Veröffentlicht am
Erlaubt ist der Einsatz, unzulässig ist der ungeregelte Einsatz: Das Datenschutzgesetz verbietet es nirgends, Kundendaten durch ein automatisiertes System zu schicken, es knüpft den Vorgang an Pflichten, die vorher erfüllt sein müssen. Wer sie erfüllt, darf; wer die Information der betroffenen Person unterlässt, die Bekanntgabe ins Ausland ohne Grundlage vornimmt oder die Bearbeitung ohne die Voraussetzungen von Artikel 9 an einen Dritten übergibt, verletzt Bestimmungen, die mit Busse bis zu 250 000 Franken bedroht sind.
Das Gesetz trägt das Datum vom 25. September 2020 und ist seit dem 1. September 2023 in Kraft. In der Praxis heisst diese Fassung «revDSG»; der Erlass selbst führt die Abkürzung DSG. Die technischen Anforderungen stehen nicht im Gesetz, sondern in der Datenschutzverordnung (DSV), auf die Artikel 8 Absatz 3 DSG ausdrücklich verweist.
Dieser Beitrag geht die Pflichten in der Reihenfolge durch, in der sie anfallen: Rollen, Grundsätze, Information, Ausland, Verzeichnis, Sicherheit, Folgenabschätzung, Meldung. Er behandelt nur Schweizer Recht; warum, steht am Schluss.
Artikel 5 DSG trennt zwei Rollen. Verantwortlicher ist die private Person oder das Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet. Auftragsbearbeiter ist, wer im Auftrag des Verantwortlichen Personendaten bearbeitet. Wer als Broker eine Software einsetzt und bestimmt, welche Kundendaten wofür verarbeitet werden, ist Verantwortlicher. Der Anbieter der Software und der dahinterliegende Modellbetreiber sind Auftragsbearbeiter.
Diese Zuordnung ist keine Formsache, weil sie die Pflichtenkette auslöst. Artikel 9 DSG erlaubt die Übertragung an einen Auftragsbearbeiter nur, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht sie verbietet. Der Verantwortliche muss sich zudem insbesondere vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Und der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung einem Dritten übertragen.
Der letzte Satz ist der praktisch wichtigste. Zwischen dem Broker und dem Rechenzentrum, in dem ein Modell läuft, liegen fast immer mehrere Unternehmen, und jede Weitergabe braucht die Genehmigung des Verantwortlichen. Artikel 7 DSV lässt sie spezifisch oder allgemein zu; bei einer allgemeinen Genehmigung informiert der Auftragsbearbeiter über jede beabsichtigte Hinzuziehung oder Ersetzung Dritter, und der Verantwortliche kann widersprechen.
Artikel 6 DSG stellt sieben Absätze auf, und keiner kennt eine Ausnahme für automatisierte Verfahren. Personendaten müssen rechtmässig bearbeitet werden, die Bearbeitung nach Treu und Glauben erfolgen und verhältnismässig sein. Der dritte Absatz ist derjenige, an dem die meisten Vorhaben scheitern.
Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
DSG Art. 6 Abs. 3
Artikel 5 Buchstabe c DSG zählt sechs Gruppen besonders schützenswerter Personendaten auf, darunter Daten über die Gesundheit und die Intimsphäre, genetische Daten, biometrische Daten, die eine natürliche Person eindeutig identifizieren, sowie Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen.
Ein Krankentaggeld-Dossier, ein Antrag für eine Kollektiv-Krankenzusatzversicherung, eine Schadenmeldung mit ärztlichem Bericht: das sind Gesundheitsdaten. Wer solche Bestände automatisiert auswertet, landet in den Bestimmungen, die zusätzliche Pflichten an dieses Merkmal knüpfen.
Ein zweiter Begriff wird oft übersehen. Profiling ist nach Artikel 5 Buchstabe f DSG jede Art der automatisierten Bearbeitung, die Personendaten verwendet, um persönliche Aspekte zu bewerten, insbesondere um wirtschaftliche Lage, Gesundheit, Interessen, Zuverlässigkeit oder Verhalten zu analysieren oder vorherzusagen. Ein Profiling mit hohem Risiko liegt nach Buchstabe g vor, wenn es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. Eine Bedarfsanalyse, die aus Bestandsdaten Vorschläge ableitet, ist an diesem Wortlaut zu messen und nicht am eigenen Sprachgebrauch.
