Dürfen Mitarbeitende Kundendaten in ChatGPT eingeben? Die Checkliste für Treuhänder
Montagmorgen. Jemand in Ihrem Team kopiert die Steuererklärung eines Kunden in ChatGPT, um schneller eine Antwort zu entwerfen. Zwanzig Sekunden, und es wirkt harmlos. Aber wohin ist diese Steuererklärung gerade gegangen, wer kann sie jetzt lesen, und wer steht dafür ein, wenn der Kunde davon erfährt?
Die kurze Antwort: nur, wenn Sie drei Fragen mit Ja beantworten können. Wissen Sie, welches Unternehmen die Daten bearbeitet, und in welchem Land? Deckt ein Vertrag diese Bearbeitung ab? Lassen Ihre Zusagen an den Kunden es zu? Konten, die Mitarbeitende selbst eröffnen, scheitern meist an mindestens einer der drei.
Am 30. September 2026 mit dem Gesetz abgeglichen
Riskiere ich etwas?
- CHF 250'000
Die höchste Busse im Datenschutzgesetz, wenn geheime Kundendaten offenbart oder Daten ohne die nötigen Garantien einem Anbieter übergeben werden. Sie ist persönlich: In der Regel trifft sie die verantwortliche Person, nicht das Büro, wenn der Verstoss vorsätzlich ist.
- Auch die Leitung
Begeht jemand im Team einen solchen Verstoss, kann die Person, die das Büro leitet, dieselbe Strafe treffen, wenn sie ihre Pflicht verletzt hat, ihn zu verhindern, auch fahrlässig (Art. 64 DSG und Art. 6 VStrR).
- US-Recht
US-Anbieter können verpflichtet werden, Daten, über die sie verfügen, US-Behörden herauszugeben, auch wenn sie in der Schweiz gespeichert sind (CLOUD Act).
Die Checkliste
0 von 10 abgehakt
Fragen Sie das Team, schauen Sie Browser-Erweiterungen und Handy-Apps an, und suchen Sie Abos in den Spesenabrechnungen. Das Tool, das Sie nicht kennen, ist das, das Sie nicht kontrollieren.
Kunden-E-Mails, Steuererklärungen, Lohnabrechnungen, Kontoauszüge. Namen, AHV-Nummern, Löhne und Kontostände sind alles Personendaten.
Ein kostenloses oder privates Konto läuft unter Bedingungen für Privatkunden. Ein Business-Angebot hat einen anderen Vertrag. Welches nutzt Ihr Team wirklich?
Manche Angebote für Privatkunden dürfen Unterhaltungen zum Trainieren ihrer Modelle nutzen und eine Zeit lang aufbewahren, solange eine Einstellung nicht ausgeschaltet ist. Lesen Sie die Bedingungen des genutzten Angebots, nicht die Startseite.
Ein Unternehmen, das Kundendaten für Sie bearbeitet, nennt das Gesetz Auftragsbearbeiter. Das ist mit einem Vertrag erlaubt, wenn es nur tut, was Sie selbst tun dürften, und die Datensicherheit gewährleistet (Art. 9 DSG). Prüfen Sie, ob die Bedingungen des tatsächlich genutzten Angebots diese Voraussetzungen erfüllen, auch bei Bearbeitungsgrenzen, Vertraulichkeit und Sicherheit: Weder die Bezeichnung «Privatkunden» noch «Business» entscheidet das.
Viele KI-Tools bearbeiten Daten in den USA. Kundendaten dorthin zu senden, braucht eine rechtliche Grundlage, zum Beispiel eine Zertifizierung nach dem Swiss-US Data Privacy Framework oder Standarddatenschutzklauseln (Art. 16 und 17 DSG).
Manche Mandatsverträge schliessen die Weitergabe von Daten an Dritte aus oder erlauben nur namentlich genannte Unterauftragnehmer. Ein KI-Anbieter ist ein Dritter. Sagt Ihr Vertrag mit dem Kunden Nein, sagt auch das Gesetz Nein (Art. 9 DSG).
Ersetzen Sie Namen, AHV-Nummern, IBAN und Adressen, wo es geht. Das senkt das Risiko, aber Details können trotzdem auf einen Kunden hinweisen: Es ersetzt die anderen Prüfungen nicht.
Welche Tools, für welche Aufgaben, mit welchen Daten, und was nie hineingeht. Eine Seite, die man findet, ist eine Seite, die man befolgen kann.
Kundendossiers werden eingefügt, um Zeit zu sparen, nicht um zu schaden. Erklären Sie die Regeln, wiederholen Sie sie bei jedem Neueintritt, und geben Sie ein Tool, das genutzt werden darf.
