Checklisten
Prüfbare Schritt-für-Schritt-Checklisten zu Compliance und Umsetzung — mit einem klaren Abschnitt dazu, was sie nicht abdecken.
EU-AI-Act-Konformität: die Checkliste für den ersten Durchgang
Ein tragfähiger erster Durchgang durch den EU AI Act besteht aus sechs Schritten: wissen, welche KI im Haus läuft, die eigene Rolle je System bestimmen, nach Artikel 6 einstufen, Transparenzpflichten separat prüfen, KI-Kompetenz sicherstellen und alles so ablegen, dass es im Prüffall auffindbar ist.
7 Punkte
Hochrisiko oder nicht: die Einstufung nach Anhang III sauber begründen
Die Hochrisiko-Einstufung folgt einer festen Reihenfolge: zuerst der Einsatzbereich nach Anhang III, dann die Frage, ob das System dort eine tragende Rolle für die Entscheidung spielt, dann die Ausnahme nach Artikel 6 Absatz 3. Jeder dieser Schritte muss begründet dokumentiert werden.
7 Punkte
KI-Kompetenz nach Artikel 4: vom Anspruch zum belastbaren Nachweis
Artikel 4 verlangt Massnahmen zur Förderung der KI-Kompetenz, gemessen an Rolle, Kontext und betroffenen Personen. Umsetzbar wird das über vier Schritte: Rollen bilden, je Rolle eine Tiefe festlegen, passend schulen und die Teilnahme mit Datum, Inhalt und Rollenbezug festhalten.
7 Punkte
DSGVO für SaaS: die Punkte, die vor dem ersten Enterprise-Kunden stehen müssen
Für ein SaaS-Produkt sind sechs Bereiche unverzichtbar: Rechtsgrundlagen je Verarbeitung, ein gepflegtes Verarbeitungsverzeichnis, technisch umgesetzte Betroffenenrechte, ein funktionierendes Löschkonzept, saubere Subunternehmerketten und eine belegbare Aussage zur Datenresidenz.
7 Punkte
Auftragsverarbeitungsvertrag prüfen: worauf es beim Gegenlesen ankommt
Beim Gegenlesen eines Auftragsverarbeitungsvertrags entscheiden sechs Punkte: Gegenstand und Weisungsbindung, die Subunternehmerkette samt Widerspruchsrecht, Ort der Verarbeitung, Mitwirkung bei Betroffenenrechten, Meldewege bei Verletzungen und der Umgang mit Daten nach Vertragsende.
7 Punkte
Technische Due Diligence: was in wenigen Tagen prüfbar ist
Eine technische Due Diligence in knapper Zeit konzentriert sich auf sechs Fragen: Trägt die Architektur den geplanten Wachstumspfad, wie gross ist die technische Schuld, hängt das System an einzelnen Personen, wie steht es um Sicherheit und Lizenzen, und lässt sich der Betrieb übergeben.
7 Punkte
Technical-SEO-Prüfung: die Punkte, die Indexierung tatsächlich verhindern
Die meisten technischen SEO-Probleme lassen sich auf wenige Ursachen zurückführen: Seiten sind nicht indexierbar, Canonicals zeigen falsch, die Sitemap enthält Seiten, die nicht indexiert werden sollen, hreflang ist nicht reziprok, oder Seiten sind intern kaum verlinkt.
8 Punkte
Sichtbarkeit in KI-Antworten: die Prüfliste für Zitierfähigkeit
Zitierfähigkeit in KI-Antworten beruht auf wenigen Eigenschaften: eine kurze, eigenständige Antwort weit oben, eindeutige Aussagen statt Marketingsprache, überprüfbare Angaben mit Datum und Urheber, saubere Zugänglichkeit für KI-Crawler und eine erkennbare Autorenschaft.
8 Punkte
MVP-Start: was vor der ersten zahlenden Kundin stehen muss
Vor dem Start eines MVP müssen fünf Dinge stehen: eine funktionierende Zahlungsstrecke, eine Datenlage, die spätere Änderungen erlaubt, ein Weg zur Löschung von Konten, eine Möglichkeit zu erfahren wenn etwas kaputt ist, und rechtliche Grunddokumente. Alles andere kann warten.
7 Punkte
Cloud-Migration vorbereiten: die Fragen vor dem ersten Verschieben
Eine Cloud-Migration scheitert selten an der Technik, sondern an mangelnder Vorbereitung: unbekannte Abhängigkeiten, ungeklärte Datenklassifizierung, ein Kostenmodell das erst nach dem Umzug sichtbar wird, und fehlende Abnahmekriterien, an denen sich Erfolg überhaupt messen liesse.
8 Punkte
Altsystem ablösen: die Vorarbeit, die über den Ausgang entscheidet
Die Ablösung eines Altsystems scheitert meist an drei Dingen: undokumentierter Fachlogik, die niemand mehr kennt, Datenqualität die erst bei der Migration sichtbar wird, und einem fehlenden Abschaltzeitpunkt, wodurch beide Systeme dauerhaft parallel laufen.
7 Punkte
Softwarepartner auswählen: was vor der Beauftragung zu prüfen ist
Bei der Auswahl eines Softwarepartners entscheiden weniger die Referenzen als vier vertragliche Punkte: Wem gehört das Ergebnis, wer hat Zugang zu den Systemen, wie sieht eine Übergabe aus, und was passiert, wenn die Zusammenarbeit endet.
