Zwei Fragen kommen in fast jedem Gespräch über einen KI-Telefonassistenten: Ist das legal, und was geschieht mit den Daten? Die kurze Antwort: ja, unter Bedingungen, die jedes KMU erfüllen kann.
Hier steht, was das Schweizer Recht wirklich von Ihnen verlangt, mit einem Link auf jeden Text. Das ist keine Rechtsberatung: Für einen konkreten Fall, vor allem im Gesundheitswesen, fragen Sie eine Fachperson.
Das Gesetz deckt KI schon ab
Das Datenschutzgesetz (DSG) sagt nichts Besonderes zu künstlicher Intelligenz, und das ist gewollt. Der Eidgenössische Datenschutzbeauftragte hat es klar gesagt:
« La loi fédérale sur la protection des données (LPD), formulée de manière neutre du point de vue technologique, est donc directement applicable à l'utilisation de traitements de données basés sur l'IA. » (Aus dem Französischen übersetzt: «Das technologieneutral formulierte DSG ist daher direkt auf KI-gestützte Datenbearbeitungen anwendbar.»)
Anders gesagt: Die Regeln für Ihre Kundendatei gelten bereits für Ihren Telefonassistenten.
Keine Einwilligung, aber eine Informationspflicht
Anders als die europäische DSGVO verlangt das Schweizer Recht nicht für jede Verwendung von Personendaten eine Einwilligung. Eine Rechtfertigung braucht es nur in drei Fällen: Sie verletzen die Grundsätze, die Person hat ausdrücklich widersprochen, oder Sie geben besonders schützenswerte Daten an Dritte weiter (Art. 30 und 31).
Was Sie hingegen tun müssen, ist informieren (Art. 19): wer Sie sind, wozu Sie die Daten erheben und wer sie erhält, samt Land, wenn sie ins Ausland gehen. In der Praxis: ein Satz in Ihrer Begrüssung und eine aktuelle Datenschutzseite.
Gesundheitsdaten sind besonders schützenswert: Eine Arztpraxis fällt also in den dritten Fall oben. Unser Artikel für die Arztpraxis erklärt, was das ändert.
Aufzeichnung: dort liegt das Risiko
Ein Telefongespräch aufzuzeichnen ist eine Frage des Strafgesetzbuchs, nicht nur des Datenschutzes. Art. 179ter StGB bestraft, wer ein nicht öffentliches Gespräch ohne Einwilligung der anderen Person aufnimmt.
Für geschäftliche Anrufe wie Bestellungen und Reservationen gibt es eine Ausnahme, doch der Beauftragte nennt ihre Grenzen: nur für häufige Routineanrufe, nie für Reklamationen, und nur als Beweismittel, nicht zur Qualitätskontrolle oder Schulung.
Die einfache, solide Antwort ist, das Audio gar nicht aufzuzeichnen. Das ist bei Voko die Standardeinstellung: Das Audio eines Anrufs wird nicht aufgezeichnet, eine schriftliche Zusammenfassung genügt. Die Aufzeichnung läuft nur, wenn Sie sie einschalten, und der Assistent kündigt sie dann zu Beginn des Anrufs an.
Dürfen Daten die Schweiz verlassen?
Ja. Das Gesetz verlangt kein Hosting in der Schweiz. Es verlangt, dass Sie wissen, wohin die Daten gehen und auf welcher Grundlage (Art. 16 und 17):
- In ein Land mit angemessenem Schutz, gemäss Anhang 1 der Verordnung. Alle Länder der EU und des EWR stehen darauf.
- In die USA nur an Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind, oder mit Standardvertragsklauseln.
Stellen Sie deshalb jedem Anbieter drei Fragen: Wo liegt die Datenbank, wo wird die Stimme verarbeitet, und über welches Unternehmen läuft die Telefonleitung? Unsere Antworten, Anbieter für Anbieter, stehen auf unserer Datenschutzseite.
Fünf verbreitete Irrtümer
| Was man lesen kann | Was der Text sagt | |
|---|---|---|
| Einwilligung | Die Einwilligung der anrufenden Person ist Pflicht | In der Regel keine Einwilligung nötig (Art. 30 und 31) |
| Hosting | Die Daten müssen in der Schweiz bleiben | Die Bekanntgabe ist unter Bedingungen zulässig (Art. 16 und 17) |
| Bussen | Der Beauftragte büsst Unternehmen mit CHF 250'000 | Die Kantone büssen, bis CHF 250'000, und zwar eine Person |
| Verzeichnis | Jedes KMU muss ein Verzeichnis führen | Befreit unter 250 Mitarbeitenden, ausser bei heiklen Daten im grossen Umfang |
| Aufzeichnung | Man darf zur Qualitätssicherung aufzeichnen | Routinemässige Geschäftsanrufe, und nur als Beweis |
Zu den Bussen: Der Beauftragte ordnet Massnahmen an, etwa das Einstellen einer Datenbearbeitung. Bussen verhängen die kantonalen Strafbehörden, und nur bei vorsätzlichen Verstössen. Für ein KMU ist das eigentliche Risiko, einen Dienst einstellen zu müssen, von dem das eigene Telefon abhängt.
Was zu tun ist, der Reihe nach
- Sagen Sie in der Begrüssung, wer Sie sind
Den Namen des Unternehmens, und dass ein Assistent für Sie antwortet.
- Zeichnen Sie das Audio nicht auf
Für Ihre Zwecke genügt eine schriftliche Zusammenfassung. Bei Voko wird das Audio standardmässig nicht aufgezeichnet: Lassen Sie die Aufzeichnung ausgeschaltet.
- Halten Sie fest, wohin die Daten gehen
Drei Zeilen auf Ihrer Datenschutzseite: Datenbank, Stimme, Telefonleitung, je mit dem Land.
- Lassen Sie den Anbieter nach Ihren Weisungen arbeiten
Das Gesetz nennt das Auftragsbearbeitung (Art. 9). Die Bedingungen von Voko decken sie ab: Die Daten der Anrufenden werden nur nach Ihren Weisungen bearbeitet, nie zum Training von Modellen.
- Bewahren Sie Daten nur so lange wie nötig auf
Bei Voko werden die Nummer der anrufenden Person und die Zusammenfassung standardmässig nach 30 Tagen gelöscht, oder nach der Frist, die Sie wählen.
Nichts davon ist KI-spezifisch: Ein externer Telefondienst trägt dieselben Pflichten. Wie der Assistent selbst funktioniert, lesen Sie im Artikel «Wie ein KI-Telefonassistent funktioniert». Und um es zu hören, geben Sie Ihre Website an: In weniger als einer Minute antwortet Ihnen ein Assistent, der Ihre Leistungen und Öffnungszeiten kennt.
Quellen
- DSG (SR 235.1), amtlicher Text auf Fedlex, französische Fassung
- Datenschutzverordnung (SR 235.11), Fedlex, französische Fassung
- EDÖB, Mitteilung vom 9. November 2023 zur KI, auf Französisch
- EDÖB, künstliche Intelligenz und Datenschutz, auf Französisch
- EDÖB, Aufzeichnung von Gesprächen, auf Französisch
- EDÖB, Bekanntgabe ins Ausland, auf Französisch
- EDÖB, Strafbestimmungen, auf Französisch
- EDÖB, Swiss-U.S. Data Privacy Framework (15. August 2024), auf Englisch