Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (DSG). Ein KI-Telefonassistent fällt voll darunter: Er hört die Stimme des Anrufers, sieht seine Nummer und schreibt mit, was er sagt. In einer Arztpraxis gehört dazu schnell ein Name, ein Geburtsdatum und der Satz «Ich habe seit gestern starke Zahnschmerzen».
Dieser Beitrag ordnet die Pflichten, die daraus entstehen, und sagt, was Sie von Ihrem Anbieter verlangen sollten. Er ist eine Übersicht und ersetzt keine Rechtsberatung. Wer heikle Daten bearbeitet, sollte die eigene Lösung von einer Fachperson prüfen lassen.
Wer ist wofür verantwortlich?
Verantwortlich im Sinne des Gesetzes sind Sie, also der Betrieb, der den Assistenten einsetzt. Der Anbieter des Assistenten ist Auftragsbearbeiter. Artikel 9 DSG regelt dieses Verhältnis: Sie brauchen einen Vertrag, der festhält, dass der Anbieter die Daten nur so bearbeitet, wie Sie es selbst dürften, und Sie müssen sich vergewissern, dass er die Datensicherheit gewährleisten kann. Weitere Unterauftragsbearbeiter darf er nur mit Ihrer vorgängigen Genehmigung beiziehen.
In der Praxis heisst das: Verlangen Sie einen Auftragsbearbeitungsvertrag und eine Liste aller Dienste, die an einem Gespräch beteiligt sind, mit dem Land, in dem sie sitzen. Bei einem KI-Telefonassistenten sind das selten weniger als fünf: Telefonie, Spracherkennung, Sprachmodell, Sprachsynthese und die Datenbank.
Der Anrufer muss wissen, mit wem er spricht
Artikel 19 DSG verlangt, dass Sie die betroffene Person bei der Beschaffung ihrer Daten informieren. Dazu gehören Ihre Identität und Kontaktdaten, der Zweck der Bearbeitung, die Empfänger und, wenn Daten ins Ausland gehen, die Staaten und die Garantien, auf die Sie sich stützen.
Am Telefon lässt sich das nicht vollständig vorlesen, und das verlangt auch niemand. Gängig ist eine kurze Ansage in der Begrüssung und ein Verweis auf die Datenschutzerklärung Ihrer Website, die den Rest enthält. Zum Beispiel so:
«Grüezi, Sie sind mit dem digitalen Assistenten der Praxis Muster verbunden. Das Gespräch wird aufgezeichnet und schriftlich festgehalten. Informationen zum Datenschutz finden Sie auf praxis-muster.ch.»
Ergänzen Sie danach Ihre eigene Datenschutzerklärung um einen Abschnitt zum Telefonassistenten: was erfasst wird, wozu, welche Dienste beteiligt sind und wie lange die Daten bleiben.
Das ist mehr als Formsache. Nach Artikel 60 DSG kann, wer die Informationspflicht vorsätzlich verletzt, auf Antrag mit einer Busse bis CHF 250'000 bestraft werden. Gebüsst wird die verantwortliche natürliche Person, in einem kleinen Betrieb also oft die Inhaberin oder der Inhaber selbst.
Aufzeichnung: Hier redet das Strafgesetzbuch mit
Ob ein Gespräch nur transkribiert oder auch als Audio aufgenommen wird, ist ein wichtiger Unterschied. Artikel 179ter StGB stellt unter Strafe, wer als Gesprächsteilnehmer ein nichtöffentliches Gespräch ohne Einwilligung der anderen Teilnehmer aufnimmt. Verfolgt wird das auf Antrag.
Fragen Sie Ihren Anbieter deshalb ausdrücklich, ob Audio gespeichert wird, wo und wie lange. Wird aufgenommen, gehört die Ansage an den Anfang des Gesprächs, bevor der Anrufer etwas Persönliches sagt. Bei NOXO werden eingehende Anrufe aufgezeichnet, die Aufnahme liegt beim Sprachdienst Vapi in den USA und Ihr Konto enthält den Link darauf. Die Begrüssung legen Sie selbst fest, und dort gehört der Hinweis hinein.
Gesundheitsdaten und Berufsgeheimnis
Daten über die Gesundheit sind nach Artikel 5 DSG besonders schützenswert. Das betrifft nicht nur Arztpraxen. Auch die Physiotherapie, die Zahnarztpraxis, die Apotheke und das Kosmetikstudio, in dem jemand eine Allergie erwähnt, bearbeiten solche Daten, sobald der Assistent den Grund des Anrufs festhält.
