Obsah (4)

Art. 12Art 6Art 4Art 7

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum23.04.2026 GeschäftszahlW171 2303402-1 Spruch, W171 2303402–1/7E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richte

Art. 12Rz 39; in Bezug auf das DSG 2000 auch Jahnel, Handbuch Rz 7/22 mw

N)3.3.2. Wie die belangte Behörde zutreffend festhält (und von der Beschwerdeführerin auch nicht in Abrede gestellt wurde), ist für die Beurteilung, wie das Cookie-Banner und die Interaktionsmöglichkeiten zu verstehen sind, die Figur eines durchschnittlich informierten, aufmerksamen und verständigen Verbrauchers heranzuziehen. vergleiche EuGH 16.07.1998, C-210/96 [Gut Springenheide GmbH] Rz 37; BVwG 13.12.2022, W214 2234934-1; Artikel 29-Datenschutzgruppe, Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/67, WP259 rev.01, 17/DE, S. 16; Greve in Sydow, Kommentar Artikel 12, Rz 11; Illibauer in Knyrim,

Artikel 12, Rz 39; in Bezug auf das DSG 2000 auch Jahnel, Handbuch Rz 7/22 mw

N) 3.3.

1. Unter „Einwilligung“ iSd. Art. 4 Z 11 DSGVO ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung zu verstehen, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Gem. Art. 6 Abs. 1 lit. a DSGVO ist eine Datenverarbeitung ua. dann zulässig, wenn die betroffene Person ihre Einwilligung zur Datenverarbeitung gegeben hat. Gem. Art 7 Abs 1 DSGVO hat der Verantwortliche bei Datenverarbeitungen, die auf einer Einwilligung beruhen, nachzuweisen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.3.3.
2. Unter „Einwilligung“ iSd. Artikel 4, Ziffer 11, DSGVO ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung zu verstehen, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Gem. Artikel 6, Absatz eins, Litera a, DSGVO ist eine Datenverarbeitung ua. dann zulässig, wenn die betroffene Person ihre Einwilligung zur Datenverarbeitung gegeben hat. Gem. Artikel 7, Absatz eins, DSGVO hat der Verantwortliche bei Datenverarbeitungen, die auf einer Einwilligung beruhen, nachzuweisen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Die Einwilligung der betroffenen Person als Rechtsgrund für die zulässige Verarbeitung von personenbezogenen Daten ist Ausdruck der datenschutzrechtlichen privatautonomen Selbstbestimmung der betroffenen Person, die damit über das „ob“ und „wie“ der Datenverarbeitung entscheidet. Die Erteilung der Einwilligung (ausgehend vom Grundrecht auf Datenschutz) ist in Österreich bislang als Ausübung eines höchstpersönlichen (vertretungsfeindlichen) Rechts qualifiziert worden. (Kastelitz/Hötzendorfer/Tschohl in Knyrim,

Art 6DSGVO Rz 20 (Stand 1.10.2025, rdb.at))

Die Einwilligung der betroffenen Person als Rechtsgrund für die zulässige Verarbeitung von personenbezogenen Daten ist Ausdruck der datenschutzrechtlichen privatautonomen Selbstbestimmung der betroffenen Person, die damit über das „ob“ und „wie“ der Datenverarbeitung entscheidet. Die Erteilung der Einwilligung (ausgehend vom Grundrecht auf Datenschutz) ist in Österreich bislang als Ausübung eines höchstpersönlichen (vertretungsfeindlichen) Rechts qualifiziert worden. (Kastelitz/Hötzendorfer/Tschohl in Knyrim,

Artikel 6

, DSGVO Rz 20 (Stand 1.10.2025, rdb.at)) Die zentralen Wirksamkeitsvoraussetzungen der Einwilligung im Sinne der DSGVO sind Freiwilligkeit, Bestimmtheit, Informiertheit und Einwilligungsbewusstsein. (Hödl in Knyrim,

Art 4DSGVO Rz 114 (Stand 1.12.2018))

Die zentralen Wirksamkeitsvoraussetzungen der Einwilligung im Sinne der DSGVO sind Freiwilligkeit, Bestimmtheit, Informiertheit und Einwilligungsbewusstsein. (Hödl in Knyrim,

Artikel 4

, DSGVO Rz 114 (Stand 1.12.2018)) Eine Einwilligung soll durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. (ErwGr 32) Klar erkennbares und eindeutiges Ziel des Art 7 DSGVO in Zusammenschau mit den dazugehörigen Erwägungsgründen ist, dass eine betroffene Person nicht versehentlich in die Verarbeitung personenbezogener Daten einwilligt. (vgl hier in Bezug auf Art 7 Abs 2 DSGVO: Kastelitz in Knyrim,

