Website-Compliance in Australien: DDA, Privacy Act und WCAG

Allgemeine Information, Stand siehe Datum oben. Dieser Text gibt wieder, was die zitierten Quellen sagen; er ist keine Rechtsberatung und wurde von keiner Anwältin und keinem Anwalt geprüft. Australisches Datenschutz- und Antidiskriminierungsrecht hängt stark von Ihren konkreten Umständen ab — was Sie erheben, von wem, und welche Rückausnahmen greifen. Verstehen Sie das hier als Orientierung und prüfen Sie Ihre eigene Lage, bevor Sie danach handeln.

Die meisten Compliance-Ratschläge, die ein australisches Unternehmen online findet, sind europäische Ratschläge mit ausgetauschten Ortsnamen. Das ist ein Problem, denn australisches Webrecht unterscheidet sich vom EU-Modell in drei strukturellen Punkten: Es gibt kein Gesetz, das WCAG für private Websites vorschreibt, es gibt keine Einwilligungspflicht für Cookies, und eine umsatzbezogene Ausnahme nimmt die meisten Kleinunternehmen vollständig aus dem Datenschutzregime heraus.

Nichts davon bedeutet, dass eine australische Website keine Pflichten hätte. Es bedeutet, dass die Pflichten eine andere Form haben — und wer eine DSGVO-Checkliste kopiert, erledigt Arbeit, die nicht nötig ist, und verfehlt das, was tatsächlich Haftung erzeugt.

Die zwei bundesrechtlichen Rahmen

• Barrierefreiheit — Disability Discrimination Act 1992 (Cth). Section 24 macht die Diskriminierung wegen einer Behinderung bei der Bereitstellung von Waren, Dienstleistungen und Einrichtungen rechtswidrig. Eine Website ist eine Dienstleistung. Die Pflicht ist nicht absolut: Section 21B nimmt Diskriminierung aus, deren Vermeidung eine unjustifiable hardship bedeuten würde, beurteilt nach Section 11. SOCOG hat sich in Maguire darauf berufen und verloren. Durchgesetzt wird beschwerdegetrieben über die Australian Human Rights Commission.
• Datenschutz — Privacy Act 1988 (Cth). Die Australian Privacy Principles regeln, wie APP entities mit personenbezogenen Daten umgehen. Aufsicht führt das Office of the Australian Information Commissioner, das echte Ermittlungs- und Durchsetzungsbefugnisse hat — aber nur gegenüber Stellen, die das Gesetz tatsächlich bindet.

Man beachte, was auf dieser Liste fehlt: Es gibt keine australische ePrivacy-Richtlinie und kein australisches Gegenstück zum European Accessibility Act mit einer angehängten Umsetzungsfrist.

Landesrecht der Bundesstaaten und Territorien tritt daneben. Jeder Bundesstaat und jedes Territorium hat ein eigenes Antidiskriminierungsgesetz mit einem Waren- und Dienstleistungstatbestand, und New South Wales, Victoria und das ACT haben Gesetze zu Gesundheitsakten, die kleine Gesundheitsanbieter unabhängig von der bundesrechtlichen Umsatzausnahme binden. Die AHRC-Leitlinien sagen das auf Seite 14 selbst: Sie sind zusammen mit dem gesamten DDA und dem Antidiskriminierungsrecht der Bundesstaaten und Territorien zu lesen.

Barrierefreiheit: Die Pflicht ist der DDA, nicht WCAG

Diese Unterscheidung ist wichtiger, als sie klingt. Die Pflicht, wegen der Sie vor Gericht landen können, ist Section 24 DDA — rechtswidrige Diskriminierung. WCAG ist nicht das Gesetz; es ist der Maßstab, auf den die Aufsicht verweist, wenn sie erklärt, was das Gesetz erwartet.

Dieser Maßstab wurde kürzlich aktualisiert, und viele australische Ratgeber zitieren noch den alten. Im April 2025 veröffentlichte die Australian Human Rights Commission die Guidelines on equal access to digital goods and services, die ausdrücklich die World Wide Web Access: Disability Discrimination Act Advisory Note ver 4.1 von 2014 aktualisieren. Die neuen Leitlinien nennen WCAG 2.2 Level AA als Mindeststandard. Wenn eine Checkliste noch WCAG 2.0 nennt oder die Advisory Note von 2014 zitiert, ist sie älter als die geltende Leitlinie.

Die Leitlinien ergehen nach Section 67(1)(k) DDA und Section 11(1)(n) des Australian Human Rights Commission Act 1986, und sie sind offen über ihren eigenen Status. Seite 14 stellt fest, dass eine Organisation durch die Berufung darauf “may not be protected from a finding of unlawful discrimination”. Konformität ist ein Beleg für gutes Bemühen, kein sicherer Hafen.

Die Entscheidung, die all dies verankert, ist Maguire v Sydney Organising Committee for the Olympic Games (No 2) [2000] HREOCA 31, in der die Website der Olympischen Spiele in Sydney einen blinden Nutzer rechtswidrig diskriminiert hat. Es handelt sich um eine Entscheidung der Kommission (damals HREOC), nicht um ein Gerichtsurteil, also kein bindender Präzedenzfall im oft behaupteten Sinne — aber es ist der Fall, den alle zitieren, und die AHRC stützt sich in den Leitlinien von 2025 darauf.

