Was das Recht für unsere Verträge, den AVV und den KI-Einsatz verlangt. Belegt, abgerufen am 26.09.2026, an Primärquellen, soweit nicht anders vermerkt. Die Entwürfe, die darauf aufbauen, stehen in Vertragsunterlagen. Begriffe: Glossar
Das ist Recherche, keine Rechtsberatung
Die Aussagen sind mit Quelle belegt, aber von niemandem mit juristischer Qualifikation geprüft. Wo etwas eine eigene Ableitung ist, steht das dabei. Dieselbe Grenze wie in Grenzen und Stop-Regeln.
Datenschutzgesetz (DSG) und Verordnung (DSV)
Geltende Fassungen: DSG Stand 07.07.2025, DSV Stand 01.12.2025.
| Thema | Was gilt | Quelle |
|---|---|---|
| Auftragsbearbeitung | Zulässig, wenn der Auftragsbearbeiter die Daten nur so bearbeitet, wie der Kunde es selbst dürfte, und keine Geheimhaltungspflicht entgegensteht. Der Kunde muss sich vergewissern, dass wir die Datensicherheit gewährleisten. Keine Schriftform, kein Pflichtkatalog wie in der DSGVO | Art. 9 DSG |
| Unterauftragsbearbeiter | Nur mit vorgängiger Genehmigung. Sie darf allgemein sein, dann informieren wir über jeden Wechsel, und der Kunde kann widersprechen | Art. 9 Abs. 3 DSG, Art. 7 DSV |
| Busse ohne AVV | Bis CHF 250’000, nur bei Vorsatz, auf Antrag. Trifft die Person, die die Daten übergibt, also die verantwortliche Person beim Kunden, nicht uns | Art. 61 lit. b DSG, EDÖB Strafbestimmungen |
| Datensicherheit | Dem Risiko angemessen. Schutzziele Vertraulichkeit, Verfügbarkeit, Integrität, Nachvollziehbarkeit | Art. 8 DSG, Art. 1–3 DSV |
| Protokollierung | Für Private nur bei besonders schützenswerten Daten in grossem Umfang oder Profiling mit hohem Risiko, und wenn andere Massnahmen nicht reichen. Neu gefasst per 01.12.2025 | Art. 4 DSV |
| Auslandtransfer | Nur in Staaten auf der Liste des Bundesrats oder mit Garantien, etwa Standardvertragsklauseln mit Anpassung für die Schweiz | Art. 16 DSG, Anhang 1 DSV |
| USA | Auf der Liste nur für Firmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, seit 15.09.2024 | Anhang 1 DSV Nr. 44 |
| Datenschutzerklärung | Pflicht: Identität und Kontakt, Zweck, Empfänger, Auslandstaaten mit Garantien. Rechte und Aufbewahrungsdauer verlangt das DSG nicht ausdrücklich | Art. 19 DSG, Art. 13 DSV |
| Automatisierte Einzelentscheidung | Informationspflicht. Die Person kann eine Prüfung durch einen Menschen verlangen | Art. 21 DSG |
| Verzeichnis | Befreit sind Firmen unter 250 Mitarbeitenden, ausser bei besonders schützenswerten Daten in grossem Umfang oder Profiling mit hohem Risiko. Nach dem Wortlaut gilt das auch für Auftragsbearbeiter (eigene Ableitung) | Art. 12 Abs. 5 DSG, Art. 24 DSV |
| Folgenabschätzung | Nur bei voraussichtlich hohem Risiko, etwa umfangreiche Bearbeitung besonders schützenswerter Daten | Art. 22 DSG |
| Besonders schützenswert | Religion, Weltanschauung, Politik, Gewerkschaft · Gesundheit, Intimsphäre, Ethnie · genetische, biometrische Daten · Strafverfolgung · Sozialhilfe | Art. 5 lit. c DSG |
| Datenpanne | Der Auftragsbearbeiter meldet jede Verletzung «so rasch als möglich» dem Kunden, ohne Risikoschwelle und ohne Stundenfrist. Der Kunde meldet bei hohem Risiko dem EDÖB | Art. 24 DSG, Art. 15 DSV |
| Auskunft | Antwort innert 30 Tagen | Art. 25 DSG, Art. 18 DSV |
| EU-Vertretung | Nur bei gezieltem Angebot an Personen in der EU oder Beobachtung ihres Verhaltens. Eine erreichbare Website allein genügt nicht | Art. 3 Abs. 2, 27 DSGVO |
Das Datenschutzabkommen mit den USA ist unter Druck
Laut Recherche vom 26.09.2026, nicht alle Punkte an Primärquellen geprüft:
- Die Klage gegen das EU-Pendant hat das EuG am 03.09.2025 abgewiesen (T-553/23 Latombe). Ein Rechtsmittel am EuGH ist hängig (C-703/25 P).
