Algorithmische Diskriminierung im Recruiting — Rechtslage 2026

1. Was ist algorithmische Diskriminierung?

Algorithmische Diskriminierung im Recruiting entsteht, wenn KI- oder regelbasierte Auswahlsysteme Bewerber:innen mittelbar oder unmittelbar wegen eines in § 1 AGG genannten Merkmals (Alter, Geschlecht, ethnische Herkunft, Religion/Weltanschauung, Behinderung, sexuelle Identität) systematisch benachteiligen. Rechtlich sind das zwei Tatbestände: unmittelbar, wenn eine Person wegen eines Grundes nach § 1 AGG eine weniger günstige Behandlung erfährt; mittelbar, wenn dem Anschein nach neutrale Vorschriften Personen in besonderer Weise benachteiligen können (§ 3 Abs. 1 und 2 AGG). Proxy-Variablen sind ein typisches Muster der mittelbaren Benachteiligung: Sie sehen neutral aus und wirken es nicht. Typische Quellen:

• Trainingsdaten-Bias: Modelle, die auf historischen Einstellungs-Entscheidungen trainiert sind, reproduzieren historische Ungleichheiten. Prüfen Sie, welche Entscheidungsjahrgänge im Trainingsset stecken.
• Proxy-Variablen: Postleitzahl, Vereinsmitgliedschaft, Lückenlosigkeit der Erwerbsbiografie können stark mit geschützten Merkmalen korrelieren. Lassen Sie sich die verwendeten Merkmale vom Anbieter benennen und prüfen Sie sie einzeln gegen den Katalog des § 1 AGG.
• Feature-Engineering: „Cultural Fit"-Scores, „Adaptability"-Indikatoren, „Digital Native"-Filter wirken oft als Altersfilter.
• Schwellenwerte und Cut-offs: Pre-Screening, das ohne menschlichen Review aussortiert, multipliziert die Diskriminierungswirkung. In Deutschland trifft das zusätzlich auf § 164 Abs. 1 Satz 1 SGB IX: Alle Arbeitgeber müssen prüfen, ob freie Arbeitsplätze mit schwerbehinderten Menschen besetzt werden können; öffentliche Arbeitgeber müssen schwerbehinderte Bewerberinnen und Bewerber zusätzlich zum Vorstellungsgespräch einladen (§ 165 Satz 3 SGB IX; entbehrlich bei offensichtlich fehlender fachlicher Eignung, Satz 4).

Zwei Regeln machen es schwer, aus dem Anwendungsbereich herauszufallen. Erstens greift § 7 Abs. 1 AGG auch dann, wenn die benachteiligende Person das Vorliegen eines Grundes nach § 1 AGG nur annimmt — ein Modell, das ein geschütztes Merkmal lediglich schätzt, führt also nicht aus dem Tatbestand heraus; entgegenstehende Bestimmungen in Vereinbarungen sind unwirksam (§ 7 Abs. 2 AGG). Zweitens gilt ein in Anhang III genanntes System nach Art. 6 Abs. 3 KI-VO ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — diese Ausnahme greift jedoch nicht, wenn das System ein Profiling natürlicher Personen durchführt.

Der Arbeitgeber haftet als Betreiber (deployer) im Sinne des EU AI Act, unabhängig davon, ob er das Modell selbst trainiert oder von einem Anbieter (provider) bezieht. Ob ein Werkzeug ein KI-System ist, entscheidet die Definition des Art. 3 Nr. 1 KI-VO — im Wortlaut in der FAQ „Zählt ein regelbasierter ATS-Filter ohne Machine Learning als KI-System?". Für das AGG ist diese Einordnung ohne Bedeutung: § 7 Abs. 1 AGG knüpft an die Benachteiligung wegen eines Grundes nach § 1 an, nicht an eine Technologie.

