Bisher galt eine stille Regel: Solange sich niemand beschwert, schaut auch niemand auf den Cookie-Banner. Diese Zeit ist vorbei. Seit Mitte August 2026 verschickt die österreichische Datenschutzbehörde (DSB) Sensibilisierungsschreiben an Website-Betreiber:innen – gestützt auf Art. 57 Abs. 1 lit. d DSGVO. Der Auslöser ist keine Beschwerde, sondern eine eigene Grobprüfung der Behörde.
Was steht in diesen Schreiben?
Die DSB teilt mit, ihr sei zur Kenntnis gebracht worden, dass auf der jeweiligen Website Cookies und vergleichbare Technologien ohne gültige Rechtsgrundlage eingesetzt werden – und dass sie diese Behauptung nach einer Grobprüfung für plausibel hält. Ein förmliches Prüfverfahren wird vorerst nicht eingeleitet. Stattdessen gibt es die Gelegenheit, nachzubessern. Fünf Punkte werden ausdrücklich genannt:
- Für technisch nicht notwendige Cookies – etwa Werbe- und Tracking-Cookies – braucht es eine gültige Einwilligung.
- Diese Einwilligung muss vorliegen, bevor Cookies gesetzt oder ausgelesen werden.
- Auf der ersten Ebene des Banners muss es eine Möglichkeit geben, ihn ohne Einwilligung zu schließen – zum Beispiel „Cookies ablehnen".
- Diese Ablehn-Option darf optisch nicht untergehen. Ein großer, auffälliger „Akzeptieren"-Button neben einem kaum sichtbaren „Ablehnen" ist unzulässig.
- Nutzer:innen müssen über das Setzen und Auslesen nicht notwendiger Cookies informiert werden, etwa in der Datenschutzerklärung.
Ist das nur eine Meinung der Behörde?
Nein. Das Bundesverwaltungsgericht hat im April 2026 in einem von noyb angestoßenen Verfahren entschieden, dass der Cookie-Banner des ORF nicht DSGVO-konform war – unter anderem, weil „Alle Cookies akzeptieren" weiß auf blau hervorstach, während „Nur notwendige Cookies" als blaue Schrift auf weißem Grund zurücktrat. Rechtliche Grundlage ist Art. 5 Abs. 3 der Richtlinie 2002/58/EG, national umgesetzt in § 165 Abs. 3 TKG 2021.
Was droht bei Verstößen?
Vorerst ist das Schreiben ein Hinweis, keine Strafe. Wer nicht reagiert, riskiert ein förmliches Prüfverfahren – und damit den vollen DSGVO-Rahmen. Hinzu kommt der Punkt, den die Behörde selbst benennt: Ein Banner, der Tracking-Cookies vor der Einwilligung setzt, übermittelt Daten unrechtmäßig an Dritte.
Was solltest du jetzt tun?
- Banner im Inkognito-Fenster öffnen und im Browser-Tool nachsehen, welche Cookies vor dem ersten Klick gesetzt werden.
- Erste Ebene kontrollieren: Ist „Ablehnen" vorhanden – und optisch gleichwertig gestaltet?
- Prüfen, ob Google Tag Manager, Analytics, Meta-Pixel und eingebettete Videos tatsächlich erst nach Einwilligung laden.
- Datenschutzerklärung mit der real eingesetzten Cookie-Liste abgleichen – nicht mit der von vor drei Jahren.
Wir setzen Consent-Lösungen so auf, dass sie halten – technisch saubere Blockierung vor der Einwilligung, gleichwertige Buttons, dokumentierte Nachweise. Umgesetzt haben wir das bereits hundertfach, egal ob in TYPO3, WordPress, Magento, einer individuellen Laravel-Applikation oder in einem Headless-Setup mit Payload oder Directus. Wenn du ein Schreiben der DSB erhalten hast oder eines vermeiden willst: Nimm jetzt Kontakt auf!
Quellen:
