KI und Datenschutz in der Schweiz 2026: revDSG, EDÖB-Position und das kommende KI-Gesetz

Wenn du Kund:innen in der Schweiz und der EU bedienst, lautet die kurze Antwort: DSGVO-konforme Prozesse decken etwa 85 % der revidierten Schweizer DSG-Anforderungen direkt ab – aber die restlichen 15 % entscheiden, ob dich Strafrecht oder Verwaltungsrecht trifft. Das revidierte Schweizer Datenschutzgesetz, seit dem 1. September 2023 vollständig wirksam, hält bewusst Nähe zur DSGVO – fügt aber zwei Zähne hinzu, die im EU-Recht fehlen: strafrechtliche Haftung für Einzelpersonen (nicht nur Unternehmen) und ein strengeres Einwilligungsregime beim Profiling. Für KI weicht die Schweiz noch stärker ab, denn es gibt kein Schweizer Äquivalent der EU-KI-Verordnung – noch nicht – was sowohl eine regulatorische Lücke als auch eine Wettbewerbschance für Schweiz-gehostete KI-Dienste schafft.

Dieser Leitfaden vergleicht revDSG und DSGVO für KI-Use-Cases direkt nebeneinander, listet die fünf konkreten Unterschiede auf, die deinen Aufbau ändern (Betroffenenrechte, Einwilligung, Strafen, Profiling, DSB-Pflichten), und gibt dir eine Entscheidungsmatrix für die drei häufigen KMU-Setups: nur-Schweiz, Schweiz+EU und EU-primär mit Schweizer Berührung. Quellen: PwC revFADP/DSGVO-Vergleich, Adnovum: 7 Unterschiede und die DLA-Piper-Übersicht zum Schweizer Datenschutz.

Wenn dein KI-Stack DSGVO-konform und EU-gehostet ist, bist du für die Schweiz zu etwa 85 % abgedeckt – aber fünf revDSG-spezifische Punkte musst du noch adressieren: (1) strafrechtliche Haftungshinweise in Arbeitsverträgen leitender Entscheider:innen, (2) ausdrückliche Einwilligung beim Hochrisiko-Profiling (strenger als DSGVO), (3) ein:e Schweizer Vertreter:in, wenn du keine Schweizer Tochter hast, (4) EDÖB-spezifische Meldung von Datenschutzverletzungen innerhalb von 72 Stunden, und (5) aktualisierte AVV-Vorlagen mit Schweizer Recht neben DSGVO.

Was es in der Schweiz noch nicht gibt: ein Äquivalent zur EU-KI-Verordnung. Die Vernehmlassung zum Schweizer KI-Gesetz läuft im April 2026 – die meisten Beobachter:innen erwarten 2027–2028 als Inkrafttreten. Bis dahin haben deine KI-Risikoklassifizierung, Trainingsdaten-Dokumentation und Bias-Audit-Pflichten aus EU-KI-VO Art. 9–15 schlicht keine Schweizer Entsprechung. Das ist die regulatorische Lücke. Es bedeutet auch: Wer KI-Dienste aus der Schweiz in die Schweiz verkauft, hat aktuell weniger formale KI-Pflichten als die EU-Konkurrenz – ein Wettbewerbsfenster von 12 bis 24 Monaten.

Die beiden Regimes überschneiden sich in der Absicht (personenbezogene Daten schützen, Betroffenen Kontrolle geben) und unterscheiden sich in der Durchsetzung (strafrechtlich vs. verwaltungsrechtlich), den Profiling-Schwellen (Schweiz ist strenger) und der KI-Spezifik (EU hat die KI-VO-Schicht, die Schweiz noch nicht). Die Tabelle deckt die Dimensionen ab, die deinen KI-Aufbau wirklich prägen.

Die Schweiz hat im April 2026 kein in Kraft getretenes KI-spezifisches Gesetz, und die Vernehmlassung des Bundesrats deutet auf einen prinzipienbasierten Ansatz hin, nicht auf das EU-Risikoklassifizierungsmodell. Für KMU, die KI-Produkte aus der Schweiz betreiben, ist das ein echter Wettbewerbsvorteil – für die nächsten 12 bis 24 Monate. Danach landet das Schweizer Recht voraussichtlich irgendwo zwischen EU-KI-VO und den Prinzipien der KI-Konvention des Europarats, mit branchenspezifischen Überlagerungen (Finanzen, Gesundheit, Beschäftigung).

Praktische Konsequenz: Bau nicht gegen das fehlende Schweizer KI-Gesetz. Bau gegen die EU-KI-VO-Hochrisiko-Anforderungen als Baseline, auch im reinen Schweiz-Betrieb. Wenn das Schweizer Gesetz kommt, wird es DSGVO-ähnlich angemessen oder strenger als der EU-Benchmark sein – niemals schwächer. Die Kosten der Überkonformität sind ein verlorenes Wettbewerbsfenster. Die Kosten der Unterkonformität sind ein Neubau unter regulatorischem Druck mit schrumpfender Zeitleiste. Wähle den günstigeren Fehler.

