Die ePrivacy-Richtlinie im Alltag:
Wissenswertes für Unternehmer in Österreich (TKG 2021)

Die ePrivacy-Verordnung der EU soll den Schutz der Privatsphäre in der digitalen Kommunikation regeln, allerdings liegt der Entwurf für diese neue Fassung nach jahrelangen Verhandlungen aktuell auf Eis. Solange diese neue Verordnung nicht in Kraft ist, gilt in Österreich weiterhin das Telekommunikationsgesetz (TKG 2021) in Kombination mit der Datenschutz-Grundverordnung (DSGVO).

Das bedeutet für dich, dass für Cookies, Tracking und Messenger-Dienste momentan die alten, nationalen Regeln bindend sind. 

Die DSGVO schützt alle personenbezogenen Daten, wie Namen, Adressen oder Geburtsdaten deiner Kunden. Die ePrivacy-Regelungen hingegen sind ein Spezialgesetz für die elektronische Kommunikation. Sie greifen bereits dann, wenn überhaupt Daten über digitale Netze übertragen, auf Endgeräten gespeichert oder von dort ausgelesen werden – unabhängig davon, ob es sich dabei um personenbezogene Daten handelt oder nicht.

Wenn du beispielsweise ein Analysetool auf deiner Firmenwebsite einbindest, das lediglich anonyme Gerätedaten ausliest, greift bereits die ePrivacy-Regelung. Sie gilt als die speziellere Norm und überschreibt in ihrem Anwendungsbereich die allgemeineren Vorgaben der DSGVO.

Da die neue ePrivacy-Verordnung vorerst nicht kommt, ist in Österreich das nationale Telekommunikationsgesetz (TKG 2021) deine wichtigste Rechtsquelle. Dieses setzt die Vorgaben der europäischen ePrivacy-Richtlinie in verbindliches österreichisches Recht um.

Speziell § 165 Abs. 3 TKG 2021 regelt detailliert, unter welchen Bedingungen du Daten auf den Endgeräten deiner Website-Besucher speichern oder auslesen darfst. Das betrifft neben klassischen HTTP-Cookies auch Technologien wie Local Storage oder Tracking-Pixel. Eine solche Speicherung erfordert eine rechtsgültige Einwilligung, wobei die genauen Anforderungen durch die Rechtsprechung der österreichischen Datenschutzbehörde (DSB) ergänzt werden.

Cookies und E-Mail-Marketing sind rechtlich getrennt. Für ungebetene Werbe-E-Mails, SMS und vergleichbare Direktwerbung gilt nämlich § 174 TKG 2021 und nicht der Cookie-Paragraf.

Rechtsquellen:

• Art. 5 Abs. 3 Richtlinie 2002/58/EG (EU-Vorgabe)
• § 165 Abs. 3 TKG 2021 (Cookies & Tracking)
• § 174 TKG 2021 (Direktwerbung & Newsletter)

Ein häufiger Fehler im B2B- und B2C-Marketing ist der Verweis auf das sogenannte „berechtigte Interesse“ laut DSGVO, um Nutzeraktivitäten ohne Einwilligung zu tracken. Die ePrivacy-Richtlinie und das österreichische TKG kennen dieses berechtigte Interesse für das Speichern von Informationen auf Endgeräten jedoch nicht.

Für fast jede Form von Marketing-Tracking, Retargeting-Pixeln oder verhaltensbasierter Analytik benötigst du zwingend die aktive, informierte und vorherige Einwilligung deines Nutzers (Opt-in). Ohne diese Zustimmung darf kein einziges nicht-essenzielles Cookie gesetzt werden.

Das Gesetz unterscheidet strikt zwischen technisch notwendigen und nicht notwendigen Datenverarbeitungen. Wenn du einen Online-Shop betreibst, ist das Cookie, das den Inhalt des virtuellen Warenkorbs speichert, technisch zwingend erforderlich. Hierfür brauchst du keine Einwilligung. Möchtest du jedoch das Klickverhalten deiner Kunden mittels Analysetools auswerten, um deine Angebote zu optimieren, handelt es sich um ein nicht-essenzielles Tool. Hierfür musst du vorab eine explizite Zustimmung einholen.

