Cookie-Banner und Consent-Management: Was wirklich Pflicht ist

Cookie-Banner: Nervt alle -- muss aber sein

Du kennst sie, du hasst sie, aber du brauchst sie: Cookie-Banner. Seit der DSGVO und dem österreichischen TKG 2021 (Telekommunikationsgesetz) ist die Einwilligung für nicht-essenzielle Cookies Pflicht. Einfach einen "OK"-Button hinzuklatschen reicht schon lange nicht mehr. Das Cookie-Banner muss rechtlich korrekt sein, technisch funktionieren und den Nutzer wirklich vor die Wahl stellen -- sonst riskierst du Beschwerden bei der DSB und Bußgelder.

Bei Startup Burgenland sehen wir immer wieder Gründer, die entweder gar kein Cookie-Banner haben oder eines, das technisch nicht funktioniert -- sprich: die Cookies werden trotz fehlender Einwilligung geladen. Beides ist problematisch. Und seit die DSB in Österreich aktiver geworden ist und der EuGH mit dem Planet49-Urteil klare Ansagen gemacht hat, gibt es kaum noch Spielraum für kreative Interpretationen.

In diesem Post klären wir: welche Cookies welcher Kategorie zugeordnet werden, was technisch und rechtlich Pflicht ist, welche Consent-Management-Plattformen für Startups sinnvoll sind und wie du Google Consent Mode v2 korrekt einrichtest.

Die rechtliche Grundlage: Paragraph 165 TKG 2021

In Österreich regelt Paragraph 165 Abs. 3 TKG 2021 das Setzen von Cookies und vergleichbaren Technologien. Das Telekommunikationsgesetz setzt die ePrivacy-Richtlinie der EU (Richtlinie 2002/58/EG) in österreichisches Recht um. Die Kernaussage ist klar:

Du brauchst eine informierte, aktive Einwilligung, bevor du Cookies oder ähnliche Technologien auf dem Endgerät der Nutzer speicherst -- es sei denn, sie sind technisch unbedingt notwendig für den vom Nutzer ausdrücklich gewünschten Dienst.

Die DSGVO kommt zusätzlich ins Spiel, weil die meisten Cookies personenbezogene Daten verarbeiten (insbesondere wenn sie zur Identifizierung oder Nachverfolgung dienen). Du brauchst also sowohl die TKG-Einwilligung für den Zugriff auf das Endgerät als auch eine DSGVO-Rechtsgrundlage für die Verarbeitung der dabei erhobenen Daten.

Wichtig: Auch Technologien, die keine Cookies im engeren Sinne sind, fallen unter diese Regelung. Local Storage, Session Storage, Fingerprinting, Tracking-Pixel, ETags und andere Methoden zur Speicherung oder zum Auslesen von Informationen auf dem Endgerät unterliegen denselben Anforderungen. Der Gesetzgeber hat bewusst technologieneutral formuliert.

Das Verhältnis zwischen TKG und DSGVO ist hierarchisch: Zuerst musst du die TKG-Einwilligung für den Cookie-Zugriff einholen, dann greift die DSGVO für die anschließende Datenverarbeitung. In der Praxis holst du beides mit einem korrekten Cookie-Banner gleichzeitig ein.

Cookie-Kategorien: Was braucht Einwilligung und was nicht?

Nicht alle Cookies sind gleich. Die Unterscheidung nach Zweck ist entscheidend für die Frage, ob du eine Einwilligung brauchst:

Bei funktionalen Cookies gibt es einen Graubereich. Eine Spracheinstellung, die der Nutzer aktiv gewählt hat, kann als technisch notwendig argumentiert werden. Ein Cookie, das sich merkt, welche Produkte der Nutzer angesehen hat, ist eher Marketing. Im Zweifel: Einwilligung einholen. Das ist rechtlich sicherer und kostet technisch nichts extra.

