DSGVOCookies
16. Mai 2026 · 14 Min. Lesezeit · Von OneDaySite

Cookie-Banner-Pflicht in Österreich: Was du wissen musst

Cookie-Banner nerven, das wissen wir alle. Trotzdem ist die Cookie-Banner-Pflicht in Österreich kein Mythos und kein reines Deutschland-Thema. Sie ergibt sich aus § 165 TKG 2021 und der DSGVO. Die gute Nachricht: Du brauchst nicht für jede Website einen Banner, und die Regeln sind klarer, als die meisten denken. Hier bekommst du die ehrliche Kurzfassung, wann du einen Banner brauchst, wie er aussehen muss und was passiert, wenn du ihn weglässt.

Kurz vorweg: Dieser Beitrag ist allgemeine Information, keine Rechtsberatung. Bei komplexen Setups oder im Zweifel fragst du am besten eine Datenschutz-Expertin oder einen Anwalt. Und beachte: Es geht hier um die österreichische Rechtslage, die sich in Details von der deutschen unterscheidet.

Ist ein Cookie-Banner in Österreich Pflicht? Die Kurzantwort

Die ehrliche Antwort lautet: Es kommt darauf an, welche Cookies du setzt. Pauschal ist kein Banner vorgeschrieben, aber sobald du nicht notwendige Cookies verwendest, brauchst du eine Einwilligung. Damit du nicht den ganzen Artikel lesen musst, hier die Kurzfassung:

• Nur technisch notwendige Cookies? Dann brauchst du keinen Einwilligungs-Banner. Eine Info in der Datenschutzerklärung reicht.
• Analyse-, Marketing- oder Tracking-Cookies? Dann brauchst du eine aktive Einwilligung, bevor diese Cookies geladen werden. Also einen echten Banner mit Akzeptieren und Ablehnen.
• Google Analytics, Meta-Pixel, YouTube-Einbettung, Google Maps? Alles nicht notwendig. Hier führt kein Weg am Banner vorbei.

Wenn du also irgendeine Form von Statistik oder Werbung auf deiner Seite hast, lautet die Antwort: ja, Banner-Pflicht. Wenn deine Seite eine schlichte digitale Visitenkarte ist, vielleicht nicht. Den Rest dieses Beitrags brauchst du, um sicher zu unterscheiden und den Banner richtig zu bauen.

Was Cookies sind und welche Arten es gibt

Ein Cookie ist eine kleine Textdatei, die eine Website im Browser deiner Besucher speichert. Damit lässt sich ein Gerät wiedererkennen. Das ist erstmal weder gut noch böse, es kommt auf den Zweck an. Genau danach unterscheidet das Gesetz, und nicht nach dem Namen des Cookies.

Die österreichische Datenschutzbehörde und die WKO teilen Cookies in zwei Gruppen. Diese Unterscheidung ist der wichtigste Punkt im ganzen Thema:

Der entscheidende Satz dazu kommt direkt von der Datenschutzbehörde: Cookies, die wirklich nur für den Betrieb deiner Seite nötig sind, brauchen keine Banner-Zustimmung. Aber es kommt nicht auf den Namen an, sondern darauf, dass der Cookie tatsächlich unbedingt erforderlich ist. Sobald ein Cookie zusätzlich trackt, analysiert oder dich über mehrere Seiten hinweg eindeutig wiedererkennt, ist er nicht mehr technisch notwendig. Und: Auch einwilligungsfreie Cookies musst du in deiner Datenschutzerklärung erwähnen.

Die Rechtsgrundlage: § 165 TKG 2021 trifft DSGVO

In Österreich steht die Cookie-Pflicht nicht nur in der DSGVO, sondern vor allem im Telekommunikationsgesetz. Das ist der häufigste Irrtum, gerade bei Artikeln, die eigentlich die deutsche Rechtslage beschreiben. Bei uns greifen zwei Normen parallel:

• § 165 Abs. 3 TKG 2021 regelt das Speichern von Informationen auf dem Gerät deiner Besucher und den Zugriff darauf. Das ist genau das, was ein Cookie tut. Erlaubt ist das nur mit aktiver, vorheriger Einwilligung auf Basis klarer Informationen. Diese Bestimmung setzt die europäische ePrivacy-Richtlinie in österreichisches Recht um.
• Die DSGVO (Art. 4 Z 11, Art. 6 und Art. 7) liefert den Maßstab, wann eine Einwilligung gültig ist: freiwillig, für den bestimmten Fall, informiert und unmissverständlich. Sie greift, sobald über die Cookies personenbezogene Daten verarbeitet werden, etwa IP-Adressen oder Nutzungsprofile.

