Datenschutzgesetz Österreich Erklärt: Der Komplette Leitfaden 2026

Das österreichische Datenschutzgesetz (DSG) regelt gemeinsam mit der EU-Datenschutz-Grundverordnung (DSGVO), wie personenbezogene Daten in Österreich verarbeitet werden dürfen. Ob Sie Privatperson sind, ein Unternehmen führen oder einen Verein leiten – die Kenntnis dieser Regeln ist 2026 wichtiger denn je. Dieser Leitfaden erklärt Ihnen verständlich, was das DSG vorschreibt, welche Rechte Sie haben und welche Pflichten Verantwortliche erfüllen müssen.

Was ist das Datenschutzgesetz in Österreich?

Das Datenschutzgesetz (DSG) ist das nationale österreichische Gesetz, das die Verarbeitung personenbezogener Daten regelt. Es ergänzt die europäische DSGVO und konkretisiert bestimmte Öffnungsklauseln für Österreich. Die Rechtsgrundlage bildet das verfassungsrechtlich verankerte Grundrecht auf Datenschutz in § 1 DSG.

In Österreich gilt seit Mai 2018 ein duales System:

DSGVO (EU-Verordnung 2016/679): Unmittelbar geltendes EU-Recht
DSG (Datenschutzgesetz): Nationales Ergänzungsgesetz
Materiengesetze: Spezialregelungen etwa im TKG, ArbVG oder Bildungsbereich

Historischer Hintergrund

Österreich hatte bereits 1978 eines der ersten Datenschutzgesetze weltweit. Das aktuelle DSG wurde 2018 grundlegend an die DSGVO angepasst. Seither erfolgten mehrere Novellen, zuletzt mit Klarstellungen zu Videoüberwachung, Bildaufnahmen und Forschungsdatenverarbeitung.

Grundprinzipien des Datenschutzes in Österreich

Sowohl DSGVO als auch DSG bauen auf sieben Grundprinzipien auf, die jede Datenverarbeitung erfüllen muss:

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz – Datenverarbeitung braucht eine Rechtsgrundlage und muss nachvollziehbar sein
Zweckbindung – Daten dürfen nur für festgelegte, eindeutige Zwecke erhoben werden
Datenminimierung – Nur so viele Daten wie nötig verarbeiten
Richtigkeit – Daten müssen sachlich richtig und aktuell sein
Speicherbegrenzung – Daten nur so lange speichern wie erforderlich
Integrität und Vertraulichkeit – Angemessene Sicherheit gewährleisten
Rechenschaftspflicht – Einhaltung nachweisen können

Welche Daten sind geschützt?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen unter anderem:

Name, Adresse, Geburtsdatum
E-Mail-Adresse und Telefonnummer
IP-Adressen und Standortdaten
Kundennummern und Kontodaten
Foto- und Videoaufnahmen
Kfz-Kennzeichen
Online-Kennungen und Cookies

Besondere Kategorien (sensible Daten)

Einen besonderen Schutz genießen sensible Daten gemäß Art. 9 DSGVO:

Rassische oder ethnische Herkunft
Politische Meinungen
Religiöse oder weltanschauliche Überzeugungen
Gewerkschaftszugehörigkeit
Genetische und biometrische Daten
Gesundheitsdaten
Daten zum Sexualleben oder zur sexuellen Orientierung

Ihre Rechte als betroffene Person

Das DSG in Verbindung mit der DSGVO gibt Ihnen als Bürgerin oder Bürger umfangreiche Rechte gegenüber datenverarbeitenden Stellen:

Recht	Artikel DSGVO	Was es bedeutet
Auskunftsrecht	Art. 15	Erfahren, welche Daten über Sie gespeichert sind
Recht auf Berichtigung	Art. 16	Falsche Daten korrigieren lassen
Recht auf Löschung	Art. 17	„Recht auf Vergessenwerden"
Recht auf Einschränkung	Art. 18	Verarbeitung vorläufig stoppen
Recht auf Datenübertragbarkeit	Art. 20	Daten in maschinenlesbarem Format erhalten
Widerspruchsrecht	Art. 21	Verarbeitung ablehnen (z.B. bei Werbung)
Beschwerderecht	Art. 77	Beschwerde bei der Datenschutzbehörde

Wie Sie Ihr Löschungsrecht konkret durchsetzen, erklären wir im Detail in unserem Leitfaden Recht auf Vergessenwerden: So stellen Sie den Antrag richtig (2026).

Pflichten für Unternehmen und Verantwortliche

Jede natürliche oder juristische Person, die über Zwecke und Mittel der Datenverarbeitung entscheidet, gilt als Verantwortlicher und muss zahlreiche Pflichten erfüllen.

