KI Compliance für den DACH Markt, für deutsche Unternehmen mit Kunden in Deutschland, Österreich und der Schweiz

Drei Märkte, zwei Regelwerke, eine Sprache

Von Köln aus sieht der DACH Markt aus wie ein erweiterter Heimatmarkt: Deutschland, Österreich und die Schweiz, eine Sprache, ähnliche Kundschaft. Für ein deutsches Unternehmen, das KI Funktionen in diese drei Länder liefert, sind es drei Compliance Umgebungen. Deutschland und Österreich sind in der EU, also gelten die KI Verordnung und die DSGVO. Die Schweiz ist es nicht, die KI Verordnung gilt dort also nicht, ihr eigenes Datenschutzgesetz aber schon, und es unterscheidet sich von der DSGVO auf eine Art, die Entwickler erwischt.

Ich baue Software für Unternehmen, die im ganzen DACH Markt verkaufen, und das ist meine Karte des Geländes. Nicht die Rechtstheorie, sondern die praktischen Unterschiede, die ändern, wie du KI Funktionen baust, auslieferst und pflegst, wenn deine Kunden in Hamburg, Graz und Zürich sitzen. Jedes Datum und jede Behörde unten habe ich am 8. November 2026 aus amtlichen Quellen bestätigt, so weit ich konnte. Das ist keine Rechtsberatung.

Das durchgehende Beispiel ist erfunden. Severinslabs ist ein SaaS Unternehmen aus Köln, unter severinslabs.example. Es verkauft Shops eine KI Empfehlungsmaschine für Produkte und einen KI Chatassistenten, und seine Kunden sitzen in Deutschland, Österreich und der Schweiz.

Welches Recht wo greift

Für Deutschland und Österreich ist die Antwort kurz: Es gilt dasselbe EU Recht, nur mit unterschiedlichen Behörden. Spannend wird es an zwei Stellen.

Die DSGVO über die Grenze. Verarbeitest du personenbezogene Daten grenzüberschreitend, etwa für Kunden in mehreren Mitgliedstaaten, ist nach Artikel 56 die Aufsichtsbehörde deiner Hauptniederlassung in der EU federführend, für ein Kölner Unternehmen also die Behörde des eigenen Landes.¹ Einen Vertreter in der EU brauchst du nicht, den braucht nur, wer außerhalb der EU sitzt.

Die KI Verordnung gilt für Anbieter, die KI Systeme in der EU in Verkehr bringen, und für Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe des Systems in der EU verwendet wird.² Als deutscher Anbieter bist du ohnehin drin. Die Pflicht zum Bevollmächtigten in der EU für Hochrisikosysteme trifft nur Anbieter aus Drittländern.²

Das Schweizer Datenschutzgesetz (DSG) verpflichtet private Verantwortliche mit Sitz im Ausland, also auch dich, eine Vertretung in der Schweiz zu bezeichnen, wenn ihre Bearbeitung von Personendaten von Menschen in der Schweiz mit dem Angebot von Waren oder Dienstleistungen oder der Beobachtung ihres Verhaltens zusammenhängt und umfangreich, regelmäßig und mit einem hohen Risiko verbunden ist.³ Alle vier Bedingungen müssen erfüllt sein.

Die Daten dürfen zwischen den drei Ländern fließen: Die Europäische Kommission erkennt die Schweiz als angemessen an,⁴ und die Schweiz führt Deutschland und Österreich unter den Staaten mit angemessenem Datenschutz.⁵

Die KI Verordnung, mit den Terminen, wie sie jetzt stehen

In Deutschland und Österreich gilt die KI Verordnung unmittelbar. Ihr Zeitplan wurde durch den Digital Omnibus zur KI geändert, die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026.⁶ Die Termine, die für einen SaaS Anbieter zählen:

