Welche Datenschutzregeln gelten für Projekte in Österreich?
Wie in allen EU-Staaten gilt in Österreich die Datenschutz-Grundverordnung unmittelbar. Sie regelt, wann personenbezogene Daten verarbeitet werden dürfen, welche Rechte Betroffene haben und welche Pflichten Verantwortliche und Auftragsverarbeiter treffen. Ergänzend gilt das österreichische Datenschutzgesetz. Es enthält Durchführungsbestimmungen, regelt die Datenschutzbehörde und enthält mit § 1 eine Verfassungsbestimmung, die über die DSGVO hinausgeht [4].
In Projekten fallen personenbezogene Daten überall an: Namen und Kontaktdaten in Aufgaben, Zeiterfassung der Beschäftigten, Kommentare, Protokolle, Dokumente mit Kundendaten. Wer ein Projekt in einem SaaS-Tool führt, ist in der Regel Verantwortlicher, der Toolanbieter Auftragsverarbeiter. Das verlangt einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Warum sind in Österreich auch Unternehmen geschützt?
§ 1 Abs. 1 DSG gibt jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse besteht. Die DSGVO findet nur auf Daten natürlicher Personen Anwendung, personenbezogene Daten juristischer Personen werden aber vom Grundrecht nach § 1 Abs. 1 DSG erfasst; eine Anpassung scheiterte 2018 an der für Verfassungsgesetze erforderlichen Mehrheit [1].
Die Datenschutzbehörde hat das in einem Bescheid vom 8. Oktober 2025 erneut bestätigt: Juristische Personen sind weiterhin vom Schutzbereich des Grundrechts umfasst und aktiv legitimiert, Beschwerde nach § 24 DSG zu erheben, wenn sie eine Verletzung der durch § 1 DSG gewährleisteten Rechte behaupten [2]. Die Wirtschaftskammer weist darauf hin, dass Unternehmen sich nach derzeitiger Rechtsprechung wegen Verletzungen durch Verantwortliche mit Sitz in Österreich beschweren können [3].
| Datenart im Projekt | DSGVO | § 1 DSG |
|---|---|---|
| Name und E-Mail einer Ansprechperson | geschützt | geschützt |
| Arbeitszeiten von Beschäftigten | geschützt | geschützt |
| Umsatzzahlen eines Kundenunternehmens | nicht erfasst | geschützt, wenn schutzwürdiges Interesse |
| Vertragsdetails zwischen zwei GmbHs | nicht erfasst | geschützt, wenn schutzwürdiges Interesse |
Praktisch bedeutet das: Wer in einem Projekt Informationen über Kundenunternehmen, Lieferanten oder Partner verarbeitet, sollte diese mit derselben Sorgfalt behandeln wie Personendaten. Zugriffsrechte, Vertraulichkeit und Löschung gelten auch für Firmendaten. Firmennamen, die den Namen einer natürlichen Person enthalten, sollten sicherheitshalber wie DSGVO-Daten behandelt werden [3].
Welche Datenschutzbausteine braucht ein Projekt?
- 1Verzeichnis der Verarbeitungstätigkeiten: Welche Daten fallen im Projekt an, zu welchem Zweck, wie lange?
- 2Auftragsverarbeitungsvertrag mit jedem Tool- und Dienstleister, der Projektdaten verarbeitet.
- 3Rollen und Zugriffsrechte: Wer sieht welche Projekte, Zeiten und Dokumente?
- 4Löschkonzept: Was wird nach Projektende gelöscht, was aus Aufbewahrungsgründen behalten?
- 5Umgang mit Datenpannen: Meldeweg an die Datenschutzbehörde binnen 72 Stunden nach Art. 33 DSGVO.
- 6Externe Mitarbeit: Zugriff für Freelancer und Partner nur so weit wie nötig, siehe Vertragsform.
