News & Questions: Datenlecks, private KI-Accounts im Geschäftsalltag, Transparenzregister, …
In «News & Questions» erhalten die Mitglieder unserer Datenschutz-Academy einen Überblick über aktuelle Neuigkeiten aus dem Datenschutzrecht und verwandten Themen.
Ferner erhalten sie Antworten auf ihre eigenen Fragen und profitieren von den Antworten auf die Fragen anderer Mitglieder.
Rechtsanwalt Martin Steiger informierte bei «News & Questions» am 20. Oktober 2026 über aktuelle Entwicklungen im Datenschutzrecht und verwandten Themen.
Im ersten Teil thematisierte Martin Steiger die auffällige Häufung von Datenlecks bei diversen Unternehmen in der Schweiz, den Start des neuen Transparenzregisters sowie die Risiken von Zero-Click-Hacking-Angriffen durch Online-Werbung.
Ausserdem beleuchtete er ein aktuelles Verfahren der norwegischen Datenschutzbehörde, die eine Millionenbusse gegen ein Werbeunternehmen wegen der unrechtmässigen Bearbeitung sensibler Personendaten von Grindr-Nutzern verhängte.
Im zweiten Teil ging Martin Steiger auf die Fragen der Mitglieder ein. Schwerpunkte bildeten die datenschutzrechtliche Verantwortung, wenn Mitarbeitende private Accounts bei KI-Diensten nutzen, sowie die rechtlichen Vorgaben für das KI-Training mit Kundendaten.
Ferner ging es um die Frage, ob vertragliche Zusicherungen von KI-Anbietern zum Verzicht auf KI-Training für einen datenschutzkonformen Einsatz genügen oder weitere Prüfungen erforderlich sind.
Weitere Fragen betrafen die Zulässigkeit pauschaler Zugriffsrechte auf Kundendaten für alle Mitarbeitenden im Vergleich zu individuellen Berechtigungen nach dem Erforderlichkeitsprinzip sowie das korrekte Einholen von Zustimmungen für die Veröffentlichung von erhaltenem Kundenfeedback der eigenen Website.
Aufzeichnung und Folien
Mitglieder der Datenschutz-Academy können sich nachfolgend die aufgezeichneten «News & Questions» ansehen und die Folien herunterladen.
Fragen bei «News & Questions»
Mitglieder der Datenschutz-Academy stellten insbesondere folgende Fragen:
«Unsere Mitarbeitenden nutzen ChatGPT, Claude und andere KI-Dienste teilweise mit privaten Accounts für geschäftliche Aufgaben. Inwiefern sind wir als Arbeitgeberin für diese Nutzung datenschutzrechtlich verantwortlich, und welche Massnahmen müssen wir treffen?»
«KI-Anbieter wie OpenAI oder Microsoft versprechen bei ihren kostenpflichtigen Business-Angeboten, dass eingegebene Daten nicht für das Training der KI verwendet werden. Genügt diese Zusicherung für einen datenschutzkonformen Einsatz, oder müssen wir weitere Aspekte prüfen?»
«Wir möchten unsere bestehenden Kundendaten nutzen, um ein internes KI-System zu trainieren. Ist dies vom ursprünglichen Bearbeitungszweck gedeckt, oder müssen wir die betroffenen Personen informieren beziehungsweise ihre Einwilligung einholen?»
«In unserem Unternehmen haben grundsätzlich alle Mitarbeiter Zugriff auf sämtliche Kundendaten. Ist dies datenschutzrechlich problematisch, auch wenn alle Mitarbeiter einer Geheimhaltungspflicht unterstehen? Müssen wir individuelle Zugriffsberechtigungen einrichten?»
«Wir erhalten erfreulicherweise immer wieder positive Rückmeldungen von Kundinnen per E-Mail. Dürfen wir diese unter Angabe des Namen der Kundinnen auf unserer Website veröffentlichen? Und wie sieht es aus, wenn wir den Namen anonymisieren, aber der Kunde aufgrund des Inhalts erkennbar bleibt?»
Wir diskutieren immer wieder über Themen aus Veranstaltungen der Datenschutz-Academy in unseren «Datenschutz-Plaudereien» auf. Hast Du unseren Podcast schon abonniert?