• Seit 2. Februar 2025: die verbotenen Praktiken und die Pflicht zur KI Kompetenz, die der Omnibus zu einer Pflicht abgeschwächt hat, Maßnahmen zur Förderung der Kompetenz des Personals zu ergreifen.²⁶
• Seit 2. August 2026: die Transparenzpflichten nach Artikel 50. Chatbots müssen Menschen sagen, dass sie mit einer KI sprechen, und erzeugte Inhalte müssen als künstlich gekennzeichnet sein.²
• 2. Dezember 2026: Generative Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, müssen ihre Ausgabe bis dahin kennzeichnen.⁶
• 2. Dezember 2027: die Hochrisikoregeln für die Verwendungen in Anhang III, etwa Recruiting, Bonitätsbewertung und Bildung.⁶
• 2. August 2028: die Hochrisikoregeln für KI in Produkten unter EU Sicherheitsrecht.⁶

In der ersten Fassung dieses Artikels stand August 2026 als Termin für die Hochrisikoregeln. Das war die Rechtslage im März 2026. Heute ist sie es nicht mehr. Die Einstufung nehme ich Schritt für Schritt auseinander in der EU KI Verordnung für SaaS Entwickler.

Der Text ist in Deutschland und Österreich derselbe. Was sich unterscheidet, ist, wer ihn durchsetzt, und da sind die beiden Länder sehr verschiedene Wege gegangen.

Deutschland: das KI MIG und die Bundesnetzagentur

Deutschland hat sein Durchführungsgesetz. Das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz ist vom 22. Juli 2026, wurde am 28. Juli 2026 im Bundesgesetzblatt als BGBl. 2026 I Nr. 223 verkündet und ist am Tag danach in Kraft getreten.⁷ Sein erster Artikel ist das KI MIG, das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz.

Was es einrichtet:⁷

• Die Bundesnetzagentur ist die Marktüberwachungsbehörde für die KI Verordnung, soweit das Gesetz nichts anderes bestimmt.
• Die BaFin, die Finanzaufsicht, überwacht KI Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen.
• Eine unabhängige KI Marktüberwachungskammer bei der Bundesnetzagentur ist für bestimmte Hochrisikosysteme zuständig, darunter solche für Strafverfolgung, Migration, Justiz und demokratische Prozesse.
• Ein Zentrum für Koordinierung und Kompetenz bei der Bundesnetzagentur unterstützt die anderen Behörden und sorgt für einheitliche Antworten auf Querschnittsfragen.
• Eine zentrale Beschwerdestelle bei der Bundesnetzagentur nimmt Beschwerden über Verstöße gegen die KI Verordnung an und leitet sie an die zuständige Behörde weiter.
• Mindestens ein KI Reallabor, betrieben von der Bundesnetzagentur.

Die Beschwerdestelle ist der Teil, den du dir merken solltest. Wer meint, dein Chatbot habe nicht gesagt, dass er eine KI ist, hat genau eine Adresse, an die er schreiben kann.

Der Datenschutz ist anders aufgeteilt. Private Unternehmen beaufsichtigen nach § 40 BDSG die Datenschutzbehörden der 16 Länder, die oder der Bundesbeauftragte, die BfDI, sitzt auf Bundesebene.⁸⁹ Das deutsche Recht ergänzt außerdem eine Pflicht, die die DSGVO so nicht hat: Ein Unternehmen, das in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen.¹⁰ Deine deutschen Kunden haben meist eine solche Person, und die liest deinen Vertrag zur Auftragsverarbeitung genau.

In der ersten Fassung dieses Artikels standen auch ein deutsches Datenqualitätsrahmenwerk mit 143 Kennzahlen, ein geplanter Straftatbestand für Deepfakes und unterschiedliche Positionen einzelner Landesbehörden zu KI Trainingsdaten. Ich konnte sie aus amtlichen Quellen nicht bestätigen und habe sie gestrichen.

