Cookies in Oostenrijk: § 165 TKG 2021 uitgelegd

In Oostenrijk is er geen eigen cookie-artikel in de wet op de gegevensbescherming. De regel staat in het Telekommunikationsgesetz 2021 (TKG 2021, de Oostenrijkse telecommunicatiewet) en valt daardoor gemakkelijk door de mazen. Dit artikel legt uit wat § 165 Abs. 3 TKG 2021 eist, welke uitzonderingen gelden en hoe de bepaling samenspeelt met de AVG.

Wat er in de wet staat

De tekst van § 165 Abs. 3 TKG 2021 staat in het Rechtsinformationssystem des Bundes. Hij bevat twee verplichtingen voor aanbieders van een dienst van de informatiemaatschappij, dus ook voor websitebeheerders:

1. Informatie. U moet de gebruiker informeren welke persoonsgegevens u verwerkt, op welke rechtsgrond, voor welke doeleinden en hoe lang de gegevens worden bewaard.
2. Toestemming. Het vaststellen van deze gegevens is alleen toegestaan als de gebruiker zijn toestemming actief en op basis van duidelijke en volledige informatie heeft gegeven.

De bepaling zet art. 5 lid 3 van de ePrivacyrichtlijn om. Voor bedrijven in Duitsland geldt de parallelle regel in § 25 TDDDG.

Welke techniek valt eronder?

De wettekst noemt geen cookies. De Datenschutzbehörde (DSB, de Oostenrijkse toezichthouder voor gegevensbescherming) leest de bepaling in haar FAQ over cookies ruim: volgens die lezing omvat ze het opslaan van informatie op het eindapparaat en de toegang daartoe, niet alleen cookies. Dat omvat vergelijkbare technieken zoals de lokale opslag van de browser.

Er is ook een engere lezing. Die betrekt de bewoording („vaststellen van deze gegevens“) op persoonsgegevens en beperkt daarmee het toepassingsgebied. Voor de praktijk is dat een risico, geen vrijbrief. Wie op de enge lezing steunt, moet dat met zijn privacyadviseur doorspreken.

De uitzonderingen

Geen toestemming is nodig wanneer

• het enige doel de uitvoering van de overdracht van een bericht via een communicatienetwerk is, of
• de opslag of toegang strikt noodzakelijk is opdat de aanbieder een door de gebruiker uitdrukkelijk gewenste dienst kan leveren.

Beide zijn eng gedefinieerd. Volgens de DSB hebben technisch noodzakelijke cookies geen toestemming nodig. Noch de richtlijn noch het TKG 2021 levert echter een lijst, de DSB steunt op criteria van de voormalige Artikel 29-werkgroep. Trackingcookies behoren volgens haar opvatting daar niet toe. Typische gevallen zonder voorafgaande toestemming zijn de winkelwagen, het inloggen en het opslaan van de bannerkeuze. Statistiek- en marketingtools vallen doorgaans niet daaronder.

Samenspel met de AVG

Er gelden twee toetsingsstappen naast elkaar, net als in de rest van de EU:

Een doorstaan eerste stap vervangt de tweede niet. Wie voor het script een toestemming inwint, kan die vaak ook als grondslag volgens art. 6 lid 1 sub a AVG gebruiken. Wanneer in plaats daarvan het gerechtvaardigd belang standhoudt, staat in Gerechtvaardigd belang volgens de AVG: de 3 toetsingsstappen.

Wie controleert en wat dreigt

Volgens de FAQ van de DSB ligt de handhaving bij overtredingen van § 165 Abs. 3 TKG 2021 bij de telecomautoriteiten. De DSB kan bevoegd zijn als door de inzet tegelijk persoonsgegevens worden verwerkt, bijvoorbeeld bij het opbouwen van profielen. Voor overtredingen van de AVG gelden de boetes van art. 83 AVG.

Het TKG 2021 zelf voorziet in § 188 Abs. 4 Z 24 in een administratieve boete tot 50.000 euro wanneer gebruikers in strijd met § 165 Abs. 3 niet worden geïnformeerd. Voor het geval van ontbrekende toestemming noemt deze bepaling geen eigen straf. Dat betekent niet dat een overtreding zonder gevolgen blijft, omdat daarnaast de AVG geldt.

Checklist voor Oostenrijk

1. Maak een lijst van alle scripts, pixels en opslagtoegangen van uw website.
2. Sorteer naar „strikt noodzakelijk“ en „al het andere“.
3. Laad al het andere pas na actieve toestemming.
4. Informeer in privacyverklaring en banner over gegevens, grondslag, doel en bewaartermijn.
5. Bied weigeren en intrekken even eenvoudig aan als instemmen.

Veelgestelde vragen

Geldt § 165 Abs. 3 TKG 2021 ook voor Duitse bedrijven? Dat hangt af van het individuele geval, bijvoorbeeld van waar uw bedrijf is gevestigd en tot wie het aanbod zich richt. Verduidelijk dat met uw privacyadviseur. In Duitsland geldt § 25 TDDDG, in beide landen luidt de praktijk: niet-noodzakelijke scripts pas na toestemming.

Volstaat een melding „Door het gebruik stemt u in“? Nee. De wet eist een actieve toestemming. Louter verder gebruiken van de pagina is geen actieve handeling.

Is Zwitserland net zo streng? Nee, daar geldt een ander model met informatie en weigermogelijkheid. Dat legt Websitetracking in Zwitserland: revDSG en FMG uit.