DSGVO, DSG und KI-Verordnung: Pflichten im Überblick

Ihr Unternehmen hat sein DSG-Programm vermutlich schon im Griff: ein aktuelles Verarbeitungsverzeichnis, dokumentierte Sicherheitsmassnahmen, vielleicht eine Datenschutz-Folgenabschätzung, die seit der Revision des Bundesgesetzes über den Datenschutz vom 1. September 2023 im Ordner liegt. Dann fragt ein Kunde aus der EU, ob Sie „DSGVO-konform" sind. Oder Ihr Team beginnt, ein KI-Tool einzusetzen, dessen Ergebnisse von Nutzerinnen und Nutzern in Frankreich oder Deutschland verwendet werden. Und plötzlich stellt sich die Frage anders: Gelten neben dem DSG auch die DSGVO und die EU-KI-Verordnung? Die kurze Antwort: Das hängt davon ab, was Sie mit den Daten von Personen in der EU tun – nicht davon, wo Ihr Unternehmen registriert ist.

Ihr DSG-Fundament seit dem 1. September 2023

Für Ihre Verarbeitungen mit Bezug zur Schweiz – Mitarbeitende, Schweizer Kundinnen und Kunden, lokale Interessentinnen – gilt das revidierte Bundesgesetz über den Datenschutz (DSG), beaufsichtigt durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Das Gesetz übernimmt in groben Zügen Prinzipien, die der DSGVO ähneln: Datenminimierung, Datenschutz-Folgenabschätzung bei Verarbeitungen mit hohem Risiko, Meldepflicht bei Datenschutzverletzungen, Auskunfts- und Berichtigungsrechte für betroffene Personen. Das DSG ist jedoch keine Eins-zu-eins-Umsetzung der DSGVO, und einer der konkretesten Unterschiede liegt genau in seinem Sanktionsregime – dazu weiter unten mehr.

Warum die DSGVO trotzdem gilt

Die Schweiz ist weder EU- noch EWR-Mitglied, weshalb die DSGVO nicht direkt auf eine rein inländische Verarbeitung anwendbar ist, die ein Schweizer Unternehmen für Personen in der Schweiz durchführt. Artikel 3 Absatz 2 DSGVO sieht jedoch einen extraterritorialen Anwendungsbereich vor: Sobald ein ausserhalb der EU niedergelassenes Unternehmen Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, gilt die DSGVO für genau diese Verarbeitung – unabhängig davon, ob das Unternehmen in Zürich, Genf oder Lugano sitzt. Ein Westschweizer Fintech mit Kundschaft in Frankreich, ein SaaS-Anbieter mit aktiven Nutzerinnen in Deutschland oder ein Medtech-Unternehmen, das Daten aus klinischen Studien in der EU verarbeitet, stehen für diese konkrete Tätigkeit alle unter der DSGVO – zusätzlich zum DSG für ihre Schweizer Verarbeitungen. Es ist in der Regel nicht das eine oder das andere, sondern häufig beides gleichzeitig, jeweils beschränkt auf den eigenen Geltungsbereich.

Diese doppelte Schicht besteht neben der seit langem anerkannten Angemessenheit des schweizerischen Datenschutzniveaus durch die EU für Datenübermittlungen aus der EU – eine Anerkennung, die älter ist als die DSGVO selbst und periodisch überprüft wird. Ein genaues Datum für die nächste Überprüfung nennen wir hier bewusst nicht; das sollten Sie im Zweifel an der Quelle prüfen, statt sich auf eine unsichere Angabe zu verlassen. Diese Angemessenheit erleichtert den Datenfluss von der EU in die Schweiz, befreit Ihr Unternehmen aber nicht von der DSGVO, sobald seine Tätigkeit unter Artikel 3 Absatz 2 fällt.

Warum die EU-KI-Verordnung eine dritte Ebene hinzufügt

Entwickelt oder nutzt Ihr Unternehmen ein KI-System, kommt möglicherweise eine dritte Schicht hinzu: die Verordnung (EU) 2024/1689, die EU-KI-Verordnung. Auch sie enthält in Artikel 2 einen eigenen extraterritorialen Anwendungstest, der sich von jenem der DSGVO unterscheidet: Die Verordnung gilt, wenn ein Schweizer Anbieter ein KI-System auf dem EU-Markt in Verkehr bringt oder in der EU in Betrieb nimmt, oder wenn die von diesem System erzeugten Ergebnisse von Personen in der EU verwendet werden – selbst wenn weder der Anbieter noch das System selbst in der EU niedergelassen sind. Unser Beitrag zur EU-KI-Verordnung für Schweizer KMU geht auf die Risikostufen und die daraus folgenden Pflichten im Detail ein; hier reicht die Feststellung, dass dieser Test unabhängig neben jenem der DSGVO und jenem des DSG steht, mit einem eigenen Geltungsbereich.

