Die gute Nachricht zuerst: Wer in der Schweiz KI einsetzen will, muss kein neues Gesetz lernen. Das Datenschutzgesetz gilt schon heute, und es ist schlanker als sein EU-Pendant. Die weniger gute: Sobald Ihre Kunden in Deutschland sitzen, reden zwei weitere Regelwerke mit. Dieser Ratgeber sortiert, was für Schweizer KMU wirklich zählt.
Kurz beantwortet
- Gilt das DSG für KI? Ja. Das Schweizer Datenschutzgesetz ist technologieneutral und gilt direkt für jede KI, die Personendaten bearbeitet.
- Dürfen KI-Daten in der EU liegen? Ja. Deutschland und die anderen EU-Staaten stehen auf der Staatenliste des Bundesrats. Ein Auftragsbearbeitungsvertrag ist trotzdem nötig.
- Und in den USA? Nur bei Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Sonst braucht es zusätzliche Garantien.
- Gilt die DSGVO für Schweizer KMU? Ja, zusätzlich, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten auswerten.
- Gilt der EU AI Act in der Schweiz? Nicht als Schweizer Recht. Er erfasst aber Schweizer Firmen, deren KI-Ausgabe in der EU genutzt wird, etwa einen Chatbot für Kunden in Deutschland.
- Braucht es eine Vertretung in der Schweiz? Nur für ausländische Verantwortliche, und nur, wenn vier Bedingungen zusammentreffen. Das ist selten.
DSG und DSGVO: gleiche Richtung, andere Details
Das revidierte Datenschutzgesetz (DSG) gilt seit dem 1. September 2023. Es ist eng an die DSGVO angelehnt, an vielen Stellen aber schlanker. Für ein KMU, das KI einführen will, zählen vor allem diese Unterschiede:
| Thema | Schweizer DSG | EU-DSGVO |
|---|---|---|
| Grundlage der Bearbeitung | Erlaubt, solange die Grundsätze eingehalten sind (Art. 6). Eine Rechtfertigung braucht es erst bei einer Persönlichkeitsverletzung (Art. 30, 31). | Jede Verarbeitung braucht eine Rechtsgrundlage (Art. 6). |
| Information der Betroffenen | Bei jeder Beschaffung von Personendaten, inklusive Zielstaat bei Bekanntgabe ins Ausland (Art. 19). | Bei jeder Erhebung (Art. 13, 14). |
| Verzeichnis der Bearbeitungstätigkeiten | Ausnahme für Unternehmen unter 250 Mitarbeitenden, wenn das Risiko gering ist (Art. 12 DSG, Art. 24 DSV). | Ausnahme unter 250 Beschäftigten entfällt, sobald nicht nur gelegentlich verarbeitet wird (Art. 30 Abs. 5). |
| Datenpanne | Meldung an den EDÖB «so rasch als möglich», wenn voraussichtlich ein hohes Risiko besteht (Art. 24). | Meldung innert 72 Stunden, ausser es besteht voraussichtlich kein Risiko (Art. 33). |
| Datenschutz-Folgenabschätzung | Vorgängig, wenn ein hohes Risiko bestehen kann (Art. 22). | Bei voraussichtlich hohem Risiko (Art. 35). |
| Automatisierte Einzelentscheidung | Information der Betroffenen, auf Antrag Überprüfung durch einen Menschen (Art. 21). | Recht, keiner ausschliesslich automatisierten Entscheidung unterworfen zu sein, mit Ausnahmen (Art. 22). |
| Sanktionen | Bussen bis 250 000 Franken gegen verantwortliche Privatpersonen, bei Vorsatz (Art. 60–63). | Geldbussen gegen das Unternehmen bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83). |
| Aufsicht | EDÖB | Datenschutzbehörde des jeweiligen EU-Staats |
Quellen: Datenschutzgesetz DSG (SR 235.1) · Datenschutzverordnung DSV (SR 235.11) · DSGVO (EU) 2016/679 · law.ch: Datenbearbeitungsverzeichnis · GTAI: Schweiz, Datenschutz und KI
Was heisst das für KI? Das DSG verlangt für eine KI-Anwendung in der Regel keine Einwilligung. Es sieht ein Widerspruchsrecht vor und verlangt Transparenz, Zweckbindung und Verhältnismässigkeit. Wer Kundendaten in ein KI-Tool kopiert, das damit eigene Modelle trainiert, gerät schnell in Konflikt mit dem Grundsatz, dass Daten nur für einen erkennbaren Zweck bearbeitet werden dürfen (Art. 6 Abs. 3 DSG).