Sonderfall Matomo/Piwik: Wenn du Matomo so konfigurierst, dass keine Cookies gesetzt werden, die IP-Adresse anonymisiert wird und die Daten auf deinem eigenen Server bleiben, kann eine Analyse ohne Einwilligung auf Basis des berechtigten Interesses möglich sein. Die französische Aufsichtsbehörde CNIL hat das in bestimmten Konfigurationen für zulässig erklärt. Die österreichische DSB hat sich dazu nicht explizit positioniert -- mit Cookie-freiem Matomo bist du aber auf der sicheren Seite.

Anforderungen an ein rechtlich korrektes Cookie-Banner

Ein Cookie-Banner muss mehrere Kriterien gleichzeitig erfüllen, um sowohl TKG- als auch DSGVO-konform zu sein. Die Anforderungen sind durch Urteile des EuGH und Entscheidungen nationaler Aufsichtsbehörden mittlerweile recht klar definiert.

1. Opt-In statt Opt-Out

Cookies dürfen erst gesetzt werden, nachdem der Nutzer aktiv zugestimmt hat. Vorangekreuzte Checkboxen sind ungültig (EuGH, Rs. C-673/17 -- Planet49). Das bedeutet technisch: Alle Tracking-Skripte müssen blockiert werden, bis die Einwilligung vorliegt. Kein Google-Analytics-Tag, kein Facebook-Pixel, kein YouTube-Embed darf vor dem Consent laden. Das ist der häufigste technische Fehler -- das Banner wird zwar angezeigt, aber die Skripte laufen trotzdem schon im Hintergrund.

2. Gleichwertige Ablehnungsmöglichkeit

Der "Ablehnen"-Button muss genauso prominent sein wie der "Akzeptieren"-Button. Gleiche Größe, gleiche Farbe, gleiche Position. Ein kleiner Link "Einstellungen" neben einem großen grünen "Alle akzeptieren"-Button ist nach aktueller Rechtsprechung ein Dark Pattern und wird von Aufsichtsbehörden beanstandet. Die französische CNIL hat 2022 gegen Google und Facebook Bußgelder in Millionenhöhe wegen genau solcher Designs verhängt. Die DSB und andere europäische Behörden folgen dieser Linie.

3. Granulare Auswahl

Nutzer müssen einzelne Cookie-Kategorien auswählen können. "Alles oder nichts" ist nicht zulässig. Typische Kategorien im Banner sind: Notwendig (nicht abwählbar, ausgegraut), Statistik, Marketing und Funktional. Manche Consent-Management-Plattformen erlauben auch die Auswahl auf Ebene einzelner Dienste -- das ist besonders nutzerfreundlich, aber nicht verpflichtend.

4. Informationspflichten im Banner

Im oder über das Banner müssen folgende Informationen zugänglich sein: Welche Cookies und Tracking-Technologien werden eingesetzt (Name, Anbieter, Zweck, Laufzeit), auf welcher Rechtsgrundlage, ein Link zur vollständigen Datenschutzerklärung und ein Hinweis auf die Widerrufsmöglichkeit. Du musst nicht alles direkt im Banner zeigen -- eine zweite Ebene ("Details anzeigen") ist üblich und zulässig.

5. Dokumentation der Einwilligung

Du musst nachweisen können, dass und wann eine Person eingewilligt hat (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO). Das heißt: Consent-Logs speichern -- mit Timestamp, gewählten Kategorien, Version des Banner-Textes und idealerweise einem anonymisierten Identifier. Die meisten Consent-Management-Plattformen erledigen das automatisch.

6. Widerrufsmöglichkeit

Die Einwilligung muss jederzeit widerrufbar sein, und der Widerruf muss genauso einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). In der Praxis bedeutet das: Ein dauerhaft sichtbarer Link im Footer (z. B. "Cookie-Einstellungen"), über den der Nutzer das Banner erneut öffnen und seine Auswahl ändern kann.

