Cookie-Banner: Was das österreichische Recht wirklich verlangt

Alles auf Ihrer Website, was nicht unbedingt nötig ist, darf erst nach einer Einwilligung auf dem Gerät der Besucher gespeichert oder ausgelesen werden. Ablehnen muss so einfach sein wie Zustimmen, und vor der Entscheidung darf nichts geladen werden.

Fast jede Unternehmenswebsite hat einen Cookie-Banner, und viele davon erfüllen die Regeln nicht. Nicht aus bösem Willen, sondern weil Baukästen und Plug-ins mehr laden, als ihre Betreiber wissen. Dieser Beitrag erklärt, was in Österreich gilt und wie Sie Ihre eigene Seite prüfen.

Zwei Regelwerke

In Österreich regelt § 165 Abs. 3 Telekommunikationsgesetz 2021 (TKG 2021), ob Informationen auf einem Gerät überhaupt gespeichert oder ausgelesen werden dürfen. Das betrifft Cookies, aber auch Local Storage und ähnliche Techniken. Ohne Einwilligung ist das nur erlaubt, wenn es unbedingt nötig ist, um einen ausdrücklich gewünschten Dienst bereitzustellen oder eine Nachricht zu übertragen.

Wie die Einwilligung aussehen muss, ergibt sich aus der DSGVO: freiwillig, für einen bestimmten Zweck, informiert und eindeutig, und sie muss so einfach zu widerrufen sein, wie sie erteilt wurde (Art. 4 Z 11 und Art. 7 DSGVO). Sobald personenbezogene Daten verarbeitet werden, etwa IP-Adressen, die an Dritte gehen, gilt zusätzlich die DSGVO.

Was eine Einwilligung braucht

• Analyse- und Statistik-Werkzeuge, in aller Regel
• Werbe- und Retargeting-Pixel, Social-Media-Plug-ins
• eingebettete Videos und Karten von Dritten, etwa YouTube oder Google Maps
• Chat-Widgets und ähnliche Werkzeuge, die von fremden Servern laden

Keine Einwilligung braucht, was die Seite zum Funktionieren braucht: ein Sitzungs-Cookie für Warenkorb oder Login, ein Cookie, das die Einwilligungs-Entscheidung selbst speichert, oder Lastverteilung.

So sieht ein korrekter Banner aus

Die europäischen Datenschutzbehörden haben sich 2023 in einer Arbeitsgruppe zu Cookie-Bannern auf gemeinsame Positionen geeinigt. Die wichtigsten Punkte:

• ein „Ablehnen“-Knopf auf der ersten Ebene, genauso sichtbar wie „Akzeptieren“
• keine vorausgewählten Häkchen
• keine Gestaltungstricks, etwa ein blasser Ablehnen-Link neben einem leuchtenden Akzeptieren-Knopf
• „berechtigtes Interesse“ ersetzt die Einwilligung hier nicht
• eine Möglichkeit, die Entscheidung später zu ändern oder zu widerrufen, etwa ein Link im Footer

Die eigene Seite prüfen

1. Öffnen Sie Ihre Website in einem privaten Browserfenster und klicken Sie nicht auf den Banner.
2. Öffnen Sie die Entwicklerwerkzeuge (F12), Reiter „Netzwerk“, und laden Sie neu. Jede Anfrage an eine fremde Domain vor Ihrer Entscheidung ist ein Kandidat für ein Problem.
3. Unter „Anwendung“ → „Cookies“ sehen Sie, was schon gespeichert wurde.
4. Klicken Sie auf „Ablehnen“ und wiederholen Sie das: Danach sollten nur noch notwendige Anfragen übrig bleiben.
5. Vergleichen Sie das Ergebnis mit Ihrer Datenschutzerklärung: Alles, was lädt, muss dort beschrieben sein.

Häufige Stolpersteine

• Schriften, die von Google-Servern geladen werden, übertragen die IP-Adresse der Besucher. Legen Sie sie stattdessen auf Ihren eigenen Server.
• Videos und Karten laden, sobald die Seite öffnet. Ein Platzhalter, der erst nach einem Klick lädt, löst das.
• Der Banner sagt „nur notwendige“, aber das Statistik-Skript startet trotzdem.

Sie möchten ein zweites Paar Augen? Unser DSGVO-Schnellcheck umfasst Website, Formulare und Cookies. Zu den Leistungen.