Daraus folgt die zentrale Regel: Analyse-, Marketing- und Tracking-Cookies darfst du in Österreich erst setzen, wenn deine Besucher vorher aktiv zugestimmt haben, also ein echtes Opt-in gegeben haben. Ein schon angehakter Haken oder bloßes Weitersurfen zählt nicht. Und auf ein berechtigtes Interesse kannst du dich dafür nicht stützen. Das steht so sinngemäß in den FAQ der Datenschutzbehörde, der Gesetzestext selbst ist im Rechtsinformationssystem des Bundes (§ 165 TKG 2021) nachzulesen.

Was heißt das in der Praxis? Die beiden Normen greifen ineinander. Das TKG entscheidet, ob du überhaupt auf das Gerät zugreifen, also den Cookie setzen darfst. Die DSGVO entscheidet, ob du die damit gewonnenen Daten weiterverarbeiten darfst und wie eine saubere Einwilligung aussieht. Für dich als Website-Betreiber heißt das: Du musst beides erfüllen, nicht nur eines. Ein Skript, das nach dem TKG zu früh lädt, ist genauso ein Problem wie eine Einwilligung, die nach DSGVO-Maßstäben nicht wirklich freiwillig zustande kommt.

Wann du einen Banner brauchst und wann nicht

Jetzt wird es konkret. Statt Paragrafen hilft dir ein Blick auf typische KMU-Situationen. Drei Beispiele aus dem Alltag:

Die schlichte Visitenkarten-Seite: oft kein Banner

Ein Friseur mit einer Seite, die nur Leistungen, Öffnungszeiten, Anfahrt und ein Kontaktformular zeigt, setzt häufig gar keine nicht notwendigen Cookies. Solange kein Tracking, keine Karte und kein eingebettetes Video dabei ist, braucht diese Seite keinen Einwilligungs-Banner. Ein kurzer Cookie-Hinweis in der Datenschutzerklärung genügt.

Die Seite mit Statistik: Banner nötig

Sobald du wissen willst, woher deine Besucher kommen, läuft das über ein Analyse-Tool wie Google Analytics. Das ist nicht notwendig im Sinne des Gesetzes. Damit brauchst du einen Banner, der das Tool erst nach der Zustimmung lädt.

Eingebettete Inhalte: der unterschätzte Fall

Ein YouTube-Video im Beitrag, eine Google-Map mit deinem Standort, ein Instagram-Feed: All das lädt Daten von Dritten und gilt als nicht notwendig. Viele KMU vergessen das, weil sie an Cookies nur im engen Sinn denken. Auch hier brauchst du eine vorherige Einwilligung oder eine datensparsame Zwei-Klick-Lösung.

Der Onlineshop: fast immer Banner-Pflicht

Ein Onlineshop ist der klarste Fall. Der Warenkorb selbst ist technisch notwendig und braucht keine Zustimmung. Aber kaum ein Shop kommt ohne Statistik, Zahlungsdienstleister mit Tracking, Remarketing oder Produktempfehlungen aus. Sobald einer dieser Dienste mitläuft, brauchst du einen Banner, der alles Nicht-Notwendige erst nach der Einwilligung lädt. Gerade hier lohnt sich saubere Arbeit, weil Shops häufiger im Visier von Beschwerden stehen als eine kleine Firmenseite.

Faustregel: Lädt deine Seite irgendetwas von einem fremden Server, das nicht für den reinen Betrieb nötig ist, brauchst du dafür eine Einwilligung.

Wie ein rechtskonformer Cookie-Banner aussehen muss

Ein Banner allein reicht nicht. Er muss richtig gebaut sein, sonst ist die Einwilligung unwirksam, und du stehst schlechter da als ganz ohne. Die wichtigsten Anforderungen, gestützt auf die Datenschutzbehörde, das Portal onlinesicherheit.gv.at und ein Urteil des Bundesverwaltungsgerichts von 2024:

• Erst fragen, dann setzen. Nicht notwendige Cookies dürfen erst nach der Zustimmung laden. Privacy by default heißt: standardmäßig ist alles aus.
• Ablehnen so einfach wie Akzeptieren. Beide Optionen gehören gleichwertig auf die erste Banner-Ebene. Das Bundesverwaltungsgericht hat 2024 bestätigt, dass du Ablehnen nicht hinter Einstellungen verstecken darfst und der Button optisch gleichwertig erkennbar sein muss. Eine pixelgenau identische Größe schreibt das Gericht zwar nicht vor, aber je gleichwertiger, desto sicherer.
• Echte Wahl statt Schein-Wahl. Kein blasser Ablehnen-Link neben einem grellen Akzeptieren-Knopf.
• Klar und verständlich informieren. Welche Cookies, welcher Zweck, welche Anbieter. Verlinkt auf die Datenschutzerklärung.
• Widerruf jederzeit möglich. Der Widerruf muss so einfach sein wie die Zustimmung. In der Praxis über einen kleinen Link oder ein Cookie-Symbol, das den Banner erneut öffnet.
• Kein Zwang. Du darfst niemandem den Zugang zur Seite verweigern, nur weil er bestimmte Cookies ablehnt.

