Cookie-Banner & Consent für KMU-Websites in ÖsterreichCookie Banner & Consent for SME Websites in Austria
Für alles, was nicht technisch unbedingt erforderlich ist, brauchen Sie in Österreich vorab eine Einwilligung. Hier lesen Sie, was ohne Einwilligung erlaubt ist und wie Sie Meta Pixel und Google Ads sauber koppeln.In Austria you need prior consent for anything that is not strictly necessary. Here you can read what is allowed without consent and how to tie Meta Pixel and Google Ads to it properly.
Ein Cookie-Banner ist schnell eingebaut. Schwieriger ist die Frage, ob er wirklich steuert, was beim Seitenaufruf passiert, oder nur daneben eingeblendet wird, während Analyse- und Werbe-Tags schon laufen. Dieser Artikel zeigt, was das Gesetz verlangt, was Sie ohne Einwilligung einsetzen dürfen und wie Sie Meta Pixel und Google Ads an Ihre Einwilligungslösung koppeln.
Wann Sie eine Einwilligung brauchen und was ohne erlaubt ist
Die zentrale Vorschrift ist § 165 Abs. 3 TKG 2021. Anbieter eines Dienstes der Informationsgesellschaft, also auch Ihre Website, müssen Nutzer informieren, welche personenbezogenen Daten sie verarbeiten, auf welcher Rechtsgrundlage, zu welchem Zweck und wie lange. Die Ermittlung dieser Daten ist laut Gesetzestext nur zulässig, wenn der Nutzer seine Einwilligung aktiv und auf Grundlage klarer und umfassender Informationen erteilt hat.
Die Ausnahme steht im selben Absatz: Eine technische Speicherung oder ein Zugang bleibt ohne Einwilligung zulässig, wenn der alleinige Zweck die Übertragung einer Nachricht ist oder wenn sie „unbedingt erforderlich“ ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann. Die Datenschutzbehörde fasst das so zusammen: Für alle technisch nicht notwendigen Cookies muss eine Einwilligung eingeholt werden.
Sobald über Cookies oder Pixel personenbezogene Daten verarbeitet werden, kommt die DSGVO dazu, mit den Anforderungen an eine wirksame Einwilligung nach Art. 4 Z 11 und Art. 7.
Die Datenschutzbehörde nennt in ihrer FAQ ausdrücklich drei Fälle, in denen keine Einwilligung nötig ist: die notwendige Sitzungsverwaltung (etwa Warenkorb und Login-Status), Eingaben in einem mehrseitigen Online-Formular und die Information über den Einwilligungsstatus. Das Speichern Ihrer Banner-Entscheidung darf also ohne weitere Zustimmung geschehen, solange dafür keine eindeutige Online-Kennung vergeben wird.
Dass ein Cookie Ihnen nützt, reicht dafür nicht. Die Datenschutzbehörde nennt ausdrücklich Plugins von Social-Media-Diensten und Werbenetzwerken, die Daten von Besuchern an Dritte übermitteln, als einwilligungsbedürftig. Werbe-Cookies werden auch nicht „technisch notwendig“, nur weil Werbung die Website finanziert. Auch ein „berechtigtes Interesse“ ersetzt die Einwilligung hier nicht: Die Mitglieder der EDPB-Taskforce haben bestätigt, dass die Rechtsgrundlage für das Setzen und Auslesen von Cookies nach Art. 5 Abs. 3 der ePrivacy-Richtlinie nicht das berechtigte Interesse des Verantwortlichen sein kann (Bericht der Cookie Banner Taskforce, Rn. 24).
Wichtig ist auch, dass die Regel nicht an der Technik „Cookie“ hängt. Nach den EDPB-Leitlinien 2/2023 kann auch der Abruf von Tracking-Pixeln einen „Zugang“ zu Informationen im Endgerät im Sinn von Art. 5 Abs. 3 darstellen. Ein Banner, der nur Cookies adressiert, greift deshalb zu kurz.
