DSGVO in Österreich: Ihre Rechte als Betroffener im Überblick 2026

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in Österreich und wird durch das nationale Datenschutzgesetz (DSG) ergänzt. Als betroffene Person haben Sie umfassende Rechte gegenüber Unternehmen, Behörden und Vereinen, die Ihre personenbezogenen Daten verarbeiten. Dieser Leitfaden erklärt Ihnen praxisnah, welche Rechte Ihnen zustehen, wie Sie diese durchsetzen und was die österreichische Datenschutzbehörde (DSB) für Sie tun kann.

Was ist die DSGVO und wie gilt sie in Österreich?

Die DSGVO ist eine EU-Verordnung, die den Schutz personenbezogener Daten innerhalb der Europäischen Union regelt. In Österreich wird sie durch das Datenschutzgesetz (DSG) konkretisiert und ergänzt. Zusammen bilden diese beiden Regelwerke das rechtliche Fundament für den Umgang mit personenbezogenen Daten in Österreich.

Personenbezogene Daten sind dabei alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören etwa:

Name, Adresse und Geburtsdatum
E-Mail-Adressen und Telefonnummern
IP-Adressen und Standortdaten
Kontonummern und Kundennummern
Gesundheitsdaten und biometrische Merkmale
Fotos und Videoaufnahmen

Zuständige Aufsichtsbehörde in Österreich

Für die Durchsetzung der DSGVO ist in Österreich die Datenschutzbehörde (DSB) mit Sitz in Wien zuständig. Sie ist Anlaufstelle für Beschwerden, führt Prüfverfahren durch und kann Bußgelder verhängen. Die DSB ist eine unabhängige Behörde und arbeitet mit den Datenschutzbehörden anderer EU-Mitgliedstaaten zusammen.

Die acht zentralen Betroffenenrechte im Überblick

Die DSGVO gewährt Ihnen als betroffener Person acht wesentliche Rechte, die Sie kostenlos und in verständlicher Form gegenüber jedem Verantwortlichen geltend machen können. Diese Rechte sind in den Artikeln 15 bis 22 DSGVO verankert.

Recht	Rechtsgrundlage	Wesentlicher Inhalt
Informationspflicht	Art. 13, 14 DSGVO	Transparenz bei Datenerhebung
Auskunftsrecht	Art. 15 DSGVO	Was wird über mich gespeichert?
Berichtigung	Art. 16 DSGVO	Korrektur falscher Daten
Löschung	Art. 17 DSGVO	Recht auf Vergessenwerden
Einschränkung	Art. 18 DSGVO	Sperrung statt Löschung
Datenübertragbarkeit	Art. 20 DSGVO	Daten in maschinenlesbarem Format
Widerspruch	Art. 21 DSGVO	Gegen bestimmte Verarbeitungen
Automatisierte Entscheidungen	Art. 22 DSGVO	Schutz vor Profiling

Das Recht auf Auskunft (Art. 15 DSGVO)

Das Auskunftsrecht ist das wichtigste Betroffenenrecht und die Grundlage für alle weiteren Rechte. Sie haben das Recht zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen oder eine Behörde über Sie verarbeitet.

Was Ihnen mitgeteilt werden muss

Zwecke der Datenverarbeitung
Kategorien der verarbeiteten personenbezogenen Daten
Empfänger oder Kategorien von Empfängern
Geplante Speicherdauer oder Kriterien für deren Festlegung
Bestehen der weiteren Betroffenenrechte
Beschwerderecht bei der Datenschutzbehörde
Herkunft der Daten (bei nicht direkter Erhebung)
Bestehen automatisierter Entscheidungsfindung

So stellen Sie einen Auskunftsantrag

Ein Auskunftsantrag ist formfrei möglich - per E-Mail, Brief oder über das Kundenportal. Wichtig ist, dass Sie eindeutig identifizierbar sind. Der Verantwortliche muss innerhalb eines Monats reagieren. Bei komplexen Anfragen kann die Frist um zwei weitere Monate verlängert werden. Die Auskunft ist grundsätzlich kostenlos.

