Österreichisches Datenschutzrecht: DSGVO, das DSG und die Datenschutzbehörde

Das österreichische Datenschutzrecht besteht aus zwei aufeinander abgestimmten Ebenen. Die Datenschutz-Grundverordnung, im Deutschen als DSGVO bezeichnet, ist EU-Recht und gilt in Österreich unmittelbar, genauso wie im gesamten übrigen Unionsgebiet. Daneben steht Österreichs eigenes Gesetz, das Datenschutzgesetz (DSG), das jene Lücken schließt, die die DSGVO bewusst dem nationalen Recht überlässt, die Datenschutzbehörde des Landes einrichtet und Regelungen ergänzt, die es ausschließlich in Österreich gibt.

Diese Übersichtsseite ist der Einstiegspunkt für den Bereich Datenschutz dieser Website zu Österreich, manchmal auch schlicht als Datenschutz gesucht. Sie ordnet den Rahmen ein: wie DSGVO und DSG zusammenwirken, das verfassungsrechtliche Grundrecht auf Datenschutz, das der DSGVO um beinahe zwei Jahrzehnte vorausgeht, die Datenschutzbehörde als einzige Aufsichtsbehörde des Landes und Österreichs deutlichste Abweichung von der gewöhnlichen EU-Bußgeldregelung. Für das umfassendere Rechtssystem, in das dieser Bereich eingebettet ist, einschließlich der Gerichte und der Art, wie österreichische Gesetze zitiert werden, siehe die Österreich-Übersichtsseite.

Der nachfolgend beschriebene Rahmen betrifft ein breites Publikum, nicht nur Datenschutzfachleute. Ein Arbeitgeber, der Personalakten verarbeitet, ein Kleinunternehmen mit einem Kontaktformular auf der Website, eine Person, die wissen möchte, welche Daten ein Unternehmen oder eine Behörde über sie gespeichert hat, und eine öffentliche Stelle, die ihr eigenes Risiko im Rahmen der Bußgeldregelung abwägt, unterliegen alle demselben Zusammenspiel aus DSGVO und DSG, das hier beschrieben wird.

Zuletzt geprüft am 22. Juli 2026. Dieser Beitrag dient ausschließlich der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

DSGVO und das österreichische DSG: Wie die beiden Ebenen zusammenwirken

§ 64 DSG stellt klar fest, dass das Gesetz der Durchführung und Umsetzung der Verordnung (EU) 2016/679, der DSGVO, sowie der zugehörigen EU-Richtlinie zur Strafverfolgung dient. In der Praxis bedeutet das: Die DSGVO liefert die materielle Grundlage, also die Definitionen von personenbezogenen Daten und Verarbeitung, die Rechtsgrundlagen für eine Verarbeitung sowie die allgemeinen Betroffenenrechte wie Auskunft, Berichtigung und Löschung.

Das DSG übernimmt jene Aufgaben, die die DSGVO dem nationalen Recht überlässt. Es füllt die Öffnungsklauseln der DSGVO aus, also genau jene Stellen, an denen die Verordnung den Mitgliedstaaten eigene Regelungen erlaubt.

Es richtet die Datenschutzbehörde als Österreichs Aufsichtsbehörde ein. Es ergänzt ein verfassungsrechtliches Grundrecht auf Datenschutz, das der DSGVO gänzlich vorausgeht. Und es schafft nationale Sanktionen, einschließlich der unten behandelten Bußgeldausnahme für öffentliche Stellen.

Wer nur die DSGVO liest, erhält ein zutreffendes, aber unvollständiges Bild jener Rechtslage, die für einen österreichischen Verantwortlichen tatsächlich gilt. Das vollständige Zusammenspiel der beiden Ebenen, einschließlich der Bußgeldregelung nach Art. 83 DSGVO und der eigenen nationalen Sanktionen des DSG, wird auf der Seite DSGVO in Österreich behandelt.