Wann eine Einwilligung gültig ist
Die Einwilligung muss laut Art. 4 Z 11 DSGVO freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich erfolgen, durch eine eindeutige bestätigende Handlung. Die EDPB-Leitlinien 05/2020 (Version 1.1) übersetzen das in konkrete Regeln für Websites.
- Scrollen ist keine Zustimmung. Weiterblättern oder Wischen erfüllt laut Rn. 86 „unter keinen Umständen“ das Erfordernis einer klaren bestätigenden Handlung.
- Keine Cookie-Wall. Der Zugang zu Inhalten darf nicht davon abhängen, dass Besucher dem Speichern von Informationen im Endgerät zustimmen (Rn. 39 und 40).
- Granular statt Paket. Besucher sollen die Zwecke einzeln wählen können, statt ein Bündel anzunehmen (Rn. 42).
- Widerruf so einfach wie die Zustimmung. Wer mit einem Klick zugestimmt hat, muss mit vergleichbar geringem Aufwand widerrufen können (Rn. 113 und 114).
- Nachweisbar. Der Verantwortliche muss belegen können, dass eingewilligt wurde (Art. 7 Abs. 1 DSGVO).
Die Datenschutzbehörde mahnt: Beim Bau einer Website sei darauf zu achten, dass keine technisch nicht notwendigen Cookies vor dem Einholen der Einwilligung gesetzt werden. Voreinstellungen oder vorangekreuzte Boxen im Banner sind unzulässig. Genau hier scheitern viele Websites in der Praxis. Der Banner ist da, aber das Pixel wurde schon beim Seitenaufruf geladen.
Checkliste: So gestalten Sie den Banner
Die EDPB-Taskforce hat im Januar 2023 gemeinsame Positionen der Aufsichtsbehörden zu Cookie-Bannern veröffentlicht. Für KMU lässt sich daraus eine klare Prüfliste ableiten.
| Prüfpunkt | Was zu tun ist | Grundlage |
|---|---|---|
| Ablehnen-Option | Auf derselben Ebene wie „Akzeptieren“ anbieten. Fehlt sie dort, sah das die große Mehrheit der Behörden als Verstoß. | Taskforce Rn. 8 |
| Vorangekreuzte Kästchen | Alle optionalen Zwecke standardmäßig aus. | Taskforce Rn. 10; DSB-FAQ |
| Gestaltung der Buttons | Keine deutlich kontrastreichere Zustimmen-Taste und kein kaum lesbarer Ablehnen-Link. Die Beurteilung erfolgt im Einzelfall. | Taskforce Rn. 17 und 18 |
| Ablehnen versteckt | Nicht im Fließtext verstecken oder außerhalb des Banners ohne klare Hervorhebung platzieren. | Taskforce Rn. 13 und 14 |
| Widerruf | Dauerhaft erreichbarer Link, zum Beispiel im Footer. Ein bestimmtes Symbol schreibt niemand vor. | Taskforce Rn. 32 bis 35 |
| Information | Zwecke, Rechtsgrundlage und Speicherdauer verständlich nennen. | § 165 Abs. 3 TKG 2021 |
Der Bericht der Taskforce ist keine verbindliche Entscheidung für Ihren Einzelfall, spiegelt aber wider, wie Aufsichtsbehörden Banner prüfen. Planen Sie Ihre Lösung entlang dieser Linie und nicht nach einem Template, das nur auf Zustimmung getrimmt ist. Pflichtangaben und Datenschutzerklärung behandelt unser Artikel zu Impressum und Datenschutz auf der Website.
Consent Mode v2: Was Google für den EWR verlangt
Google hat die Durchsetzung seiner EU-Einwilligungsrichtlinie verschärft. Laut Google Ads Hilfe müssen Werbetreibende für Personalisierung, Messung und Remarketing über Google-Tags die Einwilligungssignale erheben und an Google weitergeben. Dafür kamen zwei Parameter hinzu: ad_user_data (Übermittlung von Nutzerdaten für Werbezwecke) und ad_personalization (personalisierte Werbung). Zusammen mit ad_storage und analytics_storage sind es vier Signale, die Ihr Consent-Management-Tool setzen muss. Diese Umstellung wird „Consent Mode v2“ genannt.
