EDÖB-Tätigkeitsbericht 2025/2026: KI-Fokus – was KMU tun sollten

Ende Juni 2026 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) seinen 33. Tätigkeitsbericht (2025/2026) veröffentlicht – den jährlichen Rechenschaftsbericht gegenüber dem Parlament. Für die meisten Schweizer KMU klingt das zunächst nach einem Dokument für Juristinnen und Behörden, nicht für den eigenen Betrieb. Genau diese Einschätzung ist das Problem.

Wer im Unternehmen ChatGPT für Textentwürfe nutzt, Claude für die Auswertung von Kundenanfragen einsetzt oder gerade einen eigenen KI-Agenten für die Buchhaltung oder den Kundenservice aufbaut, arbeitet in exakt dem Bereich, den der EDÖB im Berichtsjahr besonders im Blick hatte. Der Bericht zeigt nicht abstrakte Prinzipien, sondern reale Fälle und die Aufsichtspraxis – und die meisten KMU kennen sie nicht, weil ein 100-seitiger Behördenbericht selten auf dem Schreibtisch der Geschäftsführung landet.

Dieser Beitrag übersetzt die für KMU relevanten Teile des Tätigkeitsberichts 2025/2026 in konkrete Handlungspunkte: Was der EDÖB thematisiert hat, welche Fälle das Berichtsjahr geprägt haben und was ein Betrieb mit 5 bis 100 Mitarbeitenden daraus für den eigenen Umgang mit KI-Tools ableiten sollte. Es handelt sich um eine Praxisübersetzung – keine offizielle «EDÖB-Checkliste mit vier Empfehlungen».

Der Ausgangspunkt: KI ist längst DSG-Alltag, nicht Neuland

Bereits am 8. Mai 2025 hat der EDÖB klargestellt, was seither als Grundsatz gilt: Das revidierte Datenschutzgesetz (revDSG) ist technologieneutral formuliert und erfasst KI-gestützte Datenbearbeitungen ohne jede Sonderregel. Wer als Unternehmen ChatGPT, Claude oder eine selbst gebaute KI-Anwendung mit Personendaten füttert – Kundennamen, Bewerbungsunterlagen, Mitarbeiterdaten, Adressen – unterliegt denselben Pflichten wie bei jeder klassischen Datenbearbeitung: Zweckbindung, Transparenz, angemessene Sicherheit, Auskunftsrecht der Betroffenen.

Für viele KMU ist das eine unbequeme Erkenntnis, weil KI-Tools oft ohne grosse IT-Prüfung eingeführt werden – eine Mitarbeiterin testet ein Tool, es funktioniert gut, es bleibt im Einsatz. Der Tätigkeitsbericht 2025/2026 zeigt, dass genau diese Grauzone im Fokus der Aufsicht steht.

Was der EDÖB im Berichtsjahr zu KI thematisiert hat

Der Bericht listet mehrere KI-relevante Themen, die zeigen, wie breit die Aufsicht mittlerweile ansetzt:

• Bund als Vorbild: Der EDÖB begleitete die Einführung von KI-Assistenzsystemen bei der Bundeskanzlei und dem Bundesamt für Informatik (BIT) – ein Hinweis darauf, dass selbst staatliche Stellen ihre KI-Einführung datenschutzrechtlich absichern müssen, bevor sie live geht.
• KI-Trainingspläne von X: Die Praktiken des Kurznachrichtendienstes X (vormals Twitter), Nutzerinhalte für das Training eigener KI-Modelle zu verwenden, wurden thematisiert und geprüft – mit Nuancen je nach Rechtsgrundlage, Transparenz und Widerspruchsmöglichkeiten. Relevanz für KMU: Wer eigene Daten zum Training freigibt oder einsetzt, muss dieselben DSG-Grundsätze beachten.
• Identitäts- und Altersprüfung: Fälle im Umfeld von Identitätsprüfungen und KI-basierten Altersnachweisen zeigen, dass auch spezialisierte Schweizer Anbieter im KI-Bereich ins Visier geraten können – nicht nur globale Konzerne. Form und Intensität der Aufsicht hängen vom Einzelfall ab.
• Biometrie und grosse Plattformen: Abklärungen zu biometrischen Funktionen (u. a. im Umfeld von Meta) signalisieren, dass biometrische KI-Anwendungen besonders genau geprüft werden. Das bedeutet nicht automatisch ein formelles Sanktionsverfahren in jedem medial genannten Fall – wohl aber eine klare Priorität der Aufsicht.

