Das Bundesgesetz über den Datenschutz (DSG), in Kraft seit dem 1. September 2023, regelt in Artikel 21 die automatisierte Einzelentscheidung. Ein Unternehmen oder eine Bundesstelle, das einen Algorithmus allein über einen Fall entscheiden lässt, muss die betroffene Person darüber informieren. Diese kann dann ihren Standpunkt darlegen und verlangen, dass ein Mensch die Entscheidung überprüft.
Diese Seite behandelt nur diese eine Frage: die Rechte einer Person gegenüber einer Entscheidung, die ein automatisiertes System getroffen hat. Den allgemeinen Rahmen, KI eingeschlossen, beschreibt unsere Seite zur Regulierung der KI in der Schweiz.
Kennzahlen
- 1. September 2023: Inkrafttreten des revidierten DSG, gemäss der Publikationsplattform für Bundesrecht Fedlex.
- 30 Tage: Frist, innert der ein Unternehmen in der Regel ein Auskunftsbegehren beantwortet (Art. 25 DSG).
- 10 Jahre: Höchstalter der Daten, die ein Unternehmen zur Prüfung der Kreditwürdigkeit einer Kundin oder eines Kunden verwenden darf (Art. 31 DSG).
- Weniger als jedes fünfte Unternehmen lässt alle seine Inhalte aus generativer KI von einem Menschen freigeben, gemäss dem swissVR Monitor.
- Anfang 2027: Termin für einen Vorentwurf zur Regulierung der KI, gemäss dem KMU-Portal des Staatssekretariats für Wirtschaft (SECO).
Was ist eine automatisierte Einzelentscheidung nach dem DSG?
Das Gesetz nennt drei Voraussetzungen, die zusammen erfüllt sein müssen. Zunächst braucht es eine Entscheidung, die eine Person betrifft. Diese Entscheidung muss sodann «ausschliesslich auf einer automatisierten Bearbeitung von Personendaten» beruhen. Schliesslich muss sie für die Person «mit einer Rechtsfolge verbunden» sein oder sie «erheblich beeinträchtigen».
Das Wort «ausschliesslich» zieht die Grenze. Unsere Einschätzung: Eine Entscheidung, die ein Mensch mithilfe eines von einer Software berechneten Scores trifft, erfüllt diese Voraussetzung dem Wortlaut nach nicht.
Die automatisierte Entscheidung unterscheidet sich vom Profiling, das das DSG als automatisierte Bearbeitung definiert, die eine Person bewertet: Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Zuverlässigkeit. Das Profiling bewertet; die automatisierte Entscheidung entscheidet. Ein Profiling mit hohem Risiko durch ein privates Unternehmen erfordert zudem eine ausdrückliche Einwilligung (Art. 6).
Wer muss diese Regeln einhalten?
Das DSG betrifft Daten natürlicher Personen, die von privaten Personen oder Bundesorganen bearbeitet werden. Die Pflicht trifft den Verantwortlichen, also wer über Zweck und Mittel der Bearbeitung entscheidet.
Der Ort der Bearbeitung spielt kaum eine Rolle. Nach seinem Artikel 3 gilt das DSG für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Unsere Einschätzung: Ein Algorithmus, der ausserhalb der Schweiz betrieben wird, kann somit unter Artikel 21 fallen.
Wann muss das Unternehmen die betroffene Person informieren?
Die Information ist bei jeder automatisierten Einzelentscheidung geschuldet, ohne dass die Person danach fragen muss. Sie kommt zur allgemeinen Informationspflicht bei der Beschaffung der Daten hinzu (Art. 19).
Das Auskunftsrecht ergänzt diese Pflicht. Nach Artikel 25 kann eine Person Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Die Antwort muss gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung angeben «sowie die Logik, auf der die Entscheidung beruht».
Die Auskunft ist kostenlos, vorbehaltlich der vom Bundesrat vorgesehenen Ausnahmen, und erfolgt in der Regel innert 30 Tagen. Niemand kann im Voraus auf dieses Recht verzichten.
Wie lassen sich der eigene Standpunkt darlegen und eine Überprüfung durch einen Menschen erwirken?