Quellen: Beobachter: Was darf künstliche Intelligenz? · DSG, Art. 6
Wann die DSGVO auch für Schweizer KMU gilt
Die DSGVO endet nicht an der Grenze. Sie gilt auch für Unternehmen ausserhalb der EU, wenn diese Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten (Art. 3 Abs. 2 DSGVO). Typische Fälle für Schweizer KMU:
- Ihr Webshop liefert an Privatkunden in Deutschland oder Österreich.
- Ihre Website wertet mit Tracking aus, wie sich Besucher aus der EU verhalten.
- Ihr Chatbot nimmt Anfragen von Kunden aus der EU auf und speichert deren Daten.
Fällt Ihr KMU darunter, verlangt die DSGVO grundsätzlich auch einen Vertreter in der EU (Art. 27). Ausgenommen ist eine Verarbeitung, die nur gelegentlich erfolgt, keine besonderen Datenkategorien in grossem Umfang umfasst und voraussichtlich kein Risiko birgt. Für Firmen in der Grenzregion, von Basel bis an den Bodensee, mit Kunden auf beiden Seiten heisst das: Doppel-Compliance. DSG für die Schweiz, DSGVO für die Kunden auf der anderen Seite.
Quelle: DSGVO, Art. 3 und 27
Datenflüsse: Schweiz, EU, USA
Bei KI entscheidet oft nicht das Tool, sondern der Weg der Daten. Dieser Überblick zeigt, was gilt:
| Richtung | Rechtslage | Was Sie tun |
|---|---|---|
| Schweiz → Deutschland und EU | Zulässig. Deutschland und die EU-Staaten stehen auf der Staatenliste des Bundesrats (Art. 16 Abs. 1 DSG, Anhang 1 DSV). | Auftragsbearbeitungsvertrag abschliessen, Zielstaat in der Datenschutzerklärung nennen (Art. 19 Abs. 4 DSG). |
| EU → Schweiz | Zulässig. Die EU-Kommission hat am 15. Januar 2024 bestätigt, dass die Schweiz ein angemessenes Schutzniveau bietet. | Ihre Partner in der EU brauchen dafür keine zusätzlichen Garantien. |
| Schweiz → USA | Seit dem 15. September 2024 nur an Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Sonst braucht es Garantien wie anerkannte Standarddatenschutzklauseln (Art. 16 Abs. 2 DSG). | Zertifizierung auf der offiziellen Liste prüfen und das Ergebnis dokumentieren. |
| Schweiz → andere Staaten | Nur Staaten auf der Liste, sonst mit Garantien oder einer gesetzlichen Ausnahme (Art. 16, 17 DSG). | Pro Dienst prüfen, bevor Daten fliessen. |
Quellen: DSV, Anhang 1 · Bundesamt für Justiz: Staatenliste · EDÖB: EU-Angemessenheit der Schweiz, 15.1.2024 · Bundesamt für Justiz: Angemessenheit der Schweiz durch die EU · EDÖB: Swiss-U.S. Data Privacy Framework · Offizielle DPF-Liste
Viele Sprachmodelle, Automatisierungs- und Analysewerkzeuge laufen bei Anbietern aus den USA. Prüfen Sie deshalb pro Dienst nicht nur den Serverstandort, sondern auch, wer Ihr Vertragspartner ist, ob ein Auftragsbearbeitungsvertrag besteht und ob der Anbieter Ihre Eingaben zum Training nutzt.
Quelle: swissAI: KI-Gesetz Schweiz, Stand 6.10.2026
Braucht es eine Vertretung in der Schweiz?
Eine Vertretung in der Schweiz müssen nur private Verantwortliche mit Sitz im Ausland bezeichnen, und auch nur, wenn alle vier Bedingungen zusammenkommen (Art. 14 DSG):
- Die Bearbeitung hängt mit einem Angebot von Waren oder Dienstleistungen in der Schweiz zusammen oder beobachtet das Verhalten von Personen in der Schweiz.
- Sie ist umfangreich.
- Sie erfolgt regelmässig.
- Sie bringt ein hohes Risiko für die Persönlichkeit der Betroffenen mit sich.
