KI ohne Datenübertragung in die USA setzt voraus, dass jeder Schritt der Verarbeitung außerhalb der USA und außerhalb der Kontrolle US-amerikanischer Anbieter stattfindet: Speicherung, Modellausführung (Inferenz), Protokollierung, Backups, Support und Telemetrie. Ein europäischer oder Schweizer Serverstandort allein genügt nicht. Entscheidend ist, wo das Modell läuft, wer den Dienst betreibt und welche Unterauftragnehmer Zugriff haben. Dieser Leitfaden zeigt, welche Daten bei KI-Diensten typischerweise abfließen, was das Schweizer Datenschutzgesetz verlangt und welche Punkte vor der Auswahl eines Dienstes zu prüfen sind.
Kurz gesagt
- Maßgeblich ist die Inferenz: Läuft das Sprachmodell auf US-Infrastruktur, geht jeder Prompt samt Anhängen in die USA, unabhängig vom Speicherort der Daten.
- Serverstandort ist nicht Kontrolle: US-Unternehmen können nach US-Recht zur Herausgabe von Daten verpflichtet werden, auch wenn diese in Europa gespeichert sind.
- Schweizer Recht: Art. 16 DSG erlaubt Bekanntgaben ins Ausland nur bei angemessenem Schutzniveau oder geeigneten Garantien; für die USA gilt die Angemessenheit nur für zertifizierte Unternehmen.
- Prüfung auf vier Ebenen: Datenfluss, Verträge, technische Maßnahmen und deren Nachweis im laufenden Betrieb.
- Souveräne Lösung: Ein KI-Arbeitsbereich mit lokal gehosteten Modellen, Schweizer Betreiber und Schweizer Servern vermeidet die Drittlandübermittlung strukturell.
Inhaltsverzeichnis
- Was „ohne US-Datenübertragung“ technisch bedeutet
- Welche Daten bei KI-Diensten abfließen können
- Was das Schweizer Datenschutzgesetz verlangt
- Warum der Serverstandort allein nicht genügt
- Prüfliste vor der Auswahl eines KI-Dienstes
- Architekturen im Vergleich
- Unsere Sicht: Souveränität entsteht in der Architektur
- Nectos: KI-Arbeitsbereich mit Verarbeitung ausschließlich in der Schweiz
- Häufige Fragen
- Quellen
Was „ohne US-Datenübertragung“ technisch bedeutet
Eine KI-Anwendung besteht aus mehreren Verarbeitungsschritten. Jeder dieser Schritte kann eine Übermittlung in die USA auslösen. Die Frage „Wo liegen meine Daten?“ greift deshalb zu kurz. Die richtige Frage lautet: Wohin fließen die Daten bei jeder einzelnen Aktion, und wer kann darauf zugreifen?
Die relevanten Verarbeitungsschritte im Überblick:
- Eingabe: Prompt, hochgeladene Dokumente, Bilder, Audiodateien von Meetings.
- Inferenz: Das Sprachmodell verarbeitet die Eingabe und erzeugt die Antwort. Die Inferenz findet dort statt, wo das Modell betrieben wird.
- Wissensbasis: Dokumente werden in Abschnitte zerlegt und als Vektoren (Embeddings) indexiert. Auch die Berechnung der Embeddings ist eine Verarbeitung durch ein Modell.
- Speicherung: Chatverläufe, Dateien, Indizes, Backups.
- Protokollierung und Telemetrie: Nutzungsstatistiken, Fehlerberichte, Analyse- und Trackingdienste in Web- und App-Clients.
- Websuche: Suchanfragen an externe Suchmaschinen, die Inhalte des Prompts enthalten können.
- Support und Betrieb: Zugriff von Administratoren oder Supportteams, gegebenenfalls aus Drittstaaten.
Ein typischer Fall: Ein Dienst speichert Chatverläufe in einem Rechenzentrum in Frankfurt oder Zürich, ruft für die Antwort aber die API eines US-Modellanbieters auf. In diesem Fall werden Prompt und Anhänge zur Inferenz in die USA übermittelt. Die Speicherregion ändert daran nichts. Eine Analyse zu Büro-KI-Agenten unter dem revDSG hält mit Stand Juli 2026 fest, dass bei mindestens einem großen US-Anbieter trotz europäischer Datenresidenz für Enterprise-Workspaces und API die Inferenz weiterhin auf US-Infrastruktur läuft.
