Jusletter IT

Arbeitssuchende sollen zukünftig von einem Algorithmus hinsichtlich ihrer Integrationschancen in den Arbeitsmarkt bewertet werden. Die maschinellen Bewertungen sollen als Basis für die Entscheidung, ob und welche Förderungen zugewendet werden, dienen.² Das Arbeitsmarktservice wagte damit einen bedeutenden Schritt hin zur Digitalisierung.³ Dennoch ließ die Kritik nicht lange auf sich warten. Wie dem Konzeptpapier des zugrundeliegenden Forschungsprojekts der Synthesis GmbH zu entnehmen ist, sollen nämlich unter anderem Merkmale wie Alter, Geschlecht und gesundheitliche Einschränkungen zur Errechnung der Erwartungswerte herangezogen werden.⁴ KritikerInnen befürchten, dass bereits bestehende Vorurteile «einzementiert» würden.⁵ Der Algorithmus wurde gar als «Paradebeispiel für Diskriminierung» bezeichnet.⁶

Über die Diskriminierungsproblematik hinaus war das Projekt der Auslöser für eine umfassende ethische Debatte und warf Grundsatzfragen⁷ zum Einsatz eines Bewertungsalgorithmus durch das Arbeitsmarktservice auf. Wie Spiekermann in einem Blogeintrag erklärte, sei bei der Frage, ob die Technologie zum Einsatz kommen sollte, vor allem die Würde des einzelnen Menschen zu berücksichtigen. Der Einsatz dürfe nicht dazu führen, dass Menschen in Schubladen gesteckt werden. Stattdessen müsse man auf individuelle Lebenslagen eingehen und diese Aspekte entsprechend würdigen, bevor eine Entscheidung getroffen wird.⁸ Das AMS hält dem entgegen, dass nicht der Algorithmus entscheidet, sondern SachbearbeiterInnen. Daran hält der Leiter des AMS in seiner Replik auch fest.⁹ Spiekermann hinterfragt dies jedoch kritisch, da Experimente zeigen würden, dass Menschen großes Vertrauen in Maschinenurteile hätten und daher in aller Regel nicht von diesen abweichen würden. Die zentrale Fragestellung lautet, welcher Freiheitsgrad den AMS-SachbearbeiterInnen beim potentiellen Abweichen von der Entscheidung zukommt.¹⁰ Wie viel Verantwortung tragen die MitarbeiterInnen des AMS und sind sie sich dieser bewusst?

Dass es sich bei dieser «Gretchenfrage»¹¹ nicht allein um philosophische oder ethische Überlegungen handelt, sondern diese durchaus auch rechtliche Auswirkungen hat, sollen die nachfolgenden Ausführungen aufzeigen.

Mit der Einführung der Datenschutzgrundverordnung wurden auch neue Bestimmungen zu automatisierten Einzelfallentscheidungen einschließlich Profiling geschaffen. Zentral ist vor allem der Art. 22 DSGVO.¹² Diese Bestimmung wurde im Zusammenhang mit Algorithmen vielfach unter dem Stichwort «Scoring» diskutiert.¹³ Die Norm sieht bestimmte Einschränkungen und Schutzmechanismen vor, die Betroffene vor maschinellen Entscheidungen schützen sollen.¹⁴ Auch der Einsatz eines Bewertungsalgorithmus wie jener des AMS kann unter Umständen unter diese Norm fallen. Ob Art. 22 DSGVO auf den konkreten Bewertungsalgorithmus anwendbar ist, ist allerdings abhängig von der Ausgestaltung.¹⁵

Sofern der Bewertungsalgorithmus in den Anwendungsbereich der Bestimmung fällt, werden die potentiellen Rechtsgrundlagen, die dessen Einsatz rechtfertigen können, eingeschränkt. Erlaubt ist die Verarbeitung der notwendigen Daten dann lediglich, wenn die automatisiert getroffene Entscheidung aufgrund eines konkreten Vertrages erforderlich¹⁶, aufgrund einer Rechtsvorschrift vorgesehen¹⁷ oder aufgrund der Einwilligung der betroffenen Person gerechtfertigt ist¹⁸. Der Verantwortliche kann sich daher beispielsweise nicht auf seine berechtigten Interessen¹⁹ stützen. Zudem dürfen – mit einigen Ausnahmen – keine besonderen Kategorien personenbezogener Daten wie beispielsweise Daten zu Gesundheit²⁰ oder ethnischer Herkunft verarbeitet werden.²¹ Einschlägig ist dann zumeist auch Absatz 3, wonach dem Betroffenen das Recht zusteht, das Eingreifen einer Person seitens des Verantwortlichen zu erwirken, den eigenen Standpunkt darzulegen, sowie die algorithmische Entscheidung anzufechten. Zusätzlich müssen bei Vorliegen einer automatisierten Entscheidung iSd. Art. 22 DSGVO auch die involvierte Logik des Algorithmus offengelegt²² und stets angemessene Maßnahmen vorgesehen werden, die den Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person berücksichtigen.²³ Ist die Bestimmung jedoch nicht anwendbar, kommen diese Einschränkungen und Schutzmechanismen den bewerteten Personen nicht zu Gute.

