Arbeitsbereich

Leitfaden · Australische Verordnung

Privacy Act von Australien für alle, die von Anzeigen leben

Australien regelt den Datenschutz mit einem Gesetz von 1988 und 13 Grundsätzen, die für Unternehmen und öffentliche Stellen gelten. Die Reform von 2024 schuf das Recht, bei schwerer Verletzung der Privatsphäre zu klagen, neue Strafen und einen Kodex für Kinder. Hier sehen Sie, was sich dadurch für eine Website mit australischen Besuchern ändert.

Datenschutz meiner Website prüfenLeitfaden lesen
  • ✓Basiert auf der Bundesgesetzgebung und den Veröffentlichungen des OAIC
  • ✓Beispiele für Websites mit Anzeigen, auch aus Brasilien
  • ✓Lesen, ohne die Website zu verändern
13Australian Privacy Principles, die erfasste Stellen befolgen müssen
50 Mio. A$Obergrenze der Strafe bei schwerer Verletzung, oder mehr, wenn das Dreifache des Vorteils oder 30 % des bereinigten Umsatzes höher ist
3 Mio. A$Jahresumsatz: darunter bleiben die meisten kleinen Unternehmen außerhalb des Gesetzes
10. Dez. 2026Frist für die Registrierung des Online-Datenschutzkodex für Kinder

Was es ist

Ein altes Gesetz mit neuen Regeln

Der Privacy Act 1988 ist das australische Bundesdatenschutzgesetz. Sein Kern sind die 13 Australian Privacy Principles, die APPs, die sagen, wie personenbezogene Informationen erhoben, verwendet, gespeichert, weitergegeben und berichtigt werden. Die Aufsicht liegt beim OAIC, dem Büro des australischen Informationsbeauftragten.

Das Gesetz gilt für Bundesbehörden und für Organisationen mit einem Jahresumsatz von über 3 Millionen australischen Dollar. Manche kleinere Unternehmen fallen trotzdem darunter, etwa Gesundheitsdienstleister und wer personenbezogene Daten ohne Einwilligung gegen einen Vorteil an Dritte weitergibt. Zusammen heißen diese Organisationen APP-Stellen.

Auch ausländische Unternehmen können erfasst werden, wenn sie einen Bezug zu Australien haben, zum Beispiel weil sie im Land Geschäfte machen. Ob das eine ausländische Website einschließt, die nur australische Besucher empfängt, hängt vom Einzelfall ab, deshalb lohnt es sich, ohnehin die gute Praxis zu befolgen.

Personenbezogene Informationen sind alle Informationen oder Meinungen über eine identifizierte oder vernünftigerweise identifizierbare Person. Sensible Informationen umfassen Gesundheit, ethnische Herkunft, politische Meinung, Religion, sexuelle Orientierung, Vorstrafen sowie genetische und biometrische Daten und dürfen in der Regel nur mit Einwilligung erhoben werden.

Checkliste

Was Sie erfüllen müssen

Was der Privacy Act, die APPs und der Spam Act von einer Website mit Anzeigen verlangen, die unter australisches Recht fällt.

  1. Klare und aktuelle Datenschutzerklärung

    Die Erklärung muss klar, aktuell und kostenlos sein und sagen, ob Daten in andere Länder gehen. Google verlangt außerdem, dass sie sagt, dass Dritte wie Google Cookies verwenden, um Anzeigen auszuspielen.

  2. Hinweis zum Zeitpunkt der Erhebung

    Sagen Sie bei der Erhebung von Daten, zum Beispiel bei einer Anmeldung oder einem Newsletter, wofür sie verwendet werden, und nennen Sie die übrigen Punkte von APP 5.

    Beispiel

    Wir verwenden Ihre E-Mail-Adresse nur, um den wöchentlichen Newsletter zu senden. In der Datenschutzerklärung sehen Sie, wie Sie auf Ihre Daten zugreifen oder sie korrigieren können.

  3. Anonymität ermöglichen

    In der Regel kann eine Person anonym bleiben oder ein Pseudonym verwenden, außer wenn das Gesetz etwas anderes verlangt oder es nicht praktikabel ist.

  4. Einwilligung für sensible Informationen

    Das Erheben sensibler Informationen, etwa zu Gesundheit oder Religion, erfordert in der Regel eine Einwilligung. Auch die Verwendung sensibler Informationen im Direktmarketing erfordert eine Einwilligung.

