DSGVO und Impressum: Was Ihre Website in AT und DE erfüllen muss

Wann brauchen Cookies eine Einwilligung?

Immer dann, wenn ein Cookie nicht unbedingt nötig ist, um den vom Besucher ausdrücklich gewünschten Dienst bereitzustellen – etwa für Statistik, Werbung oder Social-Media-Funktionen. Solche Cookies dürfen erst nach einer aktiven Einwilligung gesetzt werden.

In Österreich steht die Regel in § 165 Abs. 3 TKG 2021: Daten dürfen nur ermittelt werden, wenn der Nutzer „seine Einwilligung dazu aktiv und auf Grundlage von klaren und umfassenden Informationen erteilt hat“. Ausgenommen ist, was unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst funktioniert. Laut Datenschutzbehörde (DSB) setzt diese Bestimmung Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG um. In Deutschland regelt dasselbe § 25 TDDDG, der ausdrücklich jede Speicherung von Informationen auf dem Endgerät und jeden Zugriff darauf erfasst. Die Einwilligung selbst richtet sich nach der DSGVO: freiwillig, für den bestimmten Fall, informiert und unmissverständlich (Art. 4 Nr. 11 DSGVO).

Für das Cookie-Banner nennt die DSB klare Anforderungen:

• Die Einwilligung wird eingeholt, bevor das Cookie gesetzt wird.
• Keine vorangekreuzten Kästchen. Auch der Europäische Gerichtshof hat 2019 entschieden (Rechtssache C-673/17, „Planet49“), dass ein voreingestelltes Häkchen keine wirksame Einwilligung ist – egal, ob personenbezogene Daten betroffen sind.
• Ablehnen muss genauso einfach sein wie Zustimmen.
• Weitersurfen gilt nicht als Einwilligung.
• Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO), etwa über einen dauerhaft sichtbaren Link „Cookie-Einstellungen“.

Setzt Ihre Website keine einwilligungspflichtigen Cookies, brauchen Sie laut DSB auch kein Cookie-Banner.

Wie binden Sie Tracker und Consent-Tools richtig ein?

Tracker wie Google Analytics, der Meta-Pixel oder Hotjar dürfen erst laden, nachdem der Besucher zugestimmt hat. Ein Consent-Tool muss die Skripte deshalb vorab blockieren – ein Banner, das nur informiert, während im Hintergrund schon alles läuft, reicht nicht.

Viele Consent-Tools blockieren Skripte, indem der Typ auf text/plain geändert wird: Der Browser führt das Skript dann nicht aus, bis das Tool es nach der Zustimmung freigibt. Das folgende Beispiel folgt der Anleitung von Cookiebot; andere Tools verwenden andere Attribute.

<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

<script type="text/plain" data-cookieconsent="statistics" async
        src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Den Consent Mode von Google sollten Sie richtig einordnen: Er ist kein Cookie-Banner, sondern gibt die Entscheidung aus Ihrem Banner an die Google-Tags weiter. In der Basis-Variante laden die Google-Tags erst nach der Interaktion mit dem Banner. In der erweiterten Variante laden sie sofort und senden bei fehlender Zustimmung Messungen ohne Cookies an Google. Ob das für Ihre Website zulässig ist, klären Sie mit Ihrer Rechtsberatung.

Auch eine Statistik ohne Cookies erhält bei jedem Aufruf die IP-Adresse des Besuchers; wie sie verarbeitet wird, gehört in die Datenschutzerklärung. Prüfen Sie das Ergebnis selbst: Öffnen Sie Ihre Seite in einem privaten Fenster, klicken Sie nichts an und kontrollieren Sie in den Entwicklerwerkzeugen des Browsers, welche Cookies gesetzt und welche fremden Server angefragt werden.

Warum sollten Sie Google Fonts lokal einbinden?

Lädt Ihre Website Schriften von fonts.googleapis.com, überträgt der Browser jedes Besuchers schon beim Seitenaufruf dessen IP-Adresse an Google. Das Landgericht München I hat darin 2022 eine Verletzung des Persönlichkeitsrechts gesehen. Hosten Sie Schriften deshalb selbst.

