Anbieter-Vergleich · Art. 9 DSG
Schliesst Ihr KI-Anbieter automatisch einen Auftragsbearbeitungsvertrag ab?
Ohne gültigen Auftragsbearbeitungsvertrag (ABV/DPA) dürfen Sie keine Personendaten an einen LLM-Anbieter übergeben. Diese Matrix zeigt für die wichtigsten Anbieter, ob und wie der ABV nach Art. 9 DSG zustande kommt – und worauf Schweizer KMU achten müssen.
| Anbieter | ABV automatisch? (Art. 9 DSG) | Swiss DSG explizit? | Transfer & Datenlokation | Tarif & Hinweise |
|---|---|---|---|---|
| Amerikanische Anbieter | ||||
| Anthropic Claude API | Ja Automatisch via Commercial Terms of Service; kein separater Unterzeichnungsschritt. | Ja Swiss-Addendum im Schedule; «Applicable Data Protection Laws» = alle anwendbaren Gesetze. | SCCs Modul 2/3 + Swiss Addendum Datenlokation: USA (primär) | Commercial Terms Consumer (Free/Pro) ausgeschlossen. anthropic.com/legal/dpa – Keine separate Unterschrift nötig; Akzeptanz der Commercial ToS = ABV-Abschluss. |
| OpenAI API / ChatGPT Business | Ja DPA by reference im Services Agreement; Schweizer Kunden über OpenAI Ireland Ltd. | Ja «EEA and Swiss Data» explizit; OpenAI Ireland als Vertragspartner für CH-Kunden. | SCCs (CH/EEA → USA via Irland) Datenlokation: USA / Irland | Standard API ChatGPT Business/Enterprise = separates DPA-Formular möglich. openai.com/policies/dpa – CH-Kunden: Vertragspartner ist OpenAI Ireland Ltd. (EU-Entität). |
| xAI Grok API (Enterprise) | Nur Enterprise Automatisch via Enterprise ToS; Standard-API-Nutzer nicht explizit abgedeckt. | Ja SCCs mit Schweiz-Anpassung; EDÖB als Aufsichtsbehörde benannt. | SCCs + Swiss-Anpassung Datenlokation: USA | Enterprise Terms Für produktiven Einsatz mit Personendaten nur Enterprise-Tier verwenden. x.ai/legal/dpa – Standard-API ohne expliziten ABV = Compliance-Lücke. |
| Microsoft Azure Azure OpenAI, Copilot Studio | Ja Microsoft Products & Services DPA beim Azure-Abo automatisch einbezogen. | Ja FADP-Compliance dokumentiert; Schweizer Rechenzentren verfügbar; SCCs enthalten. | Azure EU Data Boundary + SCCs; CH-Regionen optional Datenlokation: CH (Zürich/Genf) oder EU wählbar | Standard Azure-Abo Beim Abo der Azure-Dienste automatisch inkludiert. Microsoft DPA (Sept. 2025) – CH-Regionen für maximale Datensouveränität empfohlen; FINMA-relevant. |
| Europäische Anbieter | ||||
| Google Cloud Vertex AI / Gemini Enterprise | Nur Paid/Enterprise Automatisch in Google Cloud Commercial Agreements; Gemini API Free / AI Studio ausgenommen. | Ja Swiss FADP in Definitionen und SCC-Anpassungen explizit enthalten. | SCCs + Adequacy; EU-Regionen konfigurierbar Datenlokation: EU-Regionen wählbar (europe-west1 etc.) | Paid Cloud-Account Gemini API Free / AI Studio: kein vollwertiger DPA → für Unternehmen ungeeignet. cloud.google.com/terms/dpa – Achtung: gemini.google.com auf privatem Google-Konto = kein DPA! |
| Mistral AI La Plateforme API | Ja Automatisch via Commercial Terms of Service by reference; ab Vertragsbeginn gültig. | Indirekt DPA nennt nur GDPR + CCPA; kein expliziter Swiss-FADP-Verweis – inhaltlich ausreichend, da FR = CH-Adäquanzland. | Kein SCC nötig (FR = CH-Adäquanzland); SCCs Modul 4 für aussereuropäische Transfers Datenlokation: Frankreich / EEA | Commercial Terms Consumer-Tarife (Le Chat Free) nicht für Unternehmensdaten geeignet. legal.mistral.ai/dpa – Swiss FADP nicht explizit – für den Compliance-Nachweis schriftliche Bestätigung einholen. |
| Aleph Alpha PhariaAI (Enterprise) | Individuell Kein öffentlicher Standard-DPA; ABV per Enterprise-Einzelvertrag. Luminous API seit Herbst 2024 für Neukunden eingestellt. | Indirekt Kein öffentlicher Swiss-DSG-Hinweis; als DE-Unternehmen gilt DSGVO Art. 28 → vergleichbar Art. 9 DSG. | Kein Transfer (DE = CH-Adäquanzland); kein SCC erforderlich Datenlokation: Deutschland (alpha ONE Heidelberg / STACKIT) | Enterprise-Vertrag Cohere-Übernahme April 2026 – Vertragsstruktur in Transition; Neukunden müssen Status prüfen. aleph-alpha.com – ⚠ Cohere-Übernahme April 2026: Struktur ggf. verändert – vor Einsatz direkt anfragen. Vorteil: kein CLOUD-Act-/FISA-Risiko. |
Tipp: Auf schmalen Bildschirmen lässt sich die Tabelle seitlich scrollen.
Rechtlicher Hinweis: Art. 9 DSG verlangt, dass die Auftragsbearbeitung vertraglich oder sonstwie in einer nachweisbaren Form geregelt ist. Ein DPA, das automatisch durch Akzeptanz der kommerziellen Nutzungsbedingungen per Verweis einbezogen wird, erfüllt diese Anforderung. Zusätzlich ist bei Bekanntgabe von Personendaten ins Ausland Art. 16 DSG zu prüfen (Adäquanz oder geeignete Garantien wie SCCs). Frankreich, Deutschland und die EU/EWR stehen auf der CH-Adäquanzliste; für die USA sind SCCs erforderlich. Diese Matrix ersetzt keine rechtliche Einzelfallprüfung.
Stand: Juni 2026 · futivo – Tavernini Dienstleistungen GmbH