Sobald ein Betrieb eine Website hat, E-Mails verschickt und Kundendaten speichert, gelten mehrere Gesetze gleichzeitig. Dieser Überblick zeigt, welches Gesetz was regelt und für wen es gilt – Stand Oktober 2026. Er ersetzt keine Rechtsberatung, hilft dir aber, die richtigen Fragen zu stellen.
Welche Gesetze betreffen mein Unternehmen?
Für praktisch alle Unternehmen gelten DSGVO, Datenschutzgesetz, E-Commerce-Gesetz und Telekommunikationsgesetz. NISG 2026 und DORA betreffen nur bestimmte Branchen und Größen.
- DSGVO und DSG: alle, die personenbezogene Daten verarbeiten – also jeder Betrieb mit Kunden, Mitarbeitern oder Lieferanten.
- ECG: alle, die eine Website oder einen Online-Shop betreiben.
- TKG 2021: alle, die Cookies setzen oder Werbe-Mails verschicken.
- NISG 2026: mittlere und große Unternehmen in Sektoren wie Energie, Verkehr, Gesundheit, Digitales, Abfall, Lebensmittel oder Produktion.
- DORA: Banken, Versicherungen, Wertpapierfirmen und andere Finanzunternehmen sowie deren IT-Dienstleister.
DSGVO und Datenschutzgesetz
Die Datenschutz-Grundverordnung gilt seit Mai 2018 in der ganzen EU, in Österreich ergänzt durch das Datenschutzgesetz (DSG). Zuständig ist die Datenschutzbehörde in Wien. Die wichtigsten Pflichten:
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30): Welche Daten verarbeitest du wofür?
- Auftragsverarbeitungsverträge (Art. 28) mit allen Dienstleistern, die Daten für dich verarbeiten – vom IT-Betreuer bis zum Cloud-Anbieter.
- Technische und organisatorische Maßnahmen (Art. 32): angemessene IT-Sicherheit, etwa Zugriffsschutz, Verschlüsselung, Backups.
- Meldung von Datenpannen (Art. 33): an die Datenschutzbehörde in der Regel binnen 72 Stunden.
- Informationspflichten (Art. 13): eine Datenschutzerklärung auf der Website und bei der Datenerhebung.
Bei Verstößen sind Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes möglich.
E-Commerce-Gesetz (ECG)
Das ECG regelt Informationspflichten für Online-Dienste. Nach § 5 ECG müssen auf der Website unter anderem Name, Anschrift, E-Mail-Adresse, gegebenenfalls Firmenbuchnummer und UID-Nummer, die zuständige Kammer und Aufsichtsbehörde leicht auffindbar sein – in der Praxis im Impressum. Dazu kommt die Offenlegung nach § 25 Mediengesetz. Außerdem regelt das ECG, wie Werbung gekennzeichnet und wie Online-Verträge abgeschlossen werden.
Telekommunikationsgesetz (TKG 2021)
Zwei Punkte betreffen fast jeden Betrieb: Für Cookies, die nicht technisch notwendig sind, braucht es eine Einwilligung (§ 165 TKG 2021) – daher das Cookie-Banner. Und Werbe-Mails an Privatpersonen sind grundsätzlich nur mit vorheriger Zustimmung erlaubt (§ 174 TKG 2021).
NISG 2026 (Umsetzung von NIS2)
Das Netz- und Informationssystemsicherheitsgesetz 2026 setzt die EU-Richtlinie NIS2 um und gilt seit 1. Oktober 2026. Zuständig ist das neue Bundesamt für Cybersicherheit im Innenministerium.
- Wer: grundsätzlich mittlere Unternehmen (ab 50 Beschäftigten oder über 10 Mio. Euro Jahresumsatz und Bilanzsumme) und große Unternehmen in den Sektoren der Anlagen 1 und 2, einige Bereiche wie bestimmte digitale Dienste auch unabhängig von der Größe.
- Registrierung: elektronisch über das Unternehmensserviceportal (USP) bis Ende 2026.
- Pflichten: Risikomanagement mit Maßnahmen wie Backups, Zugriffskontrolle, MFA, Schwachstellenmanagement und Lieferkettensicherheit; Meldung erheblicher Vorfälle mit Frühwarnung binnen 24 Stunden.
- Verantwortung: Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich schulen lassen.
Ob dein Betrieb betroffen ist, erklärt ausführlich unser Beitrag NIS2: Was wirklich gilt.
DORA (Digital Operational Resilience Act)
Die EU-Verordnung 2022/2554 gilt seit 17. Jänner 2025 unmittelbar für Finanzunternehmen. Sie verlangt ein IKT-Risikomanagement, die Meldung schwerer IT-Vorfälle, regelmäßige Tests und strenge Verträge mit IT-Dienstleistern. In Österreich beaufsichtigt die Finanzmarktaufsicht (FMA). Betroffen sind indirekt auch IT-Dienstleister, die für Finanzunternehmen arbeiten: Sie müssen vertragliche Anforderungen ihrer Kunden erfüllen.
Weitere Regeln, die du kennen solltest
- Barrierefreiheitsgesetz (BaFG): Seit 28. Juni 2025 müssen bestimmte Online-Dienste für Verbraucher, etwa Webshops, barrierefrei sein. Kleinstunternehmen mit Dienstleistungen sind ausgenommen.
- AI Act: Pflichten beim Einsatz von KI, siehe AI Act einfach erklärt.
- Cyber Resilience Act: Pflichten für Hersteller vernetzter Produkte, Meldepflichten seit September 2026, umfassende Anforderungen ab Dezember 2027.
Wichtig: Rechtstexte wie Impressum und Datenschutzerklärung sollten von Fachleuten oder geprüften Generatoren stammen. Wir kümmern uns um die technische Umsetzung – als WKO-geprüfter Datenschutzexperte auch um die Abstimmung von IT und DSGVO.
Häufige Fragen
Mein Betrieb hat fünf Mitarbeiter. Welche Gesetze gelten für mich?
Mit Sicherheit DSGVO, DSG, ECG und TKG. NISG 2026 und DORA betreffen dich in aller Regel nicht direkt – aber möglicherweise indirekt, wenn große Kunden von dir als Lieferant Sicherheitsnachweise verlangen.
Wer prüft, ob mein Betrieb alles einhält?
Die Datenschutzbehörde bei Datenschutz, das Bundesamt für Cybersicherheit beim NISG, die FMA bei DORA. In der Praxis fallen Lücken meist nach einer Beschwerde oder einem Vorfall auf. Eine Bestandsaufnahme vorab ist günstiger: Erstgespräch vereinbaren.
