DSGVO Website Check Österreich: Was Scanner nicht sehen – und wie Abmahn-Bots wirklich arbeiten

ℹ️ Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Gesetze und Anforderungen können sich ändern – prüfe aktuelle Regelungen bei der WKO oder einem Rechtsexperten. Alle genannten Tools und Preise entsprechen dem Stand Mai 2026.

Du hast ein Impressum, eine Datenschutzerklärung und einen Cookie-Banner. Der kostenlose Online-Scanner zeigt „0 Tracker – geringes Risiko“. Alles gut, oder? Nicht unbedingt. Denn was ein automatisierter DSGVO Website Check in 30 Sekunden prüft, ist nur ein kleiner Bruchteil dessen, was im Ernstfall über eine Abmahnung entscheidet.

Dieser Artikel ist der technische Deep Dive – als Ergänzung zu den Grundlagen über Impressum und DSGVO-Pflichten, die ich in den verlinkten Artikeln bereits ausführlich erklärt habe. Hier geht es um etwas anderes: Wie funktionieren Scanner wie Cookiebot oder Dr. DSGVO eigentlich unter der Haube? Wie arbeiten echte Abmahn-Bots – und was sehen die, was kein Gratis-Tool je findet? Welche österreichischen Sonderregeln beim Cookie-Banner kennen selbst viele Webdesigner nicht? Und was passiert, wenn du als Webdesigner einen Fehler auf der Kundenseite einbaust?

Das hier ist dein Nachschlagewerk für den technischen Teil – ausführlich, mit echten Beispielen und einer Checkliste am Ende, die speziell die Dinge abdeckt, die kein automatischer Scanner je prüfen wird.

Cookiebot, Dr. DSGVO und Abmahn-Bots: Drei Crawler, drei völlig verschiedene Ziele

Wer seine Website auf DSGVO-Konformität prüfen will, stößt schnell auf kostenlose Online-Scanner. Das Problem: Die meisten Nutzer verstehen nicht, was diese Tools eigentlich messen – und was sie bewusst ignorieren. Um das zu verstehen, hilft ein Blick hinter die Kulissen.

Alle drei Systeme – Compliance-Scanner wie Cookiebot, Aufklärungs-Tools wie Dr. DSGVO und echte Abmahn-Bots – funktionieren technisch ähnlich: Sie besuchen deine Website wie ein normaler Nutzer, lesen den Quellcode aus und dokumentieren was sie finden. Der Unterschied liegt im Ziel dahinter.

Cookiebot: Der Verkaufs-Scanner

Cookiebot bietet auf seiner Startseite einen kostenlosen Compliance-Test an. Du gibst deine Domain und E-Mail-Adresse ein, ein automatisierter Crawler besucht deine Startseite sowie bis zu 50 Unterseiten und schickt dir kurz darauf ein PDF-Protokoll. Das klingt nach einem neutralen Check – ist aber in erster Linie ein Lead-Generation-Tool. Das Ziel: Dir zeigen, dass deine Seite Probleme hat, und dich danach mit E-Mails zum Kauf des eigenen Consent-Management-Tools zu bewegen.

Was Cookiebot konkret prüft: Der Crawler simuliert einen normalen Browser-Aufruf ohne vorherige Cookie-Zustimmung. Er sucht nach Cookies, Tracking-Skripten und Pixeln (z. B. Google Analytics, Meta-Pixel), die bereits beim ersten Laden der Seite aktiv werden – also bevor ein Nutzer auf „Zustimmen“ geklickt hat. Findet er solche Skripte, gilt die Seite als nicht konform. Findet er nichts, meldet er „0 Tracker“.

Nutzung mit derselben E-Mail: Du kannst dieselbe Adresse für mehrere verschiedene Domains verwenden und jeweils einen Erstbericht anfordern. Das wiederholte Scannen derselben Domain kurz hintereinander wird jedoch temporär blockiert. Für dauerhafte Scans brauchst du ein kostenloses Cookiebot-Konto – das erlaubt in der Gratis-Version einen automatischen Monatsscan für genau eine Domain mit bis zu 50 Unterseiten.

Was Cookiebot nicht prüft: Texte. Der Scanner liest dein Impressum und deine Datenschutzerklärung nicht. Er merkt nicht, ob Pflichtangaben fehlen, ob die Datenschutzerklärung veraltet ist oder ob dein Formular Daten an Drittanbieter sendet. Das ist der entscheidende blinde Fleck.

Dr. DSGVO: Der Aufklärungs-Scanner

Das Tool dr-dsgvo.de arbeitet technisch deutlich misstrauischer als Cookiebot – und das ist Absicht. Es simuliert keinen normalen Browser, sondern einen extrem datenschutzbewussten Nutzer, der genau hinschaut, welche Daten beim ersten Seitenaufruf abfließen, noch bevor irgendjemand irgendetwas geklickt hat.

Was Dr. DSGVO konkret prüft: Er erfasst alle externen Ladevorgänge – also alle Verbindungen zu Servern außerhalb deiner eigenen Domain. Das betrifft eingebettete YouTube-Videos, Google Maps, CDN-Dienste und selbst Fonts, die direkt von Google-Servern geladen werden. Zusätzlich analysiert er den Browser-Fingerprint: Versuchen Skripte auf deiner Seite, unbemerkt Daten über den Browser des Nutzers zu sammeln – Bildschirmauflösung, Sprache, Zeitzone? Das wird als Tracking gewertet, auch wenn kein klassisches Cookie gesetzt wird.

