KI am Arbeitsplatz in Österreich: Beschäftigtendaten und Betriebsrat richtig einbinden

Use Case und Eingriffsintensität zuerst abgrenzen

Recruiting-Assistent, Schichtplanung, Zeiterfassung, Kommunikationsanalyse und Leistungsprognose sind rechtlich keine einheitliche Kategorie. Entscheidend sind Zweck, Datenquellen, betroffene Personengruppe, Entscheidungseinfluss, Überwachungsdichte und Fehlerfolgen. Ein Werkzeug, das Stellenanzeigen sprachlich überarbeitet, greift typischerweise anders ein als ein System, das Bewerbungen rankt, Gesprächsstimmungen auswertet oder laufend Produktivitätswerte einzelner Beschäftigter bildet.

Die Geschäftsführung sollte daher vor Einkauf oder Pilot einen schriftlichen Use Case verlangen. Er muss Eingaben, abgeleitete Merkmale, Ausgaben, Empfänger, automatisierte Empfehlungen und menschliche Eingriffspunkte zeigen. Verdeckte Zusatzfunktionen wie Sentimentanalyse, Aktivitätsscores oder Benchmarking sind ausdrücklich zu erfassen. Ohne diese Abgrenzung lässt sich weder die datenschutzrechtliche Erforderlichkeit noch eine Zustimmungspflicht des Betriebsrats oder eine mögliche Hochrisikoeinstufung seriös beurteilen.

• Keine Freigabe nur anhand des Produktnamens oder Anbieterlabels.
• Bewertung, Kontrolle und bloße Arbeitsunterstützung getrennt beschreiben.
• Optionale Analysefunktionen standardmäßig deaktivieren, bis sie gesondert geprüft sind.

Quellen: [1] [2]

Beschäftigtendaten nach der DSGVO rechtmäßig verarbeiten

Für jede Datenverarbeitung sind Zweck, Rechtsgrundlage, Erforderlichkeit, Verhältnismäßigkeit, Transparenz und Speicherbegrenzung zu prüfen. Im Arbeitsverhältnis ist Einwilligung wegen des Abhängigkeitsverhältnisses häufig kein belastbares Standardmodell. Auch ein berechtigtes Interesse trägt nicht jede Form kontinuierlicher Verhaltens- oder Leistungsauswertung. Das Unternehmen muss prüfen, ob weniger eingriffsintensive Daten, aggregierte Auswertungen oder eine organisatorische Lösung denselben legitimen Zweck erreichen.

Besonders kritisch sind abgeleitete Daten: Ein System kann aus Kommunikationsmustern vermeintliche Motivation, Fluktuationsneigung, Gesundheit oder Stimmung folgern. Solche Schlussfolgerungen bleiben personenbezogene Daten und können besondere Kategorien berühren. Falsche Präzision erhöht das Risiko für Benachteiligung. Vor erheblichen Personalentscheidungen braucht es aktuelle, relevante Daten, fachkundige Prüfung, eine echte Abweichungsmöglichkeit und einen nachvollziehbaren Weg, fehlerhafte Eingaben oder Ausgaben berichtigen zu lassen.

• Datenfelder und abgeleitete Scores einzeln rechtfertigen.
• Einwilligung nicht zur Reparatur eines unverhältnismäßigen Systems einsetzen.
• Speicherfristen und Zugriffsrechte nach Personalprozess begrenzen.

Quellen: [2]

Informations-, Beratungs- und Zustimmungsrechte trennen

Das ArbVG kennt unterschiedliche Beteiligungsformen. § 91 verpflichtet zur Information über Angelegenheiten, die Arbeitnehmerinteressen berühren, und konkret über automationsunterstützt aufgezeichnete Arbeitnehmerdaten sowie vorgesehene Verarbeitungen und Übermittlungen. § 96 verlangt für die dort genannten Maßnahmen die Zustimmung des Betriebsrats, darunter Kontrollmaßnahmen und technische Kontrollsysteme, welche die Menschenwürde berühren. § 96a erfasst unter seinen Voraussetzungen bestimmte automationsunterstützte Personaldatensysteme und Beurteilungssysteme; hier kann die fehlende Zustimmung durch eine Entscheidung der Schlichtungsstelle ersetzt werden. Ob ein Tatbestand erfüllt ist, hängt nicht vom Marketingbegriff KI, sondern von Funktion, Daten und Wirkung ab.

Die Leitung darf aus einer allgemeinen Projektinformation nicht auf Zustimmung schließen. Ebenso sollte sie einen vermeintlich harmlosen Pilot nicht außerhalb der Beteiligungsrechte starten, wenn bereits echte Beschäftigtendaten verarbeitet oder Verhalten ausgewertet wird. Der Betriebsrat ist so früh einzubinden, dass Alternativen noch offenstehen. Technische Unterlagen, Datenfelder, Rollen, Auswertungslogik und geplante Änderungen müssen verständlich vorliegen; bloße Anbieterfolien genügen für eine substanzielle Beratung nicht. Ist kein Betriebsrat eingerichtet, ersetzt dies nicht jede arbeitsrechtliche Prüfung: Für Kontrollmaßnahmen und technische Systeme, welche die Menschenwürde berühren, verlangt § 10 AVRAG die Zustimmung der betroffenen Arbeitnehmerin oder des betroffenen Arbeitnehmers.

