Programmatic und DSGVO: Welche Einwilligungen braucht Werbung in Österreich?

Programmatic Advertising in Österreich: Warum DSGVO-Einwilligungen den Ausschlag geben

Im Programmatic Advertising werden Werbeflächen auf Webseiten in Echtzeit und vollautomatisiert nach einem Auktionsprinzip verkauft und eingekauft. Die ausgespielte Werbung soll möglichst zum Interessenprofil der Person passen.

Für diese User Profile werden Cookies auf Rechner, Smartphone oder Tablet gespeichert und die persönliche Customer Journey aufgezeichnet. Aus Alter, Geschlecht, Einkommen, Hobbys und Kaufverhalten entsteht laut ikp-Interview mit Dr. Axel Anderl, LL.M. und Alona Klammer, LL.B. (DORDA Rechtsanwälte GmbH) die Basis für den „gläsernen Menschen im Netz“. Vielen Konsumentinnen und Konsumenten ist nicht bewusst, wie viel Persönliches sie mit jedem Klick auf einen Cookie-Banner preisgeben.

Für Unternehmen gilt: Ohne aktiv gegebenes Einverständnis der Nutzerinnen und Nutzer gibt es keine individualisierte Werbung und keine Produktvorschläge. Das Einverständnis wird über Cookie-Banner eingeholt. In Österreich konkretisiert § 165 Abs. 3 TKG 2021 die Vorgabe des Art. 5 Abs. 3 der Richtlinie 2002/58/EG (ePrivacy-Richtlinie); darauf verweist die Datenschutzbehörde in ihren FAQs zu Datenschutz und Cookies.

Die Kernfrage für österreichische Auftraggeber ist daher nicht, ob Programmatic zulässig ist, sondern welche Einwilligungen für welche Verarbeitungsschritte vorliegen müssen. Zu trennen sind zwei Ebenen: das Setzen und Auslesen von Cookies am Endgerät und die anschließende Verarbeitung der daraus gewonnenen Daten.

Vom Cookie zum User-Profil: Welche Daten Programmatic verarbeitet

Vereinfacht sind Cookies Datenspeicher aus einem Namen (Schlüssel) und einem Wert. Beim Aufruf einer Website kann der Server Cookies übermitteln, die am Endgerät gespeichert werden. Moderne Browser verwalten sie in Datenbanken und senden sie, solange sie nicht gelöscht werden, bei jedem Seitenaufruf an den zugehörigen Webserver zurück (Datenschutzbehörde, FAQ Datenschutz & Cookies).

Unterschieden wird nach Lebensdauer – Sitzungscookies und persistente Cookies – sowie nach der Domain, zu der sie gehören, also Erstanbieter- und Drittanbieter-Cookies. Neben „HTTP-Header-Cookies“ können Cookies auch per JavaScript-Code gesetzt werden, der auf der Seite liegt oder dort referenziert wird.

Das Beispiel der Datenschutzbehörde zeigt den Mechanismus: Wird eine Website in mehreren Sprachversionen angeboten und beim Erstaufruf „Deutsch“ gewählt, kann ein persistentes Cookie samt dieser Information hinterlegt werden. Beim nächsten Aufruf mit demselben Browser weiß die Website, welche Sprache anzuzeigen ist.

Im Programmatic-Kontext geht es über solche Komfortfunktionen weit hinaus. Aus der aufgezeichneten Customer Journey sowie aus demografischen Daten, Hobbys und Kaufverhalten entstehen Interessenprofile, die zur Ausspielung individualisierter Werbung dienen.

Entscheidend für die datenschutzrechtliche Beurteilung ist, wer das Cookie setzt: Bei Erstanbieter-Cookies ist es die besuchte Domain, bei Drittanbieter-Cookies eine fremde Domain, die auf der Seite eingebunden ist. Diese Drittanbieter-Dimension macht viele Cookie-Banner intransparent – Nutzerinnen und Nutzer sehen in der Regel nicht, welche Empfänger im Auktionsprozess tatsächlich Daten erhalten.

