Welche Rechtsgrundlagen für Bürgertelefonate infrage kommen
Die telefonische Erreichbarkeit ist für Städte, Gemeinden und Landkreise der zentrale Kanal im täglichen Bürgerservice. Wenn Digitalisierungsbeauftragte und Hauptämter administrative Routineanfragen über automatisierte Telefonsysteme steuern möchten, steht die Klärung der datenschutzrechtlichen Grundlage an erster Stelle. Jede Verarbeitung personenbezogener Daten im kommunalen Kontext ist nur rechtmäßig, wenn mindestens eine der Bedingungen des Art. 6 Abs. 1 DSGVO erfüllt ist, wobei für öffentliche Stellen in erster Linie die Erforderlichkeit zur Wahrnehmung einer öffentlichen Aufgabe nach Buchstabe e in Betracht kommt[1]. Dieser Beitrag zeigt, auf welcher Rechtsgrundlage ein KI-Telefonat in der Kommune steht und wie der Charly KI-Telefonassistent die Anforderungen technisch umsetzt.
In der kommunalen Praxis stehen zwei grundlegende Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO im Fokus: die Wahrnehmung einer Aufgabe im öffentlichen Interesse nach Art. 6 Abs. 1 lit. e DSGVO und die ausdrückliche Einwilligung der anrufenden Person nach Art. 6 Abs. 1 lit. a DSGVO. Andere Tatbestände wie vertragliche Notwendigkeiten oder berechtigte Interessen greifen für Hoheitsträger im Regelfall nicht: Im Anschluss an den Katalog des Art. 6 Abs. 1 DSGVO heißt es ausdrücklich, dass Unterabsatz 1 Buchstabe f nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung gilt[1].
| Rechtsgrundlage nach Art. 6 DSGVO | Relevanz für Kommunen | Praxisbeispiel im Bürgerservice |
|---|---|---|
| Art. 6 Abs. 1 lit. e (Öffentliche Aufgabe) | Regelfall für die allgemeine Verwaltung | Auskunft zu Öffnungszeiten, Unterlagen für Personalausweis, Terminvergabe |
| Art. 6 Abs. 1 lit. a (Einwilligung) | Erforderlich bei sensiblen Daten oder Audioaufnahmen | Freiwillige Aufzeichnung zur Qualitätssicherung, Erfassung von Gesundheitsdaten |
| Art. 6 Abs. 1 lit. b (Vertragserfüllung) | Ausnahmefall (überwiegend kommunale Eigenbetriebe) | Vertragsabwicklung bei Stadtwerken oder kommunalen Versorgungsbetrieben |
| Art. 6 Abs. 1 lit. f (Berechtigtes Interesse) | Für Behörden gesetzlich ausgeschlossen | Keine Anwendung im hoheitlichen Bürgerservice der Kernverwaltung |
Die Wahl der passenden Rechtsgrundlage bestimmt die gesamte Architektur des Telefonsystems, von den vorgeschalteten Hinweistexten bis hin zur Ausgestaltung der technischen Löschroutinen.
Wie die öffentliche Aufgabe als Grundlage trägt
Für die kommunale Verwaltung bildet Art. 6 Abs. 1 Buchstabe e DSGVO das rechtliche Fundament für standardisierte Telefonauskünfte. Im Wortlaut ist eine Verarbeitung demnach rechtmäßig, wenn „die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“. Kommunen erfüllen mit der Bereitstellung eines funktionierenden, erreichbaren Bürgerservice eine gesetzliche Kernaufgabe der Daseinsvorsorge und des Verwaltungsverfahrensrechts.
Wenn Bürger:innen im Bürgerbüro, in der Führerscheinstelle oder im Bauamt anrufen, um Zuständigkeiten, notwendige Unterlagen oder Öffnungszeiten zu erfragen, dient das Gespräch unmittelbar der behördlichen Aufgabenwahrnehmung. Auch die Entgegennahme von Rückrufbitten oder die automatisierte Buchung von Vorspracheterminen ist eine organisatorische Hilfstätigkeit, die dieser Aufgabenerfüllung dient, sofern sie sich auf das dafür Erforderliche beschränkt.
- Zweckbindung: Die Datenverarbeitung muss zwingend auf die Bearbeitung des konkreten Bürgeranliegens beschränkt bleiben.
- Erforderlichkeit: Es dürfen nur jene Kontaktdaten erfasst werden, die für die Fallbearbeitung notwendig sind, etwa Name, Telefonnummer und Fachanliegen.
