Die Datenschutzbehörde (DSB) in Österreich hat ihre Durchsetzungspraxis in den vergangenen Jahren deutlich verschärft.Ein viel beachteter oesterreichischer Fall betraf das sogenannte Parteiaffinitaets-Scoring, bei dem die DSB ein hohes Bussgeld verhaengt hatte und das Verfahren in mehreren Instanzen ueberprueft wurde. Doch auch abseits solcher Schlagzeilen treffen DSGVO-Strafen zunehmend kleine und mittlere Unternehmen, die grundlegende Pflichten vernachlässigen. Dieser Beitrag analysiert die aktuellen Fälle und Bußgelder in Österreich, erklärt den Ablauf eines DSB-Verfahrens und liefert eine konkrete Checkliste, mit der Sie Ihr Unternehmen vor Sanktionen schützen.
Die häufigsten Verstöße und Beschwerdegründe bei der DSB
Die Beschwerdestatistiken der DSB zeigen ein klares Bild. Der mit Abstand häufigste Beschwerdegrund ist die Verletzung des Auskunftsrechts nach Art. 15 DSGVO. Betroffene stellen Auskunftsbegehren, Unternehmen antworten gar nicht, unvollständig oder zu spät. Die Frist beträgt einen Monat ab Eingang des Begehrens, eine Verlängerung um zwei weitere Monate ist nur bei komplexen Anfragen und nach rechtzeitiger Mitteilung an den Betroffenen zulässig.
Zweithäufigster Grund sind Mängel bei den Informationspflichten nach Art. 13 und 14 DSGVO. Viele Unternehmen haben nach wie vor keine oder eine unvollständige Datenschutzerklärung auf ihrer Website. Dritter häufiger Verstoß: fehlende oder fehlerhafte Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Wer externe Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt — sei es ein Cloud-Anbieter, ein Lohnverrechnungsbüro oder ein Newsletter-Tool — braucht einen schriftlichen Vertrag, der den Anforderungen des Art. 28 Abs 3 DSGVO entspricht. Fehlt dieser Vertrag, haften beide Seiten.
Im Bereich der unternehmerischen Pflichten ist der Datenschutz ein Querschnittsthema, das alle Branchen betrifft. Ob Handwerksbetrieb, Arztpraxis oder Online-Shop — die DSGVO gilt für jede Organisation, die personenbezogene Daten verarbeitet.
Ablauf eines DSB-Verfahrens: Von der Beschwerde zur Strafe
Ein Verfahren vor der DSB beginnt in der Regel mit einer Beschwerde einer betroffenen Person nach § 24 DSG in Verbindung mit Art. 77 DSGVO. Alternativ kann die DSB auch von Amts wegen tätig werden, etwa bei Medienberichten oder anonymen Hinweisen. Jede natürliche Person, die sich in ihren Datenschutzrechten verletzt sieht, kann eine Beschwerde bei der DSB einbringen. Die Beschwerde ist formfrei, muss aber den Sachverhalt und die verletzte Bestimmung bezeichnen.
Nach Eingang prüft die DSB zunächst die Zulässigkeit der Beschwerde. Ist sie zulässig, wird das betroffene Unternehmen zur Stellungnahme aufgefordert. Dafür wird eine Frist gesetzt, üblicherweise zwei bis vier Wochen. Die DSB prüft die Stellungnahme und kann weitere Ermittlungen durchführen, etwa durch Fragebögen, Datenschutzprüfungen vor Ort oder Anforderung von Dokumenten. Auf Basis dieser Ermittlungen erlässt die DSB einen Bescheid. Stellt sie einen Verstoß fest, kann sie Maßnahmen anordnen (z. B. Löschung von Daten, Einstellung einer Verarbeitung) und ein Bußgeld verhängen.
Gegen den Bescheid der DSB steht der Rechtsweg offen: Beschwerde an das Bundesverwaltungsgericht (BVwG), danach Revision an den Verwaltungsgerichtshof (VwGH). Im Post-Verfahren hat genau dieser Instanzenzug dazu geführt, dass die Strafe über Jahre nicht rechtskräftig wurde.
