Was das nDSG von einer Automatisierung verlangt
Das Gesetz ist technologieneutral geschrieben. Es unterscheidet nicht zwischen einem Excel-Makro und einem Sprachmodell.
Für den Betrieb heisst das: Die Pflicht hängt am Prozess, nicht am Werkzeug. Ob Sie ein Modell lokal betreiben oder eine Cloud-Schnittstelle nutzen, ändert die Risiko-Lage, aber nicht die Grundfrage. Verlassen Personendaten den Betrieb, braucht es eine vertragliche Bindung des Anbieters. Gehen sie ins Ausland, braucht es entweder ein Land auf der vom Bundesrat geführten Staatenliste oder zusätzliche Garantien im Vertrag.
| Was im Prozess anfällt | Was das nDSG dazu verlangt |
|---|---|
| Kundendaten in einem externen KI-Dienst | Zweck festhalten, Bearbeitung erkennbar machen, Anbieter als Auftragsbearbeiter vertraglich binden |
| Übermittlung ins Ausland | Land mit angemessenem Schutz oder zusätzliche vertragliche Garantien |
| Besonders schützenswerte Daten, etwa Gesundheit | Höhere Anforderungen, bei hohem Risiko eine Datenschutz-Folgenabschätzung |
| Keine Personendaten, etwa Pläne oder Maschinendaten | Das nDSG greift nicht. Es bleibt eine Frage des Geschäftsgeheimnisses |
Die Frage ist selten das Modell
Die meisten Datenschutz-Bedenken, die mir Geschäftsführer schildern, lassen sich am Tool gar nicht beantworten. Sie bleiben offen, weil niemand im Haus genau sagen kann, welche Daten in welchem Schritt überhaupt anfallen.
Eine Datenschutz-Frage, die niemand beantworten kann, ist meistens keine Rechtsfrage. Sie ist ein Zeichen dafür, dass der Prozess nie sauber beschrieben wurde.
In einem laufenden Mandat bei einem Industriebetrieb in der Ostschweiz rechne ich für eine einzige Aufgabe mit 240 Stunden Handarbeit im Jahr: Daten aus Plänen, von Hand abgetragen. Darin steckt keine einzige Personenangabe. Das liess sich aber erst sagen, nachdem der Ablauf Schritt für Schritt zerlegt war.
Der Gegenfall sitzt in jedem KMU: die Antwort auf Kundenanfragen per E-Mail, fünf bis zehn Minuten pro Mail, fünf bis zehn Mails am Tag. Hier ist jede Zeile eine Personenangabe. Derselbe Betrieb, dieselbe Technik, zwei verschiedene Pflichtenlagen. Der Unterschied liegt im Datenfluss.
Vier Fragen, bevor Sie ein Werkzeug auswählen
Diese vier Antworten braucht jedes Automatisierungs-Projekt ohnehin. Sie fallen nicht zusätzlich an, sie werden nur meistens übersprungen.
- Welche Personendaten fallen in diesem Prozess an, und in welchem Schritt genau?
- Zu welchem Zweck werden sie heute bearbeitet, und deckt dieser Zweck die geplante Automatisierung?
- Verlässt ein Datum den Betrieb, und wenn ja, in welches Land?
- Wer haftet vertraglich, wenn der Anbieter die Daten für eigene Zwecke weiterverwendet?
Wer diese Liste ausgefüllt hat, kann Anbieter vergleichen, statt auf ein Gütesiegel zu hoffen. Genau dort setzt die Zerlegung an, mit der ein Prozess-Audit Schritt für Schritt abläuft. Das geordnete Firmenwissen, auf dem eine Automatisierung danach läuft, gehört zur selben Architektur und ist im Aufbau aus Wissens-Fundament und Automation beschrieben.
Datenschutz ist damit kein Bremsklotz vor dem Projekt. Er ist die erste ehrliche Bestandsaufnahme, und wer sie macht, weiss nebenbei auch, welcher Prozess sich überhaupt rechnet. Warum ich so arbeite, steht bei Esteban Martin, Operator hinter SIGNEX.
Nach einem Telefonat wissen Sie, welcher Ihrer Abläufe überhaupt Personendaten berührt: Beschreiben Sie mir die drei Prozesse, die am meisten Zeit fressen, und ich ordne sie ein. Diagnose anfragen.