DSGVO-Rechte Österreich 2026 - Auskunft, Löschung & Beschwerde

Welche Rechte haben Sie nach der DSGVO?

Die Datenschutz-Grundverordnung gibt jeder Person sieben durchsetzbare Rechte gegenüber Unternehmen und Behörden, die ihre Daten verarbeiten: Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20), Widerspruch (21) und Schutz vor rein automatisierten Entscheidungen (22). Auf einen Antrag muss binnen eines Monats reagiert werden, und die erste Auskunft ist kostenlos.

Diese Rechte sind kein theoretisches Konstrukt. Wer wissen will, was eine Bonitätsauskunftei über ihn gespeichert hat, einen alten Onlineshop-Account löschen oder unerwünschte Werbung stoppen will, übt damit konkret ein DSGVO-Recht aus. Der Hebel ist stärker, als die meisten glauben - man muss ihn nur kennen und benutzen.

Die sieben Betroffenenrechte im Überblick

Die folgende Tabelle ordnet jedem Recht den passenden Alltagsfall zu - genau die Brücke, die in den meisten Erklärungen fehlt.

Recht	Artikel	Wofür Sie es im Alltag nutzen
Auskunft	Art. 15	Erfahren, welche Daten eine Firma, Bank oder Auskunftei über Sie hat
Berichtigung	Art. 16	Falsche Adresse, falschen Namen oder falschen Bonitätseintrag korrigieren lassen
Löschung	Art. 17	Alten Account, nicht mehr nötige Kundendaten, Fotos entfernen lassen
Einschränkung	Art. 18	Verarbeitung vorübergehend einfrieren, solange ein Streit läuft
Datenübertragbarkeit	Art. 20	Eigene Daten maschinenlesbar mitnehmen, etwa beim Anbieterwechsel
Widerspruch	Art. 21	Werbung, Profiling und Newsletter stoppen
Keine automatisierte Entscheidung	Art. 22	Gegen rein maschinelle Entscheidungen (z. B. Scoring) eine menschliche Prüfung verlangen

Dazu kommt die Informationspflicht (Art. 13 und 14): Schon bei der Erhebung muss man erfahren, wer die Daten wofür verarbeitet. Diese sieben Rechte gelten gegenüber jedem Verantwortlichen - vom Onlineshop über die Versicherung bis zur Behörde.

Recht auf Auskunft: das mächtigste Werkzeug

Das Auskunftsrecht nach Art. 15 ist der Türöffner. Sie können von jedem Unternehmen verlangen zu erfahren, ob und welche Daten über Sie verarbeitet werden, zu welchem Zweck, woher sie stammen und an wen sie weitergegeben wurden. Dazu steht Ihnen eine kostenlose Kopie dieser Daten zu.

Kostenlos heißt grundsätzlich kostenlos: Die erste Kopie ist unentgeltlich. Nur bei offenkundig unbegründeten oder exzessiven, etwa ständig wiederholten Anträgen darf ein angemessenes Entgelt verlangt werden. Ein einmaliges, sachliches Begehren kostet nichts.

Besonders relevant ist das im Finanzbereich. Wirtschaftsauskunfteien wie KSV1870 oder CRIF müssen Ihnen einmal jährlich kostenlos Auskunft über Ihren gespeicherten Bonitätsdatensatz geben. Wer einen Kredit aufnehmen oder eine Wohnung mieten will, sollte diesen Datensatz kennen, bevor es ein Dritter tut - falsche Einträge lassen sich nur korrigieren, wenn man sie sieht.

Löschung, Berichtigung und Einschränkung - und ihre Grenzen

Stellt sich heraus, dass Daten falsch sind, greift das Recht auf Berichtigung (Art. 16): Der Verantwortliche muss unrichtige Daten korrigieren. Sind sie gar nicht mehr nötig, kommt das Recht auf Löschung (Art. 17) ins Spiel, oft “Recht auf Vergessenwerden” genannt. Es gilt, wenn der Zweck weggefallen ist, Sie die Einwilligung widerrufen oder die Verarbeitung unrechtmäßig war.

Das Löschungsrecht hat aber klare Grenzen, und die sind im Finanzalltag wichtig. Daten dürfen nicht gelöscht werden, solange gesetzliche Aufbewahrungspflichten greifen - steuerliche Belege etwa unterliegen jahrelangen Fristen, und auch zur Durchsetzung oder Abwehr von Rechtsansprüchen dürfen Daten bleiben. Eine Bank muss Kontodaten also nicht auf Zuruf löschen, solange sie buchhalterisch dazu verpflichtet ist.

