DSGVO und KI-Verordnung: Pflichten in Liechtenstein

Veröffentlicht 2026-08-11· 6 Min. LesezeitDSGVO & KI

Ihr Fondsadministrator in Vaduz setzt ein KI-gestütztes Tool zur KYC-Vorprüfung ein, Ihre Compliance-Abteilung nutzt ein Modell zur AML-Mustererkennung, Ihre Bank testet ein Scoring-System für die Kreditvergabe. In allen drei Fällen haben Sie die DSGVO-Seite vermutlich längst im Griff: eine Datenschutz-Folgenabschätzung liegt vor, die Rechtsgrundlage ist dokumentiert, die Datenschutzstelle kennt Ihr Verfahren. Dann taucht die Frage auf, ob dieses System auch unter die KI-Verordnung fällt – und ob Sie dafür bei null anfangen müssen. Die kurze Antwort: nein, aber die beiden Regelwerke stehen in Liechtenstein derzeit auf sehr unterschiedlich festem Boden, und das lohnt sich, genauer zu verstehen, bevor Sie eine Lücke übersehen.

Warum die DSGVO in Liechtenstein bereits vollständig gilt

Liechtenstein ist nicht EU-Mitglied, aber Mitglied des Europäischen Wirtschaftsraums (EWR) und der EFTA. Die DSGVO wurde in das EWR-Abkommen übernommen und gilt damit in Liechtenstein im Kern so, wie sie in einem EU-Mitgliedstaat gilt – kein loses Anlehnungsmodell, sondern ein vollständig integriertes Regime. Innerstaatlich flankiert das liechtensteinische Datenschutzgesetz (DSG) die DSGVO, insbesondere für Verfahrensfragen und die Einrichtung der Aufsichtsbehörde, und die Datenschutzstelle ist als nationale Aufsichtsbehörde seit Jahren aktiv – mit Leitlinien, Verfahren und Praxis, ganz ähnlich wie eine Aufsichtsbehörde in einem EU-Mitgliedstaat. Das unterscheidet Liechtenstein deutlich von der Schweiz, die als Nicht-EWR-Staat ein eigenständiges Datenschutzrecht (revDSG/FADP) außerhalb der DSGVO-Struktur führt. Für ein liechtensteinisches Unternehmen ist die DSGVO also kein Sonderfall und kein Grenzthema, sondern geltendes, gefestigtes Recht.

Die KI-Verordnung: bislang nicht ins EWR-Abkommen übernommen

Bei der KI-Verordnung (Verordnung (EU) 2024/1689) sieht die Lage anders aus. Sie ist EU-Recht, und anders als die DSGVO ist sie – Stand heute – noch nicht in das EWR-Abkommen übernommen worden. Das bedeutet nicht, dass sie in Liechtenstein niemals gelten wird; die EWR-Übernahme von EU-Rechtsakten ist ein laufender, oft mehrjähriger Prozess, und wir können hier weder einen Zeitpunkt noch einen sicheren Ausgang dieses Verfahrens vorhersagen. Was wir mit Zuversicht sagen können: Bis zu einer solchen Übernahme entfaltet die KI-Verordnung in Liechtenstein keine unmittelbare innerstaatliche Geltung wie die DSGVO. Das heißt aber nicht, dass liechtensteinische Unternehmen von ihr unberührt bleiben. Die KI-Verordnung hat einen eigenen, extraterritorialen Anwendungsbereich (Art. 2 KI-VO), der Anbieter und Betreiber außerhalb der EU erfassen kann, sobald ihre KI-Systeme Wirkung auf dem EU-Markt entfalten – etwa weil die Ergebnisse für Personen in der EU verwendet werden. Wie dieser Mechanismus im Detail funktioniert, behandeln wir ausführlich in unserem begleitenden Beitrag zur KI-Verordnung für KMU in Liechtenstein; hier reicht die Feststellung, dass er der einzige Kanal ist, über den die KI-Verordnung liechtensteinische Unternehmen heute erreicht – nicht die EWR-Mitgliedschaft.

Wo beide Regime in der Praxis gleichzeitig greifen

Trotz dieses unterschiedlichen rechtlichen Status treffen DSGVO und KI-Verordnung in der Praxis oft auf dasselbe System. Sobald eine KI-Anwendung personenbezogene Daten verarbeitet und zugleich EU-Bezug hat – etwa weil sie Kunden mit Wohnsitz in der EU betrifft oder Ergebnisse für Personen in der EU verwendet werden –, prüft die DSGVO über die Datenverarbeitung mit, und die KI-Verordnung kann über ihren extraterritorialen Anwendungsbereich zusätzlich greifen. Genau das betrifft typische Anwendungsfälle im liechtensteinischen Finanzplatz: KI-gestütztes Kredit-Scoring, Betrugserkennung, KYC- und AML-Werkzeuge bei Fondsverwaltern, Fintechs und Banken sowie automatisierte Vorauswahl im Personalbereich. Diese Systeme sind fast immer personenbezogen und fallen häufig unter die Hochrisiko-Kategorien nach Anhang III der KI-Verordnung, sofern diese im Einzelfall überhaupt anwendbar ist.