Ob Art. 22 DSGVO einschlägig ist, ist daher eine Frage mit weitreichenden Folgen. Im Falle des AMS-Algorithmus würde die Anwendbarkeit zunächst bedeuten, dass sich das AMS auf eine der genannten Rechtsgrundlagen stützen muss. Hierbei wäre natürlich als Rechtsgrundlage § 25 AMSG²⁴ anzudenken, den wohl auch das AMS als zentrale Norm ansieht.²⁵ Dieser Paragraph stellt eine sehr weitreichende Rechtfertigung für die Datenverarbeitung dar, wäre aber mMn. bei Anwendbarkeit des Art. 22 DSGVO für sich alleine nicht ausreichend, da keine «angemessenen Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person» vorgesehen sind, wie dies Art. 22 Abs. 2 lit. b DSGVO fordert.²⁶ Sieht man diese Rechtsgrundlage dennoch als ausreichend an, so dürften in diesem Sonderfall aufgrund der Ausnahmen in Art. 22 Abs. 4 DSGVO auch besondere Kategorien personenbezogener Daten iSd. Art. 9 DSGVO verarbeitet werden.

Stützt sich das AMS auf eine Rechtsvorschrift²⁷, so ist Art. 22 Abs. 3 DSGVO, welcher unter anderem die Anfechtungsmöglichkeit vorsieht, expressis verbis nicht anwendbar. Dies ist nämlich nur der Fall, wenn die Datenverarbeitung auf der Einwilligung oder einem Vertrag beruht. ME. sprechen allerdings gute Gründe dafür, die Worte «angemessene Maßnahmen» in Art. 22 Abs. 2 lit. b derart zu interpretieren, dass zumindest vergleichbare Instrumente wie in den Fällen des Art 22 Abs. 2 lit. a und c vorgesehen werden müssen. Dies entspricht auch den Erläuterungen in ErwGr. 71²⁸ sowie der Argumentation der Art-29-Datenschutzgruppe, die erläutert, dass die Festlegung geeigneter Garantien jedenfalls das Recht auf Darlegung des eigenen Standpunktes sowie das Recht auf Anfechtung der Entscheidung umfassen sollte.²⁹

Dementsprechend wäre eine weitere Folge der Anwendbarkeit des Art. 22 DSGVO, dass das AMS KundInnen zusätzlich die Möglichkeit geben müsste, ihren eigenen Standpunkt zur algorithmischen Entscheidung darzulegen, sowie die Entscheidung anzufechten. Darüber hinaus müsste den KundInnen, die mittels dieses Algorithmus bewertet werden, die involvierte Logik dargelegt werden. Diese letzten Punkte sind insbesondere vor dem Hintergrund interessant, dass gerade im Hinblick auf potentielle Diskriminierungen vermehrte Kritik am Einsatz des Algorithmus aufgekommen ist und gar ein «Beipackzettel» für diesen gefordert wurde.³⁰

