Code oder technische Dokumentation prüfen
Vorlagen ohne persönliche Daten generieren

Kritisch: Personendaten in KI-Tools

Mitarbeiterdaten (Namen, Löhne, AHV-Nummern) eingeben
Kundenlisten mit E-Mail-Adressen analysieren lassen
Patientenakten oder Mandantendossiers hochladen
Bewerbungsunterlagen durch KI bewerten lassen
Gesundheitsdaten oder Betreibungsinformationen verarbeiten

Typische KI-Tools und ihre Datenverarbeitung

Wo landen Ihre Daten? (Anbieterangaben, Stand Oktober 2026)

ChatGPT (OpenAI): Verarbeitung grundsätzlich in den USA; für Enterprise- und API-Kunden ist eine Datenspeicherung in Europa wählbar. In der kostenlosen Version und bei Plus können Eingaben für das Modelltraining verwendet werden (Opt-out möglich). Bei den Business- (ehemals Team) und Enterprise-Versionen werden Kundendaten gemäss OpenAI standardmässig nicht für das Training verwendet.
Microsoft Copilot (365): Microsoft-Cloud; für Geschäftskunden mit Schweizer Tenant je nach Einstellung Speicherung in der Schweiz oder im EU-Raum. Daten werden laut Microsoft nicht für Training genutzt.
Google Gemini: Verarbeitung häufig in den USA. Workspace-Versionen bieten strengere Datenschutzvereinbarungen und je nach Edition wählbare Datenregionen (USA oder Europa).
Schweizer Buchhaltungs-KI (Abacus, Bexio): Hosting nach Anbieterangaben in der Schweiz, unterliegen dem nDSG direkt. Für Finanzdaten oft die naheliegende Wahl – prüfen Sie dennoch Verträge, Unterauftragnehmer (z. B. für KI-Funktionen) und Zugriffe.

Das US Cloud Act Problem

Eines der grössten Datenschutzrisiken liegt nicht im KI-Tool selbst, sondern im Standort des Anbieters. US-Cloudanbieter können unter dem US Cloud Act (2018) unter bestimmten Umständen verpflichtet werden, Daten an US-Behörden herauszugeben – auch wenn diese ausserhalb der USA gespeichert sind.

Das bedeutet: Selbst wenn Microsoft, Google oder Amazon Ihre Daten in einem Rechenzentrum in Zürich speichern, könnten US-Behörden theoretisch Zugriff verlangen. Für KMU mit sensiblen Daten (z. B. Gesundheitsdaten als besonders schützenswerte Personendaten, aber auch Lohn- und Finanzdaten oder Anwaltsdossiers) ist das ein erhebliches Risiko.

Praxis-Tipp

Für sensible Daten (Lohndaten, Mandantenakten, Patientendaten) setzen Sie auf Schweizer Anbieter, die keiner ausländischen Jurisdiktion unterstehen. Für allgemeine Aufgaben ohne Personenbezug können internationale Cloud-Tools in der Regel eingesetzt werden. Sobald Personendaten bearbeitet werden, braucht es einen Auftragsbearbeitungsvertrag (Art. 9 DSG) und – bei Bekanntgabe ins Ausland – einen angemessenen Datenschutz (z. B. Zertifizierung des US-Anbieters unter dem Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln).

Werden Ihre Daten zum Training verwendet?

Eine der häufigsten Fragen: «Liest die KI meine Daten mit, um daraus zu lernen?» Die Antwort ist differenziert:

Datennutzung nach Anbieter

ChatGPT Free/Plus: Eingaben können standardmässig für Modelltraining verwendet werden. Opt-out unter Einstellungen möglich.
ChatGPT Business (ehemals Team)/Enterprise: Daten werden laut OpenAI nicht für Training genutzt. Vertraglich zugesichert.
Microsoft Copilot (Geschäft): Kein Training mit Kundendaten laut Vertragsbedingungen.
Claude (Anthropic): Bei API-, Team- und Enterprise-Nutzung kein Training mit Kundendaten. Bei Privatkonten (Free, Pro, Max) ist ein Opt-out möglich.
Schweizer Anbieter: Unterliegen dem nDSG. Prüfen Sie die AGB und den Auftragsbearbeitungsvertrag auf explizite Aussagen zur Datennutzung.

