AI chan nöd so kompliziert sii

Alli Artikel

Recht

Wenn d'Software de Entscheid fällt

Wann eine KI-gestützte Entscheidung unter Artikel 21 DSG fällt und was ein Betrieb dann tun muss

Freitag, 4. September 2026 · F.S. · 7 Min. Lesezyt

Eine Waage, deren tiefere Schale einen Bildschirm mit Zahnrad trägt und deren höhere Schale eine Person zeigt

Ein Treuhandbüro lässt eingehende Bewerbungen von einem Sprachmodell vorsortieren. Eine Versicherung nutzt ein Modell, das Schadenmeldungen nach Dringlichkeit ordnet. Ein Onlineshop lässt automatisch entscheiden, wer auf Rechnung bestellen darf. Drei ähnliche Aufbauten, und nur beim dritten stellt sich die Frage nach Artikel 21 des Datenschutzgesetzes überhaupt, und auch dort nur, wenn das System ablehnt.

Der Unterschied ist nicht die Technik. Er liegt darin, wer am Ende wirklich entscheidet.

Wann gilt ein KI-Einsatz als automatisierte Einzelentscheidung?

Eine automatisierte Einzelentscheidung liegt vor, wenn drei Bedingungen gleichzeitig erfüllt sind: Es fällt eine Entscheidung, nicht bloss eine Analyse. Diese Entscheidung hat eine Rechtsfolge oder beeinträchtigt die betroffene Person erheblich. Und sie beruht ausschliesslich auf automatisierter Bearbeitung, ohne echten menschlichen Spielraum. Fehlt eine der drei, greift Artikel 21 nicht.

Die Schwelle ist bewusst hoch angesetzt. Der Gesetzgeber wollte nicht jede Software erfassen, die im Hintergrund rechnet, sondern jene Fälle, in denen ein Mensch einer Maschine gegenübersteht und keine Möglichkeit hat, gehört zu werden.

Entscheidend ist dabei die tatsächliche Entscheidungsfreiheit, nicht das Organigramm. Wer im Prozessdiagramm als Freigabestelle steht, aber achtzig Fälle pro Tag durchwinken muss und keine Zeit hat, den Vorschlag zu prüfen, ist formal beteiligt und faktisch nicht. Die St. Galler Kanzlei Schneeberger Legal beschreibt das treffend: Menschliche Beteiligung darf nicht kosmetisch sein.

Welche Fälle fallen darunter und welche nicht?

Vorsortieren, priorisieren und entwerfen fallen nicht darunter, weil am Ende ein Mensch mit Spielraum entscheidet. Erfasst sind die automatischen Ablehnungen: die Absage unter einem Score, die verweigerte Bonität, die gekürzte Leistung. Gewährt das System dagegen im Rahmen eines Vertragsabschlusses oder einer Vertragsabwicklung, was die Person wollte, greift die Ausnahme nach Absatz 3 Buchstabe a. Beides muss zutreffen: Stattgabe allein genügt nicht, es braucht den unmittelbaren Zusammenhang mit dem Vertrag.

Situation im Betrieb Artikel 21 einschlägig? Warum
Modell sortiert Bewerbungen vor, HR sichtet alle und lädt selbst ein Nein Es entscheidet ein Mensch mit echtem Spielraum
System lehnt Bewerbungen unter einem Score automatisch ab, Absage geht direkt raus Vermutlich ja Kein menschlicher Eingriff. Eine Absage begründet zwar keine Rechtsfolge im engen Sinn, sie kann die Person aber erheblich beeinträchtigen. Das ist im Einzelfall zu beurteilen
Modell priorisiert Supportanfragen nach Dringlichkeit Nein Priorisierung ist keine Entscheidung mit Rechtsfolge
Bonitätsprüfung lehnt Kauf auf Rechnung automatisch ab Ja Erhebliche Beeinträchtigung, rein automatisiert
Bonitätsprüfung gewährt den Rechnungskauf automatisch Nein, Ausnahme nach Absatz 3 Vertragsbezug und dem Begehren wird stattgegeben
Modell entwirft ein Kündigungsschreiben, Vorgesetzte prüft und unterschreibt Nein Der Entwurf ist kein Entscheid
Versicherung kürzt eine Leistung automatisch nach Regelwerk plus Modell Ja Rechtsfolge für die versicherte Person

Die vorletzte Zeile ist die, welche in der Praxis am meisten Verwirrung stiftet. Artikel 21 Absatz 3 nimmt Entscheidungen aus, die in unmittelbarem Zusammenhang mit einem Vertrag stehen und dem Begehren der Person stattgeben. Wer bekommt, was er wollte, braucht keinen Schutz vor der Maschine. Die Ablehnung dagegen bleibt voll erfasst.

Die zweite Ausnahme ist die ausdrückliche Einwilligung in die Automatisierung. Ausdrücklich heisst: nicht im Kleingedruckten, nicht per vorangekreuzter Box, sondern als bewusste Zustimmung genau zu diesem Punkt.

Was ein Betrieb konkret tun muss

Trifft Artikel 21 zu, folgen daraus eine Pflicht und zwei Rechte. Die Unterscheidung lohnt sich: Informieren müssen Sie von sich aus. Standpunkt und Überprüfung muss die betroffene Person verlangen, Sie müssen beides aber vorbereitet haben. Alles drei gehört vor den ersten Entscheid, nicht nach die erste Beschwerde.

