AVV nach Art. 28 DSGVO für KI: Prüfleitfaden für Kommunen

Relevanz der Auftragsverarbeitung für kommunale KI-Telefonassistenten

Wenn Kommunen und Landkreise digitale Lösungen zur Entlastung ihres Bürgerservices einsetzen, verarbeiten diese Systeme sensible Informationen von Bürger:innen. Bei der Nutzung von Systemen wie dem KI-Telefonassistenten verbleibt die rechtliche Gesamtverantwortung stets bei der öffentlichen Verwaltung als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Da der externe Softwareanbieter Anfragen entgegennimmt, verarbeitet er personenbezogene Daten im Weisungsauftrag der Kommune. Artikel 28 Abs. 3 DSGVO verlangt für diese Konstellation zwingend den Abschluss eines rechtsgültigen Auftragsverarbeitungsvertrages (AVV). Dieser Vertrag stellt das rechtliche Fundament dar, das kommunalen Datenschutzbeauftragten die notwendige Prüfsicherheit bietet.

• Verantwortlichkeit der Kommune: Die Verwaltung bestimmt Zweck und Mittel der Datenverarbeitung und behält jederzeit die volle Weisungsbefugnis über alle Bürgerdaten.
• Rolle des Dienstleisters: Als Auftragsverarbeiter verarbeitet der Anwendungsanbieter Daten ausschließlich nach dokumentierter Weisung der Kommune und setzt geeignete technische sowie organisatorische Maßnahmen um.
• Rechtliche Schutzfunktion: Der AVV bindet den Auftragsverarbeiter vertraglich an strikte Vertraulichkeits- und Sicherheitsstandards und verpflichtet ihn zur Unterstützung bei Auskunftsrechten von Bürger:innen.

Für die kommunale IT-Leitung und das Kollegium bedeutet ein lückenloser AVV maximale Handlungssicherheit im Verwaltungsalltag. Lösungen, die nach dem Prinzip Privacy by Design entwickelt wurden, verarbeiten ausschließlich die für das jeweilige Telefonat erforderlichen Daten und verzichten auf eine dauerhafte Speicherung personenbezogener Bürgerdaten. Durch das Hosting auf zertifizierten Servern in Deutschland und der Europäischen Union bleibt das Datenniveau lückenlos geschützt. So gewinnen Mitarbeitende mehr Zeit und Ruhe für das Wesentliche, während kommunale Datenschutzbeauftragte die Einhaltung aller Vorgaben sicher attestieren können.

Gesetzliche Mindestinhalte eines AVV nach Artikel 28 Absatz 3 DSGVO

Bei der Einbindung eines digitalen Assistenten in die kommunale Bürgerkommunikation agiert Ihre Verwaltung als Verantwortlicher im Sinne des Datenschutzrechts. Nach Artikel 28 Absatz 3 DSGVO verlangt der Gesetzgeber zwingend einen schriftlichen oder elektronischen Auftragsverarbeitungsvertrag (AVV), der den Dienstleister rechtlich bindet. Für kommunale Datenschutzbeauftragte und IT-Verantwortliche bildet dieser Vertrag das Fundament, um die Einhaltung aller Vorgaben transparent zu dokumentieren und Risiken bei der Bürgerdatenverarbeitung auszuschließen.

Präzise Gegenstands- und Zweckbestimmung für KI-Telefonassistenten

In der Praxis erfordert ein datenschutzkonformer AVV eine exakte Abgrenzung der Verarbeitungstätigkeiten. Wird ein KI-Telefonassistent für die Verwaltung eingesetzt, müssen Gegenstand, Dauer und Zweckbindung unmissverständlich festgelegt sein. Dazu gehört die Klarstellung, dass die Datenverarbeitung ausschließlich zur Bearbeitung von Bürgeranliegen – wie der Auskunft zu Öffnungszeiten, der Aufzeichnung von Rückrufbitten oder der Terminvereinbarung – erfolgt. Eine Nutzung der eingehenden Sprach- und Textdaten für betriebsfremde Zwecke oder das Training allgemeiner KI-Modelle muss vertraglich explizit ausgeschlossen werden.

