Datenschutzgesetz Österreich Erklärt: Der Komplette Leitfaden 2026

Das österreichische Datenschutzgesetz (DSG) regelt gemeinsam mit der europäischen Datenschutz-Grundverordnung (DSGVO) den Umgang mit personenbezogenen Daten in Österreich. Für Bürger, Unternehmen und Behörden ist das Verständnis dieser Rechtsgrundlage essenziell, um Datenschutzrechte wahrzunehmen und Compliance-Pflichten zu erfüllen. Dieser Leitfaden erklärt Ihnen alle wesentlichen Aspekte des DSG verständlich und praxisnah.

Was ist das österreichische Datenschutzgesetz?

Das Datenschutzgesetz (DSG) ist das zentrale nationale Gesetz Österreichs zum Schutz personenbezogener Daten. Es ergänzt die EU-weit geltende DSGVO und regelt spezifisch österreichische Aspekte des Datenschutzes, die durch die europäische Verordnung den Mitgliedstaaten überlassen wurden.

Das DSG in seiner aktuellen Fassung trat am 25. Mai 2018 parallel zur DSGVO in Kraft. Es löste das alte DSG 2000 ab und wurde seitdem mehrfach angepasst, um der technologischen Entwicklung und neuen europäischen Vorgaben Rechnung zu tragen.

Die zentralen Rechtsquellen im Überblick

DSGVO (Verordnung (EU) 2016/679): Unmittelbar anwendbares EU-Recht
DSG (Datenschutzgesetz): Nationales österreichisches Umsetzungs- und Ergänzungsgesetz
Materiengesetze: Spezielle Regelungen etwa im Gesundheits-, Arbeits- oder Telekommunikationsrecht
Grundrecht auf Datenschutz: Verankert in § 1 DSG als Verfassungsbestimmung

Das Grundrecht auf Datenschutz in Österreich

Eine Besonderheit des österreichischen Datenschutzrechts ist das verfassungsrechtlich verankerte Grundrecht auf Datenschutz in § 1 DSG. Dieses Grundrecht gewährt jeder Person Anspruch auf Geheimhaltung ihrer personenbezogenen Daten, soweit ein schutzwürdiges Interesse besteht.

Konkret umfasst das Grundrecht auf Datenschutz:

Recht auf Geheimhaltung personenbezogener Daten
Recht auf Auskunft über verarbeitete Daten
Recht auf Richtigstellung unrichtiger Daten
Recht auf Löschung unzulässig verarbeiteter Daten

Diese verfassungsrechtliche Verankerung macht das österreichische Datenschutzrecht besonders stark. Im Unterschied zu Deutschland, wo das Datenschutzrecht nur auf einfachgesetzlicher Ebene geregelt ist, genießt der Datenschutz in Österreich Verfassungsrang.

DSG und DSGVO: Das Zusammenspiel verstehen

Das Verhältnis zwischen DSG und DSGVO sorgt häufig für Verwirrung. Grundsätzlich gilt: Die DSGVO ist unmittelbar anwendbares Unionsrecht und steht über dem nationalen DSG. Das DSG regelt jedoch Bereiche, die die DSGVO den Mitgliedstaaten überlässt (sogenannte Öffnungsklauseln).

Wo das DSG eigenständige Regelungen trifft

Datenverarbeitung im Rahmen von Meinungsfreiheit und Medien (§ 9 DSG)
Datenverarbeitung durch Behörden für Sicherheitszwecke
Beschäftigtendatenschutz in bestimmten Bereichen
Bildverarbeitung (Videoüberwachung) in §§ 12-13 DSG
Mindestalter für Einwilligung bei Informationsgesellschaftsdiensten (14 Jahre)

Für eine detaillierte Gegenüberstellung empfehlen wir unseren Artikel DSG vs DSGVO: Die Unterschiede Verstehen, der die Abgrenzung praxisnah erläutert.

Die wichtigsten Grundsätze der Datenverarbeitung

Das DSG übernimmt die zentralen Verarbeitungsgrundsätze der DSGVO. Jede Verarbeitung personenbezogener Daten muss diesen Prinzipien entsprechen, um rechtmäßig zu sein.

