TWS UnternehmensberatungPlanungsbüro für Informations- und Telekommunikationstechnik +49 2355 5091551

Lokale KI in der Verwaltung: Datenschutz, Personalrat und Dienstvereinbarung

Thomas Svilar Erschienen

In einer Stadtverwaltung läuft die Erprobung eines Sprachmodells seit zwei Wochen gut. Ein Sprachmodell ist ein Programm der Künstlichen Intelligenz (KI), das Texte liest und schreibt, hier im eigenen Haus betrieben. Dann fragt der Personalrat, was das Testsystem eigentlich speichert. Die Antwort der Abteilung für Informationstechnik (IT) ist ehrlich: jede Eingabe und jede Antwort, mit Benutzername und Uhrzeit, damit sich Fehler nachvollziehen lassen. Der Personalrat verlangt, die Erprobung bis zu einer Vereinbarung auszusetzen. Er hat damit recht, und das Vorhaben verliert Monate, die mit einem Gespräch zu Beginn nicht verloren gewesen wären.

Dieser Ratgeber ist Teil 3 der Reihe „Lokale KI in der Verwaltung“. Teil 1 beschreibt, was ein lokal betriebenes Sprachmodell heute leistet, Teil 2 Hardware und Betrieb im eigenen Rechenzentrum, Teil 4 die herstellerneutrale Ausschreibung.

Ich bin Fachplaner, kein Rechtsanwalt. Die folgenden Punkte zeigen, was zu klären ist. Die rechtliche Bewertung im Einzelfall treffen Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter und, wo nötig, Ihr Rechtsamt.

Lokal heißt nicht automatisch datenschutzgerecht

Der Betrieb im eigenen Haus löst eine wichtige Frage: Ihre Eingaben gehen nicht an einen Dienst im Netz, und Sie brauchen keinen Vertrag mit einem fremden Anbieter, der Ihre Daten verarbeitet. Die übrigen Pflichten der Datenschutz-Grundverordnung (DSGVO), des Datenschutzgesetzes der Europäischen Union (EU), bleiben bestehen. Sie gelten für ein Sprachmodell im Keller genauso wie für jedes Fachverfahren. Sobald in Eingaben, Unterlagen oder Protokollen Namen, Aktenzeichen oder andere Angaben zu Personen stehen, verarbeiten Sie personenbezogene Daten.

Zweck und Rechtsgrundlage

Legen Sie schriftlich fest, wofür das System genutzt wird, etwa „Zusammenfassung von Besprechungsprotokollen im Hauptamt“. Ein festgelegter Zweck begrenzt, was eingegeben werden darf, und er ist die Grundlage für alles Weitere: Rechtsgrundlage, Löschfristen, Folgenabschätzung und Dienstvereinbarung.

Für Behörden fällt die bequeme Rechtsgrundlage der „berechtigten Interessen“ aus. Art. 6 Abs. 1 Unterabs. 2 DSGVO schließt sie für die Erfüllung ihrer Aufgaben aus. Sie stützen sich in der Regel auf Art. 6 Abs. 1 Buchst. e DSGVO, die Wahrnehmung einer Aufgabe im öffentlichen Interesse. Das setzt nach Art. 6 Abs. 3 eine Vorschrift im Recht des Bundes oder Landes voraus, in Nordrhein-Westfalen (NRW) etwa § 3 Abs. 1 des Datenschutzgesetzes NRW (DSG NRW). Das Sprachmodell ist dabei ein Hilfsmittel für eine Aufgabe, die Sie ohnehin erfüllen. Die Rechtsgrundlage folgt also aus der Aufgabe, nicht aus dem Werkzeug.

Verzeichnis, Löschfristen und Protokolle

Verzeichnis. Tragen Sie die Verarbeitung in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO ein, mit Zweck, betroffenen Personen, Art der Daten und Löschfristen.

