Cookie-Einwilligung im Onlineshop in Österreich

Was § 165 Abs. 3 TKG 2021 verlangt

Die Regel steht im Telekommunikationsgesetz, nicht in der DSGVO. Satz 1 des § 165 Abs. 3 TKG 2021 verpflichtet Betreiber öffentlicher Kommunikationsdienste und Anbieter eines Dienstes der Informationsgesellschaft, den Nutzer darüber zu informieren, welche personenbezogenen Daten er verarbeiten wird, auf welcher Rechtsgrundlage, zu welchen Zwecken und für wie lange. Satz 2 knüpft die Ermittlung dieser Daten an eine Einwilligung, die aktiv und auf der Grundlage klarer und umfassender Informationen erteilt werden muss. Satz 3 enthält die Ausnahme: Die technische Speicherung im Endgerät und der Zugang dazu sind ohne Einwilligung zulässig, wenn der alleinige Zweck die Übertragung einer Nachricht über ein Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter den vom Nutzer ausdrücklich gewünschten Dienst erbringen kann.

Der österreichische Wortlaut knüpft an personenbezogene Daten an. Kennungen, mit denen Ihr Shop Personen wiedererkennt, sind personenbezogene Daten (Bundesverwaltungsgericht 25. November 2024, W252 2282050-1); für ihre Ermittlung greift die Einwilligungspflicht des Satz 2. Art. 5 Abs. 3 der Richtlinie 2002/58/EG in der konsolidierten Fassung vom 19. Dezember 2009 verlangt die Einwilligung dagegen für das Speichern von Informationen im Endgerät und den Zugriff darauf, ohne dass es auf einen Personenbezug ankommt.

Wen die Pflicht trifft

Adressat ist, wer einen Dienst der Informationsgesellschaft anbietet; § 3 Z 1 E-Commerce-Gesetz (ECG) zählt dazu den Online-Vertrieb von Waren und Dienstleistungen. Die Pflicht hängt an der Technik, nicht an der Betriebsgröße: Eine Umsatz- oder Mitarbeiterschwelle nennt § 165 TKG 2021 nicht, sie trifft auch kleine Shops und Einzelunternehmer. Wer im Endgerät nichts speichert und dort nichts ausliest, löst die Einwilligungspflicht des Satz 2 nicht aus; verarbeiten Sie daneben personenbezogene Daten, bleibt die DSGVO zu prüfen.

Die Bestimmung schützt den Nutzer oder Benutzer des Geräts und nicht den Verbraucher. Ein B2B-Shop ist deshalb ebenso betroffen wie ein Shop für Privatkunden. Verarbeitet Ihr Shop beim Aufruf personenbezogene Daten, gilt die DSGVO unabhängig davon: Eine mit der IP-Adresse verknüpfte eindeutige Kennung ist ein personenbezogenes Datum (Art. 4 Z 1 DSGVO; Bundesverwaltungsgericht 25. November 2024, W252 2282050-1). Die Pflichtangaben für die Website sammelt die Datenschutzerklärung für den Onlineshop.

Für Deutschland und die Schweiz gelten eigene Vorschriften: Cookie-Einwilligung in Deutschland, Cookie-Einwilligung in der Schweiz. Messverfahren ohne Einwilligung ordnet Webanalyse und Tracking im Onlineshop ein.

Der Entscheidungsbaum: Einwilligung oder nicht?

Vier Schritte führen zur Antwort. Sie folgen den drei Sätzen des § 165 Abs. 3 TKG 2021 und dem Art. 5 Abs. 3 der Richtlinie 2002/58/EG.

1. Zugriff auf das Endgerät? Wird dort etwas gespeichert oder ausgelesen? § 165 Abs. 3 TKG 2021 betrifft personenbezogene Daten, also Kennungen, mit denen Sie Personen wiedererkennen; Art. 5 Abs. 3 der Richtlinie 2002/58/EG verlangt die Einwilligung für das Speichern und Auslesen im Endgerät auch ohne Personenbezug.
2. Alleiniger Zweck Nachrichtenübertragung? Dann sind Speicherung und Zugriff ohne Einwilligung zulässig (Satz 3, erste Variante).
3. Unbedingt erforderlich für den ausdrücklich gewünschten Dienst? Prüfen Sie, welche Funktion der Besucher angefordert hat, was gespeichert wird, wie lange es gilt und wer es ausliest. Nur dann entfällt die Einwilligung (Satz 3, zweite Variante).
4. Sonst: Einwilligung. Sie muss aktiv erteilt werden. Die Verarbeitung personenbezogener Daten braucht zusätzlich eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO; die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist eine davon.

Die Übersicht ordnet typische Kategorien ein; maßgeblich bleibt die einzelne Speicherung in Ihrem Shop.

