Cookie-Banner in der Schweiz: Pflicht oder nicht? Was 2026 gilt

Drei Rechtsquellen, die zusammen gelten

1. Fernmeldegesetz, Art. 45c FMG. Wer Daten auf fremden Geräten bearbeitet, also Cookies setzt oder ausliest, darf das nur, wenn die Benutzerinnen und Benutzer über die Bearbeitung und ihren Zweck informiert werden und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können. Das ist die eigentliche «Cookie-Regel» der Schweiz, und sie gilt seit Jahren. Sie verlangt Information und Ablehnungsmöglichkeit, nicht zwingend eine Einwilligung vorab.

2. Datenschutzgesetz (revidiert seit 1. September 2023). Sobald Cookies Personendaten bearbeiten, und das tun Statistik- und Marketing-Cookies praktisch immer (Kennungen, IP-Adressen, Verhaltensprofile), gelten die Grundsätze des DSG: Transparenz und Zweckbindung (Art. 6), die Informationspflicht (Art. 19: wer, wozu, an wen, in welche Länder) und die Regeln zum Profiling (Art. 5). Eine ausdrückliche Einwilligung braucht es bei besonders schützenswerten Personendaten und bei Profiling mit hohem Risiko durch Private (Art. 6 Abs. 7). Das revidierte Gesetz kennt persönliche Bussen bis CHF 250'000 für vorsätzliche Verletzungen der Informationspflicht (Art. 60), und der EDÖB kann Verfügungen erlassen (Art. 51).

3. DSGVO für Besucher aus der EU. Richtet sich Ihre Website erkennbar an Personen in der EU (Sprache, Währung, Lieferung, Kundschaft), gilt die DSGVO zusätzlich (Art. 3 Abs. 2). Dort verlangt die ePrivacy-Richtlinie für alle nicht notwendigen Cookies eine Einwilligung vorab, mit den bekannten Anforderungen: freiwillig, informiert, aktiv, jederzeit widerrufbar, Ablehnen so einfach wie Akzeptieren.

Der EDÖB-Leitfaden von 2025: das Regelwerk der Aufsicht

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat am 22. Januar 2025 seinen Leitfaden zu Cookies und ähnlichen Technologien veröffentlicht und ihn am 6. Oktober 2025 als Version 1.1 präzisiert. Er beschreibt, wie der EDÖB die Gesetze auslegt, und er hat angekündigt, nach einer Sensibilisierungskampagne aufsichtsrechtliche Schritte einzuleiten. Die wichtigsten Punkte:

• Stufenweise Information («Layered Approach»): Auf der ersten Ebene, also im Banner, stehen die Arten der eingesetzten Cookies, die Empfänger der Daten, die Möglichkeit zu akzeptieren oder abzulehnen und ein Link zu den Details. Auf der zweiten Ebene folgt die Liste der einzelnen Cookies mit Name, Anbieter, Zweck und Dauer, mit Auswahl je Kategorie oder je Cookie.
• Gleichwertige Schaltflächen: «Ablehnen» darf nicht versteckt, kleiner oder grau sein. Weitersurfen oder ein einzelner «OK»-Knopf gilt nicht als Einwilligung.
• Opt-in bei hohem Risiko: Tracking über mehrere Websites hinweg, Weitergabe an Werbenetzwerke, Standortprofile und ähnliches sind Profiling mit hohem Risiko und brauchen eine ausdrückliche Einwilligung vorab. Für risikoarme Bearbeitungen auf der eigenen Website kann Information mit Widerspruchsmöglichkeit genügen.
• Cookie-Walls («Zustimmen oder zahlen») sind nur zulässig, wenn der verlangte Beitrag verhältnismässig ist und das Grundrecht auf Datenschutz nicht ausgehöhlt wird.
• Drittanbieter: Wer YouTube, Google Maps, Meta Pixel und Co. einbindet, bleibt für die Information verantwortlich und muss die Dienste benennen.

Der Leitfaden ist keine Verordnung, aber er ist der Massstab, an dem der EDÖB Websites misst. Wer ihn erfüllt, ist auf der sicheren Seite; wer ihn ignoriert, riskiert das Aufsichtsverfahren.