• Weisungsgebundenheit (Art. 28 Abs. 3 S. 2 lit. a DSGVO): Der Auftragsverarbeiter darf personenbezogene Daten ausschließlich auf dokumentierte Weisung der Kommune verarbeiten.
• Vertraulichkeit und Personal (Art. 28 Abs. 3 S. 2 lit. b DSGVO): Alle zur Verarbeitung befugten Personen müssen förmlich zur Verschwiegenheit verpflichtet sein.
• Sicherheitsmaßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 S. 2 lit. c DSGVO): Vertragliche Fixierung der technischen und organisatorischen Maßnahmen (TOM) zum Schutz der Daten.
• Unterauftragsverarbeiter (Art. 28 Abs. 3 S. 2 lit. d DSGVO): Einbindung weiterer Dienstleister ist nur mit vorheriger Genehmigung der Kommune zulässig.
• Löschung und Rückgabe (Art. 28 Abs. 3 S. 2 lit. g DSGVO): Nach Auftragsende oder Bereinigung sind alle Daten vollständig und datenschutzkonform zu löschen.

Ein sorgfältig ausgearbeiteter AVV gewährt Ihrem Kollegium und der Behördenleitung vollkommene Rechtssicherheit. Wenn klare Löschfristen vereinbart sind und Charly Routineanfragen eigenständig beantwortet, schafft dies in der Verwaltung spürbare Entlastung sowie mehr Zeit und Ruhe für das Wesentliche.

Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO

Gemäß Artikel 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen (TOMs) vereinbaren, um ein dem Risiko angemessenes Schutzniveau für die Bürgerdaten zu gewährleisten. Bei der Integration eines KI-Telefonassistenten in die kommunale IT-Infrastruktur stehen dabei die Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme im Mittelpunkt. Datenschutzbeauftragte in Kommunen prüfen hierbei präzise, wie Eingaben im Sprach- und Chatdialog verarbeitet und vor unbefugten Zugriffen geschützt werden.

Die Kernkomponenten wirksamer Schutzmaßnahmen im Auftragsverarbeitungsvertrag

• Verschlüsselungsstandards: Durchgängige Verschlüsselung der Sprach- und Datenübertragung (Transportverschlüsselung via TLS) sowie verschlüsselte Zwischenspeicherung, um die Vertraulichkeit von Bürgeranfragen jederzeit zu wahren.
• Zugriffskontrolle und Berechtigungskonzepte: Strikte physische und logische Zugriffsbeschränkungen, damit ausschließlich autorisiertes Personal und zugewiesene Schnittstellen der Verwaltung auf verarbeitete Dialogdaten zugreifen können.
• Systembelastbarkeit und Wiederherstellbarkeit: Robuste Serverarchitekturen zur Aufrechterhaltung des Dienstes bei hoher Anruflast sowie Verfahren zur schnellen Wiederherstellung bei technischen Störungen.
• Regelmäßige Evaluierung: Kontinuierliche Überprüfungs- und Testverfahren zur Bewertung der Wirksamkeit aller technischen und organisatorischen Schutzmaßnahmen.

Charly setzt auf das Prinzip „Privacy by Design“: Datenschutz ist von Grund auf in die Architektur integriert und nicht nachträglich aufgesetzt. Alle Dialogdaten werden ausschließlich auf zertifizierten Servern in Deutschland und der Europäischen Union verarbeitet, ohne dass personenbezogene Daten der Bürger:innen dauerhaft gespeichert werden. Diese konsequente Datensparsamkeit entlastet das Kollegium und gibt Ihrer Verwaltung die notwendige Sicherheit bei der täglichen Nutzung. Weitere Details zur Verarbeitung finden Sie in unserer Datenschutzerklärung.

Privacy by Design und Datenminimierung in Sprachdialogsystemen

Für kommunale Datenschutzbeauftragte ist die Prüfung neuer Softwaresysteme oft mit grundlegenden Bedenken verbunden, da Anrufe in der Verwaltung vertrauliche Informationen enthalten können. Nach Art. 25 DSGVO sind Verantwortliche verpflichtet, den Datenschutz bereits bei der Konzeption technischer Verfahren wirksam zu verankern. Modern konzipierte KI-Telefonassistenten setzen hier an, indem sie Sprachdialoge datensparsam und flüchtig verarbeiten, anstatt dauerhafte Bürgerprofile anzulegen.

