Cookie-Banner Pflicht in Österreich: Tracking, Meta-Pixel und Einwilligung

Wer Anzeigen auf Instagram, Facebook oder Google schaltet, will wissen, was danach auf der Website passiert. Dafür bauen viele den Meta-Pixel oder Google Analytics ein, und spätestens dann stellt sich die Frage nach dem Cookie-Banner. In Österreich gibt es dafür eine eigene Rechtsgrundlage und eine Datenschutzbehörde, die ziemlich genau beschrieben hat, was sie erwartet.

Dieser Beitrag fasst zusammen, was Gesetz, Datenschutzbehörde, Meta und Google selbst dazu veröffentlicht haben, mit Stand 20. Oktober 2026. Er ersetzt keine Rechtsberatung: Für Ihre konkrete Website fragen Sie im Zweifel eine Juristin oder einen Juristen.

Ist ein Cookie-Banner in Österreich Pflicht?

Nicht für jede Website, aber für fast jede, die misst oder wirbt. Die Grundlage ist § 165 Abs. 3 TKG 2021. Danach ist die Ermittlung solcher Daten nur zulässig, wenn die Nutzerin oder der Nutzer die Einwilligung „aktiv und auf Grundlage von klaren und umfassenden Informationen“ erteilt hat.¹ Ausgenommen ist, was unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst funktioniert.¹

Die Datenschutzbehörde fasst das so zusammen: Cookies dürfen ohne Einwilligung nur gesetzt oder ausgelesen werden, wenn sie technisch notwendig sind. Für alle anderen muss eine Einwilligung eingeholt werden, und zwar bevor sie gesetzt werden.² Verwendet eine Website keine technisch nicht notwendigen Cookies, braucht sie laut Behörde weder eine Einwilligung noch einen Cookie-Banner.²

Wichtig für alle, die an „cookieloses Tracking“ denken: Die Regel gilt laut Datenschutzbehörde nicht nur für Cookies, sondern allgemein für das Speichern von Daten auf einem Endgerät und den Zugriff darauf.²

Welche Cookies sind technisch notwendig?

Eine Liste steht weder im Gesetz noch in der EU-Richtlinie. Die Datenschutzbehörde nennt als Beispiele für Notwendiges:²

• die Sitzungsverwaltung, etwa einen Warenkorb oder den Login-Status,
• Eingaben in einem Formular, das sich über mehrere Seiten erstreckt,
• die gespeicherte Entscheidung im Cookie-Banner selbst, solange dafür keine eindeutige Kennung vergeben wird.

Nicht notwendig sind nach ihrer Ansicht Dienste, die das Verhalten von Besucherinnen und Besuchern aufzeichnen und auswerten, insbesondere Plugins von sozialen Netzwerken und Werbenetzwerken, die Daten an Dritte übermitteln.² Auch ein wirtschaftlicher Grund macht ein Cookie nicht notwendig: Das Bundesverwaltungsgericht hat 2019 entschieden, dass Werbe-Cookies nicht deshalb technisch notwendig werden, weil die Werbung die Website finanziert.²

Für Meta-Pixel, Google Analytics und Remarketing heißt das: Sie brauchen eine Einwilligung.

Wie muss ein Cookie-Banner aussehen?

Die Bedingungen für die Einwilligung kommen aus der DSGVO. Sie definiert die Einwilligung als freiwillige, informierte und unmissverständliche Willensbekundung durch eine eindeutige bestätigende Handlung (Art. 4 Z 11), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3).³ Die Datenschutzbehörde hat daraus konkrete Regeln für Cookie-Banner abgeleitet:²

• Erst fragen, dann setzen: Vor der Einwilligung laufen keine technisch nicht notwendigen Cookies.
• Keine stille Zustimmung: Weitersurfen ohne Klick, ein versteckter Knopf oder die Cookie-Einstellung im Browser gelten nicht als Einwilligung.
• Nichts vorausgewählt: Vorangekreuzte Kästchen sind unzulässig.
• Ablehnen so einfach wie Zustimmen: Fürs Ablehnen dürfen nicht mehr Klicks nötig sein als fürs Zustimmen, also nicht erst auf der zweiten oder dritten Ebene.
• Kein Drängen: Der Knopf zum Ablehnen darf nicht weniger auffällig gestaltet oder platziert sein.
• Kein Ausschluss: Wer nicht zustimmt, darf die Website grundsätzlich trotzdem nutzen.
• Widerruf erklärt: Im Banner steht, wo und wie man die Einwilligung widerruft.