  5. Einfacher Ausstieg aus dem Direktmarketing

    Wer personenbezogene Daten im Direktmarketing nutzt, muss einen einfachen Weg anbieten, um zu verlangen, nichts mehr zu erhalten.

  6. E-Mails und SMS im Rahmen des Spam Act

    Kommerzielle Nachrichten erfordern Einwilligung, eine korrekte Identifizierung des Absenders und in jeder Nachricht eine Abmeldemöglichkeit. Eine Abmeldung muss innerhalb von fünf Werktagen bearbeitet werden.

    Beispiel

    Gesendet von Beispiel GmbH. Möchten Sie keine Nachrichten mehr? Abmelden.

  7. Vorsicht beim Versand ins Ausland

    Bevor Sie Daten außerhalb Australiens senden, ergreifen Sie angemessene Maßnahmen, damit der Empfänger die Grundsätze nicht verletzt.

  8. Schwere Datenpannen melden

    Wenn eine Datenpanne schweren Schaden verursachen kann, informieren Sie die betroffenen Personen und das OAIC, das dafür ein Online-Formular hat.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Australien weder eine zertifizierte CMP noch hat es eine eigene Meldung dafür, daher stammen die folgenden Links vom OAIC, von der ACMA und von Google.

Die 13 Grundsätze

Die APPs in sechs Blöcken

Die Grundsätze folgen dem Weg der Daten, vom Moment der Erhebung bis zum Berichtigungsantrag.

Transparenz und Anonymität

APP 1 und 2: eine klare und aktuelle Datenschutzerklärung haben und, wenn möglich, die Person interagieren lassen, ohne sich zu identifizieren.

Erhebung und Hinweis

APP 3 bis 5: nur das Nötige auf faire Weise erheben und die Person informieren, wer erhebt, wofür und mit wem geteilt wird.

Verwendung und Direktmarketing

APP 6 und 7: die Daten für den ursprünglichen Zweck verwenden und im Direktmarketing eine einfache Möglichkeit zum Austritt bieten.

Übermittlung ins Ausland

APP 8: Bevor Daten ins Ausland gesendet werden, angemessene Schritte unternehmen, damit der Empfänger die Grundsätze einhält.

Kennungen, Qualität und Sicherheit

APP 9 bis 11: staatliche Identifikationsnummern nicht als eigene übernehmen, die Daten korrekt halten und schützen und löschen, was nicht mehr gebraucht wird.

Zugang und Berichtigung

APP 12 und 13: Zugang zu den Daten gewähren, die die Organisation über die Person hat, und Falsches berichtigen.

Einwilligung, Cookies und Marketing

Wo die Einwilligung verlangt wird

Australien hat keine allgemeine Regel, die einen Cookie-Banner vorschreibt, wie die europäische. Das Gesetz arbeitet mit Hinweis und Transparenz: Die Person muss wissen, dass Daten erhoben werden und wofür. Cookies und Kennungen, mit denen sich jemand wiedererkennen lässt, fallen unter diese Regeln, wenn die Person vernünftigerweise identifizierbar ist.

Die Einwilligung wird in bestimmten Situationen verlangt, etwa bei der Erhebung sensibler Informationen und bei der Nutzung der Daten für einen anderen als den ursprünglichen Zweck. Für das OAIC muss die Einwilligung informiert, freiwillig, aktuell und spezifisch sein, und die Person muss die Fähigkeit haben, sie zu erteilen.

Im Direktmarketing erlaubt APP 7 die Nutzung personenbezogener Daten, wenn die Person diese Nutzung erwarten würde, sofern es einen einfachen Austrittsweg gibt und der Austrittswunsch respektiert wird. Kommerzielle E-Mails und SMS unterliegen außerdem dem Spam Act 2003, der Einwilligung, Identifizierung des Absenders und eine Abmeldeoption in jeder Nachricht verlangt.

Bei Kindern wird die Regel strenger. Der im März 2026 veröffentlichte Entwurf des Online-Datenschutzkodex für Kinder sieht eine Einwilligung vor, bevor Daten von Kindern für gezielte Werbung in Diensten genutzt werden, die sie wahrscheinlich nutzen.

Reform von 2024 und Strafen

Was das Gesetz von 2024 gebracht hat

Der Privacy and Other Legislation Amendment Act 2024 erhielt am 10. Dezember 2024 die Zustimmung. Ein Teil der Regeln galt am nächsten Tag, ein Teil hat eigene Fristen.

