Brauche ich einen Cookie-Banner?

1. Kurz gesagt

Das Wort „Cookie-Banner" ist dabei etwas irreführend: Es geht nicht um Kekse, sondern um die Frage, ob deine Website auf dem Gerät deiner Besucher:innen Informationen speichert oder ausliest, die für den gewünschten Dienst nicht unbedingt nötig sind. Genau das regelt in Österreich § 165 Abs. 3 TKG 2021 – und die DSGVO legt fest, wie eine Einwilligung aussehen muss, wenn sie gebraucht wird.

2. Wann du KEINEN Banner brauchst

Wenn deine Website nur Cookies setzt, die für einen von den Nutzer:innen ausdrücklich gewünschten Dienst unbedingt erforderlich sind (oder gar keine): etwa eine klassische Visitenkarten-Website ohne Tracking, ohne eingebettete YouTube-Videos und ohne Google Analytics. Dann genügt die Information in der Datenschutzerklärung – kein Popup, keine Klickhürde, bessere Nutzererfahrung.

Typische Beispiele, die ohne Banner auskommen:

• Visitenkarten-Website mit Leistungen, Team, Kontaktdaten und Anfahrtsbeschreibung als Text
• Kontaktformular – das Absenden ist ein ausdrücklich gewünschter Dienst; ein Sitzungs-Cookie dafür ist unbedingt erforderlich
• Schriften lokal auf dem eigenen Webspace statt über Google-Server
• Cookielose Statistik, etwa selbst gehostetes Matomo ohne Cookies und mit gekürzten IP-Adressen
• Videos per Klick – die Vorschau ist ein lokales Bild, YouTube lädt erst, wenn jemand auf „Abspielen" tippt
• Warenkorb-Cookie im Shop – wer etwas in den Warenkorb legt, wünscht diesen Dienst ausdrücklich

Wichtig: „Technisch notwendig" ist keine Selbsteinschätzung, sondern eine Frage danach, was der Dienst, den die Person gerade nutzt, zwingend braucht. Ein Statistik-Cookie ist für dich als Betreiber:in nützlich – für die Person, die deine Öffnungszeiten sucht, ist es nicht erforderlich.

3. Wann der Banner Pflicht ist

Sobald ein Dienst auf deiner Website Informationen auf dem Gerät speichert oder ausliest, die nicht unbedingt erforderlich sind, brauchst du vorher eine Einwilligung. Das betrifft vor allem:

• Statistik-Tools wie Google Analytics 4, Hotjar oder Microsoft Clarity
• Marketing und Remarketing – Google Ads, Meta-Pixel, TikTok-Pixel, LinkedIn Insight Tag
• Tag-Manager, die einwilligungspflichtige Tags auslösen (Google Tag Manager)
• Drittanbieter-Einbindungen, die Daten an den Anbieter übertragen oder Cookies setzen: YouTube (Standard), Google Maps, Social-Media-Feeds
• Chat-Widgets und Buchungs-Einbettungen, die beim Seitenaufruf sofort laden und Kennungen setzen

Diese Dienste dürfen erst laden, nachdem die Besucher:innen aktiv zugestimmt haben – vorher muss der Banner sie blockieren. Ein Banner, der die Dienste schon im Hintergrund lädt und nur nachträglich fragt, erfüllt die Pflicht nicht.

Es zählt übrigens nicht nur das klassische Cookie. § 165 TKG spricht von „Informationen" auf dem Gerät – dazu gehören auch Local Storage, Zählpixel, Geräte-Fingerprints und Kennungen in eingebetteten Skripten. Wer ein Tool ohne Cookie einsetzt, das dafür den Browser vermisst, ist deshalb nicht automatisch aus der Einwilligungspflicht heraus.

4. Die Rechtsgrundlagen in Österreich

Woraus folgt das alles? Aus zwei Vorschriften, die zusammenwirken:

§ 165 Abs. 3 Telekommunikationsgesetz 2021 (TKG) verlangt grundsätzlich eine Einwilligung, sobald Informationen auf dem Gerät der Nutzer:innen gespeichert oder ausgelesen werden. Ausgenommen ist, was ausschließlich der Nachrichtenübertragung dient oder für einen von der Person ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Das ist die österreichische Umsetzung der EU-Datenschutzrichtlinie für elektronische Kommunikation – das deutsche Gegenstück heißt TDDDG (früher TTDSG) und gilt in Österreich nicht.