Auf der ersten Ebene sollen außerdem stehen: wer verantwortlich ist, wofür genau die Daten verwendet werden, dass die Einwilligung die Rechtsgrundlage ist und dass sie jederzeit widerrufen werden kann. Die Details folgen in der verlinkten Datenschutzerklärung.² Von fertigen Banner-Werkzeugen rät die Behörde nicht ab, warnt aber davor, sie ungeprüft zu übernehmen.²

Dass die Behörde das auch durchsetzt, zeigt ein Bescheid zum Cookie-Banner von orf.at, den sie veröffentlicht hat; er war zum Zeitpunkt der Veröffentlichung nicht rechtskräftig.⁴

Beispiel

Meta-Pixel und DSGVO: was vor der Einwilligung passieren darf

Meta schreibt in seiner Dokumentation, dass jedes Unternehmen selbst für die Einhaltung der DSGVO verantwortlich ist.⁵ Für den Pixel stellt Meta eine Funktion bereit, die das Senden an Meta anhält, bis eine Einwilligung vorliegt: fbq('consent', 'revoke') vor dem Start des Pixels auf jeder Seite, fbq('consent', 'grant') nach der Zustimmung.⁵ Laut Meta empfängt der Pixel unter anderem HTTP-Header mit IP-Adresse und besuchter Seite, die Pixel-ID samt Facebook-Cookie und Daten zu geklickten Knöpfen.⁵

Das ist auch der Grund, warum die Datenschutzbehörde Website-Betreiber in die Pflicht nimmt: Wer solche Dienste einbaut, ist nach ihrer Ansicht zumindest teilweise datenschutzrechtlich verantwortlich, auch wenn er die Profile, die das Werbenetzwerk bildet, selbst nie sieht.²

Für Retargeting, also Anzeigen an Menschen, die Ihre Website schon besucht haben, ist der Pixel die Voraussetzung. Wer im Banner ablehnt, kann über die Website also nicht in eine solche Zielgruppe kommen.

Google Analytics und Consent Mode

Google verpflichtet Unternehmen, die seine Produkte auf der eigenen Website verwenden, gegenüber Nutzerinnen und Nutzern im Europäischen Wirtschaftsraum bestimmte Informationen zu geben und Einwilligungen einzuholen; wer das nicht tut, riskiert laut Google eine Einschränkung oder Sperre des Produkts.⁶

Der Consent Mode ist Googles Weg, die Entscheidung im Banner an die eigenen Tags weiterzugeben. Er ersetzt den Banner nicht: Die Einwilligung einzuholen bleibt laut Google Ihre Aufgabe.⁷ Es gibt zwei Varianten:⁷

• Basis: Die Google-Tags laden erst nach einer Entscheidung im Banner. Lehnt jemand ab, wird gar nichts an Google übertragen, nicht einmal die Ablehnung.
• Erweitert: Die Tags laden sofort. Solange keine Einwilligung vorliegt, schreiben sie keine Cookies, senden aber Messungen ohne Cookies an Google, etwa Zeitstempel, Browserkennung und verweisende Seite. Daraus modelliert Google fehlende Conversions.

Google schreibt selbst, dass beim Laden mit dem Standard „abgelehnt“ bereits Daten gesendet werden.⁷ Ob das mit § 165 TKG 2021 vereinbar ist, beantwortet Googles Dokumentation nicht; die Basisvariante ist die vorsichtigere Wahl. Welche Variante für Ihre Website passt, sollten Sie mit Ihrer Rechtsberatung klären.

