Datenschutz bei Produktlaunches: juristische Kapazität für Privacy by Design

Kurzantwort: Vor dem Launch eines digitalen Produkts prüft ein Unternehmen datenschutzrechtlich mindestens sieben Punkte: Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Art. 7 DSG, Art. 25 DSGVO), Zweck und Rechtsgrundlage, die Information der Nutzer (Art. 19 DSG, Art. 13 DSGVO), den Bedarf einer Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 22 DSG, Art. 35 DSGVO), Auftragsbearbeiter, Bekanntgaben ins Ausland und den Eintrag ins Verzeichnis. Enthält das Produkt KI-Funktionen, kommen die Transparenzpflichten nach Art. 50 der KI-Verordnung (AI Act) hinzu, die seit dem 2. August 2026 gelten.

Dieser Beitrag richtet sich an Product Owner, Legal Counsel, Datenschutzverantwortliche und CTOs in der Schweiz und in Deutschland. Er zeigt, wie Privacy by Design in den Produktprozess passt, welche Prüfpunkte vor dem Launch eine Checkliste abdecken sollte, was bei KI-Funktionen dazukommt und welche Kapazität das braucht.

Privacy by Design im Produktprozess

Privacy by Design ist in beiden Rechtsordnungen Pflicht: Der Verantwortliche muss die Datenbearbeitung technisch und organisatorisch so gestalten, dass die Datenschutzvorschriften eingehalten werden, und das ab der Planung berücksichtigen (Art. 7 Abs. 1 DSG). Die DSGVO verlangt geeignete Massnahmen bereits zum Zeitpunkt der Festlegung der Mittel der Verarbeitung (Art. 25 Abs. 1 DSGVO). Hinzu kommen datenschutzfreundliche Voreinstellungen: Ohne Zutun der Nutzer wird nur bearbeitet, was für den Zweck nötig ist (Art. 7 Abs. 3 DSG, Art. 25 Abs. 2 DSGVO).

Praktisch heisst das: Datenschutz wird nicht am Ende geprüft, sondern an festen Entscheidungspunkten im Produktprozess. Die Tabelle ordnet jeder Produktphase eine Datenschutzaufgabe und ein Ergebnis zu.

So strukturieren Sie die juristische Begleitung

• Projektphasen und rechtliche Entscheidungspunkte zusammentragen.
• Vertragsdokumente, Leistungsbeschreibungen und offene Verhandlungspunkte ordnen.
• Schnittstellen zu IT, Einkauf, Informationssicherheit und Datenschutz benennen.
• Freigaben und Eskalationen für Abweichungen vom Standard festlegen.
• Änderungen und Beschlüsse fortlaufend dokumentieren.

Datenschutz-Checkliste vor dem Produktlaunch

Vor dem Go-live sollte jeder der folgenden Prüfpunkte erledigt oder bewusst als Restrisiko entschieden sein:

• Zweck und Grundsätze: Zweck bestimmt und für Nutzer erkennbar, Bearbeitung verhältnismässig, Löschung nach Zweckerreichung (Art. 6 DSG); Rechtsgrundlage nach Art. 6 DSGVO festgelegt.
• Einwilligungen: Wo eine Einwilligung nötig ist, muss sie für besonders schützenswerte Personendaten und für ein Profiling mit hohem Risiko ausdrücklich erfolgen (Art. 6 Abs. 7 DSG).
• Information: Datenschutzerklärung mit Identität des Verantwortlichen, Zweck, Empfängern und gegebenenfalls Zielstaaten und Garantien (Art. 19 DSG, Art. 13 DSGVO).
• Voreinstellungen: datensparsame Standardeinstellungen, keine automatische Freigabe an eine unbestimmte Zahl von Personen.
• DSFA: Screening dokumentiert; bei voraussichtlich hohem Risiko DSFA abgeschlossen.
• Dienstleister: Verträge mit Auftragsbearbeitern geprüft (Art. 9 DSG, Art. 28 DSGVO).
• Ausland: Bekanntgaben ins Ausland erfasst und abgesichert (Art. 16 DSG, Art. 44 ff. DSGVO).
• Automatisierte Entscheidungen: Information und Möglichkeit der Überprüfung durch eine natürliche Person (Art. 21 DSG, Art. 22 DSGVO).
• Datensicherheit: dem Risiko angemessene Massnahmen (Art. 8 DSG, Art. 32 DSGVO).
• Verzeichnis: neue Bearbeitungen eingetragen (Art. 12 DSG, Art. 30 DSGVO).
• Betroffenenrechte: Auskunft und Löschung technisch umsetzbar; Auskunft in der Schweiz in der Regel innerhalb von 30 Tagen (Art. 25 Abs. 7 DSG).
• Cookies und Tracking: In Deutschland braucht das Speichern von Informationen auf dem Endgerät und der Zugriff darauf eine Einwilligung, ausser es ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 TDDDG). In der Schweiz sind Nutzer über die Bearbeitung und ihren Zweck zu informieren und darauf hinzuweisen, dass sie sie ablehnen können (Art. 45c FMG).

