DSGVO-Komplettpaket Österreich: was AT-Unternehmen anders brauchen

1. AT-spezifische Besonderheiten

Österreich wendet die DSGVO unverändert an — abweichend ist der nationale Überbau: das DSG statt des BDSG, eine einzige Aufsichtsbehörde statt Landesbehörden und BfDI, dazu eigene Regeln für Bildaufnahmen, Forschung und das Datengeheimnis. Die DSGVO gilt EU-weit unmittelbar. Aber: jeder Mitgliedstaat hat nationale Öffnungsklauseln. In Österreich konkretisiert das DSG (Datenschutzgesetz, BGBl. I Nr. 165/1999) folgende Bereiche:

• § 5 DSG: Stellung des Datenschutzbeauftragten — Geheimhaltungspflicht und (im öffentlichen Bereich) Weisungsfreiheit; die Benennungspflicht selbst folgt unmittelbar aus Art. 37 DSGVO. Praxisempfehlung: Benennungsgrund nach Art. 37 Abs. 1 DSGVO prüfen und dokumentieren und die Geheimhaltungsverpflichtung nach § 5 DSG separat unterzeichnen lassen. Der Schutz vor Abberufung und Benachteiligung folgt in Österreich aus Art. 38 Abs. 3 DSGVO.
• § 6 DSG: Datengeheimnis — Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter sind zur Geheimhaltung verpflichtet. Praxisempfehlung: die Verpflichtung auf das Datengeheimnis in den Arbeitsvertrag aufnehmen und als Anlage zum Auftragsverarbeitungsvertrag mitführen. Sie ist sanktionsbewehrt: Wer Daten vorsätzlich in Verletzung des Datengeheimnisses übermittelt, begeht nach § 62 Abs. 1 DSG eine Verwaltungsübertretung — subsidiär, Details in Abschnitt 6.
• § 7 DSG: Verarbeitung für Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke.
• § 11 DSG: Verwarnung durch die Datenschutzbehörde — verhältnismäßige Anwendung des Art. 83 DSGVO; ausgeführt in Abschnitt 6.
• § 12 DSG: Zulässigkeit der Bildaufnahme (Videoüberwachung) — eigene Sonderregelung; unzulässig ist unter anderem eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern (§ 12 Abs. 4 Z 2 DSG). Vor Inbetriebnahme ist zusätzlich zu prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist: Art. 35 Abs. 3 DSGVO nennt die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche ausdrücklich.
• § 13 DSG: Besondere Datensicherheitsmaßnahmen und Kennzeichnung von Bildaufnahmen — Kennzeichnungspflicht (Abs. 5) und 72-Stunden-Regel für die Aufbewahrung (Abs. 3).
• § 44 Abs. 2 i. V. m. § 43 Abs. 4 DSG: Einschränkung des Auskunftsrechts im 3. Hauptstück (Sicherheitspolizei und Strafverfolgung) — betrifft Behörden, nicht Unternehmen. Für Unternehmen bleibt es damit bei Art. 12 Abs. 3 DSGVO: Antwort unverzüglich, spätestens binnen eines Monats.

Wichtig: Einen eigenen Beschäftigtendatenschutz-Paragrafen — wie ihn Deutschland mit § 26 BDSG kennt — enthält das österreichische DSG nicht. Maßgeblich sind Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG und § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Zustimmung des Betriebsrats bzw. Betriebsvereinbarung). Wer eine deutsche Vorlage übernimmt, muss deshalb mindestens die Verweise auf § 26 BDSG und § 38 Abs. 1 BDSG ersetzen: Beide sind deutsche Ergänzungsnormen und gelten in Österreich nicht.

