Datenschutzgesetz Österreich Erklärt: Der Umfassende Leitfaden 2026

Das österreichische Datenschutzgesetz (DSG) bildet zusammen mit der Datenschutz-Grundverordnung (DSGVO) das Fundament des modernen Datenschutzes in Österreich. Wer personenbezogene Daten verarbeitet – ob als Unternehmen, Verein oder Behörde – muss beide Regelwerke kennen und einhalten. Dieser Leitfaden erklärt Ihnen verständlich, was das Datenschutzgesetz Österreich regelt, welche Rechte Sie als betroffene Person haben und welche Pflichten Verantwortliche erfüllen müssen.

Was ist das Datenschutzgesetz in Österreich?

Das Datenschutzgesetz (DSG) ist das nationale österreichische Gesetz, das die DSGVO ergänzt und konkretisiert. Es regelt jene Bereiche, die die DSGVO den Mitgliedstaaten zur eigenständigen Ausgestaltung überlassen hat, sowie den Grundrechtsschutz auf personenbezogene Daten gemäß § 1 DSG.

Das aktuelle DSG ist seit 25. Mai 2018 in Kraft und wurde parallel zur DSGVO eingeführt. Es löste das frühere Datenschutzgesetz 2000 (DSG 2000) ab und wurde seither mehrfach novelliert, um Rechtssicherheit für Unternehmen und Bürger zu schaffen.

Das Zusammenspiel von DSGVO und DSG

In Österreich gilt eine zweistufige Rechtslage im Datenschutz:

• DSGVO (Verordnung EU 2016/679): Unmittelbar anwendbares EU-Recht, gilt in allen Mitgliedstaaten gleich.
• DSG (BGBl. I Nr. 165/1999): Nationale Ergänzung, regelt österreichische Besonderheiten wie Bildverarbeitung, Datenschutzbehörde, Strafbestimmungen und Sonderregelungen für Behörden.

Die Grundprinzipien des österreichischen Datenschutzrechts

Sowohl DSGVO als auch DSG basieren auf sieben zentralen Prinzipien, die jede Verarbeitung personenbezogener Daten einhalten muss:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Jede Verarbeitung braucht eine gesetzliche Grundlage und muss nachvollziehbar sein.
2. Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden.
3. Datenminimierung: Nur so viele Daten wie unbedingt nötig.
4. Richtigkeit: Daten müssen sachlich richtig und aktuell sein.
5. Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert.
6. Integrität und Vertraulichkeit: Angemessene technische und organisatorische Sicherheit.
7. Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nachweisen können.

Aufbau und wichtigste Bestimmungen des DSG

Das DSG gliedert sich in mehrere Hauptteile, die unterschiedliche Anwendungsbereiche abdecken:

1. Hauptstück: Allgemeine Bestimmungen (§§ 1–5)

Hier findet sich das verfassungsrechtlich verankerte Grundrecht auf Datenschutz (§ 1 DSG). Es ist ein Verfassungsgesetz und kann nur mit Zweidrittelmehrheit im Nationalrat geändert werden. Jede Person hat demnach Anspruch auf Geheimhaltung ihrer personenbezogenen Daten.

2. Hauptstück: Nationale Durchführungsbestimmungen zur DSGVO (§§ 6–35)

Regelt unter anderem:

• Aufgaben und Befugnisse der Datenschutzbehörde
• Bildaufnahmen (Videoüberwachung) – §§ 12, 13 DSG
• Verarbeitung für wissenschaftliche und statistische Zwecke
• Datenschutz im Beschäftigungskontext
• Meldung von Datenschutzverletzungen

3. Hauptstück: Datenverarbeitung durch Justiz und Polizei

Setzt die Richtlinie (EU) 2016/680 (JI-Richtlinie) um und regelt Datenverarbeitung durch Strafverfolgungsbehörden.

4. Hauptstück: Besondere Verarbeitungssituationen und Strafbestimmungen

Enthält Straf- und Bußgeldvorschriften sowie Übergangsregelungen.