Österreich: Die EU Regeln gelten, die nationale Behörde fehlt noch

In Österreich gilt die KI Verordnung wie überall in der EU. Die Datenschutzbehörde ist die Österreichische Datenschutzbehörde, die DSB.⁹

Bei der Aufsicht über KI hinkt Österreich hinterher. Nach Artikel 70 der Verordnung mussten die Mitgliedstaaten bis zum 2. August 2025 eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde benennen.² Eine parlamentarische Anfrage vom 2. April 2026 hielt fest, dass Österreich das nicht getan hatte, und dass die KI Servicestelle, 2024 bei der Regulierungsbehörde RTR eingerichtet, als Vorbereitung dieser Struktur gedacht war.¹¹ Die Antwort des Bundeskanzlers vom 2. Juni 2026 sagte, ein Entwurf für ein Durchführungsgesetz, einschließlich der Sanktionen, die die Verordnung verlangt, werde zwischen den Ministerien abgestimmt.¹² Am 30. Juli 2026 berichtete der ORF, Österreich habe weiterhin keine KI Aufsichtsbehörde, und das Bundeskanzleramt habe erklärt, Unternehmen und Verwaltung müssten die rechtlichen Vorgaben einhalten, egal ob eine Behörde benannt sei oder nicht.¹³ Eine spätere amtliche Benennung habe ich bis zur Veröffentlichung nicht gefunden.

Für dich als Anbieter aus Deutschland ist die praktische Bedeutung einfach. Die Pflichten sind dieselben wie in Deutschland, und sie gelten jetzt. Offen ist, wer sie in Österreich durchsetzen würde, nicht, ob sie gelten. Die erste Fassung dieses Artikels beschrieb ein Digital Austria Act 2.0, einen Souveränitätskompass und eine Frist für Mikrorechenzentren. Ich konnte sie aus amtlichen Quellen nicht bestätigen, und sie betreffen ohnehin den öffentlichen Sektor, also habe ich sie gestrichen.

Die Schweiz: keine KI Verordnung, und ein eigenes Datenschutzgesetz

Die Lage bei KI

Die Schweiz hat kein übergreifendes KI Gesetz. Am 12. Februar 2025 hat der Bundesrat einen Schweizer Weg gewählt: die KI Konvention des Europarats ratifizieren und ins Schweizer Recht übernehmen, mit Anpassungen, die möglichst sektorbezogen sind, und allgemeinen Regeln nur in grundrechtsrelevanten Bereichen wie dem Datenschutz.¹⁴ Den Gesetzesentwurf mit Regeln zu Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht und Risikobewertung bereitet das Justizdepartement mit dem Bundesamt für Kommunikation (BAKOM) und dem Aussendepartement vor, die Vernehmlassung ist für Frühling 2027 geplant.¹⁴

Bis dahin hat die Aufsicht klargemacht, dass das geltende Recht KI schon erfasst. Der Eidgenössische Datenschutz und Öffentlichkeitsbeauftragte (EDÖB) hat im November 2023 erklärt, dass das DSG direkt auf KI gestützte Bearbeitungen anwendbar ist. Anbieter und Nutzer müssen Zweck, Funktionsweise und Datenquellen der KI Bearbeitung transparent machen. Wer Sprachmodelle nutzt, die direkt kommunizieren, hat ein Recht zu wissen, ob er mit einer Maschine spricht und ob seine Eingaben zur Verbesserung des Systems verwendet werden. Gefälschte Gesichter, Bilder oder Stimmen identifizierbarer Personen müssen immer klar gekennzeichnet sein.¹⁵

Das korrigiert die erste Fassung dieses Artikels, die sagte, die Schweiz kenne keine Pflicht zur Offenlegung bei Chatbots. Nach dem DSG, so wie der EDÖB es liest, kennt sie eine.

Wo das DSG von der DSGVO abweicht

Das revidierte DSG gilt seit dem 1. September 2023.³ Es ist der DSGVO im Geist nah, deshalb erkennt die EU die Schweiz als angemessen an,⁴ aber es ist anders gebaut.

Keine Liste von Rechtsgrundlagen. Die DSGVO verlangt für jede Verarbeitung eine von sechs Rechtsgrundlagen. Das DSG sagt stattdessen, wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzen, und eine Verletzung liegt insbesondere vor, wenn die Grundsätze missachtet werden oder Daten gegen den ausdrücklichen Willen der Person bearbeitet werden. Gerechtfertigt ist eine Verletzung durch Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder das Gesetz.³ Die erste Fassung dieses Artikels nannte das "Opt out als Standard". Als Kurzformel für das Gefühl ist das fair, als Aussage über das Gesetz nicht: Ein ausdrücklicher Widerspruch zählt, und die Einwilligung ist ein Rechtfertigungsgrund unter dreien.

