KI-Anbieter im Ausland: Datenzugriff und Verantwortung prüfen

Ausgangspunkt

Ein hypothetisches Beispiel: In einem Industrie-KMU laufen drei KI-Anwendungen produktiv, für Offerten, Sitzungsprotokolle und Kundenkommunikation. Der Anbieter nennt als Datenstandort Zürich. Die Muttergesellschaft sitzt in Kalifornien. Backups liegen in Frankfurt. Der Support arbeitet aus drei Zeitzonen. Im Offerten-Werkzeug stecken Preise, Rabattmatrizen und Spezifikationen der wichtigsten Kunden.

Die Angabe «Datenstandort Zürich» beantwortet in diesem Beispiel eine von vier Fragen. Offen bleibt, wo die Daten verarbeitet werden, wer die Schlüssel kontrolliert und welche Unterauftragnehmer Zugriff haben. Der Datenstandort allein ist weder eine rechtliche noch eine technische Garantie.

Zur Rollenverteilung: Die Geschäftsleitung wählt und prüft die Anbieter. Der Verwaltungsrat setzt bei wesentlichen Anwendungen die Leitplanken und lässt sich berichten.

Vier Ebenen getrennt beurteilen

Dieses Raster dient der Management- und Anbieterprüfung. Juristische oder security-technische Detailfragen müssen bei Bedarf mit entsprechend qualifizierten Fachpersonen geprüft werden.

Rechtlicher Rahmen: Was gilt für wen

Die folgenden Punkte geben Normtext und amtliche Mitteilungen wieder, Stand September 2026. Sie ersetzen keine Rechtsberatung im Einzelfall.

Datenschutzgesetz (DSG). Das DSG gilt für Personendaten natürlicher Personen (Art. 2). Geschäftsgeheimnisse ohne Personenbezug fallen nicht darunter. Sie schützen Sie über Vertrag, Geheimhaltung und Technik. Nach Art. 9 DSG muss sich der Verantwortliche vergewissern, dass ein Auftragsbearbeiter die Datensicherheit gewährleisten kann. Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen (Abs. 3).

Bekanntgabe ins Ausland. Nach Art. 16 Abs. 1 DSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat einen angemessenen Schutz festgestellt hat. Für die USA gilt das seit dem 15. September 2024 für Unternehmen, die unter dem Swiss-US Data Privacy Framework zertifiziert sind (Medienmitteilung des Bundesrats vom 14. August 2024, Anhang 1 der Datenschutzverordnung). Das US-Handelsministerium führt dazu eine öffentliche Liste. Für nicht zertifizierte Empfänger braucht es Garantien nach Art. 16 Abs. 2 DSG oder eine Ausnahme nach Art. 17 DSG. Die Zertifizierung betrifft die Bekanntgabe von Personendaten. Vertrag, Unterauftragnehmer und technischen Zugriff prüfen Sie weiterhin selbst.

EDÖB, Mitteilung vom 8. Mai 2025. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hält fest, dass das DSG technologieneutral formuliert und auf KI-gestützte Datenbearbeitungen direkt anwendbar ist. Bei hohem Risiko verlangt das Gesetz eine Datenschutz-Folgenabschätzung (Art. 22 DSG).

Privatim, Resolution vom 18. November 2025. Die Konferenz der schweizerischen Datenschutzbeauftragten hält die Auslagerung von besonders schützenswerten oder geheimhaltungspflichtigen Personendaten in SaaS-Lösungen grosser internationaler Anbieter durch öffentliche Organe in den meisten Fällen für unzulässig. Möglich sei sie nur, wenn das Organ die Daten selbst verschlüsselt und der Anbieter keinen Zugang zum Schlüssel hat. Die Resolution richtet sich an öffentliche Organe. Für ein privates KMU ist sie keine Vorgabe. Relevant wird sie, wenn ein öffentlicher Auftraggeber entsprechende Anforderungen in Ausschreibung oder Vertrag aufnimmt.

US-Recht. Der CLOUD Act vom 23. März 2018 (18 U.S.C. § 2713) verpflichtet erfasste Anbieter, Daten in ihrem Besitz, ihrem Gewahrsam oder unter ihrer Kontrolle herauszugeben, unabhängig davon, ob die Daten innerhalb oder ausserhalb der USA liegen. Das Bundesamt für Justiz hält in seinem Bericht vom 17. September 2021 fest, dass auch Unternehmen mit Holding, Tochtergesellschaft oder Zweigniederlassung in den USA betroffen sein können. Die Auslegung liegt bei US-Gerichten. Daneben besteht US-Nachrichtendienstrecht, namentlich Section 702 des Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a). Die Geltungsdauer dieser Bestimmung war 2026 im US-Kongress umstritten. Den aktuellen Stand lassen Sie im Einzelfall juristisch klären.

