Cookie-Banner-Pflicht in Österreich: Ablehnen-Button und Co.

Kaum eine Website kommt heute ohne Cookie-Banner aus – und trotzdem sind viele dieser Banner rechtlich angreifbar. Der häufigste Fehler: Es gibt zwar einen gut sichtbaren „Alle akzeptieren“-Button, aber keine gleichwertige Möglichkeit, alles abzulehnen. In Österreich ist ein Cookie-Banner immer dann Pflicht, wenn Sie mehr als technisch notwendige Cookies einsetzen. Wir zeigen Ihnen, worauf es ankommt, damit Ihr Banner nicht zur Abmahnfalle wird.

Wann ist ein Cookie-Banner in Österreich Pflicht?

Die kurze Antwort: Ein Cookie-Banner ist immer dann Pflicht, wenn Ihre Website mehr als technisch notwendige Cookies oder vergleichbare Techniken einsetzt. Sobald Sie also Analyse-Tools, Marketing-Pixel, eingebettete Videos oder Karten von Drittanbietern nutzen, brauchen Sie vorab die aktive Einwilligung Ihrer Besucher. Ohne diese Einwilligung dürfen die betreffenden Cookies gar nicht erst gesetzt werden.

Der entscheidende Punkt wird oft übersehen: Es geht nicht nur um „Cookies“ im engeren Sinn. Erfasst sind alle Techniken, die Informationen auf dem Endgerät Ihrer Besucher speichern oder auslesen – dazu zählen auch Local Storage, Tracking-Pixel oder Fingerprinting. Der Begriff Cookie-Banner hat sich zwar eingebürgert, gemeint ist aber die Einwilligung in jede nicht notwendige Speicher- oder Auslesetechnik.

Wer eine reine Visitenkarten-Website ohne jegliches Tracking betreibt, kann in manchen Fällen tatsächlich ganz ohne Banner auskommen – nämlich dann, wenn ausschließlich technisch notwendige Cookies zum Einsatz kommen. In der Praxis ist dieser Fall aber selten, weil schon eine eingebettete Landkarte, ein Font von einem externen Server oder ein Reservierungswidget den Rahmen des „notwendigen“ verlässt.

Die Rechtsgrundlagen: DSGVO, TKG und ePrivacy

Anders als oft angenommen gibt es kein einzelnes „Cookie-Gesetz“. Die Pflicht ergibt sich aus dem Zusammenspiel mehrerer Regelwerke. Wer sie kennt, versteht auch, warum ein bloßes Wegklicken nicht ausreicht.

Datenschutz-Grundverordnung (DSGVO)

Die DSGVO regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Für Tracking- und Marketing-Cookies ist die maßgebliche Rechtsgrundlage in der Regel die Einwilligung. Und diese Einwilligung muss nach der DSGVO freiwillig, informiert, unmissverständlich und aktiv erteilt werden. Genau daraus leitet sich ab, dass Zustimmung nicht durch bloßes Schweigen oder Weitersurfen entstehen kann.

Telekommunikationsgesetz (TKG 2021)

In Österreich setzt das TKG 2021 die europäischen Vorgaben zum Schutz der Endgeräte um. Es verlangt, dass für das Speichern von Informationen auf einem Endgerät oder den Zugriff darauf grundsätzlich eine Einwilligung vorliegen muss – es sei denn, der Zugriff ist technisch unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Das ist die eigentliche Grundlage der „Cookie-Pflicht“ im engeren Sinn.

ePrivacy-Regelung

Auf europäischer Ebene ergänzt die ePrivacy-Regelung die DSGVO für den Bereich der elektronischen Kommunikation. Sie ist der Hintergrund, vor dem die nationalen Vorschriften wie das TKG zu verstehen sind. Für Sie als Unternehmen bedeutet das vor allem: Die Anforderungen sind europaweit im Kern ähnlich, und die Grundlinie lautet stets „erst fragen, dann setzen“.

Notwendige und optionale Cookies unterscheiden

Der wichtigste Unterschied für die Praxis ist die Trennung zwischen technisch notwendigen und optionalen Cookies. Nur für die optionalen brauchen Sie eine Einwilligung – aber genau die werden im Alltag häufig unterschätzt.

