Kurzfassung: Bei Online-Werbung in Österreich müssen Banner, tatsächliche Datenübertragung und Verträge zusammenpassen. Server-Side Tracking kann die Weitergabe kontrollierbarer machen. Ob eine Verarbeitung zulässig ist und ob Werbung wirtschaftlich besser läuft, sind jeweils gesondert zu prüfen.
Ein Banner kann korrekt aussehen, während ein Marketing-Tag schon vor der Entscheidung Daten sendet. Umgekehrt kann ein sauber blockierter Browser-Pixel durch eine unkontrollierte Server-Integration ergänzt werden. Der sinnvolle Ausgangspunkt ist deshalb der tatsächliche Weg eines Besuchs oder Kaufs: Welche Daten entstehen, wer erhält sie und welche Entscheidung erlaubt die Übermittlung?
Dieser Leitfaden erklärt die technischen Prüfpunkte für österreichische Unternehmen. Er ersetzt keine rechtliche Einzelfallprüfung; bei strittigen Fragen helfen spezialisierte Rechtsberatung und die WKO-Unterlagen zum Datenschutz. Stand: 28. September 2026.
Welche Regeln und Akteure sind in Österreich relevant?
noyb und frühere Entscheidungen richtig einordnen
Beschwerden von noyb machen konkrete Verarbeitungen zum Gegenstand behördlicher Verfahren. Der Jahresbericht 2025 nennt 21 neue Beschwerden. Diese Zahl ist weder eine österreichische Strafstatistik noch ein Vergleich der Durchsetzungsstärke europäischer Behörden.
Schrems II betraf 2020 unter anderem die Ungültigkeit des damaligen Privacy Shield. Die Ende 2021 beschlossene und 2022 veröffentlichte österreichische Google-Analytics-Entscheidung behandelte eine konkrete damalige Übermittlung; der DSB-Bericht 2022 dokumentiert den Fall. Daraus folgt kein zeitlich unbegrenztes Verbot jedes Analytics-Einsatzes. Seit Juli 2023 besteht das EU–US Data Privacy Framework für erfasste Übermittlungen an teilnehmende US-Unternehmen. Die DSB erläutert Reichweite und Grenzen des DPF.
DSB und Telekommunikationsbehörden haben unterschiedliche Aufgaben
Die Datenschutzbehörde prüft die Verarbeitung personenbezogener Daten nach der DSGVO. Für Verstöße gegen die einschlägigen TKG-Regeln sind die Fernmeldebehörden zuständig. Ein Tracking-Vorgang kann beide Bereiche berühren. Die bloße Behauptung, Österreich habe die strengste Durchsetzung Europas, hilft bei der Prüfung eines Shops nicht weiter.
§ 165 Abs. 3 TKG betrifft mehr als Cookies
Die Regel erfasst das Speichern von Informationen auf einem Endgerät und den Zugriff darauf. Für nicht notwendige Technologien ist grundsätzlich vorherige Einwilligung erforderlich. Eine Ausnahme gilt für die Übertragung einer Nachricht oder unbedingt erforderliche Funktionen eines ausdrücklich gewünschten Dienstes. Eine Warenkorb-Funktion und ein Werbe-Pixel müssen daher getrennt beurteilt werden. Die Cookie-FAQ der DSB beschreibt diesen Rahmen.
Vier typische Fehler im Consent-Banner
- Vorausgewählte Marketing-Zwecke. Eine bereits gesetzte Checkbox ersetzt keine aktive Entscheidung. Notwendige Funktionen und optionale Zwecke gehören getrennt dargestellt.
- Zugang nur gegen Tracking-Zustimmung. Eine Cookie-Wall oder ein „Pay or Okay“-Modell verlangt eine konkrete Prüfung der Freiwilligkeit und Alternativen. Eine pauschale Freigabe oder ein pauschales Verbot wäre zu weitgehend.
- Versteckte oder erschwerte Ablehnung. Entscheidend sind Verständlichkeit, Auffindbarkeit und Aufwand. Eine bestimmte Button-Farbe ist für sich allein kein Gesetzesverstoß; ein kaum sichtbarer Ablehnungsweg kann jedoch die freie Wahl beeinträchtigen.
- Versand vor der Auswahl. Das Banner darf nicht nur die Anzeige ändern. Die Entscheidung muss die betroffenen Browser-Tags und Server-Weiterleitungen tatsächlich steuern; ebenso der spätere Widerruf.
Eine CMP vereinfacht die Verwaltung, belegt aber keine korrekte Umsetzung. Testen Sie einen neuen Besuch ohne Auswahl, Ablehnung, Zustimmung und Widerruf. Beobachten Sie Netzwerkanfragen und Server-Versand. Die eigene Zustimmungsquote ist ein Diagnosewert nach Gerät und Quelle; ein allgemeiner Zielwert lässt sich daraus nicht ableiten.