Ausdrückliche Einwilligung, wo es darauf ankommt. Wo eine Einwilligung nötig ist, muss sie für eine bestimmte Bearbeitung nach angemessener Information freiwillig erteilt werden, und sie muss ausdrücklich sein für besonders schützenswerte Personendaten und für ein Profiling mit hohem Risiko durch eine private Person.³ Profiling mit hohem Risiko ist ein Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Person mit sich bringt, weil es Daten so verknüpft, dass eine Beurteilung wesentlicher Aspekte ihrer Persönlichkeit möglich wird.³

Automatisierte Entscheidungen. Der Verantwortliche muss Menschen über jede Entscheidung informieren, die ausschließlich auf einer automatisierten Bearbeitung beruht und für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt, ihnen auf Antrag Gelegenheit geben, ihren Standpunkt darzulegen, und auf Antrag die Entscheidung von einer natürlichen Person überprüfen lassen. Das entfällt, wenn die Entscheidung in unmittelbarem Zusammenhang mit einem Vertrag steht und dem Begehren der Person stattgegeben wird, oder wenn sie ausdrücklich in die Automatisierung eingewilligt hat.³

Bußen für Menschen, nicht für Unternehmen. Die Strafbestimmungen des DSG büßen private Personen mit bis zu 250.000 Franken, nur bei Vorsatz, nicht bei Fahrlässigkeit. Verfolgt werden sie von den kantonalen Strafverfolgungsbehörden, mehrere davon nur auf Antrag.³¹⁶ Das ist ein anderes Risiko als ein Bußgeld nach DSGVO gegen das Unternehmen, denn wer eine Kundin vorsätzlich nicht informiert hat, steht selbst vor Gericht.

Kein Pflichtberater. Eine Datenschutzberaterin oder einen Datenschutzberater zu ernennen, ist für private Unternehmen immer freiwillig.¹⁶

Folgenabschätzungen und Datenpannen. Eine Datenschutz Folgenabschätzung ist nötig, wo eine Bearbeitung voraussichtlich ein hohes Risiko mit sich bringt, und der EDÖB nennt Profiling mit hohem Risiko und die umfangreiche Bearbeitung besonders schützenswerter Daten als ernste Risiken. Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko führen, sind dem EDÖB so rasch als möglich zu melden.¹⁶

Wo die drei sich überschneiden, und wo nicht

Thema	Deutschland	Österreich	Schweiz
Datenschutzrecht	DSGVO und BDSG	DSGVO und das österreichische DSG	Schweizer DSG
Datenschutzbehörde	Landesbehörde für private Unternehmen	DSB	EDÖB
Rechtsgrundlage	Eine der sechs der DSGVO	Eine der sechs der DSGVO	Keine Persönlichkeitsverletzung oder ein Rechtfertigungsgrund
Ausdrückliche Einwilligung nötig für	Besondere Kategorien und manche automatisierten Entscheidungen	Dasselbe	Besonders schützenswerte Daten und Profiling mit hohem Risiko
KI Verordnung	Gilt	Gilt	Gilt in der Schweiz nicht
Marktüberwachung für KI	Bundesnetzagentur nach dem KI MIG	Noch nicht benannt	Keine. Das DSG gilt direkt für KI
Offenlegung bei Chatbots	Artikel 50, seit 2. August 2026	Artikel 50, seit 2. August 2026	Nach dem DSG verlangt, so wie der EDÖB es liest
Datenschutzbeauftragte	Pflicht ab 20 Personen in automatisierter Verarbeitung	Regeln der DSGVO	Freiwillig
Wer gebüßt wird	Das Unternehmen	Das Unternehmen	Der Mensch, bei vorsätzlichen Verstößen

Lies die Tabelle Zeile für Zeile, nicht Spalte für Spalte. Die meisten Zeilen zeigen Deutschland und Österreich gemeinsam gegen die Schweiz, und das ist das Muster des ganzen Artikels: zwei EU Länder mit einem Regelwerk und verschiedenen Durchsetzern, und ein Land mit einem eigenen.

