Cookie-Richtlinien Schweiz - Was du wissen musst

Hast du dich schon mal gefragt, ob deine Website mit den Schweizer Datenschutzbestimmungen konform ist? Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im Januar 2025 einen umfassenden Leitfaden zu Cookies und ähnlichen Technologien veröffentlicht. Lass uns gemeinsam durchgehen, was das für dich und deine Website bedeutet.

Cookies sind mehr als nur Kekse

Zunächst einmal: Was sind Cookies überhaupt? Technisch gesehen sind es kleine Textdateien, die auf dem Gerät deiner Website-Besucher gespeichert werden. Sie erfüllen unterschiedliche Funktionen. Von der Speicherung deiner Spracheinstellung bis hin zur Analyse deines Surfverhaltens.

Der EDÖB unterscheidet dabei zwischen verschiedenen Cookie-Typen: Session-Cookies werden nach dem Schliessen des Browsers automatisch gelöscht, während permanente Cookies länger gespeichert bleiben. Auch gibt es First-Party-Cookies (die du selbst setzt) und Third-Party-Cookies (die von Dritten wie Werbetreibenden gesetzt werden).

Zwei Gesetze, die du kennen solltest

In der Schweiz regeln zwei wichtige Gesetze den Einsatz von Cookies: das Fernmeldegesetz (FMG) und das Datenschutzgesetz (DSG). Das FMG ist bereits seit 2007 in Kraft und schützt die Integrität deiner Endgeräte. Es stellt sicher, dass jede Datenbearbeitung auf fremden Geräten entweder der technischen Übertragung dient oder von den Nutzern kontrolliert werden kann.

Das DSG regelt alle Aspekte der Personendatenbearbeitung und arbeitet mit dem FMG zusammen. Wichtig zu verstehen: Beide Gesetze müssen kumulativ eingehalten werden.

Wann werden Daten zu Personendaten?

Hier wird es spannend: Nicht jedes Cookie erfasst automatisch Personendaten. Entscheidend ist, ob die bearbeiteten Informationen einen Bezug zu einer bestimmbaren Person herstellen. Das kann direkt geschehen (z.B. durch eine eindeutige Benutzer-ID) oder indirekt durch die Kombination verschiedener Daten.

Ein praktisches Beispiel: Wenn du auf einer Website eine Sprachauswahl triffst, ist das zunächst nur eine Sachinformation. Sobald du dich aber in einem Onlineshop registrierst, kann diese Spracheinstellung mit dir als Person verknüpft werden und schon liegt eine Personendatenbearbeitung vor.

Der EDÖB empfiehlt: Im Zweifelsfall solltest du lieber von einer potenziellen Bearbeitung von Personendaten ausgehen, besonders wenn eine Identifikation mit verhältnismässigem Aufwand möglich sein könnte.

Technisch notwendig vs. nice to have

Der Leitfaden macht eine zentrale Unterscheidung zwischen "technisch notwendigen" und "nicht notwendigen" Cookies. Diese Unterscheidung ist entscheidend für die rechtliche Bewertung.

Technisch notwendige Cookies sind solche, ohne die deine Website ihre grundlegende Funktion nicht erfüllen könnte. Dazu gehören:

• Warenkorb-Cookies in Onlineshops
• Login-Cookies für geschützte Bereiche
• Sprachauswahl-Cookies
• Load-Balancing-Cookies
• Sicherheits-Cookies wie Captchas

Diese Cookies darfst du setzen, ohne vorher eine Einwilligung einzuholen. Die Nutzer können ihnen nur widersprechen, indem sie auf die Nutzung deiner Website verzichten.

Nicht notwendige Cookies gehen über das technisch Erforderliche hinaus. Sie dienen oft der Optimierung des Nutzererlebnisses oder Marketingzwecken. Hier wird es rechtlich komplizierter.

Die drei Wege zur rechtmässigen Cookie-Nutzung

Für nicht notwendige Cookies hast du grundsätzlich drei Möglichkeiten:

1. Überwiegendes privates Interesse: Du kannst argumentieren, dass dein Interesse an der Datenbearbeitung das Interesse des Nutzers an seiner Privatsphäre überwiegt. Das ist allerdings eine Einzelfallabwägung und funktioniert nur, wenn du gleichzeitig ein Widerspruchsrecht (Opt-out) einräumst.
2. Widerspruchsrecht: Nach Art. 45c FMG musst du bei nicht notwendigen Cookies ohnehin immer ein Widerspruchsrecht gewähren. Die Nutzer müssen die Bearbeitung ablehnen können – und zwar auf einfache Weise.
3. Einwilligung: In bestimmten Fällen reicht ein Widerspruchsrecht nicht aus, und du musst eine ausdrückliche Einwilligung (Opt-in) einholen.

Wann brauchst du zwingend eine Einwilligung?

Eine ausdrückliche Einwilligung ist immer dann erforderlich, wenn:

• Du besonders schützenswerte Personendaten bearbeitest
• Ein Profiling mit hohem Risiko erfolgt
• Der Cookie-Einsatz unerwartet ist und mit hoher Eingriffsintensität verbunden ist

Profiling mit hohem Risiko

Das liegt vor, wenn du so viele verschiedene Datensätze kombinierst, dass schwerwiegende Auswirkungen für die Persönlichkeit und Grundrechte der Betroffenen möglich sind. Ein Beispiel: Wenn du Standortdaten über längere Zeit erfasst und daraus detaillierte Bewegungsprofile erstellst, die Rückschlüsse auf Wohnort, Arbeitsplatz oder Gesundheit zulassen.

