KI und Datenschutz bei Finanzdienstleistern: revDSG-Checkliste

Wer in einem Schweizer Finanz-KMU KI einsetzt, bearbeitet fast zwangsläufig Personendaten, und dafür gilt das revidierte Datenschutzgesetz. 85 Prozent der unabhängigen Vermögensverwalter nennen den Datenschutz als grösste Hürde beim Einsatz von KI (AI Use Cases and Crypto Assets in External Asset Management, HSLU und Finup, Juli 2026). Aus dieser grossen Sorge wird eine lösbare Aufgabe, sobald man sie in konkrete Punkte zerlegt. Diese Checkliste fasst die zehn wichtigsten Pflichten zusammen, je mit drei Angaben: was gilt, was das bei KI bedeutet und was zu tun ist.

Warum fühlt sich Datenschutz bei KI so gross an?

Weil drei Unsicherheiten zusammenkommen: Das Gesetz ist vielen nur vom Hörensagen bekannt, die Anbieterbedingungen ändern laufend, und die Branche denkt zuerst an Haftung. Dabei ist die Lage einfacher, als sie wirkt. Das Gesetz ist technologieneutral, der EDÖB hält ausdrücklich fest, dass das seit dem 1. September 2023 geltende Datenschutzgesetz auf KI-gestützte Datenbearbeitungen direkt anwendbar ist (EDÖB: KI und Datenschutz). Es gibt also kein separates KI-Datenschutzrecht, sondern bekannte Pflichten, angewendet auf ein neues Werkzeug. Zehn Punkte decken für ein kleines Institut das Wesentliche ab.

Die revDSG-Checkliste: zehn Punkte für Ihren KI-Einsatz

Gehen Sie die Liste der Reihe nach durch und haken Sie ab, was bereits geregelt ist. Für die meisten Finanz-KMU ist das Arbeit von Wochen, nicht von Monaten.