Nutzung: Die Gratis-Version prüft bis zu 8 Unterseiten direkt auf dem Bildschirm – ohne E-Mail-Angabe, aber mit strengem Limit. Durch eine Newsletter-Anmeldung können zusätzliche Scans freigeschaltet werden. Für kostenpflichtige Vollberichte (ab ca. 29 Euro) analysiert Dr. DSGVO zusätzlich die Datenschutztexte und liefert fertige Mustertexte für gefundene Probleme – das ist der entscheidende Unterschied zu Cookiebot.

Wichtig zu verstehen: Meldet Dr. DSGVO unter „Externe Dateien: 1″, heißt das nicht automatisch ein Problem. Wenn das externe Bild auf einer deiner eigenen Subdomains liegt – z. B. auf alt.meinetraumhomepage.at – ist das rechtlich unbedenklich, weil beide Domains dir gehören. Das Problem in der Praxis: Echte Abmahn-Bots sind oft zu stumpf um Subdomains von echten Drittanbietern zu unterscheiden. Sie sehen „externe Domain“ und feuern automatisch eine Abmahnung. Deshalb: Auch solche Bilder lokal auf die Hauptdomain verschieben, bis der externe Ladevorgang auf 0 sinkt.

Der echte Abmahn-Bot: Vollautomatisch, gnadenlos, anonym

Echte Abmahn-Bots werden von spezialisierten Anwaltskanzleien oder IT-Dienstleistern betrieben und haben nichts mit den Compliance-Scannern oben zu tun. Sie bekommen keine Daten von Cookiebot oder Dr. DSGVO – sie arbeiten völlig unabhängig und durchsuchen das Internet auf eigene Faust.

So funktioniert ein Abmahn-Bot technisch: Das System graset systematisch das Internet ab – über Branchenverzeichnisse wie die Gelben Seiten, Google-Suchergebnisse für bestimmte Regionen oder Branchen, oder einfach durch massenhaftes Crawlen bekannter Domain-Endungen. Pro Stunde können Tausende Websites geprüft werden. Der Bot sucht dabei nicht nach allem – er sucht nach ganz spezifischen, leicht erkennbaren Fehlern, für die es fertige Klageschablonen gibt.

Die klassischen Bot-Ziele: Google Analytics oder Meta-Pixel, die ohne Cookie-Zustimmung feuern. Google Fonts, die direkt von Google-Servern geladen werden statt lokal. Ein fehlendes oder unvollständiges Impressum. Ein Cookie-Banner, bei dem „Ablehnen“ schwerer zu finden ist als „Zustimmen“. Externe Ressourcen, die beim Laden der Seite IP-Adressen in die USA übertragen. Das sind die Fehler, für die es standardisierte Abmahnschreiben gibt – der Bot findet den Fehler, das System setzt automatisch Name und Adresse des Betreibers ein, und der Brief geht raus.

Was du nie vergessen solltest: Ein echter Abmahn-Bot kündigt sich nicht an. Er besucht deine Seite wie ein normaler anonymer Nutzer, sichert Beweise als Screenshot und Logfile, und verschwindet wieder. Du merkst erst, dass er da war, wenn der Brief im Postkasten liegt. Die Gratis-Scanner oben kannst du dagegen völlig bedenkenlos einsetzen – Cookiebot und Dr. DSGVO verkaufen deine Daten nicht an Abmahnanwälte, das wäre für diese Firmen geschäftlicher Selbstmord.

„0 Tracker gefunden“ – warum das kein Freifahrtschein ist

Das ist der gefährlichste Moment beim DSGVO-Check: Der Scanner zeigt grün, du atmest auf – und glaubst, erledigt zu sein. In Wirklichkeit hat der Scanner gerade nur einen einzigen, sehr spezifischen Ausschnitt deiner Website geprüft. Was er dabei übersehen hat, ist oft genau das, worauf Abmahn-Bots und Datenschutzbehörden schauen.

Blinder Fleck 1: Der Banner blockiert – aber was passiert danach?

Wenn dein Cookie-Banner perfekt eingestellt ist, sieht ein Scanner beim ersten Aufruf tatsächlich 0 Tracker. Google Analytics wird blockiert, Meta-Pixel feuert nicht – alles sauber. Das ist im Idealfall korrekt und genau so soll es sein. Aber der Scanner prüft nur diesen einen Moment: den ersten Aufruf ohne Interaktion.

Was passiert, nachdem ein Nutzer auf „Zustimmen“ klickt, sieht kein kostenloser Scanner. Feuert Google Analytics dann korrekt? Werden die richtigen Cookie-Kategorien aktiviert? Läuft der Tag Manager sauber? Das kannst du nur manuell im Browser prüfen – am besten mit den Chrome DevTools unter „Network“ oder mit der Google Tag Assistant Extension. Öffne die Seite im Inkognito-Modus, stimme zu, und schau dann, welche Requests abgefeuert werden.

Blinder Fleck 2: Scanner lesen keine Texte

Cookiebot, Dr. DSGVO und alle vergleichbaren Gratis-Tools prüfen ausschließlich den technischen Code deiner Website. Sie lesen nicht, was in deinem Impressum oder deiner Datenschutzerklärung steht. Das bedeutet konkret: Deine Datenschutzerklärung kann hoffnungslos veraltet sein, wichtige Drittanbieter komplett vergessen haben oder schlicht für Deutschland statt Österreich erstellt worden sein – kein Scanner meldet das.

