Datenschutzrecht in Österreich: Leitfaden zu DSGVO & DSG (2026)

Die Regeln zum Datenschutz in Österreich beruhen auf zwei Quellen: der Datenschutz-Grundverordnung der EU (Verordnung 2016/679), die seit Mai 2018 unmittelbar gilt, und dem nationalen Datenschutzgesetz (DSG), zuletzt durch das Informationsfreiheits-Anpassungsgesetz (BGBl. I Nr. 50/2025) mit Wirkung vom 1. September 2025 novelliert, das die Lücken über die 69 Öffnungsklauseln der DSGVO schließt. Die Datenschutzbehörde (DSB) überwacht die Einhaltung.

Der rechtliche Rahmen des Datenschutzes in Österreich

Österreichs Ansatz beim Datenschutz stützt sich auf zwei Säulen. Die Verordnung (EU) 2016/679 (die DSGVO), die seit 25. Mai 2018 unionsweit unmittelbar gilt, bildet den primären Rechtsrahmen. Das Datenschutzgesetz (DSG), zuletzt 2025 durch das Informationsfreiheits-Anpassungsgesetz (BGBl. I Nr. 50/2025) novelliert, füllt jene Bereiche aus, in denen die DSGVO nationalen Spielraum zulässt.

Das heutige DSG löste das Datenschutzgesetz 2000 ab, das seinerseits auf das ursprüngliche österreichische Datenschutzgesetz von 1978 folgte. Jenes Gesetz von 1978 war insofern bemerkenswert, als es ein verfassungsrechtliches Grundrecht auf Datenschutz begründete, eine Bestimmung, die den modernen Rechtsrahmen bis heute verankert.

Nach § 68 Abs. 1 DSG ist die Bundesministerin für Justiz mit der Vollziehung des DSG betraut, neben dem Bundeskanzler und den übrigen Bundesministerinnen und Bundesministern in ihrem jeweiligen Wirkungsbereich. Die unabhängige Datenschutzbehörde (DSB) nimmt die Aufsicht und die Durchsetzung wahr. Das Telekommunikationsgesetz 2021 (TKG 2021) fügt eine weitere Ebene hinzu, indem es Cookies, elektronische Werbung und den Schutz der Kommunikation regelt.

Seit der grundlegenden Reform des DSG im Jahr 2018 wurde es im Jänner 2019 (BGBl. I Nr. 14/2019), im Juni 2024 (BGBl. I Nr. 62/2024), im Juli 2024 (BGBl. I Nr. 70/2024) und zuletzt durch das Informationsfreiheits-Anpassungsgesetz (BGBl. I Nr. 50/2025) novelliert.

Die Novelle 2025 hat die § 17 Abs. 8, § 22 Abs. 3 und § 23 Abs. 2 DSG mit Wirkung vom 1. September 2025 neu gefasst. Sie knüpft die Vertraulichkeit jener Informationen, die die DSB im Rahmen ihrer Aufsichtstätigkeit erlangt, an die Gründe des § 6 Abs. 1 des Informationsfreiheitsgesetzes (BGBl. I Nr. 5/2024).

Die Novelle vom Juli 2024 richtete das Parlamentarische Datenschutzkomitee ein, das seine Zuständigkeiten gegenüber den gesetzgebenden Organen nach § 69 Abs. 10 DSG seit dem 1. Jänner 2025 ausübt. Der konsolidierte Text auf ris.bka.gv.at ist auf dem Stand vom 10. September 2026.

Für einen umfassenderen Überblick auf EU-Ebene siehe unseren Leitfaden zu den Datenschutzgesetzen der EU. Für die österreichischen Regeln zur Einwilligung bei Tonaufnahmen siehe Aufnahmegesetze Österreich.

Geltungsbereich: Dieser Artikel behandelt das Datenschutzrecht in Österreich auf Grundlage der DSGVO als unmittelbar anwendbares EU-Recht, des österreichischen Datenschutzgesetzes (DSG) sowie damit verbundener nationaler Vorschriften einschließlich des TKG 2021. Er behandelt keine sektorspezifischen Datenschutzregeln außerhalb des allgemeinen Datenschutzrechts (zum Beispiel Bankgeheimnis, ärztliche Verschwiegenheit), außer soweit diese mit dem DSG zusammenwirken.

Das verfassungsrechtliche Grundrecht auf Datenschutz

Was Österreich von den meisten EU-Mitgliedstaaten unterscheidet, ist § 1 des DSG. Diese Bestimmung hat Verfassungsrang, das heißt, sie kann nur mit einer Zweidrittelmehrheit im Parlament geändert werden.

§ 1 garantiert jedermann das Recht auf Geheimhaltung personenbezogener Daten, insbesondere im Hinblick auf das Privat- und Familienleben, sofern ein schutzwürdiges Interesse besteht. Das Wort "jedermann" ist entscheidend. Anders als die DSGVO, die nur natürliche Personen schützt, erstreckt sich das österreichische verfassungsrechtliche Grundrecht auf Datenschutz auch auf juristische Personen, einschließlich Unternehmen, Vereine und andere Rechtsträger.

2018 versuchte die Regierung, diese Verfassungsbestimmung durch das Datenschutz-Anpassungsgesetz aufzuheben. Das Vorhaben scheiterte, weil die dafür erforderliche Zweidrittelmehrheit im Nationalrat nicht erreicht wurde. Das verfassungsrechtliche Grundrecht auf Datenschutz gilt daher ununterbrochen seit 1978, womit Österreich eines der ersten Länder der Welt war, das den Datenschutz auf Verfassungsebene verankerte.

Dieser Verfassungsrang bedeutet, dass jedes österreichische Gesetz, das in das Grundrecht auf Datenschutz eingreift, vor dem Verfassungsgerichtshof (VfGH) angefochten werden kann, was eine gerichtliche Kontrolle schafft, die über den Rahmen der DSGVO hinausgeht. Der VfGH übt diese Rolle weiterhin aktiv aus. Im Fall der Österreichischen Post (siehe unten) erhob das Unternehmen eine Beschwerde an den VfGH gegen die Geldstrafe, deren Behandlung der VfGH am 9. Dezember 2025 ablehnte (E 335/2025-19). Der Verwaltungsgerichtshof entschied die Sache anschließend im Juni 2026.

Die Datenschutzbehörde (DSB): Österreichs Aufsichtsbehörde

Die DSB löste am 1. Jänner 2014 die frühere Datenschutzkommission ab und agiert als unabhängige Behörde mit Sitz in Wien. Sie ist für alle öffentlichen und privaten Stellen zuständig, die in Österreich personenbezogene Daten verarbeiten.

Struktur und Befugnisse

Die DSB bearbeitet Beschwerden betroffener Personen, führt Ermittlungen durch, verhängt Verwaltungsstrafen und gibt Orientierungshilfen zur Einhaltung des Datenschutzes. Sie ist gemeinsam mit den Aufsichtsbehörden aller EU-Mitgliedstaaten im Europäischen Datenschutzausschuss (EDSA) vertreten.

Zu den Befugnissen der Behörde zählen die Anordnung, dass Verantwortliche und Auftragsverarbeiter die Anforderungen der DSGVO einhalten, die Verhängung vorübergehender oder endgültiger Verarbeitungsverbote, die Anordnung der Berichtigung oder Löschung personenbezogener Daten sowie die Verhängung von Geldbußen nach Art. 58 Abs. 2 lit. i und Art. 83 DSGVO in Verbindung mit § 22 Abs. 5 DSG und, subsidiär, von Geldstrafen nach § 62 DSG.

Grenzen für die Ablehnung von Beschwerden: EuGH-Urteil C-416/23

Am 9. Jänner 2025 entschied der EuGH in der Rechtssache C-416/23 gegen die DSB. Die Behörde hatte es nach Art. 57 Abs. 4 DSGVO abgelehnt, die Beschwerde einer Person zu behandeln, die in rund 20 Monaten 77 gleichartige Beschwerden gegen verschiedene Verantwortliche eingebracht hatte.

Der Gerichtshof stellte drei Punkte fest. Anfragen im Sinne des Art. 57 Abs. 4 DSGVO umfassen auch Beschwerden nach Art. 77 Abs. 1 DSGVO. Anfragen dürfen nicht allein aufgrund ihrer Anzahl in einem bestimmten Zeitraum als exzessiv eingestuft werden, denn die Behörde muss eine missbräuchliche Absicht der antragstellenden Person nachweisen. Und sind Anfragen tatsächlich exzessiv, kann die Behörde mit begründeter Entscheidung entweder ein angemessenes, an den Verwaltungskosten orientiertes Entgelt verlangen oder die Behandlung verweigern, sofern die gewählte Möglichkeit geeignet, erforderlich und verhältnismäßig ist.