Welche Risiken und Sanktionen sind relevant?
Eine Preisliste für Bannerfehler gibt es nicht. Die DSGVO unterscheidet je nach Verstoß Höchstgrenzen von €10 Millionen oder 2% beziehungsweise €20 Millionen oder 4% des weltweiten jährlichen Umsatzes; maßgeblich ist jeweils der höhere Betrag. Die konkrete Entscheidung hängt vom Einzelfall ab. Die DSB beschreibt die Pflichten und Sanktionsrahmen.
| Risiko | Konkreter Prüfpunkt |
|---|---|
| Unzulässiges Tracking | Zweck, Rechtsgrundlage und tatsächlicher Versand vor einer erlaubenden Entscheidung. |
| Unwirksame Einwilligung | Information, Freiwilligkeit, Ablehnung, Nachweis und Widerruf. |
| Unklare Dienstleisterrolle | Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter; passende Vereinbarung. |
| Unzulässiger Drittlandtransfer | Tatsächlicher Empfänger, DPF-Abdeckung oder anderer Transfermechanismus. |
| Unzureichende Nachweise | Datenfluss, Zugriff, Speicherfristen und überprüfbare technische Umsetzung. |
TKG-Verstöße sind gesondert nach zuständiger Behörde und einschlägiger Norm zu beurteilen. Aus diesen Höchstgrenzen ergibt sich kein üblicher Rechnungsbetrag für einen konkreten Fehler.
Welche Daten dürfen Werbeintegrationen erhalten?
Prüfen Sie für jedes Feld Zweck, Quelle, Rechtsgrundlage, Empfänger und Format. Kontakte aus einer Bestellung sind nicht automatisch für Werbeabgleich freigegeben. Eine notwendige Bestellabwicklung und die Verwendung derselben Daten für Werbung sind unterschiedliche Zwecke.
Für zulässiges Matching können normalisierte und gehashte Kontaktdaten verwendet werden. Hashing ist keine automatische Anonymisierung. Nicht jedes Feld wird gleich behandelt: E-Mail und Telefon können SHA-256 erfordern; Betrag, Währung, event_id, IP-Adresse, User Agent und fbp/fbc haben andere Formatvorgaben. Die Meta-SDK-Implementierung der User-Daten trennt diese Parameter.
Auch Vorname, Nachname, Ort und Postleitzahl kommen nur infrage, wenn die konkrete Matching-Funktion sie benötigt und ihre Verarbeitung zulässig ist. Eine längere Parameterliste ist kein Qualitätsziel; jeder Empfänger und Zweck muss nachvollziehbar bleiben.
Gesundheitsangaben, andere besondere Kategorien nach Artikel 9 und unnötige Formularinhalte gehören nicht in Werbeereignisse. Auch URL-Parameter können solche Informationen verraten. Eine Kunden-ID bleibt ein Identifikator; ein serverseitiger Transport macht sie nicht zu einem anonymen Aggregat. Erfassen Sie nur die für den erlaubten Zweck erforderlichen Daten. Auch Purchase, AddToCart und Lead brauchen eine klare Definition; Produktnamen dürfen keine sensiblen Inhalte verraten.
Was Server-Side Tracking kontrollierbarer macht
Vier Eigenschaften sind praktisch nützlich:
- Freigabe vor Weiterleitung: Der Server prüft die Entscheidung für den konkreten Zweck.
- Auswahl der Parameter: Die Integration sendet nur zulässige Felder aus einer klaren Quelle.
- Nachvollziehbarer Transport: Ein eigener Endpunkt kann den Datenweg vereinfachen, ist aber nicht für jede CAPI-Integration notwendig.
- Fehlerdiagnose: Sparsame Protokolle helfen, Versand und Wiederholungen zu prüfen; Zugriff und Löschfristen gehören dazu.
Ein Server kann eine bereits erfolgte Browser-Übermittlung nicht rückgängig machen. Hosting in der EU und eine eigene Subdomain verhindern auch nicht automatisch eine anschließende Übermittlung an einen US-Empfänger. Die technische Architektur und die rechtliche Bewertung müssen denselben Datenfluss beschreiben.
Erkado: Ergebnis eines konkreten Projekts
Im Erkado-Projekt in Tschechien wurden Messung und Meta-Kampagnen gemeinsam überarbeitet. CAPI, Custom Server-Side Code, Deduplizierung und Advanced Matching gehörten zum Umfang.