Technisch notwendig oder einwilligungspflichtig? Die Cookie-Schwelle

Die Zulässigkeit des Setzens oder Auslesens von Cookies regelt Art. 5 Abs. 3 der Richtlinie 2002/58/EG; national umgesetzt ist sie im TKG 2021. Nach der Zusammenfassung der Datenschutzbehörde gilt: Ohne Einwilligung dürfen Cookies beim Aufruf einer Website nur gesetzt oder ausgelesen werden, wenn sie unbedingt erforderlich sind. Erforderlich heißt, der Anbieter kann einen vom Nutzer ausdrücklich gewünschten Dienst der Informationsgesellschaft nur so bereitstellen – diese „technisch notwendigen Cookies“ sind die Ausnahme.

Für alle technisch nicht notwendigen Cookies muss eine Einwilligung eingeholt werden. Beim Bau einer Website ist dringend darauf zu achten, dass keine technisch nicht notwendigen Cookies vor dem Einholen dieser Einwilligung gesetzt werden.

Die Einwilligung muss aktiv erteilt werden. Ein voreingestelltes Ankreuzkästchen, das der Nutzer lediglich abwählen muss, genügt nach EuGH-Rechtsprechung nicht. Die Kanzlei CHG fasst das in einem Beitrag vom 12. Jänner 2026 zusammen.

Der Diensteanbieter muss den Nutzer vor Erteilung der Einwilligung informieren, wie lange die Cookies funktionsfähig sind. Auch ein möglicher Zugriff Dritter auf die Cookies ist offenzulegen.

Die Datenschutzbehörde hält fest, dass Website-Betreiberinnen und Website-Betreiber den Cookie-Banner nach eigenen Vorstellungen gestalten können. Die Bedingungen für eine wirksame Einwilligung bleiben dabei einzuhalten.

Art. 6 DSGVO: Einwilligung, berechtigtes Interesse und Direktwerbung

Neben den TKG-Vorgaben zum Endgerätezugriff braucht die Verarbeitung eine Rechtsgrundlage nach der DSGVO. Art. 6 Abs. 1 Buchstabe a DSGVO ist die Einwilligung der betroffenen Person. Für Werbung daneben steht Art. 6 Abs. 1 Buchstabe f DSGVO, das berechtigte Interesse. ErwG 47 DSGVO sieht vor, dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann.

Die WKO hält in ihren FAQs zum Datenschutz in der Werbung fest, dass die gängigsten Praktiken von Adressverlagen und Direktmarketingunternehmen wohl mit einem berechtigten Interesse argumentiert werden können, weil ein solches Interesse grundsätzlich für die volkswirtschaftlich wichtige Möglichkeit, Produkte und Dienstleistungen zu bewerben, anerkannt ist. Der für Adressverlage und Direktmarketing relevante § 151 Gewerbeordnung (GewO) besteht weiterhin neben der DSGVO.

Das berechtigte Interesse trägt jedoch nicht das Setzen von Cookies am Endgerät. Die ePrivacy-Richtlinie als lex specialis zur DSGVO schützt die Privatsphäre in der elektronischen Kommunikation und den Zugriff auf Endgeräte – unabhängig davon, ob personenbezogene Daten betroffen sind (CHG). Für Tracking auf Endgeräten führt der Weg daher regelmäßig über die Einwilligung. Das berechtigte Interesse bleibt für andere Verarbeitungsschritte wie klassisches Direktmarketing mit Adressdaten relevant.

DSGVO vs. ePrivacy-Richtlinie: Unterschiede im Bereich Programmatic Advertising

Einwilligung im Programmatic-Workflow: Datenherkunft, Dritte und Nachvollziehbarkeit

Eine formal eingeholte Einwilligung genügt nicht, wenn nicht nachvollziehbar ist, was tatsächlich passiert. Im ikp-Interview mit DORDA nennen die befragten Juristinnen und Juristen als zentrale Anforderung, nachvollziehbar zu evaluieren, woher die für Programmatic Advertising erforderlichen Daten stammen und wer datenschutzrechtlich verantwortlich ist.