Daraus folgen drei Dinge:
- Nur fragen, was nötig ist. Für einen Termin braucht der Assistent Namen, Telefonnummer und den Grund in einem Satz. Eine detaillierte Schilderung der Beschwerden gehört ins Gespräch mit der Fachperson. Das entspricht dem Grundsatz der Verhältnismässigkeit in Artikel 6 DSG, und Sie können es dem Assistenten in seinen Anweisungen genau so vorgeben.
- Eine Datenschutz-Folgenabschätzung prüfen. Artikel 22 DSG verlangt sie, wenn eine Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringen kann, etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten. Für eine kleine Praxis reichen dafür wenige Seiten, die festhalten, welche Daten anfallen, welche Risiken bestehen und mit welchen Massnahmen Sie ihnen begegnen.
- Das Berufsgeheimnis klären. Ärztinnen, Zahnärzte, Anwältinnen und ihre Hilfspersonen unterstehen Artikel 321 StGB. Wenn ein externer Dienst Gesprächsinhalte sieht, sollten Sie vertraglich festhalten, dass er und seine Mitarbeitenden zur Verschwiegenheit verpflichtet sind. Im Zweifel fragt man die kantonale Standesorganisation.
Ein Verzeichnis der Bearbeitungstätigkeiten nach Artikel 12 DSG müssen Unternehmen mit weniger als 250 Mitarbeitenden in der Regel nicht führen. Die Ausnahme fällt aber weg, wenn besonders schützenswerte Daten in grossem Umfang bearbeitet werden (Artikel 24 der Datenschutzverordnung). Für eine grosse Gruppenpraxis kann das zutreffen.
Daten im Ausland
Artikel 16 DSG erlaubt die Bekanntgabe ins Ausland ohne Weiteres, wenn der Bundesrat dem Staat einen angemessenen Datenschutz bescheinigt hat. Die Liste steht in Anhang 1 der Datenschutzverordnung und umfasst unter anderem die Staaten der EU und des EWR sowie das Vereinigte Königreich. Für die USA gilt das seit dem 15. September 2024 nur für Unternehmen, die sich dem Swiss-U.S. Data Privacy Framework angeschlossen haben und auf dessen offizieller Liste stehen. Für alle anderen braucht es Garantien wie Standardvertragsklauseln.
Praktisch jeder KI-Telefonassistent hat heute Bausteine in den USA, weil die führenden Sprachmodelle, Spracherkennungen und Telefonieplattformen dort sitzen. Ein Anbieter, der «alles in der Schweiz» verspricht, sollte das für jeden einzelnen Baustein belegen können. Bei NOXO liegt die Datenbank in London, mehrere Dienste sitzen in den USA, und die Datenschutzerklärung nennt jeden davon mit Sitz und Zweck. Eine Speicherung ausschliesslich in der Schweiz bieten wir nicht an.
Aufbewahren und löschen
Personendaten müssen vernichtet oder anonymisiert werden, sobald sie für den Zweck nicht mehr nötig sind (Artikel 6 Absatz 4 DSG). Ein Transkript, in dem jemand nach den Öffnungszeiten fragt, braucht niemand drei Jahre lang. Legen Sie fest, wie lange Transkripte, Aufnahmen und erfasste Anfragen bleiben sollen, und fragen Sie, wie der Anbieter das Löschen umsetzt. Was in Ihr Patientendossier oder Ihre Kundenakte gehört, übertragen Sie dorthin. Für diese Unterlagen gelten ihre eigenen Aufbewahrungsregeln.
Checkliste vor dem Start
- Auftragsbearbeitungsvertrag mit dem Anbieter, mit Liste der Unterauftragsbearbeiter und ihrer Länder
- Begrüssung mit Hinweis auf den digitalen Assistenten und, falls aufgenommen wird, auf die Aufzeichnung
- eigene Datenschutzerklärung um den Telefonassistenten ergänzt
- Anweisungen an den Assistenten, nur die nötigen Angaben zu erfragen
- bei Gesundheitsdaten eine kurze Folgenabschätzung und eine Regelung zum Berufsgeheimnis
- festgelegte Löschfristen und eine Person im Team, die sie kontrolliert
Den Gesetzestext finden Sie auf fedlex.admin.ch, Leitfäden und Merkblätter beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten.