NORMATIVO

Weitere wichtige Gesetze in Ö.

Ein erfolgreiches Audit nach ISO 9001 und ISO 27001 verlangt von Unternehmen den Nachweis, dass sie alle relevanten gesetzlichen und behördlichen Pflichten kennen und einhalten (Legal Compliance). 
Rechtlicher Hinweis & Haftungsausschluss
Die vorliegende Übersicht dient ausschließlich der allgemeinen und unverbindlichen Information für Unternehmen. Sie wurde mit größter Sorgfalt erstellt. Da sich Gesetze, behördliche Auslegungen und technische Standards jedoch laufend ändern, wird keine Haftung oder Gewährleistung für die Richtigkeit, Aktualität und Vollständigkeit der Inhalte übernommen.
Dies gilt insbesondere für die komplexen Anforderungen und das regulatorische Zusammenspiel aus:
    • Dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) zur Umsetzung der europäischen NIS-2-Richtlinie in Österreich
    • Der EU-KI-Verordnung (EU AI Act) hinsichtlich der Einstufung von KI-Systemen, der Pflicht zur KI-Kompetenz (AI Literacy) sowie der ab August 2026 geltenden Transparenz- und Kennzeichnungspflichten
    • Der Datenschutz-Grundverordnung (DSGVO)
    • Internationalen Sicherheitsstandards wie der ISO/IEC 27001 (Informationssicherheits-Managementsysteme)

Die bereitgestellten Informationen stellen keine Rechtsberatung dar und können eine individuelle rechtliche, organisatorische oder technische Überprüfung (z. B. durch spezialisierte Rechtsanwälte) im Einzelfall nicht ersetzen. Eine Haftung für Schäden, die durch das Vertrauen auf diese Übersicht entstehen, ist ausgeschlossen.
  
In Österreich stehen dabei besonders folgende Gesetze im Fokus der Auditoren:

E-Commerce-Gesetz (ECG) & Mediengesetz (MedienG)
  • Inhalt: Regelt den elektronischen Geschäftsverkehr und schreibt unmissverständlich vor, wie das Impressum und die Offenlegungspflichten auf Webseiten aussehen müssen.
  • Relevanz: Betrifft jedes Unternehmen mit einer Firmen-Homepage oder einem Online-Shop. Fehler führen schnell zu teuren Abmahnungen.

ABGB - Das Allgemeine Bürgerliche Gesetzbuch
Schadenersatz & Vertragskonformität: Das ABGB (Allgemeines Bürgerliches Gesetzbuch)
 
    • Relevante Gesetze: ABGB (insb. Schadenersatzrecht §§ 1293 ff. und Gewährleistungsrecht)
    • Wer ist betroffen? Jedes Unternehmen, das Verträge abschließt, Produkte verkauft oder Dienstleistungen erbringt.
    • Fokus im Audit (ISO 9001 & ISO 27001):
        • Fehlerminimierung und Haftungsausschluss: Das ABGB regelt, wann ein Unternehmen für Schäden (z. B. durch mangelhafte Produkte, Projektverzögerungen oder Datenverlust) haften muss. Im ISO 9001-Audit (Qualitätsmanagement) müssen Sie nachweisen, dass Sie durch klare Prozesse und Qualitätskontrollen das Risiko von Fehlern und daraus resultierenden Schadenersatzforderungen minimieren.
        • Vertrags- und SLA-Treue: Wenn Sie Kunden vertraglich bestimmte IT-Sicherheitsstandards oder Verfügbarkeiten zusagen (SLA), führt ein Nichteinhalten zu Vertragsstrafen nach dem ABGB. Das ISO 27001-Audit prüft streng, ob Sie die technischen und organisatorischen Fähigkeiten besitzen, diese zivilrechtlichen Verträge auch tatsächlich einzuhalten.
        • Gehilfenhaftung (§ 1313a ABGB): Unternehmen haften für Fehler ihrer Subunternehmer wie für eigene Fehler. Das ISO-Audit legt daher großen Wert auf ein sicheres Lieferantenmanagement (Supplier Management), um diese Haftungsrisiken abzufedern.

