Anbieter-Vergleich · Art. 9 DSG
Schliesst Ihr KI-Anbieter automatisch einen Auftragsbearbeitungsvertrag ab?
Ohne gültigen Auftragsbearbeitungsvertrag (ABV/DPA) dürfen Sie keine Personendaten an einen LLM-Anbieter übergeben. Diese Matrix zeigt für die wichtigsten Anbieter, ob und wie der ABV nach Art. 9 DSG zustande kommt – und worauf Schweizer KMU achten müssen. Schweizer Anbieter kommen dabei ganz ohne Datenexport ins Ausland aus.
| Anbieter | ABV automatisch? (Art. 9 DSG) | Swiss DSG explizit? | Transfer & Datenlokation | Tarif & Hinweise |
|---|---|---|---|---|
| Schweizer Anbieter | ||||
| Infomaniak AI Services (API) | Aktiv abschliessen Nicht automatisch: ABV im Infomaniak Manager als PDF generieren (nur Owner/Admin der Organisation). | Ja DSG/nDSG ausdrücklich genannt; Infomaniak bearbeitet als Auftragsbearbeiter nach DSG bzw. DSGVO. | Kein Auslandtransfer (Art. 16 DSG nicht anwendbar) Datenlokation: Schweiz (eigene Rechenzentren Genf) | Pay-per-Token OpenAI-kompatible API; Open-Weight-Modelle (Qwen, Mistral, Llama, Apertus). Prompts werden nicht gespeichert und nicht fürs Training genutzt. infomaniak.com – DSG & DSGVO – Kein CLOUD-Act-Risiko. ABV-Download vor dem ersten produktiven Einsatz ablegen. |
| PHOENIQS AI Model Service (Phoenix Technologies) | Ja DPA ist Bestandteil der PHOENIQS Terms of Service; kein separater Unterzeichnungsschritt. | Ja nDSG ausdrücklich als massgebliches Recht definiert (DPA, Stand Aug. 2026). | Kein Auslandtransfer; Bearbeitung vertraglich ausschliesslich in der Schweiz Datenlokation: Schweiz; derzeit keine Unterauftragsbearbeiter | Ab CHF 50/Mt. OpenAI-kompatible API; Apertus, Llama, Qwen, GLM. 30 Tage Test gratis. Kein Training mit Kundendaten. phoeniqs.com/terms/dpa – Kein CLOUD-Act-Risiko. Neue Subprozessoren mit 20 Tagen Widerspruchsrecht. |
| Safe Swiss Cloud Private AI API | Ja Standard-DPA ist integraler Bestandteil des Kundenvertrags und gilt für alle Produkte. | Ja Revidiertes DSG (in Kraft seit 1.9.2023) ausdrücklich referenziert. | Kein Auslandtransfer; Subprozessoren Everyware AG und Phoenix Technologies AG (beide CH) Datenlokation: Schweiz (Zürich) | Min. CHF 95/Mt. 25+ Open-Weight-Modelle (DeepSeek, Llama 4, Apertus, Mistral, GLM), OpenAI-kompatibel. Keine Logs, kein Training. safeswisscloud.com/dpa – Kein CLOUD-Act-Risiko. Mindestumsatz beachten. |
| Swisscom Swiss AI Platform (Inference Endpoints) | Individuell Kein öffentlicher Standard-DPA gefunden; ABV im Rahmen des Swisscom-Geschäftskundenvertrags. | Ja Schweizer Anbieter unter Schweizer Recht; DSG direkt anwendbar. | Kein Auslandtransfer; Daten verbleiben in der Schweiz Datenlokation: Schweiz (mehrere Swisscom-Standorte) | Ab CHF 1'000/Mt. Flatrate inkl. 50 Mio. Token, danach pro Token. Modelle u. a. Apertus und Llama. Eher für grössere KMU. swisscom.ch – Swiss AI Platform – ABV-Regelung im Angebot schriftlich bestätigen lassen. |
| Amerikanische Anbieter | ||||
| Anthropic Claude API | Ja Automatisch via Commercial Terms of Service; kein separater Unterzeichnungsschritt. | Ja Swiss-Addendum im Schedule; «Applicable Data Protection Laws» = alle anwendbaren Gesetze. | SCCs Modul 2/3 + Swiss Addendum Datenlokation: USA (primär) | Commercial Terms Consumer (Free/Pro) ausgeschlossen. anthropic.com/legal/dpa – Keine separate Unterschrift nötig; Akzeptanz der Commercial ToS = ABV-Abschluss. |
