In Österreich wurden zwei unabhängige Aufsichtsbehörden im Sinne des Art. 51 DSGVO eingerichtet: die Datenschutzbehörde und das Parlamentarische Datenschutzkomitee (PDK). Das PDK ist seit dem 1. Jänner 2025 als Aufsichtsbehörde für den Bereich der Gesetzgebung zuständig.
Datenschutzaufsicht im Bereich
der (Hilfs-)Organe der Gesetzgebung des Bundes
Das PDK ist gemäß § 35a Abs. 1 DSG zuständig für die Aufsicht über Datenverarbeitungen
- des Nationalrates und des Bundesrates einschließlich deren Mitglieder in Ausübung ihres Mandates sowie der Funktionäre gemäß § 56i Abs. 1 Z 1 bis 3 VfGG (Verfahrensrichter, Verfahrensanwalt sowie deren Stellvertreter, Ermittlungsbeauftragte),
- des Rechnungshofes und der Volksanwaltschaft,
- der obersten Organe gemäß Art. 30 Abs. 3 bis 6 B-VG (Präsident des Nationalrates), Art. 125 B-VG (Präsidentin des Rechnungshofes) und Art. 148h Abs. 1 und 2 B-VG (Vorsitzender der Volksanwaltschaft) im Bereich der diesen zustehenden Verwaltungsangelegenheiten.
© Parlamentsdirektion/Bernhard ZofallDatenschutzaufsicht im Bereich der (Hilfs-)Organe der Gesetzgebung der Länder
Gemäß § 35a Abs. 2 DSG kann durch Landesverfassungsgesetz die Zuständigkeit des PDK für die Aufsicht über die Verarbeitungen der Landtage einschließlich deren Mitglieder in Ausübung ihres Mandates, der Landesrechnungshöfe und der Landesvolksanwälte vorgesehen werden.
Dabei kann auch die Zuständigkeit für die Aufsicht über die Verarbeitungen im Bereich der Verwaltungsangelegenheiten der Landtage, Landesrechnungshöfe und der Landesvolksanwälte vorgesehen werden. Sofern von der Möglichkeit nicht Gebrauch gemacht wird, bleibt insoweit die Datenschutzbehörde zuständige Aufsichtsbehörde (vgl. § 24 Abs. 1 in Verbindung mit § 35a Abs. 2 und § 35f Abs. 1 DSG).
Alle neun Bundesländer haben datenschutzrechtliche Begleitregelungen für den Bereich der Gesetzgebung erlassen und eine Zuständigkeit des PDK vorgesehen:
- Burgenland (seit 1.9.2025)
- Kärnten (seit 1.1.2026)
- Niederösterreich (seit 13.5.2025)
- Oberösterreich (seit 1.9.2025)
- Salzburg (seit 1.7.2025)
- Steiermark (seit 1.9.2025)
- Tirol (seit 1.9.2025)
- Vorarlberg (seit 5.9.2025)
- Wien (seit 11.12.2025)
© Parlamentsdirektion/Anna RauchenbergerDatenverarbeitungen durch natürliche und juristische Personen, die nicht in den Zuständigkeitsbereich des PDK fallen, unterliegen der Aufsicht der Datenschutzbehörde (DSB) (§ 18 Abs. 1, § 24 Abs. 1 DSG).
Die Datenschutzbehörde wurde zudem als (einzige) nationale Aufsichtsbehörde nach der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr eingerichtet (§ 31 Abs. 1 DSG).
Anwendungsfälle
Im Bereich der Gesetzgebung ist das PDK beispielsweise zuständig für Datenschutzbeschwerden im Zusammenhang mit
- Datenverarbeitungen im Rahmen von parlamentarischen Untersuchungsausschüssen, wie etwa Veröffentlichungen von Protokollen über öffentliche Befragungen von Auskunftspersonen und Sachverständigen, Veröffentlichungen von schriftlichen Stellungnahmen von Auskunftspersonen oder Veröffentlichungen von Ladungslisten
- Veröffentlichungen von personenbezogenen Daten im Rahmen von parlamentarischen Anfragen und Anfragebeantwortungen
- Veröffentlichungen von personenbezogenen Daten im Rahmen von Wortmeldungen in Sitzungen
- Veröffentlichungen von Stellungnahmen von Privatpersonen im Rahmen von Begutachtungsverfahren
- Datenverarbeitungen im Prüf- und Kontrollbereich der Volksanwaltschaft und des Rechnungshofes
Das PDK ist zudem zuständig für die Aufsicht über Datenverarbeitungen im Bereich der Verwaltungsangelegenheiten des Präsidenten des Nationalrates, der Präsidentin des Rechnungshofes, des Vorsitzenden der Volksanwaltschaft sowie – sofern die jeweiligen Länder eine Zuständigkeit des PDK vorgesehen haben – der Landtage, der Landesrechnungshöfe und der Landesvolksanwälte. In diesen Bereich fallen beispielsweise Datenschutzbeschwerden im Zusammenhang mit
- Videoüberwachungen
- Datenverarbeitungen im Rahmen des Veranstaltungs- und Besuchermanagements
- Datenverarbeitungen im Rahmen der Personalverwaltung
- Datenverarbeitungen im Zusammenhang mit dem Besuch von Websites („Cookies“) und Social Media-Kanälen
© Parlamentsdirektion/Thomas Topf
