Kurzantwort: Ein Cookie-Banner ist in der Schweiz nicht generell gesetzlich vorgeschrieben. Websites müssen aber informieren und eine leicht erreichbare Widerspruchsmöglichkeit bieten. Kommt Traffic aus der EU oder betreiben Sie Profiling, gelten strengere Regeln. Der pragmatische erste Schritt: ein Banner mit einer gleichwertigen „Alle ablehnen“-Option oder gut sichtbaren Datenschutzeinstellungen.
Kurz gesagt:
- Technisch notwendige Cookies benötigen keine Einwilligung; Werbung und Skripte externer Anbieter müssen jedoch bis zur Zustimmung blockiert und transparent erklärt werden.
- Die Schaltflächen zum Ablehnen und Zustimmen müssen laut Merkblatt des EDÖB vom März 2026 gleich gut sichtbar sein; versteckte Ablehnungen gelten als unzulässige Gestaltung.
- Bei Zugriffen aus der EU gelten strengere Vorgaben: Für nicht notwendige Cookies ist oft eine ausdrückliche Zustimmung nötig, nicht nur eine Widerspruchsmöglichkeit.
- Wenn mehrere externe Anbieter gemeinsam Werbeprofile erstellen, steigen die Anforderungen an Transparenz und Einwilligung; umfangreiches Profiling kann eine Prüfung der Datenschutzfolgen erfordern.
Inhaltsverzeichnis
- Welche Gesetze gelten in der Schweiz für Cookies?
- Was sagt der EDÖB-Leitfaden zur praktischen Umsetzung?
- Wie setzen Sie ein Banner technisch korrekt um?
- Welche Pflichten entstehen bei Drittanbietern wie Google Analytics?
- Was gehört in die Datenschutzerklärung und wo zeigen Sie sie?
- Checkliste: Was Sie als Website-Betreiber jetzt umsetzen
- Pulso IA: Umsetzung vor Ort in Adliswil ZH
- Was beim Thema Cookie-Banner oft überschätzt wird
- Datenschutz-Check für Ihre Website
- FAQ
- Quellen
Welche Gesetze gelten in der Schweiz für Cookies?
Zwei Gesetzestexte bestimmen, was Sie auf Ihrer Website umsetzen müssen. Das eine ist das Fernmeldegesetz, das andere das revidierte Datenschutzgesetz. Beide greifen ineinander, regeln aber unterschiedliche Dinge.
Art. 45c FMG verlangt, dass Nutzende informiert werden, wenn Daten auf ihrem Gerät bearbeitet werden, und dass sie diese Bearbeitung ablehnen können. Das ist die Grundlage für die Informations- und Widerspruchspflicht, die viele als „Cookie-Gesetz“ bezeichnen. Ein Banner ist dafür ein verbreitetes Mittel, aber nicht das einzig zulässige: Entscheidend ist, dass die Information leicht auffindbar ist und der Widerspruch ohne Hürden funktioniert, wie es auch bei Haerting beschrieben wird.
Das revidierte Datenschutzgesetz arbeitet risikobasiert. Je intensiver ein Eingriff in die Privatsphäre, desto höher die Anforderungen. Bei besonders invasivem Profiling oder bei automatisierten Einzelentscheidungen mit erheblicher Wirkung kann eine Datenschutz-Folgenabschätzung nötig werden, und in manchen Fällen wird eine ausdrückliche Einwilligung statt einer bloßen Widerspruchsmöglichkeit erwartet.
Für die Praxis lohnt sich folgende Unterscheidung:
- Technisch notwendige Cookies (Warenkorb, Session, Sprachauswahl) benötigen keine Einwilligung, nur eine Information.
- Funktionale Komfort-Cookies (z. B. gespeicherte Präferenzen) liegen im Graubereich und sollten transparent gemacht werden.
- Marketing- und Tracking-Cookies von Drittanbietern gelten als nicht notwendig und brauchen eine echte Widerspruchs- oder Einwilligungsmöglichkeit.
- Cookies, die Profile für gezielte Werbung erstellen, lösen die strengeren Pflichten des revDSG aus.
Wer nur technisch notwendige Cookies setzt, braucht oft gar kein Banner, sondern einen klaren Hinweis in der Datenschutzerklärung. Sobald Drittanbieter-Skripte laufen, ändert sich das Bild deutlich.
Was sagt der EDÖB-Leitfaden zur praktischen Umsetzung?
