DSGVO-Checkliste:
Was auf einer österreichischen Website stehen muss.

Drei Gesetze, nicht eines

Wer „DSGVO-konforme Website“ sagt, meint in Österreich meist drei verschiedene Regelwerke, die gleichzeitig gelten und unterschiedliche Dinge verlangen:

• DSGVO — regelt, ob und auf welcher Grundlage du personenbezogene Daten verarbeiten darfst und worüber du informieren musst.
• § 5 ECG (E-Commerce-Gesetz) — regelt, welche Angaben über dein Unternehmen auf der Website stehen müssen. Das ist das, was alle „Impressum“ nennen.
• § 25 MedienG (Mediengesetz) — verlangt zusätzlich eine Offenlegung. In der Praxis steht sie auf derselben Impressumsseite.
• § 165 Abs. 3 TKG 2021 — regelt Cookies und den Zugriff auf das Endgerät der Besucher. Er gilt zusätzlich zur DSGVO, nicht statt ihr.

Ein Banner, der die DSGVO erfüllt, aber gegen § 165 TKG verstößt, ist trotzdem rechtswidrig — und umgekehrt. Beide Prüfungen sind nötig.

1. Impressum nach § 5 ECG

§ 5 ECG gilt für praktisch jede unternehmerisch betriebene Website, auch für eine reine Visitenkartenseite ohne Shop. Die Angaben müssen ständig leicht und unmittelbar zugänglich sein — also über einen Link, der von jeder Unterseite aus erreichbar ist, üblicherweise im Fußbereich.

Was hineingehört:

• Name bzw. Firma des Unternehmens
• geografische Anschrift — eine Adresse, an die behördlich und gerichtlich zugestellt werden kann. Ein Postfach genügt nicht.
• Kontaktdaten für raschen und unmittelbaren Kontakt, jedenfalls eine E-Mail-Adresse
• Firmenbuchnummer und Firmenbuchgericht, sofern eingetragen
• UID-Nummer, sofern vorhanden
• Kammerzugehörigkeit (in der Regel Wirtschaftskammer), Berufsbezeichnung und Mitgliedstaat der Verleihung
• anwendbare gewerbe- oder berufsrechtliche Vorschriften und ein Hinweis, wo man sie abrufen kann
• zuständige Aufsichtsbehörde bei bewilligungspflichtigen Tätigkeiten

Verstöße gegen die Informationspflichten des ECG sind eine Verwaltungsübertretung und mit Geldstrafe bis zu 3.000 € bedroht. Dazu kommt das praktisch relevantere Risiko: Mitbewerber können wettbewerbsrechtlich vorgehen.

2. Offenlegung nach § 25 MedienG

Das Mediengesetz unterscheidet nach Inhalt, nicht nach Größe. Eine „kleine Website“ ist eine, die über die Darstellung des eigenen Unternehmens nicht hinausgeht und keine Inhalte enthält, die die öffentliche Meinungsbildung beeinflussen können. Für sie genügen drei Angaben:

• Name oder Firma des Medieninhabers
• Wohnort oder Sitz
• Unternehmensgegenstand

Sobald du einen Blog, einen Ratgeberbereich oder Beiträge zu Themen außerhalb deines eigenen Angebots betreibst, wird daraus eine „große Website“. Dann kommen Angaben zu Eigentums- und Beteiligungsverhältnissen, zur Geschäftsführung und die grundlegende Richtung (Blattlinie) dazu. Diese Seite hier ist ein gutes Beispiel: Ein Ratgeberbereich hebt den Anspruch.

3. Datenschutzerklärung, die zur Website passt

Die Informationspflicht aus Art. 13 DSGVO greift, sobald du personenbezogene Daten verarbeitest — und das tust du praktisch immer, spätestens durch die IP-Adressen in den Server-Logdateien deines Hosters. Eine Datenschutzerklärung ist deshalb auch dann nötig, wenn du weder Tracking noch Cookies einsetzt.

Der häufigste Fehler ist nicht das Fehlen, sondern die Kopie: eine Generatorerklärung, in der Google Analytics, Facebook-Pixel und ein Newsletter-Dienst beschrieben werden, die auf der Seite gar nicht vorkommen. Eine Datenschutzerklärung, die etwas Falsches beschreibt, ist keine Erfüllung der Informationspflicht — sie ist eine falsche Information.

