Klarheit darüber, was erlaubt ist
Ein moderierter Entscheidungsprozess mit einer Kurzrichtlinie, die Ihr Vorstand unterschreiben kann — und die im Arbeitsalltag tatsächlich gelesen wird.
Entscheidungsworkshop anfragenDie Lücke
In gemeinnützigen Organisationen nutzen drei von vier Mitarbeitenden KI. Neun Prozent der Organisationen haben Regeln dafür.
Das heisst nicht, dass nichts passiert. Es heisst, dass es unsichtbar passiert: in Privatkonten, mit unklaren Daten, ohne dass jemand es freigegeben hätte und ohne dass jemand davon erfährt, wenn etwas schiefgeht. Eine Richtlinie schafft diese Nutzung nicht — sie holt sie ans Licht.
Zahlen aus einer Befragung im deutschen gemeinnützigen Sektor, 2025.
Was eine Richtlinie leisten muss
Erlauben statt verbieten
Die meisten verfügbaren Muster sind Verbotslisten. Ein Verbotspapier senkt die Nutzung nicht, es verlagert sie ins Verborgene. Gesucht ist eine Form, die sagt, was geht — gestuft nach Datenart.
Zwei Seiten Kern, änderbarer Anhang
Werkzeugnamen im beschlossenen Text sind in neun Monaten falsch. In den Kern gehören Grundsätze, Datenklassen und Zuständigkeiten; in den Anhang die Werkzeuge, die eine Geschäftsleitung ohne neuen Gremienbeschluss anpassen darf.
Beschlossen wird der Rahmen, nicht die Liste
Der Vorstand entscheidet über Risikobereitschaft, Verantwortlichkeiten und den Änderungsmechanismus. Danach kostet jede neue Software keinen Vorstandstermin mehr.
Einen Weg für Fehler
Wer eine versehentliche Eingabe melden muss und dafür bestraft wird, meldet sie nicht. Meldepflicht ohne Sanktion bei Fahrlässigkeit ist der einzige Weg, von Vorfällen überhaupt zu erfahren.
Vom offenen Chat bis lokal — und was es kostet
Die Frage ist nie nur, welches Werkzeug sicher ist. Sie ist immer doppelt: Welche Daten gehen hinein, und wo werden sie verarbeitet?
Der wirksamste und billigste Hebel ist keiner von beiden: Daten reduzieren. Namen raus, Fall statt Person, Auszug statt Gesamtakte. Das kostet nichts und verschiebt viele Aufgaben aus der heikelsten Klasse heraus. Die vorgelagerte Frage lautet ohnehin: Braucht diese Aufgabe überhaupt Personendaten?
| Stufe | Wofür | Kostenordnung |
|---|---|---|
| PrivatkontoKeine Auftragsbearbeitung, in Gratis-Stufen oft Training auf den Eingaben, keine Verwaltung. | Ausschliesslich öffentliche Informationen | 0 bis rund 25 pro Monat |
| Geschäftlicher TarifVertraglicher Ausschluss des Trainings, Auftragsbearbeitungsvertrag, Administration, Protokolle. | Interne Arbeitsdaten ohne Personenbezug | Pro Platz; NPO-Konditionen prüfen |
| Schnittstelle mit wählbarer RegionVerarbeitungsort vertraglich festgelegt, Abrechnung nach tatsächlichem Verbrauch. | Interne bis heikle Fälle in kleiner Menge | Verbrauchsabhängig, oft günstiger als Plätze |
| Schweizer Anbieter, offene ModelleVerarbeitung im Inland, keine Bindung an einen Grosskonzern. | Erhöhte Anforderungen, Bedenken im Gremium | Abo oder Verbrauch |
| Lokal auf eigener HardwareNichts verlässt das Haus. Dafür trägt die Organisation Betrieb, Aktualisierung und Absicherung selbst. | Einzelne wirklich heikle Textarbeiten | Einmalige Hardware |
| Bewusst nichtEine vollwertige Option, kein Scheitern. | Berufsgeheimnis, fehlende Rechtsgrundlage | 0 |
Ein Hinweis gegen den Reflex: Selbst betrieben klingt am sichersten und ist für eine kleine Organisation oft das Gegenteil, weil niemand aktualisiert und überwacht. Ein ungepflegter eigener Server ist ein grösseres Risiko als ein Vertrag mit sauberer Auftragsbearbeitung.
