KI im Recruiting – Was das Recht sagt

Österreich greifen bei algorithmischen (KI) Entscheidungen im Recruiting mehrere Regelwerke ineinander: das Gleichbehandlungsgesetz, die europäische KI-Verordnung und die Datenschutz-Grundverordnung.

Das Gleichbehandlungsgesetz (GlBG)

Das GlBG schützt Menschen in der Arbeitswelt vor Benachteiligung aufgrund bestimmter geschützter Merkmale: Geschlecht (1. Abschnitt), ethnische Zugehörigkeit, sexuelle Orientierung, Alter, Religion oder Weltanschauung (2. Abschnitt). Diese Regelungen gelten unabhängig davon, ob eine Entscheidung von einem Menschen oder von einer Software getroffen wird. Benachteiligt ein Algorithmus Personen aufgrund eines dieser geschützten Merkmale, und wird diese Benachteiligung in Folge auch umgesetzt, ist diese Handlung rechtswidrig.

Konkret bedeutet das für Bewerbungsverfahren, dass die Personalauswahl ausschließlich anhand von nichtdiskriminierenden Kriterien erfolgen muss, etwa Qualifikation und fachliche Eignung. Wird jemand aufgrund eines Algorithmus diskriminierend abgelehnt, bestehen dieselben Schadenersatzansprüche wie bei menschlicher Diskriminierung. Kommt ein Arbeitsverhältnis aufgrund einer Diskriminierung nicht zustande, steht den Stellenwerber:innen Schadenersatz zu, sofern sie ohne die diskriminierende Vorgehensweise die Stelle erhalten hätten.

Die Beweislastumkehr des GlBG erleichtert Betroffenen in diesen Fällen die oft schwierige Beweisführung bei algorithmischen Entscheidungen erheblich. Wer glaubhaft machen kann, aufgrund eines geschützten Merkmals benachteiligt worden zu sein, muss die Diskriminierung nicht vollständig beweisen. Die Gegenseite muss dann darlegen, dass ein anderer, sachlicher Grund für die Entscheidung ausschlaggebend war.

Die KI-Verordnung der EU (AI Act)

Seit August 2026 ergänzt ein völlig neues Regelwerk den bestehenden Diskriminierungsschutz: die europäische KI-Verordnung (VO (EU) 2024/1689). KI-Systeme, die im Bewerbungsprozess eingesetzt werden sollen sowie solche, die sich maßgeblich auf das Arbeitsverhältnis in allen Bedingungen und Stadien auswirkt, gelten nach Anhang III der KI-Verordnung als Hochrisikosysteme, sofern damit die menschliche Entscheidung beeinflusst oder ersetzt werden soll. Die Anforderungen an diese Systeme sind gegenüber den allseits bekannten Chats wie ChatGPT oder Gemini deutlich erhöht. Solche Systeme bedürfen eines Risikomanagement-Systems (Art 9), einer Qualitätskontrolle für Trainingsdaten (Art 10), einer technischen Dokumentation, aus der der Nachweis über die Erfüllung der Anforderungen hervorgeht (Art 11), Aufzeichnungspflichten über Ereignisse (Art 12), Transparenzpflichten gegenüber den Personen, die die Systeme einsetzen, sodass der Entscheidungsprozess nachvollziehbar ist (Art 13), einer menschlichen Aufsicht (Art 14) und erweiterter Cybersicherheit (Art 15).

Auch Betreiber treffen noch weitere Pflichten (vgl Abschnitt 3 der KI-Verordnung).

Diese Pflichten sind kein Bagatelldelikt. Bußgelder reichen bei schwerwiegenden Verstößen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Zusätzlich bestehen eigene Meldepflichten: Bei schwerwiegenden Vorfällen gilt eine Meldepflicht nach Art. 73 AI Act gegenüber Anbietern und der Marktüberwachungsbehörde.

Die DSGVO bei automatisierten Entscheidungen

Neben dem Diskriminierungsschutz und der Regulierung der KI-Systeme greift bei algorithmischen Entscheidungen die Datenschutz-Grundverordnung. Art 22 DSGVO gewährt ein eigenständiges Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden, wenn diese rechtliche Wirkung entfaltet oder eine Person in ähnlicher Weise erheblich beeinträchtigt. Eine unmittelbare, automatisierte Ablehnung nach der Eingabe der Bewerbungsdaten in ein e-Recruiting-Tool, ganz ohne menschliche Prüfung, fällt genau in diesen Anwendungsbereich.

Wann gilt Art 22 DSGVO – und wann nicht?

Das Recht gilt nicht uneingeschränkt. Es greift beispielsweise dann nicht, wenn die betroffene Person ausdrücklich eingewilligt hat oder die Entscheidung für den Abschluss eines Vertrags erforderlich ist. Auch reine Entscheidungsunterstützung ist ausgenommen. Sortiert ein System Bewerbungen nur vor, ohne die Entscheidung selbst zu treffen, liegt keine automatisierte Entscheidung im Sinne von Art 22 vor, solange ein Mensch die tatsächliche Auswahl trifft.

Pflichten bei automatisierten Entscheidungen

Greift Art 22 DSGVO, muss der Verantwortliche angemessene Maßnahmen zum Schutz der betroffenen Person treffen. Dazu zählt mindestens das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Zusätzlich bestehen allgemeine Informationspflichten nach Art 13 und 14 DSGVO. Bewerber:innen müssen erfahren, dass überhaupt ein automatisiertes System zum Einsatz kommt und welche Logik dahintersteht. Eine Sonderregel betrifft besonders sensible Daten: Automatisierte Entscheidungen dürfen grundsätzlich nicht auf besonderen Kategorien personenbezogener Daten wie Gesundheitsdaten oder ethnischer Herkunft beruhen, außer es liegen ausdrückliche Einwilligung oder gesetzliche Ausnahmen sowie angemessene Schutzmaßnahmen vor.

Drei Regelwerke, ein Ziel

GlBG, DSGVO und KI-Verordnung verfolgen unterschiedliche Ansätze, ergänzen sich aber sinnvoll. Das GlBG schützt individuelle Betroffene nach einer erfolgten Diskriminierung und ermöglicht Schadenersatz. Die DSGVO sichert Transparenz und Mitsprache bei automatisierten Entscheidungen. Die KI-Verordnung setzt systemisch an und verlangt von Unternehmen, Diskriminierungsrisiken durch technische und organisatorische Maßnahmen von vornherein zu minimieren.

Für Betroffene bedeutet das, dass der Rechtsschutz gegen algorithmische Diskriminierung in Österreich ist heute umfassender als noch vor wenigen Jahren.