- Kein Erfordernis einer Vorab-Einwilligung: Solange keine Tonaufnahmen gespeichert werden, bedarf die reine Anliegensaufnahme keiner gesonderten Einwilligungserklärung.
Die Datenschutzkonferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) stellt in ihrem Kurzpapier Nr. 20 zur Einwilligung klar, dass eine Einwilligung regelmäßig keine gültige Rechtsgrundlage liefert, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht und es deshalb unwahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde[2][3]. Für die Verwaltung bedeutet das: Wo eine gesetzliche Befugnisnorm die Verarbeitung trägt, sollte den Anrufenden keine fiktive Wahlfreiheit über eine Einwilligung suggeriert werden.
Wann eine Einwilligung nötig wird
Obwohl die Wahrnehmung öffentlicher Aufgaben den weitaus größten Teil der kommunalen Telefonkommunikation trägt, existieren klar abgegrenzte Konstellationen, in denen eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO zwingend vorgeschrieben ist. Eine pauschale Annahme, dass im Rathaus niemals eine Einwilligung erforderlich sei, greift rechtlich zu kurz und gefährdet die Compliance Ihres Projekts.
Einwilligungspflichtig sind insbesondere Sachverhalte, bei denen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO berührt werden. Dazu zählen laut Verordnungstext unter anderem Gesundheitsdaten, Angaben zu religiösen oder weltanschaulichen Überzeugungen sowie zur Gewerkschaftszugehörigkeit[4], wie sie etwa im Gesundheitsamt oder bei spezifischen Sozialleistungen zur Sprache kommen können. Ebenso verlangt das Mitschneiden von Audiospuren zu Schulungs- oder Qualitätszwecken stets eine aktive und informierte Zustimmung der anrufenden Person.
- Freiwilligkeit: Bürger:innen dürfen durch eine Verweigerung der Einwilligung keine Nachteile im Zugang zu Verwaltungsleistungen erleiden.
- Bestimmtheit: Die Einwilligung muss sich auf einen präzise benannten Zweck beziehen, beispielsweise das Abspeichern einer Sprachnachricht zur Weiterleitung an die Sachbearbeitung.
- Widerruflichkeit: Anrufende müssen transparent darüber informiert werden, dass sie eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können.
Um rechtliche Risiken im Regelbetrieb zu minimieren, empfiehlt es sich, dialogbasierte Systeme so zu konfigurieren, dass sie ausschließlich zweckgebundene Standardinformationen aufnehmen und bei sensiblen Fachvorgängen an das zuständige Kollegium weiterleiten.
Was Anrufende zu Beginn erfahren müssen
Transparenz ist ein tragender Pfeiler des europäischen Datenschutzrechts. Gemäß Art. 12 und 13 DSGVO sowie den Transparenzvorgaben für Künstliche Intelligenz müssen Anrufende unverzüglich zu Beginn des Telefonats über wesentliche Rahmenbedingungen des Austauschs informiert werden. Für Verwaltungen gilt: Der Einsatz eines automatisierten Sprachsystems darf gegenüber Bürger:innen zu keinem Zeitpunkt verschleiert werden.
Der einleitende Hinweis muss präzise, leicht verständlich und in klarer Sprache formuliert sein. Ein praxistauglicher Begrüßungsdialog erfüllt die gesetzlichen Anforderungen, ohne den Gesprächsfluss unnötig zu hemben oder Anrufende mit juristischen Schachtelsätzen zu überfordern.
- Hinweis auf das KI-System: Die ausdrückliche Ansage, dass das Gespräch von einer sprachbasierten Assistenz entgegengenommen wird.
- Zweck der Erfassung: Die Information, dass Anliegen und Kontaktdaten zur direkten Beantwortung oder Weiterleitung verarbeitet werden.
- Hinweis auf Datenschutzinformationen: Ein kurzer Verweis, wo die vollständige Datenschutzerklärung der Kommune (z. B. online oder per SMS-Link) eingesehen werden kann.
- Wahlmöglichkeit: Der Hinweis, dass Anrufende auf Wunsch an eine menschliche Ansprechperson weitergeleitet werden können oder das Bürgerbüro zu regulären Zeiten erreichen.
Durch diese transparente Vorab-Information schaffen Sie Vertrauen in der Bürgerschaft und erfüllen gleichzeitig die Dokumentationspflichten gegenüber Ihrer kommunalen Datenschutzbeauftragten.