Das Urteil hindert die DSB somit nicht daran, missbräuchliche Beschwerden zurückzuweisen. Es legt fest, was die Behörde zuvor nachweisen muss. Die DSB weist Beschwerdeführerinnen und Beschwerdeführer nun darauf hin, wenn sie eine Beschwerde als missbräuchlich ansieht, und kündigt an, dass sie ohne weitere Begründung die Behandlung verweigern oder ein Entgelt nach Art. 57 Abs. 4 DSGVO verlangen kann.

Die Budgetkrise

Die Durchsetzung des Datenschutzes in Österreich steht vor einem strukturellen Problem. Die DSB verfügt 2026 über ein Budget von 5,9 Millionen Euro, nach 6,1 Millionen Euro im Jahr 2025 und 5,7 Millionen Euro im Jahr 2024. Ende 2025 hatte sie insgesamt 58 Beschäftigte: 43 Vertragsbedienstete, 6 Beamtinnen und Beamte, 5 Verwaltungspraktikantinnen und Verwaltungspraktikanten sowie 4 Leiharbeitskräfte. Deutschland gibt im Vergleich pro Kopf etwa doppelt so viel für seine Datenschutzbehörden aus.

Die Verwaltungspraktikantinnen und Verwaltungspraktikanten werden aus dem Sachaufwand und nicht aus dem Personalbudget finanziert, und sie wechseln in einem festen Turnus. Dadurch entsteht ein ständiger Wechsel, der institutionelles Fachwissen abfließen lässt und laufende Schulungskosten verursacht. Die Kürzungen des Jahres 2025 trafen vor allem den Sachaufwand, weshalb die DSB ab Juli 2025 die meisten ihrer Praktikumsstellen nicht mehr nachbesetzen konnte. In jenem Jahr hatte sie rund 20 solcher Stellen in Voll- und Teilzeit.

Die Ressourcenknappheit verschärft sich weiter: Die Zahl der individuellen inländischen Beschwerden stieg von 2.389 im Jahr 2023 auf 3.019 im Jahr 2024 und 5.300 im Jahr 2025. Die Behörde kündigte an, künftig nur noch in "Ausnahmefällen" Stellungnahmen zu Gesetzesentwürfen abzugeben und von Amts wegen nur dann Ermittlungen einzuleiten, wenn Eingaben einen "hinreichend konkreten Verdacht auf einen schwerwiegenden Verstoß" erkennen lassen.

Am 18. September 2025 reichten epicenter.works und noyb eine förmliche Beschwerde bei der Europäischen Kommission ein, mit der Begründung, Österreich verstoße gegen Art. 52 Abs. 4 DSGVO, der die Mitgliedstaaten verpflichtet, ihren Aufsichtsbehörden angemessene Ressourcen zur Verfügung zu stellen. Die Kommission hat die Möglichkeit, daraufhin ein Vertragsverletzungsverfahren gegen Österreich einzuleiten.

Statistiken zur Durchsetzung

Beschwerdezahlen und Strafverfahren sind getrennte Größen, die leicht vermischt werden. 2025 gingen bei der DSB 5.300 individuelle inländische Beschwerden ein, von denen sie 3.403 erledigte, davon 2.332 mit Bescheid und 1.071 durch Einstellung. Davon getrennt leitete sie 127 Verwaltungsstrafverfahren ein und schloss 143 ab. Von den 75 Straferkenntnissen waren 58 Geldstrafen in Höhe von insgesamt rund 145.000 Euro. Nur 10 dieser Straferkenntnisse wurden bekämpft.

In Euro gemessen ging die Durchsetzung deutlich zurück. 2024 schloss die DSB 214 Strafverfahren ab und erließ 73 Straferkenntnisse, davon 62 Geldstrafen in Höhe von insgesamt 1.684.230 Euro. Viele Verfahren überschreiten weiterhin die Sechsmonatsfrist des § 73 des Allgemeinen Verwaltungsverfahrensgesetzes (AVG), manche dauern Jahre.

Die Schwerpunktprüfung der DSB im Jahr 2025 erfasste sämtliche Landespolizeidirektionen und untersuchte deren Einhaltung der DSGVO und des 3. Hauptstücks des DSG, das die Richtlinie (EU) 2016/680 umsetzt. Das koordinierte Thema des EDSA für 2025, Löschung und Speicherfristen, wurde darin einbezogen. Diese Prüfungen sind abgeschlossen, die DSB berichtete von keinen Beanstandungen. Für 2026 hat sie weitere Schwerpunktprüfungen angekündigt.

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten

Jede Verarbeitung personenbezogener Daten in Österreich muss zwei Voraussetzungen erfüllen: Sie muss den allgemeinen Grundsätzen für die Verarbeitung nach Art. 5 DSGVO entsprechen, und sie muss auf einer der sechs Rechtsgrundlagen nach Art. 6 DSGVO beruhen.

Die sechs Rechtsgrundlagen (Art. 6 DSGVO)

1. Einwilligung (Art. 6 Abs. 1 lit. a): Die betroffene Person hat freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich ihre Einwilligung gegeben. Die Einwilligung muss ebenso leicht widerrufen wie erteilt werden können, und sie darf nicht an die Annahme allgemeiner Geschäftsbedingungen gekoppelt werden, wenn die Verarbeitung für den Vertrag nicht erforderlich ist.

2. Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung ist zur Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf deren Anfrage erforderlich.

3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung nach österreichischem oder EU-Recht erforderlich.

4. Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d): Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

5. Öffentliche Aufgabe (Art. 6 Abs. 1 lit. e): Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.

6. Berechtigte Interessen (Art. 6 Abs. 1 lit. f): Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, außer diese Interessen werden von den Interessen oder Grundrechten der betroffenen Person überwogen. Behörden können sich bei der Ausübung ihrer amtlichen Tätigkeit nicht auf berechtigte Interessen als Rechtsgrundlage berufen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Verarbeitung besonderer Kategorien personenbezogener Daten (die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung offenbaren) ist untersagt, sofern nicht eine der Ausnahmen nach Art. 9 Abs. 2 DSGVO greift. Zu den wichtigsten Ausnahmen zählen die ausdrückliche Einwilligung, arbeits- und sozialversicherungsrechtliche Pflichten, lebenswichtige Interessen, von der betroffenen Person offensichtlich öffentlich gemachte Daten, die Geltendmachung von Rechtsansprüchen sowie wissenschaftliche oder historische Forschung nach Art. 89.

Einwilligung in der österreichischen Praxis

Die DSB verlangt, dass die Einwilligung wirklich freiwillig ist. Das Urteil vom August 2025 gegen DerStandard.at veranschaulicht dies: Das Bundesverwaltungsgericht entschied, dass das "Pay or Okay"-Modell der Zeitung (bei dem Nutzer entweder dem Tracking zustimmen oder ein monatliches Abonnement von 9,90 Euro bezahlen müssen) keine gültige Einwilligung darstellte, da es an der erforderlichen Granularität fehlte. Nutzer konnten nicht getrennt für einzelne Verarbeitungsarten einwilligen, sondern nur eine pauschale Einwilligung erteilen oder verweigern. Das Gericht entschied nicht, dass das Modell "Bezahlen oder Zustimmen" grundsätzlich unzulässig sei, stellte aber fest, dass jede Umsetzung eine Auswahl der Einwilligung nach einzelnen Kategorien ermöglichen muss.

Rechte der betroffenen Personen

Die DSGVO gewährt betroffenen Personen ein umfassendes Bündel an Rechten. Österreich setzt diese ohne wesentliche Einschränkung um, mit der Ausnahme, dass Anträge, die offenkundig unbegründet oder exzessiv sind, nach Art. 12 Abs. 5 DSGVO mit einem angemessenen Entgelt belegt oder abgelehnt werden können.

Auskunftsrecht (Art. 15 DSGVO)

Betroffene Personen können eine Bestätigung verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden, und gegebenenfalls eine Kopie dieser Daten sowie Angaben zu Zwecken, Kategorien, Empfängern, Speicherdauer und dem Vorliegen einer automatisierten Entscheidungsfindung erhalten. Verantwortliche müssen innerhalb eines Monats antworten, wobei sich diese Frist bei komplexen oder zahlreichen Anträgen um weitere zwei Monate verlängern kann.

Die Schwerpunktprüfung der DSB im Jahr 2024 erfasste zehn Unternehmen der Telekombranche und untersuchte die Grundsätze des Art. 5 DSGVO, die Sicherheitsmaßnahmen, die Übermittlungen in Drittländer und die Stellung des Datenschutzbeauftragten. Das koordinierte Thema des EDSA für 2024, das Auskunftsrecht nach Art. 15 DSGVO, wurde in denselben Fragebogen aufgenommen. Die DSB berichtete, dass ihre Anregungen umgesetzt wurden, kein Auftrag erforderlich war und das Gesamtergebnis positiv ausfiel. Davon getrennt verhängte die DSB 2024 mit Straferkenntnis eine Geldstrafe von 15.200 Euro gegen eine Verantwortliche, weil sie in fünf Beschwerdeverfahren nicht auf Aufforderungen zur Stellungnahme reagiert und einen Auftrag zur Auskunftserteilung nach Art. 15 DSGVO verspätet erfüllt hatte. Am 10. März 2025 bestätigte das Bundesverwaltungsgericht dieses Straferkenntnis dem Grunde nach, reduzierte die Geldstrafe jedoch auf 10.000 Euro und sprach zusätzlich 1.000 Euro an Verfahrenskosten zu (W287 2286005-1).