Das Recht auf Berichtigung und Löschung

Sind Ihre Daten unrichtig oder unvollständig, können Sie deren Berichtigung nach Art. 16 DSGVO verlangen. Das Löschungsrecht nach Art. 17 DSGVO - auch als "Recht auf Vergessenwerden" bekannt - geht noch weiter.

Wann müssen Ihre Daten gelöscht werden?

Die Daten sind für den ursprünglichen Zweck nicht mehr notwendig
Sie widerrufen Ihre Einwilligung
Sie legen Widerspruch ein und es liegen keine überwiegenden berechtigten Gründe vor
Die Daten wurden unrechtmäßig verarbeitet
Eine rechtliche Verpflichtung zur Löschung besteht
Die Daten wurden von einem Kind erhoben (Online-Dienste)

Eine detaillierte Anleitung, wie Sie Ihren Löschungsantrag richtig formulieren und durchsetzen, finden Sie in unserem Leitfaden zum Recht auf Vergessenwerden.

Grenzen des Löschungsrechts

Nicht immer müssen Daten gelöscht werden. Ausnahmen bestehen etwa, wenn gesetzliche Aufbewahrungspflichten bestehen (z.B. 7 Jahre für steuerrelevante Unterlagen nach BAO), die Meinungs- und Informationsfreiheit betroffen ist oder Daten zur Rechtsverteidigung benötigt werden.

Das Recht auf Datenübertragbarkeit

Das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO ermöglicht es Ihnen, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten - etwa als CSV-, JSON- oder XML-Datei. Sie können diese Daten selbst weiterverwenden oder direkt an einen anderen Anbieter übertragen lassen.

Dieses Recht gilt allerdings nur, wenn:

Die Verarbeitung auf Einwilligung oder einem Vertrag beruht
Die Verarbeitung automatisiert erfolgt
Es sich um Daten handelt, die Sie selbst bereitgestellt haben

Widerspruchsrecht und Direktwerbung

Nach Art. 21 DSGVO können Sie der Verarbeitung Ihrer Daten aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Gegen Direktwerbung können Sie jederzeit und ohne Begründung widersprechen - der Verantwortliche muss die Verarbeitung dann sofort einstellen.

Robinsonliste in Österreich

In Österreich können Sie sich zusätzlich in die Robinsonliste der Wirtschaftskammer eintragen lassen, um adressierte Werbepost zu unterbinden. Für Telefonwerbung gilt die Eintragung in die ECG-Liste der Rundfunk und Telekom Regulierungs-GmbH (RTR).

Beschwerde bei der Datenschutzbehörde

Fühlen Sie sich in Ihren Rechten verletzt, können Sie eine Beschwerde bei der österreichischen Datenschutzbehörde einreichen. Dies ist ein niederschwelliges und kostenloses Verfahren.

So reichen Sie eine Beschwerde ein

Vorherige Kontaktaufnahme: Wenden Sie sich zunächst an den Verantwortlichen und geben Sie ihm die Möglichkeit zur Stellungnahme
Beschwerde vorbereiten: Sammeln Sie alle relevanten Unterlagen (Schriftverkehr, Screenshots, Auskunftsantworten)
Formular ausfüllen: Auf dsb.gv.at finden Sie das offizielle Beschwerdeformular
Einreichen: Online, per Post oder persönlich bei der DSB in Wien
Verfahren abwarten: Die DSB muss innerhalb von drei Monaten über den Stand informieren

Was die DSB unternehmen kann

Die Datenschutzbehörde kann Verwarnungen aussprechen, die Verarbeitung untersagen, Löschungen anordnen und Bußgelder bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes verhängen. Für schweizerische Sachverhalte gelten andere Regelungen - hier finden Sie unseren Leitfaden zur EDÖB-Beschwerde.