Aufzeichnung, Transkript und Löschfristen
In der technischen Umsetzung muss strikt zwischen der Aufzeichnung des Audiosignals (Tondatei) und der flüchtigen Verarbeitung eines textuellen Transkripts unterschieden werden. Die Speicherung einer Audioaufnahme unterliegt in Deutschland nicht nur der DSGVO, sondern auch den strengen Vorgaben des § 201 StGB zum Schutz der Vertraulichkeit des Wortes. Ausführliche Hintergründe hierzu beleuchtet der Beitrag Dürfen Kommunen Bürgeranrufe aufzeichnen?.
Ein datenschutzfreundliches Konzept setzt auf Speech-to-Text-Verfahren in Echtzeit. Dabei wird das gesprochene Wort im Arbeitsspeicher analysiert, um das Anliegen zu verstehen, ohne dass eine persistente Tondatei auf Datenträgern gespeichert wird. Weder die rohe Audioaufnahme noch der vollständige Gesprächsverlauf müssen dauerhaft archiviert werden. Für die Weiterbearbeitung im Fachamt werden lediglich strukturierte Parameter wie Vor- und Zuname, E-Mail-Adresse, Rückrufnummer und das Anliegen erfasst.
| Datenkategorie | Speicherdauer / Frist | Zweck im Verwaltungsprozess |
|---|---|---|
| Audiosignal (Sprachdatei) | Keine Speicherung (Echtzeitverarbeitung) | Sprachverständnis und Dialogsteuerung |
| Vollständiges Transkript | Keine dauerhafte Speicherung | Extraktion der Fachdaten während des Anrufs |
| Strukturierte Kontaktdaten (Name, Tel.) | Löschung nach Erledigung des Vorgangs | Rückrufbitte, Terminbestätigung oder Mängelmeldung |
| Anonymisierte Metadaten (Uhrzeit, Thema) | Statistische Auswertung (dauerhaft) | Kapazitätsplanung und Optimierung des Bürgerservices |
Wichtig für Digitalisierungsverantwortliche: Eine bloße Anonymisierung entbindet die Verwaltung während der aktiven Verarbeitungsphase nicht von den DSGVO-Pflichten. Erst wenn der Personenbezug technisch irreversibel getrennt ist, greift der Datenschutz nicht mehr. Definierte Löschfristen im Löschkonzept der Kommune sind daher unverzichtbar.
Was die Landesdatenschutzgesetze zusätzlich fordern
Die DSGVO wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) und die Landesdatenschutzgesetze ergänzt[5]. Die Auslegung dieser Vorgaben für öffentliche Stellen begleiten die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder[6]. Für die Kommunalverwaltung bestimmen vor allem die jeweiligen Landesdatenschutzgesetze (LDSG) den Handlungsrahmen. Da Kommunen dem Landesrecht unterstehen, konkretisieren die Landesgesetze die Bedingungen für die Datenverarbeitung durch öffentliche Stellen im Sinne des Art. 6 Abs. 2 und 3 DSGVO.
So regelt beispielsweise § 4 Landesdatenschutzgesetz Baden-Württemberg (LDSG BW) oder Art. 4 Bayerisches Datenschutzgesetz (BayDSG) die Zulässigkeit der Verarbeitung personenbezogener Daten durch Behörden zur Erfüllung der ihnen obliegenden Aufgaben. Die Landesgesetze fordern regelmäßig, dass automatisierte Verfahren im Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO dokumentiert werden. Hat eine neue Technologie voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, ist vorab eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchzuführen[7].
- Dokumentation im VVT: Detaillierte Beschreibung der Schnittstellen, Datenflüsse und Speicherfristen des Telefonsystems.
- Prüfung der DSFA: Ermittlung, ob der Einsatz von Sprach-KI ein voraussichtlich hohes Risiko für die Rechte der Bürger:innen darstellt.
- Beteiligung der/des behördlichen Datenschutzbeauftragten: Frühzeitige Einbindung in die Freigabeprozesse der Kommunalverwaltung.
Der Deutsche Städte- und Gemeindebund verweist in seinem Themenbereich Digitalisierung[8] für die kommunale Praxis auf eine Kurzstudie, die Praxisbeispiele für KI-Anwendungen in Kommunen auswertet und Schwerpunkte unter anderem in den Bürgerservices und der internen Verwaltung sieht[9]. Schlüsselfertige Lösungen externer Dienstleister ermöglichen es demnach auch weniger digitalisierten Kommunen, solche Potenziale zu nutzen, was die Sorgfalt bei Rechtsgrundlage und Auftragsverarbeitung umso wichtiger macht.