Ein einfacher Hinweistext mit einem „OK“-Button reicht in Österreich längst nicht mehr aus. Dein Cookie-Banner muss dem Nutzer eine echte und freie Wahl lassen. Das bedeutet konkret, dass der Button zum Ablehnen aller nicht-essenziellen Cookies auf der ersten Ebene des Banners genauso leicht zugänglich und visuell gleichwertig gestaltet sein muss wie der „Akzeptieren“-Button.

Zudem darfst du keine Kontrollkästchen im Hintergrund vorauswählen. Erst wenn der Nutzer aktiv auf „Zustimmen“ klickt, dürfen Marketing-Scripte geladen werden.

Der Versand digitaler Direktwerbung – Newsletter, Werbe-E-Mails, SMS – ist in Österreich in § 174 Telekommunikationsgesetz 2021 (TKG) geregelt. Die Vorschrift gilt für B2C und B2B gleichermaßen. Eine pauschale B2B-Ausnahme für ungefragte Werbe-E-Mails gibt es im TKG nicht.

Werbe-E-Mails und SMS dürfen nur mit vorheriger Einwilligung des Empfängers versendet werden (Opt-in). Für Newsletter empfiehlt sich das Double-Opt-in-Verfahren inklusive Dokumentation.

Einzige Ausnahme ist bei bestehender Kundenbeziehung. Hast du die E-Mail-Adresse im Zusammenhang mit einem Verkauf oder einer Dienstleistung erhalten, darfst du unter engen Voraussetzungen ohne separate Einwilligung für eigene, ähnliche Produkte oder Dienstleistungen werben – wenn der Empfänger bei Erhebung und bei jeder Zusendung klar, kostenfrei und einfach widersprechen kann. Details: WKO zum TKG.

Kaltakquise durch B2B-E-Mails an fremde Kontakte ohne Einwilligung sind unzulässig. Für reine Kaltakquise per E-Mail brauchst du eine wirksame Einwilligung – unabhängig davon, ob dein Ziel B2B oder B2C ist.

Rechtsquelle: § 174 TKG 2021 auf RIS.

Verstöße gegen Cookie- und Tracking-Regeln sowie gegen E-Mail-Werberegeln werden in Österreich nicht von einer einzigen Stelle gehandhabt. Für dich als Unternehmer ist entscheidend, welcher Rechtsbereich betroffen ist.

Organisatorische und technische Maßnahmen (CMP, Script-Blocking, dokumentierte Einwilligungen, Newsletter-Opt-in) reduzieren das Risiko in allen Spalten gleichzeitig.

Neben den Imageverlusten deines Unternehmens haftest du persönlich als Geschäftsführer unter Umständen auch für Organisationsmängel, wenn du keine datenschutzkonformen Prozesse im Betrieb etabliert hast.

Um dein Unternehmen in Österreich rechtssicher aufzustellen, solltest du eine strukturierte Überprüfung deiner digitalen Kanäle durchführen. Wenn du dir unsicher bist oder Nutzerdaten auf deiner Seite trackst, kannst du diese vier Schritte als Handlungsempfehlung durchführen:

• Website-Audit durchführen: Analysiere mit IT-Tools, welche Cookies, Pixel und Skripte deine Website tatsächlich im Hintergrund lädt.
• Consent-Management-Plattform (CMP) integrieren: Wenn du Nutzerdaten nicht anonymisiert trackst, implementiere ein professionelles Cookie-Banner, das die Skripte bis zur Einwilligung blockiert.
• Datenschutzerklärung aktualisieren: Führe alle genutzten Tools, deren Zweck, die Speicherdauer und die Empfänger der Daten lückenlos auf.
• Newsletter-Verteiler prüfen: Stelle sicher, dass für alle Kontakte in deiner Marketing-Datenbank ein sauber dokumentiertes Double-Opt-in vorliegt.

Bei einer Neuanschaffung deiner Online-Präsenz (z.B. einer Website), achte genau darauf ob die dir angebotene Webseite auch alle notwendigen rechtlichen Anforderungen erfüllt! Viele Werbeagenturen oder Webdesigner kennen die meisten Richtlinien und Gesetze nur unzureichend. Webseiten Baukastensysteme decken dazu nicht alle notwendigen österreichischen Rechte für Online-Dienste ab. Wenn du sicher gehen willst, kannst du gerne meine Webdesign Angebote anschauen.