Österreich: Dort schützt das Gleichbehandlungsgesetz (GlBG), ausdrücklich auch bei der Begründung des Arbeitsverhältnisses; erfasst ist zudem die Anweisung zur Diskriminierung (§ 5, § 6 GlBG Teil I bzw. § 19 GlBG Teil II) — relevant, wenn die Auswahllogik nicht im eigenen Haus, sondern beim Dienstleister eingestellt wird. Wer eine Bias-Prüfung für einen österreichischen Standort aufsetzt, arbeitet je Dimension mit einer anderen Rechtsgrundlage:

2. § 22 AGG-Beweislastumkehr trifft Algorithmen

Bei algorithmischer Auswahl kippt die Beweislast früh: Die Bewerberin oder der Bewerber muss nur Indizien beweisen, den Vollbeweis der Diskriminierungsfreiheit schuldet der Arbeitgeber — und den kann nur führen, wer die Auswahllogik selbst nachvollziehen kann. Der Wortlaut:

§ 22 AGG: „Wenn im Streitfall die eine Partei Indizien beweist, die eine Benachteiligung wegen eines in § 1 genannten Grundes vermuten lassen, trägt die andere Partei die Beweislast dafür, dass kein Verstoß gegen die Bestimmungen zum Schutz vor Benachteiligung vorgelegen hat."

Die Regel ist unionsrechtlich vorgegeben (Art. 19 RL 2006/54/EG, Art. 10 RL 2000/78/EG, Art. 8 RL 2000/43/EG). Für algorithmische Entscheidungen folgt daraus eine doppelte Konsequenz:

1. Indizien-Schwelle ist niedrig: Statistische Auffälligkeiten in Auswahl-Quoten, dokumentierte Bias-Befunde, oder die Tatsache einer rein algorithmischen Ablehnung ohne menschlichen Review können bereits als Indiz gelten. Das BAG hat die Beweislastumkehr des § 22 AGG bereits auf ein statistisches Indiz gestützt (BAG, 21.01.2021 — 8 AZR 488/19, Median-Indiz zu § 22 AGG / § 3 Abs. 2 Satz 1 EntgTranspG).
2. Vollbeweis ist hoch: Der Arbeitgeber muss positiv darlegen, dass die Entscheidung diskriminierungsfrei war. Wer die Logik des Algorithmus nicht prüfen kann, kann diesen Nachweis nicht führen.

Daraus ergibt sich der Compliance-Imperativ: Wer KI im Recruiting einsetzt, muss sie auditierbar halten — welche Bausteine dazugehören und mit welcher Frist, listet der Compliance-Pfad in Abschnitt 7. Praxisempfehlung für die Dokumentationskette, die diesen Vollbeweis trägt: Auswahl-Kriterien vor dem ersten Bewerbungseingang schriftlich festlegen, strukturierte Interviews mit Score-Sheet führen, jede Auswahl-Entscheidung schriftlich begründen, ein ATS mit Audit-Trail einsetzen. Das sind Organisationsempfehlungen ohne gesetzlich fixierten Termin; der gesetzliche Anker dahinter ist § 12 Abs. 1 AGG — der Arbeitgeber muss die erforderlichen Maßnahmen zum Schutz vor Benachteiligungen treffen, einschließlich vorbeugender Maßnahmen.

3. EU AI Act: HR-Recruiting als Hochrisiko-KI (Anhang III Pkt. 4)

Recruiting-KI ist Hochrisiko-KI: Anhang III Nr. 4 der KI-Verordnung (EU) 2024/1689 erfasst Stellenanzeigen-Targeting, Sichtung und Filterung von Bewerbungen sowie die Bewertung von Bewerbern; die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 gelten für Anhang-III-Systeme ab 2. Dezember 2027 (Art. 113 Abs. 3 lit. c Ziff. i KI-VO in der Fassung der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026). Der Wortlaut:

„Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit: a) KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten; b) KI-Systeme, die bestimmungsgemäß für Entscheidungen, die die Bedingungen von Arbeitsverhältnissen, Beförderungen und Kündigungen von Arbeitsvertragsverhältnissen beeinflussen, für die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale oder Eigenschaften oder für die Beobachtung und Bewertung der Leistung und des Verhaltens von Personen in solchen Beschäftigungsverhältnissen verwendet werden soll."