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat die Erwartungen an Websites präzisiert. Zwei Dokumente sind dafür zentral.
Der EDÖB-Leitfaden zu Datenbearbeitungen mittels Cookies beschreibt, wann Profiling-Risiken entstehen und wie sich die Pflichten zwischen Website-Betreibern und Drittanbietern aufteilen. Das ergänzende Merkblatt vom 31. März 2026 geht noch weiter: Es empfiehlt ausdrücklich eine prominente „Alle ablehnen“-Option, die genauso sichtbar sein soll wie der Zustimmen-Button.
Der EDÖB verlangt im Merkblatt vom März 2026 eine gleichwertige Sichtbarkeit von Annehmen- und Ablehnen-Optionen im Banner, was die bisherige Praxis vieler Schweizer Websites infrage stellt, auf denen das Ablehnen oft versteckt oder mehrstufig war.
Aus den beiden Dokumenten lassen sich folgende Kernanforderungen ableiten:
- Information gehört auf zwei Ebenen dargestellt: eine kurze Zusammenfassung im Banner und eine ausführliche Erklärung dahinter.
- Die Gestaltung darf keine Dark Patterns enthalten, etwa grau hinterlegte Ablehnen-Buttons neben farbig hervorgehobenen Zustimmen-Buttons.
- Datensparsamkeit gilt als Grundprinzip: Es werden nur jene Cookies gesetzt, die für den jeweiligen Zweck tatsächlich nötig sind.
- Bei Third-Party-Cookies ist besondere Vorsicht geboten, weil hier oft eine gemeinsame Verantwortlichkeit mit dem Anbieter entsteht.
Für Schweizer KMU bedeutet das praktisch: Ein Banner, das „Alle akzeptieren“ groß und „Alle ablehnen“ klein oder versteckt zeigt, entspricht nicht mehr der aktuellen Aufsichtspraxis. Wer das Merkblatt als Prüfquelle nutzt, bevor eine Website live geht, vermeidet spätere Beanstandungen.
Wie setzen Sie ein Banner technisch korrekt um?
Rechtlich korrekt zu sein, nützt wenig, wenn die technische Umsetzung die Vorgaben unterläuft. Die häufigsten Probleme liegen nicht im Banner-Text, sondern im Code dahinter.
Das Grundprinzip heißt Voraktivierung vermeiden: Nicht notwendige Cookies und die dazugehörigen Skripte dürfen erst laufen, nachdem jemand aktiv zugestimmt hat. Viele Websites laden Google Analytics oder Werbe-Pixel bereits beim ersten Seitenaufruf, bevor überhaupt eine Wahl getroffen wurde. Genau das kritisiert das EDÖB-Merkblatt als unzulässige Praxis.
Für eine saubere Umsetzung empfiehlt sich diese Reihenfolge:
- Inventarisieren Sie alle gesetzten Cookies und ordnen Sie jedes einzelne einer Kategorie zu (notwendig, funktional, Marketing, Statistik).
- Blockieren Sie alle Skripte außerhalb der notwendigen Kategorie, bis eine Entscheidung vorliegt, idealerweise über einen Consent-Manager, der Skript-Tags erst nach Zustimmung freigibt.
- Speichern Sie die Entscheidung technisch sauber, etwa in einem Cookie mit angemessener Lebensdauer oder im localStorage, und respektieren Sie diese bei jedem weiteren Besuch.
- Bieten Sie einen jederzeit erreichbaren Einstellungsdialog an, meist über einen Link im Footer, über den sich die Wahl nachträglich ändern lässt.
- Testen Sie das Verhalten regelmässig, auch mit simulierten Zugriffen aus der EU, um zu prüfen, ob strengere Regeln korrekt greifen.
Ein Einstellungsdialog sollte pro Kategorie einen eigenen Schalter zeigen, die eingebundenen Drittanbieter namentlich auflisten und einen Opt-out-Button anbieten, der genauso leicht zu finden ist wie der Zustimmen-Button.
Profi-Tipp: Prüfen Sie mit den Entwicklertools Ihres Browsers, welche Netzwerk-Anfragen schon vor einem Klick auf dem Banner abgehen. Taucht dort bereits eine Analytics- oder Werbedomain auf, blockiert Ihr Banner nicht richtig.
