Cookie-Banner: Checkliste für eine gültige Einwilligung

In Österreich setzt § 165 Abs. 3 TKG 2021 Art. 5 Abs. 3 der ePrivacy-Richtlinie um. Anbieter eines Dienstes der Informationsgesellschaft müssen informieren, welche personenbezogenen Daten sie verarbeiten, auf welcher Rechtsgrundlage, zu welchen Zwecken und wie lange; die Ermittlung ist nur zulässig, wenn der Nutzer aktiv und auf Grundlage klarer und umfassender Informationen eingewilligt hat. Ausgenommen sind Speicherung und Zugriff, deren alleiniger Zweck die Übertragung einer Nachricht ist oder die unbedingt erforderlich sind, damit der Anbieter einen ausdrücklich gewünschten Dienst erbringen kann.

Für das Setzen und Auslesen gilt das nationale Recht zur ePrivacy-Richtlinie, für die anschließende Verarbeitung die DSGVO. Auf berechtigtes Interesse kann das Setzen oder Auslesen nicht gestützt werden, und fehlt eine nach § 165 Abs. 3 TKG 2021 erforderliche Einwilligung, kann auch die anschließende Verarbeitung nicht rechtmäßig sein (EDSA, Bericht der Cookie-Banner-Taskforce, Rn. 24).

Die Einordnung als „notwendig“ müssen Sie belegen können. In der Taskforce wurde erörtert, dass Website-Betreiber Listen ihrer Cookies führen, sie den Behörden auf Anfrage vorlegen und die Notwendigkeit belegen sollen (Rn. 28). Die Einstufung von Statistik ist eine Empfehlung von TOMORIS auf Grundlage des Gesetzeswortlauts.

• Ablehnen auf derselben Ebene wie Zustimmen: Die große Mehrheit der Behörden sieht ein Banner ohne Ablehnungsmöglichkeit auf der Ebene mit dem Zustimmungsknopf als Verstoß (Taskforce, Typ A).
• Keine vorangekreuzten Kästchen, auch nicht in den Einstellungen der zweiten Ebene (Planet49; Taskforce, Typ B).
• Ablehnen nicht als unauffälliger Link im Fließtext oder außerhalb des Banners ohne ausreichende visuelle Hervorhebung (Taskforce, Typ C).
• Keine Farben oder Kontraste, die offensichtlich irreführen, etwa eine Ablehnungsschaltfläche mit praktisch unlesbarem Text; bewertet wird im Einzelfall (Taskforce, Typen D und E).
• Klar erkennbar, worum es geht, welchem Zweck die Einwilligung dient und wie man zustimmt oder ablehnt; kein Eindruck, ohne Zustimmung gebe es keinen Zugang (Taskforce, Typ C).
• Keine Cookie-Wall: Der Zugang zu Inhalten darf nicht davon abhängen, dass Cookies akzeptiert werden (EDSA 05/2020, Rn. 39 bis 41).
• Weitersurfen, Scrollen oder Wischen ist keine Einwilligung (EDSA 05/2020, Rn. 84 und 86).
• Getrennte Wahl je Zweck statt einer Bündel-Einwilligung (EDSA 05/2020, Rn. 42).
• Information im Banner oder direkt verlinkt: Daten, Rechtsgrundlage, Zwecke, Speicherdauer (§ 165 Abs. 3 TKG 2021), Funktionsdauer der Cookies und Zugriff Dritter (Planet49).
• Setzen und Auslesen nie auf berechtigtes Interesse gestützt; kein zweites Ablehnen für „berechtigtes Interesse“ in tieferen Ebenen des Banners (Taskforce, Typ H, Rn. 22 und 24).

• Widerruf jederzeit möglich und so einfach wie die Zustimmung (Art. 7 Abs. 3 DSGVO); wer mit einem Klick zustimmt, muss ebenso einfach widerrufen können (EDSA 05/2020, Rn. 114).
• Widerruf über dieselbe Oberfläche, über die eingewilligt wurde, also auf der Website selbst, nicht über einen anderen Kanal wie eine Telefon-Hotline (EDSA 05/2020, Rn. 114 f.).
• Leicht zugänglicher Weg zurück zu den Einstellungen, etwa ein dauerhaft sichtbares Symbol oder ein Link an einer gut sichtbaren, üblichen Stelle; eine bestimmte Lösung ist nicht vorgeschrieben (Taskforce, Typ K).
• Vor der Einwilligung auf das Widerrufsrecht hingewiesen (Art. 7 Abs. 3 DSGVO).
• Einwilligungen nachweisbar gespeichert: Zeitpunkt, Version des Banners, gewählte Zwecke; die Nachweispflicht soll aber nicht zu übermäßiger zusätzlicher Datenverarbeitung führen (Art. 7 Abs. 1 DSGVO, EDSA 05/2020, Rn. 104 bis 106).

