Bankkundengeheimnis und Berufsgeheimnis

Bei Banken wird das DSG vom Bankkundengeheimnis überlagert. Art. 47 des Bankengesetzes (BankG) stellt es unter Strafe, wenn Organe, Angestellte, Beauftragte und Prüfer einer Bank Geheimnisse offenbaren, die ihnen in dieser Eigenschaft anvertraut wurden.¹ Der Schutz erstreckt sich auf Kundendaten, die in IT-Systemen bearbeitet werden, und damit auch auf Daten, die eine Bank in ein System künstlicher Intelligenz einspeist, sei es ein eigenes oder das eines Anbieters. Die Offenbarung gegenüber einem Dienstleister ist nicht strafbar, wenn der Dienstleister an das Geheimnis gebunden ist und im Rahmen eines Outsourcings als Hilfsperson der Bank handelt. Die Offenbarung gegenüber einem Anbieter im Ausland, dessen Personal von ausländischen Behörden zur Herausgabe der Daten gezwungen werden könnte, wirft Fragen auf, die die Banken mit vertraglichen und technischen Massnahmen wie Verschlüsselung, Pseudonymisierung und der Aufbewahrung der Schlüssel in der Schweiz beantwortet haben. Die Leitlinien der Schweizerischen Bankiervereinigung zur Nutzung von Cloud-Diensten legen den Ansatz der Branche dar.² Vermögensverwalter, Trustees und Treuhänder unterstehen den Vorschriften über das Berufsgeheimnis des Finanzinstitutsgesetzes (Art. 69 FINIG), Rechtsanwälte und Treuhänder im Tessin zudem ihrem eigenen Berufsgeheimnis.³

Die generative künstliche Intelligenz verleiht der Frage eine neue praktische Dringlichkeit. Ein Mitarbeiter, der einen Kundenbrief in einen öffentlichen Chatbot kopiert, gibt die Daten des Kunden dem Anbieter des Chatbots bekannt, der sie auf Servern im Ausland speichern und zum Training seiner Modelle verwenden kann. Viele Luganeser Institute haben deshalb die Verwendung öffentlicher Chatbots für Kundendaten untersagt und Unternehmensversionen mit vertraglichen Garantien eingeführt oder Modelle, die auf ihrer eigenen Infrastruktur oder auf einer Schweizer Plattform laufen. Die oben beschriebene Veröffentlichung von Apertus durch die Swiss AI Initiative und seine Verfügbarkeit über einen Schweizer Telekommunikationsanbieter antworten unmittelbar auf diese Nachfrage.⁴

Italienische Kunden und die DSGVO

Die meisten Kunden der Luganeser Banken und Vermögensverwalter wohnen in Italien. Die DSGVO gilt für einen Verantwortlichen ausserhalb der Europäischen Union, wenn er personenbezogene Daten von betroffenen Personen in der Union im Zusammenhang damit verarbeitet, ihnen Waren oder Dienstleistungen anzubieten oder ihr Verhalten zu beobachten (Art. 3 Abs. 2 DSGVO).⁵ Ob eine Luganeser Bank in diesem Sinn Personen mit Wohnsitz in Italien Dienstleistungen «anbietet», hängt vom Sachverhalt ab, und die Prüfung überschneidet sich mit der in Kapitel E.IV behandelten Frage der grenzüberschreitenden Finanzdienstleistungen. Eine Bank, die ihre Dienstleistungen in Italien aktiv bewirbt, dürfte für diese Kunden der DSGVO unterstehen und muss allenfalls schriftlich einen Vertreter in der Union benennen (Art. 27 Abs. 1 DSGVO). Die Pflicht entfällt nur für eine Verarbeitung, die gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Datenkategorien oder von Daten über strafrechtliche Verurteilungen einschliesst und voraussichtlich nicht zu einem Risiko für die betroffenen Personen führt (Art. 27 Abs. 2 DSGVO) – eine Ausnahme, auf die sich eine Bank mit einer regelmässigen italienischen Kundschaft selten wird berufen können. Eine Bank, die italienische Kunden nur auf deren eigene Initiative und in der Schweiz bedient, kann besser argumentieren, dass sie ausserhalb des Anwendungsbereichs liegt. In beiden Fällen hat die Europäische Kommission der Schweiz ein angemessenes Schutzniveau zuerkannt, eine Feststellung, die erstmals in der Entscheidung 2000/518/EG vom 26. Juli 2000 getroffen und in der Überprüfung der Kommission vom 15. Januar 2024 bestätigt wurde, sodass Daten ohne zusätzliche Garantien von Italien in die Schweiz fliessen können.⁶

