KI-Recruiting AGG/BAG-konform: 8 Safeguards

Hauptartikel: Algorithmische Diskriminierung im Recruiting — Rechtslage 2026 — der vollständige Pillar-Artikel zum Thema.

Zwei Rechtsgebiete, zwei Prüfpfade

KI-gestützte Personalauswahl wird von zwei unabhängigen Regelwerken erfasst: vom Antidiskriminierungsrecht und von der KI-Verordnung (EU) 2024/1689. Ein System, das die Betreiberpflichten des Art. 26 KI-VO vollständig erfüllt, ist deshalb nicht gegen eine Klage nach § 15 AGG immunisiert — und umgekehrt ersetzt eine saubere AGG-Dokumentation keine der KI-VO-Pflichten.

Das Antidiskriminierungsrecht wirkt gegenüber der einzelnen Bewerberin und dem einzelnen Bewerber und wird im Streitfall nachträglich aktiviert: In Deutschland verbietet § 7 Abs. 1 AGG die Benachteiligung wegen eines in § 1 AGG genannten Grundes — auch dann, wenn der Grund nur angenommen wird; in Österreich übernimmt das Gleichbehandlungsgesetz diese Rolle. Die KI-Verordnung knüpft dagegen an die Rolle als Betreiber an, unabhängig davon, ob eine Diskriminierung eingetreten ist, und gilt als unmittelbar anwendbare EU-Verordnung in beiden Ländern gleich; jeder Mitgliedstaat benennt nach Art. 70 Abs. 1 KI-VO mindestens eine Marktüberwachungsbehörde, eine davon als zentrale Anlaufstelle (Art. 70 Abs. 2). In Deutschland ist das seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden zuständig sind; Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt — die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis.

Wann Recruiting-KI Hochrisiko-KI ist — und wer Betreiber ist

Recruiting-KI wird nach Art. 6 Abs. 2 KI-VO in Verbindung mit Anhang III Nr. 4 als Hochrisiko-KI-System eingestuft; die Kapitel III Abschnitte 1–3 gelten für Anhang-III-Systeme ab 02.12.2027 (Art. 113 Abs. 3 lit. c Ziff. i KI-VO i. d. F. der Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026). Nr. 4 lit. a erfasst KI-Systeme, „die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten"; lit. b erfasst Systeme für Entscheidungen über Bedingungen von Arbeitsverhältnissen, Beförderungen und Kündigungen sowie für Aufgabenzuweisung und Leistungsbewertung.

Vorgelagert ist die Frage, ob überhaupt ein KI-System vorliegt: Art. 3 Nr. 1 KI-VO definiert es als maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist, nach Betriebsaufnahme anpassungsfähig sein kann und aus Eingaben ableitet, wie Ausgaben — etwa Vorhersagen, Empfehlungen oder Entscheidungen — erzeugt werden. Die Ausnahme des Art. 6 Abs. 3 KI-VO greift nur bei fehlendem erheblichem Risiko und ist ausgeschlossen, sobald das System ein Profiling natürlicher Personen durchführt; bei Scoring oder Ranking einzelner Bewerber ist dieser Weg damit regelmäßig versperrt.

Betreiber ist der Arbeitgeber, der das System einsetzt — unabhängig davon, ob er das Modell selbst trainiert oder von einem Anbieter bezieht. Der Anbieter liefert Dokumentation und Betriebsanleitung; die Betreiberpflichten des Art. 26 KI-VO bleiben beim Arbeitgeber — sie greifen für Anhang-III-Systeme ab 02.12.2027 (Art. 113 Abs. 3 lit. c Ziff. i KI-VO i. d. F. der Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026).

Zum Digital Omnibus: Der KI-Teil ist als Verordnung (EU) 2026/1744 vom 08.07.2026 verabschiedet und seit dem 27.07.2026 in Kraft; die Anhang-III-Termine liegen damit auf dem 02.12.2027, die Anhang-I-Termine auf dem 02.08.2028 (Art. 113 Abs. 3 lit. c KI-VO n. F.).

