DSGVO in Österreich: Wie EU-Recht und das Datenschutzgesetz zusammenwirken

Die DSGVO, die Datenschutz-Grundverordnung der EU, gilt in Österreich genauso wie im übrigen Gebiet der Europäischen Union. Als EU-Verordnung entfaltet sie unmittelbare Wirkung, ohne dass Österreich ihren Wortlaut in ein nationales Gesetz übernehmen müsste. Was Österreich zusätzlich hat, ist das Datenschutzgesetz (DSG), das nationale Gesetz, das jene Lücken schließt, die die DSGVO bewusst den Mitgliedstaaten überlässt, die Datenschutzbehörde des Landes einrichtet und Regeln ergänzt, die es ausschließlich in Österreich gibt.

Diese Kombination aus EU-Verordnung und nationalem Ausführungsgesetz ist der richtige Ausgangspunkt für alle, die zur DSGVO recherchieren, soweit sie auf ein österreichisches Unternehmen, einen Arbeitgeber oder eine Behörde angewendet wird. Diese Seite arbeitet auf, wie die beiden Ebenen zusammenwirken, Österreichs verfassungsrechtliches Grundrecht auf Datenschutz, die Datenschutzbehörde als Aufsichtsbehörde sowie die auffälligste Eigenheit des DSG: eine Regel, die öffentliche Stellen zur Gänze aus der DSGVO-Bußgeldregelung herausnimmt.

Zuletzt geprüft am 22. Juli 2026. Dieser Beitrag dient ausschließlich der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Wie DSGVO und österreichisches DSG zusammenwirken

§ 64 DSG stellt klar fest, dass das Gesetz der Durchführung und Umsetzung der Verordnung (EU) 2016/679, der DSGVO, sowie der zugehörigen EU-Richtlinie zur Strafverfolgung dient. In der Praxis bedeutet das, dass die DSGVO die materielle Grundlage liefert: die Definitionen von personenbezogenen Daten und Verarbeitung, die Rechtsgrundlagen für eine Verarbeitung, die Betroffenenrechte wie Auskunft, Berichtigung und Löschung sowie die allgemeine Bußgeldregelung nach Art. 83.

Das DSG übernimmt vier Aufgaben, die die DSGVO dem nationalen Recht überlässt. Es füllt die Öffnungsklauseln der DSGVO aus, also genau jene Stellen, an denen die Verordnung den Mitgliedstaaten eigene Regelungen erlaubt.

Es richtet die Datenschutzbehörde als Österreichs Aufsichtsbehörde ein. Es ergänzt ein verfassungsrechtliches Grundrecht auf Datenschutz, das der DSGVO um beinahe zwei Jahrzehnte vorausgeht. Und es schafft nationale Sanktionen, einschließlich der Bußgeldausnahme für öffentliche Stellen und zweier nur nach österreichischem Recht bestehender Straftatbestände.

Wer nur die DSGVO liest, erhält ein zutreffendes, aber unvollständiges Bild jener Rechtslage, die für einen österreichischen Verantwortlichen tatsächlich gilt. Im DSG steckt das länderspezifische Detail, und es ist das DSG, nicht die DSGVO, das erklärt, warum eine österreichische Behörde so anders behandelt wird als ein österreichisches Unternehmen.

Österreichs verfassungsrechtliches Grundrecht auf Datenschutz

Das auffälligste Merkmal des österreichischen Datenschutzrechts geht der DSGVO gänzlich voraus. § 1 DSG ist eine Verfassungsbestimmung und gewährt jeder Person ein Recht auf Geheimhaltung ihrer personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. § 1 Abs 3 DSG erweitert diesen verfassungsrechtlichen Status auch auf die Rechte auf Auskunft, Richtigstellung und Löschung.

Weil dieses Recht auf Verfassungsebene angesiedelt ist, wirkt es unmittelbar sowohl gegenüber Privaten als auch gegenüber Behörden, nicht nur gegenüber dem Staat. Die meisten EU-Mitgliedstaaten schützen den Datenschutz allein über einfaches Gesetzesrecht und die DSGVO selbst. Österreichs verfassungsrechtliche Ebene steht über und neben der DSGVO und verleiht dem österreichischen Datenschutzrecht eine festere innerstaatliche Rechtsgrundlage, als es die Verordnung allein böte. Dies ist einer der deutlichsten Unterschiede zum vergleichbaren deutschen Rahmen, wo die verfassungsrechtliche Grundlage des Datenschutzes auf richterlich entwickelten Persönlichkeitsrechten beruht und nicht auf einer ausdrücklichen Verfassungsbestimmung dieser Art.