Externe Fachleute erhalten im Projekt oft Zugriff auf Kundendaten. Je nach Vertragsform sind sie Teil der eigenen Organisation oder selbst Verantwortliche beziehungsweise Auftragsverarbeiter; die Abgrenzung zeigt der Beitrag zu Werkvertrag und freiem Dienstvertrag. Auch die Arbeitszeitdaten der Beschäftigten sind personenbezogen; die gesetzliche Pflicht dazu beschreibt der Beitrag zur Arbeitszeitaufzeichnung.
Worauf sollten Sie bei einem Projekttool achten?
Ein Projekttool verarbeitet fast alle Daten eines Projekts. Entscheidend sind ein Vertrag zur Auftragsverarbeitung, nachvollziehbare technische und organisatorische Maßnahmen, eine transparente Liste der Unterauftragsverarbeiter und der Speicherort der Daten. Hinzu kommen Funktionen, die Datenschutz im Alltag einfach machen: fein steuerbare Rollen, ein Export aller Daten, eine vollständige Löschung bei Vertragsende und ein Protokoll, wer wann was geändert hat.
Flenio speichert die Kerndaten in Zürich, stellt den Vertrag zur Auftragsverarbeitung im Workspace bereit und bietet Rollen, Export und Löschung. Für Kanzleien und Berufsgeheimnisträger gelten zusätzlich die Berufsregeln. Die Schweizer Perspektive auf Datenstandort und Berufsgeheimnis beschreibt der Recht-Leitfaden Schweiz; die deutsche Sicht auf DSGVO und Projektmanagement findet sich unter DSGVO im Projektmanagement.
Welche Daten fallen in einem typischen Projekt an?
Am Beispiel eines Agenturprojekts lässt sich zeigen, wie vielfältig die Daten sind und auf welche Rechtsgrundlagen sich ihre Verarbeitung typischerweise stützt. Die Rechtsgrundlagen stammen aus Art. 6 Abs. 1 DSGVO; welche im Einzelfall trägt, hängt vom Zweck ab.
| Datenkategorie | Beispiel | Typische Rechtsgrundlage | Löschung |
|---|---|---|---|
| Kontaktdaten Kunde | Name, E-Mail, Telefon der Ansprechpersonen | Vertrag (lit. b) oder berechtigtes Interesse (lit. f) | nach Projektende, sofern keine Aufbewahrungspflicht |
| Arbeitszeiten des Teams | Beginn, Ende, Projektzeiten | rechtliche Pflicht (lit. c) nach AZG, Vertrag | nach Ende der Aufbewahrungs- und Verjährungsfristen |
| Inhalte des Kunden | Kampagnendaten, Zielgruppen, Entwürfe | Vertrag (lit. b) | nach Vertragsende gemäß Vereinbarung |
| Kommunikation | Kommentare, Protokolle, E-Mails | Vertrag (lit. b), berechtigtes Interesse (lit. f) | nach Projektende, außer für Nachweiszwecke |
| Rechnungsdaten | Leistungsnachweise, Rechnungen | rechtliche Pflicht (lit. c) | nach steuerlichen Aufbewahrungsfristen |
Wie setzen Sie Datenminimierung im Projekttool um?
- Projekte nach Kunden trennen und Zugriffe nur für Beteiligte freigeben.
- Externe Fachleute in eigene Rollen setzen, die nur ihre Projekte und Aufgaben sehen.
- Zeiten und Kosten der Beschäftigten nur Leitungsrollen und der Person selbst zeigen.
- Sensible Dokumente nicht in Kommentaren, sondern in geschützten Ordnern ablegen.
- Projekte nach Abschluss archivieren und nach Fristablauf löschen statt unbegrenzt aufzubewahren.
- Exporte bewusst steuern: Wer darf alle Daten eines Workspace exportieren?
Datenminimierung ist kein einmaliges Projekt, sondern eine Gewohnheit. Ein guter Zeitpunkt für eine Überprüfung ist der Projektabschluss: Wer braucht noch Zugriff, welche Daten können gelöscht werden, was muss aus rechtlichen Gründen bleiben? Für Firmendaten gilt in Österreich wegen § 1 DSG dieselbe Sorgfalt wie für Personendaten [1].
Was tun bei einer Datenpanne im Projekt?
