Datenschutzgesetz Österreich Erklärt: Der Komplette Leitfaden 2026

Das österreichische Datenschutzgesetz (DSG) regelt gemeinsam mit der europäischen Datenschutz-Grundverordnung (DSGVO) den Umgang mit personenbezogenen Daten in Österreich. Es schützt die Privatsphäre natürlicher Personen und verpflichtet Unternehmen, Behörden sowie Vereine zu einem transparenten, sicheren und rechtmäßigen Datenumgang. In diesem Leitfaden erfahren Sie, was das DSG konkret bedeutet, welche Rechte Sie als Betroffener haben und welche Pflichten für Verantwortliche gelten.

Was ist das österreichische Datenschutzgesetz (DSG)?

Das Datenschutzgesetz (DSG) ist das zentrale nationale Gesetz zum Schutz personenbezogener Daten in Österreich. Es wurde zuletzt umfassend im Rahmen des Datenschutz-Anpassungsgesetzes 2018 novelliert, um es mit der ab 25. Mai 2018 geltenden DSGVO in Einklang zu bringen.

Während die DSGVO EU-weit unmittelbar gilt, nutzt das DSG sogenannte „Öffnungsklauseln", um nationale Besonderheiten zu regeln. Dazu zählen unter anderem Vorschriften zur Bildverarbeitung (Videoüberwachung), zur wissenschaftlichen Forschung sowie zur Datenverarbeitung im Beschäftigungskontext.

Historischer Hintergrund

Österreich zählt zu den Pionieren des Datenschutzes. Bereits 1978 wurde das erste Datenschutzgesetz erlassen – zu einer Zeit, als Datenschutz in den meisten europäischen Ländern noch kaum thematisiert wurde. Mit der Verankerung des Rechts auf Datenschutz als Grundrecht in § 1 DSG genießt der Datenschutz in Österreich sogar Verfassungsrang.

DSG und DSGVO: Wie greifen beide ineinander?

Das Verhältnis zwischen DSG und DSGVO sorgt in der Praxis oft für Verwirrung. Grundsätzlich gilt: Die DSGVO ist unmittelbar anwendbares EU-Recht und steht über dem nationalen Recht. Das DSG ergänzt die DSGVO dort, wo diese nationale Spielräume lässt.

Zuständige Behörde: Die Datenschutzbehörde (DSB)

Die österreichische Datenschutzbehörde (DSB) mit Sitz in Wien ist die unabhängige Aufsichtsbehörde für den Datenschutz in Österreich. Sie entspricht funktional dem deutschen BfDI und ist zuständig für:

Bearbeitung von Beschwerden Betroffener
Durchführung amtswegiger Prüfverfahren
Beratung von Verantwortlichen und Auftragsverarbeitern
Verhängung von Geldbußen bei Verstößen
Vertretung Österreichs im Europäischen Datenschutzausschuss

Welche Daten sind geschützt?

Das DSG schützt – wie die DSGVO – alle „personenbezogenen Daten". Das sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Kategorien personenbezogener Daten

Allgemeine Daten: Name, Adresse, Geburtsdatum, Telefonnummer, E-Mail-Adresse, IP-Adresse
Besondere Kategorien (sensible Daten): Gesundheitsdaten, biometrische Daten, genetische Daten, religiöse Überzeugungen, politische Meinungen, sexuelle Orientierung, Gewerkschaftszugehörigkeit
Strafrechtliche Daten: Informationen über Verurteilungen und Straftaten (unterliegen besonderen Schutzvorschriften)

Für sensible Daten gelten deutlich strengere Verarbeitungsvoraussetzungen. Eine Verarbeitung ist in der Regel nur mit ausdrücklicher Einwilligung oder in gesetzlich klar definierten Ausnahmefällen zulässig.

