DSGVO in Österreich: Ihre Rechte im umfassenden Überblick 2026

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union – und damit auch in Österreich. Ergänzt wird sie durch das nationale Datenschutzgesetz (DSG). Für Sie als betroffene Person bedeutet das: Sie verfügen über weitreichende, einklagbare Rechte gegenüber jedem Unternehmen, jeder Behörde und jedem Verein, der Ihre personenbezogenen Daten verarbeitet. In diesem Ratgeber erklären wir Ihnen praxisnah, welche Rechte Sie in Österreich haben, wie Sie diese durchsetzen und was passiert, wenn sich ein Verantwortlicher weigert.

Was ist die DSGVO und wie wirkt sie in Österreich?

Die DSGVO ist eine EU-Verordnung, die den Schutz personenbezogener Daten natürlicher Personen europaweit einheitlich regelt. In Österreich wird sie durch das Datenschutzgesetz (DSG) präzisiert, das insbesondere die Zuständigkeit der Datenschutzbehörde (DSB) und einige Sonderregelungen (etwa im Beschäftigtenkontext) enthält.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen: Name, Adresse, E-Mail, IP-Adresse, Standortdaten, Gesundheitsdaten, Fotos und vieles mehr. Sobald ein Unternehmen solche Daten verarbeitet, muss es die DSGVO einhalten – unabhängig davon, ob es seinen Sitz in Wien, Berlin oder San Francisco hat, sofern es sich an Personen in Österreich richtet.

Wer überwacht die Einhaltung?

Zuständige Aufsichtsbehörde in Österreich ist die Österreichische Datenschutzbehörde (DSB) mit Sitz in Wien. Sie ist Ihre erste Anlaufstelle für Beschwerden, kann Bußgelder verhängen und hat weitreichende Prüfbefugnisse. Für Medienunternehmen gelten teilweise Sonderregelungen nach dem Medienprivileg des DSG.

Die acht Betroffenenrechte im Überblick

Die DSGVO gewährt Ihnen acht zentrale Rechte, die in den Artikeln 12 bis 22 geregelt sind. Diese Rechte sind kostenlos, formfrei und müssen vom Verantwortlichen grundsätzlich innerhalb eines Monats erfüllt werden.

1. Recht auf Information (Art. 13 & 14 DSGVO)

Bereits bei der Erhebung Ihrer Daten muss der Verantwortliche Sie transparent informieren: Wer verarbeitet welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und an wen werden sie weitergegeben? Diese Informationen finden Sie in der Datenschutzerklärung einer Website oder in schriftlicher Form bei Vertragsabschluss.

2. Recht auf Auskunft (Art. 15 DSGVO)

Sie können jederzeit verlangen, dass ein Unternehmen Ihnen mitteilt, ob und welche Daten es über Sie gespeichert hat. Die Auskunft muss folgende Punkte umfassen:

• Verarbeitungszwecke
• Kategorien der verarbeiteten Daten
• Empfänger oder Kategorien von Empfängern
• Geplante Speicherdauer
• Herkunft der Daten, sofern nicht bei Ihnen erhoben
• Bestehen automatisierter Entscheidungsfindung inkl. Profiling

Zusätzlich haben Sie Anspruch auf eine kostenlose Kopie aller Sie betreffenden Daten.

3. Recht auf Berichtigung (Art. 16 DSGVO)

Sind Ihre Daten unrichtig oder unvollständig, können Sie deren Korrektur oder Vervollständigung verlangen. Klassisches Beispiel: falsch geschriebener Nachname im Kundenkonto oder veraltete Adressdaten bei Ihrer Versicherung.

4. Recht auf Löschung – „Recht auf Vergessenwerden" (Art. 17 DSGVO)

Unter bestimmten Voraussetzungen müssen Ihre Daten gelöscht werden, etwa wenn:

1. Der Zweck der Verarbeitung entfallen ist
2. Sie Ihre Einwilligung widerrufen
3. Sie Widerspruch eingelegt haben und keine überwiegenden berechtigten Gründe entgegenstehen
4. Die Daten unrechtmäßig verarbeitet wurden
5. Eine gesetzliche Löschpflicht besteht

Ausnahmen gelten etwa bei gesetzlichen Aufbewahrungspflichten – so muss Ihre Bank Kontodaten sieben Jahre aufbewahren (§ 132 BAO).

5. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Statt einer Löschung können Sie eine „Sperrung" verlangen. Ihre Daten dürfen dann nur noch gespeichert, aber nicht mehr aktiv verwendet werden – etwa während der Prüfung eines Berichtigungsantrags.

6. Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format (z. B. CSV, JSON) erhalten und an einen anderen Anbieter übertragen. Praxisbeispiel: Wechsel des Musik-Streamingdienstes samt Playlists oder Umzug Ihrer Kontaktliste zu einem anderen E-Mail-Anbieter.

7. Recht auf Widerspruch (Art. 21 DSGVO)

Gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen, können Sie jederzeit Widerspruch einlegen. Bei Direktwerbung gilt dieses Recht sogar absolut – der Verantwortliche muss die Verarbeitung sofort einstellen, ohne dass Sie Gründe angeben müssen.

8. Recht auf Nichtunterwerfung unter automatisierte Entscheidungen (Art. 22 DSGVO)

Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten (z. B. Kreditablehnung durch einen Algorithmus, automatisiertes Bewerbungsscreening), dürfen grundsätzlich nicht rein automatisiert getroffen werden. Sie haben Anspruch auf menschliche Prüfung und Anfechtung.

Übersicht: Fristen und Kosten Ihrer Rechte

Recht	Frist des Verantwortlichen	Kosten	Formvorschrift
Auskunft (Art. 15)	1 Monat (verlängerbar um 2 Monate)	Kostenlos	Formfrei
Berichtigung (Art. 16)	1 Monat	Kostenlos	Formfrei
Löschung (Art. 17)	1 Monat	Kostenlos	Formfrei
Einschränkung (Art. 18)	1 Monat	Kostenlos	Formfrei
Datenübertragbarkeit (Art. 20)	1 Monat	Kostenlos	Formfrei
Widerspruch (Art. 21)	Unverzüglich	Kostenlos	Formfrei
DSB-Beschwerde	DSB entscheidet i.d.R. binnen 6 Monaten	Kostenlos	Schriftlich

So setzen Sie Ihre Rechte praktisch durch

Die Ausübung Ihrer Rechte ist einfacher, als viele denken. Sie müssen keine Anwältin oder keinen Anwalt beauftragen und keine Formulare ausfüllen – eine formlose E-Mail genügt.

Schritt-für-Schritt-Anleitung für einen Auskunftsantrag

1. Verantwortlichen identifizieren: Schauen Sie in die Datenschutzerklärung des Unternehmens (meist im Footer der Website). Dort finden Sie die Kontaktdaten und ggf. den Datenschutzbeauftragten.
2. E-Mail formulieren: Nennen Sie Ihren Namen, Ihre Kundennummer (falls vorhanden) und beziehen Sie sich auf Art. 15 DSGVO.
3. Identität nachweisen: Der Verantwortliche darf bei begründeten Zweifeln einen Identitätsnachweis verlangen, aber nicht standardmäßig einen Ausweisscan fordern.
4. Frist setzen: Weisen Sie freundlich auf die Monatsfrist hin.
5. Antwort prüfen: Ist die Auskunft vollständig? Fehlen Empfänger, Speicherdauer oder die Datenkopie?

Mustertext für einen Auskunftsantrag

„Sehr geehrte Damen und Herren,
hiermit beantrage ich gemäß Art. 15 DSGVO Auskunft über alle personenbezogenen Daten, die Sie zu meiner Person verarbeiten. Ich bitte insbesondere um Mitteilung der Verarbeitungszwecke, der Kategorien der Daten, der Empfänger, der geplanten Speicherdauer sowie um eine kostenlose Kopie aller Daten gemäß Art. 15 Abs. 3 DSGVO.
Bitte antworten Sie innerhalb der gesetzlichen Frist von einem Monat.
Mit freundlichen Grüßen
[Vor- und Nachname, Adresse, ggf. Kundennummer]"

Was tun, wenn der Verantwortliche nicht reagiert?

Ignoriert ein Unternehmen Ihre Anfrage oder erteilt eine unvollständige Auskunft, stehen Ihnen mehrere Wege offen.