Diese Herkunfts- und Verantwortungskette ist die praktische Bruchstelle, an der viele Setups scheitern. Datenanbieter, Daten-Management-Plattformen und Ad-Server liefern Teile des Profils, ohne dass der Websitebetreiber sie vollständig überblickt.

Für Einwilligungstexte folgt daraus, dass Drittanbieter im Auktionsprozess und die Empfänger der Daten abgebildet sein müssen. Sonst deckt die Zustimmung die tatsächliche Verarbeitung nicht ab. Dazu kommen die Informationspflichten nach der DSGVO: Wer nicht direkt bei der betroffenen Person erhobene Daten verarbeitet, muss informieren. Informationen sind direkt bei der Datenerhebung zu geben, bei anderweitig erhaltenen Daten innerhalb eines Monats als Maximalfrist (WKO-FAQ).

Bei Agenturkonstellationen verlangt die WKO einen Auftragsverarbeitungsvertrag zwischen Werbeagentur und Kunde, wenn die Agentur Kundendaten wie Namen und Adressen für ein Direktmailing verarbeitet. Wird diese Leistung im Rahmen eines Gesamtvertrags erbracht, ist das grundsätzlich im Nebenrecht möglich.

Zusätzlich sollte eine schriftliche Unbedenklichkeitserklärung eingeholt werden. Darin bestätigt der Kunde, dass die Daten rechtmäßig erhoben und weiterverwendet werden dürfen.

Programmatic Advertising: Workflow mit Datenschutzanforderungen

Österreichische Praxis: Datenschutzbehörde, WKO und Cookie-Banner

Für die konkrete Ausgestaltung eines Banners liefern die FAQ der Datenschutzbehörde die Definitionen von Cookies, deren Arten und die Einwilligungsschwelle: technisch notwendige Cookies ohne Einwilligung, alles darüber hinaus nur mit Einwilligung, keine nicht notwendigen Cookies vor der Zustimmung. Die FAQ zum Datenschutz in der Werbung der Wirtschaftskammer richten sich an Werbeagenturen, Adressverlage und Direktmarketing-Unternehmen. Sie sind nach Schlagworten wie „Impressum“ oder „Direktmarketing“ durchsuchbar und behandeln unter anderem, welche Datenverarbeitungen zulässig sind.

Die Rollen sind unterschiedlich geregelt. Bietet die Agentur Direktmarketing oder Adressverlag als eigenständige Leistung an, muss sie das Gewerbe „Adressverlag“ oder „Direktmarketingunternehmen“ anmelden. Erbringt sie denselben Vorgang im Rahmen eines Gesamtvertrags für einen Kunden, greift das Nebenrecht – der datenschutzrechtliche Auftragsverarbeitungsvertrag bleibt jedenfalls erforderlich.

Zur Frage, welches Datenschutzrecht gilt, hält die WKO fest: Für österreichische Unternehmen gilt nationales Datenschutzrecht. Betreibt die österreichische Agentur eine Filiale in Deutschland und betreut dort deutsche Kunden, ist jedenfalls auch deutsches Recht einzuhalten. Zur Rechtslage seit Mai 2018 hat die Fachgruppe Werbung und Marktkommunikation Wien eine DSGVO-Broschüre erstellt.

Die DSGVO und das Datenschutzgesetz 2018 (DSG 2018) haben umfassende Änderungen für die Verarbeitung personenbezogener Daten gebracht. Für Werbetreibende mit 151er-Gewerben und Direktwerbung bleibt § 151 GewO neben der DSGVO zu beachten.

Österreichische Rechtslage: Schlüsselzahlen und Regelungen

Digital Omnibus: Droht das Ende des Cookie-Banners?

