Datenschutzgesetz Österreich Erklärt: Der Vollständige Leitfaden 2026

Das österreichische Datenschutzgesetz (DSG) bildet zusammen mit der europäischen Datenschutz-Grundverordnung (DSGVO) das rechtliche Fundament für den Umgang mit personenbezogenen Daten in Österreich. Für Unternehmen, Vereine und auch Privatpersonen ist das Verständnis dieser Regelungen heute wichtiger denn je – zumal die Datenschutzbehörde (DSB) in den letzten Jahren verstärkt Bußgelder verhängt. Dieser Leitfaden erklärt Ihnen verständlich, was das DSG regelt, welche Pflichten Sie treffen und wie Sie Datenschutz praktisch umsetzen.

Was ist das österreichische Datenschutzgesetz?

Das Datenschutzgesetz (DSG) ist das zentrale österreichische Gesetz zum Schutz personenbezogener Daten. Es ergänzt die DSGVO und regelt jene Bereiche, in denen die EU-Verordnung den Mitgliedstaaten Spielraum für nationale Regelungen lässt.

Das DSG in seiner aktuellen Fassung ist seit dem 25. Mai 2018 in Kraft – zeitgleich mit der DSGVO. Es löste das frühere DSG 2000 ab und wurde seitdem mehrfach angepasst. Rechtlich betrachtet handelt es sich um ein Verfassungsgesetz: Das Grundrecht auf Datenschutz ist in § 1 DSG verfassungsrechtlich verankert und steht damit auf einer besonders hohen Stufe im österreichischen Rechtssystem.

Das Verhältnis von DSG und DSGVO

Viele fragen sich: Wenn die DSGVO ohnehin EU-weit gilt, wozu braucht Österreich dann noch ein eigenes Datenschutzgesetz? Die Antwort liegt in den sogenannten Öffnungsklauseln der DSGVO. Diese erlauben den Mitgliedstaaten, bestimmte Bereiche national zu regeln – etwa den Beschäftigtendatenschutz, die Videoüberwachung oder die Verarbeitung durch Behörden.

Grundsätzlich gilt: Die DSGVO ist die oberste Rechtsgrundlage. Das DSG ergänzt, konkretisiert oder modifiziert sie dort, wo es erlaubt ist. Eine ausführliche Erklärung der DSGVO-Grundlagen finden Sie in unserem Leitfaden zur DSGVO.

Die wichtigsten Grundprinzipien des DSG

Das Datenschutzrecht in Österreich beruht auf sieben zentralen Prinzipien, die aus Artikel 5 DSGVO stammen und durch das DSG ergänzt werden:

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Jede Datenverarbeitung muss auf einer gültigen Rechtsgrundlage beruhen und für Betroffene nachvollziehbar sein.
Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
Datenminimierung: Es dürfen nur jene Daten verarbeitet werden, die wirklich notwendig sind.
Richtigkeit: Daten müssen sachlich korrekt und aktuell sein.
Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist.
Integrität und Vertraulichkeit: Daten müssen technisch und organisatorisch geschützt werden.
Rechenschaftspflicht: Verantwortliche müssen die Einhaltung aller Prinzipien nachweisen können.

§ 1 DSG: Das Grundrecht auf Datenschutz

Eine österreichische Besonderheit ist die verfassungsrechtliche Verankerung des Datenschutzes. § 1 DSG räumt jedermann "Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten" ein – soweit ein schutzwürdiges Interesse besteht.

Dieses Grundrecht umfasst drei zentrale Komponenten:

Geheimhaltungsanspruch: Schutz vor unbefugter Verarbeitung
Auskunftsrecht: Anspruch darauf zu erfahren, welche Daten verarbeitet werden
Berichtigungs- und Löschungsrecht: Anspruch auf Korrektur falscher oder Löschung unzulässig verarbeiteter Daten

Der besondere Status als Verfassungsrecht bedeutet: Eingriffe sind nur unter strengen Voraussetzungen zulässig und müssen gesetzlich klar geregelt sein.

Pflichten für Unternehmen in Österreich

Jedes Unternehmen, das personenbezogene Daten verarbeitet – vom Ein-Personen-Unternehmen bis zum Großkonzern – unterliegt konkreten Pflichten aus DSG und DSGVO.