Auch „lokale“ KI ist nicht automatisch frei von US-Bezügen. Bei browserbasierter KI mit gängigen JavaScript-Bibliotheken werden Modelle standardmäßig von einem US-Content-Delivery-Netz geladen; beim ersten Abruf überträgt der Browser die IP-Adresse des Nutzers an diesen Endpunkt, wie eine Analyse zu lokaler KI im Browser beschreibt. Lokal heißt also: Modell, Gewichte und alle Hilfsdienste werden unter eigener Kontrolle bereitgestellt.
Welche Daten bei KI-Diensten abfließen können
Die Datenmenge, die ein KI-Dienst erhält, ist deutlich größer als der einzelne Prompt. In professionellen Kontexten betrifft dies häufig besonders schützenswerte Informationen.
| Datenkategorie | Beispiele aus der Praxis | Typischer Abflussweg |
|---|---|---|
| Prompt-Inhalte | Mandantennamen, Diagnosen, Lohnangaben, Vertragsklauseln | Inferenz beim Modellanbieter |
| Dokumente | Jahresabschlüsse, Arbeitsverträge, Gutachten, Patientenberichte | Upload, Indexierung, Inferenz |
| Audio und Transkripte | Sitzungsprotokolle, Personalgespräche, Kundengespräche | Transkriptionsdienst, Inferenz |
| Metadaten | IP-Adresse, Gerätekennung, Zeitstempel, Kontoinformationen | Telemetrie, Analysedienste |
| Suchanfragen | Aus dem Prompt abgeleitete Suchbegriffe | Externe Suchmaschine |
| Nutzungsverhalten | Klickpfade, Sitzungsdauer, Funktionsnutzung | Tracking- und Werbedienste |
Dass Tracking keine theoretische Kategorie ist, zeigt eine Untersuchung des Forschungsinstituts IMDEA Networks. Laut Bericht von MacTechNews zur Studie über KI-Chatbots wurden bei neun KI-Diensten 124 Drittanbieter-Domains von 44 Unternehmen gefunden, davon 34 aus dem Bereich Werbung und Tracking. Alle untersuchten Angebote kommunizierten mit mindestens einem externen Analyse- oder Trackingdienst; in einer Android-App ging sogar der jüngste Prompt an einen Analysedienst.
Für die Praxis folgt daraus: Die Prüfung umfasst nicht nur den Modellanbieter, sondern auch die Clients (Web, Desktop, Mobile) und deren eingebundene Drittdienste.
Was das Schweizer Datenschutzgesetz verlangt
Für Unternehmen und Personen in der Schweiz ist das revidierte Datenschutzgesetz (DSG, nLPD) maßgeblich, seit September 2023 in Kraft. Für die Bekanntgabe von Personendaten ins Ausland gelten folgende Grundsätze:
Art. 16 DSG: Angemessenes Schutzniveau oder Garantien
Personendaten dürfen nur ins Ausland bekanntgegeben werden, wenn das Empfängerland ein angemessenes Datenschutzniveau bietet. Die USA stehen seit dem 15. September 2024 auf der Staatenliste in Anhang 1 der Datenschutzverordnung (DSV), jedoch ausschließlich für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework (DPF) zertifiziert sind, wie ein Leitfaden zum rechtssicheren KI-Einsatz in Schweizer KMU zusammenfasst. Ist ein Anbieter nicht zertifiziert, braucht es eine eigene Garantie nach Art. 16 Abs. 2 DSG, in der Praxis Standardvertragsklauseln im Auftragsbearbeitungsvertrag.
Transfer Impact Assessment nach EDÖB-Leitfaden
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat für Übermittlungen ohne angemessenes Schutzniveau ein Prüfschema mit zehn Schritten veröffentlicht. Der Datenexporteur prüft dabei vier Grundrechtsgarantien im Empfängerland: Legalitätsprinzip, Verhältnismäßigkeit, Rechtsmittel und Rechtsweggarantie. Sind diese nicht gewährleistet, müssen zusätzliche technische und organisatorische Maßnahmen geprüft werden, etwa eine Verschlüsselung, bei der in der Cloud keine Klardaten vorliegen. Lassen sich die fehlenden Garantien nicht kompensieren, muss die Datenbekanntgabe ausgesetzt werden (Zusammenfassung des EDÖB-Leitfadens bei MLL News).