Recht auf Berichtigung (Art. 16 DSGVO)

Betroffene Personen können die Berichtigung unrichtiger personenbezogener Daten sowie die Vervollständigung unvollständiger Daten verlangen.

Recht auf Löschung (Art. 17 DSGVO)

Das Recht auf Löschung ("Recht auf Vergessenwerden") gilt, wenn die Daten für den ursprünglichen Zweck nicht mehr erforderlich sind, die Einwilligung widerrufen wurde und keine andere Rechtsgrundlage besteht, ein Widerspruch erfolgreich war oder die Daten unrechtmäßig verarbeitet wurden. § 4 Abs. 2 des österreichischen DSG sieht eine nationale Anpassung vor: Kann die Richtigstellung oder Löschung automationsunterstützt verarbeiteter Daten aus wirtschaftlichen oder technischen Gründen nicht sofort, sondern nur zu bestimmten Zeitpunkten erfolgen, muss der Verantwortliche die Verarbeitung dieser Daten bis dahin mit der Wirkung des Art. 18 Abs. 2 DSGVO einschränken. Die Verzögerung ist zulässig. Die Daten in dieser Zeit weiterhin regulär zu verwenden, ist es nicht.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Betroffene Personen können eine Einschränkung der Verarbeitung verlangen, solange die Richtigkeit der Daten bestritten wird, die Rechtsgrundlage der Verarbeitung umstritten ist oder ein Widerspruch noch offen ist.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Beruht die Verarbeitung auf einer Einwilligung oder einem Vertrag und erfolgt sie mithilfe automatisierter Verfahren, können betroffene Personen ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und einem anderen Verantwortlichen übermitteln.

Widerspruchsrecht (Art. 21 DSGVO)

Betroffene Personen können jederzeit einer Verarbeitung widersprechen, die auf berechtigten Interessen oder einer öffentlichen Aufgabe beruht. Der Verantwortliche muss zwingende schutzwürdige Gründe nachweisen, die die Interessen der betroffenen Person überwiegen. Bei einem Widerspruch gegen die Verarbeitung zu Zwecken der Direktwerbung muss die Verarbeitung bedingungslos eingestellt werden.

Rechte im Zusammenhang mit automatisierter Entscheidungsfindung (Art. 22 DSGVO)

Betroffene Personen haben das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruht und ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Verantwortliche müssen zumindest folgende Rechte einräumen: das Recht auf Eingreifen einer Person, das Recht auf Darlegung des eigenen Standpunkts und das Recht auf Anfechtung der Entscheidung.

Die Entscheidung der DSB vom September 2025 gegen KSV1870 zeigt, wie die Behörde dieses Recht auslegt. Die DSB stellte fest, dass KSV1870, eine große österreichische Kreditauskunftei, ein vollautomatisiertes Scoring als Grundlage einer Kreditentscheidung des Energieversorgers Unsere Wasserkraft einsetzte, dass darin eine unzulässige automatisierte Einzelfallentscheidung nach Art. 22 DSGVO lag und dass beide Unternehmen ihre Transparenzpflichten verletzt hatten. Sie untersagte KSV1870, solche automatisierten Prüfungen zu den Daten der beschwerdeführenden Person ohne deren Einwilligung durchzuführen, und trug beiden Unternehmen auf, die Logik ihrer Entscheidung zu erläutern. Es handelt sich um eine erstinstanzliche Entscheidung der DSB, die mit Beschwerde an das Bundesverwaltungsgericht bekämpft werden kann und die als nicht rechtskräftig berichtet wurde.

Österreichspezifische Abweichungen von der DSGVO

Österreich hat mehrere Öffnungsklauseln der DSGVO genutzt, um die Datenschutzregeln an nationale Gegebenheiten anzupassen. Diese Abweichungen zeigen jene Bereiche, in denen sich das österreichische Recht vom Grundmodell der DSGVO unterscheidet.

Einwilligung von Kindern (§ 4 Abs. 4 DSG)

Die DSGVO legt als Standardalter 16 Jahre fest, ab dem ein Kind selbst in Dienste der Informationsgesellschaft (etwa soziale Medien) einwilligen kann, erlaubt den Mitgliedstaaten jedoch, diese Grenze auf bis zu 13 Jahre zu senken. Österreich hat die Altersgrenze nach § 4 Abs. 4 DSG auf 14 Jahre festgelegt. Kinder unter 14 Jahren benötigen die Einwilligung der Eltern, bevor sie sich für Online-Dienste anmelden.

Videoüberwachung (§§ 12 bis 13 DSG)

Österreich hat für CCTV und Videoüberwachung spezifische Regeln, die über den allgemeinen Rahmen der DSGVO hinausgehen. Maßgeblich ist § 12 Abs. 2 Z 4 DSG: Eine Bildaufnahme ist zulässig, wenn im Einzelfall überwiegende berechtigte Interessen des Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gewahrt ist.

§ 12 Abs. 3 DSG nennt sodann drei Fälle, in denen dieser Maßstab ausdrücklich ("insbesondere") als erfüllt gilt: der vorbeugende Schutz von Personen oder Sachen auf privaten Liegenschaften, die ausschließlich vom Verantwortlichen genutzt werden; der vorbeugende Schutz an öffentlich zugänglichen Orten, die dem Hausrecht des Verantwortlichen unterliegen, wenn dort bereits Rechtsverletzungen vorgefallen sind oder die Art des Ortes ein besonderes Risiko mit sich bringt; und ein privates Dokumentationsinteresse, das nicht auf die Identifizierung unbeteiligter Personen gerichtet ist. Diese drei Fälle sind Beispiele und keine abschließende Aufzählung, eine Kamera außerhalb davon ist also nicht automatisch unzulässig.

§ 12 Abs. 4 DSG nimmt vier Dinge vollständig aus: die Aufnahme des höchstpersönlichen Lebensbereichs ohne ausdrückliche Einwilligung, die Aufnahme zum Zweck der Mitarbeiterkontrolle, den automationsunterstützten Abgleich von Bilddaten und das Profiling ohne ausdrückliche Einwilligung sowie die Auswertung nach den besonderen Datenkategorien des Art. 9 DSGVO.

§ 13 DSG regelt die Betriebspflichten: die Kennzeichnung mit Angabe des Verantwortlichen, Sicherheitsmaßnahmen, die Protokollierung jedes Verarbeitungsvorgangs außerhalb der Echtzeitüberwachung und die Löschung nach Wegfall des Zwecks. Eine Speicherung über 72 Stunden hinaus muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen. Nach § 9 Abs. 1 Z 2 DSG gelten die §§ 12 und 13 nicht für die Verarbeitung zu journalistischen Zwecken.

Zeitpunkt von Löschung und Richtigstellung (§ 4 Abs. 2 DSG)

Das DSG enthält eine praktische Anpassung des Löschungsrechts der DSGVO. Nach § 4 Abs. 2 DSG ist eine sofortige Löschung oder Richtigstellung nicht erforderlich, wenn sie aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten erfolgen kann. Ein freier Spielraum ist das nicht. Für die gesamte Zwischenzeit muss der Verantwortliche die Verarbeitung der betroffenen Daten mit der Wirkung des Art. 18 Abs. 2 DSGVO einschränken. § 4 Abs. 4 DSG ist eine andere Bestimmung: Sie enthält die Altersgrenze von 14 Jahren für die Einwilligung.

Journalistische Verarbeitung (§ 9 DSG)

Österreich kannte früher ein pauschales Medienprivileg. Das gilt nicht mehr. BGBl. I Nr. 62/2024 hat § 9 Abs. 1 DSG mit Wirkung vom 1. Juli 2024 zur Gänze ersetzt. Die Bestimmung trägt nun die Überschrift "Freiheit der Meinungsäußerung und Informationsfreiheit" und ordnet an, dass die DSGVO und das DSG auf die journalistische Verarbeitung durch Medieninhaber, Herausgeber, Medienmitarbeiter und beauftragte journalistische Mitarbeiter "mit folgenden Maßgaben" anzuwenden sind, also nach Maßgabe der dreizehn anschließend aufgezählten Modifikationen.

