Einloggen
Prozesse Funktionen Alle Funktionen Dokumente & Belege mit KI KI-Chat mit Ihren Daten Die TreuFlow-App Fristen & TreuFlows Preise Gut zu wissen Gratis-Webinare Blog Hilfe & Anleitungen FAQ Über uns Kontakt Auf die Warteliste

revDSG und KI: was Treuhänder bei Kundendaten beachten müssen

Recht & Datenschutz· · 8 Minuten Lesezeit

Seit dem 1. September 2023 gilt das revidierte Schweizer Datenschutzgesetz. Für Treuhänder ist es doppelt relevant: Sie bearbeiten hochsensible Kundendaten, und gleichzeitig ziehen KI-Werkzeuge in den Büroalltag ein. Dieser Artikel fasst zusammen, was das revDSG verlangt, was bei KI besonders gilt und welche acht Fragen Sie jedem Software-Anbieter stellen sollten. Er ersetzt keine Rechtsberatung, aber er macht Sie zur richtigen Gesprächspartnerin.

Inhalt
  1. Was seit September 2023 gilt
  2. Was das für Treuhänder konkret heisst
  3. Was bei KI zusätzlich gilt
  4. Die Auslandsfrage
  5. Acht Fragen an jeden Anbieter
  6. Häufige Fragen

Was seit September 2023 gilt

Das revDSG hat den Schweizer Datenschutz an das europäische Niveau herangeführt, mit eigenen Akzenten. Die wichtigsten Punkte für die Praxis:

  • Informationspflicht. Betroffene müssen wissen, welche Daten Sie zu welchem Zweck bearbeiten, typischerweise über eine Datenschutzerklärung.
  • Verzeichnis der Bearbeitungstätigkeiten. Grundsätzlich Pflicht; Unternehmen mit weniger als 250 Mitarbeitenden sind ausgenommen, sofern kein hohes Risiko besteht. Bei Lohn- und Finanzdaten lohnt sich das Verzeichnis trotzdem, es zwingt zur Übersicht.
  • Meldepflicht bei Datenpannen. Verletzungen der Datensicherheit mit hohem Risiko müssen dem EDÖB so rasch als möglich gemeldet werden.
  • Persönliche Verantwortung. Bussen bis CHF 250'000 richten sich gegen verantwortliche natürliche Personen, nicht primär gegen die Firma. Das betrifft im Zweifel Sie als Inhaberin oder Geschäftsführer.

Was das für Treuhänder konkret heisst

Treuhanddaten sind kein gewöhnliches Adressbuch: Löhne, Finanzverhältnisse, teils Angaben zu Gesundheit (etwa bei Taggeld-Abrechnungen) oder Betreibungen. Vieles davon gilt als besonders schützenswert und verlangt erhöhte Sorgfalt.

Der wichtigste Hebel liegt bei Ihren Dienstleistern: Sobald eine Software Ihre Kundendaten speichert oder verarbeitet, ist der Anbieter Ihr Auftragsbearbeiter. Sie bleiben verantwortlich und brauchen einen Auftragsbearbeitungsvertrag (ADV), der Zweck, Sicherheit, Unterauftragsbearbeiter und Löschung regelt. Dazu kommen die eigenen Hausaufgaben: Zugriffe im Team auf das Nötige beschränken, Mitarbeitende sensibilisieren und ein Konzept, das die zehnjährige Aufbewahrungspflicht nach OR mit der Löschpflicht des Datenschutzes zusammenbringt.

Was bei KI zusätzlich gilt

KI ändert nichts an den Grundregeln, aber sie stellt vier Fragen schärfer:

  1. Wo laufen die Modelle? Der Speicherort der Belege ist das eine, der Ort der KI-Verarbeitung das andere. Beides gehört vertraglich fixiert.
  2. Wird mit Ihren Daten trainiert? Ob Kundendaten zum Training von Modellen verwendet werden dürfen, muss vor Vertragsabschluss schriftlich geklärt sein. Ein seriöser Anbieter beantwortet das ohne Ausflüchte.
  3. Bleiben Mandate getrennt? Was die KI aus einem Mandat lernt, darf nicht in einem anderen auftauchen. Fragen Sie explizit nach der Mandantentrennung.
  4. Bleibt der Mensch in der Kontrolle? Nachvollziehbare Antworten mit Quellenangabe und eine Freigabe vor jeder Buchung sind auch datenschutzrechtlich Gold wert: Sie können jederzeit zeigen, wer was entschieden hat. Warum das fachlich ohnehin richtig ist, steht im Artikel KI in der Treuhandbranche.
Der Klassiker, den Sie vermeiden sollten Kundendaten in ein öffentliches, kostenloses KI-Tool kopieren, ohne Vertrag, ohne geklärten Serverstandort, ohne Trainings-Ausschluss. Für einen Berufsstand, der vom Vertrauen lebt, ist das kein Graubereich, sondern ein Risiko mit Ansage.