Kategorie	Einwilligung nach § 165 Abs. 3 TKG 2021?	Warum
Warenkorb, Bestellvorgang, Kundenkonto (Session-Cookie)	Nein, soweit unbedingt erforderlich	Die Speicherung muss für den angeforderten Bestellvorgang unbedingt erforderlich sein (Satz 3)
Gewählte Anzeige-Einstellungen (Sprache, Währung)	Einzelfallprüfung	Nur wenn die Speicherung für den angeforderten Dienst unbedingt erforderlich ist (Satz 3)
Schutz des Login-Systems, Betrugsprävention	Nein, soweit für diese Funktion unbedingt erforderlich	Ein pauschales “Sicherheitscookie” genügt nicht
Gewählte Zahlungsart, Zahlungsabwicklung	Nein, soweit für den Zahlungsvorgang unbedingt erforderlich	Diesen Teil des Dienstes nutzt der Besucher erst mit dem Zahlprozess
Reichweitenmessung und Webanalyse	Ja, wenn die Messung eine Kennung im Endgerät speichert oder ausliest und damit personenbezogene Daten ermittelt	§ 165 Abs. 3 Satz 2 TKG 2021 knüpft an die personenbezogenen Daten des Satz 1 an; Art. 5 Abs. 3 der Richtlinie 2002/58/EG verlangt die Einwilligung für Speichern und Zugriff im Endgerät auch ohne Personenbezug. Eine Auswertung von Server-Protokolldaten ohne Gerätezugriff fällt unter keine der beiden Vorgaben
Werbung, Retargeting, Marketing-Cookies	Ja	Diese Zwecke dienen nicht dem vom Besucher gewünschten Dienst
Eingebettete Drittinhalte (Video, Karte, Social-Plugin)	Ja, wenn der eingebettete Inhalt im Endgerät etwas speichert oder darauf zugreift und keine Ausnahme greift	Nicht das Laden, sondern die Speicherung im Endgerät oder der Zugriff darauf lösen die Einwilligungspflicht aus. Lädt der Inhalt erst nach einem Klick des Besuchers, deckt die Ausnahme des Satz 3 nur die dafür unbedingt erforderliche Speicherung; Zugriffe zu Trackingzwecken brauchen weiterhin die Einwilligung
A/B-Tests, Heatmaps, Sitzungsaufzeichnung	Einzelfallprüfung	Nur wenn die konkrete Funktion für den angeforderten Dienst unbedingt erforderlich ist

Wie ein zulässiges Banner aussieht

Die Einwilligung ist nach Art. 4 Nr. 11 DSGVO freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich zu erteilen, durch eine Erklärung oder eine eindeutig bestätigende Handlung. Daraus folgt:

• Aktive Handlung. Stillschweigen, bereits angekreuzte Kästchen und Untätigkeit sind keine Einwilligung (ErwGr 32 DSGVO); § 165 Abs. 3 Satz 2 TKG 2021 verlangt sie ausdrücklich aktiv.
• Informationen vor der Entscheidung. Erkennbar sein müssen die verarbeiteten personenbezogenen Daten, die Rechtsgrundlage, die Zwecke und die Speicherdauer (§ 165 Abs. 3 Satz 1 TKG 2021). Einwilligungsbedürftige Speicherungen und Zugriffe dürfen erst nach der Entscheidung beginnen.
• Ablehnen so einfach wie Einwilligen. Art. 7 Abs. 3 Satz 4 DSGVO verlangt, dass der Widerruf so einfach ist wie die Erteilung. Das Bundesverwaltungsgericht hat daraus abgeleitet, dass auch die Nichtabgabe der Einwilligung so einfach sein muss wie ihre Erteilung, und hat einen Klick zum Einwilligen gegen zwei Klicks zum Ablehnen sowie einen grünen Button “Akzeptieren” neben einem bloßen Link “Zwecke anzeigen” als nicht gleichwertig beurteilt (Erkenntnis vom 31. Juli 2024, W108 2284491-1). Der Verwaltungsgerichtshof hat die Anordnung des Art. 7 Abs. 3 DSGVO als nicht weiter auslegungsbedürftig bezeichnet und hält die Prüfung anhand der Umstände des Einzelfalls für geboten (Beschluss vom 16. Jänner 2025, Ra 2024/04/0424, Rn. 18).
• Kein Nudging. Lenkt ein Banner Besucher durch Platzierung, Farbe, Kontrast und Schriftgröße zur invasiveren Option, verstößt das gegen den Transparenzgrundsatz des Art. 5 Abs. 1 lit. a DSGVO; die Einwilligung ist dann nicht unmissverständlich. Das Bundesverwaltungsgericht hat dafür einen optisch gleichwertigen Ablehnungs-Button verlangt (25. November 2024, W252 2282050-1).
• Widerruf ohne Suchaufwand. Über den Widerruf ist vor der Einwilligung zu informieren (Art. 7 Abs. 3 Satz 3 DSGVO). Ein Link am Seitenende allein genügt nach Auffassung des Bundesverwaltungsgerichts nicht, wenn das Banner keinen konkreten Hinweis darauf enthält (25. November 2024, W252 2282050-1).
• Nachweis und Nachführung. Der Verantwortliche muss die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO); halten Sie Banner-Version, Zeitpunkt und Diensteliste fest. Lassen sich mehrere Verarbeitungen nicht getrennt einwilligen, obwohl das angebracht ist, gilt die Einwilligung nicht als freiwillig (ErwGr 43 DSGVO).

