Datenschutzgesetz Österreich Erklärt: Der Vollständige Leitfaden 2026

Das österreichische Datenschutzgesetz (DSG) regelt gemeinsam mit der europäischen Datenschutz-Grundverordnung (DSGVO) den Umgang mit personenbezogenen Daten in Österreich. Wer personenbezogene Daten verarbeitet – sei es als Unternehmen, Verein oder Behörde – muss diese Regelungen kennen und einhalten. In diesem umfassenden Leitfaden erklären wir Ihnen das Datenschutzgesetz Österreich verständlich und praxisnah.

Was ist das Datenschutzgesetz in Österreich?

Das Datenschutzgesetz (DSG) ist das nationale österreichische Gesetz, das den Schutz personenbezogener Daten regelt. Es ergänzt die EU-Datenschutz-Grundverordnung (DSGVO) und passt diese an die österreichische Rechtsordnung an. Beide Regelwerke bilden zusammen den rechtlichen Rahmen für den Datenschutz in Österreich.

Das DSG in seiner aktuellen Fassung trat am 25. Mai 2018 gemeinsam mit der DSGVO in Kraft. Es löste das frühere Datenschutzgesetz 2000 (DSG 2000) ab und wurde an die europäischen Vorgaben angeglichen. Zentrale Elemente des österreichischen Datenschutzrechts sind:

• Grundrecht auf Datenschutz nach § 1 DSG (Verfassungsrang)
• DSGVO als unmittelbar geltendes EU-Recht
• Nationale Konkretisierungen durch das DSG
• Bereichsspezifische Regelungen in Materiengesetzen (z.B. TKG, ArbVG)

Der Verfassungsrang des Datenschutzes

Eine Besonderheit des österreichischen Datenschutzrechts ist, dass das Grundrecht auf Datenschutz in § 1 DSG im Verfassungsrang steht. Das bedeutet: Jede Person hat einen verfassungsrechtlich garantierten Anspruch auf Geheimhaltung ihrer personenbezogenen Daten, insbesondere im Hinblick auf ihr Privat- und Familienleben.

DSGVO und DSG: Das Zusammenspiel verstehen

Die DSGVO gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten. Sie enthält jedoch zahlreiche sogenannte Öffnungsklauseln, die den nationalen Gesetzgebern Spielraum lassen. Österreich hat diesen Spielraum durch das DSG genutzt.

Was regelt die DSGVO?

Die DSGVO enthält die zentralen Grundsätze und Rechte des europäischen Datenschutzrechts:

• Grundsätze der Datenverarbeitung (Art. 5 DSGVO)
• Rechtsgrundlagen für die Verarbeitung (Art. 6 DSGVO)
• Rechte der betroffenen Personen (Art. 12–22 DSGVO)
• Pflichten der Verantwortlichen (Art. 24 ff. DSGVO)
• Bußgeldrahmen (Art. 83 DSGVO)

Was regelt das österreichische DSG zusätzlich?

Das DSG ergänzt die DSGVO in wichtigen Bereichen:

• Videoüberwachung (§§ 12–13 DSG)
• Datenverarbeitung im Beschäftigungskontext
• Datenschutz bei Forschungs- und Statistikzwecken
• Regelungen zur Datenschutzbehörde
• Umsetzung der Richtlinie für Polizei und Justiz (JI-Richtlinie)

Für einen tiefergehenden Überblick über Ihre konkreten Rechte empfehlen wir unseren Artikel DSGVO in Österreich: Ihre Rechte im Überblick 2026.

Die wichtigsten Grundsätze der Datenverarbeitung

Jede Verarbeitung personenbezogener Daten muss den Grundsätzen des Art. 5 DSGVO entsprechen. Diese sind das Fundament des österreichischen Datenschutzrechts.

Die sieben Grundprinzipien

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz – Daten müssen auf einer klaren Rechtsgrundlage verarbeitet werden.
2. Zweckbindung – Erhebung nur für festgelegte, eindeutige und legitime Zwecke.
3. Datenminimierung – Nur so viele Daten wie unbedingt notwendig.
4. Richtigkeit – Daten müssen sachlich richtig und aktuell sein.
5. Speicherbegrenzung – Daten nur so lange speichern, wie erforderlich.
6. Integrität und Vertraulichkeit – Angemessene Sicherheit gewährleisten.
7. Rechenschaftspflicht – Der Verantwortliche muss die Einhaltung nachweisen können.