Der 02.08.2026 ist zugleich der allgemeine Geltungsbeginn der Verordnung (Art. 113 Abs. 2 KI-VO: „Sie gilt ab dem 2. August 2026."); die abweichenden Termine in Art. 113 Abs. 3 lit. a bis c betreffen den 02.02.2025, den 02.08.2025 und — nach der Änderung durch die Verordnung (EU) 2026/1744 — den 02.12.2027 für Anhang-III-Systeme (Art. 6 Abs. 2, Kapitel III Abschnitte 1–3) sowie den 02.08.2028 für Anhang-I-Systeme (Art. 6 Abs. 1). Diese Digital-Omnibus-Verordnung vom 08.07.2026 ist in Kraft seit 27. Juli 2026; die Verschiebung ist damit geltendes Recht. Der allgemeine Geltungsbeginn 2. August 2026 — unter anderem für die Transparenzpflichten des Art. 50 — bleibt unverändert.

3.1 Betreiber-Pflichten für Arbeitgeber

Für Betreiber (Arbeitgeber) von Anhang-III-Systemen gelten ab dem 2. Dezember 2027 u. a. (Kapitel III Abschnitte 1–3, Art. 113 Abs. 3 lit. c Ziff. i KI-VO in der Fassung der Verordnung (EU) 2026/1744):

• Art. 26 Abs. 1: Betrieb gemäß Anbieter-Anweisungen und einschlägiger technischer Anweisungen. Praktisch: Die Betriebsanleitung des Anbieters gehört in die Systemakte, nicht in den Posteingang.
• Art. 26 Abs. 2 + Art. 14: Sicherstellung wirksamer menschlicher Aufsicht durch geschulte Personen — „geschult" ist dabei kein Etikett: Art. 4 KI-VO (KI-Kompetenz) gilt seit 02.02.2025 und seit 27. Juli 2026 in der Fassung der Verordnung (EU) 2026/1744 — Anbieter und Betreiber ergreifen Maßnahmen zur Unterstützung der Entwicklung der KI-Kompetenz ihres Personals; ein bestimmtes Kompetenzniveau ist nicht geschuldet.
• Art. 26 Abs. 5 + Art. 13: Überwachung des Betriebs anhand der Betriebsanleitung.
• Art. 26 Abs. 6 + Art. 12: Aufbewahrung der automatisch erzeugten Logs für mindestens 6 Monate.
• Art. 26 Abs. 7: Information der betroffenen Beschäftigten und ihrer Vertretung vor Inbetriebnahme am Arbeitsplatz. (Art. 26 Abs. 11 betrifft demgegenüber die Information natürlicher Personen, die einer Anhang-III-Entscheidung des Systems unterliegen.)

3.2 Die Verbots- und die Transparenz-Zone

Vor jeder Hochrisiko-Dokumentation steht die Frage, ob das Werkzeug überhaupt eingesetzt werden darf. Art. 5 Abs. 1 KI-VO verbietet unter anderem die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (lit. f) sowie die biometrische Kategorisierung zur Ableitung sensibler Merkmale (lit. g), beides seit dem 02.02.2025 (Art. 113 Abs. 3 lit. a). Wer Video-, Sprach- oder Mimik-Analyse im Bewerbungsverfahren erwägt, klärt daher als Erstes, ob das Produkt solche Funktionen ausführt — und erst danach die Hochrisiko-Pflichten.

Darüber liegt die Transparenz-Ebene des Art. 50 KI-VO (seit 02.08.2026): Anbieter müssen sicherstellen, dass zur direkten Interaktion mit natürlichen Personen bestimmte KI-Systeme diese darüber informieren, dass sie mit einem KI-System interagieren (Abs. 1) — der Bewerbungs-Chatbot fällt in dieses Muster. Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen müssen die betroffenen Personen informieren (Abs. 3). Betreiber, die Deepfakes erzeugen oder manipulieren, müssen offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde (Abs. 4).

