VwGH zu AMS-Algorithmus - mit Folgen für den Einsatz von KI in Unternehmen

Die Verwendung weitentwickelter Algorithmen beschäftigt nicht nur viele Unternehmen, sondern hat bereits auch den öffentlichen Sektor in Österreich erreicht: Schon seit mehreren Jahren plant das AMS, einen maßgeschneiderten Algorithmus bei der Arbeitsvermittlung einzusetzen. Die österreichische Datenschutzbehörde machte dem AMS dabei einen Strich durch die Rechnung. Der Rechtsstreit ging bis zum VwGH, welcher nun das lang erwartete Urteil dazu erließ. Der VwGH (Ro 2021/04/0010) verwies den Rechtstreit zwar zurück an das Bundesverwaltungsgericht, traf dabei aber einige spannende Aussagen, die auch für die Nutzung von Algorithmen und KI in Unternehmen weitreichende Folgen haben werden.

Die wichtigsten Punkte des Urteils und dessen Auswirkungen auf Ihr Unternehmen haben wir für Sie zusammengefasst.

AMAS: Die Zukunft der Arbeitsbetreuung?

Bei AMAS („Arbeitsmarktchancen Assistenzsystem“) handelt es sich um ein Statistikmodell, welches anhand eines Algorithmus die Arbeitsmarktchancen von arbeitssuchenden Personen automatisiert errechnet. Zu diesem Zweck wird der Algorithmus mit einer Vielzahl personenbezogener Daten gefüttert, wie z.B. Altersgruppe, Geschlecht, Nationalität, Ausbildung, gesundheitliche Beeinträchtigung und Vorkarriere. Anhand dieser Daten teilt der Algorithmus die Arbeitssuchenden in drei Gruppen von niedrig bis hoch ein, für welche unterschiedliche Betreuungsstrategien vorgesehen sind.

Arbeitsbetreuung ist Privatsache

Hervorzuheben an der Entscheidung des VwGH ist zunächst, dass dieser den Einsatz von AMAS nicht dem öffentlichen Sektor, sondern der Privatwirtschaft zugeschrieben hat. Der Grund dafür: Der Anspruch auf Arbeitslosengeld ist zwar hoheitlicher Natur, die Beratung sowie die Erstellung des Betreuungsplans jedoch nicht, da kein Rechtsanspruch auf Beratung besteht und in dieser Hinsicht keine Bescheide vom AMS erlassen werden. Diese Unterscheidung dürfte auch relevant für andere Behörden sein, die personenbezogene Daten außerhalb ihrer direkten Befehls- und Zwangsgewalt verarbeiten. Gleichzeitig kann die rechtliche Beurteilung dadurch auch auf automatisierte Datenverarbeitungen in Unternehmen umgelegt werden.

Die strengen Grenzen für automatisierte Entscheidungsfindung

Der VwGH zog mehrere Parallelen zwischen AMAS und dem jüngst ergangenen EuGH-Urteil in der Causa SCHUFA, bei dem der EuGH die strengen Voraussetzungen nach der DSGVO für Credit Scoring durch Kreditauskunfteien betonte.

Die „Gretchenfrage“ bei der Anwendung derartiger Algorithmen und Scoring-Systeme ist, ob es sich dabei um „automatisierte Entscheidungsfindung“ nach Artikel 22 DSGVO handelt. Das ist nämlich nur mit entweder gesetzlicher Erlaubnis, vertraglicher Notwendigkeit oder gültiger Einwilligung der Betroffenen erlaubt – was den rechtskonformen Einsatz in der Praxis fast unmöglich macht.

Das AMS argumentierte gegen die Einstufung als automatisierte Entscheidungsfindung – und zwar mit guten Argumenten: Die Einstufung der Arbeitssuchenden erfolgte stets durch die Mitarbeiter des AMS. Diese waren an den Vorschlag von AMAS nicht gebunden und wurden darauf geschult, die Einstufung von AMAS nicht ungefragt zu übernehmen, weshalb der Algorithmus selbst gar keine Entscheidungen treffe.

