Cookie-Banner-Pflicht Schweiz 2026: Was wirklich gilt

Auf der Website eines Mitbewerbers taucht ein Cookie-Banner auf, auf der eigenen nicht – und plötzlich stellt sich die Frage, ob da etwas fehlt. Oder umgekehrt: Ein Banner ist längst eingebaut, aber niemand weiss so genau, ob er tatsächlich das tut, was das Gesetz verlangt, oder nur ein beruhigendes Pop-up ist, das rechtlich wenig bringt.

Verunsichert reagieren viele auch beim Blick auf den möglichen Bussenrahmen: Bis zu 250'000 Franken sieht das Schweizer Datenschutzgesetz bei vorsätzlichen Verstössen gegen Informationspflichten vor – und zwar nicht gegen das Unternehmen, sondern persönlich gegen die verantwortliche Person. Das reicht, um Cookie-Banner-Ratgeber ungelesen wegzuklicken statt sie zu prüfen.

Die gute Nachricht: Die Schweizer Rechtslage ist klarer, als ihr Ruf vermuten lässt – und deutlich weniger pauschal als das, was viele Websites vorsorglich einbauen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat seinen Leitfaden zu Cookies und ähnlichen Technologien am 6. Oktober 2025 aktualisiert und damit die Grundlage für eine nüchterne Einschätzung geliefert: Was braucht eine Einwilligung, was nicht – und wo lohnt sich ein zweiter Blick auf die eigene Website.

Was das revDSG tatsächlich verlangt – und was nicht

Anders als oft angenommen, kennt das revidierte Datenschutzgesetz keine generelle Pflicht zu einem Cookie-Consent-Banner. Massgebend ist nicht die Cookie-Technologie an sich, sondern die Frage, ob dabei Personendaten bearbeitet werden und ob diese Bearbeitung verhältnismässig ist.

Für rein technisch notwendige Cookies – etwa zur Aufrechterhaltung einer Login-Sitzung, zum Speichern eines Warenkorbs oder für Sicherheitsfunktionen wie CSRF-Schutz – gilt die Bearbeitung als verhältnismässig. Eine Einwilligung ist dafür nicht erforderlich, eine Offenlegung in der Datenschutzerklärung genügt. Der Grund: Wer eine Website mit Login-Funktion oder Warenkorb nutzt, erwartet vernünftigerweise, dass genau diese Funktionen technisch umgesetzt werden.

Sobald eine Website jedoch über diesen engen Rahmen hinausgeht – Reichweitenmessung, personalisierte Werbung, Tracking über mehrere Websites hinweg –, ändert sich die Lage. Der EDÖB verlangt hier eine vorherige, informierte Einwilligung, weil solche Bearbeitungen für Besuchende nicht ohne Weiteres erwartbar sind und teils erhebliche Risiken bergen, etwa durch Profilbildung.

Der EDÖB-Leitfaden vom Oktober 2025: Was zählt als «notwendig»

Die Version 1.1 des EDÖB-Leitfadens vom 6. Oktober 2025 bringt gegenüber der ersten Fassung mehr Klarheit in genau dieser Abgrenzung. Zwei Punkte stechen hervor.

Erstens gilt der Leitfaden technologieneutral: Er erfasst nicht nur klassische Cookies, sondern auch Fingerprinting-Techniken und Tracking-Pixel, die ganz ohne Cookie-Datei auskommen. Wer glaubt, mit dem Verzicht auf Cookies automatisch aus der Pflicht zu sein, irrt – entscheidend ist die Datenbearbeitung, nicht die konkrete Speichertechnik.

Zweitens präzisiert der Leitfaden den Personendaten-Begriff im Cookie-Kontext: Eine ID gilt bereits dann als Personendatum, wenn sie mit vertretbarem Aufwand einer Person zugeordnet werden kann – nicht erst, wenn eine Identifikation tatsächlich stattfindet. Eine zufällige Ad-ID allein ist damit nicht automatisch personenbezogen; sobald sie aber mit anderen Datenpunkten kombiniert eine Zuordnung ermöglicht, greift das Gesetz.

Der Leitfaden macht zudem deutlich, dass Widerruf und Widerspruch technisch genauso zugänglich sein müssen wie die ursprüngliche Zustimmung. Ein Banner, bei dem «Alle akzeptieren» ein grosser grüner Button ist und «Ablehnen» ein grauer Link im Kleingedruckten, erfüllt diese Anforderung nicht – unabhängig davon, dass formal ein Consent-Mechanismus vorhanden ist.

Technisch notwendig oder consent-pflichtig: die Praxis-Grenze

In der Praxis lässt sich die Mehrheit der auf einer typischen Website eingesetzten Dienste einer von zwei Kategorien zuordnen:

Ohne Einwilligung zulässig (Offenlegung in der Datenschutzerklärung reicht): Session-Cookies für Login und Warenkorb, Spracheinstellungen, CSRF-Token, Lastverteilungs-Cookies, lokal gehostete Schriftarten ohne externe Serveranfrage, aggregierte First-Party-Statistiken, die ausschliesslich für den eigenen Betrieb erhoben werden und keine Weitergabe an Dritte vorsehen.

Nur mit vorheriger Einwilligung zulässig: Google Analytics und vergleichbare Reichweitenmessung, Marketing- und Retargeting-Pixel (Meta, LinkedIn, Google Ads), extern eingebundene Google Fonts oder Google Maps, sofern dabei IP-Adressen an Google-Server übertragen werden, Social-Media-Embeds, die Tracking-Cookies setzen, sowie jede Form von Cross-Site-Tracking für personalisierte Werbung.