Ihre Rechte als Betroffener in Österreich

Das DSG und die DSGVO räumen jeder Person weitreichende Rechte gegenüber Verantwortlichen ein, die ihre Daten verarbeiten. Diese Rechte können Sie formlos und kostenlos geltend machen.

Die wichtigsten Betroffenenrechte im Überblick

Auskunftsrecht (Art. 15 DSGVO): Sie können erfahren, ob und welche Daten über Sie verarbeitet werden.
Recht auf Berichtigung (Art. 16 DSGVO): Unrichtige Daten müssen korrigiert werden.
Recht auf Löschung (Art. 17 DSGVO): Das „Recht auf Vergessenwerden" verpflichtet zur Löschung bei Wegfall des Zwecks.
Recht auf Einschränkung (Art. 18 DSGVO): Verarbeitung kann vorübergehend eingeschränkt werden.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem gängigen Format erhalten.
Widerspruchsrecht (Art. 21 DSGVO): Insbesondere gegen Direktwerbung jederzeit möglich.
Beschwerderecht: Sie können sich jederzeit bei der österreichischen Datenschutzbehörde beschweren.

So stellen Sie einen Auskunftsantrag

Ein Auskunftsantrag muss nicht in einer bestimmten Form erfolgen – eine E-Mail genügt. Der Verantwortliche muss innerhalb eines Monats antworten. Wird die Frist überschritten oder die Auskunft verweigert, können Sie Beschwerde bei der DSB einlegen.

Pflichten für Unternehmen und Verantwortliche

Verantwortliche – also natürliche oder juristische Personen, die über Zweck und Mittel der Datenverarbeitung entscheiden – treffen umfangreiche Pflichten.

Zentrale Pflichten im Überblick

Pflicht	Rechtsgrundlage	Praktische Umsetzung
Verzeichnis der Verarbeitungstätigkeiten	Art. 30 DSGVO	Dokumentation aller Datenverarbeitungen
Informationspflichten	Art. 13, 14 DSGVO	Datenschutzerklärung auf Website
Technisch-organisatorische Maßnahmen (TOM)	Art. 32 DSGVO	Verschlüsselung, Zugriffskontrollen, Backups
Meldung von Datenpannen	Art. 33 DSGVO	Binnen 72 Stunden an die DSB
Datenschutz-Folgenabschätzung	Art. 35 DSGVO	Bei hohem Risiko für Betroffene
Bestellung eines Datenschutzbeauftragten	Art. 37 DSGVO	Bei umfangreicher Verarbeitung sensibler Daten
Auftragsverarbeitungsverträge	Art. 28 DSGVO	Mit allen Dienstleistern (z. B. Cloud-Anbietern)

Wann ist ein Datenschutzbeauftragter Pflicht?

Ein Datenschutzbeauftragter (DSB) ist in Österreich verpflichtend zu bestellen, wenn:

die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt (ausgenommen Gerichte),
die Kerntätigkeit eine umfangreiche regelmäßige Beobachtung von Personen erfordert,
die Kerntätigkeit in der umfangreichen Verarbeitung sensibler Daten besteht.

Bildverarbeitung: Die österreichische Besonderheit

Ein charakteristisches Element des DSG ist die detaillierte Regelung der Bildverarbeitung in den §§ 12 und 13 DSG. Darunter fallen insbesondere Videoüberwachungssysteme.

Zulässigkeitsvoraussetzungen für Videoüberwachung

Rechtsgrundlage: Einwilligung, berechtigtes Interesse, lebenswichtige Interessen oder gesetzliche Verpflichtung
Verhältnismäßigkeit: Die Überwachung muss geeignet, erforderlich und angemessen sein
Kennzeichnungspflicht: Hinweisschilder mit Angabe des Verantwortlichen
Löschfrist: Grundsätzlich maximal 72 Stunden, längere Speicherung muss begründet werden
Keine Überwachung höchstpersönlicher Lebensbereiche: Umkleiden, Sanitärräume und Wohnbereiche sind tabu

Bußgelder und Sanktionen

Verstöße gegen das DSG und die DSGVO können empfindliche Konsequenzen haben. Die Höhe der Bußgelder richtet sich nach der Schwere des Verstoßes.