Rechenbeispiel: die Bußgeldobergrenze gegen die persönliche Buße

Severinslabs hat einen weltweiten Umsatz von 6 Millionen € (die Zahl des Beispiels). Ein schwerer Verstoß gegen die DSGVO, etwa eine Verarbeitung ohne Rechtsgrundlage, liegt im oberen Bußgeldband: bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.¹

$$\text{cap} = \max(F,\; p \times T)$$

Dabei ist $F$ der feste Betrag, 20 Millionen €, $p$ der Prozentsatz als Dezimalzahl, $0{,}04$, $T$ der weltweite Jahresumsatz im vorangegangenen Geschäftsjahr, und $\max$ nimmt den größeren der beiden Werte. $\text{cap}$ ist die Obergrenze. Prozente als Dezimalzahlen erklärt Grundlagen: Prozent.

$$0{,}04 \times 6.000.000 = 240.000$$

Dabei ist $0{,}04$ der Satz von 4 % und $6.000.000$ der Umsatz von Severinslabs in Euro, 4 % sind also 240.000 €. Die festen 20 Millionen € liegen weit darüber, also sind sie die Obergrenze. Das ist das Risiko des Unternehmens in Deutschland und Österreich.

Würde in der Schweiz die Produktleiterin von Severinslabs Schweizer Kundinnen vorsätzlich nicht über eine automatisierte Entscheidung informieren, träfe die Buße diese Person, bis zu 250.000 Franken.³ Absolut gesehen weniger. Viel persönlicher.

Die Architektur: eine Codebasis, je Rechtsraum konfiguriert

So gehe ich damit um. Das Prinzip ist eine Compliance Architektur, je Rechtsraum konfiguriert, statt drei Systemen.

Lies es von oben. Die Frage betrifft die Endnutzerin, nicht das Unternehmen deines Kunden und nicht deins, denn der Datenschutz folgt der Person, deren Daten es sind. Der unterste Kasten ist der Beleg, den du brauchst, wenn jemand fragt.

module DACHCompliance
  class JurisdictionConfig
    JURISDICTIONS = {
      germany: {
        data_protection_law: "EU GDPR + BDSG",
        ai_act_applicable: true,
        data_protection_authority: "Data protection authority of the federal state",
        ai_authority: "Bundesnetzagentur (KI-MIG)",
        basis_model: :gdpr_legal_basis,
        explicit_consent_for: %i[special_category_data],
        dpo_rule: :bdsg_20_persons,
        fines_on: :company,
        breach_notification: { authority: "State data protection authority", deadline: "72 hours" },
        chatbot_disclosure: true,      # KI Verordnung Artikel 50, seit 2026-08-02
        content_marking: true
      },
      austria: {
        data_protection_law: "EU GDPR + DSG",
        ai_act_applicable: true,
        data_protection_authority: "Datenschutzbehoerde (DSB)",
        ai_authority: nil,             # noch nicht benannt, die Pflichten gelten trotzdem
        basis_model: :gdpr_legal_basis,
        explicit_consent_for: %i[special_category_data],
        dpo_rule: :gdpr_standard,
        fines_on: :company,
        breach_notification: { authority: "DSB", deadline: "72 hours" },
        chatbot_disclosure: true,
        content_marking: true
      },
      switzerland: {
        data_protection_law: "FADP",
        ai_act_applicable: false,      # außer die Ausgabe wird in der EU verwendet
        data_protection_authority: "FDPIC",
        ai_authority: nil,             # noch kein KI Gesetz, das DSG gilt direkt für KI
        basis_model: :fadp_justification,
        explicit_consent_for: %i[sensitive_data high_risk_profiling],
        dpo_rule: :optional,
        fines_on: :individual,         # vorsätzliche Verstöße, bis 250.000 Franken
        breach_notification: { authority: "FDPIC", deadline: "as soon as possible" },
        chatbot_disclosure: true,      # EDÖB: Nutzer haben ein Recht, es zu wissen
        content_marking: true          # EDÖB: gefälschte Gesichter und Stimmen kennzeichnen
      }
    }.freeze

