DSGVO-Checkliste für deine Website in Österreich: 8 Punkte zum Prüfen

Kurz gesagt: Für eine DSGVO-konforme Website in Österreich prüfst du acht Punkte: Cookie-Einwilligung, Google Fonts, Analytics, Einbettungen, Formulare, Hosting und Auftragsverarbeiter, Datenschutzerklärung und Impressum. Die wichtigste Regel: Alles, was nicht notwendige Cookies setzt oder Besucherdaten an Dritte schickt, braucht vorher eine Einwilligung, und die Ablehnung muss genauso einfach sein wie die Zustimmung. Das ist eine allgemeine Information, keine Rechtsberatung.

Die meisten DSGVO-Probleme auf KMU-Websites sind nicht exotisch. Sie entstehen durch ein paar Drittdienste, die ohne viel Nachdenken eingebaut wurden: eine Schrift von Google, eine Karte, ein Video, ein Analytics-Skript. Diese Checkliste geht sie durch. Wo wir eine Regel oder ein Urteil nennen, geben wir die Quelle an. Klär deinen eigenen Fall mit einer Rechtsberatung.

Cookie-Einwilligung, die wirklich blockiert

In Österreich verlangt § 165 Abs 3 Telekommunikationsgesetz 2021 eine Einwilligung für Cookies, mit Ausnahme technisch notwendiger. Die Datenschutzbehörde (DSB) schreibt auf ihrer Website, dass ein gültiges Banner die Einwilligung einholt, bevor nicht notwendige Cookies gesetzt werden, Zustimmen und Ablehnen gleich auffällig anbietet, abgestufte Auswahl erlaubt, den Widerruf erklärt und auf vorangekreuzte Felder und manipulatives Design verzichtet.

• Keine Einwilligung nötig: technisch notwendige Cookies, etwa Warenkorb, Login-Status, Spracheinstellung oder das Speichern der Einwilligung selbst.
• Einwilligung nötig: Analytics und Tracking, Remarketing, Social-Media-Plugins, Video- und Karteneinbettungen, laut WKO.
• Teste es: Öffne deine Seite in einem privaten Fenster, klick nichts an und prüf in den Entwicklertools des Browsers, ob trotzdem Tracker laden.

Google Fonts lokal einbinden

Lädt eine Seite Schriften direkt von Google-Servern, wird die IP-Adresse des Besuchers an Google übermittelt. Das Landgericht München I (Urteil vom 20. Jänner 2022, Az. 3 O 17493/20) entschied, dass das dynamische Einbinden von Google Fonts ohne Einwilligung gegen die DSGVO verstößt, und sprach dem Kläger 100 € Schadenersatz zu. Begründung: Die Schriften lassen sich lokal hosten, ein berechtigtes Interesse an der Übermittlung bestand daher nicht.

Das ist ein deutsches Urteil erster Instanz und bindet österreichische Gerichte nicht, zeigt aber das Risiko, und die Lösung ist billig: Liefere die Schriftdateien von deiner eigenen Domain aus. Auf unseren Next.js-Seiten sind Schriften standardmäßig selbst gehostet.

Analytics und Tracking-Tools

Im Jänner 2022 stellte die österreichische DSB in einem Verfahren der Organisation noyb fest, dass der Einsatz von Google Analytics gegen die DSGVO verstößt, weil personenbezogene Daten damals ohne angemessenen Schutz in die USA übermittelt wurden. Seither gibt es das EU-US Data Privacy Framework, und das Gericht der EU wies am 3. September 2025 eine Klage dagegen ab, ein Rechtsmittel liegt beim Europäischen Gerichtshof. Die Rechtslage kann sich wieder ändern. Bei jedem Tool brauchst du eine Einwilligung, außer es arbeitet ohne personenbezogene Daten und ohne etwas auf dem Gerät zu speichern, und du musst es in der Datenschutzerklärung nennen.

Karten, Videos und Social-Plugins

Eingebettete Karten, YouTube-Videos und Social-Media-Buttons nehmen Kontakt mit Dritten auf, sobald die Seite lädt. Die WKO zählt sie zu den Diensten, die eine Einwilligung brauchen. Die übliche Lösung ist eine Zwei-Klick-Lösung: Du zeigst einen Platzhalter und lädst den Inhalt erst nach Zustimmung. Alternativen sind ein statisches Kartenbild mit Link oder Videos auf dem eigenen Server.

Kontakt- und Anfrageformulare

• Erhebe nur, was du zur Beantwortung der Anfrage brauchst.
• Verlinke die Datenschutzerklärung beim Formular und nenne den Verwendungszweck.
• Kreuze keine Box vor; Marketing-Einwilligung muss getrennt und freiwillig sein.
• Prüf, wohin die Formulardaten gehen und welcher Anbieter sie verarbeitet.
• Vorsicht bei Captchas: Laut WKO hat das Bundesverwaltungsgericht entschieden, dass Cookies von Google reCAPTCHA nicht technisch notwendig sind.

EU-Hosting und Auftragsverarbeiter

Hosting in der EU ist von der DSGVO an sich nicht vorgeschrieben, erspart dir aber eine ganze Klasse von Übermittlungsfragen. Egal was du nutzt: Jeder Anbieter, der für dich personenbezogene Daten verarbeitet (Hosting, Formulare, E-Mail, Analytics), braucht einen Auftragsverarbeitungsvertrag, und du solltest wissen, wohin die Daten gehen. Alle unsere Seiten laufen in der EU. Mehr zu unserer Leistung Webdesign.

Eine Datenschutzerklärung, die zur Realität passt

Betreiber kommerzieller Websites müssen Nutzer informieren, welche personenbezogenen Daten sie erheben, auf welcher Rechtsgrundlage und zu welchen Zwecken, und wie lange sie sie speichern (§ 165 TKG 2021, laut WKO). Die WKO rät außerdem zu einem eigenen, gut sichtbaren Datenschutzbereich statt einer Unterbringung im Impressum. Typische Teile: Verantwortlicher, Zwecke und Rechtsgrundlagen, Empfänger und Auftragsverarbeiter, Speicherdauer, Betroffenenrechte und das Beschwerderecht bei der Datenschutzbehörde. Der häufigste Fehler ist ein Standardtext, der Tools nennt, die die Seite gar nicht mehr nutzt, oder solche auslässt, die sie nutzt.

Impressum und Barrierefreiheit

Nicht DSGVO, aber Teil derselben rechtlichen Basics: ein vollständiges Impressum, siehe Impressum und Offenlegung, und für viele Betriebe Pflichten zur Barrierefreiheit, siehe Barrierefreiheitsgesetz und deine Website und unsere Seite zur barrierefreien Website.

Geschrieben vonPatryk WisniewskiLead Developer

Lern das Team kennen →