Dazwischen liegt das Recht auf Einschränkung (Art. 18): Die Daten bleiben gespeichert, dürfen aber nicht weiterverarbeitet werden. Das ist die richtige Wahl, wenn ein Streit über die Richtigkeit läuft - die Daten werden eingefroren, bis geklärt ist, was stimmt. Beispiel: Kundendaten bleiben für die Abrechnung erhalten, dürfen aber nicht mehr für Werbung genutzt werden.

Widerspruch und Datenübertragbarkeit

Zwei Rechte werden im Alltag unterschätzt. Mit dem Widerspruch (Art. 21) können Sie der Verarbeitung Ihrer Daten zu Werbe- und Marketingzwecken jederzeit und ohne Begründung widersprechen - das Unternehmen muss die Daten dann für Direktwerbung sperren. Wer Newsletter, personalisierte Werbung oder Profiling loswerden will, hat hier das passende Instrument.

Die Datenübertragbarkeit (Art. 20) erlaubt, die eigenen Daten in einem gängigen, maschinenlesbaren Format zu erhalten und zu einem anderen Anbieter mitzunehmen. Das gilt, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt. Praktisch wird das beim Anbieterwechsel; verwandt, wenn auch eigenständig geregelt, ist der bankrechtliche Kontowechsel, bei dem die alte Bank Daueraufträge und Lastschriften an die neue überträgt.

Automatisierte Entscheidungen und Scoring

Für Finanzfragen ist Art. 22 das vielleicht unterschätzteste Recht. Er schützt davor, einer ausschließlich automatisierten Entscheidung mit rechtlicher oder erheblich beeinträchtigender Wirkung unterworfen zu werden - der klassische Fall ist das automatische Kredit-Scoring. Wird ein Kreditantrag allein von einem Algorithmus abgelehnt, ohne dass ein Mensch beteiligt ist, haben Sie das Recht, das Eingreifen einer Person zu verlangen, Ihren Standpunkt darzulegen und die Entscheidung anzufechten.

Praktisch heißt das: Eine Bank darf nicht achselzuckend auf “das System” verweisen. Sie können verlangen, dass ein Mensch den Fall prüft, und über das Auskunftsrecht erfahren, welche Datenkategorien in die Bewertung eingeflossen sind - nicht den geheimen Algorithmus selbst, aber die Logik dahinter in nachvollziehbarer Form. Wer einen abgelehnten Kredit oder Vertrag nicht versteht, sollte beides kombinieren: Auskunft nach Art. 15 plus das Recht auf menschliche Überprüfung nach Art. 22. Häufig stellt sich dann heraus, dass ein veralteter oder falscher Eintrag die Ursache war.

Häufige Irrtümer

Drei Missverständnisse kosten regelmäßig Zeit und Geld. Erstens: “Ich kann alle meine Daten löschen lassen.” Falsch - gesetzliche Aufbewahrungspflichten gehen vor, eine Bank löscht Buchungsdaten nicht auf Wunsch. Zweitens: “Die Auskunft kostet etwas.” Falsch - die erste Kopie ist gratis. Drittens: “Die Datenschutzbehörde holt mir mein Geld.” Falsch - sie stellt nur die Verletzung fest, Schadenersatz läuft über das Gericht. Wer diese drei Punkte kennt, formuliert von vornherein realistische Begehren - und bekommt schneller ein Ergebnis.

So stellen Sie ein Auskunftsbegehren

Ein wirksames Auskunftsbegehren ist kein Behördenakt, sondern eine kurze, klare Nachricht. So gehen Sie vor:

Adressat finden. Richten Sie das Begehren an den Datenschutzverantwortlichen des Unternehmens - meist im Impressum oder in der Datenschutzerklärung genannt (oft eine Adresse wie datenschutz@firma.at).
Klar formulieren. Berufen Sie sich ausdrücklich auf Art. 15 DSGVO und verlangen Sie Auskunft über alle gespeicherten Daten samt einer kostenlosen Kopie.
Identität nachweisen. Bei Zweifeln darf der Verantwortliche einen Identitätsnachweis verlangen - geben Sie nur so viel preis wie nötig.
Nachweisbar senden. Per E-Mail mit Lesebestätigung oder eingeschrieben. So läuft die Monatsfrist beweisbar.
Frist im Blick behalten. Kommt binnen eines Monats keine Antwort (oder keine begründete Verlängerung), ist das bereits ein Verstoß - der Weg zur Datenschutzbehörde steht offen.

Ein Muster braucht es nicht: Zwei Sätze mit Bezug auf Art. 15 und der Bitte um eine kostenlose Datenkopie genügen. Wichtiger als die Form ist die Nachweisbarkeit von Absendung und Datum.

