KI datenschutzkonform nutzen: Der Praxisleitfaden für Schweizer Unternehmen

"Dürfen wir das überhaupt?" Diese Frage kommt in Erstgesprächen fast so oft wie die Frage nach dem Preis. Meistens kurz nachdem jemand zugegeben hat, dass die halbe Belegschaft ohnehin schon mit privaten Accounts arbeitet.

Der Datenschutz ist in vielen Betrieben der Punkt, an dem das Thema liegen bleibt. Nicht weil es unlösbar wäre, sondern weil niemand weiss, wo die Klärung anfangen soll. Also wird sie vertagt. Und in der Zwischenzeit passiert genau das, was eigentlich verhindert werden sollte.

Darum geht es hier. Nicht um Paragraphen als Selbstzweck, sondern um die Reihenfolge: was in der Schweiz tatsächlich gilt, was Sie zuerst klären, wie Sie Ihre Daten sinnvoll einteilen und welche technische Anbindung danach zu Ihrem Fall passt.

Zur Einordnung: Dieser Artikel ist eine praktische Orientierung, keine Rechtsberatung. Stand: Juli 2026. Für die rechtliche Beurteilung Ihres konkreten Falls fragen Sie eine Juristin oder einen Juristen. Ich kläre die technische Seite, nicht die juristische.

Was "datenschutzkonform" bei KI praktisch bedeutet

Der Begriff wird meistens grösser gemacht, als er ist. In der Praxis zerfällt er in drei Fragen, die sich beantworten lassen, ohne dass jemand ein Gesetzbuch aufschlägt.

Welche Daten gehen rein? Ein Text von Ihrer eigenen Website ist etwas völlig anderes als die Krankheitsgeschichte einer Mitarbeiterin. Diese Unterscheidung ist der wichtigste Schritt im ganzen Thema, und sie wird fast immer übersprungen.

Wo werden diese Daten verarbeitet? Läuft die Anfrage über einen Server in Zürich, in Frankfurt oder in Virginia? Und wird das, was Sie eingeben, für das Training des Modells weiterverwendet?

Wer im Betrieb darf was? Ohne interne Regel entscheidet jede Person selbst. Und Menschen entscheiden unter Zeitdruck immer gleich: Sie nehmen das Tool, das gerade offen ist.

Ehrlich gesagt: Datenschutz ist bei KI selten ein Technikproblem. Es ist ein Entscheidungsproblem. Die Technik dafür steht längst bereit.

Was in der Schweiz rechtlich gilt, in verständlich

Die Schweiz hat kein eigenes KI-Gesetz. Massgebend ist das revidierte Datenschutzgesetz, das seit dem 1. September 2023 in Kraft ist. Es ist direkt auf KI-gestützte Datenbearbeitungen anwendbar, und zwar auf beiden Seiten: bei denen, die ein System entwickeln, und bei denen, die es einsetzen. Sie sind in aller Regel die zweite Gruppe.

Drei Punkte daraus sind für den Alltag relevant.

Privacy by Design. Datenschutz gehört in die Planung, nicht in die Nachbesserung. Für Sie als Anwender heisst das schlicht: Die Frage kommt vor der Werkzeugwahl, nicht nach dem Pilotprojekt. Genau deshalb steht in diesem Artikel die Fragenliste vor der Toolliste.

Transparenz. Betroffene Personen haben das Recht zu erfahren, wie ihre Daten verwendet werden. Zweck, Datenquellen und Funktionsweise müssen darlegbar sein. Der praktische Test dafür ist unangenehm einfach: Könnten Sie einem Kunden in drei Sätzen erklären, was Ihr KI-Ablauf mit seiner Anfrage macht und wo diese unterwegs verarbeitet wird? Wenn nein, fehlt nicht ein Tool, sondern eine Entscheidung.

Datenschutz-Folgenabschätzung. Wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit der Betroffenen mit sich bringt, etwa bei besonders schützenswerten Daten in grösserem Umfang, kann eine DSFA nötig sein. Das ist der Punkt, an dem ich aufhöre und eine juristische Fachperson dazuhole. Nicht, weil es kompliziert wäre, sondern weil es die falsche Stelle zum Improvisieren ist.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hält dabei fest, dass KI-Systeme mit hohem Risiko nicht grundsätzlich verboten sind. Sie müssen durch angemessene Massnahmen kontrolliert werden, über den ganzen Lebenszyklus hinweg: von der Entwicklung bis zur täglichen Nutzung. Das ist eine gute Nachricht, die selten so ankommt.

