20. Oktober 2026

KI-Agent und Datenschutz in der Schweiz:Was muss ein KMU beachten?

Für einen KI-Agenten gilt in der Schweiz das Datenschutzgesetz (DSG), sobald er Personendaten bearbeitet, etwa E-Mails oder Termine deiner Kunden. Ein eigenes KI-Gesetz hat die Schweiz laut Bund bisher nicht. Entscheidest du, wozu und womit der Agent arbeitet, bist du nach dem Gesetz der Verantwortliche. Kläre vorher, welche Daten er sieht, wo sie bearbeitet werden, was im Vertrag steht, wie du Kunden informierst und was er allein entscheiden darf.

Oggi · Gründer · Oggi Web & AI

KI-Agent und Datenschutz in der Schweiz: Was muss ein KMU beachten?

Vorweg: Ich richte den KI-Agenten Hermes für KMU ein und verdiene daran. Ich bin kein Jurist. Dieser Artikel zitiert Gesetz, Verordnung und Aufsicht im Wortlaut und ist keine Rechtsberatung. Stand der Quellen ist der 7. Oktober 2026.

Kurz gesagt:

Wer über Zweck und Mittel entscheidet, ist der Verantwortliche. Ein Anbieter, der in deinem Auftrag bearbeitet, ist Auftragsbearbeiter (Art. 9 DSG).
Ins Ausland dürfen Personendaten, wenn der Bundesrat dem Staat einen angemessenen Schutz bescheinigt hat oder eine Garantie oder Ausnahme des Gesetzes greift.
Für Entscheide, die ausschliesslich automatisiert fallen und für eine Person eine Rechtsfolge haben oder sie erheblich beeinträchtigen, kennt das Gesetz eine eigene Informationspflicht. Mein Rat: Bei Verträgen, Geld, Absagen und Kündigungen bereitet der Agent vor, ein Mensch entscheidet.
Wie ich Hermes einrichte, läuft der Agent auf einem Server bei Infomaniak, das Sprachmodell bei OpenAI. Was der Agent an das Modell schickt, geht also an OpenAI.

Gilt das Schweizer Datenschutzgesetz auch für KI-Agenten?

Ja, sobald der Agent Personendaten bearbeitet. Das Wort Intelligenz kommt im Datenschutzgesetz (DSG) nicht vor, in der Datenschutzverordnung (DSV) auch nicht. Bearbeiten ist «jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren» (Art. 5 Bst. d DSG).

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) sagt es ausdrücklich: «Das Datenschutzgesetz des Bundes (DSG) ist technologieneutral formuliert und demzufolge auch auf den Einsatz von KI-gestützten Datenbearbeitungen direkt anwendbar» (Mitteilung vom 8. Mai 2025, Erstfassung vom 9. November 2023). Das ist die Lesart der Aufsicht, kein Gerichtsurteil. Das Gesetz selbst gilt seit dem 1. September 2023 und wird manchmal noch revDSG genannt.

Die Grenze beschreibt der EDÖB so: «Sofern in KI-Systemen nur Sachdaten oder Informationen ohne Personenbezug bearbeitet werden, sind sie grundsätzlich datenschutzrechtlich nicht relevant» (EDÖB, KI im Alltag). Ein Agent, der dein Postfach liest, bearbeitet Namen, Adressen und Anliegen von Menschen. Was ein KI-Agent ist und was nicht, steht in KI-Agenten für KMU.

Wer ist verantwortlich, wenn der KI-Agent bei einem Anbieter läuft?

Du, sobald du über Zweck und Mittel entscheidest. Das Gesetz kennt zwei Rollen. Verantwortlicher ist, wer «allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet» (Art. 5 Bst. j DSG). Auftragsbearbeiter ist, wer «im Auftrag des Verantwortlichen Personendaten bearbeitet» (Art. 5 Bst. k DSG).

Wann du die Bearbeitung einem Anbieter übertragen darfst, regelt Art. 9 Abs. 1 DSG:

«Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn: a. die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte; und b. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.»

Im selben Artikel steht, dass du dich vergewissern musst, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Abs. 2). Und: «Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen» (Abs. 3).

