Kurs in Entwicklung – Beta-Version
Zum Inhalt springen
Stufe 1: Awareness & Compliance

Datenschutz und KI

⏱ 14 Min 📋 Pflichtmodul 🔓 Verfügbar ✏️ 1 Übung

Lernziele

1. DSGVO-Grundsätze und KI

Die DSGVO (Datenschutz-Grundverordnung) regelt den Umgang mit personenbezogenen Daten in der EU. KI-Systeme verarbeiten oft enorme Datenmengen – deshalb müssen sie denselben Regeln folgen wie jede andere Datenverarbeitung.

Kernprinzipien, die bei KI besonders relevant sind:

2. Rechtsgrundlagen für KI in der Verwaltung

Jede Datenverarbeitung braucht eine Rechtsgrundlage. Für den Einsatz von KI im öffentlichen Dienst kommen diese in Frage:

Praxisfall: Rechtsgrundlage prüfen

Eine Behörde möchte ein KI-System einsetzen, das Antragsdaten auf Plausibilität prüft. Dazu werden Name, Adresse, Einkommen und Familienstand verarbeitet. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. e DSGVO (öffentliches Interesse) in Verbindung mit dem einschlägigen Fachrecht (z. B. SGB II, BAföG). Bevor das System produktiv geht, ist die Mitbestimmung des Personalrats nach dem einschlägigen Personalvertretungsrecht (BPersVG bzw. Landes-PersVG) Pflicht.

3. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Art. 22 DSGVO regelt Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen – also, wenn ein KI-System ohne menschliches Zutun über Rechte, Pflichten oder Leistungen entscheidet.

Regel: Betroffene Personen haben das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt.

Ausnahmen für die Verwaltung:

Wichtig für die Praxis

Selbst wenn automatisierte Entscheidungen zulässig sind, muss immer ein Mensch die Entscheidung überprüfen und bestätigen können. KI darf niemals das letzte Wort in sozialrechtlichen Verfahren haben – das ist rechtlich unsicher und ethisch bedenklich.

Merksatz

"KI unterstützt, der Mensch entscheidet." Automatisierte Entscheidungen ohne menschliche Prüfung sind in der Sozialverwaltung nahezu immer rechtswidrig. Die menschliche Aufsicht (Human-in-the-Loop) ist kein Nice-to-have, sondern Pflicht.

4. Datenschutzfreundlich arbeiten: Pseudonymisierung

Pseudonymisierung (Art. 4 Nr. 5 DSGVO) bedeutet, personenbezogene Daten so zu verarbeiten, dass sie ohne Zusatzwissen nicht mehr einer bestimmten Person zugeordnet werden können. Sie ist eine der wirksamsten Schutzmaßnahmen beim KI-Einsatz und direkt aus dem Datenminimierungsgebot (Art. 5 Abs. 1 lit. c DSGVO) ableitbar.

Praktisches Beispiel: Statt „Müller, Hans, geb. 15.03.1974, Antrag SGB II, Wohnort Neukölln" verwenden Sie in der KI-Analyse „ID-4821, Altersgruppe 45–55, Antragstyp Sozialleistung, Bezirk Süd". Die Zuordnung zur echten Person bleibt in einer separaten, gesicherten Tabelle – die KI sieht sie nicht.

Faustregel

So wenig echte Personendaten wie möglich in KI-Systeme eingeben. Was die KI nicht kennt, kann sie nicht versehentlich weitergeben oder fehlverwenden. Pseudonymisierung ist kein Luxus – sie ist datenschutzrechtliches Gebot.

Für Ihre Verwaltungsebene

Datenschutz im Alltag Ihrer Ebene

Allgemein

Jede KI-gestützte Datenverarbeitung in Ihrer Stelle braucht eine Rechtsgrundlage (in der Verwaltung fast immer Art. 6 Abs. 1 lit. e DSGVO). Ist das System geeignet, das Verhalten oder die Leistung Beschäftigter zu überwachen, ist vor dem Produktivgang auch der Personalrat zu beteiligen. Wählen Sie oben Ihre Ebene, dann sehen Sie ein passendes Beispiel aus dem typischen Aufgabenfeld.

