Was ändert sich mit Agenten?
Ein Chat-Assistent liefert Text, ein KI-Agent führt Schritte aus: Er liest Daten aus mehreren Systemen, trifft Zwischenentscheide und schreibt Ergebnisse zurück. Datenschutzrechtlich ändert sich dadurch weniger das Gesetz als die Intensität der Bearbeitung: mehr Daten, mehr Systeme, weniger menschliche Zwischenschritte.
Stand: Oktober 2026. Dieser Beitrag ist eine Orientierung, keine Rechtsberatung.
Die fünf Punkte, die bei Agenten zählen
1. Automatisierte Einzelentscheidungen (Art. 21 revDSG)
Trifft ein Agent ohne menschliche Beteiligung Entscheide, die für eine Person rechtliche Folgen haben oder sie erheblich beeinträchtigen (z. B. Absage einer Bewerbung, Ablehnung eines Antrags), müssen Sie die betroffene Person darüber informieren. Sie kann verlangen, dass ein Mensch die Entscheidung überprüft. Praktisch heisst das: Agenten schlagen vor, Menschen entscheiden.
2. Datenschutz-Folgenabschätzung (Art. 22 revDSG)
Bei voraussichtlich hohem Risiko für die betroffenen Personen ist vorab eine Folgenabschätzung nötig. Das ist bei Agenten häufig der Fall, wenn Personendaten in grossem Umfang oder besonders schützenswerte Daten verarbeitet werden. Mehr dazu in KI und Schweizer Datenschutz.
3. Auftragsbearbeitung (Art. 9 revDSG)
Nutzen Sie ein Modell oder eine Plattform eines Drittanbieters, bearbeitet dieser Personendaten in Ihrem Auftrag. Dafür braucht es einen Vertrag, der Zweck, Datensicherheit und Unterauftragnehmer regelt.
4. Bekanntgabe ins Ausland (Art. 16 und 17 revDSG)
Läuft der Agent über einen Anbieter ausserhalb der Schweiz, brauchen Sie ein Land mit angemessenem Datenschutz oder geeignete Garantien (z. B. Standardvertragsklauseln). Prüfen Sie, wo Modellaufruf, Logs und Zwischenspeicher tatsächlich laufen.
5. Datensicherheit und Nachvollziehbarkeit (Art. 8 revDSG)
Ein Agent mit Schreibrechten braucht ein Berechtigungskonzept und Protokolle. Jede Aktion sollte nachvollziehbar sein, damit Auskunfts- und Meldepflichten erfüllt werden können. Technisch setzen wir das über saubere Tool-Schnittstellen um, etwa mit MCP.
Faustregel: Je weniger Personendaten und je mehr menschliche Freigabe, desto einfacher die Compliance. Fangen Sie mit Anwendungsfällen ohne Personenbezug an.
Checkliste für den Start
- Welche Personendaten sieht der Agent, und braucht er sie wirklich?
- Trifft er Entscheide mit Wirkung auf Personen — oder schlägt er sie nur vor?
- Wo laufen Modell, Logs und Zwischenspeicher (Land, Anbieter, Unterauftragnehmer)?
- Gibt es Verträge zur Auftragsbearbeitung und, falls nötig, Garantien für die Auslandsbekanntgabe?
- Ist eine Folgenabschätzung nötig und dokumentiert?
- Sind Rechte und Protokollierung pro Aktion geregelt?
Agent geplant und Datenschutz unklar?
Im kostenlosen Discovery-Call ordnen wir Ihren Anwendungsfall ein und zeigen, welche Architektur die Compliance vereinfacht.
Discovery-Call anfragen