8 Punkte
Website-Relaunch-Checkliste: Sichtbarkeit sichern
Ein Relaunch ohne Rankingverlust braucht sieben Schritte: URL-Inventar aus Search Console und Crawl, Weiterleitungsplan je URL, gesperrte Testumgebung, Übernahme rankender Inhalte, saubere Canonicals und strukturierte Daten, ein kontrollierter Go-live und eine Nachkontrolle über mehrere Wochen.
7 Punkte
revDSG-Checkliste für Schweizer KMU
Ein Schweizer KMU setzt das revDSG in acht Schritten um: Datenflüsse erfassen, Pflichten bestimmen, Dienstleister und Verträge prüfen, Auslandübermittlungen absichern, die Datenschutzerklärung an die Realität anpassen, Datensicherheit festlegen sowie Abläufe für Datenschutzverletzungen und Auskunftsbegehren einüben.
8 Punkte
Checkliste: Meldung an das Schweizer Transparenzregister (TJPG)
Eine TJPG-Meldung gelingt in acht Schritten: Meldepflicht pro Rechtseinheit klären, geltende Frist feststellen, wirtschaftlich Berechtigte nach Art. 4 TJPG herleiten, ihre Identität prüfen, die Herleitung dokumentieren, über EasyGov melden, Auslöser für Änderungsmeldungen festlegen und Registermeldung mit Bank- und Gesellschaftsunterlagen abgleichen.
8 Punkte
Checkliste: GwG-Unterstellung für Beratende seit 1. Oktober 2026
Beratende klären die GwG-Unterstellung in acht Schritten: Tätigkeiten mit konkretem Rechtsvorgang kartieren, Unterstellung begründet beurteilen, Fristen sichern, eine SRO wählen und das Reglement lesen, eine Risikomethode festlegen, die Sorgfaltspflichten in Abläufe übersetzen, Ablage und Audit-Trail einrichten und Mitarbeitende schulen.
8 Punkte
Checkliste: LLM-Funktion produktionsreif machen
Eine LLM-Funktion ist produktionsreif, wenn Fehlerkosten bekannt sind, ein Evaluationsset die Qualität misst, die Architektur Prompt Injection begrenzt, Datenflüsse vertraglich abgesichert sind, ein Fallback existiert, Kosten pro Nutzung begrenzt sind, Monitoring läuft, menschliche Aufsicht geregelt ist und die AI-Act-Einordnung dokumentiert ist.
8 Punkte
Checkliste: Datenschutzverletzung — die ersten 72 Stunden
Nach einer Datenschutzverletzung gilt: sofort eindämmen, Fakten und Zeitpunkt sichern, ein Entscheidungsteam bilden, das Risiko für Betroffene beurteilen, bei hohem Risiko den EDÖB so rasch als möglich und unter der DSGVO die Aufsichtsbehörde binnen 72 Stunden informieren, Betroffene bei Bedarf benachrichtigen, Auftragsbearbeiter einbeziehen und alles dokumentieren.
8 Punkte
Checkliste: Sicherheit vor dem SaaS-Go-live
Vor dem Go-live eines SaaS-Produkts müssen acht Punkte stimmen: getestete Mandantentrennung auf Datenebene, sichere Authentifizierung mit Mehrfaktor, Geheimnisse ausserhalb des Codes, aktuelle Abhängigkeiten, Backups mit getesteter Wiederherstellung, Protokollierung sicherheitsrelevanter Ereignisse, Schutz vor Missbrauch und ein vorbereiteter Ablauf für Sicherheitsvorfälle.
8 Punkte
Checkliste: eine KI-Nutzungsrichtlinie, die tatsächlich befolgt wird
Eine wirksame KI-Nutzungsrichtlinie regelt in kurzer, verständlicher Form: welche Werkzeuge zugelassen sind, welche Daten hineingehören und welche nicht, dass Menschen Ergebnisse prüfen und verantworten, wann KI-Einsatz offengelegt wird, wie neue Werkzeuge freigegeben werden, welche Schulung es gibt, wie Vorfälle gemeldet werden und wann die Richtlinie überprüft wird.
8 Punkte
Checkliste: KI-Anbieter und KI-Funktionen prüfen, bevor sie eingesetzt werden
Vor dem Einsatz eines KI-Dienstes sind zehn Fragen zu klären: Wird auf eigenen Daten trainiert, wo werden Daten verarbeitet, wie lange werden Eingaben gespeichert, gibt es einen Auftragsbearbeitungsvertrag, wie ist die Sicherheit belegt, welche Rolle hat man nach AI Act, welche Dokumentation liefert der Anbieter, wie werden Modellwechsel angekündigt, wie werden Kosten begrenzt und wie steigt man wieder aus.
8 Punkte
Checkliste: KI in Kanzleien und Treuhandbüros sicher einsetzen
KI kann in Kanzleien und Treuhandbüros viel Zeit sparen, berührt aber Berufsgeheimnis und Datenschutz unmittelbar. Sicher wird der Einsatz mit geklärten Geheimhaltungspflichten, Werkzeugen mit Vertrag und ohne Training auf Mandantendaten, minimierten Daten, der Prüfung jeder Aussage und Fundstelle, Transparenz gegenüber Mandanten sowie Richtlinie und Schulung.
8 Punkte
Checkliste: Website-Relaunch für Kanzleien und Treuhänder
Ein Kanzlei-Relaunch gelingt, wenn Fachgebiete und Personen klar strukturiert, alte Adressen sauber weitergeleitet, Inhalte berufsrechtlich sachlich, das Kontaktformular vertraulich gestaltet, strukturierte Daten und lokale Angaben korrekt und Indexierung sowie Anfragen nach dem Go-live gemessen werden.
8 Punkte