Datenschutzbehörde stellt klar: Die KI-Verordnung verdrängt die DSGVO nicht

„Die KI-VO verdrängt somit die DSGVO nicht.“ Dieser Satz steht in einer Information der österreichischen Datenschutzbehörde zum Verhältnis der beiden Regelwerke, gerichtet an Verantwortliche des öffentlichen Bereichs. Er beendet eine Annahme, die in manchen Verwaltungsprojekten mitschwang: dass der AI Act das Datenschutzrecht ablöst.

Für KI-Einsatz in der Hoheitsverwaltung, bei dem personenbezogene Daten verarbeitet werden, verlangt die Behörde eine Rechtsgrundlage im Sinne des § 1 Abs. 2 DSG. Das ist keine Formalie, sondern die Vorfrage vor jedem Pilotprojekt.

Besonderes Gewicht legt die Behörde auf Art. 22 DSGVO, die automatisierte Einzelentscheidung. Sie verweist dabei auf die tendenziell weite Auslegung durch den EuGH. Wer also einen Algorithmus vorbereitend rechnen lässt und meint, die Unterschrift eines Sachbearbeiters am Ende hole die Sache aus dem Anwendungsbereich, sollte diese Rechtsprechung genau lesen.

Dazu kommt die Beweislast. Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Rechtmäßigkeit der Verarbeitung nachweisen, nicht die Behörde ihre Rechtswidrigkeit. Bei KI-Systemen heißt das: dokumentieren, solange das Projekt läuft, nicht erst wenn jemand fragt.

Die Behörde meldet sich damit in einer Lücke zu Wort. Österreich hat bis heute keine KI-Marktüberwachungsbehörde benannt, während Deutschland seine Beschwerdestelle längst mit Onlineformular betreibt. Für Hochrisiko-KI in Strafverfolgung, Justiz, Grenzmanagement und Demokratie ist die Datenschutzbehörde nach Art. 74 Abs. 8 KI-VO ohnehin zuständig, unabhängig davon, was der Gesetzgeber sonst noch entscheidet.

Zwei Einschränkungen gehören dazu. Die Seite weist kein Veröffentlichungsdatum aus, es lässt sich also nicht belegen, dass die Information aus den letzten Tagen stammt. Und es handelt sich um eine Auslegungsinformation, nicht um einen Bescheid mit Geschäftszahl, sie bindet damit kein Gericht.

Trotzdem ist der Text die klarste Ansage, die eine österreichische Stelle bisher zum KI-Einsatz in der Verwaltung gemacht hat. Wer gerade einen Piloten aufsetzt, findet hier die Prüfreihenfolge: erst § 1 Abs. 2 DSG, dann Art. 22 DSGVO, dann die Pflichten aus der konsolidierten Fassung der KI-Verordnung.