Rechtsgrundlagen der Datenverarbeitung

Eine Verarbeitung personenbezogener Daten ist nur zulässig, wenn eine der in Art. 6 DSGVO genannten Rechtsgrundlagen vorliegt. In Österreich gelten dieselben sechs Rechtsgrundlagen wie in der gesamten EU.

Rechtsgrundlage	Typisches Beispiel
Einwilligung (Art. 6 Abs. 1 lit. a)	Newsletter-Anmeldung, Marketing-Cookies
Vertragserfüllung (lit. b)	Online-Bestellung, Lieferabwicklung
Rechtliche Verpflichtung (lit. c)	Steuerliche Aufbewahrungspflichten
Lebenswichtige Interessen (lit. d)	Medizinischer Notfall
Öffentliches Interesse (lit. e)	Behördliche Aufgaben
Berechtigtes Interesse (lit. f)	IT-Sicherheit, Betrugsprävention

Besondere Kategorien personenbezogener Daten

Für sensible Daten (z.B. Gesundheit, Religion, sexuelle Orientierung, biometrische Daten) gelten strengere Regeln nach Art. 9 DSGVO. Grundsätzlich ist die Verarbeitung solcher Daten verboten – außer es liegt eine ausdrückliche Ausnahme vor, etwa eine ausdrückliche Einwilligung.

Ihre Rechte als betroffene Person

Als betroffene Person haben Sie in Österreich umfangreiche Rechte gegenüber Unternehmen und Behörden, die Ihre Daten verarbeiten. Diese Rechte müssen kostenlos und in der Regel innerhalb eines Monats erfüllt werden.

Übersicht der Betroffenenrechte

1. Auskunftsrecht (Art. 15 DSGVO) – Erfahren, welche Daten über Sie verarbeitet werden.
2. Recht auf Berichtigung (Art. 16) – Korrektur unrichtiger Daten verlangen.
3. Recht auf Löschung (Art. 17) – „Recht auf Vergessenwerden".
4. Recht auf Einschränkung (Art. 18) – Verarbeitung vorübergehend stoppen.
5. Recht auf Datenübertragbarkeit (Art. 20) – Daten in einem gängigen Format erhalten.
6. Widerspruchsrecht (Art. 21) – Verarbeitung widersprechen.
7. Recht auf Beschwerde – Beschwerde bei der Datenschutzbehörde einlegen.

Wie machen Sie Ihre Rechte geltend?

Wenden Sie sich schriftlich (z.B. per E-Mail) an den Verantwortlichen. Nennen Sie klar Ihr Anliegen und welches Recht Sie geltend machen. Das Unternehmen muss Sie identifizieren und binnen eines Monats reagieren. Bei komplexen Anfragen kann diese Frist um zwei Monate verlängert werden.

Pflichten für Unternehmen in Österreich

Unternehmen, die personenbezogene Daten verarbeiten, treffen zahlreiche Pflichten. Diese gelten unabhängig von der Unternehmensgröße – auch KMU und Einzelunternehmer sind betroffen.

Zentrale Pflichten im Überblick

• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
• Informationspflichten gegenüber Betroffenen (Art. 13, 14 DSGVO) – meist über eine Datenschutzerklärung
• Technische und organisatorische Maßnahmen (TOM) zur Datensicherheit (Art. 32)
• Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko (Art. 35)
• Meldung von Datenpannen binnen 72 Stunden an die Datenschutzbehörde (Art. 33)
• Auftragsverarbeitungsverträge (AVV) mit Dienstleistern (Art. 28)
• Bestellung eines Datenschutzbeauftragten (DSB) in bestimmten Fällen (Art. 37)

Wann muss ein Datenschutzbeauftragter bestellt werden?