Schadenersatz und Klagerecht

Neben der behördlichen Beschwerde haben Sie nach Art. 82 DSGVO auch einen zivilrechtlichen Anspruch auf Schadenersatz. Dieser umfasst sowohl materielle Schäden (z.B. finanzielle Verluste) als auch immaterielle Schäden (z.B. Rufschädigung, Kontrollverlust über eigene Daten).

Die österreichischen Gerichte haben in mehreren Entscheidungen bestätigt, dass bereits der Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden darstellen kann. Die zugesprochenen Beträge bewegen sich meist zwischen 500 und 5.000 Euro pro Verletzung.

Praktische Tipps zum Datenschutz im Alltag

Neben der Durchsetzung Ihrer Rechte können Sie aktiv zum Schutz Ihrer Daten beitragen. Hier einige praxisbewährte Maßnahmen:

Digitale Datensparsamkeit

Geben Sie online nur die Daten preis, die wirklich notwendig sind
Nutzen Sie unterschiedliche E-Mail-Adressen für verschiedene Zwecke
Prüfen Sie Datenschutzeinstellungen in sozialen Netzwerken regelmäßig
Verwenden Sie sichere Passwörter und Zwei-Faktor-Authentifizierung
Setzen Sie auf datenschutzfreundliche Browser und Suchmaschinen

Sicherer Umgang mit Links und Kommunikation

Bei der Weitergabe von Links über E-Mail oder Messenger können sensible URL-Parameter (z.B. Session-IDs, Tracking-Codes) unbeabsichtigt Informationen preisgeben. Ein datenschutzkonformer URL-Kürzer wie Lunyb anonymisiert diese Parameter und schützt Ihre Privatsphäre beim Teilen von Links. Einen Vergleich verschiedener Anbieter finden Sie in unserem URL-Kürzungsdienste-Vergleich 2026.

Schutz sensibler Daten

Besonders sensible Daten wie private Fotos, Ausweiskopien oder Finanzdokumente sollten Sie zusätzlich absichern. Ein verschlüsselter Tresor bietet hier erheblich mehr Schutz als der reguläre Gerätespeicher. Achten Sie zudem auf Phishing-Angriffe, die häufig auf den Diebstahl personenbezogener Daten abzielen.

Besondere Kategorien personenbezogener Daten

Nach Art. 9 DSGVO genießen bestimmte Datenkategorien besonderen Schutz. Ihre Verarbeitung ist grundsätzlich verboten und nur unter engen Voraussetzungen zulässig.

Kategorie	Beispiele	Zulässigkeit
Gesundheitsdaten	Arztbefunde, Krankheiten	Nur mit ausdrücklicher Einwilligung oder gesetzlicher Grundlage
Biometrische Daten	Fingerabdruck, Gesichtserkennung	Sehr eingeschränkt
Genetische Daten	DNA-Analysen	Nur zu bestimmten Zwecken
Religiöse/politische Ansichten	Konfession, Parteizugehörigkeit	Ausnahmen sehr eng
Sexuelle Orientierung	Sexualleben	Grundsätzlich verboten
Gewerkschaftszugehörigkeit	Mitgliedschaft	Sehr eingeschränkt

Rechte gegenüber öffentlichen Stellen

Auch Behörden und öffentliche Stellen müssen die DSGVO einhalten. Allerdings gelten hier einige Besonderheiten: Beschwerden über Bundesbehörden werden ebenfalls von der DSB behandelt, wobei bestimmte Bereiche (z.B. Justiz, Nachrichtendienste) eigenen Kontrollmechanismen unterliegen.

Für den öffentlichen Bereich enthält das österreichische DSG zusätzliche Bestimmungen, insbesondere zum Grundrecht auf Datenschutz nach §1 DSG, das Verfassungsrang genießt.

