Nahezu alle Bürger:innen sowie Unternehmen treten mit der Verwaltung früher oder später in Kontakt. Zur Aufgabenerfüllung werden dabei auch personenbezogene Daten verarbeitet, also Daten, die einer natürlichen Person zugeordnet werden können. Zum Teil können Beschäftigte der Verwaltung hierbei auch auf LLMoin, einen KI-basierten Textassistenten, als Unterstützungsmittel zurückgreifen.

Im Folgenden informieren wir Sie darüber, welche personenbezogenen Daten wir in Zusammenhang mit LLMoin verarbeiten, bei wem wir sie erheben und was wir mit diesen Daten machen. Außerdem informieren wir Sie über Ihre Rechte in Datenschutzfragen und an wen Sie sich diesbezüglich wenden können.

1. Wer sind wir?

Wir sind das Amt IT und Digitalisierung der Senatskanzlei der Freien und Hansestadt Hamburg.

Unsere Kontaktangaben sind:

Senat der Freien und Hansestadt Hamburg
Senatskanzlei / Amt für IT und Digitalisierung
Fachliche Leitstelle LLMoin
Rathausmarkt 1, 20095 Hamburg
E-Mail: llmoin@sk.hamburg.de

2. Wer ist bei der Nutzung von LLMoin involviert?

An den Datenverarbeitungen, die bei der Nutzung von LLMoin eine Rolle spielen, sind folgende Stellen beteiligt:

  • Wir,
  • Dataport AöR, Altenholzer Straße 10–14; 24161 Altenholz (nachfolgend „Dataport“) und
  • Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA (nachfolgend “Microsoft”)

als die Stellen, die LLMoin bereitstellen sowie

  • die Behörde, die LLMoin zur Erledigung von Verwaltungsaufgaben nutzt.

LLMoin wird von Dataport für uns im Auftrag gemäß Art. 28 DSGVO betrieben. Das KI-Modell, das Dataport insoweit verwendet, wird wiederum von Microsoft für Dataport im Auftrag bereitgestellt. Damit sind wir insgesamt für den Betrieb und die Bereitstellung von LLMoin datenschutzrechtlich verantwortlich. Von dieser Verantwortlichkeit umfasst sind die

  • Datenverarbeitungen, die in LLMoin auf Grundlage der Eingaben zur Erzeugung von Antworten erfolgen,
  • Weiterverarbeitungen von Nutzungsdaten (Eingaben / Prompts, Antworten, Metadaten) sowie
  • Erzeugung von Ausgaben personenbezogener Daten aus der Wissensbasis von LLMoin

Für die Auswahl der Daten für die Eingaben als auch für die Weiterverwendung der Antworten aus LLMoin zur Erledigung von Verwaltungsaufgaben ist dagegen die jeweilige Behörde datenschutzrechtlich verantwortlich, die LLMoin als Unterstützungsmittel für ihre Verwaltungsaufgaben verwendet. In Bezug auf Sie ist das dann möglicherweise die Behörde, die sich sachlich mit Ihnen befasst. Die Nutzung von LLMoin ist für die Behörden der Freien und Hansestadt nicht verpflichtend. Wenn Sie wissen möchten, ob auch die Behörde, die sich sachlich mit Ihrer Angelegenheit befasst, LLMoin nutzt, können Sie sich hierzu an diese Behörde wenden.

3. Zu welchen Zwecken und auf Basis welcher Rechtsgrundlagen verarbeiten wir Ihre Daten wie lange?

An den Datenverarbeitungen, die bei der Nutzung von LLMoin eine Rolle spielen, sind folgende Stellen beteiligt:

  • Wir,
  • Dataport AöR, Altenholzer Straße 10–14; 24161 Altenholz (nachfolgend „Dataport“) und
  • Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA (nachfolgend “Microsoft”)

als die Stellen, die LLMoin bereitstellen sowie

  • die Behörde, die LLMoin zur Erledigung von Verwaltungsaufgaben nutzt.

