KI-Compliance Schweiz vs DSGVO (EU): Der Vergleich 2026 zwischen DSG und KI-Verordnung

Wenn du Kund:innen in der Schweiz und der EU bedienst, lautet die kurze Antwort: DSGVO-konforme Prozesse decken etwa 85 % der revidierten Schweizer DSG-Anforderungen direkt ab – aber die restlichen 15 % entscheiden, ob dich Strafrecht oder Verwaltungsrecht trifft. Das revidierte Schweizer Datenschutzgesetz, seit dem 1. September 2023 vollständig wirksam, hält bewusst Nähe zur DSGVO – fügt aber zwei Zähne hinzu, die im EU-Recht fehlen: strafrechtliche Haftung für Einzelpersonen (nicht nur Unternehmen) und ein strengeres Einwilligungsregime beim Profiling. Für KI weicht die Schweiz noch stärker ab, denn es gibt kein Schweizer Äquivalent der EU-KI-Verordnung – noch nicht – was sowohl eine regulatorische Lücke als auch eine Wettbewerbschance für Schweiz-gehostete KI-Dienste schafft.

Dieser Leitfaden vergleicht revDSG und DSGVO für KI-Use-Cases direkt nebeneinander, listet die fünf konkreten Unterschiede auf, die deinen Aufbau ändern (Betroffenenrechte, Einwilligung, Strafen, Profiling, DSB-Pflichten), und gibt dir eine Entscheidungsmatrix für die drei häufigen KMU-Setups: nur-Schweiz, Schweiz+EU und EU-primär mit Schweizer Berührung. Quellen: PwC revFADP/DSGVO-Vergleich, Adnovum: 7 Unterschiede und die DLA-Piper-Übersicht zum Schweizer Datenschutz.

Wenn dein KI-Stack DSGVO-konform und EU-gehostet ist, bist du für die Schweiz zu etwa 85 % abgedeckt – aber fünf revDSG-spezifische Punkte musst du noch adressieren: (1) strafrechtliche Haftungshinweise in Arbeitsverträgen leitender Entscheider:innen, (2) ausdrückliche Einwilligung beim Hochrisiko-Profiling (strenger als DSGVO), (3) ein:e Schweizer Vertreter:in, wenn du keine Schweizer Tochter hast, (4) EDÖB-spezifische Meldung von Datenschutzverletzungen innerhalb von 72 Stunden, und (5) aktualisierte AVV-Vorlagen mit Schweizer Recht neben DSGVO.

Was es in der Schweiz noch nicht gibt: ein Äquivalent zur EU-KI-Verordnung. Die Vernehmlassung zum Schweizer KI-Gesetz läuft im April 2026 – die meisten Beobachter:innen erwarten 2027–2028 als Inkrafttreten. Bis dahin haben deine KI-Risikoklassifizierung, Trainingsdaten-Dokumentation und Bias-Audit-Pflichten aus EU-KI-VO Art. 9–15 schlicht keine Schweizer Entsprechung. Das ist die regulatorische Lücke. Es bedeutet auch: Wer KI-Dienste aus der Schweiz in die Schweiz verkauft, hat aktuell weniger formale KI-Pflichten als die EU-Konkurrenz – ein Wettbewerbsfenster von 12 bis 24 Monaten.

Die beiden Regimes überschneiden sich in der Absicht (personenbezogene Daten schützen, Betroffenen Kontrolle geben) und unterscheiden sich in der Durchsetzung (strafrechtlich vs. verwaltungsrechtlich), den Profiling-Schwellen (Schweiz ist strenger) und der KI-Spezifik (EU hat die KI-VO-Schicht, die Schweiz noch nicht). Die Tabelle deckt die Dimensionen ab, die deinen KI-Aufbau wirklich prägen.

Die Schweiz hat im April 2026 kein in Kraft getretenes KI-spezifisches Gesetz, und die Vernehmlassung des Bundesrats deutet auf einen prinzipienbasierten Ansatz hin, nicht auf das EU-Risikoklassifizierungsmodell. Für KMU, die KI-Produkte aus der Schweiz betreiben, ist das ein echter Wettbewerbsvorteil – für die nächsten 12 bis 24 Monate. Danach landet das Schweizer Recht voraussichtlich irgendwo zwischen EU-KI-VO und den Prinzipien der KI-Konvention des Europarats, mit branchenspezifischen Überlagerungen (Finanzen, Gesundheit, Beschäftigung).

Praktische Konsequenz: Bau nicht gegen das fehlende Schweizer KI-Gesetz. Bau gegen die EU-KI-VO-Hochrisiko-Anforderungen als Baseline, auch im reinen Schweiz-Betrieb. Wenn das Schweizer Gesetz kommt, wird es DSGVO-ähnlich angemessen oder strenger als der EU-Benchmark sein – niemals schwächer. Die Kosten der Überkonformität sind ein verlorenes Wettbewerbsfenster. Die Kosten der Unterkonformität sind ein Neubau unter regulatorischem Druck mit schrumpfender Zeitleiste. Wähle den günstigeren Fehler.

Wenn dein Stack DSGVO-reif ist, sind das die fünf konkreten Änderungen, die das revDSG erzwingt. Keine ist isoliert teuer – zusammen sind es ein halber Tag Anwaltsarbeit plus Vertragsupdates.