- Der US Supreme Court hat am 29.06.2026 entschieden, dass der Präsident Mitglieder der FTC ohne Grund abberufen darf (Trump v. Slaughter). Die FTC setzt das Abkommen in den USA durch.
- Eine Stellungnahme von Bundesrat oder EDÖB dazu aus 2026 wurde nicht gefunden.
Folge für uns: Im AVV Standardvertragsklauseln als Rückfallebene vorsehen. Fällt ein Staat von der Liste, gilt das nicht rückwirkend (Art. 8 Abs. 6 DSV).
KI
| Thema | Was gilt | Quelle |
|---|---|---|
| DSG gilt direkt | Das DSG ist technologieneutral und gilt direkt für KI, sobald Personendaten bearbeitet werden | EDÖB, 09.11.2023, Update 08.05.2025 |
| Transparenz | Betroffene haben das «gesetzliche Recht zu erfahren, ob sie mit einer Maschine sprechen oder korrespondieren» und ob ihre Eingaben weiterverwendet werden. Deepfakes müssen «stets deutlich erkennbar» sein | EDÖB, Themenseite KI |
| Schweizer KI-Gesetz | Gibt es nicht. Der Bundesrat will die KI-Konvention des Europarats ratifizieren, die Vernehmlassungsvorlage kommt bis Ende 2026. Eröffnet ist sie noch nicht | Bundesrat 12.02.2025, BJ |
| EU-KI-Verordnung, Reichweite | Erfasst auch Schweizer Anbieter und Betreiber, wenn die Ausgabe in der EU verwendet werden soll | AI Act Art. 2 Abs. 1 lit. c |
| EU-Transparenzpflicht | Hinweis bei Chatbots, Kennzeichnung von KI-Inhalten und Deepfakes. Gilt seit 02.08.2026, der Omnibus hat sie nicht verschoben | AI Act Art. 50, EU-Kommission |
| Omnibus | Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026. Verschiebt die Hochrisiko-Pflichten auf 02.12.2027 bzw. 02.08.2028. Schwächt die Pflicht zur KI-Kompetenz ab | EUR-Lex |
Folge für uns: Rein schweizerische Kunden trifft die EU-Verordnung nicht. Ein Website-Chat, der sich auch an Besucher in der EU richtet, braucht den Maschinenhinweis ohnehin. Den setzen wir nach EDÖB immer.
KI-Anbieter im Vergleich
Stand 26.09.2026, Angaben der Anbieter.