Die DSGVO regelt, wie eine erforderliche Einwilligung aussehen muss: freiwillig, für den bestimmten Fall, informiert und unmissverständlich durch eine eindeutige bestätigende Handlung erteilt (Art. 4 Z 11, Art. 6 Abs. 1 lit. a und Art. 7). Außerdem gilt: Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3), und du musst nachweisen können, dass eingewilligt wurde (Art. 7 Abs. 1).

Der EuGH hat 2019 im Fall Planet49 (C-673/17) klargestellt, dass ein vorangekreuztes Kästchen keine Einwilligung ist – und dass es dabei keine Rolle spielt, ob die gespeicherten Informationen personenbezogen sind. Der Europäische Datenschutzausschuss (Leitlinien 05/2020) ergänzt: Weiterscrollen, Weiterklicken oder das bloße Schließen des Banners sind ebenfalls keine Einwilligung, und eine „Cookie-Wall", die den Zugang zur Website von der Zustimmung abhängig macht, ist in der Regel nicht freiwillig.

Die Aufsicht ist geteilt: Verstöße gegen § 165 Abs. 3 TKG vollziehen die Fernmeldebehörden. Werden durch den Cookie-Einsatz personenbezogene Daten verarbeitet – etwa Online-Kennungen für personalisierte Werbung –, ist für diese Verarbeitung zusätzlich die Datenschutzbehörde zuständig. Eine Beschwerde kann also je nach Vorwurf bei der einen oder der anderen Stelle landen.

5. Was ein korrekter Banner können muss

Die österreichische Datenschutzbehörde prüft Cookie-Banner seit 2026 auch ohne konkreten Anlass von Amts wegen – ein korrekter Banner ist also keine Kür mehr. Tools dafür heißen Consent-Management-Plattformen – etwa Cookiebot, Usercentrics, Borlabs Cookie (WordPress) oder Complianz. Unser Datenschutz-Generator erstellt die passenden Textabschnitte für dein Tool gleich mit.

Wie lange gilt eine Einwilligung? Eine feste Frist nennt weder die DSGVO noch das TKG. Der Datenschutzausschuss empfiehlt, die Einwilligung nach angemessener Zeit erneut einzuholen; in der Praxis stellen die meisten Tools sechs bis zwölf Monate ein. Länger als ein Jahr ohne erneute Frage ist schwer zu begründen.

6. Die häufigsten Fehler

Diese Muster sieht man auf vielen Websites – und genau die fallen bei einer Prüfung als Erstes auf:

1. Der reine Info-Banner. „Diese Website verwendet Cookies. OK." – ohne Wahl, und die Dienste laufen längst. Das ist keine Einwilligung, sondern eine Mitteilung.
2. Skripte laden vor der Antwort. Der Banner ist korrekt gestaltet, aber Google Analytics ist im Quellcode fest eingebaut und feuert beim ersten Seitenaufruf. Das Tool muss die Skripte tatsächlich zurückhalten.
3. Ablehnen versteckt. „Alle akzeptieren" groß und bunt, „Einstellungen" klein in Grau, und erst dort findet sich das Ablehnen. Seit der Entscheidung des Bundesverwaltungsgerichts von 2026 ist auch das rein optische Ungleichgewicht ein Mangel.
4. Vorangekreuzte Kategorien. Statistik und Marketing sind schon angehakt, man müsste sie aktiv abwählen. Seit Planet49 eindeutig unzulässig.
5. Kein Widerruf. Einmal zugestimmt, nie wieder gefragt, kein Link zum Ändern. Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf so einfach ist wie die Erteilung.
6. Banner ohne Text dahinter. Das Tool fragt nach Einwilligung für „Marketing", aber die Datenschutzerklärung beschreibt die Dienste nicht. Banner und Erklärung müssen zusammenpassen.
7. Cookie-Wall. „Zustimmen oder gehen" – ohne echte Alternative ist die Einwilligung nicht freiwillig. Ein bezahltes Abo als Alternative („Pur-Modell") wird diskutiert, ist aber für kleine Websites selten praktikabel.