Die sieben Grundprinzipien

Grundsatz	Bedeutung
Rechtmäßigkeit	Verarbeitung nur auf gültiger Rechtsgrundlage
Treu und Glauben	Transparente, faire Datenverarbeitung
Transparenz	Betroffene müssen Verarbeitung nachvollziehen können
Zweckbindung	Daten nur für festgelegte Zwecke verwenden
Datenminimierung	Nur notwendige Daten erheben
Richtigkeit	Daten müssen korrekt und aktuell sein
Speicherbegrenzung	Löschung nach Zweckerfüllung

Rechte der Betroffenen nach dem DSG

Das österreichische Datenschutzrecht gewährt Betroffenen umfassende Rechte gegenüber Verantwortlichen. Diese Rechte können grundsätzlich kostenlos ausgeübt werden und müssen innerhalb eines Monats beantwortet werden.

Die wesentlichen Betroffenenrechte

Auskunftsrecht (Art. 15 DSGVO): Information über verarbeitete Daten, Zwecke, Empfänger und Speicherdauer
Recht auf Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger personenbezogener Daten
Recht auf Löschung (Art. 17 DSGVO): "Recht auf Vergessenwerden" bei bestimmten Voraussetzungen
Recht auf Einschränkung (Art. 18 DSGVO): Verarbeitung temporär stoppen
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Daten in strukturiertem Format erhalten
Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen bestimmte Verarbeitungen, insbesondere Direktwerbung
Beschwerderecht: Beschwerde bei der Datenschutzbehörde

Die österreichische Datenschutzbehörde (DSB)

Die Datenschutzbehörde (DSB) mit Sitz in Wien ist die zentrale Aufsichtsbehörde für Datenschutzangelegenheiten in Österreich. Sie entspricht funktional dem deutschen BfDI und ist zuständig für die Überwachung der Einhaltung von DSG und DSGVO.

Aufgaben und Befugnisse der DSB

Bearbeitung von Beschwerden Betroffener
Durchführung von Untersuchungen und Audits
Verhängung von Verwaltungsstrafen und Bußgeldern
Beratung von Verantwortlichen und Betroffenen
Internationale Zusammenarbeit im European Data Protection Board
Stellungnahmen zu Gesetzesentwürfen

Betroffene können kostenlos Beschwerde bei der DSB einreichen, wenn sie eine Verletzung ihrer Rechte vermuten. Das Beschwerdeverfahren ist niedrigschwellig gestaltet und auch online möglich.

Pflichten für Unternehmen und Verantwortliche

Jede Organisation, die personenbezogene Daten verarbeitet, muss umfangreiche Pflichten erfüllen. Diese gelten unabhängig von der Unternehmensgröße, wobei für KMU bestimmte Erleichterungen bestehen.

Zentrale Compliance-Anforderungen

Verzeichnis von Verarbeitungstätigkeiten: Dokumentation aller Datenverarbeitungen
Datenschutzerklärung: Transparente Information der Betroffenen
Technische und organisatorische Maßnahmen (TOM): Angemessene Sicherheitsmaßnahmen
Auftragsverarbeitungsverträge: Bei Einbindung externer Dienstleister
Datenschutz-Folgenabschätzung: Bei risikoreichen Verarbeitungen
Meldung von Datenpannen: Innerhalb von 72 Stunden an die DSB
Datenschutzbeauftragter: Bei bestimmten Voraussetzungen verpflichtend

Wann ist ein Datenschutzbeauftragter verpflichtend?

Verarbeitung durch Behörden und öffentliche Stellen
Kerntätigkeit umfasst umfangreiche regelmäßige systematische Überwachung
Kerntätigkeit besteht in umfangreicher Verarbeitung besonderer Datenkategorien

Bußgelder und Sanktionen nach dem DSG

Verstöße gegen Datenschutzrecht können empfindliche finanzielle Konsequenzen haben. Das österreichische Recht sieht abgestufte Sanktionen vor, die sich nach Schwere und Art des Verstoßes richten.