Ihre Rechte als betroffene Person

Das Datenschutzgesetz in Österreich gewährt Ihnen zusammen mit der DSGVO umfassende Rechte gegenüber Verantwortlichen, die Ihre Daten verarbeiten:

Recht	Artikel DSGVO	Was es bedeutet
Auskunftsrecht	Art. 15	Sie erfahren, welche Daten über Sie verarbeitet werden.
Recht auf Berichtigung	Art. 16	Falsche Daten müssen korrigiert werden.
Recht auf Löschung	Art. 17	"Recht auf Vergessenwerden" – Daten müssen gelöscht werden.
Recht auf Einschränkung	Art. 18	Verarbeitung wird eingeschränkt statt gelöscht.
Recht auf Datenübertragbarkeit	Art. 20	Daten in maschinenlesbarem Format erhalten.
Widerspruchsrecht	Art. 21	Widerspruch gegen bestimmte Verarbeitungen, z.B. Direktwerbung.
Recht auf Beschwerde	Art. 77 / § 24 DSG	Beschwerde bei der Datenschutzbehörde.

Wie machen Sie Ihre Rechte geltend?

Wenden Sie sich zunächst schriftlich an den Verantwortlichen – meist genügt eine E-Mail an die im Impressum genannte Datenschutzadresse. Der Verantwortliche muss innerhalb eines Monats reagieren. Bleibt die Antwort aus oder sind Sie unzufrieden, können Sie kostenlos Beschwerde bei der österreichischen Datenschutzbehörde einreichen.

Pflichten für Unternehmen und Verantwortliche

Wer in Österreich personenbezogene Daten verarbeitet, hat konkrete Pflichten zu erfüllen. Das gilt für Ein-Personen-Unternehmen ebenso wie für Konzerne.

Zentrale Pflichten im Überblick

1. Rechtsgrundlage sicherstellen: Für jede Verarbeitung muss eine der sechs Grundlagen aus Art. 6 DSGVO vorliegen (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse).
2. Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO): Dokumentation aller Verarbeitungen. Pflicht für Unternehmen ab 250 Mitarbeitern sowie bei regelmäßiger Verarbeitung sensibler Daten.
3. Datenschutzerklärung bereitstellen: Transparente Information nach Art. 13, 14 DSGVO auf Website und in Formularen.
4. Technische und organisatorische Maßnahmen (TOMs): Verschlüsselung, Zugriffskontrollen, Backups, Mitarbeiterschulungen.
5. Auftragsverarbeiter vertraglich binden: AVV nach Art. 28 DSGVO mit Cloud-Anbietern, IT-Dienstleistern etc.
6. Datenschutzverletzungen melden: Innerhalb von 72 Stunden an die Datenschutzbehörde (§ 24 DSG i.V.m. Art. 33 DSGVO).
7. Datenschutzbeauftragten bestellen: Bei umfangreicher Verarbeitung sensibler Daten oder systematischer Überwachung.
8. Datenschutz-Folgenabschätzung (DSFA): Bei voraussichtlich hohem Risiko für Betroffene.

Gerade für kleine und mittlere Betriebe ist die Umsetzung oft eine Herausforderung. Einen praxisnahen Einstieg bietet unser Leitfaden zur Cybersicherheit für österreichische KMU, der Datenschutz und IT-Sicherheit verbindet.

Die österreichische Datenschutzbehörde (DSB)

Die Datenschutzbehörde mit Sitz in Wien ist die zentrale Aufsichtsbehörde für den Datenschutz in Österreich. Sie ist unabhängig und dem Bundeskanzleramt organisatorisch zugeordnet, aber weisungsfrei.

Aufgaben der Datenschutzbehörde

• Bearbeitung von Beschwerden betroffener Personen
• Durchführung von amtswegigen Prüfverfahren
• Verhängung von Geldbußen bei Verstößen
• Beratung von Gesetzgeber, Behörden und Öffentlichkeit
• Genehmigung von Verhaltensregeln und Zertifizierungen
• Vertretung Österreichs im Europäischen Datenschutzausschuss (EDSA)

Eine Beschwerde bei der DSB ist für Betroffene kostenlos. Die Behörde muss innerhalb von drei Monaten über den Stand informieren.