Im laufenden Projekt für den tschechischen Online-Shop Erkado umfasst die Zusammenarbeit Server-Side-Tracking, Kampagnenführung über drei Zielrichtungen (Käufe, B2B-Partner, Mitarbeitergewinnung) sowie UX-Anpassungen im mobilen Checkout auf Basis von Clarity-Beobachtungen. Das zeigt: Eine verlässliche Messung und saubere Datenübertragung stabilisieren die Datengrundlage, belegen aber keinen isolierten Umsatzeffekt ohne abgestimmte Kampagnenführung.
Die Werte stammen aus dem veröffentlichten Canem-Errant-Fallbericht. Sie sind weder ein unabhängiger Compliance-Nachweis noch ein isolierter Effekt von CAPI oder Consent. Daraus folgt kein erwarteter CPA-Rückgang für einen anderen Shop.
Was Google Consent Mode v2 tatsächlich steuert
Google verlangt für einschlägige Mess- und Werbefunktionen mit EWR-Nutzerdaten die Erfassung und Übermittlung der relevanten Auswahl. Der Google-Hinweis zu EWR-Traffic beschreibt den Produktumfang; eine pauschale Aussage „jede Conversion braucht seit März 2024 denselben Aufbau“ wäre ungenau.
Vier Signale sind wichtig: ad_storage, analytics_storage, ad_user_data und ad_personalization. Sie betreffen unterschiedliche Funktionen. Ein erteiltes Storage-Signal ersetzt keine Freigabe für personalisierte Werbung.
Bei Basic Consent Mode bleiben Google-Tags bis zur entsprechenden Zustimmung blockiert. Bei Advanced Consent Mode können im abgelehnten Zustand cookielose Signale gesendet werden. „Cookielos“ bedeutet nicht „keine Datenübermittlung“. Google erläutert die beiden Implementierungen und Auswirkungen der Signale.
| Bereich | Was separat geprüft werden muss |
|---|---|
| Remarketing | Personalisierung setzt die benötigte Zustimmung voraus; Modellierung erstellt keine erlaubte individuelle Zielgruppe aus Ablehnenden. |
| Conversion-Messung | Beobachtete und modellierte Werte unterscheiden; Modellierung hängt von Voraussetzungen und Daten ab. |
| Google-Funktionen | Relevante Signale für das verwendete Produkt übermitteln. |
| Datenlücken | Eigene Messung mit Shop/CRM vergleichen; keine universelle Wiederherstellungsquote. |
| Rechtliche Bewertung | Tatsächliche Anfragen und Zweck prüfen; Consent Mode ist kein Zertifikat. |
Vier Schritte für die Umsetzung
1. Banner und Verhalten prüfen
- Zustimmung und Ablehnung klar und ohne erschwerten Ablehnungsweg anbieten.
- Vorausgewählte optionale Zwecke entfernen.
- Zugang und gegebenenfalls Alternativen auf Freiwilligkeit prüfen.
- Notwendige und Marketing-Technologien trennen.
- Auswahl und Widerruf nachvollziehbar dokumentieren.
2. Datenfluss und Zuständigkeit dokumentieren
- Das erforderliche Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 aktuell halten.
- Rollen und Vereinbarungen je Empfänger prüfen; Artikel 28 betrifft Auftragsverarbeiter.
- Drittlandtransfers prüfen: konkretes Rechtsunternehmen, aktive DPF-Teilnahme und Datenumfang oder geeignete Alternative, etwa SCC mit erforderlichen Zusatzmaßnahmen.
3. Gewählte Messarchitektur einrichten
- Bedarf und Betrieb eines Server-GTM-Containers prüfen.
- Bei CAPI die Weiterleitung serverseitig freigeben oder sperren.
- Google Consent Mode v2 für die verwendeten Funktionen einstellen.
- Browser- und Server-Ereignisse deduplizieren.
- Advanced Matching nur mit erlaubten Feldern und passendem Format einsetzen.
Die Einrichtung kann je nach System Wochen benötigen; das ist keine garantierte Lieferfrist. Testen Sie anschließend Betrag, Währung, Wiederholung, Ablehnung und Widerruf. Mehr dazu in der Tracking-Leistung und im Beitrag zur Deduplizierung.
4. Regelmäßige Kontrolle festlegen
- EMQ und Übertragungsfehler regelmäßig sowie nach Änderungen prüfen.
- Eigene Zustimmungsquoten nach Geräten beobachten, ohne einen erfundenen Marktwert anzustreben.
- Relevante DSB-Entscheidungen und noyb-Verfahren verfolgen.