Klage wegen schwerer Verletzung

Seit dem 10. Juni 2025 kann eine Person jemanden verklagen, der ihre Privatsphäre schwer verletzt hat, durch Eindringen oder missbräuchliche Nutzung von Informationen. Das gilt auch für alle, die keine APP-Stelle sind.

Kodex für Kinder

Das OAIC muss bis zum 10. Dezember 2026 einen Kodex für soziale Netzwerke und Online-Dienste registrieren, die Kinder wahrscheinlich nutzen.

Automatisierte Entscheidungen

Ab dem 10. Dezember 2026 muss die Datenschutzerklärung erklären, wann Entscheidungen, die die Person betreffen, unter Einsatz automatisierter Systeme getroffen werden.

Gestaffelte Strafen

Neben der Obergrenze für schwere Verletzungen gibt es kleinere Stufen und Verstoßbescheide bei Mängeln wie dem Fehlen einer klaren und aktuellen Datenschutzerklärung.

Obergrenze für schwere Fälle

Seit Dezember 2022 ist das Maximum der höchste Wert aus 50 Millionen australischen Dollar, dem Dreifachen des erzielten Vorteils und 30 % des bereinigten Umsatzes im Zeitraum.

Erste Strafe vor Gericht

Im Oktober 2025 wurde Australian Clinical Labs zur Zahlung von 5,8 Millionen australischen Dollar wegen Sicherheitsmängeln und fehlender Meldung einer Datenpanne verurteilt.

Rechte der Personen

Was der australische Besucher verlangen kann

Das australische Gesetz spricht von Grundsätzen, aber in der Praxis werden sie zu Rechten, die die Website erfüllen muss.

Zugriff

Die Daten verlangen, die die Organisation über sie speichert. Der Antrag darf nur in den gesetzlich vorgesehenen Fällen abgelehnt werden.

Beheben

Die Berichtigung falscher, veralteter, unvollständiger oder irreführender Daten verlangen.

Anonym bleiben

Ohne Identifizierung oder mit Pseudonym interagieren, wenn das machbar ist, etwa beim einfachen Lesen von Artikeln.

Aus dem Marketing austreten

Verlangen, kein Direktmarketing zu erhalten, und fragen, woher die Organisation die Daten hat.

Beim OAIC beschweren

Wenn die Organisation die Beschwerde nicht löst, den Fall zum OAIC bringen, das ermitteln und Maßnahmen anordnen kann.

Klagen

Wegen schwerer Verletzung der Privatsphäre vor Gericht gehen, auf Grundlage des durch die Reform von 2024 geschaffenen Rechts.

Pflichten

Was eine vom Gesetz erfasste Website tun muss

  1. Eine klare Datenschutzerklärung führenErklären Sie, welche Arten von Daten Sie erheben, wie, wofür, wie die Person auf die Daten zugreift und sie berichtigt, wie sie sich beschwert und ob die Daten in andere Länder gehen. Ab Dezember 2026 nehmen Sie automatisierte Entscheidungen auf.
  2. Bei der Erhebung informierenSagen Sie in Newsletter-Formularen, bei Anmeldung oder Kommentaren, wer erhebt, warum und mit wem die Daten geteilt werden.
  3. Den Austritt aus dem Marketing ermöglichenJede kommerzielle E-Mail oder SMS braucht eine einfache Abmeldemöglichkeit, und der Wunsch muss respektiert werden.
  4. Schützen und löschenErgreifen Sie angemessene Sicherheitsmaßnahmen und löschen oder anonymisieren Sie, was nicht mehr nötig ist.
  5. Auf Datenpannen reagierenBewerten Sie eine mögliche Datenpanne zügig, innerhalb von 30 Tagen, und informieren Sie, wenn sie schweren Schaden verursachen kann, das OAIC und die betroffenen Personen so bald wie möglich.
  6. Die Übermittlung ins Ausland beachtenBevor Sie Daten an Anbieter außerhalb Australiens senden, ergreifen Sie angemessene Schritte, damit sie die Grundsätze befolgen. Die Organisation bleibt für das verantwortlich, was der Anbieter tut.

Zeitleiste

Die wichtigen Daten

Vom ursprünglichen Gesetz zu den Pflichten, die Ende 2026 beginnen.

