News & Questions: PDFs schwärzen, Vibe Coding, Videoerstellung mit KI, Wearables, …

In «News & Questions» erhalten die Mitglieder unserer Datenschutz-Academy einen Überblick über aktuelle Neuigkeiten aus dem Daten­schutz­recht und verwandten Themen.

Ferner erhalten sie Antworten auf ihre eigenen Fragen und profitieren von den Antworten auf die Fragen anderer Mitglieder.

Rechtsanwalt Martin Steiger informierte bei «News & Questions» am 7. April 2026 über aktuelle Entwicklungen im Daten­schutz­recht und verwandten Themen.

Er thematisierte unter anderem die neuen Hinweise des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu Wearables sowie dessen Sensibilisierungs­kampagne zu zur Verwendung von Cookies. Ein weiteres Thema war die Verabschiedung des neuen Gesetzes über die Information und den Datenschutz (IDG) im Kanton Zürich. Ferner berichtete er über den Anstieg der eingegangenen Beschwerden bei Datenschutz­behörden durch KI und Datenschutz­bedenken bei vermeintlich sicheren Diensten wie Proton Meet und TeleGuard. Weitere Themen waren die Risiken von «Vibe Coding» und Lieferkettenangriffe bei der Softwareentwicklung mit künstlicher Intelligenz.

Anschliessend widmete sich Martin Steiger den Fragen der Mitglieder. Dabei drehte es sich um die Integration des Datenschutz-Managementsystems ins Informations­sicherheits-Managementsystem und die Handhabung des Datenschutzes in Unternehmensgruppen mit einer gemeinsamen Website. Ferner ging es um die KI-Regulierung in der Schweiz und die Verwendung von Diensten zur KI-basierten Videoerstellung für Mitarbeiterschulungen.

Weitere Themen waren die Verantwortlichkeit bei Verwendung von OnPrem-Fachapplikatinen bei kantonalen Behörden und Risikobeurteilungen gemäss Standard-Datenschutzklauseln (SCC) einschliesslich Transfer Impact Assessments (TIA). Ausserdem ging es um die Problematik beim Schwärzen von PDF-Dokumenten, Complianceprüfungen bei KI-Anwendungen und die datenschutzrechtliche Verantwortung bei der Empfehlung von Dritt-Diensten für Bewerbungstrainings.

Aufzeichnung und Folien

Mitglieder der Datenschutz-Academy können sich nachfolgend die aufgezeichneten «News & Questions» ansehen und die Folien herunterladen.

Fragen bei «News & Questions»

Mitglieder der Datenschutz-Academy stellten insbesondere folgende Fragen:

«Ist es richtig, den Datenschutz beziehungsweise das Datenschutz-Managementsystem ins direkt Informationssicherheits-Managementsystem zu integrieren oder gibt es Argumente für getrennte Managementsysteme?»

«Wir sind eine kleine schweizerische Unternehmensgruppe mit einer gemeinsamen Website. Wie regeln wir den Datenschutz?»

«Wie ist der aktuelle Stand der KI-Regulierung in der Schweiz (vor allem im Bezug auf Datenschutz) und wie wirkt sich dabei der EU AI Act aktuell und eventuell mittelfristig aus?»

«Wir würden es sehr schätzen, wenn auch HeyGen auf zulässige Nutzung geprüft würde.»

«Wir würden gerne ein AI-Video-Creator wie HeyGen oder Synthesia für interne Mitarbeiter-Schulungen verwenden. Wäre es möglich, auch Synthesia unter die rechtliche Lupe zu nehmen? HeyGen kommt unseres Erachtens, wenn überhaupt, mit einem Enterprise-Abo in Frage. Oder gibt es möglicherweise einen anderen AI-Video-Creator, den Unternehmen in der Schweiz mit gutem Gewissen mit internen Schulungsunterlagen nutzen können, um Schulungsvideos für die Mitarbeitenden zu erstellen? »

«Eine kantonale Behörde arbeitet mit einer Fachapplikation (OnPrem) und bearbeitet darin besonders schützenswerte Personendaten. Sie verfügt über einen Vertrag mit dem Anbieter. Das Hosting des entsprechenden Ticketsystems übernimmt ein Dritter im Auftrag des Anbieters. Dieser Dritte bewahrt die Backups des Ticketsystems für maximal 12 Monate auf. Wie weit geht die Verantwortung der kantonalen Behörde betreffend angemessener Aufbewahrungsfrist und angemessenen TOMs beim Dritten? Muss die Verantwortung grundsätzlich im Vertrag mit dem Anbieter der Fachapplikation in der Kategorie «Subunternehmer» geregelt werden?»

«Könnte in einem Webinar einmal das Thema Risikobeurteilung gemäss SCC vertieft beleuchtet werden. Dies wäre sehr hilfreich.»

«Für die Zukunft wäre das Thema ‹Schwärzen von Textstellen› interessant. Ich habe das schon gemacht, aber offenbar zu wenig effizient, denn ChatGPT konnte die von mir geschwärzten Stellen problemlos lesen, offenbar ist ein Layer kein Schutz.»

«Im letzten Webinar wurde die Compliance bei KI-Anwendungen anhand von mehreren gezielten Fragen behandelt. Ist eine solche Complianceprüfung zwecks Nutzung von KI-Anwendungen abschliessend oder müssen noch zusätzliche Risikofragen gestellt werden, zum Beispiel wie das KI-Modell überhaupt funktioniert; wie KI-Output verwendet werden kann? Gibt es hier einen Prüfkatalog (Best Practice)?»

«Als soziale Institution machen wir mit Teilnehmenden Bewerbungstrainings.

Können wir den Klienten die folgende Website empfehlen und ggf. mit ihnen darin arbeiten, ohne selbst für die Datenweitergabe verantwortlich zu sein?

Website: meinperfekterlebenslauf.de (Aufbereitung von Bewerbungsunterlagen mittels Logarithmen).

Betreiber lt. Datenschutzerklärung in Puerto Rico.

Keine Website mit Top-Level-Domain für die Schweiz (.ch).

Websites in vielen anderen Ländern, wie Brasilien, Frankreich, Italien, Niederlande und USA.

In der Datenschutzrichtlinie steht, dass viele der Computersysteme derzeit weltweit angesiedelt sind und die Daten an anderen Orten gespeichert und verarbeitet werden. Weiter steht dort: Die Bestimmungen zum Datenschutz und zum Schutz der Privatsphäre bieten nicht immer das gleiche Schutzniveau wie in anderen Teilen der Welt, z. B. im Europäischen Wirtschaftsraum (EWR). Schliesslich muss man eine entsprechende Einwilligung erteilen: Sie erklären sich mit der Erfassung, Speicherung usw. in den Vereinigten Staaten und anderen Ländern einverstanden.»

Wir diskutieren immer wieder über Themen aus Veranstaltungen der Datenschutz-Academy in unseren «Datenschutz-Plaudereien» auf. Hast Du unseren Podcast schon abonniert?