Für KI ist dieser Punkt zentral: Ein Sprachmodell muss Inhalte im Klartext verarbeiten, um eine Antwort zu erzeugen. Eine Verschlüsselung, die dem Anbieter den Klartext vorenthält, ist bei der Inferenz durch ein US-Modell daher in der Regel nicht umsetzbar.
Rechtsprechung zur Angemessenheit der USA
Das Handelsgericht des Kantons Zürich hielt unter dem damaligen DSG fest, dass die USA nicht über eine Gesetzgebung verfügen, die einen angemessenen Datenschutz gewährleistet; eine Datenübermittlung an US-Behörden stelle grundsätzlich eine Persönlichkeitsverletzung dar, die nur mit Rechtfertigungsgrund zulässig sei.
Datenschutzvertretung ausländischer Anbieter
Ausländische Unternehmen, die Personen in der Schweiz bedienen, müssen unter Umständen nach Art. 14 DSG eine Vertretung in der Schweiz benennen. Der EDÖB hat die Einhaltung dieser Pflicht laut Übersicht zum 33. Tätigkeitsbericht aktiv überprüft.
Für Leser in der EU gilt analog Kapitel V der DSGVO (Art. 44 ff.). Für Leser in den USA selbst stellt sich die Frage spiegelbildlich: Wer Mandate von Schweizer oder europäischen Kunden betreut, übernimmt deren Anforderungen an die Datenresidenz vertraglich.
Warum der Serverstandort allein nicht genügt
US-Recht folgt der Kontrolle, nicht dem Standort
Der US CLOUD Act von 2018 verpflichtet US-Unternehmen, auf Anforderung von US-Behörden Zugang zu Daten zu gewähren, unabhängig vom Speicherort. Laut Beitrag zu CLOUD Act und FISA bestätigt ein im Auftrag des deutschen Bundesinnenministeriums erstelltes und im Dezember 2025 veröffentlichtes Rechtsgutachten der Universität Köln, dass US-Behörden weitreichenden Zugriff auf in Europa gespeicherte Cloud-Daten haben. Maßgeblich ist die Kontrolle über die Daten; dies kann unter Umständen auch europäische Unternehmen mit relevanten US-Geschäftsbeziehungen betreffen.
Ein Auftragsverarbeitungsvertrag regelt, was ein Anbieter mit den Daten tun darf. Er regelt nicht, was ein Anbieter auf behördliche Anordnung seines Heimatstaates tun muss.
Das DPF trägt ein politisches Restrisiko
Das Data Privacy Framework ist formell in Kraft. Sein Fortbestand ist jedoch nicht garantiert: Die Analyse zu Büro-KI-Agenten verweist darauf, dass das US-Aufsichtsgremium PCLOB im Januar 2025 drei seiner fünf Mitglieder verlor, und empfiehlt eine periodische Nachprüfung des DPF-Status. Zertifizierungen laufen ab; die Teilnehmerliste des US-Handelsministeriums kennt neben „Active“ auch „Active - Re-certification under Review“ und „Inactive“. Wer auf das DPF setzt, dokumentiert den Status mit Abrufdatum und prüft ihn regelmäßig.
Unterauftragnehmer und Supportzugriffe
Auch ein europäischer Anbieter kann Daten in die USA übermitteln: über ein US-Modell im Hintergrund, über einen US-Hyperscaler als Hosting-Partner, über Support aus Drittstaaten oder über Analysedienste im Client. Das Unterauftragnehmer-Register ist daher das wichtigste Einzeldokument jeder Prüfung.
Prüfliste vor der Auswahl eines KI-Dienstes
Die Datenverarbeitung eines KI-Anbieters lässt sich auf vier Ebenen prüfen: vollständiger Datenfluss des konkreten Produkts, rechtliche Rollen und Verträge, technische und organisatorische Maßnahmen sowie deren Nachweis in der tatsächlichen Konfiguration. Die folgenden Punkte übersetzen dies in konkrete Fragen an den Anbieter:
- Inferenzort: Wo läuft das Modell, das die Antworten erzeugt? Wird es vom Anbieter selbst betrieben oder über die API eines Dritten aufgerufen?
- Betreibergesellschaft: In welchem Land ist der Anbieter inkorporiert, und bestehen Konzernverbindungen in die USA?
- Hosting: Wo stehen Server und Backups, und wer betreibt das Rechenzentrum?