Die acht Safeguards im Überblick

Die Spalte „Rhythmus" enthält ausschließlich Praxisempfehlungen; gesetzliche Fristen stehen in der Spalte „Auslöser/Frist" und sind dort als solche benannt.

1. Bias-Test pro AGG-Merkmal

Statistische Auswertung Alter, Geschlecht, Ethnie. Wichtig: § 22 AGG nennt keine Prozentschwelle — es genügen „Indizien, die eine Benachteiligung wegen eines in § 1 genannten Grundes vermuten lassen"; dann trägt der Arbeitgeber die Beweislast dafür, dass kein Verstoß vorlag. Die 5 %-Schwelle ist daher kein gerichtlich festgelegtes Indiz-Kriterium, sondern eine statistische Praxis-Konvention (Signifikanzniveau) für die eigene Bias-Auswertung. Praxisempfehlung: quartalsweise wiederholen (keine gesetzliche Frist).

Der Testumfang folgt dem Gesetz. § 1 AGG nennt Rasse oder ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter und sexuelle Identität. In Österreich ist der Katalog anders geschnitten: § 3 GlBG erfasst das Geschlecht, § 17 GlBG ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter und sexuelle Orientierung — Behinderung ist kein GlBG-Grund und läuft über §§ 7a ff. BEinstG. Eine unverändert übertragene deutsche Testmatrix prüft an einem österreichischen Standort an der falschen Norm.

Die gefährliche Fallgruppe ist die mittelbare Benachteiligung nach § 3 Abs. 2 AGG: dem Anschein nach neutrale Kriterien, die Personen in besonderer Weise benachteiligen können. Genau so wirken Trainingsdaten-Bias aus historischen Einstellungsentscheidungen, Proxy-Variablen wie Postleitzahl, Vereinsmitgliedschaft oder Lückenlosigkeit der Erwerbsbiografie sowie Konstrukte wie „Cultural Fit" oder „Digital Native", die faktisch als Altersfilter wirken. Ein Modell kann jedes geschützte Merkmal formal ignorieren und trotzdem systematisch aussortieren. Nicht verwechseln: Die 5 %-Schwelle des Art. 10 Abs. 1 lit. a RL (EU) 2023/970 betrifft die gemeinsame Entgeltbewertung berichtspflichtiger Arbeitgeber, nicht den Bias-Test im Auswahlverfahren — und sie wirkt für private Arbeitgeber erst über das nationale Umsetzungsgesetz: Die Umsetzungsfrist (7. Juni 2026) ist verstrichen, ein deutsches Umsetzungsgesetz lag zum Stand 17.08.2026 nicht vor (BT-Drs. 21/7026); in Österreich lag zum selben Stand kein Bundesgesetz zur Umsetzung vor.

2. Anonymisierte Erst-Auswahl

Personalien (Name, Foto, Geburtsdatum, ggf. Nationalität) bei Erst-Auswahl ausblenden. Erst bei Endauswahl reaktivieren.

Warum das trägt. Der Safeguard entzieht dem Modell die direkten Anknüpfungspunkte für eine unmittelbare Benachteiligung nach § 3 Abs. 1 AGG und setzt zugleich die Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO um: Daten, die für die fachliche Vorauswahl nicht erforderlich sind, werden in dieser Phase nicht verarbeitet. Ein Teil der Angaben fällt zusätzlich unter Art. 9 Abs. 1 DSGVO, der die Verarbeitung von Daten zu rassischer und ethnischer Herkunft, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit sowie von Gesundheitsdaten grundsätzlich untersagt (Ausnahmen nach Abs. 2).

Grenze des Safeguards. Freitexte in Anschreiben und Lebenslauf transportieren solche Angaben häufig unbeabsichtigt — eine Maskierung nur strukturierter Felder greift zu kurz. Spätestens im Vorstellungsgespräch endet die Anonymisierung; ab dort tragen strukturiertes Interview, Score-Sheet und Vier-Augen-Prinzip die Beweisführung. Praxisempfehlung: die Anonymisierung als Schutzmaßnahme in der Datenschutz-Folgenabschätzung verankern.