Flüchtige Sprachverarbeitung ohne dauerhafte Speicherung

Der Charly KI-Telefonassistent verfolgt einen konsequenten Privacy-by-Design-Ansatz, bei dem keine dauerhafte Speicherung personenbezogener Daten der Anrufer:innen stattfindet. Während des Telefonats verarbeitet das System den gesprochenen Audio-Stream ausschließlich im flüchtigen Arbeitsspeicher, um das Anliegen zu verstehen, Auskünfte zu erteilen oder strukturierte Informationen wie etwa Rückrufbitten aufzunehmen. Sobald das Anliegen verarbeitet ist, werden die flüchtigen Daten gelöscht.

• Flüchtige Datenverarbeitung: Audiodaten und Transkripte verbleiben während des Dialogs im flüchtigen Speicher und werden nicht dauerhaft gespeichert.
• Hosting auf europäischen Servern: Der Betrieb erfolgt ausschließlich auf zertifizierten Servern in Deutschland und der Europäischen Union.
• Zweckgebundene Weiterleitung: Anliegen wie Mängelmeldungen oder Terminwünsche werden direkt an das zuständige Fachamt übermittelt, ohne Zwischenspeicherung beim Systemanbieter.

Durch diese klare Trennung zwischen flüchtiger Anrufverarbeitung und zielgerichteter Fachdatenübermittlung reduzieren Kommunen das datenschutzrechtliche Risiko auf ein Minimum. Für die Prüfung des Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO bedeutet diese Architektur eine spürbare Erleichterung, da der Personenbezug im Sprachdialogsystem weitestgehend vermieden wird.

Einwilligung und Transparenzpflichten nach Artikel 6 DSGVO am Telefon

Beim Einsatz automatisierter Dialogsysteme im öffentlichen Sektor stehen kommunale Datenschutzbeauftragte und IT-Verantwortliche vor spezifischen rechtlichen Vorgaben. Jede Verarbeitung personenbezogener Daten am Telefon benötigt eine tragfähige Rechtsgrundlage nach Artikel 6 DSGVO. Zudem verpflichtet das Datenschutzrecht die Verwaltung zu einer transparenten Information der Anrufenden direkt zu Beginn des Telefonats. Bürger:innen müssen klar nachvollziehen können, wer Daten erhebt, zu welchem Zweck die Verarbeitung erfolgt und wie ihre Rechte gewahrt werden.

• Strafrechtlicher Schutz (§ 201 StGB): Einhalten der Vertraulichkeit des Wortes zur verlässlichen Vermeidung strafrechtlicher Risiken für die Kommune.
• Datenminimierung & Zweckbindung: Beschränkung der Datenerhebung auf Informationen, die für die Bearbeitung des jeweiligen Anliegens zwingend benötigt werden.

Besondere Sorgfalt erfordern die strafrechtlichen Bestimmungen nach § 201 StGB, welcher die Vertraulichkeit des nichtöffentlich gesprochenen Wortes schützt. Beim Charly KI-Telefonassistent wird diese Compliance-Anforderung durch striktes Privacy by Design erfüllt: Sprachdaten werden direkt verarbeitet, ohne dass unberechtigte Audiospeicherungen erfolgen.

Sollten für spezialisierte Fachbereiche oder Anliegen wie Terminbuchungen und Rückrufbitten strukturierte Angaben erfasst werden, erfolgt dies transparent und auf das Notwendige beschränkt. Dies gibt dem Kollegium in der Verwaltung rechtliche Sicherheit und schafft nachhaltiges Vertrauen bei Bürger:innen. Details zur Datenverarbeitung erhalten Sie in unserer Datenschutzerklärung.

