Fachliche Einordnung, Stand Ende Mai 2026. Keine Rechtsberatung.
Warum die deutsche Panik in Österreich nicht greift
In Deutschland können Mitbewerber und Abmahnvereine Datenschutzverstöße über das Wettbewerbsrecht verfolgen und kostenpflichtig abmahnen. Daraus ist ein kleines Gewerbe geworden. Österreich kennt diesen Mechanismus für DSGVO-Verstöße nicht. Hier liegt die Durchsetzung bei einer einzigen Stelle, der Datenschutzbehörde. Kein Anwalt schickt Ihnen wegen eines schiefen Cookie-Banners eine Rechnung über 595 Euro.
Das klingt entspannt, und ein Stück weit ist es das auch. Die Strafquote der Behörde war zuletzt überschaubar: 2023 endeten von gut 4.000 Verfahren nur 55 mit einer Geldstrafe, das ist eine Quote von 1,4 Prozent. Wer auf die nackte Wahrscheinlichkeit schaut, könnte sich zurücklehnen. Sollte er aber nicht.
Drei Dinge, die das Bild gekippt haben
Seit 2024 hat sich die Lage in Österreich spürbar verschärft, und zwar an drei Stellen gleichzeitig. Wer den alten Stand im Kopf hat, unterschätzt das Risiko.
- Das Strafvolumen ist gesprungen. 2024 verhängte die Behörde bei ähnlich vielen Strafen knapp 1,7 Millionen Euro, gegenüber gut einer Viertelmillion im Jahr davor. Die Zahl der Strafen blieb fast gleich, die Höhe nicht. Wer drankommt, zahlt mehr.
- Der Europäische Gerichtshof hat der Behörde einen Riegel weggenommen. Die Datenschutzbehörde hatte Beschwerden pro Person auf zwei im Monat gedeckelt. Im Januar 2025 kassierte der EuGH diese Praxis. Max Schrems, Gründer der Organisation noyb, kommentierte das trocken.
- noyb darf jetzt sammeln. Seit Dezember 2024 ist die Wiener Organisation als sogenannte qualifizierte Einrichtung zugelassen und kann erstmals EU-weite Verbandsklagen führen, auch vor österreichischen Zivilgerichten, ganz ohne die behördliche Sechs-Monats-Frist.
“Grundrechte hat man immer, nicht nur zwei Mal pro Monat.”
Max Schrems, noyb, Januar 2025
Drei Jahre auf einen Bescheid, und warum das kein Trost ist
Es gibt einen Grund, warum sich viele Betreiber in Sicherheit wiegen: Verfahren bei der Datenschutzbehörde dauern lang. Sehr lang. Die gesetzliche Frist von sechs Monaten ist in der Praxis selten mehr als ein frommer Wunsch, drei Jahre sind keine Seltenheit, selbst bei einem schlichten Cookie-Banner. Schrems sagt offen, er habe noch kein Verfahren gesehen, das die Frist eingehalten habe.
Daraus den Schluss zu ziehen, man habe ja ohnehin jahrelang Ruhe, ist allerdings ein Denkfehler. Der Verstoß läuft in dieser Zeit weiter, und mit ihm das Risiko. Kommt der Bescheid, deckt er den ganzen Zeitraum ab. Und über die neue Verbandsklage lässt sich die behördliche Schnecke ganz umgehen, weil Zivilgerichte nicht an deren Fristen gebunden sind. Die Ruhe ist also geliehen, nicht geschenkt.
Was ein Banner in Österreich können muss
Die gute Nachricht: Was die Behörde und die Gerichte verlangen, ist weder neu noch kompliziert. Das Bundesverwaltungsgericht hat in mehreren Entscheidungen klargestellt, woran die meisten Banner scheitern. Ablehnen muss genauso leicht sein wie Zustimmen, und zwar schon auf der ersten Ebene, nicht erst nach zwei Klicks in einem Untermenü. Ein grün leuchtender “Akzeptieren”-Knopf neben einem blassgrauen “Ablehnen”-Link ist genau die Art von Gestaltung, die als unzulässig gilt.