Wenn dein Stack DSGVO-reif ist, sind das die fünf konkreten Änderungen, die das revDSG erzwingt. Keine ist isoliert teuer – zusammen sind es ein halber Tag Anwaltsarbeit plus Vertragsupdates.

Drei Setups decken ~95 % der KMU ab, mit denen wir arbeiten. Die richtige Vorgehensweise unterscheidet sich stark – das falsche Setup wählen heißt entweder zu viel für Vertretungen und Einwilligungen ausgeben, die du rechtlich nicht brauchst, oder zu wenig auszugeben und persönliche Haftung für Senior:innen mitzuschleppen.

Aus Audit-Arbeit und Onboarding-Gesprächen mit Schweizer + EU-KMU 2025/2026 wiederholen sich fünf Fehler. Drei davon fallen erst im Audit auf – und sind dann 10× so teuer wie das vorausschauende Vermeiden.

Kurz gesagt: Die Schweiz hat kein KI-Gesetz und übernimmt die KI-Verordnung der EU nicht. Der Bundesrat hat am 12. Februar 2025 einen sektoriellen Weg beschlossen: die KI-Konvention des Europarats ratifizieren, bestehende Gesetze punktuell anpassen (zuerst das Datenschutzrecht) und daneben auf nicht verbindliche Massnahmen setzen (Medienmitteilung des Bundesrats). Am 27. März 2025 hat die Schweiz die Konvention in Strassburg unterzeichnet (Europarat); das EJPD erarbeitet die Umsetzungsvorlage zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht und schickt sie bis Ende 2026 in die Vernehmlassung (Bundeskanzlei). Bis dieses Gesetz in Kraft ist, realistisch 2028 oder später, bleibt das revidierte Datenschutzgesetz (DSG, SR 235.1) die einzige verbindliche, branchenübergreifende KI-Regel für Unternehmen in der Schweiz.

Für ein KI-Unternehmen mit Kundschaft in der Schweiz und der EU entsteht damit ein schiefer Kalender: In der EU gelten die Transparenzpflichten nach Art. 50 KI-Verordnung ab 2. August 2026, die Hochrisiko-Pflichten nach Anhang III nach dem Digital Omnibus ab 2. Dezember 2027. In der Schweiz ist nichts KI-Spezifisches terminiert; die Europarats-Konvention bindet den Staat, nicht dein Unternehmen, solange sie nicht ins Schweizer Recht überführt ist. Praktische Folge: Bau deine KI-Governance einmal auf EU-Niveau, das Schweizer Gesetz wird mit hoher Sicherheit eine Teilmenge davon verlangen.

Der EDÖB hat es dreimal gesagt, im November 2023, im Mai 2025 und im Januar 2026: Das DSG ist technologieneutral und gilt vollständig für KI (EDÖB, KI und Datenschutz). Es gibt keine Ausnahme für KI und keinen KI-Zusatz. Praktisch läuft das auf vier Artikel hinaus, und jeder davon hat einen DSGVO-Zwilling, der strenger, lockerer oder einfach anders ist.

Wenn dein KI-Dienst Personen in der Schweiz und in der EU berührt, der Normalfall bei SaaS, Recruiting-Plattformen, HR-Werkzeugen und KI im Kundenservice, entscheiden vier Unterschiede im Betrieb über den Mehraufwand.

1. Bearbeitungsverzeichnis. Art. 30 DSGVO verlangt von jedem Verantwortlichen mit KI-Dienst ein Verzeichnis, unabhängig von der Grösse. Das DSG befreit Unternehmen unter 250 Beschäftigten, ausser die Bearbeitung ist risikoreich, und genau dort landet die meiste KI. Führ das DSGVO-Verzeichnis; es genügt beiden.

2. Datentransfers ins Ausland. Die Schweiz hat seit 2000 einen EU-Angemessenheitsbeschluss (in der Überprüfung 2024 bestätigt), und die EU steht auf der Schweizer Staatenliste; CH-EU-Flüsse brauchen kein zusätzliches Instrument. Bei den USA trennen sich die Wege: Die EU stützt sich auf das Data Privacy Framework, die Schweiz seit 15. September 2024 auf das Swiss-US DPF. Ein US-Modellanbieter muss also unter beiden Rahmen zertifiziert sein, sonst bleiben Standardvertragsklauseln mit Schweizer Anhang.

3. Vertretung. Ein EU-Unternehmen mit Schweizer Kundschaft braucht eine Vertretung in der Schweiz nur bei umfangreicher, regelmässiger und risikoreicher Bearbeitung (Art. 14 DSG). Ein Schweizer Unternehmen mit EU-Kundschaft braucht die EU-Vertretung nach Art. 27 DSGVO deutlich früher. Viele Schweizer KI-Start-ups übersehen die zweite.

4. Sanktionen treffen Personen, nicht Unternehmen. Nach Art. 60 bis 63 DSG richtet sich die Busse bis 250 000 CHF gegen die Person, die entschieden hat, typischerweise die Geschäftsführung oder die Produktverantwortung. Nach DSGVO und KI-Verordnung zahlt das Unternehmen. Dieser eine Unterschied ändert, wer in der Schweiz deine DSFA freigibt: die Person, die sonst die Busse bekäme.