KI-Funktionen: zusätzliche Pflichten nach dem AI Act

Hat ein Produkt KI-Funktionen, gelten neben dem Datenschutzrecht die Pflichten der KI-Verordnung (VO (EU) 2024/1689). Sie richten sich nach der Rolle des Unternehmens und dem Risiko des Systems.

• Transparenz (Art. 50, seit 2. August 2026): Anbieter gestalten Systeme, die direkt mit Menschen interagieren, so, dass Nutzer erfahren, dass sie mit einer KI interagieren. Synthetische Inhalte sind maschinenlesbar zu kennzeichnen; für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt diese Kennzeichnungspflicht ab dem 2. Dezember 2026. Betreiber legen Deepfakes offen und informieren über Emotionserkennung und biometrische Kategorisierung.
• Verbotene Praktiken (Art. 5): gelten seit dem 2. Februar 2025; zwei neue Verbote zu intimen Deepfakes ohne Einwilligung und zu Darstellungen sexuellen Kindesmissbrauchs gelten ab dem 2. Dezember 2026.
• Hochrisiko-Systeme: Für Systeme nach Anhang III, etwa für Bewerberauswahl, Kreditwürdigkeitsprüfung oder Preisbildung in Lebens- und Krankenversicherungen, gelten die Pflichten ab dem 2. Dezember 2027.
• Rolle klären: Wer ein KI-System entwickelt oder entwickeln lässt, auch auf Basis eines fremden KI-Modells, und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, ist Anbieter dieses Systems (Art. 3 Nr. 3 KI-VO). Die Pflichten des Modellanbieters bleiben davon getrennt.
• Datenschutz bleibt: Für Betreiber von Hochrisiko-Systemen verweist Art. 26 Abs. 9 KI-VO ausdrücklich auf die DSFA nach Art. 35 DSGVO. In der Schweiz löst der Einsatz neuer Technologien die Prüfung einer DSFA nach Art. 22 DSG aus.

Die KI-Verordnung erfasst auch Unternehmen ausserhalb der EU, wenn sie KI-Systeme in der EU in Verkehr bringen oder die Ausgabe in der EU verwendet wird (Art. 2 Abs. 1 KI-VO). Wie Unternehmen Rollen, Inventar und Kompetenz organisieren, zeigt der Beitrag AI Governance im Unternehmen aufbauen; die Fristen fasst der Beitrag AI Act: Fristen und Kapazität zusammen.

Rollen und Kapazität im Launch-Projekt

Ein Produktlaunch braucht einen juristischen Ansprechpartner, der im Takt des Produktteams arbeitet, und klare Zuständigkeiten für die Freigabe.

• Product oder Privacy Counsel: Screening, DSFA, Datenschutzerklärung, Verträge, KI-Einordnung, Sign-off-Vorlage.
• Privacy Analyst: Datenflüsse, Verzeichnis, Löschkonzept, Fristen und Dokumentation.
• Informationssicherheit: technische Massnahmen, Tests, Protokollierung.
• Datenschutzbeauftragter bzw. Datenschutzberater: berät und überwacht, insbesondere bei der DSFA (Art. 35 Abs. 2, Art. 39 DSGVO; Art. 10 DSG).

Was ins Briefing gehört

Ein Briefing beschreibt Produktziel, Anbieterstruktur, Vertragsarten, Sprachen, betroffene Länder und die nächsten Meilensteine. Es nennt die konkret benötigte Tätigkeit: Dokumentenprüfung, Verhandlungsunterstützung, Projektkoordination oder einzelne Rechtsfragen. «Datenschutz» oder «IT-Recht» allein ist für die Auswahl einer Fachkraft zu unspezifisch. Zur Übergabe gehören ein aktuelles Issue-Register mit Verantwortlichen, Fristen und Entscheidungsstatus sowie offene Verpflichtungen, nicht nur die letzte Fassung der Datenschutzerklärung.