Und eine Grenze, die kein Vertrag verschiebt: Wo Berufs- oder Amtsgeheimnis gilt — Sozialberatung, Opferhilfe, Gesundheit, Migration — reicht ein Vertrag möglicherweise nicht. Das ist eine Rechtsfrage, und wir markieren sie als solche, statt sie zu beantworten.
Die Entscheidungen sind das Produkt
Nicht das Dokument. Diese sechs Fragen kann kein Muster für Sie beantworten — und wenn sie beantwortet sind, schreibt sich der Text fast von selbst.
- 01
Wie halten wir es mit kostenlosen Werkzeugen auf privaten Geräten?
Entscheidet: Geschäftsleitung mit IT und Datenschutz
- 02
Unter welchen Bedingungen dürfen Daten von Spendenden, Klientinnen oder Angestellten überhaupt in ein KI-Werkzeug?
Entscheidet: Vorstand oder Stiftungsrat mit Datenschutz
- 03
Gilt die Richtlinie auch für Ehrenamtliche, Freiwillige und Mandatierte?
Entscheidet: Vorstand oder Stiftungsrat
- 04
Wann kennzeichnen wir nach aussen, dass KI im Spiel war?
Entscheidet: Geschäftsleitung mit Kommunikation
- 05
Was passiert, wenn jemand versehentlich etwas Falsches eingibt?
Entscheidet: Vorstand und Geschäftsleitung
- 06
Wer entscheidet, wenn ein Team ein neues Werkzeug einsetzen will?
Entscheidet: Geschäftsleitung
Der Ablauf
Rund zwei Wochen Kalenderzeit. Der Aufwand auf Ihrer Seite liegt bei etwa einem halben Arbeitstag, verteilt auf wenige Personen.
- 1
Vorabklärung45 Minuten, asynchron
Bestehende Datenschutz- und IT-Regeln, tatsächlich genutzte Werkzeuge, sensible Datenarten, Rechtsform, EU-Bezug.
- 2
Entscheidungsworkshop2,5 bis 3 Stunden
Geschäftsleitung, Datenschutz- oder IT-Verantwortung, ein bis zwei Fachvertretungen, eine Person mit Gremienzugang. Nicht das ganze Team. Ergebnis sind protokollierte Entscheidungen, nicht eine Diskussion.
- 3
Entwurfetwa eine Woche
Zwei Seiten Kern, Freigabeanhang, und eine ausdrückliche Liste der Fragen, die anwaltlich zu klären sind.
- 4
Freigabeschleife45 Minuten
Nur die Personen mit Entscheidungsbefugnis. Wir prüfen den Text an drei echten Fällen aus Ihrem Alltag.
- 5
Team-Launch60 bis 90 Minuten
Keine Einführung in KI, sondern vier reale Fälle: erlaubt, erlaubt mit Auflage, Freigabe nötig, ausgeschlossen. Hier trifft die Regel zum ersten Mal auf die Arbeit.
- 6
Nachschau30 Minuten nach 30 Tagen
Welche Fragen sind aufgetaucht, wurde das Team sicherer oder zurückhaltender, muss der Anhang angepasst werden?
