Das Schweizer Datenschutzrecht: Drei Ebenen, die Sie kennen müssen

Anders als in der EU, wo die DSGVO als einheitliches Regelwerk gilt, hat die Schweiz ein dreistufiges System, das besonders für den medizinischen Bereich relevant ist:

Ebene 1: Bundesgesetz über den Datenschutz (DSG / nDSG)

Das revidierte DSG ist seit dem 1. September 2023 in Kraft und hat das Schweizer Datenschutzrecht an das EU-Niveau angenähert. Die wichtigsten Neuerungen für den medizinischen Bereich:

• Besonders schützenswerte Personendaten: Gesundheitsdaten fallen explizit unter diese Kategorie (Art. 5 lit. c DSG). Die Verarbeitung erfordert erhöhte Sorgfalt und in der Regel eine explizite Einwilligung oder eine gesetzliche Grundlage.
• Datenschutz-Folgenabschätzung (DSFA): Bei der Verarbeitung grosser Mengen besonders schützenswerter Daten ist eine DSFA obligatorisch (Art. 22 DSG). Das trifft auf jede Arztpraxis zu, die KI für Patientendaten einsetzt.
• Privacy by Design und by Default: Technische und organisatorische Massnahmen müssen bereits bei der Konzeption implementiert sein, nicht nachträglich (Art. 7 DSG).
• Informationspflicht: Patienten müssen über die Datenbearbeitung informiert werden – insbesondere wenn KI im Spiel ist (Art. 19 DSG).

Ebene 2: Ärztliches Berufsgeheimnis (Art. 321 StGB)

Hier unterscheidet sich die Schweiz fundamental von Deutschland und Österreich. Das ärztliche Berufsgeheimnis ist in der Schweiz nicht nur eine berufsrechtliche Pflicht, sondern eine strafrechtliche Norm. Art. 321 StGB stellt die Verletzung des Berufsgeheimnisses durch Ärzte, Zahnärzte, Apotheker und andere medizinische Fachpersonen unter Strafe.

Was bedeutet das für den KI-Einsatz? Wenn Sie Patientendaten an einen Dritten übermitteln – und ein Cloud-KI-Anbieter ist ein Dritter –, müssen Sie sicherstellen, dass dieser Dritte entweder:

• Dem Berufsgeheimnis untersteht (Art. 321 StGB erfasst auch „Hilfspersonen"), oder
• Die Entbindung vom Berufsgeheimnis vorliegt (durch Patienteneinwilligung oder behördliche Bewilligung nach Art. 321 Abs. 2 StGB).

Die FMH (Verbindung der Schweizer Ärztinnen und Ärzte) hat in ihren Empfehlungen von 2024 klargestellt, dass Cloud-Dienstleister als „Hilfspersonen" qualifiziert werden können – aber nur unter strengen Bedingungen: schriftlicher Vertrag, Weisungsrecht des Arztes, technische Zugangsbeschränkungen und Datenlokalität in der Schweiz oder einem Land mit angemessenem Datenschutzniveau.

Ebene 3: Kantonale Datenschutzgesetze

Die meisten Kantone haben eigene Datenschutzgesetze, die für öffentlich-rechtliche Institutionen (Spitäler, Kantonsarztpraxen) gelten. Für privatrechtliche Praxen gilt primär das Bundesgesetz, aber kantonale Bestimmungen zur ärztlichen Schweigepflicht können zusätzliche Anforderungen stellen.

Besonders restriktiv sind die Kantone Zürich, Bern und Genf, die zusätzliche Auflagen für die elektronische Verarbeitung von Gesundheitsdaten vorsehen. Wenn Sie in mehreren Kantonen praktizieren oder Patienten aus verschiedenen Kantonen behandeln, müssen Sie den strengsten Standard einhalten.

Wo dürfen Patientendaten verarbeitet werden?

Die Datenlokalität ist für Schweizer Ärzte ein Schlüsselthema. Nach Art. 16 DSG dürfen Personendaten nur in Staaten bekanntgegeben werden, die über einen „angemessenen Datenschutz" verfügen. Der Bundesrat hat eine Länderliste veröffentlicht, die die „angemessenen" Staaten aufführt.