Art 7

DSGVO Rz 17 (Stand 7.5.2020, rdb.at)) Dass dies nicht nur für Fälle des Art 7 Abs 2 DSGVO gilt, zeigt sich allerdings anhand der weiteren vom Verordnungsgeber gewählten Formulierungen bzw. Anforderungen an eine Einwilligung, wonach diese in informierter Weise, unmissverständlich und eindeutig abgegeben werden muss (vgl ErwGr 32 DSGVO), sowie am Transparenzgrundsatz des Art 5 Abs 1 lit a DSGVO, der die Transparenz bereits bei der Erhebung von Daten vorschreibt. (vgl ErwGr 39, Satz 2 DSGVO)Klar erkennbares und eindeutiges Ziel des Artikel 7, DSGVO in Zusammenschau mit den dazugehörigen Erwägungsgründen ist, dass eine betroffene Person nicht versehentlich in die Verarbeitung personenbezogener Daten einwilligt. vergleiche hier in Bezug auf Artikel 7, Absatz 2, DSGVO: Kastelitz in Knyrim,

Artikel 7

, DSGVO Rz 17 (Stand 7.5.2020, rdb.at)) Dass dies nicht nur für Fälle des Artikel 7, Absatz 2, DSGVO gilt, zeigt sich allerdings anhand der weiteren vom Verordnungsgeber gewählten Formulierungen bzw. Anforderungen an eine Einwilligung, wonach diese in informierter Weise, unmissverständlich und eindeutig abgegeben werden muss vergleiche ErwGr 32 DSGVO), sowie am Transparenzgrundsatz des Artikel 5, Absatz eins, Litera a, DSGVO, der die Transparenz bereits bei der Erhebung von Daten vorschreibt. vergleiche ErwGr 39, Satz 2 DSGVO) 3.3.