Die betroffene Person muss dies verlangen. Artikel 21 sieht dann zwei getrennte Rechte vor. Der Verantwortliche gibt ihr zunächst die Möglichkeit, ihren Standpunkt darzulegen. Sie kann sodann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird.
Unsere Einschätzung: Das Gesetz verbietet den Algorithmus nicht, es eröffnet allen, die es verlangen, einen Rechtsweg zu einem Menschen. Artikel 21 legt für dieses Begehren weder eine Frist noch eine Form fest.
In welchen Fällen gelten diese Rechte nicht?
Artikel 21 sieht zwei Ausnahmen vor, die sowohl die Informationspflicht als auch die Rechtsbehelfe ausschliessen:
- Die Entscheidung steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags zwischen dem Unternehmen und der Person, und dem Begehren der Person wird stattgegeben.
- Die Person hat ausdrücklich eingewilligt, dass die Entscheidung automatisiert getroffen wird.
Unsere Einschätzung: Dem Wortlaut nach deckt die erste Ausnahme die Kundin oder den Kunden ab, die erhalten, was sie verlangt haben, etwa eine angenommene Bestellung. Eine vom System ausgesprochene Ablehnung erfüllt die Voraussetzung eines Begehrens, dem «stattgegeben» wird, nicht.
Was ändert das Gesetz, wenn die Entscheidung von einem Bundesorgan stammt?
Ein Bundesorgan muss seine Entscheidung als automatisierte Einzelentscheidung kennzeichnen. Das Recht, den eigenen Standpunkt darzulegen und eine Überprüfung zu erwirken, kennt eine Grenze: Es gilt nicht, wenn die Person vor der Entscheidung nicht angehört werden muss.
Diese Grenze verweist auf Artikel 30 Absatz 2 des Bundesgesetzes über das Verwaltungsverfahren (VwVG) oder auf ein anderes Bundesgesetz. Wie die KI in den Dienststellen des Bundes organisiert ist, beschreibt unsere Seite zur KI in der Bundesverwaltung.
Beispiel: ein Kreditgesuch, das ein Algorithmus bearbeitet
Die Prüfung der Kreditwürdigkeit zeigt, wie die Regeln ineinandergreifen. Nach Artikel 31 kann ein Unternehmen sie unter mehreren Voraussetzungen als überwiegendes Interesse geltend machen: weder besonders schützenswerte Personendaten noch Profiling mit hohem Risiko, Daten, die höchstens zehn Jahre alt sind, eine volljährige Person.
Unsere Einschätzung: Diese Regel betrifft die Daten, nicht die Art der Entscheidung. Entscheidet eine Software allein, kommt Artikel 21 hinzu. Ein gewährter Kredit kann unter die vertragliche Ausnahme fallen; eine automatische Ablehnung eröffnet grundsätzlich das Recht auf Überprüfung durch einen Menschen, ausser bei ausdrücklicher Einwilligung der Kundin oder des Kunden.
Banken und Versicherungen richten sich zudem nach der Eidgenössischen Finanzmarktaufsicht (FINMA). Deren Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 betrifft die Governance der KI, ohne beabsichtigte Rechtswirkung, wie unsere Seite FINMA und künstliche Intelligenz ausführt.
Was kann der Eidgenössische Datenschutzbeauftragte bei einer automatisierten Entscheidung tun?
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), eine unabhängige Behörde, beaufsichtigt die Anwendung des DSG. In seiner Mitteilung vom 24. September 2025 hält er fest, dass dieses Recht direkt auf Bearbeitungen anwendbar ist, die KI einsetzen.
Seine Befugnisse erstrecken sich auch auf Artikel 21. Nach Artikel 49 eröffnet der EDÖB von Amtes wegen oder auf Anzeige hin eine Untersuchung, wenn genügend Anzeichen für eine Verletzung bestehen. Artikel 51 erlaubt ihm, ein Unternehmen oder ein Bundesorgan anzuweisen, die betroffenen Personen gemäss den Artikeln 19 und 21 zu informieren.