LLMoin wird von Dataport für uns im Auftrag gemäß Art. 28 DSGVO betrieben. Das KI-Modell, das Dataport insoweit verwendet, wird wiederum von Microsoft für Dataport im Auftrag bereitgestellt. Damit sind wir insgesamt für den Betrieb und die Bereitstellung von LLMoin datenschutzrechtlich verantwortlich. Von dieser Verantwortlichkeit umfasst sind die

  • Datenverarbeitungen, die in LLMoin auf Grundlage der Eingaben zur Erzeugung von Antworten erfolgen,
  • Weiterverarbeitungen von Nutzungsdaten (Eingaben / Prompts, Antworten, Metadaten) sowie
  • Erzeugung von Ausgaben personenbezogener Daten aus der Wissensbasis von LLMoin

Für die Auswahl der Daten für die Eingaben als auch für die Weiterverwendung der Antworten aus LLMoin zur Erledigung von Verwaltungsaufgaben ist dagegen die jeweilige Behörde datenschutzrechtlich verantwortlich, die LLMoin als Unterstützungsmittel für ihre Verwaltungsaufgaben verwendet. In Bezug auf Sie ist das dann möglicherweise die Behörde, die sich sachlich mit Ihnen befasst. Die Nutzung von LLMoin ist für die Behörden der Freien und Hansestadt nicht verpflichtend. Wenn Sie wissen möchten, ob auch die Behörde, die sich sachlich mit Ihrer Angelegenheit befasst, LLMoin nutzt, können Sie sich hierzu an diese Behörde wenden.

a. Erzeugung von Antworten aus den Eingaben

Der Zweck der Erzeugung von Antworten auf Grundlage der Eingaben durch LLMoin ist, soweit Ihre personenbezogenen Daten hiervon betroffen sind, die Wahrnehmung der Aufgabe des SK/ITD, den Behörden, die LLMoin nutzen, eine effiziente Erledigung von Textaufgaben zu ermöglichen und sie bei der Recherche in Dokumenten und Generierung sowie Umstrukturierung von Texten zu unterstützen.

Die Rechtsgrundlage hierfür ist Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 4 HmbDSG in Verbindung mit § 14 Abs. 1 HmbVwDiG.

Die Daten, die in LLMoin eingegeben worden sind, werden unmittelbar nach Erzeugung einer Antwort durch Microsoft von Microsoft gelöscht.

b. Weiterverarbeitungen von Nutzungsdaten (Prompts, Antworten, Metadaten)

Die Weiterverarbeitung von Nutzungsdaten (Prompts, Antworten, Metadaten) erfolgt zu unterschiedlichen Zwecken und auf der Basis unterschiedlicher Rechtsgrundlagen. Die unterschiedlichen Zwecke und Rechtsgrundlagen werden nachfolgend beschrieben, soweit sie Verarbeitungen betreffen, die sich auf Ihre Daten als Bürger:innen beziehen können.

aa. Speicherung der technischen Fehler mit dazugehörigem Prompt

Wir speichern technische Fehler mit dazugehörigem Prompt. Dies erfolgt zu dem Zweck der Fehlerdiagnose. Der Nutzung des dazugehörigen Prompts erfolgt nur dann, wenn die Kenntnis des Inhalts des Prompts zur Fehlerdiagnose erforderlich ist.

Rechtsgrundlage für die Speicherung ist die Sicherstellung eines ordnungsgemäßen Betriebs nach Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 4 HmbDSG in Verbindung mit § 6 Abs. 1 HmbDSG.

Die technischen Fehler mit dazugehörigem Prompt werden mit Ablauf von 58 Tagen gelöscht.

bb. Speicherung von vordefinierten und regelbasierten Antworten

Zudem werden vordefinierte und regelbasierte Antworten gespeichert. Die Speicherung erfolgt zu dem Zweck, Betroffenenrechte  (Art. 16, 17, 18, 21 DSGVO) zu erfüllen. Wenn Sie uns gegenüber beispielsweise der Verarbeitung Ihrer Daten in LLMoin widersprechen oder die Berichtigung Ihrer Daten verlangen, können wir diese Rechte durch vordefinierte und regelbasierte Antworten so umsetzen, dass Ihre Daten nicht oder richtig oder vollständig in LLMoin verarbeitet werden.