Was Sie behalten
- Eine Kurzrichtlinie von zwei Seiten, beschlussfähig formuliert
- Einen Freigabeanhang, den Ihre Geschäftsleitung selbst pflegen kann
- Eine Beschlussvorlage für die Vorstands- oder Stiftungsratssitzung
- Ein Kommunikationspaket für die Belegschaft
- Eine Eskalationsliste: welche Fragen anwaltlich zu klären sind und warum
- Das Protokoll Ihrer Entscheidungen — die eigentliche Substanz
Ehrliche Grenzen
- Das ist keine Rechtsberatung. Wir moderieren einen betrieblichen Entscheidungsprozess und formulieren sein Ergebnis. Wo eine Frage juristisch geklärt werden muss, sagen wir das an Ort und Stelle, statt es zu überspielen.
- Eine Richtlinie macht keinen Einsatz rechtssicher. Ob eine konkrete Verarbeitung zulässig ist, hängt an Daten, Werkzeug, Vertrag, Anwendungsfall und Rechtsraum.
- Wir versprechen keine Nutzungssteigerung. Dass klare Regeln die Nutzung erhöhen, ist plausibel und durch Praxisberichte gestützt, aber nicht kausal belegt. Wir sagen es deshalb als Erwartung, nicht als Zusage.
- Kostenlose Muster gibt es reichlich, und einige sind gut. Wenn Sie die sechs Entscheidungen intern selbst treffen können, brauchen Sie uns dafür nicht.
Häufige Fragen
Es gibt kostenlose Vorlagen. Warum sollen wir dafür zahlen?
Sollten Sie nicht, wenn Sie die Entscheidungen selbst treffen können. Bezahlt wird nicht der Text, sondern die Moderation der Zielkonflikte: Wie viel Risiko tragen wir, wer verantwortet es, was tun wir bei einem Vorfall. Eine Vorlage kann diese Fragen stellen — beantworten muss sie Ihre Organisation.
Zwei Seiten — nimmt uns das jemand ab?
Die Erfahrung aus vergleichbaren Regelwerken spricht dafür: Umfangreiche Dokumente erhöhen die Wahrscheinlichkeit, dass Regeln ignoriert werden. Der Umfang wandert nicht weg, er wandert in den Anhang, den die Geschäftsleitung pflegt. Der beschlossene Teil bleibt lesbar.
Wer muss das unterschreiben?
Das hängt von Rechtsform, Statuten und Delegationsordnung ab und lässt sich nicht pauschal beantworten. In der Regel beschliesst das oberste Organ den Kern und delegiert die Pflege des Anhangs an die Geschäftsleitung. Wir klären das in der Vorabklärung.
Wir dürfen wegen Berufsgeheimnis vieles gar nicht. Lohnt sich das dann?
Gerade dann. Der grösste Teil der Arbeit in einer Organisation berührt keine geschützten Daten. Ohne Regel gilt faktisch entweder alles oder nichts — und beides ist falsch. Die Richtlinie trennt sauber und markiert, was ausserhalb bleibt.
Müssen wir vorher wissen, welche Werkzeuge wir wollen?
Nein, und Sie sollten es auch nicht. Zuerst wird entschieden, welche Daten welche Verarbeitungsstufe brauchen. Die Werkzeuge folgen daraus — und stehen im Anhang, weil sie sich ändern.
Was, wenn bei uns längst alle ChatGPT nutzen?
Das ist der Normalfall, nicht die Ausnahme. Die Vorabklärung erfasst es anonym. Für ein Leitungsgremium ist die eigene, bisher unsichtbare Nutzung meist das überzeugendste Argument, überhaupt anzufangen.
Entscheidungsworkshop
Erstes Gespräch kostenlos: Wir schauen an, welche Datenarten bei Ihnen vorkommen und ob der Prozess für Ihre Organisation passt. Kein Verkaufsgespräch, sondern eine Einschätzung.
Gespräch anfragenUnd wenn die Regeln stehen: Wie Ihr Team lernt, damit tatsächlich zu arbeiten.
KI in NGOsFotos von Vitaly Gariev und Dimitri Karastelev auf Unsplash.