Anders als bei der DSGVO ist das keine allgemeine Pflicht mit Ausnahmen, sondern eine eng gefasste Pflicht, die nur selten erfüllt ist. Für Sie als Schweizer KMU heisst das zweierlei. Erstens: Sie selbst brauchen keine Vertretung, Sie sitzen ja in der Schweiz. Zweitens: Arbeitet ein ausländischer Dienstleister in Ihrem Auftrag, etwa eine Agentur oder ein Softwareanbieter, richtet sich Art. 14 nicht an ihn, sondern an Verantwortliche. Entscheidend ist dann der Auftragsbearbeitungsvertrag nach Art. 9 DSG. Umgekehrt kann die DSGVO von Ihnen einen Vertreter in der EU verlangen, siehe oben.
Quellen: DSG, Art. 9 und 14 · Onlinekommentar zu Art. 14 DSG · foraus: Brauchen ausländische IT-Unternehmen Vertretungen in der Schweiz?
KI und Transparenz: was in der Schweiz erwartet wird
Ein eigenes KI-Gesetz hat die Schweiz nicht. Der Bundesrat hat am 12. Februar 2025 entschieden, die KI-Konvention des Europarats ins Schweizer Recht zu übernehmen und möglichst sektorbezogen umzusetzen. Die Vernehmlassung ist für das erste Halbjahr 2027 geplant, Anfang Oktober 2026 war sie noch nicht eröffnet.
Quellen: BAKOM: Künstliche Intelligenz · swissAI: KI-Gesetz Schweiz, Stand 6.10.2026
Bis dahin gilt das DSG. Es ist technologieneutral, und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat klargestellt, dass es direkt auf KI anwendbar ist. Seine Erwartungen:
- Wer KI herstellt, anbietet oder verwendet, legt Zweck, Funktionsweise und Datenquellen offen.
- Nutzer sollen erfahren, ob sie mit einer Maschine sprechen oder schreiben und ob ihre Eingaben zur Verbesserung des Systems genutzt werden.
- Programme, die Gesichter, Bilder oder Stimmen identifizierbarer Personen verändern, müssen das klar erkennbar machen.
- Betroffene können einer automatisierten Bearbeitung widersprechen und verlangen, dass ein Mensch automatisierte Einzelentscheidungen überprüft.
- Hochriskante Bearbeitungen brauchen eine Datenschutz-Folgenabschätzung.
- Gesichtserkennung in Echtzeit im grossen Stil und Social Scoring sind unzulässig.
Quellen: Netzwoche zum EDÖB-Update KI, 12.5.2025 · Netzwoche: Das neue Datenschutzgesetz gilt auch für KI-Anwendungen
Wie weit diese Pflichten reichen, ist umstritten. Die Datenschutzexperten David Rosenthal und Martin Steiger halten die Auslegung des EDÖB für zu weitgehend, etwa bei einer generellen Pflicht, den KI-Einsatz offenzulegen. Klar ist dagegen: Täuschung mit KI-Inhalten, etwa gefälschte Bewertungen oder irreführende Werbung, verbietet schon das UWG.
Quellen: Beobachter: Was darf künstliche Intelligenz? · swissAI: KI-Gesetz Schweiz
Unsere Empfehlung ist trotzdem einfach: Sagen Sie es. Ein Satz wie «Hier antwortet ein KI-Assistent» kostet nichts, erfüllt die Erwartung des EDÖB und ist für Kunden in der EU ohnehin Pflicht. Dazu gehört ein sichtbarer Weg zu einem Menschen.
Gilt der EU AI Act in der Schweiz?
Der EU AI Act ist kein Schweizer Recht. Er gilt aber auch für Anbieter und Betreiber mit Sitz in einem Drittstaat, wenn die Ausgabe ihres KI-Systems in der EU verwendet wird (Art. 2 Abs. 1 lit. c). Ein Website-Chatbot für Kunden in Deutschland reicht dafür.
Für typische KMU-Anwendungen zählt vor allem Art. 50. Er gilt seit dem 2. August 2026 und wurde durch die Anpassungen von 2026 nicht verschoben:
- Chatbot und Telefonassistent: Menschen müssen erfahren, dass sie mit einer KI interagieren, ausser es ist offensichtlich (Abs. 1).
- KI-erzeugte Texte, Bilder, Audio und Video: Die Anbieter solcher Systeme müssen sie maschinenlesbar kennzeichnen (Abs. 2). Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.
