Datenschutzgesetz Österreich Erklärt: Der Vollständige Leitfaden 2026

Das österreichische Datenschutzgesetz (DSG) bildet zusammen mit der Datenschutz-Grundverordnung (DSGVO) das rechtliche Fundament für den Schutz personenbezogener Daten in Österreich. Für Privatpersonen und Unternehmen gleichermaßen ist ein grundlegendes Verständnis dieser Regelungen unverzichtbar – sei es zur Wahrung eigener Rechte oder zur Einhaltung gesetzlicher Pflichten. In diesem umfassenden Leitfaden erklären wir Ihnen alle wesentlichen Aspekte des Datenschutzgesetzes in Österreich.

Was ist das Datenschutzgesetz in Österreich?

Das Datenschutzgesetz (DSG) ist das zentrale österreichische Bundesgesetz zum Schutz personenbezogener Daten. Es ergänzt und konkretisiert die europäische DSGVO auf nationaler Ebene und regelt, wie Behörden, Unternehmen und Privatpersonen mit personenbezogenen Daten umgehen dürfen.

Das aktuelle DSG trat am 25. Mai 2018 in Kraft – parallel zur DSGVO – und ersetzte das frühere Datenschutzgesetz 2000. Es gilt für alle Verarbeitungen personenbezogener Daten, die in Österreich stattfinden oder österreichische Bürger betreffen.

Die rechtlichen Grundlagen im Überblick

DSGVO (EU-Verordnung 2016/679): Unmittelbar geltendes EU-Recht
DSG (Datenschutzgesetz): Nationales österreichisches Ausführungsgesetz
Artikel 8 EU-Grundrechtecharta: Grundrecht auf Datenschutz
§ 1 DSG: Verfassungsrechtliches Grundrecht auf Datenschutz in Österreich

Besonders bemerkenswert: Österreich verankert den Datenschutz sogar auf Verfassungsebene. § 1 DSG hat Verfassungsrang und gewährt jedermann einen Anspruch auf Geheimhaltung personenbezogener Daten.

Historische Entwicklung des österreichischen Datenschutzes

Österreich zählt zu den europäischen Pionieren im Datenschutzrecht. Bereits 1978 wurde das erste Datenschutzgesetz beschlossen – lange bevor der Datenschutz auf EU-Ebene harmonisiert wurde.

Meilensteine der Gesetzgebung

1978: Erstes österreichisches Datenschutzgesetz (DSG 1978)
2000: Modernisierung durch das DSG 2000 zur Umsetzung der EU-Richtlinie 95/46/EG
2018: Anpassung an die DSGVO durch das Datenschutz-Anpassungsgesetz
2019-2026: Laufende Novellierungen und Anpassungen an digitale Entwicklungen

Zentrale Begriffe des Datenschutzgesetzes

Um das Datenschutzgesetz zu verstehen, müssen Sie die wichtigsten Fachbegriffe kennen. Diese Definitionen finden sich sowohl im DSG als auch in Artikel 4 DSGVO.

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Name, Adresse, E-Mail, IP-Adresse, Standortdaten, biometrische Daten und viele mehr.

Besondere Kategorien personenbezogener Daten

Sogenannte sensible Daten unterliegen einem besonderen Schutz. Dazu zählen:

Daten über die rassische oder ethnische Herkunft
Politische Meinungen
Religiöse oder weltanschauliche Überzeugungen
Gewerkschaftszugehörigkeit
Genetische und biometrische Daten
Gesundheitsdaten
Daten zum Sexualleben oder zur sexuellen Orientierung

Verantwortlicher und Auftragsverarbeiter

Der Verantwortliche entscheidet über Zwecke und Mittel der Datenverarbeitung. Der Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen – etwa ein Cloud-Anbieter oder externer Dienstleister.