Häufige Fehler, die in der Praxis immer wieder auftauchen: voreingestellte Häkchen bei optionalen Kategorien, ein Ablehnen-Link, der erst nach zwei oder drei Klicks erreichbar ist, und fehlende Blocker, die Drittressourcen weiterhin im Hintergrund laden, selbst wenn der Banner „abgelehnt“ anzeigt. Wer eine Website von Grund auf plant, kann solche Fallstricke direkt in der technischen Umsetzung vermeiden, statt sie später zu korrigieren.
Welche Pflichten entstehen bei Drittanbietern wie Google Analytics?
Sobald ein Drittanbieter Daten erhebt, etwa durch ein Analytics-Skript oder einen Werbepixel, verändert sich die rechtliche Lage spürbar. Der Anbieter verarbeitet dann Daten mit, die über Ihre Website gesammelt wurden, und das löst eine gemeinsame Verantwortlichkeit aus.
Praktisch bedeutet das: Sie müssen in Ihrer Datenschutzerklärung benennen, welcher Drittanbieter welche Daten zu welchem Zweck erhebt. Diese Pflicht wird in der Übersicht von Legal500 zum revidierten Datenschutzrecht beschrieben. Wird aus den gesammelten Daten ein Nutzerprofil gebildet, etwa für personalisierte Werbung, steigt das Risiko, und damit auch die Anforderungen an Transparenz und Einwilligung.
Wer das Risiko senken möchte, hat mehrere Optionen:
- Pseudonymisierung der erhobenen Daten, sodass einzelne Personen nicht direkt identifizierbar sind.
- Serverseitiges Tracking, bei dem Daten über die eigene Infrastruktur laufen statt direkt an den Drittanbieter zu gehen.
- Regelmäßige Prüfung, welche Drittanbieter tatsächlich noch aktiv sind und ob alle davon in der Datenschutzerklärung aufgeführt werden.
- Dokumentation der Entscheidung, warum ein Tool eingesetzt wird und welche Daten dabei fließen.
Bei umfangreichem Profiling durch mehrere Third-Party-Cookies lohnt sich eine Datenschutz-Folgenabschätzung, bevor ein potenziell hohes Risiko entsteht, statt danach Korrekturen vorzunehmen.
Was gehört in die Datenschutzerklärung und wo zeigen Sie sie?
Die Datenschutzerklärung ist die zweite Ebene der Information, die der EDÖB verlangt. Sie muss mehr enthalten als der Banner-Text, aber trotzdem verständlich bleiben.
Pflichtangaben sind: wer für die Datenbearbeitung verantwortlich ist, zu welchem Zweck Daten erhoben werden, wer sie empfängt, wie lange sie gespeichert werden und wie ein Widerruf funktioniert. Eine mehrstufige Darstellung hat sich bewährt: kurze Stichworte direkt sichtbar, mit Verlinkung zu den ausführlichen Details für alle, die es genau wissen möchten.
- Die Erklärung gehört an eine leicht auffindbare Stelle, meist im Footer jeder Seite.
- Ein separater Link zu den Cookie-Einstellungen gehört neben die Datenschutzerklärung, nicht nur in dem ursprünglichen Banner.
- Bei mehrsprachigen Websites braucht jede Sprachversion eine eigene, vollständige Fassung.
- Die einmal getroffene Wahl wird gespeichert und bleibt nachvollziehbar widerrufbar, ohne dass jemand die ganze Seite neu laden muss.
Checkliste: Was Sie als Website-Betreiber jetzt umsetzen
Diese Schritte lassen sich meist innerhalb weniger Tage abarbeiten, auch ohne juristische Vorbildung:
- Listen Sie alle Cookies und Drittservices auf, die Ihre Website tatsächlich einsetzt.
- Ordnen Sie jedes Element einer Kategorie zu: notwendig, funktional, Marketing.
- Implementieren Sie ein Banner mit einer „Alle ablehnen“-Option, die genauso gross und sichtbar ist wie „Alle akzeptieren“.
- Blockieren Sie alle nicht notwendigen Skripte, bis eine Entscheidung vorliegt.
- Speichern Sie die Wahl technisch und testen Sie, ob sie bei einem erneuten Besuch respektiert wird.
- Aktualisieren Sie die Datenschutzerklärung mit allen Drittanbietern und Zwecken.
- Prüfen Sie, ob eine Datenschutz-Folgenabschätzung aufgrund von Profiling nötig wird.
- Simulieren Sie einen Zugriff aus der EU und prüfen Sie, ob dann strengere Regeln korrekt greifen.
- Dokumentieren Sie Entscheidungen und Tool-Einsatz für den Fall einer Nachfrage.