Bußgeldrahmen nach DSGVO

Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei Verstößen gegen formale Pflichten (z. B. Dokumentation, Meldung von Datenpannen)
Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bei schweren Verstößen gegen Grundprinzipien oder Betroffenenrechte

In Österreich hat die DSB in der Vergangenheit bereits mehrfach Millionenstrafen verhängt. Besonders prominent war die Strafe gegen die Österreichische Post wegen unzulässiger Verarbeitung von Parteiaffinitätsdaten.

Datenschutz im digitalen Alltag: Praktische Tipps

Das DSG schützt Ihre Daten rechtlich – doch praktischer Selbstschutz ist mindestens genauso wichtig. Insbesondere im Internet lauern zahlreiche Risiken, denen Sie mit einfachen Maßnahmen begegnen können.

Grundlegende Schutzmaßnahmen

Starke Passwörter nutzen: Lesen Sie unseren ultimativen Leitfaden zur Passwortsicherheit.
Tracker blockieren: Unsere Anleitung zum Blockieren von Trackern am Handy zeigt, wie Sie unerwünschtes Datensammeln verhindern.
Vor QR-Code-Betrug schützen: Erfahren Sie in unserem Ratgeber zum QR-Code-Betrug, wie Sie Quishing erkennen.
Warnzeichen eines gehackten Geräts erkennen: Unser Beitrag „Ist mein Handy gehackt?" hilft Ihnen bei der Diagnose.
Links sicher teilen: Mit einem datenschutzfreundlichen URL-Shortener wie Lunyb können Sie Links verkürzen, ohne auf exzessives Tracking angewiesen zu sein.

Datenschutz im Unternehmen umsetzen

Für Unternehmen empfiehlt sich ein systematisches Datenschutzmanagement. Dazu gehören regelmäßige Mitarbeiterschulungen, interne Audits und die Pflege eines aktuellen Verarbeitungsverzeichnisses. Besonders KMU profitieren von strukturierten Vorlagen, die die Wirtschaftskammer Österreich (WKO) kostenlos zur Verfügung stellt.

Datenschutz bei grenzüberschreitender Datenübermittlung

Werden personenbezogene Daten in Länder außerhalb der EU/des EWR übermittelt – etwa in die USA – gelten strenge Zusatzanforderungen. Nach dem „Schrems II"-Urteil des EuGH müssen Verantwortliche prüfen, ob im Empfängerland ein angemessenes Datenschutzniveau besteht.

Zulässige Übermittlungsmechanismen

Angemessenheitsbeschluss der EU-Kommission (z. B. für die Schweiz, UK, oder das EU-US Data Privacy Framework)
Standardvertragsklauseln (SCCs) mit zusätzlichen Schutzmaßnahmen
Verbindliche interne Datenschutzvorschriften (BCRs) innerhalb von Konzernen
Ausdrückliche Einwilligung der betroffenen Person im Einzelfall

Datenschutz im Arbeitsverhältnis

Das Verhältnis zwischen Arbeitgeber und Arbeitnehmer ist durch ein strukturelles Ungleichgewicht geprägt. Entsprechend streng sind die Anforderungen an die Verarbeitung von Arbeitnehmerdaten.

Besonderheiten im Arbeitsrecht

Einwilligungen sind im Arbeitsverhältnis oft nicht freiwillig und daher unwirksam.
Kontrollmaßnahmen (z. B. Mitarbeiterüberwachung, GPS-Tracking) erfordern meist eine Betriebsvereinbarung.
Bewerberdaten sind nach Abschluss des Verfahrens zu löschen (üblich: 6 Monate zur Abwehr von Diskriminierungsklagen).
Gesundheitsdaten dürfen nur in sehr engen Grenzen verarbeitet werden.