Mein Rat dazu: Bei einem Agenten können mehrere Firmen Daten zu sehen bekommen, nämlich wer ihn hostet, wer das Sprachmodell liefert, wer ihn einrichtet und über welchen Dienst du mit ihm schreibst, etwa einen Messenger. Frag jede, ob sie die Daten für eigene Zwecke nutzt, etwa zum Training ihrer Modelle. Ob das noch unter Buchstabe a fällt, lass abklären. Buchstabe b betrifft dich, wenn du einem Berufsgeheimnis unterstehst oder Kunden Vertraulichkeit zugesagt hast.

Darf ein KI-Agent Kundendaten im Ausland bearbeiten?

Ja, unter Bedingungen. Bekanntgeben heisst im Gesetz «das Übermitteln oder Zugänglichmachen von Personendaten» (Art. 5 Bst. e DSG). Schickt dein Agent eine Kundenmail an ein Sprachmodell, das im Ausland läuft, übermittelt er Personendaten ins Ausland. Der Weg einer Kundenmail zeigt, an welcher Stelle das geschieht.

Welchen Weg eine Kundenmail nimmt

Postfach
Der Agent liest die Mail mit Namen, Adresse und Anliegen.
Agent
Er läuft auf einem Server, und wer ihn hostet, kann Daten zu sehen bekommen.
Sprachmodell
Läuft es im Ausland, übermittelt der Agent Personendaten ins Ausland.
Mensch
Bei Verträgen, Geld, Absagen und Kündigungen entscheidet ein Mensch.

Beispiel. Zum dritten Schritt: Art. 5 Bst. e und Art. 16 DSG, Stand 7. Juli 2025. Der vierte Schritt ist mein Rat.

Die Grundregel: «Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet» (Art. 16 Abs. 1 DSG). Die Liste dieser Staaten steht in Anhang 1 der DSV.

Wo der Anbieter bearbeitet	Was DSG und DSV dazu sagen, und mein Rat
In der Schweiz	Art. 16 und 17 DSG betreffen die Bekanntgabe ins Ausland. Frag trotzdem, ob jemand vom Ausland aus zugreifen kann.
In einem Staat auf der Liste, zum Beispiel Deutschland, Österreich oder Belgien	Bekanntgabe ins Ausland nach Art. 16 Abs. 1 DSG zulässig. Die übrigen Pflichten bleiben. Frag auch hier nach Zugriffen aus anderen Staaten.
In den USA	Auf der Liste nur für Organisationen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind. Für sie «gilt ein angemessenes Schutzniveau als gewährleistet». Lass dir die Zertifizierung belegen.
In einem anderen Staat, oder in den USA ohne Zertifizierung	Eine Garantie nach Art. 16 Abs. 2 DSG, zum Beispiel Standarddatenschutzklauseln, die der EDÖB «vorgängig genehmigt, ausgestellt oder anerkannt hat». Oder eine Ausnahme nach Art. 17 DSG, zum Beispiel wenn die betroffene Person «ausdrücklich in die Bekanntgabe eingewilligt» hat.

ChatGPT im Unternehmen: Was gilt beim Datenschutz in der Schweiz?

Eine Aussage des EDÖB, ob ChatGPT dem Schweizer Datenschutz genügt, habe ich nicht gefunden. Es kommt auf das Angebot an, das du nutzt. Der EDÖB hat sich am 4. April 2023 geäussert, noch vor Inkrafttreten des heutigen Gesetzes, und sich nicht festgelegt: «Da der EDÖB ChatGPT bislang nicht im Rahmen einer Sachverhaltsabklärung untersucht hat, äussert er sich nicht zur Datenschutzkonformität dieser Anwendung.» Und: «Unternehmen, die KI-gestützte Anwendungen einsetzen wollen, müssen ihrerseits sicherstellen, dass dabei die datenschutzrechtlichen Anforderungen eingehalten werden» (EDÖB, 4. April 2023).

Was mit den Eingaben geschieht, sagt der Hersteller. OpenAI unterscheidet zwei Arten von Angeboten:

Für Einzelpersonen: «When you use our services for individuals, such as ChatGPT and Codex, we may use your content to train our models.» Laut derselben Seite lässt sich das in den Einstellungen abschalten (OpenAI Help Center).
Für Firmen: «We don’t train our models on your organization’s data by default.» OpenAI nennt dafür unter anderem ChatGPT Business, ChatGPT Enterprise und die Programmierschnittstelle (API) und schreibt, Kunden könnten ein «Data Processing Addendum» unterzeichnen (OpenAI, Business data). Den Vertragstext habe ich nicht gelesen.