Ein Datenschutzbeauftragter ist verpflichtend bei:

• Behörden und öffentlichen Stellen
• Kerntätigkeiten, die eine umfangreiche regelmäßige Überwachung erfordern
• Umfangreicher Verarbeitung besonderer Datenkategorien

Die österreichische Datenschutzbehörde (DSB)

Die Datenschutzbehörde (DSB) mit Sitz in Wien ist die zuständige Aufsichtsbehörde für den Datenschutz in Österreich. Sie überwacht die Einhaltung der DSGVO und des DSG und kann Beschwerden von Betroffenen bearbeiten.

Aufgaben der Datenschutzbehörde

• Bearbeitung von Beschwerden betroffener Personen
• Durchführung von Untersuchungen und Prüfungen
• Verhängung von Geldbußen
• Beratung und Sensibilisierung
• Zusammenarbeit mit anderen europäischen Aufsichtsbehörden

Wie legen Sie Beschwerde ein?

Beschwerden können formlos schriftlich, per E-Mail oder über das Online-Formular auf der Website der DSB (dsb.gv.at) eingereicht werden. Die Beschwerde sollte den Sachverhalt konkret schildern und relevante Belege enthalten. Die DSB prüft dann den Fall und kann bei Verstößen Sanktionen verhängen.

Bußgelder und Sanktionen

Verstöße gegen das Datenschutzrecht können teuer werden. Die DSGVO sieht empfindliche Bußgelder vor, die auch in Österreich verhängt werden können.

Bußgeldrahmen nach DSGVO

Kategorie	Maximales Bußgeld	Betroffene Verstöße
Leichtere Verstöße	Bis 10 Mio. € oder 2% des weltweiten Jahresumsatzes	Verletzung technischer Pflichten (z.B. Verzeichnis der Verarbeitungstätigkeiten)
Schwere Verstöße	Bis 20 Mio. € oder 4% des weltweiten Jahresumsatzes	Verletzung der Grundsätze, Rechte Betroffener, unrechtmäßige Datenübermittlung

Maßgeblich ist jeweils der höhere Betrag. In Österreich wurden bereits mehrfach Bußgelder in sechsstelliger Höhe verhängt, etwa gegen die Österreichische Post oder gegen Unternehmen wegen unrechtmäßiger Videoüberwachung.

Besondere Themen des österreichischen Datenschutzrechts

Videoüberwachung

Die §§ 12 und 13 DSG regeln die Bildaufnahme (Videoüberwachung) in Österreich detailliert. Zulässig ist sie nur, wenn ein berechtigter Zweck vorliegt (z.B. Schutz von Personen oder Sachen). Betroffene Bereiche müssen durch Piktogramme gekennzeichnet sein. Die Aufzeichnungsdauer ist grundsätzlich auf 72 Stunden begrenzt.

Datenverarbeitung am Arbeitsplatz

Im Beschäftigungskontext ergänzen das Arbeitsverfassungsgesetz (ArbVG) und arbeitsrechtliche Bestimmungen die DSGVO. Kontrollmaßnahmen gegenüber Arbeitnehmern, die die Menschenwürde berühren, benötigen eine Betriebsvereinbarung oder Zustimmung.

Cookies und Tracking

Für Cookies gilt in Österreich zusätzlich zur DSGVO das Telekommunikationsgesetz (TKG 2021). Nicht-notwendige Cookies (Analyse, Marketing) dürfen nur mit ausdrücklicher, informierter Einwilligung gesetzt werden. Ein „Weiter-Nutzen" der Website reicht nicht aus – ein aktiver Klick ist erforderlich.

Datenpannen und Meldepflicht

Bei einer Verletzung des Schutzes personenbezogener Daten (Data Breach) muss der Verantwortliche binnen 72 Stunden die DSB informieren. Bei hohem Risiko für die Betroffenen sind auch diese direkt zu informieren. Wenn Sie selbst betroffen sind, hilft Ihnen unser Ratgeber Datenleck: Was Tun als Betroffener.