3. Menschliche Endentscheidung

KI gibt nur Empfehlung — Mensch entscheidet final. Art. 22 Abs. 3 DSGVO + Art. 14 EU AI Act Human Oversight.

Was die KI-VO konkret verlangt. Nach Art. 26 Abs. 2 in Verbindung mit Art. 14 KI-VO muss der Betreiber eine wirksame menschliche Aufsicht durch Personen sicherstellen, die dafür geschult sind — die Zuständigkeit muss benannt, besetzt und qualifiziert sein. Hinzu kommen Art. 26 Abs. 1 (Betrieb gemäß den Anweisungen des Anbieters) und Art. 26 Abs. 5 in Verbindung mit Art. 13 (Überwachung des Betriebs anhand der Betriebsanleitung). Die Schulungsanforderung hat eine zweite Wurzel: § 12 Abs. 1 bis 3 AGG verpflichtet den Arbeitgeber zu erforderlichen und vorbeugenden Schutzmaßnahmen, wobei eine geeignete Schulung der Beschäftigten ausdrücklich als Erfüllung gilt; hinzu kommt Art. 4 KI-VO in der seit 27. Juli 2026 geltenden Fassung (Verordnung (EU) 2026/1744): Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen — ein bestimmtes Kompetenzniveau schuldet die Vorschrift ausdrücklich nicht. Ein Zertifikat schreibt Art. 4 KI-VO nicht vor; Praxisempfehlung: die ergriffenen Maßnahmen intern dokumentieren (Schulungsnachweis).

Warum das im Prozess entscheidet. Die reine Tatsache einer algorithmischen Ablehnung ohne menschlichen Review kann bereits als Indiz im Sinne des § 22 AGG gewertet werden; ist die Schwelle überschritten, muss der Arbeitgeber beweisen, dass kein Verstoß gegen das Benachteiligungsverbot vorlag. Praxisempfehlung: Review je Bewerbung mit Zeitstempel, prüfender Person und einer Begründung dokumentieren, die ohne den KI-Score verständlich bleibt.

4. Transparenz für Bewerber

Datenschutzhinweis: 'Wir nutzen KI-gestützte Vorauswahl.' Rechte bei automatisierter Entscheidung: 'Sie können das Eingreifen einer Person verlangen, Ihren Standpunkt darlegen und die Entscheidung anfechten.' (Art. 22 Abs. 3 DSGVO)

Die Auskunft über die Logik ist der harte Teil. Der EuGH hat am 27.02.2025 in der Rechtssache C-203/22 (Dun & Bradstreet Austria) den Auskunftsanspruch nach Art. 15 Abs. 1 lit. h DSGVO konkretisiert: Bei automatisierten Einzelentscheidungen im Sinne des Art. 22 DSGVO haben Betroffene Anspruch auf aussagekräftige Informationen über die involvierte Logik — so, dass die Entscheidung nachvollzogen und überprüft werden kann. Eine pauschale Berufung auf Geschäftsgeheimnisse genügt nicht; bei Konflikt sind die Informationen einer zuständigen Behörde oder dem Gericht offenzulegen, die abwägt. Vendor-Verträge ohne Audit- und Auskunftsrechte machen diese Auskunft praktisch unmöglich.

Zwei Informationspflichten, die oft vermischt werden. Art. 26 Abs. 7 KI-VO verpflichtet den Betreiber, vor Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz die Arbeitnehmervertreter und die betroffenen Arbeitnehmer zu informieren; Art. 26 Abs. 11 KI-VO betrifft dagegen die Information natürlicher Personen, die einer Entscheidung des Anhang-III-Systems unterliegen. Nach oben gibt es eine harte Grenze: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist nach Art. 5 Abs. 1 lit. f KI-VO verboten — dort hilft keine Transparenz. Interagiert ein System direkt mit Bewerbern, greift zusätzlich Art. 50 Abs. 1 KI-VO, der den Anbieter verpflichtet, die Information über die KI-Interaktion sicherzustellen.