3.3 Keine FRIA-Pflicht für private Arbeitgeber

Die Grundrechte-Folgenabschätzung (FRIA, Fundamental Rights Impact Assessment) nach Art. 27 Abs. 1 KI-VO trifft private Arbeitgeber ohne öffentliche Dienstleistungen nicht — sie ist an einen engen Adressatenkreis gebunden. Sie führen nur durch: (a) Betreiber, „bei denen es sich um Einrichtungen des öffentlichen Rechts oder private Einrichtungen, die öffentliche Dienste erbringen, handelt", und (b) Betreiber von Hochrisiko-KI-Systemen gemäß Anhang III Nr. 5 lit. b und c (Kreditwürdigkeitsprüfung/Bonitätsbewertung sowie Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen). Für ein privates Unternehmen, das Recruiting-KI nach Anhang III Nr. 4 einsetzt, ist die Grundrechte-Folgenabschätzung damit allenfalls freiwillige Best Practice (und kann, sofern eine DSFA nach Art. 35 DSGVO ohnehin nötig ist, praktisch dort mitlaufen). Nicht der Grad der „Grundrechtsrelevanz" des Systems entscheidet über die Pflicht, sondern wer Betreiber ist. Für den privaten Arbeitgeber bleiben damit Art. 26 KI-VO und — bei systematischer umfassender Bewertung persönlicher Aspekte mit Rechtswirkung — Art. 35 DSGVO die einschlägigen Instrumente.

3.4 Termine im Überblick

Für Recruiting-KI sind die Termine 02.02.2025 für KI-Kompetenz und Verbote sowie 02.08.2026 für die Transparenzpflichten bereits eingetreten; die Hochrisiko-Pflichten und die FRIA-Pflicht der Adressaten des Art. 27 Abs. 1 greifen für Anhang-III-Systeme ab 02.12.2027 (Art. 113 Abs. 3 lit. c Ziff. i KI-VO in der Fassung der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026); die Hochrisiko-Pflichten für Anhang-I-Produkte greifen ab 02.08.2028 (Art. 113 Abs. 3 lit. c Ziff. ii KI-VO).

Durchgesetzt wird das von der Marktüberwachungsbehörde, die jeder Mitgliedstaat benennt und deren Kontaktdaten öffentlich zugänglich sind; eine von ihnen ist zugleich zentrale Anlaufstelle (Art. 70 Abs. 1 und 2 KI-VO). In Deutschland ist das seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden zuständig sind; sie ist zugleich zentrale Anlaufstelle (§ 6 Abs. 1 KI-MIG). Österreich hat bis 17.08.2026 keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt; die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis.

4. EuGH C-203/22 (Dun & Bradstreet, 27.02.2025) — Auskunftsanspruch über Algorithmus-Logik

Der EuGH hat am 27.02.2025 in der Rechtssache C-203/22 (Dun & Bradstreet Austria) die Reichweite des Auskunftsanspruchs nach Art. 15 Abs. 1 lit. h DSGVO konkretisiert: Bei automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO haben Betroffene Anspruch auf „aussagekräftige Informationen über die involvierte Logik" — und zwar so, dass die Entscheidung nachvollzogen und überprüft werden kann. Eine pauschale Berufung auf Geschäftsgeheimnisse genügt nicht; bei Konflikt sind die Informationen einer zuständigen Behörde oder dem Gericht offenzulegen, die zwischen Geheimhaltungs- und Auskunftsinteressen abwägt.

Konsequenz für Recruiting: Wer KI-gestützte Vorauswahl betreibt, muss in der Lage sein, einer abgelehnten Bewerber:in (auf Anfrage) die zentrale Logik der Entscheidung zu erklären. Vendor-Verträge ohne Audit-/Auskunftsrechte sind ein Compliance-Risiko.

Die Frist, die dabei läuft: Auf Anträge nach den Art. 15 bis 22 DSGVO muss der Verantwortliche unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang reagieren; die Frist ist um zwei Monate verlängerbar, wenn Komplexität und Anzahl der Anträge das erfordern — über die Verlängerung ist die betroffene Person innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten (Art. 12 Abs. 3 DSGVO). Ein Auskunftsprozess, der erst nach der Ablehnung aufgebaut wird, hält diese Frist selten.

