Wie rechtssicher ist Ihr Recruiting?

In Österreich muss jede Stellenausschreibung das für die Stelle geltende Mindestentgelt angeben und auf eine allfällige Bereitschaft zur Überzahlung hinweisen. Die Pflicht gilt für Arbeitgeber und für private Arbeitsvermittler. Bei Verstößen ist zunächst eine Ermahnung, im Wiederholungsfall eine Verwaltungsstrafe vorgesehen.

Rechtsgrundlage: § 9 Abs. 2 und § 10 GlBG

Das Gleichbehandlungsgesetz verbietet diskriminierende Stellenausschreibungen. Dazu zählen nicht nur rein männliche oder weibliche Stellentitel, sondern auch Formulierungen wie „für unser junges Team bis 30“ oder „Deutsch als Muttersprache“, wenn sie für die Tätigkeit nicht sachlich notwendig sind.

Rechtsgrundlage: § 9 Abs. 1 und § 23 GlBG

Sachliche, vorab festgelegte Kriterien aus dem Anforderungsprofil sind die beste Grundlage für eine faire Entscheidung. Entstehen Kriterien erst im Laufe des Verfahrens oder werden sie je Person unterschiedlich angewendet, lässt sich der Vorwurf einer Benachteiligung nur schwer entkräften.

Rechtsgrundlage: § 3 Z 1 und § 17 Abs. 1 Z 1 GlBG

Macht eine abgelehnte Person eine Diskriminierung glaubhaft, muss das Unternehmen darlegen, dass ein anderes, sachliches Motiv ausschlaggebend war. Ansprüche wegen Diskriminierung bei der Begründung eines Arbeitsverhältnisses sind binnen sechs Monaten gerichtlich geltend zu machen – in dieser Zeit sollte die Begründung jederzeit abrufbar sein.

Rechtsgrundlage: §§ 12, 15, 26 und 29 GlBG (Beweislast und Fristen)

Die DSGVO verlangt, dass Betroffene beim Erheben ihrer Daten unter anderem Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und ihre Rechte erfahren. Grundlage für die Bearbeitung einer Bewerbung ist in der Regel die Anbahnung eines Arbeitsverhältnisses. Üblich ist ein eigener Datenschutzhinweis für Bewerber:innen.

Rechtsgrundlage: Art. 13 und Art. 6 Abs. 1 lit. b DSGVO

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist. In Österreich ist es üblich, Unterlagen abgelehnter Bewerber:innen rund sechs bis sieben Monate nach der Absage aufzubewahren: So bleibt die Frist für Ansprüche nach dem Gleichbehandlungsgesetz abgedeckt, samt einem kurzen Puffer. Danach sollten die Daten gelöscht werden – einschließlich Kopien in E-Mail-Postfächern, Ausdrucken und geteilten Ordnern.

Rechtsgrundlage: Art. 5 Abs. 1 lit. e und Art. 17 DSGVO; § 15 und § 29 GlBG

Wer Unterlagen für spätere Stellen behalten möchte, braucht dafür in der Regel eine Einwilligung. Sie muss freiwillig und getrennt von der Bewerbung erteilt werden, jederzeit widerrufbar sein und eine Dauer nennen. Ohne Einwilligung gilt die normale Löschfrist. Wählen Sie „Trifft nicht zu“, wenn Sie keine Bewerbungen für spätere Stellen aufbewahren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 7 DSGVO

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, schreibt die DSGVO einen Vertrag mit festgelegtem Mindestinhalt vor. Bei Anbietern außerhalb der EU kommt die Prüfung hinzu, auf welcher Grundlage Daten in ein Drittland übermittelt werden.

Rechtsgrundlage: Art. 28 und Art. 44 ff. DSGVO

Bewerbungsunterlagen enthalten oft sensible Angaben. Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen, damit nur Befugte darauf zugreifen. Ein häufiges Risiko sind Unterlagen, die per E-Mail an große Verteiler weitergeleitet werden.

Rechtsgrundlage: Art. 5 Abs. 1 lit. f und Art. 32 DSGVO

Die KI-Verordnung der EU (AI Act) stuft KI-Systeme, die für die Einstellung oder Auswahl von Personen bestimmt sind, als Hochrisiko ein – etwa zum gezielten Schalten von Stellenanzeigen, zum Analysieren und Filtern von Bewerbungen oder zum Bewerten von Bewerber:innen. Viele Bewerbermanagement-Systeme enthalten solche Funktionen inzwischen. Wer sie nutzt, ist „Betreiber“ und hat eigene Pflichten. Bereits seit Februar 2025 verboten ist unter anderem KI zur Emotionserkennung am Arbeitsplatz. Setzen Sie nachweislich keine KI ein, antworten Sie mit „Ja“.

Rechtsgrundlage: Art. 5 Abs. 1 lit. f, Art. 6 Abs. 2 und Anhang III Nr. 4 KI-Verordnung

Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dürfen grundsätzlich nicht ausschließlich automatisiert fallen – eine automatisch verschickte Absage ist daher heikel. Für Hochrisiko-KI verlangt die KI-Verordnung zusätzlich eine wirksame menschliche Aufsicht durch Personen, die das System verstehen und seine Ergebnisse übersteuern können.

Rechtsgrundlage: Art. 22 DSGVO; Art. 14 und Art. 26 KI-Verordnung

Betreiber von Hochrisiko-KI müssen Personen informieren, über die mithilfe des Systems entschieden wird oder deren Entscheidung es unterstützt. Vor dem Einsatz am Arbeitsplatz sind außerdem Arbeitnehmervertretung und betroffene Beschäftigte zu informieren; in Österreich kann zusätzlich eine Mitwirkung des Betriebsrats nach dem Arbeitsverfassungsgesetz nötig sein. Wählen Sie „Trifft nicht zu“, wenn im Auswahlverfahren keine KI mitwirkt.

Rechtsgrundlage: Art. 26 Abs. 7 und 11 KI-Verordnung; Art. 13 DSGVO; §§ 96 und 96a ArbVG

Betreiber von Hochrisiko-KI müssen das System gemäß der Betriebsanleitung verwenden, Eingabedaten – soweit sie diese steuern – auf Eignung prüfen, den Betrieb überwachen und die automatisch erzeugten Protokolle, soweit sie ihrer Kontrolle unterliegen, grundsätzlich mindestens sechs Monate aufbewahren. Wählen Sie „Trifft nicht zu“, wenn im Auswahlverfahren keine KI mitwirkt.

Rechtsgrundlage: Art. 26 KI-Verordnung

Seit Februar 2025 verlangt die KI-Verordnung von Unternehmen, die KI-Systeme einsetzen, dass sie nach besten Kräften für ausreichende KI-Kompetenz ihres Personals sorgen. Das betrifft auch allgemeine KI-Werkzeuge, etwa zum Formulieren von Stelleninseraten. Wählen Sie „Trifft nicht zu“ nur, wenn im Recruiting keinerlei KI genutzt wird.

Rechtsgrundlage: Art. 4 KI-Verordnung