Beschwerdeweg: DSB oder Gericht? Zwei Wege zum Datenschutz
Wer sich in seinen Datenschutzrechten verletzt sieht, hat in Österreich zwei parallele Wege: die Beschwerde bei der DSB und die Klage vor den ordentlichen Gerichten. Beide Wege können sogar gleichzeitig beschritten werden. Die DSB behandelt die öffentlich-rechtliche Seite: Sie prüft, ob ein Verstoß gegen die DSGVO oder das DSG vorliegt, und kann Bußgelder und Maßnahmen verhängen. Die ordentlichen Gerichte sind für Schadenersatzansprüche nach Art. 82 DSGVO zuständig. Wer durch einen Datenschutzverstoß einen materiellen oder immateriellen Schaden erlitten hat, kann auf Ersatz klagen.
In der Praxis nutzen die meisten Betroffenen zunächst den Weg über die DSB, weil er kostenlos ist und die Behörde über Ermittlungsbefugnisse verfügt, die eine Privatperson nicht hat. Eine erfolgreiche DSB-Beschwerde kann dann als Grundlage für einen anschließenden Schadenersatzprozess dienen. Die Klagemöglichkeit nach Art.Ein viel beachteter oesterreichischer Fall betraf das sogenannte Parteiaffinitaets-Scoring, bei dem die DSB ein hohes Bussgeld verhaengt hatte und das Verfahren in mehreren Instanzen ueberprueft wurde.
Checkliste: DSGVO-Mindeststandards für Unternehmen
Die folgende Checkliste fasst die Mindestanforderungen zusammen, die jedes österreichische Unternehmen unabhängig von seiner Größe erfüllen muss. Ein systematisches Datenschutz-Audit prüft genau diese Punkte. Wer sie vollständig abhaken kann, hat die Grundlage für DSGVO-Compliance gelegt.
Wann brauchen Sie einen Datenschutzbeauftragten?
Art. 37 DSGVO verpflichtet Unternehmen zur Bestellung eines Datenschutzbeauftragten, wenn die Kerntätigkeit in der umfangreichen und systematischen Überwachung von Personen besteht oder wenn besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) in großem Umfang verarbeitet werden. Typische Beispiele: Krankenhäuser, Versicherungen, Kreditauskunfteien, aber auch Unternehmen mit intensivem Kundenprofiling. Die Pflicht hängt nicht von der Mitarbeiterzahl ab — anders als in Deutschland, wo ab 20 Mitarbeitern ein Datenschutzbeauftragter bestellt werden muss, kennt Österreich keine solche Schwelle. Die Bestellung kann intern oder extern erfolgen.
Praxistipps: So vermeiden Sie DSGVO-Strafen wirksam
Aus den bisherigen DSB-Verfahren lassen sich konkrete Lehren für Unternehmen ableiten. Die folgenden Empfehlungen basieren auf der Auswertung der häufigsten Beschwerdegründe und der Begründungen in DSB-Bescheiden. Wer bei gesellschaftsrechtlichen Fragen generell professionelle Strukturen etabliert hat, wird auch beim Datenschutz weniger Angriffsfläche bieten.
Richten Sie einen festen Prozess ein, wer im Unternehmen Auskunftsbegehren nach Art. 15 DSGVO entgegennimmt und bearbeitet. Die Ein-Monats-Frist beginnt mit Eingang des Begehrens. Legen Sie eine interne Frist von zwei Wochen fest, um Puffer für Rückfragen zu haben.
Überprüfen Sie einmal jährlich Ihr Verarbeitungsverzeichnis, Ihre Auftragsverarbeitungsverträge und Ihre technischen Maßnahmen. Die DSGVO verlangt, dass Maßnahmen dem Stand der Technik entsprechen (Art. 32 Abs 1 DSGVO). Was 2020 ausreichend war, muss es 2026 nicht mehr sein.
Bei einem laufenden Verfahren ist Kooperation ein ausdrücklicher Milderungsgrund nach Art. 83 Abs 2 lit f DSGVO. Reagieren Sie prompt auf Stellungnahme-Aufforderungen, legen Sie Unterlagen proaktiv vor und zeigen Sie, welche Maßnahmen Sie bereits ergriffen haben.
Seit dem Planet49-Urteil des EuGH ist klar: Vorausgefüllte Checkboxen sind keine gültige Einwilligung. Setzen Sie auf ein Cookie-Consent-Tool, das Tracking erst nach aktiver Einwilligung startet. Dokumentieren Sie die Einwilligungen revisionssicher.
Häufige Fehler beim betrieblichen Datenschutz
In unserer Praxis sehen wir bei Mandanten immer wieder dieselben Versäumnisse. Viele davon wären mit überschaubarem Aufwand vermeidbar. Gerade bei der Gründung oder Umstrukturierung eines Unternehmens — etwa bei der Erstellung von AGB — wird der Datenschutz oft mitbehandelt und dann vergessen.
