Produkte

AI Adoption & Privacy

AI Workspace
Preise

Network Security Preise

Network DDoS Protection
Partner
Über Myra
Login
WAAP (Myra App) AI Workspace EU CAPTCHA Partnerportal
Deutsch English Français
Notfall Demo
Produkte
Application Security DDoS Protection Web Application Firewall CDN Bot Management CAPTCHA Network Security Network DDoS Protection (cloud) Network DDoS Protection (on-prem) Network DDoS Protection (hybrid)

AI Adoption & Privacy

AI Workspace
Preise

Application Security Preise

DDoS Protection, WAF, CDN, Bot Management EU CAPTCHA

Network Security Preise

Network DDoS Protection
Partner
Über Myra

Unternehmen

Über uns Karriere News & Insights Eventplan 2026 Presse

Warum Myra?

Referenzen & Case Studies Zertifizierungen Migration Integrationen DSGVO-Konformität Digitale Souveränität

Myra im Vergleich

Myra vs. Wettbewerber Cloudflare Alternative Akamai Alternative F5 Alternative
Login WAAP Login AI Workspace Login EU CAPTCHA Partnerportal English Français
Notfall Demo

Aktualisiert am 11.10.2026

KI im Unternehmen in Österreich: erst der Betriebsrat, dann die DSB

Wer in Österreich ein KI-Werkzeug für die Belegschaft einführt, sollte mit dem Betriebsrat beginnen. Sobald das Werkzeug Verläufe pro Person speichert, ist es nach unserer Einschätzung in aller Regel ein System nach § 96a ArbVG, unter Umständen sogar eine Kontrollmaßnahme nach § 96 Abs. 1 Z 3 ArbVG. Im zweiten Fall ist die Einführung ohne Zustimmung des Betriebsrates nicht rechtswirksam. Die Datenschutzfragen kommen danach, und die Datenschutzbehörde (DSB) hat dazu inzwischen klar Stellung bezogen.

Welcher Fall liegt vor, § 96 oder § 96a ArbVG?

Der Unterschied ist praktisch groß, weil nur eine der beiden Zustimmungen durch die Schlichtungsstelle ersetzbar ist.

§ 96a Abs. 1 Z 1 ArbVG § 96 Abs. 1 Z 3 ArbVG
Was erfasst ist „Systeme[] zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten des Arbeitnehmers“, die über allgemeine Angaben und fachliche Voraussetzungen hinausgehen „Kontrollmaßnahmen und technische[] Systeme[] zur Kontrolle der Arbeitnehmer, sofern diese Maßnahmen (Systeme) die Menschenwürde berühren“
Typisch beim KI-Tool Accounts, Chat-Verläufe, Nutzungsdaten pro Person Auswertbare Protokolle, mit denen sich Verhalten oder Leistung einzelner Personen nachvollziehen lässt
Ohne Betriebsrat einig? Schlichtungsstelle kann die Zustimmung ersetzen (§ 96a Abs. 2) Nicht ersetzbar; ohne Betriebsvereinbarung keine Rechtswirksamkeit
Betrieb ohne Betriebsrat allgemeines Datenschutzrecht Zustimmung jedes Arbeitnehmers (§ 10 AVRAG)

Ob die Menschenwürde berührt ist, prüft der OGH in zwei Schritten. Erst wird gefragt, ob das System objektiv zur Kontrolle geeignet ist. Dann ist „in einem zweiten Schritt zu prüfen, ob durch das konkret installierte Kontrollsystem die Menschenwürde berührt ist“ (9 ObA 60/22x, RS0134091). Für eine automationsunterstützte Telefonregistrieranlage hat der OGH schon 2002 festgehalten, dass sie, soweit sie personenbezogene Daten erfasst, „immer der Zustimmung des Betriebsrates“ bedarf, absolut oder ersetzbar, je nach Intensität des Eingriffs (8 ObA 288/01p). Eine OGH-Entscheidung speziell zu generativer KI kennen wir nicht.

