DSGVO Website Österreich 2026: Was KMUs wirklich wissen müssen

Was die DSGVO für Websites bedeutet

Die DSGVO (Datenschutz-Grundverordnung) regelt, wie personenbezogene Daten von EU-Bürgern erhoben, gespeichert und verarbeitet werden dürfen. Für Websites bedeutet das: Jedes Mal, wenn du Daten eines Besuchers erfasst — über ein Kontaktformular, via Google Analytics oder durch das Setzen von Cookies — greift die DSGVO.

Die wichtigsten Grundprinzipien, die du kennen musst:

• Zweckbindung: Du darfst Daten nur für den Zweck verwenden, für den sie erhoben wurden
• Datensparsamkeit: Erhebe nur die Daten, die du wirklich brauchst
• Transparenz: Betroffene müssen wissen, was mit ihren Daten passiert
• Einwilligung: Für nicht-notwendige Datenverarbeitung brauchst du eine aktive Zustimmung
• Sicherheit: Daten müssen technisch sicher geschützt sein (HTTPS, sichere Server)

Impressumspflicht in Österreich: Was du angeben musst

Das Impressum ist in Österreich durch das E-Commerce-Gesetz (ECG) und das Mediengesetz vorgeschrieben. Es muss von jeder Seite aus leicht erreichbar sein — zwei Klicks sind das gesetzliche Maximum.

Was ins Impressum muss (für gewerbliche Websites):

• Name und Anschrift des Unternehmens oder der Person
• Kontaktdaten: E-Mail-Adresse und Telefonnummer
• UID-Nummer (Umsatzsteuer-Identifikationsnummer), falls vorhanden
• Unternehmensregisternummer und zuständiges Gericht, falls eingetragen
• Zuständige Aufsichtsbehörde, falls reguliertes Gewerbe (z. B. Handwerk, Gesundheit)
• Kammerzugehörigkeit (WKO-Mitglieder: Angabe der zuständigen Kammer)
• Angabe der Berufsbezeichnung und des Staates, in dem sie verliehen wurde

Datenschutzerklärung: Was drin stehen muss

Die Datenschutzerklärung erklärt Besuchern, welche Daten du erhebst, warum, wie lange du sie speicherst und an wen du sie weitergibst. Jede Form der Datenverarbeitung muss darin genannt sein.

Eine generische Vorlage aus dem Internet reicht meist nicht aus — sie muss auf deine konkrete Website zugeschnitten sein. Was auf meiner Website passiert, ist anders als was auf deiner passiert.

Cookie-Banner: Was erlaubt ist — und was nicht

Das ist der Bereich, in dem die meisten Fehler passieren. Ein Cookie-Banner muss bestimmte Anforderungen erfüllen, um DSGVO-konform zu sein:

• Vor dem Setzen nicht-notwendiger Cookies erscheinen: Der Banner muss sichtbar sein, bevor Google Analytics oder andere Tracking-Dienste aktiviert werden — nicht danach.
• Echte Ablehnmöglichkeit bieten: "Alle akzeptieren" und "Nur notwendige" müssen gleichwertig zugänglich sein. Ein versteckter Ablehn-Button, der schwer zu finden ist, ist nicht konform.
• Keine Dark Patterns: Vorausgefüllte Checkboxen für nicht-notwendige Cookies, irreführende Formulierungen oder Designs, die Ablehnung erschweren — das ist nicht erlaubt.
• Widerruf muss jederzeit möglich sein: Der Nutzer muss seine Einwilligung jederzeit widerrufen können — daher der Cookie-Einstellungen-Button im Footer.

Was sind "notwendige" Cookies? Das sind Cookies, die für den Betrieb der Website unbedingt erforderlich sind — zum Beispiel Session-Cookies für einen Warenkorb oder Sicherheits-Cookies. Google Analytics, Facebook Pixel und ähnliche sind nicht notwendig und brauchen Einwilligung.

Drittdienste: Google, Facebook & Co. richtig einbinden

Jeder Drittdienst auf deiner Website, der Daten über Besucher erfasst, ist ein potenzielles DSGVO-Problem. Die häufigsten:

• Google Analytics / Google Tag Manager: Darf erst nach Einwilligung geladen werden. IP-Anonymisierung muss aktiviert sein. Datenverarbeitungsvertrag mit Google muss abgeschlossen sein.
• Google Maps: Einbettung via iFrame überträgt bereits beim Laden Daten an Google. Lösung: Zwei-Klick-Lösung oder statisches Vorschaubild mit Hinweis.
• Google Fonts: Das direkte Laden von Google-Servern überträgt die IP-Adresse des Besuchers. Lösung: Fonts lokal hosten (bei Schachner Media ist das Standard).
• YouTube-Videos: Einbettung überträgt Daten an YouTube auch ohne Abspielen. Lösung: Erweiterten Datenschutzmodus nutzen oder Zwei-Klick-Lösung.
• Facebook Pixel / Meta Pixel: Darf erst nach ausdrücklicher Einwilligung geladen werden — und nur, wenn der Nutzer dem zugestimmt hat.

Kontaktformulare und Newsletter DSGVO-konform gestalten

Kontaktformulare erheben personenbezogene Daten — Name, E-Mail, manchmal Telefon und Nachricht. Das ist vollkommen in Ordnung, wenn folgende Punkte eingehalten werden:

• Hinweis auf die Datenschutzerklärung direkt beim Formular
• Nur die nötigsten Felder: Nicht mehr erfragen als für die Kontaktaufnahme nötig
• Sichere Übertragung via HTTPS
• Klarer Hinweis, wer die Daten empfängt (du oder dein E-Mail-Anbieter)

Für Newsletter gilt zusätzlich das Double-Opt-in-Verfahren: Der Nutzer muss erst das Formular ausfüllen und dann seine Anmeldung via E-Mail bestätigen. Eine automatische Anmeldung durch das Ausfüllen eines Kontaktformulars ist nicht erlaubt.

Häufige DSGVO-Fehler auf KMU-Websites in Österreich

Diese Fehler sehe ich bei der Überprüfung von KMU-Websites in Vorarlberg und Österreich am häufigsten:

1. Google Fonts von Google-Servern laden: Jeder Seitenaufruf überträgt die IP-Adresse des Besuchers an Google — ohne Einwilligung. Lösung: Fonts lokal hosten.
2. Cookie-Banner ohne echte Ablehnoption: Nur ein "Alles akzeptieren"-Button, kein gleichwertiges "Ablehnen". Das ist seit Jahren bekannt rechtswidrig.
3. Veraltete oder generische Datenschutzerklärungen: Eine Vorlage aus 2018, die nie aktualisiert wurde und Dienste nicht erwähnt, die gar nicht mehr verwendet werden.
4. Google Maps direkt eingebettet: Ohne Zwei-Klick-Lösung oder Einwilligung nicht erlaubt.
5. Fehlendes oder unvollständiges Impressum: Fehlende UID-Nummer, keine Telefonnummer, falsche Angabe der Aufsichtsbehörde.

Viele dieser Fehler entstehen nicht aus böser Absicht, sondern weil die Websites Jahre alt sind und nie datenschutzrechtlich überprüft wurden. Ein Website-Relaunch oder ein professioneller DSGVO-Check ist oft die effizienteste Lösung. Schau auch, welche häufigen Fehler auf Firmenwebsites es darüber hinaus gibt.

Häufige Fragen zur DSGVO-konformen Website in Österreich