Was bedeutet der Standort Deutschland für deinen Betrieb?
Deutschland gehört zu den Staaten mit angemessenem Datenschutz nach Anhang 1 der Datenschutzverordnung. Für die Bekanntgabe dorthin braucht es deshalb grundsätzlich keine zusätzlichen Auslandgarantien allein wegen des Landes. Das ist jedoch keine pauschale Freigabe für jedes Programm. Entscheidend bleibt, welche Personendaten du zu welchem Zweck bearbeitest und welche weiteren Unternehmen Zugriff erhalten. Die Erläuterung des EDÖB zur Auslandbekanntgabe erklärt diese Trennung.
Prüfe eine Software deshalb entlang eines konkreten Auftrags. Eine Kundin schickt ihre Adresse und Fotos eines Wasserschadens. Das Büro legt eine Projektakte an, ein Monteur ergänzt Bilder, später geht eine Nachricht an einen externen Dienst. Frage bei jedem Schritt nach dem Empfänger und dem Speicherort. Eine deutsche Firmenadresse des Softwareanbieters beantwortet diese Fragen ebenso wenig wie eine Landesflagge auf seiner Website.
Welche Pflichten bleiben auch bei einem kleinen Betrieb?
Ein Betrieb mit weniger als 250 Mitarbeitenden kann von der Pflicht zum Bearbeitungsverzeichnis ausgenommen sein. Die Ausnahme greift insbesondere nicht bei umfangreicher Bearbeitung besonders schützenswerter Personendaten oder bei Profiling mit hohem Risiko. Auskunft und Information bleiben trotzdem erforderlich. Nach den FAQ des EDÖB erfolgt eine Auskunft in der Regel innerhalb von 30 Tagen. Die Grösse deines Teams ersetzt somit keine Prüfung der tatsächlich bearbeiteten Daten.
Auch ohne formelle Verzeichnispflicht hilft eine einfache Übersicht: Kundenverwaltung, Baustellenfotos, Personalunterlagen und Telefonnotizen bekommen jeweils einen Verantwortlichen, einen Zweck, eine Zugriffsliste und eine Regel zur Aufbewahrung. Trenne private Notizen von der sachlichen Dokumentation eines Auftrags. Ein Foto der defekten Leitung kann hilfreich sein; Dokumente der Bewohner im Hintergrund gehören nicht automatisch in die Projektakte. Solche Entscheidungen lassen sich im Team anhand echter Arbeitssituationen besprechen.
Was gehört in die Vereinbarung mit dem Softwareanbieter?
Der EDÖB hält bei Cloud-Diensten fest, dass der Kunde seine Anforderungen an die Auftragsbearbeitung prüfen und vertraglich absichern muss. Die Verantwortung für deine Kundendaten verschwindet mit der Auslagerung nicht. Bei Buzzard ist eine für Schweizer Kunden geprüfte Vereinbarung zur Auftragsbearbeitung eine Voraussetzung vor einem entsprechenden Einsatz. Diese Seite erklärt sie ausdrücklich nicht für bereits erledigt.
Lass dir die betroffenen Datenarten, Zwecke, Unterauftragnehmer und Länder nennen. Besprich ausserdem, wie Berechtigungen vergeben werden, wie ein Sicherheitsvorfall gemeldet wird und wie du Daten bei Vertragsende zurückbekommst oder löschen lässt. Lege fest, wer im Betrieb Änderungen der Verarbeiterliste beurteilt. Eine Ablage nur beim Treuhänder reicht für den Alltag nicht, wenn das Büro später eigenständig eine zusätzliche KI-Funktion einschaltet. Die verantwortliche Person sollte den Vertrag und die tatsächlichen Einstellungen zusammen prüfen können.
Warum müssen KI-Verarbeiter separat betrachtet werden?
Nach dem dokumentierten Produktstand erfolgt das Hosting von Buzzard bei Hetzner in Nürnberg. KI-Funktionen können darüber hinaus Dienste von OpenAI, OpenRouter mit weiteren Modellanbietern und Google nutzen; dabei kommen US-Endpunkte vor. Ein Endpunkt beschreibt zunächst einen technischen Kommunikationsweg. Daraus lässt sich keine Zusage über sämtliche Speicherorte, Zugriffsmöglichkeiten oder Löschfristen ableiten. Die vertragliche Grundlage muss für den konkret eingesetzten Dienst und die gewählte Konfiguration geprüft werden.
Ordne deshalb jede gewünschte KI-Funktion einer verständlichen Datenfrage zu: Geht nur eine kurze Anfrage an den Dienst oder auch der vollständige E-Mail-Verlauf? Enthält ein Foto erkennbare Personen? Wird ein Gespräch als Audiodatei gespeichert oder nur ausgewertet? Welche Einstellungen sind im gebuchten Betrieb tatsächlich verfügbar? Ein eigener Zugangsschlüssel oder ein Schalter allein belegt noch keinen abgeschlossenen Datenschutzprozess. Lass dir den Ablauf vorführen und halte fest, welche Daten für den Test verwendet wurden.
Wie informierst du Kunden und Mitarbeitende verständlich?
Die Informationspflicht nach Art. 19 DSG betrifft unter anderem den Verantwortlichen, den Bearbeitungszweck und gegebenenfalls die Empfänger. Bei Auslandbekanntgaben kommen Angaben zum Empfängerstaat und gegebenenfalls zu Garantien hinzu. Eine kurze Erklärung darf verständlich sein, muss den tatsächlichen Ablauf aber abbilden. Der Satz «Wir arbeiten digital» sagt deinen Kunden nichts darüber, was mit einer Sprachnachricht oder einem Wohnungsfoto passiert.
Beginne mit den Kontaktwegen, die dein Betrieb anbietet. Erkläre beim Formular die Anfragebearbeitung und verweise auf weitere Informationen. Für den Telefonassistenten brauchst du einen passenden Gesprächseinstieg. Mitarbeitende benötigen zusätzlich klare Vorgaben, welche Informationen sie erfassen dürfen und an wen Auskunfts- oder Löschbegehren gehen. Ein Textvorschlag für die eigene Datenschutzseite ist noch keine juristisch geprüfte Datenschutzerklärung. Änderungen an Verarbeitern oder Funktionen sind ein Anlass, den Text und den Arbeitsablauf erneut abzugleichen.
Wie sieht eine sinnvolle Prüfung vor dem ersten Auftrag aus?
Bereite einen erfundenen Musterauftrag ohne echte Kundendaten vor. Gehe damit vom Eingang der Anfrage bis zur fertigen Projektakte. Notiere, wer Daten sieht, welche Informationen weitergegeben werden und an welcher Stelle ein Mensch den Inhalt kontrolliert. Teste auch einen falschen Empfänger, einen zurückgezogenen Auftrag und ein Auskunftsbegehren. So wird erkennbar, ob dein Büro die vereinbarten Regeln praktisch umsetzen kann.
Für die Entscheidung brauchst du eine aktuelle Verarbeiterliste, die Vertragsunterlagen, einen geklärten Umgang mit KI und eine erreichbare Ansprechperson. Falls einzelne Punkte offen sind, beschränke den vorgesehenen Einsatz entsprechend und dokumentiere die Grenze. Die organisatorischen Funktionen sind kein Beleg für eine vollständig geprüfte Schweizer Einführung. Dieser Beitrag gibt allgemeine Orientierung und ersetzt keine Rechtsberatung für deinen Betrieb oder eine Prüfung seiner konkreten Datenbearbeitungen.