Ein verfassungsrechtliches Grundrecht auf Datenschutz: § 1 DSG

Das auffälligste Merkmal des österreichischen Datenschutzrechts geht der DSGVO um beinahe zwei Jahrzehnte voraus. § 1 DSG ist eine Verfassungsbestimmung und gewährt jeder Person ein Recht auf Geheimhaltung ihrer personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. § 1 Abs 3 DSG erweitert diesen verfassungsrechtlichen Status auch auf die Rechte auf Auskunft, Richtigstellung und Löschung.

Weil dieses Recht auf Verfassungsebene angesiedelt ist, wirkt es unmittelbar sowohl gegenüber Privaten als auch gegenüber Behörden, nicht nur gegenüber dem Staat. Die meisten EU-Mitgliedstaaten schützen den Datenschutz allein über einfaches Gesetzesrecht und die DSGVO. Anders als in Deutschland, wo die verfassungsrechtliche Grundlage des Datenschutzes auf richterlich entwickelten Persönlichkeitsrechten beruht und nicht auf einer ausdrücklichen Verfassungsbestimmung dieser Art, ist Österreichs verfassungsrechtliche Ebene direkt in das DSG geschrieben und steht als eigenständige, innerstaatliche Rechtsgrundlage über der DSGVO.

Die Datenschutzbehörde: Österreichs Aufsichtsbehörde für Datenschutz

§ 18 DSG richtet die Datenschutzbehörde, kurz DSB, als Österreichs nationale Aufsichtsbehörde nach Art. 51 DSGVO ein. Die DSB wird von einem Leiter geführt, dem im Verhinderungsfall ein Stellvertreter zur Seite steht, und § 19 DSG gewährleistet ihre Unabhängigkeit von politischer Weisung.

Die DSB nimmt Beschwerden entgegen, untersucht vermutete Verstöße und verhängt, wo geboten, Verwaltungsstrafen. Eine enge Ausnahme besteht für bestimmte parlamentarische Datenverarbeitungen, die stattdessen einem eigenen Parlamentarischen Datenschutzkomitee zugewiesen sind, doch für die überwältigende Mehrheit der Beschwerden und Vollzugsangelegenheiten ist die DSB die zuständige Behörde für das gesamte Bundesgebiet. Eine eigene regionale Datenschutzbehörde wie in manchen anderen EU-Mitgliedstaaten gibt es nicht.

Die Zuständigkeit der DSB reicht über gewöhnliche Aktenverwaltung hinaus. Die Liste nationaler Verwaltungsstraftatbestände in § 62 Abs 1 DSG umfasst auch die unrechtmäßige Bildverarbeitung, also unrechtmäßige Video- oder Bildaufzeichnung, was den direkten Zusammenhang zwischen diesem Bereich und der gesonderten Behandlung des österreichischen Aufnahme- und Videoüberwachungsrechts auf dieser Website herstellt. Dieselbe Behörde, die eine Beschwerde über eine fehlerhaft behandelte Auskunftsanfrage bearbeitet, ist auch für eine Beschwerde über eine unrechtmäßig betriebene Kameraanlage zuständig.

DSGVO-Bußgelder in Österreich: Die Ausnahme für öffentliche Stellen im Überblick

Dies ist die deutlichste Abweichung zwischen dem österreichischen Datenschutzrecht und der allgemeinen DSGVO-Bußgeldregelung. § 30 Abs 1 DSG bestätigt, dass die DSB gegen Unternehmen und andere juristische Personen Geldbußen wegen Verstößen gegen die DSGVO oder das DSG verhängen kann, also die gewöhnliche Regelung, die nach Art. 83 DSGVO bei bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes gedeckelt ist.

§ 30 Abs 5 DSG nimmt dann eine ganze Kategorie von Akteuren aus dieser Regelung heraus. Gegen eine Behörde, eine öffentliche Stelle oder eine Körperschaft des öffentlichen Rechts, also eine Einrichtung, die eine öffentlich-rechtliche Aufgabe erfüllt, kann keine Geldbuße verhängt werden. Österreich hat die nach Art. 83 Abs 7 DSGVO bestehende Option genutzt, öffentliche Stellen zur Gänze und nicht nur teilweise von der Bußgeldregelung auszunehmen, sodass das Mittel der DSB gegenüber einer öffentlichen Stelle ein Abhilfebescheid ist, keine Geldstrafe.