| Anbieter | Training mit Kundendaten | Aufbewahrung | Datenstandort | Vertragspartner |
|---|---|---|---|---|
| OpenAI API | nein, Standard | bis 30 Tage Missbrauchsprotokolle | EU inkl. Schweiz nur auf Antrag, rund 10 % Aufpreis. Keine Schweizer Region | OpenAI Ireland |
| Anthropic API (Claude) | nein, Standard | Löschung innert 30 Tagen | direkt nur USA oder global. EU nur über AWS, Google oder Microsoft | Anthropic Ireland |
| Google Gemini (bezahlt) | nein. In EWR und Schweiz auch gratis nicht | 55 Tage Missbrauchsprotokolle | Vertex mit EU-Endpunkt. Zürich nur für Embeddings | Google Cloud EMEA. Google LLC ist im Swiss-US-Abkommen zertifiziert |
| Azure OpenAI | nein | Missbrauchsprüfung in der gewählten Region | Switzerland North für GPT-4.1 und 4o. GPT-5.x nur in der Datenzone EU | Microsoft Ireland |
| Mistral | muss man ausschalten | 30 Tage | EU | Mistral AI, Paris |
| Infomaniak | nein | nur Metadaten | Schweiz. Apertus-70B CHF 0.70/2.50 pro Mio. Tokens | Infomaniak, Genf |
| Swisscom | nein | – | Schweiz. KMU-Assistent ab CHF 149/Monat | Swisscom |
Weitere Schweizer Angebote für das offene Modell Apertus von ETH und EPFL: PHOENIQS/kvant, stepping stone, Safe Swiss Cloud, SwissGPT von AlpineAI.
Folge für das Versprechen «Schweizer Datenhaltung»
Hält nur teilweise. Hosting in der Schweiz ist machbar. Die KI-Schnittstellen von OpenAI, Claude und Gemini laufen aber über die EU oder die USA. Rein in der Schweiz bleibt die KI-Verarbeitung nur mit Infomaniak, Swisscom oder anderen Apertus-Anbietern, oder mit Azure in Switzerland North für ältere Modelle.
Entweder setzen wir für Kundendaten einen Schweizer Anbieter ein, oder wir versprechen nur «Hosting in der Schweiz» und deklarieren die KI-Verarbeitung je Dienst im AVV (Beilage 3). → Offene Entscheidungen · Kosten Dritter 2026
Vertragsrecht (OR)
OR Stand 01.01.2026.
| Thema | Was gilt | Quelle |
|---|---|---|
| Kündigung von Aufträgen | Jederzeit möglich, auch bei fester Laufzeit. Das Bundesgericht hält das für zwingend, auch bei gemischten Verträgen. Eine Strafe für die Kündigung ist unzulässig, eine Entschädigung nur bei Kündigung zur Unzeit. Ein Anlauf für eine Gesetzesänderung ist 2019 gescheitert | Art. 404 OR, BGE 115 II 464, BGE 109 II 462, BGer 4A_680/2016 |
| Folge für Monatspakete | Eine Mindestlaufzeit hält bei reinen Betreuungsleistungen womöglich nicht. Besser: Aufbau separat ausweisen und laufend verrechnen, statt ihn über die Laufzeit zu amortisieren (eigene Ableitung, Omnilex rät dasselbe) | Omnilex-Erläuterungen |
| Haftungsbeschränkung | Für Absicht und grobe Fahrlässigkeit nichtig. Für Hilfspersonen darf man sie weiter beschränken, in AGB aber riskant | Art. 100, 101 OR |
| 60-Tage-Rügefrist | Nur für unbewegliche Werke (Bauwerke), darin eingebaute Teile und zugehörige Pläne. Mehrere Ratgeber-Websites behaupten fälschlich, sie gelte allgemein | Art. 367 Abs. 1bis OR, Botschaft BBl 2022 2743 |
| Rüge bei Websites | Offene Mängel «sobald tunlich», verdeckte «sofort nach der Entdeckung», die Gerichte nehmen rund sieben Tage an. Zwischen Unternehmen darf man eigene Fristen vereinbaren | Art. 367 Abs. 1, 370 Abs. 3 OR |
| Verjährung | Zwei Jahre ab Abnahme, zwischen Unternehmen verkürzbar | Art. 371, 210 Abs. 4 OR |