1. Wie festgestellt, ist das Cookie-Banner samt Einwilligungsersuchen der Beschwerdeführerin derart ausgestaltet, dass der Button „Alle Cookies akzeptieren“ kontrastreich hervorgehoben ist. Der Ablehnungsmöglichkeit ist hingegen in einem geringen Kontrast (weiß auf hellgrauem Hintergrund) gehalten; die Button „Cookie Präferenzen“ und „Nur notwendige Cookies“ stellen sich im Vergleich dazu auffallend in den Hintergrund. Zwar ist der Beschwerdeführerin dahingehend zuzustimmen, dass die Schrift der jeweiligen Button gut zu lesen ist, mit Blick auf das gesamte Cookie-Banner kann jedoch nicht vernünftigerweise behauptet werden, dass der Button „Alle Cookies akzeptieren“ nicht durch seine farbliche Gestaltung hervorstechen würde. Vielmehr ist anhand der Ausgestaltung des Einwilligungsbuttons anzunehmen, dass Nutzer unbedacht das Cookie-Banner bloß schließen wollen, schließlich ist es ohne Interaktion mit dem Banner nicht möglich auf der Website zu navigieren. Es kann damit nicht mehr mit hinreichender Sicherheit gesagt werden, ob Nutzer tatsächlich in die Erhebung personenbezogener Daten einwilligen oder lediglich den Weg des geringsten Widerstands wählen um die Inhalte der Webseite zu nutzen. Insofern lenkt das von der Beschwerdeführerin konkret verwendete Design Websitebesucher klar in Richtung der Einwilligung (auch „nudging“ genannt). Dadurch ist die von der Beschwerdeführerin behauptete „Einwilligung“ aber nicht mehr unmissverständlich iSd ErwGr 32 DSGVO. Darüber hinaus widerspricht ein Design, welches Nutzer zu einer datenschutzrechtlich invasiveren Option lenkt, dem Grundsatz der Transparenz. Der Argumentation der Beschwerdeführerin, wonach die einschlägigen datenschutzrechtlichen Normen keine bestimmte Ausgestaltung von Cookie-Bannern vorschreiben würden und das verfahrensgegenständliche Banner daher zulässig sei, kann nicht gefolgt werden. Dass es konkrete Vorschriften zur Gestaltung eines Online-Auftritts gäbe, hat die belangte Behörde auch nie behauptet. Ein solches Verständnis ist aber auch nicht der von der Beschwerdeführerin zitierten EuGH-Rechtsprechung zu RS C-249/21 zu entnehmen. Der EuGH hält diesbezüglich zwar fest, dass die Ausgestaltung von Bestellvorgängen im Internet mangels konkreter Vorgaben den einzelnen Unternehmen überlassen ist. Dennoch sind Unternehmen an bestimmte Grundsätze gebunden. (vgl. EuGH 07.04.2022, RS C-249/21 [Fuhrmann-2-GmbH] Rz 27) Der Argumentation der Beschwerdeführerin, wonach die einschlägigen datenschutzrechtlichen Normen keine bestimmte Ausgestaltung von Cookie-Bannern vorschreiben würden und das verfahrensgegenständliche Banner daher zulässig sei, kann nicht gefolgt werden. Dass es konkrete Vorschriften zur Gestaltung eines Online-Auftritts gäbe, hat die belangte Behörde auch nie behauptet. Ein solches Verständnis ist aber auch nicht der von der Beschwerdeführerin zitierten EuGH-Rechtsprechung zu RS C-249/21 zu entnehmen. Der EuGH hält diesbezüglich zwar fest, dass die Ausgestaltung von Bestellvorgängen im Internet mangels konkreter Vorgaben den einzelnen Unternehmen überlassen ist. Dennoch sind Unternehmen an bestimmte Grundsätze gebunden. vergleiche EuGH 07.04.2022, RS C-249/21 [Fuhrmann-2-GmbH] Rz 27) Es wäre lebensfremd, jegliche zulässige oder unzulässige Form einer Einwilligung in Datenverarbeitungen konkret vorzuschreiben. Der belangten Behörde ist daher in ihrer Vorgehensweise – Auslegung der DSGVO durch Rechtsprechung, Heranziehung von Literatur und der Erwägungsgründe und Heranziehung nicht bindender Stellungnahmen der Europäischen Datenschutzkommission – und in ihrem Ergebnis, dass keine gültige Einwilligung vorliegt, zuzustimmen. Die Beschwerdeführerin verkennt, dass es nicht um gesetzliche Vorschriften zum visuellen Online-Auftritt oder dem Cookie-Banner geht, sondern um die Frage, ob die Einwilligung in die Datenverarbeitung vor dem Hintergrund der farblichen Komposition des Cookie-Banners, das eindeutig die Einwilligung in die Datenverarbeitung optisch hervorhebt, noch als „freiwillig“ iSd. DSGVO angesehen werden kann. Soweit die Beschwerdeführerin vorbringt, dass die farbliche Komposition irrelevant sei und diesbezüglich auch auf eine Stellungnahme des Europäischen Datenschutzausschusses verweist (Report oft he work undertaken by the Cookie Banner Taskforce, 17.01.2023), ist festzuhalten, dass eben dort festgehalten wird, dass die Farbkomposition sehr wohl eine Rolle spielt. Zwar könne Unternehmen keine konkrete Ausgestaltung ihres Online-Auftritts bzw. der Cookie-Banner vorgeschrieben werden, es sei allerdings davon auszugehen, dass Button zur Einwilligung oder Ablehnung von Datenverarbeitungen unzulässig sind, wenn die Schrift aufgrund mangelnder Kontraste praktisch unleserlich sind. Insofern ist die visuelle Gestaltung auch ohne konkreter Vorschriften relevant bei der Beurteilung, ob eine unbeeinflusste Einwilligung vorliegt. Der Leistungsauftrag der belangten Behörde wurde mit Blick auf die ihr durch Art. 58 DSGVO eingeräumten Befugnisse zu Recht erteilt. Dass die Behörde eine solche Befugnis nicht habe, wurde darüber hinaus nicht behauptet. Der Leistungsauftrag der belangten Behörde wurde mit Blick auf die ihr durch Artikel 58, DSGVO eingeräumten Befugnisse zu Recht erteilt. Dass die Behörde eine solche Befugnis nicht habe, wurde darüber hinaus nicht behauptet. 3.3.
