Recht · Stand Oktober 2026

Cookie-Banner: Was Österreichs Recht verlangt (Stand Oktober 2026)

Entwurf. Diese Seite ist noch nicht redaktionell geprüft. Die rechtliche Prüfung steht noch aus.

Du brauchst eine Einwilligung nur, wenn deine Website Cookies oder ähnliche Techniken einsetzt, die nicht unbedingt notwendig sind – etwa für Statistik oder Werbung. Setzt du nur technisch notwendige Cookies, brauchst du laut Datenschutzbehörde keinen Cookie-Banner. Rechtsgrundlage ist § 165 Abs 3 TKG 2021 zusammen mit der DSGVO. Wenn du einen Banner brauchst, muss Ablehnen schon auf der ersten Ebene genauso einfach sein wie Akzeptieren. Seit August 2026 schreibt die DSB laut Medienberichten Website-Betreiber dazu auch von sich aus an.

Was das Gesetz verlangt

§ 165 Abs 3 TKG 2021: Anbieter eines Dienstes der Informationsgesellschaft (§ 3 Z 1 ECG) dürfen Daten im Endgerät nur speichern oder auslesen, wenn der Nutzer aktiv und auf Grundlage klarer und umfassender Informationen eingewilligt hat. Ausgenommen sind Speicherung oder Zugriff, deren alleiniger Zweck die Übertragung einer Nachricht ist oder die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind.
Art 6 Abs 1 lit a, Art 7 Abs 3 DSGVO iVm § 165 Abs 3 TKG 2021 (BVwG 31.07.2024, W108 2284491-1): Das BVwG hielt fest, dass ein Cookie-Banner bereits auf der ersten Ebene eine gleichwertige Möglichkeit zum Ablehnen bieten muss. Der Widerruf bzw. die Ablehnung muss so einfach sein wie die Erteilung der Einwilligung.
DSB-FAQ „Datenschutz & Cookies“ (Auslegung von § 165 Abs 3 TKG 2021 und DSGVO): Laut Datenschutzbehörde ist eine Einwilligung nur für technisch nicht notwendige Cookies nötig; wer keine solchen setzt, braucht keinen Cookie-Banner. Tracking-, Analyse- und Werbe-Cookies gelten nicht als technisch notwendig, auch wenn sie die Website finanzieren. Vorangekreuzte Kästchen sind unzulässig, und das Nicht-Einwilligen muss so einfach sein wie das Einwilligen.
Art 57 Abs 1 lit d DSGVO (Sensibilisierungsschreiben der DSB, ab Mitte August 2026): Laut Medienberichten verschickt die DSB seit Mitte August 2026 von Amts wegen Sensibilisierungsschreiben an Website-Betreiber zu Cookie-Bannern, ohne zunächst ein Verfahren einzuleiten. Genannt werden: Einwilligung vor dem Setzen, Ablehnen-Option auf der ersten Ebene, Ablehnen nicht optisch benachteiligt, Information in der Datenschutzerklärung. Eine Primärveröffentlichung der DSB dazu konnte nicht abgerufen werden.
Art 5 Abs 3 RL 2002/58/EG (ePrivacy-RL), EDSA-Leitlinien 2/2023 zum technischen Anwendungsbereich: § 165 Abs 3 TKG 2021 setzt Art 5 Abs 3 der ePrivacy-Richtlinie um. Der EDSA hat Leitlinien zum technischen Anwendungsbereich veröffentlicht (finale Fassung nach öffentlicher Konsultation), die nicht nur Cookies, sondern auch andere Techniken wie Tracking-Pixel und Fingerprinting behandeln. Das ist für „cookieless“ Analyse-Tools relevant.
Vorschlag „Digital Omnibus“ (Art 88a/88b DSGVO-Entwurf): Die EU-Kommission hat am 19.11.2025 vorgeschlagen, die Cookie-Regeln in die DSGVO (Art 88a, 88b) zu verschieben, inkl. Ablehnen mit einem Klick und verbindlicher Browser-Signale. Laut Sekundärquellen ist das Verfahren mit Stand September 2026 noch in erster Lesung; geltendes Recht bleibt § 165 Abs 3 TKG 2021.

