Startseite / Ratgeber / Datenschutzerklärung und DSGVO

— Ratgeber

Datenschutzerklärung und DSGVO in Österreich: was Ihre Website braucht

Jede Website, die personenbezogene Daten verarbeitet, braucht eine Datenschutzerklärung. Das betrifft praktisch jede Unternehmensseite, denn schon der Webserver speichert IP-Adressen. Die DSGVO in Österreich wird durch das Datenschutzgesetz (DSG) und für Cookies durch das TKG 2021 ergänzt. Dieser Ratgeber erklärt, was in die Erklärung gehört, wo sie stehen muss und welche Pflichten hinter der Website dazukommen. Er ersetzt keine Rechtsberatung.

Veröffentlicht am 06.11.2026 · Von Rico Jacobs, DISOTECH GmbH

Welche Gesetze für Websites in Österreich gelten

Die Datenschutz-Grundverordnung (DSGVO) gilt seit 2018 unmittelbar in allen EU-Staaten, also auch in Österreich. Sie regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und worüber Betroffene informiert werden müssen. Das österreichische Datenschutzgesetz (DSG) ergänzt die DSGVO: § 1 DSG enthält das Grundrecht auf Datenschutz, und das DSG richtet die Datenschutzbehörde (DSB) als nationale Aufsichtsbehörde ein. Beschwerden von Betroffenen gehen an die DSB.

Für Cookies und ähnliche Techniken kommt § 165 Abs. 3 TKG 2021 hinzu. Er verlangt eine vorherige Einwilligung, bevor nicht notwendige Informationen im Endgerät gespeichert oder ausgelesen werden. Wie Banner und Einwilligung technisch sauber umgesetzt werden, erklärt der Ratgeber zur Cookie-Banner-Pflicht in Österreich. Die Datenschutzerklärung ist die Informationsseite, auf die Banner, Formulare und Newsletter verweisen; sie ist keine Zustimmungserklärung, sondern reine Information.

Was in die Datenschutzerklärung gehört

Art. 13 DSGVO legt fest, worüber Sie informieren müssen, wenn Sie Daten direkt bei der Person erheben, etwa über ein Kontaktformular oder beim Seitenaufruf. Art. 14 gilt für Daten aus anderen Quellen. Die Wirtschaftskammer (WKO) stellt dazu Erläuterungen und einen Generator bereit; ein Muster bleibt aber immer nur ein Ausgangspunkt, weil die Inhalte vom Aufbau und den Funktionen Ihrer Website abhängen.

Diese Angaben gehören nach Art. 13 DSGVO in jede Datenschutzerklärung:

Was eine typische Unternehmenswebsite verarbeitet

Bevor Sie schreiben, müssen Sie wissen, was Ihre Website tatsächlich tut. IP-Adressen, Online-Kennungen und Geräte-IDs gelten in der Regel als personenbezogene Daten. Schon die Server-Logs des Hostings fallen darunter, und jedes eingebundene Fremdskript schickt beim Seitenaufruf Daten an den Anbieter. Wir nehmen bei einer Sicherheitsprüfung der Website deshalb zuerst auf, welche Verbindungen beim Laden entstehen, und gleichen das mit der Erklärung ab.

Diese Verarbeitungen kommen auf fast jeder Website in Österreich vor und müssen einzeln beschrieben werden:

Rechtsgrundlagen richtig zuordnen

Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 DSGVO. Für Websites sind vier davon relevant. Die Zuordnung entscheidet darüber, ob Sie eine Einwilligung einholen müssen oder nicht, und sie muss in der Erklärung stehen. Ein häufiger Fehler ist, alles auf Einwilligung zu stützen; dann müsste die Website bei einem Widerruf tatsächlich aufhören, die Daten zu verarbeiten, was beim Hosting gar nicht möglich ist.