Österreich ergänzt darüber hinaus zwei weitere nationale Sanktionen zur DSGVO-Regelung: § 62 DSG, einen Verwaltungsstraftatbestand mit Geldstrafen bis 50.000 Euro, und § 63 DSG, einen gerichtlich statt von der DSB zu ahndenden Straftatbestand mit bis zu einem Jahr Freiheitsstrafe oder bis zu 720 Tagessätzen. Die vollständige dreistufige Übersicht, einschließlich eines durchgerechneten Vergleichs zwischen einem bußgeldpflichtigen Unternehmen und einer nicht bußgeldpflichtigen öffentlichen Stelle, finden Sie auf der Seite DSGVO in Österreich.

Eine Datenschutzbeschwerde einbringen: Im Überblick

Art. 77 DSGVO gewährt jeder betroffenen Person das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die Verordnung verstößt. § 24 DSG ist die österreichische Verfahrensvorschrift, die dieses Recht umsetzt: Eine Beschwerde geht an die DSB, muss unter sechs vorgeschriebenen Angaben das verletzte Recht bezeichnen und ist grundsätzlich binnen eines Jahres ab Kenntnisnahme durch den Beschwerdeführer und spätestens drei Jahre nach dem Ereignis einzubringen.

Die DSB muss den Beschwerdeführer binnen drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis ihrer Untersuchung informieren. Setzt sie sich nicht mit der Beschwerde auseinander oder antwortet sie nicht innerhalb dieser Frist, kann der Beschwerdeführer die Angelegenheit vor das Bundesverwaltungsgericht bringen. Den vollständigen Ablauf Schritt für Schritt, einschließlich der erforderlichen Inhalte einer Beschwerde, der genauen Fristen und dessen, was nach der Entscheidung der DSB geschieht, finden Sie auf der Seite wie man eine Datenschutzbeschwerde in Österreich einbringt.

Das Auskunftsrecht nach der DSGVO

Weil es sich um unmittelbar anwendbares EU-Recht und nicht um eine DSG-Regel handelt, findet sich das Recht, eine Bestätigung darüber zu erhalten, ob die eigenen personenbezogenen Daten verarbeitet werden, sowie Zugang zu diesen Daten, in Art. 15 DSGVO. Art. 12 Abs 3 DSGVO legt die Antwortfrist fest: Ein Verantwortlicher muss unverzüglich, jedenfalls aber binnen eines Monats ab Eingang, auf die Anfrage reagieren, mit einer möglichen Verlängerung um bis zu zwei weitere Monate bei komplexen oder zahlreichen Anfragen.

§ 1 Abs 3 DSG spiegelt dieses Auskunftsrecht in Österreich zusätzlich auf Verfassungsebene, wodurch die EU-Regel verstärkt und nicht ersetzt wird. Ein Verantwortlicher, der diese Frist ohne Antwort und ohne Mitteilung einer Verlängerung versäumt, liefert einen der häufigsten Gründe dafür, dass eine Beschwerde bei der DSB landet, ein Szenario, das auf der oben verlinkten Beschwerdeseite ausführlich behandelt wird.

Wie es in diesem Bereich weitergeht

Die beiden in diesem Hub verlinkten vertiefenden Seiten behandeln den Rahmen und das Beschwerdeverfahren in einer Tiefe, die eine Ministeriumsübersicht nicht bietet: DSGVO in Österreich arbeitet das Verhältnis von DSGVO und DSG, das verfassungsrechtliche Grundrecht und die Bußgeldausnahme für öffentliche Stellen anhand eines durchgerechneten Vergleichs auf, und wie man eine Datenschutzbeschwerde in Österreich einbringt führt von den vorgeschriebenen Beschwerdeinhalten bis zum Bundesverwaltungsgericht als Auffanginstanz, einschließlich eines Rechenbeispiels zu einer versäumten Auskunftsfrist. Für das umfassendere österreichische Rechtssystem, in das dieser Bereich eingebettet ist, siehe die Österreich-Übersichtsseite.