Rechtsgrundlage für die Speicherung ist die Pflicht zur Erfüllung von Betroffenenrechten nach Art. 6 Abs. 1 Buchstabe c DSGVO in Verbindung mit Art. 16 ff. DSGVO.

Die vordefinierten und regelbasierten Antworten werden ohne festgelegte Frist mit Überarbeitung oder Entfernung gelöscht.

cc. Anonymisierte Filterung von Prompts und Antworten (Content-Filter)

Prompts und Antworten werden anonymisiert gefiltert. Dies erfolgt zu dem Zweck, Verstöße gegen Richtlinien zu erkennen und Antworten zu blockieren.

Rechtsgrundlage für diese Verarbeitung ist die Sicherstellung eines ordnungsgemäßen Betriebs nach Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 4 HmbDSG in Verbindung mit § 6 Abs. 1 HmbDSG.

c. Erzeugung von Ausgaben personenbezogener Daten aus der Wissensbasis von LLMoin

Soweit Sie Ihre Daten selbst öffentlich zugänglich gemacht haben, kann es sein, dass Ihre Daten zur Entwicklung des KI-Modells, das hinter LLMoin steht, genutzt worden sind. In diesem Fall ist es theoretisch möglich, dass Ihre Daten über LLMoin abgefragt werden können. Allerdings ist über die Handlungsanweisungen, die für die Nutzung von LLMoin gelten, sichergestellt, dass die Nutzung von LLMoin der Erledigung von Verwaltungsaufgaben dient.

Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 4 HmbDSG in Verbindung mit § 14 Abs. 1 HmbVwDiG.

Die Speicherdauer der personenbezogenen Daten im KI-Modell selbst können wir nicht beeinflussen. Wir können jedoch die Nutzung dieser Daten auf entsprechenden Antrag bei uns durch vordefinierte und regelbasierte Antworten dauerhaft unterbinden, sodass sie von Nutzenden von LLMoin nicht mehr abgefragt werden können.

4. Wie geben wir Daten weiter? 

Die Daten, die in LLMoin eingeben werden, gelangen zur Erzeugung einer Antwort an Dataport und von Dataport an Microsoft. Im Übrigen findet keine Verarbeitung dieser Daten durch Microsoft statt. Das Modell von LLMoin selbst speichert die Daten, die eingegeben worden sind, nicht.

Dataport ist Auftragnehmerin von SK/ITD im Sinne des Art. 28 Abs. 1 DSGVO, Microsoft Unterauftragnehmerin von SK/ITD im Sinne des Art. 28 Abs. 2 DSGVO.

5. Wer sind Ihre Ansprechpersonen? 

Ansprechpartner:innen für Fragen, die LLMoin betreffen, ist die Fachliche Leitstelle. Die Kontaktangaben sind unter Ziffer 1 „Wer sind wir?“ zu finden.

Datenschutzrechtliche Fragen rund um die Verarbeitungen, für die SK/ITD nach Ziffer 2 „Wer ist bei der Nutzung von LLMoin involviert?“ datenschutzrechtlich verantwortlich ist, können Sie an die bzw. den für das Amt für IT und Digitalisierung der Senatskanzlei zuständige(n) Datenschutzbeauftragte(n) richten. Die Kontaktangaben lauten:

Senat der Freien und Hansestadt Hamburg

Senatskanzlei / Amt für IT und Digitalisierung

Datenschutzbeauftragte/r

Rathausmarkt 1, 20095 Hamburg

E-Mail: itd-dsb@sk.hamburg.de

Für Fragen, die inhaltlich das Verwaltungsverfahren betreffen (z.B. „wann bekomme ich eine Antwort“, „waren die Unterlagen richtig“, „fehlt noch etwas“), wenden Sie sich bitte nicht an uns, sondern an die Stelle, mit der Sie insoweit in Kontakt getreten sind. Gleiches gilt für datenschutzrechtliche Fragen in Bezug auf Datenverarbeitungen, für die das SK/ITD nach Ziffer 2 „Wer ist bei der Nutzung von LLMoin involviert?“ nicht datenschutzrechtlich verantwortlich ist.

