<aside> 📚

Fachliche Überprüfung und Aktualisierung – Stand: 11.10.2026

</aside>

1) Beschreibung Use Case

1.1 Allgemeine Beschreibung

Beispiele:

• Anwendung zur automatisierten Diagnoseunterstützung in der Medizin
• KI‑gestütztes Überwachungssystem für kritische Infrastrukturen
• Chatbot für Kundenservice im Einzelhandel
• Bildanalyse‑Tool zur Qualitätskontrolle in der Fertigung | Anwendung für die automatisierte Beantwortung von Widersprüchen gegen Verwarnungen | | Betroffene Personengruppen | Die Angabe in der Spalte „Information“ beschreibt, welche Personengruppen von einer KI‑Anwendung betroffen sind. Diese Information ist entscheidend für die Risikobewertung nach der KI‑Verordnung (KI‑VO), da das Risiko unter anderem davon abhängt, ob besonders schutzbedürftige Gruppen (z. B. Kinder, Personen mit Behinderungen) betroffen sind. Je vulnerabler die betroffenen Gruppen, desto höher kann die Risikoklasse eingestuft werden.

Beispiele:

• Kinder und Jugendliche
• Personen mit körperlichen oder geistigen Behinderungen
• Senioren
• Personen in prekären Beschäftigungsverhältnissen
• Personen mit sensiblen Gesundheitsdaten | Personen, die gegen einen Bußgeldbescheid Widerspruch einlegen. Diese Personen sind im Besitz einer gültigen Fahrerlaubnis. | | Entscheidungskontext | Der Inhalt der Spalte „Information“ gibt Aufschluss darüber, welche Art von Daten und Kontextinformationen im Entscheidungskontext vorliegen. Diese Informationen bestimmen, wie sensibel oder potenziell risikoreich die Anwendung im Sinne der KI‑Verordnung (KI‑VO) ist, da sie Aufschluss darüber geben, ob personenbezogene Daten, kritische Infrastrukturdaten oder sicherheitsrelevante Entscheidungen verarbeitet werden. Eine klare Angabe ermöglicht eine korrekte Zuordnung zur jeweiligen Risikoklasse (z. B. geringes, hohes oder unannehmbares Risiko).

Beispiele:

• Verarbeitung von Patientendaten in einer medizinischen Diagnose‑KI
• Nutzung von Kredit‑Scoring‑Daten für Kreditentscheidungen
• Analyse von Videoüberwachung in öffentlichen Räumen zur Gefahrenabwehr
• Einsatz von Sprach‑ und Bilddaten zur automatisierten Personenidentifikation | Verarbeitung von personenbezogenen Daten von Personen, z. B. Halterdaten etc. zur Erstellung einer Stellungnahme für die Beantwortung des Widerspruchs | | Eingesetzter Akteur | Die Angabe in der Spalte „Information“ beschreibt, welche Art von Daten oder Wissensinhalten der eingesetzte Akteur verarbeitet; diese Information ist entscheidend, um die potenzielle Gefahr und den Einfluss auf Grundrechte zu beurteilen und somit die Risikoklasse gemäß der KI‑Verordnung (KI‑VO) zu bestimmen.

Beispiele:

• Persönliche Gesundheitsdaten (z. B. Diagnosen, Vitalparameter)
• Finanzinformationen (z. B. Kontostände, Kreditwürdigkeit)
• Lagebezogene Daten (z. B. GPS‑Standort, Bewegungsprofile)
• Bild- und Videoaufnahmen von Personen (z. B. Überwachungskameras)
• Sprachaufzeichnungen, die Rückschlüsse auf die Identität zulassen | Verarbeitung von personenbezogenen Daten von Personen, z. B. Halterdaten etc. zur Erstellung einer Stellungnahme für die Beantwortung des Widerspruchs |

1.2 Prozessschritte

2. KI-gestützte Bewertung des Use Cases

2.1 Prozessmodellierung

flowchart TD
    Start([Widerspruch eingeht]) --> A

    A["Schritt 1 – Einlauf<br>Widerspruch eingeht<br>per E-Mail / Bayernportal / Brief"]
    A --> B{"Widerspruch\ndigital?"}