Wann kommt die DSGVO dazu?
Art. 3 DSGVO erfasst Unternehmen mit Niederlassung in der EU. Ohne Niederlassung gilt sie, wenn ein Unternehmen Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet. Die Anwendbarkeit ist eine Rechtsfrage des Einzelfalls.

Speicher, Transport, Verarbeitung: Drei Schutzarten

Verschlüsselung schützt Daten in drei Zuständen: gespeichert, im Transport und während der Verarbeitung. Jede Schutzart beantwortet eine andere Frage.

Gespeicherte Daten und eigene Schlüssel. Verschlüsselung gespeicherter Daten schützt vor dem Zugriff auf Datenträger. Microsoft nennt in der Azure-Dokumentation als Beispiel eine ausgebaute Festplatte. Mit kundenverwalteten Schlüsseln (Customer-Managed Keys, oft unter «Bring Your Own Key» geführt) steuern Sie Lebenszyklus und Zugriffsregeln der Schlüssel. Wird der Schlüssel gesperrt, sind die damit geschützten gespeicherten Daten für abhängige Dienste nicht mehr lesbar.

Transport. Transportverschlüsselung schützt den Weg zwischen Ihrem Unternehmen und dem Anbieter. Sie endet beim Dienst des Anbieters.

Verarbeitung. Hier liegt ein naheliegender Denkfehler. Eigene Schlüssel für gespeicherte Daten bedeuten nicht, dass der Anbieter während der Verarbeitung keinen Klartext sieht. Microsoft beschreibt das Grundmodell so: Ein symmetrischer Schlüssel verschlüsselt die Daten beim Schreiben auf den Speicher. Derselbe Schlüssel entschlüsselt sie, wenn sie für die Nutzung im Arbeitsspeicher vorbereitet werden («decrypts that data as it's prepared for use in memory», Azure data encryption at rest, Stand 8. Juli 2026). Ein Sprachmodell muss eine Eingabe lesen können, um sie zu verarbeiten. Während der Inferenz liegen die Daten deshalb entschlüsselt im Speicher des Dienstes.

Das Bundesamt für Justiz unterscheidet in seinem Bericht von 2021 mehrere Varianten. Verschlüsselt der Kunde die Daten selbst und behält den Schlüssel, kann der Anbieter sie ohne Mitwirkung des Kunden nicht entschlüsseln. Ein Cloud-Dienst kann solche Inhalte dann allerdings auch nicht auswerten. Verwaltet der Kunde den Schlüssel selbst, ist dieser aber in der Cloud hinterlegt, können die Daten laut Bericht vom Anbieter entschlüsselt und herausgegeben werden. Der CLOUD Act verpflichtet Anbieter laut Bericht nicht zur Entschlüsselung. Ein Zugriff von US-Behörden lässt sich je nach technischer Möglichkeit und vertraglicher Abrede trotzdem nicht ausschliessen. Die pauschale Aussage, bei einer Herausgabeanordnung werde nur Chiffretext geliefert, ist deshalb nicht haltbar.

Confidential Computing. Das Confidential Computing Consortium definiert den Begriff als Schutz von Daten während der Nutzung durch Berechnung in einer hardwarebasierten, attestierten Trusted Execution Environment. Microsoft schreibt, der Ansatz helfe, unbefugten Zugriff auf Daten in Verarbeitung zu verhindern, auch durch den Cloud-Betreiber, sofern die Lösung aktiviert und korrekt konfiguriert ist. Das ist eine Herstellerangabe unter Bedingungen. Meine Einordnung: Der Ansatz verkleinert die Angriffsfläche. Klären Sie drei Fragen. Läuft der konkrete KI-Dienst samt Modell in einer solchen Umgebung, oder nur ein Teil der Infrastruktur? Wer prüft die Attestierung? Welche Daten bleiben ausserhalb, zum Beispiel Metadaten, Protokolle und Supportzugriffe?

Datenklassen als Arbeitshilfe

Die folgende Einteilung ist meine organisatorische Empfehlung und eine anpassbare Arbeitshilfe, kein gesetzlicher Standard. Sie stuft den Prüfaufwand nach Schutzbedarf ab.

