Vertrauliche Dokumente und KI: Freigabe vor dem Upload

Welche Informationen enthält das Dokument?

Bevor ein Dokument in einen KI-Test wandert, entscheidet nicht die Frage, was das System kann, sondern was das Dokument enthält. Diese Einordnung lässt sich in drei Prüfschritten erledigen, die Sie als Digitalisierungsbeauftragte:r in wenigen Minuten pro Dokument durchführen können und die später die Grundlage jeder Freigabeentscheidung bilden.

1. Personenbezug prüfen: Enthält das Dokument Angaben zu identifizierbaren Personen, etwa Namen in Bescheiden, Aktenzeichen oder Fallbeschreibungen?
2. Interne Vertraulichkeit und Schutzbedarf erfassen: Handelt es sich um dienstliche Informationen, die nicht für die Öffentlichkeit bestimmt sind, um Verschlusssachen oder um besonders geschützte Datenarten?
3. Systemfreigabe und zulässige Datenarten prüfen: Ist das KI-System für die Behörde überhaupt freigegeben, und welche Eingaben deckt diese Freigabe ab?

Der Personenbezug verdient besondere Sorgfalt, weil er sich leicht unterschätzen lässt. Ein Personenbezug kann sich durch viele Merkmale ergeben, nicht nur durch Namen und Adressdaten; auch Aktenzeichen, Fallbeschreibungen oder Kombinationen mehrerer Angaben können eine Person identifizierbar machen. Deshalb empfiehlt sich eine gründliche Prüfung über den gesamten Lebenszyklus der Daten, bevor ein Dokument in ein KI-System eingegeben wird. Ein scheinbar neutrales Sachdokument kann über Kombinationen von Angaben doch auf eine Person schließen lassen.

Vom Personenbezug getrennt zu betrachten ist die interne Vertraulichkeit: Auch ein Dokument ohne jeden Personenbezug kann vertraulich sein, etwa Entwürfe, interne Verfahrensstände oder als Verschlusssache eingestufte Unterlagen. Gerade bei offenen, frei im Internet zugänglichen KI-Systemen verlassen solche dienstlichen Informationen den geschützten Bereich Ihrer Verwaltung, weshalb sie dort grundsätzlich nichts zu suchen haben.

Der dritte Schritt folgt aus dem ersten: Bayerns KI-Leitfaden für Beschäftigte stellt klar, dass im dienstlichen Kontext nur solche KI-Systeme genutzt werden dürfen, die zuvor von der Behörde geprüft und freigegeben wurden. Im Rahmen dieser Freigabeentscheidung werden Beschränkungen bei der Nutzung definiert, etwa Nutzungsszenarien, Nutzerkreis und erlaubte Eingaben^[1]. Erst wenn diese drei Punkte geklärt sind, lohnt die nächste Frage: Wer entscheidet eigentlich über die zulässige Nutzung?

Wer entscheidet über die zulässige Nutzung?

Die Freigabe eines KI-Systems ist eine Organisationsaufgabe mit klarer Zuständigkeit. Bayerns KI-Leitfaden für Behörden beschreibt den Prozess so: Die Behörde bzw. die zuständige Organisationseinheit entscheidet über die Freigabe von KI-Systemen und definiert Einsatzbereiche und Nutzerkreis; die Freigabe erfolgt im Regelfall durch Einzelfallprüfung für jedes System^[2]. Für Ihre Verwaltung heißt das: Die Entscheidung liegt nicht bei einzelnen Mitarbeitenden und auch nicht allein bei der IT, sondern bei der Leitungsebene, die die Verantwortung trägt.

In der Praxis hat sich bewährt, die Freigabe als kleinen, festgelegten Kreis von Beteiligten zu organisieren:

• Die Behördenleitung oder die Leitung des Hauptamts trägt die Entscheidung über Freigabe, Einsatzbereich und Nutzerkreis.
• Die oder der behördliche Datenschutzbeauftragte wird frühzeitig eingebunden, bevor Dokumente fließen.
• Die Informationssicherheitsstelle bzw. die IT-Leitung bewertet technische Anforderungen und Angriffsflächen.
• Die Personalvertretung wird beteiligt, wo Mitbestimmungstatbestände berührt sind.