Das Gesetz legt fest: Wer ein Gewerbe oder eine Funktion (wie die Geschäftsführung) öffentlich übernimmt, erklärt damit automatisch, den notwendigen Fleiß und die erforderlichen Fachkenntnisse zu besitzen. Fehlt dieses Fachwissen oder wird nachlässig gehandelt, wird dies rechtlich direkt als Verschulden gewertet.
  • Relevante Gesetze: ABGB (insb. der Sachverständigen-Sorgfaltsmaßstab nach § 1299 ABGB sowie das Schadenersatzrecht)
  • Wer ist betroffen? Jedes Unternehmen, das Dienstleistungen erbringt, Produkte herstellt oder Verträge abschließt.
  • Der entscheidende Compliance-Hinweis: Das ABGB fordert in § 1299, dass jeder, der eine professionelle Tätigkeit ausübt, den Wissensstand eines Experten mitbringen muss. Unwissenheit schützt hier nicht vor Strafe – wer die branchenüblichen Fachkenntnisse nicht anwendet, haftet bei Schäden persönlich wegen Organisations- oder Auswahlverschulden.
  • Fokus im Audit (ISO 9001 & ISO 27001):
    • Nachweis der Fachkompetenz (ISO 9001): Im Qualitätsmanagement-Audit müssen Sie belegen, dass Ihre Mitarbeiter kontinuierlich geschult werden und Ihre Prozesse dem aktuellen Expertenstandard entsprechen, um Schadenersatzansprüche nach dem ABGB proaktiv abzuwehren.
    • Sicherstellung von Zusagen (ISO 27001): Wenn Sie Kunden vertraglich IT-Sicherheit oder Systemverfügbarkeiten (SLAs) zusagen, gilt Ihr Unternehmen rechtlich als Experte. Das Audit prüft streng, ob Ihre Sicherheitsmaßnahmen ausreichen, um teure Vertragsstrafen oder Haftungen bei Datenverlust zu verhindern.

UGB - Unternehmensgesetzbuch
Das UGB verpflichtet Geschäftsführer und Vorstände zur Sorgfalt eines ordentlichen Geschäftsmannes (§ 84 AktG, § 25 GmbHG i.V.m. UGB-Grundsätzen). 
  • Um im Schadensfall (z. B. nach Cyberangriffen oder Qualitätsmängeln) eine Haftung abzuwenden, müssen Führungskräfte nachweisen, dass sie ein angemessenes Risikomanagement betreiben.
  • Eine Zertifizierung nach ISO 27001 (Informationssicherheit) oder ISO 9001 (Qualitätsmanagement) dient vor Gericht als starker Nachweis, dass diese gesetzlich geforderte Sorgfaltspflicht erfüllt wurde.
Größere Gesellschaften sind laut UGB gesetzlich verpflichtet, ein internes Kontrollsystem und ein Risikomanagementsystem einzurichten (§ 22 GmbHG, § 82 AktG).
  • Das UGB schreibt nicht vor, wie dieses System aussehen muss.
  • In der Praxis greifen Unternehmen auf bewährte Standards wie die ISO 31000 (Risikomanagement) oder ISO 37301 (Compliance-Managementsysteme) zurück, um die gesetzlichen UGB-Anforderungen rechtssicher zu erfüllen.
Durch die Umsetzung der europäischen CSRD-Richtlinie im UGB müssen Großunternehmen einen detaillierten Nachhaltigkeitsbericht vorlegen.
  • Das UGB definiert die gesetzliche Pflicht zur Berichterstattung.
  • Bei der Datenerhebung und Umsetzung nutzen Unternehmen standardisierte Rahmenwerke wie ISO 14001 (Umweltmanagement) oder ISO 50001 (Energiemanagement), um die geforderten Kennzahlen verlässlich zu ermitteln.

Zusammenfassend: Das UGB fordert das Ziel (Sorgfalt, Kontrolle, Sicherheit), und ISO-Normen liefern den international anerkannten Weg, um dieses Ziel rechtssicher zu erreichen.

GewO - Gewerbeordnung
Wenn Sie eine Betriebsanlage errichten oder ändern, verlangt die GewO den Schutz von Nachbarn und der Umwelt vor Gefahren, Lärm oder Gerüchen.
    • Die Behörde prüft Anträge nach dem aktuellen Stand der Technik.
    • ISO- und ÖNORM-Standards (z. B. für Schallmessung, Brandschutz oder Maschinenkompatibilität) definieren diesen Stand der Technik.
    • Werden diese Normen im Genehmigungsverfahren nicht eingehalten, verweigert die Behörde die Betriebserlaubnis.
Die GewO verpflichtet Gewerbetreibende zur Einhaltung zahlreicher Sicherheits-, Arbeits- und Umweltschutzziele. 
  • Die GewO gibt das gesetzliche Schutzziel vor.
  • Managementsysteme wie ISO 14001 (Umweltmanagement) oder ISO 45001 (Arbeitssicherheit) liefern den exakten Fahrplan, um diese Auflagen im Betrieb fehlerfrei zu steuern und zu dokumentieren.
 