| Rücktritt vom Werkvertrag | Der Besteller darf jederzeit zurücktreten, muss aber voll entschädigen. Eine Pauschale ist üblich, der Richter kann sie herabsetzen | Art. 377, 163 OR |
| AGB einbeziehen | Nur, was vor Vertragsschluss zugänglich war. Ungewöhnliche Klauseln binden nur mit besonderem Hinweis. Für Branchenfremde können auch branchenübliche Klauseln ungewöhnlich sein. Unklares geht zulasten der Verfasserin | BGE 138 III 411, 135 III 1, 124 III 155 |
| Art. 8 UWG | Die offene Inhaltskontrolle gilt nur gegenüber Konsumenten | Art. 8 UWG, SECO |
| Verzug | «Zahlbar innert 30 Tagen» ist kein Verfalltag. Ohne ausdrücklichen Verfalltag braucht es eine Mahnung. Mahngebühren nur, wenn vereinbart, und nicht für die erste Mahnung | Art. 102 OR, Rusch AJP 2021 |
| Leistungsstopp | Bei wiederkehrenden Leistungen darf man weitere Leistungen zurückhalten, solange frühere Rechnungen offen sind | Art. 82 OR, BGer 4A_589/2016 |
| MWST | Pflichtig ab CHF 100’000 Umsatz im In- und Ausland. Nicht Eingetragene dürfen auf Rechnungen keine MWST ausweisen, sonst schulden sie sie. Eine AGB-Klausel «zusätzlich geschuldet, sobald pflichtig» ist zulässig. Abstimmung über 8,5 % am 29.11.2026 | Art. 10, 27 MWSTG, ESTV |
| Impressum | Pflicht für Angebote im elektronischen Geschäftsverkehr: Firma, Postadresse, E-Mail. Ein Formular allein genügt nicht | Art. 3 Abs. 1 lit. s UWG, KMU-Portal |
| Gerichtsstand | Zwischen Unternehmen frei wählbar, in Textform. Das Wiener Kaufrecht gilt nur für Waren, der Ausschluss schadet aber nicht | Art. 17 ZPO, CISG Art. 3 |
Zwei Befunde, die uns direkt betreffen
Einfache Gesellschaft. Treten zwei Selbständige gemeinsam auf, kann ungewollt eine einfache Gesellschaft entstehen, mit solidarischer Haftung beider. Dafür genügt schon der Anschein, etwa ein gemeinsamer Briefkopf oder ein gemeinsames Konto. Eine Klausel «keine einfache Gesellschaft» allein reicht nicht. Tritt man unter gemeinsamer Firma kaufmännisch auf, droht sogar eine Kollektivgesellschaft. (Art. 530 ff., 544 Abs. 3, 552 OR · BGE 124 III 363)
→ ECHOLOT nur als Marke. Offerte, Vertrag, Rechnung und Konto je Einzelfirma. Eine Einzelfirma muss den Familiennamen enthalten, Zusätze sind erlaubt, etwa «Echolot Web Manuel Haller Polo», aber nicht «Echolot & Partner» (Art. 945 OR). Eintragungspflicht ab CHF 100’000 Umsatz (Art. 931 OR).
Urheberrecht zwischen uns beiden. Die Regel, dass Software im Arbeitsverhältnis dem Arbeitgeber gehört, gilt nicht für Selbständige (Art. 17 URG, BGer 4A_135/2024). Was der andere als Subunternehmer schafft, gehört ihm, bis er es schriftlich abtritt. Teilrechte gehen nur über, wenn sie genannt sind (Art. 16 Abs. 2 URG).
→ Kurze Vereinbarung zwischen Manuel und Eric nötig, bevor die Anbieterin dem Kunden Rechte einräumt.
KI und Urheberrecht
Geschützt ist nur, was auf menschlichem Willen beruht (Art. 2 URG, BGE 130 III 168). Laut IGE ist das Ergebnis eines einfachen Prompts nicht geschützt, dient die KI nur als Werkzeug, ist Schutz möglich. Eine Vorlage zum Training von KI mit geschützten Werken soll bis Ende 2026 in die Vernehmlassung (Motion 24.4596). WordPress steht unter der GPL, exklusive Rechte an GPL-Code kann niemand einräumen.