Wählbare Speicherorte für gespeicherte Inhalte nennt OpenAI für berechtigte Kunden von ChatGPT Enterprise, Edu, Healthcare und der API: «in the U.S., Europe, UK, Japan, Canada, South Korea, Singapore, Australia, India, and the UAE». ChatGPT Business und die Schweiz stehen in diesem Satz nicht.

Das sind Angaben des Herstellers. Ob damit deine Pflichten nach dem DSG erfüllt sind, kann ich nicht beurteilen. Mein Rat: keine Kundendaten in ein privates Konto. OpenAI steht hier als Beispiel, andere Anbieter haben eigene Bedingungen.

Offen gesagt: Bei Hermes binde ich selbst Codex von OpenAI an. Neutral bin ich bei diesem Anbieter also nicht. In diesem Abschnitt stehen deshalb nur seine eigenen Sätze und die des EDÖB.

Muss ich Kunden sagen, dass ein KI-Agent ihre Daten bearbeitet?

Über die Beschaffung ihrer Daten musst du informieren, mit oder ohne KI: «Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten» (Art. 19 Abs. 1 DSG). Die Pflicht gilt laut demselben Absatz «auch, wenn die Daten nicht bei der betroffenen Person beschafft werden», zum Beispiel wenn der Agent im Netz über eine Person recherchiert.

Mitteilen muss der Verantwortliche mindestens «die Identität und die Kontaktdaten des Verantwortlichen», «den Bearbeitungszweck» und gegebenenfalls die Empfänger oder deren Kategorien (Abs. 2). Bei einer Bekanntgabe ins Ausland teilt er «auch den Staat oder das internationale Organ» mit, dazu gegebenenfalls die Garantie nach Art. 16 Abs. 2 oder die Ausnahme nach Art. 17 (Abs. 4). Art. 20 DSG nennt Ausnahmen, etwa wenn die Person die Informationen bereits hat.

Der EDÖB wird bei Sprachmodellen, die direkt mit Menschen kommunizieren, konkreter. Auf seiner Themenseite vom 24. September 2025 schreibt er, Nutzerinnen und Nutzer hätten «das Recht zu erfahren, ob und inwieweit sie mit einer Maschine korrespondieren und ob die von ihnen eingegebenen Daten zur Verbesserung der selbstlernenden Programme oder zu weiteren Zwecken weiterverwendet werden».

Antwortet der Agent selbst, im Chat oder per E-Mail, dann kennzeichne das. Das folgt der Lesart des EDÖB. Mein Rat betrifft nur den Ort: Schreib Zweck, Empfänger und Staat in deine Datenschutzerklärung.

Was darf ein KI-Agent allein entscheiden?

Art. 21 DSG verbietet automatisierte Entscheide nicht, er knüpft Pflichten daran: «Der Verantwortliche informiert die betroffene Person über eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt (automatisierte Einzelentscheidung)» (Abs. 1).

Dazu kommt: «Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird» (Abs. 2). Absatz 3 nennt zwei Ausnahmen: Der Entscheid steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags mit der Person, «und ihrem Begehren stattgegeben wird», oder die Person hat ausdrücklich eingewilligt, dass automatisiert entschieden wird.

Wo «erheblich beeinträchtigt» beginnt, habe ich im DSG nicht definiert gefunden. Mein Rat ist einfach: Sobald es um Verträge, Geld, Absagen oder Kündigungen geht, bereitet der Agent vor und ein Mensch entscheidet. In meiner eigenen Agentur Yoxy erstellt der Agent zu einer neuen Anfrage ein Dossier, und dann gilt: «Das Team entscheidet nur noch: Offerte ja oder nein.» (Fallstudie Yoxy)

Kommt ein KI-Gesetz, und gilt der EU AI Act für Schweizer KMU?

Eine Vorlage ist beim Bund in Arbeit, ein Gesetz eigens zur KI gibt es laut Bund bisher nicht. Das Bundesamt für Justiz schreibt (Seite vom 12. Februar 2025, am 7. Oktober 2026 so online): «In der Schweiz gibt es aktuell keine spezifische Gesetzgebung zur KI.» Der Bundesrat hat sich am 12. Februar 2025 dafür ausgesprochen, die KI-Konvention des Europarats zu ratifizieren und «die dafür notwendigen Anpassungen im Schweizer Recht» vorzunehmen. Laut Bundesamt für Kommunikation soll das Justizdepartement (EJPD) bis Ende 2026 eine Vernehmlassungsvorlage erstellen. Eine eröffnete Vernehmlassung habe ich am 7. Oktober 2026 auf den Seiten der beiden Ämter nicht gefunden.

Die KI-Verordnung der EU (AI Act) nennt in ihrem Geltungsbereich auch Firmen ausserhalb der EU. Sie gilt für «Anbieter und Betreiber von KI-Systemen, die ihren Sitz in einem Drittland haben oder sich in einem Drittland befinden, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird» (Art. 2 Abs. 1 Bst. c). Betreiber ist dort, wer ein KI-System «in eigener Verantwortung verwendet» (Art. 3 Nr. 4), also unter Umständen du.

Welche Pflichten daraus für einen einzelnen Betrieb folgen, habe ich nicht geprüft. Hast du Kunden in der EU, lass es abklären, auch für die Datenschutz-Grundverordnung (DSGVO). Wann sie eine Schweizer Firma betrifft, steht im Artikel Braucht meine Website einen Cookie-Banner?.

Checkliste: Acht Punkte, bevor der KI-Agent Kundendaten sieht

In Klammern steht der Artikel, auf den sich der Punkt stützt. Die Aufforderungen sind mein Rat, wie du es angehst.

Welche Daten sieht der Agent? Schreib auf, auf welche Postfächer, Kalender und Ordner er zugreift. Die Bearbeitung muss «verhältnismässig» sein (Art. 6 Abs. 2 DSG), und Voreinstellungen müssen sie auf «das für den Verwendungszweck nötige Mindestmass» beschränken (Art. 7 Abs. 3 DSG). Bei «Daten über die Gesundheit» oder anderen besonders schützenswerten Personendaten (Art. 5 Bst. c DSG) zieh eine Fachperson bei.
Wer bearbeitet mit? Liste jede Firma auf, die Daten zu sehen bekommt. Für jede, die in deinem Auftrag bearbeitet, gilt Art. 9 DSG: Vertrag, Datensicherheit, deine Genehmigung für weitere Beteiligte. Halte im Vertrag auch fest, ob mit deinen Daten trainiert wird.
Wo werden die Daten bearbeitet? Lass dir den Staat schriftlich nennen und prüf ihn gegen die Tabelle oben (Art. 16 und 17 DSG, Anhang 1 DSV).
Wie informierst du? Zweck, Empfänger und Staat mitteilen (Art. 19 DSG), nach meinem Rat in der Datenschutzerklärung. Antworten des Agenten kennzeichnen (EDÖB).
Was entscheidet der Agent allein, und wer prüft? Schreib zwei Listen: was er selbst erledigt und was er nur vorbereitet (Art. 21 DSG). Das Gesetz verlangt zudem: «Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern» (Art. 6 Abs. 5 DSG). Mein Rat: Bestimm eine Person, die Stichproben liest.
Ist der Zugang gesichert? Verlangt ist «eine dem Risiko angemessene Datensicherheit» (Art. 8 Abs. 1 DSG). Nach der Verordnung sollen berechtigte Personen «nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen» (Art. 3 Abs. 1 Bst. a DSV). Ich wende das auf den Agenten an: eigene Zugänge, nur lesen, wo lesen reicht.
Wie lange behält er etwas, und findest du es wieder? Personendaten «werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind» (Art. 6 Abs. 4 DSG). Für Auskünfte gilt: «Die Auskunft wird in der Regel innerhalb von 30 Tagen erteilt» (Art. 25 Abs. 7 DSG). Auskunftspflichtig bleibst du auch, wenn ein Auftragsbearbeiter die Daten bearbeitet (Abs. 4). Ob für einzelne Unterlagen eine gesetzliche Aufbewahrungspflicht gilt, habe ich hier nicht geprüft.
Ist das Risiko hoch? Eine Datenschutz-Folgenabschätzung ist vorgängig zu erstellen, «wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann» (Art. 22 Abs. 1 DSG). Absatz 2 erwähnt dabei die «Verwendung neuer Technologien» und nennt namentlich die umfangreiche Bearbeitung besonders schützenswerter Personendaten. Bewertet der Agent Personen, etwa Interessenten, kann das ein Profiling sein (Art. 5 Bst. f DSG). In einer Arztpraxis würde ich das abklären lassen, bei einem Agenten mit Zugriff auf viele Kundendaten auch.

