Cookie-Banner Schweiz Pflicht: Was das revDSG wirklich verlangt

Brauche ich in der Schweiz einen Cookie-Banner?

Einen Einwilligungs-Banner nur, wenn Ihre Website Dienste einsetzt, die Daten an Dritte schicken. Eine reine Schweizer Seite ohne Google Analytics, Google Ads oder EU-Bezug braucht ihn nicht. Sobald Sie Google-Tools laden oder EU-Besucher tracken, brauchen Sie ihn. Cookieloses Analytics auf dem eigenen Server umgeht ihn ganz. Wer trotzdem eine Statistik-Wahl anbietet, so wie ich hier, kommt mit einem schlanken Banner mit zwei Kategorien aus statt mit einer Schalter-Wand.

Auf fast jeder Schweizer Website blinkt heute ein Cookie-Banner. Mal mit zwei gleich grossen Knöpfen, mal mit einem versteckten Ablehnen-Link, mal mit einer ganzen Wand aus Schaltern. Viele Betriebe haben das Ding eingebaut, weil es alle haben, nicht weil sie wüssten, was die Schweizer Rechtslage von ihnen verlangt. Ich nehme das hier in Ruhe auseinander: Was gilt in der Schweiz, was muss ein Banner können, was ist übertrieben, und wann brauchen Sie gar keinen?

Vorweg eine Klarstellung: Ich bin kein Anwalt. Was hier steht, ist die Praxis-Sicht eines Webentwicklers, der seit Jahren Schweizer KMU-Seiten baut. Für eine verbindliche rechtliche Beurteilung gehören heikle Fälle zur Fachperson. Gute, laienverständliche Quellen sind der Eidgenössische Datenschutzbeauftragte (EDÖB) und der Blog von Steiger Legal. Ich liefere die technische Einordnung dazu.

Verlangt das revDSG einen Cookie-Banner wie die DSGVO?

Nein. Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz, kurz revDSG. Es ist das Schweizer Pendant zur europäischen DSGVO, aber bewusst anders gebaut. Viele behandeln es so, als wäre es eine Kopie. Das stimmt nicht, und genau aus diesem Unterschied erklärt sich, warum die meisten Banner überdimensioniert sind.

Die DSGVO verlangt für viele Cookies eine aktive, vorgängige Einwilligung. Bevor ein nicht zwingend nötiges Cookie gesetzt wird, muss der Besucher zugestimmt haben. Daher die Banner, die Sie blockieren, bis Sie klicken.

Das revDSG arbeitet anders. Es stellt die Transparenz in den Vordergrund. Sie müssen offenlegen, welche Personendaten Sie bearbeiten und zu welchem Zweck. Das geschieht in der Datenschutzerklärung. Eine erzwungene Klick-Hürde vor dem Setzen eines Analytics-Cookies schreibt das revDSG so nicht vor.

Eine Einschränkung, die dabei fast immer untergeht: Das Cookie-Recht steht in der Schweiz gar nicht im Datenschutzgesetz, sondern in Art. 45c lit. b des Fernmeldegesetzes, und zwar schon seit 2007. Danach dürfen Daten auf fremden Geräten nur bearbeitet werden, wenn die Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informiert werden und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können. Verlangt ist also kein Einwilligungs-Banner, aber sehr wohl Information plus Ablehnungsmöglichkeit, und zwar grundsätzlich bevor die Cookies gesetzt werden. Verstösse können nach Art. 53 desselben Gesetzes mit bis zu CHF 5’000 gebüsst werden. Laut dem EDÖB-Merkblatt vom 31. März 2026 braucht es sogar eine vorgängige ausdrückliche Zustimmung, wenn die Bearbeitung unerwartet oder mit hohem Risiko verbunden ist oder besonders schützenswerte Daten betrifft.

Entscheidungstabelle: Brauche ich einen Banner?

Die Pflicht hängt nicht an Ihrer Website an sich, sondern an den Diensten, die Sie laden. Hier die häufigsten Fälle:

Lesen Sie die Tabelle von oben nach unten. Sobald eine Zeile mit einem Ja auf Sie zutrifft, brauchen Sie einen Banner. Trifft keine zu, brauchen Sie keinen. So einfach ist die Logik, und sie wird selten so erklärt.

Der teure Mythos: Wen die Busse wirklich trifft

Hier wird es oft falsch erzählt, und der Irrtum kostet Nerven. Sie lesen von einer Busse bis CHF 250’000 und denken, Ihre Firma sei dran. Das ist nicht so.

Das revDSG bestraft nicht das Unternehmen, sondern die verantwortliche Person. Bei einem vorsätzlichen Verstoss trifft die Busse von bis zu CHF 250’000 den Inhaber oder die Geschäftsführerin, und zwar aus dem Privatvermögen. Erst wenn diese Person mit verhältnismässigem Aufwand nicht ermittelbar ist, wird die Firma subsidiär belangt, dann aber nur bis CHF 50’000.

