Cookie Banner Schweiz: was 2026 für Ihre Website gilt

Die Rechtslage in der Schweiz

Cookies und ähnliche Technologien wie Zählpixel, lokaler Speicher im Browser oder Fingerprinting sind in der Schweiz vor allem durch zwei Gesetze geregelt. Beide gelten nebeneinander.

Fernmeldegesetz, Art. 45c FMG

Das Bearbeiten von Daten auf fremden Geräten ist nur erlaubt, wenn die Nutzer über die Bearbeitung und ihren Zweck informiert werden und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können. Die Regel gilt seit 2007. Für technisch notwendige Cookies, ohne die eine Website nicht funktioniert, genügt laut EDÖB die Information. Ablehnen lassen sie sich nur, indem man auf die Website verzichtet. Vorsätzliche oder fahrlässige Verstösse können nach Art. 53 FMG mit einer Busse bis CHF 5'000 bestraft werden.

Datenschutzgesetz (DSG)

Sobald über Cookies Personendaten bearbeitet werden, gilt das seit September 2023 revidierte DSG. Daraus folgen vor allem vier Pflichten. Die Bearbeitung muss verhältnismässig und für die Besucher erkennbar sein (Art. 6). Voreinstellungen müssen datenschutzfreundlich sein (Art. 7 Abs. 3). Die Datenschutzerklärung muss mindestens Verantwortlichen, Zweck, Empfänger und allfällige Länder im Ausland nennen (Art. 19). Für besonders schützenswerte Daten und für Profiling mit hohem Risiko braucht es eine ausdrückliche Einwilligung (Art. 6 Abs. 7).

Was der EDÖB daraus ableitet

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat im Januar 2025 einen Leitfaden zu Cookies veröffentlicht und im Oktober 2025 ergänzt. Im Merkblatt vom 31. März 2026 fasst er zusammen, dass Nutzer über nicht notwendige Cookies und deren Zweck informiert werden und die Möglichkeit haben müssen, abzulehnen, und zwar prinzipiell vor der Aktivierung der Cookies. Der Leitfaden ist keine neue Rechtsnorm. Er zeigt aber, wie die Aufsicht das Gesetz auslegt, und ist darum die beste Richtschnur für Schweizer Websites.

Wann Opt-out reicht und wann Opt-in nötig ist

Der EDÖB ordnet Cookie-Einsätze in seinem Leitfaden (Anhang A) nach Risiko ein. Daraus ergibt sich, welches Recht die Besucher mindestens haben müssen. Die Tabelle fasst das zusammen.

Quelle: EDÖB, Leitfaden zu Cookies, Ziff. 3.5 bis 3.11 und Anhang A, Version 1.1 vom 6.10.2025. Die Zuordnung im Einzelfall hängt von den eingesetzten Diensten und vom Inhalt der Website ab.

Zwei verbreitete Missverständnisse

«In der Schweiz braucht jedes Tracking ein Opt-in.» Das steht so weder im Gesetz noch im EDÖB-Leitfaden. Der Leitfaden hält ausdrücklich fest, dass weder das DSG noch Art. 45c FMG eine Einwilligung als zwingende Voraussetzung für nicht notwendige Cookies vorsehen. Opt-in ist in den qualifizierten Fällen nötig, nicht generell.

«In der Schweiz braucht es gar nichts.» Auch das stimmt nicht. Das Opt-out muss vor der Aktivierung möglich sein, prominent angezeigt werden und darf nicht komplizierter sein als die Zustimmung. Wer Werbe-Pixel beim ersten Seitenaufruf lädt und die Ablehnung in der Datenschutzerklärung versteckt, erfüllt das nicht.

Google verlangt mehr als das Schweizer Gesetz

Unabhängig vom Gesetz gilt die Richtlinie zur EU-Nutzereinwilligung von Google für Endnutzer im EWR, im Vereinigten Königreich und in der Schweiz. Wer Google-Dienste für Werbung oder Messung einsetzt, muss danach die Einwilligung für Cookies einholen, soweit gesetzlich nötig, und in jedem Fall für die Nutzung von Personendaten zur Personalisierung von Werbung. Einwilligungen sind zu dokumentieren. Für ein KMU mit Google-Ads-Remarketing ist ein Opt-in-Banner deshalb auch bei rein Schweizer Publikum die sichere Wahl.

Wann die DSGVO für Schweizer Websites gilt

Die Datenschutz-Grundverordnung der EU gilt nach Art. 3 Abs. 2 auch für Firmen ausserhalb der EU, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. Für Cookies kommt die ePrivacy-Richtlinie dazu (Art. 5 Abs. 3), die für nicht notwendige Cookies eine vorherige Einwilligung verlangt. Der Europäische Gerichtshof hat 2019 im Urteil Planet49 entschieden, dass vorangekreuzte Kästchen keine gültige Einwilligung sind.

Typische Anzeichen, dass die EU-Regeln Ihre Website betreffen, sind diese. Sie liefern nach Deutschland oder Österreich, Sie nennen Preise in Euro, Sie schalten Werbung in EU-Ländern oder Ihre Website richtet sich erkennbar auch an Kunden im Ausland. Ein Handwerksbetrieb, der nur im Kanton Zürich arbeitet, fällt in der Regel nicht darunter, nur weil auch Besucher aus Konstanz die Seite aufrufen können.