Checkliste

Angabe	Rechtsgrundlage
Kein nicht notwendiges Cookie, kein localStorage-Eintrag und kein Tracking-Request vor Einwilligung (Prüfen: Beim ersten Seitenaufruf ohne Klick im Banner dürfen keine Analyse- oder Marketing-Cookies und keine Requests an Tracking-Dienste (z. B. Google Analytics, Meta Pixel) auftreten.)	§ 165 Abs 3 TKG 2021
Ablehnen-Button auf der ersten Banner-Ebene (Nicht erst unter „Einstellungen“ versteckt.)	Art 7 Abs 3 DSGVO; BVwG W108 2284491-1
Ablehnen optisch gleichwertig zu Akzeptieren (Gleiche Größe, vergleichbarer Kontrast; kein grauer Text-Link neben großem farbigem Button.)	Art 7 DSGVO; DSB-FAQ Cookies
Keine vorangekreuzten Kategorien (Nicht notwendige Kategorien standardmäßig aus.)	Art 25 Abs 2 DSGVO (privacy by default) laut DSB-FAQ
Website auch ohne Einwilligung nutzbar (kein Cookie-Wall) (Laut DSB grundsätzlich unzulässig, den Zugang bei Nicht-Einwilligung zu verweigern.)	DSB-FAQ Cookies
Einwilligung jederzeit widerrufbar (z. B. Link „Cookie-Einstellungen“ im Footer) (Widerruf muss so einfach sein wie die Erteilung.)	Art 7 Abs 3 DSGVO
Kein Banner, wenn nur technisch notwendige Cookies gesetzt werden (Ein unnötiger Banner ist kein Rechtsverstoß, aber vermeidbar. Information in der Datenschutzerklärung bleibt nötig.)	§ 165 Abs 3 TKG 2021; DSB-FAQ Cookies
Datenschutzerklärung nennt eingesetzte Cookies/Tools, Zweck und Rechtsgrundlage (Zweck, Rechtsgrundlage, Speicherdauer, Empfänger.)	§ 165 Abs 3 TKG 2021; Art 13 DSGVO

Wer ist ausgenommen

Cookies, die für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind (z. B. Warenkorb, Login-Session, mehrseitige Formulare) – laut DSB-FAQ ohne Einwilligung zulässig
Speicherung des Einwilligungsstatus selbst (ohne eindeutige Kennung) – laut DSB-FAQ
Speicherung/Zugriff mit dem alleinigen Zweck der Übertragung einer Nachricht über ein Kommunikationsnetz (§ 165 Abs 3 TKG 2021)

Typische Fehler

Du lädst Google Analytics oder den Meta Pixel schon beim ersten Seitenaufruf, bevor jemand im Banner geklickt hat.
Dein Banner hat nur „Akzeptieren“ und „Einstellungen“ – das Ablehnen versteckt sich auf der zweiten Ebene.
Der „Ablehnen“-Link ist klein und grau, „Alle akzeptieren“ groß und farbig.
Im Einstellungsdialog sind Statistik und Marketing schon vorausgewählt.
Es gibt keinen Weg, die Einwilligung später zu widerrufen, weil der Banner nach dem ersten Klick nie wieder erscheint.
Du hältst ein Tool für „cookieless“ und damit einwilligungsfrei, ohne zu prüfen, ob es trotzdem Daten im Browser speichert oder ausliest (z. B. localStorage, Fingerprinting).
Deine Datenschutzerklärung nennt Tools, die du gar nicht mehr nutzt – oder vergisst die, die du nutzt.
Du setzt einen Cookie-Banner ein, obwohl du nur notwendige Cookies hast, und verwirrst damit deine Besucher.

Häufige Fragen

Brauche ich einen Cookie-Banner, wenn ich nur eine einfache Firmenwebsite habe?

Nicht automatisch. Laut Datenschutzbehörde ist eine Einwilligung nur für technisch nicht notwendige Cookies erforderlich. Setzt deine Website keine Statistik-, Marketing- oder Tracking-Cookies und lädt keine solchen Dienste, brauchst du keinen Banner. Prüfe aber genau, was eingebunden ist: Analyse-Tools, Social-Media-Pixel oder manche Einbettungen setzen oft Cookies, ohne dass du es merkst. In deiner Datenschutzerklärung informierst du trotzdem über die Datenverarbeitung.