Ministerial-/Senatsverwaltung

Ein Referat erstellt einen Erlassentwurf und will frühere Rundschreiben durch ein KI-Werkzeug zusammenfassen lassen. Die Vorlagen enthalten Namen von Sachbearbeitenden und einzelfallbezogene Bezüge. Bevor die Dokumente in das Werkzeug gehen, werden Personenbezüge entfernt oder pseudonymisiert. Für ein behördenweites Werkzeug ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen, weil die Verarbeitung viele Beschäftigte und Verfahren betrifft.

Bezirksverwaltung

Das Bürgeramt eines Bezirks möchte eingehende Anliegen per KI vorsortieren, um sie schneller dem richtigen Fachamt zuzuleiten. Die Anliegen enthalten Namen, Adressen und teils Gesundheitsangaben. Weil Gesundheitsdaten zu den besonderen Kategorien nach Art. 9 DSGVO gehören, reicht Art. 6 Abs. 1 lit. e DSGVO allein nicht aus. Dafür braucht es zusätzlich einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO in Verbindung mit dem Fachrecht. Bei einer umfangreichen Verarbeitung solcher Daten ist regelmäßig auch eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO geboten. Die endgültige Zuordnung trifft ein Mensch, die KI schlägt nur vor (Art. 22 DSGVO). Vor dem Start wird der Personalrat des Bezirksamts beteiligt und der behördliche Datenschutzbeauftragte eingebunden.

Nachgeordnete Behörden (Landesämter, Sonderbehörden)

Ein Landesamt prüft Förderanträge und will Plausibilitätsprüfungen durch KI unterstützen lassen. Verarbeitet werden Name, Einkommen und Antragstyp. Für die KI-Analyse werden die Daten pseudonymisiert (ID statt Klarname, Altersgruppe statt Geburtsdatum), die Klarnamen-Zuordnung bleibt in einer getrennten, gesicherten Tabelle. Die KI bewertet nicht abschließend, sie liefert Hinweise; die Bewilligung verantwortet die Sachbearbeitung.

Gemeindeverwaltung

Eine kleine Gemeinde ohne eigene IT-Abteilung möchte ein Cloud-KI-Werkzeug für Schriftverkehr nutzen. Zwei Dinge sind vorab zu klären. Erstens braucht es mit dem Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und einen Serverstandort, der eine Drittlandsübermittlung vermeidet. Zweitens gehören echte Bürgerdaten erst dann in das Werkzeug, wenn dieser Vertrag steht. Bis dahin nur anonymisierte Mustertexte verwenden.

Stadtverwaltung

Eine Stadtverwaltung erprobt einen KI-Chatbot auf der städtischen Website, der Fragen zu Öffnungszeiten und Anträgen beantwortet. Solange der Chatbot keine personenbezogenen Anliegen entgegennimmt, ist der Datenschutzaufwand gering. Sobald Bürger jedoch Namen oder Anliegen eingeben, greifen Informationspflichten nach Art. 13 DSGVO und das Werkzeug braucht eine klare Datenschutzerklärung. Eingaben dürfen nicht ungeprüft zum Anbietertraining weiterfließen.

Die Beispiele richten sich nach der oben oder im Lernpfad gewählten Verwaltungsebene.

Übung Umschreiben und einordnen

Eine Eingabe entschärfen und die Rechtsgrundlage benennen

Ausgangslage

Eine Kollegin will ein Cloud-Werkzeug nutzen, um einen langen Widerspruch zusammenzufassen. Ihr Entwurf für die Eingabe lautet:

Fasse den folgenden Widerspruch in fünf Sätzen zusammen.
Widersprechende Person ist Frau Aylin Demir, geboren am 14.03.1981,
wohnhaft Musterstraße 12, 12043 Berlin. Sie widerspricht der Ablehnung
ihres Antrags auf Grundsicherung vom 02.04.2026, Aktenzeichen
SGB-2026-4417. Sie leidet nach eigenen Angaben an einer Depression
und konnte deshalb die angeforderten Unterlagen nicht fristgerecht
beibringen. [Es folgt der Text des Widerspruchs.]