Google unterscheidet zwei Umsetzungsvarianten, die Google Ads Hilfe zu Consent Mode erklärt. Im Basic-Modus wird das Laden der Google-Tags blockiert, bis der Besucher mit dem Banner interagiert hat, vorher werden keine Daten gesendet. Im Advanced-Modus laden die Tags mit Standardwerten auf „denied“ und senden Pings, aus denen Google Messwerte modelliert. Laut Google liefert das eine bessere Modellierung als der Basic-Modus.
Der Preis des Basic-Modus ist die Datenlage: Laden Ihre Tags erst nach der Interaktion mit dem Banner, kann Google die Entscheidungen laut Hilfeseite nicht verifizieren, und das kann zu Datenverlust führen. Ob die Pings des Advanced-Modus vor einer Einwilligung rechtlich vertretbar sind, beantworten die von uns geprüften Quellen nicht. Diese Frage gehört in Ihre rechtliche Prüfung und nicht in die Voreinstellung eines Tools.
Meta Pixel und Google Ads: So hängt die Einwilligung am Tracking
Für Meta gilt dieselbe Grundlogik. Meta stellt in der Entwicklerdokumentation zur DSGVO zwei Befehle bereit: fbq('consent', 'revoke') pausiert das Senden von Pixel-Ereignissen, fbq('consent', 'grant') setzt es nach erteilter Einwilligung fort. Revoke muss laut Meta auf jeder Seite vor der Pixel-Initialisierung aufgerufen werden. Die Verantwortung für die Einwilligung liegt laut derselben Seite bei Ihnen als Unternehmen, nicht bei Meta.
Für Google Ads heißt das: Conversion-Tracking, Remarketing-Listen und personalisierte Werbung hängen an den Signalen aus dem Banner. Ohne die Signale schränkt Google den Zugriff auf Personalisierung, Messung und Remarketing laut Hilfeseite ein. Das hat Folgen für die Budgetplanung: Wer Kampagnen bewertet, muss mit Messlücken rechnen, weil abgelehnte Besucher in Ihren Zahlen fehlen oder nur modelliert auftauchen. Wie Sie Budgets mit solchen Daten ableiten, steht in unserem Artikel zu Google Ads Budget für KMU, die Grundlagen für Anfragen-Messung in Conversion-Tracking mit GA4 und die Besonderheiten bei Meta in Meta Ads für lokale KMU.
Die Fehlerquelle liegt meist in der Praxis: Pixel, Google-Tag, Chat-Widget und eingebettete Videos werden oft von verschiedenen Personen eingebaut, und ein Skript im Theme feuert dann trotz Banner. Beim Komplett-Setup richten wir Google Analytics 4 und Meta Pixel ein, und die Kopplung an Ihre Einwilligungslösung gehört für uns zur Einrichtung dazu.
In sechs Schritten zur sauberen Lösung
- Inventar erstellen. Listen Sie jeden Dienst, der Cookies setzt oder Pixel lädt: Analytics, Werbe-Tags, Karten, Videos, Chat, Schriftarten. Die Netzwerkansicht der Browser-Entwicklertools zeigt es Ihnen, am besten in einem privaten Fenster.
- Zwecke trennen. Ordnen Sie jeden Dienst einem Zweck zu: notwendig, Statistik, Marketing. Nur „notwendig“ darf ohne Einwilligung laufen.
- Consent-Tool wählen. Sie brauchen ein Werkzeug, das Standardwerte setzt, Entscheidungen speichert und Updates an Google und Meta weitergibt. Prüfen Sie, ob es die vier Google-Signale unterstützt.
- Tags koppeln. Marketing-Skripte laden erst nach Zustimmung zum jeweiligen Zweck, Meta Pixel mit grant/revoke, Google-Tags mit den vier Signalen.
- Banner gestalten. Gleichwertige Ablehnen-Option, keine Vorauswahl, Widerruf im Footer, Zwecke und Speicherdauer in der Datenschutzerklärung.