Der VwGH sah das anders: Unter Verweis auf die genannte EuGH-Entscheidung liege eine (hier unzulässige) automatisierte Entscheidungsfindung schon dann vor, wenn die Entscheidung des Algorithmus für die spätere Einordnung „maßgeblich“ ist – wenn also ein bestimmter Score mit hoher Wahrscheinlichkeit zu einem bestimmten Ergebnis führt. Eine „menschliche“ Kontrolle wie bei AMAS schließe diese Einordnung nicht aus.

Wie „maßgeblich“ der AMAS-Score für die Einordnung des AMS tatsächlich ist, muss nun das Bundesverwaltungsgericht neuerlich klären. Sofern das AMS jedoch nicht nachweisen kann, dass andere Parameter in der Einordnung maßgeblicher sind als der AMAS-Score, ist AMAS in der vorliegenden Form wohl DSGVO-widrig.

Was diese Entscheidung für Ihr Unternehmen bedeutet

Die meisten von Ihnen werden nicht in der Arbeitsvermittlung tätig sein. Dennoch hat diese VwGH-Entscheidung auch für Ihr Unternehmen Bedeutung – vor allem, wenn Sie den Einsatz von KI-Tools planen, die personenbezogene Daten verarbeiten.

Wenn Sie etwa Bewerbungen zunächst durch ein KI-Tool laufen lassen, um diese nach Ihren Kriterien zu reihen (und unpassende „auszusieben“), so kann das bereits gegen Art 22 DSGVO verstoßen - neben anderen rechtlichen Problemen, die sich hier ergeben würden. Im Falle einer Prüfung durch die Datenschutzbehörde müssten Sie nachweisen können, dass diese Reihung der KI für Ihre Entscheidung, einzelne Bewerber (nicht) einzustellen, nicht „maßgeblich“ war - ein in der Praxis gar nicht so einfach zu erbringender Nachweis.

Wenn Sie planen, derartige Tools in Zusammenhang mit KI-Tools einzusetzen, sollten Sie folgendes beachten:

• KI zur Entscheidungsfindung über Personen sollte nur hilfsweise eingesetzt werden. Die endgültige Entscheidung muss jedoch durch einen Menschen auf Basis von nachweisbaren Parametern getroffen werden. Diese Entscheidung darf also nicht bloß eine unreflektierte Bestätigung des KI-Vorschlages sein, sondern muss sich nachvollziehbar mit anderen Faktoren als dem KI-Vorschlag beschäftigen.
• Dokumentation: Der Verantwortliche muss im Zweifel nachweisen können, warum keine automatisierte Entscheidungsfindung vorliegt. Hier ist entsprechende Dokumentation unerlässlich. Stellen Sie sicher, dass Sie stets nachweisen können, warum Sie so entschieden haben (und warum das KI-Ergebnis dafür nicht ausschlaggebend war). 
• Informationspflichten: Personen müssen über sämtliche sie betreffende Datenverarbeitungen aufgeklärt werden. Dies umfasst auch ob und wie deren Daten mit Hilfe von KI verarbeitet werden. Eine ausführliche und leicht verständliche Datenschutzerklärung kann hier Abhilfe schaffen.
• Vor dem Einsatz eines KI-Tools muss idR eine Datenschutzfolgenabschätzung durchgeführt werden (Art 35 DSGVO).
• Bedenken Sie auch die Implikation des bevorstehenden AI-Acts. Gerade KI-Anwendungen im HR-Bereich haben demnach zusätzliche Anforderungen.
• KI-Einsatz im Unternehmen ist rechtlich herausfordernd, aber möglich! Holen Sie sich am besten bereits in der Beratungsphase auch juristischen Rat ein. Eine richtige Konzeption von Anfang an, spart im Nachhinein viel Arbeit!

Gerne unterstützen wir Sie hier in der Planung, Vorbereitung, Dokumentation und Umsetzung Ihrer KI-Systeme im Unternehmen!