Österreichisches Datenschutzrecht: DSGVO, das DSG und die Datenschutzbehörde

Das österreichische Datenschutzrecht besteht aus zwei aufeinander abgestimmten Ebenen. Die Datenschutz-Grundverordnung, im Deutschen als DSGVO bezeichnet, ist EU-Recht und gilt in Österreich unmittelbar, genauso wie im gesamten übrigen Unionsgebiet. Daneben steht Österreichs eigenes Gesetz, das Datenschutzgesetz (DSG), das jene Lücken schließt, die die DSGVO bewusst dem nationalen Recht überlässt, die Datenschutzbehörde des Landes einrichtet und Regelungen ergänzt, die es ausschließlich in Österreich gibt.

Diese Übersichtsseite ist der Einstiegspunkt für den Bereich Datenschutz dieser Website zu Österreich, manchmal auch schlicht als Datenschutz gesucht. Sie ordnet den Rahmen ein: wie DSGVO und DSG zusammenwirken, das verfassungsrechtliche Grundrecht auf Datenschutz, das der DSGVO um beinahe zwei Jahrzehnte vorausgeht, die Datenschutzbehörde als einzige Aufsichtsbehörde des Landes und Österreichs deutlichste Abweichung von der gewöhnlichen EU-Bußgeldregelung. Für das umfassendere Rechtssystem, in das dieser Bereich eingebettet ist, einschließlich der Gerichte und der Art, wie österreichische Gesetze zitiert werden, siehe die Österreich-Übersichtsseite.

Der nachfolgend beschriebene Rahmen betrifft ein breites Publikum, nicht nur Datenschutzfachleute. Ein Arbeitgeber, der Personalakten verarbeitet, ein Kleinunternehmen mit einem Kontaktformular auf der Website, eine Person, die wissen möchte, welche Daten ein Unternehmen oder eine Behörde über sie gespeichert hat, und eine öffentliche Stelle, die ihr eigenes Risiko im Rahmen der Bußgeldregelung abwägt, unterliegen alle demselben Zusammenspiel aus DSGVO und DSG, das hier beschrieben wird.

Zuletzt geprüft am 22. Juli 2026. Dieser Beitrag dient ausschließlich der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

DSGVO und das österreichische DSG: Wie die beiden Ebenen zusammenwirken

§ 64 DSG stellt klar fest, dass das Gesetz der Durchführung und Umsetzung der Verordnung (EU) 2016/679, der DSGVO, sowie der zugehörigen EU-Richtlinie zur Strafverfolgung dient. In der Praxis bedeutet das: Die DSGVO liefert die materielle Grundlage, also die Definitionen von personenbezogenen Daten und Verarbeitung, die Rechtsgrundlagen für eine Verarbeitung sowie die allgemeinen Betroffenenrechte wie Auskunft, Berichtigung und Löschung.

Das DSG übernimmt jene Aufgaben, die die DSGVO dem nationalen Recht überlässt. Es füllt die Öffnungsklauseln der DSGVO aus, also genau jene Stellen, an denen die Verordnung den Mitgliedstaaten eigene Regelungen erlaubt.

Es richtet die Datenschutzbehörde als Österreichs Aufsichtsbehörde ein. Es ergänzt ein verfassungsrechtliches Grundrecht auf Datenschutz, das der DSGVO gänzlich vorausgeht. Und es schafft nationale Sanktionen, einschließlich der unten behandelten Bußgeldausnahme für öffentliche Stellen.

Wer nur die DSGVO liest, erhält ein zutreffendes, aber unvollständiges Bild jener Rechtslage, die für einen österreichischen Verantwortlichen tatsächlich gilt. Das vollständige Zusammenspiel der beiden Ebenen, einschließlich der Bußgeldregelung nach Art. 83 DSGVO und der eigenen nationalen Sanktionen des DSG, wird auf der Seite DSGVO in Österreich behandelt.

