Darf eine Gemeinde ChatGPT nutzen? Was datenschutzkonform geht und was nicht

Was das Problem mit öffentlichen KI-Diensten ist

Wer die frei zugängliche Version eines Chat-Dienstes nutzt, schließt in der Regel keinen Auftragsverarbeitungsvertrag ab. Die Eingaben können, je nach Einstellung und Anbieter, zur Verbesserung der Modelle verwendet werden, und die Verarbeitung findet oft außerhalb der EU statt. Für allgemeine Fragen ist das unproblematisch. Für einen Bauantrag mit Namen und Grundstücksnummer, ein Protokoll der Gemeinderatssitzung mit Personenbezug oder eine Bürgeranfrage mit Gesundheitsdaten ist es das nicht.

Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage, einen Vertrag mit dem Verarbeiter, technische und organisatorische Schutzmaßnahmen und die Möglichkeit, Auskunft zu geben und Daten zu löschen. Das lässt sich mit einem öffentlichen Gratis-Chat nicht sauber abbilden.

Was eine Gemeinde ohne Bedenken tun darf

Es gibt viele Aufgaben, bei denen keine personenbezogenen Daten anfallen:

• Textentwürfe für die Gemeindezeitung, die Website oder Aussendungen.
• Zusammenfassungen von öffentlich zugänglichen Gesetzestexten, Förderrichtlinien oder Verordnungen.
• Formulierungshilfen für allgemeine Antwortschreiben ohne Fallbezug.
• Ideen für Veranstaltungen, Checklisten, Tagesordnungen.

Dafür reicht ein öffentlicher Dienst, solange niemand Namen, Aktenzeichen oder Fallinhalte hineinkopiert. Genau hier liegt das Risiko: Die Regel muss allen Mitarbeitern bekannt sein, und in der Praxis wird sie unter Zeitdruck gebrochen.

Was eine geschützte KI-Umgebung anders macht

Eine geschützte KI-Umgebung, oft „ChatGPT für Firmen und Gemeinden“ genannt, funktioniert für die Mitarbeiter wie ein gewohnter Chat. Der Unterschied liegt im Hintergrund:

• Auftragsverarbeitung und EU-Hosting. Die Gemeinde schließt einen Vertrag mit einem Anbieter, der die Daten in der EU verarbeitet. Auf Wunsch läuft das Modell auf eigenen Servern.
• Kein Training mit Ihren Daten. Eingaben und Dokumente werden nicht zur Modellverbesserung verwendet und nicht an Dritte weitergegeben.
• Rollen und Rechte. Die Amtsleitung sieht andere Dokumente als der Bauhof. Wer was hochladen und abrufen darf, wird vorab festgelegt.
• Protokollierung. Es ist nachvollziehbar, wer wann welche Frage gestellt hat. Das ist bei einer Datenschutzprüfung Gold wert.
• Wissensspeicher. Verordnungen, interne Richtlinien, häufige Bürgeranfragen und frühere Antworten werden als Wissensbasis nutzbar, mit Quellenangabe in jeder Antwort.

In so einer Umgebung dürfen Mitarbeiter auch mit sensiblen Unterlagen arbeiten, etwa einen Vertrag zusammenfassen oder einen Bescheid-Entwurf vorbereiten. Die Entscheidung und die Unterschrift bleiben beim Menschen.

Der KI-Act kommt dazu

Seit Februar 2025 gilt aus der EU-KI-Verordnung die Pflicht, dass Personen, die KI-Systeme einsetzen, über ausreichende KI-Kompetenz verfügen. Für Gemeinden heißt das praktisch: eine kurze Schulung, eine schriftliche Nutzungsrichtlinie und die Festlegung, welche Aufgaben KI übernehmen darf und welche nicht. Das ist kein Hexenwerk, es muss nur einmal sauber aufgesetzt werden.

So gelingt der Einstieg in fünf Schritten

1. Anwendungsfälle sammeln. Welche Aufgaben kosten im Amt am meisten Zeit? Häufig: Bürgeranfragen per E-Mail, Protokolle, Textentwürfe, Suche in alten Beschlüssen.
2. Datenarten festlegen. Welche Dokumente dürfen in die Umgebung, welche nicht? Daraus ergeben sich Rollen und Rechte.
3. Umgebung einrichten. Geschützte KI-Umgebung mit EU-Hosting, Auftragsverarbeitungsvertrag, Wissensspeicher aus den freigegebenen Quellen.
4. Pilot mit echten Aufgaben. Zwei bis drei Mitarbeiter arbeiten vier Wochen damit. Was hilft, bleibt. Was nicht hilft, fliegt raus.
5. Richtlinie und Schulung. Eine Seite Regeln, eine Stunde Schulung, ein Ansprechpartner. Danach die Ausweitung auf weitere Abteilungen.

Aus der Praxis: In Abstimmung mit einer Gemeinde in Niederösterreich planen wir aktuell eine Telefon-KI für die Vermittlung und eine lokal betriebene KI für interne Dokumente. Der erste Schritt war nicht die Technik, sondern eine Liste der zehn häufigsten Bürgeranfragen.

Was das kostet

Die Kosten hängen von der Zahl der Nutzer und davon ab, ob die KI bei einem EU-Anbieter oder auf eigenen Servern läuft. Für eine kleine Gemeindeverwaltung liegt der Einstieg typischerweise bei einem einmaligen Einrichtungsbetrag im niedrigen vierstelligen Bereich und laufenden Kosten pro Nutzer und Monat, die sich mit einem Softwareabo vergleichen lassen. Im Erstgespräch rechnen wir das für Ihre Gemeinde konkret durch. Förderungen für Digitalisierungsprojekte gibt es in Niederösterreich ebenfalls, dazu mehr im Artikel zu Förderungen.

Häufige Fragen

Braucht die Gemeinde eine Datenschutz-Folgenabschätzung?

Bei der Verarbeitung sensibler Daten in größerem Umfang kann eine Folgenabschätzung nötig sein. Wir bereiten die technische Beschreibung dafür mit auf, die rechtliche Bewertung macht der Datenschutzbeauftragte der Gemeinde.

Kann die KI falsche Antworten geben?

Ja. Deshalb zeigt die geschützte Umgebung bei jeder Antwort die Quelle aus dem Wissensspeicher an, und Entwürfe werden immer von einem Mitarbeiter geprüft, bevor etwas nach außen geht.

Muss die Gemeinde eigene Server kaufen?

Nein. Für die meisten Gemeinden reicht ein EU-Anbieter mit Vertrag. Eigene Server sind sinnvoll, wenn besonders sensible Daten verarbeitet werden oder die Gemeinde die volle Kontrolle haben will.

Kostenlos und unverbindlich

Sollen wir das für Ihren Betrieb durchrechnen?

Im kostenlosen Erstgespräch (30 Minuten) schauen wir auf Ihre konkrete Situation und sagen Ihnen ehrlich, was sich lohnt und was nicht. Danach bekommen Sie einen Vorschlag mit Preis.

Erstgespräch vereinbaren ↗︎Zur Leistung: KI & Automatisierung

Ing. Michael Traxler · Geschäftsführer