1. Informationspflichten

Betroffene müssen vor oder bei der Datenerhebung umfassend informiert werden. Die klassische Datenschutzerklärung auf Websites ist nur ein Teil davon. Erforderliche Angaben umfassen unter anderem:

Name und Kontaktdaten des Verantwortlichen
Zwecke und Rechtsgrundlage der Verarbeitung
Empfänger oder Kategorien von Empfängern
Speicherdauer
Rechte der Betroffenen
Beschwerderecht bei der Datenschutzbehörde

2. Verzeichnis von Verarbeitungstätigkeiten

Nach Art. 30 DSGVO müssen Unternehmen ein internes Verzeichnis aller Datenverarbeitungen führen. Kleinstunternehmen unter 250 Mitarbeitern sind grundsätzlich befreit – es gibt jedoch wichtige Ausnahmen, insbesondere bei regelmäßiger Verarbeitung oder sensiblen Daten.

3. Technische und organisatorische Maßnahmen (TOM)

Unternehmen müssen angemessene Sicherheitsmaßnahmen treffen. Dazu gehören:

Verschlüsselung sensibler Daten
Zugriffskontrollen und Rollenkonzepte
Regelmäßige Backups
Mitarbeiterschulungen
Protokollierung von Zugriffen

4. Datenschutzbeauftragter

Ein Datenschutzbeauftragter (DSB) ist Pflicht, wenn:

die Verarbeitung durch eine Behörde erfolgt,
die Kerntätigkeit umfangreiche regelmäßige Überwachung Betroffener umfasst,
oder die Kerntätigkeit in umfangreicher Verarbeitung besonderer Datenkategorien besteht.

5. Meldung von Datenschutzverletzungen

Data Breaches müssen innerhalb von 72 Stunden an die Datenschutzbehörde gemeldet werden, bei hohem Risiko zusätzlich an die Betroffenen selbst.

Rechte der Betroffenen nach dem DSG

Jede natürliche Person in Österreich hat umfassende Rechte gegenüber Datenverarbeitern. Diese ergeben sich hauptsächlich aus den Artikeln 15–22 DSGVO, werden aber durch das DSG ergänzt.

Recht	Was es bedeutet	Reaktionsfrist
Auskunftsrecht (Art. 15)	Information über alle gespeicherten Daten	1 Monat
Berichtigung (Art. 16)	Korrektur unrichtiger Daten	1 Monat
Löschung (Art. 17)	"Recht auf Vergessenwerden"	1 Monat
Einschränkung (Art. 18)	Vorübergehende Sperrung der Verarbeitung	1 Monat
Datenübertragbarkeit (Art. 20)	Erhalt der Daten in strukturierter Form	1 Monat
Widerspruch (Art. 21)	Widerspruch gegen bestimmte Verarbeitungen	Unverzüglich
Beschwerde (Art. 77)	Beschwerde bei der Datenschutzbehörde	-

Die österreichische Datenschutzbehörde (DSB)

Die Datenschutzbehörde mit Sitz in Wien ist die zentrale Aufsichtsbehörde für den Datenschutz in Österreich. Sie ist unabhängig und untersteht formell dem Bundeskanzleramt, agiert jedoch weisungsfrei.

Aufgaben der DSB

Bearbeitung von Beschwerden Betroffener
Durchführung von Datenschutzkontrollen
Verhängung von Geldbußen
Beratung von Verantwortlichen
Zertifizierung und Akkreditierung
Zusammenarbeit mit anderen EU-Datenschutzbehörden

Beschwerde einlegen – so geht's

Jede Person kann kostenlos Beschwerde bei der DSB einlegen, wenn sie ihre Rechte verletzt sieht. Der Weg führt in der Regel so:

Zuerst den Verantwortlichen direkt kontaktieren und Auskunft/Löschung verlangen
Bei keiner oder unzureichender Reaktion: Beschwerde bei der DSB einreichen
Beschwerde online oder schriftlich mit Nachweisen übermitteln
Die DSB prüft und entscheidet durch Bescheid
Gegen den Bescheid ist Beschwerde beim Bundesverwaltungsgericht möglich

Bußgelder und Strafen nach dem DSG

Verstöße gegen Datenschutzrecht können teuer werden. Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor – je nachdem, was höher ist.