Bußgelder und Strafen bei Verstößen

Verstöße gegen das Datenschutzrecht können in Österreich empfindliche Konsequenzen haben. Das Sanktionsregime der DSGVO gilt unmittelbar, das DSG ergänzt es um nationale Strafbestimmungen.

Bußgeldrahmen nach DSGVO

Kategorie	Maximales Bußgeld	Beispiele
Geringere Verstöße (Art. 83 Abs. 4)	10 Mio. € oder 2 % des weltweiten Jahresumsatzes	Fehlende Dokumentation, Verletzung technischer Pflichten
Schwere Verstöße (Art. 83 Abs. 5)	20 Mio. € oder 4 % des weltweiten Jahresumsatzes	Verstoß gegen Grundprinzipien, Rechte Betroffener, Drittlandsübermittlung

Nationale Strafbestimmungen (§ 62 DSG)

Zusätzlich sieht das DSG Verwaltungsstrafen bis zu 50.000 € vor, etwa bei:

• Unrechtmäßiger Bildverarbeitung
• Zuwiderhandeln gegen Anordnungen der Datenschutzbehörde
• Behinderung von Kontrollhandlungen

In der Praxis prüft die DSB bei der Bußgeldbemessung Faktoren wie Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, ergriffene Abhilfemaßnahmen sowie die Kooperationsbereitschaft.

Besondere Regelungsbereiche im DSG

Bildverarbeitung (§§ 12, 13 DSG)

Videoüberwachung ist in Österreich streng geregelt. Zulässig ist sie insbesondere zum Schutz von Personen und Sachen, aber nur wenn gelindere Mittel nicht ausreichen. Kennzeichnungspflicht besteht immer, und die Aufbewahrungsdauer ist grundsätzlich auf 72 Stunden begrenzt.

Beschäftigtendatenschutz

Zwar enthält das DSG kein eigenes Beschäftigtendatenschutzgesetz, doch verlangen §§ 96, 96a ArbVG bei Kontrollmaßnahmen die Zustimmung des Betriebsrats oder eine Einzelvereinbarung. Mitarbeiterüberwachung ist nur in engen Grenzen zulässig.

Sensible Daten (Art. 9 DSGVO)

Für Gesundheitsdaten, biometrische Daten, Daten zur ethnischen Herkunft, politischen Meinung oder sexuellen Orientierung gelten strengere Regeln. Ihre Verarbeitung ist nur in klar definierten Ausnahmen erlaubt.

Datenübermittlung in Drittländer

Übermittlungen in Länder außerhalb des EWR (z. B. USA) sind nur mit angemessenen Garantien zulässig – etwa Standardvertragsklauseln, Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework seit 2023) oder verbindlichen internen Datenschutzvorschriften.

Datenschutz im digitalen Alltag

Das DSG betrifft nicht nur große Konzerne – auch im Alltag hinterlassen wir laufend Datenspuren. Websites, Apps und Cookies verarbeiten permanent personenbezogene Daten. Wer eigene Links teilt, sollte auf datenschutzfreundliche Tools setzen: URL-Shortener wie Lunyb beispielsweise verzichten auf invasives Tracking und speichern nur die Minimaldaten, die für die Weiterleitung nötig sind – ein Ansatz, der dem Prinzip der Datenminimierung entspricht.

Weitere praktische Schritte zum Schutz Ihrer Daten finden Sie in unseren Beiträgen zu Trackern auf dem Handy, zur Ende-zu-Ende-Verschlüsselung und im umfassenden Ratgeber zur Online-Privatsphäre in Österreich.