Übersicht der Strafrahmen

Verstoß-Kategorie	Maximale Strafe	Beispiele
Leichte Verstöße	Bis 10 Mio. € oder 2% Jahresumsatz	Fehlendes Verarbeitungsverzeichnis, unzureichende TOM
Schwere Verstöße	Bis 20 Mio. € oder 4% Jahresumsatz	Verstoß gegen Grundsätze, Rechte der Betroffenen
Verwaltungsstrafen DSG	Bis 50.000 €	Verstöße gegen spezifische DSG-Bestimmungen

Besonders bemerkenswert: Die österreichische Datenschutzbehörde zeigt sich im europäischen Vergleich eher zurückhaltend bei der Verhängung sehr hoher Bußgelder, verfolgt aber konsequent systematische Verstöße.

Videoüberwachung nach dem DSG

Die Bildverarbeitung (Videoüberwachung) ist in den §§ 12 und 13 DSG besonders geregelt. Diese nationalen Bestimmungen gehen über die DSGVO hinaus und haben für österreichische Unternehmen und Privatpersonen erhebliche praktische Bedeutung.

Zulässige Zwecke der Videoüberwachung

Schutz vor konkreten Gefahren für Personen oder überwachte Objekte
Erfüllung rechtlicher Sorgfaltspflichten
Dokumentation bei berechtigtem Interesse
Einwilligung der Betroffenen

Verpflichtende Maßnahmen bei Videoüberwachung

Deutliche Kennzeichnung durch Hinweisschilder
Löschung der Aufzeichnungen nach spätestens 72 Stunden (Ausnahmen möglich)
Protokollierung von Zugriffen auf Aufzeichnungen
Beschränkung auf das notwendige Minimum
Keine Überwachung höchstpersönlicher Lebensbereiche

Datenschutz im Beschäftigungsverhältnis

Der Arbeitnehmerdatenschutz ist in Österreich durch das Zusammenspiel von DSG, DSGVO und arbeitsrechtlichen Spezialgesetzen geregelt. Arbeitgeber müssen besondere Vorsicht walten lassen, da das Machtungleichgewicht zwischen Arbeitgeber und Arbeitnehmer berücksichtigt werden muss.

Besonders sensible Bereiche

Bewerbermanagement: Löschung nach 6 Monaten, sofern keine Einwilligung
Mitarbeiterüberwachung: Nur mit Betriebsvereinbarung zulässig
E-Mail und Internet: Private Nutzung erlaubt oder verboten?
Gesundheitsdaten: Strenge Verarbeitungsbeschränkungen
Zugangskontrollen und Zeiterfassung: Verhältnismäßigkeit prüfen

Internationale Datenübermittlung

Die Übermittlung personenbezogener Daten in Drittländer (außerhalb des EWR) unterliegt besonderen Anforderungen. Nach dem Schrems-II-Urteil des EuGH ist die Rechtslage besonders bei Übermittlungen in die USA komplex geworden.

Zulässige Übermittlungsmechanismen

Angemessenheitsbeschluss: Für Länder mit angemessenem Datenschutzniveau
EU-US Data Privacy Framework: Seit Juli 2023 für zertifizierte US-Unternehmen
Standardvertragsklauseln (SCCs): Mit ergänzenden Schutzmaßnahmen
Binding Corporate Rules: Für Konzerninterne Übermittlungen
Einwilligung: In Ausnahmefällen

Praktische Umsetzung für Bürger

Als Bürger können Sie Ihre Datenschutzrechte aktiv nutzen. Viele Menschen wissen nicht, welche Möglichkeiten ihnen tatsächlich zur Verfügung stehen. Hier einige praktische Tipps für den Alltag.

So nutzen Sie Ihre Rechte effektiv

Auskunftsersuchen stellen: Formlose Anfrage per E-Mail genügt
Datensparsamkeit praktizieren: Nur notwendige Daten angeben
Datenschutzerklärungen prüfen: Bei wichtigen Diensten lesen
Browser-Einstellungen optimieren: Tracking minimieren
Beschwerden einreichen: Bei Verstößen die DSB einschalten

Für mehr Privatsphäre im digitalen Alltag empfehlen wir auch unseren Leitfaden zu den besten datenschutzfreundlichen Browsern. Wenn Sie Links teilen möchten, ohne persönliche Informationen preiszugeben, können Dienste wie Lunyb dabei helfen, URLs sicher zu verkürzen und zusätzliche Tracking-Parameter zu entfernen.