Consent-Management-Plattformen (CMPs) im Vergleich

Du musst das Cookie-Banner nicht selbst programmieren. Es gibt spezialisierte Plattformen, die Banner, Consent-Logik, Cookie-Scan und Dokumentation mitbringen:

Empfehlung für Startups

Wenn du gerade startest und eine kleine Website mit unter 50 Seiten hast, nimm Cookiebot in der Gratisversion. Es scannt deine Website automatisch, kategorisiert die gefundenen Cookies und generiert ein rechtskonformes Banner. Wenn du WordPress nutzt, ist Complianz oder Borlabs Cookie eine solide und kostengünstige Alternative.

Für technisch versierte Gründer ist Klaro spannend: Open Source, self-hosted, keine laufenden Kosten, volle Kontrolle. Aber du musst die Cookies selbst kategorisieren und das Banner konfigurieren. Wenn du mit dem Google Tag Manager arbeitest, lässt sich Klaro gut integrieren.

Achte bei der Auswahl darauf, dass die CMP als "Google Consent Mode Partner" zertifiziert ist, wenn du Google-Dienste nutzt. Das vereinfacht die Integration erheblich.

Kosten-Nutzen-Vergleich für Startups

Google Consent Mode v2 -- was es ist und wie du es einrichtest

Seit März 2024 verlangt Google den Consent Mode v2 für alle Websites, die Google-Dienste nutzen (Analytics, Ads, Tag Manager). Ohne Consent Mode riskierst du Datenverluste in Google Analytics und kannst keine Remarketing-Listen mehr in Google Ads aufbauen.

Was ist der Consent Mode? Der Consent Mode kommuniziert den Einwilligungsstatus des Nutzers an Google-Dienste. Er steuert, wie sich Google-Tags verhalten, je nachdem ob der Nutzer zugestimmt hat oder nicht.

Es gibt zwei Implementierungsvarianten:

Basic Mode: Google-Tags werden erst nach Einwilligung geladen. Ohne Einwilligung werden keine Daten an Google gesendet. Dies ist die datenschutzrechtlich sicherste Variante und die, die ich für österreichische Startups empfehle.

Advanced Mode: Google-Tags werden immer geladen, senden aber ohne Einwilligung nur cookielose, anonymisierte Pings an Google. Google nutzt diese für statistische Modellierung, um Datenlücken zu füllen. Diese Variante ist datenschutzrechtlich umstritten, weil auch ohne explizite Einwilligung Daten an Google-Server übermittelt werden. Die DSB hat sich dazu noch nicht abschließend geäußert, aber europäische Aufsichtsbehörden sehen das kritisch.

Technische Einrichtung

Die meisten Consent-Management-Plattformen unterstützen Google Consent Mode v2 out of the box. In Cookiebot oder Usercentrics aktivierst du es mit einem Klick. Wenn du den Google Tag Manager (GTM) nutzt, musst du die Consent-Einstellungen in den Tag-Konfigurationen richtig setzen:

Im GTM setzt du für jeden Tag die "Consent Settings" auf "Require consent" für die relevanten Signale. Der GTM blockiert dann automatisch Tags, für die keine Einwilligung vorliegt.

Technische Checkliste: Cookie-Banner richtig implementieren

Hier die Schritt-für-Schritt-Anleitung für eine korrekte Implementierung:

1. Cookie-Scan durchführen: Welche Cookies und Tracking-Technologien setzt deine Website tatsächlich? Nutze die Browser-Entwicklertools (Application > Cookies) oder einen Online-Scanner wie den von Cookiebot
2. Kategorien zuordnen: Ordne jeden Cookie einer Kategorie zu (notwendig, funktional, statistik, marketing)
3. CMP auswählen und einrichten: Installiere die gewählte Consent-Management-Plattform
4. Alle Skripte blockieren bis Einwilligung vorliegt: Setze type="text/plain" bei Script-Tags oder nutze den Tag Manager mit Consent-Triggern
5. Banner gestalten: Gleichwertige Buttons, keine Dark Patterns, klare Sprache, Link zur Datenschutzerklärung
6. Cookie-Tabelle in der Datenschutzerklärung ergänzen
7. Consent-Logs aktivieren: Einwilligungen werden dokumentiert
8. Widerruf ermöglichen: Link im Footer zum erneuten Öffnen des Banners
9. Google Consent Mode konfigurieren, falls Google-Dienste im Einsatz
10. Testen: Mit Browser-Entwicklertools prüfen, ob Cookies wirklich erst nach Consent gesetzt werden. Teste beide Szenarien -- Zustimmung und Ablehnung
11. Regelmäßig scannen: Neue Cookies können durch Updates, Plugins oder eingebettete Inhalte entstehen. Plane einen monatlichen Check ein

Sonderfall: Cookie-freies Tracking und Server-Side Analytics

Eine zunehmend beliebte Alternative zum klassischen Cookie-basierten Tracking sind cookie-freie oder server-seitige Analytics-Lösungen. Sie können den Cookie-Banner-Aufwand deutlich reduzieren:

Matomo ohne Cookies: Matomo kann so konfiguriert werden, dass keine Cookies gesetzt werden und die IP-Adresse anonymisiert wird. In dieser Konfiguration greift Paragraph 165 TKG 2021 nicht (kein Zugriff auf das Endgerät), und du kannst Analytics ohne Cookie-Consent betreiben. Die französische CNIL hat das explizit für zulässig erklärt, und andere europäische Aufsichtsbehörden folgen dieser Einschätzung. Du brauchst aber weiterhin eine DSGVO-Rechtsgrundlage -- in der Regel das berechtigte Interesse (Art. 6 Abs. 1 lit. f).

Plausible Analytics: Ein datenschutzfreundlicher Analytics-Dienst, der grundsätzlich keine Cookies setzt und keine personenbezogenen Daten speichert. Server in der EU. Ideal für Startups, die einfache Statistiken ohne Consent-Hürden wollen. Kosten: ab EUR 9 pro Monat.

Fathom: Ähnlich wie Plausible -- keine Cookies, keine personenbezogenen Daten. Etwas günstiger und mit guter API für Entwickler.

Server-Side Tracking: Bei server-seitigem Tracking werden die Analytics-Daten auf deinem eigenen Server verarbeitet, bevor sie (ggf. anonymisiert) an Analytics-Tools weitergeleitet werden. Das reduziert den Drittlandtransfer und gibt dir mehr Kontrolle. Google bietet Server-Side Tagging über den Google Tag Manager an -- allerdings brauchst du dafür einen eigenen Server (z. B. bei Google Cloud oder einem EU-Hoster) und technisches Know-how. Für die meisten Startups in der Frühphase ist das Overkill.

Mein Tipp: Wenn du gerade deine Website aufbaust und noch kein Analytics eingerichtet hast, starte direkt mit Plausible oder Matomo ohne Cookies. Du sparst dir das Cookie-Banner-Thema für Analytics komplett, bekommst trotzdem die wichtigsten Kennzahlen (Seitenaufrufe, Referrer, Gerätetypen) und musst keine komplexe Consent-Infrastruktur aufbauen.

