DSG (Österreichisches Datenschutzgesetz)
Das österreichische Datenschutzgesetz (DSG) ist das nationale Begleitgesetz zur EU-DSGVO. Es konkretisiert die DSGVO für Österreich, nutzt Öffnungsklauseln und regelt spezifische Bereiche wie Bildverarbeitung, Datengeheimnis und die Datenschutzbehörde.
Ausführliche Erklärung
Das österreichische Datenschutzgesetz bildet gemeinsam mit der EU-Datenschutz-Grundverordnung die rechtliche Grundlage für den Schutz personenbezogener Daten in Österreich. Seit dem 25. Mai 2018 gilt die aktuelle Fassung, die das frühere DSG 2000 ersetzt hat. Das Gesetz ist in fünf Hauptstücke gegliedert und regelt neben der Durchführung der DSGVO auch die Organisation der österreichischen Datenschutzbehörde, Strafbestimmungen und besondere Verarbeitungssituationen.
Das DSG nutzt die Öffnungsklauseln der DSGVO, um nationale Besonderheiten zu regeln. Zu den wichtigsten Ergänzungen zählen die Beibehaltung des verfassungsrechtlich verankerten Grundrechts auf Datenschutz gemäß § 1 DSG, die Festlegung des Mindestalters für Einwilligungen von Kindern auf 14 Jahre, Einschränkungen beim Auskunftsrecht bei Geschäftsgeheimnissen oder hoheitlichen Aufgaben sowie spezifische Regelungen zur Bildverarbeitung und zum Datengeheimnis für Mitarbeiter. Die Datenschutzbehörde wurde als nationale Aufsichtsbehörde nach der DSGVO eingerichtet und kann bei erstmaligen Verstößen von Verwarnungen Gebrauch machen, um die Verhältnismäßigkeit zu wahren.
Für österreichische Unternehmen bedeutet das DSG, dass sie neben den DSGVO-Vorgaben auch die nationalen Bestimmungen beachten müssen. Insbesondere regelt das DSG präzise, wann Datenschutzbeauftragte zu bestellen sind, welche Protokollierungspflichten gelten und wie mit besonderen Kategorien personenbezogener Daten umzugehen ist. Das Gesetz wurde seit 2018 mehrfach novelliert, zuletzt 2024 zur Neugestaltung des Medienprivilegs und zur Anpassung an parlamentarische Datenschutzanforderungen.
Die österreichische Datenschutzbehörde hat auf Basis des DSG auch zwei Verordnungen zur Datenschutz-Folgenabschätzung erlassen: eine „White List" mit Verarbeitungsvorgängen, für die keine Datenschutz-Folgenabschätzung erforderlich ist, und eine „Black List" mit Verarbeitungen, die jedenfalls eine solche Abschätzung erfordern. Diese Listen bieten Unternehmen praktische Orientierung bei der Einschätzung ihrer Datenverarbeitungsaktivitäten.
Praxisbeispiel
Eine oberösterreichische Steuerberatungskanzlei mit 12 Mitarbeitern muss neben der DSGVO auch die DSG-Bestimmungen beachten. Sie verpflichtet ihre Mitarbeiter nach § 6 DSG schriftlich zum Datengeheimnis, nutzt die DSG-Erleichterung bei der Berichtigung von Daten, die aus technischen Gründen nur quartalsweise erfolgen kann, und prüft anhand der Datenschutz-Folgenabschätzung-Ausnahmenverordnung, dass für ihr standardisiertes Rechnungswesen keine DSFA erforderlich ist.