Wenn Sie einen Antrag auf Wahrnehmung Ihrer Betroffenenrechte nach den Art. 15 ff. DSGVO (also u.a. auf Auskunft, Berichtigung, Löschung, siehe hierzu unten Ziffer 6 „Welche Rechte haben Sie?“) stellen wollen, können Sie sich, soweit Ihre Betroffenenrechte LLMoin und SK/ITD als datenschutzrechtlich Verantwortliche betreffen, an uns, im Übrigen bitte ebenfalls an die Stelle wenden, mit der Sie in Ihrer Angelegenheit in Kontakt stehen.

Wenn Sie unsicher sind, ob es sich um eine Datenverarbeitung handelt, für das SK/ITD oder die Behörde verantwortlich ist, mit der Sie in Kontakt getreten sind, können Sie Ihren Antrag oder Ihre Frage an uns richten. Für den Fall, dass wir nicht verantwortlich sind, leiten wir Ihre Frage oder Ihren Antrag dann an die verantwortliche Stelle weiter.

6. Welche Rechte haben Sie?

Sie haben nach der Datenschutz-Grundverordnung verschiedene Rechte. Diese können Sie gegenüber uns in Bezug auf Datenverarbeitungen in und durch LLMoin geltend machen.


a.    Recht auf Auskunft

Sie können Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten verlangen. In Ihrem Auskunftsantrag sollten Sie Ihr Anliegen präzisieren, um uns das Zusammenstellen der erforderlichen Daten zu erleichtern.

b.   Recht auf Berichtigung

Sollten die Sie betreffenden Angaben nicht (mehr) zutreffend sein, können Sie von uns eine Berichtigung verlangen. Sollten Ihre Daten unvollständig sein, können Sie eine Vervollständigung verlangen.

c.    Recht auf Löschung

Sie können die Löschung Ihrer personenbezogenen Daten verlangen. Ihr Anspruch auf Löschung hängt u. a. davon ab, ob die Sie betreffenden Daten von uns zur Erfüllung gesetzlicher Aufgaben noch benötigt werden.

d.    Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, eine Einschränkung der Verarbeitung der Sie betreffenden Daten zu verlangen. Die Einschränkung steht einer Verarbeitung nicht entgegen, soweit an der Verarbeitung ein wichtiges öffentliches Interesse besteht.

e.    Recht auf Widerspruch

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit der Verarbeitung der Sie betreffenden Daten zu widersprechen. Allerdings führt der Widerspruch nicht dazu, dass die Verarbeitung unterbleibt, wenn und weil wir an der Verarbeitung ein überwiegendes öffentliches Interesse haben oder aufgrund einer Rechtsvorschrift zur Verarbeitung verpflichtet sind.

f.    Recht auf Beschwerde

Wenn Sie der Auffassung sind, dass wir Ihrem Anliegen nicht oder nicht in vollem Umfang nachgekommen sind, können Sie bei der für uns zuständigen Datenschutzaufsichtsbehörde Beschwerde einlegen:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22, 20459 Hamburg
Tel.:      (040) 4 28 54 - 40 40
E-Fax: (040) 4 28 54 - 40 00
E-Mail: mailbox@datenschutz.hamburg.de

Allgemeine Hinweise zu diesen Rechten

Wir antworten grundsätzlich innerhalb eines Monats, nachdem wir Ihren Antrag erhalten haben. Wenn wir länger als einen Monat für eine abschließende Klärung benötigen, erhalten Sie eine Zwischennachricht.

Wenn es Gründe gibt, warum wir Ihr Anliegen nicht erfüllen können, teilen wir Ihnen dies mit. Sie erhalten in jedem Fall eine Nachricht von uns. 

Version 1.1
16.09.2025