  1. 1988

    Der Privacy Act entsteht

    Das Bundesdatenschutzgesetz wird verabschiedet, zunächst auf den öffentlichen Sektor ausgerichtet.

  2. 12. März 2014

    Die 13 APPs treten in Kraft

    Die Australian Privacy Principles gelten für Regierung und erfasste Unternehmen.

  3. 22. Februar 2018

    Meldung von Datenpannen

    Das Regime beginnt, das verpflichtet, das OAIC und die Personen über Datenpannen mit Risiko eines schweren Schadens zu informieren.

  4. Dezember 2022

    Höhere Strafen

    Die Obergrenze für schwere Verletzungen steigt auf den höchsten Wert aus 50 Millionen, dem Dreifachen des Vorteils und 30 % des bereinigten Umsatzes.

  5. 10. Dezember 2024

    Reform unterzeichnet

    Der Privacy and Other Legislation Amendment Act 2024 wird unterzeichnet. Neue Strafen und Befugnisse des OAIC gelten am nächsten Tag.

  6. 10. Juni 2025

    Klage wegen schwerer Verletzung

    Das Recht, wegen schwerer Verletzung der Privatsphäre zu klagen, tritt in Kraft.

  7. 31. März 2026

    Entwurf des Kinderkodex

    Das OAIC veröffentlicht den Entwurf des Online-Datenschutzkodex für Kinder und eröffnet eine öffentliche Konsultation bis zum 5. Juni.

  8. 10. Dezember 2026

    Kodex und automatisierte Entscheidungen

    Frist zur Registrierung des Kinderkodex und Beginn der Pflicht, automatisierte Entscheidungen in der Erklärung zu erläutern.

Für alle mit AdSense oder Ad Manager

Was sich in der Praxis für die Einnahmen ändert

Google verlangt für Australien weder eine zertifizierte CMP noch das IAB TCF. Diese Anforderung gilt für den Europäischen Wirtschaftsraum, das Vereinigte Königreich und die Schweiz. Australischer Traffic erhält weiter personalisierte Anzeigen ohne die TCF-Meldung.

Die Arbeit liegt also in der Transparenz. Die Datenschutzerklärung muss sagen, dass die Website Cookies und Werbepartner nutzt, dass Daten ins Ausland gehen können und wie die Person ihre Rechte ausübt. Ein sichtbarer Link zu den Anzeigeneinstellungen hilft dem Besucher, zu verstehen und zu wählen.

Denken Sie an eine brasilianische Finanzwebsite auf Portugiesisch, die Brasilianer in Sydney und Melbourne erreicht. Wenn das Unternehmen weniger als 3 Millionen australische Dollar umsetzt, kann es außerhalb des Gesetzes liegen, aber die Ausnahme für kleine Unternehmen gilt nicht für alle, die personenbezogene Daten ohne Einwilligung gegen einen Vorteil an Dritte weitergeben. Wer Kennungen mit Werbepartnern teilt, sollte diesen Punkt sorgfältig prüfen.

Bereiten Sie sich bei Inhalten für Kinder auf den Kodex von 2026 vor. Google bietet in den Anzeigen-Tags die altersbezogene Behandlung an, die die Personalisierung für als Kinder markierte Anfragen abschaltet.

In der Praxis

Was in Australien erlaubt ist und was nicht

Alltagsbeispiele von Websites für Inhalte, Jobs und Finanzen mit australischem Publikum.

Erlaubt

  • Personalisierte Google-Anzeigen ohne die TCF-Meldung für Besucher aus Australien anzeigen
  • Einen Newsletter an alle senden, die sich angemeldet haben, mit Abmelde-Link in jedem Versand
  • Mess-Cookies nutzen, solange die Datenschutzerklärung das klar erklärt
  • Den Besucher Artikel ohne Anmeldung lesen lassen und so das Recht auf Anonymität respektieren
  • Denselben Banner wie in anderen Regionen verwenden, wenn er auch die australischen Regeln erfüllt

Nicht erlaubt

  • Kommerzielle E-Mails ohne Einwilligung und ohne Abmeldeoption senden
  • Gesundheitsdaten in einem Quiz ohne Einwilligung erheben
  • Anträge auf Austritt aus dem Marketing ignorieren
  • Eine allgemeine Datenschutzerklärung nutzen, die weder Partner noch Übermittlung ins Ausland nennt
  • Anzeigen für Inhalte für Kinder personalisieren, ohne die altersbezogene Behandlung zu nutzen

Häufige Fehler

Wo Websites am häufigsten ausrutschen

Häufige Fehler auf Websites mit Traffic aus Australien.

