Als personenbezogen zählt jede Information, die eine Person identifizierbar macht – auch eine IP-Adresse oder eine Cookie-ID. Drei Prinzipien ziehen sich durch alle Vorgaben: Zweckbindung (Daten nur für den angegebenen Zweck nutzen), Datenminimierung (nur erheben, was gebraucht wird) und Speicherbegrenzung (löschen, sobald der Zweck erfüllt ist). Dazu kommen Betroffenenrechte wie Auskunft, Berichtigung, Löschung und Widerspruch, die jede Website technisch und organisatorisch bedienen können muss.
In der Praxis bedeutet das für eine österreichische Website: eine Datenschutzerklärung, die tatsächlich beschreibt, was passiert, statt ein generisches Muster aus dem Internet zu kopieren; einen Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter; und ein Kontaktformular, das nur die Felder abfragt, die für die Anfrage nötig sind. Kommt es zu einer Datenpanne, etwa einer gehackten Kund:innen-Datenbank, muss die DSB binnen 72 Stunden informiert werden.
Der häufigste Fehler ist, Datenschutz und Cookie-Consent zu verwechseln: Eine korrekte Datenschutzerklärung ersetzt keine gültige Einwilligung fürs Tracking, und umgekehrt. Beide Bausteine gehören zusammen, ebenso wie die DSGVO als Rechtsrahmen dahinter. Dieser Text ist eine Einordnung für den Alltag, keine Rechtsberatung – bei konkreten Fragen hilft eine Datenschutzjuristin oder die DSB selbst weiter.