Seit wann das gilt

§ 165 Abs. 3 TKG 2021 gilt seit 1. November 2021 (Telekommunikationsgesetz 2021, BGBl. I Nr. 190/2021). In der konsolidierten Fassung vom 14. Oktober 2026 trägt § 165 nur diese eine Fassung; die Norm wurde seither nicht geändert.

Die DSGVO gilt seit 25. Mai 2018. Eine eigene Altersgrenze für Kinder gilt in Österreich seit demselben Tag: Bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO rechtmäßig, wenn das Kind das vierzehnte Lebensjahr vollendet hat (Art. 2 § 4 Abs. 4 DSG, Fassung BGBl. I Nr. 24/2018, gültig von 25. Mai 2018 bis 31. Dezember 2019). Die Fassung, die seit 1. Jänner 2020 gilt (BGBl. I Nr. 14/2019), hat Abs. 4 unverändert gelassen und nur Abs. 7 aufgehoben. Die DSGVO erlaubt den Mitgliedstaaten eine Grenze zwischen vollendetem 13. und 16. Lebensjahr (Art. 8 Abs. 1 DSGVO).

Was bei einem Verstoß droht

Wer den Nutzer entgegen § 165 Abs. 3 TKG 2021 nicht informiert, begeht eine Verwaltungsübertretung; § 188 Abs. 4 Z 24 TKG 2021 sieht dafür eine Geldstrafe bis zu 50.000 Euro vor, im Fall der Uneinbringlichkeit eine Freiheitsstrafe bis zu sechs Wochen. Die Ziffer gilt in dieser Fassung seit 1. November 2021 unverändert; der Tatbestand lautet „entgegen § 165 Abs. 3 die Nutzer oder Benutzer nicht informiert“. Einen eigenen Tatbestand für das Speichern von Informationen im Endgerät oder den Zugriff darauf ohne Einwilligung enthält § 188 TKG 2021 in der am 14. Oktober 2026 geöffneten Fassung in keinem seiner Absätze.

Für personenbezogene Daten greift die DSGVO. Die Datenschutzbehörde ist nach Art. 2 § 18 Abs. 1 DSG die Aufsichtsbehörde nach Art. 51 DSGVO und kann nach Art. 58 Abs. 2 lit. d DSGVO anordnen, Verarbeitungsvorgänge in Einklang mit der Verordnung zu bringen. Von dieser Befugnis hat sie bei Cookie-Bannern Gebrauch gemacht; das Bundesverwaltungsgericht hat ihre Aufträge bestätigt, und im Verfahren W108 2284491-1 hat der Verwaltungsgerichtshof die Revision zurückgewiesen (16. Jänner 2025, Ra 2024/04/0424).

Wer personenbezogene Daten ohne die erforderliche Einwilligung verarbeitet, verstößt gegen Art. 5, 6 oder 7 DSGVO; trägt eine andere Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO die Verarbeitung, fehlt es an einem Verstoß. Art. 83 Abs. 5 lit. a DSGVO sieht für Verstöße gegen diese Vorschriften eine Geldbuße bis 20.000.000 Euro oder bei einem Unternehmen bis 4 Prozent seines weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher Betrag höher ist. Unrechtmäßig verarbeitete Daten sind auf Antrag unverzüglich zu löschen (Art. 17 Abs. 1 lit. d DSGVO); widerruft der Nutzer eine Einwilligung, auf die die Verarbeitung gestützt war, und fehlt es an einer anderen Rechtsgrundlage, gilt Art. 17 Abs. 1 lit. b DSGVO. Die Ausnahmen des Art. 17 Abs. 3 DSGVO bleiben vorbehalten.

Checkliste für Ihren Shop

• Liste aller Cookies, Pixel und Storage-Einträge mit Zweck, Laufzeit und Empfänger anlegen.
• Für jeden Eintrag festhalten, welche personenbezogenen Daten ermittelt werden und ob das Endgerät beschrieben oder ausgelesen wird.
• Jeden Eintrag gegen die beiden Ausnahmen des § 165 Abs. 3 Satz 3 TKG 2021 prüfen; Speichern und Zugriff im Endgerät brauchen die Einwilligung nach Art. 5 Abs. 3 der Richtlinie 2002/58/EG auch ohne Personenbezug.
• Prüfen, was vor der Entscheidung des Besuchers passiert: Einwilligungsbedürftige Speicherungen dürfen erst danach beginnen.
• Auf der ersten Ebene eine Einwilligung und eine Ablehnung anbieten, beide mit gleicher Klickzahl.
• Einwilligen und Ablehnen optisch gleichwertig gestalten (Größe, Farbe, Kontrast, Schriftbild).
• Im Banner vor der Einwilligung erklären, wie der Widerruf funktioniert, und den Widerruf ohne Suchaufwand erreichbar halten.
• Entscheidungen mit Datum, Banner-Version und Diensteliste dokumentieren (Art. 7 Abs. 1 DSGVO).
• Bei neuen Diensten oder Zwecken die Einwilligung neu einholen.