# Cookies i Österrike: § 165 TKG 2021 förklarad

> Vad § 165 Abs. 3 TKG 2021 kräver för cookies och spårning: samtycke, undantag, samspelet med GDPR och vem som kontrollerar i Österrike.

Quelle: https://whovisit.app/sv/blog/cookies-osterrike-165-tkg-2021
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

I Österrike finns ingen egen cookieparagraf i dataskyddslagen. Regeln står i telekommunikationslagen 2021 (TKG 2021) och faller därför lätt mellan stolarna. Den här artikeln förklarar vad § 165 Abs. 3 TKG 2021 kräver, vilka undantag som gäller och hur bestämmelsen samspelar med GDPR.

## Vad som står i lagen

Texten i § 165 Abs. 3 TKG 2021 står i [förbundets rättsinformationssystem](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678&Paragraf=165). Den innehåller två skyldigheter för leverantörer av en informationssamhällets tjänst, alltså också för webbplatsägare:

1. **Information.** Du måste informera användaren om vilka personuppgifter du behandlar, på vilken rättslig grund, för vilka ändamål och hur länge uppgifterna lagras.
2. **Samtycke.** Ett inhämtande av dessa uppgifter är bara tillåtet om användaren aktivt har lämnat sitt samtycke på grundval av tydlig och fullständig information.

Bestämmelsen genomför art. 5.3 i ePrivacy-direktivet. För företag i Tyskland gäller motsvarande regel i [§ 25 TDDDG](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Vilken teknik omfattas?

Lagtexten nämner inga cookies. Dataskyddsmyndigheten (DSB) läser bestämmelsen brett i sina [FAQ om cookies](https://dsb.gv.at/dam/jcr:a6ebcf0b-0874-4aa5-b88d-f79bcce5330c/DSB%20FAQ%20zum%20Thema%20Cookies%20und%20Datenschutz.pdf): Den omfattar enligt den läsningen lagring av information i slutenheten och åtkomst till den, inte bara cookies. Det omfattar jämförbara tekniker som webbläsarens lokala lagring.

Det finns också en snävare läsning. Den relaterar ordalydelsen ("inhämtande av dessa uppgifter") till personuppgifter och inskränker därmed tillämpningsområdet. För praktiken är det en risk, inget frikort. Den som stöder sig på den snäva läsningen bör gå igenom det med sin dataskyddsrådgivning.

## Undantagen

Inget samtycke behövs om

- det enda syftet är att genomföra överföringen av ett meddelande över ett kommunikationsnät, eller
- lagringen eller åtkomsten är absolut nödvändig för att leverantören ska kunna tillhandahålla en tjänst som användaren uttryckligen har begärt.

Båda är snävt avgränsade. Enligt DSB behöver tekniskt nödvändiga cookies inget samtycke. Varken direktivet eller TKG 2021 ger dock någon lista, DSB stöder sig på kriterier från den tidigare artikel 29-arbetsgruppen för dataskydd. Spårningscookies hör enligt dess uppfattning inte dit. Typiska fall utan föregående samtycke är varukorgen, inloggningen och lagringen av bannerbeslutet. Statistik- och marknadsföringsverktyg faller som regel inte under det.

## Samspelet med GDPR

Två prövningssteg gäller sida vid sida, precis som i resten av EU:

| Prövningssteg | Fråga | Avgörande regel |
|---|---|---|
| 1. Slutenhet | Lagras eller läses något på enheten? | § 165 Abs. 3 TKG 2021 |
| 2. Behandling | Finns det en rättslig grund för uppgifterna? | Art. 6 GDPR |

Ett godkänt första steg ersätter inte det andra. Den som inhämtar ett samtycke för skriptet kan ofta också använda det som grund enligt art. 6.1 a GDPR. När i stället det berättigade intresset bär står i [Berättigat intresse enligt GDPR: de 3 prövningsstegen](https://whovisit.app/blog/berechtigtes-interesse-dsgvo).

## Vem som kontrollerar och vad som hotar

Enligt DSB:s FAQ ligger genomdrivandet vid överträdelser av § 165 Abs. 3 TKG 2021 hos teletillsynsmyndigheterna. DSB kan vara behörig om användningen samtidigt innebär behandling av personuppgifter, till exempel vid bildandet av profiler. För GDPR-överträdelser gäller sanktionsavgifterna i art. 83 GDPR.

TKG 2021 själv föreskriver i § 188 Abs. 4 Z 24 ett administrativt straff på upp till 50 000 euro om användare i strid med § 165 Abs. 3 inte informeras. För fallet med saknat samtycke nämner den bestämmelsen inget eget straff. Det betyder inte att en överträdelse förblir utan följder, eftersom GDPR gäller vid sidan av.

## Checklista för Österrike

1. Lista alla skript, pixlar och lagringsåtkomster på din webbplats.
2. Sortera efter "absolut nödvändigt" och "allt annat".
3. Ladda allt annat först efter aktivt samtycke.
4. Informera i dataskyddsinformation och banner om uppgifter, grund, ändamål och lagringstid.
5. Erbjud avvisande och återkallelse lika enkelt som godkännande.

## Vanliga frågor

**Gäller § 165 Abs. 3 TKG 2021 också för tyska företag?** Det beror på det enskilda fallet, till exempel var ditt företag har sitt säte och till vem erbjudandet riktar sig. Klargör det med din dataskyddsrådgivning. I Tyskland gäller § 25 TDDDG, i båda länderna lyder praxis: icke nödvändiga skript först efter samtycke.

**Räcker ett meddelande "Genom användningen samtycker du"?** Nej. Lagen kräver ett aktivt samtycke. Att bara fortsätta använda sidan är ingen aktiv handling.

**Är Schweiz lika strängt?** Nej, där gäller en annan modell med information och möjlighet att avvisa. Det förklarar [Webbplatsspårning i Schweiz: revDSG och FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).