Ein wichtiger Vorbehalt gilt für alle Leitfäden: Landesleitfäden wie die bayerischen sind Beispiele und Orientierung, keine pauschale Rechtsfreigabe. Maßgeblich ist die Freigabepraxis Ihrer eigenen Kommune oder Ihres eigenen Landkreises, einschließlich der dort geltenden Dienstvereinbarungen und Vorgaben. Ob Ihre Verwaltung zuerst eine umfassende KI-Strategie entwickelt oder mit einem pragmatischen Pilotprojekt beginnt, behandeln wir separat im Beitrag zur KI-Strategie oder zum KI-Tool in der Verwaltung.

Welche Anbieterangaben braucht die Freigabe?

Eine Freigabe ist nur so gut wie die Informationen, auf die sie sich stützt. Die wichtigste Frage an jeden Anbieter lautet: Werden Eingabedaten zu Trainingszwecken verwendet, und lässt sich das vertraglich und technisch ausschließen? Datenschutzrechtlich vorzugswürdig sind Anwendungen, die die Ein- und Ausgabedaten nicht zu Trainingszwecken verwenden. Hilfreich ist dabei die Unterscheidung zwischen geschlossenen Systemen, bei denen die Kontrolle über Ein- und Ausgabedaten bei den Anwendenden liegt und eine Nutzung zum weiteren Training systemseitig nicht vorgesehen ist, und offenen Systemen, bei denen Eingaben den geschützten Bereich der Anwendenden verlassen. Technisch geschlossene Systeme sind aus datenschutzrechtlicher Sicht vorzugswürdig.

Diese Fragen verbinden Sie am besten direkt mit Nachweisen, nicht mit Marketingaussagen. Für die Freigabe sollten folgende Unterlagen vorliegen:

• Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, sobald der Anbieter personenbezogene Daten im Auftrag verarbeitet. Welche Inhalte ein solcher Vertrag für KI-Telefonassistenten und KI-Systeme braucht, behandelt unser Prüfleitfaden zum AVV.
• Die dokumentierten technischen und organisatorischen Maßnahmen (TOM) des Anbieters.
• Nachweise zu Speicherdauer und Löschfristen für Eingaben, Ausgaben und Protokolle.
• Angaben zum Hosting, etwa ob die Verarbeitung auf Servern in Deutschland oder der Europäischen Union erfolgt.
• Angaben zur Informationssicherheit, insbesondere zum Schutz vor manipulierten Eingaben.

Zu letzterem Punkt hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 24. Juni 2025 einen Kriterienkatalog vorgelegt. Er definiert Anforderungen, die bei der Integration extern bereitgestellter generativer KI-Modelle in eigene Anwendungen erfüllt werden sollten, um ein Mindestsicherheitsniveau zu erreichen. Als Beispiel für neuartige Angriffsvektoren nennt das BSI sogenannte (Indirect) Prompt Injections, mit denen sich Ausgaben von Chatbots zielgerichtet manipulieren lassen; die Konsequenzen können die Verbreitung von Schadsoftware oder das Abfließen sensitiver Daten sein. Welche Regeln daraus für Behörden folgen, fassen wir im Beitrag zu den BSI-Empfehlungen für generative KI zusammen.

Der praktische Maßstab lautet: Fehlen dem Anbieter belastbare Angaben zu Verarbeitung, Zugriff oder Löschung, gilt die Freigabe als ungeklärt, und das Dokument bleibt zunächst auf Ihrer Seite. Wie Sie Anbieter anhand nachprüfbarer Kriterien statt nach Bauchgefühl vergleichen, zeigt unser Auswahlleitfaden für einen KI-Arbeitsplatz für Kommunen.

Welche Testdaten sind zunächst geeignet?

Für den ersten Test gilt: klein anfangen, Risiken bewusst begrenzen. Statt mit echten Vorgängen aus dem Fachbereich zu starten, empfiehlt sich ein Testbestand, der keinen echten Personenbezug hat und dessen Einsatz Sie intern verantworten können.