Verstößt ein Betrieb schwerwiegend gegen die GewO (z. B. durch Umweltverschmutzung oder Gefährdung von Menschen), droht der Entzug der Gewerbeberechtigung oder die Schließung.
  • Vor Gericht oder der Behörde müssen Geschäftsführer beweisen, dass sie alle zumutbaren Vorkehrungen getroffen haben.
  • Eine aktive Zertifizierung (z. B. nach ISO 9001 für Qualitätsprozesse) dient als Entlastungsbeweis (Exkulpation). Sie zeigt, dass kein Organisationsverschulden vorlag.

Kurz gesagt: Die GewO schreibt die Einhaltung des "Standes der Technik" und den Schutz von Mensch und Umwelt gesetzlich vor. ISO-Normen füllen diese unbestimmten Rechtsbegriffe mit konkreten technischen Regeln.

ASchG - Arbeitnehmerinnen-Schutzgesetz

Arbeitsplatz-Evaluierungen, Ergonomie und Betriebssicherheit müssen im QMS geregelt und dokumentiert sein.

PHG - Produkthaftungsgesetz

Das ISO 9001-System dient im Haftungsfall als Nachweis, dass der Hersteller den "Stand von Wissenschaft und Technik" eingehalten hat (Entlastungsbeweis nach §8 PHG).

TKG - Telekommunikationsgesetz

Ein extrem wichtiger Punkt für die Praxis: Die strengen Spam- und Direktwerbe-Regelungen (§ 174 TKG) gelten für jedes Unternehmen, das elektronische Nachrichten verschickt.

  • Beispiele: Jede Firma, die Marketing per E-Mail-Newsletter, SMS, Fax oder über Social-Media-Direktnachrichten betreibt.
  • ISO-Bezug: Ein robustes Datenschutz-Management nach ISO 27701 stellt sicher, dass Einwilligungsprozesse (Double-Opt-in) gesetzeskonform dokumentiert werden.
HSchG - Hinweisgeberinnenschutzgesetz (Whistleblower)
Das HSchG verpflichtet Unternehmen, vertrauliche und sichere interne Meldekanäle einzurichten, die Identität des Hinweisgebers absolut zu schützen und Repressalien (wie Kündigungen) zu verhindern.
siehe ISO 37002 (Leitfaden für Whistleblowing-Managementsysteme).
Das Gesetz gilt verpflichtend für drei große Bereiche im privaten und öffentlichen Sektor:
1. Unternehmen ab 50 Beschäftigten
  •  Jedes private Unternehmen, das dauerhaft mindestens 50 Arbeitnehmer beschäftigt, muss zwingend ein internes Meldesystem einrichten. 

2. Unternehmen in sensiblen Sektoren (unabhängig von der Mitarbeiterzahl)
  • Bestimmte Branchen müssen ab dem ersten Mitarbeiter ein Meldesystem anbieten. 
  • Betroffene Branchen: Finanzdienstleistungen, Banken, Versicherungen, Wertpapierfirmen sowie Unternehmen im Bereich der Geldwäscheprävention und der Terrorismusfinanzierung.

3. Juristische Personen des öffentlichen Sektors
  • Das Gesetz gilt für Bundes- und Landesbehörden, Gemeinden, Städte sowie öffentliche Einrichtungen und Betriebe im Eigentum der öffentlichen Hand.
  • Ausnahme: Gemeinden mit weniger als 10.000 Einwohnern können von den Bundesländern von der Pflicht ausgenommen werden. 

AWG - Abfallwirtschaftsgesetz
  • Inhalt: Regelt die ordnungsgemäße Entsorgung, Vermeidung und Trennung von betrieblichen Abfällen.
  • Relevanz: Besonders wichtig für produzierende Betriebe, Werkstätten, das Baugewerbe und die Gastronomie.
  • ISO-Bezug: Die Zertifizierung nach ISO 14001 (Umweltmanagement) stellt sicher, dass alle gesetzlichen Dokumentationspflichten des AWG erfüllt werden.
Sind Ihre Prozesse rechtssicher für das nächste ISO-Audit?
Die Verknüpfung von gesetzlichen Vorgaben und ISO-Standards ist komplex. Ein einziger Fehler bei den Compliance-Nachweisen kann das Zertifikat gefährden oder zu Haftungsrisiken für die Geschäftsführung führen.
 
Machen Sie Ihr Unternehmen auditsicher. 
Haben Sie Fragen zu den gesetzlichen Anforderungen für Ihre ISO 9001 oder ISO 27001 Zertifizierung? Sichern Sie sich jetzt Ihr unverbindliches Erstgespräch. Gemeinsam prüfen wir Ihre Compliance-Struktur und bereiten Sie optimal auf das Audit vor.
Kontaktieren Sie uns für eine unverbindliche Erstberatung oder eine strukturierte GAP-Analyse.