Die wichtigsten davon: ein datenschutzrechtliches Redaktionsgeheimnis, das auf § 31 des Mediengesetzes aufbaut (Z 1); die Erlaubnis, Daten nach Art. 9 und Art. 10 DSGVO zu journalistischen Zwecken zu verarbeiten, wobei die §§ 12 und 13 DSG nicht anzuwenden sind (Z 2); eine Abschwächung des Transparenzgebots des Art. 5 Abs. 1 lit. a DSGVO, soweit eine vollständige Nachvollziehbarkeit die Meinungsäußerungsfreiheit unverhältnismäßig beeinträchtigen würde (Z 3); die vollständige Nichtanwendung der Art. 13, 14 und 21 Abs. 1 DSGVO (Z 4); ein eingeschränktes Auskunftsrecht, das unveröffentlichtes Material nicht erfasst, die Bezeichnung der Veröffentlichung und die Darlegung der eigenen Betroffenheit verlangt, ein Entgelt von 9 Euro zulässt und das Recht auf Kopie nach Art. 15 Abs. 3 DSGVO ausschließt (Z 5); die Nichtanwendung der Art. 16, 17 und 18 DSGVO in bestimmten Fällen (Z 6), verbunden mit dem Recht, eine Ablehnung von der DSB überprüfen zu lassen (Z 7); eine Meldepflicht nach Art. 33 DSGVO nur bei voraussichtlich hohem Risiko (Z 9); keine Pflichten nach Kapitel V der DSGVO bei Übermittlungen in Drittländer, verbunden mit der Pflicht, angemessene Schutzmaßnahmen zu treffen (Z 11); sowie keine federführende Behörde und kein Kohärenzverfahren nach Art. 56 und Kapitel VII der DSGVO (Z 13).

Was bestehen bleibt, wiegt ebenso schwer wie das, was ausgenommen ist. Die Grundsätze des Art. 5 DSGVO gelten weiter, ebenso die Pflichten zu Auftragsverarbeitung, Vertraulichkeit und Sicherheit nach Art. 28, 29 und 32 DSGVO. § 9 Abs. 1a DSG erstreckt einen reduzierten Teil dieser Regeln auf journalistische Verarbeitung außerhalb von Medienunternehmen, und auf diese Bestimmung stützte sich die DSB in einer Entscheidung vom Februar 2025 zum Bürgerjournalismus. § 9 Abs. 2 DSG ist eine eigene Ausnahme für die Verarbeitung zu wissenschaftlichen, künstlerischen oder literarischen Zwecken und nimmt den Großteil der DSGVO mit Ausnahme des Art. 5 und der Art. 28, 29 und 32 aus.

Ausnahme für die Forschung

Österreich hat sein Forschungsorganisationsgesetz (FOG) geändert, um für wissenschaftliche Forschung nach Art. 89 DSGVO weitreichende Ausnahmen von den Anforderungen der DSGVO vorzusehen. Diese Ausnahmen erlauben es Forschenden, personenbezogene Daten mit geringeren Einschränkungen zu verarbeiten, wobei sie in die Kritik geraten sind, weil sie möglicherweise über den beabsichtigten Rahmen der Forschungsausnahmen der DSGVO hinausgehen.

Ausnahme von Geldstrafen für Behörden

Nach dem DSG sind Behörden von Verwaltungsstrafen ausgenommen. Das bedeutet jedoch nicht, dass sie jeglicher Verantwortung entgehen. Wie der Fall der Stadt Baden aus dem Jahr 2024 zeigt, bleiben öffentliche Stellen gegenüber betroffenen Personen zivilrechtlich schadenersatzpflichtig.

Die Google-Analytics-Entscheidung: Ein wegweisendes Urteil

In einer von noyb am 13. Jänner 2022 veröffentlichten Teilentscheidung erließ die DSB die erste Entscheidung in der EU, die feststellte, dass die Standardnutzung von Google Analytics gegen die DSGVO verstößt. Der Fall ging auf eine von 101 Musterbeschwerden von noyb zurück, die im Anschluss an das Schrems-II-Urteil des EuGH vom Juli 2020, das das EU-US Privacy Shield für ungültig erklärte, eingereicht worden waren.

Die Analyse der DSB

Die DSB prüfte, ob die von Google umgesetzten zusätzlichen Maßnahmen ausreichten, um übermittelte Daten vor dem Zugriff US-amerikanischer Überwachungsbehörden zu schützen. Die Behörde befand sie allesamt als unzureichend. Google unterliegt als US-amerikanischer Anbieter elektronischer Kommunikationsdienste Section 702 des Foreign Intelligence Surveillance Act (FISA) sowie der Executive Order 12333. Nach diesen Gesetzen können US-Nachrichtendienste Google zur Herausgabe von Daten verpflichten. Die Verschlüsselung von Google verhindert diesen Zugriff nicht, da Google selbst über die Entschlüsselungscodes verfügt. Die DSB verwarf auch das Argument, die Kürzung der IP-Adresse verhindere eine Re-Identifizierung.

Am 22. April 2022 erließ die DSB eine Folgeentscheidung, mit der sie ihre Position bekräftigte und einen "risikobasierten Ansatz" bei internationalen Datenübermittlungen ausdrücklich zurückwies. Organisationen können nicht damit argumentieren, dass eine geringe Wahrscheinlichkeit US-amerikanischer Überwachung die Nichteinhaltung von Kapitel V der DSGVO rechtfertige.

Aktueller Stand

Das im Juli 2023 verabschiedete EU-US Data Privacy Framework (DPF) bietet eine neue Angemessenheitsgrundlage für Übermittlungen an zertifizierte US-Organisationen. Google LLC nimmt am DPF teil. Organisationen, die Google Analytics in Österreich nutzen, sollten prüfen, ob Google seine DPF-Zertifizierung aufrechterhält, und ihre konkrete Umsetzung überprüfen. Die etablierte Haltung der DSB zu zusätzlichen Maßnahmen bedeutet, dass Übermittlungen außerhalb des DPF-Rahmens weiterhin derselben strengen Prüfung unterliegen wie in den Entscheidungen von 2022.

Bemerkenswerte Durchsetzungsmaßnahmen und Geldstrafen

Österreichische Post AG

Der bedeutendste Durchsetzungsfall in der Geschichte des österreichischen Datenschutzes betrifft die Österreichische Post AG. Im Oktober 2019 verhängte die DSB eine Geldstrafe von 18 Millionen Euro, nachdem bekannt geworden war, dass die Post mittels statistischer Modellierung Daten zur politischen Affinität individuell identifizierter Personen erstellt und diese Informationen an politische Parteien vermarktet hatte.

Die Post hatte ihre Adressdatenbank genutzt, um einzelnen Kunden geschätzte politische Präferenzen zuzuordnen, und diese Profiling-Daten zusammen mit Informationen über die Umzugshäufigkeit und das Paketaufkommen der Kunden verkauft.

Die Österreichische Post legte Beschwerde beim Bundesverwaltungsgericht (BVwG) ein. Das BVwG hob die Geldstrafe zunächst aus verfahrensrechtlichen Gründen auf. Nachdem die DSB Revision an den Verwaltungsgerichtshof (VwGH) erhoben hatte und der VwGH das Urteil des EuGH in der Rechtssache Deutsche Wohnen zur Verschuldenszurechnung abwartete, entschied das BVwG am 27. Dezember 2024 erneut (W258 2227269-1) und setzte die Geldstrafe mit 16 Millionen Euro fest.

Der Fall ist nun abgeschlossen. Die Post erhob Beschwerde an den VfGH, der deren Behandlung am 9. Dezember 2025 ablehnte (E 335/2025-19). Am 24. Juni 2026 entschied der VwGH in der Rechtssache Ro 2025/04/0007 in der Sache selbst. Er bestätigte die Feststellungen zu den Parteiaffinitäten, stellte das Verfahren in mehreren anderen Punkten ein und setzte die Geldbuße nach Art. 83 Abs. 5 lit. a in Verbindung mit Art. 83 Abs. 3 DSGVO mit 13.000.000 Euro fest, zuzüglich eines Beitrags von 100.000 Euro zu den Kosten des Verfahrens. Insgesamt zu zahlen sind damit 13.100.000 Euro, und diese Summe ist rechtskräftig.

Automatisiertes Kredit-Scoring von KSV1870 (September 2025)

In einer am 26. September 2025 veröffentlichten Entscheidung stellte die DSB fest, dass die österreichische Kreditauskunftei KSV1870 bei einer Kreditentscheidung des Energieversorgers Unsere Wasserkraft unrechtmäßig ein vollautomatisiertes Scoring eingesetzt hatte. Die DSB wertete die automatisierte Berechnung und Übermittlung der Risikokennzahl als unzulässige automatisierte Einzelfallentscheidung nach Art. 22 DSGVO, stellte Transparenzverstöße beider Unternehmen fest und verpflichtete sie, die Logik ihrer Entscheidung zu erläutern. Das Verarbeitungsverbot bezieht sich auf die Daten der beschwerdeführenden Person und nicht auf das Geschäft von KSV1870 insgesamt. Es handelt sich um eine erstinstanzliche Entscheidung der DSB, die als nicht rechtskräftig berichtet wurde, eine Beschwerde an das Bundesverwaltungsgericht wird erwartet.