Die EU/EWR-Staaten gelten als angemessen. Die USA – trotz des EU-US Data Privacy Framework von 2023 – befinden sich in einer Grauzone: Das Abkommen gilt primär für EU-Daten, nicht automatisch für Schweizer Daten. Der EDÖB hat 2024 zwar eine Angemessenheitsentscheidung zugunsten der USA getroffen, diese ist an spezifische Bedingungen geknüpft (Teilnahme am DPF-Programm).

Mein pragmatischer Rat: Wählen Sie einen Anbieter, der Patientendaten in der Schweiz oder im EWR verarbeitet. Damit sind Sie ohne rechtliche Restunsicherheit auf der sicheren Seite. Die Diskussion über US-Server und DPF-Compliance ist akademisch interessant, aber für eine Praxis, die einfach rechtskonform arbeiten will, eine unnötige Risikoquelle.

Die 10-Punkte-Compliance-Checkliste für KI in Schweizer Praxen

Diese Checkliste basiert auf den Empfehlungen des EDÖB, der FMH und meiner eigenen Erfahrung bei der Implementierung von KI in drei Schweizer Praxen:

Die fünf häufigsten Compliance-Fehler in Schweizer Praxen

Aus meiner Beratungstätigkeit und dem Austausch mit Schweizer Datenschutzbeauftragten kenne ich die typischen Stolperfallen:

Fehler 1: US-Cloud ohne vertiefte Prüfung

Viele Praxen nutzen Cloud-Dienste mit US-Serverstandorten, weil die Software „gut funktioniert". Auch mit dem Data Privacy Framework bleibt bei Gesundheitsdaten ein Restrisiko. Der EDÖB hat explizit darauf hingewiesen, dass das DPF nicht automatisch alle Übermittlungen legitimiert – insbesondere nicht bei besonders schützenswerten Daten. Der sichere Weg: Anbieter mit Verarbeitung in der Schweiz oder im EWR.

Fehler 2: Fehlender oder unvollständiger ABV

Der Auftragsbearbeitungsvertrag ist nicht optional. Viele Praxen haben zwar einen Vertrag mit ihrem Software-Anbieter, aber keinen spezifischen ABV nach Art. 9 DSG. Die Anforderungen gehen über einen Standard-Nutzungsvertrag hinaus: Weisungsrecht, technische Massnahmen, Informationspflichten bei Datenschutzverletzungen, Löschpflichten und Subunternehmerregelung müssen explizit geregelt sein.

Fehler 3: Berufsgeheimnis ignoriert

Das ist der spezifisch schweizerische Fehler. Selbst wenn der Datenschutz perfekt geregelt ist, müssen Sie Art. 321 StGB separat beachten. Das Berufsgeheimnis ist eine strafrechtliche Pflicht, die über den Datenschutz hinausgeht. Die Weitergabe von Patientendaten an einen Cloud-Anbieter ohne Hilfspersonenqualifikation kann als Verletzung des Berufsgeheimnisses gewertet werden.

Fehler 4: Keine DSFA bei KI-Einsatz

Art. 22 DSG ist hier eindeutig: Wenn die Datenbearbeitung ein „hohes Risiko für die Persönlichkeit oder die Grundrechte" birgt, ist eine DSFA Pflicht. Der Einsatz von KI für Gesundheitsdaten fällt eindeutig in diese Kategorie. Trotzdem führen nach meiner Schätzung weniger als 20 Prozent der Schweizer Praxen, die KI nutzen, eine formelle DSFA durch.

Fehler 5: Patienten nicht informiert

Art. 19 DSG verlangt eine proaktive Information der betroffenen Personen. Wenn Sie KI in der Dokumentation einsetzen, müssen Ihre Patienten das wissen. Das muss nicht dramatisch sein – ein Hinweis in der Datenschutzerklärung und gegebenenfalls im Aufnahmebogen reicht aus. Aber er muss vorhanden sein.

TARDOC, eHealth und KI: Die Schweizer Zukunft der Dokumentation

Die TARDOC-Einführung hat den Schweizer Gesundheitsmarkt in Bewegung gebracht. Die neuen Tarifstrukturen erfordern eine präzisere Dokumentation als unter TARMED – und genau hier spielt KI ihre Stärke aus.