Welche Cookies gelten als technisch notwendig?

Laut DSB-FAQ sind das Cookies, die für einen von dir ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Beispiele: Warenkorb, Login-Status, Eingaben in mehrseitigen Formularen und das Speichern der Cookie-Entscheidung selbst. Nicht notwendig sind laut DSB Tracking-, Analyse- und Werbe-Cookies – auch dann nicht, wenn sie die Website wirtschaftlich unterstützen. Für diese brauchst du vorab eine Einwilligung nach § 165 Abs 3 TKG 2021.

Muss der Ablehnen-Button gleich aussehen wie Akzeptieren?

Ablehnen muss so einfach sein wie Akzeptieren. Das BVwG hat 2024 entschieden, dass eine gleichwertige Ablehnen-Möglichkeit schon auf der ersten Banner-Ebene vorhanden sein muss. Die DSB weist darauf hin, dass beide Optionen gleich gut erkennbar sein müssen; auch Farbunterschiede zählen, wenn sie das Ablehnen schlechter sichtbar machen. Ein großer bunter „Akzeptieren“-Button neben einem kleinen grauen Link reicht daher nicht.

Ist „cookieless“ Analytics automatisch ohne Einwilligung erlaubt?

Nicht automatisch. § 165 Abs 3 TKG 2021 betrifft das Speichern und Auslesen von Informationen im Endgerät – nicht nur Cookies. Der EDSA behandelt in seinen Leitlinien 2/2023 auch Techniken wie Tracking-Pixel und Fingerprinting. Ein Tool ohne Cookies kann trotzdem Daten im Browser speichern oder Geräteinformationen auslesen. Außerdem verarbeitet es oft IP-Adressen, wofür du eine Rechtsgrundlage nach der DSGVO brauchst. Lass das konkrete Tool prüfen.

Fallen Cookie-Banner durch den Digital Omnibus bald weg?

Derzeit nicht. Die EU-Kommission hat im November 2025 vorgeschlagen, die Cookie-Regeln in die DSGVO zu verschieben und Browser-Signale verbindlich zu machen. Laut Fachberichten ist das Gesetzgebungsverfahren mit Stand September 2026 aber noch nicht abgeschlossen. Bis eine neue Regel in Kraft tritt, gilt in Österreich § 165 Abs 3 TKG 2021 unverändert. Plane deinen Banner also nach der aktuellen Rechtslage.

Diese Seite ersetzt keine Rechtsberatung. Maßgeblich sind die geltenden Gesetze und die Auskunft deiner Kammer bzw. deiner Rechtsberatung.

Kostenlosen Entwurf für deinen Betrieb anfragen

Unverbindlich, kein Termin nötig. Du schickst mir ein paar Infos, ich baue dir den ersten Entwurf.

Jetzt unverbindlich anfragen

Quellen

RIS – § 165 TKG 2021 (abgerufen am 3. Oktober 2026)
RIS – BVwG 31.07.2024, W108 2284491-1 (Cookie-Banner) (abgerufen am 3. Oktober 2026)
Datenschutzbehörde – FAQ Datenschutz & Cookies (abgerufen am 3. Oktober 2026)
ITWELT – Datenschutzbehörde kündigt amtswegige Überprüfung von Cookie-Bannern an (18.08.2026) (abgerufen am 3. Oktober 2026)
EDSA – Leitlinien 2/2023 zum technischen Anwendungsbereich von Art 5 Abs 3 ePrivacy-RL (abgerufen am 3. Oktober 2026)
Taylor Wessing – The Digital Omnibus: cookies, consent and digital advertising (UNGEPRÜFT: Verfahrensstand nur aus Sekundärquellen) (abgerufen am 3. Oktober 2026)
Web Crossing – Datenschutzbehörde prüft Cookie-Banner (abgerufen am 3. Oktober 2026)

Zuletzt geprüft am 3. Oktober 2026.