Für die inhaltliche Prüfung von Rechtstexten gibt es spezialisierte Tools wie eRecht24 – aber auch die ersetzen keine echte Rechtsberatung. Die sicherste Variante für österreichische Websites: Texte mit dem AdSimple-Generator auf Basis österreichischen Rechts erstellen, regelmäßig aktualisieren wenn neue Tools dazukommen, und für sensible Bereiche (Therapeuten, Coaches, Gesundheitsberufe) das DSGVO Pro Add-on mit externer Kanzlei und automatischen Updates nutzen.

Blinder Fleck 3: Was beim Klick auf „Absenden“ passiert

Kontaktformulare sind der klassische blinde Fleck jedes automatischen Scanners. Der Grund ist technisch simpel: Ein Scanner ruft deine Seite auf und liest den Quellcode – aber er füllt keine Formulare aus und klickt nicht auf „Absenden“. Was beim Absenden im Hintergrund passiert, sieht er schlicht nicht.

Was aber sehr wohl passieren kann: Dein Kontaktformular sendet die eingegebenen Daten an einen Drittanbieter – etwa an einen Newsletter-Dienst wie Mailchimp oder Brevo, an ein CRM-System, oder an einen externen Mail-Server. Wenn das formular-seitig schon beim Laden ein Cookie setzt (z. B. Google reCAPTCHA zur Spam-Abwehr), müsste das ein Scanner erkennen. Wenn die Verbindung aber erst beim Klick aufgebaut wird, bleibt sie für jeden automatischen Check unsichtbar.

Was das für dich bedeutet: Jedes Tool, das Formulardaten empfängt oder weiterverarbeitet, muss namentlich in der Datenschutzerklärung genannt sein – inklusive Zweck, Rechtsgrundlage und ob Daten in Drittstaaten (z. B. USA) übertragen werden. Direkt beim Formular braucht es außerdem einen sichtbaren Hinweis auf die Datenschutzerklärung. Das prüft kein Scanner – das musst du selbst im Griff haben.

Blinder Fleck 4: Der Scanner sieht nur einen Bruchteil deiner Website

Die Gratis-Version von Dr. DSGVO prüft maximal 8 Unterseiten. Cookiebot schafft in der Free-Version bis zu 50. Klingt viel – aber eine durchschnittliche WordPress-Website hat schnell 20, 30 oder mehr indexierte URLs, wenn man Blog-Artikel, Kategorieseiten, Tag-Seiten und Anhang-Seiten mitzählt. Was auf den nicht geprüften Seiten schlummert – ein eingebettetes YouTube-Video auf einem alten Blog-Artikel, ein Google Maps-Embed auf der Kontaktseite, ein vergessenes Analytics-Snippet in einem Custom Widget – sieht der Scanner nicht.

Praktischer Tipp: Nach dem automatischen Scan lohnt es sich, die eigene Website manuell im Inkognito-Modus durchzuklicken – besonders ältere Unterseiten und Blog-Artikel. Die DevTools (F12 → Reiter „Network“) zeigen dir in Echtzeit, welche externen Verbindungen beim Laden jeder einzelnen Seite aufgebaut werden. Was dort an Google-, Facebook- oder sonstigen Drittanbieter-Domains auftaucht, ohne dass du zugestimmt hast, ist ein potenzielles Problem.

Blinder Fleck 5: Die Subdomain-Falle

Ein konkretes Beispiel aus der Praxis: Dr. DSGVO meldet „Externe Dateien: 1″ und listet als Quelle eine URL auf einer eigenen alten Subdomain – z. B. ein Bild, das noch auf alt.meinetraumhomepage.at liegt statt auf der Hauptdomain. Rechtlich ist das unbedenklich, weil beide Domains demselben Betreiber gehören. Für einen menschlichen Prüfer ist der Unterschied sofort klar.

Ein echter Abmahn-Bot ist jedoch oft nicht so differenziert. Er sieht „externe Domain“, erstellt vollautomatisch den Beweis-Screenshot und schickt das Schreiben raus. Die Lösung ist simpel: Solche Bilder oder Dateien direkt in die Medienbibliothek der Hauptdomain hochladen, im WordPress-Editor ersetzen, und den externen Ladevorgang auf 0 bringen. Damit verliert der Bot jeden Angriffspunkt – auch wenn er eigentlich keinen gehabt hätte.

Wer darf abmahnen – und was kostet eine DSGVO-Abmahnung wirklich?

Viele denken, DSGVO-Abmahnungen kommen nur von der Datenschutzbehörde. Das ist falsch. In Österreich – und seit wegweisenden BGH-Urteilen auch in Deutschland – ist die Rechtslage deutlich breiter: Abmahnen darf nicht nur der Staat, sondern auch Mitbewerber, Verbände und unter bestimmten Voraussetzungen sogar Privatpersonen. Wer das nicht weiß, unterschätzt das Risiko erheblich.

Mitbewerber: Der Konkurrent als Abmahner

Direkte Mitbewerber dürfen dich wegen DSGVO-Verstößen auf deiner Website abmahnen – das hat der Bundesgerichtshof (BGH) klar bestätigt. Die Logik dahinter: Wer sich den Aufwand eines korrekt eingerichteten Cookie-Banners spart, verschafft sich einen unfairen Wettbewerbsvorteil gegenüber Konkurrenten, die das regelkonform umgesetzt haben. Das fällt unter das Gesetz gegen unlauteren Wettbewerb (UWG).

Wichtige Einschränkung: Der Gesetzgeber hat eine Kostenbremse eingebaut. Wenn ein Mitbewerber dich wegen einfacher DSGVO-Fehler im Internet abmahnt – etwa wegen eines fehlerhaften Cookie-Banners – darf er in vielen Fällen keine Anwaltskosten von dir zurückfordern. Das soll Massenabmahnwellen unter Konkurrenten eindämmen. Seinen eigenen Anwalt muss er trotzdem selbst bezahlen, was die Hemmschwelle erhöht. Völlig ausgeschlossen ist es aber nicht – bei schwerwiegenden oder wiederholten Verstößen kann es teuer werden.

Verbände und Vereine: Die organisierte Abmahnung

Verbraucherschutz- und Wettbewerbszentralen dürfen uneingeschränkt abmahnen – und tun das auch systematisch. Diese Verbände sind nicht auf eigene Betroffenheit angewiesen, sie handeln im öffentlichen Interesse. Die Wettbewerbszentrale beispielsweise betreibt eigene Scanning-Infrastruktur und geht gezielt gegen verbreitete Verstöße vor. Anders als bei Mitbewerber-Abmahnungen gibt es hier keine Kostenbremse – Anwalts- und Verfahrenskosten können in voller Höhe geltend gemacht werden.

Privatpersonen: Schadensersatz statt Abmahnung

Wenn jemand deine Website besucht und dabei seine Daten ungefragt an Google, Meta oder andere Drittanbieter übertragen werden – etwa durch extern geladene Fonts oder Analytics ohne Zustimmung – ist diese Person in ihren Rechten verletzt. Sie kann von dir Unterlassung verlangen und immateriellen Schadensersatz fordern. Gerichte setzen diesen Betrag oft pauschal mit rund 100 Euro pro betroffener Person an.

Das klingt harmlos – wurde aber in der Vergangenheit massenhaft missbraucht. Bei der bekannten Google-Fonts-Abmahnwelle haben einzelne Personen Hunderte Websites abgemahnt und jeweils 100 Euro gefordert. Gerichte haben solche Massenabmahnungen inzwischen vielfach als rechtsmissbräuchlich eingestuft und abgewiesen. Trotzdem: Wer systematisch vorgeht und dabei Grenzen einhält, hat rechtlich einen Fuß in der Tür. Die sicherste Antwort darauf ist, den Angriffspunkt von vornherein zu beseitigen.

Die Datenschutzbehörde (DSB): Bußgelder statt Abmahnung

Die österreichische Datenschutzbehörde (DSB) mahnt nicht ab – sie verhängt Bußgelder. Das ist ein anderer Rechtsweg, aber potenziell der teuerste. Die DSGVO sieht Strafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor – je nachdem was höher ist. Für kleine Unternehmen und Einzelunternehmer in der Praxis realistischer: Die DSB geht meistens nach Beschwerden von Betroffenen vor, nicht von sich aus. Wer also keine beschwerdefreudigen Kunden hat und technisch sauber aufgestellt ist, hat hier wenig zu befürchten. Wer aber systematisch Daten ohne Einwilligung verarbeitet, kann auch ohne Abmahnung in ernsthafte Schwierigkeiten geraten.

Was eine Abmahnung kostet: Die realen Zahlen

Die Kosten einer DSGVO-Abmahnung setzen sich aus mehreren Teilen zusammen. Der wichtigste ist der sogenannte Streitwert – er bestimmt, wie hoch die Anwaltsgebühren berechnet werden. Bei DSGVO-Verstößen im geschäftlichen Bereich liegt dieser Streitwert oft zwischen 5.000 und 10.000 Euro. Daraus ergeben sich reale Anwaltskosten der Gegenseite von ca. 500 bis 900 Euro, die du bezahlen sollst.

Dazu kommt der Schadensersatz: Der BGH hat bestätigt, dass bereits der bloße Kontrollverlust über Daten – also z. B. die unzulässige Übertragung einer IP-Adresse an Google – einen DSGVO-Schadensersatzanspruch begründen kann. Gerichte setzen diesen Betrag oft mit rund 100 Euro pro betroffener Person an. Bei einer Website mit vielen Besuchern kann das schnell eskalieren.

In der Praxis fordert eine typische automatisierte Erst-Abmahnung meist einen Gesamtbetrag zwischen 200 und 1.200 Euro. Kommt es zu einem echten Gerichtsverfahren – weil du nicht zahlst oder die Abmahnung anfechtst – können die Kosten deutlich höher werden. Dazu kommen die Kosten für deinen eigenen Anwalt, falls du dich wehrst.

Zahlt meine Versicherung? Was normale Haftpflicht abdeckt – und was nicht

Kurze Antwort: Nein – eine normale private oder betriebliche Haftpflichtversicherung zahlt eine DSGVO-Abmahnung im Regelfall nicht. Standard-Haftpflichten decken Personen- und Sachschäden ab – nicht reine Vermögensschäden wie Anwaltsgebühren aus einer Datenschutz-Abmahnung. Das ist explizit ausgeschlossen.

