Brauche ich einen Cookie-Banner, oder geht es auch ohne? Die kurze Antwort lautet: Es kommt darauf an, was Ihre Website im Browser Ihrer Besucher speichert oder ausliest. Der Banner selbst ist keine Pflicht. Pflicht ist die Einwilligung – und zwar immer dann, wenn eine Website mehr tut, als für den gewünschten Dienst unbedingt nötig ist.
Dieser Beitrag ordnet die Regeln für Betriebe in Österreich ein, zeigt typische Fälle und gibt Ihnen eine Liste, mit der Sie Ihre eigene Website selbst prüfen können.
Worum es geht
Die Grundregel kommt aus dem EU-Recht. Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG verlangt, dass Informationen im Endgerät eines Nutzers nur mit dessen Einwilligung gespeichert oder abgerufen werden dürfen. Das betrifft Cookies, aber genauso ähnliche Techniken wie Local Storage oder Zählpixel. Österreich hat diese Vorgabe im Telekommunikationsgesetz verankert, heute in § 165 Abs. 3 TKG 2021.
Beide Texte enthalten dieselben zwei Ausnahmen. Keine Einwilligung braucht es, wenn die Speicherung allein der Übertragung einer Nachricht dient. Und keine braucht es, wenn sie unbedingt erforderlich ist, damit ein Dienst funktioniert, den der Nutzer ausdrücklich gewünscht hat. Das Wort „unbedingt“ ist dabei der Kern. Was nur praktisch, schön oder für das Marketing hilfreich ist, fällt nicht darunter.
Wie eine gültige Einwilligung aussieht, regelt die DSGVO. Nach Art. 4 Nr. 11 DSGVO muss sie freiwillig, für einen bestimmten Fall, informiert und unmissverständlich erteilt werden, durch eine Erklärung oder eine eindeutige bestätigende Handlung. Art. 7 DSGVO ergänzt: Wer sich auf eine Einwilligung stützt, muss sie nachweisen können. Und der Widerruf muss so einfach sein wie die Zustimmung.
Der Europäische Gerichtshof hat das im Urteil „Planet49“ (C-673/17) vom 1. Oktober 2019 für Cookies konkretisiert. Ein vorab angehakter Kasten, den Nutzer erst abwählen müssen, ist keine wirksame Einwilligung. Die Regel gilt laut Gericht unabhängig davon, ob die gespeicherten Informationen personenbezogen sind. Außerdem gehören Angaben zur Laufzeit der Cookies und dazu, ob Dritte darauf zugreifen können, zu den Pflichtinformationen.
Was das für Betriebe in Kärnten, Steiermark und Tirol heißt
Die Regeln gelten für jede Website, egal ob Handwerksbetrieb in Villach, Kanzlei in Graz oder Pension im Zillertal. Entscheidend ist nicht die Größe des Betriebs, sondern was technisch auf der Seite passiert. Einwilligungspflichtige Dienste stecken oft nicht in bewusst gewählten Werkzeugen, sondern in Bausteinen, die irgendwann eingebunden und dann vergessen wurden.
Typische Beispiele, die in der Regel eine Einwilligung brauchen:
- Besucherstatistik mit Diensten wie Google Analytics, sofern sie Kennungen im Browser speichert oder ausliest.
- Werbe- und Conversion-Pixel, etwa von Meta, Google Ads oder LinkedIn.
- Eingebettete Inhalte von Dritten, zum Beispiel YouTube-Videos, Google Maps oder Social-Media-Feeds, die beim Laden eigene Cookies setzen oder Daten abrufen können.
- Chat-Widgets und Buchungssysteme fremder Anbieter, wenn sie mehr speichern, als für die gewünschte Funktion nötig ist.
Ohne Einwilligung auskommen können dagegen typischerweise Cookies, die eine vom Besucher gewünschte Funktion erst möglich machen: der Warenkorb im Onlineshop, die Anmeldung in einem Kundenbereich oder das Speichern der Cookie-Entscheidung selbst. Ob ein konkretes Cookie wirklich unbedingt erforderlich ist, müssen Sie im Einzelfall beurteilen.
