Datenschutzgesetz Österreich Erklärt: Der Vollständige Leitfaden 2026

Das Datenschutzgesetz Österreich (DSG) bildet gemeinsam mit der europäischen Datenschutz-Grundverordnung (DSGVO) das rechtliche Fundament für den Umgang mit personenbezogenen Daten in der Alpenrepublik. Wer in Österreich lebt, ein Unternehmen führt oder eine Website betreibt, muss die zentralen Regelungen kennen. Dieser Leitfaden erklärt Ihnen praxisnah, was das DSG regelt, welche Rechte Sie als betroffene Person haben und welche Pflichten Unternehmen erfüllen müssen.

Was ist das Datenschutzgesetz Österreich?

Das Datenschutzgesetz (DSG) ist das nationale österreichische Gesetz, das den Schutz personenbezogener Daten regelt und die europäische DSGVO konkretisiert. Es trat in seiner aktuellen Fassung am 25. Mai 2018 in Kraft – zeitgleich mit der DSGVO – und ersetzte das frühere Datenschutzgesetz 2000.

Das DSG hat eine ergänzende und präzisierende Funktion. Wo die DSGVO Öffnungsklauseln vorsieht, füllt das österreichische DSG diese aus – etwa im Bereich der Videoüberwachung, der Bildverarbeitung, des Beschäftigtendatenschutzes oder der Regelungen für die Datenschutzbehörde (DSB).

Rechtliche Grundlagen im Überblick

DSGVO (Verordnung EU 2016/679): Unmittelbar anwendbares EU-Recht
DSG (BGBl. I Nr. 165/1999 idgF): Nationales Umsetzungs- und Ergänzungsgesetz
Grundrecht auf Datenschutz: Verankert in § 1 DSG als Verfassungsbestimmung
Materiengesetze: Bereichsspezifische Regelungen (z. B. Telekommunikationsgesetz, ArbVG)

Das Grundrecht auf Datenschutz in § 1 DSG

Österreich ist eines der wenigen EU-Länder mit einem eigenständigen verfassungsrechtlichen Grundrecht auf Datenschutz. § 1 DSG hat Verfassungsrang und garantiert jedem den Anspruch auf Geheimhaltung personenbezogener Daten, soweit ein schutzwürdiges Interesse besteht.

Dieses Grundrecht umfasst insbesondere:

Recht auf Geheimhaltung personenbezogener Daten
Recht auf Auskunft, welche Daten verarbeitet werden
Recht auf Richtigstellung unrichtiger Daten
Recht auf Löschung unzulässig verarbeiteter Daten

Beschränkungen sind nur durch Gesetz zulässig, wenn sie zum Schutz überwiegender berechtigter Interessen notwendig sind – etwa der nationalen Sicherheit oder der Strafrechtspflege.

Zentrale Begriffe des DSG einfach erklärt

Personenbezogene Daten

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen Name, Adresse, IP-Adresse, Standortdaten, Cookies, biometrische Merkmale, aber auch Meinungsäusserungen über eine Person.

Verantwortlicher und Auftragsverarbeiter

Der Verantwortliche entscheidet über Zwecke und Mittel der Datenverarbeitung (z. B. das Unternehmen). Der Auftragsverarbeiter verarbeitet Daten im Auftrag – etwa ein Cloud-Anbieter oder externer IT-Dienstleister. Zwischen beiden muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen werden.

Besondere Kategorien personenbezogener Daten

Daten mit erhöhtem Schutzbedarf: Gesundheitsdaten, ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung sowie genetische und biometrische Daten. Ihre Verarbeitung ist grundsätzlich verboten und nur unter engen Voraussetzungen zulässig.

Ihre Rechte als betroffene Person

Das Zusammenspiel von DSGVO und DSG gewährt Ihnen als natürlicher Person umfangreiche Rechte gegenüber Unternehmen und Behörden, die Ihre Daten verarbeiten.

Recht	Rechtsgrundlage	Was es bedeutet
Auskunftsrecht	Art. 15 DSGVO	Erfahren, welche Daten über Sie gespeichert sind
Recht auf Berichtigung	Art. 16 DSGVO	Unrichtige Daten korrigieren lassen
Recht auf Löschung	Art. 17 DSGVO	"Recht auf Vergessenwerden"
Recht auf Einschränkung	Art. 18 DSGVO	Verarbeitung vorübergehend stoppen
Recht auf Datenübertragbarkeit	Art. 20 DSGVO	Daten in maschinenlesbarem Format erhalten
Widerspruchsrecht	Art. 21 DSGVO	Verarbeitung im Einzelfall widersprechen
Beschwerderecht	Art. 77 DSGVO, § 24 DSG	Beschwerde bei der Datenschutzbehörde

So machen Sie Ihre Rechte geltend

Verantwortlichen identifizieren (Impressum, Datenschutzerklärung prüfen)
Schriftlichen Antrag stellen – E-Mail oder Post genügen
Antwortfrist beachten: 1 Monat, in komplexen Fällen bis zu 3 Monate
Bei Nichtreaktion: Beschwerde bei der Datenschutzbehörde

Pflichten von Unternehmen nach DSG und DSGVO

Unternehmen, die personenbezogene Daten verarbeiten, treffen umfangreiche organisatorische, technische und dokumentarische Pflichten.