Recht auf Benachrichtigung bei einem Datenleck

Ein Recht, das erst im Ernstfall sichtbar wird: Kommt es bei einem Unternehmen zu einer Datenpanne, die ein hohes Risiko für Ihre Rechte bedeutet - etwa ein Leck mit Konto- oder Ausweisdaten -, muss der Verantwortliche Sie unverzüglich benachrichtigen (Art. 34 DSGVO). Diese Meldung ist mehr als eine Formalie: Sie ist das Startsignal, um Passwörter zu ändern, Konten zu beobachten und Vorsorge gegen einen Identitätsdiebstahl zu treffen. Wer eine solche Benachrichtigung erhält, sollte sie nie ignorieren - sie ist eine Vorwarnung, kein Werbe-Mail.

Beschwerde bei der Datenschutzbehörde

Reagiert ein Unternehmen nicht, verweigert die Auskunft oder verarbeitet Daten rechtswidrig, können Sie sich bei der österreichischen Datenschutzbehörde (DSB) beschweren. Das Verfahren ist ein Zwei-Parteien-Verfahren: Die Behörde holt eine Stellungnahme der Gegenseite ein, gewährt Ihnen Parteiengehör und ermittelt.

Beschwerde bei der DSB	Detail
Frist	binnen 1 Jahr ab Kenntnis, längstens 3 Jahre nach dem Vorfall (§ 24 DSG)
Kosten	grundsätzlich kostenlos (Gebühr bis 400 € nur bei missbräuchlicher Nutzung)
Adresse	Barichgasse 40-42, 1030 Wien
E-Mail	dsb@dsb.gv.at
Online	Beschwerdeformular auf dsb.gv.at

Die Beschwerde muss das verletzte Recht benennen, die Gegenseite bezeichnen, den Sachverhalt schildern und das Begehren samt Zeitangaben zur Rechtzeitigkeit enthalten. Ein wichtiger Punkt, den viele übersehen: Die Behörde stellt die Rechtsverletzung fest, sie spricht aber keinen Schadenersatz zu. Wer materiellen oder immateriellen Schadenersatz nach Art. 82 DSGVO will, muss diesen getrennt bei den ordentlichen Gerichten einklagen.

Wann lohnt der Aufwand? Immer dann, wenn das Recht ins Geld geht - falsche Bonitätseinträge, missbrauchte Daten nach einem Identitätsdiebstahl oder ein Unternehmen, das Sie trotz Widerspruchs mit Werbung verfolgt. Bei zweifelhaften Verträgen oder Inkassoforderungen ergänzt der Konsumentenschutz die datenschutzrechtliche Seite, und wer ohnehin in finanzieller Schieflage ist, findet bei der Schuldenberatung zusätzlich Hilfe. Wie Sie Ihre Daten technisch absichern, bevor es überhaupt zum Streitfall kommt, steht im Beitrag zur Online-Banking-Sicherheit. Die DSGVO gibt Ihnen die Werkzeuge - benutzen muss man sie selbst.

Quellen (3)

Häufig gestellte Fragen

Welche Rechte habe ich nach der DSGVO?

Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20), Widerspruch (21) und das Recht, keiner rein automatisierten Entscheidung unterworfen zu werden (22). Dazu Information bei Erhebung (13/14).

Ist eine DSGVO-Auskunft kostenlos?

Grundsätzlich ja. Die erste Kopie der Daten ist unentgeltlich. Nur bei offenkundig unbegründeten oder exzessiven, etwa ständig wiederholten Anträgen darf ein angemessenes Entgelt verlangt oder der Antrag abgelehnt werden.

Wie lange hat ein Unternehmen Zeit, auf mein Auskunftsbegehren zu antworten?

Einen Monat ab Eingang des Antrags. Die Frist kann bei besonders komplexen oder zahlreichen Anträgen um bis zu zwei weitere Monate verlängert werden - das muss aber begründet und mitgeteilt werden.

Kann ich verlangen, dass meine Daten gelöscht werden?

Ja, wenn die Daten nicht mehr nötig sind, Sie die Einwilligung widerrufen oder die Verarbeitung unrechtmäßig war (Art. 17). Das Recht gilt aber nicht gegen gesetzliche Aufbewahrungspflichten, etwa steuerliche Belege oder laufende Rechtsansprüche.

Wie beschwere ich mich bei der Datenschutzbehörde?

Schriftlich per Post (Barichgasse 40-42, 1030 Wien), E-Mail (dsb@dsb.gv.at) oder Online-Formular. Die Beschwerde ist grundsätzlich kostenlos und muss binnen einem Jahr ab Kenntnis, längstens drei Jahre nach dem Vorfall, eingebracht werden.

Bekomme ich von der Datenschutzbehörde Schadenersatz?

Nein. Die Behörde stellt nur die Rechtsverletzung fest. Schadenersatz nach Art. 82 DSGVO - auch für immateriellen Schaden - müssen Sie getrennt bei den ordentlichen Gerichten einklagen.