Nutzen und vollständige Kosten getrennt rechnen
Rechenbeispiel, keine Prognose: €5.000 monatlicher Media-Einsatz bei €40 CPA entspricht 125 Bestellungen. Ein tatsächlich nachgewiesener Rückgang auf €32, also 20%, ergäbe rechnerisch 156,25 Bestellungen. Bei €80 Bestellwert steigt der Umsatz von €10.000 auf €12.500. Auf 156 Bestellungen abgerundet sind es €12.480 und €2.480 mehr.
Alle Beträge im Beispiel sind ohne Umsatzsteuer. Bei angenommenem 40%-Deckungsbeitrag nach variablen Kosten und Retouren bleiben von zusätzlichen €2.500 zunächst €1.000. Angenommene €100 Hosting reduzieren das auf €900 vor Einrichtung, Wartung, CMP und übrigen Kosten. Diese €100 sind kein Canem-Errant-Preis. Der Deckungsbeitrag ist noch kein Unternehmensgewinn.
Für die Amortisation brauchen Sie die tatsächlichen Einrichtungskosten und einen bestätigten zusätzlichen Beitrag nach laufenden Kosten. Gleichzeitig veränderte Kampagnen, Angebote oder Creatives erschweren die Zuordnung. Eine technische Verbesserung kann auch nur einen bisher falsch gemessenen Umsatz sichtbar machen. Eine höhere erfasste Conversion-Zahl allein ist deshalb kein Nachweis zusätzlicher Verkäufe.
Empfohlener Einstieg: Entscheidungen, Übermittlung und Bestellabweichungen systematisch prüfen; das schafft eine begründete Arbeitsliste. Kurzer Einstieg: einen Hauptkaufweg und offensichtliche Übermittlungen nach Ablehnung prüfen; das kostet weniger Zeit, lässt aber andere Wege offen. Vorsichtiger Einstieg: optionale Weiterleitung bis zur technischen und rechtlichen Prüfung begrenzen; das verringert die Verarbeitung, erfordert jedoch mehr manuelle Auswertung. Ein kleiner einfacher Aufbau braucht nicht zwingend einen Server-Container.
Häufig gestellte Fragen
Welche Datenschutzstrafen können österreichische Werbetreibende treffen?
Die DSGVO sieht je nach Verstoß Höchstgrenzen von €10 Millionen/2% oder €20 Millionen/4% des weltweiten Jahresumsatzes vor, jeweils mit dem höheren Betrag. Die Sanktion wird individuell bestimmt. TKG-Verstöße müssen gesondert nach Norm und Zuständigkeit beurteilt werden; es gibt keine allgemeine Preisliste für Bannerfehler.
Was bedeutet das TKG 2021 für Online-Werbung?
§ 165 Abs. 3 betrifft Speicherung und Zugriff auf Endgeräten. Nicht notwendige Technologien benötigen grundsätzlich vorherige Einwilligung; für unbedingt erforderliche Funktionen eines ausdrücklich gewünschten Dienstes besteht eine Ausnahme. Die Auswahl muss das tatsächliche Verhalten steuern. Eine bestimmte Button-Farbe allein entscheidet nicht über die Zulässigkeit.
Lassen sich Meta Ads und Google Ads datenschutzkonform betreiben?
Das hängt vom konkreten Zweck, Datenfluss, Nutzerentscheidungen, Empfängern und Verträgen ab. EU-Hosting oder eine CMP allein belegen keine zulässige Verarbeitung. Prüfen Sie die tatsächlich gesendeten Anfragen und lassen Sie strittige rechtliche Fragen gesondert beurteilen.
Welche Kundendaten dürfen für Werbeabgleich übermittelt werden?
Nur die für den konkreten Zweck zulässigen und erforderlichen Felder im richtigen Format. E-Mail und Telefon können Normalisierung und SHA-256 verlangen; Betrag, Währung und technische Parameter werden anders behandelt. Ein Hash für Matching ist keine automatische Anonymisierung und erweitert eine Einwilligung nicht auf weitere Zwecke.
Verbessert Server-Side Tracking Datenschutz und CPA gleichzeitig?
Es kann Freigaben, Parameterauswahl und Fehlerdiagnose besser kontrollierbar machen. Rechtliche Zulässigkeit und wirtschaftlicher Effekt bleiben gesonderte Prüffragen. Ein serverseitiger Versand darf eine Ablehnung nicht umgehen; ein garantierter CPA-Rückgang lässt sich aus der Architektur nicht ableiten.
Möchten Sie klären, welche Daten Ihre Werbeintegrationen tatsächlich senden? Besprechen Sie die technische Prüfung mit Canem Errant. Ein kurzes Erstgespräch grenzt die Frage ein; Diagnose und Umsetzung werden separat vereinbart.
