Künstliche Intelligenz wird für die öffentliche Verwaltung, Unternehmen und Hochschulen mit jedem Jahr relevanter. Auch wenn KI noch nicht überall als unverzichtbar gilt, haben Organisationen ohne KI-Nutzung heute schon klare Nachteile gegenüber jenen, die KI einsetzen. Das liegt vor allem an der Zeitersparnis, die mit der Nutzung von KI einhergeht: Viele zeitraubende und repetitive Prozesse können von KI-Systemen heutzutage effizienter ausgeführt werden als von Mitarbeitenden – sei es das Zusammenfassen von Berichten, das Erstellen von Nutzungssatzungen und Pressemitteilungen oder das Protokollieren von Meetings.

Der Einsatz von KI geht jedoch insbesondere mit datenschutzrechtlichen Herausforderungen einher. Dieser Artikel zeigt, wie Sie KI und Datenschutz in der Praxis vereinbaren und dabei sowohl die Vorgaben der DSGVO als auch die der KI-Verordnung (AI Act) rechtskonform einhalten.

Jetzt anmelden zu unserem kostenlosen Webinar: DSGVO-konforme KI in der Praxis. Jetzt Ihren Termin finden.

Das Wichtigste im Überblick

• KI wird in Verwaltung und Unternehmen immer wichtiger; ohne KI entstehen Effizienznachteile.
• KI-Einsatz muss DSGVO und EU-KI-Verordnung (AI Act) gleichzeitig einhalten.
• KI verarbeitet oft personenbezogene Daten; Datenschutz ist entscheidend für Vertrauen und Compliance.
• Herausforderungen: Transparenz, Zweckbindung, Datenminimierung, Auskunftsrechte.
• Praxis-Maßnahmen: Rechtmäßigkeit prüfen, Datenschutzerklärung anpassen, AV-Verträge, TOMs, KI-Richtlinien, DSFA, Drittlandtransfers beachten.
• Risiken: Datenlecks durch KI, diskriminierende Entscheidungen, fehlende Nachvollziehbarkeit für Aufsichtsbehörden.
• Kommunen haben besondere Anforderungen; empfohlen werden DSGVO-konforme KI-Systeme und frühzeitige Einbindung des Datenschutzbeauftragten.
• Fazit: Datenschutzkonforme KI nutzt Effizienzgewinne, reduziert Risiken und stärkt das Bürgervertrauen.

KI und Datenschutz: ein notwendiges Zusammenspiel

KI-Systeme verarbeiten oft große Mengen personenbezogener Daten – in Kommunen beispielsweise Bürgerdaten aus dem Meldewesen, Sozialdaten oder Informationen aus dem Gesundheitsbereich. Ohne datenschutzkonforme Ausgestaltung drohen nicht nur Bußgelder und Reputationsschäden, sondern vor allem ein nachhaltiger Vertrauensverlust bei den Bürgerinnen und Bürgern.

KI und Datenschutz sind daher keine Gegenspieler, sondern müssen in der öffentlichen Verwaltung gemeinsam gedacht werden.

Gerade Kommunen stehen in einer besonderen Verantwortung: Sie verarbeiten sensible Daten im öffentlichen Auftrag und handeln im direkten Kontakt mit Bürgern. Wer hier KI mit Datenschutz verbindet, signalisiert Seriosität, Rechtsstaatlichkeit und Bürgernähe. Das stärkt nicht nur das Vertrauen der Bevölkerung in digitale Verwaltungsangebote, sondern auch die Akzeptanz gegenüber Aufsichtsbehörden und Landesdatenschutzbeauftragten.

Ein datenschutzkonformer KI-Einsatz zeigt zudem, dass die Gemeinde oder Kommune ihre Fürsorgepflicht ernst nimmt und technische Innovationen nicht auf Kosten des Grundrechts auf informationelle Selbstbestimmung verfolgt. Gerade in Zeiten zunehmender Digitalisierung der öffentlichen Verwaltung ist das ein entscheidender Faktor für die Legitimität kommunalen Handelns.

Sie wollen KI im Beruf DSGVO‑konform nutzen? Testen Sie actaOne 10 Tage kostenlos.
Keine Datenübertragung in Drittländer, keine Nutzung Ihrer Daten als Trainingsdaten für die KI, keine Kreditkarte für die Probephase erforderlich.

KI-Verordnung und Datenschutz – der rechtliche Rahmen

Seit August 2024 gilt die KI-Verordnung der EU (AI Act). Sie reguliert KI-Systeme nach Risikoklassen:

Beide Verordnungen – KI-VO und DSGVO – gelten parallel und sind komplementär anzuwenden: Die DSGVO regelt die Verarbeitung personenbezogener Daten, während die KI-VO die Sicherheit und Transparenz von KI-Systemen selbst regelt.