Für ein KMU ohne eigene Rechtsabteilung ist die Botschaft dahinter wichtiger als die Einzelfälle: Der EDÖB prüft nicht nur grosse Datenskandale, sondern systematisch, wie KI in alltäglichen Geschäftsprozessen eingesetzt wird – von der Altersverifikation im Onlineshop bis zur Gesichtserkennung in einer App.

Vier Praxis-Prioritäten – aus DSG und Aufsichtspraxis

Aus dem Bericht und den bestehenden DSG-Pflichten lassen sich vier wiederkehrende Praxis-Prioritäten ableiten. Das sind keine nummerierten «vier offiziellen EDÖB-Empfehlungen» aus dem Tätigkeitsbericht, sondern handlungsleitende Schwerpunkte für Unternehmen, die KI einsetzen.

1. Privacy by Design von der Planungsphase an

Datenschutz soll nicht nachträglich in ein bereits laufendes KI-Projekt eingebaut werden, sondern von Anfang an Teil der Tool-Auswahl sein. Praktisch heisst das für ein KMU: vor der Einführung eines KI-Tools klären, welche Daten überhaupt eingegeben werden müssen, ob eine Business-Version mit Auftragsverarbeitungsvertrag existiert und wo die Daten verarbeitet werden.

2. Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko – Art. 22 DSG

Bei Bearbeitungen mit voraussichtlich hohem Risiko für die betroffenen Personen – etwa automatisierte Vorauswahl von Bewerbungen, Bonitätsprüfungen oder biometrische Auswertungen – verlangt Artikel 22 DSG eine DSFA. Der EDÖB erinnert daran und macht die Erwartung in der Aufsichtspraxis sichtbar; die Pflicht selbst steht im Gesetz. Für die meisten KMU betrifft das nicht die alltägliche Textarbeit mit ChatGPT oder Claude, wohl aber jedes Projekt, das automatisierte Einzelentscheidungen über Personen trifft.

3. Konsequente Durchsetzung von Widerspruchs- und Betroffenenrechten

Betroffene Personen müssen ihre Rechte wahrnehmen können – etwa einer KI-gestützten Datenbearbeitung zu widersprechen oder Auskunft zu verlangen. Das bedeutet für ein KMU: Es muss einen realistischen, nicht nur theoretischen Weg geben, wie eine Kundin oder ein Kunde eine rein manuelle Bearbeitung verlangen oder Auskunft erhalten kann.

4. Schulung und Sensibilisierung als Best Practice

Eine generelle, sanktionsbewehrte «KI-Schulungspflicht» für jedes KMU kennt das DSG so nicht. Der EDÖB betont Schulung und Kompetenzaufbau aber klar – unter anderem im Kontext der KI-Strategie des Bundes und guter organisatorischer Massnahmen. In der Praxis für KMU: eine kurze, verbindliche interne Richtlinie – was darf in ein KI-Tool eingegeben werden, was nicht – plus eine Einführung für alle, die mit Kundendaten arbeiten, nicht nur für die IT-Abteilung. Das ist Best Practice mit hohem Schutzwert, nicht bloss «nice to have».

Warum das mehr ist als eine juristische Fussnote

Der naheliegende Einwand: "Wir sind ein KMU mit 20 Mitarbeitenden, nicht Meta oder X – betrifft uns das wirklich?" Der Tätigkeitsbericht beantwortet das indirekt, aber deutlich. Bussen nach revDSG betragen zwar bis CHF 250'000 und richten sich gegen die verantwortliche natürliche Person, nicht direkt gegen das Unternehmen – doch das eigentliche Risiko liegt selten in der Maximalbusse. Es liegt im Vertrauensverlust, wenn Kundschaft merkt, dass Personendaten unkontrolliert in ein KI-Tool ohne Auftragsverarbeitungsvertrag gelangt sind, oder im Aufwand einer nachträglichen Aufarbeitung, wenn eine Datenschutzverletzung erst nach der Einführung auffällt.