Aus Sicht der KundInnen wären die oben genannten Instrumente und Einschränkungen des Art. 22 DSGVO natürlich wünschenswert, da sie ein erhöhtes Schutzniveau für Betroffene bieten würden. Das verpflichtende Vorsehen einer Anfechtungsmöglichkeit der getroffenen Entscheidung kann ganz allgemein im Vergleich zu einem gerichtlichen Verfahren ein effizientes und vor allem kostengünstiges Mittel zur Einwirkung auf Entscheidungen sein. Dabei muss im konkreten Fall zusätzlich auch bedacht werden, dass gemäß § 34 Abs. 3 AMSG kein Rechtsanspruch auf Beihilfen besteht, wodurch eine potentielle Durchsetzung im prozessualen Weg wohl erschwert wird. Zudem hätte eine betroffene Person im Rahmen der datenschutzrechtlichen Instrumente auch die vergleichsweise einfache Möglichkeit, eine unabhängige Aufsichtsbehörde einzuschalten, sofern sie beispielsweise der Meinung ist, dass bei der Bewertung keine ausreichenden Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden. Diese genannten Folgen treten, wie erwähnt, aber nicht ein, wenn es sich um keine automatisierte Entscheidung im Einzelfall einschließlich Profiling iSd. Art. 22 DSGVO handelt. Es ist davon auszugehen, dass dies in Bezug auf den AMS-Algorithmus seitens der Verantwortlichen argumentiert wird. Es liegt hier zwar zweifelsohne Profiling vor, da persönliche Aspekte eines Einzelnen bewertet werden. Diese sollen auch zur Analyse und Prognose der Arbeitsmarktchancen dienen.³¹ Ebenso hätten Entscheidungen des AMS wohl zumindest beeinträchtigende Wirkung.³² Die Entscheidung ist aber nicht ausschließlich automatisiert, wie dies in Art. 22 Abs 1 DSGVO gefordert wird. Wie vom aktuellen Leiter des AMS beschrieben, werden die Entscheidungen nämlich nicht vom Algorithmus getroffen.³³ Vielmehr läge die Entscheidung über die Einschätzung der Chancen auf dem Arbeitsmarkt bei den BeraterInnen. Diese würden auch «ermutigt», die errechneten Werte zu überprüfen und auch zu korrigieren.³⁴

Ein vergleichbares Beispiel im Bereich des Arbeitsmarktes wird in der Kommentarliteratur von Schulz und Haidinger ausgeführt. Sie erläutern, dass die bloße Reihung von Bewerbern durch ein E-Recruiting-Tool keine ausschließlich automatisierte Verarbeitung darstellt, sofern der Arbeitgeber anschließend die Selektion vornimmt.³⁵ Nach Haidinger sei Art. 22 DSGVO nicht anwendbar, sofern eine Bewertung lediglich Teil des Entscheidungsprozesses ist, der letztendlich maßgebend von einem Menschen beeinflusst wird.³⁶ Damit gehen die Autoren wohl konform mit den Ausführungen der Art-29-Datenschutzgruppe. Diese trennt in ihren Ausführungen klar Entscheidungsfindungen, die auf Profiling beruhen, von auschließlich automatisierten Entscheidungsfindungen einschließlich Profiling.³⁷ Gewisse Leitlinien gelten zwar für alle Profiling-Tätigkeiten, die besonderen Garantien und Beschränkungen des Art. 22 DSGVO jedoch nur für letztere.

Hier kann nun an die oben erläuterte ethische Debatte angeknüpft werden. Denn das ausschlaggebende Kriterium, welches gemäß den Ausführungen der Art-29-Datenschutzgruppe über die Anwendbarkeit des Art. 22 DSGVO entscheidet, ist das Ausmaß der menschlichen Einflussnahme.³⁸ Bei der Einbeziehung eines menschlichen Entscheidungsträgers dürfe es sich nicht um eine «symbolische Geste» handeln. Die Person muss über die nötige Änderungskompetenz verfügen.³⁹ Nach Schulz ist es zentral, dass der Mensch eine wahrnehmbare Letztentscheidung trifft.⁴⁰ Zudem muss die entscheidende Person auch entsprechend instruiert werden und über das notwendige technische Verständnis verfügen, um die Ausgabe des Algorithmus zu überprüfen.⁴¹ Buchner betont, dass die Entscheidung des Menschen nicht lediglich formaler Art sein darf. Insbesondere hebt er treffend hervor, dass «die getroffene Entscheidung der Sache nach von einer natürlichen Person (statt einer Maschine) zu verantworten ist»⁴². Nach Helfrich muss die entscheidende Person daher zumindest zwei mögliche Wahloptionen haben.⁴³

