Datenschutz und Bankkundengeheimnis im Zeitalter künstlicher Intelligenz

Das revidierte Datenschutzgesetz

Das Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) trat am 1. September 2023 in Kraft und ersetzte das Gesetz von 1992.¹ Die Revision glich das schweizerische Recht an die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und an die modernisierte Konvention 108 des Europarats an. Sie behielt eine Reihe schweizerischer Besonderheiten bei: Das Gesetz schützt nur natürliche Personen, es setzt stärker auf strafrechtliche Sanktionen gegen Einzelpersonen als auf Verwaltungsbussen gegen Unternehmen, und es formuliert viele Pflichten allgemeiner als die DSGVO.² Das DSG ist technologieneutral. Es enthält kein besonderes Kapitel über künstliche Intelligenz, doch mehrere seiner Bestimmungen sind unmittelbar auf automatisierte Bearbeitungen anwendbar und wurden im Hinblick auf solche Bearbeitungen formuliert.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) stellte dies in einer Stellungnahme vom 9. November 2023 klar. Das seit dem 1. September 2023 geltende DSG «ist direkt auf KI-gestützte Datenbearbeitungen anwendbar», und «die bereits geltenden Datenschutzbestimmungen sind einzuhalten». Hersteller, Anbieter und Anwender von Systemen künstlicher Intelligenz müssen Zweck, Funktionsweise und Datenquellen der Bearbeitung transparent machen. Betroffene Personen haben ein Recht zu wissen, ob sie mit einer Maschine sprechen oder korrespondieren und wie ihre Daten verwendet werden. Sie können der automatisierten Bearbeitung widersprechen und verlangen, dass eine automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird. Bearbeitungen mit hohem Risiko erfordern eine Datenschutz-Folgenabschätzung, und der Beauftragte erachtete Anwendungen wie die Gesichtserkennung in Echtzeit im öffentlichen Raum und umfassendes «Social Scoring» als mit dem Gesetz unvereinbar.³

Die für Finanzinstitute massgebenden Bestimmungen

Für eine Luganeser Bank oder einen Vermögensverwalter sind beim Einsatz künstlicher Intelligenz die folgenden Bestimmungen des DSG am wichtigsten:

● Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Art. 7 DSG): Der Verantwortliche muss die Bearbeitung so ausgestalten, dass die Datenschutzgrundsätze ab der Planung eingehalten werden.

● Bearbeitung durch Auftragsbearbeiter (Art. 9 DSG): Die Bearbeitung darf vertraglich nur übertragen werden, wenn der Auftragsbearbeiter die Daten so bearbeitet, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.

● Bekanntgabe ins Ausland (Art. 16 und 17 DSG): Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass der betreffende Staat einen angemessenen Schutz gewährleistet, oder wenn geeignete Garantien wie Standardvertragsklauseln bestehen.

● Informationspflicht (Art. 19 DSG) und Informationspflicht bei automatisierten Einzelentscheidungen (Art. 21 DSG): Wenn eine ausschliesslich auf einer automatisierten Bearbeitung beruhende Entscheidung mit einer Rechtsfolge verbunden ist oder die betroffene Person erheblich beeinträchtigt, muss die betroffene Person informiert werden und kann eine Überprüfung durch eine natürliche Person verlangen.

● Datenschutz-Folgenabschätzung (Art. 22 DSG) für Bearbeitungen, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen. ● Meldung von Verletzungen der Datensicherheit an den EDÖB (Art. 24 DSG).⁴ Artikel 21 verdient besondere Aufmerksamkeit. Ein Entscheid darüber, ob ein Kunde angenommen, ein Kredit gewährt oder eine Zahlung blockiert wird, kann eine automatisierte Einzelentscheidung sein, wenn kein Mensch eine inhaltliche Beurteilung vornimmt. Die meisten Schweizer Institute umgehen die Frage, indem sie sicherstellen, dass eine Person prüft und den endgültigen Entscheid trifft, was die FINMA auch für Compliance-Entscheide erwartet. Setzt ein Institut vollautomatisierte Kreditentscheide ein, etwa bei Konsumkrediten oder Kartenlimiten, muss es den Kunden informieren und eine Überprüfung durch einen Menschen anbieten.⁵

Die Sanktionen des DSG richten sich gegen Einzelpersonen. Eine private Person, die vorsätzlich bestimmte Informations-, Auskunfts-, Mitwirkungs- oder Sorgfaltspflichten verletzt, einschliesslich der Regeln über die Bekanntgabe ins Ausland und über Auftragsbearbeiter, kann auf Antrag mit einer Busse bis CHF 250’000 bestraft werden (Art. 60 bis 61 DSG). Nach Art. 64 DSG kann anstelle der Einzelperson das Unternehmen mit einer Busse bis CHF 50’000 belegt werden, wenn die Ermittlung der verantwortlichen Person unverhältnismässige Untersuchungsmassnahmen erfordern würde.⁶ Die persönliche Exponierung von Compliance Officers, IT-Verantwortlichen und Mitgliedern der Geschäftsleitung ist ein Grund, weshalb Schweizer Institute den Datenschutz in Projekten künstlicher Intelligenz mit Vorsicht angehen.

Anmerkungen

1. Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG), SR 235.1, in Kraft seit 1. September 2023, englischer Text unter https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/en/html/ fedlex-data-admin-ch-eli-cc-2022-491-20230901-en-html-1.html. Das Inkrafttreten wird auch durch die unten zitierte Stellungnahme des EDÖB bestätigt. ↩
2. DSG (oben), Art. 2 Abs. 1 (das Gesetz gilt für «die Bearbeitung von Personendaten natürlicher Personen») und Art. 60–66 (Strafbestimmungen, mit Bussen gegen private Personen und, nach Art. 64, nur subsidiär gegen das Unternehmen). ↩
3. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), «Current data protection legislation is directly applicable to AI» (9. November 2023), https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/2023/20231109_ki_dsg.html. ↩
4. DSG (oben), Art. 7 (Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen), 9 (Bearbeitung durch Auftragsbearbeiter), 16 (Grundsätze der Bekanntgabe ins Ausland), 17 (Ausnahmen), 19 (Informationspflicht), 21 (automatisierte Einzelentscheidungen), 22 (Datenschutz-Folgenabschätzung) und 24 (Meldung von Verletzungen der Datensicherheit). ↩
5. DSG, Art. 21 Abs. 1 (Informationspflicht über eine Entscheidung, die «ausschliesslich auf einer automatisierten Bearbeitung beruht» und «die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt») und Abs. 2 (die betroffene Person kann verlangen, «dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird»); zu den Erwartungen der FINMA vgl. Aufsichtsmitteilung 08/2024 (oben). ↩
6. DSG, Art. 60 und 61 (Bussen bis CHF 250’000 gegen private Personen) und Art. 64 (das Unternehmen kann zur Bezahlung einer Busse bis CHF 50’000 verurteilt werden, wenn die Ermittlung der strafbaren Person unverhältnismässige Untersuchungsmassnahmen erfordern würde); Strafverfolgung durch die Kantone, wobei der EDÖB Anzeige erstatten kann (Art. 65). ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.