- Testen und dokumentieren. Prüfen Sie im privaten Fenster, dass vor der Entscheidung keine Marketing-Anfragen rausgehen, nach „Ablehnen“ ebenfalls nicht und nach „Akzeptieren“ erst dann. Notieren Sie Datum und Ergebnis des Tests.
Wenn Sie wissen wollen, wo Ihre Seite aktuell steht, hilft der kostenlose Selbsttest für KMU-Websites als erste Orientierung. Geht es um eine neue oder überarbeitete Website, passt unser Angebot für Webdesign in Wien. Wie Sie Ladezeit und Layout trotz Banner im Griff behalten, steht in Ladezeit der Website verbessern.
Wann das nicht reicht
Ein sauberer Banner ist nur ein Teil der Compliance. Er ersetzt keine Datenschutzerklärung, keine Prüfung, ob Daten in Drittländer übermittelt werden, und keine Auftragsverarbeiter-Verträge. Ob ein konkretes Tool ohne Einwilligung laufen darf, entscheidet der Einzelfall.
Grenzen hat auch die Technik. Consent Mode und Modellierung sind Schätzungen von Google, keine Messung. Wenn ein großer Teil Ihrer Besucher ablehnt, sehen Sie in Analytics weniger. Das ist die Folge einer gültigen Einwilligung. Vergleichen Sie Kampagnenkennzahlen deshalb mit Anfragen im Postfach oder CRM statt nur mit Plattformwerten.
Beim Newsletter-Tracking und Werbe-E-Mails gelten zusätzliche Regeln, die wir in Newsletter rechtssicher für KMU behandeln. Bei Unsicherheit in Ihrer Branche, insbesondere bei Gesundheitsberufen, fragen Sie Ihre Berufsvertretung oder eine auf Datenschutz spezialisierte Rechtsanwältin oder einen Rechtsanwalt. Wir besprechen gern im kostenlosen Erstgespräch, wie sich Tracking und Einwilligung bei Ihnen technisch sauber aufsetzen lassen. Die rechtliche Bewertung bleibt dabei bei Ihrer Rechtsberatung.
Häufige Fragen
Brauche ich auf meiner Website unbedingt einen Cookie-Banner?
Nur wenn Sie Cookies oder ähnliche Techniken einsetzen, die nicht technisch unbedingt erforderlich sind. Wer ausschließlich notwendige Cookies nutzt, braucht laut Datenschutzbehörde keine Einwilligung. Ein Inventar Ihrer Dienste zeigt, wo Sie stehen.
Darf ich Google Analytics ohne Einwilligung einsetzen?
Die Datenschutzbehörde verlangt für alle technisch nicht notwendigen Cookies eine Einwilligung. Ein Analysewerkzeug ist in der Regel nicht unbedingt erforderlich, damit die Seite funktioniert. Ob Ausnahmen für ein bestimmtes Tool greifen, ist eine Rechtsfrage für den Einzelfall.
Reicht ein Hinweis „Mit der Nutzung stimmen Sie zu“?
Nein. Die EDPB hält fest, dass Scrollen oder Weiternutzen keine eindeutige bestätigende Handlung ist. Die Einwilligung muss aktiv erfolgen, vor dem Setzen der Cookies, und ablehnen muss ebenso möglich sein.
Muss ich Consent Mode v2 verwenden?
Wenn Sie Google Ads oder Google Analytics im EWR für Personalisierung, Messung und Remarketing nutzen, verlangt Google laut Hilfeseite die Einwilligungssignale. Ihr Consent-Tool sollte deshalb die vier Parameter unterstützen. Eine gesetzliche Pflicht zu einem bestimmten Google-Format gibt es nicht, die Anforderung kommt von Google.
Wie lege ich Meta Pixel hinter die Einwilligung?
Rufen Sie vor der Initialisierung fbq('consent', 'revoke') auf und nach der Zustimmung fbq('consent', 'grant'). Testen Sie im privaten Fenster, ob vor der Zustimmung wirklich nichts an Meta gesendet wird.
Wer kontrolliert und sanktioniert Verstöße?