In Bezugnahme auf den AMS-Algorithmus bedeutet dies, dass die SachbearbeiterInnen auch tatsächlich Letztentscheidungen treffen müssen. Dafür ist es notwendig, dass sie sich ihrer Verantwortung bewusst sind. Sie müssen verstehen, dass es sich beim Output des Algorithmus lediglich um eine Vorauswertung handelt, die Entscheidungskompetenz jedoch gänzlich bei ihnen liegt. Dies müsste auch bewusst und proaktiv in der internen Kultur gelebt werden. Eine bloße Ermutigung, wie dies vom Leiter des AMS zunächst umschrieben wird, wird mE. dafür nicht ausreichen. Wie von Spiekermann in der ethischen Debatte um den AMS-Algorithmus angeführt, tendieren Menschen nämlich dazu, nicht von algorithmischen Bewertungen abzuweichen.⁴⁴ Handelt es sich nun tatsächlich zwar nicht – wie von ihr im ersten Blogeintrag angedeutet – um eine auswertende KI, so ist es dennoch notwendig, dass die Logik hinter der Auswertung in entsprechenden Schulungen erläutert wird, um sinnvollerweise von dieser abweichen zu können. Dies sollte mangels Einsatzes von komplexen Technologien wie «machine learning» auch tendenziell besser möglich sein.

Ein Aspekt, der mE. in den Ausführungen zu Art. 22 DSGVO auch erwähnt werden sollte und gerade im Alltagsgeschäft des AMS zu berücksichtigen ist, ist der zeitliche Faktor. Die SachbearbeiterInnen können lediglich dann verantwortungsbewusst handeln, wenn sie auch über ausreichend Ressourcen verfügen. Eine sinnvolle Überprüfung ist nämlich nur möglich, wenn die SachbearbeiterInnen auch faktisch die Zeit haben, konkrete Aspekte der Bewertung herauszugreifen und zu analysieren. Ob diese Ressourcen innerhalb des AMS stets aufgebracht werden können, erscheint angesichts aktueller Medienberichte allerdings fraglich.⁴⁵ Positiv ist zu sehen, dass Kopf in seinem offenen Brief ausdrücklich erwähnt, dass Umstände normiert werden, unter denen die Entscheidungen jedenfalls korrigiert werden.⁴⁶ Nach Auskunft eines Mitgliedes des AMS-Strategieausschusses werde gerade geprüft, ob Förderrichtlinien geändert werden sollen. Bis jetzt seien aber noch keine Änderungen beschlossen worden. Auch die Frage, wie die BeraterInnen ihre Verantwortung bei der Ein- und Umstufung wahrnehmen können werden, sei Gegenstand der Diskussion.⁴⁷ Die entsprechenden Richtlinien sind nach heutigem Stand daher zwar noch nicht umgesetzt, wohl aber in Planung.

Die obigen Ausführungen zeigen, dass Verantwortungsbewusstsein eine entscheidende rechtliche Komponente sein kann. Es ergeben sich zwei Möglichkeiten: entweder die Einflussnahme auf die Entscheidung durch die AMS-SachbearbeiterInnen ist ausreichend⁴⁸, oder den Betroffenen steht der zusätzliche Schutz nach Art. 22 DSGVO offen.

In beiden Fällen wäre es sinnvoll, entsprechende Adaptionen in den AMS-Normen vorzusehen. Im ersten Fall wäre das vor allem für MitarbeiterInnen hilfreich, die dadurch konkrete Grundlagen und Anhaltspunkte zum möglichen Abweichen von der Einordnung durch den AMS-Algorithmus hätten. Im zweiten Fall kann dies – abhängig vom einschlägigen Erlaubnistatbestand – sogar erforderlich sein.⁴⁹

Es bleibt abzuwarten, wie die entsprechenden Richtlinien adaptiert werden. ME. wäre es aber wünschenswert, wenn das AMS im Sinne der Rechtsprechung des EGMR seine sinngemäße Verantwortung, beim Einsatz dieser neuen Technologie eine «faire Balance»⁵⁰ zu finden, wahrnimmt, und auch bei Nichtanwendbarkeit des Art. 22 DSGVO, die «Best Practices» der Art-29-Datenschutzgruppe zu Art. 22 DSGVO umsetzt.⁵¹ Damit könnte ein hoher Schutzstandard geschaffen werden und Österreich könnte mit gutem Beispiel im komplexen Prozess der verantwortungsbewussten Digitalisierung Europas voranschreiten.

Artikel-29-Datenschutzgruppe, Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 (WP251 rev.01).

Buchinger, Herbert Stellungnahme an die Gleichbehandlungsanwaltschaft, www.gleichbehandlungsanwaltschaft.gv.at/documents/340065/450375/Schreiben_von_AMS_Bundesgeschäftsstelle_25.04.2019.pdf/ (abgerufen am 31. Oktober 2019), 2019.

