Datenschutzerklärung Pflicht: Was AT-Websites brauchen

Stand: 12. Mai 2026 · Steven | TrustYourWebsite

Eine Datenschutzerklärung ist auf jeder Website Pflicht, die personenbezogene Daten verarbeitet. Das ist faktisch jede österreichische Website. Schon Server-Logs mit IP-Adressen sind eine Verarbeitung im Sinne der DSGVO. Was viele Generator-Texte nicht abbilden: Österreich hat nationale Ergänzungen zur DSGVO, die in der Erklärung erkennbar sein müssen. Die Aufsichtsbehörde heißt nicht „BfDI" oder „LfDI", sondern DSB.

Wenn Sie zuerst wissen wollen, welche externen Dienste Ihre Site lädt, prüfen Sie sie mit unserem kostenlosen Compliance-Scanner für Österreich. Der Scan dauert zwei Minuten und nennt die Domains, die in Ihrer Datenschutzerklärung erwähnt sein sollten.

Dieser Artikel erklärt die Pflichtangaben, die typischen Lücken in importierten DE-Vorlagen und die häufigsten Beanstandungen der DSB.

Die Pflichtangaben nach Art. 13 DSGVO im Überblick

Die folgende Liste fasst die zwingenden Informationen für jede österreichische Website zusammen. Fehlt einer dieser Punkte, ist die Belehrungspflicht aus Art. 13 DSGVO nicht erfüllt.

Wer ist Verantwortliche/-r?

Name und Kontaktdaten der/des Verantwortlichen, typischerweise das Unternehmen, das die Website betreibt. Bei einer NL-Rechtsperson mit AT-Aktivität bleibt die NL-BV Verantwortliche. Die Adresse muss korrekt sein. Eine vorgeschützte österreichische Adresse einer ausländischen Rechtsperson ist als Identifikations­fehler verfolgbar.

Wenn Sie eine/-n Datenschutzbeauftragte/-n (DSB) benannt haben, Pflicht in den engeren Fällen des Art. 37 Abs. 1 DSGVO und § 5 DSG, muss deren Kontakt angegeben werden.

Welche Daten werden verarbeitet und warum?

Für jeden Verarbeitungsvorgang anzugeben:

• Art der Daten (z. B. IP-Adressen, E-Mail-Adressen, Bestelldaten, Zahlungsdaten)
• Zweck der Verarbeitung (Analyse, Vertragsabwicklung, Newsletter, Sicherheits-Logging)
• Rechtsgrundlage nach Art. 6 DSGVO: Einwilligung (lit. a), Vertragserfüllung (lit. b), gesetzliche Verpflichtung (lit. c), berechtigtes Interesse (lit. f)
• Empfänger, also welche Drittanbieter Daten erhalten (z. B. Stripe, Google Analytics, Brevo, Hosting-Provider)

Ergänzend ist § 1 Abs. 2 DSG zu nennen, wenn die Verarbeitung in das Grundrecht auf Datenschutz eingreift. Bei den meisten kommerziellen Websites ist das stillschweigend gegeben. Bei sensiblen Daten (Gesundheit, Religion, politische Überzeugung) braucht es eine ausdrückliche Begründung.

Internationale Datenübermittlungen

Wenn Daten außerhalb des EWR übermittelt werden, also Google Analytics auf US-Servern, AWS US-Instanzen, Meta Pixel, Brevo (EU/FR) oder Mailchimp (US), muss die Erklärung konkret den Empfänger und die Transferbasis nennen. Die folgende Matrix zeigt die typischen Konstellationen.

Die DSB hat im Bescheid D213.679/0006-DSB/2021 vom 22. Dezember 2021 (Bescheid-PDF auf noyb.eu) als erste EU-Aufsichtsbehörde ein Google-Analytics-Setup gegen Art. 44 ff. DSGVO beanstandet. Die Entscheidung betraf eine Beschwerde von noyb gegen einen österreichischen Medizin-Verlag. Mit dem DPF-Angemessenheitsbeschluss vom 10. Juli 2023 hat sich die Lage geändert. Die DSB akzeptiert das DPF als Transferbasis, wenn der konkrete Empfänger DPF-zertifiziert ist und die Verarbeitung von der Zertifizierung erfasst ist.

Speicherdauer

Wie lange werden Daten gespeichert? Vage „solange gesetzlich erforderlich"-Formulierungen reichen der DSB nicht. Pro Datenkategorie sollten Sie nennen:

• Eine konkrete Frist (z. B. „30 Tage für Server-Logs", „7 Jahre für Rechnungs­daten gemäß § 132 BAO und § 212 UGB")
• Oder ein konkretes Lösch­kriterium (z. B. „bis zur Beendigung des Kundenverhältnisses plus Aufbewahrungs­fristen")

Rechte der Betroffenen

Art. 13 Abs. 2 DSGVO verlangt explizit einen Hinweis auf:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16)
• Recht auf Löschung (Art. 17)
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20)
• Widerspruchsrecht (Art. 21)
• Widerrufsrecht bei Einwilligungsbasis (Art. 7 Abs. 3)
• Beschwerderecht bei der zuständigen Aufsichtsbehörde (Art. 77)

Die zuständige Aufsichtsbehörde in Österreich ist die Datenschutzbehörde (DSB), Barichgasse 40-42, 1030 Wien. Anders als in Deutschland mit 17 Datenschutz-Aufsichten (Bund plus 16 Länder plus ULD) gibt es in Österreich genau eine zentrale Stelle. Der Hinweis ist entsprechend einfacher zu formulieren.