    def self.for(country_code)
      key = { "DE" => :germany, "AT" => :austria, "CH" => :switzerland }[country_code]
      JURISDICTIONS.fetch(key || :germany) # unbekannt: die EU Regeln als Grundlinie
    end
  end
end

Die Pipeline für die Einwilligung nutzt diese Konfiguration bei jedem Verarbeitungsschritt der KI:

module DACHCompliance
  class ProcessingGate
    def process_for_ai(user:, purpose:, data:)
      config = JurisdictionConfig.for(user.country_code)

      if config[:explicit_consent_for].include?(purpose_category(purpose)) &&
         !explicit_consent?(user, purpose)
        return skip(user, purpose, "explicit consent missing")
      end

      case config[:basis_model]
      when :gdpr_legal_basis
        basis = LegalBasisRegister.for(purpose) # einmal festgelegt, in der Folgenabschätzung
        return skip(user, purpose, "no legal basis") unless basis_satisfied?(basis, user, purpose)
      when :fadp_justification
        return skip(user, purpose, "user objected") if objected?(user, purpose) # Ein ausdrücklicher Widerspruch macht jede weitere Bearbeitung zur Persönlichkeitsverletzung
      end

      ProcessingRecord.create!(user_id: user.id, jurisdiction: user.country_code,
                               purpose: purpose, rule: config[:basis_model],
                               processed_at: Time.current)
      yield data
    end
  end
end

Und die Hinweise, an einer Stelle für alle drei Märkte, in den deutschen Texten in der Du Form:

module DACHCompliance
  class AIDisclosure
    TEXTS = {
      "de-DE" => "Du chattest mit einem KI-Assistenten. Ein Mensch ist auf Wunsch erreichbar.",
      "de-AT" => "Du chattest mit einem KI-Assistenten. Ein Mensch ist auf Wunsch erreichbar.",
      "de-CH" => "Du chattest mit einem KI-Assistenten. Ein Mensch ist auf Wunsch erreichbar.",
      "en"    => "You're chatting with an AI assistant. A person is available if you prefer."
    }.freeze

    def self.chatbot_notice(user)
      config = JurisdictionConfig.for(user.country_code)
      TEXTS.fetch(user.locale, TEXTS["en"]) if config[:chatbot_disclosure]
    end
  end
end

Alle drei Märkte legen jetzt offen, die Bedingung greift also selten. Sie bleibt im Code für den Tag, an dem sich die Regel eines Marktes ändert.

Rechenbeispiel: drei Kunden von Severinslabs

Ein Shop in Hamburg. DSGVO und BDSG. Personalisierte Empfehlungen aus erfasstem Surfverhalten brauchen eine Einwilligung für das Erfassen, und Severinslabs braucht als Auftragsverarbeiter einen Vertrag nach Artikel 28, der die KI Verarbeitung benennt. Der Chatassistent muss bei der ersten Nachricht offenlegen, dass er eine KI ist, und das gilt seit dem 2. August 2026. Keine der beiden Funktionen ist hochriskant. Beschwerden über die Transparenz des Chatbots gehen an die zentrale Beschwerdestelle der Bundesnetzagentur.⁷

Ein Shop in Graz. Dieselben EU Regeln, mit der DSB für den Datenschutz. Severinslabs ist in Deutschland niedergelassen, und soweit die Verarbeitung grenzüberschreitend ist, ist seine eigene Landesbehörde federführend.¹ Eine Marktüberwachungsbehörde für KI ist in Österreich nicht benannt, so weit ich es bestätigen konnte, aber die Pflichten sind identisch und gelten jetzt.¹³