7. Bannerfrei bleiben: der Praxis-Weg

So gehst du vor, wenn du ohne Banner auskommen willst:

1. Inventur. Öffne deine Website im Browser, schau in die Entwicklerwerkzeuge (Reiter „Netzwerk" oder „Anwendung → Cookies") und notiere, welche Domains geladen werden und welche Cookies gesetzt sind. Alles, was nicht von deiner eigenen Domain kommt, braucht eine Erklärung.
2. Schriften nach Hause holen. Google Fonts vom eigenen Webspace laden statt von fonts.googleapis.com – die meisten Baukästen und WordPress-Themes haben dafür eine Einstellung.
3. Einbettungen entkoppeln. YouTube und Karten erst per Klick laden (Zwei-Klick-Lösung) oder durch ein Vorschaubild mit Link ersetzen.
4. Statistik ohne Kennung. Wenn du wissen willst, wie viele Menschen kommen: cookielose Tools wie Plausible, Fathom, Pirsch oder Matomo ohne Cookies sind die datensparsame Variante. Ob sie ohne Einwilligung auskommen, hängt von Technik und Einstellungen ab – entscheidend ist, ob Informationen vom Gerät ausgelesen werden und ob personenbezogene Daten anfallen. Das ist je Dienst zu prüfen. In die Datenschutzerklärung gehören sie in jedem Fall.
5. Erst dann entscheiden. Bleibt ein Dienst übrig, den du wirklich brauchst (Google Ads mit Conversion-Messung etwa), ist der Banner der richtige Weg – aber dann korrekt, wie in Abschnitt 5.

8. Was sich 2026 getan hat

• Gleichwertige Knöpfe. Das Bundesverwaltungsgericht hat im April 2026 den Banner von ORF.at beanstandet, obwohl „Ablehnen" auf der ersten Ebene stand: Die Zustimmung war ein kräftiger Knopf, die Ablehnung nur ein Textlink. Optik zählt.
• Prüfung von Amts wegen. Die Datenschutzbehörde hat angekündigt, Cookie-Banner auch ohne Beschwerde zu überprüfen. Bisher waren Beschwerden einzelner Personen der übliche Auslöser.
• Digital Omnibus. Die EU-Kommission hat im November 2025 vorgeschlagen, die Cookie-Regeln in die DSGVO zu verlagern und teilweise zu lockern. Beschlossen ist davon Stand September 2026 nichts – bis dahin gilt § 165 TKG unverändert.

9. Häufige Fragen

Brauche ich einen Banner für Google Fonts?

Für Google Fonts vom Google-Server geht die IP-Adresse an Google, bevor jemand zustimmen könnte – ein Banner löst das nicht sauber. Die bessere Lösung ist, die Schriften lokal einzubinden. Dann braucht es weder Banner noch einen Abschnitt in der Datenschutzerklärung dafür.

Reicht der Satz „Mit der Nutzung stimmen Sie der Verwendung von Cookies zu"?

Nein. Weiternutzen ist keine eindeutige bestätigende Handlung im Sinn von Art. 4 Z 11 DSGVO. Eine Einwilligung braucht einen aktiven Klick auf eine echte Wahlmöglichkeit.

Muss ich die Einwilligungen speichern – und wie lange?

Ja, du musst nachweisen können, dass und wofür eingewilligt wurde (Art. 7 Abs. 1 DSGVO). Consent-Tools protokollieren das mit Zeitstempel und Banner-Version. Aufbewahren solltest du den Nachweis, solange du dich auf die Einwilligung stützt, plus die Zeit, in der jemand Ansprüche geltend machen könnte.

Gilt das auch, wenn ich nur einen Blog ohne Werbung betreibe?

Die Regel ist dieselbe, nur die Antwort fällt meist anders aus: Ein Blog ohne Statistik-Tool, ohne eingebettete Videos und mit lokalen Schriften setzt keine einwilligungspflichtigen Cookies – und braucht keinen Banner. Ein Blog mit Google Analytics braucht einen.

Welches Consent-Tool soll ich nehmen?

Das hängt vom System ab: Für WordPress sind Borlabs Cookie, Complianz und Real Cookie Banner verbreitet, für Baukästen und andere Systeme Cookiebot, Usercentrics oder consentmanager. Entscheidend ist weniger das Tool als die Konfiguration: Blockiert es die Skripte wirklich, sind beide Knöpfe gleichwertig, und sind die Dienste richtig den Kategorien zugeordnet?

Was passiert, wenn mein Banner nicht passt?

Die Datenschutzbehörde kann Verwarnungen aussprechen, Anordnungen treffen und Geldbußen verhängen; die Höhe richtet sich nach den Umständen des Einzelfalls (Art. 83 DSGVO, § 11 DSG). Dazu kommen mögliche Beschwerden Betroffener und wettbewerbsrechtliche Ansprüche von Mitbewerbern. Was realistisch droht, liest du im Artikel Was kostet ein DSGVO-Verstoß wirklich?