Cech, Florian/Wagner, Ben im Futurezone-Interview, Der AMS-Algorithmus ist ein «Paradebeispiel für Diskriminierung», Futurezone technology news, www.futurezone.at/netzpolitik/der-ams-algorithmus-ist-ein-paradebeispiel-fuer-diskriminierung/400147421 (aufgerufen am 31.10.2019), 2018.

Cech, Florian/Fischer, Fabian/Human, Soheil/Lopez/Wagner, Ben im Futurezone-Interview, Dem AMS-Algorithmus fehlt der Beipackzettel, Futurezone technology news, www.futurezone.at/meinung/dem-ams-algorithmus-fehlt-der-beipackzettel/400636022 (aufgerufen am 31.10.2019), 2019.

Datenethikkommission, Gutachten der Datenethikkommission, www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/it-digitalpolitik/gutachten-datenethikkommission.html (aufgerufen am 31. Oktober 2019), 2019

Ehrke-Rabel, Tina/Hödl, Elisabeth, Steuerbescheid und behördliches Profiling, Dako 2017/35, S. 59.

Eschholz, Stefanie, Big Data-Scoring unter dem Einfluss der Datenschutz-Grundverordnung, DuD 2017, S. 180.

Gerhartl, Andreas, Aktuelle Datenschutzfragen in der AMS-Praxis, Dako 2015/22, S. 35.

Gerhartl, Andreas, Datenschutz im Arbeitslosenversicherungsrecht, ASoK 2012, S. 21.

Gerhartl, Andreas, Förderungen des AMS, ASoK 2016, S. 485.

Gesellschaft für Informatik, Technische und rechtliche Betrachtungen algorithmischer Entscheidungsverfahren. Studien und Gutachten im Auftrag des Sachverständigenrats für Verbraucherfragen, Sachverständigenrat für Verbraucherfragen, Brandenburgische Universitätsdruckerei, Berlin 2018.

Gierschmann, Sybille/Schlender, Katharina/Stenzel, Rainer/Veil, Winfried, Datenschutz-Grundverordnung, 2. Auflage, Bundesanzeiger Verlag, Köln 2018.

Gola, Peter, DS-GVO, 2. Auflage, C.H.BECK, München 2018.

Holl, Jürgen/Kernbeiss, Günter/Wagner-Pinter, Michael, Konzeptunterlage Synthesis GmbH: Das AMS-Arbeitsmarktchancen-Modell, AMS-Forschungsnetzwerk, www.forschungsnetzwerk.at/downloadpub/arbeitsmarktchancen_methode_%20dokumentation.pdf. (aufgerufen am 31. Oktober 2019), 2018.

Knyrim, Rainer, DatKomm, Manz Verlag, Wien 2019.

Kopf, Johannes, Offener Brief an Fr. Prof. Sarah Spiekermann zum Thema Einsatz von KI im AMS, Johannes Kopf, https://www.johanneskopf.at/2019/09/24/offener-brief-fr-prof (aufgerufen am 30.10.2019), 2019.

Kopf, Johannes, Der Beipackzettel zum AMS-Algorithmus, Futurezone technology news, www.futurezone.at/meinung/der-beipackzettel-zum-ams-algorithmus/400641347 (aufgerufen am 31.10.2019), 2019.

Kühling, Jürgen/Buchner, Benedikt, DS-GVO/BDSG, 2. Auflage, C.H.BECK, München 2018.

Lachmayer, Konrad, Effizienz als Verfassungsprinzip – eine Maxime für staatliches Handeln in Österreich? In: Bungenberg (Hrsg.): Recht und Ökonomik, 44. Assistententagung des öffentlichen Rechts Jena 2004, C. H. Beck, München 2004, S. 135–160.

Rath, Matthias/Krotz, Friedrich/Karmasin, Matthias, Maschinenethik, Springer Verlag, Wiesbaden 2019.

Spiekermann, Sarah, Warum das AMS keine KI auf österreichische Bürger loslassen sollte, Der Standard, www.derstandard.at/story/2000108890110/warum-das-ams-keine-ki-auf-oesterreichische-buerger-loslassen-sollte (aufgerufen am 31.10.2019), 2019.

Sydow, Gernot, Europäische Datenschutzgrundverordnung, 2. Auflage, Nomos Verlag, Baden-Baden 2018.

Taeger, Jürgen, Verbot des Profiling nach Art 22 DS-GVO und die Regulierung des Scoring ab Mai 2018, RDV 2017/1, S. 3.