Die sieben Grundprinzipien der Datenverarbeitung

Jede Verarbeitung personenbezogener Daten in Österreich muss folgenden Grundsätzen entsprechen (Art. 5 DSGVO):

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
Zweckbindung: Daten nur für festgelegte, eindeutige Zwecke
Datenminimierung: Nur so viele Daten wie nötig
Richtigkeit: Daten müssen aktuell und korrekt sein
Speicherbegrenzung: Daten nicht länger als notwendig aufbewahren
Integrität und Vertraulichkeit: Angemessene Sicherheit gewährleisten
Rechenschaftspflicht: Nachweis der Einhaltung aller Grundsätze

Rechtsgrundlagen für die Datenverarbeitung

Eine Datenverarbeitung ist nur rechtmäßig, wenn mindestens eine der folgenden Rechtsgrundlagen vorliegt:

Rechtsgrundlage	Anwendungsbeispiel
Einwilligung (Art. 6 Abs. 1 lit. a)	Newsletter-Anmeldung, Cookie-Zustimmung
Vertragserfüllung (lit. b)	Kaufvertrag, Arbeitsvertrag
Rechtliche Verpflichtung (lit. c)	Steuerliche Aufbewahrungspflichten
Lebenswichtige Interessen (lit. d)	Medizinischer Notfall
Öffentliches Interesse (lit. e)	Behördliche Aufgabenerfüllung
Berechtigtes Interesse (lit. f)	Betrugsprävention, IT-Sicherheit

Ihre Rechte als Betroffener nach dem DSG

Das Datenschutzgesetz und die DSGVO gewähren jeder Person umfassende Rechte gegenüber datenverarbeitenden Stellen. Eine detaillierte Übersicht finden Sie in unserem Artikel DSGVO in Österreich: Ihre Rechte als Betroffener.

Die wichtigsten Betroffenenrechte

Auskunftsrecht (Art. 15): Erfahren, welche Daten über Sie gespeichert sind
Recht auf Berichtigung (Art. 16): Falsche Daten korrigieren lassen
Recht auf Löschung (Art. 17): "Recht auf Vergessenwerden"
Recht auf Einschränkung (Art. 18): Verarbeitung einschränken
Datenübertragbarkeit (Art. 20): Daten in maschinenlesbarem Format erhalten
Widerspruchsrecht (Art. 21): Gegen bestimmte Verarbeitungen widersprechen
Beschwerderecht (Art. 77): Bei der Datenschutzbehörde beschweren

Möchten Sie das Recht auf Löschung geltend machen? Unser Leitfaden zum Antrag auf Vergessenwerden zeigt Ihnen Schritt für Schritt, wie Sie vorgehen.

Pflichten für Unternehmen in Österreich

Unternehmen, die personenbezogene Daten verarbeiten, treffen zahlreiche Pflichten. Die Nichteinhaltung kann empfindliche Bußgelder nach sich ziehen.

Wesentliche Pflichten im Überblick

Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO)
Datenschutzerklärung bereitstellen mit allen erforderlichen Informationen
Technisch-organisatorische Maßnahmen (TOMs) implementieren
Datenschutz-Folgenabschätzung (DSFA) bei riskanten Verarbeitungen
Datenschutzbeauftragten benennen (bei bestimmten Voraussetzungen)
Auftragsverarbeitungsverträge (AVV) mit Dienstleistern abschließen
Datenschutzverletzungen binnen 72 Stunden melden
Mitarbeiter regelmäßig schulen

Wann ist ein Datenschutzbeauftragter Pflicht?

Nach Art. 37 DSGVO muss ein Datenschutzbeauftragter bestellt werden, wenn:

Die Verarbeitung durch eine Behörde erfolgt
Die Kerntätigkeit eine umfangreiche regelmäßige Überwachung von Betroffenen erfordert
Die Kerntätigkeit die umfangreiche Verarbeitung besonderer Datenkategorien umfasst

Die österreichische Datenschutzbehörde (DSB)

Die Datenschutzbehörde ist die unabhängige Aufsichtsbehörde für den Datenschutz in Österreich. Sie hat ihren Sitz in Wien und ist für die Überwachung und Durchsetzung des DSG und der DSGVO zuständig.