Bei Diensten aus den USA oder anderen Drittländern muss die Erklärung zusätzlich nennen, auf welcher Grundlage die Übermittlung erfolgt. Welche Tools das betrifft, zeigt sich im Tracking-Setup mit Tag Manager und Consent Mode.

Wo die Datenschutzerklärung stehen muss und wie sie aussieht

Die DSGVO verlangt, dass die Information präzise, transparent, verständlich und leicht zugänglich ist. Für Websites bedeutet das: eine eigene Seite „Datenschutzerklärung“, von jeder Unterseite aus über einen gut sichtbaren Link erreichbar, üblicherweise im Footer. Eine Erklärung, die nur im Impressum oder in den AGB versteckt ist, reicht nach Einschätzung der WKO nicht. Die Impressumspflicht in Österreich ist eine eigene Pflicht mit eigener Seite; beide Seiten dürfen aufeinander verweisen, sollten aber nicht vermischt werden.

Bei Formularen muss der Hinweis auf die Datenschutzerklärung vor dem Absenden sichtbar sein. Ein Kästchen „Ich akzeptiere die Datenschutzerklärung“ ist dagegen nicht sinnvoll, denn die Erklärung ist keine Zustimmungssache, sondern Information. Einwilligungen, etwa für den Newsletter, werden getrennt und aktiv eingeholt, nie vorangekreuzt. Technisch heißt das für WordPress: eigene Seite anlegen, Footer-Link auf allen Seiten, Formular-Plugin mit Hinweistext, Newsletter-Checkbox leer und getrennt vom Absende-Button.

Pflichten hinter der Website: Verzeichnis, Verträge, Sicherheit

Die Datenschutzerklärung ist der sichtbare Teil. Dahinter verlangt die DSGVO weitere Dinge, die bei einer Prüfung durch die Datenschutzbehörde abgefragt werden können. Für ein kleines Unternehmen sind das überschaubar viele Punkte, die sich einmal sauber aufsetzen und dann mit der Website pflegen lassen.

Was nach einem Angriff konkret zu tun ist, auch mit Blick auf die Meldepflicht, steht im Ratgeber Website gehackt: was jetzt zu tun ist.

Typische Fehler bei Datenschutzerklärungen

Bei der technischen Bestandsaufnahme bestehender Websites fallen uns immer wieder dieselben Muster auf. Fast nie fehlt die Erklärung ganz; meist passt sie nicht zur Technik. Das ist riskant, weil ein Abgleich zwischen Erklärung und tatsächlich geladenen Diensten für Behörden und Mitbewerber mit wenigen Klicks möglich ist.

Keine Rechtsberatung: so gehen Sie vor

Dieser Artikel ordnet ein, er berät nicht. Wir sind eine Webagentur, keine Kanzlei. Welche Rechtsgrundlagen in Ihrem Fall tragen, wie Fristen und Formulierungen lauten müssen und ob Ihre Erklärung vollständig ist, kann nur eine Anwältin oder ein Anwalt für IT-Recht oder ein Datenschutzbeauftragter verbindlich bewerten. Die Datenschutzbehörde und die Wirtschaftskammer veröffentlichen Erläuterungen, die sich als Ausgangspunkt eignen.

Was wir übernehmen: die technische Bestandsaufnahme, welche Dienste und Verbindungen Ihre Website tatsächlich hat, die saubere Einbindung von Formularen, Newsletter und Consent-Tool, die Datensicherheit im Betrieb und die Abstimmung mit Ihrem Rechtsberater, damit Erklärung und Technik zusammenpassen. Wenn Sie eine neue Website erstellen lassen, planen wir diese Punkte von Anfang an ein, statt sie am Ende nachzurüsten.

Häufige Fragen

Braucht eine kleine Website ohne Formular eine Datenschutzerklärung?