Cookie-Banner und Single-Page-Applications (SPAs)

Wenn deine Website oder Web-App als Single-Page-Application gebaut ist (React, Vü, Angular, Svelte), gibt es technische Besonderheiten beim Cookie-Banner:

• Consent-Check bei Navigation: In einer SPA wird die Seite nicht bei jeder Navigation neu geladen. Das Cookie-Banner muss trotzdem beim ersten Besuch angezeigt werden, und der Consent-Status muss bei internen Navigationen berücksichtigt werden
• Dynamisch geladene Skripte: Tracking-Skripte werden in SPAs oft dynamisch nachgeladen. Stelle sicher, dass sie nur nach Consent geladen werden
• Tag Manager und SPAs: Der Google Tag Manager hat spezielle History-Change-Trigger für SPAs. Konfiguriere sie korrekt, damit Pageviews auch bei Client-Side-Navigation getrackt werden -- aber natürlich nur nach Consent

Die meisten CMP-Anbieter (Cookiebot, Usercentrics) unterstützen SPAs, aber du musst die Integration sorgfältig testen. Prüfe insbesondere, ob der Consent-Status bei Client-Side-Navigation korrekt übergeben wird und ob Skripte nicht versehentlich ohne Consent nachladen.

Häufige Fehler bei Cookie-Bannern

1. Banner zeigt sich, Cookies laufen trotzdem: Der häufigste technische Fehler. Das Banner ist rein kosmetisch, die Tracking-Skripte laden unabhängig davon. Teste immer im Inkognito-Modus: Lade die Seite, lehne alle Cookies ab und prüfe dann, welche Cookies trotzdem gesetzt werden.

2. "Cookie-Wall" ohne Alternative: Manche Websites blockieren den gesamten Inhalt, bis der Nutzer Cookies akzeptiert. Das ist nur in wenigen Ausnahmefällen zulässig (z. B. bei werbefinanzierten Medien mit echtem Alternativangebot). Für Startup-Websites ist eine Cookie-Wall praktisch nie gerechtfertigt.

3. Fehlende Widerrufsmöglichkeit: Der Nutzer muss seine Cookie-Einstellungen jederzeit ändern können. Ein Link im Footer ist der Standard. Wenn du Cookiebot nutzt, wird automatisch ein Widerrufs-Link generiert.

4. Banner auf jeder Seite neu anzeigen: Wenn ein Nutzer seine Wahl getroffen hat, sollte das Banner nicht bei jedem Seitenaufruf erneut erscheinen. Die CMP speichert die Entscheidung in einem eigenen Cookie (das ist ein technisch notwendiges Cookie und braucht keine Einwilligung).

5. "Nur notwendige Cookies" als versteckten Link: Wenn du nur "Alle akzeptieren" als Button und "Nur notwendige" als kleinen Textlink anbietest, ist das ein Dark Pattern. Beide Optionen müssen gleichwertig dargestellt werden.

Cookie-Banner regelmäßig prüfen und aktualisieren

Ein Cookie-Banner ist kein Set-and-forget-Element. Deine Website verändert sich laufend, und damit auch die Cookies:

Wann du das Banner prüfen musst:

• Nach jedem Plugin-Update (WordPress-Plugins können neue Cookies einführen)
• Wenn du ein neues Tool einbindest (Chat-Widget, Analytics, A/B-Testing)
• Wenn du Inhalte einbettest (YouTube-Videos, Instagram-Posts, Google Maps)
• Mindestens vierteljährlich als Routine-Check

Wie du prüfst:

• Öffne deine Website im Inkognito-Modus
• Lehne alle Cookies ab
• Prüfe in den Browser-Entwicklertools (Application > Cookies), welche Cookies trotzdem gesetzt werden
• Prüfe im Netzwerk-Tab, ob Anfragen an Drittanbieter gehen
• Wiederhole den Test nach Akzeptieren aller Cookies

Automatische Scans: Cookiebot und Usercentrics bieten automatische Website-Scans an, die neue Cookies erkennen und dich benachrichtigen. Nutze diese Funktion -- sie spart dir regelmäßige manuelle Prüfungen.

