Kurz gesagt: In der Schweiz verlangt Art. 45c des Fernmeldegesetzes von jeder Website, Besucher über Cookies zu informieren, deren Zweck zu erklären und eine Ablehnung zu ermöglichen, während das revidierte Datenschutzgesetz (revDSG) festlegt, wann ein Opt-out genügt und wann eine ausdrückliche Einwilligung nötig ist. Die Regeln gelten für Schweizer Unternehmen und für ausländische Websites, deren Tracking sich in der Schweiz auswirkt, also auch für viele deutsche Shops. Verstöße können zu verbindlichen Verfügungen des EDÖB und zu Bussen bis 250.000 CHF für die verantwortlichen Personen führen.
revDSG: Worum geht es?
revDSG, oft auch nDSG genannt, ist die informelle Bezeichnung für das totalrevidierte Bundesgesetz über den Datenschutz vom 25. September 2020 (SR 235.1). Es trat am 1. September 2023 in Kraft und hob das Datenschutzgesetz vom 19. Juni 1992 auf. Amtlich heißt es schlicht Datenschutzgesetz (DSG). Inhaltlich hat es sich stark an die DSGVO angenähert, bleibt aber ein eigenständiges Schweizer Gesetz mit eigenen Begriffen und einem eigenen Sanktionssystem.
Das DSG regelt jede Bearbeitung von Personendaten durch private Personen und Bundesorgane. Für Cookies wirkt es mit einer viel älteren und kürzeren Bestimmung zusammen: Art. 45c des Fernmeldegesetzes (FMG, SR 784.10), in Kraft seit dem 1. April 2007. Danach ist das Bearbeiten von Daten auf fremden Geräten mittels fernmeldetechnischer Übertragung nur erlaubt für Fernmeldedienste und deren Abrechnung, oder wenn die Benutzer über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) veröffentlichte am 22. Januar 2025 einen ausführlichen Leitfaden zu Cookies und ähnlichen Technologien, ergänzt am 6. Oktober 2025. Er ist die wichtigste Referenz dafür, wie beide Texte auf Websites und Apps anzuwenden sind.
Räumlicher Anwendungsbereich
Art. 3 DSG erklärt das Gesetz auf Sachverhalte anwendbar, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden. Eine deutsche, österreichische oder amerikanische Website, die Besucher in der Schweiz trackt, fällt für dieses Tracking in den Anwendungsbereich. Für einen deutschen Onlineshop mit Schweizer Kunden heißt das: Neben DSGVO und § 25 TDDDG ist auch das revDSG zu beachten.
Wer ist betroffen?
Die Regeln betreffen jeden, der über Zweck und Mittel von Cookies auf einer Website oder in einer App entscheidet:
- Schweizer Unternehmen und Organisationen jeder Größe.
- Ausländische Unternehmen, die Schweizer Besucher ansprechen oder deren Tracking sich auf sie auswirkt.
- Bundesorgane, für die strengere Regeln gelten: Laut EDÖB brauchen sie schon für einfaches Profiling eine ausdrückliche Einwilligung.
Der EDÖB stellt klar, dass der Websitebetreiber für die Cookie-Nutzung verantwortlich ist, weil er entscheidet, welche Daten über seine Seite zu welchem Zweck bearbeitet werden. Binden Sie Dienste Dritter ein, etwa Social Plug-ins, Videos oder Werbe-Tags, die Daten für eigene Zwecke erheben, tragen Sie laut EDÖB Mitverantwortung für diese Erhebung.
Ausländische private Verantwortliche müssen unter Umständen eine Vertretung in der Schweiz bezeichnen (Art. 14 DSG), wenn ihre Bearbeitung von Daten in der Schweiz wohnhafter Personen mit dem Angebot von Waren oder Dienstleistungen oder der Beobachtung des Verhaltens zusammenhängt und umfangreich, regelmäßig und mit hohem Risiko verbunden ist.
Was das revDSG für Cookies und Einwilligung vorschreibt
Zwei Ebenen: Art. 45c FMG und DSG
Das Schweizer Cookie-Recht hat zwei Ebenen. Art. 45c FMG betrifft den technischen Vorgang des Setzens und Auslesens von Cookies, unabhängig vom Personenbezug, und verlangt immer Information plus Ablehnungsrecht. Das DSG regelt dann die Bearbeitung der Personendaten, die Cookies erheben. Der EDÖB teilt Cookies in drei Gruppen ein.
