Wie man eine Datenschutzbeschwerde bei Österreichs DSB einbringt

Wer der Ansicht ist, dass ein Unternehmen, ein Verein oder eine Behörde in Österreich personenbezogene Daten nicht ordnungsgemäß behandelt, hat einen förmlichen Weg, dies vorzubringen: eine Beschwerde bei der Datenschutzbehörde (DSB), Österreichs nationaler Datenschutzaufsichtsbehörde. Das Recht selbst stammt aus EU-Recht, Art. 77 DSGVO, doch das tatsächliche Verfahren, einschließlich dessen, was die Beschwerde enthalten muss und wie viel Zeit dafür bleibt, ist im österreichischen nationalen Recht in § 24 DSG geregelt.

Diese Seite führt durch die Frage, wer eine Beschwerde einbringen kann, was sie enthalten muss, welche Fristen gelten und was nach Eingang bei der DSB geschieht, einschließlich des Auffangwegs zum österreichischen Bundesverwaltungsgericht (BVwG), falls die DSB nicht tätig wird.

Zuletzt geprüft am 22. Juli 2026. Dieser Beitrag dient ausschließlich der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Wer eine Beschwerde einbringen kann, und worüber

§ 24 Abs 1 DSG gewährt jeder betroffenen Person das Recht, bei der Datenschutzbehörde Beschwerde zu erheben, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO oder gegen § 1 des DSG oder Artikel 2, 1. Hauptstück, DSG verstößt. Diese beiden nationalen Bestimmungen decken Österreichs eigene verfassungsrechtliche Datenschutzregeln und die allgemeinen Verarbeitungsbedingungen des DSG ab, neben der DSGVO selbst.

Es gibt eine enge Ausnahme. § 24 Abs 1 gilt nicht, wo für die betreffende Verarbeitung bereits ein Beschwerderecht vor dem Parlamentarischen Datenschutzkomitee besteht, was bestimmte parlamentarische Angelegenheiten nach § 35f Abs 1 DSG betrifft. Für praktisch jeden alltäglichen Fall bringt eine betroffene Person in Österreich, unabhängig davon, ob sich die Beschwerde gegen ein privates Unternehmen, einen Verein oder eine Behörde richtet, die Beschwerde bei der DSB ein.

Die DSB selbst wird durch § 18 DSG als Österreichs nationale Aufsichtsbehörde nach Art. 51 DSGVO eingerichtet, und § 19 DSG gewährleistet ihre Unabhängigkeit von Weisungen. Sie ist eine einzige nationale Behörde für das gesamte Bundesgebiet; eine eigene regionale Datenschutzbehörde wie in manchen anderen EU-Mitgliedstaaten gibt es nicht.

Es lohnt sich, vor dem Einbringen zu wissen, dass sich das Mittel, das die DSB anordnen kann, danach unterscheidet, gegen wen sich die Beschwerde richtet. Gegenüber einem privaten Verantwortlichen kann die DSB nach § 24 Abs 5 DSG anordnen, dass der Verantwortliche Ihrem Ersuchen entspricht, etwa Auskunft erteilt oder Daten löscht. Gegenüber einer Behörde oder einer öffentlich-rechtlichen Einrichtung hat Österreich die Möglichkeit nach der DSGVO genutzt, öffentliche Stellen zur Gänze von Verwaltungsstrafen auszunehmen, eine Abweichung, die ausführlicher auf der Seite DSGVO in Österreich behandelt wird. Das Beschwerdeverfahren selbst funktioniert jedoch unabhängig davon, gegen wen sich die Beschwerde richtet, in gleicher Weise.

Was die Beschwerde enthalten muss

§ 24 Abs 2 DSG legt sechs bestimmte Angaben fest, die eine Beschwerde enthalten muss. Eine Beschwerde, die diese auslässt, riskiert, zur Verbesserung zurückgestellt zu werden, oder im schlimmsten Fall, nicht ordnungsgemäß bearbeitet zu werden, weshalb es sich lohnt, dies eher als Checkliste denn als bloßen Vorschlag zu behandeln.

1. Die Bezeichnung des Rechts, das Sie als verletzt ansehen.
2. Soweit zumutbar möglich, die Bezeichnung der juristischen Person oder Einrichtung, die Sie für die Verletzung verantwortlich halten (die Gegenseite).
3. Die Tatsachen, aus denen Sie die Verletzung ableiten.
4. Die Gründe, auf denen Ihre Behauptung der Rechtswidrigkeit beruht.
5. Das Begehren, dass die DSB feststellt, dass die behauptete Verletzung stattgefunden hat.
6. Die Angaben, die die DSB benötigt, um zu beurteilen, ob Ihre Beschwerde rechtzeitig eingebracht wurde.

Dieser letzte Punkt ist bedeutsamer, als er zunächst wirkt. Weil § 24 Abs 4 DSG eine strenge Frist vorsieht (dazu im nächsten Abschnitt mehr), benötigt die DSB genügend Angaben von Ihnen, um festzustellen, wann Sie von dem Problem erstmals erfahren haben und wann sich das zugrunde liegende Ereignis zugetragen hat. Fehlende Datumsangaben oder Unklarheit darüber, wann Sie davon erfahren haben, können diese Beurteilung erschweren.