Die Datenschutzbehörde: Österreichs Aufsichtsbehörde

§ 18 DSG richtet die Datenschutzbehörde, kurz DSB, als Österreichs nationale Aufsichtsbehörde nach Art. 51 DSGVO ein. Die DSB wird von einem Leiter geführt, dem im Verhinderungsfall ein Stellvertreter zur Seite steht, und § 19 DSG gewährleistet ihre Unabhängigkeit von politischer Weisung.

Die DSB ist jene Stelle, die Beschwerden entgegennimmt, vermutete Verstöße untersucht und, wo geboten, Verwaltungsstrafen verhängt. Sie gibt zudem Anleitungen für Verantwortliche und Auftragsverarbeiter heraus, die in Österreich tätig sind. Eine enge Ausnahme besteht für bestimmte parlamentarische Datenverarbeitungen, die stattdessen einem eigenen Parlamentarischen Datenschutzkomitee zugewiesen sind, doch für die überwältigende Mehrheit der Beschwerden und Vollzugsangelegenheiten ist die DSB die zuständige Behörde.

Beschwerde bei der DSB einbringen

Art. 77 DSGVO gewährt jeder betroffenen Person das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die Verordnung verstößt. § 24 DSG ist die österreichische Verfahrensvorschrift, die dieses Recht umsetzt: Eine Beschwerde geht an die DSB, muss das verletzte Recht und, soweit zumutbar möglich, den Verantwortlichen bezeichnen und ist binnen eines Jahres ab Kenntnisnahme durch den Beschwerdeführer und spätestens drei Jahre nach dem Ereignis einzubringen.

Die DSB muss den Beschwerdeführer binnen drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis ihrer Untersuchung informieren. Setzt sie sich nicht mit der Beschwerde auseinander oder antwortet sie nicht innerhalb dieser Frist, kann der Beschwerdeführer die Angelegenheit vor das Bundesverwaltungsgericht bringen. Den vollständigen Ablauf Schritt für Schritt, einschließlich der erforderlichen Beschwerdeinhalte und dessen, was nach der Entscheidung der DSB geschieht, finden Sie in unserem Leitfaden zum Einbringen einer Datenschutzbeschwerde in Österreich.

DSGVO-Bußgelder und Österreichs Ausnahme für öffentliche Stellen

Dies ist die deutlichste Abweichung zwischen dem österreichischen Datenschutzrecht und der allgemeinen DSGVO-Bußgeldregelung, und es ist das Detail, das man am ehesten kennen sollte, bevor man annimmt, eine öffentliche Stelle sei demselben Risiko ausgesetzt wie ein privates Unternehmen.

§ 30 Abs 1 DSG bestätigt, dass die DSB gegen Unternehmen und andere juristische Personen, also private Rechtsträger, Geldbußen wegen Verstößen gegen die DSGVO oder das DSG verhängen kann. Das ist die gewöhnliche, den meisten bekannte DSGVO-Bußgeldregelung, gedeckelt nach Art. 83 DSGVO bei bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

§ 30 Abs 5 DSG nimmt dann eine ganze Kategorie von Akteuren aus dieser Regelung heraus. Er bestimmt, dass gegen eine Behörde, eine öffentliche Stelle oder eine Körperschaft des öffentlichen Rechts, also eine öffentlich-rechtlich organisierte Einrichtung, die eine gesetzliche Aufgabe erfüllt, unabhängig davon, ob sie öffentlich- oder privatrechtlich organisiert ist, keine Geldbuße verhängt werden kann. Österreich hat die nach Art. 83 Abs 7 DSGVO bestehende Option genutzt, öffentliche Stellen zur Gänze und nicht nur teilweise von der Bußgeldregelung auszunehmen.