Laut Datenschutzbehörde obliegt der Vollzug bei § 165 Abs. 3 TKG 2021 auf nationaler Ebene den Fernmeldebehörden. Die Datenschutzbehörde kann zuständig sein, wenn durch den Cookie-Einsatz personenbezogene Daten verarbeitet werden. Zur Höhe möglicher Strafen machen wir keine Angaben.
Hinweis: Dieser Artikel gibt eine allgemeine Orientierung auf Basis öffentlich zugänglicher Primärquellen (Stand 3. Oktober 2026) und ist keine Rechtsberatung. Gesetze, Leitlinien und Plattformregeln ändern sich. Lassen Sie Ihre konkrete Lösung rechtlich prüfen.
Quellen
- § 165 TKG 2021, Telekommunikationsgesetz 2021, Bundesrecht konsolidiert, Rechtsinformationssystem des Bundes (RIS), Fassung vom 4. Oktober 2026
- Datenschutz & Cookies (FAQ), Datenschutzbehörde Österreich, abgerufen am 3. Oktober 2026
- Guidelines 05/2020 on consent under Regulation 2016/679, Version 1.1, Europäischer Datenschutzausschuss (EDPB), 4. Mai 2020
- Report of the work undertaken by the Cookie Banner Taskforce, EDPB, angenommen am 17. Januar 2023
- Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2.0, EDPB, 7. Oktober 2024
- Updates to consent mode for traffic in European Economic Area (EEA), Google Ads Help, Google, abgerufen am 3. Oktober 2026
- About consent mode, Google Ads Help, Google, abgerufen am 3. Oktober 2026
- GDPR and the Meta Pixel (consent revoke/grant), Meta for Developers, abgerufen am 3. Oktober 2026
A cookie banner is quickly installed. The harder question is whether it controls what happens when a page loads, or just sits next to tags that are already running. This article covers what the law requires, what you can use without consent and how to tie Meta Pixel and Google Ads to your consent solution.
When you need consent, and what is allowed without it
The key provision is section 165(3) TKG 2021. Providers of an information society service, which includes your website, must tell users which personal data they process, on what legal basis, for what purpose and for how long. According to the statute, this data may only be collected if the user has given consent actively and on the basis of clear and comprehensive information.
The exception sits in the same paragraph: technical storage or access remains permitted without consent if its sole purpose is the transmission of a message, or if it is "strictly necessary" for the provider to deliver a service the user has expressly requested. The Austrian Data Protection Authority (DSB) summarises it like this: consent must be obtained for all cookies that are not technically necessary.
Once cookies or pixels lead to personal data being processed, the GDPR applies too, with its consent requirements in Art. 4(11) and Art. 7.
The DSB's FAQ names three cases that need no consent: necessary session management (for example shopping cart and login status), entries in a multi-page online form, and information about the consent status. Storing your banner decision therefore needs no further consent, as long as no unique online identifier is assigned for it.
That a cookie is useful to you is not enough. The DSB expressly names plugins of social media services and advertising networks that pass visitors' data to third parties as requiring consent, and advertising cookies do not become "technically necessary" just because advertising finances the website. A "legitimate interest" does not replace consent either: the members of the EDPB taskforce confirmed that the legal basis for placing and reading cookies under Art. 5(3) of the ePrivacy Directive cannot be the controller's legitimate interest (Cookie Banner Taskforce report, para. 24).
The rule is not limited to "cookies". According to the EDPB Guidelines 2/2023, loading a tracking pixel can constitute "gaining access" to information on the device within the meaning of Art. 5(3). A banner that only addresses cookies therefore falls short.
When consent is valid
Under Art. 4(11) GDPR, consent must be freely given, specific, informed and unambiguous, by a clear affirmative action. The EDPB Guidelines 05/2020 (version 1.1) turn this into concrete rules for websites.
- Scrolling is not consent. Scrolling or swiping through a page will "under no circumstances" satisfy the requirement of a clear affirmative action (para. 86).
- No cookie walls. Access to content must not be made conditional on consenting to the storing of information on the user's device (paras. 39 and 40).
- Granular, not bundled. Visitors should be able to choose purposes individually (para. 42).