Aufgaben der Datenschutzbehörde

Bearbeitung von Beschwerden
Durchführung von Untersuchungen und Kontrollen
Verhängung von Geldbußen bei Verstößen
Beratung von Verantwortlichen und Betroffenen
Zusammenarbeit mit anderen europäischen Aufsichtsbehörden
Sensibilisierung der Öffentlichkeit

Kontakt zur Datenschutzbehörde

Datenschutzbehörde, Barichgasse 40-42, 1030 Wien. Beschwerden können online, per Post oder E-Mail eingereicht werden. Das Verfahren ist für Betroffene grundsätzlich kostenfrei.

Bußgelder und Sanktionen bei Verstößen

Verstöße gegen das Datenschutzgesetz können erhebliche finanzielle Konsequenzen haben. Die DSGVO sieht ein zweistufiges Bußgeldsystem vor:

Kategorie	Maximales Bußgeld	Beispiele für Verstöße
Weniger schwere Verstöße	10 Mio. € oder 2% des Jahresumsatzes	Fehlendes Verarbeitungsverzeichnis, mangelhafte TOMs
Schwere Verstöße	20 Mio. € oder 4% des Jahresumsatzes	Verstoß gegen Grundprinzipien, Betroffenenrechte, unrechtmäßige Übermittlung

Es gilt jeweils der höhere Betrag. In Österreich wurden bereits mehrere sechsstellige Bußgelder verhängt, etwa gegen Unternehmen wegen unzureichender Löschkonzepte oder unrechtmäßiger Videoüberwachung.

Besonderheiten im österreichischen DSG

Das österreichische DSG enthält einige nationale Besonderheiten, die über die DSGVO hinausgehen oder diese konkretisieren.

Datenschutz und Bildverarbeitung

§§ 12 und 13 DSG regeln die Bildverarbeitung (Videoüberwachung) besonders detailliert. Wichtige Vorgaben:

Kennzeichnungspflicht der überwachten Bereiche
Grundsätzliche Löschung nach 72 Stunden
Verbot der Überwachung höchstpersönlicher Lebensbereiche

Verarbeitung im Arbeitsverhältnis

§ 11 DSG behandelt die Verarbeitung von Arbeitnehmerdaten. Zusätzlich sind arbeitsrechtliche Bestimmungen wie das ArbVG zu beachten – insbesondere bei Kontrollmaßnahmen ist die Zustimmung des Betriebsrats erforderlich.

Verwaltungsstrafverfahren

Anders als in Deutschland enthält das österreichische DSG auch Regelungen zu Verwaltungsstrafen für natürliche Personen (§ 62 DSG), etwa bei vorsätzlicher unrechtmäßiger Datenverwendung.

Praktische Umsetzung: Was Sie tun sollten

Ob als Privatperson oder Unternehmer – bestimmte Maßnahmen helfen Ihnen, das Datenschutzgesetz einzuhalten oder Ihre Rechte durchzusetzen.

Für Privatpersonen

Regelmäßig prüfen, ob Ihre Passwörter von Datenlecks betroffen sind
Datenschutzerklärungen kritisch lesen, bevor Sie zustimmen
Cookies nur für notwendige Funktionen akzeptieren
Auskunftsrecht aktiv nutzen bei unklaren Datenverarbeitungen
Sensibel bleiben gegenüber Phishing-Versuchen, die persönliche Daten abgreifen wollen

Für Unternehmen

Bestandsaufnahme aller Datenverarbeitungen durchführen
Datenschutzerklärung rechtssicher formulieren
Technisch-organisatorische Maßnahmen dokumentieren
Mitarbeiter regelmäßig schulen
Prozesse für Betroffenenanfragen etablieren
Bei Marketing und URL-Tracking datenschutzkonforme Tools wie Lunyb einsetzen, die DSGVO-konform arbeiten und transparente Verarbeitung ermöglichen

Datenschutz im digitalen Marketing

Gerade im Online-Marketing müssen österreichische Unternehmen besonders sorgfältig agieren. Tracking-Tools, Newsletter, Social-Media-Plugins und Analyse-Software erfordern klare Rechtsgrundlagen.

