Website-Pflichtangaben in Österreich: Impressum, Offenlegung, Datenschutz und Cookies

„Impressum“ ist ein Sammelbegriff für Angaben aus mehreren Gesetzen: § 5 ECG gilt für jeden Diensteanbieter, also jeden, der einen Dienst der Informationsgesellschaft bereitstellt; dazu zählen ausdrücklich Online-Informationsangebote und Online-Werbung (§ 3 Z 1 und 2 ECG). § 14 UGB gilt für im Firmenbuch eingetragene Unternehmer, § 63 GewO für Gewerbetreibende ohne Firmenbucheintrag. Die Offenlegung nach § 25 MedienG trifft jede Website, ihr Umfang hängt vom Inhalt ab. Dazu kommen die Datenschutzerklärung nach Art. 13 DSGVO und die Cookie-Regel des § 165 Abs. 3 TKG 2021.

Zusammenfassen ist erlaubt: Die Offenlegung darf gemeinsam mit den Angaben nach § 5 ECG stehen (§ 25 Abs. 1 MedienG), eine Seite „Impressum“ genügt also. Die WKO wendet § 5 ECG auf alle unternehmerisch betriebenen Websites an, auch ohne Shop, und empfiehlt für den Datenschutz eine eigene Datenschutzerklärung.

Die WKO empfiehlt, als Aufsichtsbehörde in jedem Fall die Gewerbebehörde zu nennen und als Berufsrecht in der Regel die Gewerbeordnung samt Link auf das RIS.

Eine abrufbare Website ist ein periodisches elektronisches Medium (§ 1 Abs. 1 Z 5a lit. b MedienG). Ihr Medieninhaber (§ 1 Abs. 1 Z 8 lit. c), in der Regel das betreibende Unternehmen, stellt die Angaben „ständig leicht und unmittelbar auffindbar“ zur Verfügung (§ 25 Abs. 1).

Verkürzt offenlegen dürfen Websites ohne Informationsgehalt, der über die Darstellung des persönlichen Lebensbereichs oder die Präsentation des Medieninhabers hinausgeht und geeignet ist, die öffentliche Meinungsbildung zu beeinflussen (§ 25 Abs. 5). Laut WKO gilt das für Websites, die nur das Unternehmen, seine Leistungen und Produkte bewerben, auch für einen einfachen Webshop; meinungsbildende Beiträge darüber hinaus machen sie zur großen Website.

Newsletter, die wenigstens viermal im Kalenderjahr in vergleichbarer Gestaltung erscheinen (§ 1 Abs. 1 Z 5a lit. c), brauchen ein Impressum mit Name oder Firma und Anschrift von Medieninhaber und Herausgeber (§ 24 Abs. 3) und die Web-Adresse der Offenlegung oder diese selbst (§ 25 Abs. 1).

Empfehlung von TOMORIS: Bei Blog, Magazin oder Newsbereich mit Beiträgen über das eigene Angebot hinaus im Zweifel voll offenlegen, samt Blattlinie, etwa „Information über die Leistungen der [Unternehmen] und Fachbeiträge zu [Themen]“.

Erhebt die Website personenbezogene Daten bei Besuchern, teilt der Verantwortliche bei der Erhebung Folgendes mit (Art. 13 Abs. 1 und 2 DSGVO), präzise, transparent, verständlich, leicht zugänglich und in klarer, einfacher Sprache (Art. 12 Abs. 1). Die Information nach § 165 Abs. 3 TKG 2021 über Daten, Rechtsgrundlage, Zwecke und Speicherdauer passt in dieselbe Datenschutzerklärung.

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls seines Vertreters (Abs. 1 lit. a)
• Kontaktdaten des Datenschutzbeauftragten, falls es einen gibt (Abs. 1 lit. b)
• Zwecke und Rechtsgrundlage jeder Verarbeitung, etwa Kontaktformular oder Newsletter (Abs. 1 lit. c)
• Die berechtigten Interessen, wenn eine Verarbeitung auf Art. 6 Abs. 1 lit. f beruht (Abs. 1 lit. d)
• Empfänger oder Kategorien von Empfängern, etwa Hosting oder Newsletter-Dienst (Abs. 1 lit. e)
• Übermittlung in ein Drittland samt Angemessenheitsbeschluss oder Garantien (Abs. 1 lit. f)
• Speicherdauer oder die Kriterien für ihre Festlegung (Abs. 2 lit. a)
• Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit (Abs. 2 lit. b)
• Bei Einwilligung: das Recht, sie jederzeit zu widerrufen (Abs. 2 lit. c)
• Beschwerderecht bei einer Aufsichtsbehörde (Abs. 2 lit. d)
• Ob Daten angegeben werden müssen und welche Folgen es hat, wenn nicht (Abs. 2 lit. e)
• Automatisierte Entscheidungen einschließlich Profiling, falls eingesetzt (Abs. 2 lit. f)