Beispiel

Was ohne Einwilligung noch funktioniert

Ohne Zustimmung bleibt mehr, als viele denken:

• Technisch notwendige Cookies für Warenkorb, Login, mehrseitige Formulare und die Banner-Entscheidung selbst.²
• Die Anzeigen selbst: Meta und Google spielen Ihre Anzeigen weiter aus; es fehlt nur die Verbindung zwischen Website-Besuch und Anzeige für jene, die abgelehnt haben.
• Direkte Fragen: Ein Feld „Wie sind Sie auf uns aufmerksam geworden?“ im Kontaktformular oder ein eigener Aktionscode in der Anzeige zeigen, woher Anfragen kommen, ganz ohne Tracking.

Rechnen Sie also damit, dass Ihre Zahlen in Meta und Google nie vollständig sind. Entscheiden Sie über eine Kampagne nach Anfragen und Buchungen, nicht nur nach dem, was der Pixel meldet. Wie Sie ein Budget dafür planen, steht in Ein Marketingbudget, das zu Ihrem Betrieb passt, und welcher Kanal zu Ihrem Betrieb passt, in Meta Ads oder Google Ads.

Was ein Verstoß kosten kann

Für Verstöße gegen § 165 Abs. 3 TKG 2021 sind die Fernmeldebehörden zuständig. Werden durch die Cookies personenbezogene Daten verarbeitet, ist zusätzlich die Datenschutzbehörde zuständig.² Die DSGVO sieht für Verstöße gegen die Bedingungen der Einwilligung Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5).³ Das sind Höchstgrenzen, keine üblichen Beträge.

Kurz zusammengefasst

1. Prüfen Sie, welche Dienste Ihre Website lädt: Pixel, Analytics, eingebettete Videos, Karten, Schriften von fremden Servern.
2. Alles, was nicht technisch notwendig ist, startet erst nach einem Klick auf „Akzeptieren“.
3. „Ablehnen“ steht gleich sichtbar auf der ersten Ebene, nichts ist vorausgewählt, der Widerruf ist jederzeit erreichbar.
4. Pixel und Google-Tags sind so eingebaut, dass sie die Entscheidung im Banner beachten.

Was eine Website sonst noch leisten muss, beschreibt Was eine Website leisten muss. Wenn Ihre Seite gut gefunden werden soll, achten Sie auch auf eine eigene Beschreibung für jede Seite, damit Google nicht den Text des Banners zeigt; mehr dazu unter SEO.

bown plant und betreut Kampagnen auf Instagram und Facebook und richtet die Messung dafür so ein, dass sie die Entscheidung im Cookie-Banner beachtet. Ob und wie Retargeting für Ihren Betrieb sinnvoll ist, klären wir in einem 30-minütigen Erstgespräch.

Anmerkungen

1. RIS, „Telekommunikationsgesetz 2021, § 165“, tagesaktuelle Fassung, abgerufen am 20. Oktober 2026. ²

2. Österreichische Datenschutzbehörde, „FAQ: Datenschutz & Cookies“, abgerufen am 20. Oktober 2026. Die FAQ verweisen auf den Bescheid der Datenschutzbehörde vom 30. November 2018 (DSB-D122.931/0003-DSB/2018) und das Erkenntnis des BVwG vom 12. März 2019 (W214 2223400-1). ^{2 3 4 5 6 7 8 9 10 11 12}

3. EUR-Lex, „Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)“, Art. 4 Z 11, Art. 7 Abs. 3 und Art. 83 Abs. 5, abgerufen am 20. Oktober 2026. ²

4. Österreichische Datenschutzbehörde, „Bescheid der Datenschutzbehörde zum Cookie-Banner von www.orf.at“, abgerufen am 20. Oktober 2026.

5. Meta for Developers, „General Data Protection Regulation“ (Meta Pixel), abgerufen am 20. Oktober 2026. ^{2 3}

6. Google, „EU user consent policy“, abgerufen am 20. Oktober 2026.

7. Google for Developers, „Consent mode overview“, zuletzt aktualisiert am 30. Juli 2026, abgerufen am 20. Oktober 2026. ^{2 3}