Datenschutz und KI: Worauf in der Praxis zu achten ist

Datenschutzrechtliche Herausforderungen, die durch KI-Nutzung im Beruf entstehen

• Selbstlernende Systeme vs. Transparenzgebot: Wie erklären Sie Entscheidungen, die ein Algorithmus autonom trifft?
• Zweckbindung: KI-Systeme lernen oft über den ursprünglich definierten Zweck hinaus.
• Datenminimierung: Trainingsdaten enthalten häufig mehr personenbezogene Informationen als nötig.
• Löschung und Berichtigung: KI-Systeme müssen in der Lage sein, personenbezogene Daten im Bedarfsfall löschen (Art. 17 DSGVO) oder berichtigen (Art. 18 DSGVO) zu können.
• Auskunftsrechte: Betroffene haben das Recht auf Erklärung automatisierter Entscheidungen (Art. 22 DSGVO).

Diese Schwachstellen lassen sich durch klare Richtlinien, technische Maßnahmen und Schulungen lösen.

So bewältigen Sie diese Herausforderungen souverän

Folgende Punkte sind für eine erfolgreiche Umsetzung Ihrerseits entscheidend:

• Rechtmäßigkeit sicherstellen: Zutreffende Rechtsgrundlage der Verarbeitung  prüfen.
• Datenschutzerklärung aktualisieren: KI-Tools und Verarbeitungszwecke aufnehmen.
• AV-Verträge abschließen: Bei externen KI-Anbietern zwingend erforderlich.
• Technische und organisatorische Maßnahmen (TOMs): Anonymisierung, Trennung von Test- und Produktivumgebungen, Zugriffskontrollen, Pseudonymisierung, ggf. dezentrale Prompt-Speicherung
• Interne KI-Richtlinie: Für Mitarbeitende erstellen und kommunizieren.
• Datenschutz-Folgenabschätzung (DSFA): Bei hohen Risiken für Betroffene durchführen
• Drittlandtransfers prüfen: Kommt es zu Drittlandtransfers und wenn ja wie und für welche Daten. Bei US-Anbietern als Auftragsverarbeiter zusätzlich aktuelle und zutreffende DPF-Zertifizierung oder Standardvertragsklauseln mit Zusatzmaßnahmen und Risikobewertung des Transfers.

Trainingsdaten für KI-Modelle bedürfen besonderer Vorsicht im Datenschutz

Trainingsdaten sind Informationen, mit denen ein maschinelles Lernmodell lernt, Vorhersagen zu treffen, Muster zu erkennen oder Inhalte zu generieren.

Ein zentraler Punkt beim Thema Trainingsdaten für KI und Datenschutz ist die Frage, wer die Kontrolle über die eingegebenen Daten behält. Viele KI-Anbieter – darunter bekannte Dienste wie ChatGPT oder Claude – nutzen die von Nutzern eingegebenen Daten, um ihre KI-Modelle zu trainieren. Das bedeutet: Personenbezogene Daten aus der Organisation fließen in fremde KI-Systeme und werden dort für Zwecke verwendet, die über den ursprünglichen Verarbeitungszweck hinausgehen.

Dieses Vorgehen wirft erhebliche datenschutzrechtliche Bedenken auf:

• Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Daten, die für einen bestimmten Zweck erhoben wurden (z. B. Texterstellung, Analyse), dürfen nicht ohne weitere Rechtsgrundlage für das Training von KI-Modellen der Anbieter verwendet werden.
• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur solche Daten verarbeitet werden, die für den konkreten Zweck notwendig sind – das Training fremder KI-Modelle fällt nicht darunter.
• Auftragsverarbeitung: Wenn ein externer Anbieter Daten für eigene Zwecke (Modelltraining) nutzt, handelt es sich nicht um eine reine Auftragsverarbeitung, sondern um eine eigenständige Verarbeitung, die eine separate Rechtsgrundlage erfordert.

Empfehlung für Kommunen und Unternehmen:

• Nur Enterprise-Versionen von KI-Tools nutzen, die explizit ausschließen, dass eingegebene Daten zum Modelltraining verwendet werden.
• Keine personenbezogenen Daten in öffentliche KI-Tools eingeben.
• In AV-Verträgen explizit regeln, dass der Anbieter Daten nicht für eigenes Modelltraining nutzen darf.
• Je nach Einsatzumfang zusätzliche Regelungen zu § 203 StGB oder Sozialdaten treffen
• Mitarbeitende sensibilisieren und klare Nutzungsrichtlinien für KI-Tools kommunizieren.