2. Benennungspflicht für Datenschutzbeauftragte in Österreich

In Österreich richtet sich die Benennungspflicht für einen Datenschutzbeauftragten allein nach Art. 37 Abs. 1 DSGVO — eine zusätzliche zahlenmäßige Schwelle wie in Deutschland gibt es nicht. Nach Art. 37 Abs. 1 DSGVO ist ein Datenschutzbeauftragter Pflicht bei:

• Behörden und öffentlichen Stellen (Art. 37 Abs. 1 lit. a DSGVO)
• Unternehmen mit Kerntätigkeit Profiling oder regelmäßige Überwachung im großen Maßstab (Art. 37 Abs. 1 lit. b DSGVO: umfangreiche regelmäßige und systematische Überwachung betroffener Personen)
• Unternehmen mit Verarbeitung besonderer Kategorien (Art. 9) in großem Umfang (Art. 37 Abs. 1 lit. c DSGVO, ebenso bei Daten über strafrechtliche Verurteilungen nach Art. 10)

Wichtig: AT kennt KEINE Mitarbeiter-Schwelle wie DE (§ 38 Abs. 1 BDSG: mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind). Die Schwelle ist ausdrücklich „ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c“ DSGVO formuliert — eine deutsche Verschärfung, keine Ausnahme; die Benennungspflicht kann in DE deshalb früher greifen als in AT. § 5 DSG selbst begründet keine zusätzliche Benennungspflicht, sondern regelt nur Geheimhaltung, Aussageverweigerungsrecht und Weisungsfreiheit im öffentlichen Bereich. Der deutsche Vorsprung reicht dabei weiter, als die 20er-Zahl vermuten lässt: § 38 Abs. 1 BDSG verlangt einen Datenschutzbeauftragten unabhängig von der Personenzahl auch dann, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

Stellung und Aufgaben in Österreich: Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden (Art. 38 Abs. 3 DSGVO); der deutsche Kündigungsschutz des § 6 Abs. 4 BDSG gilt in Österreich nicht. Betroffene Personen können den Datenschutzbeauftragten zu allen Fragen ihrer Datenverarbeitung zu Rate ziehen (Art. 38 Abs. 4 DSGVO). Der Aufgabenkatalog folgt aus Art. 39 Abs. 1 lit. a bis e DSGVO: Unterrichtung und Beratung, Überwachung der Einhaltung einschließlich Sensibilisierung und Schulung, Beratung bei der Datenschutz-Folgenabschätzung, Zusammenarbeit mit der Aufsichtsbehörde und Tätigkeit als deren Anlaufstelle. Benannt wird nach beruflicher Qualifikation und Fachkunde (Art. 37 Abs. 5 DSGVO) — eine juristische Ausbildung verlangt die Norm nicht. Konzerne mit AT-Tochter können nach Art. 37 Abs. 2 DSGVO einen gemeinsamen Datenschutzbeauftragten benennen, sofern er von jeder Niederlassung aus leicht erreichbar ist. Praxisschritte nach der Benennung: die Aufsichtsbehörde formlos über die Benennung informieren — in Österreich die Datenschutzbehörde über dsb.gv.at — und die Kontaktdaten des Datenschutzbeauftragten in der Datenschutzerklärung der Website ergänzen.

3. Österreichische Datenschutzbehörde

Für ganz Österreich ist eine einzige Aufsichtsbehörde zuständig — anders als in Deutschland, wo sich die Zuständigkeit nach Bundesland und Stellentyp richtet. Amtliche Bezeichnung: Datenschutzbehörde — sie wird nach § 18 Abs. 1 DSG als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet. Adresse: Barichgasse 40-42, 1030 Wien. Webseite: dsb.gv.at. Online-Beschwerdeformular verfügbar.

Der Unterschied ist organisatorisch, nicht materiell: Art. 51 Abs. 1 DSGVO verlangt von jedem Mitgliedstaat eine oder mehrere unabhängige Aufsichtsbehörden. Deutschland hat diese Vorgabe aufgeteilt — die nach Landesrecht zuständigen Behörden überwachen nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), der oder die BfDI ist für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). Österreich hat sie gebündelt. Für ein AT-Unternehmen bedeutet das: eine Adresse für Beschwerden, Datenpannen-Meldungen und behördliche Rückfragen. Über Verwaltungsstrafen nach § 62 DSG entscheidet dieselbe Behörde (§ 62 Abs. 5 DSG).