Ein Shop in Zürich. Das DSG. Eine Rechtsgrundlage als solche braucht es nicht, aber Kundinnen, die widersprechen, müssen ausgenommen werden, und würden die Empfehlungen von Severinslabs Daten zu einer Beurteilung wesentlicher Aspekte der Persönlichkeit verknüpfen, wäre das Profiling mit hohem Risiko und bräuchte eine ausdrückliche Einwilligung.³ Ein Produktkarussell aus dem, was sich jemand diese Woche angesehen hat, ist weit von dieser Grenze entfernt. Der Chatassistent legt trotzdem offen, weil der EDÖB sagt, Nutzer haben ein Recht, es zu wissen.¹⁵ Severinslabs prüft, ob es alle vier Bedingungen für eine Vertretung in der Schweiz erfüllt. Es bearbeitet regelmäßig und umfangreich, aber nicht mit hohem Risiko, also sind nicht alle vier erfüllt.³ Die Ausgabe wird nicht in der EU verwendet, also erreicht die KI Verordnung diese Schweizer Kundinnen nicht.

Die DACH Checkliste für ein deutsches Unternehmen

Bevor du KI Funktionen in den DACH Markt auslieferst:

1. Den Rechtsraum jeder Endnutzerin bestimmen. Deutschland, Österreich oder die Schweiz, und protokollieren, welche Regel du angewandt hast.
2. Die Vertretung in der Schweiz prüfen. Für die EU brauchst du keinen Vertreter. Eine Vertretung in der Schweiz brauchst du, wenn alle vier Bedingungen des DSG erfüllt sind.
3. Die Rechtsgrundlage je Zweck festlegen. Eine Grundlage nach DSGVO für Deutschland und Österreich, ein Rechtfertigungsgrund nach DSG für die Schweiz, ausdrückliche Einwilligung für Profiling mit hohem Risiko und sensible Daten überall.
4. KI überall offenlegen. Artikel 50 in Deutschland und Österreich seit dem 2. August 2026, das DSG in der Schweiz, so wie der EDÖB es liest. Erzeugte Inhalte kennzeichnen.
5. Die Aufsicht kennen. Deutschland: die Landesbehörde deines Kunden und deine eigene als federführende, die Bundesnetzagentur für die KI Verordnung. Österreich: die DSB, und eine KI Behörde, die noch kommt. Schweiz: der EDÖB.
6. Eine Folgenabschätzung für alle drei schreiben. Die Risiken unterscheiden sich, weil Rechtsmodell, Durchsetzung und Haftung verschieden sind, also sag es je Markt.
7. Bei der Schweiz die Menschen briefen, nicht nur das Unternehmen. Bußen für vorsätzliche Verstöße treffen Einzelne.
8. Die Datenflüsse einfach halten. Hosting in der EU deckt Deutschland und Österreich ab, und die Schweiz und die EU erkennen sich gegenseitig an.⁴⁵
9. Die Texte je Markt schreiben. Bundesdeutsch, österreichisches Deutsch und Schweizer Hochdeutsch unterscheiden sich in Wörtern und Rechtsbegriffen, und Englisch für alle anderen.
10. Drei Kalender im Blick behalten. Das Durchführungsgesetz in Österreich, die Vernehmlassung in der Schweiz im Frühling 2027 und die Hochrisikotermine der KI Verordnung im Dezember 2027 und August 2028.

Unterm Strich

Der DACH Markt sind drei Regulierungswelten mit einer Sprache. Deutschland hat sein Durchführungsgesetz, eine zentrale KI Behörde und 16 Datenschutzbehörden der Länder. Österreich wendet dieselben EU Regeln an und baut die Behörde, die sie durchsetzt, noch auf. Die Schweiz hat keine KI Verordnung, ein Datenschutzgesetz, das KI schon erfasst, und Bußen, die den Einzelnen treffen.

Für ein deutsches Unternehmen ist die Antwort nicht drei Systeme. Es ist eine Architektur, die weiß, wo jede Endnutzerin ist, und sich selbst konfiguriert. Dieselbe Rails Codebasis, dieselben Muster aus DSGVO konforme KI Features bauen und dem Recht auf Vergessenwerden, und eine andere Konfiguration je Markt. Die Compliance einmal bauen. Je Markt konfigurieren.

