Cookie-Banner richtig machen: was in Österreich gilt

Die Rechtsgrundlage: § 165 TKG 2021 und DSGVO

In Österreich regelt § 165 Abs. 3 TKG 2021 das Setzen und Auslesen von Cookies. Er setzt die EU-Datenschutzrichtlinie für elektronische Kommunikation (Art. 5 Abs. 3 der Richtlinie 2002/58/EG) um. Speichern oder Auslesen von Daten auf dem Gerät ist nur erlaubt, wenn der Nutzer aktiv und auf Grundlage klarer und umfassender Informationen eingewilligt hat.

Werden über Cookies personenbezogene Daten verarbeitet, gilt zusätzlich die DSGVO. Dann ist die Datenschutzbehörde zuständig, und für die Einwilligung gelten die Anforderungen aus Art. 4 Z 11 und Art. 7 DSGVO: freiwillig, für den bestimmten Fall, informiert, unmissverständlich. Laut WKO sind IP-Adressen in der Regel personenbezogene Daten.

Der Europäische Gerichtshof hat am 1. Oktober 2019 im Fall Planet49 (C-673/17) klargestellt: Ein voreingestelltes Häkchen ist keine wirksame Einwilligung. Es spielt dabei keine Rolle, ob die Cookies personenbezogene Daten enthalten. Und der Anbieter muss unter anderem über die Funktionsdauer der Cookies und den Zugriff Dritter informieren.

Was technisch notwendig ist und was nicht

Ohne Einwilligung darfst du laut WKO nur Technologien einsetzen, die unbedingt erforderlich sind, damit der vom Besucher gewünschte Dienst funktioniert, etwa für Sitzung und Login-Status. Werbe- und Analyse-Cookies fallen in der Regel nicht darunter, auch wenn Werbung die Website finanziert.

• Notwendig: Warenkorb, Login-Status, Formulare über mehrere Seiten, Spracheinstellung, Speicherung der Cookie-Auswahl (ohne eindeutige Kennung)
• Nicht notwendig: Google Analytics und andere Analyse-Tools mit Cookies, Meta-Pixel, Google Ads, Social-Media-Plugins
• Nicht notwendig: eingebettete YouTube-Videos, Google Maps, Instagram-Feeds, wenn sie beim Laden Daten an den Anbieter schicken
• Nicht notwendig: Chat-Widgets und Heatmaps, die Nutzerverhalten aufzeichnen

Ablehnen muss so einfach sein wie Zustimmen

Die Datenschutzbehörde formuliert den Grundsatz so: Keine Einwilligung zu geben muss genauso einfach sein wie die Einwilligung, eine Ablehnung erst auf der zweiten oder dritten Ebene ist laut ihren FAQ nicht zulässig. Ein Banner mit großem farbigem „Alle akzeptieren“ und einem Link „Einstellungen“, hinter dem erst das Ablehnen versteckt ist, erfüllt das nicht.

Eine feste Farbvorgabe gibt es nicht, beurteilt wird im Einzelfall. Als Beispiel nennt die Behörde: Ist der Ablehnen-Button auf weißem Hintergrund kaum zu sehen, während der Zustimmen-Button rot ist, ist die Einwilligung wahrscheinlich ungültig. Die WKO warnt zusätzlich vor irreführenden Begriffen, etwa „Einstellungen speichern“ anstelle von „Ablehnen“.

Ein österreichischer Fall zeigt, wie ernst das genommen wird: Die Datenschutzbehörde trug einem Unternehmen auf, auf der ersten Ebene seines Banners eine optisch gleichwertige Möglichkeit zu schaffen, ohne Einwilligung zu schließen. Zustimmen ging mit einem Klick, Ablehnen brauchte mindestens zwei. Das Bundesverwaltungsgericht bestätigte das am 31. Juli 2024 (W108 2284491-1), der Verwaltungsgerichtshof wies die Revision im Jänner 2025 zurück (Ra 2024/04/0424). Ein Widerrufslink im Footer reicht als Ersatz nicht.

Schritt für Schritt zum sauberen Banner

Ein fertiges Consent-Tool nimmt dir viel ab, aber die Datenschutzbehörde rät ausdrücklich davon ab, es ungeprüft zu verwenden. Die Verantwortung bleibt bei dir als Websitebetreiber.

1. 1

   Bestand aufnehmen

   Liste alle Cookies, Skripte und eingebetteten Inhalte auf. Frag deine Agentur oder prüf mit einem Cookie-Scanner. Notiere zu jedem Dienst Anbieter, Zweck und Speicherdauer.

2. 2

   Aussortieren

   Was du nicht brauchst, fliegt raus. Jedes Tool weniger heißt weniger Text im Banner und weniger Risiko. Schriften legst du lokal auf deinen Server.

3. 3

   Kategorien bilden

   Teile in „notwendig“, „Statistik“ und „Marketing“ ein. Notwendige laufen immer, die anderen nur nach Zustimmung zur jeweiligen Kategorie.

4. 4

   Banner einrichten

   Zustimmen und Ablehnen nebeneinander auf der ersten Ebene, gleich groß. Darunter kurz: wer verantwortlich ist, welche Zwecke, Hinweis auf Widerruf, Links zu Datenschutzerklärung und Impressum.

5. 5

   Blockieren testen

   Öffne die Seite in einem privaten Fenster, klick „Ablehnen“ und prüf in den Entwicklertools (Reiter „Netzwerk“ und „Speicher“), dass keine Tracking-Cookies gesetzt und keine fremden Server angesprochen werden.

6. 6

   Widerruf ermöglichen

   Setz einen Link „Cookie-Einstellungen“ in den Footer, der den Banner wieder öffnet. Die Datenschutzerklärung erklärt jeden Dienst im Detail.

Pay or Okay und Cookie-Walls

Manche Medienseiten bieten die Wahl: zahlen oder in Werbe-Cookies einwilligen. Die Datenschutzbehörde hält das dem Grunde nach für zulässig (Bescheid vom 29. März 2023, laut ihren FAQ nicht rechtskräftig), aber nur unter Bedingungen: Einwilligung im Detail wählbar, fairer Preis, keine Exklusivität der Inhalte, kein Monopol, keine Behörde, und wer zahlt, wird nicht zu Werbezwecken getrackt. EuGH-Rechtsprechung dazu gibt es laut Behörde noch nicht.

Für eine Firmenwebsite oder einen kleinen Webshop ist das kaum ein sinnvolles Modell. Dort gilt in der Regel: Wer ablehnt, bekommt die Seite trotzdem.

Wer kontrolliert und was passiert bei Verstößen

Für den Vollzug von § 165 Abs. 3 TKG sind laut Datenschutzbehörde die Fernmeldebehörden zuständig, für die Verarbeitung personenbezogener Daten die Datenschutzbehörde. Nach § 188 Abs. 4 Z 24 TKG 2021 kann es bis zu 50.000 Euro kosten, wenn du Nutzer entgegen § 165 Abs. 3 nicht informierst. Bei erstmaligen Verstößen gegen das Datenschutzrecht soll die Datenschutzbehörde laut § 11 DSG insbesondere verwarnen.

Auf EU-Ebene wird im Rahmen des „Digital Omnibus“ diskutiert, die Cookie-Regeln teilweise in die DSGVO zu verschieben und zu vereinfachen. Beschlossen ist das nach dem Stand Oktober 2026 nicht, der Datenteil steckt laut Berichten noch in der ersten Lesung. Bis sich etwas ändert, gilt § 165 TKG 2021 wie beschrieben.

Häufige Fragen