ChatGPT in der Schweiz: was das Gesetz verlangt und wohin Ihre Daten gehen
Wer «ChatGPT Schweiz» googelt, will meistens nicht wissen, ob der Dienst hier verfügbar ist. Er läuft seit Jahren, bezahlen lässt sich in Franken oder Dollar, und ein VPN braucht niemand. Die eigentliche Frage kommt fast immer aus einem Unternehmen und lautet: Dürfen wir das überhaupt einsetzen, und wohin fliessen dabei unsere Daten?
Was das Schweizer Recht wirklich verlangt
Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz (DSG). Es lehnt sich bewusst an die DSGVO an, ist ihr aber nicht gleich: weniger formalistisch, tiefere Bussen, und gebüsst wird in der Regel die verantwortliche natürliche Person und nicht das Unternehmen. Für den Umgang mit einem KI-Dienst ergeben sich daraus vor allem drei Pflichten, und «Schweizer Server» steht in keiner davon.
Sie müssen transparent machen, wenn Personendaten ins Ausland gehen. Sie müssen die Bearbeitungsgrundsätze einhalten, also Treu und Glauben, Verhältnismässigkeit, Zweckbindung und Datensicherheit. Anders als unter der DSGVO brauchen private Unternehmen dafür nicht für jede Bearbeitung eine Rechtsgrundlage: Bearbeiten ist grundsätzlich erlaubt, und ein Rechtfertigungsgrund wie Einwilligung, überwiegendes Interesse oder Gesetz wird erst dann nötig, wenn die Bearbeitung die Persönlichkeit widerrechtlich verletzt. Eine gesetzliche Grundlage brauchen Bundesorgane, nicht Privatfirmen. Und wer auslagert, braucht einen Auftragsbearbeitungsvertrag, der den Bearbeiter auf dasselbe Schutzniveau verpflichtet. Die massgeblichen Erläuterungen dazu veröffentlicht der EDÖB.
Die USA sind dabei nicht pauschal ein Problem: Der Bundesrat anerkennt das Swiss-U.S. Data Privacy Framework, sofern der amerikanische Empfänger zertifiziert ist. Ob das auf einen bestimmten Anbieter zutrifft, lässt sich in der offiziellen Liste nachschlagen.
Viele Schweizer Firmen unterstehen zusätzlich der DSGVO, aber nicht schon deshalb, weil sie irgendwelche Daten von EU-Bürgern bearbeiten. Ohne Niederlassung in der EU greift sie nach Art. 3 Abs. 2 DSGVO erst, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Trifft das zu, greift eine Prüfung allein nach Schweizer Recht zu kurz.
All das ersetzt keine Rechtsberatung, und der Einzelfall gehört zu Ihrer Rechtsabteilung. Die Stossrichtung stimmt aber: Ein US-Dienst ist in der Schweiz nicht von vornherein verboten, und bei einem zertifizierten Empfänger braucht die Bekanntgabe ins Ausland auch keine zusätzlichen Garantien. Bleiben tut die Rechenschaftspflicht: Transparenz, Bearbeitungsgrundsätze einhalten, sauberer Auftragsbearbeitungsvertrag.
Wo es wirklich eng wird: das Berufsgeheimnis
Der Punkt, an dem die Diskussion kippt, ist nicht das Datenschutzgesetz, sondern Art. 321 StGB. Ärztinnen, Anwälte, Apothekerinnen, Psychologen und ihre Hilfspersonen unterstehen dem Berufsgeheimnis, und dessen Verletzung ist ein Straftatbestand und keine Verwaltungsbusse. Bei Banken kommt das Bankkundengeheimnis dazu.
Eine Einwilligung in die Datenbearbeitung bringt hier nur begrenzt etwas, und die Frage, wer theoretisch auf diese Daten zugreifen könnte, bekommt plötzlich strafrechtliches Gewicht. In diesen Berufen begegnen uns die härtesten Anforderungen an den Hosting-Standort, meistens zu Recht.
«Schweizer Rechenzentrum» heisst nicht Schweizer Jurisdiktion
Der häufigste Denkfehler: Man liest «gehostet in der Schweiz» und hakt das Thema ab. Der US-CLOUD-Act verpflichtet nach 18 U.S.C. § 2713 Anbieter von Kommunikations- und Cloud-Diensten, die der US-Gerichtsbarkeit unterstehen, zur Herausgabe von Daten in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle, und zwar ausdrücklich unabhängig davon, wo diese gespeichert sind. Er trifft also nicht jedes US-Unternehmen, aber sehr wohl die Hyperscaler und Modellanbieter, um die es hier geht. Ob eine Schweizer Tochtergesellschaft daran etwas ändert, ist keine Frage der Form, sondern der tatsächlichen Kontrolle, und US-Gerichte legen den Begriff erfahrungsgemäss weit aus.
Es sind darum drei getrennte Fragen und nicht eine: In welchem Land stehen die Server, welches Unternehmen betreibt sie, und welchem Recht untersteht dieses Unternehmen? Wir haben das in einem Beitrag zur Datenresidenz ausführlich auseinandergenommen, samt der Einbussen, die eine strengere Stufe bei Modellauswahl und Tempo mit sich bringt.
Wann sich Schweizer Hosting lohnt, und wann nicht
Ehrlicherweise: nicht immer. Die leistungsfähigsten Modelle stammen heute überwiegend von US-Anbietern, und Schweizer Hosting bedeutet oft eine kleinere Auswahl und manchmal längere Antwortzeiten. Für ein Marketingteam, das Textentwürfe schreibt, ist das ein schlechtes Geschäft.
Bei einer Arztpraxis, einer Kanzlei, einem Treuhandbüro oder einer Verwaltung sieht die Abwägung anders aus. Das Berufsgeheimnis schreibt zwar keine Schweizer Server vor, denn auch eine Bearbeitung im Ausland kann mit den richtigen vertraglichen und technischen Garantien zulässig sein, aber es erhöht den Begründungsaufwand erheblich. Schweizer Hosting ist hier schlicht die Variante, die sich am leichtesten vertreten lässt. Für alle dazwischen gilt die Faustregel: so streng wie nötig, nicht so streng wie möglich.
Wir haben botts.ai so gebaut, dass diese Stufe eine Einstellung ist und keine Eigenschaft des Anbieters: Server in der Schweiz, freie Modellwahl mit sichtbarem Hosting-Land pro Modell, kein Training mit Ihren Daten. Wenn Sie prüfen, was eine ChatGPT-Alternative für ein Schweizer Unternehmen leisten muss, fangen Sie hier an. Die Modellübersicht zeigt, wo die einzelnen Modelle laufen, und auf der Sicherheitsseite steht, wie wir mit den Daten umgehen. Geht es Ihnen weniger um den Standort als um eine firmenweite KI auf dem eigenen Wissen, behandelt der Beitrag zum internen ChatGPT genau diesen Fall.
Haben Sie eine spezifische Compliance-Anforderung, etwa aus dem Berufsgeheimnis? Kontaktieren Sie uns, und wir helfen Ihnen gerne, die richtige Stufe zu wählen.