Datenschutzkonforme Kurz-URLs

Beim Einsatz von URL-Kürzern für Marketing-Kampagnen ist auf die Datenverarbeitung des Anbieters zu achten. Ein Vergleich verschiedener Anbieter findet sich in unserem Artikel URL-Kürzungsdienste im Vergleich 2026. Lunyb etwa bietet europäische Server, transparente Datenschutzpraktiken und DSGVO-konforme Verarbeitung – wichtige Kriterien für rechtssicheres Marketing in Österreich.

Ausblick: Datenschutz in Österreich 2026 und darüber hinaus

Der Datenschutz entwickelt sich stetig weiter. Aktuelle und kommende Themen betreffen:

Künstliche Intelligenz: Die EU-KI-Verordnung ergänzt das Datenschutzrecht
Datenübermittlungen in Drittländer: Neue Angemessenheitsbeschlüsse und Standardvertragsklauseln
Digital Services Act und Digital Markets Act: Auswirkungen auf große Plattformen
Data Act: Regelung nichtpersonenbezogener Daten
ePrivacy-Verordnung: Modernisierung der Regeln für elektronische Kommunikation

Fazit

Das österreichische Datenschutzgesetz bietet in Kombination mit der DSGVO einen der stärksten Datenschutzstandards weltweit. Für Privatpersonen bedeutet das umfassende Rechte und Kontrolle über die eigenen Daten. Unternehmen stehen vor der Herausforderung, komplexe Anforderungen umzusetzen – bei Nichteinhaltung drohen empfindliche Bußgelder. Wer die Grundprinzipien versteht und konsequent anwendet, schafft Vertrauen, minimiert Risiken und trägt zu einer respektvollen digitalen Kultur bei.

Häufig gestellte Fragen (FAQ)

Gilt das österreichische DSG auch für Unternehmen im Ausland?

Ja, das DSG und die DSGVO gelten auch für Unternehmen außerhalb der EU, sofern sie Waren oder Dienstleistungen an Personen in Österreich anbieten oder deren Verhalten beobachten (Marktortprinzip nach Art. 3 DSGVO).

Wie lange darf ein Unternehmen meine Daten speichern?

Nur so lange, wie es für den ursprünglichen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten (z.B. sieben Jahre bei steuerrelevanten Unterlagen nach BAO) bestehen. Danach müssen Daten gelöscht oder anonymisiert werden.

Was kostet eine Beschwerde bei der Datenschutzbehörde?

Das Verfahren vor der österreichischen Datenschutzbehörde ist für Betroffene grundsätzlich kostenfrei. Es fallen keine Gebühren an, wenn Sie sich über eine Verletzung Ihrer Datenschutzrechte beschweren.

Muss jedes Unternehmen einen Datenschutzbeauftragten benennen?

Nein. Die Pflicht zur Bestellung eines Datenschutzbeauftragten besteht nur unter bestimmten Voraussetzungen – etwa bei Behörden, bei umfangreicher regelmäßiger Überwachung oder bei umfangreicher Verarbeitung sensibler Daten. Kleine Unternehmen ohne solche Verarbeitungen sind meist nicht dazu verpflichtet.

Was mache ich, wenn meine Daten unrechtmäßig verarbeitet wurden?

Wenden Sie sich zunächst an den Verantwortlichen und fordern Sie Auskunft, Berichtigung oder Löschung. Reagiert dieser nicht angemessen, können Sie eine Beschwerde bei der Datenschutzbehörde einreichen oder zivilrechtlich Schadensersatz geltend machen (Art. 82 DSGVO).