Ja. Schon der Webserver speichert IP-Adressen in Logdateien, und die gelten in der Regel als personenbezogene Daten. Die Erklärung fällt dann kurz aus: Verantwortlicher, Hosting, Logdateien, Speicherdauer, Betroffenenrechte und der Hinweis auf die Datenschutzbehörde. Sobald Cookies, Analyse oder eingebettete Inhalte dazukommen, wächst sie mit.

Kann ich eine Vorlage aus Deutschland verwenden?

Nur mit Anpassung. Die DSGVO gilt in beiden Ländern gleich, aber die nationalen Gesetze und Behörden unterscheiden sich: In Österreich gelten das DSG und § 165 Abs. 3 TKG 2021, zuständig ist die Datenschutzbehörde. Verweise auf deutsche Gesetze oder Landesbehörden sind auf einer österreichischen Website falsch und sollten ersetzt werden.

Muss ich einen Datenschutzbeauftragten bestellen?

Für die meisten kleinen Unternehmen nicht. Die Pflicht hängt nach Art. 37 DSGVO von der Art und dem Umfang der Verarbeitung ab, etwa bei umfangreicher Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten. Ob das auf Ihr Unternehmen zutrifft, sollten Sie rechtlich prüfen lassen; eine Website allein löst die Pflicht in der Regel nicht aus.

Was passiert, wenn die Datenschutzerklärung fehlt oder unvollständig ist?

Die DSGVO sieht für Verstöße gegen die Informationspflicht Geldbußen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor; die Höhe richtet sich nach dem Einzelfall. In der Praxis beginnen Verfahren meist mit einer Beschwerde bei der Datenschutzbehörde oder einer Aufforderung zur Nachbesserung. Eine aktuelle, zur Technik passende Erklärung ist der einfachste Schutz.

Brauchen Sie dabei Hilfe?Wir sehen uns Ihre Website an und sagen Ihnen, was sinnvoll ist, auch wenn Sie es dann selbst machen.
Kurz anfragen

Das könnte auch passen

Cookie-Banner-PflichtWann Ihre Website ein Cookie-Banner braucht, wann nicht und welche Fehler bei Banner und Consent-Tool nach unserer Erfahrung häufig vorkommen.28.10.2026 Impressumspflicht ÖsterreichWelche Angaben Ihr Impressum nach ECG, Mediengesetz und UGB braucht, was eine kleine von einer großen Website unterscheidet und wo das Impressum stehen muss.06.11.2026 SicherheitAudit, Härtung, Überwachung und Hilfe im Ernstfall. Wartung & SupportGeprüfte Updates, getestete Backups, Überwachung und Support. NIS2 in ÖsterreichStand des NISG 2026, wer betroffen ist, welche Fristen laufen und was kleine Unternehmen als Zulieferer bei Website und IT vorweisen sollten.06.11.2026 Barrierefreiheitsgesetz (BaFG)Wer unter das BaFG fällt, was eine barrierefreie Website technisch ausmacht, was in die Barrierefreiheitserklärung gehört und wie Sie die Umsetzung planen.06.11.2026

Fragen zum Thema?

Schreiben Sie uns kurz, worum es bei Ihnen geht. Sie bekommen eine ehrliche Einschätzung.

  1. Wir lesen Ihre Anfrage und antworten innerhalb eines Werktags persönlich.
  2. In einem kurzen Gespräch klären wir Ziel, Umfang und Zeitrahmen.
  3. Sie erhalten ein schriftliches Angebot mit aufgeschlüsselten Positionen.

Ihr Ansprechpartner: Rico Jacobs, Geschäftsführer. DISOTECH GmbH, seit 2018.

Lieber direkt?

AnrufenE-Mail schreiben

Unter anderem für: Beauty Corner Rubin · Onyx Lashes · Poolroboter.ch · Augenkontakt · Resea Biotec · Wooden Tec · Alle Referenzen →

Projekt anfragen

Ihre Angaben verwenden wir zur Bearbeitung Ihrer Anfrage. Mehr dazu in der Datenschutzerklärung.