Domains und Hosting
| Thema | Was gilt | Quelle |
|---|---|---|
| Rollen bei .ch | Registry ist SWITCH, der Registrar handelt im Auftrag, der Halter hat das Nutzungsrecht. Eine Schweizer Adresse ist nicht nötig | VID, nic.ch |
| Halterwechsel | Nur der Halter selbst, sonst braucht es ein Urteil oder einen Vergleich | Art. 28 Abs. 3 VID, SWITCH-AGB 3.2.2 |
| Agentur als Halter | Geht sie in Konkurs, fällt die Domain in ihre Konkursmasse | Art. 28 Abs. 6 VID |
| Transfercode | Gibt ihn der Registrar nicht heraus, kann der Halter ihn direkt bei SWITCH verlangen. Nach einem Transfer 60 Tage Sperre | nic.ch |
| namecheap | Bietet .ch an, aber über einen Dritt-Registrar. Wer für Dritte registriert, bleibt selbst Halter und verantwortlich (§ 21). Hosting-Weiterverkauf nur mit schriftlicher Erlaubnis (§ 26). Recht von Arizona | namecheap Registration Agreement, Hosting-ToS |
Folge: namecheap nur für eigene Domains, für Kunden Schweizer Anbieter. Die folgenden vier hosten in der Schweiz, sind .ch-Registrare und bieten einen AVV an:
| Hoster | Rechenzentrum | Für Agenturen |
|---|---|---|
| Infomaniak | Genf | Partnerprogramm, ab rund CHF 2’000 pro Jahr |
| Hostpoint | Glattbrugg | Agenturpartnerprogramm |
| cyon | Basel | Agencyserver, ausdrücklich für den Wiederverkauf |
| METANET | Zürich | Reseller-Hosting. Normales Hosting nur für Eigengebrauch |
Hostpoint und cyon verlangen eine Ermächtigung des Endkunden, wenn die Agentur selbst Auftragsbearbeiterin ist.
Erics Quellen, bewertet
Aus seiner Mail vom 24.09.2026. Alle fünf Links funktionieren.
| Quelle | Bewertung |
|---|---|
| KMU-Portal: neues DSG | Brauchbarer Überblick, aber auf dem Stand 2020–2023. Die KMU-Ausnahme beim Verzeichnis ist ungenau beschrieben |
| EDÖB Basiswissen | Gut. Übersicht mit Links zu Auslandtransfer, Strafbestimmungen, Auftragsbearbeitung |
| Gryps: Datenschutz neuester Stand | Veraltet, Stand 01.09.2023. Stuft die USA noch als unsicher ein und nennt Auskunftsgebühren nach altem Recht |
| EQS: EU AI Act Mini-Guide | Werbeseite eines Softwareherstellers, PDF hinter Formular. Kennt den Omnibus vom Juli 2026 nicht |
| EDÖB: KI und Datenschutz | Die wichtigste Quelle. Aktuell, mit den Stellungnahmen von 2023 und 2025 |
Quellen
Gesetze: DSG · DSV · Erläuterungen BJ zur DSV · DSGVO · AI Act · Omnibus 2026/1744
Behörden: EDÖB Auftragsbearbeitung · EDÖB Strafbestimmungen · EDÖB Standardvertragsklauseln · EDÖB KI · Bundesrat Swiss-US DPF · DPF-Liste · BJ KI-Regulierung · EU-Kommission Art. 50
Vertragsrecht: OR · BGE 115 II 464 · BGE 109 II 462 · Walder Wyss zu Art. 404 · Botschaft Baumängel · Birchmeier/Brunner · Lenz & Staehelin zur Haftung · BGE 138 III 411 · Rusch zu Mahngebühren · ESTV MWST-Pflicht · BGE 124 III 363 · KMU-Portal einfache Gesellschaft · IGE KI und Urheberrecht · BGer 4A_135/2024
Domains und Hosting: nic.ch Support · SWITCH-AGB · namecheap Registration Agreement · namecheap Hosting-ToS · cyon Agencyserver · Hostpoint Agenturprogramm · Infomaniak Partner · METANET Reseller
Anbieter: OpenAI Daten · Anthropic Datenresidenz · Anthropic DPA · Gemini API Bedingungen · Azure Datenschutz · Mistral Training · Infomaniak Preise · Apertus-Anbieter