1. Rechtsgrundlage sicherstellen

Jede Verarbeitung braucht eine der sechs Rechtsgrundlagen nach Art. 6 DSGVO:

Einwilligung der betroffenen Person
Vertragserfüllung
Rechtliche Verpflichtung
Lebenswichtige Interessen
Öffentliches Interesse
Berechtigte Interessen (nach Abwägung)

2. Verzeichnis von Verarbeitungstätigkeiten

Unternehmen ab 250 Mitarbeitern – und in vielen Fällen auch KMU – müssen ein Verzeichnis aller Verarbeitungstätigkeiten führen (Art. 30 DSGVO). Dieses dokumentiert Zwecke, Datenkategorien, Empfänger und Löschfristen.

3. Datenschutzerklärung und Informationspflichten

Bei jeder Datenerhebung müssen betroffene Personen transparent informiert werden (Art. 13, 14 DSGVO) – typischerweise über eine Datenschutzerklärung auf der Website.

4. Technische und organisatorische Maßnahmen (TOM)

Verantwortliche müssen geeignete Sicherheitsmaßnahmen treffen:

Verschlüsselung und Pseudonymisierung
Zugriffskontrollen und Berechtigungskonzepte
Backup- und Wiederherstellungsverfahren
Regelmäßige Überprüfung der Wirksamkeit
Mitarbeiterschulungen

5. Datenschutzbeauftragter

Ein Datenschutzbeauftragter (DSB) ist verpflichtend bei:

Behörden und öffentlichen Stellen
Kerntätigkeit umfangreicher regelmäßiger Überwachung
Umfangreicher Verarbeitung sensibler Daten

6. Meldepflicht bei Datenpannen

Datenpannen (Data Breaches) müssen binnen 72 Stunden an die österreichische Datenschutzbehörde gemeldet werden. Bei hohem Risiko sind auch die betroffenen Personen zu informieren.

Die österreichische Datenschutzbehörde (DSB)

Die Datenschutzbehörde (DSB) mit Sitz in Wien ist die zentrale Aufsichts- und Beschwerdestelle für Datenschutzfragen in Österreich. Sie ist unabhängig, wird vom Bundeskanzleramt organisatorisch angebunden und arbeitet im European Data Protection Board (EDPB) mit.

Aufgaben der DSB

Bearbeitung von Beschwerden betroffener Personen
Durchführung amtswegiger Prüfverfahren
Verhängung von Geldbußen und Anordnungen
Beratung und Sensibilisierung
Genehmigung von Verhaltensregeln und Zertifizierungen

Beschwerde einlegen – so geht's

Zuerst direkt beim Verantwortlichen Auskunft/Löschung verlangen
Bei Nichtreaktion (Frist: 1 Monat) Beschwerde bei der DSB einbringen
Beschwerde schriftlich oder über das Online-Formular auf dsb.gv.at
Sachverhalt, Nachweise und gewünschtes Ergebnis darlegen
Verfahren ist grundsätzlich kostenlos

Bußgelder und Sanktionen

Verstöße gegen das Datenschutzrecht können empfindlich teuer werden. Die DSGVO sieht zwei Stufen vor:

Stufe	Maximales Bußgeld	Typische Verstöße
Stufe 1	10 Mio. € oder 2% des weltweiten Jahresumsatzes	Verletzung von Dokumentationspflichten, Meldepflichten, TOM
Stufe 2	20 Mio. € oder 4% des weltweiten Jahresumsatzes	Verletzung von Grundprinzipien, Betroffenenrechten, unrechtmäßige Übermittlung

Die österreichische DSB hat bereits mehrfach hohe Bußgelder gegen große Unternehmen verhängt. In den vergangenen Jahren wurden auch bekannte Tech-Konzerne mit Millionenstrafen belegt, insbesondere wegen unzulässiger Cookie-Praktiken und internationaler Datentransfers.

Aktuelle Themen und Entwicklungen 2026

Cookies und Tracking

Cookie-Banner sind ein Dauerthema. Die DSB verlangt seit mehreren Entscheidungen klare, gleichwertige „Ablehnen"-Buttons. Vorausgekreuzte Kästchen und Dark Patterns sind unzulässig.

Internationale Datentransfers

Nach Schrems II gelten strenge Anforderungen an Übermittlungen in Drittländer. Das EU-US Data Privacy Framework schafft für die USA eine neue Rechtsgrundlage, wird aber weiterhin rechtlich hinterfragt.

Künstliche Intelligenz und Datenschutz

Mit dem EU AI Act ergeben sich neue Schnittstellen. Der Einsatz von KI-Systemen mit personenbezogenen Daten erfordert oft eine Datenschutz-Folgenabschätzung.

Videoüberwachung und Bildaufnahmen

Das DSG enthält spezielle Regelungen zur Bildverarbeitung (§§ 12–13 DSG). Private Videoüberwachung öffentlich zugänglicher Bereiche ist stark eingeschränkt.