Die italienische Datenschutzbehörde, der Garante per la protezione dei dati personali, gehört zu den aktivsten europäischen Behörden im Bereich der künstlichen Intelligenz. Mit einer dringlichen Verfügung vom 30. März 2023 beschränkte sie vorübergehend die Bearbeitung der Daten italienischer Nutzer durch ChatGPT. Als sie ihre Untersuchung im Dezember 2024 abschloss, büsste sie den Anbieter mit EUR 15 Mio. wegen Verstössen gegen die DSGVO, darunter die Bearbeitung von Daten zu Trainingszwecken ohne angemessene Rechtsgrundlage, mangelhafte Transparenz, die unterlassene Meldung einer Datenschutzverletzung vom März 2023 und das Fehlen einer Altersüberprüfung, und sie verpflichtete OpenAI zu einer sechsmonatigen Informationskampagne in italienischen Medien.⁷ Für Luganeser Institute mit italienischen Kunden ist die Praxis des Garante eine Erinnerung daran, dass der Einsatz künstlicher Intelligenz auf Daten von Personen mit Wohnsitz in Italien nach italienischen und europäischen Massstäben überprüft werden kann, die in mehrfacher Hinsicht strenger sind als die schweizerischen.

Das Wesentliche. Das revidierte DSG, in Kraft seit 1. September 2023, ist unmittelbar auf künstliche Intelligenz anwendbar. Seine für Finanzinstitute zentralen Bestimmungen betreffen Datenschutz durch Technik (Art. 7), Auftragsbearbeiter (Art. 9), Bekanntgabe ins Ausland (Art. 16–17), automatisierte Einzelentscheidungen (Art. 21), Folgenabschätzungen (Art. 22) und die Meldung von Datensicherheitsverletzungen (Art. 24). Das Bankkundengeheimnis nach Art. 47 BankG und das Berufsgeheimnis nach Art. 69 FINIG fügen einen strafrechtlichen Schutz der Kundendaten hinzu. Für Kunden in Italien kann die DSGVO gestützt auf ihren Art. 3 Abs. 2 anwendbar sein, und der italienische Garante setzt sie im Bereich der künstlichen Intelligenz aktiv durch.

Anmerkungen

1. Bankengesetz (oben), Art. 47 Abs. 1 (Organe, Angestellte, Beauftragte, Liquidatoren und Angestellte von Prüfgesellschaften, die ein ihnen in dieser Eigenschaft anvertrautes Geheimnis offenbaren; Freiheitsstrafe bis zu drei Jahren oder Geldstrafe), https://www.droit-bilingue.ch/de-fr/9/95/952.0-47-100.html. ↩
2. Schweizerische Bankiervereinigung, Cloud-Leitfaden (erste Ausgabe März 2019, später aktualisiert). ↩
3. FINIG (oben), Art. 69 («Verletzung des Berufsgeheimnisses»: Freiheitsstrafe bis zu drei Jahren oder Geldstrafe), https://www.droit-bilingue.ch/de-fr/9/95/954.1-69-72.html; zu den Treuhändern im Tessin vgl. Kapitel E.III. ↩
4. EPFL AI Center (2. September 2025, oben) (Swisscom als strategische Partnerin; souveräne Schweizer KI-Plattform). ↩
5. Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung), ABl. L 119 vom 4.5.2016, S. 1, https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng; Text von Art. 3 Abs. 2 und Art. 27 Abs. 1–2 abgerufen unter https://gdpr-info.eu/art-3-gdpr/ und https://gdpr-info.eu/art-27-gdpr/. ↩
6. Europäische Kommission, Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC, COM(2024) 7 final, Brüssel, 15. Januar 2024, https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52024DC0007 («Switzerland continues to provide an adequate level of protection for personal data transferred from the EU»); Entscheidung 2000/518/EG der Kommission vom 26. Juli 2000 gemäss der Richtlinie 95/46/EG über die Angemessenheit des Schutzes personenbezogener Daten in der Schweiz, K(2000) 2304, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32000D0518. ↩
7. Garante per la protezione dei dati personali, Provvedimento n. 112 vom 30. März 2023 (dringliche vorübergehende Beschränkung der Bearbeitung gegenüber OpenAI L.L.C.), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870832; Garante, Medienmitteilung «ChatGPT, il Garante privacy chiude l'istruttoria» (20. Dezember 2024), zu Provvedimento n. 755 vom 2. November 2024 (Busse von EUR 15 Mio., sechsmonatige Informationskampagne, Übertragung des fortdauernden Verfahrens an die irische Behörde als federführende Behörde), https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.