Was tatsächlich hilft: Eine spezialisierte Cyber-Versicherung oder eine IT-Berufshaftpflicht (Vermögensschadenhaftpflicht). Die Wiener Städtische bietet beispielsweise mit ihrer Cyber-Protect-Versicherung einen Schutz, der explizit Drittschäden durch Verletzung von Datenschutzrechten einschließt. Für Kleinbetriebe kostet das ab ca. 15 bis 30 Euro im Monat – abhängig von Umsatz, Selbstbehalt und gewählter Deckungssumme.

Wichtige Fragen beim Abschluss: Lass dir schriftlich bestätigen, dass „Schäden durch Verletzung von Datenschutzrechten (DSGVO)“ explizit mitversichert sind – das ist nicht in jedem Tarif automatisch enthalten. Und prüfe, ob auch Drittschäden abgedeckt sind – also Schäden, die deine Kunden erleiden, wenn du als Webdesigner einen Fehler einbaust.

Die österreichische Button-Falle: Warum dein Cookie-Banner in Österreich anders aussehen muss

Die meisten internationalen Cookie-Banner-Tools liefern in der Standardkonfiguration ein Design, das in Österreich schlicht illegal ist. Nicht weil die Technik falsch wäre – sondern weil das Design den Nutzer unterbewusst in eine Richtung drängt. Die österreichische Datenschutzbehörde (DSB) und der Verwaltungsgerichtshof (VwGH) gehen hier konsequent vor. Das Stichwort lautet: Verbot von Nudging und Dark Patterns.

Was bedeutet das konkret? Nudging ist jede gestalterische Maßnahme, die den Nutzer subtil – ohne direkten Zwang – dazu bringt, eine bestimmte Entscheidung zu treffen. Im Kontext von Cookie-Bannern ist das klassische Beispiel: Ein großer, farbiger „Alle akzeptieren“-Button, daneben ein kleiner, grauer, kaum sichtbarer „Ablehnen“-Link. Technisch hat der Nutzer die Wahl – praktisch ist die Entscheidung bereits vorweggenommen. Genau das ist in Österreich verboten.

Regel 1: Optische Zwillinge – gleiche Größe, gleiche Farbe, gleiches Gewicht

Die DSB hat klar definiert: Der „Akzeptieren“-Button und der „Ablehnen“-Button müssen die exakt gleiche visuelle Gewichtung haben. Das bedeutet gleiche Größe, gleicher Schriftstil, gleicher Kontrast zum Hintergrund. Beide Optionen müssen für den Nutzer auf den ersten Blick gleich leicht erkennbar und gleich leicht anklickbar sein.

Was konkret verboten ist: Ein knallblauer oder grüner „Akzeptieren“-Button neben einem weißen, rahmenlosen „Ablehnen“-Button auf weißem Hintergrund. Ein großer, ausgefüllter Button für Zustimmung neben einem kleinen Textlink für Ablehnung. Unterschiedliche Schriftgrößen, die eine Option prominent und die andere unauffällig machen. Selbst subtile Unterschiede in der Farbsättigung – ein sattes Blau vs. ein blasses Grau – können als Nudging gewertet werden.

Was korrekt ist: Beide Buttons haben denselben Hintergrund mit derselben Farbe und derselben Schrift. Oder beide haben einen Rahmen ohne Füllung – gleicher Rahmen, gleiche Farbe. Oder beide sind ausgefüllt, aber in neutralen, gleichwertigen Farben des eigenen Webdesigns. Das Ziel ist nicht, beide Buttons identisch aussehen zu lassen – das Ziel ist, dass keiner der beiden optisch dominiert.

Regel 2: Die 1-Klick-Regel – Ablehnen muss auf der ersten Ebene stehen

Der VwGH hat unmissverständlich klargestellt: Das Verweigern der Einwilligung muss genauso einfach sein wie das Erteilen – mit exakt der gleichen Anzahl an Klicks. Das bedeutet in der Praxis: Der Button „Alle ablehnen“ oder „Nur notwendige Cookies“ muss direkt beim ersten Aufruf des Banners sichtbar sein, ohne dass der Nutzer erst auf „Einstellungen“, „Mehr Optionen“ oder „Anpassen“ klicken muss.

Das klassische Muster vieler Standard-Banner – „Alle akzeptieren“ prominent auf der ersten Ebene, Ablehnen erst nach einem Klick auf „Einstellungen“ – ist in Österreich nicht zulässig. Wer das so eingerichtet hat, sollte das dringend anpassen. Die meisten Consent-Management-Tools wie Complianz oder Cookiebot bieten diese Einstellung an – sie ist aber oft nicht die Standardkonfiguration und muss manuell aktiviert werden.

Regel 3: Privacy by Default – keine vorausgewählten Häkchen

Wenn ein Nutzer doch auf „Einstellungen“ klickt, gilt: Alle Schieberegler für Marketing-, Statistik- und Präferenz-Cookies müssen standardmäßig auf „Aus“ stehen. Nur technisch notwendige Cookies dürfen vorausgewählt sein – alles andere muss der Nutzer aktiv einschalten. Vorausgewählte Häkchen für Google Analytics oder Facebook Pixel gelten rechtlich nicht als gültige Einwilligung.

Regel 4: Der Widerruf muss jederzeit möglich sein

Ein häufig übersehener Fehler: Das Cookie-Banner erscheint einmal, der Nutzer klickt – und danach ist es für immer weg. Das ist nicht zulässig. Die DSGVO schreibt vor, dass der Widerruf einer Einwilligung genauso einfach sein muss wie die Zustimmung selbst. Das bedeutet: Es muss auf jeder Unterseite eine Möglichkeit geben, die Cookie-Einstellungen erneut aufzurufen und zu ändern.