Prüfe konkret: Steht drin, wer Verantwortlicher ist? Welche Daten aus dem Kontaktformular verarbeitet werden und wie lange sie aufbewahrt werden? Wer der Hoster ist? Welche Rechte Betroffene haben und dass eine Beschwerde bei der österreichischen Datenschutzbehörde möglich ist?

4. Für jede Verarbeitung eine Rechtsgrundlage

Art. 6 Abs. 1 DSGVO listet die zulässigen Grundlagen. Für eine normale Firmenwebsite sind drei davon relevant:

• Einwilligung (lit. a) — für Newsletter, Tracking, eingebettete Drittinhalte. Muss aktiv, informiert und widerrufbar sein. Vorangekreuzte Kästchen sind keine Einwilligung.
• Vertrag oder vorvertragliche Maßnahme (lit. b) — für Anfragen über das Kontaktformular, Angebotslegung, Terminvereinbarung.
• Berechtigtes Interesse (lit. f) — für den technisch notwendigen Betrieb, etwa Server-Logs zur Abwehr von Angriffen. Nicht für Marketing-Tracking.

5. Schriften, Karten und Videos

Das ist in Österreich der Punkt mit der größten Praxisrelevanz. 2022 gab es eine Abmahnwelle wegen Google Fonts, die per CDN eingebunden waren: Beim Seitenaufruf wird dabei die IP-Adresse der Besucher an einen US-Server übertragen, ohne dass jemand eingewilligt hat. Zahlreiche österreichische Unternehmen bekamen anwaltliche Schreiben mit Schadenersatzforderungen.

Das Landesgericht für Zivilrechtssachen Wien hat in einem Musterverfahren entschieden, dass systematische Abmahnungen zur Gewinnerzielung rechtsmissbräuchlich sind — die Klage der Abmahnenden wurde abgewiesen. Das entschärft das Abmahnrisiko. Es ändert aber nichts daran, dass die Einbindung selbst datenschutzrechtlich fragwürdig bleibt.

Die saubere Lösung ist auch die einfachere: Schriften auf den eigenen Server legen, Karten über OpenStreetMap statt Google Maps einbinden, YouTube-Videos erst nach einem Klick laden oder gleich verlinken statt einbetten. Das kostet ein paar Minuten beim Bauen und erspart dauerhaft die Diskussion. Bei Pixlane ist das Standard bei jeder Seite, keine Zusatzoption.

6. Cookies und Tracking

Nach § 165 Abs. 3 TKG 2021 ist der Zugriff auf das Endgerät der Nutzer grundsätzlich nur nach vorheriger, informierter Einwilligung zulässig. Ausgenommen sind Cookies, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind — etwa ein Warenkorb oder die Speicherung der Cookie-Entscheidung selbst.

Praktisch heißt das: Solange nichts geladen wird, was nicht unbedingt erforderlich ist, brauchst du keinen Einwilligungs-Banner. Sobald Analytics, Pixel oder eingebettete Drittinhalte dazukommen, brauchst du einen — und er muss echte Wahlfreiheit bieten, also Ablehnen genauso leicht machen wie Zustimmen. Wie eine Website ganz ohne Cookies funktioniert, steht im Ratgeber „Website ohne Cookies“.

7. Auftragsverarbeitung und Verzeichnis

Dein Hoster verarbeitet Daten in deinem Auftrag. Dafür braucht es nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Seriöse österreichische und europäische Hoster stellen ihn im Kundenbereich zum Abschluss bereit — abhaken, herunterladen, ablegen.

Dazu kommt das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Für einen Kleinbetrieb ist das kein Aktenordner, sondern eine Tabelle mit wenigen Zeilen: Kontaktformular, Newsletter, Kundendaten, Bewerbungen. Zweck, Datenkategorien, Empfänger, Löschfrist. Es muss nicht veröffentlicht werden, aber auf Verlangen der Behörde vorliegen.

8. Technisch: HTTPS und Formulare

Art. 32 DSGVO verlangt angemessene technische Maßnahmen. Für eine Website bedeutet das mindestens eine durchgängige HTTPS-Verschlüsselung — kostenlose Zertifikate sind bei jedem ernstzunehmenden Hoster enthalten. Ein Kontaktformular ohne HTTPS ist heute kein Grenzfall mehr, sondern ein Mangel.

Beim Formular selbst gilt Datensparsamkeit: Frag nur ab, was du für die Antwort brauchst. Ein Pflichtfeld „Geburtsdatum“ auf einem Anfrageformular ist schwer zu begründen.