Daraus folgt eine gute Nachricht: Eine Website, die nur technisch notwendige Speicherungen nutzt, braucht keinen Einwilligungsbanner. Sie muss Besucher trotzdem verständlich informieren, etwa in der Datenschutzerklärung. Wer dagegen Statistik, Werbung oder eingebettete Fremdinhalte nutzt, braucht eine echte Wahl – und darf diese Dienste erst nach der Zustimmung laden.
Was Sie jetzt tun können
Mit diesen fünf Schritten verschaffen Sie sich einen Überblick. Sie brauchen dafür keine Programmierkenntnisse, nur etwas Zeit.
- Bestand aufnehmen: Listen Sie alle Dienste auf, die Ihre Website einbindet. Öffnen Sie die Seite in einem privaten Browserfenster und sehen Sie in den Entwicklerwerkzeugen nach, welche Cookies und Speichereinträge vor jeder Zustimmung entstehen. Einen ersten Anhaltspunkt liefert auch unser kostenloser Website-Check.
- Einordnen: Trennen Sie unbedingt notwendige Speicherungen von allem, was Statistik, Marketing oder Komfort dient. Im Zweifel gilt ein Dienst als einwilligungspflichtig.
- Reihenfolge prüfen: Einwilligungspflichtige Dienste dürfen erst laden, wenn der Besucher zugestimmt hat. Ein Banner, der nur informiert, während im Hintergrund schon gemessen wird, erfüllt die Regel nicht.
- Faire Wahl anbieten: Zustimmen und Ablehnen sollten gleich gut erreichbar sein, ohne vorab gesetzte Häkchen. Die Entscheidung muss sich später jederzeit ändern lassen, etwa über einen Link im Footer.
- Datenschutzerklärung abgleichen: Nennen Sie jeden Dienst mit Zweck, Speicherdauer und der Frage, ob Dritte Zugriff haben. Stimmt die Liste nicht mehr mit der Website überein, entstehen genau die Lücken, die bei Beschwerden auffallen.
Prüfen Sie außerdem, ob Sie jeden Dienst wirklich brauchen. Oft lässt sich eine Karte als Bild mit Link einbinden oder ein Video erst nach einem Klick laden. Jeder Dienst weniger bedeutet weniger Pflichten und meist auch eine schnellere Website.
Wenn Sie das nicht selbst übernehmen möchten: In unserer Website-Betreuung gehören technische Pflege und Änderungen an der Website dazu. Gerne sehen wir uns Ihre Seite auch in einem unverbindlichen Gespräch gemeinsam an.
Häufige Fragen
Ist ein Cookie-Banner in Österreich gesetzlich vorgeschrieben?
Nicht als solcher. Vorgeschrieben ist die Einwilligung für Speicherungen und Zugriffe, die nicht unbedingt erforderlich sind. Der Banner ist nur der übliche Weg, diese Einwilligung einzuholen. Nutzt Ihre Website ausschließlich notwendige Cookies, brauchen Sie keinen Einwilligungsbanner.
Reicht ein Hinweis „Diese Website verwendet Cookies“ mit OK-Knopf?
Für einwilligungspflichtige Dienste in der Regel nicht. Eine Einwilligung muss freiwillig und informiert sein. Wer nur bestätigen, aber nicht ablehnen kann, hat keine echte Wahl. Außerdem dürfen die Dienste erst nach der Zustimmung laden.
Gilt das auch, wenn keine personenbezogenen Daten gespeichert werden?
Ja. Der Europäische Gerichtshof hat im Fall Planet49 klargestellt, dass die Regel für Informationen im Endgerät unabhängig davon gilt, ob es sich um personenbezogene Daten handelt.
Brauche ich für eingebettete YouTube-Videos oder Google Maps eine Einwilligung?
Häufig ja, weil diese Dienste beim Laden eigene Cookies setzen oder Daten abrufen können. Eine verbreitete Lösung ist eine Vorschau, die den Inhalt erst nach einem Klick lädt und vorher auf den Anbieter hinweist.
Wer kontrolliert die Einhaltung?
Für den Datenschutz ist in Österreich die Datenschutzbehörde zuständig. Betroffene können sich dort beschweren. Wie mit einem konkreten Fall umgegangen wird, hängt von den Umständen ab.
Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Für eine verbindliche Beurteilung Ihrer Website wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.