Technisch notwendige Cookies sind solche, ohne die die Website nicht funktioniert. Dazu zählen etwa das Cookie, das den Warenkorb eines Onlineshops speichert, ein Login-Cookie oder ein Cookie, das Ihre Cookie-Einstellungen selbst merkt. Für diese Kategorie ist keine Einwilligung nötig – sie dürfen ohne vorheriges Fragen gesetzt werden, weil sie den ausdrücklich gewünschten Dienst erst ermöglichen.

Optionale Cookies dagegen dienen Zwecken, die über die reine Funktion hinausgehen: Reichweitenmessung und Statistik, Marketing und Retargeting, das Einbetten von Videos, Karten oder Social-Media-Inhalten. All das darf erst nach aktiver Zustimmung geladen werden. Das ist der Grund, warum ein technisch sauberer Cookie-Banner Skripte zunächst blockiert und erst nach Einwilligung nachlädt.

Der Ablehnen-Button: gleichwertig statt versteckt

Das größte Streitthema bei Cookie-Bannern ist die Frage, wie einfach Besucher ablehnen können. Die Grundregel lautet: Ablehnen muss genauso einfach sein wie Zustimmen. Wenn es auf der ersten Ebene einen Button „Alle akzeptieren“ gibt, muss auf derselben Ebene ein gleichwertiger Button stehen, mit dem sich alle optionalen Cookies mit einem Klick ablehnen lassen.

Nicht ausreichend ist es, den Ablehnen-Weg zu erschweren. Typische Fehler sind ein Banner, der nur einen „OK“- oder „Verstanden“-Button anbietet, ein grell hervorgehobenes „Akzeptieren“ neben einem blassen, kaum sichtbaren Link, oder ein Aufbau, bei dem man erst über „Einstellungen“ und mehrere Klicks zur Ablehnung findet. Solche Gestaltungen gelten in der Regel als unzulässige Beeinflussung der freien Entscheidung.

Ebenso unzulässig sind vorausgewählte Häkchen. Wenn optionale Cookie-Kategorien im Banner bereits standardmäßig aktiviert sind und der Nutzer sie erst aktiv abwählen müsste, liegt keine gültige Einwilligung vor. Die Zustimmung muss durch eine bewusste, aktive Handlung erfolgen – nicht durch das Übersehen eines bereits gesetzten Hakens.

Was einen Cookie-Banner rechtssicher macht

Ob ein Banner hält, was er verspricht, entscheidet sich an mehreren Details. Die folgende Liste fasst die Anforderungen zusammen, die in der Praxis am wichtigsten sind.

• Optionale Cookies und Skripte werden erst geladen, nachdem eingewilligt wurde – nicht schon beim Aufruf der Seite.
• Ein „Ablehnen“-Button ist auf der ersten Ebene gleichwertig und gleich sichtbar wie „Akzeptieren“.
• Keine vorausgewählten Häkchen bei optionalen Kategorien.
• Der Banner erklärt verständlich, welche Kategorien es gibt und wozu sie dienen, mit Verweis auf die Datenschutzerklärung.
• Die einmal getroffene Entscheidung lässt sich jederzeit widerrufen oder ändern – etwa über einen kleinen Link im Footer.
• Die Einwilligung wird dokumentiert, sodass Sie im Zweifel nachweisen können, dass und wie zugestimmt wurde.
• Der Banner blockiert die Nutzung der Seite nicht komplett und schließt niemanden aus, der ablehnt (keine „Cookie-Wall“ für notwendige Inhalte).

Besonders der erste Punkt ist technisch anspruchsvoll und wird häufig falsch umgesetzt: Ein Banner, der zwar hübsch aussieht, aber die Analyse- und Marketing-Skripte trotzdem schon vor der Einwilligung lädt, erfüllt seinen Zweck nicht. Der Banner ist dann reine Kosmetik. Deshalb sollte die Einbindung von Anfang an technisch sauber geplant werden – idealerweise direkt beim Aufsetzen der Website als Teil einer durchdachten Softwareentwicklung.