Zentrale Compliance-Pflichten

Rechtsgrundlage sicherstellen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse etc.
Informationspflichten: Transparente Datenschutzerklärung nach Art. 13/14 DSGVO
Verzeichnis der Verarbeitungstätigkeiten (VVT): Interne Dokumentation aller Verarbeitungen
Technische und organisatorische Massnahmen (TOMs): Verschlüsselung, Zugriffskontrollen, Backups
Meldepflicht bei Datenpannen: Binnen 72 Stunden an die DSB
Datenschutz-Folgenabschätzung (DSFA): Bei hohem Risiko für Betroffene
Bestellung eines Datenschutzbeauftragten: In bestimmten Fällen verpflichtend

Wann ist ein Datenschutzbeauftragter Pflicht?

Nach Art. 37 DSGVO muss ein Datenschutzbeauftragter (DSB/DPO) bestellt werden, wenn:

eine öffentliche Stelle Daten verarbeitet,
die Kerntätigkeit umfangreiche und regelmässige Überwachung betroffener Personen erfordert,
oder die Kerntätigkeit in der Verarbeitung besonderer Datenkategorien besteht.

Die österreichische Datenschutzbehörde (DSB)

Die Datenschutzbehörde mit Sitz in Wien ist die zuständige Aufsichtsbehörde für Österreich. Sie überwacht die Einhaltung des DSG und der DSGVO, führt Verfahren durch und verhängt Bussgelder.

Aufgaben der DSB

Bearbeitung von Beschwerden betroffener Personen
Amtswegige Prüfungen und Untersuchungen
Beratung und Information
Verhängung von Verwaltungsstrafen
Kooperation mit anderen europäischen Aufsichtsbehörden

Wenn Sie sich als Betroffener gegen eine Datenverarbeitung wehren möchten, können Sie kostenfrei eine Beschwerde einreichen. Wer in Grenzfällen mit Bezug zur Schweiz zu tun hat, findet in unserem Leitfaden zur Beschwerde beim EDÖB weiterführende Informationen.

Bussgelder und Sanktionen

Verstösse gegen das DSG und die DSGVO können empfindliche finanzielle Folgen haben. Die Bussgelder sind nach Art. 83 DSGVO gestaffelt.

Verstoss-Kategorie	Maximales Bussgeld	Beispiele
Leichte Verstösse	bis 10 Mio. € oder 2 % des Jahresumsatzes	Fehlendes VVT, mangelnde TOMs
Schwere Verstösse	bis 20 Mio. € oder 4 % des Jahresumsatzes	Rechtswidrige Verarbeitung, Missachtung Betroffenenrechte

Massgeblich ist jeweils der höhere Betrag. Zusätzlich sieht das DSG in § 62 auch strafrechtliche Sanktionen bei vorsätzlicher rechtswidriger Datenverarbeitung mit Bereicherungs- oder Schädigungsabsicht vor.

Besonderheiten des österreichischen DSG

Bildverarbeitung und Videoüberwachung

Die §§ 12 und 13 DSG regeln die Bildverarbeitung – insbesondere Videoüberwachung – detaillierter als die DSGVO. Videoüberwachung ist unter anderem zulässig zum Schutz von Personen und Sachen, muss aber gekennzeichnet werden, und Aufzeichnungen sind grundsätzlich nach 72 Stunden zu löschen.

Datenverarbeitung im Beschäftigungskontext

Der Arbeitnehmerdatenschutz wird durch das ArbVG (Arbeitsverfassungsgesetz) ergänzt. Massnahmen, die die Menschenwürde berühren – etwa Videoüberwachung am Arbeitsplatz oder Zeiterfassung – sind zustimmungspflichtig durch den Betriebsrat.

Werbeeinschränkungen

Die Robinson-Liste beim Fachverband Werbung und Marktkommunikation ermöglicht Verbrauchern, sich gegen adressierte Werbepost einzutragen. Elektronische Direktwerbung (E-Mail, SMS) benötigt gemäss § 174 TKG 2021 grundsätzlich eine vorherige Einwilligung.

DSG in der Praxis: Datenschutz im Alltag

Auch im privaten Alltag berührt das Datenschutzrecht viele Bereiche. Ob beim Onlineshopping, in sozialen Netzwerken oder bei der Nutzung von Cloud-Diensten – überall werden Daten erhoben. Ein bewusster Umgang mit dem eigenen digitalen Auftritt ist essenziell. Praktische Tipps finden Sie in unserem Leitfaden Digitaler Fussabdruck kontrollieren.

Datensparsamkeit beim Teilen von Links

Ein oft unterschätzter Aspekt: Lange URLs enthalten häufig Tracking-Parameter, Session-IDs oder personenbezogene Informationen. Wer Links weitergibt, sollte diese datenschutzfreundlich aufbereiten. Dienste wie Lunyb bieten einen datenschutzkonformen URL-Kürzer, der lange Links diskret verpackt und ohne aggressives Tracking auskommt. Wie das technisch funktioniert, erklärt unser Beitrag URL kürzen: So funktioniert es richtig.