Womit ein AT-Unternehmen im Beschwerdefall rechnen muss, bestimmen vier Rechtsanker — Einzelheiten zu den Sanktionsnormen in Abschnitt 6:

• Zuständigkeit: die Datenschutzbehörde als einzige Aufsichtsbehörde (§ 18 Abs. 1 DSG)
• Geldbußen: Rahmen nach Art. 83 Abs. 4 bzw. Abs. 5 DSGVO, gestaffelt nach Verstoßtyp
• Anwendungsmaßstab: verhältnismäßig nach § 11 DSG, bei erstmaligen Verstößen insbesondere Verwarnung statt Geldbuße
• Nationale Auffangnorm: Verwaltungsstrafe bis 50.000 EUR nach § 62 Abs. 1 DSG, nur subsidiär

Praxisempfehlung für die eigene Vorbereitung (Erfahrungswert aus Aufsichtsverfahren, keine Vorgabe der österreichischen Datenschutzbehörde und keine gesetzlich vorgegebene Reihenfolge): Unterlagen in der Reihenfolge bereithalten, in der eine Prüfung erfahrungsgemäß aufbaut — Verarbeitungsverzeichnis, dann Auftragsverarbeitungsverträge, dann das Konzept der technischen und organisatorischen Maßnahmen, dann die Datenschutz-Folgenabschätzungen zu den Verarbeitungen mit hohem Risiko.

4. Typische DSGVO-Fälle in AT

Sechs Konstellationen entscheiden in der Praxis darüber, ob ein deutsches Dokumentenpaket in Österreich trägt: Videoüberwachung, Mitarbeiterkontrolle, Newsletter, Cookie-Banner, Auftragsverarbeitung und Auskunftsersuchen. Die mittlere Spalte nennt die maßgebliche Norm, die rechte Spalte einen Umsetzungsschritt aus der Praxis. Praxis ist dabei nur die Umsetzungsform — die in der rechten Spalte zitierten Normen (Art. 7 Abs. 1 und Abs. 3, Art. 12 Abs. 3, Art. 28 Abs. 3 DSGVO sowie § 6 DSG) gelten unabhängig davon.

5. AT-Anpassungen im DSGVO-Dokumentensatz

Ein für Österreich brauchbares Dokumentenpaket unterscheidet sich vom deutschen an sieben Stellen — dort, wo eine deutsche Ergänzungsnorm zu ersetzen ist, wo gar keine nationale Norm existiert oder wo AT-typische Verarbeitungen und die österreichische Aufsichtsbehörde abzubilden sind. Ein Dokumentensatz für ein AT-Unternehmen sollte deshalb folgende Module abdecken:

1. Datenschutzerklärung nach Art. 13/14 DSGVO mit der österreichischen Datenschutzbehörde als Beschwerdestelle (Art. 13 Abs. 2 lit. d DSGVO). Konkret zu ersetzen sind Behördenname, Anschrift und Beschwerdeweg; zusätzlich gehört je Zweck die Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO hinein (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse) sowie die Kontaktdaten des Datenschutzbeauftragten.
2. Bestellung des Datenschutzbeauftragten nach Art. 37 DSGVO (Vorlage + Vertrag), Stellung und Geheimhaltung nach § 5 DSG. Der Vertrag sollte den Aufgabenkatalog des Art. 39 Abs. 1 lit. a bis e DSGVO abbilden, die Erreichbarkeit für betroffene Personen nach Art. 38 Abs. 4 DSGVO regeln und das Abberufungs- und Benachteiligungsverbot des Art. 38 Abs. 3 DSGVO benennen — nicht § 6 Abs. 4 BDSG, der nur in Deutschland gilt.
3. VVT nach Art. 30 DSGVO mit AT-typischen Verarbeitungen (Sozialversicherungs-Meldung, ÖGK). Art. 30 gilt in Österreich wortgleich: sieben Pflichtangaben in Abs. 1 lit. a bis g, die die Praxis wegen des gebündelten lit. c zu acht Feldern auffächert und um die Rechtsgrundlage als neuntes Feld ergänzt. Auftragsverarbeiter führen ein eigenes, kürzeres Verzeichnis mit vier Pflichtangaben (Art. 30 Abs. 2 lit. a bis d). Die 250-Beschäftigten-Ausnahme des Art. 30 Abs. 5 greift nur kumulativ und scheitert in der Praxis schon an der regelmäßigen Verarbeitung.
4. Videoüberwachungs-Konzept nach §§ 12, 13 DSG — Zulässigkeit, Kennzeichnung, Speicherdauer und DSFA-Vorprüfung wie in Abschnitt 1 und Abschnitt 4 beschrieben; das Konzept fasst diese Punkte je Kamera in einem prüffähigen Dokument zusammen.
5. Beschäftigtendatenschutz: Betriebsvereinbarung zu Kontrollmaßnahmen nach § 96 Abs. 1 Z 3 ArbVG (das DSG enthält dazu keine eigene Norm). Werden dabei Gesundheitsdaten verarbeitet, greift zusätzlich das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO mit den engen Ausnahmen des Abs. 2.
6. Workflow zur Bearbeitung von Beschwerden bei der Datenschutzbehörde. Der Workflow braucht zwei Zeitachsen: die eigene Antwortfrist gegenüber der betroffenen Person nach Art. 12 Abs. 3 DSGVO (Fristen und Verlängerung siehe Abschnitt 4) und die Kommunikation mit der Datenschutzbehörde als zuständiger Aufsichtsbehörde nach § 18 Abs. 1 DSG.
7. Forschungs-/Statistik-Klauseln nach § 7 DSG (für Universitäten, F&E-Abteilungen). Praxisempfehlung: die Forschungsverarbeitung als eigenen Eintrag im Verarbeitungsverzeichnis führen, mit eigener Zweckbeschreibung, eigenen Empfängerkategorien und eigenen Löschregeln — sonst verschwimmt sie mit der operativen Verarbeitung und wird bei einer Prüfung zum Streitpunkt.

6. Datenpanne in Österreich: Meldeweg, Fristen, Nachweis

Eine meldepflichtige Datenpanne geht in Österreich an die Datenschutzbehörde — nicht an eine deutsche Landesbehörde und nicht an den BfDI. Die Pflichten aus Art. 33 und Art. 34 DSGVO selbst gelten in Österreich unverändert; national unterscheiden sich der Adressat und eine ergänzende Verwaltungsstrafnorm.

Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung nicht binnen 72 Stunden, ist eine Begründung für die Verzögerung beizufügen. Zuständig ist in Österreich die Datenschutzbehörde als nationale Aufsichtsbehörde nach Art. 51 DSGVO (§ 18 Abs. 1 DSG), erreichbar über dsb.gv.at. Inhaltlich verlangt Art. 33 Abs. 3 DSGVO die Beschreibung der Verletzung, die ungefähre Zahl betroffener Personen und Datensätze, die Datenkategorien, die voraussichtlichen Folgen, die Maßnahmen zur Behebung und Schadensminderung sowie die Kontaktdaten des Datenschutzbeauftragten bzw. des Verantwortlichen.

Bei voraussichtlich hohem Risiko kommt die zweite Stufe hinzu: Benachrichtigung der betroffenen Personen unverzüglich und in klarer, einfacher Sprache (Art. 34 Abs. 1 DSGVO). Sie entfällt nach Art. 34 Abs. 3 DSGVO, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden, wenn nachfolgende Maßnahmen das hohe Risiko beseitigt haben oder wenn die Einzelbenachrichtigung unverhältnismäßigen Aufwand bedeuten würde; dann tritt eine öffentliche Bekanntmachung an ihre Stelle. Unabhängig davon ist jede Verletzung zu dokumentieren, auch die nicht gemeldete (Art. 33 Abs. 5 DSGVO) — samt Begründung, warum keine Meldung erfolgt ist.

Der folgende Ablauf ist ein Praxis-Rhythmus, keine gesetzliche Taktung: Die einzige feste Frist in dieser Tabelle ist die 72-Stunden-Grenze aus Art. 33 Abs. 1 DSGVO; die Benachrichtigung nach Art. 34 Abs. 1 DSGVO hat unverzüglich zu erfolgen.

