DSGVO-Checkliste für deine Website: was in Österreich drauf sein muss

Impressum: drei Gesetze, eine Seite

In Österreich regeln mehrere Gesetze, was auf einer Website stehen muss. Das E-Commerce-Gesetz (§ 5 ECG) gilt laut WKO für jede unternehmerisch betriebene Website, auch wenn du dort nichts verkaufst. Dazu kommen § 63 GewO für Gewerbetreibende ohne Firmenbucheintrag bzw. § 14 UGB für eingetragene Unternehmen. Die Offenlegung nach § 25 Mediengesetz gilt laut WKO für jede Website, private wie kommerzielle.

Laut WKO-Leitfaden gehören bei einem Einzelunternehmen ohne Firmenbucheintrag typischerweise dazu: Name, Standort der Gewerbeberechtigung, volle Anschrift, mindestens zwei Kontaktwege (etwa E-Mail und Telefon), Mitgliedschaft bei der Wirtschaftskammer, die zuständige Gewerbebehörde, ein Hinweis auf die Gewerbeordnung samt Link ins RIS und, falls vorhanden, die UID-Nummer. Webshops müssen laut WKO nach dem FAGG jedenfalls Telefonnummer und E-Mail-Adresse angeben.

Für reine Firmen- oder Shop-Websites reicht laut WKO meist die „kleine“ Offenlegung nach § 25 Abs. 5 MedienG: Name, Unternehmensgegenstand und Sitz des Medieninhabers. Schreibst du Beiträge, die über Werbung für dein Angebot hinausgehen und die Meinungsbildung beeinflussen können, brauchst du in der Regel die „große“ Offenlegung, unter anderem mit Blattlinie.

Datenschutzerklärung: eigene Seite, verständlich

Nach Art. 13 DSGVO musst du Besucher grundsätzlich informieren, wenn du ihre Daten verarbeitest: wer verantwortlich ist, wofür die Daten verwendet werden, auf welcher Rechtsgrundlage, an wen sie gehen, wie lange du sie speicherst und welche Rechte Betroffene haben. Das betrifft in der Regel schon Server-Logfiles und ein Kontaktformular.

Laut WKO (DSGVO4KMU) reicht eine Datenschutzerklärung im Impressum oder in den AGB nicht aus. Mach eine eigene Seite und verlinke sie im Footer und im Cookie-Banner. Nenne jeden Dienst, den du einbindest: Hoster, Analytics, Karten, Videos, Newsletter-Tool, Buchungssystem.

Cookies, Analytics und eingebettete Inhalte

Für Cookies und ähnliche Technik gilt § 165 Abs. 3 TKG 2021: Daten auf dem Gerät speichern oder auslesen darfst du grundsätzlich nur mit Einwilligung nach klarer Information. Ausgenommen ist laut Gesetz, was für den vom Besucher ausdrücklich gewünschten Dienst unbedingt nötig ist, etwa Warenkorb, Login oder die Speicherung der Cookie-Auswahl selbst.

Werbenetzwerke und Social-Media-Plugins sind laut Datenschutzbehörde nicht technisch notwendig, für Dienste, die das Nutzerverhalten auswerten, und für eingebettete Inhalte wie Videos oder Karten verlangen DSB und WKO in der Regel eine Einwilligung. Solche Dienste sollten daher erst nach dem Klick auf „Zustimmen“ laden. Bei Plugins und Einbettungen ist laut WKO eine Zwei-Klick-Lösung üblich: Der Inhalt lädt erst, wenn jemand auf den Platzhalter klickt.

Zu Google Analytics hat die Datenschutzbehörde in einer Anfang 2022 bekannt gewordenen Entscheidung nach einer Musterbeschwerde des Vereins noyb festgestellt, dass der Einsatz auf einer österreichischen Website gegen die DSGVO verstieß, weil die Daten damals ohne ausreichenden Schutz in die USA gingen. Seit Juli 2023 gibt es den EU-US Data Privacy Framework, auf den sich zertifizierte US-Anbieter berufen. Das ändert aber nichts an der Einwilligungspflicht nach dem TKG: Analytics mit Cookies oder ähnlicher Technik läuft in der Regel erst nach Zustimmung.

Google Fonts lokal einbinden

Werden Schriften direkt von Google-Servern geladen, geht zumindest die IP-Adresse des Besuchers an Google. 2022 bekamen in Österreich viele kleine Betriebe deshalb Schreiben eines Anwalts mit Auskunftsbegehren und Zahlungsforderung. Das Landgericht München I hatte laut WKO Kärnten Anfang 2022 einem Kläger 100 Euro zugesprochen. In Österreich stufte das Landesgericht Wien laut futurezone (Juni 2024) das Vorgehen der Abmahnerin dagegen als rechtsmissbräuchlich ein, damals nicht rechtskräftig. Eine höchstgerichtliche Klärung, ob das Laden ohne Einwilligung rechtswidrig ist, war in diesen Quellen nicht dokumentiert.

Die einfache Lösung: Lade die Schriftdateien herunter und leg sie auf deinen eigenen Server. Dann geht beim Seitenaufruf nichts mehr an Google. Viele Themes und Baukästen haben dafür eine Einstellung „Schriften lokal hosten“.

Kontaktformular, Newsletter und HTTPS

Ein Kontaktformular braucht in der Regel keine Einwilligungs-Checkbox, wenn du die Daten nur zur Beantwortung der Anfrage verwendest. Frag aber nur ab, was du wirklich brauchst: Name, E-Mail und Nachricht reichen meist. Telefonnummer und Adresse als Pflichtfelder sind selten nötig. Die Seite muss über HTTPS laufen, sonst gehen die Eingaben unverschlüsselt durchs Netz. Art. 32 DSGVO verlangt eine dem Risiko angemessene Sicherheit.

Für Newsletter gilt § 174 TKG 2021: E-Mail-Werbung grundsätzlich nur mit vorheriger Einwilligung. Die Anmeldung muss aktiv erfolgen, ohne vorangekreuztes Kästchen. Laut WKO verlangt die Praxis der Datenschutzbehörde bei Online-Anmeldungen das Double-Opt-in: Nach der Anmeldung geht eine neutrale Bestätigungsmail ohne Werbung hinaus, erst nach dem Klick auf den Link ist die Adresse eingetragen. Jede Aussendung braucht laut WKO eine kostenlose, einfache Abmeldemöglichkeit und einen erkennbaren Absender.

Ohne Einwilligung darfst du laut WKO nur eigene Kunden anschreiben, und nur, wenn alle Bedingungen erfüllt sind: Adresse aus einem Kauf oder Auftrag, Werbung nur für eigene ähnliche Produkte, Widerspruchsmöglichkeit schon bei der Erhebung und in jeder Mail, und die Person steht nicht auf der ECG-Liste der RTR.

Hosting, Tools und AV-Verträge

Wer für dich Daten verarbeitet und dabei nur deinen Anweisungen folgt, ist Auftragsverarbeiter: Webhoster, Newsletter-Dienst, Formular- oder Terminbuchungstool, die Agentur mit Zugang zum Backend. Mit ihnen brauchst du in der Regel einen Vertrag nach Art. 28 DSGVO. Große Anbieter binden ihn meist in die Nutzungsbedingungen ein, oft als „AVV“ oder „Data Processing Agreement (DPA)“. Lade ihn herunter und leg ihn ab.

Sitzt ein Anbieter außerhalb der EU oder des EWR, prüf, worauf die Übermittlung gestützt ist, etwa auf einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Ein Hoster mit Rechenzentrum in der EU erspart dir einen Teil dieser Fragen.

Häufige Fragen