Häufige Fehler bei Cookie-Bannern – und wie Sie sie vermeiden

Die meisten problematischen Banner entstehen nicht aus Absicht, sondern weil eine fertige Standardlösung ungeprüft übernommen wurde. Diese Stolpersteine tauchen in der Praxis besonders oft auf:

• Kein echter Ablehnen-Button, nur ein „OK“ oder „Verstanden“.
• Tracking- und Marketing-Skripte werden bereits vor der Einwilligung geladen.
• Optionale Kategorien sind standardmäßig angehakt.
• Der Ablehnen-Weg ist absichtlich versteckt oder farblich zurückgenommen.
• Es gibt keine Möglichkeit, die einmal getroffene Entscheidung später zu ändern.
• Der Banner verweist auf eine Datenschutzerklärung, die es gar nicht gibt oder die veraltet ist.
• Eingebettete Dienste von Drittanbietern werden im Banner gar nicht erwähnt.

Cookie-Banner, Datenschutzerklärung und Impressum zusammendenken

Ein häufiges Missverständnis: Der Cookie-Banner allein erledige die Website-Compliance. Tatsächlich ist er nur ein Baustein von dreien. Das Impressum beantwortet die Frage „Wer steht hinter dieser Website?“. Die Datenschutzerklärung erklärt gemäß DSGVO, welche Daten wie und zu welchem Zweck verarbeitet werden. Und der Cookie-Banner holt die Einwilligung für die optionalen Techniken ein.

Diese drei greifen ineinander. Der Banner sollte auf die Datenschutzerklärung verweisen, in der die einzelnen Dienste und ihre Zwecke ausführlich beschrieben sind. Wer schon beim Kundenportal erstellen oder beim Aufbau einer neuen Firmenseite alle drei Ebenen gemeinsam plant, spart sich das mühsame Nachrüsten und verhindert widersprüchliche Angaben.

In der Fußzeile stehen deshalb üblicherweise Impressum und Datenschutzerklärung als getrennte Menüpunkte nebeneinander, ergänzt um einen kleinen Link zum erneuten Öffnen der Cookie-Einstellungen. Diese Struktur macht es Besuchern und im Ernstfall auch der Behörde leicht, die jeweils gesuchte Information zu finden. Mehr zum Gesamtbild lesen Sie in unserem Beitrag zur Impressumspflicht für Websites.

So richten Sie einen rechtssicheren Cookie-Banner ein

1. 1
   Cookies und Dienste inventarisieren

   Verschaffen Sie sich einen Überblick, welche Cookies und externen Dienste Ihre Website tatsächlich lädt – von der Statistik über eingebettete Videos bis zu Marketing-Pixeln. Ohne diese Bestandsaufnahme lässt sich der Banner nicht korrekt einrichten.
2. 2
   In notwendig und optional einteilen

   Ordnen Sie jeden Dienst einer Kategorie zu. Nur technisch notwendige Cookies dürfen ohne Einwilligung laufen, alles andere gehört hinter die Zustimmung.
3. 3
   Skripte vor der Einwilligung blockieren

   Stellen Sie technisch sicher, dass optionale Skripte erst nach aktiver Zustimmung geladen werden. Das ist der wichtigste und am häufigsten übersehene Schritt.
4. 4
   Gleichwertige Buttons gestalten

   Richten Sie „Alle akzeptieren“, „Alle ablehnen“ und „Einstellungen“ gleichwertig und gleich sichtbar auf der ersten Ebene ein – ohne vorausgewählte Häkchen.
5. 5
   Widerruf und Nachweis vorsehen

   Bauen Sie einen dauerhaft erreichbaren Link zum Ändern der Einstellungen ein und dokumentieren Sie die erteilten Einwilligungen, damit Sie sie im Zweifel nachweisen können.
6. 6
   Datenschutzerklärung anbinden und aktuell halten

   Verknüpfen Sie den Banner mit einer vollständigen Datenschutzerklärung und aktualisieren Sie beide, sobald Sie neue Dienste einbinden oder bestehende entfernen.

Wenn Sie ohnehin gerade eine neue Website planen oder Ihre Prozesse im Rahmen der Digitalisierung in Österreich auf neue Beine stellen, ist das der ideale Zeitpunkt, um den Cookie-Banner von Anfang an mitzudenken. Nachträgliches Nachrüsten ist meist aufwendiger als eine saubere Umsetzung gleich zu Beginn.

Häufige Fragen zur Cookie-Banner-Pflicht

Hinweis: Dieser Beitrag bietet eine praxisorientierte Orientierung und ersetzt keine Rechtsberatung. Konkrete Pflichten und die aktuelle Rechtslage prüfen Sie bitte bei der Datenschutzbehörde, der WKO oder einer fachkundigen Beratung.