Zudem zeigt die aktive Abklärung bei systemischen KI-Risiken grosser Plattformen, dass der EDÖB bei biometrischen und trainingsbezogenen Themen nicht zögert. Ein KMU, das dieselben Prinzipien im eigenen, kleineren Massstab ignoriert, verlässt sich auf reines Glück, nicht auf Compliance – auch wenn der Massstab und die Verfahrensart andere sind.

Ein Beispiel aus der Praxis verdeutlicht, wie schnell die vier Prioritäten relevant werden: Ein KMU im Detailhandel führt einen KI-Chatbot für Retourenanfragen ein und testet parallel ein Tool, das eingehende Bewerbungen automatisch nach Stichworten vorsortiert. Der Chatbot verarbeitet Namen, Bestellnummern und E-Mail-Adressen – klassische Personendaten, für die ein Auftragsverarbeitungsvertrag mit dem Anbieter zwingend ist. Die automatische Bewerbungsvorsortierung geht weiter: Sie trifft faktisch eine Vorentscheidung über reale Personen und fällt damit unter die DSFA-Pflicht nach Art. 22 DSG. Ohne die vorgängige Prüfung wäre genau dieses zweite Tool ein Fall, wie ihn die Aufsichtspraxis beschreibt – eingeführt, weil es praktisch war, nicht, weil die Risikoabklärung vorher stattgefunden hat.

Konkrete nächste Schritte für Schweizer KMU

Vier Massnahmen lassen sich in den meisten Betrieben innerhalb weniger Wochen umsetzen, ohne den laufenden Betrieb zu stören:

Bestandsaufnahme. Welche KI-Tools sind aktuell im Einsatz – offiziell eingeführt oder informell von einzelnen Mitarbeitenden genutzt? Eine kurze interne Umfrage oder ein Blick in die Firmen-Kreditkartenabrechnung (Abo-Zahlungen an KI-Anbieter) reicht meist, um die grössten Lücken sichtbar zu machen. Ohne diese Übersicht bleibt jede weitere Massnahme Stückwerk.

Risiko pro Tool einordnen. Nicht jedes KI-Tool braucht dieselbe Prüftiefe. Reine Textunterstützung ohne automatisierte Entscheidung über Personen ist unkritischer, sofern die Datenweitergabe geklärt ist. Sobald ein Tool jedoch automatisiert über Bewerbungen, Bonität oder ähnlich folgenreiche Sachverhalte entscheidet, greift die DSFA-Pflicht nach Art. 22 DSG – dieser Schritt entscheidet, wo genauer hingeschaut werden muss.

Business-Versionen statt Gratis-Tools bei Personendaten. Für die Bearbeitung von Kunden- oder Mitarbeiterdaten sind Business-Versionen mit Auftragsverarbeitungsvertrag nötig – die kostenlosen Standardversionen vieler KI-Tools bieten diese Garantien nicht und verwenden Eingaben teils zu Trainingszwecken weiter.

Kurze interne Richtlinie plus Einführung. Ein zweiseitiges Dokument mit klaren Grenzen, ergänzt durch eine kurze mündliche Einführung für alle betroffenen Mitarbeitenden, deckt die Best-Practice-Schulung in den meisten Fällen ausreichend ab. Entscheidend ist, dass die Richtlinie tatsächlich bekannt ist – nicht nur, dass sie existiert.

---

Wer unsicher ist, wie sich die Schwerpunkte aus dem EDÖB-Tätigkeitsbericht 2025/2026 auf die eigene KI-Nutzung übertragen lassen, findet bei der Digitalberatung für KMU von Hedinger-Digital eine strukturierte Einschätzung der eigenen Situation. Für die konkrete Umsetzung – von der Tool-Auswahl bis zur internen Richtlinie – bietet sich die KI-Beratung & Integration für KMU an. Ein erstes Gespräch genügt – über das Kontaktformular.