Der EU AI Act kann Sie ebenfalls betreffen

Die EU hat mit dem AI Act einen eigenen Rechtsrahmen für KI geschaffen. Für Schweizer Betriebe wird er relevant, sobald sie in beiden Märkten tätig sind oder ihr KI-System aus EU-Ländern erreichbar und nutzbar ist. Er teilt Anwendungen in vier Klassen ein.

Was das für ein KMU praktisch bedeutet: Interne Nutzung, also Texte zusammenfassen, Protokolle strukturieren, Abläufe automatisieren, landet fast immer in den unteren beiden Klassen. Ernst wird es an zwei Stellen. Erstens, wenn ein Chatbot nach aussen mit Kundschaft spricht. Zweitens, wenn eine KI an Entscheidungen über Menschen mitwirkt, etwa bei der Vorauswahl von Bewerbungen. Dort lohnt sich eine saubere Abklärung, bevor das System läuft.

Das Blackbox-Problem, und was Sie trotzdem kontrollieren

Viele KI-Modelle sind wegen ihrer Komplexität auch für Fachleute nicht vollständig nachvollziehbar. Das erschwert es Nutzenden und Aufsichtsbehörden, die Einhaltung der Vorgaben zu überprüfen. Das ist eine echte, offene Schwierigkeit, und niemand sollte so tun, als wäre sie gelöst.

Für Ihren Betrieb ist die Konsequenz aber überschaubar. Sie können nicht kontrollieren, wie das Modell intern rechnet. Sie können vollständig kontrollieren, was hineingeht, wo es verarbeitet wird und wer das Ergebnis prüft, bevor es das Haus verlässt. Diese drei Hebel liegen zu 100% bei Ihnen, und sie decken den grössten Teil dessen ab, was in der Praxis schiefgeht.

Die sieben Fragen, die vor dem ersten Tool geklärt sein sollten

Bevor irgendein Tool ausgewählt wird, sollten diese Fragen beantwortbar sein. Nicht perfekt, aber beantwortbar.

1. Welche Aufgabe soll die KI übernehmen? Nicht "wir wollen KI einsetzen", sondern "wir wollen, dass Offertanfragen automatisch zusammengefasst und ins CRM eingetragen werden". Ohne konkrete Aufgabe lässt sich keine einzige der folgenden Fragen sinnvoll beantworten.

2. Welche Daten braucht diese Aufgabe wirklich? Und zwar minimal. Für eine Zusammenfassung einer Kundenanfrage braucht das Modell den Anfragetext. Es braucht nicht die vollständige Kundenhistorie, die Zahlungsmoral und die private Handynummer. Der schnellste Weg zu weniger Risiko ist, weniger mitzuschicken.

3. Wo wird verarbeitet? Schweiz, EU oder Drittstaat. Bei den meisten Anbietern steht das in der Dokumentation, teils lässt sich die Region auch aktiv wählen.

4. Werden meine Eingaben zum Trainieren verwendet? Bei Geschäftskonten und API-Zugängen ist das in der Regel ausgeschlossen, bei kostenlosen Privatkonten oft nicht. Genau hier entsteht der Unterschied zwischen "der Mitarbeiter nutzt ChatGPT privat" und "das Unternehmen nutzt ein KI-Tool".

5. Gibt es einen Auftragsverarbeitungsvertrag? Der AVV regelt, was der Anbieter mit Ihren Daten tun darf. Seriöse Geschäftsanbieter stellen ihn bereit, ohne dass man lange suchen muss.

6. Wie kommen die Daten wieder raus? Wie lange bleiben Chatverläufe und hochgeladene Dateien gespeichert, und wer kann sie löschen? Diese Frage stellt fast niemand vorher und fast jeder irgendwann.

7. Wer prüft das Ergebnis? Ein Sprachmodell kann überzeugend klingen und trotzdem falsch liegen. Die Verantwortung für das, was rausgeht, bleibt bei einem Menschen. Immer.