§ 165 Abs. 3 TKG 2021 setzt die Richtlinie 2002/58/EG um (§ 1 Abs. 6 Z 5 TKG 2021). Anbieter eines Dienstes der Informationsgesellschaft informieren über die personenbezogenen Daten, die sie verarbeiten; ermitteln dürfen sie diese nur, wenn der Nutzer aktiv und auf Grundlage klarer und umfassender Informationen eingewilligt hat. Ohne Einwilligung bleibt eine technische Speicherung oder ein Zugang nur zulässig, wenn der alleinige Zweck die Übertragung einer Nachricht ist oder wenn er unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann, etwa einen Warenkorb. Eine Ausnahme für Reichweitenmessung oder Werbung enthält die Bestimmung nicht. Da personenbezogene Daten auf Grundlage einer Einwilligung verarbeitet werden, gelten auch Art. 4 Z 11 und Art. 7 DSGVO.

• Vor der Einwilligung laden nur Cookies und Skripte, die unter eine der beiden Ausnahmen fallen.
• Der Banner nennt vorher Daten, Zwecke, Rechtsgrundlage und Speicherdauer (§ 165 Abs. 3 TKG 2021).
• Zustimmung nur durch aktive Handlung, keine vorangekreuzten Kästchen (Erwägungsgrund 32 DSGVO).
• Einwilligung für jeden Zweck, etwa getrennt nach Statistik und Marketing (Erwägungsgründe 32 und 43 DSGVO).
• Vor der Einwilligung steht der Hinweis, dass sie jederzeit widerrufen werden kann (Art. 7 Abs. 3).
• Widerruf so einfach wie Zustimmung, etwa über „Cookie-Einstellungen“ in der Fußzeile (Art. 7 Abs. 3).
• Einwilligungen sind nachweisbar protokolliert (Art. 7 Abs. 1 DSGVO).
• Ablehnen ist auf der ersten Ebene des Banners so einfach wie Zustimmen.
• Nach Änderungen an Plugins oder Tag-Manager wird erneut geprüft, was vor der Einwilligung lädt.

Die Checkliste ist eine Empfehlung von TOMORIS; gesetzlich vorgegeben sind Information, aktive Einwilligung und die zwei Ausnahmen (§ 165 Abs. 3 TKG 2021) sowie Art. 7 DSGVO. Welche Cookies der Server beim ersten Aufruf setzt, zeigt der Cookie-Check von TOMORIS; per JavaScript gesetzte zeigen die Entwicklerwerkzeuge des Browsers.

Im Verfahren: Der Digital Omnibus der EU-Kommission vom 19. November 2025 (COM(2025) 837) schlägt einen neuen Art. 88a DSGVO vor: Ausnahmen etwa für aggregierte Reichweitenmessung zur eigenen Nutzung und für die Sicherheit, Ablehnen mit einem Klick und nach einer Ablehnung mindestens sechs Monate keine neue Anfrage zum selben Zweck. Laut Europäischem Parlament wartet das Verfahren 2025/0360(COD) am 25. Oktober 2026 noch auf die Entscheidung der Ausschüsse. Bis zu einer Änderung gilt § 165 Abs. 3 TKG 2021.

• Werbung, Zugaben, Preisausschreiben und Gewinnspiele klar als solche und mit Auftraggeber erkennbar machen, Bedingungen einfach zugänglich (§ 6 Abs. 1 ECG).
• Online-Shop: vorher über technische Schritte, Speicherung des Vertragstexts, Korrektur von Eingabefehlern, Sprachen und Verhaltenskodizes informieren (§ 9 ECG), Korrektur ermöglichen und den Eingang der Bestellung unverzüglich elektronisch bestätigen (§ 10), AGB speicherbar bereitstellen (§ 11).
• Bezahlte Beiträge als „Anzeige“, „entgeltliche Einschaltung“ oder „Werbung“ kennzeichnen, wenn Gestaltung oder Anordnung Zweifel nicht ausschließen (§ 26 MedienG in der Fassung BGBl. I Nr. 21/2026, seit 1. Mai 2026).
• OS-Plattform: Die Verordnung (EU) Nr. 524/2013 ist seit 20. Juli 2025 aufgehoben (Art. 1 Verordnung (EU) 2024/3228); die WKO rät, den Link auf die Plattform zu löschen.