    B -- "Nein (nicht digital)" --> C["Schritt 2a – Digitalisierung & OCR<br>KI digitalisiert & wandelt in durchsuchbaren Text"]
    B -- "Ja, aber nicht durchsuchbar" --> D["Schritt 2b – OCR-Umwandlung<br>KI wandelt in durchsuchbaren Text"]
    B -- "Ja, durchsuchbar" --> E["Schritt 2c – Keine Umwandlung erforderlich"]

    C --> F["Schritt 3 – Bewertung<br>KI prüft Einspruchsgrund<br>& formelle Erfordernisse"]
    D --> F
    E --> F

    F --> G["Schritt 3b – Stellungnahme<br>KI erstellt Stellungnahme<br>& leitet an Sachbearbeiter weiter"]

    G --> H["Schritt 4 – Prüfung durch Sachbearbeiter<br>SB prüft Stellungnahme & trifft Entscheidung"]

    H --> I{"Entscheidung\nSachbearbeiter"}

    I -- "Abhilfe" --> J["Schritt 5 – Entwurf Einstellungsbescheid<br>KI erstellt Entwurf"]
    J --> K["SB prüft Bescheidentwurf"]
    K --> L([Bescheid an Betroffenen übermitteln])

    I -- "Keine Abhilfe" --> M([Übergabe Akte<br>an Staatsanwaltschaft])

2.2 KI-VO (Risikoklasse etc.)

Risikoklasse

Ergebnis: Hochrisiko-KI-System (Anhang III, Nr. 8 KI-VO)

Die Anwendung zur automatisierten Beantwortung von Widersprüchen gegen Verwarnungen erfüllt die Tatbestandsmerkmale eines Hochrisiko-Systems nach Anhang III Nr. 8 KI-VO. Dieser Tatbestand erfasst KI-Systeme, die von Behörden zur Unterstützung bei der Rechtsanwendung und bei Verwaltungsentscheidungen eingesetzt werden – insbesondere bei der Bearbeitung von Einsprüchen und Beschwerden gegen behördliche Maßnahmen.

Maßgebliche Kriterien im vorliegenden Fall

• Behördlicher Kontext: Die KI wird im öffentlich-rechtlichen Verwaltungsverfahren (Bußgeld- bzw. Verwarnungsverfahren) eingesetzt. Dies begründet bereits für sich genommen eine erhöhte Schutzbedürftigkeit der betroffenen Personen, da staatliche Eingriffsbefugnisse berührt sind.
• Betroffene Personen: Personen, die gegen einen Verwaltungsakt vorgehen und ihr Recht auf rechtliches Gehör ausüben – ein klassisch grundrechtssensibler Kontext (Art. 41 GRCh, Art. 103 GG). Obwohl es sich nicht um eine per se vulnerable Gruppe handelt, üben diese Personen ein verfahrensrechtliches Grundrecht aus, das besonderen Schutz genießt.
• Mittelbare Entscheidungsrelevanz: Obwohl ein Sachbearbeiter den KI-Entwurf formal prüft (Schritt 4), prägt die KI-Bewertung den Verfahrensausgang maßgeblich vor. Entscheidend ist, ob die menschliche Prüfung substanziell oder lediglich formal erfolgt – letzteres würde die Hochrisikoeinstufung weiter verschärfen und datenschutzrechtliche Fragen nach Art. 22 DSGVO aufwerfen.

Erforderliche Maßnahmen

1. Risikomanagementsystem (Art. 9 KI-VO)

Ein dokumentiertes Risikomanagementsystem ist über den gesamten Lebenszyklus der Anwendung einzurichten und aufrechtzuerhalten. Es umfasst die Identifikation, Analyse und Minderung von Risiken für betroffene Personen.

2. Daten-Governance (Art. 10 KI-VO)

Die für Training und Betrieb verwendeten Daten (inkl. Halterdaten) müssen definierten Qualitätsanforderungen genügen – Vollständigkeit, Repräsentativität und Fehlerfreiheit sind nachzuweisen und zu dokumentieren.

