nDSG: Schweizer Recht gilt schon für Ihre KI

Viele Schweizer Führungskräfte sagen: «Wir sind nicht in der EU, DSGVO ist für andere.» Falsch in zwei Punkten.

Eins — sobald Sie Kunden in der Union ansprechen, kann die DSGVO zusätzlich gelten.
Zwei — für den Rest ist das Bundesgesetz über den Datenschutz (revidiertes DSG, nDSG), in Kraft seit 1. September 2023, schon da. Und es ist technologieneutral.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) wiederholt: Dieses Gesetz gilt direkt für Verarbeitungen über KI. Kein Warten auf ein «Schweizer KI-Gesetz». Der Bundesrat hat die Europaratskonvention unterzeichnet; die Vernehmlassung zu Begleittexten ist nicht morgen früh. Bis dahin befiehlt das DSG.

(Am 28. Januar 2026, Tag des Datenschutzes, kam der EDÖB erneut auf generative KI — das Thema ist nicht mehr theoretisch.)

Kein «kleines DSGVO»

Die Texte ähneln sich (Zweck, Verhältnismässigkeit, Sicherheit, Auskunftsrechte). Unterschiede, die für ein 12-Personen-KMU zählen:

	nDSG (Schweiz)	DSGVO (EU)
Behörde	EDÖB	CNIL (Frankreich) und Kollegen
Meldepflicht bei Leck	Hohes Risiko, «so bald wie möglich» (Art. 24) — kein automatischer 72-h-Takt	72 h grundsätzlich (Art. 33), ausser Ausnahme
Sanktionen	Straf-Bussen vor allem gegen Personen (Leitung), bis 250 000 CHF, auf Anzeige, bei vorsätzlicher Verletzung bestimmter Pflichten (Art. 60)	Verwaltungs-Bussen gegen die Organisation (Umsatzdeckel)
Verarbeitungsverzeichnis	Pflicht, mit möglicher Ausnahme bei weniger als 250 Mitarbeitenden und vernachlässigbarem Risiko (Art. 12 + Verordnung)	Ähnliche Logik, 250-Ausnahme — dokumentieren

Office-Manager-Übersetzung: In der Schweiz ist «wir schauen, ob der EDÖB schreibt» kein Plan. Bei manchen Verstössen (Information, Auskunft, Mitarbeit bei Untersuchung) kann die Leitung adressiert werden. Nicht wegen eines Tippfehlers. Wegen vorsätzlicher Weigerung zu informieren oder mitzuwirken.

Und das Verzeichnis: weniger als 250 Personen befreit nicht, wenn Sie sensibel Daten in grosser Menge verarbeiten oder Profiling mit hohem Risiko. Ein KI-Assistent an der ganzen Mailbox ist nicht «vernachlässigbar» per Zauber. Im Zweifel Verzeichnis führen. Passt in eine Tabelle.

Alltags-KI aus Sicht des EDÖB

Bei praktischen Beispielen betont der Beauftragte Art. 6 DSG: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweck.

Die klassische Falle: Sie haben Mails gesammelt, um Kunden zu antworten. Sie in einen US-Chatbot zu kleben, um «das Modell des Anbieters zu verbessern», ist oft Zweckänderung. Begründen — Einwilligung oder gesetzlicher Grund. «Ist praktisch» ist keiner.

Gleiche Idee wie DSGVO / CNIL: Das Verbraucher-Tool ist kein Tresor. Transfers in die USA bleiben Thema (Swiss–US-Rahmen, Klauseln, Unterauftragnehmer). Ein Rechenzentrum «irgendwo in Europa» tilgt keine US-Mutter.

Was wir diese Woche von Ihnen erwarten

Kein Projekt «Compliance 2028».

• Ein Satz schriftlich: keine Kunden- / Mitarbeitendendaten in ChatGPT, Copilot im Consumer-Modus, Gemini, Claude — bis Sie den Auftragnehmer eingerahmt haben.
• Wissen, wo das Tool läuft, das Sie behalten (Schweiz, EU, US), und wer zur Herausgabe gezwungen werden kann.
• Einen Index löschen können, wenn jemand Rechte ausübt.

AroBox ist dafür gebaut: Daten und Index bei Ihnen; Inferenz auf privater Arobass-Infrastruktur in der Schweiz. 15 Tage Test, auf Devis. AVV und Vertrag separat.

Keine Rechtsberatung. Für einen konkreten Fall: Ihr Berater oder der EDÖB.

Test anfragen — wir installieren bei Ihnen, und nDSG ist kein Slide «später» mehr.