# Cookies in Österreich: § 165 TKG 2021 erklärt

> Was § 165 Abs. 3 TKG 2021 für Cookies und Tracking verlangt: Einwilligung, Ausnahmen, Zusammenspiel mit der DSGVO und wer in Österreich kontrolliert.

Quelle: https://whovisit.app/blog/cookies-oesterreich-tkg-165
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

In Österreich gibt es keinen eigenen Cookie-Paragrafen im Datenschutzgesetz. Die Regel steht im Telekommunikationsgesetz 2021 (TKG 2021) und fällt deshalb leicht durchs Raster. Dieser Artikel erklärt, was § 165 Abs. 3 TKG 2021 verlangt, welche Ausnahmen gelten und wie die Vorschrift mit der DSGVO zusammenspielt.

## Was im Gesetz steht

Der Text von § 165 Abs. 3 TKG 2021 steht im [Rechtsinformationssystem des Bundes](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678&Paragraf=165). Er enthält zwei Pflichten für Anbieter eines Dienstes der Informationsgesellschaft, also auch für Website-Betreiber:

1. **Information.** Sie müssen den Nutzer informieren, welche personenbezogenen Daten Sie verarbeiten, auf welcher Rechtsgrundlage, zu welchen Zwecken und wie lange die Daten gespeichert werden.
2. **Einwilligung.** Eine Ermittlung dieser Daten ist nur zulässig, wenn der Nutzer seine Einwilligung aktiv und auf Grundlage klarer und umfassender Informationen erteilt hat.

Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um. Für Unternehmen in Deutschland gilt die Parallelregel in [§ 25 TDDDG](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Welche Technik fällt darunter?

Der Gesetzestext nennt keine Cookies. Die Datenschutzbehörde (DSB) liest die Vorschrift in ihren [FAQ zu Cookies](https://dsb.gv.at/dam/jcr:a6ebcf0b-0874-4aa5-b88d-f79bcce5330c/DSB%20FAQ%20zum%20Thema%20Cookies%20und%20Datenschutz.pdf) weit: Sie erfasst nach dieser Lesart das Speichern von Informationen im Endgerät und den Zugriff darauf, nicht nur Cookies. Das umfasst vergleichbare Techniken wie den lokalen Speicher des Browsers.

Es gibt auch eine engere Lesart. Sie bezieht den Wortlaut („Ermittlung dieser Daten“) auf personenbezogene Daten und verengt damit den Anwendungsbereich. Für die Praxis ist das ein Risiko, kein Freibrief. Wer sich auf die enge Lesart stützt, sollte das mit seiner Datenschutzberatung durchsprechen.

## Die Ausnahmen

Keine Einwilligung ist nötig, wenn

- der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein Kommunikationsnetz ist, oder
- die Speicherung oder der Zugang unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.

Beides ist eng gefasst. Nach der DSB brauchen technisch notwendige Cookies keine Einwilligung. Weder die Richtlinie noch das TKG 2021 liefern aber eine Liste, die DSB stützt sich auf Kriterien der früheren Artikel-29-Datenschutzgruppe. Tracking-Cookies zählen nach ihrer Auffassung nicht dazu. Typische Fälle ohne vorherige Einwilligung sind der Warenkorb, die Anmeldung und die Speicherung der Banner-Entscheidung. Statistik- und Marketing-Werkzeuge fallen in der Regel nicht darunter.

## Zusammenspiel mit der DSGVO

Es gelten zwei Prüfschritte nebeneinander, so wie im Rest der EU:

| Prüfschritt | Frage | Maßgebliche Regel |
|---|---|---|
| 1. Endgerät | Wird auf dem Gerät gespeichert oder ausgelesen? | § 165 Abs. 3 TKG 2021 |
| 2. Verarbeitung | Gibt es eine Rechtsgrundlage für die Daten? | Art. 6 DSGVO |

Ein bestandener erster Schritt ersetzt den zweiten nicht. Wer für das Skript eine Einwilligung einholt, kann diese oft auch als Grundlage nach Art. 6 Abs. 1 lit. a DSGVO nutzen. Wann stattdessen das berechtigte Interesse trägt, steht in [Berechtigtes Interesse nach DSGVO: die 3 Prüfschritte](https://whovisit.app/blog/berechtigtes-interesse-dsgvo).

## Wer kontrolliert und was droht

Nach den FAQ der DSB liegt der Vollzug bei Verstößen gegen § 165 Abs. 3 TKG 2021 bei den Fernmeldebehörden. Die DSB kann zuständig sein, wenn durch den Einsatz zugleich personenbezogene Daten verarbeitet werden, etwa bei der Bildung von Profilen. Für DSGVO-Verstöße gelten die Bußgelder des Art. 83 DSGVO.

Das TKG 2021 selbst sieht in § 188 Abs. 4 Z 24 eine Verwaltungsstrafe bis zu 50.000 Euro vor, wenn Nutzer entgegen § 165 Abs. 3 nicht informiert werden. Für den Fall einer fehlenden Einwilligung nennt diese Bestimmung keine eigene Strafe. Das heißt nicht, dass ein Verstoß folgenlos bleibt, weil die DSGVO daneben gilt.

## Checkliste für Österreich

1. Listen Sie alle Skripte, Pixel und Speicherzugriffe Ihrer Website.
2. Sortieren Sie nach „unbedingt erforderlich“ und „alles andere“.
3. Laden Sie alles andere erst nach aktiver Einwilligung.
4. Informieren Sie in Datenschutzerklärung und Banner über Daten, Grundlage, Zweck und Speicherdauer.
5. Bieten Sie Ablehnen und Widerruf so einfach an wie Zustimmen.

## Häufige Fragen

**Gilt § 165 Abs. 3 TKG 2021 auch für deutsche Unternehmen?** Das hängt vom Einzelfall ab, etwa davon, wo Ihr Unternehmen sitzt und an wen sich das Angebot richtet. Klären Sie das mit Ihrer Datenschutzberatung. In Deutschland gilt § 25 TDDDG, in beiden Ländern lautet die Praxis: nicht notwendige Skripte erst nach Einwilligung.

**Reicht ein Hinweis „Mit der Nutzung stimmen Sie zu“?** Nein. Das Gesetz verlangt eine aktive Einwilligung. Ein bloßes Weiternutzen der Seite ist keine aktive Handlung.

**Ist die Schweiz ähnlich streng?** Nein, dort gilt ein anderes Modell mit Information und Ablehnungsmöglichkeit. Das erklärt [Website-Tracking in der Schweiz: revDSG und FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).