Was das für den Vertrag bedeutet: Verarbeitet der Anbieter Bewerberdaten im Auftrag, darf der Verantwortliche nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO); der Vertrag muss den Mindestinhalt des Art. 28 Abs. 3 DSGVO abbilden — Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Prüfen wird das eine andere Behördenschiene als die KI-Marktüberwachung: in Deutschland die nach Landesrecht zuständigen Behörden für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

5. Realitätscheck Schadenshöhen

In der BAG-Praxis bewegt sich die Entschädigung typischerweise bei 1–3 Brutto-Monatsgehältern pro Kläger:in — der eigentliche Hebel bei algorithmischer Auswahl ist aber nicht der Einzelbetrag, sondern die Zahl der Betroffenen. § 15 AGG sieht zwei Anspruchsgrundlagen vor:

• § 15 Abs. 1 AGG: Ersatz des materiellen Schadens (entgangener Lohn, Bewerbungskosten) — keine Höhenbegrenzung; der Anspruch entfällt, wenn der Arbeitgeber die Pflichtverletzung nicht zu vertreten hat.
• § 15 Abs. 2 AGG: Entschädigung für immateriellen Schaden — bei Nicht-Einstellung gedeckelt auf 3 Brutto-Monatsgehälter der Stelle, sofern der/die Bewerber:in auch bei diskriminierungsfreier Auswahl nicht eingestellt worden wäre.

Höhere Beträge sind im Einzelfall denkbar, müssen aber konkret begründet werden (Schwere der Pflichtverletzung, fehlende Compliance-Maßnahmen, Wiederholung). Begrenzend wirkt die Rechtsmissbrauchs-Linie: Bewerbungen ohne Anstellungsabsicht sind nicht geschützt (BAG, 19.09.2024 — 8 AZR 21/24). Diese Abwehr gelingt allerdings nur mit derselben Dokumentation, die auch der Vollbeweis nach § 22 AGG verlangt.

Wie groß der Hebel wird, rechnet sich aus der Zahl der Betroffenen: Bei 40 Ablehnungen aus derselben Modell-Version und 1–3 Brutto-Monatsgehältern je erfolgreicher Klage steht das 40- bis 120-fache eines Monatsgehalts im Raum — aus einem einzigen Modell. Zeitlich gebündelt werden die Fälle in Deutschland durch die Zwei-Monats-Frist des § 15 Abs. 4 AGG, bei einer Bewerbung ab Zugang der Ablehnung (zivilrechtlich § 21 Abs. 5 AGG); die österreichischen Fristen nennt der DE/AT-Kasten in Abschnitt 2.

Hinzu kommen, je nach Sachverhalt: DSGVO-Schadensersatz nach Art. 82 DSGVO, Bußgeldrisiko EU AI Act Art. 99 Abs. 4 (für Verstöße gegen die Betreiberpflichten des Art. 26 bis 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist — die Betreiberpflichten des Art. 26 gelten für Anhang-III-Systeme ab 02.12.2027, Art. 113 Abs. 3 lit. c Ziff. i KI-VO in der Fassung der Verordnung (EU) 2026/1744), Bußgeldrisiko DSGVO Art. 83 — sowie Reputations- und Folgekosten. Die Höchstbeträge sind gestaffelt und hängen davon ab, welche Pflicht verletzt wurde:

6. BAG-Trend: BAG 8 AZR 300/24 (23.10.2025, Daimler Truck)

BAG 8 AZR 300/24 ist ein Equal-Pay-Urteil und kein Algorithmen-Urteil — es zeigt aber einen Rechtsprechungstrend, der für die algorithmische Diskriminierung hochrelevant ist: Das BAG hat klargestellt, dass bereits ein Paarvergleich mit einem einzelnen, höchstbezahlten männlichen Kollegen genügt, um die Diskriminierungs-Vermutung nach § 22 AGG / § 7 EntgTranspG auszulösen. Ein Median-Vergleich ist nicht erforderlich.