Sich ungeprüft auf die Ausnahme für kleine Unternehmen verlassen

Niedriger Umsatz reicht nicht, wenn die Website personenbezogene Daten ohne Einwilligung gegen einen Vorteil an Dritte weitergibt.

Veraltete Erklärung

Die Erklärung muss klar und aktuell sein. Das zu versäumen ist einer der Verstöße, die nach der Reform einen Verstoßbescheid nach sich ziehen können.

Den Spam Act vergessen

Kommerzielle Newsletter und SMS ohne Einwilligung oder ohne Abmeldung verstoßen gegen das Spam-Gesetz, zusätzlich zu den Datenschutzgrundsätzen.

Quiz und Formulare, die sensible Daten abfragen

Fragen zu Gesundheit, Religion oder sexueller Orientierung erfordern Einwilligung und besondere Sorgfalt.

Die Übermittlung ins Ausland ignorieren

Die Daten gehen an Server von Partnern außerhalb Australiens. Die Erklärung muss das sagen, und die Website bleibt verantwortlich.

Den Kinderkodex auf später verschieben

Websites mit Kindern als Publikum sollten gezielte Werbung und Einwilligung vor der Registrierung des Kodex prüfen, die für Dezember 2026 vorgesehen ist.

In ConsentMode

Was die Prüfung für Australien kontrolliert

  • Öffnet die Website als Besucher aus Australien und hält fest, ob es einen Banner gibt, was er bietet und welche Cookies und Pixel vor der Auswahl auslösen.
  • Erkennt die CMP am Seitencode, falls vorhanden, und liest die an Google gesendeten Consent-Mode-Signale.
  • Prüft, ob die Datenschutzerklärung Datenarten, Zwecke, Werbepartner, Übermittlung ins Ausland, Zugang, Berichtigung und Beschwerde enthält.
  • Prüft, ob die Anzeigen-Tags auf Seiten mit Kindern als Publikum die altersbezogene Behandlung nutzen.
  • Liefert Screenshots und einen Korrekturplan nach Priorität.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Brauche ich ein Cookie-Banner für Australien?

Das australische Gesetz verlangt keinen Banner wie den europäischen. Es verlangt Transparenz und in manchen Fällen Einwilligung. Google verlangt für dieses Publikum auch keine zertifizierte CMP. Ein klarer Hinweis und eine vollständige Erklärung sind das Minimum.

Meine Website setzt wenig um. Gilt das Gesetz für mich?

Die meisten Unternehmen mit einem Umsatz bis 3 Millionen australischen Dollar bleiben außerhalb, aber es gibt Ausnahmen, etwa wer personenbezogene Daten ohne Einwilligung gegen einen Vorteil an Dritte weitergibt. Prüfen Sie Ihren Fall.

Was ist die Klage wegen schwerer Verletzung der Privatsphäre?

Es ist ein durch die Reform von 2024 geschaffenes Recht, in Kraft seit dem 10. Juni 2025. Die Person kann jemanden verklagen, der ihre Privatsphäre schwer verletzt hat, und das Gericht kann Entschädigung, das Ende des Verhaltens oder eine Entschuldigung anordnen.

Gilt der Kodex für Kinder schon?

Noch nicht. Der Entwurf wurde im März 2026 veröffentlicht, und das OAIC muss den Kodex bis zum 10. Dezember 2026 registrieren. Er soll für soziale Netzwerke und Online-Dienste gelten, die Kinder wahrscheinlich nutzen.

Wer kontrolliert?

Das OAIC, das Büro des australischen Informationsbeauftragten. Es nimmt Beschwerden entgegen, ermittelt, erlässt Bescheide und kann schwere Fälle vor Gericht bringen, um eine Strafe zu verlangen.

Muss eine Datenpanne gemeldet werden?

Ja, wenn sie schweren Schaden verursachen kann. Die Organisation bewertet den Fall innerhalb von 30 Tagen und informiert, wenn das Risiko bestätigt ist, das OAIC und die betroffenen Personen so bald wie möglich.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie, wie Ihre Website für einen australischen Besucher aussieht

Die Prüfung öffnet die Website aus Australien und zeigt, was bei Banner, Tags und Erklärung zu beheben ist, ohne etwas zu verändern.

Audit starten