Unser Rat: Streiten Sie besser nicht über die Abgrenzung, sondern schließen Sie eine Betriebsvereinbarung, die beide Tatbestände abdeckt. Zwei Details übersehen viele. Eine Betriebsvereinbarung nach § 96 ohne Regelung der Geltungsdauer kann jede Seite „jederzeit ohne Einhaltung einer Frist schriftlich“ kündigen (§ 96 Abs. 2). Und in Betrieben ohne Betriebsrat ist die Einzelzustimmung nach § 10 Abs. 2 AVRAG ebenso jederzeit kündbar. Wer ein System baut, das vom Widerruf einzelner Personen abhängt, hat ein wackliges Fundament.

Daneben hat der Betriebsrat laut Arbeiterkammer Wien ein Recht auf Auskunft, „ob und in welchen Bereichen KI-Systeme eingesetzt werden (§ 91 Abs 1 ArbVG)“, und ein Beratungsrecht bei der Einführung neuer Technologien (§ 92a ArbVG). Rechnen Sie also damit, dass auch Pilotprojekte nicht im Verborgenen bleiben.

Was die Datenschutzbehörde sagt

Die DSB führt eine laufend erweiterte FAQ zu KI und Datenschutz. Der wichtigste Satz betrifft fremde Systeme: Es sei darauf zu achten, ob die Nutzung dazu führt, „dass personenbezogene Daten auch an den Hersteller des Systems (oder andere Dritte) übermittelt werden. Dies könnte zu unrechtmäßigen Datenoffenlegungen oder auch zur Preisgabe von Geschäftsgeheimnissen führen.“ Die DSB empfiehlt deshalb interne Regeln, welche Daten mit dem System verarbeitet werden dürfen.

Die Verantwortung lässt sich nicht an den Anbieter abgeben. Auch wenn die technischen Vorgaben von dort stammen, ist laut DSB „in der Regel“ die Stelle Verantwortliche, die das KI-System einsetzt. Und Nutzer seien darüber zu informieren, dass Ergebnisse solcher Systeme „irreführend und falsch sein können“.

Im Newsletter 1/2026 schreibt die DSB, dass bei ihr „immer mehr Beschwerden oder Anregungen für Prüfverfahren“ im Zusammenhang mit KI-Systemen einlangen. Sie stellt klar, dass die KI-VO „grundsätzlich keine Rechtsgrundlage iSd Art. 6 DSGVO“ ist, und hält eine Datenschutz-Folgenabschätzung bei KI-Systemen für „erforderlich und hilfreich“; sie lässt sich mit der Grundrechte-Folgenabschätzung nach der KI-VO kombinieren.

Eine österreichische Besonderheit: Das Grundrecht auf Datenschutz nach § 1 DSG umfasst nach Auffassung der DSB weiterhin auch juristische Personen (Bescheid vom 08.10.2025). Wer Unterlagen von Firmenkunden in einen Prompt kopiert, sollte also nicht nur an natürliche Personen denken.

Im öffentlichen Dienst gelten andere Regeln

Für die Hoheitsverwaltung ist die DSB strenger. Im Rundschreiben vom 13. Jänner 2026 hält sie fest, dass personenbezogene Daten auch bei KI-Systemen nur verarbeitet werden dürfen, wenn „eine ausdrückliche und hinreichend determinierte Rechtsgrundlage besteht (§ 1 Abs. 2 DSG)“. Eine weitreichende Vorbereitung einer Entscheidung mit KI kann unter Art. 22 DSGVO fallen, selbst wenn ein Mensch zuletzt entscheidet.