Cookies: Australien ist nicht die EU

Es gibt keine australische Regel, die vor dem Setzen eines Cookies eine Einwilligung verlangt. Art. 5(3) der EU-ePrivacy-Richtlinie — die Vorschrift, die jedes Cookie-Banner erzeugt, das Sie je weggeklickt haben — hat kein australisches Gegenstück. Ebenso wenig die Anforderung, dass Ablehnen so einfach sein muss wie Zustimmen.

Anwendbar ist der Privacy Act, und nur dann, wenn ein Cookie personenbezogene Daten erhebt. Dann verlangt Australian Privacy Principle 5 eine Information bei oder vor der Erhebung — oder, wenn das nicht praktikabel ist, so bald wie praktikabel danach — und APP 1 verlangt eine Datenschutzerklärung, die beschreibt, was Sie erheben und warum. Für gewöhnliche, nicht sensible Analytics sind das Transparenz-, keine Einwilligungspflichten.

Es gibt eine wichtige Ausnahme, und sie hat Zähne. APP 3.3 verlangt eine ausdrückliche Einwilligung vor der Erhebung sensibler Daten — Gesundheit, Sexualleben, ethnische Herkunft, Religion, politische oder gewerkschaftliche Zugehörigkeit. Im Juni 2026 wandte der Privacy Commissioner dies in Medmate Australia Pty Ltd [2026] AICmr 41 und Monash IVF Pty Ltd [2026] AICmr 40 auf Tracking-Pixel an: Pixel auf Gesundheitswebsites erhoben sensible Daten über Besucher, und ein allgemeines Cookie-Pop-up wurde nicht als Einwilligung anerkannt — die Einwilligung musste ausdrücklich, informiert und pixelspezifisch sein. Die OAIC-Leitlinie zu Tracking-Pixeln vom November 2024 warnt zudem, dass eine verdeckte Erhebung personenbezogener Daten wahrscheinlich ein unfaires Erhebungsmittel nach APP 3.5 darstellt.

Ob eine Online-Kennung “personal information” ist, ist in Australien zudem umstrittener als in der EU. In Privacy Commissioner v Telstra Corporation Limited [2017] FCAFC 4 prüfte der Full Federal Court, ob bestimmte Netzwerk-Metadaten Informationen about an individual waren. Australische Gerichte haben die europäische Position, eine IP-Adresse sei in den meisten Fällen ein personenbezogenes Datum, nicht einfach übernommen — allerdings legte das Gericht die Fassung vor 2014 aus, und die OAIC-Entscheidungen zu Tracking-Pixeln von 2026 behandelten IP-Adressen, Geräteinfos und vollständige URLs als personenbezogene Daten, wo ein Besucher einzeln herausgegriffen werden konnte. Die praktische Antwort bleibt: Wenn Ihr Stack eine Person einzeln herausgreifen kann, behandeln Sie die Daten als personenbezogen und beschreiben Sie sie in Ihrer Erklärung.

Die praktische Folge für ein australisches KMU: Für gewöhnliche Analytics brauchen Sie für australische Besucher wahrscheinlich kein Cookie-Banner nach EU-Muster — es sei denn, Ihr Tracking berührt sensible Daten, dann verlangt APP 3.3 eine ausdrückliche Einwilligung, die ein allgemeines Banner nicht liefert. Sie brauchen sehr wahrscheinlich eine zutreffende Datenschutzerklärung, die das tatsächlich eingesetzte Tracking beschreibt. Und wenn Sie EU- oder UK-Kunden bedienen, gilt für diese Besucher EU- und UK-Recht, unabhängig vom Sitz Ihres Unternehmens.

Datenschutz: die Kleinunternehmerausnahme

Section 6D des Privacy Act nimmt einen small business operator von der Definition der APP entity aus. Der Kerntest ist der Jahresumsatz des vorangegangenen Geschäftsjahres: AUD 3.000.000 oder weniger, und Sie stehen außerhalb des Gesetzes. Der Wortlaut in Section 6D(1) lautet “$3,000,000 or less”, die Grenze ist also inklusiv — genau drei Millionen sind noch ausgenommen.

Der Test wirkt allerdings nur in eine Richtung, und das lassen die meisten Zusammenfassungen weg. Nach Section 6D(4)(a) ist ein Unternehmen kein small business operator, wenn sein Jahresumsatz in irgendeinem Geschäftsjahr seit Aufnahme der Tätigkeit über AUD 3.000.000 lag. Man kann in einem schwachen Jahr nicht unter die Schwelle zurückfallen und die Ausnahme zurückerlangen.

Ein ausgenommenes Unternehmen schuldet keine APP-Pflichten — einschließlich gar keiner Pflicht, eine Datenschutzerklärung zu veröffentlichen. Das unterscheidet sich wesentlich von der EU, wo die DSGVO keine Umsatzschwelle kennt und die Art. 13 und 14 eine Einzelunternehmerin genauso binden wie einen Konzern.