Besondere Regeln für Werbe-Cookies

Werbung ist ein heikles Thema. Grundsätzlich gilt: Wenn du Cookies für personalisierte Werbung auf deiner eigenen Website einsetzt und dabei ein "normales" Profiling durchführst, reicht ein Opt-out. Die Nutzer müssen aber einfach erkennen können, wie sie widersprechen können.

Anders sieht es aus, wenn du Third-Party-Cookies einsetzt oder Daten an Dritte weitergibst, die dann über mehrere Websites hinweg tracken. Hier entsteht schnell ein Profiling mit hohem Risiko und dann brauchst du eine ausdrückliche Einwilligung.

Der EDÖB weist in einem Schlussbericht darauf hin, dass bereits die Kombination von Daten aus verschiedenen Wirtschaftssektoren über einen längeren Zeitraum zu einem qualifizierten Profiling führen kann.

Was macht eine gültige Einwilligung aus?

Wenn du eine Einwilligung brauchst, muss diese mehrere Kriterien erfüllen:

Informiert: Die Nutzer müssen verstehen, worin sie einwilligen. Du musst transparent über die Datenbearbeitung informieren und zwar bevor die Einwilligung erteilt wird.

Bestimmt: Generalklauseln wie "für Marketingzwecke" reichen nicht. Die Einwilligung muss sich auf eine eindeutige, spezifizierte Datenbearbeitung beziehen.

Freiwillig: Die Nutzer müssen eine echte Wahl haben. Wenn du den Zugang zu deiner Website verweigerst, bis eine Einwilligung erteilt wird, ist die Freiwilligkeit fraglich. Hier kommt es darauf an, ob der Verzicht auf dein Angebot zumutbar ist. Bei einem Gewinnspiel ist das eher der Fall als bei einem marktbeherrschenden Onlinehändler oder einem sozialen Netzwerk.

Cookie-Paywalls: Eine Alternative?

Eine interessante Option sind sogenannte "Cookie-Paywalls" oder "Pur-Abo-Modelle". Dabei bietest du den Nutzern die Wahl: Entweder sie willigen in alle Cookies ein, oder sie zahlen einen Preis für eine werbefreie Nutzung.

Die Freiwilligkeit der Einwilligung hängt hier davon ab, ob der Preis verhältnismässig ist und nicht zu einer Aushöhlung des Datenschutzes führt. Der Preis sollte in einem angemessenen Verhältnis zum tatsächlichen Einnahmenausfall stehen.

Die technische Umsetzung: Cookie-Banner richtig gestalten

Bei der Umsetzung ist entscheidend, dass nicht notwendige Cookies erst gesetzt werden, nachdem die Nutzer informiert wurden und ihre Wahl getroffen haben. Eine Zwei-Klick-Lösung ist hier der Standard.

Dein Cookie-Banner sollte:

• Klar zwischen notwendigen und nicht notwendigen Cookies unterscheiden
• Bei Opt-in-Pflicht: keine vorausgewählten Häkchen bei nicht notwendigen Cookies haben
• Die Möglichkeit bieten, Cookies einzeln an- oder abzuwählen
• Genauso einfache Ablehnung wie Zustimmung ermöglichen
• Keine "Dark Patterns" verwenden (irreführende Darstellungen)

Deine Informationspflichten

Unabhängig davon, ob du eine Einwilligung einholst oder nicht, musst du die Nutzer informieren. Mindestens müssen sie wissen:

• Wer du bist (Identität und Kontaktdaten)
• Zu welchem Zweck du Daten bearbeitest
• An wen du Daten weitergibst
• Ob Daten ins Ausland übermittelt werden

Die Information muss rechtzeitig erfolgen, also bevor die Cookies gesetzt werden. Sie muss zudem verständlich und leicht zugänglich sein. Ein mehrstufiger Ansatz ist empfehlenswert: Kurze, wichtige Informationen auf den ersten Blick, detaillierte Informationen für Interessierte auf einer zweiten Ebene.

Fazit

Der EDÖB-Leitfaden mag auf den ersten Blick komplex wirken, aber im Kern geht es um faire und transparente Behandlung deiner Website-Besucher. Hier die wichtigsten Punkte zum Mitnehmen:

1. Setze nur technisch notwendige Cookies ohne Einwilligung
2. Bei anderen Cookies: Prüfe, ob Opt-out reicht oder Opt-in nötig ist
3. Informiere klar und rechtzeitig
4. Gestalte deine Cookie-Banner nutzerfreundlich und ohne Tricks
5. Ermögliche einfachen Widerruf und Widerspruch

Wenn du unsicher bist, ob deine Cookie-Praxis rechtskonform ist, lohnt sich eine gründliche Analyse. Im Zweifelsfall ist es besser, auf Nummer sicher zu gehen und eine Einwilligung einzuholen, als später Ärger mit dem Datenschutz zu bekommen. Der ganze Prozess scheint sich trotzdem noch in der Ausreifung zu befinden. Sollte es nochmals Anpassungen oder klarere Informationen geben, werden wir natürlich informieren.

Quelle: Eedoeb.admin.ch