Technisch notwendige Cookies
Cookies, die für das Funktionieren oder die Sicherheit der Website nötig sind, sind nach dem DSG verhältnismäßig. Die nicht abschließenden Beispiele des EDÖB umfassen den Warenkorb-Cookie, die Zwischenspeicherung von Formulareingaben, die Authentifizierung eingeloggter Nutzer, die gewählte Sprache, die Cookie-Entscheidung selbst, die Lastverteilung, den Schutz vor Brute-Force-Angriffen und Captchas. Die Notwendigkeit gilt auch für Inhalt und Speicherdauer: Eine Sprachpräferenz sollte als einfacher Wert wie „Sprache: de“ gespeichert werden, ohne eindeutige Nutzer-ID.
Nicht notwendige Cookies: Rechtfertigung und Opt-out
Funktions-, Analyse- und Werbe-Cookies gehen über das Notwendige hinaus und stehen laut EDÖB im Widerspruch zum Verhältnismäßigkeitsgrundsatz in Art. 6 DSG. Nach Art. 30 und 31 DSG ist eine solche Bearbeitung widerrechtlich, wenn sie nicht durch Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder das Gesetz gerechtfertigt ist. In der Praxis haben Sie zwei Wege:
- Überwiegendes Interesse plus Opt-out. Sie wägen Ihr Interesse gegen den Eingriff ab. Eine Ablehnungsmöglichkeit verringert den Eingriff, und für nicht notwendige Cookies ist sie nach Art. 45c FMG ohnehin Pflicht.
- Einwilligung. Eine gültige Einwilligung nach Art. 6 Abs. 6 DSG muss freiwillig, für eine bestimmte Bearbeitung und nach angemessener Information erfolgen.
Besucherstatistiken lassen sich laut EDÖB durch ein überwiegendes Interesse rechtfertigen, wenn die Daten so früh wie möglich, auf Websites in der Regel sofort, anonymisiert und die Ergebnisse ohne Personenbezug veröffentlicht werden, auch mit externen Tools, solange der Anbieter nur in Ihrem Auftrag bearbeitet.
Wann Opt-in Pflicht wird
Art. 6 Abs. 7 DSG verlangt eine ausdrückliche Einwilligung für die Bearbeitung besonders schützenswerter Personendaten und für ein Profiling mit hohem Risiko durch private Personen. Der EDÖB überträgt das auf Cookies: Ermöglicht das Tracking eine Beurteilung wesentlicher Aspekte der Persönlichkeit, genügt ein Opt-out nicht mehr. Er warnt, dass websiteübergreifendes Werbe-Tracking die Schwelle des einfachen Profilings überschreiten kann und dass Sie ohne Risikoanalyse von einem hohen Risiko ausgehen müssen. Auch unerwartete Verwendungen, etwa kommerzielles Tracking auf einer politischen oder religiösen Website, verlangen deutliche Hinweise oder eine ausdrückliche Einwilligung.
Information, Voreinstellungen, Widerruf und Nachweis
Art. 19 DSG verlangt mindestens Angaben zur Identität des Verantwortlichen, zum Zweck und zu den Empfängern, einschließlich Ländern im Ausland. Der EDÖB verlangt einen mehrstufigen Ansatz mit den Kerninformationen auf der ersten Ebene. Art. 7 Abs. 3 DSG schreibt datenschutzfreundliche Voreinstellungen vor. Einwilligung und Ablehnung müssen jederzeit und formlos widerrufbar sein. Wer sich auf eine Einwilligung stützt, sollte dokumentieren, was Besucher erfahren und gewählt haben.
Der revDSG-konforme Cookie-Banner
Der EDÖB nennt Cookie-Banner und Consent-Management-Plattformen als üblichen Weg. Ein Schweiz-tauglicher Banner sollte:
- die Zwecke jeder Kategorie erklären und die beteiligten Dritten nennen;
- Besuchern erlauben, Kategorien einzeln anzunehmen oder abzulehnen;
- deutlich machen, was zwingend und was optional ist;
- bei Opt-out-Cookies beim ersten und bei späteren Besuchen zeigen, wie man mit wenigen Klicks ablehnt;
- in Opt-in-Fällen einen aktiven Klick verlangen, bevor etwas läuft;
- einen dauerhaften Weg zum Ändern der Wahl bieten.
Für Social Plug-ins, Tracking-Pixel und andere Drittdienste empfiehlt der EDÖB eine Zwei-Klick-Lösung, sodass deren JavaScript erst nach Information und Zustimmung lädt.
Unzulässige Dark Patterns
Laut Leitfaden können irreführende Gestaltung und Formulierungen (Dark Patterns oder Nudging) eine Einwilligung unwirksam machen. Genannt werden ein Dialog, der nur „alles akzeptieren oder Website verlassen“ erlaubt, vorausgewählte Kästchen, die schwerer abzuwählen als anzuwählen sind, verwirrende Schriften oder Farben, das Abwählen langer Listen zum Widerruf und Cookie-Paywalls mit einem Preis, der in keinem Verhältnis zu den entgangenen Einnahmen steht. Praktische Layouts finden Sie in unserem Leitfaden zum Cookie-Banner und zu Cookie Dark Patterns.