Die gute Nachricht für Unternehmen mit einem funktionierenden DSGVO-Programm: Sie starten nicht bei null. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO deckt bereits einen erheblichen Teil derselben Risikoanalyse ab, die die KI-Verordnung für Hochrisiko-KI-Systeme verlangt – Zweck der Verarbeitung, betroffene Personengruppen, Risiken für deren Rechte, Abhilfemaßnahmen. Das Risikomanagementsystem nach Art. 9 KI-VO geht darüber hinaus (technische Robustheit, menschliche Aufsicht, Systemleistung über den gesamten Lebenszyklus), baut aber auf denselben Grundfragen auf. Wer die DSFA für ein KI-System bereits sorgfältig gemacht hat, hat die Vorarbeit für die KI-Verordnung-Seite zu einem guten Teil schon geleistet – muss sie aber gezielt ergänzen, nicht ersetzen.

Was Sie konkret prüfen sollten

Welche Ihrer KI-gestützten Systeme verarbeiten personenbezogene Daten – Kundendaten, Bewerberdaten, biometrische Merkmale, Bonitätsdaten?
Betreffen die Ergebnisse dieser Systeme Personen mit Wohnsitz in der EU, oder werden die Systeme dort angeboten? Dann prüft der extraterritoriale Anwendungsbereich der KI-Verordnung potenziell mit.
Liegt für diese Systeme bereits eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor – und deckt sie den tatsächlichen Einsatz des KI-Systems ab, nicht nur die allgemeine Datenverarbeitung?
Wurde geprüft, ob das System in eine Hochrisiko-Kategorie nach Anhang III der KI-Verordnung fällt, unabhängig vom Ergebnis der DSFA?
Ist geklärt, ob Ihr Unternehmen für dieses System als Anbieter oder als Betreiber im Sinne der KI-Verordnung gilt, falls diese überhaupt anwendbar ist – die Pflichten unterscheiden sich erheblich?

Zwei Bußgeldsysteme, die nicht deckungsgleich sind

Auch bei den Sanktionen lohnt sich Präzision. Verstöße gegen die DSGVO können nach Art. 83 DSGVO mit Bußgeldern bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden – dieser Rahmen gilt in Liechtenstein über das EWR-Abkommen bereits heute. Der Bußgeldrahmen der KI-Verordnung nach Art. 99 KI-VO reicht bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene KI-Praktiken und bis zu 15 Millionen Euro oder 3 % für die meisten übrigen Verstöße, mit reduzierten, verhältnismäßigen Obergrenzen für KMU und Start-ups nach Art. 99 Abs. 6 KI-VO. Dieser zweite Rahmen setzt aber voraus, dass die KI-Verordnung im konkreten Fall überhaupt anwendbar ist – über den extraterritorialen Anwendungsbereich oder eine künftige EWR-Übernahme. Beide Bußgeldsysteme laufen unabhängig voneinander; das eine ersetzt das andere nicht, und ein DSGVO-konformes Verfahren schützt nicht automatisch vor einem KI-Verordnung-Verstoß, falls diese greift.

Dieser Beitrag bietet allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall, insbesondere nicht zur Frage, ob und wann die KI-Verordnung für ein konkretes System in Liechtenstein bereits Anwendung findet. Komplya unterscheidet in seinen Inhalten grundsätzlich zwischen rechtlich geprüftem Material und Entwurfsmaterial, das als solches gekennzeichnet ist – Einschätzungen zum aktuellen Stand der EWR-Übernahme sollten Sie vor einer konkreten Entscheidung zusätzlich direkt bei der Datenschutzstelle oder rechtlichem Rat verifizieren.

Nächster Schritt

Statt sich zuerst durch beide Regelwerke im Detail zu arbeiten, lohnt sich ein pragmatischer erster Schritt: eine klare Zuordnung, welche Ihrer Systeme personenbezogene Daten verarbeiten, welche davon EU-Bezug haben und wo Ihre bestehende DSFA bereits Vorarbeit für die KI-Verordnung leistet. Unser kurzer Fragebogen führt Sie in wenigen Minuten durch genau diese Zuordnung für Ihre konkreten Systeme, statt dass Sie diese Einschätzung von Grund auf selbst treffen müssen.