DerStandard "Pay or Okay" (August 2025)

Am 18. August 2025 entschied das Bundesverwaltungsgericht, dass das von der österreichischen Zeitung DerStandard.at betriebene "Pay or Okay"-Einwilligungsmodell gegen die Einwilligungsanforderungen der DSGVO verstößt. Das Gericht stellte fest, dass die binäre Wahl zwischen der Zahlung von 9,90 Euro monatlich oder der Zustimmung zu umfassendem Tracking durch Dritte keine gültige Einwilligung darstellte, da dem Modell die erforderliche Granularität fehlte: Nutzer konnten nicht getrennt für einzelne Verarbeitungszwecke einwilligen. Es wird erwartet, dass der Fall vor den VwGH und möglicherweise vor den EuGH gelangt.

Datenschutzverletzung der Stadt Baden (September 2024)

Ein Gericht sprach einer Person aus Baden 500 Euro Schadenersatz zu, die wegen eines Konfigurationsfehlers vom März 2022 geklagt hatte, durch den die Meldedaten von mehr als 33.000 Personen vier Tage lang online zugänglich waren. Der Zuspruch erging an die klagende Person und nicht an alle Betroffenen. Behörden sind nach österreichischem Recht von Verwaltungsstrafen ausgenommen, doch das Oberlandesgericht Wien bestätigte das Landesgericht Wiener Neustadt und entschied, dass für einen Schadenersatzanspruch nach Art. 82 DSGVO kein Nachweis eines tatsächlichen Missbrauchs erforderlich ist. Nach dieser Begründung könnte die Gesamthaftung 16,5 Millionen Euro erreichen, sollten alle Betroffenen Ansprüche geltend machen.

Fehlende Mitwirkung gegenüber der DSB (2024, im Rechtsmittelverfahren reduziert)

Mit einem Straferkenntnis aus dem Jahr 2024 verhängte die DSB eine Geldstrafe von 15.200 Euro gegen eine Verantwortliche, weil sie in fünf Beschwerdeverfahren zahlreiche Aufforderungen zur Stellungnahme entgegen der Mitwirkungspflicht des Art. 31 DSGVO unbeantwortet ließ und die Frist eines Auftrags der DSB zur Auskunftserteilung nach Art. 15 DSGVO versäumte.

Die Verantwortliche berief sich darauf, das Verbot des Zwangs zur Selbstbelastung entbinde sie von jeder Antwortpflicht. Das Bundesverwaltungsgericht wies das mit Erkenntnis vom 10. März 2025 (W287 2286005-1) zurück: Das Verbot reiche nicht so weit, jede Mitwirkung gegenüber der Aufsichtsbehörde verweigern zu dürfen, weil die Behörde damit ihre gesetzlichen Aufgaben nicht mehr erfüllen könnte.

Das Gericht bestätigte das Straferkenntnis dem Grunde nach, übte bei der Höhe jedoch eigenes Ermessen und reduzierte die Geldstrafe auf insgesamt 10.000 Euro; zusätzlich hat die Verantwortliche 1.000 Euro zu den Kosten des Verfahrens beizutragen. Der Fall zeigt weiterhin, dass die fehlende Mitwirkung nach Art. 31 DSGVO unabhängig von der zugrunde liegenden Datenschutzfrage selbst eine Strafe auslösen kann.

Pflichten zur Meldung von Datenschutzverletzungen

Österreich folgt dem Melderahmen der DSGVO für Datenschutzverletzungen ohne wesentliche nationale Abweichungen. Die Anforderungen gelten für alle Verantwortlichen, die personenbezogene Daten im Geltungsbereich der österreichischen Rechtsordnung verarbeiten.

Meldung an die DSB (Art. 33 DSGVO)

Verantwortliche müssen Verletzungen des Schutzes personenbezogener Daten unverzüglich und, wenn möglich, innerhalb von 72 Stunden ab Kenntniserlangung an die DSB melden. Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Die Meldung muss Folgendes enthalten: die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Schadensbegrenzung. Verspätete Meldungen müssen eine Begründung für die Verzögerung enthalten.

Benachrichtigung der betroffenen Personen (Art. 34 DSGVO)

Führt eine Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, muss der Verantwortliche die betroffenen Personen unverzüglich benachrichtigen. Diese direkte Benachrichtigung kann entfallen, wenn der Verantwortliche technische Maßnahmen (etwa Verschlüsselung) umgesetzt hatte, die die Daten unverständlich machen, wenn nachträgliche Maßnahmen ergriffen wurden, durch die das hohe Risiko voraussichtlich nicht mehr eintritt, oder wenn die individuelle Benachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre (in diesem Fall ist eine öffentliche Bekanntmachung zulässig).

Dokumentationspflicht (Art. 33 Abs. 5 DSGVO)

Alle Verletzungen müssen unabhängig von ihrer Schwere intern dokumentiert werden. Die Dokumentation muss den Sachverhalt der Verletzung, ihre Auswirkungen und die getroffenen Abhilfemaßnahmen umfassen. Die DSB kann im Rahmen von Ermittlungen oder Prüfungen Einsicht in diese Aufzeichnungen verlangen.

Datenschutzbeauftragte

Österreich folgt den Anforderungen der DSGVO an Datenschutzbeauftragte ohne wesentliche nationale Abweichungen. Organisationen müssen einen Datenschutzbeauftragten bestellen, wenn ihre Kerntätigkeit eine regelmäßige und systematische umfangreiche Überwachung von Personen oder die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfasst. Alle österreichischen Bundesministerien müssen nach § 5 Abs. 4 DSG mindestens einen Datenschutzbeauftragten bestellen, was über die allgemeinen Kriterien der DSGVO hinausgeht.

Verstärkter Verschwiegenheitsschutz

In der Verschwiegenheitspflicht von Datenschutzbeauftragten geht Österreich über den Mindeststandard der DSGVO hinaus. Nach dem DSG sind Datenschutzbeauftragte und ihre Mitarbeiter zur strengen Verschwiegenheit über die Identität von Personen verpflichtet, die sich an den Datenschutzbeauftragten wenden, sowie über alle Umstände, die eine Identifizierung ermöglichen könnten. Diese Pflicht besteht auch nach Beendigung der Tätigkeit als Datenschutzbeauftragter fort.

Recht auf Aussageverweigerung

Österreichische Datenschutzbeauftragte und ihre Mitarbeiter haben ein gesetzliches Recht, die Aussage über Informationen zu verweigern, die sie in ihrer Funktion als Datenschutzbeauftragter erlangt haben. Unterlagen und Akten des Datenschutzbeauftragten, die unter dieses Recht fallen, dürfen nicht rechtmäßig beschlagnahmt werden. Dieser Schutz geht deutlich über das hinaus, was die DSGVO allein vorsieht.

Verbot von Interessenkonflikten

Die DSB hat das Verbot von Interessenkonflikten für Datenschutzbeauftragte nach Art. 38 Abs. 6 DSGVO durchgesetzt. Mit Straferkenntnis vom 16. Oktober 2024 verhängte sie eine Geldstrafe von 5.000 Euro gegen ein Unternehmen, das über drei Jahre hinweg seinen Geschäftsführer, der zugleich Gesellschafter war, zum Datenschutzbeauftragten bestellt hatte. Die DSB begründete dies damit, dass sich das Unternehmen durch diese Doppelrolle selbst überwachte.

Internationale Datenübermittlungen

Österreich folgt dem Rahmen aus Kapitel V der DSGVO für internationale Datenübermittlungen. Übermittlungen in Länder mit einem Angemessenheitsbeschluss der EU können ohne zusätzliche Garantien erfolgen. Übermittlungen innerhalb des EWR sind freier Datenverkehr und keine Frage der Angemessenheit, Norwegen, Island und Liechtenstein brauchen daher keinen Beschluss. Mit Stand 10. September 2026 bestehen Angemessenheitsbeschlüsse der Kommission für Andorra, Argentinien, Brasilien, Kanada (kommerzielle Organisationen), die Färöer-Inseln, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, die Republik Korea, die Schweiz, das Vereinigte Königreich (im Dezember 2025 sowohl nach der DSGVO als auch nach der Richtlinie für den Bereich der Strafverfolgung erneuert), Uruguay und die Europäische Patentorganisation. Brasilien kam durch einen am 26. Jänner 2026 angenommenen Angemessenheitsbeschluss hinzu, sodass ein brasilianischer Empfänger keine Standardvertragsklauseln und keine Transfer Impact Assessment mehr benötigt. Auch Übermittlungen an zertifizierte US-Organisationen im Rahmen des EU-US Data Privacy Framework (verabschiedet im Juli 2023) sind erfasst.