- Unterauftragnehmer: Liegt ein vollständiges Register mit Funktion, Standort und Datenkategorien vor?
- Modelltraining: Ist vertraglich ausgeschlossen, dass Eingaben und Dokumente zum Training verwendet werden?
- Aufbewahrung und Löschung: Welche Fristen gelten für Chats, Dateien, Transkripte und Protokolle? Lassen sie sich konfigurieren?
- Telemetrie und Clients: Welche Analyse- oder Trackingdienste sind in Web- und App-Clients eingebunden?
- Websuche: Werden Suchanfragen an externe Suchmaschinen gesendet, und lassen sie sich anonymisieren?
- Zugriffssteuerung und Nachvollziehbarkeit: Gibt es Rollen, Rechte, Single-Sign-on und Audit-Trails, die zeigen, wer wann worauf zugegriffen hat?
- Vertrag: Stellt der Anbieter einen Auftragsverarbeitungsvertrag (AVV/DPA) bereit, der das DSG und gegebenenfalls die DSGVO abdeckt?
Das Ergebnis gehört in das Verzeichnis der Bearbeitungstätigkeiten. Bei sensiblen Daten, etwa Gesundheitsdaten in einer Praxis oder Mandatsdaten in einer Treuhand- oder Anwaltskanzlei, empfiehlt sich die Abstimmung mit der zuständigen Datenschutzberaterin oder dem Datenschutzberater vor der Einführung, insbesondere wenn eine Datenschutz-Folgenabschätzung nach Art. 22 DSG in Frage kommt.
Architekturen im Vergleich
Die verfügbaren Ansätze unterscheiden sich vor allem darin, ob Inferenz und Kontrolle außerhalb der US-Rechtsordnung liegen.
| Kriterium | US-KI-Dienst, globale Verarbeitung | US-KI-Dienst mit EU- oder CH-Speicherregion | Souveräner Schweizer KI-Arbeitsbereich |
|---|---|---|---|
| Speicherort | USA oder global | Europa oder Schweiz | Schweiz |
| Inferenzort | USA | Teilweise USA | Schweiz, lokal gehostete Modelle |
| Zugriff nach US-Recht | Ja | Möglich, da US-Betreiber | Kein US-Betreiber in der Kette |
| Grundlage nach Art. 16 DSG | DPF-Zertifizierung oder Standardvertragsklauseln | DPF-Zertifizierung oder Standardvertragsklauseln | Keine Auslandsbekanntgabe |
| Transfer Impact Assessment | Erforderlich ohne DPF | Erforderlich ohne DPF | Entfällt für die KI-Verarbeitung |
| Training mit Kundendaten | Je nach Plan und Einstellung | Je nach Plan und Einstellung | Vertraglich ausgeschlossen |
Für Organisationen, deren Richtlinien die Verarbeitung in der eigenen Infrastruktur verlangen, kommt zusätzlich ein Betrieb in der eigenen Cloud (Bring Your Own Cloud, BYOC) oder on-premise in Frage. Dieser kombiniert die Funktionen eines verwalteten Arbeitsbereichs mit vollständiger Infrastrukturhoheit.
Unsere Sicht: Souveränität entsteht in der Architektur
Wir beobachten in Schweizer Unternehmen ein wiederkehrendes Muster: Mitarbeitende nutzen privat einen US-KI-Dienst, übertragen diese Gewohnheit in den Arbeitsalltag und kopieren Mandatsdaten, Lohnlisten oder Vertragsentwürfe in ein Chatfenster. Die Organisation erfährt davon oft erst im Nachhinein.
Verträge, Zertifizierungen und Speicherregionen sind wichtig. Sie ersetzen aber keine Architektur, in der die Daten den Rechtsraum gar nicht erst verlassen. Aus diesem Grund betreiben wir unsere Modelle selbst, auf Schweizer Servern, ohne Datenflüsse zu ausländischen KI-Anbietern. Eingaben und Dokumente werden nie zum Modelltraining verwendet.
Für die Compliance-Verantwortlichen bedeutet das: weniger Transfer-Prüfungen, keine Abhängigkeit vom Fortbestand des Data Privacy Framework und eine nachvollziehbare Verarbeitung dank Audit-Trails. Für die Mitarbeitenden bedeutet es: ein KI-Werkzeug, das sie im Arbeitsalltag ohne Umweg einsetzen können.