- Deepfakes: Wer sie verwendet, muss offenlegen, dass Inhalte künstlich erzeugt oder verändert sind (Abs. 4). Die Erleichterungen für offensichtlich künstlerische oder satirische Werke helfen Werbung nach Einschätzung von Fachbeiträgen kaum.
Verstösse gegen diese Pflichten können mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes gebüsst werden. Für KMU gilt jeweils der niedrigere der beiden Beträge (Art. 99).
Die strengen Pflichten für Hochrisiko-KI, etwa bei der Auswahl von Bewerbern (Anhang III), hat die EU mit der Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben, für KI in Produkten nach Anhang I auf den 2. August 2028. Ein Chatbot, der Kundenfragen beantwortet, gehört nicht zu diesen Hochrisiko-Bereichen.
Quellen: EU AI Act, Verordnung (EU) 2024/1689, Art. 2, 50, 99, Anhang III · swissAI: KI-Gesetz Schweiz · Heuking: KI-Omnibus 2026, 1.7.2026 · onlinewachsen: EU AI Act ab August 2026
Checkliste: KI im KMU sauber aufsetzen
- KI-Inventar anlegen. Welche Tools laufen, wer nutzt sie, mit welchen Daten? Auch das private Konto, mit dem jemand «nur schnell» eine Offerte formuliert.
- KI-Richtlinie schreiben. Eine Seite reicht: welche Tools erlaubt sind, welche Daten nie hineingehören, wer neue Tools freigibt. Nur rund ein Drittel der KI-nutzenden KMU hat eine klare Datenschutzregel für KI.
- Daten klassifizieren. Vier Stufen genügen: öffentlich, intern, vertraulich, besonders schützenswert. Zur letzten gehören nach Art. 5 lit. c DSG etwa Gesundheitsdaten, biometrische Daten und Daten über Massnahmen der sozialen Hilfe. Legen Sie fest, welche Stufe in welches Tool darf.
- Auftragsbearbeitung regeln. Für jeden Dienst, der Personendaten für Sie bearbeitet: Vertrag nach Art. 9 DSG (und Art. 28 DSGVO, wenn Daten aus der EU im Spiel sind), Standort, Unterauftragsbearbeiter, Training mit Ihren Daten ja oder nein.
- Auslandsbekanntgabe prüfen und nennen. EU passt, USA nur mit DPF-Zertifizierung oder Garantien. Die Zielstaaten gehören in die Datenschutzerklärung (Art. 19 Abs. 4 DSG).
- Transparenzhinweis einbauen. Chatbot und Telefonassistent sagen, dass eine KI antwortet, und zeigen den Weg zu einem Menschen. KI-erzeugte Bilder und Videos werden gekennzeichnet.
- Mensch in der Schleife. Wo eine Automatisierung allein über Menschen entscheidet, planen Sie die Überprüfung durch einen Menschen ein (Art. 21 DSG).
- Risiko prüfen. Bei hohem Risiko, etwa mit Gesundheitsdaten oder Profiling, erstellen Sie vorgängig eine Datenschutz-Folgenabschätzung (Art. 22 DSG).
- EU-Bezug klären. Kunden in der EU? Dann DSGVO (Art. 3), allenfalls einen EU-Vertreter (Art. 27) und die Transparenz nach Art. 50 EU AI Act einplanen.
- Team schulen. Was KI kann, was nicht und was nie ins Eingabefeld gehört.
Quellen: swissAI: Empfehlungen für Schweizer Firmen, Stand 6.10.2026 · AXA KMU-Arbeitsmarktstudie 2025 · DSG · DSGVO · EU AI Act
Fazit
Für Schweizer KMU ist KI rechtlich kein Minenfeld, sondern eine Ordnungsaufgabe. Das DSG ist schlanker als die DSGVO, verlangt aber Transparenz und saubere Verträge. Hosting in Deutschland oder der EU ist erlaubt. Und wer Kunden in Deutschland hat, plant DSGVO und EU AI Act von Anfang an mit, statt sie später nachzurüsten. Wie wir das in Projekten umsetzen, zeigt die Seite KI-Agentur Schweiz. Was ein KI-Chatbot kostet und wovon das abhängt, erklärt der Ratgeber KI-Chatbot für Schweizer KMU: Wovon die Kosten abhängen.
Hinweis: Stand 22.10.2026. Dieser Ratgeber ist keine Rechtsberatung und ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzberatung oder einen Anwalt.