In der Praxis gibt es zwei Wege. Entweder Sie richten den Banner für alle Besucher nach dem EU-Standard aus, also Opt-in für alles Nicht-Notwendige. Das ist einfacher zu betreiben und kostet etwas Messgenauigkeit. Oder Sie zeigen je nach Standort des Besuchers eine andere Variante. Das ist technisch aufwendiger und nur sinnvoll, wenn die Daten aus Schweizer Besuchen wirklich wichtig sind.

Vier Beispiele aus dem KMU-Alltag

Die folgenden Fälle sind typische Konstellationen, keine Kundenfälle. Sie zeigen, wie unterschiedlich die Antwort auf die Frage nach dem Banner ausfällt.

Für Praxen gelten zusätzliche Regeln zur Werbung und zum Umgang mit Gesundheitsdaten. Mehr dazu auf der Seite Website für Arztpraxen.

Textbeispiele für den Banner

Zwei Muster, die Sie an Ihre eingesetzten Dienste anpassen müssen. Sie ersetzen keine rechtliche Prüfung, zeigen aber, wie ein klarer, kurzer Banner klingt. Der EDÖB nennt Formulierungen wie «für Marketingzwecke» ohne nähere Angabe ausdrücklich als zu unbestimmt.

Lösungen im Vergleich

Für den Banner gibt es fünf Wege. Welcher passt, hängt davon ab, wie viele Dienste eingebunden sind und wer die Website technisch betreut. Die genannten Beispiele dienen der Orientierung und sind keine Empfehlung.

Unabhängig vom Werkzeug entscheidet die Einrichtung. Ein teures Tool, das Werbe-Pixel trotzdem beim ersten Seitenaufruf lädt, nützt nichts. Wenn Sie Ihre Website ohnehin erneuern, lohnt es sich, das Thema im Website-Relaunch gleich mitzuplanen.

Checkliste für einen sauberen Cookie-Banner

1. 01

   Bestandesaufnahme machen

   Welche Dienste setzen Cookies oder laden Skripte von Dritten? Statistik, Werbe-Pixel, Videos, Karten, Chat, Buchungstools, Schriften von fremden Servern.

2. 02

   Jeden Dienst einordnen

   Notwendig, Statistik, Werbung oder qualifiziert nach der Tabelle oben. Unnötige Dienste entfernen, das ist die einfachste Lösung.

3. 03

   Publikum klären

   Nur Schweiz oder auch EU? Setzen Sie Google-Werbung ein? Daraus folgt Opt-out oder Opt-in.

4. 04

   Datenschutzerklärung anpassen

   Pro Dienst Zweck, Anbieter, Speicherdauer und Länder, in die Daten gehen. Im Banner und im Seitenfuss verlinken.

5. 05

   Ablehnen so einfach wie Zustimmen

   Gleich grosse Schaltflächen, keine vorausgewählten Kästchen, keine verwirrenden Farben. Der EDÖB nennt irreführende Gestaltung ausdrücklich als Problem.

6. 06

   Skripte wirklich blockieren

   Nicht notwendige Dienste dürfen erst nach der Wahl laden. Einbettungen wie Videos und Karten per Zwei-Klick-Lösung.

7. 07

   Selbst testen

   Website in einem privaten Browserfenster öffnen, nichts anklicken und in den Entwicklertools unter Cookies und Netzwerk nachsehen, ob schon Verbindungen zu Werbe- oder Statistikdiensten bestehen. Danach ablehnen und erneut prüfen.

8. 08

   Widerruf ermöglichen

   Ein dauerhaft sichtbarer Link «Cookie-Einstellungen», über den die Wahl jederzeit geändert werden kann.

9. 09

   Einwilligungen dokumentieren

   Bei Opt-in und für Google-Dienste nötig. Consent-Plattformen führen dafür ein Protokoll.

10. 10

    Regelmässig nachprüfen

    Jeder neue Dienst, jedes neue Plugin und jede neue Kampagne kann neue Cookies bringen. Ein kurzer Test pro Quartal genügt meist.

Was bei Verstössen droht

In der Schweiz kann ein Verstoss gegen Art. 45c FMG mit einer Busse bis CHF 5'000 bestraft werden. Nach dem DSG werden vorsätzliche Verletzungen der Informationspflicht auf Antrag mit Busse bis CHF 250'000 bestraft (Art. 60 DSG). Gebüsst wird dabei grundsätzlich die verantwortliche natürliche Person, nicht die Firma. Der EDÖB kann zudem Untersuchungen eröffnen und Massnahmen verfügen (Art. 49 und 51 DSG). Für Firmen im Anwendungsbereich der DSGVO sieht Art. 83 DSGVO deutlich höhere Bussen vor. Praktisch wichtiger als die Busse ist für die meisten KMU der Vertrauensverlust bei Kunden, wenn eine Website mehr Daten sammelt, als sie angibt.

Diese Seite fasst Gesetze und Behördenpraxis zusammen und ist keine Rechtsberatung. Gerade bei Gesundheitsdaten, umfangreichem Werbe-Tracking oder Kunden in der EU empfehlen wir die Prüfung durch eine Fachperson für Datenschutzrecht.