Im Urteil vom 20.01.2022 (Az. 3 O 17493/20) sprach das Gericht dem Kläger 100 € Schadenersatz nach Art. 82 DSGVO zu und untersagte die Weitergabe der IP-Adresse an Google. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO verneinte es, weil sich Google Fonts auch ohne Verbindung zu Google-Servern nutzen lassen. Das Urteil stammt aus Deutschland; die technische Lösung ist überall dieselbe:

• Laden Sie die Schriftdateien herunter. Die meisten Google-Schriften stehen unter der SIL Open Font License, die die Weitergabe erlaubt – prüfen Sie die Lizenz der jeweiligen Schrift.
• Legen Sie die Dateien (am besten im Format WOFF2) auf Ihren eigenen Server und binden Sie sie per @font-face ein.
• Entfernen Sie alle Verweise auf fonts.googleapis.com und fonts.gstatic.com, auch preconnect-Zeilen.
• Prüfen Sie auch Theme, Page-Builder und Plugins, denn sie können Schriften selbstständig nachladen.

@font-face {
  font-family: "Source Sans 3";
  src: url("/fonts/source-sans-3-latin-400.woff2") format("woff2");
  font-weight: 400;
  font-style: normal;
  font-display: swap;
}

Dasselbe Prinzip gilt für Icon-Schriften und Bibliotheken aus fremden Quellen (CDN): Was Sie selbst hosten, verursacht keine Anfrage an Dritte. Das hilft oft auch der Ladezeit.

Wie binden Sie Karten und Videos datenschutzfreundlich ein?

Mit einer Zwei-Klick-Lösung: Zuerst sehen Besucher nur ein Vorschaubild mit einem kurzen Hinweis; erst nach einem Klick lädt der Browser Google Maps, YouTube oder Vimeo. Ohne diese Lösung übertragen eingebettete Karten und Videos die IP-Adresse schon beim Seitenaufruf an den Anbieter.

Der „erweiterte Datenschutzmodus“ von YouTube (Domain youtube-nocookie.com) ist kein vollständiger Ersatz: Laut YouTube wird die Wiedergabe dann nicht zur Personalisierung genutzt, der Player lädt aber weiterhin von Servern des Anbieters.

<iframe src="https://www.google.com/maps/embed?pb=…" title="Anfahrt"></iframe>

<figure>
  <img src="/bilder/anfahrt-vorschau.webp" alt="Kartenausschnitt mit unserem Standort" width="800" height="450">
  <figcaption>Beim Laden der Karte werden Daten an Google übertragen.</figcaption>
  <button type="button" data-src="https://www.google.com/maps/embed?pb=…">Karte laden</button>
</figure>

Eine schlanke Alternative ist ein Link zur Routenplanung, etwa „Route in Google Maps öffnen“, neben Ihrer Adresse als Text.

Was muss im Impressum einer österreichischen Website stehen?

Für Unternehmenswebsites gelten in Österreich drei Regelungen nebeneinander: die Informationspflichten nach § 5 E-Commerce-Gesetz (ECG), die Offenlegung nach § 25 Mediengesetz (MedienG) und – je nach Rechtsform – § 14 Unternehmensgesetzbuch (UGB) oder § 63 Gewerbeordnung (GewO). Die Angaben nach ECG und MedienG dürfen Sie gemeinsam auf einer Seite machen.

Eine E-Mail-Adresse allein genügt als Kontaktweg nicht: Der Europäische Gerichtshof verlangt einen weiteren schnellen Weg, etwa eine Telefonnummer oder ein Kontaktformular (Urteil vom 16.10.2008, C-298/07). Geht der Inhalt Ihrer Website über die Präsentation des eigenen Unternehmens hinaus und ist er geeignet, die öffentliche Meinungsbildung zu beeinflussen, verlangt § 25 MedienG zusätzlich unter anderem Angaben zu den vertretungsbefugten Organen und Beteiligungsverhältnissen sowie eine Blattlinie.