2. Soweit die Beschwerdeführerin vorbringt, dass ihr die Ergebnisse der belangten Behörde zur farblichen Gestaltung des Cookie-Banners und der damit einhergehenden Kontrast-Werte nicht zur Stellungnahme vorgehalten worden wären, ist zum einen darauf hinzuweisen, dass es sich dabei lediglich um eine in Zahlen gegossene Beschreibung des Problems handelt – einer Methode, der sich die Beschwerdeführerin im Zuge ihrer Stellungnahme vom 23.03.2026 im Übrigen selbst bedient. Zum anderen wurde der Beschwerdeführerin durchaus die Gelegenheit gegeben dazu Stellung zu nehmen, warum der Button „Alle Cookies akzeptieren“ farblich anders gestaltet ist. Zudem wurde ihr im Rahmen des verwaltungsgerichtlichen Verfahrens Gelegenheit zur Stellungnahme gegeben und wurden dadurch allfällige Mängel im verwaltungsbehördlichen Verfahren saniert. (vgl. VwGH 20.12.2017, Ra 2017/03/0069; VwGH 27.02.2003, 2000/18/0040)3.3.
3. Soweit die Beschwerdeführerin vorbringt, dass ihr die Ergebnisse der belangten Behörde zur farblichen Gestaltung des Cookie-Banners und der damit einhergehenden Kontrast-Werte nicht zur Stellungnahme vorgehalten worden wären, ist zum einen darauf hinzuweisen, dass es sich dabei lediglich um eine in Zahlen gegossene Beschreibung des Problems handelt – einer Methode, der sich die Beschwerdeführerin im Zuge ihrer Stellungnahme vom 23.03.2026 im Übrigen selbst bedient. Zum anderen wurde der Beschwerdeführerin durchaus die Gelegenheit gegeben dazu Stellung zu nehmen, warum der Button „Alle Cookies akzeptieren“ farblich anders gestaltet ist. Zudem wurde ihr im Rahmen des verwaltungsgerichtlichen Verfahrens Gelegenheit zur Stellungnahme gegeben und wurden dadurch allfällige Mängel im verwaltungsbehördlichen Verfahren saniert. vergleiche VwGH 20.12.2017, Ra 2017/03/0069; VwGH 27.02.2003, 2000/18/0040) 3.
4. Es war daher spruchgemäß zu entscheiden. 3.
5. Zum Entfall einer mündlichen Verhandlung: Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen. Gemäß Paragraph 24, Absatz 4, VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen. Gemäß der Rechtsprechung des EGMR zu Art. 6 EMRK, dessen Garantien nach Art. 47 Abs. 2 GRC auch im vorliegenden Fall Anwendung finden, kann eine mündliche Verhandlung unter bestimmten Voraussetzungen unterbleiben, etwa wenn der Fall auf der Grundlage der Akten und der schriftlichen Äußerungen der Parteien angemessen entschieden werden kann (EGMR 12.11.2002, 28.394/95, Döry vs. Schweden; 8.2.2005, 55.853/00, Miller vs. Schweden).Gemäß der Rechtsprechung des EGMR zu Artikel 6, EMRK, dessen Garantien nach Artikel 47, Absatz 2, GRC auch im vorliegenden Fall Anwendung finden, kann eine mündliche Verhandlung unter bestimmten Voraussetzungen unterbleiben, etwa wenn der Fall auf der Grundlage der Akten und der schriftlichen Äußerungen der Parteien angemessen entschieden werden kann (EGMR 12.11.2002, 28.394/95, Döry vs. Schweden; 8.2.2005, 55.853/00, Miller vs. Schweden). Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Aus der Aktenlage ergaben sich klar sämtliche zugrunde zu legenden Fakten, die für eine rechtliche Beurteilung der Rechtssache erforderliche gewesen sind. Das Bundesverwaltungsgericht hatte zudem ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; oder etwa VfGH 18.06.2012, B 155/12). Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Aus der Aktenlage ergaben sich klar sämtliche zugrunde zu legenden Fakten, die für eine rechtliche Beurteilung der Rechtssache erforderliche gewesen sind. Das Bundesverwaltungsgericht hatte zudem ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; oder etwa VfGH 18.06.2012, B 155/12). Von der Durchführung einer mündlichen Verhandlung war daher gemäß § 24 Abs. 1 und Abs. 4 VwGVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war daher gemäß Paragraph 24, Absatz eins und Absatz 4, VwGVG abzusehen. Zu B) Zulässigkeit der Revision: Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage von grundsätzlicher Bedeutung abhängt. Es liegt bislang keine Rechtsprechung des VwGH vor, ob eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung iSd Art 7 DSGVO vorliegt, wenn der Verantwortliche einer Webseite im Cookie-Banner die Einwilligungsoption zur Verarbeitung von personenbezogenen Daten durch ihre Platzierung, farbliche Hervorhebung, ihr Kontrastverhältnis zum Hintergrund und die Wahl der Schriftgröße prominenter darstellt, als die Option zur Verweigerung dieser Einwilligung.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage von grundsätzlicher Bedeutung abhängt. Es liegt bislang keine Rechtsprechung des VwGH vor, ob eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung iSd Artikel 7, DSGVO vorliegt, wenn der Verantwortliche einer Webseite im Cookie-Banner die Einwilligungsoption zur Verarbeitung von personenbezogenen Daten durch ihre Platzierung, farbliche Hervorhebung, ihr Kontrastverhältnis zum Hintergrund und die Wahl der Schriftgröße prominenter darstellt, als die Option zur Verweigerung dieser Einwilligung. Soweit die Revision zugelassen wird, aber dennoch keine mündliche Verhandlung durchgeführt wurde ist festzuhalten, dass der Sachverhalt hinreichend geklärt und unstrittig ist. Die von den Parteien vorgebrachten rechtlichen Argumente wurden vom erkennenden Senat vor dem Hintergrund der bestehenden Rechtsprechung durch EuGH und VwGH umfassend gewürdigt und wäre in diesem Zusammenhang auch im Rahmen eines Rechtsgesprächs keine weitere Klärung zu erwarten gewesen. European Case Law IdentifierECLI:AT:BVWG:2026:W171.2303402.1.00