Sie wollen mehr über das Thema KI in der Verwaltung erfahren? Lesen Sie im Anschluss unseren Fachartikel zu diesem Thema.

Diese KI- und Datenschutz-Risiken sollten Sie unbedingt vermeiden

Hier die drei gängigsten Risiken, die es zu vermeiden gilt:

Gegenmaßnahmen: Regelmäßige Audits, menschliche Überprüfung kritischer Entscheidungen, klare Eskalationsprozesse.

Datenschutz und KI in Kommunen: Besondere Anforderungen

Die Verbindung von KI-Nutzung und Datenschutz muss gerade in Kommunen aus folgenden Gründen genau betrachtet werden.

• Öffentliches Interesse als Rechtsgrundlage: Viele KI-Anwendungen in Kommunen basieren auf Art. 6 Abs. 1 lit. e DSGVO.
• Transparenz gegenüber Bürgern: Besonders hohe Anforderungen an Nachvollziehbarkeit und Erklärbarkeit.
• Sensible Daten: Kommunen verarbeiten oft besonders schützenswerte Daten (Sozialdaten, Gesundheitsdaten).
• Aufsichtsbehörden im Blick: Landesdatenschutzbehörden beobachten KI-Einsatz im öffentlichen Sektor genau.

Empfehlung: Nutzung eines DSGVO-konformen KI-Systems wie actaOne. Denn neben den technischen Rahmen sind zudem die rechtlichen Vorgaben insbesondere zu Barrierefreiheit, Datenschutz, Informationssicherheit, Mitbestimmung, Strafrecht, Urheberrecht, Vertragsrecht sowie der KI-Verordnung zu beachten. Die Beachtung der umfassenden Compliance Vorgaben wird durch schlüsselfertige Lösungen wie actaOne wesentlich erleichtert

Zudem empfiehlt sich die frühzeitige Einbindung des behördlichen Datenschutzbeauftragten und klare Dokumentation aller KI-Projekte.

Fazit

KI-Nutzung und Datenschutz werden – insbesondere im beruflichen Kontext – oft als Gegenspieler dargestellt. Das Gegenteil ist jedoch der Fall: Wer von Anfang an datenschutzkonform KI im Arbeitsalltag nutzt, vermeidet von vorneherein Risiken und rechtlichen Probleme. Zudem hat KI nachweislich das Potenzial, Mitarbeitende im Team erheblich zu entlasten, da beispielsweise repetitive Aufgaben oder vorbereitende Recherchen nicht mehr selbst durchgeführt, sondern lediglich auf Qualität überprüft werden müssen. So bleibt mehr Zeit für wichtigere Aufgaben, was wiederum das Vertrauen der Bürgerinnen und Bürger in die Kommune stärkt.

Mit der richtigen Struktur, klaren Richtlinien und einer proaktiven Compliance-Strategie können Kommunen KI gewinnbringend und rechtssicher einsetzen.

Häufig Gestellte Fragen

Ist KI mit Datenschutz überhaupt vereinbar?

Ja. KI und Datenschutz schließen sich nicht aus. Entscheidend ist, dass personenbezogene Daten rechtmäßig verarbeitet und Datenschutzanforderungen von Anfang an in Auswahl, Einführung und Nutzung der KI berücksichtigt werden.

Wie setze ich KI im Unternehmen datenschutzkonform um?

Prüfen Sie die Rechtsgrundlage, aktualisieren Sie Datenschutzinformationen, schließen Sie erforderliche AV-Verträge ab und setzen Sie geeignete technische und organisatorische Maßnahmen um. Hinzu kommen klare interne KI-Richtlinien, Schulungen, die Prüfung von Drittlandtransfers und – bei hohen Risiken – gegebenenfalls eine Datenschutz-Folgenabschätzung.

Ich nutze KI nicht datenschutzkonform – welche Risiken gehe ich damit ein?

Mögliche Folgen sind unzulässige Datenweitergaben, Bußgelder, Reputations- und Vertrauensverluste sowie Probleme bei der Nachvollziehbarkeit von KI-Entscheidungen. Auch diskriminierende Ergebnisse oder die unbeabsichtigte Offenlegung personenbezogener Daten können erhebliche Risiken darstellen.

Ist das Thema KI und Datenschutz in der Kommune von besonderer Relevanz? Warum?

Ja. Kommunen verarbeiten häufig sensible Bürger-, Sozial- oder Gesundheitsdaten und unterliegen hohen Anforderungen an Transparenz und Nachvollziehbarkeit. Deshalb sollten datenschutzkonforme KI-Systeme eingesetzt und der behördliche Datenschutzbeauftragte frühzeitig eingebunden werden.