Unsere Empfehlung lautet daher: Die Frage nach dem Datenfluss steht am Anfang jeder KI-Einführung, nicht am Ende.
Adopt
Nectos: KI-Arbeitsbereich mit Verarbeitung ausschließlich in der Schweiz
Nectos ist ein souveräner Schweizer KI-Arbeitsbereich für Fachleute, Teams und Unternehmen. Sämtliche Daten werden ausschließlich auf Schweizer Servern verarbeitet und gespeichert, gemäß nDSG/nLPD und DSGVO. Die Modelle werden lokal gehostet; es bestehen keine versteckten Datenflüsse zu ausländischen KI-Anbietern. Wie die Verarbeitung im Einzelnen abläuft, dokumentiert die Seite zu den Datenflüssen bei Nectos.
Der Funktionsumfang im Überblick:
- Privater KI-Chat und Dokumentenanalyse mit Upload eigener Dateien.
- Persönliche und geteilte Wissensdatenbanken für Teams.
- Meeting-Transkription und KI-Assistenten für Schweizer Berufs- und Branchenkontexte.
- Websuche, optional mit Anonymisierung, sowie Prompt-Anonymisierung.
- Audit-Trails, Admin- und Zugriffssteuerung; ein Auftragsverarbeitungsvertrag (DPA) ist auf Anfrage erhältlich.
Die Abonnements laut Preisübersicht: Starter für CHF 29.90, Pro für CHF 49.90 und Pro+ für CHF 99.90, jeweils pro Platz und Monat; eine Testversion ist verfügbar. Für Organisationen mit erhöhten Anforderungen bestehen das Sicherheits- und Compliance-Paket sowie der Betrieb als BYOC oder on-premise, mit BYOC-Support ab CHF 490 pro Monat. Details zu Verschlüsselung und Schutzmaßnahmen enthält die Seite zur Sicherheit von Nectos; der direkte Funktionsvergleich findet sich unter Nectos im Vergleich zu ChatGPT.
Häufige Fragen
Genügt ein europäisches Rechenzentrum, um US-Übermittlungen zu vermeiden?
Nein. Entscheidend sind der Inferenzort und die Kontrolle über die Daten. Wird das Modell in den USA ausgeführt oder ist der Betreiber ein US-Unternehmen, können Daten trotz europäischer Speicherung in die USA gelangen oder US-Behörden zugänglich werden.
Ist die Nutzung zertifizierter US-KI-Dienste nach Schweizer Recht zulässig?
Für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind, gilt seit dem 15. September 2024 ein angemessenes Schutzniveau. Der Status ist mit Abrufdatum zu dokumentieren und periodisch nachzuprüfen. Ohne Zertifizierung braucht es Garantien nach Art. 16 Abs. 2 DSG, in der Praxis Standardvertragsklauseln und ein Transfer Impact Assessment.
Reicht es, Namen vor der Eingabe zu entfernen?
Manuelles Schwärzen ist fehleranfällig, da auch Kontextangaben wie Funktion, Ort oder Datum eine Person bestimmbar machen. Eine Prompt-Anonymisierung im Werkzeug selbst reduziert dieses Risiko systematisch. Am wirksamsten ist die Kombination mit einer Verarbeitung, die die Schweiz nicht verlässt.
Welche Unterlagen sollte ein KI-Anbieter vorlegen können?
Mindestens eine aktuelle Beschreibung des Datenflusses, ein Unterauftragnehmer-Register mit Standorten, einen Auftragsverarbeitungsvertrag, Aufbewahrungs- und Löschregeln je Datenkategorie sowie eine Beschreibung der Rollen und Berechtigungen. Audit-Trails belegen zusätzlich, wer im laufenden Betrieb worauf zugegriffen hat.
Quellen
- MacTechNews: Studie zu KI-Chatbots und Datenweitergabe an Dritte
- ai-edu.ch: KI im Schweizer KMU rechtssicher einsetzen
- ai-edu.ch: Büro-KI-Agenten und revDSG-Checkliste
- MLL News: EDÖB-Leitfaden zur Datenübermittlung ins Ausland
- Handelsgericht des Kantons Zürich: Urteil zur Datenübermittlung in die USA
- HÄRTING: 33. Tätigkeitsbericht des EDÖB
- GfDDE: CLOUD Act, FISA und EU-Rechenzentren
- Casoon Insights: Lokale KI im Browser und Datenschutz