Jura · 7. november 2026 · 4 min læsning
Cookies i Østrig: § 165 TKG 2021 forklaret
Hvad § 165 Abs. 3 TKG 2021 kræver for cookies og tracking: samtykke, undtagelser, samspil med GDPR og hvem der fører tilsyn i Østrig.
I Østrig findes der ingen egen cookieparagraf i databeskyttelsesloven. Reglen står i telekommunikationsloven 2021 (TKG 2021) og falder derfor let igennem sigten. Denne artikel forklarer, hvad § 165 Abs. 3 TKG 2021 kræver, hvilke undtagelser der gælder, og hvordan bestemmelsen spiller sammen med GDPR.
Hvad der står i loven
Teksten til § 165 Abs. 3 TKG 2021 står i forbundets retsinformationssystem. Den indeholder to pligter for udbydere af en informationssamfundstjeneste, altså også for hjemmesidedriftsherrer:
- Information. Du skal informere brugeren om, hvilke personoplysninger du behandler, på hvilket retsgrundlag, til hvilke formål og hvor længe dataene gemmes.
- Samtykke. En indhentning af disse data er kun tilladt, når brugeren har givet sit samtykke aktivt og på grundlag af klare og omfattende oplysninger.
Bestemmelsen gennemfører art. 5, stk. 3 i e-databeskyttelsesdirektivet (ePrivacy). For virksomheder i Tyskland gælder den parallelle regel i § 25 TDDDG.
Hvilken teknik falder derunder?
Lovteksten nævner ingen cookies. Datenschutzbehörde (DSB) læser bestemmelsen bredt i sine FAQ om cookies: Efter denne læsning omfatter den lagring af oplysninger i slutudstyret og adgang til dem, ikke kun cookies. Det omfatter sammenlignelige teknikker som browserens lokale lager.
Der findes også en snævrere læsning. Den knytter ordlyden („indhentning af disse data“) til personoplysninger og indsnævrer dermed anvendelsesområdet. For praksis er det en risiko og intet frikort. Den, der støtter sig til den snævre læsning, bør gennemgå det med sin databeskyttelsesrådgivning.
Undtagelserne
Intet samtykke er nødvendigt, når
- det eneste formål er at gennemføre overførslen af en meddelelse via et kommunikationsnet, eller
- lagringen eller adgangen er strengt nødvendig, for at udbyderen kan stille en tjeneste til rådighed, som brugeren udtrykkeligt har ønsket.
Begge er snævert afgrænset. Efter DSB har teknisk nødvendige cookies ikke brug for samtykke. Hverken direktivet eller TKG 2021 leverer dog en liste, DSB støtter sig til kriterier fra den tidligere artikel 29-gruppe. Trackingcookies hører efter dens opfattelse ikke dertil. Typiske tilfælde uden forudgående samtykke er indkøbskurven, login og lagringen af bannerets beslutning. Statistik- og marketingværktøjer falder som regel ikke derunder.
Samspil med GDPR
Der gælder to prøvetrin ved siden af hinanden, ligesom i resten af EU:
| Prøvetrin | Spørgsmål | Afgørende regel |
|---|---|---|
| 1. Slutudstyr | Gemmes eller udlæses der på enheden? | § 165 Abs. 3 TKG 2021 |
| 2. Behandling | Findes der et retsgrundlag for dataene? | Art. 6 GDPR |
Et bestået første trin erstatter ikke det andet. Den, der indhenter et samtykke til scriptet, kan ofte også bruge det som grundlag efter art. 6, stk. 1, litra a GDPR. Hvornår den legitime interesse i stedet bærer, står i Legitim interesse efter GDPR: de 3 prøvetrin.
Hvem fører tilsyn, og hvad truer
Efter DSB's FAQ ligger håndhævelsen ved overtrædelser af § 165 Abs. 3 TKG 2021 hos telekommunikationsmyndighederne. DSB kan være kompetent, hvis der ved anvendelsen samtidig behandles personoplysninger, for eksempel ved dannelse af profiler. For GDPR-overtrædelser gælder bøderne i art. 83 GDPR.
TKG 2021 selv fastsætter i § 188 Abs. 4 Z 24 en administrativ bøde på op til 50.000 euro, hvis brugere imod § 165 Abs. 3 ikke informeres. For tilfældet med et manglende samtykke nævner denne bestemmelse ingen egen straf. Det betyder ikke, at en overtrædelse forbliver uden følger, fordi GDPR gælder ved siden af.
Tjekliste for Østrig
- Opstil alle scripts, pixel og lageradgange på din hjemmeside.
- Sortér efter „strengt nødvendig“ og „alt andet“.
- Indlæs alt andet først efter aktivt samtykke.
- Informér i privatlivspolitik og banner om data, grundlag, formål og opbevaringstid.
- Tilbyd afvisning og tilbagekaldelse lige så enkelt som samtykke.
Ofte stillede spørgsmål
Gælder § 165 Abs. 3 TKG 2021 også for tyske virksomheder? Det afhænger af det enkelte tilfælde, for eksempel af, hvor din virksomhed har hjemsted, og hvem tilbuddet henvender sig til. Afklar det med din databeskyttelsesrådgivning. I Tyskland gælder § 25 TDDDG, i begge lande lyder praksis: ikke nødvendige scripts først efter samtykke.
Rækker en henvisning „Ved brug samtykker du“? Nej. Loven kræver et aktivt samtykke. At blot fortsætte med at bruge siden er ikke en aktiv handling.
Er Schweiz lige så streng? Nej, dér gælder en anden model med information og afvisningsmulighed. Det forklarer Website-tracking i Schweiz: revDSG og FMG.