Einzelunternehmer ohne Firmenbucheintrag nennen statt Firma, Rechtsform und Firmenbuchdaten ihren Namen und den Standort der Gewerbeberechtigung (§ 63 Abs. 1 GewO); bei einer GmbH & Co KG stehen die Angaben für KG und GmbH (§ 14 Abs. 1 UGB).

Impressum und Offenlegung
Angaben nach § 5 ECG, § 14 UGB und § 25 MedienG

Medieninhaber und Diensteanbieter: [Firma laut Firmenbuch]
Rechtsform: Gesellschaft mit beschränkter Haftung
Sitz: [Ort laut Firmenbuch]
Anschrift: [Straße Hausnummer, PLZ Ort, Österreich]
Telefon: [Telefonnummer], E-Mail: [E-Mail-Adresse]
Firmenbuchnummer: [FN-Nummer], Firmenbuchgericht: [Gericht]
UID-Nummer: [UID-Nummer]
Unternehmensgegenstand: [z. B. IT-Dienstleistungen]
Kammer: Mitglied der [Wirtschaftskammer, Fachgruppe]
Berufsbezeichnung: [falls vorhanden, mit Staat der Verleihung]
Berufsrecht: [Gewerbeordnung 1994], www.ris.bka.gv.at
Aufsichtsbehörde: [zuständige Gewerbebehörde]

Nur wenn die Website über die Präsentation des Unternehmens
hinausgeht (§ 25 Abs. 2 bis 4 MedienG):
Geschäftsführung: [Name, Funktion]; Aufsichtsrat: [Namen]
Gesellschafter: [Name, Anteil, mittelbare und stille Beteiligungen]
Grundlegende Richtung: [Blattlinie]

• Streichen Sie Zeilen, die nicht zutreffen, etwa Aufsichtsbehörde, Berufsbezeichnung oder UID-Nummer.
• Nennen Sie das Stammkapital und sind nicht alle Bareinlagen eingezahlt, gehört der Gesamtbetrag der ausstehenden Einlagen dazu (§ 14 Abs. 2 UGB); in Liquidation ergänzen Sie den Hinweis darauf (§ 14 Abs. 1 UGB).

• Der Link „Impressum“ steht in der Fußzeile jeder Seite, auch in Shop, Blog und auf Landingpages.
• Firma, Rechtsform, Sitz und Firmenbuchdaten entsprechen dem Firmenbuch (§ 14 Abs. 1 UGB).
• Anschrift und Kontaktangaben samt E-Mail sind angegeben (§ 5 Abs. 1 Z 2 und 3 ECG).
• Wo zutreffend: Kammer, Berufsrecht, Aufsichtsbehörde, UID-Nummer (§ 5 Abs. 1 Z 5 bis 7 ECG).
• Festgehalten ist, ob die Website klein im Sinne des § 25 Abs. 5 MedienG ist.
• Newsletter enthalten Impressum und Web-Adresse der Offenlegung (§ 24 Abs. 3, § 25 Abs. 1 MedienG).
• Nach jeder Änderung im Firmenbuch werden Impressum und Offenlegung angepasst.
• Jährliche Prüfung von Impressum, Datenschutz und Banner: [Name, Funktion], zuletzt am [Datum].

Die Checklisten in diesem Dokument sind Empfehlungen von TOMORIS. Gesetzlich vorgegeben sind die Angaben, die die jeweils genannten Fundstellen verlangen.

• Nur ein Kontaktformular, keine E-Mail-Adresse, obwohl § 5 Abs. 1 Z 3 ECG sie verlangt.
• GmbH & Co KG ohne Angaben zur GmbH als unbeschränkt haftender Gesellschafterin (§ 14 Abs. 1 UGB).
• Blog mit meinungsbildenden Beiträgen, aber nur verkürzte Offenlegung (§ 25 Abs. 2 bis 5 MedienG).
• Datenschutzerklärung ohne die eingebundenen Dienste oder ohne Speicherdauer (Art. 13 DSGVO).
• Analyse- oder Werbe-Cookies schon beim ersten Aufruf, vor jeder Auswahl (§ 165 Abs. 3 TKG 2021).
• Kein Weg zurück zu den Cookie-Einstellungen: Widerruf schwerer als Zustimmung (Art. 7 Abs. 3 DSGVO).