Beschwerde bei der österreichischen Datenschutzbehörde

Die DSB nimmt kostenlose Beschwerden entgegen. Diese können Sie schriftlich per Post, per E-Mail (dsb@dsb.gv.at) oder über das Online-Formular auf dsb.gv.at einreichen. Ihre Beschwerde sollte enthalten:

• Name und Anschrift der beschwerdeführenden Person
• Bezeichnung des beschwerdegegnerischen Unternehmens
• Sachverhalt und behauptete Rechtsverletzung
• Nachweise (Kopien der Korrespondenz, Screenshots)
• Konkretes Begehren

Die DSB kann Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen – je nachdem, was höher ist.

Zivilklage und Schadenersatz

Nach Art. 82 DSGVO haben Sie Anspruch auf Ersatz materieller und immaterieller Schäden. Der Oberste Gerichtshof (OGH) hat in mehreren Entscheidungen betont, dass bereits der Kontrollverlust über eigene Daten einen ersatzfähigen Schaden darstellen kann. Zuständig sind die Bezirks- bzw. Landesgerichte.

Besondere Konstellationen in der Praxis

Datenschutz am Arbeitsplatz

Ihre Rechte gelten auch gegenüber Ihrem Arbeitgeber. Videoüberwachung, Zeiterfassung, Kontrolle der E-Mail-Nutzung – all das unterliegt strengen Grenzen und ist häufig mitbestimmungspflichtig. Der Betriebsrat spielt hier eine zentrale Rolle. Auch Sie persönlich können jederzeit Auskunft über Ihre Personalakte verlangen.

Daten von Kindern

In Österreich ist die Einwilligung zur Verarbeitung personenbezogener Daten bei Online-Diensten (z. B. Social Media) grundsätzlich erst ab 14 Jahren ohne Zustimmung der Eltern möglich – strenger als in vielen anderen EU-Staaten. Wer den Standort seiner Kinder überwachen möchte, sollte unseren Ratgeber zum sicheren Teilen des Standorts in der Familie lesen.

Datenbroker und Adresshandel

Viele Unternehmen kaufen und verkaufen personenbezogene Daten – oft ohne dass Betroffene davon wissen. Auch hier haben Sie ein Auskunfts- und Widerspruchsrecht. Einen umfassenden Überblick, welche Firmen mit Ihren Daten handeln, finden Sie in unserem Artikel Datenbroker: Wer verkauft Ihre Daten?

Grenzüberschreitende Sachverhalte

Beschwerden gegen Unternehmen mit Sitz in einem anderen EU-Staat werden über das sogenannte One-Stop-Shop-Verfahren abgewickelt. Federführend ist dann die Aufsichtsbehörde am Hauptsitz des Unternehmens – bei vielen US-Konzernen etwa die irische DPC. Die österreichische DSB bleibt jedoch Ihre Anlaufstelle und leitet die Beschwerde weiter.

Interessant für Sie: In der Schweiz gilt kein EU-Recht, sondern das eigenständige Bundesgesetz über den Datenschutz. Details lesen Sie in unserem Beitrag zum Schweizer Datenschutzgesetz.

Praktische Tipps zum Schutz Ihrer Daten im Alltag

Die DSGVO gibt Ihnen mächtige Werkzeuge in die Hand – aber Prävention ist der beste Datenschutz. Je weniger Daten Sie preisgeben, desto weniger müssen Sie später einfordern oder löschen lassen.

1. Nutzen Sie datensparsame Dienste: Bevorzugen Sie Anbieter, die auf Tracking verzichten. Ein Überblick findet sich in unserem Vergleich der besten datenschutzfreundlichen Browser 2026.
2. Verkürzen Sie Links datenschutzfreundlich: Nutzen Sie Kurzlink-Dienste wie Lunyb, die keine unnötigen Profildaten sammeln und Ihre Klicks nicht an Dritte weiterverkaufen.
3. Verschlüsseln Sie sensible Daten: Für private Fotos empfiehlt sich ein verschlüsselter Tresor – unsere Anleitung 2026 zeigt, wie das geht.
4. Prüfen Sie regelmäßig Cookie-Einstellungen: Widerrufen Sie unnötige Einwilligungen.
5. Nutzen Sie Wegwerf-E-Mail-Adressen für einmalige Registrierungen.
6. Aktivieren Sie Zwei-Faktor-Authentifizierung überall, wo möglich.