Praktische Tipps für Privatpersonen

Sie können viel tun, um Ihre Daten zu schützen:

Datenschutzerklärungen prüfen: Bevor Sie sich registrieren, schauen Sie in die Datenschutzhinweise
Einwilligungen bewusst geben: Nutzen Sie „Ablehnen"-Buttons bei Cookies, wenn Sie nicht getrackt werden wollen
Passwortmanager nutzen: Für jedes Konto ein starkes, einzigartiges Passwort
Zwei-Faktor-Authentifizierung aktivieren: Wo immer möglich
Auskunftsrecht ausüben: Fragen Sie regelmäßig, welche Daten über Sie gespeichert sind
Sensible Inhalte schützen: Beispielsweise durch einen verschlüsselten Fototresor
Handysicherheit prüfen: Achten Sie auf Warnzeichen eines gehackten Handys

Auch beim Teilen von Links im Netz spielt Datenschutz eine Rolle: Kurz-URL-Dienste wie Lunyb ermöglichen es, Links datenschutzfreundlich zu teilen, ohne unnötige Tracking-Parameter mitzuschleppen – ein oft übersehener Aspekt digitaler Selbstverteidigung.

Praktische Tipps für Unternehmen

Compliance-Checkliste

✅ Verzeichnis der Verarbeitungstätigkeiten führen
✅ Datenschutzerklärung aktuell halten
✅ Auftragsverarbeiterverträge (AVV) mit allen Dienstleistern schließen
✅ Betroffenenrechte-Prozess dokumentieren
✅ Meldeprozess für Datenpannen etablieren
✅ Mitarbeiter regelmäßig schulen
✅ Datenschutz-Folgenabschätzung bei riskanten Verarbeitungen
✅ Cookie-Consent DSGVO-konform gestalten

Häufige Fehler vermeiden

❌ Google Analytics ohne Einwilligung einsetzen
❌ Newsletter ohne dokumentierte Einwilligung versenden
❌ Bewerberdaten zu lange speichern
❌ Fehlende AVV mit Cloud-Anbietern
❌ Unverschlüsselter Versand sensibler Daten per E-Mail

Datenschutz vs. andere Rechtsgebiete

Das DSG steht in Wechselwirkung mit weiteren Gesetzen:

Telekommunikationsgesetz (TKG): Regelt Cookies und elektronische Kommunikation
Arbeitsverfassungsgesetz (ArbVG): Mitbestimmung des Betriebsrats bei personenbezogenen Kontrollsystemen
Bundesstatistikgesetz: Datenverarbeitung für statistische Zwecke
Gesundheitstelematikgesetz: Elektronische Gesundheitsdaten (ELGA)

Fazit

Das österreichische Datenschutzgesetz und die DSGVO bilden gemeinsam ein starkes Schutzsystem für Ihre Daten. Für Privatpersonen bedeutet das umfangreiche Rechte, die Sie aktiv einfordern können. Für Unternehmen entstehen Pflichten, deren Missachtung teuer wird – die aber auch Vertrauen schaffen. Datenschutz ist 2026 kein bürokratisches Hindernis, sondern Wettbewerbsvorteil und Ausdruck digitaler Verantwortung. Wer die Grundprinzipien verinnerlicht und die richtigen Prozesse etabliert, ist gut aufgestellt.

Häufig gestellte Fragen (FAQ)

Gilt in Österreich die DSGVO oder das DSG?

Beides gilt parallel. Die DSGVO ist unmittelbar geltendes EU-Recht und hat Vorrang. Das österreichische DSG ergänzt die DSGVO in Bereichen, in denen die Verordnung nationale Regelungen zulässt (sogenannte Öffnungsklauseln), etwa bei Bildverarbeitung, Forschung oder Beschäftigtendatenschutz.

Was kostet eine Beschwerde bei der Datenschutzbehörde?

Die Beschwerde bei der österreichischen Datenschutzbehörde ist grundsätzlich kostenlos. Sie müssen keine Anwaltskosten tragen und können die Beschwerde selbst formulieren. Nur bei einem anschließenden Verwaltungsgerichtsverfahren können Gebühren anfallen.

Wie lange darf ein Unternehmen meine Daten speichern?

Nur so lange, wie es für den ursprünglichen Zweck notwendig ist oder gesetzliche Aufbewahrungspflichten (etwa 7 Jahre nach BAO für Rechnungen) bestehen. Danach müssen die Daten gelöscht oder anonymisiert werden. Sie können jederzeit Auskunft und – bei Wegfall des Zwecks – Löschung verlangen.

Muss jedes Unternehmen einen Datenschutzbeauftragten bestellen?

Nein. Ein DSB ist nur dann verpflichtend, wenn eine Behörde vorliegt, die Kerntätigkeit in umfangreicher regelmäßiger Überwachung besteht oder sensible Daten in großem Umfang verarbeitet werden. Kleinere Unternehmen können freiwillig einen DSB benennen, was oft zur Rechtssicherheit beiträgt.

Was passiert, wenn meine Daten von einer Datenpanne betroffen sind?

Bei hohem Risiko muss das Unternehmen Sie unverzüglich informieren. Sie sollten dann Passwörter ändern, Konten überwachen und bei Bedarf Anzeige erstatten. Beschwerde bei der DSB und Schadenersatzansprüche nach Art. 82 DSGVO sind möglich – auch immaterieller Schaden ist ersatzfähig.