Ein Beitrag von GROSS Rechtsanwaltsgesellschaft mbH

Wer heute Verwaltungssoftware nutzt, nutzt meist schon KI: bei der Belegerkennung, im Chat-Assistenten, im Textvorschlag. Für diesen Alltagseinsatz verlangt das Recht deutlich weniger, als viele befürchten.

Dieser Beitrag sortiert die Pflichten in drei Gruppen: was entfällt, was Pflicht ist und wo Vorsicht geboten ist.

Für KI als gewöhnliches Arbeitsmittel entfallen fünf Dinge, die häufig vermutet werden.

• Keine neuen Verträge, Einwilligungen oder Eigentümerbeschlüsse. KI-Software ist rechtlich ein Arbeitsmittel wie eine Textverarbeitung. Rechtsgrundlage für personenbezogene Daten ist in aller Regel das berechtigte Interesse an einer effizienten, qualitätsgesicherten Verwaltung (Art. 6 Abs. 1 lit. f DSGVO). Miet- und Verwaltungsverträge bleiben unverändert.

• Keine KI-Haftungsklausel. Gegenüber dem Auftraggeber haften Sie wie bei jeder anderen Software nach den allgemeinen Regeln. Eine Sonderregel ist weder nötig noch ratsam.

• Keine Hochrisiko-Pflichten bei Assistenzfunktionen. Korrespondenz, Rechnungsklassifikation, Termin- und Handwerkerkoordination oder Vorschläge zur Betriebskostenabrechnung fallen nicht unter Anhang III der KI-Verordnung (KI-VO).

• Keine Kennzeichnung der üblichen Schreiben. Verwaltungskorrespondenz, Einladungen zur Eigentümerversammlung und Beschlussvorlagen dienen nicht der öffentlichen Meinungsbildung. Sie müssen nicht als KI-erstellt markiert werden.

• In der Regel keine Datenschutz-Folgenabschätzung (DSFA). Bei reinen Assistenzfunktionen für herkömmliche Verwaltungsaufgaben ist sie nicht anzunehmen. Ausnahmen stehen weiter unten.

Auch ohne Einwilligung bleiben neun Punkte, die Sie vor dem Einsatz erledigen sollten.

1. Interessenabwägung dokumentieren. Halten Sie je Zweck schriftlich fest, warum Ihr berechtigtes Interesse überwiegt: Manuelle Abläufe wären nicht gleich zeitnah und fehlerarm, und der Eingriff bleibt auf gewöhnliche Kontakt-, Vertrags- und Vorgangsdaten beschränkt.

2. Datenschutzhinweise ergänzen (Art. 13, 14 DSGVO). Nennen Sie die Zwecke samt Rechtsgrundlage und den KI-Dienstleister als Empfänger. Bei Anbietern außerhalb der EU gehört der Drittlandtransfer mit seiner Grundlage dazu, etwa Zertifizierung nach dem EU-U.S. Data Privacy Framework oder Standardvertragsklauseln.

3. Verarbeitungsverzeichnis anpassen (Art. 30 DSGVO). Tragen Sie Einsatzzweck, Anbieter als Empfänger (er hat meist zumindest Support-Zugriff) und Drittlandbezüge ein.

4. Auftragsverarbeitungsvertrag abschließen (Art. 28 DSGVO). Zusätzlich zum Softwarevertrag. Er stellt sicher, dass der Anbieter nur auf Ihre Weisung und nicht zu eigenen Zwecken arbeitet. Die technischen und organisatorischen Maßnahmen müssen konkret benannt sein.

5. Löschkonzept prüfen. Sind die KI-gestützten Vorgänge erfasst, und gelten abweichende Speicherfristen?

6. Betroffenenrechte sicherstellen (Art. 15 bis 22 DSGVO). Verschaffen Sie sich vorab eine Übersicht über Datenfluss und Speicherorte von Eingaben, Ergebnissen und abgeleiteten Informationen, damit Auskunft und Löschung möglich bleiben. Der Anbieter muss Sie dabei unterstützen (Art. 28 Abs. 3 S. 2 lit. e DSGVO).

1. Mitarbeiter schulen (Art. 4 KI-VO). Schulen Sie zu den tatsächlich eingesetzten Systemen und vermitteln Sie Grundwissen: Ergebnisse immer auf Richtigkeit prüfen, weil KI mitunter Fakten und Quellen falsch angibt. Eingaben gezielt formulieren. In frei zugängliche Tools nichts Vertrauliches und nichts Personenbezogenes eingeben. Ein Zertifikat oder Schulungsformat schreibt die KI-VO nicht vor, Sie müssen aber angemessene Maßnahmen nachweisen können.