Darf ich statt Zustimmung Geld verlangen?

Das sogenannte Pay-or-Okay-Modell, bei dem Besucher entweder dem Tracking zustimmen oder zahlen, ist heiß diskutiert. Der Europäische Datenschutzausschuss hat 2024 festgehalten, dass große Plattformen damit in den meisten Fällen keine gültige Einwilligung bekommen. Für kleine Websites ist die Lage rechtlich nicht abschließend geklärt. Unser Rat für KMU: Finger weg von diesem Modell, solange die Rechtslage wackelt. Eine echte, freie Wahl ist der sicherere und ehrlichere Weg.

Verboten: vorausgewählte Häkchen, Nudging und Dark Patterns

Genauso wichtig wie das, was du tun musst, ist das, was du lassen musst. Hier scheitern die meisten Banner in der Praxis. Drei Dinge sind tabu:

Vorangekreuzte Häkchen. Ein schon vorausgewähltes Kästchen reicht für eine wirksame Cookie-Einwilligung nicht aus. Das hat der EuGH im bekannten Planet49-Urteil klar entschieden. Du brauchst eine aktive Handlung, also ein bewusstes Klicken. Auch bloßes Weitersurfen gilt nicht als Zustimmung, das ergibt sich aus der DSGVO und sieht auch die österreichische Datenschutzbehörde so.

Dark Patterns und Nudging. Damit sind manipulative Tricks gemeint, die Nutzer in Richtung Zustimmung drängen. Der riesige bunte Akzeptieren-Knopf neben dem grauen Mini-Link, das Ablehnen, das erst nach drei Klicks erreichbar ist, oder irreführende Formulierungen. Wichtig zur Einordnung: Nicht jede farbliche Hervorhebung ist automatisch verboten. Entscheidend ist, ob die Wahl wirklich frei bleibt.

Dass das keine Theorie ist, zeigt ein prominenter Fall: Die österreichische Datenschutzbehörde hat 2024 eine Beschwerde der Organisation noyb gegen ORF.at bestätigt und den ORF verpflichtet, Ablehnen und Akzeptieren mit gleicher Prominenz zu gestalten. noyb rund um Max Schrems hat hunderte solcher Beschwerden gegen irreführende Banner eingebracht. Wer also denkt, das interessiert ohnehin niemanden, liegt falsch.

Wer kontrolliert das, und welche Strafen drohen?

Beim Thema Strafen wird oft mit großen Zahlen Angst gemacht. Schauen wir nüchtern hin, denn die Zuständigkeit in Österreich ist zweigeteilt:

Für den klassischen Datenschutz ist in Österreich die Datenschutzbehörde zuständig, und die DSGVO-Bußgelder können happig sein. Aber bei reinen Cookie-Verstößen sind erstmal die Fernmeldebehörden am Zug, mit dem niedrigeren Rahmen aus dem TKG. Die DSB und der große DSGVO-Rahmen kommen ins Spiel, sobald über die Cookies personenbezogene Daten verarbeitet werden. Bei Tracking- und Marketing-Cookies ist das praktisch fast immer der Fall.

Ehrlich eingeordnet: Eine kleine .at-Seite bekommt nicht über Nacht eine Millionenstrafe. Der reale Ablauf ist meist eine Beschwerde, dann eine Aufforderung der Behörde, den Banner zu korrigieren. Teuer wird es vor allem, wenn du nach einer klaren Aufforderung nichts änderst. Auslösen kann so eine Beschwerde übrigens jeder, ein verärgerter Besucher genauso wie ein Datenschutz-Verein. Die Behörde muss dich also gar nicht von sich aus entdecken, ein einziger Hinweis reicht. Panik ist trotzdem fehl am Platz, Ignorieren aber auch.

Ändert der Digital Omnibus bald etwas?

Vielleicht hast du gehört, dass die EU die Cookie-Banner-Flut eindämmen will. Tatsächlich gibt es auf europäischer Ebene seit einiger Zeit Vorschläge, die ständige Klickerei zu reduzieren, oft unter Stichworten wie Digital Omnibus oder einer Reform der ePrivacy-Regeln. Die Idee dahinter: Einwilligungen sollen sich künftig stärker zentral im Browser verwalten lassen, statt auf jeder einzelnen Seite abgefragt zu werden.