Im Bundesdienst gilt statt des ArbVG das PVG. Das Gegenstück zu § 96a ArbVG steht in § 9 Abs. 2 lit. f PVG: Für die Einführung von Systemen, die personenbezogene Daten der Bediensteten über allgemeine Angaben zur Person und fachliche Voraussetzungen hinaus verarbeiten, ist das Einvernehmen mit dem Dienststellenausschuss herzustellen. Ein KI-Werkzeug mit persönlichen Verläufen fällt nach unserer Einschätzung darunter. Für Kontrollmaßnahmen mit Daten der IKT-Nutzung bei begründetem Verdacht einer gröblichen Dienstpflichtverletzung gilt zusätzlich lit. n. Die Details klären Sie am besten mit Ihrer Dienstrechtsabteilung. Für Bundesbedienstete rollt das Bundeskanzleramt seit 20. Juli 2026 GovGPT aus, das im Bundesrechenzentrum läuft. Länder, Gemeinden, Kammern und ausgegliederte Rechtsträger haben eigene Personalvertretungsregeln; GovGPT steht ihnen bisher nicht zur Verfügung, Gespräche mit Ländern und Gemeinden laufen laut Bundeskanzleramt.

Branchen mit eigenen Pflichten

Banken und Versicherungen

Die FMA verweist darauf, dass KI schon heute die technologieneutralen Anforderungen des Aufsichtsrechts samt DORA erfüllen muss. Leitungsorgane sollen im IKT-Drittanbietermanagement nachsteuern, „wenn durch KI-Integration neue Abhängigkeiten entstehen“. Ein externer KI-Workspace gehört damit ins Informationsregister.

Rechtsanwälte und Steuerberater

§ 9 Abs. 2 RAO verpflichtet zur Verschwiegenheit und verlangt, Hilfskräfte „zur Verschwiegenheit zu verpflichten“ und dafür „hinreichend vorzukehren“. § 80 WTBG 2017 erstreckt die Verschwiegenheit auch auf „Betriebs- oder Geschäftsgeheimnisse“. Vorsicht bei Texten aus Deutschland: Ein Gegenstück zu § 203 dStGB gibt es in Österreich nicht. § 121 StGB schützt im Wesentlichen Geheimnisse über den Gesundheitszustand, etwa bei Gesundheitsberufen und Versicherungen, dazu die von Sachverständigen. Für Kanzleien läuft die Prüfung daher über das Berufsrecht.

Der Ablauf in sechs Schritten

  1. Einsatzfälle festlegen und die Datenklassen bestimmen: öffentlich, intern, personenbezogen, Berufsgeheimnis.
  2. Betriebsrat früh informieren (§ 91 ArbVG) und die Betriebsvereinbarung verhandeln. Inhalt: Zweck, erfasste Daten, wer Protokolle wann einsehen darf, Löschfristen, Ausschluss der Leistungskontrolle, Beteiligung bei neuen Funktionen, Geltungsdauer.
  3. DSFA durchführen oder begründet verwerfen, Verarbeitungsverzeichnis ergänzen, Auftragsverarbeitungsvertrag abschließen.
  4. Technisch absichern, was die Vereinbarung verspricht: Modelle sperren, Protokolle begrenzen, Privataccounts ausschließen.
  5. Schulen (Art. 4 KI-VO). Laut KI-Servicestelle der RTR können interne Schulungen genügen; Zertifikate dafür gibt es derzeit nicht.
  6. Wiedervorlage, sobald neue Funktionen oder Modelle dazukommen.

Zum AI Act: Österreich hat seine Marktüberwachungsbehörden noch nicht benannt. Ihre Pflichten als Betreiber gelten trotzdem, denn die Verordnung gilt unmittelbar.

Was Myra AI Workspace dazu beiträgt

Myra AI Workspace ist ein Werkzeug aus Deutschland, die Oberfläche gibt es auf Deutsch und Englisch. Für die Datenklassen aus Schritt 1 gibt es die Zugriffsstufe „Nur lokal“: Ein solches Projekt lässt nur Myra-Modelle zu, Cloud-Modelle, Websuche und externe Tools sind gesperrt. Myra-Modelle laufen auf Myras eigener EU-Infrastruktur in Deutschland; AI Workspace läuft auf BSI-C5-Typ-2-testierter Myra-Infrastruktur. In bezahlten Self-Serve-Tarifen setzen Myra-gehostete Modelle das Paket „EU-Gov“ voraus. Myra verwendet Kundendaten nicht zum Training von KI-Modellen.