Was Google verlangt, unabhängig vom Gesetz

Viele KMU stossen nicht über das Gesetz auf das Thema, sondern über Google. Seit 2024 verlangt Google für Werbetreibende mit Besuchern aus dem EWR, Grossbritannien und der Schweiz den Consent Mode v2: Ihre Website muss Google mitteilen, ob die Person Statistik- und Werbe-Cookies erlaubt hat, sonst werden Conversions nicht mehr zugeordnet und Remarketing-Listen bleiben leer. Für Publisher, die mit AdSense oder Ad Manager Werbung ausliefern, gilt seit 31. Juli 2024 auch in der Schweiz die Pflicht zu einer von Google zertifizierten Consent-Plattform mit TCF. Das betrifft Werbeverkäufer, nicht die typische KMU-Website; wer nur Google Ads schaltet, braucht den Consent Mode, nicht die Zertifizierung.

Drei typische Fälle

Unsere Empfehlung für KMU: Opt-in als Standard, mindestens für EU-Besucher, und Opt-out nur, wo Sie sicher sind, dass kein Werbenetzwerk mitliest. Der Unterschied kostet Sie ein paar Prozent Statistik, spart aber die Diskussion darüber, ob Ihr Tracking «hohes Risiko» ist. now4it Consent lässt sich je Region einstellen: Opt-in für die EU, Hinweis mit Ablehnen für die Schweiz, oder überall gleich.

Was ein Banner 2026 können muss

1. Vorher anhalten: Tracker dürfen im Opt-in-Modus nicht laden, bevor die Person zugestimmt hat. Ein Banner, der nur informiert, während Google Analytics längst läuft, ist wertlos.
2. Gleichwertige Knöpfe: Akzeptieren und Ablehnen gleich gross, gleich sichtbar.
3. Kategorien und Cookie-Liste: Statistik, Marketing, Funktional getrennt wählbar; die Liste nennt Cookies, Anbieter, Zweck und Dauer.
4. Widerruf: Ein Link oder Knopf, der die Einstellungen jederzeit wieder öffnet.
5. Nachweis: Wer eingewilligt hat, wann, in welcher Fassung. Ohne Protokoll können Sie im Streitfall nichts belegen.
6. Consent Mode: Signale an Google und Microsoft, damit Werbung und Statistik mit der Entscheidung arbeiten.
7. Sprachen: Deutsch, Französisch, Italienisch, Englisch, je nach Publikum.

Die häufigsten Fehler, die wir im Website-Check sehen

• Banner vorhanden, Tracker laden trotzdem vor der Entscheidung (Snippet zu spät im Quelltext, Plugin verzögert das Skript).
• Nur «Akzeptieren», Ablehnen fehlt oder ist ein grauer Textlink.
• YouTube und Google Maps eingebettet, ohne Platzhalter: Die Daten fliessen beim Seitenaufruf.
• Datenschutzerklärung nennt Google Analytics nicht oder nennt noch Universal Analytics.
• Kein Widerrufs-Link in der Fusszeile.

Der kostenlose Website-Check zeigt Ihnen, ob Ihre Website Tracker ohne Einwilligung lädt.

Häufige Fragen

Brauche ich einen Banner, wenn ich nur Google Analytics mit IP-Anonymisierung einsetze?

Ja, mindestens Information und Ablehnungsmöglichkeit. GA4 setzt Kennungs-Cookies und überträgt Daten an Google; das ist eine Bearbeitung von Personendaten. Ob Opt-out genügt, hängt davon ab, ob Sie die Daten mit Google Ads verknüpfen (dann Opt-in).

Gilt die DSGVO wirklich für meine Schweizer Website?

Nur, wenn Sie sich an Personen in der EU richten oder deren Verhalten beobachten. Eine Website auf Deutsch mit Schweizer Preisen und Schweizer Kundschaft fällt in der Regel nicht darunter. Sobald Sie in die EU liefern oder gezielt EU-Kunden ansprechen, schon.

Reicht ein Hinweis in der Datenschutzerklärung?

Für notwendige Cookies ja. Für alles andere verlangt Art. 45c FMG den Hinweis auf die Ablehnungsmöglichkeit, und der EDÖB erwartet ihn dort, wo die Person ihn sieht: im Banner.

Was passiert, wenn ich nichts tue?

Kurzfristig meist nichts. Der EDÖB hat aber Aufsichtsmassnahmen angekündigt, Mitbewerber und Kundschaft schauen genauer hin, und Google schaltet ohne Consent Mode Funktionen ab. Das Risiko liegt weniger in der Busse als im Vertrauensverlust, wenn eine Kundin Ihre Website prüft.