Artikel 19 DSG verlangt, dass der Verantwortliche die betroffene Person angemessen über die Beschaffung von Personendaten informiert, auch dann, wenn die Daten nicht bei ihr selbst beschafft werden. Mitzuteilen sind mindestens Identität und Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien. Werden die Daten ins Ausland bekanntgegeben, kommen der Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 hinzu.
Stammen die Daten nicht von der betroffenen Person, gilt eine Frist: spätestens einen Monat nach Erhalt der Daten, und wer sie vorher bekanntgibt, informiert spätestens im Zeitpunkt der Bekanntgabe.
Beim Auskunftsrecht wird es für automatisierte Verfahren konkret. Artikel 25 Absatz 2 DSG zählt auf, was die betroffene Person in jedem Fall erhält, und Buchstabe f nennt einen Punkt, den kein Standarddokument abdeckt.
gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht
DSG Art. 25 Abs. 2 Bst. f
Artikel 21 DSG betrifft eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt. Über eine solche Entscheidung ist die betroffene Person zu informieren. Auf Antrag muss ihr die Möglichkeit gegeben werden, ihren Standpunkt darzulegen, und sie kann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird.
Zwei Ausnahmen stehen im dritten Absatz: wenn die Entscheidung in unmittelbarem Zusammenhang mit Abschluss oder Abwicklung eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person steht und ihrem Begehren stattgegeben wird, oder wenn sie ausdrücklich eingewilligt hat, dass die Entscheidung automatisiert erfolgt.
Massgebend ist das Wort «ausschliesslich». Wer die Ausgabe eines Systems als Vorschlag behandelt und die Entscheidung selbst trifft und dokumentiert, fällt nicht unter diesen Artikel. Wer den Vorschlag unbesehen übernimmt, tut es der Sache nach doch.
Artikel 16 Absatz 1 DSG erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. Diese Feststellung ist keine Einschätzung, sondern eine Liste: Anhang 1 der Datenschutzverordnung.
Der Anhang führt im Stand vom 1. Dezember 2025 vierundvierzig Einträge. Nummer 44 sind die Vereinigten Staaten, und dieser Eintrag steht unter einer Bedingung: Ein angemessenes Schutzniveau gilt für Personendaten, die von Organisationen bearbeitet werden, die gemäss den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind. Nicht jeder amerikanische Anbieter fällt darunter, und die Zertifizierung ist am Namen der konkreten Rechtseinheit zu prüfen.
Fehlt ein Eintrag, bleibt Artikel 16 Absatz 2 DSG mit fünf Wegen: ein völkerrechtlicher Vertrag; Datenschutzklauseln in einem Vertrag, die dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten vorgängig mitgeteilt wurden; spezifische Garantien eines Bundesorgans mit derselben vorgängigen Mitteilung; Standarddatenschutzklauseln, die der Beauftragte vorgängig genehmigt, ausgestellt oder anerkannt hat; sowie verbindliche unternehmensinterne Datenschutzvorschriften, die vorgängig genehmigt wurden. Artikel 9 DSV zählt auf, was solche Klauseln mindestens enthalten müssen, von den Kategorien der bekanntgegebenen Daten bis zur Pflicht, Verletzungen der Datensicherheit zu melden.
Artikel 17 DSG kennt daneben Einzelfallausnahmen, etwa die ausdrückliche Einwilligung der betroffenen Person. Diese Ausnahmen tragen einzelne Vorgänge; als Dauerlösung für einen laufenden Datenstrom sind sie nicht gebaut.
Artikel 12 Absatz 1 DSG verlangt, dass Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Absatz 2 nennt sieben Mindestangaben: Identität des Verantwortlichen, Bearbeitungszweck, Kategorien betroffener Personen und bearbeiteter Daten, Kategorien der Empfängerinnen und Empfänger, wenn möglich die Aufbewahrungsdauer, wenn möglich eine allgemeine Beschreibung der Sicherheitsmassnahmen sowie bei Bekanntgabe ins Ausland den Staat und die Garantien nach Artikel 16 Absatz 2.
Absatz 5 kündigt Ausnahmen für kleinere Unternehmen an, und Artikel 24 DSV führt sie aus: Unternehmen und andere privatrechtliche Organisationen, die am 1. Januar eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen, sowie natürliche Personen sind befreit. Der Satz endet aber nicht dort. Die Befreiung entfällt, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko durchgeführt wird.
