Österreich erlaubt Bescheide ohne Menschen

Bisher brauchte in Österreich jeder Bescheid die Genehmigung eines Menschen, so steht es in § 18 Abs. 3 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG). Das ändert sich. Der Nationalrat hat am 23.09.2026 mit den Stimmen von ÖVP, SPÖ und NEOS eine Novelle von AVG und Verwaltungsstrafgesetz beschlossen. Behörden dürfen damit schriftliche Bescheide vollständig automatisiert erlassen, per Regelwerk oder per KI. FPÖ und Grüne stimmten dagegen, die Zustimmung des Bundesrats gilt laut heise als Formsache. In Kraft treten die neuen Regeln mit Ablauf des Tages, an dem das Gesetz kundgemacht wird.

Für alle, die Software für die öffentliche Hand bauen, testen oder beschaffen, ist das mehr als eine Rechtsnachricht. Der neue § 18a AVG beschreibt ziemlich genau, was ein solches System technisch können muss.

Was das Gesetz erlaubt

Die Novelle bringt drei Neuerungen:

Vollautomatische Bescheide (§ 18a AVG): Digitalisierungsstaatssekretär Alexander Pröll nannte als Beispiele Gebührenbescheide und allgemeine Förderungen. Auch Straf- und Anonymverfügungen im Verwaltungsstrafrecht können automatisiert ergehen.
No-Stop-Verfahren (§ 57a AVG): Bescheide ohne Antrag, wenn die Behörde alle Daten schon aus ihren Registern kennt. Vorbilder sind die antragslose Familienbeihilfe und die automatische Arbeitnehmerveranlagung.
Chatbots im Verfahren: Anträge sollen direkt über einen Chatbot eingebracht werden können, der auch die gesetzliche Anleitungspflicht der Behörde übernehmen darf.

Welche Fälle automatisiert laufen dürfen, entscheidet nicht das Parlament. Das zuständige Ministerium legt die "Sachen" per Verordnung fest. Hat es das nicht getan, darf die einzelne Behörde selbst eine Verordnung erlassen. Die Fälle muss sie auf ihrer Website veröffentlichen, zusammen mit den Informationen über automatisierte Entscheidungen, die Art. 13 DSGVO verlangt. Automatisiert entschieden werden dürfen nur Verfahren, die nach dieser Veröffentlichung beginnen.

Was ein System dafür können muss

Ein Bescheid ohne Menschen ist nur zulässig, wenn die Behörde "bestimmenden Einfluss" auf den Vorgang behält. Das Gesetz zählt auf, was dafür mindestens nötig ist:

Anforderung im Gesetz	Was das praktisch heißt
Hinreichende technische Nachvollziehbarkeit	Laut Erläuterungen bei KI auch Nachvollziehbarkeit der Trainingsdaten
Dokumentierte Testphase vor dem Einsatz	Durchgeführt von der zuständigen Behörde oder einer Oberbehörde
Möglichkeit, einzugreifen	Einen Vorgang stoppen und an einen Menschen geben, solange das technisch geht
Laufende Kontrollen	Laut Erläuterungen stichprobenartig durch Sachbearbeiter, nicht Bescheid für Bescheid

Dazu kommt eine Kennzeichnungspflicht. Auf jedem Bescheid steht, dass er vollautomatisiert erstellt wurde, statt des Namens eines Sachbearbeiters. Beruht der Fall auf besonders geschützten Daten wie Gesundheitsdaten, muss deren Verarbeitung nach Art. 9 Abs. 2 lit. a oder g DSGVO zulässig sein.

Ein Detail, das in manchen Berichten strenger klingt, als es ist: Dass die KI nicht selbstlernend sein darf, steht nicht im Gesetzestext, sondern in den Erläuterungen. Dort heißt es, das werde "in der Regel ausgeschlossen sein müssen". Jede Anpassung an neue Rechtslage oder Rechtsprechung braucht dann eine neue Freigabe und eine neue Testphase. Echtdaten aus den Verfahren zum Weitertrainieren zu nutzen, wäre ein anderer Zweck und bräuchte eine eigene gesetzliche Grundlage.

Der Rechtsschutz

Gegen einen vollautomatischen Bescheid können Betroffene binnen zwei Wochen "Vorstellung" erheben, ohne Begründung. Der Bescheid tritt damit außer Kraft, den neuen muss ein Mensch erlassen. Damit will der Gesetzgeber Art. 22 DSGVO erfüllen, der vor rein automatisierten Entscheidungen schützt. Umgekehrt kann die Behörde einen automatisierten Bescheid innerhalb von zwei Monaten von sich aus aufheben oder ändern, etwa wenn ihr System in einem Massenverfahren Fehler produziert hat. Genau das kritisiert Süleyman Zorba von den Grünen als Problem für die Rechtssicherheit. Für automatisierte Straf- und Anonymverfügungen gibt es die Zwei-Wochen-Vorstellung nicht, dort bleiben die bisherigen Wege.

Österreich geht weiter als Deutschland

In Deutschland regelt § 35a Verwaltungsverfahrensgesetz den vollautomatischen Verwaltungsakt schon länger. Er ist aber nur erlaubt, wenn ein Gesetz ihn zulässt und "weder ein Ermessen noch ein Beurteilungsspielraum besteht". Österreich zieht diese Grenze nicht. Laut Erläuterungen stehen Ermessen und unbestimmte Rechtsbegriffe einer Automatisierung "nicht von vornherein entgegen", etwa wenn die Verwaltung die Ermessensausübung vorher per Erlass festlegt. Und statt eines eigenen Gesetzes pro Anwendungsfall reicht eine Verordnung.

Der fraktionslose Abgeordnete Veit Dengler hat in der Debatte einen Punkt angesprochen, den das Gesetz offenlässt: Es unterscheidet nicht zwischen Automatisierung und generativer KI. Die Erläuterungen gehen auf maschinelles Lernen ein, im Gesetzestext selbst taucht der Unterschied nicht auf.

Die Risiken

Wer in DACH Software für Verwaltungen baut, wird mit § 18a AVG zu tun bekommen. Die Chancen sind real, Massenverfahren wie Gebühren oder Förderungen könnten deutlich schneller laufen. Die Risiken liegen vor allem darin, dass viel an der Umsetzung hängt.

Ob das Gesetz ein Fortschritt wird, entscheidet sich an den Verordnungen und an den ersten Systemen. Die Anforderungen im Gesetz sind vernünftig. Für die Teams, die solche Systeme bauen und prüfen, heißt das: Sie haben jetzt eine Checkliste, an der sie gemessen werden.