Das Elektronische Patientendossier (EPD) wird schrittweise ausgebaut. Bis 2028 sollen alle stationären und ambulanten Leistungserbringer angeschlossen sein. KI-Dokumentation, die bereits heute strukturierte, standardisierte Berichte erstellt, ist die ideale Vorbereitung auf die EPD-Integration.

Die Kombination aus TARDOC-konformer Leistungserfassung, automatischer Dokumentation und Abrechnung und EPD-kompatibler Berichtsstruktur macht KI nicht nur zu einem Effizienz-Tool, sondern zu einer strategischen Investition in die Zukunft Ihrer Praxis.

Was DocReport für Schweizer Praxen anders macht

Bei der Entwicklung unserer KI-Dokumentationslösung haben wir von Anfang an die spezifisch schweizerischen Anforderungen berücksichtigt:

• Datenverarbeitung in Europa (eu-west1): Alle Patientendaten werden auf ISO 27001-zertifizierten Servern in der EU verarbeitet – kein Routing über US-Server, keine Drittland-Übertragung.
• ABV nach Schweizer Recht: Wir stellen einen vollständigen Auftragsbearbeitungsvertrag nach Art. 9 DSG bereit, der die Hilfspersonenqualifikation nach Art. 321 StGB explizit regelt.
• DSFA-Vorlage inklusive: Wir liefern eine vorausgefüllte Datenschutz-Folgenabschätzung, die Sie nur noch mit praxisspezifischen Details ergänzen müssen.
• TARDOC-Unterstützung: Automatische Zuordnung der neuen TARDOC-Positionen basierend auf Ihrer Dokumentation – mit kantonsspezifischen Taxpunktwerten.
• Mehrsprachigkeit: Berichte in Deutsch, Französisch, Italienisch und Englisch – für die Realität eines mehrsprachigen Landes.

Praxisbeispiel: Compliance-Implementierung in einer Zürcher Gemeinschaftspraxis

Eine Gemeinschaftspraxis in Zürich-Oerlikon mit drei Ärztinnen (Allgemeinmedizin, Gynäkologie, Pädiatrie) hat 2025 KI-gestützte Dokumentation eingeführt. Der Compliance-Prozess dauerte vier Wochen:

1. Woche 1: Auswahl des Anbieters basierend auf der 10-Punkte-Checkliste. Drei Anbieter evaluiert, zwei fielen wegen US-Serverstandort oder fehlendem ABV raus.
2. Woche 2: ABV-Abschluss, Hilfspersonenregelung im Vertrag verankert, DSFA erstellt (mit Vorlage des Anbieters).
3. Woche 3: Datenschutzerklärung und Patientenaufnahmebogen aktualisiert. Informationsschreiben an Bestandspatienten vorbereitet.
4. Woche 4: Schulung der MPAs, Go-Live im Parallelbetrieb. Kantonale Datenschutzstelle Zürich informiert (freiwillig, aber empfohlen).

Sechs Monate später: Die Praxis spart durchschnittlich 2,5 Stunden pro Ärztin und Tag. Die TARDOC-Abrechnung läuft automatisiert. Kein einziger Datenschutzvorfall. Die kantonale Datenschutzbeauftragte lobte bei einer freiwilligen Prüfung die saubere Dokumentation.

Vergleich: Datenschutzanforderungen Schweiz vs. Deutschland vs. Österreich

Fazit: KI und Datenschutz sind kein Widerspruch

Die Schweizer Datenschutzlandschaft ist komplex – keine Frage. Drei Rechtsebenen, kantonale Sonderwege und das strafrechtliche Berufsgeheimnis machen die Compliance anspruchsvoller als in den Nachbarländern. Aber die Hürde ist überwindbar.

Wenn Sie die 10-Punkte-Checkliste abarbeiten, einen Anbieter mit Schweizer oder EWR-Datenverarbeitung wählen und einmal eine saubere DSFA erstellen, sind Sie auf der sicheren Seite. Der Aufwand dafür: ungefähr vier Wochen. Der Nutzen: jahrelange Zeitersparnis, bessere Dokumentation, automatisierte TARDOC-Abrechnung und kein schlechtes Gefühl mehr morgens beim Einschalten des Computers.

KI in der Schweizer Arztpraxis ist keine Frage des Ob, sondern des Wie. Und das Wie ist lösbar – wenn Sie es von Anfang an richtig aufsetzen.

Häufig gestellte Fragen