- 1Vorfall erfassen: Was ist passiert, welche Daten sind betroffen, seit wann?
- 2Sofortmaßnahmen setzen: Zugriffe sperren, Passwörter ändern, Freigabelinks deaktivieren.
- 3Risiko bewerten: Welche Folgen drohen den betroffenen Personen?
- 4Meldung an die Datenschutzbehörde binnen 72 Stunden nach Bekanntwerden, wenn ein Risiko besteht (Art. 33 DSGVO).
- 5Betroffene benachrichtigen, wenn ein hohes Risiko besteht (Art. 34 DSGVO).
- 6Vorfall dokumentieren und Ursache beheben, auch wenn keine Meldung nötig war.
Typische Datenpannen in Projekten sind falsch adressierte E-Mails mit Anhängen, öffentlich geteilte Links auf interne Dokumente oder Zugänge ehemaliger Mitarbeitender, die nicht gesperrt wurden. Eine klare Offboarding-Routine und befristete Freigabelinks verhindern viele dieser Fälle. Entscheidungen und Leitfäden der Datenschutzbehörde finden sich auf deren Website [4].
Was ist bei Tools mit Sitz außerhalb der EU zu beachten?
Viele Projekttools haben ihren Sitz oder ihre Rechenzentren außerhalb der EU. Eine Übermittlung personenbezogener Daten in Drittländer ist nach der DSGVO nur unter besonderen Voraussetzungen zulässig, etwa auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder mit Standardvertragsklauseln und ergänzenden Maßnahmen. Für die Schweiz besteht ein Angemessenheitsbeschluss. Für Projekte heißt das: Vor der Einführung eines Tools prüfen, wo die Daten liegen, welche Unterauftragsverarbeiter beteiligt sind und auf welcher Grundlage Übermittlungen erfolgen.
Für österreichische Unternehmen kommt hinzu, dass auch Firmendaten nach § 1 DSG geschützt sind. Wer Kundenunternehmen Vertraulichkeit zusagt, sollte deshalb auch bei Firmendaten wissen, wo sie verarbeitet werden. Ein transparenter Anbieter nennt Speicherort, Unterauftragsverarbeiter und technische Maßnahmen offen und stellt den Vertrag zur Auftragsverarbeitung ohne lange Verhandlung bereit.
Wer ist im Projekt verantwortlich?
Datenschutz braucht klare Zuständigkeiten. Verantwortlich im Sinn der DSGVO ist das Unternehmen, das über Zwecke und Mittel der Verarbeitung entscheidet, in der Regel also die Agentur oder das Beratungsunternehmen, das das Projekt führt. Innerhalb des Projekts empfiehlt sich eine Person, die Zugriffsrechte vergibt und bei Projektende für Archivierung und Löschung sorgt. Bei größeren Organisationen kommt die Abstimmung mit der oder dem Datenschutzbeauftragten hinzu, etwa bei neuen Tools oder ungewöhnlichen Datenarten.
Hilfreich ist eine kurze Datenschutz-Checkliste je Projekt, die beim Kick-off ausgefüllt und beim Abschluss erneut geprüft wird. Sie hält fest, welche Daten verarbeitet werden, wer Zugriff hat und wann gelöscht wird.
Österreich, Deutschland und Schweiz im Datenschutzvergleich
In Deutschland und Österreich gilt die DSGVO, ergänzt durch das BDSG beziehungsweise das DSG; nur Österreich schützt zusätzlich juristische Personen auf Verfassungsebene. Die Schweiz ist kein EU-Mitglied und hat mit dem revidierten Datenschutzgesetz seit September 2023 ein eigenes, an die DSGVO angenähertes Recht. Für Projekte mit Kunden in allen drei Ländern lohnt es sich, die strengere Regel als Standard zu wählen.
Für Rechnungen an öffentliche Auftraggeber kommen weitere Pflichten hinzu, etwa die strukturierte elektronische Rechnung, siehe E-Rechnung an den Bund. Den Gesamtüberblick über alle Rechtsthemen im Projekt bietet der Recht-Leitfaden Österreich.