2. KI-Policy einführen. Legen Sie intern fest, welche Anwendungen erlaubt oder untersagt sind, wer welches System wofür nutzen darf und wer den Einsatz überwacht und Vorfälle eskaliert. Das erleichtert den Nachweis.

3. Ergebnisse vor dem Versand prüfen lassen. Wählen Sie den Anbieter sorgfältig, regeln Sie die Zusammenarbeit klar und lassen Sie KI-Texte vor dem Versand nach außen von einem Mitarbeiter durchsehen. 

In fünf Konstellationen reicht das Basisprogramm nicht.

• Einwilligung oder zusätzliche Regelung. Nötig, wenn besondere Datenkategorien verarbeitet werden (etwa biometrische Daten zur Zutrittskontrolle), die KI allein mit rechtlicher Wirkung entscheidet (etwa über Vertragsabschluss oder Kündigung) oder Profiling stattfindet bzw. Daten über den Verwaltungszweck hinaus genutzt werden, zum Beispiel für Zwecke des Anbieters. Bei automatisierten Entscheidungen informieren Sie zusätzlich über die Logik sowie Bedeutung und Folgen.

• Datenschutz-Folgenabschätzung. Sie liegt nahe, wenn die KI persönliche Aspekte systematisch bewertet und das Ergebnis Grundlage rechtlicher Entscheidungen wird, etwa bei der automatisierten Priorisierung von Mietinteressenten, oder wenn in großem Umfang sensible Daten wie Gesundheitsdaten verarbeitet werden. Gelegentliche oder beiläufige Gesundheitsdaten im Verwaltungsbetrieb genügen dafür nicht. Bei Chatbots, die personenbezogene Daten zur Gesprächssteuerung oder individuellen Beratung verarbeiten, ist sie nach der Blacklist der Datenschutzkonferenz grundsätzlich erforderlich. Entscheiden Sie stets im Einzelfall.

• Bonitätsprüfung ist Hochrisiko-KI. KI-Systeme, die die Kreditwürdigkeit natürlicher Personen bewerten, gelten nach Anhang III Nr. 5 lit. b KI-VO grundsätzlich als Hochrisiko-KI, auch bei Mietinteressenten und Mietern. Als Betreiber müssen Sie dann die Pflichten nach Art. 26 KI-VO erfüllen: Betrieb nach Gebrauchsanweisung, menschliche Aufsicht, Kontrolle der Eingabedaten. Eine Ausnahme nach Art. 6 Abs. 3 KI-VO kommt in Betracht, wenn die KI nur Informationen aufbereitet und die Bewertung beim Menschen bleibt. Lassen Sie die Risikoklasse vor dem Einsatz prüfen.

• Chatbots und Transkriptionstools. Die Pflicht, als KI erkennbar zu sein (Art. 50 Abs. 1 KI-VO), und die maschinenlesbare Kennzeichnung veränderter Inhalte, etwa bei inhaltlichen Zusammenfassungen (Art. 50 Abs. 2 KI-VO), treffen den Anbieter der Software, nicht den Verwalter. Das gilt nicht, wenn Sie sich KI-Funktionen individuell herstellen lassen und dadurch selbst Anbieter werden. Prüfen Sie, ob Ihre Software die Pflichten erfüllt. Holen Sie außerdem vor jeder Aufzeichnung von Besprechungen eine Einwilligung ein, sonst droht Strafbarkeit nach § 201 StGB.

• KI-Texte für die Öffentlichkeit. Veröffentlichen Sie KI-Texte, die über Angelegenheiten von öffentlichem Interesse informieren (etwa Blog- oder Social-Media-Beiträge), müssen Sie sie als Betreiber kennzeichnen (Art. 50 Abs. 4 S. 4 KI-VO). Das entfällt, wenn ein Mitarbeiter den Text prüft und die redaktionelle Verantwortung übernimmt (S. 5). Dokumentieren Sie diese Prüfung. Deepfakes sind in der Verwaltung kaum relevant, wären aber ebenfalls zu kennzeichnen.

Wichtig für alle Hinweise nach Art. 50 KI-VO: Die betroffenen Personen müssen sie spätestens bei der ersten Interaktion oder Konfrontation klar und eindeutig erhalten (Art. 50 Abs. 5 KI-VO).

KI im Verwaltungsalltag braucht keine neuen Verträge, Beschlüsse oder Haftungsklauseln, wohl aber saubere Datenschutz-Dokumentation, geschulte Mitarbeiter und eine KI-Policy. Genau prüfen müssen Sie dort, wo KI Menschen bewertet, allein entscheidet oder Gespräche aufzeichnet.

 

Autorin: Tanja Zerull, GROSS Rechtsanwaltsgesellschaft mbH