Was in deutschen Generator-Texten oft falsch ist

Generator-Tools wie e-recht24.de, datenschutz-generator.de oder die WordPress-Plugins Borlabs Cookie und Real Cookie Banner produzieren solide deutsche Grundtexte. Importiert auf eine österreichische Site sind sie typischerweise an drei Stellen falsch:

Ein importierter DE-Text mit „BDSG" und „BfDI" ist für eine österreichische Site nicht nur Foreignness-Signal. Er macht die Beschwerderechts-Belehrung aus Art. 13 Abs. 2 lit. d DSGVO faktisch unwirksam. Nutzer:innen werden auf eine deutsche Behörde verwiesen, die für sie nicht zuständig ist.

Was in jeder Generator-Vorlage angepasst werden muss

Selbst korrekt für Österreich gelokalisierte Generator-Texte erfordern Anpassung an die tatsächlich auf Ihrer Site genutzten Dienste. Häufig vergessene Dienste:

Prüfen Sie Ihre Website mit dem kostenlosen Compliance-Scanner. Er erkennt extern geladene Domains und gibt Ihnen einen Anhaltspunkt, was in der Datenschutz­erklärung erwähnt sein sollte.

Wo muss die Datenschutzerklärung stehen?

Wie das Impressum: „leicht erkennbar" erreichbar. Footer-Link auf jeder Seite, Linktext „Datenschutzerklärung" oder „Datenschutz". Vermeiden Sie „Rechtliches", „Hinweise" oder „Info" als alleinigen Linktext.

Besondere Pflicht bei Kontaktformularen. Beim Formular selbst muss ein kurzer Datenschutz­hinweis stehen, der auf die vollständige Erklärung verweist. Beispiel: „Ihre Daten werden gemäß unserer [Datenschutzerklärung] verarbeitet." Die DSB hat in mehreren Verfahren Formulare beanstandet, bei denen weder vor dem Absende-Button noch in einer Tooltip-Information ein Datenschutzhinweis stand.

Bei Newsletter-Anmeldungen. Im Anmeldeformular muss die Verarbeitungs­grundlage (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO plus § 174 TKG 2021) und der Empfänger (welcher E-Mail-Versender) erkennbar sein. Details in Newsletter und DSGVO in Österreich.

Verfahren bei der DSB und Sanktionen

Anders als in Deutschland gibt es in Österreich kein verbreitetes Abmahnwesen durch Wettbewerber für DSGVO-Verstöße. Die Hauptdurchsetzung läuft über zwei Wege:

DSB-Verfahren auf Beschwerde einer betroffenen Person:

• Aufforderung zur Stellungnahme (typisch vier Wochen)
• Verwaltungsstrafverfahren mit Bußgeld nach Art. 83 DSGVO bei festgestelltem Verstoß
• Berufung an das BVwG möglich

VKI-Verbandsklagen nach § 28a KSchG, wenn eine fehlerhafte Datenschutz­erklärung konsumentenrechtlich relevante Klauseln enthält.

DSB-Bußgelder für KMU bewegen sich in der bisherigen Praxis im Bereich EUR 1.000 bis 10.000 für reine Erklärungs­mängel. Bei systematischer Datenverarbeitung ohne Einwilligung können sie deutlich höher ausfallen.

Wann muss die Datenschutzerklärung aktualisiert werden?

• Wenn Sie einen neuen Dienst (Analytics, Chat, CRM, Zahlungs­anbieter, Newsletter) einbinden
• Wenn sich der Empfängerstaat ändert (z. B. Wechsel von einem EU-Hoster zu einem US-Hoster)
• Wenn sich die Übermittlungs­grundlage ändert (DPF-Zertifizierung des Empfängers verloren? SCC hinzugefügt?)
• Wenn Sie Daten zu neuen Zwecken nutzen
• Wenn die Rechtslage ändert (z. B. neue Richtlinien der DSB, EuGH-Urteile zu Drittstaaten)

Es gibt keine Pflicht zur jährlichen Aktualisierung. Die Erklärung muss aber immer den aktuellen Stand der tatsächlichen Verarbeitung widerspiegeln. In der Praxis ist eine halbjährliche Stichproben­prüfung sinnvoll: was hat das Marketing-Team neu eingebunden, was hat die Entwicklung in den letzten Monaten geändert.

Fazit

Eine Datenschutzerklärung ist kein einmal kopiertes Boilerplate, sondern ein lebendiges Dokument. In Österreich kommt hinzu, dass selbst gut gepflegte deutsche Vorlagen an drei systematischen Stellen falsch sind: TTDSG statt TKG, BDSG statt DSG, BfDI statt DSB. Die Korrektur dieser drei Stellen ist Pflicht. Die Anpassung an Ihre tatsächliche Verarbeitung ist die eigentliche Arbeit.

Prüfen Sie jetzt Ihre österreichische Website kostenlos mit dem Compliance-Scanner. Er listet, welche externen Dienste Ihre Website tatsächlich lädt, damit Ihre Datenschutzerklärung wirklich vollständig ist.