Wenn Sie diese sieben Antworten auf einer Seite haben, sind Sie weiter als die meisten Betriebe, die bereits seit einem Jahr KI einsetzen.

Nicht alle Daten brauchen den gleichen Schutz

Das ist der Punkt, an dem die meisten Projekte entweder ins Rollen kommen oder stecken bleiben.

Viele Betriebe behandeln jede KI-Nutzung so, als ginge es um Patientendossiers. Das Ergebnis: Es passiert gar nichts, und die Belegschaft nutzt weiter private Accounts. Andere behandeln alles wie einen öffentlichen Blogtext. Das geht eine Weile gut.

Sinnvoller ist ein Raster mit vier Stufen.

Was das konkret bedeutet: Der grösste Teil der täglichen Arbeit liegt auf Stufe 1 und 2. Angebotstexte formulieren, Protokolle zusammenfassen, Übersetzungen prüfen, Ideen sortieren. Für diese Aufgaben braucht niemand einen eigenen Server im Keller.

Stufe 3 ist der Bereich, in dem die meisten KMU tatsächlich arbeiten wollen, und der Bereich, der die Werkzeugwahl bestimmt. Stufe 4 kommt seltener vor, als man denkt, und wenn sie vorkommt, dann meistens nur in einem einzelnen Prozess statt im ganzen Betrieb.

Der praktische Nutzen dieses Rasters: Sie diskutieren nicht mehr über "KI und Datenschutz" im Allgemeinen. Sie diskutieren über eine konkrete Aufgabe, die auf einer konkreten Stufe liegt. Das dauert Minuten statt Sitzungen.

Welche KI-Anbindung Sie wirklich brauchen

Sobald die Stufe klar ist, wird die Werkzeugfrage überraschend einfach. Es gibt im Kern drei Wege, und sie schliessen sich nicht aus. Die meisten Betriebe brauchen am Ende zwei davon.

Weg 1: Ein Chat-Tool für Menschen

Wenn Ihr Team schreiben, zusammenfassen, übersetzen und recherchieren soll, brauchen Sie kein Automatisierungsprojekt. Sie brauchen ein Chat-Tool auf Unternehmensebene statt privater Accounts.

Plattformen wie Langdock oder Logicc bündeln mehrere Modelle (unter anderem von OpenAI, Anthropic und Google) in einer Oberfläche, gehostet in der EU, ohne dass Ihre Eingaben zum Training verwendet werden. Dazu kommen zentrale Verwaltung, gemeinsame Prompt-Bibliotheken und Assistenten für wiederkehrende Aufgaben. Welche der beiden besser passt, habe ich in einem ausführlichen Vergleich von Langdock und Logicc durchgespielt.

Der entscheidende Punkt dabei ist nicht die Funktionsliste. Es ist die Tatsache, dass es überhaupt eine offizielle Lösung gibt. Wo eine bereitsteht, verschwindet die private Nutzung von selbst.

Weg 2: Automatisierung im Hintergrund

Für alles, was ohne Menschen am Bildschirm laufen soll, ist ein Chat-Tool das falsche Werkzeug. Eingehende Mails sortieren, Formulardaten ins CRM schreiben, jede Woche denselben Bericht erzeugen: Dafür braucht es eine Automatisierungsplattform.

n8n ist hier für KMU die interessanteste Option. Man baut Abläufe visuell zusammen, ohne zu programmieren, und verbindet dabei Mail, Kalender, Buchhaltung, CRM und KI-Modelle im selben Ablauf. Der Punkt, der es für dieses Thema relevant macht: Sie bestimmen, welche Felder überhaupt an ein Modell gehen. Ein Ablauf kann den Anfragetext an die KI schicken und Name, Adresse und Kundennummer bewusst zurückbehalten. Das ist Datenminimierung, die man sehen kann.

Weg 3: Eine eigene Anbindung ans Modell

Wenn ein Prozess auf Stufe 3 oder 4 liegt und Sie mehr Kontrolle brauchen, sprechen Sie das Modell direkt über eine Schnittstelle an, statt über die Oberfläche eines Anbieters. Dazu gleich mehr.

n8n in der Cloud oder auf dem eigenen Server

Bei n8n gibt es zwei Betriebsarten, und die Wahl dazwischen ist eine reine Datenfrage.

n8n Cloud wird vom Hersteller betrieben, mit Rechenzentren in der EU. Sie kümmern sich um nichts ausser um Ihre Abläufe. Für Stufe 1 und 2 und für viele Fälle auf Stufe 3 ist das eine saubere Lösung.