Ausblick: Datenschutz 2026 und darüber hinaus

Die Datenschutzlandschaft bleibt dynamisch. Mehrere EU-Initiativen werden die Rechtslage in den kommenden Jahren weiter prägen:

Data Act: Regelt den Zugang zu und die Nutzung von Daten aus vernetzten Geräten (IoT)
AI Act: Reguliert den Einsatz künstlicher Intelligenz und ihre datenschutzrechtlichen Implikationen
ePrivacy-Verordnung: Nach jahrelanger Verzögerung weiterhin in Verhandlung – soll die Cookie-Regelungen harmonisieren
Digital Services Act (DSA): Bringt neue Transparenzpflichten für Online-Plattformen

Fazit

Das österreichische Datenschutzgesetz bildet gemeinsam mit der DSGVO ein starkes Schutzschild für die informationelle Selbstbestimmung. Als Betroffener verfügen Sie über umfangreiche Rechte, die Sie aktiv einfordern können. Unternehmen sind gut beraten, Datenschutz nicht als lästige Pflicht, sondern als Vertrauensfaktor und Wettbewerbsvorteil zu begreifen. Wer die Grundprinzipien – Rechtmäßigkeit, Zweckbindung, Datenminimierung, Transparenz und Sicherheit – konsequent umsetzt, erfüllt nicht nur gesetzliche Vorgaben, sondern baut auch langfristig vertrauensvolle Kundenbeziehungen auf.

Häufig gestellte Fragen (FAQ)

Gilt in Österreich die DSGVO oder das DSG?

Beide gelten parallel. Die DSGVO ist unmittelbar anwendbares EU-Recht und bildet das Grundgerüst. Das DSG ergänzt die DSGVO dort, wo diese nationale Spielräume lässt – etwa bei der Bildverarbeitung, der wissenschaftlichen Forschung oder Besonderheiten im Behördenkontext.

Wie reiche ich eine Datenschutzbeschwerde in Österreich ein?

Beschwerden können formlos per Post, E-Mail oder über das Online-Formular bei der Datenschutzbehörde (DSB) eingereicht werden. Die Beschwerde ist kostenfrei. Sie sollten den Sachverhalt klar darstellen, den Verantwortlichen benennen und – falls möglich – Nachweise (z. B. E-Mail-Korrespondenz) beilegen.

Was passiert, wenn ich meine Daten nicht löschen lassen kann?

Verweigert ein Verantwortlicher die Löschung, obwohl die gesetzlichen Voraussetzungen vorliegen, können Sie Beschwerde bei der DSB einlegen. Diese prüft den Fall und kann die Löschung anordnen sowie Bußgelder verhängen. Zusätzlich steht Ihnen der Zivilrechtsweg offen, um Schadenersatz geltend zu machen.

Benötigt mein Verein einen Datenschutzbeauftragten?

In der Regel nein. Die meisten Vereine verarbeiten keine sensiblen Daten in großem Umfang und üben keine umfangreiche systematische Überwachung aus. Dennoch müssen auch Vereine die Grundpflichten der DSGVO erfüllen – also etwa ein Verarbeitungsverzeichnis führen, Mitglieder transparent informieren und angemessene Sicherheitsmaßnahmen treffen.

Wie lange darf ein Unternehmen meine Daten speichern?

Die Speicherdauer richtet sich nach dem Zweck der Verarbeitung sowie nach gesetzlichen Aufbewahrungsfristen. Rechnungsdaten müssen nach dem österreichischen Unternehmensgesetzbuch beispielsweise sieben Jahre aufbewahrt werden. Marketingdaten sind nach Widerruf der Einwilligung umgehend zu löschen. Grundsatz: Sobald der Zweck entfällt und keine gesetzliche Pflicht zur Aufbewahrung besteht, müssen die Daten gelöscht werden.