Besonderheit in Österreich: Keine Haftung ohne Verschulden

Eine wichtige nationale Regelung: Nach einer Entscheidung des österreichischen Verwaltungsgerichtshofs können juristische Personen in Österreich nur bei Verschulden einer natürlichen Person im Unternehmen bestraft werden. Dies unterscheidet Österreich von manchen anderen EU-Ländern.

Typische Verstöße und Beispiele

Verstoß	Mögliche Konsequenz
Fehlende oder mangelhafte Datenschutzerklärung	Verwarnung bis mittlere Bußgelder
Unzulässiger Cookie-Einsatz ohne Einwilligung	Mittlere Bußgelder, Abmahnungen
Unzureichende technische Sicherheitsmaßnahmen	Hohe Bußgelder bei Data Breach
Verletzung der Informationspflichten	Mittlere bis hohe Bußgelder
Unrechtmäßige Videoüberwachung	Mittlere Bußgelder, Entfernungsanordnung
Datenweitergabe ohne Rechtsgrundlage	Hohe Bußgelder

Spezialregelungen im DSG

Videoüberwachung (§§ 12–13 DSG)

Das DSG enthält detaillierte Vorgaben zur Videoüberwachung. Erlaubt ist sie insbesondere zum Schutz des überwachten Objekts, zur Beweissicherung, zur Erfüllung von Dokumentationspflichten oder bei überwiegendem berechtigten Interesse. Vorgeschrieben sind unter anderem:

Kennzeichnungspflicht am Beginn des überwachten Bereichs
Löschung der Aufnahmen nach spätestens 72 Stunden (längere Fristen bedürfen besonderer Rechtfertigung)
Protokollierung aller Zugriffe
Verbot der akustischen Aufnahme in der Regel

Beschäftigtendatenschutz

Für Arbeitnehmerdaten gelten besonders strenge Regeln. Mitbestimmungsrechte des Betriebsrats nach dem Arbeitsverfassungsgesetz spielen eine zentrale Rolle, insbesondere bei Kontrollmaßnahmen, die die Menschenwürde berühren können.

Verarbeitung im Journalismus

§ 9 DSG enthält das sogenannte Medienprivileg: Für journalistische Zwecke gelten weitgehende Ausnahmen von den Vorschriften der DSGVO, um die Pressefreiheit zu schützen.

Datenschutz im Alltag: Praktische Tipps

Für Unternehmen

Datenschutz-Audit durchführen: Bestandsaufnahme aller Verarbeitungen
Verzeichnis der Verarbeitungstätigkeiten erstellen
Datenschutzerklärung aktualisieren und für alle Kanäle (Website, App, Formulare) anpassen
Auftragsverarbeitungsverträge mit allen Dienstleistern abschließen
Mitarbeiter schulen und Awareness schaffen
Technische Maßnahmen umsetzen: Verschlüsselung, Backups, Zugriffskontrollen
Prozess für Betroffenenanfragen etablieren
Notfallplan für Data Breaches vorbereiten

Beim Einsatz von Marketing-Werkzeugen – etwa URL-Kürzungsdiensten für Kampagnen – sollten Sie Anbieter wählen, die DSGVO-konform arbeiten und transparent mit Nutzerdaten umgehen. Lunyb beispielsweise bietet einen datenschutzfreundlichen URL-Kürzungsdienst, bei dem Sie die Kontrolle über Ihre Links und Analysedaten behalten. Weitere Empfehlungen finden Sie in unserem Vergleich der besten URL-Kürzungsdienste 2026.

Für Privatpersonen

Datenschutzerklärungen lesen – besonders bei neuen Apps und Diensten
Berechtigungen prüfen: Welche App braucht wirklich Zugriff auf Kontakte, Standort, Mikrofon?
Starke Passwörter und Zwei-Faktor-Authentifizierung nutzen
Tracking einschränken – siehe unseren Leitfaden zum Blockieren von Trackern
Auskunftsrechte aktiv nutzen, wenn Sie wissen wollen, welche Daten gespeichert sind
Verdächtige Nachrichten erkennen, etwa bei QR-Code-Betrug
Bei Verdacht auf Kompromittierung schnell reagieren – siehe Warnzeichen für gehackte Handys