Betrachten wir zwei Organisationen, die dieselbe Art schwerwiegender, schlecht gehandhabter Datenpanne erleiden. Ein privates Unternehmen mit 10 Millionen Euro weltweitem Jahresumsatz könnte grundsätzlich mit einer Geldbuße rechnen, die anhand der Vier-Prozent-Umsatzobergrenze berechnet wird, in der Größenordnung von 400.000 Euro, direkt von der DSB nach § 30 Abs 1 DSG verhängt. Eine Gemeinde oder eine andere öffentliche Stelle, die dieselbe Kategorie personenbezogener Daten auf dieselbe Weise falsch behandelt, kann diese Geldbuße überhaupt nicht erhalten. Das Mittel der DSB gegenüber der öffentlichen Stelle ist ein verbindlicher Bescheid, der sie zur Korrektur der rechtswidrigen Praxis verpflichtet, keine Geldstrafe.

Das bedeutet nicht, dass eine öffentliche Stelle überhaupt keine Konsequenzen zu tragen hat. Es bedeutet, dass die Konsequenz korrigierend statt finanziell ausfällt, und es handelt sich um ein echtes strukturelles Merkmal des österreichischen Rechts, das eine Leserin oder ein Leser, die oder der Österreich mit anderen Rechtsordnungen vergleicht, kennen sollte, bevor sie oder er annimmt, die DSGVO-Bußgeldregelung gelte einheitlich für jede Art von Organisation.

Österreichs nationale Sanktionsstufen über die DSGVO hinaus

Österreich ergänzt zwei weitere, rein nationale Sanktionen zur eigenen Bußgeldregelung der DSGVO. Beide sind im DSG und nicht in der DSGVO verankert, und beide unterscheiden sich von der oben behandelten Geldbuße.

§ 62 DSG gilt nur, sofern das Verhalten nicht bereits unter Art. 83 DSGVO fällt oder nicht bereits nach einer anderen Bestimmung strenger bestraft wird. Er erfasst eine bestimmte Liste von Handlungen: den vorsätzlichen unrechtmäßigen Zugriff auf ein Datenverarbeitungssystem, die unrechtmäßige Übermittlung oder sonstige Verarbeitung von Daten unter Verletzung der Datengeheimhaltungspflicht, das Erschleichen personenbezogener Daten durch Täuschung, den Betrieb einer unrechtmäßigen Bildverarbeitungsanlage, also unrechtmäßiger Video- oder Bildaufzeichnung, was direkt mit Österreichs eigenen Regeln zu Videoüberwachung und Aufnahmen zusammenhängt, sowie die Verweigerung der Prüfungsbefugnisse der DSB. Auch der Versuch einer dieser Handlungen ist strafbar, und die DSB ist die zuständige Behörde.

§ 63 DSG ist von einer anderen Schwere. Es handelt sich um ein Gerichtsdelikt, über das ein Gericht und nicht die DSB entscheidet. Er gilt nur, wenn jemand in der Absicht handelt, sich selbst oder eine andere Person zu bereichern, oder in der Absicht, jemanden in seinem verfassungsrechtlich geschützten Geheimhaltungsinteresse nach § 1 DSG zu schädigen, indem er durch seinen Beruf oder unrechtmäßig erlangte personenbezogene Daten verwendet, offenlegt oder veröffentlicht. Die Höchststrafe beträgt ein Jahr Freiheitsstrafe oder bis zu 720 Tagessätze, ein Tagessatzsystem, bei dem sich die Gesamthöhe nach dem Einkommen des Täters richtet.

Auskunftsrecht nach der DSGVO

Weil es sich um unmittelbar anwendbares EU-Recht und nicht um eine DSG-Regel handelt, findet sich das Recht, eine Bestätigung darüber zu erhalten, ob die eigenen personenbezogenen Daten verarbeitet werden, sowie Zugang zu diesen Daten, in Art. 15 DSGVO. Art. 12 Abs 3 DSGVO legt die Antwortfrist fest: Ein Verantwortlicher muss unverzüglich, jedenfalls aber binnen eines Monats ab Eingang, auf die Anfrage reagieren, mit einer möglichen Verlängerung um bis zu zwei weitere Monate bei komplexen oder zahlreichen Anfragen. § 1 Abs 3 DSG spiegelt dieses Auskunftsrecht in Österreich zusätzlich auf Verfassungsebene, wodurch die EU-Regel verstärkt und nicht ersetzt wird.