Löschfristen. Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist (Art. 5 Abs. 1 Buchst. e DSGVO). Für ein Sprachmodell heißt das: Eingaben und Antworten löschen, sobald das Ergebnis in die Akte übernommen ist. Abschriften von Gesprächen löschen, sobald die Zusammenfassung geprüft ist, falls nicht ein Grund besteht, sie aufzubewahren. Legen Sie die Fristen fest, bevor das System läuft, und lassen Sie die Löschung technisch geschehen statt von Hand.

Protokolle. Hier treffen zwei berechtigte Wünsche aufeinander. Die IT möchte Fehler nachvollziehen, und die DSGVO verlangt, die Verarbeitung abzusichern und das nachweisen zu können (Art. 32). Jedes Protokoll mit Benutzername und Inhalt macht aber zugleich sichtbar, wer wann wie viel womit gearbeitet hat. Ein vernünftiger Ausgleich:

  • Technische Protokolle (Betriebszustand, Fehlermeldungen, Auslastung) ohne Inhalte und ohne Benutzerbezug, wo es geht.
  • Inhaltsprotokolle nur, wenn ein Zweck sie verlangt, so kurz wie möglich aufbewahrt.
  • Zugriff auf Protokolle mit Benutzerbezug nur aus festgelegtem Anlass, zu zweit und mit Kenntnis des Personalrats.
  • Keine Auswertung, die Beschäftigte miteinander vergleicht.

Brauchen Sie eine Datenschutz-Folgenabschätzung?

Eine Datenschutz-Folgenabschätzung ist eine schriftliche Prüfung der Risiken für die betroffenen Personen. Art. 35 DSGVO verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat, etwa bei umfassender Bewertung persönlicher Aspekte, bei umfangreicher Verarbeitung besonders geschützter Daten wie Gesundheitsangaben und in den Fällen, die Ihre Aufsichtsbehörde auf ihre Liste gesetzt hat (Art. 35 Abs. 4).

Ein Sprachmodell, das interne Besprechungsprotokolle zusammenfasst, liegt oft darunter. Eines, das Abschriften von Bürgergesprächen verarbeitet, Unterlagen aus dem Sozialamt durchsucht oder Anträge vorsortiert, liegt oft darüber. Sehen Sie sich die Liste Ihrer Aufsichtsbehörde an. Im Zweifel erstellen Sie die Folgenabschätzung. Sie zwingt dazu, Zweck, Daten, Risiken und Schutzmaßnahmen einmal vollständig aufzuschreiben, und genau diese Unterlage brauchen Sie ohnehin für Personalrat und Dienstvereinbarung.

Was bedeutet Art. 22 DSGVO für Sie?

Art. 22 DSGVO begrenzt Entscheidungen, die ausschließlich automatisiert fallen und Menschen erheblich betreffen. Für die Verwaltung heißt das praktisch: Das Sprachmodell bereitet vor, ein Mensch entscheidet. Das muss im Alltag auch so sein. Wenn eine Sachbearbeiterin bei hundert Vorschlägen hundertmal auf „übernehmen“ drückt, ohne zu prüfen, ist die menschliche Entscheidung nur noch Schein. Planen Sie deshalb Zeit für die Prüfung ein und schulen Sie die Beschäftigten darin, Vorschläge kritisch zu lesen.

Wann bestimmt der Personalrat mit?

Ein Sprachmodell mit Protokollen ist fast immer eine technische Einrichtung im Sinne des Personalvertretungsrechts. Welches Gesetz gilt, hängt vom Dienstherrn ab.

  • Bund: Nach § 80 Abs. 1 Nr. 21 des Bundespersonalvertretungsgesetzes (BPersVG) bestimmt der Personalrat mit bei Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen.
  • Länder und Kommunen: Hier gilt das Personalvertretungsgesetz des Landes. In NRW bestimmt der Personalrat nach § 72 Abs. 3 Nr. 2 des Landespersonalvertretungsgesetzes (LPVG NRW) mit bei Einführung, Anwendung und Erweiterung technischer Einrichtungen, es sei denn, ihre Eignung zur Überwachung ist ausgeschlossen.

Bei einem System, das Eingaben mit Benutzernamen speichert, ist diese Eignung kaum auszuschließen. Beziehen Sie den Personalrat deshalb vor der Erprobung ein, nicht erst vor dem Echtbetrieb. Eine Erprobung mit echten Beschäftigten ist bereits eine Anwendung.