Self-Hosting heisst: n8n läuft auf einem Server, den Sie bestimmen. Damit bleiben alle Zwischendaten eines Ablaufs bei Ihnen, und Sie entscheiden über Standort, Zugriff und Aufbewahrung. Sobald ein Prozess regelmässig besonders schützenswerte Daten berührt, ist das der ehrlichere Weg. Für Selbständige und kleine Teams ist es ausserdem oft die günstigere Variante, weil die Software selbst bei Eigenbetrieb nichts kostet.

Wenn Sie diesen Weg gehen wollen, brauchen Sie einen eigenen Server. Ich nutze für eigene Projekte und für Kunden gerne Hostinger: Das Preis-Leistungs-Verhältnis stimmt, der Serverstandort lässt sich wählen, und n8n ist dort als fertige Vorlage verfügbar, statt dass man es sich selbst zusammensuchen muss. Über diesen Link erhalten Sie 20% Rabatt auf Ihren ersten Vertrag. Transparent gesagt: Es ist mein eigener Empfehlungslink.

Ein Hinweis, der in Verkaufsgesprächen gern untergeht: Ein eigener Server macht eine Lösung nicht automatisch datenschutzkonform. Wenn Ihr selbst gehosteter Ablauf am Ende trotzdem alle Kundendaten an ein Modell in einem Drittstaat schickt, haben Sie den Serverstandort verschoben und sonst nichts. Entscheidend ist, wohin die Daten am Ende der Kette gehen.

Mehr Kontrolle über das Modell: Infomaniak und Azure

Bei Weg 3 geht es um die Frage, welches Modell die Anfrage tatsächlich verarbeitet und wo dieses Modell läuft. Zwei Optionen sind für Schweizer Unternehmen besonders naheliegend.

Infomaniak ist ein Schweizer Anbieter mit eigenen Rechenzentren in der Schweiz. Über die Schnittstelle stehen quelloffene Modelle bereit, etwa aus der Llama- und Mistral-Familie, dazu Sprachverarbeitung und Texteinbettungen. Die Anfragen bleiben nach Angaben des Anbieters in der Schweiz und werden nicht für Modelltraining verwendet. Technisch ist die Schnittstelle weitgehend kompatibel zu der von OpenAI, was den Wechsel für bestehende Abläufe unkompliziert macht. Für Prozesse auf Stufe 4 ist das aus meiner Sicht die interessanteste Schweizer Option.

Azure OpenAI ist der andere Weg: Die bekannten OpenAI-Modelle laufen dabei in Microsofts Cloud, mit wählbarer Region, unternehmensüblichen Vertragsbedingungen und ohne Nutzung Ihrer Daten für Training. Für Betriebe, die ohnehin schon vollständig mit Microsoft 365 arbeiten und dort ihre Verträge und Zugriffsverwaltung liegen haben, ist das oft der Weg mit der geringsten Reibung.

Der Unterschied in einem Satz: Bei Infomaniak bekommen Sie offene Modelle mit Schweizer Verarbeitung, bei Azure bekommen Sie die stärksten kommerziellen Modelle in einer Umgebung, die Ihre IT bereits kennt.

Beide Angebote entwickeln sich schnell weiter. Prüfen Sie die aktuellen Angaben der Anbieter, bevor Sie sich festlegen, statt sich auf einen Blogartikel zu verlassen. Auch auf diesen.

Was das in Zahlen bedeutet

Die Datenschutzfrage wird oft als Kostenpunkt diskutiert. Interessanter ist die andere Seite der Rechnung.

Viele KMU-Teams verlieren drei bis fünf Stunden pro Woche an einen einzigen manuellen Prozess. Daten von einem System ins andere übertragen, denselben Bericht jede Woche neu bauen, immer gleich klingende Mails schreiben. In einem Jahr sind das 150 bis 250 Stunden, also fast vier bis sechs Arbeitswochen. Pro Person.