Der Digitale Omnibus ist eine von der Europäischen Kommission vorgeschlagene Initiative, die mehrere Rechtsakte im digitalen Bereich harmonisieren soll. Für die ePrivacy-Richtlinie verfolgt er das Ziel, diese zu modernisieren, technische Entwicklungen einzubeziehen und europaweit einheitlichere Standards zu schaffen.

Da die Einführung einer neuen ePrivacy-Verordnung gescheitert ist, sieht der Vorschlag nun vor, die Anforderungen an Cookies und ähnliche Speichertechnologien in die DSGVO zu integrieren. Damit soll eine Vollharmonisierung der Cookie-Thematik erreicht werden. Vorgesehen ist dafür ein neuer Art. 88a DSGVO (CHG, RA Clemens Handl, 12. Jänner 2026).

Hintergrund ist die Herkunft der ePrivacy-Richtlinie aus einer Zeit, in der Cookies zu den meistverwendeten Tracking-Technologien zählten und modernere Methoden nicht berücksichtigt wurden. Die Folge waren uneinheitliche nationale Umsetzungen in der EU und divergierende Einwilligungsanforderungen. Für international tätige Unternehmen bedeutete das erheblichen Umsetzungs- und Verwaltungsaufwand. Auch in Österreich blieben trotz Orientierung an europäischen Leitlinien zahlreiche Zweifelsfragen an der Schnittstelle zwischen DSGVO und ePrivacy-Richtlinie offen.

Bis zu einer Umsetzung gilt die aktuelle Rechtslage. Nach den derzeitigen Regelungen des TKG ist das Setzen von Cookies ohne Einwilligung nur zulässig, wenn sie zwingend erforderlich sind, um einen vom Anbieter bereitgestellten Dienst zu ermöglichen. Jede darüber hinausgehende Verwendung unterliegt der Einwilligungspflicht. Ein Vorschlag der Kommission ändert diese Pflicht erst mit seinem Inkrafttreten – bis dahin ist die Einwilligung nach dem TKG 2021 einzuholen.

Checkliste: Welche Einwilligungen Werbung in Österreich braucht

Technisch nicht notwendige Cookies erst nach aktiver Einwilligung setzen. Ein voreingestelltes Ankreuzkästchen, das nur abgewählt werden muss, begründet keine wirksame Einwilligung. Vor der Einwilligung über Zwecke, Funktionsdauer der Cookies und möglichen Drittzugriff informieren.

Rechtsgrundlage je Verarbeitungsschritt prüfen. Für Endgerätezugriff und Tracking ist die Einwilligung maßgeblich. Für Direktwerbung mit Adressdaten kommt das berechtigte Interesse nach Art. 6 Abs. 1 Buchstabe f DSGVO in Verbindung mit ErwG 47 in Betracht; § 151 GewO ist daneben zu beachten.

Datenherkunft und datenschutzrechtliche Verantwortlichkeit im Programmatic-Workflow nachvollziehbar dokumentieren. Drittanbieter im Auktionsprozess als Empfänger in Einwilligung und Information abbilden.

Zwischen Werbeagentur und Kunde einen Auftragsverarbeitungsvertrag abschließen. Bei vom Kunden bereitgestellten Daten zusätzlich eine schriftliche Unbedenklichkeitserklärung einholen. Eigenständige Leistungen in Adressverlag oder Direktmarketing erfordern die Anmeldung des entsprechenden Gewerbes.

Informationspflichten erfüllen: Bei nicht direkt erhobenen Daten Betroffene innerhalb eines Monats informieren. Einwilligungen und deren Nachweis dokumentieren.

Ausblick: Der Digitale Omnibus soll die Cookie-Regeln in die DSGVO überführen und vollharmonisieren (neuer Art. 88a DSGVO). Bis zum Inkrafttreten bleibt die TKG-Regel maßgeblich: aktive Einwilligung für nicht technisch notwendige Cookies.

Checkliste: Welche Einwilligungen Werbung in Österreich braucht