- Withdrawal as easy as agreeing. If someone agreed with one click, they must be able to withdraw with comparable ease (paras. 113 and 114).
- Provable. The controller must be able to demonstrate that consent was given (Art. 7(1) GDPR).
The DSB adds a warning: no technically unnecessary cookies may be set before consent has been obtained, and presets or pre-ticked boxes in the banner are not permitted. This is where many sites fail in practice: the banner is there, but the pixel loaded when the page opened.
Checklist: how to design the banner
In January 2023 the EDPB taskforce published joint positions of supervisory authorities on cookie banners. A clear checklist follows from them.
| Check | What to do | Basis |
|---|---|---|
| Reject option | Offer it on the same layer as "Accept". A vast majority of authorities saw a missing option there as an infringement. | Taskforce para. 8 |
| Pre-ticked boxes | All optional purposes off by default. | Taskforce para. 10; DSB FAQ |
| Button design | No clearly higher-contrast accept button and no barely legible reject link. Assessed case by case. | Taskforce paras. 17 and 18 |
| Hidden refusal | Do not bury it in running text or place it outside the banner without clear emphasis. | Taskforce paras. 13 and 14 |
| Withdrawal | A permanently reachable link, for example in the footer. No particular icon is prescribed. | Taskforce paras. 32 to 35 |
| Information | State purposes, legal basis and storage period clearly. | Section 165(3) TKG 2021 |
The report is not binding for your case, but it shows how authorities review banners. Mandatory information is covered in legal notice and privacy policy for your website.
Consent Mode v2: what Google requires for the EEA
Google has tightened enforcement of its EU user consent policy. According to Google Ads Help, advertisers must collect consent signals and share them with Google to use personalisation, measurement and remarketing through Google tags. Two parameters were added for this: ad_user_data (sending user data to Google for advertising) and ad_personalization (personalised advertising). With ad_storage and analytics_storage that makes four signals your consent tool has to set, known as "consent mode v2".
Google distinguishes two variants, explained in the Google Ads Help on consent mode. In basic mode, the Google tags are blocked until the visitor has interacted with the banner, and no data is sent before then. In advanced mode the tags load with defaults set to denied and send pings, from which Google models metrics. Google says this gives better modelling than basic mode.
The price of basic mode is the data: if tags only load after the banner interaction, Google cannot verify the choices, which according to the help page can lead to data loss. Whether the pings of advanced mode are legally defensible before consent is not answered by the sources we reviewed. That belongs in your legal review, not in a tool's default setting.
Meta Pixel and Google Ads: tying tracking to consent
The same basic logic applies to Meta. In its developer documentation on the GDPR, Meta provides two commands: fbq('consent', 'revoke') pauses the sending of pixel events, and fbq('consent', 'grant') resumes it once consent has been given. According to Meta, revoke has to be called on every page before the pixel is initialised. The same page states that responsibility for consent lies with you as the company, not with Meta.
For Google Ads this means conversion tracking, remarketing lists and personalised advertising depend on the signals from the banner. Without those signals Google restricts access to personalisation, measurement and remarketing, according to the help page. Expect measurement gaps when you evaluate campaigns: visitors who reject are missing from your numbers or only appear as modelled values. Budgeting with such data is covered in Google Ads budget for small businesses, measuring enquiries in conversion tracking with GA4 and Meta specifics in Meta Ads for local businesses.
The weak point is usually practice: pixel, Google tag, chat widget and embedded videos are often installed by different people, and a script in the theme then fires despite the banner. In the complete setup we install Google Analytics 4 and Meta Pixel, and connecting them to your consent solution is part of that for us.
Six steps to a clean solution
- Take inventory. List every service that sets cookies or loads pixels: analytics, ad tags, maps, videos, chat, fonts. The network view of your browser's developer tools shows them, ideally in a private window.
- Separate purposes. Assign each service a purpose: necessary, statistics or marketing. Only "necessary" may run without consent.
- Choose a consent tool. You need a tool that sets defaults, stores decisions and passes updates to Google and Meta, including the four Google signals.