Der Unterschied zwischen «lokal gehosteten» und «extern nachgeladenen» Google Fonts wird in der Praxis oft übersehen: Bindet eine Website Google Fonts über ein Content Delivery Network ein, überträgt der Browser bei jedem Seitenaufruf die IP-Adresse an Google – eine Datenübermittlung, die eine Einwilligung oder zumindest eine transparente Offenlegung erfordert. Werden die Schriftdateien dagegen lokal auf dem eigenen Server abgelegt, entfällt diese Übermittlung vollständig, und das Problem löst sich technisch statt rechtlich.

Für Websites, die Consent-pflichtige Dienste einsetzen, hat sich ein zweistufiges Muster etabliert: Ein erstes, schlankes Banner mit gleichwertigen Optionen für «Akzeptieren» und «Ablehnen», dahinter ein Einstellungsdialog, der einzelne Kategorien granular zu- oder abschaltbar macht. Blockiert werden müssen die betroffenen Skripte technisch so lange, bis die Zustimmung tatsächlich vorliegt – ein Banner, das lediglich informiert, während Analytics-Skripte im Hintergrund längst laufen, erfüllt die Anforderung nicht.

Was bei einem Verstoss droht

Das DSG unterscheidet sich von der EU-DSGVO in einem entscheidenden Punkt: Bussen richten sich nicht gegen das Unternehmen als juristische Person, sondern gegen die für die Datenbearbeitung verantwortliche natürliche Person – in der Regel die Geschäftsführung. Bei vorsätzlicher Verletzung von Informations-, Auskunfts- oder Mitwirkungspflichten sieht das Gesetz Bussen bis 250'000 Franken vor.

In der Praxis beginnt ein Verfahren selten mit einer Busse. Der EDÖB kann bei Meldungen oder eigenen Abklärungen zunächst eine Verfügung erlassen, die zur Wiederherstellung des rechtmässigen Zustands verpflichtet. Erst wenn dieser Anordnung nicht Folge geleistet wird, kann eine Strafanzeige folgen, die im Strafverfahren zu einer Busse führen kann. Wer auf eine Beanstandung reagiert und den Cookie-Banner nachbessert, reduziert das Risiko damit erheblich – Untätigkeit dagegen nicht.

Weniger greifbar, aber häufiger als eine Busse ist der Reputationsschaden: Ein Banner, das Cookies bereits vor dem Klick setzt oder das Ablehnen technisch erschwert, fällt spätestens bei einer Browser-Konsolenprüfung durch technisch versierte Besuchende auf – und das Vertrauen in die eigene Datenschutzerklärung leidet unabhängig davon, ob der EDÖB je involviert wird.

Der Blick nach vorn: EU Digital Omnibus und Artikel 88a

Wer Kundschaft in der EU bedient, muss ohnehin die DSGVO im Blick behalten – unabhängig vom Schweizer DSG. Und dort bahnt sich eine Änderung an, die mittelfristig auch für Schweizer Betriebe mit EU-Publikum relevant wird: Der im November 2025 von der Europäischen Kommission vorgestellte Digital Omnibus verschiebt die Cookie-Regeln aus der bisherigen ePrivacy-Richtlinie direkt in die DSGVO, als neue Artikel 88a und 88b.

Artikel 88a soll unter anderem festlegen, dass dieselbe Einwilligung nicht innert sechs Monaten erneut abgefragt werden darf, und einen klaren Ablehnen-Mechanismus verlangen, der ebenso einfach zu bedienen ist wie das Akzeptieren – eine Vorgabe, die inhaltlich nahe an dem liegt, was der EDÖB-Leitfaden für die Schweiz bereits verlangt. Artikel 88b geht weiter und soll rechtlich verbindliche Consent-Signale auf Browserebene einführen: Besuchende legen ihre Präferenz einmal im Browser fest, Websites müssen dieses Signal respektieren, statt bei jedem Seitenaufruf erneut zu fragen.

Wichtig für die Einordnung: Der Digital Omnibus befindet sich Mitte 2026 im Trilog zwischen EU-Parlament, Rat und Kommission und ist noch nicht in Kraft. Ein konkretes Inkrafttretungsdatum steht nicht fest. Betriebe, die ausschliesslich Schweizer Kundschaft bedienen, sind von dieser EU-Reform nicht direkt betroffen; wer aber ohnehin DSGVO-pflichtig ist, etwa wegen Kundinnen und Kunden mit Wohnsitz in der EU, sollte die Entwicklung im Auge behalten, statt sie zu ignorieren.

Fazit: Prüfen statt pauschal einbauen

Die häufigste Fehlerquelle ist nicht ein fehlender Banner, sondern ein falsch eingerichteter: gesetzte Cookies vor dem Klick, ein erschwertes Ablehnen oder eine Datenschutzerklärung, die Drittanbieter-Dienste gar nicht auflistet. Wer die eigene Website nüchtern nach den beiden Kategorien – technisch notwendig versus einwilligungspflichtig – durchgeht, löst das Cookie-Thema oft mit weniger Aufwand, als ein pauschal eingebautes Consent-Tool vermuten lässt. Manchmal genügt es sogar, Google Fonts lokal statt extern einzubinden, um eine ganze Kategorie von Einwilligungspflichten technisch verschwinden zu lassen.

Eine sauber aufgesetzte statische Website vermeidet solche Cookie-Altlasten von Grund auf: weniger externe Skripte, bewusst gewählte Drittanbieter-Dienste und eine Datenschutzerklärung, die tatsächlich zur technischen Umsetzung passt. Wer die eigene Cookie-Situation einschätzen lassen möchte, findet über das Kontaktformular den direkten Weg zu einer ersten Einschätzung.