5. Begründungs-Pflicht

Pro Bewerber: schriftliche Begründung der Auswahl/Ablehnung (Praxisempfehlung zur Beweisführung nach § 22 AGG). KI-Score allein reicht NICHT.

Warum der Score nicht genügt. Sind Indizien bewiesen, verlangt § 22 AGG vom Arbeitgeber den Beweis, dass kein Verstoß gegen die Benachteiligungsverbote vorlag. Geführt wird er über die dokumentierten Auswahlkriterien und ihre Anwendung auf den Einzelfall; ein Zahlenwert ohne Kriterienzuordnung verlagert die Beweisführung in ein Modell, das der Arbeitgeber im Prozess erklären müsste. Ergänzend verpflichtet Art. 26 Abs. 6 in Verbindung mit Art. 12 KI-VO zur Aufbewahrung der automatisch erzeugten Logs für mindestens 6 Monate: Das Log zeigt, was das System getan hat, die Begründung, warum der Mensch entschieden hat.

DE und AT: unterschiedliche Zeitfenster. In Deutschland ist ein Anspruch nach § 15 Abs. 1 oder 2 AGG binnen zwei Monaten schriftlich geltend zu machen; bei einer Bewerbung beginnt die Frist mit dem Zugang der Ablehnung (§ 15 Abs. 4 AGG). In Österreich sind Ansprüche wegen Nichtbegründung des Arbeitsverhältnisses binnen sechs Monaten ab Ablehnung gerichtlich geltend zu machen (§ 15 GlBG für Teil I, § 29 GlBG für Teil II). Wer beide Standorte betreibt, richtet die Verfügbarkeit der Unterlagen am längeren Fenster aus.

6. FRIA — Pflicht nur für öffentliche Stellen, sonst Best Practice (Pflicht für Anhang-III-Systeme ab 02.12.2027; Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026)

Häufiges Missverständnis: Anhang III Nr. 4 EU AI Act (Beschäftigung) löst keine generelle FRIA-Pflicht aus. Nach Art. 27 Abs. 1 KI-VO müssen die Grundrechte-Folgenabschätzung nur Betreiber durchführen, „bei denen es sich um Einrichtungen des öffentlichen Rechts oder private Einrichtungen, die öffentliche Dienste erbringen, handelt", sowie Betreiber von Systemen nach Anhang III Nr. 5 Buchstaben b und c (Kreditwürdigkeit, Lebens-/Krankenversicherung). Ein privatwirtschaftlicher Arbeitgeber mit Recruiting-KI ist damit nicht FRIA-pflichtig.

Für ihn gelten stattdessen die Betreiberpflichten des Art. 26 KI-VO — insbesondere Abs. 7 (Information der Arbeitnehmervertreter und der betroffenen Arbeitnehmer vor Inbetriebnahme des Systems am Arbeitsplatz) und Abs. 9 (Verwendung der Anbieter-Informationen nach Art. 13 für die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO). Öffentliche Arbeitgeber und private Einrichtungen mit öffentlichem Dienstleistungsauftrag führen die FRIA für Anhang-III-Systeme ab 02.12.2027 durch (Art. 113 Abs. 3 lit. c Ziff. i KI-VO i. d. F. der Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026); für alle übrigen bleibt das 7-Schritte-Template freiwillige Best Practice, die die DSFA sinnvoll ergänzt.

Die DSFA ist die Pflicht, die tatsächlich greift. Besteht die FRIA-Pflicht, ist sie vor der ersten Verwendung des Systems zu erfüllen (Art. 27 Abs. 2 KI-VO) — die Einordnung als Pflichtadressat ist deshalb der erste Prüfschritt beim Systemeinkauf. Unabhängig davon verlangt Art. 35 Abs. 1 DSGVO eine Datenschutz-Folgenabschätzung vorab, wenn eine Verarbeitung insbesondere bei Verwendung neuer Technologien voraussichtlich ein hohes Risiko zur Folge hat; Art. 35 Abs. 3 nennt ausdrücklich die systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung. Bewerber-Scoring liegt regelmäßig in diesem Bereich; ob die Schwelle erreicht ist, ist je Verarbeitung zu prüfen.