Footnotes

1. Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 56 Absatz 1 und Artikel 83 Absatz 5, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

2. Europäisches Parlament und Rat, Verordnung (EU) 2024/1689 (Verordnung über künstliche Intelligenz), Artikel 2 Absatz 1, 4, 22, 50, 70 und 113, Amtsblatt der Europäischen Union, 12. Juli 2024, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202401689

3. Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG), SR 235.1, Artikel 5, 6, 14, 21, 30, 31 und 60, Stand 1. September 2023, Fedlex, https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/491/20230901/de/pdf-a/fedlex-data-admin-ch-eli-cc-2022-491-20230901-de-pdf-a.pdf

4. Europäische Kommission, Adequacy decisions, abgerufen im November 2026, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en

5. Verordnung über den Datenschutz (Datenschutzverordnung, DSV), SR 235.11, Anhang 1, Stand 1. September 2023, Fedlex, https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/cc/2022/568/20230901/de/pdf-a/fedlex-data-admin-ch-eli-cc-2022-568-20230901-de-pdf-a.pdf

6. Europäisches Parlament und Rat, Verordnung (EU) 2026/1744 (Digital Omnibus zur KI), Artikel 1 Nummern 5, 39 und 40 sowie Artikel 4, Amtsblatt der Europäischen Union, 24. Juli 2026, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202601744

7. Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026, BGBl. 2026 I Nr. 223, Artikel 1 (KI MIG), §§ 2, 4, 5, 8 und 13, sowie Artikel 5, recht.bund.de, https://www.recht.bund.de/eli/bund/bgbl-1/2026/223

8. Bundesministerium der Justiz und für Verbraucherschutz, Bundesdatenschutzgesetz (BDSG), § 40 Aufsichtsbehörden der Länder, Gesetze im Internet, https://www.gesetze-im-internet.de/bdsg_2018/__40.html

9. Europäischer Datenschutzausschuss, Members, abgerufen im November 2026, https://www.edpb.europa.eu/about-edpb/about-edpb/members_en

10. Bundesministerium der Justiz und für Verbraucherschutz, Bundesdatenschutzgesetz (BDSG), § 38 Datenschutzbeauftragte nichtöffentlicher Stellen, Gesetze im Internet, https://www.gesetze-im-internet.de/bdsg_2018/__38.html

11. Parlament Österreich, 5638/J XXVIII. GP, Anfrage betreffend Wo bleibt die Umsetzung des AI Acts?, 2. April 2026, https://www.parlament.gv.at/dokument/XXVIII/J/5638/fname_1752944.pdf

12. Parlament Österreich, 5056/AB XXVIII. GP, Anfragebeantwortung des Bundeskanzlers, 2. Juni 2026, https://www.parlament.gv.at/dokument/XXVIII/AB/5056/imfname_1761608.pdf

13. ORF, Grüne kritisieren fehlende KI-Aufsicht, 30. Juli 2026, https://orf.at/stories/3437724/

14. Bundesamt für Kommunikation (BAKOM), Artificial Intelligence: Regulation in Switzerland, 28. Oktober 2026, https://www.bakom.admin.ch/en/artificial-intelligence

15. Eidgenössischer Datenschutz und Öffentlichkeitsbeauftragter (EDÖB), Current data protection legislation is directly applicable to AI, 9. November 2023, https://www.edoeb.admin.ch/en/09112023-current-data-protection-legislation-is-directly-applicable-to-ai

16. Eidgenössischer Datenschutz und Öffentlichkeitsbeauftragter (EDÖB), Das neue Datenschutzgesetz aus Sicht des EDÖB, Oktober 2022, https://www.edoeb.admin.ch/dam/de/sd-web/uZlw439wGOR9/Leitfaden%20Das%20neue%20Datenschutzgesetz%20aus%20Sicht%20des%20ED%C3%96B_20221009_DE.pdf