So weit die Theorie. Für deine Website heißt das Stand 2026 aber: Es hat sich nichts geändert, das dich von der Banner-Pflicht befreit. Bis tatsächlich etwas beschlossen ist und in Österreich gilt, bleibt § 165 TKG 2021 die Messlatte. Verlass dich also nicht auf eine Reform, die vielleicht irgendwann kommt. Bau deinen Banner heute sauber, dann bist du auf der sicheren Seite, egal was die EU als Nächstes entscheidet.

Schritt für Schritt: So machst du deinen Cookie-Banner sauber

Genug Theorie. So setzt du das Ganze für deine Website praktisch um, in der richtigen Reihenfolge:

1. Cookies inventarisieren. Öffne deine Seite und schau in den Entwicklertools des Browsers nach, was tatsächlich gesetzt wird. Oft sind es mehr Dritt-Dienste, als man denkt.
2. Kategorisieren. Sortiere jeden Cookie in notwendig oder nicht notwendig. Im Zweifel gilt: alles, was trackt, misst oder von einem fremden Server kommt, ist nicht notwendig.
3. Nicht notwendige Cookies blockieren. Sorge dafür, dass diese Skripte erst nach der Einwilligung laden, nicht schon beim Seitenaufruf.
4. Banner mit gleichwertigen Buttons einbauen. Akzeptieren und Ablehnen auf der ersten Ebene, granulare Auswahl für die Kategorien, ein Link zum Widerruf.
5. Datenschutzerklärung verlinken und aktuell halten. Auch die notwendigen Cookies gehören dort hinein.
6. Google Fonts lokal einbinden. Der zweite, oft vergessene DSGVO-Stolperstein. Schriften, die direkt von Google geladen werden, übertragen IP-Adressen in die USA. Lokal eingebundene .woff2-Dateien lösen das sauber und nebenbei schneller.

Du brauchst dafür kein teures US-Consent-Tool, das selbst wieder Daten abzieht. Ein schlanker Cookie-Banner in Vanilla-JavaScript, der lokal auf deinem Server liegt, erfüllt die Anforderungen und ist obendrein schneller. Genau so setzen wir das bei unseren Projekten um. Wer ohnehin gerade neu baut, sollte den Datenschutz gleich mitdenken, mehr dazu in unserem Beitrag, wann ein Website-Relaunch sinnvoll ist. Und wenn du wissen willst, was so ein sauberes Setup kostet, hilft dir unser Überblick zu den Website-Kosten in Österreich weiter.

Wie aufwändig das ist, hängt von deiner Seite ab. Bei einer überschaubaren Website ist ein sauberer Banner an einem Nachmittag erledigt. Bei einem gewachsenen Shop mit vielen Dritt-Diensten wird es mehr Arbeit, weil du jedes einzelne Skript prüfen und richtig einbinden musst. In beiden Fällen gilt: lieber einmal sauber aufsetzen als später nachbessern, wenn schon eine Beschwerde im Postfach liegt.

Häufige Fragen zur Cookie-Banner-Pflicht in Österreich

Fazit: Cookie-Banner ja, Panik nein

Die Cookie-Banner-Pflicht in Österreich ist weniger kompliziert, als ihr Ruf vermuten lässt. Die Logik dahinter passt in einen Satz: Technisch notwendige Cookies darfst du ohne Nachfrage setzen, alles andere erst nach einer aktiven Einwilligung. Der Banner muss Akzeptieren und Ablehnen gleichwertig anbieten, vorausgewählte Häkchen sind tabu, und ein bloßer Hinweis genügt nicht. Wer Tracking oder eingebettete Inhalte nutzt, kommt nicht drumherum, eine reine Visitenkarten-Seite oft schon.

Du musst dafür weder ein teures Tool kaufen noch in Panik verfallen. Ein sauber gebauter, lokaler Cookie-Banner und lokal eingebundene Schriften erledigen den Großteil. Genau so liefern wir bei OneDaySite jede Website aus: DSGVO-konform aufgesetzt, mit lokalem Banner und ohne unnötige Dritt-Dienste, zum Festpreis und in 24 Stunden. So kannst du dich um dein Geschäft kümmern statt um Paragrafen.

Noch einmal klar gesagt: Dieser Beitrag ersetzt keine Rechtsberatung und gibt keine Garantie auf Rechtssicherheit im Einzelfall. Er fasst die österreichische Rechtslage (Stand 2026) allgemein zusammen. Bei besonderen Konstellationen, etwa Onlineshops mit vielen Dritt-Diensten, lohnt sich der Blick in die aktuelle Praxis der Datenschutzbehörde oder ein kurzes Gespräch mit einem Datenschutz-Profi.

Verwandte Beiträge: Was kostet eine Website in Österreich? · Wann ist ein Website-Relaunch sinnvoll? · alle Blog-Artikel