Übertragen auf die algorithmische Diskriminierung: Wenn schon ein einzelner Vergleichsfall als Indiz genügt, dürfte ein dokumentierter Bias-Befund eines Auswahl-Algorithmus erst recht als Indiz im Sinne von § 22 AGG genügen. Die Indiz-Schwelle wird durch die jüngere BAG-Linie tendenziell gesenkt — was den Compliance-Druck auf Arbeitgeber erhöht, präventiv zu auditieren und zu dokumentieren.

Diese Linie stützt sich hier auf drei Entgelt-Entscheidungen: 21.01.2021 — 8 AZR 488/19 (bereits in Abschnitt 2 zitiert), 16.02.2023 — 8 AZR 450/21 („besseres Verhandlungsgeschick" rechtfertigt keinen Lohnunterschied) und 23.10.2025 — 8 AZR 300/24 (Paarvergleich genügt). Für die algorithmische Auswahl heißt das zweierlei: Auswahl-Quoten aus dem eigenen ATS sind derselbe Datentyp, aus dem hier ein Indiz wurde, und eine nachträglich formulierte, subjektive Begründung dürfte den Gegenbeweis nach der bisherigen Entgelt-Linie (BAG 16.02.2023 — 8 AZR 450/21) nicht tragen.

Ausdrücklich: Alle drei Entscheidungen sind Entgeltfälle. Eine höchstrichterliche Entscheidung zur algorithmischen Bewerberauswahl ist zum Stand der ausgewerteten Quellen (02.05.2026) nicht dokumentiert. Planen Sie deshalb mit der Dokumentation, nicht mit einem Präzedenzfall.

7. Was Sie tun müssen — Compliance-Pfad

Der Pfad beginnt beim Inventar und endet nicht beim Vertrag mit dem Anbieter: Ohne vollständige Liste der eingesetzten Systeme lässt sich weder die Anhang-III-Einstufung noch der Vollbeweis nach § 22 AGG führen. Die Spalte „Frist / Trigger" nennt gesetzliche Termine und — jeweils ausdrücklich so bezeichnet — Praxisempfehlungen; Praxisempfehlungen sind Organisationsvorschläge ohne gesetzlich fixierten Termin.

7.1 Inventar und Einstufung: die Reihenfolge entscheidet

Prüfen Sie je System in dieser Folge: (1) Greift ein Verbot des Art. 5 Abs. 1 lit. f oder g KI-VO (Abschnitt 3.2)? (2) Ist es ein KI-System nach Art. 3 Nr. 1 KI-VO? (3) Fällt der bestimmungsgemäße Zweck unter Anhang III Nr. 4 — Stellenanzeigen-Targeting, Sichtung, Filterung, Bewertung? Führt das System dabei ein Profiling natürlicher Personen durch, steht die Ausnahme des Art. 6 Abs. 3 KI-VO nicht zur Verfügung. Unabhängig vom Ergebnis bleibt das AGG anwendbar (Abschnitt 1).

7.2 Datenschutz-Nebenstrang: DSFA und Datenschutzbeauftragter

Recruiting-Scoring kann die DSFA-Pflicht nach Art. 35 DSGVO auslösen — und zieht dann in Deutschland die Benennung eines Datenschutzbeauftragten unabhängig von der Beschäftigtenzahl nach sich. Eine Datenschutz-Folgenabschätzung ist nach Art. 35 Abs. 1 DSGVO durchzuführen, wenn eine Verarbeitung — insbesondere bei Verwendung neuer Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; Art. 35 Abs. 3 DSGVO nennt als Regelbeispiel die systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung. Die Kettenwirkung dahinter: § 38 Abs. 1 BDSG verlangt den Datenschutzbeauftragten, sobald Verarbeitungen einer DSFA nach Art. 35 DSGVO unterliegen (daneben die 20-Personen-Schwelle); in Österreich folgt die Benennungspflicht unmittelbar aus Art. 37 Abs. 1 DSGVO, eine zusätzliche zahlenmäßige Schwelle gibt es dort nicht. Prüfen Sie außerdem, ob das System Daten verarbeitet, aus denen Merkmale nach Art. 9 Abs. 1 DSGVO hervorgehen (etwa ethnische Herkunft, Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung) — dafür gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen.