Blog · KI & Datenschutz
KI & Datenschutz: Sind deine Daten in der Schweiz wirklich sicherer?
Jennifer Swirta ·
«Sind meine Daten in der Schweiz?» Diese Frage stellen mir KMU bei KI-Projekten oft als Erstes. Verständlich. Aber bevor du nach dem Standort fragst, solltest du wissen, wie deine Daten geschützt werden.
Die bessere erste Frage lautet: Wer kann auf meine Daten zugreifen – und welche Schutzmassnahmen sind nachweislich vorhanden? Der Datenstandort bleibt wichtig, gerade rechtlich. Er ist nur nicht die ganze Antwort.
1. Ein Schweizer Server ist kein Schutzschild
Cyberangriffe können Organisationen in der Schweiz genauso treffen wie anderswo. Ein Server in Zürich kann ebenso aus dem Internet erreichbar sein wie einer in Frankfurt oder Virginia. Entscheidend sind die Angriffsfläche, sichere Einstellungen und der Schutz der Zugänge – nicht allein die Postadresse des Rechenzentrums.
2. Sicherheit braucht mehr als einen Standort
Frag nach Verschlüsselung bei Übertragung und Speicherung, Mehrfaktor-Authentifizierung und klaren Zugriffsrechten. Wer darf welche Daten sehen? Wie werden Vorfälle erkannt? Gibt es laufendes Monitoring, getestete Notfallpläne und Backups, deren Wiederherstellung tatsächlich geprüft wurde? Und wer kann auf die Schlüssel zugreifen?
3. Zertifizierungen sind Hinweise – keine Garantie
ISO 27001 bescheinigt ein geprüftes Informationssicherheits-Managementsystem. Ein SOC-2-Type-II-Bericht beurteilt definierte Kontrollen über einen Zeitraum. Beides hilft bei der Auswahl, macht ein System aber nicht unangreifbar. Prüfe, welche Dienste der Nachweis umfasst, wie aktuell er ist und ob Ausnahmen dokumentiert sind.
4. Datentransfer ist eine konkrete Rechtsfrage
Ein Auftragsverarbeitungsvertrag (AVV, auch DPA genannt) regelt die Verarbeitung in deinem Auftrag. Er allein erlaubt nicht jeden internationalen Datentransfer. Für Schweizer Daten ist insbesondere das Swiss–U.S. Data Privacy Framework relevant, sofern der US-Empfänger entsprechend zertifiziert ist und die Übermittlung darunter fällt. Das EU–U.S. Framework betrifft den EU-Kontext. Je nach Fall sind andere Grundlagen wie Standardvertragsklauseln und zusätzliche Prüfungen nötig. Berufsgeheimnisse und branchenspezifische Vorgaben können strengere Anforderungen stellen.
5. Datenhoheit bedeutet echte Kontrolle
Auch Banken und Versicherungen nutzen teilweise internationale Cloud-Anbieter. Das ersetzt jedoch keine Prüfung deines eigenen Falls. Entscheidend ist, ob du deine Daten exportieren und löschen kannst, wer Zugriff erhält, welche Unterauftragnehmer beteiligt sind und ob Daten zum Training von KI-Modellen genutzt werden dürfen.
Nicht wegschauen. Nachfragen.
Ich habe mich selbst einmal vor diesem Thema versteckt. Heute prüfe ich Sicherheitsnachweise, bevor ich überhaupt einen Kaffee trinke. Als Unternehmerin und KI-Beraterin nehme ich meine Kundinnen und Kunden auf diesem Weg mit: Datenhoheit bei dir, Zugriffe bewusst freigeben, Verträge klären, Backups planen. Du musst nicht jedes Fachwort kennen, um die richtigen Fragen zu stellen.
Bei nowly vereinbaren wir den nötigen Zugriff vorab mit dir. Gezielter Support-Zugriff erfolgt nur auf deinen ausdrücklichen Wunsch, nach Freigabe und im vereinbarten Umfang – mit Vertraulichkeitsvereinbarung und, soweit erforderlich, AVV. Vertrauliche Daten werden nicht verkauft oder an Konkurrenten weitergegeben; notwendige technische Dienstleister und gesetzliche Pflichten werden transparent berücksichtigt.
Was ist bei KI-Tools dein wichtigstes Vertrauenskriterium?
Wenn du nicht weisst, was du fragen sollst: Frag mich. Ich erkläre es so lange, bis du es verstehst.
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche Prüfung deiner konkreten Datenverarbeitung.