Für Übermittlungen in Länder ohne Angemessenheitsbeschluss müssen Organisationen auf Standardvertragsklauseln (SCCs) oder verbindliche unternehmensinterne Vorschriften (Binding Corporate Rules, BCRs) zurückgreifen und eine Transfer Impact Assessment (TIA) durchführen, in der der Rechtsrahmen des Zielstaats bewertet wird.

Die Google-Analytics-Entscheidungen der DSB haben gezeigt, dass die österreichische Durchsetzung der Übermittlungsregeln streng ist. Zusätzliche Maßnahmen müssen den Zugriff ausländischer Nachrichtendienste nachweislich verhindern. Ein risikobasierter Ansatz, der mit einer statistisch geringen Wahrscheinlichkeit von Überwachung argumentiert, genügt gemäß der DSB-Entscheidung vom April 2022 nicht den Anforderungen von Kapitel V der DSGVO.

Bußgelder und Sanktionen

Der österreichische Sanktionsrahmen für Datenschutzverstöße besteht aus drei Ebenen: Verwaltungsstrafen nach der DSGVO, DSG-spezifische Verwaltungsstrafen und strafrechtliche Sanktionen.

Verwaltungsstrafen nach der DSGVO (Art. 83 DSGVO)

Weniger schwere Verstöße können mit Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Dazu zählen die unterlassene Meldung einer Verletzung, das Fehlen ordnungsgemäßer Verarbeitungsverzeichnisse, die unterlassene Bestellung eines Datenschutzbeauftragten, wo dies erforderlich wäre, oder das Unterlassen einer Datenschutz-Folgenabschätzung.

Schwerere Verstöße können mit Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Dazu zählen die unrechtmäßige Verarbeitung, das Fehlen einer gültigen Einwilligung, die Verletzung von Rechten betroffener Personen, unrechtmäßige internationale Datenübermittlungen sowie Verstöße gegen die Grundsätze des Art. 5 DSGVO.

Die Regel zur Verschuldenszurechnung aus dem Fall Deutsche Wohnen

Vor dem Urteil des EuGH in der Rechtssache Deutsche Wohnen (C-807/21, 5. Dezember 2023) vertrat Österreich die Auffassung, dass die Verhängung einer DSGVO-Geldbuße gegen eine juristische Person voraussetze, den Verstoß einer bestimmten, identifizierten natürlichen Person zuzurechnen. Diese Auffassung ging teilweise auf die in § 1 DSG zum Ausdruck kommende verfassungsrechtliche Tradition zurück, wonach individuelles Verschulden als Voraussetzung für eine Verwaltungsstrafe angesehen wurde.

Der EuGH löste diesen Widerspruch auf: Ein Unternehmen kann nach Art. 83 DSGVO mit einer Geldbuße belegt werden, ohne dass zuvor die verantwortliche natürliche Person festgestellt werden muss. Der EuGH lehnte jedoch eine verschuldensunabhängige Haftung ab. Eine juristische Person kann nur dann mit einer Geldbuße belegt werden, wenn der Verstoß vorsätzlich oder fahrlässig auf organisatorischer Ebene begangen wurde. Fahrlässigkeit kann aus systemischen Mängeln in der Datenschutz-Governance abgeleitet werden, auch ohne einer namentlich genannten Person die Verantwortung zuzuweisen. Österreichische Gerichte und die DSB wenden diesen Maßstab nun an. In der Praxis bedeutet dies, dass Organisationen Geldbußen nicht mehr dadurch vermeiden können, dass sie behaupten, keinem einzelnen Mitarbeiter sei persönlich ein Verschulden anzulasten.

DSG-spezifische Verwaltungsstrafen

Nach dem DSG kann die Behörde für Verstöße gegen nationale DSG-Bestimmungen Geldstrafen von bis zu 50.000 Euro verhängen. Diese gelten nur, wenn der Verstoß nicht bereits einen Verstoß nach Art. 83 DSGVO darstellt, um eine doppelte Bestrafung zu vermeiden. Auch Verstöße gegen Cookie- und Werbevorschriften nach dem TKG 2021 werden mit Geldstrafen von bis zu 50.000 Euro nach § 188 Abs. 4 TKG 2021 geahndet, verhängt werden diese jedoch von der Fernmeldebehörde nach § 191 TKG 2021 und nicht von der DSB.

Strafrechtliche Sanktionen (§ 63 DSG)

Österreich sieht auch strafrechtliche Sanktionen für Datenschutzverstöße vor. Nach § 63 DSG macht sich strafbar, wer vorsätzlich personenbezogene Daten (die ihm beruflich anvertraut wurden oder die er sich widerrechtlich verschafft hat) verwendet, um sich oder einen Dritten unrechtmäßig zu bereichern oder um die datenschutzrechtlichen Interessen einer anderen Person zu schädigen, und muss mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bis zu 720 Tagessätzen rechnen. Diese Bestimmung gilt speziell für den vorsätzlichen Missbrauch zu Gewinn- oder böswilligen Zwecken.

Haftung von Behörden

Zwar sind Behörden nach dem DSG von Verwaltungsstrafen ausgenommen, sie unterliegen jedoch weiterhin der zivilrechtlichen Haftung nach Art. 82 DSGVO. Der Präzedenzfall der Stadt Baden bestätigte, dass betroffene Personen Schadenersatz geltend machen können, ohne einen tatsächlichen Missbrauch ihrer offengelegten Daten nachweisen zu müssen.

Cookies und elektronischer Datenschutz

§ 165 Abs. 3 des TKG 2021 setzt die ePrivacy-Richtlinie der EU in österreichisches Recht um und regelt den Einsatz von Cookies und ähnlichen Tracking-Technologien.

Das Gesetz unterscheidet zwei Kategorien. Technisch notwendige Cookies (die ausschließlich der Durchführung einer Übertragung oder der Bereitstellung eines vom Nutzer ausdrücklich angeforderten Dienstes dienen) erfordern keine Einwilligung. Alle anderen Cookies, einschließlich Analyse- und Werbe-Tracker, erfordern eine vorherige Opt-in-Einwilligung. Gemäß dem Planet49-Urteil des EuGH (Rechtssache C-673/17) erfordert eine gültige Einwilligung eine aktive Opt-in-Handlung. Bereits angekreuzte Kästchen stellen keine gültige Einwilligung dar.

Die Durchsetzung des § 165 Abs. 3 TKG 2021 liegt nicht bei der DSB. Die unterlassene Information der Nutzer ist eine Verwaltungsübertretung nach § 188 Abs. 4 Z 24 TKG 2021 und mit einer Geldstrafe von bis zu 50.000 Euro bedroht, und nach § 191 TKG 2021 ist die Fernmeldebehörde zuständig, also die zuständige Bundesministerin und das ihr unterstellte Fernmeldebüro. Die eigene Zuständigkeit der DSB erstreckt sich auf die datenschutzrechtliche Seite des Trackings, also auf Einwilligung und Verarbeitung nach der DSGVO, ausgeübt nach Art. 58 Abs. 2 lit. i DSGVO und § 22 Abs. 5 DSG.

EU Digital Omnibus: Bevorstehende Änderungen

Im November 2025 schlug die Europäische Kommission das Paket EU Digital Omnibus vor. Für Cookies überführt der Vorschlag die Cookie-Regeln über einen neuen Art. 88a in die DSGVO und schafft eine begrenzte Ausnahme von der Einwilligungspflicht für datenschutzfreundliche Reichweitenmessungs-Tools, die Personen nicht seitenübergreifend verfolgen. Die vorgeschlagenen Änderungen würden zudem Mechanismen mit einem einzigen Klick zum Annehmen oder Ablehnen bei gleicher optischer Gewichtung sowie browserseitige Präferenzsignale vorschreiben, die Websites zu beachten hätten. Organisationen wäre es untersagt, eine abgelehnte Einwilligung innerhalb von sechs Monaten erneut anzufragen.

Die Kommission legte den Digital Omnibus am 19. November 2025 vor. Mit Stand 10. September 2026 befindet er sich weiterhin im ordentlichen Gesetzgebungsverfahren und wurde nicht verabschiedet. Bis dahin gelten in Österreich weiterhin uneingeschränkt die bestehenden Einwilligungsanforderungen des TKG 2021.

Die EU-KI-Verordnung im Überblick

Die Verordnung (EU) 2024/1689 (die EU-KI-Verordnung, AI Act) trat am 1. August 2024 in Kraft. Ihre Bestimmungen gelten nach einem stufenweisen Zeitplan, der Organisationen mit Tätigkeit in Österreich unmittelbar betrifft.

Zeitplan der Anwendung

Verbotene KI-Praktiken (wie Social Scoring und die meisten Formen der biometrischen Echtzeitüberwachung im öffentlichen Raum) sind seit dem 2. Februar 2025 unionsweit, also auch in Österreich, untersagt, seit diesem Tag gilt auch die Pflicht zur KI-Kompetenz.

Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Sie werden regelmäßig mit den davon getrennten Transparenzpflichten des Art. 50 verwechselt, die ab dem 2. August 2026 gelten. Ab diesem Datum können auch Geldbußen für KI-Modelle mit allgemeinem Verwendungszweck verhängt werden, und es gelten das Beschwerderecht (Art. 85) sowie das Recht auf Erläuterung der Einzelfallentscheidung (Art. 86).

Die Fristen für Hochrisiko-Systeme haben sich verschoben. Die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, trat am 27. Juli 2026 in Kraft. Die Anforderungen an die in Anhang III genannten Hochrisiko-Systeme (unter anderem in den Bereichen Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration und Grenzkontrolle) gelten nun ab dem 2. Dezember 2027, jene für Systeme nach Anhang I ab dem 2. August 2028. Dieselbe Änderungsverordnung erweitert die Liste der verbotenen Praktiken ab dem 2. Dezember 2026 um nicht einvernehmliche sexualisierte Deepfakes.

Institutionelle Reaktion Österreichs

Österreich hat auf Grundlage der in BGBl I Nr. 6/2024 veröffentlichten Novellen (KommAustria-Gesetz § 20c und TKG 2021 § 194a) die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH (RTR) eingerichtet. Die KI-Servicestelle fungiert als öffentliche Informationsstelle, beratendes Organ und nationale Kompetenzstelle für Künstliche Intelligenz. Sie veröffentlicht Orientierungshilfen zu den Pflichten aus der KI-Verordnung und koordiniert den KI-Beirat.

Die KI-Servicestelle ist ein beratendes Organ und übt keine Sanktionsbefugnisse aus. Österreich hat die für die Durchsetzung der KI-Verordnung erforderlichen Marktüberwachungs- und notifizierenden Behörden noch nicht förmlich benannt. Das KI-Maßnahmenpaket kündigte an, dass die Servicestelle künftig in eine eigene nationale Durchsetzungsbehörde für Künstliche Intelligenz übergehen oder eine solche unterstützen soll. Die Benennung steht weiterhin aus. Der Tätigkeitsbericht 2025 der DSB (Kapitel 8.3) hält fest, dass die Zuständigkeit für die Umsetzung der KI-Verordnung in Österreich beim Bundeskanzleramt liegt und dass ein Entwurf für die Verordnung zur Benennung der Marktüberwachungsbehörden und ihrer jeweiligen Zuständigkeiten bei Redaktionsschluss des Berichts noch nicht vorlag. Nach Art. 74 Abs. 8 der KI-Verordnung muss jene Stelle, die Österreich für die Bereiche Biometrie, Strafverfolgung, Migration und Justiz nach Anhang III benennt, entweder eine Datenschutzaufsichtsbehörde sein oder eine andere Behörde, die dieselben Anforderungen an die Unabhängigkeit erfüllt, was die DSB für diese Rolle in Betracht kommen lässt.

Die DSB hat sehr wohl eine Rolle nach der KI-Verordnung, aber nicht die ihr häufig zugeschriebene. Österreich hat die DSB 2024 der Europäischen Kommission als Grundrechtsbehörde nach Art. 77 der KI-Verordnung notifiziert, und die DSB veröffentlicht Orientierungshilfen zum Datenschutz in KI-Systemen. Ihre Beratungs- und Bewertungsaufgaben nach § 15 des Informationsfreiheitsgesetzes betreffen einen anderen Bereich, nämlich die Informationsfreiheit, und berühren nach Angaben der DSB ihre Aufgaben und Befugnisse nach der DSGVO nicht. Sofern KI-Systeme Profiling oder automatisierte Einzelfallentscheidungen beinhalten, gelten neben der KI-Verordnung auch Art. 22 und Art. 35 DSGVO (Datenschutz-Folgenabschätzung).

Zusammenspiel mit der DSGVO

Die KI-Verordnung und die DSGVO gelten parallel. Ein KI-System, das Profiling-Ergebnisse erzeugt, die in automatisierte, Personen betreffende Entscheidungen einfließen, unterliegt beiden Regelwerken: der KI-Verordnung für die systembezogene Risikoeinstufung und der DSGVO für die Rechte betroffener Personen. Verantwortliche, die Hochrisiko-KI-Systeme in Österreich einsetzen, sollten bei der Durchführung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO beide Regelwerke berücksichtigen.

Aktuelle Entwicklungen (2024 bis 2026)

Parlamentarischer Datenschutzausschuss (Jänner 2025)

Als Reaktion auf ein Urteil des EuGH vom Jänner 2024 richtete die österreichische DSG-Novelle vom Juli 2024 (BGBl. I Nr. 70/2024) das Parlamentarische Datenschutzkomitee ein. Ihre Bestimmungen traten am 15. Juli 2024 in Kraft, und nach § 69 Abs. 10 DSG übt das Komitee seine Zuständigkeiten für den Datenschutz in den gesetzgebenden Organen seit dem 1. Jänner 2025 aus und schließt damit eine langjährige Lücke bei der unabhängigen Aufsicht über die Datenverarbeitung des Parlaments.

EuGH-Urteil zur Ablehnung exzessiver Anfragen (Jänner 2025)

Das Urteil des EuGH in der Rechtssache C-416/23 stellte fest, dass eine Aufsichtsbehörde Anfragen nach Art. 57 Abs. 4 DSGVO nicht allein aufgrund ihrer Anzahl als exzessiv einstufen darf, ohne eine missbräuchliche Absicht nachzuweisen. Sind Anfragen tatsächlich exzessiv, kann die Behörde weiterhin mit begründeter Entscheidung zwischen einem angemessenen, an den Verwaltungskosten orientierten Entgelt und der Verweigerung der Behandlung wählen. Der Fall ging auf die Weigerung der DSB zurück, die Beschwerde einer Person zu behandeln, die in rund 20 Monaten 77 gleichartige Beschwerden eingebracht hatte.

Automatisiertes Scoring von KSV1870 (September 2025)

Die Entscheidung der DSB zu den automatisierten Kredit-Scoring-Praktiken von KSV1870 ist eine viel beachtete Maßnahme nach Art. 22 DSGVO gegen eine Kreditauskunftei und zeigt, dass die DSB trotz ihrer Budgetbeschränkungen bereit ist, automatisierte Entscheidungsfindung im Finanzbereich anzugehen. Es handelt sich um eine erstinstanzliche Entscheidung, die als nicht rechtskräftig berichtet wurde, sie gibt daher die derzeitige Position der DSB wieder und nicht gefestigtes österreichisches Recht.

DerStandard "Pay or Okay" (August 2025)

Das Urteil des Bundesverwaltungsgerichts gegen DerStandard.at stellte klar, dass ein Modell des Bezahlens oder Zustimmens zumindest granulare Einwilligungsoptionen erfordert. Es wird erwartet, dass der Fall weitere Orientierungshilfen zu den äußeren Grenzen einwilligungsbasierter Tracking-Geschäftsmodelle in Österreich liefern wird.

Vorschlag zum EU Digital Omnibus (November 2025)

Das Digital-Omnibus-Paket der Kommission schlägt vor, die Regeln zur Cookie-Einwilligung zu vereinfachen und die ePrivacy-Vorgaben in den Rahmen der DSGVO zu überführen, unter anderem mit einem neuen Art. 88a, der die Verarbeitung auf Endgeräten in die DSGVO holt, und einem neuen Art. 88b zur Verwaltung von Cookies. Würde es in seiner derzeitigen Form verabschiedet, würde es Österreichs strenge Haltung zur Cookie-Einwilligung für datenschutzfreundliche Reichweitenmessungs-Tools ablösen. Der Vorschlag befindet sich mit Stand 10. September 2026 weiterhin im Gesetzgebungsverfahren.

Anhaltende Budgetdebatte (2025 bis 2026)

Die von epicenter.works und noyb bei der Europäischen Kommission eingereichte Beschwerde wegen Vertragsverletzung ist weiterhin anhängig. Das DSB-Budget für 2026 in Höhe von 5,9 Millionen Euro stellt eine weitere Kürzung gegenüber den für 2025 zugewiesenen 6,1 Millionen Euro dar.

Das Wichtigste zur Compliance für Unternehmen in Österreich

Organisationen, die personenbezogene Daten von Personen mit Wohnsitz in Österreich verarbeiten, sollten folgende Bereiche vorrangig behandeln:

1. Dokumentation der Rechtsgrundlage. Ordnen Sie alle Verarbeitungstätigkeiten einer der sechs Rechtsgrundlagen nach Art. 6 DSGVO zu und dokumentieren Sie diese im nach Art. 30 DSGVO erforderlichen Verzeichnis von Verarbeitungstätigkeiten (ROPA).