Häufig gestellte Fragen

Ist das österreichische Datenschutzrecht dasselbe wie die DSGVO?

Nicht ganz. Die DSGVO ist EU-Recht und gilt in Österreich unmittelbar, doch Österreichs eigenes Datenschutzgesetz (DSG) steht daneben, schließt Lücken, die die Verordnung dem nationalen Recht überlässt, richtet die Datenschutzbehörde ein und ergänzt Regeln, die es nur in Österreich gibt, darunter ein verfassungsrechtliches Grundrecht auf Datenschutz und nationale Strafen über die DSGVO-Bußgeldregelung hinaus.

Was ist die Datenschutzbehörde und welche Aufgaben hat sie?

Die Datenschutzbehörde (DSB) ist Österreichs nationale Datenschutzaufsichtsbehörde, eingerichtet durch § 18 DSG als einzige Aufsichtsbehörde des Landes nach Art. 51 DSGVO. Sie nimmt Beschwerden entgegen, untersucht vermutete Verstöße und verhängt, wo geboten, Verwaltungsstrafen.

Was unterscheidet das österreichische Datenschutzrecht von einem rein auf der DSGVO beruhenden Ansatz?

Drei Dinge stechen hervor. Österreich verfügt mit § 1 DSG über ein verfassungsrechtliches Grundrecht auf Datenschutz, das der DSGVO vorausgeht, die Datenschutzbehörde überwacht und vollzieht die Regeln, und das DSG ergänzt nationale Bestimmungen, die die DSGVO den Mitgliedstaaten überlässt. Der Leitfaden DSGVO in Österreich behandelt jeden dieser Punkte im Detail.

Wo kommen die Datenschutzbehörde und die Gerichte jeweils ins Spiel?

Die Datenschutzbehörde übernimmt die verwaltungsrechtliche Seite: Sie nimmt Beschwerden entgegen, untersucht sie und kann private Verantwortliche anordnen oder mit Bußgeld belegen. Gesonderte nationale Straftatbestände nach §§ 62 und 63 DSG werden von den Verwaltungsbehörden beziehungsweise den Strafgerichten verfolgt. Die beiden vertiefenden Seiten behandeln den Beschwerdeweg und die Sanktionsstufen im Detail.

Gibt es in Österreich ein verfassungsrechtliches Recht auf Datenschutz?

Ja. § 1 DSG ist eine Verfassungsbestimmung und gewährt jeder Person ein Recht auf Geheimhaltung ihrer personenbezogenen Daten sowie verfassungsrechtlich abgesicherte Rechte auf Auskunft, Richtigstellung und Löschung. Es geht der DSGVO voraus und wirkt unmittelbar gegenüber Privaten, nicht nur gegenüber dem Staat.

Gibt es in Österreich strafrechtliche Sanktionen für den Missbrauch personenbezogener Daten?

Ja. § 63 DSG schafft einen gerichtlich, nicht von der DSB zu ahndenden Straftatbestand für die vorsätzliche Nutzung, Offenlegung oder Veröffentlichung personenbezogener Daten in Bereicherungs- oder Schädigungsabsicht. Er trägt eine Strafe von bis zu einem Jahr Freiheitsstrafe oder bis zu 720 Tagessätzen, getrennt von den eigenen Verwaltungsstrafen der DSB.

Wo finde ich die vollständigen Details zu DSGVO-Bußgeldern und Beschwerden in Österreich?

Dieser Hub ordnet den Rahmen ein. Die Seite DSGVO in Österreich arbeitet das Verhältnis von DSGVO und DSG, das verfassungsrechtliche Grundrecht und die Bußgeldausnahme für öffentliche Stellen im Detail auf, und die Seite zur Datenschutzbeschwerde führt Schritt für Schritt durch das Einbringen einer Beschwerde bei der DSB.