  1. Informieren. Die betroffene Person erfährt, dass die Entscheidung ausschliesslich automatisiert ergangen ist. Ein Satz im Absageschreiben oder in der Bestellbestätigung genügt, sofern er verständlich ist und nicht in einer Datenschutzerklärung verschwindet.
  2. Standpunkt ermöglichen. Auf Antrag muss die Person ihre Sicht darlegen können. Praktisch heisst das: eine erreichbare Adresse und jemand, der die Antwort liest.
  3. Menschliche Überprüfung anbieten. Die Person kann verlangen, dass eine natürliche Person den Entscheid überprüft. Diese Person braucht Zugang zu den Daten, Kompetenz zur Änderung und Zeit. Sonst wiederholt sich das Problem eine Stufe höher.

Bundesorgane trifft zusätzlich eine Kennzeichnungspflicht nach Absatz 4: Sie müssen den Entscheid als automatisiert markieren. Für kantonale und kommunale Stellen gilt das kantonale Datenschutzrecht, nicht diese Bestimmung.

Braucht es zusätzlich eine Datenschutz-Folgenabschätzung?

Oft ja. Eine Datenschutz-Folgenabschätzung ist fällig, wenn die Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringt. Das Gesetz nennt in Artikel 22 Absatz 2 zwei Fälle ausdrücklich: die umfangreiche Bearbeitung besonders schützenswerter Personendaten und die systematische umfangreiche Überwachung öffentlicher Bereiche. Profiling mit hohem Risiko ist ein eigener Begriff des Gesetzes und in anderen Bestimmungen relevant. Wer automatisiert über Anstellung, Kredit oder Leistungen entscheidet, liegt fast immer darüber.

Der EDÖB hält seit dem 8. Mai 2025 fest, dass das seit dem 1. September 2023 geltende Datenschutzgesetz technologieneutral formuliert ist und direkt auf KI-gestützte Bearbeitungen anwendbar ist. Es braucht also kein eigenes KI-Gesetz, damit diese Pflichten heute schon gelten. Der Bundesrat hat am 12. Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren und das nationale Recht punktuell anzupassen, statt eine Verordnung nach dem Muster des EU AI Act zu erlassen. Bis Ende 2026 soll das Eidgenössische Justiz- und Polizeidepartement dazu eine Vernehmlassungsvorlage vorlegen. Ratifiziert wird erst danach, ein Datum dafür gibt es nicht.

Der Fünf-Minuten-Test vor dem Rollout

Bevor ein Modell in einen Entscheidungsprozess kommt, sind vier Fragen zu beantworten und schriftlich festzuhalten:

  1. Fällt am Ende dieses Prozesses eine Entscheidung, oder entsteht nur eine Empfehlung, ein Score, eine Reihenfolge?
  2. Hat diese Entscheidung eine Rechtsfolge oder trifft sie die Person erheblich? Anstellung, Vertrag, Geld, Zugang zu einer Leistung sind klare Ja.
  3. Kann der Mensch im Prozess tatsächlich abweichen? Hat er die Daten, die Kompetenz und die Zeit dafür? Wie viele Fälle pro Stunde?
  4. Greift eine Ausnahme nach Absatz 3, also Vertragsbezug mit Stattgabe oder ausdrückliche Einwilligung?

Dreimal Ja bei den Fragen 1 bis 3 und kein Ja bei Frage 4 bedeutet: Artikel 21 gilt, die Pflicht und die zwei Rechte oben sind einzurichten.

Die häufigste Fehleinschätzung liegt bei Frage 3. Betriebe antworten mit dem Sollzustand, nicht mit dem Istzustand. Wer wissen will, wie es wirklich steht, misst die Abweichungsquote: Wie oft weicht der Mensch im letzten Quartal vom Vorschlag des Systems ab? Liegt die Quote bei null, ist die menschliche Beteiligung mit hoher Wahrscheinlichkeit formal.

Was das für die nächsten Monate heisst

Im Tätigkeitsbericht des EDÖB für die Periode vom 1. April 2025 bis zum 31. März 2026 sind über 2’000 Meldungen zu Datenschutzverletzungen, 156 Interventionen, 22 Vorabklärungen und 9 Untersuchungen verzeichnet. Als Schwerpunkte nennt der Bericht künstliche Intelligenz, systemische Risiken, biometrische Überwachung, die Bekanntgabe ins Ausland und die Bedeutung der Folgenabschätzung.

Und was passiert, wenn man die Pflichten übergeht? Artikel 60 des Datenschutzgesetzes nennt Artikel 21 ausdrücklich. Wer die Informationspflicht vorsätzlich verletzt, riskiert auf Antrag eine Busse bis 250’000 Franken. Belangt wird zunächst die verantwortliche natürliche Person; bei Bussen bis 50’000 Franken kann stattdessen der Betrieb gebüsst werden. Ausgesprochen werden Bussen von den kantonalen Strafverfolgungsbehörden, nicht vom EDÖB.

Wer Kundschaft oder Mitarbeitende in der EU hat, prüft zusätzlich Artikel 22 der DSGVO. Der ist strenger gebaut: Dort ist die automatisierte Einzelentscheidung im Grundsatz verboten und nur in Ausnahmen erlaubt, während das Schweizer Recht sie zulässt und an Information und Überprüfung knüpft. Wer nur nach Schweizer Logik plant, kann unter der DSGVO trotzdem falsch liegen.

Für die meisten Betriebe ist die praktische Konsequenz unspektakulär: Das Modell darf vorsortieren, vorschlagen, entwerfen und priorisieren. Sobald es allein ablehnt, kündigt oder verweigert, gehören ein Hinweis, ein Kanal und ein Mensch mit Entscheidungsbefugnis dazu. Wer unsicher ist, wo die eigenen Dienste ihre Daten bearbeiten, findet den Prüfweg im Beitrag Wo d’Date liged, wenn «Schwiiz» druffstoht.

Quellen

Meh us «Recht»