Der Unterschied bei den Sanktionen, der am meisten zählt

DSGVO und EU-KI-Verordnung sanktionieren in erster Linie das Unternehmen selbst, mit Bussgeldern, die sich am weltweiten Jahresumsatz bemessen. Das DSG folgt einer anderen Logik, und dieser Unterschied verändert, wer im Unternehmen das eigentliche Risiko trägt.

Für Ihre Praxis heisst das: Wer im Unternehmen für die Datenschutz- und KI-Compliance verantwortlich zeichnet, trägt nach DSG ein persönliches Haftungsrisiko, das mit einer reinen Unternehmenshaftung nicht vergleichbar ist. Bei DSGVO- und KI-Verordnung-Verstössen steht dagegen primär das Unternehmen selbst finanziell im Feuer. Beide Risiken bestehen parallel, sobald Ihre Tätigkeit unter mehrere dieser Regelwerke fällt.

Was der EDÖB abdeckt – und was nicht

Der EDÖB ist die zuständige Behörde für das DSG, und nur für das DSG. Für die DSGVO- oder EU-KI-Verordnung-relevanten Tätigkeiten Ihres Unternehmens mit EU-Bezug hat er kein Mandat: Zuständig ist dort grundsätzlich eine Datenschutzbehörde oder eine Marktüberwachungsbehörde in der EU, je nachdem, wo sich die betroffenen Personen befinden oder wo das KI-System in Verkehr gebracht wird. Unser Beitrag dazu, wer die EU-KI-Verordnung in der Schweiz überwacht, geht auf diese Aufteilung im Detail ein. Wichtig ist hier vor allem: Verlassen Sie sich weder auf Ihre DSG-Konformität noch auf einen allfälligen Austausch mit dem EDÖB, um DSGVO- oder KI-Verordnung-Pflichten abzudecken.

Was Sie Tätigkeit für Tätigkeit prüfen sollten

• Bietet Ihr Unternehmen Personen in der EU Waren oder Dienstleistungen an, oder beobachten Sie deren Verhalten online (Cookies, Profiling, Reichweitenmessung)? Falls ja, gilt für diese Verarbeitung wahrscheinlich Artikel 3 Absatz 2 DSGVO.
• Wird ein KI-System, das Sie entwickeln oder einsetzen, auf dem EU-Markt in Verkehr gebracht, in der EU in Betrieb genommen, oder werden dessen Ergebnisse von Personen in der EU genutzt? Falls ja, gilt zusätzlich zum DSG die EU-KI-Verordnung.
• Unterscheidet Ihr Verarbeitungsverzeichnis klar zwischen rein schweizerischen Verarbeitungen und solchen mit EU-Bezug, mit einer dokumentierten DSGVO-Rechtsgrundlage für Letztere?
• Haben Sie eine Vertretung in der EU benannt, wo Artikel 27 DSGVO dies vorschreibt?
• Decken Ihre Verträge mit Auftragsverarbeitern oder KI-Anbietern, ob in der EU niedergelassen oder nicht, DSG- und DSGVO-Anforderungen getrennt ab – statt eines einzigen Klauselwerks, das angeblich beides abdeckt?

Allgemeine Information, keine Rechtsberatung

Die vorstehenden Informationen dienen der allgemeinen Orientierung und stellen keine Rechtsberatung zu Ihrer konkreten Situation dar. Wie DSG, DSGVO und EU-KI-Verordnung im Einzelfall zusammenspielen, hängt von der genauen Art Ihrer Tätigkeiten mit EU-Bezug, Ihrer Branche und Ihren Lieferanten ab; manche Punkte, etwa das genaue Datum der nächsten Überprüfung der Schweiz-EU-Angemessenheit, sollten Sie im Einzelfall verifizieren, statt sie als gegeben vorauszusetzen. Wenn Komplya solche Inhalte veröffentlicht, unterscheiden wir klar zwischen juristisch geprüften Inhalten und Arbeitsdokumenten, damit Sie wissen, worauf Sie sich stützen können.

Der schnellste Weg herauszufinden, welche dieser drei Regelwerke tatsächlich auf Ihre Tätigkeit zutreffen, ist eine tätigkeitsbezogene Durchsicht Ihrer Datenverarbeitungen und KI-Systeme mit EU-Bezug. Beantworten Sie einen kurzen Fragebogen zu Ihrer Tätigkeit und erhalten Sie eine verständliche Einschätzung Ihrer DSG-, DSGVO- und KI-Verordnung-Pflichten.