Alles abgehakt? Regeln, die nur in Ihrem Kopf existieren, halten niemanden auf. Der nächste Schritt ist, sie für Ihr Team aufzuschreiben: Das Kit enthält eine einseitige Richtlinie zum Anpassen. Kit anfordern
Welche Aufgabe gehört wohin?
Das Kit ordnet sechs alltägliche Aufgaben ein. Zwei davon:
- Einen allgemeinen Brief oder eine E-Mail ohne Kundenangaben umformulieren
- Ein öffentliches Tool genügt.
- Eine Steuerregel oder eine neue Verordnung allgemein erklären
- Ein öffentliches Tool, danach die offizielle Quelle prüfen.
- Die E-Mail oder den Brief eines Kunden zusammenfassen
- Im Kit
- Eine Antwort entwerfen, die Zahlen aus dem Dossier nennt
- Im Kit
- Lohnabrechnungen, Kontoauszüge oder Steuererklärungen lesen
- Im Kit
- Alles zu Gesundheit, Sozialhilfe oder Verfahren
- Im Kit
Warum Treuhänder stärker exponiert sind
Ein Treuhandbüro sieht Einkommen, Vermögen, Familienverhältnisse und Steuerangelegenheiten: oft die privatesten Zahlen im Leben eines Kunden. Das Datenschutzgesetz bestraft mit Busse bis zu 250 000 Franken, wer geheime Personendaten vorsätzlich offenbart, von denen er bei einem Beruf erfahren hat, der die Kenntnis solcher Daten erfordert (Art. 62 DSG). Wer Daten einem Anbieter übergibt, ohne dass Artikel 9 Absätze 1 und 2 erfüllt sind, oder sie ohne den Schutz von Artikel 16 und ausserhalb der Ausnahmen von Artikel 17 ins Ausland bekanntgibt, kann ebenfalls gebüsst werden (Art. 61 DSG). In beiden Fällen wird nur auf Antrag verfolgt. Geht der Verstoss von jemandem im Team aus, kann die Person, die das Büro leitet, dieselbe Strafe treffen, wenn sie ihre Pflicht verletzt hat, ihn zu verhindern, auch fahrlässig (Art. 64 DSG, Art. 6 VStrR). Wenn Ihr Büro auch als Revisor tätig ist, der nach dem Obligationenrecht zur Verschwiegenheit verpflichtet ist, gilt für diese Arbeit das Berufsgeheimnis des Strafgesetzbuchs, auch für die Hilfspersonen (Art. 321 StGB); andere Kontrollen von Abschlüssen fallen nicht darunter.
Manche Daten brauchen noch mehr Sorgfalt
Daten über die Gesundheit, über Massnahmen der sozialen Hilfe oder über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen sind besonders schützenswerte Personendaten im Sinne des Gesetzes (Art. 5 DSG). Sie stecken öfter in einem Treuhanddossier, als man denkt: ein Abzug für Krankheitskosten, eine IV-Rente, eine Steuerbusse.
Was sich in der Praxis bewährt
Eine verbreitete Lösung hat drei Stufen: ein öffentliches KI-Tool für Arbeit ohne Kundendaten, ein Business-Konto mit Vertrag für die Kundenarbeit, die Ihre Verträge zulassen, und eine private KI, in der Schweiz betrieben, für alles Vertrauliche. Wo die Grenzen liegen, hängt von Ihren Kunden und Mandatsverträgen ab.
Wo steht Ihr Unternehmen?
Der Fragebogen dauert zwei Minuten und zeigt, welcher erste Schritt passt. Oder besprechen Sie es in einem kostenlosen 15‑Minuten‑Gespräch.
Kostenloses 15‑Minuten‑Gespräch buchen
Wählen Sie eine passende Zeit und bestätigen Sie sie aus Ihrem Posteingang. Passt die Zeit auf unserer Seite nicht mehr, hören Sie noch am selben Arbeitstag von uns.
Was in 15 Minuten passiert
- 0–5 Min.
Ihre Situation
Was KI für Sie tun soll und was sie nie sehen darf.
- 5–10 Min.
Was möglich ist
Welche Aufgaben privat laufen können, was es ungefähr kostet und was menschlich bleiben soll.
- 10–15 Min.
Der nächste Schritt
Ein Test auf Ihren eigenen Dokumenten, eine Analyse oder vorerst nichts.
Lieber schreiben? Senden Sie eine Nachricht
Sagen Sie uns, was KI für Sie tun soll und was sie nie sehen darf. Wir sagen Ihnen ehrlich, was möglich ist, was es kostet und was menschlich bleiben soll. Noch keine Details? Ein Hallo genügt.