In der Praxis wird das meist über einen kleinen, schwebenden Button unten links umgesetzt – oft ein Fingerabdruck- oder Schild-Symbol, das das Banner per Klick wieder öffnet. Alternativ reicht auch ein gut sichtbarer Textlink im Footer, z. B. „Cookie-Einstellungen“. Complianz und die meisten anderen Consent-Tools bieten das als Option an – prüfe, ob es bei deinen Projekten aktiviert ist.

Regel 5: Das Banner darf Impressum und Datenschutz nicht verdecken

Ein Detail, das viele nicht auf dem Schirm haben: Wenn das Cookie-Banner den gesamten Bildschirm überlagert oder den Footer verdeckt, und der Nutzer dadurch nicht auf Impressum oder Datenschutzerklärung klicken kann, bevor er dem Banner zustimmt – dann ist das ein Problem. Der Nutzer muss die Möglichkeit haben, die Rechtstexte zu lesen, bevor er eine Entscheidung trifft. Ein Banner, das diese Texte physisch blockiert, hebelt dieses Recht aus.

Die Lösung ist entweder ein Banner, das den Footer nicht vollständig überdeckt – also als Leiste am unteren Rand statt als Vollbild-Overlay – oder ein Banner, das direkt auf Impressum und Datenschutz verlinkt, bevor der Nutzer zustimmt. Viele Consent-Tools bieten genau das als Konfigurationsoption an.

Sonderfall: „Pay or Okay“ – nur für Medienunternehmen

Vielleicht kennst du das von großen österreichischen Medienhäusern: Du kommst auf eine Nachrichtenwebsite und wirst gezwungen, entweder allen Cookies zuzustimmen – oder ein kostenpflichtiges, werbefreies Abo abzuschließen. Dieses Modell heißt „Pay or Okay“ oder „Cookie-Wall“ und ist in Österreich unter sehr strengen Auflagen für Medienunternehmen und Verlage erlaubt.

Für normale Unternehmenswebsites gilt das ausdrücklich nicht. Als Einzelunternehmer, Handwerker, Coach, Therapeut oder kleines Unternehmen darfst du Besucher niemals von deinen Inhalten aussperren, nur weil sie die Cookies ablehnen. Wer das trotzdem versucht, riskiert eine Beschwerde bei der DSB – mit unabsehbaren Folgen.

Die rechtliche Grundlage: Welche Gesetze in Österreich gelten

In Österreich ist Website-Compliance kein Ein-Gesetze-Thema. Es greift ein Zusammenspiel aus vier verschiedenen Rechtsgrundlagen, die zusammen bestimmen was auf deiner Website stehen und wie sie technisch konfiguriert sein muss:

• DSGVO (EU-weit): Regelt die Verarbeitung personenbezogener Daten – IP-Adressen, Google Analytics, Formulardaten, alles was einem Menschen zugeordnet werden kann.
• § 165 TKG 2021 (Österreich): Das Telekommunikationsgesetz. Regelt explizit, dass für das Speichern von Daten auf dem Gerät des Nutzers – also Cookies – eine aktive Einwilligung erforderlich ist.
• § 5 ECG (Österreich): Das E-Commerce-Gesetz. Schreibt die Pflichtangaben für das Online-Impressum vor – Name, Adresse, Unternehmensgegenstand, Gewerbebehörde, WKO-Mitgliedschaft.
• § 24 & 25 MedienG (Österreich): Das Mediengesetz. Verlangt die Offenlegung der Eigentumsverhältnisse und der sogenannten Blattlinie – ein Satz, der beschreibt, wozu die Website dient.

Das ist der Grund, warum deutsche Impressum-Vorlagen für österreichische Websites nicht ausreichen. Deutschland kennt kein ECG – dort gilt das TMG (Telemediengesetz). Die WKO-Mitgliedschaft, die Gewerbebehörde, die Blattlinie nach MedienG – das sind österreichische Spezifika, die in keiner deutschen Vorlage auftauchen. Wer das ignoriert, hat ein unvollständiges Impressum – und damit eine leichte Zielscheibe für automatisierte Abmahn-Bots.

Was beim Website-Bau fast immer vergessen wird: Die vier unterschätzten Stolperfallen

Neben den großen Themen – Cookie-Banner, Datenschutzerklärung, Impressum – gibt es vier Punkte, die selbst erfahrene Webdesigner regelmäßig übersehen. Kein automatischer Scanner findet diese Fehler. Sie fallen erst auf, wenn jemand genau hinschaut.

1. Das Impressum ist unvollständig nach österreichischem Recht. Ein häufiger Fehler: Eine deutsche Vorlage kopiert, die WKO-spezifischen Pflichtangaben vergessen. In Österreich muss ins Impressum: die zuständige Aufsichtsbehörde (z. B. Bezirkshauptmannschaft Schwaz), die WKO-Mitgliedschaft inklusive Fachgruppe, der Unternehmensgegenstand, bei Gewerbe ein Verweis auf die Gewerbeordnung mit Link auf ris.bka.gv.at, und die sogenannte Blattlinie nach Mediengesetz – ein kurzer Satz der beschreibt, wozu die Website dient. Alles das fehlt in deutschen Standardvorlagen komplett.

