Viele Unternehmen setzen Künstliche Intelligenz KI inzwischen im Alltag ein, etwa als Textassistent oder für automatisierte Auswertungen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte EDÖB hat eine Vorabklärung zu KI-gestützten Kameras an Selbstbedienungskassen abgeschlossen und keine formelle Untersuchung eingeleitet. Der Fall zeigt, dass das geltende Datenschutzgesetz auch für KI klare Leitplanken setzt. Für Klein- und Mittelunternehmen KMU ist das eine pragmatische Orientierung.

Der Fall Coop

Wie der EDÖB in seiner Mitteilung schildert, meldeten Medien im Februar 2025, dass die Coop-Genossenschaft in einigen Verkaufsstellen, insbesondere in Lausanne, an Selbstbedienungskassen womöglich Überwachungskameras mit KI einsetze. Ein Piktogramm wies die Kundinnen und Kunden darauf hin. Der EDÖB eröffnete daraufhin eine Vorabklärung und verlangte vom Unternehmen Informationen zum konkreten Einsatz der Kameras, zu den bearbeiteten Daten und zum Zweck der Bearbeitung.

Zweck und Transparenz entscheiden

Gestützt auf die Prüfung und die Erläuterungen von Coop konnte der EDÖB die Funktionsweise der Kameras nachvollziehen und sich vergewissern, dass sie keine Gesichtserkennung durchführen und das Kaufverhalten nicht analysieren können. Die Datenbearbeitung entspricht laut Mitteilung des EDÖB dem Datenschutzgesetz, eine formelle Untersuchung war nicht nötig. Drei Punkte haben den Ausschlag gegeben: ein klar begrenzter Zweck, eine nachvollziehbare Funktionsweise und eine transparente Information der betroffenen Personen.

Das DSG gilt auch für KI

Grundsätzlich hält der EDÖB auf seiner Themenseite zu KI und Datenschutz fest, dass das Datenschutzgesetz DSG technologieneutral formuliert und auf KI-gestützte Datenbearbeitungen direkt anwendbar ist. Hersteller, Anbieter und Verwender müssen bereits bei der Entwicklung sicherstellen, dass Betroffene über ein möglichst hohes Mass an informationeller Selbstbestimmung verfügen. Bei hohen Risiken verlangt das DSG eine Datenschutz-Folgenabschätzung.

Grenzen bleiben klar gezogen

Der EDÖB betont, dass KI-Anwendungen mit hohen Risiken datenschutzrechtlich dem Grundsatz nach zulässig sind, aber angemessene Schutzmassnahmen erfordern. Verboten sind hingegen Anwendungen, die auf eine Aushöhlung der Privatsphäre abzielen: etwa die flächendeckende Gesichtserkennung in Echtzeit oder die umfassende Bewertung der Lebensführung, das sogenannte Social Scoring. Nicht die Technologie an sich ist das Problem, sondern ein unklarer Zweck oder eine Bearbeitung, die über das Notwendige hinausgeht.

Was das für Schweizer KMU bedeutet

Die meisten KMU setzen KI nicht für Videoüberwachung ein, sondern für Texte, Übersetzungen, Auswertungen oder Kundenanfragen. Die Grundsätze gelten trotzdem. Wer Personendaten von Kundinnen und Kunden oder Mitarbeitenden mit KI bearbeitet, muss wissen, wo diese Daten verarbeitet werden, ob der Anbieter sie weiterverwendet und wie Betroffene informiert werden. Bei automatisierten Einzelentscheidungen ist zudem das Recht auf Überprüfung durch eine Person zu beachten.

Ein pragmatischer Fahrplan

Für die Einführung genügt oft ein strukturiertes Vorgehen: den Zweck jeder KI-Anwendung festhalten, nur die nötigen Daten verwenden, Verträge und Datenstandort der Anbieter prüfen und bei sensiblen Anwendungen eine Datenschutz-Folgenabschätzung durchführen. Ergänzend helfen klare interne Regeln, welche Informationen in KI-Werkzeuge eingegeben werden dürfen.

Datenschutz beginnt dabei schon bei der Wahl der Umgebung. Eine Datenhaltung in isolierten Schweizer Umgebungen stellt sicher, dass vertrauliche Daten nie die Schweizer AI-Datacenter verlassen und nicht für Training oder Werbung verwendet werden. DSGVO und EU AI Act sind dabei garantiert. So wird Datenschutz nicht zur Bremse, sondern zur Grundlage für einen vertrauenswürdigen KI-Einsatz.