• Bereits öffentlich einsehbare Dokumente, etwa Bekanntmachungen oder Satzungen, deren Veröffentlichung Ihre Verwaltung selbst beschlossen hat.
• Synthetisch erstellte Vorgänge, die reale Sachverhalte nachbilden, ohne echte Namen oder Aktenzeichen zu enthalten.
• Dokumente, die im Rahmen der behördlichen Freigabe ausdrücklich für den Test zugelassen wurden.

Wie ein solcher Testbestand organisiert werden kann, zeigt das CityLAB Berlin in seinem Devlog zum Prototypen BärGPT für die Berliner Verwaltung: Dort werden manuell durch Nutzende hochgeladene, persönliche Dokumente von einer zweiten Klasse von Basiswissen-Dokumenten getrennt, die von Admins hochgeladen werden und keiner einzelnen nutzenden Person gehören, sondern einer Zugriffsgruppe^[3]. Diese Gruppen sollen künftig auch Anwendungsfälle abdecken, in denen Dokumente nur für bestimmte Verwaltungseinheiten oder Abteilungen relevant sind. Dieses Modell aus persönlichen Dokumenten und verwaltetem Basiswissen mit Zugriffsgruppen lässt sich gut auf kommunale Tests übertragen.

Dass ein Test mit Dokumenten auch bei höherem Schutzbedarf vertretbar bleiben kann, zeigt die DSK-Orientierungshilfe zu KI-Systemen mit Retrieval Augmented Generation (RAG): Weil Referenzdokumente und Einträge in der Vektordatenbank direkt adressierbar sind, lassen sich personenbezogene Daten gezielt löschen; klassische Mechanismen zur Löschung nach Ablauf von Aufbewahrungsfristen lassen sich so sowohl für die Vektordatenbank als auch für die Referenzdokumente nutzen^[4].

Ein Vorbehalt bleibt wichtig: Öffentliche Dokumente sind nicht automatisch unkritisch. Auch bei bereits veröffentlichten Unterlagen sind Nutzungsrechte zu beachten, etwa bei Fremdmaterial mit Urheberrechten, und interne Vorgaben dazu, welche Quellen in dienstlichen Systemen verwendet werden dürfen. Die Freigabe des Dokuments und die Freigabe des Systems sind zwei getrennte Prüfungen.

Wie wird bei unklarer Freigabe verfahren?

Sofern sich die Freigabefrage für ein Dokument nicht klären lässt, braucht Ihre Verwaltung eine klare Regel, die keine Auslegungsspielräume offenlässt: Bei ungeklärter Freigabe wird keine Eingabe vorgenommen. Das gilt auch dann, wenn Zeitdruck besteht oder das Ergebnis des Tests dringend gebraucht wird. Die Freigabeentscheidung darf nicht durch die Nutzung vorweggenommen werden; wer erst hochlädt und später prüft, hat die Entscheidung faktisch bereits getroffen, nur eben ohne die dafür zuständigen Stellen.

Statt den Ausnahmefall zu improvisieren, legen Sie fest, an wen sich Mitarbeitende bei Unsicherheit wenden:

• Die oder der behördliche Datenschutzbeauftragte bewertet den Personenbezug und den Schutzbedarf des Dokuments.
• Die Informationssicherheitsstelle bzw. die IT-Leitung klärt technische Fragen, etwa zu Systemfreigabe und Angriffsflächen.
• Die Leitung der zuständigen Organisationseinheit entscheidet über den Einsatzbereich, wenn die Frage über den Einzelfall hinausreicht.
• Für den Fehlerfall sollten Sie ebenfalls vorbereitet sein, denn er lässt sich in der Praxis nicht vollständig ausschließen. Bayerns KI-Leitfaden für Beschäftigte behandelt ausdrücklich die Frage, was zu tun ist, wenn versehentlich personenbezogene Daten eingegeben wurden, obwohl dies untersagt war^[1]. Die Kernbotschaft lautet: Den vorgesehenen internen Meldeweg unverzüglich nutzen, statt den Vorfall zu vertuschen oder abzuwarten. Je früher die Meldung erfolgt, desto besser können Löschung, Dokumentation und gegebenenfalls behördliche Meldungen nach der DSGVO koordiniert werden. Eine Kultur, in der sich Mitarbeitende bei Fehlern sofort melden, ist damit Teil Ihrer Sicherheitsarchitektur, nicht ein Zeichen von Schwäche.