2. Die Font-Lizenz gehört dem Webdesigner – nicht dem Kunden. Wer Schriftarten über Adobe Fonts, MyFonts oder Linotype herunterlädt und für eine Kundenseite verwendet, hat eine Lizenz auf seinen eigenen Account. Sobald die Website an den Kunden übergeben wird, braucht der Kunde im Regelfall eine eigene Webfont-Lizenz auf seinen Namen. Wird das vergessen, drohen Urheberrechts-Abmahnungen direkt von den Schriftherstellern – das hat nichts mit DSGVO zu tun, ist aber genauso teuer. Google Fonts und andere Open-Source-Fonts sind davon ausgenommen – sie dürfen frei verwendet werden, müssen aber lokal eingebunden sein.

3. Impressum und Datenschutz müssen in maximal zwei Klicks erreichbar sein. Das klingt selbstverständlich – ist es aber nicht immer. Wenn das Cookie-Banner beim ersten Aufruf den gesamten Bildschirm überlagert und dabei den Footer verdeckt, ist das Impressum für den Nutzer in diesem Moment nicht erreichbar. Wenn die Seite nur über das Hauptmenü verlinkt ist, nicht aber im Footer, gilt die Zwei-Klick-Regel auf Unterseiten als nicht erfüllt. Beides ist ein echter Angriffspunkt für Abmahn-Bots und Prüfer.

4. Jedes neue Plugin ist eine neue Datenquelle. Eine Datenschutzerklärung, die einmal erstellt und nie wieder angefasst wird, ist nach ein bis zwei Jahren fast sicher veraltet. Jedes Plugin das du nachträglich installierst – ein Buchungssystem, ein Chat-Widget, ein neues SEO-Tool, ein Social-Sharing-Button – kann Daten an Dritte senden und muss in der Datenschutzerklärung genannt werden. Das merkt kein Scanner. Das fällt erst auf, wenn jemand technischen und textlichen Stand abgleicht.

Die Checkliste: Was kein automatischer Scanner je prüfen wird

Diese Checkliste ist kein Ersatz für die Grundlagen – die findest du im verlinkten Pillar-Artikel. Hier geht es ausschließlich um die Punkte, die automatische Scanner blind machen. Geh diese Liste bei jedem Projekt durch – und bei deiner eigenen Website mindestens einmal pro Jahr.

• Scanner-Check durchgeführt: Dr. DSGVO Schnelltest gelaufen, Ergebnis unter „Externe Dateien“ auf 0 gebracht. Alle extern geladenen Ressourcen identifiziert und bereinigt – auch Bilder auf eigenen Subdomains.
• Nach Zustimmung manuell geprüft: Im Inkognito-Modus Banner weggeklickt, mit DevTools (F12 → Network) geprüft ob Analytics, Pixel und Co. erst dann feuern. Nicht nur beim ersten Aufruf – auch nach Zustimmung.
• Datenschutzerklärung aktuell: Alle aktuell installierten Plugins und Tools sind namentlich genannt. Kein Tool im Text das nicht mehr aktiv ist. Österreichisches Recht (DSGVO + DSG) als Grundlage, nicht nur deutsches TMG.
• Impressum vollständig nach österreichischem Recht: WKO-Mitgliedschaft mit Fachgruppe, zuständige Aufsichtsbehörde, Unternehmensgegenstand, Verweis auf GewO mit Link auf ris.bka.gv.at, Blattlinie nach MedienG – alles vorhanden.
• Cookie-Banner österreich-konform: Akzeptieren und Ablehnen optisch gleichwertig auf der ersten Ebene. Kein versteckter Ablehnen-Link, keine vorausgewählten Häkchen. Widerruf-Button im Footer oder als schwebendes Element aktiv.
• Banner verdeckt Footer nicht: Impressum und Datenschutz sind auch bei aktivem Banner klickbar – entweder weil das Banner als Leiste unten eingeblendet wird, oder weil es direkt auf die Rechtstexte verlinkt.
• Formulare abgesichert: Jedes Kontaktformular hat einen sichtbaren Hinweis auf die Datenschutzerklärung. Alle Drittanbieter, an die Formulardaten gesendet werden, sind im Datenschutztext genannt.
• Font-Lizenz geklärt: Alle verwendeten Schriftarten sind entweder Open Source (lokal eingebunden) oder der Kunde hat eine eigene Webfont-Lizenz auf seinen Namen.
• Kundenfreigabe dokumentiert: Schriftliche Bestätigung vom Kunden vorhanden, dass Impressum und Datenschutz gelesen, geprüft und freigegeben wurden. E-Mail archiviert.
• Versicherung geprüft: IT-Berufshaftpflicht oder Cyber-Versicherung aktiv, DSGVO-Schäden und Drittschäden durch IT-Dienstleistungen explizit mitversichert – schriftlich bestätigt.

Fazit: Datenschutz ist kein Einmal-Projekt

Ein automatisierter Tool, das dir nach 30 Sekunden „0 Fehler“ anzeigt, ist ein nützlicher erster Schritt – eine Rechtsgarantie ist es niemals. Wie wir gesehen haben, sind Gratis-Scanner blind für alles, was nach einem Formular-Klick passiert, für veraltete Rechtstexte, für fehlende österreichische Pflichtangaben und für neue Plugins, die still und leise Daten nach außen senden.