Datenschutzgesetz vs. DSGVO: Die wichtigsten Unterschiede

Aspekt	DSGVO (EU)	DSG (Österreich)
Geltungsbereich	Gesamte EU	Nur Österreich
Rechtsnatur	EU-Verordnung	Verfassungs- und einfaches Gesetz
Grundrecht auf Datenschutz	Art. 8 Grundrechte-Charta	§ 1 DSG (verfassungsrechtlich)
Haftung juristischer Personen	Direkt möglich	Verschulden erforderlich
Videoüberwachung	Allgemeine Grundsätze	Detaillierte §§ 12–13 DSG
Beschäftigtendatenschutz	Öffnungsklausel	Nationale Spezialregelungen
Medienprivileg	Öffnungsklausel	§ 9 DSG, weitgehende Ausnahmen

Aktuelle Entwicklungen 2026

Das Datenschutzrecht entwickelt sich dynamisch weiter. Zu beachten sind insbesondere:

KI-Verordnung (AI Act): Zusätzliche Pflichten bei Einsatz von KI-Systemen
Data Act und Data Governance Act: Neue Regeln für die Datenweitergabe
Cookie-Rechtsprechung: Verschärfte Anforderungen an Einwilligungen
Internationale Datentransfers: Fortlaufend neue Entscheidungen zum Transfer in Drittländer
NIS-2-Richtlinie: Erhöhte Cybersecurity-Anforderungen mit Datenschutzbezug

Fazit

Das österreichische Datenschutzgesetz ist mehr als nur bürokratische Pflicht – es schützt ein verfassungsrechtlich verankertes Grundrecht. Unternehmen, die Datenschutz als Qualitätsmerkmal verstehen, gewinnen Vertrauen bei Kunden und Partnern. Privatpersonen wiederum sollten ihre umfangreichen Rechte kennen und aktiv nutzen.

Die Umsetzung erscheint komplex, lässt sich aber mit systematischem Vorgehen bewältigen. Wer unsicher ist, sollte frühzeitig juristischen Rat einholen oder sich an die kostenlosen Informationsangebote der Datenschutzbehörde wenden.

Häufig gestellte Fragen (FAQ)

Gilt das österreichische DSG auch für ausländische Unternehmen?

Ja, wenn diese personenbezogene Daten von Personen in Österreich verarbeiten – entweder im Rahmen eines Waren-/Dienstleistungsangebots oder zur Verhaltensbeobachtung. Dies ergibt sich aus dem Marktortprinzip der DSGVO, das durch das DSG ergänzt wird.

Muss jedes Unternehmen einen Datenschutzbeauftragten bestellen?

Nein. Pflicht besteht nur bei Behörden, bei umfangreicher regelmäßiger Überwachung oder bei umfangreicher Verarbeitung besonderer Datenkategorien (z. B. Gesundheitsdaten). Viele kleine und mittlere Unternehmen in Österreich benötigen keinen formalen DSB, sollten aber dennoch eine zuständige Person für Datenschutzfragen benennen.

Wie hoch sind die Bußgelder in Österreich wirklich?

Die DSGVO sieht theoretisch bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes vor. In der Praxis bewegen sich österreichische Bußgelder meist im unteren bis mittleren fünfstelligen Bereich, bei großen Konzernen auch deutlich höher. Die DSB berücksichtigt Schwere, Dauer, Vorsatz und Kooperationsbereitschaft.

Wie lange darf ich Kundendaten speichern?

So lange, wie es für den ursprünglichen Zweck notwendig ist – zuzüglich gesetzlicher Aufbewahrungsfristen. Beispielsweise verlangen das Unternehmensgesetzbuch und die Bundesabgabenordnung eine siebenjährige Aufbewahrung von Geschäftsunterlagen. Darüber hinausgehende Speicherung ist nur bei zusätzlicher Rechtsgrundlage zulässig.

Was passiert, wenn ich eine Beschwerde bei der DSB einlege?

Die DSB prüft Ihre Beschwerde und fordert in der Regel eine Stellungnahme des Verantwortlichen an. Danach ergeht ein Bescheid. Das Verfahren ist für Sie kostenlos. Gegen den Bescheid kann sowohl der Verantwortliche als auch der Beschwerdeführer beim Bundesverwaltungsgericht Beschwerde einlegen. Die Verfahrensdauer beträgt typischerweise mehrere Monate.