Einbindung von Subdienstleistern und Serverstandorten in EU und Deutschland

Für kommunale Datenschutzbeauftragte und IT-Verantwortliche ist die vertragliche Einbindung von Subdienstleistern bei KI-gestützten Systemen eine entscheidende Prüfungsaufgabe. Nach Art. 28 Abs. 4 DSGVO gilt der Grundsatz, dass einem weiteren Auftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auferlegt werden müssen, die im Hauptvertrag zwischen der Kommune und dem Hauptauftragnehmer verankert sind. Die rechtliche Verantwortung verbleibt dabei transparent beim Hauptauftragnehmer: Sollte ein Unterauftragnehmer seinen Datenschutzpflichten nicht nachkommen, haftet der Erstauftragnehmer gegenüber Ihrer Verwaltung vollumfänglich für die Erfüllung dieser Pflichten. Dies schafft klare Verhältnisse im kommunalen Beschaffungsprozess.

Informierungspflichten, Kontrollrechte und Serverstandorte in der Praxis

Ergänzend zu den vertraglichen Garantien erfordert jede geplante Änderung in der Unterauftragsverarbeitungs-Kette nach Art. 28 Abs. 2 DSGVO die vorherige Information der Kommune, damit Ihr Kollegium ein wirksames Einspruchsrecht wahrnehmen kann^[1]. Um höchste Standards bei der Datensouveränität zu gewährleisten, erfolgt der Betrieb des Charly KI-Telefonassistent ausschließlich auf zertifizierten Servern in Deutschland und der Europäischen Union. Durch diesen Privacy-by-Design-Ansatz verarbeitet die Telefon-KI nur diejenigen Informationen, die für das jeweilige Anliegen zwingend nötig sind, ohne personenbezogene Daten der Bürger:innen dauerhaft zu speichern.

Auf diese Weise fügt sich Charly vom ersten Arbeitstag an als verlässlicher digitaler Kollege in Ihre Verwaltungsprozesse ein. Während Ihre Mitarbeitenden im Bürgerbüro durch die Bearbeitung von Routineanfragen spürbar mehr Zeit und Ruhe für das Wesentliche gewinnen, verfügt Ihre Datenschutzinstanz über eine rundum rechtssichere Grundlage für die Freigabe des Systems.

Praxis-Checkliste zur Prüfung von AVV-Entwürfen für Datenschutzbeauftragte

Für kommunale Datenschutzbeauftragte steht die rechtssichere Ausgestaltung der Auftragsverarbeitung an erster Stelle. Um die gesetzlichen Vorgaben nach Artikel 28 DSGVO praxisnah und effizient zu prüfen, empfiehlt sich ein strukturiertes Vorgehen. So stellen Sie sicher, dass beim Einsatz moderner Sprachsysteme im Bürgerservice alle Datenschutzstandards von Beginn an eingehalten werden.

Schritt-für-Schritt-Prüfung im kommunalen Kontext

• Gegenstand und Dauer der Verarbeitung: Überprüfen Sie, ob der AVV den genauen Zweck (z. B. Entgegennahme von Bürgeranfragen) sowie die Verarbeitungsdauer präzise eingrenzt.
• Kategorien betroffener Personen und Daten: Stellen Sie sicher, dass verarbeitete Datenfelder eindeutig benannt sind und ein klares Löschkonzept vereinbart ist.
• Technische und organisatorische Maßnahmen (TOMs): Vergewissern Sie sich, dass konkrete Schutzmaßnahmen festgelegt sind. Dazu gehört der Betrieb auf zertifizierten Servern in Deutschland und der Europäischen Union.
• Unterauftragnehmer und Transparenz: Prüfen Sie die vollständige Liste der Dienstleister sowie die vertragliche Pflicht zur Vorabinformation bei Änderungen.
• Weisungsgebundenheit und Löschpflichten: Der Vertrag muss klar regeln, dass Datenverarbeitungen ausschließlich nach Weisung der Kommune erfolgen und nach Auftragsende vollständig gelöscht werden.

Durch diesen Prüfablauf schaffen Sie die notwendige Klarheit, damit der Charly KI-Telefonassistent Ihre Verwaltung ohne datenschutzrechtliche Bedenken entlasten kann. Ein transparenter AVV bietet Ihrem Kollegium wie auch der Amtsleitung die Sicherheit, dass Bürgerdaten verlässlich geschützt bleiben und mehr Zeit für das Wesentliche entsteht.