Damit Beschäftigte sehen, wohin ihre Eingabe geht, zeigt eine ampelartige Anzeige neben der Modellauswahl den Weg vor dem Senden. Grün („Lokales Modell“, „Lokal + Maskierung“) heißt, die Anfrage bleibt bei einem Myra-Modell. Gelb („Datenschutz an“) heißt, sie geht an ein externes Modell, und personenbezogene Daten werden vorher durch Platzhalter ersetzt und in der Antwort wiederhergestellt; diese Maskierung ist in allen Tarifen verfügbar. Rot („Datenschutz aus“) heißt, sie geht unmaskiert an einen externen Anbieter. Für externe Modelle lässt sich EU-Routing einschalten, standardmäßig ist es aus.

Für die Betriebsvereinbarung zählen vor allem die Protokolle. Wie lange Verläufe gespeichert bleiben, legen Sie pro Mandant, Projekt und Nutzer fest. Im „Ghost-Modus“ wird eine Unterhaltung weder gespeichert noch protokolliert. Admin-Änderungen und Sicherheitsereignisse werden protokolliert, bei Bedarf manipulationserkennbar per Hash-Kette. Die Anmeldung läuft über SSO (OIDC/SAML), Privataccounts fallen damit weg.

Zustimmungspflichtig bleibt das System trotzdem, weil es Accounts und Verläufe kennt; die Einstellungen liefern Ihnen nur die Zusagen, die Sie dem Betriebsrat in der Vereinbarung geben können. Damit die Belegschaft bis zum Abschluss nicht auf private Chatbots ausweicht, hilft der Beitrag Schatten-KI überflüssig machen statt verbieten. Eine Gliederung für interne Regeln finden Sie im Ratgeber KI-Richtlinie, geschrieben für Deutschland, im Aufbau aber auch in Österreich brauchbar.

Häufige Fragen

Brauchen wir für ein KI-Tool wirklich eine Betriebsvereinbarung?

Wenn ein Betriebsrat besteht und das Tool personenbezogene Daten der Arbeitnehmer automationsunterstützt verarbeitet, etwa Verläufe pro Account, in aller Regel ja (§ 96a Abs. 1 Z 1 ArbVG). Berührt es die Menschenwürde, ist die Zustimmung nach § 96 Abs. 1 Z 3 ArbVG sogar Voraussetzung für die Rechtswirksamkeit und nicht durch die Schlichtungsstelle ersetzbar. Ob das zutrifft, prüft der OGH in zwei Schritten (9 ObA 60/22x).

Und wenn es im Betrieb keinen Betriebsrat gibt?

Dann verlangt § 10 AVRAG für Kontrollmaßnahmen und technische Systeme, welche die Menschenwürde berühren, die Zustimmung jedes einzelnen Arbeitnehmers. Diese Zustimmung kann ohne Befristungsvereinbarung jederzeit schriftlich gekündigt werden. Planen Sie deshalb von Anfang an so, dass das System möglichst wenig Kontrollpotenzial hat.

Wer ist in Österreich für den AI Act zuständig?

Die Marktüberwachungsbehörden sind noch nicht benannt; die DSB nennt Österreich bei der Durchführung der KI-VO „säumig“ (Newsletter 1/2026), die FMA nennt die Begleitgesetzgebung „ausständig“. Für datenschutzrechtliche Fragen bei KI ist die DSB zuständig. Die KI-Servicestelle der RTR informiert und berät, ist aber keine Vollzugsbehörde.

Ist eine Schulung zur KI-Kompetenz Pflicht?

Art. 4 KI-VO verpflichtet Betreiber seit 02.02.2025, in der seit 27.07.2026 geltenden Fassung, Maßnahmen zur Unterstützung der KI-Kompetenz ihres Personals zu ergreifen. Eine eigene Verwaltungsstrafe gibt es nicht. Die RTR weist aber darauf hin, dass fehlende Schulungen dem Unternehmer nach § 1313a ABGB zurechenbar sein können. Interne Schulungen können laut RTR-FAQ ausreichen.

Quellen

Dieser Beitrag gibt einen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung im Einzelfall.