Cookie-Banner-Prüfung ohne Anlass. Die sechs häufigsten Fragen österreichischer Website-Betreiber, beantwortet

Bisher wurde ein Cookie-Banner meist erst zum Problem, wenn ein Besucher, ein Mitbewerber oder ein verärgerter Ex-Mitarbeiter Beschwerde einlegte. Seit August 2026 prüft die Datenschutzbehörde (DSB) auch von Amts wegen. Die Wiener Webdesign-Agentur webgaudi, die bei der Übernahme bestehender Websites regelmäßig Banner und Datenschutzerklärungen kontrolliert, beantwortet die häufigsten Fragen dazu.

1. Was genau hat die Datenschutzbehörde angekündigt?

Die DSB überprüft Websites künftig amtswegig auf Cookies ohne gültige Rechtsgrundlage, eine Beschwerde ist dafür nicht mehr nötig. Betroffene Betreiber erhalten zunächst eine Sensibilisierungsmitteilung, danach folgen formelle Verfahren. Neu ist also nicht die Rechtslage, sondern dass niemand mehr darauf warten kann, dass sich schon keiner beschweren wird.

2. Worauf schaut die Behörde konkret?

Auf vier Punkte. Werden nicht notwendige Cookies erst nach der Einwilligung gesetzt? Gibt es eine sichtbare Ablehnen-Option auf der ersten Ebene des Banners? Sind die Buttons ausgewogen gestaltet? Und beschreibt die Datenschutzerklärung transparent, was tatsächlich passiert? Rechtsgrundlage in Österreich ist § 165 Abs. 3 TKG 2021, nicht das deutsche TTDSG, das in vielen übernommenen Vorlagen steht.

3. Mein Banner hat einen Ablehnen-Button. Reicht das?

Nicht unbedingt, denn auch die Optik zählt. Das Bundesverwaltungsgericht hat im April 2026 das Banner von ORF.at beanstandet, obwohl die Ablehnen-Option dort bereits auf der ersten Ebene stand. Gekippt ist es allein an der Gestaltung, weil die Zustimmung ein kräftiger blauer Button war, die Ablehnung nur blaue Schrift auf weißem Grund. Farbe und Form sind damit keine Geschmacksfrage mehr. Vorangekreuzte Kästchen für Statistik oder Marketing sind ohnehin unzulässig, der Besucher muss aktiv zustimmen.

4. Welcher Fehler fällt bei der Prüfung am schnellsten auf?

Einer, den der Betreiber selbst nicht sieht. Das Banner ist vorhanden, aber Google Analytics oder der Meta Pixel laden trotzdem schon beim ersten Seitenaufruf, bevor irgendjemand zugestimmt hat. Für den Betreiber ist das unsichtbar, für die Behörde mit einem Blick in den Netzwerkverkehr sofort erkennbar. Nach Erfahrung von webgaudi ist das der häufigste Verstoß überhaupt, gerade bei Websites, die über die Jahre gewachsen sind.

5. Wie prüfe ich meine eigene Website, bevor es die Behörde tut?

Drei Schritte, zusammen unter einer Stunde. Erstens die eigene Website im privaten Browserfenster öffnen und vor jedem Klick in den Entwicklertools prüfen, welche Verbindungen zu fremden Servern bereits aufgebaut werden. Zweitens das Banner ansehen, ob Ablehnen auf der ersten Ebene steht und gleich auffällig gestaltet ist wie Akzeptieren. Drittens die Datenschutzerklärung mit dem tatsächlichen Zustand der Website abgleichen, denn die DSB nennt Transparenz ausdrücklich als Prüfkriterium. Für den dritten Schritt hat webgaudi einen kostenlosen Datenschutzerklärung-Generator für Österreich entwickelt, erreichbar unter https://webgaudi.at/datenschutzerklaerung-generator-oesterreich/ Er scannt die Website mit einem echten Browser, erkennt eingebundene Dienste wie Google Analytics, YouTube oder den Meta Pixel automatisch und warnt, wenn Tracker schon vor der Einwilligung laden. Die fertige Erklärung zitiert DSGVO, DSG und TKG 2021 statt deutscher Gesetze und lässt sich als Text, HTML oder Word-Datei exportieren, ohne Anmeldung und ohne Bezahlstufe.

6. Was kostet ein Verstoß im Ernstfall?

Laut Datenschutzbericht 2024 hat die DSB in einem Jahr 62 Geldbußen mit insgesamt rund 1,68 Millionen Euro verhängt, die einzelnen Strafen lagen meist im vier- bis fünfstelligen Bereich. Der theoretische Rahmen der DSGVO reicht bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Realistischer als die Maximalstrafe ist für kleine Betreiber allerdings der Aufwand eines Verfahrens samt Nachbesserung unter Zeitdruck.

Die aus Sicht von webgaudi eleganteste Antwort auf die Prüfwelle steht übrigens in keiner der sechs Fragen. Es ist die Website, die gar kein Banner braucht. Wer Schriften lokal einbindet, Karten als statisches Bild verlinkt und auf Analyse ohne Cookies setzt, erspart Besuchern den Klick und sich selbst die Prüfung. Die Agentur baut ihre Websites standardmäßig so.