Sanktionen und Kontrollen
Der EDÖB beaufsichtigt die Anwendung des Datenschutzrechts des Bundes. Er verhängt keine Bussen, kann aber nach Art. 51 DSG anordnen, dass eine Bearbeitung angepasst, unterbrochen oder abgebrochen und Daten gelöscht werden.
Bussen sind Strafen. Nach Art. 60 bis 63 DSG drohen privaten Personen, die vorsätzlich bestimmte Pflichten verletzen, etwa die Informationspflicht nach Art. 19, die Regeln zur Bekanntgabe ins Ausland oder eine Verfügung des EDÖB, Bussen bis 250.000 CHF. Mehrere Delikte werden nur auf Antrag verfolgt, zuständig sind die Kantone (Art. 65). Wäre die Ermittlung der verantwortlichen Person unverhältnismäßig und beträgt die Busse höchstens 50.000 CHF, kann das Unternehmen verurteilt werden (Art. 64). Ein Verstoß gegen Art. 45c FMG kann nach Art. 53 FMG mit bis zu 5.000 CHF gebüsst werden.
Reale Fälle
- Ricardo AG und TX Group AG. Der EDÖB schloss am 11. April 2024 eine Untersuchung zur Auktionsplattform Ricardo ab und empfahl, Datenweitergaben und plattformübergreifendes Tracking für gezielte Werbung transparent zu machen und gültige Einwilligungen einzuholen. Der Fall betraf Cookies, die Nutzungsdaten über Unternehmen derselben Gruppe verknüpften, und wurde nach altem DSG entschieden. (Medienmitteilung des EDÖB)
- Digitec Galaxus AG. In einer im April 2024 nach altem Recht abgeschlossenen Untersuchung stellte der EDÖB fest, dass die Pflicht zum Kundenkonto für Bestellungen unverhältnismäßig war, und empfahl ein Widerspruchsrecht gegen Marketing-Bearbeitungen. Am 27. November 2025 meldete der Händler, dass Nutzer die Personalisierung mit einem Klick deaktivieren können, was die zugehörigen Cookies abschaltet, und der EDÖB schloss den Fall. (Fallseite des EDÖB)
Checkliste zur Umsetzung
- Erfassen Sie alle Cookies, Pixel und eingebundenen Dienste, auch von Dritten.
- Trennen Sie technisch notwendige Cookies vom Rest, anhand der Beispiele des EDÖB.
- Informieren Sie auf der ersten Ebene über Zwecke, Empfänger und Übermittlungen ins Ausland.
- Bieten Sie eine klare, einfache Ablehnung jedes nicht notwendigen Cookies, beim ersten und bei späteren Besuchen.
- Identifizieren Sie Tracking mit hohem Risiko und stellen Sie es auf ausdrückliches Opt-in um.
- Blockieren Sie Drittskripte, bis Besucher informiert sind und, wo nötig, zugestimmt haben.
- Vermeiden Sie Dark Patterns wie Akzeptieren-oder-Verlassen-Dialoge.
- Vereinfachen Sie den Widerruf mit einem dauerhaften Link oder Symbol.
- Anonymisieren Sie Statistiken, wenn Sie sich auf das überwiegende Interesse stützen.
- Prüfen Sie, ob Sie eine Vertretung in der Schweiz brauchen, wenn Sie im Ausland sitzen.
Wie FlowConsent Ihnen hilft, das revDSG einzuhalten
FlowConsent übernimmt die technische Seite der Schweizer Regeln. Skripte werden vor der Einwilligung blockiert, sodass Drittanbieter-Tags inaktiv bleiben, bis Besucher informiert sind und gewählt haben, was auch die Schweizer Opt-in-Fälle abdeckt. Der automatische Scan listet die Cookies und Dienste Ihrer Website, die Grundlage für die Trennung notwendiger Cookies vom Rest, und Sie veröffentlichen das Ergebnis als Cookie-Erklärung. Jede Wahl wird protokolliert und als Einwilligungsnachweis exportierbar. Google Consent Mode v2 ist integriert, das Hosting erfolgt in Europa, die Einrichtung dauert etwa zehn Minuten. Starten Sie mit unserem kostenlosen Scanner und registrieren Sie sich: kostenlos bis 25.000 Sitzungen pro Monat, Pro für 14,99 € pro Monat bis 100.000 Sitzungen.
Weiterführende Artikel
Die folgenden Artikel behandeln die praktische Seite dieser Regeln. Unser Leitfaden zu Cookieless Analytics hilft, wenn Sie sich bei Statistiken auf das überwiegende Interesse stützen möchten, und der Artikel über Cookie-Walls erklärt, warum Akzeptieren-oder-Verlassen-Modelle auch in der Schweiz riskant sind.