Schutz vor Betrug und Identitätsdiebstahl

Datenschutz und Sicherheit gehen Hand in Hand. Wer weniger Daten preisgibt, ist auch weniger anfällig für Betrugsmaschen. Praktische Hinweise gibt unser Ratgeber, wie Sie eine Betrugs-Telefonnummer erkennen.

Datenübertragung ins Ausland

Werden Daten in Länder ausserhalb des EWR übertragen, sind zusätzliche Voraussetzungen zu erfüllen. Zulässig ist die Übertragung nur, wenn:

ein Angemessenheitsbeschluss der EU-Kommission vorliegt (z. B. Schweiz, UK, Japan),
geeignete Garantien bestehen (Standardvertragsklauseln, Binding Corporate Rules),
oder eine Ausnahme nach Art. 49 DSGVO greift (z. B. ausdrückliche Einwilligung).

Seit dem "Schrems II"-Urteil müssen Unternehmen bei US-Transfers zusätzliche Prüfungen (Transfer Impact Assessment) durchführen. Das EU-US Data Privacy Framework schafft seit 2023 wieder eine gewisse Rechtssicherheit für zertifizierte US-Unternehmen.

Checkliste: DSG-Compliance für Unternehmen

Bestandsaufnahme aller Datenverarbeitungen durchführen
Verzeichnis der Verarbeitungstätigkeiten anlegen und pflegen
Rechtsgrundlage für jede Verarbeitung dokumentieren
Datenschutzerklärung auf Website aktuell halten
Auftragsverarbeitungsverträge mit allen Dienstleistern abschliessen
Technische und organisatorische Massnahmen implementieren
Prozess für Betroffenenrechte etablieren (Reaktionszeit < 1 Monat)
Datenpannen-Meldeprozess einführen (72-Stunden-Frist)
Mitarbeiter regelmässig schulen
Datenschutzbeauftragten prüfen und ggf. bestellen

Häufig gestellte Fragen (FAQ)

Gilt das DSG auch für Privatpersonen?

Das DSG gilt grundsätzlich nicht für Datenverarbeitungen zu ausschliesslich persönlichen oder familiären Zwecken ("Haushaltsausnahme"). Sobald Daten jedoch veröffentlicht werden – etwa auf Social Media in einem grösseren Kreis oder auf einer öffentlichen Website – kann das Datenschutzrecht anwendbar sein.

Was ist der Unterschied zwischen DSGVO und DSG?

Die DSGVO ist eine EU-Verordnung, die in allen Mitgliedstaaten unmittelbar gilt. Das DSG ist das nationale österreichische Gesetz, das die DSGVO ergänzt und dort präzisiert, wo sie Öffnungsklauseln vorsieht – etwa bei Videoüberwachung, Beschäftigtendatenschutz oder den Regelungen zur Datenschutzbehörde.

Wie schnell muss ein Unternehmen auf mein Auskunftsersuchen reagieren?

Grundsätzlich innerhalb eines Monats nach Eingang des Antrags. In komplexen Fällen kann die Frist um zwei Monate verlängert werden – der Verantwortliche muss Sie darüber jedoch informieren. Reagiert das Unternehmen gar nicht, können Sie kostenfrei Beschwerde bei der Datenschutzbehörde einlegen.

Was tun bei einer Datenpanne im Unternehmen?

Verantwortliche müssen eine Datenpanne binnen 72 Stunden nach Bekanntwerden bei der Datenschutzbehörde melden, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Bei hohem Risiko sind zusätzlich die Betroffenen direkt zu informieren. Wichtig: Vorfall intern dokumentieren – auch wenn keine Meldung erforderlich ist.

Können auch kleine Unternehmen mit Bussgeldern belangt werden?

Ja. Bussgelder werden nach Art. 83 DSGVO unter Berücksichtigung von Schwere, Vorsatz, Kooperation und Unternehmensgrösse verhängt. Die österreichische DSB berücksichtigt die Verhältnismässigkeit, sanktioniert aber auch KMU – insbesondere bei fehlender Datenschutzerklärung, unrechtmässiger Werbung oder Ignorieren von Betroffenenrechten.

Fazit

Das Datenschutzgesetz Österreich ist ein zentrales Instrument zum Schutz Ihrer digitalen Grundrechte. Es ergänzt die DSGVO praxisnah und macht Österreich mit dem verfassungsrechtlich verankerten Grundrecht auf Datenschutz zu einem der progressivsten Länder Europas in Sachen Privatsphäre. Für Unternehmen bedeutet Compliance zwar Aufwand, schafft aber Vertrauen und Rechtssicherheit. Für Konsumenten öffnet das DSG effektive Wege, die Kontrolle über die eigenen Daten zu behalten – von der Auskunft bis zur Beschwerde. Wer die Grundregeln kennt und aktiv nutzt, gestaltet seine digitale Zukunft selbstbestimmt.