Die Auslandsfrage

Kundendaten dürfen nur in Länder gelangen, deren Datenschutz der Bundesrat als angemessen einstuft, oder es braucht zusätzliche vertragliche Garantien. Für die USA existiert seit 2024 ein Rahmen für zertifizierte Anbieter. Die einfachste und erklärbarste Antwort für ein Treuhandbüro bleibt trotzdem: Hosting in der Schweiz, KI-Verarbeitung in der Schweiz oder in Europa, und beides schriftlich zugesichert. Das ist auch das Argument, das Ihre Mandanten ohne Jus-Studium verstehen.

Transparenz: so hält es TreuFlow Belege liegen in zertifizierten Schweizer Rechenzentren und werden dort zehn Jahre revisionssicher aufbewahrt, die KI-Modelle laufen auf europäischen Servern, ein Auftragsbearbeitungsvertrag gehört zum Vertrag, und ohne menschliche Freigabe wird nichts gebucht oder übergeben. Die Checkliste unten dürfen Sie trotzdem, und gerade deshalb, auch an uns anlegen.

Acht Fragen an jeden Anbieter

  1. In welchem Land werden die Daten gespeichert, und wo laufen die KI-Modelle?
  2. Gibt es einen Auftragsbearbeitungsvertrag, und welche Unterauftragsbearbeiter sind darin aufgeführt?
  3. Werden unsere Kundendaten zum Training von KI-Modellen verwendet? Schriftliche Antwort verlangen.
  4. Wie ist die Mandantentrennung technisch sichergestellt?
  5. Wie lange werden Daten aufbewahrt, und was passiert bei Vertragsende mit ihnen?
  6. Welche Zugriffs- und Rollenkonzepte gibt es für unser Team, und werden Zugriffe protokolliert?
  7. Wie werden wir bei einer Datenpanne informiert, und in welcher Frist?
  8. Bleibt jede Buchung und Übergabe hinter einer menschlichen Freigabe?

Häufige Fragen

Brauche ich als Treuhandbüro einen Datenschutzberater?
Für private Unternehmen ist die Ernennung freiwillig. Sinnvoll ist in jedem Fall eine intern zuständige Person, die Verzeichnis, Verträge und Schulung im Griff hat. Bei komplexen Verhältnissen lohnt sich punktuelle juristische Begleitung.
Darf ich Kundendaten in ein öffentliches KI-Tool eingeben?
Ohne Auftragsbearbeitungsvertrag, geklärten Serverstandort und ausgeschlossenes Training: nein. Nutzen Sie für Kundendaten nur Werkzeuge, mit deren Anbieter ein Vertrag besteht, der genau diese Punkte regelt.
Gilt für mich auch die DSGVO?
Möglich, etwa wenn Sie Mandanten oder deren Mitarbeitende in der EU betreuen. Die gute Nachricht: Wer das revDSG sauber umsetzt und auf Schweizer oder europäisches Hosting achtet, hat den grössten Teil des Weges auch Richtung DSGVO gemacht.
Was mache ich bei einer Datenpanne?
Vorfall dokumentieren, Risiko einschätzen, bei hohem Risiko so rasch als möglich dem EDÖB melden und, wo nötig zu deren Schutz, die Betroffenen informieren. Am wichtigsten ist, dass der Ablauf vorher definiert ist und nicht erst im Ernstfall improvisiert wird.
Brauche ich eine Datenschutz-Folgenabschätzung für KI-Software?
Nötig ist sie, wenn eine Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringen kann. Bei der Einführung einer KI-Lösung für sensible Finanzdaten ist sie ein sinnvolles Instrument: Sie zwingt dazu, Risiken und Massnahmen einmal sauber aufzuschreiben, und die Anbieter-Antworten aus der Checkliste oben liefern das Material dazu.

Datenschutzfragen lieber im Gespräch klären?

Im Gratis-Webinar zeigen wir, wie TreuFlow mit Kundendaten umgeht, vom Schweizer Hosting bis zur Freigabe. Mit Zeit für genau diese Fragen.

Webinar-Termine ansehen