| OpenAI API / ChatGPT Business | Ja DPA by reference im Services Agreement; Schweizer Kunden über OpenAI Ireland Ltd. | Ja «EEA and Swiss Data» explizit; OpenAI Ireland als Vertragspartner für CH-Kunden. | SCCs (CH/EEA → USA via Irland) Datenlokation: USA / Irland | Standard API ChatGPT Business/Enterprise = separates DPA-Formular möglich. openai.com/policies/dpa – CH-Kunden: Vertragspartner ist OpenAI Ireland Ltd. (EU-Entität). |
| xAI Grok API (Enterprise) | Nur Enterprise Automatisch via Enterprise ToS; Standard-API-Nutzer nicht explizit abgedeckt. | Ja SCCs mit Schweiz-Anpassung; EDÖB als Aufsichtsbehörde benannt. | SCCs + Swiss-Anpassung Datenlokation: USA | Enterprise Terms Für produktiven Einsatz mit Personendaten nur Enterprise-Tier verwenden. x.ai/legal/dpa – Standard-API ohne expliziten ABV = Compliance-Lücke. |
| Microsoft Azure Azure OpenAI, Copilot Studio | Ja Microsoft Products & Services DPA beim Azure-Abo automatisch einbezogen. | Ja FADP-Compliance dokumentiert; Schweizer Rechenzentren verfügbar; SCCs enthalten. | Azure EU Data Boundary + SCCs; CH-Region optional Datenlokation: Schweiz (Switzerland North) nur mit Standard-Deployment und GPT-4.1/4o; aktuelle Modelle via EU Data Zone | Standard Azure-Abo Beim Abo der Azure-Dienste automatisch inkludiert. Microsoft DPA (Sept. 2025) – Global-Deployments vermeiden (weltweite Verarbeitung). CH-Region für maximale Datensouveränität; FINMA-relevant. |
| Google Cloud Vertex AI / Gemini Enterprise | Nur Paid/Enterprise Automatisch in Google Cloud Commercial Agreements; Gemini API Free / AI Studio ausgenommen. | Ja Swiss FADP in Definitionen und SCC-Anpassungen explizit enthalten. | SCCs + Adequacy; EU-Regionen konfigurierbar Datenlokation: EU-Regionen oder Zürich (europe-west6) wählbar; Modellverfügbarkeit je Region prüfen | Paid Cloud-Account Gemini API Free / AI Studio: kein vollwertiger DPA → für Unternehmen ungeeignet. cloud.google.com/terms/dpa – Achtung: gemini.google.com auf privatem Google-Konto = kein DPA! |
| Europäische Anbieter | ||||
| Mistral AI La Plateforme API | Ja Automatisch via Commercial Terms of Service by reference; ab Vertragsbeginn gültig. | Indirekt DPA nennt nur GDPR + CCPA; kein expliziter Swiss-FADP-Verweis – inhaltlich ausreichend, da FR = CH-Adäquanzland. | Kein SCC nötig (FR = CH-Adäquanzland); SCCs Modul 4 für aussereuropäische Transfers Datenlokation: Frankreich / EEA | Commercial Terms Consumer-Tarife (Le Chat Free) nicht für Unternehmensdaten geeignet. legal.mistral.ai/dpa – Swiss FADP nicht explizit – für den Compliance-Nachweis schriftliche Bestätigung einholen. |
Tipp: Auf schmalen Bildschirmen lässt sich die Tabelle seitlich scrollen.
Rechtlicher Hinweis: Art. 9 DSG verlangt, dass die Auftragsbearbeitung vertraglich oder sonstwie in einer nachweisbaren Form geregelt ist. Ein DPA, das automatisch durch Akzeptanz der kommerziellen Nutzungsbedingungen per Verweis einbezogen wird, erfüllt diese Anforderung. Zusätzlich ist bei Bekanntgabe von Personendaten ins Ausland Art. 16 DSG zu prüfen (Adäquanz oder geeignete Garantien wie SCCs). Frankreich, Deutschland und die EU/EWR stehen auf der CH-Adäquanzliste; für die USA sind SCCs erforderlich. Diese Matrix ersetzt keine rechtliche Einzelfallprüfung.