Häufige Missverständnisse rund um die DSGVO

Rund um die DSGVO kursieren viele Mythen. Die häufigsten Irrtümer:

• „Ohne Einwilligung geht gar nichts": Falsch. Neben der Einwilligung gibt es fünf weitere Rechtsgrundlagen (Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse).
• „Fotos in der Öffentlichkeit sind immer erlaubt": Falsch. Auch Fotos sind personenbezogene Daten. Es gelten Ausnahmen (Kunst, Journalismus, Zeitgeschehen), aber kein Freibrief.
• „Vereine sind nicht betroffen": Falsch. Auch Vereine, Kirchen und kleine Unternehmen unterliegen der DSGVO.
• „Löschung bedeutet sofortiges Vergessen": Nicht immer. Gesetzliche Aufbewahrungspflichten können vorgehen.

FAQ – Häufig gestellte Fragen

Wie lange darf ein Unternehmen für die Beantwortung meines Auskunftsantrags brauchen?

Grundsätzlich einen Monat ab Eingang Ihres Antrags (Art. 12 Abs. 3 DSGVO). Bei komplexen oder zahlreichen Anfragen kann diese Frist um zwei weitere Monate verlängert werden – Sie müssen jedoch innerhalb des ersten Monats darüber informiert werden. Reagiert das Unternehmen gar nicht, ist das ein klarer DSGVO-Verstoß und Sie können bei der DSB Beschwerde einlegen.

Was kostet mich die Ausübung meiner Rechte?

Nichts. Alle Betroffenenrechte sind grundsätzlich kostenlos. Nur bei offenkundig unbegründeten oder exzessiven Anträgen (z. B. wiederholte Anfragen innerhalb kurzer Zeit) darf der Verantwortliche ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern. Die Beweislast dafür trägt allerdings er.

Kann ich meine Daten bei Google, Meta oder anderen US-Unternehmen löschen lassen?

Ja. Sobald sich ein Dienst an Nutzerinnen und Nutzer in der EU richtet, gilt die DSGVO – unabhängig vom Firmensitz. Alle großen US-Konzerne haben Datenschutzformulare für DSGVO-Anfragen. Bei Problemen ist die federführende Aufsichtsbehörde meist die irische Data Protection Commission, Ihre Beschwerde können Sie aber bei der österreichischen DSB einreichen.

Welche Rolle spielt der Datenschutzbeauftragte?

Bestimmte Unternehmen und alle Behörden müssen einen Datenschutzbeauftragten (DSB, nicht zu verwechseln mit der Behörde) bestellen. Diese Person ist Ihre Ansprechperson für alle Datenschutzfragen, unterliegt einer Verschwiegenheitspflicht und muss Ihre Anfragen unabhängig bearbeiten. Kontaktdaten finden Sie in der Datenschutzerklärung.

Was passiert bei einer Datenpanne, die mich betrifft?

Bei einer Verletzung des Schutzes personenbezogener Daten mit hohem Risiko für Ihre Rechte muss das Unternehmen Sie unverzüglich benachrichtigen (Art. 34 DSGVO). Zusätzlich muss die Datenpanne binnen 72 Stunden an die DSB gemeldet werden. Sie haben in solchen Fällen Anspruch auf Schadenersatz – auch für immaterielle Schäden wie Unwohlsein oder Angst vor Identitätsdiebstahl.

Fazit

Die DSGVO gibt Ihnen als Person in Österreich ein starkes rechtliches Werkzeug, um die Kontrolle über Ihre Daten zurückzugewinnen. Von der einfachen Auskunft bis zur Millionenklage stehen Ihnen viele Wege offen – und die österreichische Datenschutzbehörde ist eine engagierte Verbündete. Nutzen Sie diese Rechte aktiv: Ein einzelner Auskunftsantrag ist schnell verschickt und offenbart oft überraschend viele gespeicherte Informationen. Kombiniert mit datenschutzfreundlichen Tools im Alltag – von Browsern über Cloud-Diensten bis zu Kurzlink-Anbietern wie Lunyb – können Sie Ihre digitale Privatsphäre spürbar verbessern.