Ein verfassungsrechtliches Grundrecht auf Datenschutz: § 1 DSG

Das auffälligste Merkmal des österreichischen Datenschutzrechts geht der DSGVO um beinahe zwei Jahrzehnte voraus. § 1 DSG ist eine Verfassungsbestimmung und gewährt jeder Person ein Recht auf Geheimhaltung ihrer personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. § 1 Abs 3 DSG erweitert diesen verfassungsrechtlichen Status auch auf die Rechte auf Auskunft, Richtigstellung und Löschung.

Weil dieses Recht auf Verfassungsebene angesiedelt ist, wirkt es unmittelbar sowohl gegenüber Privaten als auch gegenüber Behörden, nicht nur gegenüber dem Staat. Die meisten EU-Mitgliedstaaten schützen den Datenschutz allein über einfaches Gesetzesrecht und die DSGVO. Anders als in Deutschland, wo die verfassungsrechtliche Grundlage des Datenschutzes auf richterlich entwickelten Persönlichkeitsrechten beruht und nicht auf einer ausdrücklichen Verfassungsbestimmung dieser Art, ist Österreichs verfassungsrechtliche Ebene direkt in das DSG geschrieben und steht als eigenständige, innerstaatliche Rechtsgrundlage über der DSGVO.

Die Datenschutzbehörde: Österreichs Aufsichtsbehörde für Datenschutz

§ 18 DSG richtet die Datenschutzbehörde, kurz DSB, als Österreichs nationale Aufsichtsbehörde nach Art. 51 DSGVO ein. Die DSB wird von einem Leiter geführt, dem im Verhinderungsfall ein Stellvertreter zur Seite steht, und § 19 DSG gewährleistet ihre Unabhängigkeit von politischer Weisung.

Die DSB nimmt Beschwerden entgegen, untersucht vermutete Verstöße und verhängt, wo geboten, Verwaltungsstrafen. Eine enge Ausnahme besteht für bestimmte parlamentarische Datenverarbeitungen, die stattdessen einem eigenen Parlamentarischen Datenschutzkomitee zugewiesen sind, doch für die überwältigende Mehrheit der Beschwerden und Vollzugsangelegenheiten ist die DSB die zuständige Behörde für das gesamte Bundesgebiet. Eine eigene regionale Datenschutzbehörde wie in manchen anderen EU-Mitgliedstaaten gibt es nicht.

Die Zuständigkeit der DSB reicht über gewöhnliche Aktenverwaltung hinaus. Die Liste nationaler Verwaltungsstraftatbestände in § 62 Abs 1 DSG umfasst auch die unrechtmäßige Bildverarbeitung, also unrechtmäßige Video- oder Bildaufzeichnung, was den direkten Zusammenhang zwischen diesem Bereich und der gesonderten Behandlung des österreichischen Aufnahme- und Videoüberwachungsrechts auf dieser Website herstellt. Dieselbe Behörde, die eine Beschwerde über eine fehlerhaft behandelte Auskunftsanfrage bearbeitet, ist auch für eine Beschwerde über eine unrechtmäßig betriebene Kameraanlage zuständig.

DSGVO-Bußgelder in Österreich: Die Ausnahme für öffentliche Stellen im Überblick

Dies ist die deutlichste Abweichung zwischen dem österreichischen Datenschutzrecht und der allgemeinen DSGVO-Bußgeldregelung. § 30 Abs 1 DSG bestätigt, dass die DSB gegen Unternehmen und andere juristische Personen Geldbußen wegen Verstößen gegen die DSGVO oder das DSG verhängen kann, also die gewöhnliche Regelung, die nach Art. 83 DSGVO bei bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes gedeckelt ist.

§ 30 Abs 5 DSG nimmt dann eine ganze Kategorie von Akteuren aus dieser Regelung heraus. Gegen eine Behörde, eine öffentliche Stelle oder eine Körperschaft des öffentlichen Rechts, also eine Einrichtung, die eine öffentlich-rechtliche Aufgabe erfüllt, kann keine Geldbuße verhängt werden. Österreich hat die nach Art. 83 Abs 7 DSGVO bestehende Option genutzt, öffentliche Stellen zur Gänze und nicht nur teilweise von der Bußgeldregelung auszunehmen, sodass das Mittel der DSB gegenüber einer öffentlichen Stelle ein Abhilfebescheid ist, keine Geldstrafe.