Datenschutz in der Familie: Besondere Aspekte

Gerade im familiären Umfeld stellen sich besondere Datenschutzfragen, etwa beim Umgang mit Kinderfotos oder beim Teilen von Standortdaten. Das DSG sieht für Kinder und Jugendliche besondere Schutzmechanismen vor.

Mindestalter für Einwilligungen

In Österreich können Kinder ab dem vollendeten 14. Lebensjahr selbst in die Verarbeitung ihrer Daten durch Informationsgesellschaftsdienste einwilligen. Davor ist die Zustimmung der Eltern erforderlich. Mehr zum sicheren Umgang mit Familiendaten lesen Sie in unserem Artikel über sicheres Standort-Teilen mit der Familie.

Aktuelle Entwicklungen und Ausblick 2026

Das Datenschutzrecht entwickelt sich kontinuierlich weiter. Mehrere neue EU-Rechtsakte beeinflussen die österreichische Rechtslage:

AI Act: Neue Regeln für künstliche Intelligenz ab 2024/2025
Digital Services Act: Pflichten für Online-Plattformen
Data Act: Regeln für Datenzugang und -nutzung
ePrivacy-Verordnung: Geplante Novellierung der Cookie-Regeln

Für Unternehmen bedeutet dies erhöhten Compliance-Aufwand, für Bürger aber auch mehr Rechte und besseren Schutz. Wer mehr über die praktische Anwendung der DSGVO erfahren möchte, findet in unserem Artikel DSGVO Einfach Erklärt umfassende Informationen.

FAQ: Häufige Fragen zum österreichischen Datenschutzgesetz

Was ist der Unterschied zwischen DSG und DSGVO?

Die DSGVO ist eine EU-Verordnung, die unmittelbar in allen Mitgliedstaaten gilt. Das österreichische DSG ergänzt die DSGVO und regelt Bereiche, die den Mitgliedstaaten überlassen wurden, etwa Videoüberwachung, Medienprivileg oder Beschäftigtendatenschutz. Beide Regelwerke gelten parallel.

Wie reiche ich eine Beschwerde bei der österreichischen Datenschutzbehörde ein?

Die Beschwerde kann formlos per Post, E-Mail oder über das Online-Formular der DSB eingereicht werden. Sie sollte den konkreten Verstoß beschreiben, Beweise beifügen und das betroffene Unternehmen oder die Behörde benennen. Das Verfahren ist für Betroffene kostenlos.

Welche Bußgelder drohen bei Verstößen gegen das DSG?

Die Höchststrafen entsprechen der DSGVO: bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes bei schweren Verstößen. Für spezifische DSG-Verstöße können Verwaltungsstrafen bis zu 50.000 Euro verhängt werden. Die Höhe richtet sich nach Schwere, Dauer und Art des Verstoßes.

Benötigt mein kleines Unternehmen einen Datenschutzbeauftragten?

Ein Datenschutzbeauftragter ist in Österreich nur dann verpflichtend, wenn die Kerntätigkeit in umfangreicher regelmäßiger Überwachung besteht, besondere Datenkategorien umfangreich verarbeitet werden oder es sich um eine Behörde handelt. Kleine Unternehmen ohne diese Merkmale benötigen keinen DSB, müssen aber dennoch alle Datenschutzpflichten erfüllen.

Wie lange darf ich personenbezogene Daten speichern?

Es gibt keine pauschale Frist. Daten dürfen nur so lange gespeichert werden, wie sie für den ursprünglichen Zweck erforderlich sind. Danach müssen sie gelöscht oder anonymisiert werden. Ausnahmen bestehen bei gesetzlichen Aufbewahrungspflichten, etwa 7 Jahre für buchhalterische Unterlagen nach dem UGB.

Darf mein Arbeitgeber meine E-Mails lesen?

Grundsätzlich nur in engen Grenzen. Bei erlaubter Privatnutzung ist der Zugriff auf private E-Mails praktisch ausgeschlossen. Bei dienstlichen E-Mails sind Kontrollen zulässig, wenn sie verhältnismäßig sind und der Betriebsrat (falls vorhanden) eingebunden wurde. Eine systematische Überwachung erfordert eine Betriebsvereinbarung.