Wichtig

Ein «Opt-out» in den Einstellungen reicht aus datenschutzrechtlicher Sicht nicht immer. Wenn Sie Personendaten verarbeiten, brauchen Sie eine vertragliche Grundlage (Auftragsbearbeitungsvertrag/DPA), die klar regelt, dass keine Daten für Trainingszwecke genutzt werden. Kostenlose Versionen bieten in der Regel keine solche Vereinbarung.

Automatisierte Einzelentscheidungen (Art. 21 nDSG)

Art. 21 DSG verpflichtet Unternehmen, betroffene Personen zu informieren, wenn eine Entscheidung ausschliesslich auf einer automatisierten Bearbeitung beruht und für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung). Anders als die EU-DSGVO enthält das Schweizer DSG kein generelles Verbot solcher Entscheidungen.

Wenn Sie KI einsetzen, um Bewerbungen vorzuselektieren, Kreditanträge zu prüfen oder Versicherungsleistungen zu entscheiden, und die Entscheidung ausschliesslich automatisiert fällt, muss die betroffene Person:

Über die automatisierte Entscheidung informiert werden
Die Möglichkeit haben, ihren Standpunkt darzulegen
Verlangen können, dass die Entscheidung von einer natürlichen Person überprüft wird

Empfehlung

Nutzen Sie KI als Entscheidungshilfe, nicht als alleinige Entscheidungsinstanz. Ein KI-Tool kann eine Bewerbung analysieren und Empfehlungen aussprechen – die finale Entscheidung sollte immer ein Mensch treffen.

Branchenspezifische Besonderheiten

Je nach Branche gelten beim KI-Einsatz zusätzliche Anforderungen:

Treuhänder und Buchhalter

Mandantendaten dürfen nicht in öffentliche KI-Tools eingegeben werden
Lohndaten, AHV-Nummern und Steuerinformationen sind zwar keine besonders schützenswerten Personendaten im Sinne von Art. 5 lit. c DSG, aber hochvertraulich – sie unterstehen der beruflichen Schweigepflicht (Art. 62 DSG) und der vertraglichen Verschwiegenheit gegenüber Mandanten
Berufliche Schweigepflicht (Art. 62 DSG), vertragliche Sorgfalts- und Verschwiegenheitspflichten (Art. 398 OR) sowie – für Mitglieder – die Standesregeln von TREUHAND|SUISSE bzw. EXPERTsuisse
Empfehlung: Schweizer Buchhaltungssoftware mit integrierter KI verwenden

Ärzte und Gesundheitsberufe

Patientendaten sind besonders schützenswerte Personendaten
Zusätzlich gilt das Arztgeheimnis (Art. 321 StGB) – strafrechtlich relevant
KI nur mit anonymisierten Daten oder auf zertifizierten Schweizer Plattformen

Anwälte und Notare

Das Berufsgeheimnis (Art. 321 StGB; für Anwältinnen und Anwälte zudem Art. 13 BGFA) verbietet die unbefugte Weitergabe von Mandatsinformationen – auch an KI-Anbieter. Zulässig ist allenfalls der Beizug sorgfältig ausgewählter, vertraglich zur Geheimhaltung verpflichteter Dienstleister.
Cloud-basierte KI für mandatsbezogene Informationen ist hochproblematisch
Empfehlung: Nur lokal betriebene KI-Modelle oder spezialisierte Legal-Tech mit Schweizer Hosting

Checkliste: 10 Punkte vor dem KI-Einsatz

Ihre KI-Datenschutz-Checkliste

Dateninventar erstellen: Welche Daten sollen in das KI-Tool fliessen? Sind Personendaten darunter?
Rechtfertigung prüfen: Werden die Bearbeitungsgrundsätze eingehalten (Art. 6 DSG)? Droht eine Persönlichkeitsverletzung, braucht es eine Einwilligung, ein überwiegendes Interesse oder eine gesetzliche Grundlage (Art. 31 DSG). Bei Daten von Personen in der EU kann zusätzlich die DSGVO gelten.
Serverstandort klären: Schweiz, EU oder USA?
Auftragsbearbeitungsvertrag abschliessen: Vertrag nach Art. 9 DSG mit dem Anbieter vorhanden?
Trainingsdaten-Nutzung prüfen: Opt-out aktivieren, vertragliche Grundlage sicherstellen.
DSFA durchführen: Datenschutz-Folgenabschätzung, wenn die Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringen kann (z. B. umfangreiche Bearbeitung besonders schützenswerter Daten, Art. 22 DSG).
Informationspflicht erfüllen: Mitarbeitende und Kunden über KI-Einsatz informieren.
Zugriffsrechte definieren: Wer darf das KI-Tool nutzen? Welche Daten dürfen eingegeben werden?
Löschkonzept erstellen: Wie und wann werden Daten beim KI-Anbieter gelöscht?
Mitarbeitende schulen: Wissen alle, welche Daten in KI-Tools eingegeben werden dürfen?