Generische Vorlagen aus Online-Generatoren passen selten zur tatsächlichen Datenverarbeitung des Unternehmens. Fehlende oder falsche Angaben zu eingesetzten Cookies, Analyse-Tools oder Zahlungsdienstleistern sind ein häufiger Beschwerdegrund.
Das Auskunftsrecht nach Art. 15 DSGVO ist der häufigste Beschwerdegrund bei der DSB. Wer nicht innerhalb eines Monats vollständig antwortet, riskiert ein Verfahren. Auch eine Teilantwort ist besser als keine Antwort.
Viele Unternehmen nutzen Cloud-Dienste, Newsletter-Tools oder externe Buchhaltung, ohne einen AVV nach Art. 28 DSGVO abgeschlossen zu haben. Bei einem Datenleck haften Verantwortlicher und Auftragsverarbeiter gemeinsam.
Art. 33 DSGVO verlangt die Meldung an die DSB binnen 72 Stunden nach Bekanntwerden. Viele Unternehmen wissen nicht einmal, was als „Datenpanne“ gilt: verlorene USB-Sticks, falsch adressierte E-Mails und Ransomware-Angriffe fallen alle darunter.
Ein verbreiteter Irrglaube. Die DSGVO gilt unabhängig von der Unternehmensgröße für jede Organisation, die personenbezogene Daten verarbeitet. Auch ein Einzelunternehmer mit einer Kundendatenbank unterliegt der Verordnung.
Sonderfälle: Besondere Risikobereiche
Videoüberwachung: Die Verarbeitung von Bilddaten unterliegt in Österreich sowohl der DSGVO als auch den besonderen Bestimmungen des § 12 DSG. Unternehmen, die Videoüberwachung einsetzen, müssen dies im Verarbeitungsverzeichnis dokumentieren, Hinweisschilder anbringen und die Speicherdauer auf das Notwendige beschränken (in der Regel maximal 72 Stunden). Die DSB hat hier wiederholt Verstöße festgestellt, insbesondere bei fehlender Beschilderung und zu langer Speicherung.
Mitarbeiterdaten: Die Verarbeitung von Mitarbeiterdaten ist ein häufig unterschätztes Thema. E-Mail-Überwachung, GPS-Tracking von Firmenfahrzeugen und biometrische Zeiterfassung werfen jeweils eigene datenschutzrechtliche Fragen auf. In Betrieben mit Betriebsrat ist zusätzlich § 96 Abs 1 Z 3 Arbeitsverfassungsgesetz (ArbVG) zu beachten, der für bestimmte Kontrollmaßnahmen die Zustimmung des Betriebsrats verlangt.
Datenübermittlung in Drittstaaten: Seit dem Schrems-II-Urteil des EuGH (C-311/18) und dem nachfolgenden EU-US Data Privacy Framework ist die Übermittlung personenbezogener Daten in die USA wieder auf einer rechtlichen Grundlage möglich — allerdings nur an zertifizierte US-Unternehmen. Für andere Drittstaaten ohne Angemessenheitsbeschluss sind Standardvertragsklauseln (SCCs) nach Art. 46 Abs 2 lit c DSGVO erforderlich, ergänzt um ein Transfer Impact Assessment.
Häufige Fragen zu DSGVO-Strafen in Österreich
Das Wichtigste auf einen Blick: DSGVO-Strafen in Österreich
Jetzt unverbindlich anfragen
Füllen Sie das Formular aus und beschreiben Sie Ihre Situation. Wir melden uns in Kürze bei Ihnen.
Wie wir Ihnen helfen können
Wir beraten Unternehmen bei der Umsetzung ihrer DSGVO-Pflichten und vertreten sie in Verfahren vor der Datenschutzbehörde. Ob Sie ein Datenschutz-Audit Ihres Unternehmens benötigen, eine DSB-Beschwerde erhalten haben oder Ihr Verarbeitungsverzeichnis und Ihre Auftragsverarbeitungsverträge auf den aktuellen Stand bringen wollen — kontaktieren Sie uns. Wir klären Ihre Situation und zeigen Ihnen die besten Handlungsoptionen auf.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Die Rechtslage kann sich nach dem Veröffentlichungszeitpunkt ändern. Stand: April 2026.