# Informasjonskapsler i Østerrike: § 165 TKG 2021 forklart

> Hva § 165 Abs. 3 TKG 2021 krever for informasjonskapsler og sporing: samtykke, unntak, samspillet med GDPR og hvem som fører tilsyn i Østerrike.

Quelle: https://whovisit.app/nb/blog/informasjonskapsler-osterrike-tkg-165-forklart
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

I Østerrike finnes det ingen egen paragraf om informasjonskapsler (på tysk Cookies) i personvernloven. Regelen står i telekommunikasjonsloven 2021 (TKG 2021) og faller derfor lett igjennom. Denne artikkelen forklarer hva § 165 Abs. 3 TKG 2021 krever, hvilke unntak som gjelder og hvordan bestemmelsen spiller sammen med GDPR.

## Hva som står i loven

Teksten til § 165 Abs. 3 TKG 2021 står i [Rechtsinformationssystem des Bundes](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678&Paragraf=165). Den inneholder to plikter for leverandører av en informasjonssamfunnstjeneste, altså også for nettstedsdriftere:

1. **Informasjon.** Du må informere brukeren om hvilke personopplysninger du behandler, på hvilket rettslig grunnlag, til hvilke formål og hvor lenge dataene lagres.
2. **Samtykke.** Innhenting av disse dataene er bare tillatt hvis brukeren aktivt har gitt sitt samtykke på grunnlag av klar og omfattende informasjon.

Bestemmelsen gjennomfører art. 5 nr. 3 i ePrivacy-direktivet. For virksomheter i Tyskland gjelder parallellregelen i [§ 25 TDDDG](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Hvilken teknikk faller inn under dette?

Lovteksten nevner ikke informasjonskapsler. Datenschutzbehörde (DSB), den østerrikske personvernmyndigheten, leser bestemmelsen vidt i sine [FAQ om informasjonskapsler](https://dsb.gv.at/dam/jcr:a6ebcf0b-0874-4aa5-b88d-f79bcce5330c/DSB%20FAQ%20zum%20Thema%20Cookies%20und%20Datenschutz.pdf): Etter denne lesemåten omfatter den lagring av informasjon i sluttenheten og tilgang til den, ikke bare informasjonskapsler. Det omfatter sammenlignbare teknikker som nettleserens lokale lagring.

Det finnes også en snevrere lesemåte. Den knytter ordlyden («innhenting av disse dataene») til personopplysninger og innsnevrer dermed virkeområdet. For praksis er det en risiko, ikke noe frikort. Den som støtter seg på den snevre lesemåten, bør gå gjennom det med personvernrådgivningen sin.

## Unntakene

Samtykke er ikke nødvendig når

- det eneste formålet er å gjennomføre overføringen av en melding over et kommunikasjonsnett, eller
- lagringen eller tilgangen er helt nødvendig for at leverandøren skal kunne stille til rådighet en tjeneste brukeren uttrykkelig har bedt om.

Begge er snevert avgrenset. Etter DSB trenger teknisk nødvendige informasjonskapsler ikke samtykke. Verken direktivet eller TKG 2021 gir imidlertid noen liste, DSB støtter seg på kriterier fra den tidligere artikkel 29-gruppen for personvern. Sporingskapsler hører etter dens oppfatning ikke dit. Typiske tilfeller uten forutgående samtykke er handlekurven, påloggingen og lagringen av bannervalget. Statistikk- og markedsføringsverktøy faller som regel ikke inn under dette.

## Samspillet med GDPR

To prøvingstrinn gjelder ved siden av hverandre, slik som ellers i EU:

| Prøvingstrinn | Spørsmål | Avgjørende regel |
|---|---|---|
| 1. Sluttenhet | Lagres eller leses det på enheten? | § 165 Abs. 3 TKG 2021 |
| 2. Behandling | Finnes det et rettslig grunnlag for dataene? | Art. 6 GDPR |

Et bestått første trinn erstatter ikke det andre. Den som innhenter et samtykke til skriptet, kan ofte også bruke det som grunnlag etter art. 6 nr. 1 bokstav a GDPR. Når den berettigede interessen i stedet bærer, står i [Berettiget interesse etter GDPR: de 3 prøvingstrinnene](https://whovisit.app/blog/berechtigtes-interesse-dsgvo).

## Hvem som fører tilsyn og hva som truer

Etter DSBs FAQ ligger håndhevingen ved brudd på § 165 Abs. 3 TKG 2021 hos telekommunikasjonsmyndighetene. DSB kan være kompetent hvis bruken samtidig behandler personopplysninger, for eksempel ved dannelse av profiler. For GDPR-brudd gjelder bøtene i art. 83 GDPR.

TKG 2021 selv fastsetter i § 188 Abs. 4 Z 24 en administrativ straff på inntil 50.000 euro hvis brukere i strid med § 165 Abs. 3 ikke blir informert. For tilfellet med manglende samtykke nevner denne bestemmelsen ingen egen straff. Det betyr ikke at et brudd blir uten følger, fordi GDPR gjelder ved siden av.

## Sjekkliste for Østerrike

1. List opp alle skript, piksler og lagringstilganger på nettsiden din.
2. Sorter etter «helt nødvendig» og «alt annet».
3. Last alt annet først etter aktivt samtykke.
4. Informer i personvernerklæring og banner om data, grunnlag, formål og lagringstid.
5. Tilby avvisning og tilbakekall like enkelt som å samtykke.

## Ofte stilte spørsmål

**Gjelder § 165 Abs. 3 TKG 2021 også for tyske virksomheter?** Det avhenger av det enkelte tilfellet, for eksempel av hvor virksomheten din har sitt sted og til hvem tilbudet retter seg. Avklar det med personvernrådgivningen din. I Tyskland gjelder § 25 TDDDG, i begge land lyder praksis: skript som ikke er nødvendige, først etter samtykke.

**Holder en melding «Ved bruk samtykker du»?** Nei. Loven krever et aktivt samtykke. Å bare fortsette å bruke siden er ingen aktiv handling.

**Er Sveits like streng?** Nei, der gjelder en annen modell med informasjon og avvisningsmulighet. Det forklarer [Nettsidesporing i Sveits: revDSG og FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).