Folgewirkung in Deutschland, nicht in Österreich. Unterliegt eine Verarbeitung einer DSFA nach Art. 35 DSGVO, ist in Deutschland ein Datenschutzbeauftragter unabhängig von der Zahl der beschäftigten Personen zu benennen (§ 38 Abs. 1 BDSG, neben der 20-Personen-Schwelle). Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor; die Benennungspflicht folgt dort unmittelbar aus Art. 37 DSGVO, ergänzt um § 5 DSG.

7. Beschwerde-Mechanismus

Klar kommunizierter Beschwerde-Weg für Bewerber. Antwort binnen 1 Monat (DSGVO Art. 12).

Die Monatsfrist präzise. Art. 12 Abs. 3 DSGVO verlangt Information über die auf einen Antrag nach den Art. 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall binnen eines Monats nach Eingang. Die Frist ist um weitere zwei Monate verlängerbar, wenn Komplexität und Anzahl der Anträge das erfordern — über die Verlängerung ist die Person jedoch innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten. Die Verlängerung ist damit selbst fristgebunden, keine stille Option.

Der zweite Kanal. Nach § 13 Abs. 1 AGG haben Beschäftigte das Recht, sich bei den zuständigen Stellen des Betriebs, des Unternehmens oder der Dienststelle zu beschweren, wenn sie sich wegen eines in § 1 AGG genannten Grundes benachteiligt fühlen; die Beschwerde ist zu prüfen und das Ergebnis mitzuteilen. Gesetz und zuständige Stelle sind im Betrieb bekannt zu machen (§ 12 Abs. 5 AGG). Flankierend gilt das Maßregelungsverbot: § 16 Abs. 1 AGG schützt auch unterstützende Personen und Zeugen, in Österreich § 13 GlBG (Teil I) und § 27 GlBG (Teil II). Welche Stelle außerhalb des Unternehmens zuständig ist, unterscheidet sich je Land — siehe die Gegenüberstellung unten.

8. Re-Train + Update-Zyklus

Bei Bias-Erkenntnissen: KI-Modell re-trainieren oder austauschen. Update-Frequenz pro Anbieter dokumentiert.

Warum Updates ein regulatorisches Ereignis sind. Art. 26 Abs. 1 KI-VO verlangt den Betrieb gemäß den Anweisungen des Anbieters, Art. 26 Abs. 5 in Verbindung mit Art. 13 die Überwachung des Betriebs anhand der Betriebsanleitung. Ein Modell-Update ändert potenziell genau die Grundlage, auf der die letzte Bias-Auswertung und die letzte Aufsichtsdokumentation beruhten. Der Zyklus schließt sich hier: Update → erneuter Bias-Test (Safeguard 1) → aktualisierte Aufsichts- und Begründungsdokumentation (Safeguards 3 und 5).

Die Anbieter-Schnittstelle vertraglich absichern. Werden Bewerbungsdaten beim Anbieter verarbeitet, ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO die Grundlage: Der Verantwortliche darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegen (Art. 28 Abs. 1 und 3 DSGVO). Ein Anbieterwechsel setzt die Prüfkette nicht fort, sondern startet sie neu — Einordnung nach Art. 6 Abs. 2 KI-VO, DSFA-Prüfung nach Art. 35 DSGVO, Information nach Art. 26 Abs. 7 KI-VO vor Inbetriebnahme.

BAG-Linie 2025/26 richtig einordnen

BAG 8 AZR 300/24 ist ein Equal-Pay-Urteil, kein Algorithmen-Urteil; die Übertragung auf algorithmische Auswahl ist ein Trend, kein entschiedener Fall. Für die Risikoeinschätzung ist diese Unterscheidung wesentlich.