Die Rückausnahmen sind allerdings wichtig. Sie sind unabhängig vom Umsatz eine APP entity, wenn Sie ein Gesundheitsdienstleister mit Gesundheitsdaten sind, wenn Sie personenbezogene Daten über eine Person gegen einen Vorteil offenlegen, wenn Sie Leistungen im Rahmen eines Bundesvertrags erbringen oder wenn Sie eine Kreditauskunftei sind. Ein Unternehmen kann sich der APP-Geltung auch freiwillig unterwerfen.

Eine Korrektur ist angebracht, weil sie weit verbreitet ist: Der Privacy and Other Legislation Amendment Act 2024 hat die Kleinunternehmerausnahme nicht aufgehoben. Die Aufhebung wurde auf eine weitere Reformstufe verschoben. Wir haben dazu einen eigenen Beitrag geschrieben, weil die Verwirrung eine konkrete, nachvollziehbare Quelle hat.

Was wir prüfen — und was nicht

Veracly bewertet eine australische Website anhand der DDA-Barrierefreiheitspflicht und der APP-1-Pflicht zur Datenschutzerklärung. Präzision über die Grenzen gehört dazu:

• Barrierefreiheit. Wir führen axe-core gegen die gerenderte Seite aus, ergänzt um eigene Prüfungen für Kriterien, die axe nicht abdeckt. Die AHRC-Leitlinien nennen WCAG 2.2 AA, und kein automatisiertes Werkzeug erreicht alles davon. Von den sechs A- und AA-Erfolgskriterien, die WCAG 2.2 hinzufügt, automatisieren wir eines — 2.5.8 Target Size (Minimum). Die anderen fünf prüfen wir nicht: 2.4.11 Focus Not Obscured (Minimum, AA), 2.5.7 Dragging Movements (AA), 3.3.8 Accessible Authentication (Minimum, AA), 3.2.6 Consistent Help (A) und 3.3.7 Redundant Entry (A). Einige hängen von Interaktionszuständen ab oder liegen hinter einer Anmeldung; andere sind schlicht schwer zuverlässig zu erkennen. Jeder australische Bericht nennt sie ausdrücklich.
• Datenschutzerklärung. Wir prüfen, ob eine existiert und erreichbar ist. Im AU-Regelsatz unterdrücken wir diesen Befund für Unternehmen bei oder unter der Schwelle nach Section 6D, weil die Behauptung eines Gesetzesverstoßes gegenüber einem Unternehmen ohne entsprechende Pflicht falsch wäre. Wenn Sie uns Ihren Umsatz nicht genannt haben, bewerten wir weiterhin, fügen aber einen Hinweis hinzu, dass die Pflicht möglicherweise nicht gilt.
• Cookies. Wir melden Cookies oder Tracker vor der Einwilligung nicht als australische Verstöße, weil ein Cookie vor der Einwilligung nach australischem Recht für sich genommen kein Verstoß ist. Wird Ihre Website auch gegen EU- oder UK-Regeln bewertet, erscheinen sie dort.

Automatisiertes Scannen kann Ihnen auch nicht sagen, ob Ihre Datenschutzerklärung zutrifft. Es kann sagen, dass die Erklärung existiert und ein Tracker vorhanden ist; ob die Erklärung diesen Tracker ehrlich beschreibt, ist eine menschliche Beurteilung.

Eine sinnvolle Reihenfolge

1. Klären Sie, ob Sie eine APP entity sind. Umsatz über AUD 3.000.000 im letzten Geschäftsjahr oder in irgendeinem Jahr seit Gründung, oder greift eine Rückausnahme? Dann bindet Sie der Privacy Act.
2. Wenn ja, veröffentlichen Sie eine APP-1-konforme Datenschutzerklärung: klar formuliert, aktuell, kostenlos, mit Angaben dazu, was Sie erheben, wozu, an wen Sie offenlegen — einschließlich Empfängern im Ausland — und wie jemand Auskunft erhält, berichtigen lässt oder sich beschwert.
3. Beheben Sie Barrierefreiheitsmängel nach WCAG 2.2 AA. Beginnen Sie mit den maschinell erkennbaren Fehlern — fehlende Alternativtexte, unbeschriftete Formularfelder, zu geringer Kontrast, Überschriftenreihenfolge —, weil sie am günstigsten und am häufigsten gerügt sind.
4. Lassen Sie die fünf Kriterien, die Automatisierung nicht erreicht, von einem Menschen prüfen und kontrollieren Sie, ob Ihre Datenschutzerklärung zum tatsächlich eingesetzten Tracking passt.
5. Wenn Sie EU- oder UK-Besucher haben, behandeln Sie diese Pflichten getrennt. Dort werden Einwilligungsbanner und ihre Paritätsregeln real.

Die australische Rechtslage ist insgesamt weniger belastend als die europäische. Sie ist auch schlechter dokumentiert, weshalb so viele lokale Ratschläge importiert und falsch sind. Die DDA-Pflicht ist diejenige mit einer Prozessgeschichte, und sie ist es wert, dass Sie Ihr Budget dort einsetzen.