Fragenraster für die Anbieterprüfung

Fünf Prüfpunkte für Vertrag und Technik. Passen Sie die Liste an Ihre Situation an.

1. Unterauftragnehmer. Liegt eine vollständige Liste mit Sitz, Funktion und Datenzugriff vor? Können Sie Änderungen widersprechen?
2. Trainingsnutzung. Ist vertraglich geregelt, ob Eingaben, Ausgaben und Protokolle für das Training von Modellen verwendet werden?
3. Standorte. Wo liegen Daten, Backups und Protokolle? Wo findet die Verarbeitung statt? Von wo aus greift der Support zu?
4. Schlüssel und Klartext. Wer verwahrt die Schlüssel? Wann sieht der Anbieter Klartext: bei der Verarbeitung, im Support, bei der Missbrauchserkennung?
5. Behördenanfragen und Ausstieg. Wie geht der Anbieter mit Herausgabeanordnungen um, und informiert er Sie, soweit rechtlich zulässig? Wie erhalten Sie Ihre Daten zurück, und wie wird die Löschung inklusive Backups belegt?

Schweizer und europäische Anbieter

Für K3 und K4 lohnt der Vergleich mit Anbietern aus der Schweiz und der EU. Der Sitz allein entscheidet die Frage nicht, wie der Hinweis des Bundesamts für Justiz zu US-Tochtergesellschaften zeigt. Prüfen Sie bei jedem Anbieter dieselben Punkte: Konzernstruktur, Herkunft und Betrieb des Modells, Unterauftragnehmer, Supportzugriff, Vertrag, Qualität und Kosten. Wie Sie mehrere Angebote auf dieselbe Grundlage bringen, zeigt der Beitrag Drei KI-Anbieter, drei Antworten. Die Frage nach Kaufen, Integrieren oder Entwickeln ordnet der Beitrag KI bauen, kaufen oder integrieren.

Wer prüft, wer entscheidet

Art. 716a OR nennt als unübertragbare Aufgaben des Verwaltungsrats unter anderem die Oberleitung, die Festlegung der Organisation und die Oberaufsicht über die Geschäftsführung. KI nennt der Artikel nicht. Meine Empfehlung zur Aufgabenteilung: Die Geschäftsleitung führt das Verzeichnis der KI-Anwendungen, prüft die Anbieter und dokumentiert das Ergebnis. Der Verwaltungsrat legt fest, ab welcher Schwelle er einbezogen wird, und lässt sich regelmässig berichten. Was wesentlich ist, regelt die Kompetenzordnung. Dieselbe Dokumentation hilft, wenn Grosskunden oder öffentliche Auftraggeber in Lieferantenprüfungen nach der KI-Datenkette fragen.

Die folgende Formulierung ist eine anpassbare Arbeitshilfe, keine Rechtsberatung. Organisationsreglement und Kompetenzordnung Ihres Unternehmens gehen vor.

Der Verwaltungsrat legt fest, dass die Geschäftsleitung vor dem produktiven Einsatz von KI-Anwendungen mit Daten der Klassen K3 oder K4 eine dokumentierte Anbieterprüfung durchführt. Die Prüfung umfasst Datenstandort, Verarbeitung, Schlüsselkontrolle, Unterauftragnehmer und Ausstieg. Anwendungen, die nach der Kompetenzordnung als wesentlich gelten, legt die Geschäftsleitung dem Verwaltungsrat vor der Inbetriebnahme vor. Die Geschäftsleitung berichtet dem Verwaltungsrat [halbjährlich] über Bestand, Änderungen und offene Punkte.

Nächster Schritt

1. Übersicht erstellen. Die Geschäftsleitung erstellt für die wichtigsten KI-Anwendungen je ein Datenblatt: Datenklasse, Anbieter und Konzernstruktur, Standorte, Unterauftragnehmer, Trainingsnutzung, Schlüsselkontrolle, Klartextzugriff, Ausstieg. Was sich innert zwei Arbeitstagen nicht belegen lässt, wird zur Aufgabe mit Termin und verantwortlicher Person.

2. Verträge prüfen lassen. Für Anwendungen mit K3- oder K4-Daten prüft eine Datenschutzfachperson oder eine spezialisierte Anwaltskanzlei die Verträge.

Handlungsfrage

Für welche Ihrer KI-Anwendungen können Sie heute alle vier Ebenen belegen: Datenstandort, Verarbeitung, Schlüsselkontrolle und Unterauftragnehmer?