Der Hintergrund ist eine simple Zahl: Nur rund zwei Prozent der Nutzer öffnen überhaupt die zweite Ebene eines Banners. Wer das Ablehnen dorthin versteckt, weiß genau, was er tut. Genau deshalb schauen Behörde und Gerichte inzwischen darauf. Technisch notwendige Cookies, etwa für den Warenkorb, brauchen übrigens keine Einwilligung. Die Zustimmungspflicht gilt dem Tracking, nicht der Technik.
Es ist dieselbe Behördenlogik wie beim EU AI Act und beim European Accessibility Act: eine Pflicht mit Datum, durchgesetzt von einer einzigen Stelle, ohne deutsches Abmahnwesen, aber mit Zähnen.
Ob Ihr Banner standhält, sieht man in fünf Minuten
Die meisten Banner, die zum Problem werden, scheitern am selben Punkt: Ablehnen ist schwerer gemacht als Zustimmen. Das lässt sich prüfen und sauber lösen, ohne juristisches Drama. Ich sehe mir Ihr Banner an und sage Ihnen, ob es auf der sicheren Seite steht. Reden wir.
Häufige Fragen
Kann ich in Österreich für einen falschen Cookie-Banner abgemahnt werden?
Nicht im deutschen Sinn. Österreich kennt kein privates Abmahnwesen für Datenschutzverstöße, die Durchsetzung liegt bei der Datenschutzbehörde. Ein kostenpflichtiges Anwaltsschreiben eines Mitbewerbers wegen Ihres Banners ist hier untypisch. Das heißt aber nicht, dass kein Risiko besteht.
Wie hoch ist das Risiko einer Strafe wirklich?
Statistisch gering, aber steigend. 2023 endete nur gut ein Prozent der Verfahren mit einer Strafe. 2024 blieb die Zahl der Strafen ähnlich, das Gesamtvolumen stieg jedoch auf knapp 1,7 Millionen Euro. Wer drankommt, zahlt also deutlich mehr als früher.
Was muss ein Cookie-Banner in Österreich können?
Vor allem eines: Ablehnen muss genauso einfach sein wie Zustimmen, schon auf der ersten Ebene. Ein optisch hervorgehobener Zustimmen-Knopf neben einem versteckten Ablehnen-Link gilt als unzulässige Gestaltung. Technisch notwendige Cookies brauchen keine Einwilligung, Tracking schon.
Stimmt es, dass DSB-Verfahren jahrelang dauern?
Ja, drei Jahre sind keine Seltenheit, obwohl das Gesetz sechs Monate vorsieht. Daraus folgt aber keine Entwarnung. Der Verstoß läuft in dieser Zeit weiter, und über die neue Verbandsklage lässt sich die behördliche Verzögerung umgehen, weil Zivilgerichte nicht an diese Fristen gebunden sind.
Was hat sich durch noyb geändert?
Die Wiener Organisation ist seit Dezember 2024 als qualifizierte Einrichtung zugelassen und kann EU-weite Verbandsklagen führen. Das ist ein neuer Weg neben der Behörde, der vor allem für reichweitenstarke Anbieter relevant wird. Für kleine Unternehmen bleibt das Risiko vorerst überschaubar, aber beobachtenswert.
Reicht ein Standard-Banner aus dem Baukasten?
Oft nicht. Viele vorgefertigte Banner setzen genau auf die Gestaltung, die inzwischen beanstandet wird, das hervorgehobene Zustimmen und das versteckte Ablehnen. Entscheidend ist nicht die Herkunft des Banners, sondern ob beide Optionen gleichwertig und auf der ersten Ebene erscheinen.
Dieser Beitrag ordnet die Rechtslage fachlich ein und ersetzt keine Rechtsberatung im Einzelfall.