Die Auftragsverarbeitung mit dem Anbieter
Wird ein softwarebasierter Telefonassistent als Cloud- oder SaaS-Lösung für die Kommune betrieben, handelt es sich datenschutzrechtlich um eine klassische Auftragsverarbeitung. Nach Art. 28 Abs. 3 DSGVO erfolgt die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments, das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet, was ebenso für Kommunen und Landkreise gilt[10]. Wie Sie die technischen und organisatorischen Maßnahmen im Detail bewerten, zeigt unser Prüfleitfaden zur AVV nach Art. 28 DSGVO für KI.
Der Normtext nennt die Mindestinhalte des Vertrags ausdrücklich: Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, gewährleistet die Vertraulichkeitsverpflichtung der befugten Personen und muss Überprüfungen einschließlich Inspektionen durch den Verantwortlichen ermöglichen[10]. Die Verarbeitung der Daten darf ausschließlich in Deutschland, einem EU-Mitgliedstaat oder im EWR stattfinden; eine Übermittlung in ein Drittland bedarf der vorherigen, ausdrücklich dokumentierten Zustimmung des kommunalen Verantwortlichen.
- Serverstandort EU/Deutschland: Garantierter Betrieb in zertifizierten europäischen Rechenzentren ohne unzulässige Drittstaatentransfers.
- Keine Nutzung für Fremdzwecke: Ausdrücklicher Ausschluss, dass Bürgerdaten zum Training allgemeiner KI-Modelle durch Dritte verwendet werden.
- Klare Rückgabe- und Löschpflichten: Vollständige Löschung aller temporären Verarbeitungsdaten nach Beendigung des Auftrags.
Der Charly KI-Telefonassistent wurde gezielt für den kommunalen Sektor entwickelt und setzt die Anforderungen an Datenschutz, Mandantenfähigkeit und Ausfallsicherheit lückenlos um. Mit standardisierten AVV-Mustern, detaillierten Verarbeitungsverzeichnissen und erprobten Vorlagen für die Datenschutz-Folgenabschätzung entlasten wir Digitalisierungsbeauftragte und Datenschutzstellen von bürokratischem Mehraufwand.
Lassen Sie die Datenschutzunterlagen für Ihre Prüfung zusammenstellen.
Häufig gestellte Fragen
Brauchen Kommunen für ein KI-Telefonat die Einwilligung der Bürger?
In den meisten Fällen reicht für den Standard-Bürgerservice die Wahrnehmung einer öffentlichen Aufgabe nach Art. 6 Abs. 1 Buchstabe e DSGVO aus. Eine vorherige Einwilligung der Anrufenden ist dann nicht zwingend erforderlich. Sobald jedoch besondere, sensible Daten erfasst werden, kann eine ausdrückliche Einwilligung gesetzlich notwendig werden.
Welche Rechtsgrundlage gilt für KI im Bürgerservice?
Für kommunale Verwaltungen stützt sich der Einsatz eines KI-Telefonassistenten vorrangig auf Art. 6 Abs. 1 Buchstabe e DSGVO, also die Verarbeitung zur Wahrnehmung einer öffentlichen Aufgabe. Ergänzend greifen das Bundesdatenschutzgesetz (BDSG) sowie die spezifischen Bestimmungen der jeweiligen Landesdatenschutzgesetze.
Werden bei KI-Telefonaten in der Verwaltung Gesprächsdaten gespeichert?
Die Vorgaben der DSGVO verlangen eine strenge Datensparsamkeit. Beim Einsatz professioneller Systeme wie dem Charly KI-Telefonassistent wird die Audioaufnahme nicht dauerhaft gespeichert. Die gesprochenen Worte werden in Echtzeit transkribiert, und nur die für das Anliegen zwingend notwendigen Daten werden temporär verarbeitet.
Was ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
Ein Auftragsverarbeitungsvertrag regelt die datenschutzrechtlichen Pflichten, wenn ein externer Dienstleister weisungsgebunden personenbezogene Daten für eine Kommune verarbeitet. Gemäß Art. 28 DSGVO ist der Abschluss eines solchen Vertrags beim Einsatz von KI-Diensten zwingend vorgeschrieben.
Welche Informationen müssen Bürger am Anfang eines KI-Anrufs erhalten?
Aus Gründen der Transparenz müssen Anrufende zu Beginn des Gesprächs klar darüber informiert werden, dass sie mit einem künstlichen Intelligenz-System kommunizieren. Zudem ist ein Hinweis auf die geltenden Datenschutzbestimmungen der Verwaltung erforderlich, bevor persönliche Anliegen geäußert werden.