Eine Beschwerde muss nicht von einer Rechtsanwältin oder einem Rechtsanwalt eingebracht werden, und § 24 DSG knüpft an die sechs oben genannten Inhaltserfordernisse keine Gebühr. Es handelt sich um eine schriftliche Eingabe an eine Verwaltungsbehörde, nicht um eine Gerichtseingabe, weshalb sie nicht den verfahrensrechtlichen Formerfordernissen einer Klage unterliegt.

Fristen: Ein Jahr ab Kenntnisnahme, drei Jahre als Höchstgrenze

§ 24 Abs 4 DSG setzt eine feste, zweiteilige Frist. Ihr Anspruch auf Erledigung einer Beschwerde durch die DSB erlischt, wenn Sie sie nicht binnen eines Jahres ab Kenntnisnahme des Ereignisses, über das Sie sich beschweren, einbringen, und in jedem Fall spätestens drei Jahre nach dem Ereignis, das Sie behaupten. Eine verspätet eingebrachte Beschwerde ist zwingend zurückzuweisen.

Die praktische Folge ist, dass die Frist bereits deutlich vor Bemerken des Problems zu laufen beginnen kann. Hat ein Verantwortlicher Ihre Daten in einer Weise fehlerhaft behandelt, die Sie erst viel später bemerkt haben, läuft die Einjahresfrist ab Kenntnisnahme, nicht ab dem ursprünglichen Ereignis, doch die Dreijahresfrist bildet eine absolute Obergrenze unabhängig davon, wann Sie davon erfahren haben. Wer von einer zwei Jahre zurückliegenden Verletzung erfährt, hat noch etwa ein Jahr Zeit zu handeln, doch wer davon nach drei Jahren und einem Monat erfährt, hat das Recht auf Erledigung einer Beschwerde durch die DSB bereits verloren.

Deshalb sind die zeitlichen Angaben nach dem sechsten Erfordernis von § 24 Abs 2 so bedeutsam: Die DSB muss beide Daten anhand Ihrer Beschwerde überprüfen können, bevor sie fortfahren kann.

Wie die DSB eine Beschwerde behandelt, und das BVwG als Auffanginstanz

Sobald eine Beschwerde eingebracht ist, verpflichtet § 24 Abs 7 DSG die DSB, den Beschwerdeführer binnen drei Monaten ab Einbringung über den Stand und das Ergebnis ihrer Untersuchung zu informieren. Diese Dreimonatsfrist ist eine echte Verpflichtung, keine bloße Richtlinie, und sie gibt jedem Beschwerdeführer einen konkreten Zeitpunkt, zu dem er mit einer Rückmeldung rechnen sollte.

Erfüllt die DSB diese Verpflichtung nicht, sei es, weil sie sich überhaupt nicht mit der Beschwerde befasst, sei es, weil sie den Beschwerdeführer nicht innerhalb des Dreimonatsfensters informiert, erlaubt § 24 Abs 8 DSG der betroffenen Person, die Angelegenheit direkt vor das Bundesverwaltungsgericht (BVwG), Österreichs Bundesverwaltungsgericht, zu bringen. Dies ist eine echte Auffanginstanz: Ein Beschwerdeführer wird nie unbegrenzt auf eine schweigende DSB warten müssen. Eine Entscheidung des BVwG kann selbst noch, in einer Rechtsfrage, an den Verwaltungsgerichtshof (VwGH) weitergezogen werden.

Zwei weitere Besonderheiten sind vor dem Einbringen wissenswert. Erstens kann die Gegenseite die behauptete Verletzung nach § 24 Abs 6 DSG noch beheben, bevor das Verfahren abgeschlossen ist, etwa indem sie zuvor verweigerte Aufzeichnungen schließlich vorlegt. Geschieht dies, kann die DSB die Angelegenheit als erledigt behandeln, statt eine förmliche Feststellung zu treffen. Zweitens erlaubt § 24 Abs 5 DSG der DSB, sofern eine Beschwerde gegen einen privaten Verantwortlichen erfolgreich ist, diesem Verantwortlichen aufzutragen, dem ursprünglichen Ersuchen zu entsprechen, sei es durch Erteilung von Auskunft, Berichtigung eines Datensatzes oder Löschung von Daten.

Das Auskunftsrecht als häufiger Auslöser für eine Beschwerde

In der Praxis ist einer der häufigsten Gründe, warum Personen letztlich eine Beschwerde einbringen, ein einfaches Auskunftsersuchen, das ins Leere gelaufen ist. Art. 15 DSGVO gewährt jeder betroffenen Person das Recht, einen Verantwortlichen zu fragen, ob dieser ihre personenbezogenen Daten verarbeitet, und, falls ja, Zugang dazu sowie eine Reihe festgelegter Informationen über diese Verarbeitung zu erhalten.