2. Mechanismen der Einwilligung. Stellen Sie sicher, dass die Einwilligung freiwillig, für den bestimmten Fall, informiert und durch eine aktive Opt-in-Handlung erteilt wird. Gebündelte Einwilligungen und bereits angekreuzte Kästchen sind unwirksam. Nach dem DerStandard-Urteil müssen Modelle des Bezahlens oder Zustimmens eine granulare Einwilligung nach Verarbeitungszweck anbieten.

3. Cookie-Compliance. Überprüfen Sie Cookie-Banner im Hinblick auf die Anforderungen des TKG 2021 und verfolgen Sie den Fortgang des Gesetzgebungsverfahrens zum EU Digital Omnibus im Hinblick auf bevorstehende Änderungen der Einwilligungsregeln für Analyse-Tools.

4. Prozesse für die Rechte betroffener Personen. Richten Sie dokumentierte Verfahren ein, um Anträge auf Auskunft, Löschung, Berichtigung, Übertragbarkeit, Einschränkung, Widerspruch und Rechte im Zusammenhang mit automatisierten Entscheidungen innerhalb der Fristen der DSGVO zu beantworten.

5. Überprüfung automatisierter Entscheidungsfindung. Prüfen Sie alle KI- oder algorithmischen Systeme, die rechtliche oder ähnlich erhebliche Wirkungen entfalten. Art. 22 Abs. 2 DSGVO beschränkt vollautomatisiertes Scoring für Kredit-, Beschäftigungs- oder ähnliche Entscheidungen bereits auf die ausdrückliche Einwilligung, die Erforderlichkeit für einen Vertrag oder eine Ermächtigung durch Unionsrecht oder mitgliedstaatliches Recht, wobei auf Verlangen eine menschliche Überprüfung zur Verfügung stehen muss. Die Entscheidung zu KSV1870 gibt die derzeitige Auslegung dieser Regel durch die DSB wieder und nicht gefestigtes Recht, denn sie ist erstinstanzlich und wurde als nicht rechtskräftig berichtet.

6. Überprüfung grenzüberschreitender Übermittlungen. Führen Sie für alle Übermittlungen in Länder außerhalb der EU/des EWR ohne Angemessenheitsbeschluss eine Transfer Impact Assessment durch. Überprüfen Sie, ob US-Dienstleister DPF-zertifiziert sind, sofern Sie sich auf das DPF stützen wollen.

7. Interessenkonflikte bei Datenschutzbeauftragten. Bei der Geldstrafe der DSB von 5.000 Euro im Oktober 2024 hatte ein Unternehmen seinen Geschäftsführer, der zugleich Gesellschafter war, zum Datenschutzbeauftragten bestellt. Die DSB sah in dieser Doppelrolle eine Selbstkontrolle der Überwachungsfunktion. Ob eine andere Funktion, etwa jene einer oder eines Compliance-Verantwortlichen, einen Konflikt begründet, ist nach Art. 38 Abs. 6 DSGVO im Einzelfall zu beurteilen.

8. Planung der Compliance mit der EU-KI-Verordnung. Identifizieren Sie alle KI-Systeme, die in den Anwendungsbereich der KI-Verordnung fallen, insbesondere Hochrisikokategorien. Stimmen Sie die Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO mit den Risikobewertungen der KI-Verordnung ab, sofern sich diese überschneiden.

9. Bereitschaft zur Meldung von Datenschutzverletzungen. Führen Sie dokumentierte Verfahren zur Reaktion auf Vorfälle, die geeignet sind, das 72-Stunden-Fenster nach Art. 33 DSGVO einzuhalten.

10. Zivilrechtliche Haftung von Behörden. Österreichische Stellen des öffentlichen Sektors sollten berücksichtigen, dass der Präzedenzfall der Stadt Baden entfallen lässt, dass betroffene Personen bei der Geltendmachung von Schadenersatz nach Art. 82 DSGVO einen tatsächlichen Missbrauch nachweisen müssen.

Haftungsausschluss

Dieser Artikel stellt allgemeine rechtliche Informationen über den Datenschutzrahmen Österreichs im Rahmen der DSGVO und des Datenschutzgesetzes (DSG) dar. Er stellt keine Rechtsberatung dar. Die Informationen decken das österreichische und das unionsrechtliche Datenschutzrecht mit Stand 10. September 2026 ab. Gesetze, Durchsetzungspraxis und behördliche Orientierungshilfen ändern sich häufig. Leser sollten für eine Beratung zu ihrer konkreten Situation eine in Österreich (oder dem jeweils zuständigen EU-Mitgliedstaat) zugelassene Rechtsanwältin oder einen zugelassenen Rechtsanwalt konsultieren.

Zitierte Rechtsquellen

1. Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679
2. Datenschutzgesetz (DSG), BGBl. I Nr. 165/1999, zuletzt geändert durch BGBl. I Nr. 50/2025, konsolidierter Text in Kraft am 10. September 2026. https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=bundesnormen&Gesetzesnummer=10001597
3. Österreichische Datenschutzbehörde (DSB), offizielle Website. https://data-protection-authority.gv.at/
4. Einschlägige Datenschutzgesetze, österreichische Datenschutzbehörde. https://data-protection-authority.gv.at/data-protection-laws/relevant-data-protection-laws
5. Rechte der betroffenen Person (DSGVO und DSG), österreichische Datenschutzbehörde. https://data-protection-authority.gv.at/data-protection-in-austria/rights-of-the-data-subject
6. Österreichisches Bundesministerium für Finanzen, Überblick Datenschutz. https://www.bmf.gv.at/en/data-protection.html
7. EuGH, Rechtssache C-807/21, Deutsche Wohnen SE gegen Staatsanwaltschaft Berlin, Urteil vom 5. Dezember 2023. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62021CJ0807
8. EuGH, Rechtssache C-416/23 (Österreichische Datenschutzbehörde gegen F R), Urteil vom 9. Jänner 2025. https://noyb.eu/en/austrian-data-protection-authority-slammed-cjeu
9. DSB, Bescheid 2021-0.586.257 (D155.027), Google Analytics, veröffentlicht am 13. Jänner 2022. https://noyb.eu/en/austrian-dsb-eu-us-data-transfers-google-analytics-illegal
10. DSB, Folgeentscheidung zum risikobasierten Ansatz, 22. April 2022. https://noyb.eu/en/update-noybs-101-complaints-austrian-dpa-rejects-risk-based-approach-data-transfers-third-countries
11. VwGH, Ro 2025/04/0007, Österreichische Post AG, Erkenntnis vom 24. Juni 2026, mit dem die Geldbuße mit 13.000.000 Euro zuzüglich 100.000 Euro an Verfahrenskosten festgesetzt wurde. https://ogd.ris.bka.gv.at/Dokumente/Vwgh/JWT_2025040007_20260624J00/JWT_2025040007_20260624J00.html
12. DSB, Entscheidung zum automatisierten Kredit-Scoring von KSV1870, veröffentlicht von noyb am 26. September 2025. https://noyb.eu/en/noyb-win-austrian-authority-forbids-unlawful-credit-scoring-ksv1870
13. BVwG (Bundesverwaltungsgericht), Urteil zu "Pay or Okay" von DerStandard.at, 18. August 2025. https://noyb.eu/en/court-decides-pay-or-okay-derstandardat-illegal
14. noyb und epicenter.works, Beschwerde bei der Europäischen Kommission zu den Budgetbeschränkungen der DSB, 18. September 2025. https://noyb.eu/en/budget-cuts-paralyse-austrian-dpa-ngo-complaint-eu-commission
15. BVwG, W258 2227269-1, Österreichische Post AG, Entscheidung vom 27. Dezember 2024 (RIS). https://ogd.ris.bka.gv.at/Dokumente/Bvwg/BVWGT_20241227_W258_2227269_1_00_01/BVWGT_20241227_W258_2227269_1_00_01.html
16. Verordnung (EU) 2024/1689 (EU-KI-Verordnung). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689
17. KI-Servicestelle bei der RTR, Orientierungshilfe zur KI-Verordnung. https://www.rtr.at/rtr/service/ki-servicestelle/ai-act/AI_Act.en.html
18. Europäische Kommission, Rechtsrahmen der EU-KI-Verordnung. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
19. EuGH, Rechtssache C-673/17, Planet49, Urteil zur Cookie-Einwilligung. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62017CJ0673
20. Datenschutzbehörde, Tätigkeitsbericht 2025 (Wien, März 2026). https://dsb.gv.at/sites/site0344/media/downloads/taetigkeitsbericht_2025_v4.pdf

Verwandte Artikel

• Datenschutzgesetze der EU: Der vollständige Leitfaden
• Aufnahmegesetze Österreich

Zuletzt aktualisiert: 10.09.2026. Die zitierten Gesetze entsprechen ihrer am 10. September 2026 geltenden Fassung.