Schweizer Anbieter: Bei Infomaniak, PHOENIQS, Safe Swiss Cloud und Swisscom bleiben die Daten in der Schweiz – Art. 16 DSG ist nicht betroffen, und es besteht kein Zugriffsrisiko über den US CLOUD Act. Alle vier betreiben Open-Weight-Modelle (u. a. das Schweizer Modell Apertus); Spitzenmodelle wie Claude oder GPT sind dort nicht verfügbar. Exoscale (Lausanne) baut eine Managed-Inference-API auf, die bei Redaktionsschluss noch nicht allgemein verfügbar war.
Nicht mehr aufgeführt: Aleph Alpha bietet seit Ende 2024 keine öffentlich buchbare Inferenz-API mehr an (nur noch die Enterprise-Plattform PhariaAI; Übernahme durch Cohere angekündigt).
Stand: September 2026 · futivo – Tavernini Dienstleistungen GmbH
Glossar & Abkürzungen (21 Begriffe)
- ABV
- Auftragsbearbeitungsvertrag (Art. 9 DSG) – regelt, wie ein externer Dienstleister Personendaten in Ihrem Auftrag bearbeitet. Englisch: DPA.
- AI
- Artificial Intelligence – englisch für KI; z. B. in Produktnamen wie «AI Services» oder «Swiss AI Platform».
- API
- Application Programming Interface – technische Schnittstelle für den maschinellen Zugriff auf KI-Modelle (B2B-Kanal, Grundlage für DPA).
- Art. 9 DSG
- Artikel des Datenschutzgesetzes zur Auftragsbearbeitung: Wer Personendaten auslagert, muss dies vertraglich oder sonstwie nachweisbar regeln.
- Art. 16 DSG
- Artikel des Datenschutzgesetzes zur Bekanntgabe ins Ausland: erlaubt bei angemessenem Schutzniveau (Adäquanzliste) oder mit geeigneten Garantien wie SCCs.
- CCPA
- California Consumer Privacy Act – Datenschutzgesetz des US-Bundesstaats Kalifornien.
- CLOUD Act
- US-Bundesgesetz: verpflichtet US-Unternehmen zur Herausgabe von Daten an US-Behörden – auch bei EU- oder CH-Serverstandort.
- DPA
- Data Processing Agreement / Addendum – englische Bezeichnung für den ABV.
- DSG / nDSG
- Datenschutzgesetz (Schweiz); nDSG bezeichnet die revidierte Fassung, in Kraft seit 1. September 2023.
- DSGVO / GDPR
- Datenschutz-Grundverordnung der EU (engl. General Data Protection Regulation) – relevant für CH-Unternehmen mit EU-Bezug.
- EDÖB
- Eidg. Datenschutz- und Öffentlichkeitsbeauftragter – Schweizer Aufsichtsbehörde.
- EEA / EWR
- European Economic Area / Europäischer Wirtschaftsraum – EU-Staaten plus Island, Liechtenstein und Norwegen.
- FADP
- Federal Act on Data Protection – englische Bezeichnung für das DSG («Swiss FADP»).
- FINMA
- Eidgenössische Finanzmarktaufsicht – stellt zusätzliche Anforderungen an Auslagerungen bei Banken und Versicherungen.
- GLM
- General Language Model – Open-Weight-Modellfamilie des chinesischen Herstellers Z.ai (Zhipu).
- GPT
- Generative Pre-trained Transformer – Modellfamilie von OpenAI (z. B. GPT-4.1, GPT-5).
- KI
- Künstliche Intelligenz.
- KMU
- Kleine und mittlere Unternehmen.
- LLM
- Large Language Model – grosses Sprachmodell (z. B. GPT, Claude, Gemini, Mistral).
- SCC
- Standard Contractual Clauses / Standardvertragsklauseln der EU-Kommission für Datentransfers in Drittstaaten ohne Angemessenheitsentscheid; in der Schweiz mit Anpassungen (Swiss Addendum) anerkannt. «Modul 2/3/4» bezeichnet die Konstellation (z. B. Verantwortlicher → Auftragsbearbeiter).
- ToS
- Terms of Service – Nutzungsbedingungen; bei vielen Anbietern ist der DPA per Verweis darin einbezogen.