Wer eine Anzeige erstattet, wird über die daraufhin unternommenen Schritte und das Ergebnis einer allfälligen Untersuchung informiert. Bei Fragen beantwortet die Hotline des EDÖB Anrufe von Montag bis Freitag, von 10 Uhr bis 11:30 Uhr, unter 058 462 43 95.
Was die automatisierte Entscheidung für ein KMU in der Schweiz ändert
Ein kleines oder mittleres Unternehmen (KMU), das Entscheidungen einer Software überlässt, muss sie zuerst erkennen. Seine Pflichten aus dem DSG:
| Situation | Pflicht | Grundlage im DSG |
|---|---|---|
| Ein System entscheidet allein, mit einer erheblichen Auswirkung auf eine Person | Die Person über die Entscheidung informieren | Art. 21 Abs. 1 |
| Die Person widerspricht | Ihren Standpunkt einholen und die Entscheidung von einer natürlichen Person überprüfen lassen | Art. 21 Abs. 2 |
| Die Person verlangt Auskunft über ihre Daten | Das Vorliegen der Entscheidung und deren Logik angeben, in der Regel innert 30 Tagen | Art. 25 |
| Die Bearbeitung birgt ein hohes Risiko | Vorgängig eine Datenschutz-Folgenabschätzung durchführen | Art. 22 |
| Profiling mit hohem Risiko durch ein privates Unternehmen | Die ausdrückliche Einwilligung einholen | Art. 6 Abs. 7 |
Manche Unternehmen ziehen selbst eine Grenze. Laut Alexander Finger, Technischer Direktor von SAP Schweiz, zitiert im Magazin PME, hat SAP Systeme ausgeschlossen, die Entscheidungen über Personen treffen.
Die menschliche Kontrolle bleibt uneinheitlich: Weniger als jedes fünfte Unternehmen lässt alle seine Inhalte aus generativer KI freigeben, gemäss dem swissVR Monitor. Unsere Einschätzung: Bei einer Entscheidung, die eine Kundin, einen Kunden oder eine Angestellte, einen Angestellten betrifft, macht Artikel 21 diese Kontrolle auf Verlangen einforderbar.
Kann sich der Rahmen noch ändern?
Ein Vorhaben ist eingeleitet, ein Text ist noch nicht bekannt. Die Schweiz hat die KI-Konvention des Europarats unterzeichnet, die am 5. September 2024 zur Unterzeichnung aufgelegt wurde. Dieser Vertrag verpflichtet die Staaten, genügend Informationen bereitzustellen, damit sich eine mithilfe von KI getroffene Entscheidung anfechten lässt.
Gemäss dem KMU-Portal des SECO hat sich die Schweiz verpflichtet, ihr Recht anzupassen, und ein Vorentwurf soll bis Anfang 2027 ausgearbeitet werden. Sein Inhalt und seine Auswirkungen auf Artikel 21 sind nicht bekannt. Die übrigen Texte zum rechtlichen Rahmen der KI sind in unserer Rubrik zusammengestellt.
Was noch nicht bekannt ist
- Wie viel menschliches Eingreifen genügt, damit eine Entscheidung nicht mehr «ausschliesslich» von einem System getroffen wird: Der Gesetzestext sagt es nicht.
- Die Praxis des EDÖB zu Artikel 21: Die konsultierten Quellen nennen keine Untersuchung zu einer automatisierten Entscheidung.
- Allfällige strafrechtliche Sanktionen: Der konsultierte Teil des DSG-Texts endet bei den Aufgaben des EDÖB.
- Die Auswirkung des künftigen Vorentwurfs zur KI auf die Rechte nach Artikel 21.
Quellen
- Schweizerische Eidgenossenschaft, Fedlex: Bundesgesetz über den Datenschutz (DSG), SR 235.1, Stand am 7. Juli 2025
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter: Startseite des EDÖB, mit der Mitteilung «KI und Datenschutz» vom 24. September 2025
- 2clics.com, «IA pour PME : usages concrets et premiers pas en Suisse», nach dem Magazin PME und dem KMU-Portal des SECO