Diese Stunden laufen weiter, solange die Frage "dürfen wir das?" unbeantwortet im Raum steht. Und sie laufen unter schlechteren Bedingungen weiter, wenn das Team in der Zwischenzeit mit privaten Accounts arbeitet, weil es keine offizielle Alternative gibt.

Die teuerste Variante ist nicht die falsche Werkzeugwahl. Es ist die aufgeschobene Entscheidung.

Fünf Fehler, die ich immer wieder sehe

Alles auf die höchste Stufe heben. Wer jede KI-Nutzung behandelt, als ginge es um Lohndaten, blockiert 90% der harmlosen Anwendungen und gewinnt beim restlichen Zehntel nichts dazu.

Schatten-KI ignorieren. Wenn es keine offizielle Lösung gibt, entsteht eine inoffizielle. Das ist keine Boshaftigkeit, sondern Pragmatismus unter Termindruck. Diese Variante ist datenschutzmässig die schlechteste von allen, weil niemand weiss, was wohin fliesst.

Die Frage nach dem Pilotprojekt stellen. Ein Prozess ist gebaut, läuft seit acht Wochen, und erst dann fragt jemand, wo die Daten eigentlich liegen. Der Umbau danach ist immer unangenehmer als die Klärung davor.

Self-Hosting aus Prinzip. Ein eigener Server ist ein Werkzeug, kein Gütesiegel. Wenn Ihre Daten auf Stufe 1 und 2 liegen, lösen Sie damit ein Problem, das Sie nicht haben.

Ergebnisse ungeprüft übernehmen. Ein Modell, das eine Kundenmail formuliert, kann eine Zahl erfinden, die nie jemand gesagt hat. Wer das automatisiert versendet, hat kein Datenschutzproblem, sondern ein grösseres.

Gelten für kleine Betriebe lockerere Regeln?

Kurz: nein. Und das ist der Irrtum, der mir in Gesprächen am häufigsten begegnet.

Die Pflichten des Datenschutzgesetzes hängen nicht an der Mitarbeiterzahl. Wer Personendaten bearbeitet, hat dieselben Grundpflichten, ob zu dritt oder zu dreihundert: Transparenz darüber, was mit den Daten passiert, Bindung an einen Zweck, angemessene Datensicherheit, und die Fähigkeit, auf eine Auskunftsanfrage zu antworten. Ein Einzelunternehmen, das Kundendaten in ein KI-Tool schiebt, ist genauso verantwortlich wie ein Konzern.

Eine echte grössenabhängige Ausnahme gibt es trotzdem, und es lohnt sich, sie zu kennen: das Verzeichnis der Bearbeitungstätigkeiten. Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, sofern ihre Datenbearbeitung nur ein geringes Risiko für die Persönlichkeit der Betroffenen mit sich bringt. Wer besonders schützenswerte Daten in grossem Umfang bearbeitet oder Profiling mit hohem Risiko betreibt, fällt nicht unter diese Ausnahme. Sie ist also an das Risiko gekoppelt, nicht bloss an die Grösse.

Was tatsächlich mit der Grösse variiert, ist nicht die Pflicht, sondern die Organisation.

Bis etwa 10 Personen entscheidet in der Regel eine Person, und eine Seite mit den vier Datenstufen reicht als Regelwerk. n8n Cloud und ein Unternehmenskonto beim Chat-Tool decken den Normalfall ab.

Zwischen 10 und 50 Mitarbeitenden braucht es eine benannte verantwortliche Person, weil sonst niemand entscheidet, und getrennte Zugriffsrechte, weil sonst alle alles sehen. Hier lohnt sich der Blick, ob einzelne Prozesse auf Stufe 3 liegen und eine andere Anbindung brauchen als der Rest.

Ab etwa 50 Mitarbeitenden wird die Werkzeugwahl pro Prozess statt pro Betrieb getroffen: eigene Schnittstellenanbindung mit gewählter Region, dokumentierte Löschfristen, und eine juristische Fachperson, die mit am Tisch sitzt. Nicht als Bremse, sondern damit technische Lösung und rechtliche Beurteilung zusammenpassen.

Der Satz, den ich mir dazu gemerkt habe: Kleine Betriebe haben nicht weniger Pflichten. Sie haben weniger Wege, auf denen etwas schiefgehen kann.