Datenschutz & Sicherheit
KI und Schweizer Hosting: Diese Fragen sollten KMU stellen
Eine praktische Prüfliste zu Datenstandorten, Unterauftragnehmern, KI-Nutzung, Zugriffen und Löschung.
«In der Schweiz gehostet» beantwortet eine wichtige Frage: Wo liegen bestimmte Systeme oder Daten? Für eine belastbare Entscheidung reicht der Satz allein nicht. Auch Dienstleister, Supportzugriffe, KI-Verarbeitung, Protokolle und Backups gehören zum Datenfluss.
Diese sechs Punkte gehören auf die Prüfliste
Welche Daten fliessen wohin? Zeichnen Sie den Weg einer konkreten Aufgabe nach: Eingang, Dokumente, Suchindex, KI-Anbieter, Ergebnis und Protokoll.
Welche Region gilt für welchen Dienst? Fragen Sie nicht nur nach dem Hauptserver. Prüfen Sie auch Dokumentenspeicher, Datenbanken, Suchindizes, Sicherungen und temporäre Verarbeitung.
Wer sind die Unterauftragnehmer? Lassen Sie sich erklären, welche Anbieter beteiligt sind, welche Aufgabe sie haben und ob Support oder Betrieb Zugriffe aus anderen Ländern erfordern können.
Was darf der KI-Anbieter mit Eingaben tun? Lesen Sie die Bedingungen für Training, Aufbewahrung, Missbrauchserkennung und menschliche Prüfung. Ein eigener API-Schlüssel ist für sich allein keine Datenschutzgarantie.
Wie werden Zugriffe und Löschungen behandelt? Klären Sie Rollen, Protokolle, Aufbewahrungsfristen und was mit Kopien in Indizes, Ausführungsdaten und Sicherungen passiert.
Wer ist wofür verantwortlich? Halten Sie fest, ob der Anbieter in Ihrem Auftrag handelt, welche Weisungen gelten und wie Anfragen betroffener Personen unterstützt werden.
Standort ist wichtig, aber nicht gleich Compliance
Ein Schweizer Rechenzentrum kann die Datenresidenz unterstützen. Es beantwortet jedoch nicht automatisch, wer Zugriff hat, welche Anbieter beteiligt sind oder ob eine internationale Bekanntgabe stattfindet. Der EDÖB weist darauf hin, dass Kunden bei einer Auslagerung für die sorgfältige Auswahl und Überwachung ihrer Auftragsbearbeiter verantwortlich bleiben und Auslandbekanntgaben gesondert zu prüfen sind.
Für Schweizer Unternehmen ist deshalb eine konkrete Datenflussübersicht hilfreicher als ein einzelnes Standortlabel. Für Kundinnen und Kunden in der EU kommen die jeweils anwendbaren Anforderungen der DSGVO hinzu. Die Einordnung hängt vom konkreten Einsatz, den Daten und den beteiligten Parteien ab.
Was das für edel bedeutet
In der Datenschutzerklärung von edel sind primäres Plattformhosting, Dokumentenspeicherung und standardmässige KI-Verarbeitung beschrieben. Dort stehen auch mögliche externe KI-Anbieter, Support- und Betriebszugriffe, Speicherfristen und Löschgrenzen. Prüfen Sie diese Angaben vor einer Nutzung mit Ihrer Datenschutzverantwortlichen Person und gleichen Sie sie mit Ihrer konkreten Konfiguration ab.
Weiterführende Informationen bietet der EDÖB-Leitfaden zu Cloud-Computing sowie die Hinweise des EDÖB zur Bekanntgabe von Personendaten ins Ausland. Dieser Beitrag ersetzt keine rechtliche Prüfung Ihres konkreten Falls.
Weitere Artikel