Auftrag

Schreiben Sie die Eingabe so um, dass die Zusammenfassung fachlich noch gelingt und so wenig Personenbezug wie möglich in das Werkzeug geht. Halten Sie danach fest, worauf sich die Verarbeitung stützt und welcher Umstand hier zusätzlich zu prüfen ist.

Ihre Eingaben bleiben in diesem Browserfenster. Sie werden nicht gespeichert und nicht übertragen, ein Neuladen der Seite verwirft sie.

Musterlösung anzeigen

Entschärfte Eingabe

Fasse den folgenden Widerspruch in fünf Sätzen zusammen.
Die widersprechende Person wendet sich gegen die Ablehnung eines
Antrags auf Grundsicherung. Sie beruft sich darauf, dass eine
gesundheitliche Einschränkung die fristgerechte Mitwirkung
erschwert hat.
[Text des Widerspruchs ohne Name, Geburtsdatum, Anschrift und
Aktenzeichen einsetzen.]

Für die Zusammenfassung braucht das Werkzeug den Sachverhalt und die Begründung. Name, Geburtsdatum, Anschrift und Aktenzeichen ändern an der Zusammenfassung nichts und bleiben in der Akte.

Rechtsgrundlage und der zusätzliche Punkt

Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem Fachrecht, hier dem SGB II. Zusätzlich zu prüfen ist die Angabe zur Erkrankung, weil Gesundheitsdaten unter Art. 9 DSGVO fallen. Dafür reicht lit. e allein nicht, es braucht einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO. Am einfachsten kommt die Diagnose gar nicht erst in das Werkzeug. Für die Zusammenfassung genügt die Angabe, dass eine gesundheitliche Einschränkung geltend gemacht wird.

Woran Sie eine gute Antwort erkennen

  • Sie löscht Name, Geburtsdatum, Anschrift und Aktenzeichen, weil die Aufgabe sie nicht braucht. Das ist Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO angewandt und nicht zitiert.
  • Sie behandelt die Gesundheitsangabe gesondert und nennt Art. 9 DSGVO.
  • Sie nennt lit. e als Grundlage. Für Behörden in Erfüllung ihrer Aufgaben ist das berechtigte Interesse nach Art. 6 Abs. 1 Satz 2 DSGVO ausgeschlossen.
  • Die umgeschriebene Eingabe funktioniert noch. Wer so viel streicht, dass das Werkzeug nichts mehr zusammenfassen kann, hat die Aufgabe zur Hälfte gelöst.

Woran eine schwache Antwort scheitert

  • Sie ersetzt „Aylin Demir“ durch „Frau D.“ und hält das für anonymisiert. Ein abgekürzter Name mit Geburtsdatum und Anschrift bleibt personenbezogen.
  • Sie behält das Aktenzeichen, weil darin keine Personendaten stehen. Über das Aktenzeichen lässt sich die Person eindeutig zuordnen, damit ist es ein Personenbezug.
  • Sie nennt eine Einwilligung als Rechtsgrundlage. In der Verwaltung fehlt der betroffenen Person meist die echte Wahlfreiheit, deshalb ist die Einwilligung dort selten wirksam.
  • Sie übersieht die Gesundheitsangabe, weil sie im Fließtext steht und nicht in einem Formularfeld.

Häufige Verwechslungen

Pseudonymisiert ist nicht anonym. Wer die Zuordnungstabelle hat, kommt zurück zur Person. Pseudonymisierte Daten bleiben personenbezogene Daten und unterliegen weiter der DSGVO. Das ist kein Formalismus, es entscheidet über Auskunftsrechte, Löschpflichten und die Frage, was bei einem Datenabfluss zu melden ist.

Der EU AI Act ersetzt die DSGVO nicht, er kommt hinzu. Wer die Risikoklasse eines Werkzeugs geprüft hat, hat noch keine Rechtsgrundlage für die Verarbeitung. Beide Prüfungen laufen nebeneinander und mit verschiedenen Ergebnissen.

💬 Diskussion & Erfahrungsaustausch Klicken zum Aufklappen

Wie nutzen Sie KI in Ihrer Behörde zu diesem Thema? Teilen Sie Erfahrungen, stellen Sie Fragen — anonym oder mit E-Mail. Kommentare liegen auf eigenen Servern (DSGVO-konform).

Kommentare werden geladen…