• 1. Datenklassen festlegen. Was gilt: Das Gesetz unterscheidet normale Personendaten von besonders schützenswerten Daten, etwa Gesundheitsangaben in Kundendossiers (Art. 5 revDSG). Bei KI: Die Klasse entscheidet, in welche Umgebung ein Inhalt überhaupt darf. Zu tun: Führen Sie eine einfache Ampel ein, öffentlich, anonymisiert, identifizierbar. Die praktische Umsetzung dieser Ampel beschreibt der Artikel ChatGPT in der Vermögensverwaltung: Was ist erlaubt?.
• 2. Auftragsverarbeitung vertraglich regeln. Was gilt: Wer Personendaten von einem Dienstleister bearbeiten lässt, regelt das vertraglich (Art. 9 revDSG). Bei KI: Fast jeder Anbieter, der Ihre Dokumente oder Eingaben verarbeitet, ist ein solcher Auftragsbearbeiter. Zu tun: Prüfen Sie, ob Ihr Vertrag eine Auftragsverarbeitungsklausel enthält. Gratis-Konten enthalten in der Regel keine und scheiden für Kundendaten damit aus.
• 3. Bekanntgabe ins Ausland prüfen. Was gilt: Personendaten dürfen grundsätzlich nur in Staaten bekannt gegeben werden, die ein angemessenes Schutzniveau bieten; der Bundesrat führt dazu eine Liste (Art. 16 und 17 revDSG). Bei KI: Entscheidend ist, wo die Server stehen und von wo aus auf die Daten zugegriffen werden kann. Zu tun: Fragen Sie jeden Anbieter nach Datenstandort und Zugriffsorten. Worauf Sie bei der Standortwahl achten sollten, steht im Artikel KI-Hosting in der Schweiz.
• 4. Informationspflicht erfüllen. Was gilt: Wer Personendaten beschafft, informiert die betroffenen Personen über Verantwortliche, Zweck und Empfänger der Daten (Art. 19 ff. revDSG). Bei KI: Wertet KI Kundendokumente aus oder bereitet sie Kundenmails vor, gehört das in Ihre Datenschutzerklärung oder Kundenunterlagen. Zu tun: Ergänzen Sie einen kurzen Absatz, der beschreibt, wofür Sie KI einsetzen und wo die Daten liegen.
• 5. Datenschutz-Folgenabschätzung prüfen. Was gilt: Bei Bearbeitungen mit hohem Risiko für die Persönlichkeit kann eine Folgenabschätzung nötig werden (Art. 22 revDSG). Bei KI: KI auf sensiblen Kundendaten in grossem Umfang kann ein solches Risiko darstellen; ein begrenzter Pilot mit geprüften Daten liegt in der Regel darunter. Zu tun: Dokumentieren Sie kurz, warum Ihr Vorhaben kein hohes Risiko hat, oder lassen Sie eine Abschätzung fachlich prüfen.
• 6. Bearbeitungsverzeichnis führen. Was gilt: Verantwortliche führen ein Verzeichnis ihrer Bearbeitungstätigkeiten (Art. 12 revDSG). Kleinere Unternehmen sind unter Bedingungen davon ausgenommen; die Ausnahme gilt aber nicht für Bearbeitungen mit hohem Risiko, und sie entbindet nicht von den übrigen Pflichten. Bei KI: Jedes KI-Werkzeug gehört mit Zweck, Datenarten und Verantwortung in dieses Verzeichnis. Zu tun: Eine schlichte Tabelle genügt und deckt sich mit dem KI-Inventar, das die FINMA erwartet, siehe FINMA-Aufsichtsmitteilung 08/2024 einfach erklärt.
• 7. Datensicherheit gewährleisten. Was gilt: Personendaten sind durch angemessene technische und organisatorische Massnahmen zu schützen (Datenschutzverordnung, Fedlex). Bei KI: Rollenbasierte Zugriffe, geschützte Geschäftskonten statt privater Logins und Protokollierung der Zugriffe. Zu tun: Definieren Sie einen Mindeststandard für jedes KI-Tool: Mehrfaktor-Authentifizierung, keine geteilten privaten Konten, klare Berechtigungen.
• 8. Aufbewahrung und Löschung regeln. Was gilt: Personendaten werden nur so lange aufbewahrt, wie es der Zweck verlangt; gesetzliche Aufbewahrungspflichten, etwa aus dem FIDLEG, gehen vor. Bei KI: Chatverläufe, hochgeladene Dokumente und Zwischenergebnisse sammeln sich schnell an. Zu tun: Legen Sie Löschfristen fest und prüfen Sie, ob Ihr Anbieter Daten auf Wunsch vollständig löscht.
• 9. Automatisierte Einzelentscheide kennzeichnen. Was gilt: Entscheide, die ausschliesslich automatisiert fallen und für eine Person Rechtsfolgen entfalten, unterliegen einer eigenen Informationspflicht (Art. 21 revDSG). Bei KI: Solange ein Mensch jedes kundenrelevante Ergebnis prüft und freigibt, liegt in der Regel kein automatisierter Einzelentscheid vor. Zu tun: Halten Sie den assistierten Modus schriftlich fest: Die KI bereitet vor, der Mensch entscheidet.
• 10. Meldeweg für Verletzungen festlegen. Was gilt: Verletzungen der Datensicherheit, die ein hohes Risiko für die Betroffenen mit sich bringen, sind dem EDÖB so rasch wie möglich zu melden (Art. 24 revDSG). Bei KI: Ein falsch adressierter KI-Entwurf oder ein Datenleck beim Anbieter kann darunter fallen. Zu tun: Bestimmen Sie, wer im Haus über eine Meldung entscheidet und wie ein Vorfall intern gemeldet wird.

Aus meiner Praxis: Die Umsetzung ist selten das Problem, die Unschärfe davor ist es. Sobald die zehn Punkte auf einem Blatt stehen und jeder Punkt eine verantwortliche Person hat, wird aus der diffusen Sorge eine Liste mit Häkchen. In den meisten Häusern sind sechs der zehn Punkte innert eines Monats erledigt. Bei den übrigen vier geht es um Entscheide der Geschäftsleitung, nicht um Technik.

Was gehört in den Vertrag mit dem KI-Anbieter?