- Connect the tags. Marketing scripts load only after consent for their purpose: Meta Pixel with grant/revoke, Google tags with the four signals.
- Design the banner. Equal reject option, no preselection, withdrawal in the footer, purposes and storage period stated.
- Test and document. In a private window, check that no marketing requests go out before the decision or after "Reject", and only after "Accept". Note date and result.
The free self-test for SME websites is a first orientation on where your site stands. For a new or reworked website, see our web design in Vienna. Keeping load time under control despite a banner is covered in improving your website's load time.
Where this is not enough
A clean banner is only one part of compliance. It does not replace a privacy policy, a check on transfers to third countries, or data processing agreements. Whether a specific tool may run without consent is decided case by case.
The technology has limits too. Consent mode and modelling are estimates by Google, not measurement. If many visitors reject, you will see less in Analytics. That is the consequence of valid consent. Compare campaign figures with the enquiries in your inbox or CRM rather than with platform values alone.
Newsletter tracking and promotional emails come with additional rules, which we cover in compliant newsletters for small businesses. If you are unsure in your industry, especially in healthcare professions, ask your professional body or a data protection lawyer. In the free initial call we are happy to discuss how tracking and consent can be set up cleanly on your site. The legal assessment stays with your adviser.
Frequently asked questions
Do I absolutely need a cookie banner on my website?
Only if you use cookies or similar technology that is not strictly necessary. With only necessary cookies, the Austrian Data Protection Authority says no consent is needed. An inventory of your services shows where you stand.
May I use Google Analytics without consent?
The Data Protection Authority requires consent for all technically unnecessary cookies. An analytics tool is generally not strictly necessary for the site to work. Whether an exception applies to a specific tool is a legal question.
Is a note such as "By using this site you agree" enough?
No. The EDPB states that scrolling or continued use is not a clear affirmative action. Consent must be active, given before cookies are set, and refusing must be just as possible.
Do I have to use consent mode v2?
If you use Google Ads or Google Analytics in the EEA for personalisation, measurement and remarketing, Google requires the consent signals according to its help page. Your consent tool should therefore support the four parameters. The requirement comes from Google, not from a statute.
How do I put Meta Pixel behind consent?
Call fbq('consent', 'revoke') before initialisation and fbq('consent', 'grant') after the visitor agrees. Then test in a private window that nothing reaches Meta before consent.
Who enforces violations and penalises them?
According to the Data Protection Authority, enforcement of section 165(3) TKG 2021 lies with the telecommunications authorities at national level. The Data Protection Authority can be competent if personal data is processed through the use of cookies. We make no statement on possible penalties.
Note: This article gives general orientation based on publicly available primary sources (status 3 October 2026) and is not legal advice. Laws, guidelines and platform rules change. Have your specific solution reviewed legally.
Sources
- Section 165 TKG 2021, Telecommunications Act 2021, consolidated federal law, Legal Information System of the Federal Republic (RIS), version of 4 October 2026
- Datenschutz & Cookies (FAQ), Austrian Data Protection Authority, retrieved 3 October 2026
- Guidelines 05/2020 on consent under Regulation 2016/679, version 1.1, European Data Protection Board (EDPB), 4 May 2020
- Report of the work undertaken by the Cookie Banner Taskforce, EDPB, adopted 17 January 2023
- Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, version 2.0, EDPB, 7 October 2024
- Updates to consent mode for traffic in European Economic Area (EEA), Google Ads Help, Google, retrieved 3 October 2026
- About consent mode, Google Ads Help, Google, retrieved 3 October 2026
- GDPR and the Meta Pixel (consent revoke/grant), Meta for Developers, retrieved 3 October 2026
Möchten Sie das für Ihr Unternehmen umsetzen?Want this for your business?
In einem kostenlosen 30-Minuten-Gespräch zeigen wir Ihnen, wo bei Ihnen der größte Hebel liegt. Passende Leistung: Webdesign Wien.In a free 30-minute call we show you where your biggest lever is. Related service: Webdesign Wien.
Termin buchenBook a call Demo anfragenRequest a demo