Was gehört in eine Dienstvereinbarung?

Eine Dienstvereinbarung ist ein schriftlicher Vertrag zwischen Dienststelle und Personalrat. Sie macht aus den Fragen oben verbindliche Regeln. Eine bewährte Gliederung:

  1. Gegenstand und Geltungsbereich: welches System, welche Ämter, welche Beschäftigten
  2. Zweck und erlaubte Aufgaben: abschließende Liste, Erweiterung nur mit Zustimmung des Personalrats
  3. Ausgeschlossene Nutzung: keine Leistungs- und Verhaltenskontrolle, keine Bewertung oder Rangfolge von Beschäftigten, keine Auswertung von Arbeitsmenge oder Arbeitszeit
  4. Daten: was eingegeben werden darf und was nicht
  5. Protokolle: was protokolliert wird, wie lange, wer zugreift, aus welchem Anlass, zu zweit
  6. Löschung: Fristen für Eingaben, Antworten, Abschriften und Protokolle
  7. Verantwortung: Ergebnisse sind Entwürfe, die Verantwortung bleibt beim Menschen, Kennzeichnung von Texten, die mit dem Modell entstanden sind
  8. Schulung: Inhalt, Umfang und Zeitpunkt
  9. Änderungen: Unterrichtung des Personalrats bei Modellwechsel, neuen Aufgaben oder neuen Protokollen
  10. Rechte der Beschäftigten: Ansprechstelle, Beschwerdeweg, Verwertungsverbot für Erkenntnisse aus unzulässiger Auswertung
  11. Überprüfung, Laufzeit und Kündigung

Dazu gehört eine Dienstanweisung, welche KI-Dienste erlaubt sind und welche Daten nie in einen Dienst im Netz gehören. Sie betrifft alle Beschäftigten, auch die, die das lokale System nicht nutzen.

Was verlangt die KI-Verordnung?

Die Verordnung (EU) 2024/1689, kurz KI-Verordnung, gilt stufenweise und wurde durch die Verordnung (EU) 2026/1744 geändert. Für ein lokales Sprachmodell in der Verwaltung sind heute diese Punkte zu klären:

  • KI-Kompetenz (Art. 4): Seit dem 2. Februar 2025 treffen Betreiber Maßnahmen, die die KI-Kompetenz ihrer Beschäftigten fördern. Schulung und Dienstanweisung sind solche Maßnahmen.
  • Verbotene Praktiken (Art. 5): Sie gelten seit dem 2. Februar 2025. Dazu gehört, Emotionen von Beschäftigten am Arbeitsplatz mit KI zu erkennen, von engen Ausnahmen abgesehen.
  • Transparenz (Art. 50): Seit dem 2. August 2026 gilt, dass Menschen spätestens bei der ersten Interaktion erfahren, wenn sie mit einem KI-System sprechen oder schreiben, es sei denn, das ist offensichtlich. Für ein Schreibwerkzeug, das nur Ihre geschulten Beschäftigten nutzen, ist es das meist. Für einen Dienst, über den Bürgerinnen und Bürger schreiben, nicht. Für die maschinenlesbare Kennzeichnung künstlich erzeugter Inhalte (Art. 50 Abs. 2) gilt bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, eine Übergangsfrist bis zum 2. Dezember 2026.
  • Ihre Rolle: Wer ein System selbst zusammenstellt und unter eigenem Namen in Betrieb nimmt, kann nach der Begriffsbestimmung in Art. 3 Nr. 3 selbst Anbieter sein, mit eigenen Pflichten. Bei lokaler KI, die Sie aus frei herunterladbaren Teilen aufbauen, ist das eine echte Frage.
  • Hochrisiko: Bewertet das System Anträge oder bereitet es Entscheidungen über öffentliche Leistungen vor, kann es ein Hochrisiko-System nach Anhang III sein. Die Pflichten dafür gelten ab dem 2. Dezember 2027, ebenso die Grundrechte-Folgenabschätzung nach Art. 27.