Art. 83 DSGVO staffelt nach Verstoßtyp: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bei Verstößen unter anderem gegen Pflichten nach Art. 25 bis 39 DSGVO (Abs. 4), bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bei Verstößen gegen Verarbeitungsgrundsätze, Einwilligungsbedingungen und Betroffenenrechte der Art. 12 bis 22 DSGVO (Abs. 5). Österreich mildert die Anwendung ab: Nach § 11 DSG wendet die Datenschutzbehörde Art. 83 DSGVO verhältnismäßig an und macht insbesondere bei erstmaligen Verstößen von der Verwarnung statt der Geldbuße Gebrauch. Zusätzlich zu diesen Geldbußen kennt Österreich eine nationale Auffangnorm: § 62 Abs. 1 DSG stellt bestimmte Handlungen unter Verwaltungsstrafe bis zu 50.000 Euro — unter anderem den vorsätzlichen widerrechtlichen Zugang zu einer Datenverarbeitung und die vorsätzliche Übermittlung von Daten in Verletzung des Datengeheimnisses nach § 6 DSG. Die Norm greift nur subsidiär: sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist. Zuständig für diese Entscheidungen ist die Datenschutzbehörde (§ 62 Abs. 5 DSG).

7. DE und AT im Direktvergleich

Der Unterschied zwischen einem deutschen und einem österreichischen Dokumentensatz liegt fast vollständig im nationalen Überbau — die DSGVO-Artikel selbst sind in beiden Ländern dieselben. Die Tabelle nennt je Rechtsraum die Norm, aus der die Antwort folgt; wo nur eine DSGVO-Vorschrift steht, trägt das unmittelbar geltende EU-Recht die Antwort allein.

Praktische Konsequenz: Überall dort, wo die AT-Spalte eine andere Norm nennt als die DE-Spalte, ist eine deutsche Vorlage falsch verwiesen; wo beide Spalten dieselbe DSGVO-Vorschrift nennen — etwa Verarbeitungsverzeichnis und Auftragsverarbeitung —, trägt sie unverändert, bei der Auftragsverarbeitung ergänzt um das Datengeheimnis nach § 6 DSG. Auszutauschen sind Normzitate, Behördenangaben und die Beschwerdeadresse; beim Beschäftigtendatenschutz und bei der Videoüberwachung kommt jeweils ein eigenes AT-Dokument hinzu — die Betriebsvereinbarung nach § 96 Abs. 1 Z 3 ArbVG und das Konzept nach §§ 12, 13 DSG.

8. NISG 2026: eigenes Meldeverfahren ab 01.10.2026

Die DSGVO-Meldung und die Cybersicherheits-Meldung nach dem NISG 2026 sind zwei getrennte Verfahren mit unterschiedlichen Adressaten, Fristen und Auslösern — die NISG-2026-Pflichten sind in Österreich ab 01.10.2026 anzuwenden. Ein Vorfall kann beide Verfahren gleichzeitig auslösen — Auslöser, Adressat und Frist sind deshalb jeweils gesondert zu prüfen.

Wer unter das NISG 2026 fällt, hat ab 01.10.2026 zusätzlich zu registrieren: binnen drei Monaten bei der Cybersicherheitsbehörde, Änderungen der Kerndaten binnen zwei Wochen (§ 29 Abs. 2 bis 4 NISG 2026). Zuständige Behörde ist nach § 3a NISG 2026 das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde), eine dem Bundesminister für Inneres nachgeordnete Behörde mit bundesweiter Zuständigkeit und Sitz in Wien. Der Strafrahmen ist ein anderer als im Datenschutzrecht: Für Verwaltungsübertretungen nach § 45 Abs. 1 NISG 2026 drohen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis zu 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und Abs. 3 NISG 2026); sonstige Übertretungen sind mit bis zu 50.000 EUR, im Wiederholungsfall 100.000 EUR bedroht (§ 45 Abs. 4 NISG 2026).