Wie ich Hermes für Kunden einrichte

Hermes ist ein selbstlernender KI-Agent. Ich bin nicht sein Hersteller, ich richte ihn für Kunden ein. Er besteht aus zwei Teilen, und die liegen an verschiedenen Orten.

Was bei Hermes wo läuft

Server bei Infomaniak

Der Agent
Sein Gedächtnis
Künftig im eigenen Konto des Kunden

OpenAI

Das Sprachmodell Codex
Was der Agent an das Modell schickt
Ort der Bearbeitung und Vertrag sind offen

So richte ich Hermes ein, Stand 8. Oktober 2026. Das eigene Konto des Kunden führe ich gerade ein, es gilt noch nicht für jeden bestehenden Kunden.

Der Agent und sein Gedächtnis. Hermes läuft auf einem Server bei Infomaniak, entweder auf einem eigenen virtuellen Server für den Agenten oder auf demselben, auf dem deine Website liegt. Künftig steht dieser Server in deinem eigenen Infomaniak-Konto: Der Vertrag läuft auf dich, du hast Zugang, ich bin technischer Kontakt und verwalte ihn. Das führe ich gerade ein, es gilt noch nicht für jeden bestehenden Kunden. Infomaniak schreibt über sich: «Unsere Infrastrukturen und unsere Lösungen werden in der Schweiz entwickelt und gehostet.» Ich bekomme von Infomaniak weder Rabatt noch Provision.

Auf diesem Server liegt auch das Gedächtnis. Hermes hat laut meiner Seite «ein dauerhaftes Textgedächtnis, ein prozedurales Skill-Gedächtnis und eine durchsuchbare Sitzungsdatenbank». Was er sich über Menschen bei deinen Kunden merkt, sind Personendaten. Punkt 7 der Checkliste gilt also auch dort.

Das Sprachmodell. Es läuft nicht auf diesem Server. Ich binde Codex von OpenAI an. Was der Agent an das Modell schickt, geht also an OpenAI. Wo OpenAI diese Anfragen bearbeitet, über welches Angebot und unter welchem Vertrag, ist damit nicht gesagt. OpenAIs Hilfeseite nennt Codex bei den Angeboten für Einzelpersonen (Zitat oben), und die Schweiz steht in der Aufzählung der wählbaren Speicherorte nicht. Mein Rat: Behandle es als Bekanntgabe ins Ausland, bis das Gegenteil belegt ist, und frag mich nach Konto, Region und Vertrag. Das sind die Punkte 2 und 3 der Checkliste.

Bei meinen Leistungen steht: «Hermes läuft in deiner Umgebung, mit deinen Daten und unter deiner Kontrolle.» Für den Agenten und sein Gedächtnis trifft das zu, sobald der Server in deinem Konto steht. Für das Sprachmodell trifft es nicht zu: Diese Anfragen verlassen deine Umgebung. Zur Einrichtung gehören laut derselben Seite «Zugriffe nur dort, wo der Agent sie braucht» und «Die Möglichkeit, jederzeit einzugreifen».

Meine Rolle. Bei den Leistungen steht auch «Ich bleibe nach dem Start dran und verbessere, bis es für dich arbeitet», dazu «Eine gemeinsame Durchsicht der Ergebnisse». Ich gehöre also selbst auf deine Liste aus Punkt 2. Stell mir dieselben acht Fragen wie jedem anderen Anbieter.

Welche Aufgaben sich für den Anfang eignen, zeigen 12 Beispiele für KI-Agent-Aufgaben.

Häufige Fragen

Braucht ein KMU in der Schweiz für einen KI-Agenten die Einwilligung der Kunden?