1. 1

   Ohne Entscheidung laden

   Website in einem privaten Browserfenster öffnen und in den Entwicklertools Speicher und Netzwerkanfragen beobachten, ohne das Banner zu bedienen. Es dürfen keine einwilligungspflichtigen Cookies gesetzt und keine Anfragen an Tracking-Dienste geschickt werden; standardmäßig darf ohne Einwilligung nichts davon gesetzt werden (Taskforce).

2. 2

   Ablehnen

   Ablehnen wählen und Seiten wechseln: Es dürfen weiterhin keine einwilligungspflichtigen Cookies oder Tracking-Anfragen auftreten.

3. 3

   Teilweise zustimmen

   Nur einen Zweck wählen, etwa Statistik: Es dürfen nur die Cookies und Dienste dieses Zwecks aktiv werden.

4. 4

   Widerrufen

   Über das Symbol oder den Link die Einwilligung zurücknehmen und prüfen, dass danach keine einwilligungspflichtigen Dienste mehr laden.

5. 5

   Dokumentieren

   Liste aller Cookies und ähnlichen Techniken mit Zweck, Anbieter und Laufzeit führen und bei Änderungen der Website aktualisieren (Empfehlung von TOMORIS; die Taskforce hat solche Listen und ihre Vorlage an Behörden erörtert, Rn. 28).

Der Cookie-Check von TOMORIS liest die Cookies, die Ihr Server beim ersten Besuch setzt, und meldet unter anderem Analyse-Cookies ohne Einwilligung. Cookies, die erst per JavaScript im Browser gesetzt werden, und Anfragen an Dritte prüfen Sie zusätzlich wie oben im Browser.

• Nur „Alle akzeptieren“ und „Einstellungen“, aber kein „Ablehnen“ auf der ersten Ebene.
• Tracking-Skripte laden, bevor eine Entscheidung gefallen ist.
• Analyse- oder Marketing-Cookies als „notwendig“ eingestuft.
• In den Einstellungen sind alle Zwecke vorausgewählt.
• Ein Banner, das nach einmaliger Entscheidung nicht mehr erreichbar ist, sodass ein Widerruf nicht möglich ist.
• Auf die anschließende Verarbeitung wird „berechtigtes Interesse“ gestützt, das Nutzer in einer zweiten Ebene zusätzlich ablehnen müssen.

Die Positionen der Taskforce sind laut EDSA eine Mindestschwelle für die Prüfung von Beschwerden und keine Freigabe durch eine Behörde; daneben gelten nationale Vorgaben.

Der Vorschlag der Kommission COM(2025) 837 würde das Speichern und Auslesen personenbezogener Daten in Endgeräten natürlicher Personen in die DSGVO übernehmen (neuer Art. 88a); für andere Informationen bliebe die ePrivacy-Richtlinie maßgeblich. Einwilligungsanfragen müssten sich mit einer einzigen Schaltfläche ablehnen lassen; nach einer Ablehnung dürfte mindestens sechs Monate lang nicht erneut für denselben Zweck gefragt werden. Ohne Einwilligung erlaubt wären unter anderem aggregierte Reichweitenmessung ausschließlich für die eigene Nutzung und Sicherheitszwecke. Nach einem neuen Art. 88b müssten Websites Zustimmung und Ablehnung auch als maschinenlesbare Signale annehmen und beachten, laut Vorschlag 24 Monate nach Inkrafttreten und nicht für Mediendienste; Webbrowser müssten solche Signale nach 48 Monaten unterstützen.

Das ist ein Vorschlag, kein geltendes Recht: Am 25.10.2026 wartete das Verfahren 2025/0360(COD) im Europäischen Parlament auf die Entscheidung des Ausschusses. Bis die Änderungen gelten, laut Vorschlag frühestens sechs Monate nach Veröffentlichung oder Inkrafttreten, bleibt § 165 Abs. 3 TKG 2021 maßgeblich.