Datenschutz am Arbeitsplatz

Im Beschäftigungsverhältnis haben Sie als Arbeitnehmer besondere Rechte. Der Arbeitgeber darf nur solche Daten verarbeiten, die für das Arbeitsverhältnis erforderlich sind. Videoüberwachung, Zugangskontrollen und Leistungsüberwachung unterliegen strengen Voraussetzungen und erfordern in der Regel eine Betriebsvereinbarung.

Wichtige Grenzen

Keine heimliche Überwachung von Mitarbeitern
Kontrolle von Dienst-E-Mails nur unter engen Voraussetzungen
Private Kommunikation ist grundsätzlich geschützt
Gesundheitsdaten dürfen nur eingeschränkt verarbeitet werden
Bewerberdaten müssen nach angemessener Zeit gelöscht werden

Häufig gestellte Fragen (FAQ)

Wie lange hat ein Unternehmen Zeit, auf meinen Auskunftsantrag zu antworten?

Grundsätzlich muss der Verantwortliche innerhalb eines Monats nach Eingang Ihres Antrags reagieren. Bei besonders komplexen Anfragen oder einer hohen Anzahl von Anträgen kann diese Frist um weitere zwei Monate verlängert werden. In diesem Fall müssen Sie jedoch innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden.

Was kostet mich die Ausübung meiner DSGVO-Rechte?

Die Ausübung Ihrer Betroffenenrechte ist grundsätzlich kostenlos. Nur bei offensichtlich unbegründeten oder exzessiven Anträgen - etwa wenn Sie mehrfach dieselbe Auskunft anfordern - darf ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden. Auch die Beschwerde bei der österreichischen Datenschutzbehörde ist gebührenfrei.

Kann ich meine DSGVO-Rechte auch gegenüber Unternehmen außerhalb der EU geltend machen?

Ja, sofern das Unternehmen seine Waren oder Dienstleistungen gezielt an Personen in der EU anbietet oder deren Verhalten beobachtet. In diesem Fall muss das Unternehmen einen EU-Vertreter benennen, an den Sie sich wenden können. Die österreichische Datenschutzbehörde kooperiert bei grenzüberschreitenden Verfahren mit anderen europäischen Behörden.

Was passiert, wenn ein Unternehmen meine Rechte ignoriert?

Reagiert ein Unternehmen nicht oder unzureichend auf Ihre Anfrage, können Sie zunächst schriftlich mahnen und eine angemessene Nachfrist setzen. Bleibt dies erfolglos, steht Ihnen der Weg zur Datenschutzbehörde oder zu den Zivilgerichten offen. Die DSB kann Zwangsstrafen und empfindliche Bußgelder verhängen. Zudem können Sie Schadenersatz für materielle und immaterielle Schäden geltend machen.

Gelten meine DSGVO-Rechte auch bei bereits verstorbenen Angehörigen?

Die DSGVO gilt grundsätzlich nur für lebende Personen. Allerdings enthält das österreichische DSG einen postmortalen Persönlichkeitsschutz, und Angehörige können unter bestimmten Umständen Löschungsansprüche geltend machen. Zusätzlich haben große Anbieter wie Google, Meta und Apple eigene Verfahren für den digitalen Nachlass eingerichtet, über die Konten verstorbener Personen verwaltet oder gelöscht werden können.

Fazit

Die DSGVO gibt Ihnen als Bürgerin und Bürger in Österreich weitreichende Rechte zur Kontrolle Ihrer personenbezogenen Daten. Von der Auskunft über die Löschung bis hin zur Beschwerde bei der Datenschutzbehörde stehen Ihnen effektive Instrumente zur Verfügung. Nutzen Sie diese Rechte aktiv - je mehr Menschen ihre Datenschutzrechte einfordern, desto ernster nehmen Unternehmen und Behörden ihre Verpflichtungen. Ergänzen Sie den rechtlichen Schutz durch technische Maßnahmen wie sichere Passwörter, Verschlüsselung und datenschutzfreundliche Dienste, um Ihre Privatsphäre umfassend zu wahren.