• §§ 91, 96 und 96a ArbVG als getrennte Prüfschritte dokumentieren.
• Erforderliche Zustimmung oder ein gesetzlich vorgesehenes Ersatzverfahren vor Einführung abschließen.
• In betriebsratslosen Betrieben § 10 AVRAG und individuelle Rechte gesondert prüfen.
• Pilot, Test und Produktivbetrieb anhand realer Daten und Wirkungen beurteilen.

Quellen: [1] [5]

Betriebsvereinbarung technisch und organisatorisch konkretisieren

Eine belastbare Betriebsvereinbarung beschreibt nicht nur den Produktnamen. Sie sollte zulässige Zwecke, Datenquellen, verbotene Datenfelder, Nutzerrollen, Auswertungen, Empfänger, Speicherfristen und Löschprozesse festlegen. Ebenso wichtig sind Grenzen für Einzelabfragen, Rankings, Profilbildung und die Verknüpfung mit anderen Personalsystemen. Beschäftigte brauchen einen verständlichen Informations- und Beschwerdeweg sowie die Möglichkeit, unrichtige Grundlagen einer Entscheidung korrigieren zu lassen.

Da KI-Dienste häufig aktualisiert werden, braucht die Vereinbarung einen kontrollierten Änderungsprozess. Nicht jede Fehlerbehebung muss neu verhandelt werden; ein neues Modell, zusätzliche Datenquelle, neue Bewertungslogik oder erweiterter Zweck kann aber die Eingriffsintensität verändern. Management und Betriebsrat sollten deshalb meldepflichtige Änderungen, Prüffristen, Testrechte, Aussetzungsgründe und Re-Freigaben definieren. Eine pauschale dynamische Zustimmung zu allen künftigen Funktionen ist kein tragfähiger Ersatz für konkrete Regeln.

• Zulässige und unzulässige Auswertungen ausdrücklich auflisten.
• Menschliche Kontrolle mit Kompetenz, Zeit und Abweichungsrecht definieren.
• Wesentliche Modell-, Daten- oder Zweckänderungen als Neubewertungsanlass festlegen.

Quellen: [1] [2]

DSFA, Art. 22 und Diskriminierungsrisiken steuern

Personal-KI kann wegen systematischer Bewertung, großer Datenmengen, innovativer Technik oder erheblicher Auswirkungen ein hohes Datenschutzrisiko verursachen. Dann ist vor dem Einsatz eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Sie muss Notwendigkeit, Verhältnismäßigkeit, Risiken und Abhilfen bewerten. Art. 22 ist zusätzlich zu prüfen, wenn eine Entscheidung ausschließlich automatisiert erfolgt und rechtliche oder ähnlich erhebliche Wirkung hat. Beide Prüfungen sind nicht durch eine Betriebsvereinbarung ersetzt.

Auch jenseits ausschließlich automatisierter Entscheidungen muss das Unternehmen Verzerrungen und mittelbare Benachteiligung beherrschen. Historische Personaldaten können frühere Ungleichheiten fortschreiben; Stellvertretermerkmale können geschützte Eigenschaften indirekt abbilden. Das Management sollte vor Freigabe messbare Qualitäts- und Fairnesskriterien, repräsentative Tests, Beschwerdeanalysen und Stoppschwellen verlangen. Datenschutzprüfung, Gleichbehandlungsprüfung und arbeitsrechtliche Prüfung bleiben eigene Arbeitsstränge und werden erst in der Freigabe zusammengeführt.

• DSFA vor Beginn einer voraussichtlich hochriskanten Verarbeitung abschließen.
• Automatisierungsgrad und tatsächliche menschliche Einflussmöglichkeit testen.
• Benachteiligungsindikatoren und Beschwerden laufend überwachen.

Quellen: [2]

AI Act Pflichten zeitlich und sachlich abgrenzen

Beschäftigungsbezogene Systeme können nach ihrem konkreten Verwendungszweck unter Anhang III des AI Act fallen. Das ist keine pauschale Aussage über jede HR-Software. Die Hochrisikopflichten der einschlägigen Kapitel-III-Abschnitte gelten nach der Verordnung (EU) 2026/1744 für Anhang-III-Systeme ab 2. Dezember 2027. Bereits anwendbare Verbote und andere Bestimmungen sind davon zu unterscheiden; insbesondere ist bestimmte Emotionserkennung am Arbeitsplatz tatbestandsbezogen verboten.

Diese zeitliche Verschiebung setzt DSGVO, DSG oder ArbVG nicht aus. Auch die künftige Betreiberinformation an Arbeitnehmervertretung und betroffene Beschäftigte nach dem AI Act ersetzt keine österreichische Betriebsvereinbarung. Das Management muss deshalb zwei Entscheidungen treffen: erstens, ob der Einsatz heute nach Datenschutz- und Arbeitsrecht zulässig organisiert werden kann; zweitens, welche AI Act-Rolle und Einstufung vorliegt und welche Vorbereitungen bis zum jeweiligen Anwendungstermin abgeschlossen sein müssen.

• Anhang-III-Einstufung anhand des konkreten Zwecks prüfen.
• 2. Dezember 2027 nicht als Aufschub für ArbVG oder DSGVO behandeln.
• AI Act-Information und österreichische Mitbestimmung getrennt erfüllen.

Quellen: [3] [4] [1]

Häufige Fragen