Echte Sicherheit entsteht durch das Zusammenspiel aus technisch sauberem Setup, aktuellen Rechtstexten auf Basis österreichischen Rechts, einem Cookie-Banner der die DSB-Anforderungen erfüllt – und dem Bewusstsein, dass sich das alles laufend ändern kann. Wer ein neues Plugin installiert, wer einen neuen Dienst einbindet, wer eine neue Seite anlegt, muss mitdenken ob das Auswirkungen auf Datenschutzerklärung und Cookie-Konfiguration hat.

Für dich als Webdesigner gilt doppelte Sorgfalt: Du baust nicht nur deine eigene Website ab – du baust die Websites deiner Kunden. Eine IT-Berufshaftpflicht gehört deshalb zur absoluten Grundausstattung, genauso wie eine saubere schriftliche Freigabe vor jeder Veröffentlichung. Die obenstehende Checkliste ist dein Werkzeug dafür – nutz sie bei jedem Projekt, nicht nur beim ersten.

Alex Wagner ist Webdesigner aus Schwaz, Tirol. Er erstellt professionelle WordPress-Websites für Selbstständige und kleine Unternehmen in Tirol und im gesamten DACH-Raum – persönlich, transparent und alles inklusive. Das DSGVO Basic Setup richtet er bei jedem Projekt technisch ein und begleitet Kunden durch den gesamten Freigabe-Prozess.

Häufige Fragen: DSGVO Website Check Österreich

Kann ich Cookiebot oder Dr. DSGVO bedenkenlos nutzen – ohne dass mich jemand abmahnt?

Ja, völlig bedenkenlos. Cookiebot und Dr. DSGVO sind legale Compliance-Tools, die ihren Umsatz mit Abonnements und Berichten machen – nicht damit, deine Daten an Abmahnanwälte zu verkaufen. Das wäre für diese Firmen geschäftlicher Selbstmord. Echte Abmahn-Bots arbeiten vollständig unabhängig davon und crawlen das Internet auf eigene Faust. Du kannst beide Tools beliebig oft nutzen um deine eigene Website oder die deiner Kunden zu prüfen.

Was bedeutet „0 Tracker“ beim Cookiebot-Scan wirklich?

Es bedeutet, dass der Crawler beim ersten automatischen Aufruf deiner Seite keine Tracking-Skripte gefunden hat, die ohne vorherige Zustimmung aktiv wurden. Das ist gut – aber es bedeutet nicht, dass deine Website vollständig DSGVO-konform ist. Der Scanner prüft keine Rechtstexte, keine Formulardaten, keine Seiten jenseits seines Scan-Limits und nicht was nach einem Cookie-Klick passiert. Behandle „0 Tracker“ als guten ersten Indikator – nicht als Freifahrtschein.

Muss der „Ablehnen“-Button in Österreich wirklich gleich groß sein wie „Akzeptieren“?

Ja – das ist keine Empfehlung, sondern eine Anforderung der österreichischen Datenschutzbehörde (DSB) und des Verwaltungsgerichtshofs (VwGH). Beide Buttons müssen die gleiche visuelle Gewichtung haben: gleiche Größe, gleicher Kontrast, gleicher Schriftstil. Zusätzlich muss „Ablehnen“ direkt auf der ersten Ebene des Banners stehen – nicht erst nach einem Klick auf „Einstellungen“. Das ist der sogenannte Nudging-Verbots-Standard, der in Österreich konsequenter durchgesetzt wird als in vielen anderen EU-Ländern.

Was kostet eine DSGVO-Abmahnung in Österreich im Schnitt?

Eine typische automatisierte Erst-Abmahnung fordert meist zwischen 200 und 1.200 Euro – aufgeteilt in Anwaltsgebühren der Gegenseite (berechnet auf Basis eines Streitwerts von oft 5.000 bis 10.000 Euro) und immateriellen Schadensersatz von ca. 100 Euro pro betroffener Person. Kommt es zu einem Gerichtsverfahren, steigen die Kosten deutlich. Dazu kommen die Kosten für deinen eigenen Anwalt, falls du dich wehrst. Eine IT-Berufshaftpflicht übernimmt im Ernstfall sowohl die Abwehr unberechtigter Forderungen als auch berechtigte Schadensersatzansprüche.

Darf ich die AdSimple-Datenschutzerklärung manuell ergänzen?

Ja – das ist nicht nur erlaubt, sondern oft notwendig. AdSimple deckt Standardtools ab, aber nicht jedes spezifische Plugin oder jeden Drittanbieter. In der kostenlosen Version darfst du den Text beliebig ergänzen – du musst nur den Quellverweis (Backlink zu AdSimple) am Ende stehen lassen und darfst ihn nicht löschen. Eigene Ergänzungen fügst du am besten als eigenen Abschnitt mit klarer Überschrift direkt oberhalb des AdSimple-Backlinks ein. So bleibt der ursprüngliche Text unberührt und lässt sich bei Bedarf einfach austauschen.

Deine Website – von Anfang an richtig aufgesetzt.

Ich richte das DSGVO Basic Setup bei jeder Website technisch ein – Cookie-Banner, Impressum, Datenschutzerklärung. Du bekommst eine kostenlose Website-Vorschau mit Moodboard, Wireframe und Designvorschau – so siehst du genau, wie deine Website aussehen wird. Ohne Risiko, ohne Verpflichtung.

Jetzt gratis Website-Vorschau anfordern →

100% kostenlos · Unverbindlich · In 15 Minuten