Das BAG hat mit Urteil vom 23.10.2025 (8 AZR 300/24) entschieden, dass bereits ein Paarvergleich mit einem einzelnen, höchstbezahlten männlichen Kollegen genügt, um die Diskriminierungsvermutung nach § 22 AGG bzw. § 7 EntgTranspG auszulösen; ein Median-Vergleich ist nicht erforderlich. Zuvor hatte das BAG mit Urteil vom 21.01.2021 (8 AZR 488/19) die Beweislastumkehr des § 22 AGG im Entgeltkontext angewandt.

Beide Entscheidungen sind Equal-Pay-Urteile, keine Algorithmen-Urteile. Die Übertragung ist als Trend zu erwarten, nicht als 1:1-Beleg zu zitieren: Wenn schon ein einzelner Vergleichsfall als Indiz genügt, spricht viel dafür, dass ein dokumentierter Bias-Befund eines Auswahlalgorithmus erst recht als Indiz im Sinne des § 22 AGG gewertet wird. Daraus folgt kein neuer Pflichtenkatalog, sondern eine veränderte Erwartung an die Beweisführung. Für Österreich ist diese Rechtsprechung nicht einschlägig: Dort entscheidet das Arbeits- und Sozialgericht auf Grundlage des GlBG, mit einem anderen Beweismaßstab.

Was Verstöße kosten — nach Rechtsgebiet und Land getrennt

Die Kostenfolgen laufen über drei unabhängige Schienen: Ansprüche der Bewerber, Geldbußen nach der KI-VO und Geldbußen nach der DSGVO. Sie schließen einander nicht aus.

Ansprüche der Bewerber. In Deutschland gibt § 15 Abs. 1 AGG Ersatz des entstandenen Schadens, sofern der Arbeitgeber die Pflichtverletzung zu vertreten hat, und § 15 Abs. 2 AGG eine angemessene Geldentschädigung für den immateriellen Schaden; bei Nichteinstellung darf sie drei Monatsgehälter nicht übersteigen, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre. Als Praxiswert liegt die Entschädigung häufig in der Größenordnung von ein bis drei Bruttomonatsgehältern pro Kläger:in (keine gesetzliche Staffel). Österreich arbeitet mit Mindestbeträgen statt einer Deckelung: Nach § 12 GlBG (Teil I) bzw. § 26 GlBG (Teil II) gebühren Ersatz des Vermögensschadens und eine Entschädigung für die persönliche Beeinträchtigung — mindestens ein Monatsentgelt, wenn die Stelle bei diskriminierungsfreier Auswahl erlangt worden wäre, und bis zu 500 Euro, wenn der Schaden nur in der Nichtberücksichtigung der Bewerbung besteht.

Geldbußen. Art. 99 Abs. 4 KI-VO sieht für Verstöße unter anderem gegen die Betreiberpflichten des Art. 26 und die Transparenzpflichten des Art. 50 Geldbußen bis zu 15.000.000 EUR oder bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist; Verstöße gegen die verbotenen Praktiken des Art. 5 liegen nach Art. 99 Abs. 3 bei bis zu 35.000.000 EUR oder 7 %. Auf DSGVO-Seite erfasst Art. 83 Abs. 5 Verstöße gegen die Art. 5, 6, 7, 9 sowie Art. 12 bis 22 mit bis zu 20.000.000 EUR oder 4 %, Art. 83 Abs. 4 unter anderem Verstöße gegen die Art. 25 bis 39 — darunter Art. 28 und Art. 35 — mit bis zu 10.000.000 EUR oder 2 %. In Österreich greift § 62 Abs. 1 DSG nur subsidiär: Sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist, ist sie als Verwaltungsübertretung mit Geldstrafe bis zu 50.000 Euro zu ahnden — erfasst sind dort etwa der vorsätzliche widerrechtliche Zugang zu einer Datenverarbeitung und die vorsätzliche Übermittlung von Daten in Verletzung des Datengeheimnisses (§ 6 DSG); zuständig ist die Datenschutzbehörde.