Praktische Tipps für den Datenschutz-Alltag

Für Privatpersonen

1. Prüfen Sie regelmäßig, welche Daten von Ihnen online verfügbar sind.
2. Nutzen Sie starke, einzigartige Passwörter und einen Passwort-Manager.
3. Kontrollieren Sie, ob Ihre Zugangsdaten in Datenlecks aufgetaucht sind – mehr dazu in unserem Artikel Wurde mein Passwort geleakt?
4. Aktivieren Sie Zwei-Faktor-Authentifizierung, wo immer möglich.
5. Achten Sie beim Teilen von Links auf Ihre Privatsphäre – Dienste wie Lunyb bieten datenschutzfreundliche Link-Verkürzung ohne aufdringliches Tracking.

Für Unternehmen

1. Erstellen und pflegen Sie ein Verzeichnis der Verarbeitungstätigkeiten.
2. Überprüfen Sie Ihre Datenschutzerklärung regelmäßig auf Aktualität.
3. Schulen Sie Ihre Mitarbeiter zu Datenschutzthemen.
4. Schließen Sie mit allen Dienstleistern Auftragsverarbeitungsverträge ab.
5. Dokumentieren Sie Ihre technischen und organisatorischen Maßnahmen.
6. Definieren Sie klare Prozesse für Betroffenenanfragen und Datenpannen.

Unterschiede zwischen Österreich und Deutschland

Obwohl beide Länder die DSGVO umsetzen, gibt es einige Unterschiede zwischen dem österreichischen und dem deutschen Datenschutzrecht. Deutschland hat mit dem BDSG ein eigenes Umsetzungsgesetz, das teilweise andere Regelungen enthält (z.B. beim Beschäftigtendatenschutz). Details zum deutschen Recht finden Sie in unserem Artikel Datenschutz in Deutschland: Ihre Rechte im Überblick 2026.

FAQ – Häufig gestellte Fragen

Gilt in Österreich die DSGVO oder das DSG?

Beide gelten gleichzeitig. Die DSGVO ist unmittelbar geltendes EU-Recht und bildet die primäre Rechtsgrundlage. Das österreichische DSG ergänzt und konkretisiert die DSGVO in bestimmten Bereichen, wo die europäische Verordnung Öffnungsklauseln vorsieht (z.B. Videoüberwachung, Forschungsdaten).

Wer ist in Österreich für Datenschutzbeschwerden zuständig?

Die österreichische Datenschutzbehörde (DSB) mit Sitz in Wien ist die zuständige Aufsichtsbehörde. Beschwerden können online, per E-Mail oder postalisch eingereicht werden. Die DSB prüft den Fall kostenlos und kann bei Verstößen Bußgelder verhängen.

Welche Bußgelder drohen bei Verstößen gegen das Datenschutzgesetz?

Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Auch in Österreich wurden bereits Bußgelder in Millionenhöhe verhängt. Die konkrete Höhe hängt von Schwere, Dauer und Art des Verstoßes ab.

Muss jedes Unternehmen einen Datenschutzbeauftragten haben?

Nein. Verpflichtend ist die Bestellung eines Datenschutzbeauftragten nur für Behörden, bei umfangreicher Überwachung von Personen oder bei umfangreicher Verarbeitung besonderer Datenkategorien (z.B. Gesundheitsdaten). Kleinere Unternehmen ohne solche Verarbeitungen benötigen keinen DSB, müssen aber trotzdem alle Datenschutzpflichten einhalten.

Wie lange darf ein Unternehmen meine Daten speichern?

Nur solange, wie es für den ursprünglichen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Steuerlich relevante Unterlagen müssen z.B. sieben Jahre aufbewahrt werden. Nach Wegfall des Zwecks und Ablauf der Fristen sind die Daten zu löschen. Sie haben jederzeit das Recht, Auskunft über die geplante Speicherdauer zu verlangen.

Fazit

Das Datenschutzgesetz Österreich bildet zusammen mit der DSGVO einen umfassenden Rahmen zum Schutz personenbezogener Daten. Als betroffene Person verfügen Sie über weitreichende Rechte, die Sie aktiv nutzen können. Unternehmen sollten Datenschutz nicht als Bürokratielast, sondern als Vertrauensfaktor gegenüber Kunden verstehen. Wer die Grundsätze der Datenverarbeitung ernst nimmt, minimiert nicht nur rechtliche Risiken, sondern stärkt auch die eigene Marke.