Die DSGVO (Datenschutz-Grundverordnung) regelt den Umgang mit personenbezogenen Daten in der EU. KI-Systeme verarbeiten oft enorme Datenmengen – deshalb müssen sie denselben Regeln folgen wie jede andere Datenverarbeitung.
Kernprinzipien, die bei KI besonders relevant sind:
Jede Datenverarbeitung braucht eine Rechtsgrundlage. Für den Einsatz von KI im öffentlichen Dienst kommen diese in Frage:
Eine Behörde möchte ein KI-System einsetzen, das Antragsdaten auf Plausibilität prüft. Dazu werden Name, Adresse, Einkommen und Familienstand verarbeitet. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. e DSGVO (öffentliches Interesse) in Verbindung mit dem einschlägigen Fachrecht (z. B. SGB II, BAföG). Bevor das System produktiv geht, ist die Mitbestimmung des Personalrats nach dem einschlägigen Personalvertretungsrecht (BPersVG bzw. Landes-PersVG) Pflicht.
Art. 22 DSGVO regelt Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen – also, wenn ein KI-System ohne menschliches Zutun über Rechte, Pflichten oder Leistungen entscheidet.
Regel: Betroffene Personen haben das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt.
Ausnahmen für die Verwaltung:
Selbst wenn automatisierte Entscheidungen zulässig sind, muss immer ein Mensch die Entscheidung überprüfen und bestätigen können. KI darf niemals das letzte Wort in sozialrechtlichen Verfahren haben – das ist rechtlich unsicher und ethisch bedenklich.
"KI unterstützt, der Mensch entscheidet." Automatisierte Entscheidungen ohne menschliche Prüfung sind in der Sozialverwaltung nahezu immer rechtswidrig. Die menschliche Aufsicht (Human-in-the-Loop) ist kein Nice-to-have, sondern Pflicht.
Pseudonymisierung (Art. 4 Nr. 5 DSGVO) bedeutet, personenbezogene Daten so zu verarbeiten, dass sie ohne Zusatzwissen nicht mehr einer bestimmten Person zugeordnet werden können. Sie ist eine der wirksamsten Schutzmaßnahmen beim KI-Einsatz und direkt aus dem Datenminimierungsgebot (Art. 5 Abs. 1 lit. c DSGVO) ableitbar.
Praktisches Beispiel: Statt „Müller, Hans, geb. 15.03.1974, Antrag SGB II, Wohnort Neukölln" verwenden Sie in der KI-Analyse „ID-4821, Altersgruppe 45–55, Antragstyp Sozialleistung, Bezirk Süd". Die Zuordnung zur echten Person bleibt in einer separaten, gesicherten Tabelle – die KI sieht sie nicht.
So wenig echte Personendaten wie möglich in KI-Systeme eingeben. Was die KI nicht kennt, kann sie nicht versehentlich weitergeben oder fehlverwenden. Pseudonymisierung ist kein Luxus – sie ist datenschutzrechtliches Gebot.
Jede KI-gestützte Datenverarbeitung in Ihrer Stelle braucht eine Rechtsgrundlage (in der Verwaltung fast immer Art. 6 Abs. 1 lit. e DSGVO). Ist das System geeignet, das Verhalten oder die Leistung Beschäftigter zu überwachen, ist vor dem Produktivgang auch der Personalrat zu beteiligen. Wählen Sie oben Ihre Ebene, dann sehen Sie ein passendes Beispiel aus dem typischen Aufgabenfeld.
Ein Referat erstellt einen Erlassentwurf und will frühere Rundschreiben durch ein KI-Werkzeug zusammenfassen lassen. Die Vorlagen enthalten Namen von Sachbearbeitenden und einzelfallbezogene Bezüge. Bevor die Dokumente in das Werkzeug gehen, werden Personenbezüge entfernt oder pseudonymisiert. Für ein behördenweites Werkzeug ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen, weil die Verarbeitung viele Beschäftigte und Verfahren betrifft.
Das Bürgeramt eines Bezirks möchte eingehende Anliegen per KI vorsortieren, um sie schneller dem richtigen Fachamt zuzuleiten. Die Anliegen enthalten Namen, Adressen und teils Gesundheitsangaben. Weil Gesundheitsdaten zu den besonderen Kategorien nach Art. 9 DSGVO gehören, reicht Art. 6 Abs. 1 lit. e DSGVO allein nicht aus. Dafür braucht es zusätzlich einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO in Verbindung mit dem Fachrecht. Bei einer umfangreichen Verarbeitung solcher Daten ist regelmäßig auch eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO geboten. Die endgültige Zuordnung trifft ein Mensch, die KI schlägt nur vor (Art. 22 DSGVO). Vor dem Start wird der Personalrat des Bezirksamts beteiligt und der behördliche Datenschutzbeauftragte eingebunden.
Ein Landesamt prüft Förderanträge und will Plausibilitätsprüfungen durch KI unterstützen lassen. Verarbeitet werden Name, Einkommen und Antragstyp. Für die KI-Analyse werden die Daten pseudonymisiert (ID statt Klarname, Altersgruppe statt Geburtsdatum), die Klarnamen-Zuordnung bleibt in einer getrennten, gesicherten Tabelle. Die KI bewertet nicht abschließend, sie liefert Hinweise; die Bewilligung verantwortet die Sachbearbeitung.
Eine kleine Gemeinde ohne eigene IT-Abteilung möchte ein Cloud-KI-Werkzeug für Schriftverkehr nutzen. Zwei Dinge sind vorab zu klären. Erstens braucht es mit dem Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und einen Serverstandort, der eine Drittlandsübermittlung vermeidet. Zweitens gehören echte Bürgerdaten erst dann in das Werkzeug, wenn dieser Vertrag steht. Bis dahin nur anonymisierte Mustertexte verwenden.
Eine Stadtverwaltung erprobt einen KI-Chatbot auf der städtischen Website, der Fragen zu Öffnungszeiten und Anträgen beantwortet. Solange der Chatbot keine personenbezogenen Anliegen entgegennimmt, ist der Datenschutzaufwand gering. Sobald Bürger jedoch Namen oder Anliegen eingeben, greifen Informationspflichten nach Art. 13 DSGVO und das Werkzeug braucht eine klare Datenschutzerklärung. Eingaben dürfen nicht ungeprüft zum Anbietertraining weiterfließen.
Entwurf, fachliche Prüfung steht aus (ggf. Content-Review SenASGIVA). Die Beispiele richten sich nach der oben oder im Lernpfad gewählten Verwaltungsebene.
Wie nutzen Sie KI in Ihrer Behörde zu diesem Thema? Teilen Sie Erfahrungen, stellen Sie Fragen — anonym oder mit E-Mail. Kommentare liegen auf eigenen Servern (DSGVO-konform).