Österreich: DSG, Amtsgeheimnis und KI

Was hat sich am 1. September 2025 geändert?

Die verfassungsrechtliche Amtsverschwiegenheit ist weg. Art. 20 Abs. 3 bis 5 B-VG wurden aufgehoben, der neue Art. 22a B-VG und das Informationsfreiheitsgesetz (IFG) gelten seither. Sie bringen zwei Pflichten:

• Proaktiv veröffentlichen: Informationen von allgemeinem Interesse, etwa Studien, Gutachten und Verträge ab 100 000 Euro, gehören ins Internet (§ 4 IFG). Gemeinden unter 5 000 Einwohnern sind ausgenommen.
• Auf Antrag Zugang geben: Jeder darf Informationen verlangen. Die Behörde antwortet binnen vier Wochen, in Ausnahmefällen binnen acht (§ 8 IFG).

Was bleibt geheim?

Was § 6 IFG schützt, bleibt geheim, soweit und solange es nötig und verhältnismäßig ist. Für die Arbeit mit KI sind vor allem diese Gründe wichtig:

Grund nach § 6 Abs. 1 IFG	Beispiel aus der Verwaltung
Vorbereitung einer Entscheidung (Z 5)	Entwurf eines Bescheids, interne Abwägung
Behördliches oder gerichtliches Verfahren (Z 5 lit. b)	laufendes Verfahren, Prüfung
Schutz personenbezogener Daten (Z 7 lit. a)	Anträge, Akten über Bürgerinnen und Bürger
Berufs-, Geschäfts- und Betriebsgeheimnisse (Z 7 lit. b)	Angebote von Unternehmen
Öffentliche Ordnung und Sicherheit (Z 4)	Sicherheitskonzepte, Einsatzpläne

Beamtinnen und Beamte des Bundes sind nach § 46 BDG 1979 in denselben Fällen zur Geheimhaltung verpflichtet, auch nach dem Ende des Dienstverhältnisses. Wer eine solche Tatsache offenbart oder verwertet und dadurch ein geschütztes Interesse gefährdet, macht sich nach § 310 StGB strafbar. Für Landes- und Gemeindebedienstete gilt das jeweilige Dienstrecht.

Was heißt das für KI in der Behörde?

Geheimhaltung und Datenschutz verlangen dasselbe: Informationen, die geheim zu halten sind, dürfen nicht unkontrolliert die Behörde verlassen. Bei KI kommt es deshalb auf den Weg der Daten an.

• Öffentliche KI-Dienste: Wer Akteninhalte in einen frei zugänglichen Chat kopiert, gibt sie an einen Anbieter, der sie oft auch für eigene Zwecke verwenden darf. Für geheim zu haltende oder personenbezogene Informationen kommt das nicht in Frage.
• KI als Auftragsverarbeitung: Verarbeitet ein Anbieter die Daten nur auf Weisung, mit Vertrag nach Art. 28 DSGVO und ohne eigene Nutzung, bleibt die Behörde Herrin der Daten. Ob das für eine bestimmte Information genügt, beurteilen Ihre Rechtsabteilung und Ihr Datenschutzbeauftragter.
• KI im eigenen Haus: Läuft die KI auf einem Server in Ihrem Rechenzentrum, verlassen die Daten das Haus nicht.

Für die Rechtsgrundlage gilt im öffentlichen Bereich wie in Deutschland: Die Verarbeitung muss zu einer gesetzlichen Aufgabe gehören (Art. 6 Abs. 1 lit. e DSGVO). Das österreichische Datenschutzgesetz (DSG) ergänzt die DSGVO und schützt personenbezogene Daten in § 1 als Grundrecht im Verfassungsrang.

Muss eine Behörde KI-Chatverläufe herausgeben?

Möglicherweise. Information im Sinn des IFG ist „jede amtlichen oder unternehmerischen Zwecken dienende Aufzeichnung“, unabhängig von der Form (§ 2 Abs. 1 IFG). Ein Chatverlauf, in dem eine Sachbearbeiterin einen Bescheid vorbereitet, kann darunter fallen. Häufig greift dann aber eine Ausnahme nach § 6, etwa die Vorbereitung einer Entscheidung oder der Schutz personenbezogener Daten. Legen Sie fest, wofür Beschäftigte die KI nutzen und wie lange Verläufe aufbewahrt werden. Informationsfreiheit und KI-Chatverläufe →

Wie geht das mit basebox?

basebox bietet die Cloud und den Server in Österreich an. Die Cloud läuft in einem Rechenzentrum in Deutschland, der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Teil jedes Vertrags. Der Server steht auf Wunsch in Ihrem Haus, auch ohne Internetverbindung. Oberfläche und Support gibt es auf Deutsch und Englisch.

• Chatverlauf: Er bleibt im Browser der Person, bis sie ihn löscht.
• Protokoll: Das Audit-Log hält fest, wer was wann getan hat. Inhalte von Fragen und Antworten stehen nur darin, wenn Ihr Administrator die ausführliche Protokollierung einschaltet.
• Rechte: Die KI darf nie mehr als die Person, die sie nutzt. Wer eine App teilt, teilt nie Daten.

AVV, TOMs und die Liste der Unterauftragsverarbeiter stehen auf /sicherheit zum Herunterladen.

Keine Rechtsberatung: Dieser Artikel beschreibt Bundesrecht. Für Länder und Gemeinden gelten zusätzlich Landesgesetze und Dienstrecht. Das IFG wird von der Datenschutzbehörde bis 2028 evaluiert; prüfen Sie den aktuellen Stand. Stand der Recherche: 11. Oktober 2026.