Damit ist die vermeintliche Erleichterung für viele Broker keine: Wer Gesundheitsdaten in grösserem Umfang führt, muss das Verzeichnis führen, unabhängig von der Zahl der Mitarbeitenden.
Artikel 8 DSG verlangt vom Verantwortlichen und vom Auftragsbearbeiter eine dem Risiko angemessene Datensicherheit; die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden. Absatz 3 überträgt die Mindestanforderungen dem Bundesrat, und dort setzt die Datenschutzverordnung an.
Artikel 1 DSV verlangt zuerst eine Bestimmung des Schutzbedarfs und eine Risikobeurteilung, danach die Festlegung geeigneter Massnahmen unter Berücksichtigung des Stands der Technik und der Implementierungskosten. Absatz 5 macht daraus eine Daueraufgabe: Schutzbedarf, Risiko und Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen und nötigenfalls anzupassen.
Artikel 3 DSV benennt die Massnahmen in drei Gruppen: Zugriffs-, Zugangs- und Benutzerkontrolle für die Vertraulichkeit; Datenträger-, Speicher- und Transportkontrolle, Wiederherstellung, Verfügbarkeit und Zuverlässigkeit sowie Systemsicherheit für Verfügbarkeit und Integrität; Eingabe- und Bekanntgabekontrolle sowie Erkennung und Beseitigung für die Nachvollziehbarkeit.
Zwei weitere Artikel greifen genau dann, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet. Artikel 4 DSV verlangt dann eine Protokollierung, wenn die präventiven Massnahmen den Datenschutz nicht gewährleisten können; die Protokolle müssen während mindestens einem Jahr getrennt vom System aufbewahrt werden, in welchem die Personendaten bearbeitet werden. Artikel 5 DSV verlangt ein Bearbeitungsreglement mit Angaben zur internen Organisation, zum Datenbearbeitungs- und Kontrollverfahren sowie zu den Massnahmen zur Datensicherheit.
Der Wortlaut von Artikel 4 Absatz 1 DSV ist seit dem 1. Dezember 2025 ein anderer als zuvor, und der Unterschied entscheidet darüber, was ein System mitschreiben muss. Die frühere Fassung nannte das Lesen in der Aufzählung; die geltende Fassung führt stattdessen das Zugreifen auf die Daten als eigenen Vorgang. Wer seine Protokollierung nach der alten Aufzählung gebaut hat, baut sie nach abgelöstem Recht.
Vorgelagert steht Artikel 7 DSG: Die Datenbearbeitung ist technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, und der Verantwortliche berücksichtigt dies ab der Planung. Geeignete Voreinstellungen müssen die Bearbeitung zudem auf das für den Verwendungszweck nötige Mindestmass beschränken.
Werden besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet oder wird ein Profiling mit hohem Risiko durchgeführt und können die präventiven Massnahmen den Datenschutz nicht gewährleisten, so müssen der private Verantwortliche und sein privater Auftragsbearbeiter zumindest das Speichern, Verändern, Bekanntgeben, Löschen und Vernichten der Daten sowie das Zugreifen auf die Daten protokollieren.
DSV Art. 4 Abs. 1, Fassung gemäss Ziff. I der V vom 29. Okt. 2025, in Kraft seit 1. Dez. 2025 (AS 2025 694)
Artikel 22 DSG verlangt vorgängig eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Absatz 2 sagt ausdrücklich, dass sich das hohe Risiko insbesondere bei Verwendung neuer Technologien aus Art, Umfang, Umständen und Zweck der Bearbeitung ergibt, und nennt namentlich die umfangreiche Bearbeitung besonders schützenswerter Personendaten. Inhalt sind eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken und die Schutzmassnahmen; für mehrere ähnliche Vorgänge genügt eine gemeinsame Abschätzung.
Geht etwas schief, gilt Artikel 24 DSG. Der Verantwortliche meldet dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko führt, und nennt mindestens deren Art, Folgen und die ergriffenen oder vorgesehenen Massnahmen. Der Auftragsbearbeiter meldet eine Verletzung so rasch als möglich dem Verantwortlichen. Die betroffene Person ist zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der Beauftragte es verlangt.
Die Meldekette gehört deshalb in den Vertrag, bevor der erste Datensatz fliesst. Ein Auftragsbearbeiter, der erst nach Tagen weitergibt, macht die Pflicht des Verantwortlichen unerfüllbar.