Die Angaben müssen ständig, leicht und unmittelbar zugänglich sein (§ 5 Abs. 1 ECG) – in der Praxis über einen Link „Impressum“ in der Fußzeile jeder Seite. Verstöße gegen § 5 Abs. 1 ECG sind eine Verwaltungsübertretung mit Geldstrafe bis zu 3 000 € (§ 26 ECG). Erläuterungen für Unternehmen bietet die Wirtschaftskammer Österreich auf ihrer Seite zu den Informationspflichten nach dem ECG.

Was gilt für Websites in Deutschland?

In Deutschland regelt § 5 Digitale-Dienste-Gesetz (DDG), in Kraft seit 14.05.2024, die Anbieterkennzeichnung für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste. Die Liste ähnelt der österreichischen:

• Name und Anschrift der Niederlassung, bei juristischen Personen auch Rechtsform und Vertretungsberechtigte,
• Angaben für eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation, einschließlich E-Mail-Adresse,
• die zuständige Aufsichtsbehörde, wenn die Tätigkeit eine behördliche Zulassung braucht,
• Handelsregister oder vergleichbares Register mit Registernummer,
• bei reglementierten Berufen Kammer, Berufsbezeichnung und berufsrechtliche Regelungen,
• Umsatzsteuer-Identifikationsnummer oder Wirtschafts-Identifikationsnummer, sofern vorhanden.

Wer ein Unternehmen in Österreich betreibt und auch deutsche Kunden anspricht, sollte die Frage, welche Vorschrift gilt, mit einer Rechtsberatung klären.

Muss der Link zur OS-Plattform weg?

Ja. Die Europäische Plattform zur Online-Streitbeilegung (OS-Plattform) gibt es nicht mehr: Die Verordnung (EU) 2024/3228 hat die zugrunde liegende Verordnung (EU) Nr. 524/2013 mit Wirkung vom 20. Juli 2025 aufgehoben und die Plattform eingestellt. Damit ist auch die Pflicht entfallen, auf sie zu verlinken.

Beschwerden konnten schon seit 20. März 2025 nicht mehr eingereicht werden. Entfernen Sie den Hinweis samt Link auf ec.europa.eu/consumers/odr aus Impressum, AGB und E-Mail-Signaturen – er verweist auf ein Angebot, das nicht mehr existiert.

Was gehört in die Datenschutzerklärung?

Die Datenschutzerklärung erfüllt die Informationspflichten nach Art. 13 DSGVO: Wer personenbezogene Daten erhebt, muss die Betroffenen schon dabei informieren – in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ (Art. 12 Abs. 1 DSGVO).

Personenbezogene Daten fallen schon beim normalen Betrieb einer Website an. Das Landgericht München I wertete etwa die dynamische IP-Adresse eines Besuchers als personenbezogenes Datum des Website-Betreibers. Dazu kommen Kontaktformulare, Bestellungen und eingebundene Dienste. Nach Art. 13 Abs. 1 und 2 DSGVO gehören unter anderem in die Erklärung:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten,
• Zwecke und Rechtsgrundlagen der Verarbeitung, bei berechtigten Interessen auch diese Interessen,
• Empfänger der Daten, etwa Hosting-Anbieter oder eingebundene Dienste, und Übermittlungen in Drittländer,
• Speicherdauer oder die Kriterien dafür,
• die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit sowie auf Widerruf einer Einwilligung,
• das Beschwerderecht bei einer Aufsichtsbehörde – in Österreich die Datenschutzbehörde.

Auch § 165 Abs. 3 TKG 2021 verlangt Informationen darüber, welche personenbezogenen Daten verarbeitet werden, auf welcher Rechtsgrundlage, zu welchem Zweck und wie lange. Verlinken Sie die Datenschutzerklärung wie das Impressum auf jeder Seite, und halten Sie sie aktuell: Jedes neue Plugin, jeder neue Dienst kann eine Änderung nötig machen. Wie Sie Ihre Website technisch absichern, beschreibt der Artikel über Website-Sicherheit.