Drei Setups decken ~95 % der KMU ab, mit denen wir arbeiten. Die richtige Vorgehensweise unterscheidet sich stark – das falsche Setup wählen heißt entweder zu viel für Vertretungen und Einwilligungen ausgeben, die du rechtlich nicht brauchst, oder zu wenig auszugeben und persönliche Haftung für Senior:innen mitzuschleppen.

Aus Audit-Arbeit und Onboarding-Gesprächen mit Schweizer + EU-KMU 2025/2026 wiederholen sich fünf Fehler. Drei davon fallen erst im Audit auf – und sind dann 10× so teuer wie das vorausschauende Vermeiden.

KI-Compliance-Anforderungen in der Schweiz und nach EU-DSGVO sehen oberflächlich ähnlich aus und gehen bei KI-Diensten deutlich auseinander. Beide Regime schützen personenbezogene Daten, verlangen eine Rechtsgrundlage und gewähren Auskunfts-, Berichtigungs- und Löschungsrechte. Die Unterschiede, die bei einem KI-Dienst in beiden Märkten ins Gewicht fallen, sind vier: grenzüberschreitende Datentransfers (die Schweiz steht seit 2024 auf der EU-Angemessenheitsliste, aber DSG-Transferregeln weichen im Detail ab), Profiling-Einwilligung (das Schweizer DSG kennt explizite Einwilligungs-Auslöser bei Hochrisiko-Profiling, die DSGVO über Interessen-Abwägung löst), Rechte bei automatisierter Entscheidung (Art. 21 revDSG gewährt engere Rechte als Art. 22 DSGVO) und das Fehlen einer Schweizer KI-Verordnung (die EU-KI-Verordnung gilt für KI-Produkte im EU-Markt unabhängig vom Anbieter-Sitz, aber die Schweiz hat 2026 keine vergleichbare verbindliche KI-Gesetzgebung — nur Hinweise des Bundesamts für Justiz und der EDÖB).

Für KI-Unternehmen mit Schweiz- und EU-Geschäft ist die praktische Antwort: Du brauchst beide Regime abgedeckt, kannst aber eine integrierte Compliance-Haltung fahren, wenn du sie pro Thema auf die strengere Regel auslegst. Die Tabelle unten zeigt die vier Divergenzpunkte gegenüber; die FAQ am Ende beantwortet die konkreten Fragen, die KI-Anbieter zur Compliance in beiden Rechtsräumen stellen.

Wenn du einen KI-Dienst betreibst, der sowohl Personen in der Schweiz als auch in der EU berührt — typisch bei SaaS, Beratung, Recruiting-Plattformen, HR-Tools, KI-gestütztem Kundensupport — lautet die praktische Frage, was du tatsächlich anders tun musst. Vier operative Divergenzen zählen am meisten.

Verzeichnis der Verarbeitungstätigkeiten und Rechtsgrundlage. Nach DSGVO führst du ein Verzeichnis nach Art. 30 plus dokumentierte Rechtsgrundlage je Verarbeitungszweck. Nach Schweizer DSG führst du ein Verzeichnis der Bearbeitungstätigkeiten mit vergleichbarer Struktur, aber engeren Ausnahmen — KMU unter 250 Beschäftigten können eine Teilbefreiung beanspruchen, die die DSGVO nicht kennt. Bei KI-Diensten dokumentierst du das Verzeichnis einmal mit Überschriften für beide Regime und führst eine einzige Quelle der Wahrheit.

Datenschutz-Folgenabschätzung. DSGVO Art. 35 DSFA plus EDPB-Vorlage 2026 gilt für Hochrisiko-KI-Verarbeitung. Das Schweizer DSG Art. 22 verlangt unter funktional ähnlichen Umständen eine Datenschutz-Folgenabschätzung, aber die Auslöser-Schwellen und die EDÖB-Erwartungen weichen im Detail ab. Praktische Antwort: Erstelle eine DSFA, die beide Regime erfüllt — EDPB-Struktur plus EDÖB-spezifische Ergänzungen.

Dokumentation grenzüberschreitender Datentransfers. Der EU-Angemessenheitsbeschluss 2024 für die Schweiz hat das Erfordernis von Standardvertragsklauseln für EU-Schweiz-Transfers entfernt. Transfers aus der Schweiz in Nicht-EU- und nicht-anerkannte Länder (insbesondere USA) brauchen weiterhin DSG-spezifische Transfermechanismen. Transfer-Impact-Assessments nach EDPB 03/2024 funktionieren für beide Richtungen, wenn der Geltungsbereich korrekt gewählt ist.

Sanktionen. DSGVO-Bußgelder bis 20 Mio. Euro oder 4 % Welt-Umsatz; EU-KI-Verordnung bis 35 Mio. Euro oder 7 % bei verbotenen Praktiken. Schweizer DSG-Sanktionen sind kleiner (250.000 CHF), tragen aber persönliche strafrechtliche Verantwortung für die zuständige Person — ein struktureller Unterschied, der die Risiko-Behandlung Schweizer Rechtsteams verändert. Für KI-Dienste in beiden Märkten modellierst du zuerst die DSGVO-Exposition und dann die Schweizer Strafrechts-Exposition.