Die Erfüllung der Pflichten des Datenschutzgesetzes sagt nichts über das Aufsichtsrecht. Beide Ordnungen bestehen nebeneinander, mit eigenen Adressaten und eigenen Sanktionen.
Auf der Seite des Aufsichtsrechts steht für Vermittlerinnen und Vermittler Artikel 45 VAG. Buchstabe e des ersten Absatzes verlangt Information über die Bearbeitung der Personendaten, insbesondere über Ziel und Umfang der Bearbeitung, über die Empfängerin oder den Empfänger der Daten sowie deren Aufbewahrung. Das ist eine eigenständige Pflicht mit eigener Strafdrohung: Nach Artikel 86 Absatz 1 Buchstabe c VAG wird mit Busse bis zu 100 000 Franken bestraft, wer vorsätzlich eine der Informationspflichten nach den Artikeln 14a Absatz 2, 45, 45a Absatz 2 und 45b verletzt.
Umgekehrt lässt sich aus dem Aufsichtsrecht kein Datenschutznachweis holen. Das in Ausschreibungen viel zitierte FINMA-Rundschreiben 2018/3 «Outsourcing» nennt in Ziffer III als Geltungsbereich Banken und Wertpapierhäuser, bewilligungspflichtige Versicherungsunternehmen, Verwalter von Kollektivvermögen und Fondsleitungen sowie selbstverwaltete SICAV. Versicherungsvermittlerinnen und Versicherungsvermittler stehen in dieser Aufzählung nicht.
Daraus folgt eine Regel für jede Ausschreibungsantwort: Eine pauschale Konformitätsbehauptung gegenüber der Aufsicht lässt sich aus einem Datenschutzkonzept nicht ableiten. Belegbar sind einzelne Pflichten mit einzelnen Fundstellen.
Das Datenschutzgesetz regelt seinen räumlichen Anwendungsbereich in Artikel 3 Absatz 1: Es gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. In die Gegenrichtung verpflichtet Artikel 14 DSG private Verantwortliche mit Sitz im Ausland, eine Vertretung in der Schweiz zu bezeichnen, wenn ihre Bearbeitung von Daten hiesiger Personen umfangreich und regelmässig ist, mit einem Angebot oder einer Verhaltensbeobachtung zusammenhängt und ein hohes Risiko für die Persönlichkeit mit sich bringt. Das Schweizer Recht kennt also selbst eine Wirkung über die Grenze.
Ob und wieweit umgekehrt europäische Erlasse auf einen Schweizer Vermittler durchgreifen, beantwortet dieser Beitrag nicht. Das ist eine Abgrenzung des Themas, keine Lücke in den Quellen: Dieser Text handelt von den Pflichten, die das Schweizer Datenschutzrecht an eine automatisierte Bearbeitung knüpft. Der räumliche Anwendungsbereich der Datenschutz-Grundverordnung, ihre Rechtsgrundlagen und der EU AI Act sind eigene Fragen mit eigenen Tatbestandsmerkmalen; sie lassen sich nicht als Nebensatz in einem Beitrag zum Schweizer Recht beantworten.
Wer für einen konkreten Fall wissen muss, ob europäisches Recht greift, prüft das an der Verordnung selbst und an der Vertragslage mit den betroffenen Kundinnen und Kunden — nicht an einer Faustregel. Ein Fachartikel, der Rechtsfolgen behauptet, braucht die abgerufene Fundstelle für genau diese Rechtsfolge.
Wer den Beitrag auf das Nötigste zusammenzieht, behält acht Punkte, jeder mit einer Fundstelle:
SOTHURA SAFE ist eine Schweizer Software-Plattform für Versicherungsberater und -broker; zur eigenen Verarbeitung gilt der Wortlaut der Sicherheitsseite: «Speicherung zu 100 % in der Schweiz; die KI-Auswertung läuft in Zürich und weicht nur bei Überlast auf einen EU-Standort aus — Verarbeitung damit ausschliesslich in der Schweiz und der EU, Kunden-, Vertrags- und Dokumentdaten gehen nicht in die USA oder andere Drittstaaten».
SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Kanton Solothurn. Eingetragen im Handelsregister des Kantons Solothurn, UID CHE-429.131.582. Die Geschäftsführung liegt bei Silvio Siegenthaler und Michel Di Vito, Zeichnungsberechtigung Kollektivunterschrift zu zweien. Die vollständige Anbieterkennzeichnung steht im Impressum.