Die Antwortfrist des Verantwortlichen legt Art. 12 Abs 3 DSGVO fest: Das Ersuchen ist unverzüglich, jedenfalls aber binnen eines Monats ab Eingang, zu erledigen. Ist das Ersuchen komplex oder bearbeitet der Verantwortliche eine große Anzahl davon, kann diese Frist um bis zu zwei weitere Monate verlängert werden, doch der Verantwortliche muss die anfragende Person über die Verlängerung und deren Gründe informieren.

Ein Verantwortlicher, der diese Frist schlicht versäumt, ohne Antwort und ohne Mitteilung einer Verlängerung, begeht genau die Art von Versäumnis, die § 24 DSG adressieren soll. Österreich spiegelt zudem ein Auskunftsrecht auf Verfassungsebene: § 1 Abs 3 DSG gewährt einen verfassungsrechtlich abgesicherten Anspruch auf Auskunft, neben Rechten auf Richtigstellung und Löschung, wodurch das DSGVO-Recht verstärkt und nicht ersetzt wird.

Ein Hinweis zur Verifizierung: Die einmonatige Antwortfrist und der Wortlaut von Art. 15 DSGVO sind stabiler Text, der sich seit Inkrafttreten der DSGVO 2018 nicht geändert hat, doch wer sich für einen konkreten Fall auf den genauen aktuellen Wortlaut verlassen möchte, sollte den aktuellen konsolidierten Text direkt und nicht eine sekundäre Zusammenfassung prüfen.

Ein Rechenbeispiel

Angenommen, eine betroffene Person schreibt am 3. Februar an ein Unternehmen und bittet nach Art. 15 DSGVO um eine Kopie der personenbezogenen Daten, die dieses über sie speichert. Die einmonatige Frist nach Art. 12 Abs 3 DSGVO läuft am 3. März ab, ohne Antwort, ohne Empfangsbestätigung und ohne Mitteilung einer Verlängerung.

Sie wartet noch etwas länger, für den Fall, dass das Unternehmen schlicht langsam ist, doch Anfang Mai, drei Monate nach ihrem ursprünglichen Ersuchen und deutlich über selbst der maximal verlängerten Frist hinaus, hat sie immer noch nichts erhalten. Zu diesem Zeitpunkt hat sie klare Gründe, eine Beschwerde nach § 24 DSG bei der DSB einzubringen, das Unternehmen als Gegenseite zu nennen, das Ersuchen und die versäumte Frist als die Tatsachen zu beschreiben, auf denen die Verletzung beruht, und die DSB zu ersuchen, festzustellen, dass ihr Auskunftsrecht verletzt wurde.

Da sie Anfang März von dem Problem, der versäumten Frist, erfahren hat, läuft ihre Einjahresfrist nach § 24 Abs 4 DSG ab diesem Zeitpunkt, sodass ihr bis etwa zum darauffolgenden März Zeit bleibt, die Beschwerde einzubringen, und in jedem Fall spätestens drei Jahre ab dem ursprünglichen Februar-Ersuchen. Sobald sie die Beschwerde eingebracht hat, hat die DSB drei Monate Zeit, ihr den Stand und das Ergebnis der Behandlung des Falls mitzuteilen, oder sie kann die Angelegenheit selbst vor das BVwG bringen.

Praktische Hinweise vor dem Einbringen

Vor dem Einbringen einer Beschwerde lohnt es sich, die zugrunde liegende Kommunikation zusammenzutragen, das ursprüngliche Ersuchen, jede Empfangsbestätigung, jede teilweise oder verspätete Antwort, da § 24 Abs 2 DSG verlangt, dass Sie die Tatsachen, auf denen die Verletzung beruht, und die Gründe für Ihre Behauptung darlegen. Genaue Datumsangaben sind wichtig, sowohl um das Ereignis zu beschreiben als auch damit die DSB die Einjahres- und Dreijahresfristen nach § 24 Abs 4 DSG überprüfen kann.

Es hilft außerdem, klar zu benennen, welches Recht Ihrer Ansicht nach verletzt wurde, sei es das Auskunftsrecht nach Art. 15 DSGVO, ein anderes DSGVO-Recht oder ein Recht nach § 1 oder Artikel 2, 1. Hauptstück, DSG. Genau das verlangt das erste Erfordernis von § 24 Abs 2: das Recht zu benennen, nicht nur eine allgemeine Beschwerde zu schildern.

Schließlich sollten Sie bedenken, dass das Einbringen einer Beschwerde die Gegenseite nicht daran hindert, das Problem zuerst zu beheben. Erteilt die Gegenseite die fehlende Auskunft, Berichtigung oder Löschung schließlich noch, bevor die DSB entscheidet, erlaubt § 24 Abs 6 DSG, den Fall als behoben zu behandeln. Für viele Beschwerdeführer ist genau dieses Ergebnis, die Daten oder die Korrektur zu erhalten, um die es ursprünglich ging, das eigentliche Ziel des gesamten Verfahrens.