Checkliste: DSG-Compliance in 10 Schritten

1. Bestandsaufnahme aller Datenverarbeitungen im Unternehmen
2. Verzeichnis der Verarbeitungstätigkeiten erstellen
3. Rechtsgrundlagen für jede Verarbeitung dokumentieren
4. Datenschutzerklärung auf Website aktualisieren
5. Auftragsverarbeitungsverträge mit Dienstleistern abschließen
6. Technische und organisatorische Maßnahmen umsetzen
7. Meldeprozess für Datenschutzverletzungen einrichten
8. Mitarbeiter regelmäßig schulen
9. Prozesse zur Wahrung von Betroffenenrechten definieren
10. Bei Bedarf Datenschutzbeauftragten bestellen

Aktuelle Entwicklungen und Ausblick

Der Datenschutz in Österreich entwickelt sich dynamisch weiter. Wichtige Themen 2026 sind:

• KI und Datenschutz: Die EU-KI-Verordnung ergänzt DSGVO und DSG bei automatisierten Entscheidungen.
• Digital Services Act (DSA) und Digital Markets Act (DMA): Zusätzliche Pflichten für Plattformen.
• NIS-2-Richtlinie: Erweiterte Sicherheitsanforderungen, die eng mit Datenschutz verzahnt sind.
• Verstärkte Prüfungen der DSB: Insbesondere im Bereich Cookie-Banner, Direktwerbung und Videoüberwachung.

Häufig gestellte Fragen (FAQ)

Ist die DSGVO in Österreich anders als in Deutschland?

Nein, die DSGVO gilt in allen EU-Mitgliedstaaten gleich. Unterschiede ergeben sich lediglich in den nationalen Ergänzungsgesetzen: In Österreich das DSG, in Deutschland das BDSG. Die Grundprinzipien und Betroffenenrechte sind identisch.

Muss ich als Ein-Personen-Unternehmen das DSG einhalten?

Ja. Sobald Sie personenbezogene Daten verarbeiten – etwa Kundendaten, Newsletter-Abonnenten oder Mitarbeiter – gelten DSGVO und DSG unabhängig von der Unternehmensgröße. Manche Erleichterungen (z. B. beim Verarbeitungsverzeichnis) greifen aber bei kleineren Unternehmen.

Wie reiche ich eine Beschwerde bei der Datenschutzbehörde ein?

Sie können Ihre Beschwerde formlos schriftlich, per E-Mail (dsb@dsb.gv.at) oder über das Online-Formular auf dsb.gv.at einreichen. Wichtig sind eine Beschreibung des Sachverhalts, Nachweise (Screenshots, Korrespondenz) und Ihre Kontaktdaten. Das Verfahren ist kostenlos.

Wie lange darf ein Unternehmen meine Daten speichern?

Nur so lange, wie es der Verarbeitungszweck erfordert oder gesetzliche Aufbewahrungspflichten bestehen. Beispiele: Rechnungen 7 Jahre (§ 132 BAO), Bewerbungsunterlagen abgelehnter Bewerber meist 6 Monate, Newsletter-Anmeldungen bis zum Widerruf. Danach sind die Daten zu löschen.

Was ist der Unterschied zwischen Datenschutz und Datensicherheit?

Datenschutz ist der rechtliche Schutz personenbezogener Daten und Persönlichkeitsrechte. Datensicherheit umfasst die technisch-organisatorischen Maßnahmen (Verschlüsselung, Zugriffskontrollen, Backups), die den Datenschutz erst ermöglichen. Beide sind eng verzahnt: Ohne Datensicherheit kein wirksamer Datenschutz.

Fazit

Das Datenschutzgesetz Österreich schafft zusammen mit der DSGVO einen der weltweit strengsten und wirksamsten Rechtsrahmen zum Schutz personenbezogener Daten. Für Unternehmen bedeutet Compliance zunächst Aufwand – langfristig aber Vertrauensgewinn, weniger Haftungsrisiken und einen echten Wettbewerbsvorteil. Für Bürger bedeutet es: Sie haben starke Rechte und mit der Datenschutzbehörde eine kompetente Anlaufstelle. Wer die Grundprinzipien versteht und systematisch umsetzt, wird den Anforderungen des Datenschutzrechts in Österreich souverän gerecht.