Pulso IA: Umsetzung vor Ort in Adliswil ZH
Wir übernehmen die technische Seite dieser Themen: Website-Erstellung, die Einbindung konformer Banner-Lösungen und die Formulierung einer passenden Datenschutzerklärung. Jedes Projekt läuft über eine Testadresse, die Sie vor der Schlussrechnung prüfen, und eine schriftliche Offerte, damit Sie wissen, woran Sie sind. Den direkten Kontakt behalten Sie dabei durchgehend.
Was beim Thema Cookie-Banner oft überschätzt wird
Viele Websites investieren Zeit in die Textgestaltung des Banners, während die eigentliche Schwachstelle im Code liegt. Ein juristisch korrekter Banner-Text nützt wenig, wenn Analytics-Skripte längst laufen, bevor jemand überhaupt geklickt hat.
Die verbreitete Annahme, ein Cookie-Banner sei in der Schweiz automatisch Pflicht, trifft die Rechtslage nicht genau. Entscheidend ist die Informations- und Widerspruchspflicht, nicht ein bestimmtes UI-Element. Gleichzeitig unterschätzen viele KMU, wie schnell aus „nur ein bisschen Analytics“ ein Profiling-Fall mit höheren Anforderungen wird, sobald mehrere Drittanbieter zusammenkommen.
Wer hier Prioritäten setzen muss: zuerst die technische Blockierung vor Zustimmung, dann das Banner-Design, zuletzt die Feinheiten des Textes. In dieser Reihenfolge lässt sich das grösste Risiko zuerst entschärfen.
— PULSO
Datenschutz-Check für Ihre Website
Wer unsicher ist, ob die eigene Website die aktuellen EDÖB-Vorgaben erfüllt, bekommt bei uns einen klaren Ausgangspunkt statt eines pauschalen Versprechens.
- Ein Audit zeigt konkret, wo Cookies unkontrolliert laufen und wo die Datenschutzerklärung Lücken hat.
- Bei einer neuen oder überarbeiteten Website bauen wir die Blockierung und das Banner direkt in die technische Umsetzung ein, nicht nachträglich.
- Für laufende Anpassungen, etwa wenn sich eingesetzte Tools ändern, deckt das monatliche Care-Paket die Betreuung ab.
Alle Angaben erhalten Sie vorab schriftlich als Festpreis-Offerte, und Sie sehen das Ergebnis auf einer Testadresse, bevor die Schlussrechnung fällig wird. Den Datenschutz-Support finden Sie direkt auf unserer Website.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
FAQ
Ist ein Cookie-Banner in der Schweiz gesetzlich Pflicht?
Nein, ein Banner ist nicht pauschal vorgeschrieben. Pflicht ist die Information über Datenbearbeitungen und eine leicht zugängliche Widerspruchsmöglichkeit nach Art. 45c FMG, wofür ein Banner meist das einfachste Mittel ist.
Brauche ich für technisch notwendige Cookies eine Einwilligung?
Nein, technisch notwendige Cookies wie Session- oder Warenkorb-Cookies benötigen keine Einwilligung, nur eine Information in der Datenschutzerklärung. Sobald funktionale, Marketing- oder Tracking-Cookies dazukommen, ändert sich das.
Was passiert, wenn meine Website auch EU-Besucher hat?
Für Besuchende aus der EU greift zusätzlich die DSGVO, die bei nicht notwendigen Cookies oft eine ausdrückliche Einwilligung statt einer blossen Widerspruchsmöglichkeit verlangt. Wer internationalen Traffic hat, richtet das Banner am besten nach der strengeren Regel aus.
Reicht eine versteckte Ablehnen-Option im Banner aus?
Nein, das EDÖB-Merkblatt vom März 2026 verlangt eine Ablehnen-Option, die genauso sichtbar ist wie die Zustimmen-Option. Ein kleiner oder versteckter Link gilt als unzulässiges Dark Pattern.
Was kostet die Umsetzung eines konformen Banners bei Pulso IA?
Die technische Umsetzung richtet sich nach dem gewählten Website-Paket, etwa Landing Start für 890 CHF einmalig. Für bestehende Websites mit reinem Prüfbedarf steht der Audit für 290 CHF einmalig zur Verfügung, beide Preise finden Sie direkt auf unserer Website.
Quellen
- EDÖB: Leitfaden betreffend Datenbearbeitungen mittels Cookies (2025)
- SR 784.10 - Fernmeldegesetz (FMG) | Fedlex