Die Cookie-Regel in Österreich steht in § 165 TKG 2021. Prüfen Sie Ihre Website auf Tracker, die vor der Einwilligung laden.
In Österreich regelt § 165 Abs. 3 des Telekommunikationsgesetzes 2021 (TKG 2021) die Einwilligung in Cookies. Die Vorschrift setzt die ePrivacy-Richtlinie (2002/58/EG) um und gilt zusammen mit dem Datenschutzgesetz (DSG) und der DSGVO. Informationen auf dem Endgerät zu speichern oder auszulesen, etwa über Cookies, Pixel, Fingerprinting oder ähnliche Tracker, ist danach nur mit vorheriger, informierter Einwilligung erlaubt. Ausgenommen ist, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Die österreichische Datenschutzbehörde (DSB) setzt diese Regeln durch. International bekannt wurde sie 2022 mit ihrer Entscheidung zu Google Analytics: Als erste nationale Behörde in der EU stufte sie eine übliche Einbindung des Analysetools als rechtswidrig ein.
§ 165 Abs. 3 TKG 2021 erlaubt das Speichern oder Auslesen von Daten auf dem Endgerät nur mit vorheriger, informierter Einwilligung, außer es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich.
Maßgebliche Gesetze
TKG 2021 + DSGVO
Verstöße können nach dem TKG 2021 und der DSGVO mit Geldbußen geahndet werden.
Telekommunikationsgesetz 2021 (TKG 2021); DSGVO Art. 83
22. Dez. 2021
Bescheid der DSB, veröffentlicht am 13. Januar 2022: Der Einsatz von Google Analytics auf einer österreichischen Website war rechtswidrig – die erste solche Entscheidung in der EU
Österreichische Datenschutzbehörde / noyb
§ 165 Abs. 3
Die Vorschrift im TKG 2021, die eine Einwilligung vor nicht notwendigen Cookies verlangt
Telekommunikationsgesetz 2021, § 165 Abs. 3
101 Beschwerden
Musterbeschwerden von noyb im gesamten EWR, beginnend mit dem österreichischen Fall zu Google Analytics
noyb.eu
Nach § 165 Abs. 3 TKG 2021 dürfen nicht notwendige Cookies und Tracker erst gesetzt werden, wenn der Nutzer aktiv zugestimmt hat. Vorausgewählte Kästchen und eine stillschweigende Einwilligung durch Weitersurfen sind unwirksam, wie auch der EuGH im Urteil Planet49 (C-673/17) entschieden hat.
Nach den Cookie-Hinweisen der DSB muss auf der ersten Ebene des Cookie-Hinweises neben „Akzeptieren“ eine klare Option zum Ablehnen stehen. Der Button zum Akzeptieren darf optisch nicht stärker hervorgehoben sein. Eine manipulative Gestaltung, die zur Zustimmung drängt, gefährdet die Wirksamkeit der Einwilligung.
Ohne Einwilligung zulässig sind nur Cookies, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind, etwa für die Sitzungsverwaltung, den Warenkorb oder das Speichern der Einwilligungsentscheidung selbst. Analyse- und Werbe-Cookies fallen nie darunter.
Vor der Einwilligung müssen Nutzer klar erfahren, welche Cookies eingesetzt werden, zu welchem Zweck, wie lange und mit welchen Drittanbietern. Die Einwilligung muss für einzelne Zwecke möglich sein, damit Nutzer manchen Zwecken zustimmen und andere ablehnen können.
Der Widerruf muss so einfach sein wie die Einwilligung, und Verantwortliche müssen nachweisen können, dass eine wirksame Einwilligung vorliegt (Art. 7 DSGVO). Aufzeichnungen und Nachweise über den Zustand vor der Einwilligung sind deshalb wichtig.
Cookie-Compliance in Österreich liegt an der Schnittstelle zweier Regelwerke. § 165 Abs. 3 TKG 2021 ist die eigentliche Cookie-Vorschrift. Sie setzt die ePrivacy-Richtlinie um und legt fest, dass Informationen nur nach vorheriger, informierter Einwilligung auf dem Endgerät gespeichert oder von dort ausgelesen werden dürfen, außer sie sind für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Diese Vorschrift entscheidet, ob ein Tracker überhaupt laden darf.
Was eine Einwilligung ist, bestimmt die DSGVO. Art. 4 Nr. 11 verlangt eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung durch eine eindeutige bestätigende Handlung. Art. 7 regelt die Bedingungen, darunter, dass der Widerruf so einfach sein muss wie die Einwilligung. Das Datenschutzgesetz (DSG) ergänzt die DSGVO in Österreich und bestimmt die Aufsichtsbehörde. Website-Betreiber in Österreich müssen also § 165 TKG 2021 und die Einwilligungsregeln der DSGVO gleichzeitig erfüllen.
Die Österreichische Datenschutzbehörde (DSB) mit Sitz in der Barichgasse 40–42 in Wien ist die nationale Aufsichtsbehörde. Sie hat FAQ und Hinweise zu Cookies veröffentlicht, die konkrete Erwartungen an die Gestaltung beschreiben: Akzeptieren und Ablehnen müssen auf der ersten Ebene sichtbar sein, der Weg zum Ablehnen darf nicht hinter zusätzlichen Klicks liegen, vorausgewählte Kästchen sind unwirksam, und der Widerruf muss so einfach sein wie die Einwilligung.
In Österreich wurde die europäische Durchsetzung bei Cookies und Datenübermittlungen entscheidend. Mit Bescheid vom 22. Dezember 2021, veröffentlicht am 13. Januar 2022, stellte die DSB fest, dass die übliche Einbindung von Google Analytics auf einer österreichischen Website personenbezogene Daten unrechtmäßig in die USA übermittelte. Es war die erste Entscheidung zu den 101 Musterbeschwerden, die noyb nach dem Schrems-II-Urteil des EuGH im gesamten EWR eingereicht hatte. Seitdem ist klar: Ein Cookie-Hinweis allein genügt nicht, wenn Tracker vor der Einwilligung laden oder Daten ohne ausreichende Garantien ins Ausland senden.