Abmahnrisiko und aktuelle Rechtsprechung

In Österreich gibt es bisher keine systematische Abmahnwelle wegen fehlerhafter Cookie-Banner, wie sie in manchen deutschen Gerichtsbezirken vorkommt. Aber die Risiken steigen:

• Die DSB hat in mehreren Entscheidungen Cookie-Banner beanstandet, die keine gleichwertige Ablehnungsmöglichkeit boten
• Der EuGH hat mit dem Planet49-Urteil klare Maßstäbe für gültige Cookie-Einwilligungen gesetzt
• Die CNIL (Frankreich) hat 2022 gegen Google und Facebook Bußgelder in Höhe von EUR 150 Millionen bzw. EUR 60 Millionen wegen fehlerhafter Cookie-Banner verhängt
• Die irische DPC hat mehrere Verfahren gegen Tech-Unternehmen wegen Cookie-Practices eingeleitet
• NOYB (die Organisation von Max Schrems) hat hunderte Beschwerden gegen Websites mit mangelhaften Cookie-Bannern bei verschiedenen europäischen Aufsichtsbehörden eingereicht

Für Startups: Das Risiko einer Abmahnung durch Konkurrenten ist in Österreich gering, aber Beschwerden von Nutzern bei der DSB nehmen zu. Ein korrektes Cookie-Banner schützt dich vor beiden Szenarien.

Cookie-Banner und Performance -- der Balanceakt

Ein Thema, das technisch versierte Gründer oft beschäftigt: Cookie-Banner und Consent-Management-Plattformen können die Website-Performance beeinträchtigen. Das Laden des CMP-Skripts, das Blockieren von Tracking-Skripten bis zum Consent und die Consent-Abfrage selbst kosten Millisekunden, die sich auf Core Web Vitals und damit auf das Google-Ranking auswirken können.

Tipps für bessere Performance:

• Lade das CMP-Skript asynchron, damit es den Seitenaufbau nicht blockiert
• Nutze einen CDN-gehosteten CMP-Service statt Self-Hosting (Cookiebot und Usercentrics sind CDN-optimiert)
• Minimiere die Anzahl der eingebundenen Drittanbieter-Skripte -- jedes Skript, das du nicht brauchst, spart dir eine Cookie-Kategorie und Ladezeit
• Implementiere den "Facade"-Ansatz für YouTube-Videos und andere Embeds: Zeige ein statisches Vorschaubild und lade den Embed erst nach Klick
• Nutze Server-Side Tagging, um die Anzahl der Client-Side-Skripte zu reduzieren (technisch aufwändig, aber für performancekritische Websites lohnend)

Der Performance-Impact eines korrekt implementierten Cookie-Banners ist in der Praxis gering (typischerweise 50-100ms zusätzliche Ladezeit). Die DSGVO-Compliance ist das deutlich gewichtigere Argument. Optimiere, wo es geht, aber opfere nie die Rechtskonformität für Geschwindigkeit.

Zusammenfassung: Cookie-Compliance auf einen Blick

Von der Theorie in die Praxis

Dein Cookie-Banner steht -- super. Aber hast du auch Auftragsverarbeitungsverträge mit all den Diensten, deren Cookies du setzt? Google, Facebook, dein Analytics-Anbieter -- sie alle brauchen einen AVV. Im nächsten Post erklären wir dir, wann du einen AVV brauchst und wie du ihn abschließt. Bei Startup Burgenland helfen wir dir, die technische und rechtliche Seite zusammenzubringen.

Startup Burgenland macht Gründung leistbar: EUR 10.000 Gründungszuschuss (nicht rückzahlbar, keine Eigenkapitalabgabe), 1:1 Coaching und ein Netzwerk aus Steuerberatern, Notaren und Rechtsanwälten. Flexibler Einstieg jederzeit. Schreib uns ein formloses E-Mail.

Über den Autor: Felix Lenhard ist Program Director und Startup Coach bei Startup Burgenland. Zuvor Managing Director beim 360 Innovation Lab, Innovation Manager bei RHI Magnesita und Serial Entrepreneur mit internationalen Exits. Über 15 Jahre Erfahrung in Innovation und Unternehmensaufbau.