Weil sich Fristen geändert haben und weiter ändern können, prüfen Sie den Stand zum Zeitpunkt Ihrer Entscheidung. Mehr zur Einstufung steht im Ratgeber KI in der Verwaltung, zu Sprachassistenten am Telefon im Ratgeber KI-Telefonassistent im Bürgeramt.

Wie gehen Sie vor?

  1. Zweck festlegen. Schriftlich, so eng wie möglich, mit den Daten, die dafür nötig sind.
  2. Datenschutzbeauftragte einbeziehen. Von Anfang an, nicht erst zur Freigabe.
  3. Personalrat einbeziehen. Vor der Erprobung, mit dem Entwurf der Protokollregeln.
  4. Folgenabschätzung prüfen. Liste der Aufsichtsbehörde ansehen, im Zweifel erstellen.
  5. Verzeichnis und Löschfristen. Eintrag anlegen, Fristen festlegen, Löschung technisch einrichten.
  6. Dienstvereinbarung und Dienstanweisung. Nach der Gliederung oben, vor dem Echtbetrieb.
  7. KI-Verordnung. Schulung planen, Transparenz und Einstufung prüfen und das Ergebnis schriftlich festhalten.

Die Prüffragen dazu stehen in der Arbeitshilfe Lokale KI in der Verwaltung: Prüffragen vor dem Einsatz. Wie ich Sie bei der Vorprüfung begleite, steht auf der Seite KI-Beratung.

Unterstützung bei Ihrem Vorhaben

Ich berate Verwaltungen zum souveränen Arbeitsplatz und zu KI-Systemen, bei denen Ihre Daten unter Ihrer Kontrolle bleiben, ob im eigenen Haus, bei Ihrem kommunalen IT-Dienstleister oder bei einem geprüften europäischen Anbieter. Ich verkaufe keine Technik und vertrete allein Ihre Interessen als Auftraggeber. Sie können mich auch für einzelne Leistungsphasen beauftragen.

Fachplanung ist eine freiberufliche Leistung. Unterhalb der EU-Schwellenwerte gilt dafür je nach Land § 50 UVgO oder eigenes Landesrecht; Kommunen in Nordrhein-Westfalen vergeben seit 2026 nach § 75a GO NRW und gegebenenfalls nach ihrer eigenen Vergabesatzung. Ob eine Direktvergabe möglich ist, hängt davon ab, was in Ihrem Land und Ihrer Kommune gilt; ich nenne Ihnen gern den üblichen Weg.

Zum Weiterlesen

Thomas Svilar, Fachplaner für Informations- und Telekommunikationstechnik
Telefon +49 2355 5091551
Über mich

Stand: November 2026. Gesetze, Normen und Wertgrenzen ändern sich. Prüfen Sie vor Verfahrensbeginn die jeweils geltende Fassung und die Vorgaben Ihres Landes.

Vorhaben besprechen

Schildern Sie mir kurz, worum es geht und wo Sie stehen. Das erste Gespräch ist kostenfrei.

Rückruf innerhalb von 24 Stunden an Werktagen. Telefon +49 2355 5091551.

Felder mit „Pflicht“ brauche ich, um Ihnen antworten zu können.

Zum Beispiel: Ersatz der Telefonanlage an drei Standorten mit rund 400 Anschlüssen.

Wo steht Ihr Vorhaben? (Pflicht)

Zum Beispiel: Ausschreibung bis März 2027.

Ihre Angaben verwende ich nur, um Ihre Anfrage zu beantworten. Näheres steht in der Datenschutzerklärung.

Was wir im ersten Gespräch klären

  • was Sie vorhaben und bis wann es fertig sein soll
  • welche Unterlagen und Bestandsdaten schon vorliegen
  • welches Vergabeverfahren in Frage kommt
  • welche Leistungen Sie von mir brauchen und wie ich sie abrechne

Lieber gleich sprechen? Rufen Sie mich an: +49 2355 5091551. Ich rufe innerhalb von 24 Stunden an Werktagen zurück.