Ein grosser Teil der Checkliste landet früher oder später in einem Vertrag. Sechs Klauseln sollten Sie bei jedem KI-Anbieter schriftlich haben:

• Auftragsverarbeitung: Der Anbieter bearbeitet Personendaten ausschliesslich in Ihrem Auftrag und nach Ihren Weisungen.
• Datenstandort: Benannte Rechenzentren und eine Regelung für Unterauftragnehmer.
• Trainingsausschluss: Ihre Eingaben und Dokumente werden nicht zum Training von Modellen verwendet.
• Löschung: Definierte Fristen und eine bestätigte Löschung bei Vertragsende.
• Unterstützung bei Vorfällen: Der Anbieter meldet Sicherheitsvorfälle und unterstützt Sie bei allfälligen Meldungen.
• Exit-Regelung: Sie erhalten Ihre Daten in einem nutzbaren Format zurück.

Die Bedingungen der Anbieter ändern sich regelmässig. Prüfen Sie den aktuellen Stand vor dem Abschluss und danach mindestens einmal pro Jahr.

Hinweis: Wir sind keine Anwaltskanzlei. Alle Angaben zu rechtlichen und regulatorischen Themen, insbesondere zum revDSG und zur DSV, stehen unter Vorbehalt und ersetzen keine Rechtsberatung. Für konkrete Fragen ziehen Sie bitte eine Anwältin oder einen Anwalt bei.

Fazit: Ihr nächster Schritt

Drucken Sie diese zehn Punkte aus und setzen Sie einen Termin von einer Stunde mit den Verantwortlichen an. Gehen Sie die Liste durch, haken Sie ab, was geregelt ist, und benennen Sie für jeden offenen Punkt eine Person und ein Datum. Damit ist Datenschutz keine Hürde mehr, sondern ein Projekt mit einem Ende. Wie Sie die Nutzung im Team zusätzlich mit einer kurzen Regel absichern, zeigt unsere KI-Richtlinie für Finanz-KMU zum Herunterladen. Den Gesamtüberblick über Anwendungsfälle, Kosten und Vorgehen gibt der Leitfaden 2026: KI für Finanzdienstleister in der Schweiz. Und wenn Sie sehen möchten, wie eine geschützte Umgebung für Kundendaten konkret aussieht: Auf KI für Vermögensverwalter zeigen wir es an einem Beispiel.

FAQ

Gilt das revDSG auch für ein Büro mit drei Personen?

Ja, grundsätzlich gilt es unabhängig von der Grösse. Erleichterungen gibt es beim Bearbeitungsverzeichnis, doch die übrigen Pflichten gelten auch für kleine Teams. Der Vorteil kleiner Häuser: Zehn Punkte sind an einem Tisch schnell entschieden.

Was droht bei Verstössen?

Das Gesetz sieht Bussen gegen die verantwortlichen Privatpersonen vor, in schweren Fällen bis zu CHF 250'000 (Art. 60 ff. revDSG). Bei Vertrauensberufen wiegt der Reputationsschaden meist schwerer als die Busse. Die Einordnung Ihres konkreten Risikos gehört zu einer Fachperson.

Muss ich meine Kunden um Erlaubnis fragen, bevor KI ihre Daten bearbeitet?

Nicht in jedem Fall. Häufig genügt die Information über die Bearbeitung, zum Beispiel in der Datenschutzerklärung. Eine Einwilligung kann nötig werden, wenn besonders schützenswerte Daten im Spiel sind oder die Bearbeitung über das hinausgeht, was Kunden erwarten dürfen. Der Einzelfall gehört zu einer Fachperson.

Reicht diese Checkliste als Nachweis gegenüber der Aufsicht?

Nein. Die Checkliste ist eine Arbeitshilfe, keine Rechtsberatung und keine offizielle Weisung. Was die FINMA zusätzlich an Governance und Dokumentation erwartet, steht im Artikel FINMA-Aufsichtsmitteilung 08/2024 einfach erklärt.

Wo finde ich die verbindlichen Texte?

Das Gesetz steht auf Fedlex (revidiertes Datenschutzgesetz), die Verordnung ebenfalls (Datenschutzverordnung), und der EDÖB publiziert laufend Merkblätter, darunter seinen Leitfaden zum neuen Datenschutzgesetz.