Österreich ergänzt darüber hinaus zwei weitere nationale Sanktionen zur DSGVO-Regelung: § 62 DSG, einen Verwaltungsstraftatbestand mit Geldstrafen bis 50.000 Euro, und § 63 DSG, einen gerichtlich statt von der DSB zu ahndenden Straftatbestand mit bis zu einem Jahr Freiheitsstrafe oder bis zu 720 Tagessätzen. Die vollständige dreistufige Übersicht, einschließlich eines durchgerechneten Vergleichs zwischen einem bußgeldpflichtigen Unternehmen und einer nicht bußgeldpflichtigen öffentlichen Stelle, finden Sie auf der Seite DSGVO in Österreich.

Eine Datenschutzbeschwerde einbringen: Im Überblick

Art. 77 DSGVO gewährt jeder betroffenen Person das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die Verordnung verstößt. § 24 DSG ist die österreichische Verfahrensvorschrift, die dieses Recht umsetzt: Eine Beschwerde geht an die DSB, muss unter sechs vorgeschriebenen Angaben das verletzte Recht bezeichnen und ist grundsätzlich binnen eines Jahres ab Kenntnisnahme durch den Beschwerdeführer und spätestens drei Jahre nach dem Ereignis einzubringen.

Die DSB muss den Beschwerdeführer binnen drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis ihrer Untersuchung informieren. Setzt sie sich nicht mit der Beschwerde auseinander oder antwortet sie nicht innerhalb dieser Frist, kann der Beschwerdeführer die Angelegenheit vor das Bundesverwaltungsgericht bringen. Den vollständigen Ablauf Schritt für Schritt, einschließlich der erforderlichen Inhalte einer Beschwerde, der genauen Fristen und dessen, was nach der Entscheidung der DSB geschieht, finden Sie auf der Seite wie man eine Datenschutzbeschwerde in Österreich einbringt.

Das Auskunftsrecht nach der DSGVO

Weil es sich um unmittelbar anwendbares EU-Recht und nicht um eine DSG-Regel handelt, findet sich das Recht, eine Bestätigung darüber zu erhalten, ob die eigenen personenbezogenen Daten verarbeitet werden, sowie Zugang zu diesen Daten, in Art. 15 DSGVO. Art. 12 Abs 3 DSGVO legt die Antwortfrist fest: Ein Verantwortlicher muss unverzüglich, jedenfalls aber binnen eines Monats ab Eingang, auf die Anfrage reagieren, mit einer möglichen Verlängerung um bis zu zwei weitere Monate bei komplexen oder zahlreichen Anfragen.

§ 1 Abs 3 DSG spiegelt dieses Auskunftsrecht in Österreich zusätzlich auf Verfassungsebene, wodurch die EU-Regel verstärkt und nicht ersetzt wird. Ein Verantwortlicher, der diese Frist ohne Antwort und ohne Mitteilung einer Verlängerung versäumt, liefert einen der häufigsten Gründe dafür, dass eine Beschwerde bei der DSB landet, ein Szenario, das auf der oben verlinkten Beschwerdeseite ausführlich behandelt wird.

Wie es in diesem Bereich weitergeht

Die beiden in diesem Hub verlinkten vertiefenden Seiten behandeln den Rahmen und das Beschwerdeverfahren in einer Tiefe, die eine Ministeriumsübersicht nicht bietet: DSGVO in Österreich arbeitet das Verhältnis von DSGVO und DSG, das verfassungsrechtliche Grundrecht und die Bußgeldausnahme für öffentliche Stellen anhand eines durchgerechneten Vergleichs auf, und wie man eine Datenschutzbeschwerde in Österreich einbringt führt von den vorgeschriebenen Beschwerdeinhalten bis zum Bundesverwaltungsgericht als Auffanginstanz, einschließlich eines Rechenbeispiels zu einer versäumten Auskunftsfrist. Für das umfassendere österreichische Rechtssystem, in das dieser Bereich eingebettet ist, siehe die Österreich-Übersichtsseite.