Praxis-Tipp

Erstellen Sie eine einfache KI-Nutzungsrichtlinie für Ihr Unternehmen: eine Seite, die klar regelt, welche KI-Tools erlaubt sind, welche Daten eingegeben werden dürfen und wer Ansprechperson ist. Das schützt vor Datenschutzverstössen und gibt Mitarbeitenden Sicherheit.

So setzt MRG Treuhand KI datenschutzkonform ein

Wir bei MRG Treuhand nutzen KI-Tools aktiv – und nehmen den Datenschutz dabei sehr ernst:

Unsere KI-Datenschutz-Grundsätze

Strikte Datentrennung: Mandantendaten gelangen nie in öffentliche KI-Tools.
KI als Assistent: Jede KI-Empfehlung wird von Fachpersonen geprüft.
Transparenz: Unsere Kunden wissen, wo und wie wir KI einsetzen.
Kontinuierliche Überprüfung: Regelmässige Evaluation unserer KI-Tools.
Schulung: Unser gesamtes Team ist im sicheren Umgang mit KI geschult.

Wir unterstützen auch unsere Kunden: von der Tool-Auswahl über Nutzungsrichtlinien bis zur Datenschutz-Folgenabschätzung. Denn Digitalisierung und Datenschutz sind kein Widerspruch – sie gehören zusammen.

Möchten Sie KI in Ihrem Unternehmen einsetzen und sicherstellen, dass Sie datenschutzkonform unterwegs sind? Erfahren Sie mehr über unsere Digitalisierungslösungen oder unseren Datenschutz-Ansatz.

Häufig gestellte Fragen

Darf ich Kundendaten in ChatGPT eingeben?

Nicht ohne Weiteres. Ein gesetzliches Pauschalverbot gibt es nicht, aber in der kostenlosen Version werden Eingaben möglicherweise für Modelltraining verwendet, und es fehlt ein Auftragsbearbeitungsvertrag – wir raten deshalb davon ab. Nutzen Sie für sensible Daten Schweizer Anbieter oder mindestens eine Business-/Enterprise-Version, bei der das Training vertraglich ausgeschlossen ist, und schliessen Sie einen Auftragsbearbeitungsvertrag ab. Ein Geschäftskonto allein ist noch keine Freigabe: Prüfen Sie auch Zweck, Information der Betroffenen und Bekanntgabe ins Ausland.

Was bedeutet der US Cloud Act für Schweizer KMU?

US-Cloudanbieter können unter dem US Cloud Act unter bestimmten Umständen verpflichtet werden, Daten an US-Behörden herauszugeben – auch wenn die Server in der Schweiz stehen. Für besonders schützenswerte Daten empfehlen wir daher Schweizer Anbieter.

Brauche ich ein KI-Reglement für mein Unternehmen?

Ja, wir empfehlen ein internes KI-Nutzungsreglement. Es definiert, welche Daten in welche Tools eingegeben werden dürfen, und schützt Ihr Unternehmen vor Datenschutzverletzungen und Haftungsrisiken.

Weiterführende Ratgeber

Brauchen Sie Unterstützung?

Als Digitalisierungspartner begleiten wir Ostschweizer KMU beim sicheren Einsatz von KI-Tools – von der Tool-Auswahl über Datenschutzberatung bis zur Mitarbeiterschulung. Jetzt Kontakt aufnehmen.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Treuhand-, Steuer- oder Rechtsberatung. Gesetzliche Werte wie Sozialversicherungs- und MWST-Sätze ändern sich regelmässig; massgebend sind die aktuellen Publikationen von Bund und Kantonen. Für Ihre konkrete Situation beraten wir Sie gerne persönlich.

Autor

Roger Gloor

Gründer & Geschäftsführer

IT-Experte mit Erfahrung in Handwerk, Gastronomie und Finanzen. Betreut KMU in der Ostschweiz bei Buchhaltung, Steuern und Digitalisierung. Mitglied bei SwissAccounting.