Eine allgemeine Pflicht zur Einwilligung für jede Bearbeitung habe ich im DSG nicht gefunden. Das Gesetz verbietet, die Persönlichkeit «widerrechtlich» zu verletzen (Art. 30 Abs. 1 DSG), und nennt die Einwilligung als einen von drei Rechtfertigungsgründen neben überwiegendem Interesse und Gesetz (Art. 31 Abs. 1 DSG). Eine Verletzung liegt insbesondere vor, wenn Personendaten «entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden» (Art. 30 Abs. 2 Bst. b DSG). Wo es eine Einwilligung braucht, muss sie unter anderem für «die Bearbeitung von besonders schützenswerten Personendaten» ausdrücklich erfolgen (Art. 6 Abs. 7 DSG).

Reicht ein Server in der Schweiz, damit ein KI-Agent datenschutzkonform ist?

Nein, er löst nur eine der Fragen. Bleiben alle Daten in der Schweiz, auch die Anfragen an das Sprachmodell, und greift niemand vom Ausland aus zu, stellt sich die Frage der Bekanntgabe ins Ausland nicht. Bei Hermes, wie ich ihn einrichte, gehen die Anfragen an das Modell an OpenAI. Die Pflichten zu Information, Datensicherheit, Auftragsbearbeitung und automatisierten Entscheiden gelten auch bei einem Server in der Schweiz.

Welche Bussen drohen einem KMU nach dem Schweizer Datenschutzgesetz beim Einsatz von KI?

Die Strafbestimmungen stehen in Art. 60 bis 63 DSG. Für einen Agenten nenne ich zwei, beide beginnen mit: «Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft». Art. 60 Abs. 1 nennt unter anderem, wer es vorsätzlich unterlässt, nach Art. 19 oder Art. 21 zu informieren. Art. 61 nennt, wer vorsätzlich die Regeln zur Bekanntgabe ins Ausland, die Voraussetzungen für die Übergabe an einen Auftragsbearbeiter (Art. 9 Abs. 1 und 2) oder die Mindestanforderungen an die Datensicherheit missachtet. Mit «private Personen» sind nicht nur Privatleute gemeint: Das Gesetz gilt für «private Personen» und «Bundesorgane» (Art. 2 Abs. 1 DSG). Wen die Busse in einem Betrieb trifft, richtet sich laut Art. 64 DSG nach dem Verwaltungsstrafrecht, das habe ich nicht geprüft. Daneben kann der EDÖB verfügen, dass eine Bearbeitung «ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird» (Art. 51 Abs. 1 DSG).

Was verlangt das Schweizer Datenschutzgesetz, wenn der KI-Agent Kundendaten an die falsche Person schickt?

Das kann eine Verletzung der Datensicherheit sein. Das Gesetz meint damit unter anderem, dass Personendaten «Unbefugten offengelegt oder zugänglich gemacht werden» (Art. 5 Bst. h DSG). Führt sie voraussichtlich zu einem hohen Risiko für die betroffene Person, meldet der Verantwortliche sie dem EDÖB «so rasch als möglich» (Art. 24 Abs. 1 DSG). Die betroffene Person informierst du, «wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt» (Art. 24 Abs. 4 DSG). Dein Auftragsbearbeiter muss eine Verletzung dir melden (Art. 24 Abs. 3 DSG).

Kostenloser Website-Check

Im kostenlosen Website-Check schauen wir zwanzig Minuten gemeinsam auf deinen Auftritt. Du gehst mit drei konkreten Hebeln für mehr Anfragen raus, ob wir danach zusammenarbeiten oder nicht. Website-Check anfragen

Quellen

Abgerufen am 07.10.2026, die Seite von Infomaniak am 08.10.2026.

Preise

Preise: Projekt, Abo oder Partnerschaft im Überblick

Gratis-Download

Leitfaden: KI-Automatisierung für KMU

Welche 10 Prozesse du automatisieren kannst und wie du in drei Schritten startest. Als PDF, sofort.

Kein Spam, keine Weitergabe. Du erhältst den Download direkt.

Autor

Oggi

Gründer · Oggi Web & AI

Entwickelt native Next.js Websites und KI-Agenten für Schweizer KMU. Aus Liestal bei Basel, Fokus auf Performance, Sichtbarkeit und messbare Resultate.

Projekt besprechen