3. Technische Dokumentation (Art. 11 KI-VO)

Vor Inbetriebnahme ist eine vollständige technische Dokumentation zu erstellen (Architektur, Trainingsdaten, Leistungsmetriken, Systemgrenzen).

4. Protokollierung / Logging (Art. 12 KI-VO)

Das System muss automatische Protokollierungsfunktionen besitzen, um die Nachvollziehbarkeit von Entscheidungen für behördliche Kontrolle und etwaige Rechtsbehelfe sicherzustellen.

5. Transparenz gegenüber Nutzern (Art. 13 KI-VO)

Sachbearbeiter müssen über Funktionsweise, Einschränkungen und Zuverlässigkeit der KI ausreichend informiert werden. Die Gebrauchsanweisung muss Leistungsgrenzen klar benennen.

6. Menschliche Aufsicht (Art. 14 KI-VO)

Das System ist so zu gestalten, dass menschliche Kontrolle wirksam ist: Der Sachbearbeiter muss den Entwurf aktiv und eigenständig prüfen können – nicht nur formal bestätigen. Die Möglichkeit zur Übersteuerung ist technisch und organisatorisch zu gewährleisten.

7. Genauigkeit, Robustheit und Cybersicherheit (Art. 15 KI-VO)

Das System muss nachweislich robust gegenüber Fehlern und Manipulationsversuchen sein. Leistungskennzahlen sind zu dokumentieren und regelmäßig zu überprüfen.

8. Konformitätsbewertung (Art. 43 KI-VO)

Vor dem Einsatz ist eine Konformitätsbewertung durchzuführen. Bei behördlichen Anwendungen ohne biometrische Komponenten ist eine interne Bewertung grundsätzlich zulässig.

9. EU-Konformitätserklärung & CE-Kennzeichnung (Art. 47, 48 KI-VO)

Eine EU-Konformitätserklärung ist auszustellen; das System muss die CE-Kennzeichnung tragen.

10. Registrierung in der EU-Datenbank (Art. 49, 71 KI-VO)

Das Hochrisiko-System ist vor Inbetriebnahme in der EU-weiten KI-Datenbank zu registrieren.

Datenschutzrechtliche Überschneidungen (DSGVO / BDSG)

Ergänzend zur KI-VO sind folgende datenschutzrechtliche Anforderungen zu beachten:

• Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO): Aufgrund der systematischen Verarbeitung personenbezogener Daten (Halterdaten, Verfahrensdaten) im behördlichen Entscheidungskontext ist eine DSFA zwingend erforderlich. Die Kombination aus behördlichem Eingriff und KI-gestützter Vorstrukturierung des Ergebnisses erfüllt die Schwellenwerte des Art. 35 Abs. 3 DSGVO.
• Verbot vollautomatisierter Einzelentscheidungen (Art. 22 DSGVO): Da ein Sachbearbeiter eingebunden ist, ist Art. 22 DSGVO grundsätzlich nicht verletzt – die menschliche Prüfung (Schritt 4) muss jedoch substanziell und nicht rein formal sein. Eine bloße Durchleitungsfunktion würde den Schutzgedanken des Art. 22 DSGVO unterlaufen.
• Informationspflichten gegenüber Betroffenen (Art. 13/14 DSGVO): Widerspruchsführende Personen sind über den Einsatz der KI im Verfahren zu informieren, einschließlich Zweck, Rechtsgrundlage und der Möglichkeit menschlicher Überprüfung.
• Verarbeitungsverzeichnis (Art. 30 DSGVO): Der KI-gestützte Verarbeitungsprozess ist im Verzeichnis der Verarbeitungstätigkeiten zu erfassen.
• Rechtsgrundlage der Verarbeitung (Art. 6 DSGVO): Die Verarbeitung von Halterdaten bedarf einer expliziten Rechtsgrundlage – im behördlichen Kontext regelmäßig Art. 6 Abs. 1 lit. e DSGVO i. V. m. der einschlägigen Fachgesetzgebung (z. B. OWiG, StVG).

Zusammenfassung