Wie wird die Upload-Entscheidung nachvollziehbar?

Alle bisherigen Schritte münden in einer Dokumentation. Die DSK erinnert an die Nachweispflicht aus der DSGVO: Verantwortliche müssen die Einhaltung der Grundsätze nach Art. 5 Abs. 2 DSGVO nachweisen können^[5]. Bayerns KI-Leitfaden für Behörden ergänzt Checklisten zur Nutzung von KI-Anwendungen, an denen sich eine solche Dokumentation orientieren kann^[2]. In der Praxis hat sich ein kurzes Entscheidungsblatt bewährt, das als Anforderungsmatrix pro Dokument oder Dokumentklasse die wesentlichen Angaben bündelt. Das folgende Beispiel ist redaktionell entwickelt und zeigt, wie ein solches Blatt für eine fiktive Kommune aussehen kann:

Wichtig ist weniger das Format als die Wirkung: Jede im System eingegebene Datei lässt sich einer dokumentierten Entscheidung zuordnen. Wer das Blatt gepflegt hält, kann auf Nachfrage von Datenschutzbeauftragten, Rechnungshof oder Rat innerhalb von Minuten zeigen, welche Dokumentklasse in welchem System mit welcher Grundlage getestet wurde. Damit wird aus der Upload-Entscheidung ein nachvollziehbarer Verwaltungsakt im Kleinen.

Welche Datenfragen muss ein Schreibtisch-Test klären?

Zum Abschluss rückt der konkrete Test in den Blick: Charly | Schreibtisch ist der DSGVO-konforme KI-Arbeitsplatz für Mitarbeitende in Kommunen und Landkreisen. Mitarbeitende können Fragen stellen, lange Dokumente zusammenfassen und erklären lassen, gezielt Fragen zu Dokumenten stellen, Texte und Antworten entwerfen, überarbeiten, kürzen und verständlicher formulieren sowie Informationen strukturieren und vergleichen; darüber hinaus lässt sich das Wissen der eigenen Verwaltung zentral pflegen und für die tägliche Arbeit nutzbar machen. Genau diese Anwendungsfälle, Dokumente verstehen, Texte erstellen und überarbeiten sowie Verwaltungswissen nutzen, legen Sie den Test so an, dass jede Eingabe vom Entscheidungsblatt gedeckt ist.

Die fünf offenen Datenfragen aus den vorherigen Abschnitten lassen sich damit abschließend beantworten:

• Darf jede dienstliche Datei hochgeladen werden? Nein. Maßgeblich sind die Systemfreigabe Ihrer Verwaltung und die dort festgelegten zulässigen Datenarten.
• Reicht das Entfernen von Namen? Nicht automatisch. Auch weitere Angaben können Personen identifizieren; die DSK verlangt eine Prüfung über viele Merkmale und den gesamten Lebenszyklus der Daten.
• Wer hilft bei Unsicherheit? Die zuständigen Datenschutz- und Informationssicherheitsstellen Ihrer Verwaltung, bevor ein Dokument das System erreicht.
• Sind öffentliche Dokumente immer unkritisch? Nein. Auch Nutzungsrechte und interne Vorgaben bleiben zu beachten.
• Was tun nach einer unzulässigen Eingabe? Den vorgesehenen internen Meldeweg unverzüglich nutzen.

Für den Start empfehlen wir, die Datenfreigabe anhand eines freigegebenen Beispieldokuments zu klären, etwa einer bereits öffentlich einsehbaren Bekanntmachung oder eines synthetischen Vorgangs, und die Ergebnisse erst danach auf echte Fälle auszuweiten. Wenn Sie prüfen möchten, wie Charly | Schreibtisch Dokumente versteht, Texte erstellt und das Wissen Ihrer Verwaltung nutzbar macht, finden Sie auf der Produktseite zu Charlys Schreibtisch die nächsten Schritte für Ihre Verwaltung: die Anwendungsfälle im Überblick und die Möglichkeit, die Datenfreigabe für Ihren Test gemeinsam anhand eines freigegebenen Beispiels zu klären.