Am schwierigsten ist bei § 165 TKG 2021 der Nachweis, was tatsächlich passiert, bevor ein Besucher etwas anklickt. CookieSentry lädt Ihre Live-Website wie ein echter Besucher aus Österreich und markiert jedes Cookie und jeden Tracker, der vor der Einwilligung lädt, mit seiner Quelle. So sehen Sie, ob Google Analytics, das Meta Pixel oder andere Skripte gegen die Pflicht zur vorherigen Einwilligung verstoßen. Der kostenlose öffentliche Scan braucht keine Anmeldung, und den Bericht können Sie teilen oder als PDF speichern.
CookieSentry ist kein Einwilligungstool und ersetzt Ihren Cookie-Hinweis nicht. Behalten Sie die Lösung, die Sie bereits einsetzen, und prüfen Sie mit CookieSentry, was vor der Einwilligung tatsächlich lädt. Die DSGVO-Dokumente von CookieSentry gibt es mit nationalen Ergänzungen derzeit für Deutschland, Polen und Litauen, nicht für Österreich. Art. 7 DSGVO verlangt, dass Sie eine wirksame Einwilligung nachweisen können. Ein belegter Stand vor der Einwilligung ist dafür ein wichtiger Baustein.
Laut der Datenschutzbehörde gilt § 165 Abs. 3 TKG 2021 für jede Speicherung von Informationen auf den Endgeräten der Nutzer und jeden Zugriff darauf – nicht nur für Cookies.
Die österreichische Cookie-Regel steht in § 165 Abs. 3 des Telekommunikationsgesetzes 2021, das die ePrivacy-Richtlinie umsetzt. Speichern oder Auslesen auf dem Endgerät ist nur mit vorheriger, informierter Einwilligung erlaubt, außer es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich.
Die Österreichische Datenschutzbehörde in Wien ist die Aufsichtsbehörde für den Datenschutz in Österreich. Sie setzt DSGVO und DSG durch und erläutert in ihren FAQ zu Cookies, was sie bei der Einwilligung erwartet, etwa dass Ablehnen gleich gut sichtbar sein muss wie Akzeptieren.
Mit Bescheid vom 22. Dezember 2021, veröffentlicht am 13. Januar 2022, traf die DSB als erste Behörde in der EU eine Entscheidung, nach der eine übliche Einbindung von Google Analytics rechtswidrig war, weil die Übermittlungen in die USA nach Schrems II keine ausreichenden Garantien hatten. Es folgten ähnliche Entscheidungen in ganz Europa.
CookieSentry scannt Ihre Live-Website und markiert jedes Cookie und jeden Tracker, der vor der Einwilligung geladen wird. Das ist der Verstoß, bei dem die Aufsicht (DSB) am ehesten eingreift. CookieSentry nennt jeweils die Quelle, damit Sie das Problem beheben können. Mit dem kostenlosen öffentlichen Scan erhalten Sie einen exportierbaren Nachweis darüber, was vor der Einwilligung geladen wird. CookieSentry ist kein Einwilligungstool: Behalten Sie Ihren Cookie-Hinweis und ergänzen Sie ihn um Prüfung und Nachweis.
Die zentrale Cookie-Vorschrift ist § 165 Abs. 3 des Telekommunikationsgesetzes 2021 (TKG 2021), das die ePrivacy-Richtlinie umsetzt. Daneben gelten die DSGVO, die festlegt, was eine wirksame Einwilligung ist, und das österreichische Datenschutzgesetz (DSG). Zusammen verlangen sie eine vorherige, informierte und aktive Einwilligung, bevor ein nicht notwendiges Cookie oder ein Tracker gesetzt wird.
Nein. Cookies, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind, etwa für die Sitzungsverwaltung, den Warenkorb oder das Speichern der Einwilligungsentscheidung, brauchen keine Einwilligung. Für alles andere, auch für Analyse- und Werbe-Tracker, ist nach § 165 Abs. 3 TKG 2021 eine vorherige, aktive Einwilligung nötig.
Aufsichtsbehörde für den Datenschutz ist die Österreichische Datenschutzbehörde (DSB). Verstöße können nach dem TKG 2021 und der DSGVO mit Geldbußen geahndet werden. Der Google-Analytics-Bescheid der DSB (Bescheid vom 22. Dezember 2021, veröffentlicht am 13. Januar 2022) zeigt, dass sie die Datenschutzregeln aktiv durchsetzt.
CookieSentry scannt Ihre Live-Website und erkennt Cookies und Tracker, die vor der Einwilligung laden. Das ist genau der Verstoß, auf den § 165 Abs. 3 TKG 2021 zielt. CookieSentry nennt jede Quelle, und den Bericht können Sie als PDF speichern. CookieSentry ist kein Einwilligungstool: Sie behalten Ihren Cookie-Hinweis und prüfen mit CookieSentry, was vor der Einwilligung tatsächlich passiert.
Sie sind in mehreren EU-Ländern tätig? Die Regeln unterscheiden sich je nach Markt. Prüfen Sie das Land, das für Sie gilt. Die meisten Länderseiten gibt es bisher nur auf Englisch.
Zuletzt geprüft am 23. Oktober 2026. Allgemeine Informationen zu den Cookie-Regeln in Österreich, keine Rechtsberatung. Prüfen Sie die aktuellen Anforderungen bei der Aufsichtsbehörde (DSB) oder lassen Sie sich fachkundig beraten.