Alpinum Solutions stellt Datenschutz- und IT-Juristen sowie Privacy Analysts über Staff Leasing oder Freelancing bereit, in der Schweiz und in Deutschland, in Teilzeit oder Vollzeit. Das Unternehmen steuert den Einsatz: Im Staff Leasing gibt es die fachlichen Weisungen, im Freelancing arbeitet die Fachkraft eigenverantwortlich im Rahmen des vereinbarten Mandats. Grundlagen zu Verzeichnis, DSFA und Auftragsbearbeitung beschreibt der Beitrag Juristische Unterstützung im Datenschutzprojekt.

Grenzen und Risiken

• Freigabe bleibt beim Unternehmen: Den Launch gibt das Unternehmen als Verantwortlicher frei. Externe Fachkräfte bereiten die Entscheidung vor.
• Keine Rechtsberatung: Alpinum ist keine Kanzlei. Für Behördenverfahren oder strittige Auslegungsfragen ist gegebenenfalls eine Kanzlei beizuziehen.
• Zeitdruck: Wird Datenschutz erst kurz vor dem Go-live geprüft, fehlen Zeit für Designänderungen und für eine Konsultation der Behörde. Der EDÖB hat für Einwände zwei Monate Zeit (Art. 23 Abs. 2 DSG), die Aufsichtsbehörde nach DSGVO bis zu acht Wochen (Art. 36 Abs. 2 DSGVO).
• Restrisiken dokumentieren: Bewusst akzeptierte Risiken gehören mit Begründung und Entscheidungsträger in die Dokumentation.

Häufige Fragen zum Datenschutz beim Produktlaunch

Wann ist eine Datenschutz-Folgenabschätzung nötig?

Eine DSFA ist vorab nötig, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt, insbesondere bei neuen Technologien (Art. 22 DSG, Art. 35 DSGVO). Typische Auslöser sind die umfangreiche Bearbeitung besonders schützenswerter Daten, systematische Überwachung öffentlicher Bereiche und nach DSGVO automatisierte Bewertungen mit Rechtswirkung.

Wer gibt den Launch datenschutzrechtlich frei?

Die Freigabe erteilt das Unternehmen als Verantwortlicher, meist eine im internen Prozess bestimmte Stelle wie Product Owner mit Zustimmung von Legal. Der Datenschutzbeauftragte berät und überwacht, gibt aber nicht anstelle des Unternehmens frei (Art. 39 DSGVO). In der Schweiz kann der Datenschutzberater konsultiert werden, um die Konsultation des EDÖB zu vermeiden (Art. 23 Abs. 4 DSG).

Muss vor dem Launch eine Behörde konsultiert werden?

Nur wenn die DSFA ergibt, dass trotz Massnahmen ein hohes Risiko bleibt. Dann ist vorgängig der EDÖB (Art. 23 DSG) bzw. die Aufsichtsbehörde (Art. 36 DSGVO) zu konsultieren. In der Schweiz entfällt diese Pflicht, wenn ein unabhängiger Datenschutzberater konsultiert wurde und die Voraussetzungen nach Art. 10 Abs. 3 DSG erfüllt sind.

Gilt der AI Act für ein Produkt aus der Schweiz?

Ja, wenn das Unternehmen das KI-System in der EU in Verkehr bringt oder in Betrieb nimmt oder wenn die Ausgabe des Systems in der EU verwendet wird (Art. 2 Abs. 1 lit. a und c KI-VO). Der Sitz in der Schweiz schützt nicht vor den Pflichten, etwa den Transparenzpflichten nach Art. 50, die seit dem 2. August 2026 gelten.

Was gilt für Beta-Tests mit echten Nutzerdaten?

Für Tests gelten dieselben Regeln wie für den Betrieb: Information der Nutzer, Rechtsgrundlage, Datensicherheit und Verhältnismässigkeit. Wo möglich, sollten Tests mit synthetischen oder anonymisierten Daten laufen. Echte Daten aus Tests sind zu löschen oder zu anonymisieren, sobald sie für den Zweck nicht mehr nötig sind (Art. 6 Abs. 4 DSG).

Nächster Schritt

Wenn ein Produktlaunch kurzfristig Datenschutz- oder IT-rechtliche Kapazität braucht, stellt Alpinum erfahrene Juristen und Privacy Analysts bereit. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Datenschutz- und IT-Recht: Projektjuristen
• Juristische Unterstützung im Datenschutzprojekt
• AI Governance im Unternehmen aufbauen
• Bedarf besprechen

Stand: 30. Oktober 2026.