Zwei Dinge folgen daraus. Erstens: Es ist keine Massen-Bussen-Maschine gegen Firmen wie unter der DSGVO. Das revDSG greift bei vorsätzlichen Verstössen einer verantwortlichen Person, nicht bei jeder vergessenen Checkbox. Zweitens: Wenn es ernst wird, haftet ein Mensch privat, nicht ein abstraktes Unternehmen. Das ist ein Grund, sauber zu arbeiten, aber kein Grund für Panik-Banner. Die seriöse Reaktion ist eine ehrliche Datenschutzerklärung, nicht die grösste Schalter-Wand.

Warum trotzdem fast jeder einen Banner hat

Wenn das Schweizer Recht keinen Einwilligungs-Banner erzwingt, warum sieht man ihn dann überall? Dafür gibt es zwei nachvollziehbare Gründe.

Erstens: Wer Besucher aus der EU hat, und das hat fast jede Website, bewegt sich für diese Personen im Geltungsbereich der DSGVO. Viele Betriebe wählen darum den strengeren Massstab, um auf der sicheren Seite zu sein.

Zweitens, und das ist der ehrlichere Grund: Die meisten Seiten laden Google Analytics, Google Fonts vom Google-Server, eingebettete YouTube-Videos, Facebook-Pixel oder einen US-Chat. Jeder dieser Dienste setzt Cookies und sendet Daten an Dritte, oft in die USA. Bei einem Google-Marktanteil von über 80 Prozent in der Schweiz nutzen viele zudem Google Ads, und dafür verlangt Google den Consent Mode v2: im EWR seit dem 6. März 2024, für Schweizer Nutzerinnen und Nutzer seit dem 31. Juli 2024. Über diese Schnittstelle erfährt Google, ob der Besucher zugestimmt hat. Ohne gültige Einwilligung verarbeitet Google die Daten nur eingeschränkt. Wer Google Ads oder Analytics fährt, braucht den Banner also für den Consent Mode, sonst läuft die Messung blind.

Das ist der entscheidende Gedanke: Wie gross und wie aufdringlich der Banner ausfällt, ist die Folge Ihrer technischen Entscheidungen. Nicht die Existenz eines Hinweises an sich, denn den verlangt Art. 45c FMG, sobald nicht notwendige Cookies im Spiel sind.

Was ein Banner können muss, wenn Sie einen brauchen

Wenn Sie Tracker einsetzen, die eine Einwilligung verlangen, muss der Banner ein paar Dinge sauber erfüllen:

• Ablehnen ist gleich einfach wie Annehmen. Kein verstecktes Kleingedrucktes, kein grauer Link unten rechts. Annehmen und Ablehnen gehören auf dieselbe Ebene, gleich gut sichtbar.
• Nichts lädt vor der Einwilligung. Die Tracker dürfen erst feuern, wenn jemand zugestimmt hat. Ein Banner, der nur dekorativ ist, während Google Analytics schon im Hintergrund läuft, ist wertlos und falsch.
• Granular, wo es sinnvoll ist. Statistik, Marketing und externe Medien lassen sich getrennt freigeben. Der Besucher soll Statistik erlauben und Marketing ablehnen können.
• Widerruf ist möglich. Die einmal getroffene Wahl muss man später ändern können, über einen kleinen Link im Footer zum Beispiel.

Das ist der nötige Umfang. Alles, was darüber hinausgeht, ist meist nur Lärm.

Was übertrieben ist

Drei Dinge sehe ich oft, die mehr schaden als nützen.

Der Banner, der die ganze Seite sperrt, bis man klickt. Das nervt, drückt Ihre Werte bei Google und ist rechtlich nicht nötig. Eine Box am Bildschirmrand reicht.

Die endlose Liste mit vierzig Anbietern und Häkchen. Sie entsteht, wenn jemand ein Standard-Tool installiert, das jeden denkbaren Dienst abdeckt, obwohl die Seite nur drei davon nutzt. Niemand liest das, und es wirkt eher beunruhigend als seriös.

Der Banner auf einer Seite, die gar keine Tracker hat. Das ist der absurdeste Fall, und er kommt häufiger vor, als man denkt. Eine reine Visitenkarten-Seite ohne Analytics, ohne externe Schriften, ohne eingebettete Videos braucht schlicht keinen Banner. Ein Banner suggeriert dann eine Datensammlung, die gar nicht stattfindet.

Wie komme ich ganz ohne Cookie-Banner aus?

Es gibt einen Weg, den Einwilligungs-Banner ganz zu vermeiden, und den Kern davon gehe ich auf meiner eigenen Seite. Ich messe die Besucherzahlen über ein selbst gebautes, cookieloses First-Party-System auf meinem Server. Cookieloses Analytics heisst: Besucherzahlen werden gemessen, ohne dass ein Cookie auf dem Gerät gespeichert oder eine IP-Adresse dauerhaft abgelegt wird. Dieser Teil sendet nichts an Google oder einen anderen Drittanbieter. Zusätzlich biete ich Plausible an, das nur nach ausdrücklicher Zustimmung nachgeladen wird. Genau deshalb sehen Sie hier trotzdem einen Banner, aber einen schlanken mit zwei Kategorien statt einer Schalter-Wand. Wer auf den Drittanbieter verzichtet, kommt ganz ohne aus.

Dasselbe lässt sich für die meisten KMU-Seiten erreichen. Die typischen Auslöser für einen Banner sind ersetzbar:

• Schriften lokal einbinden statt vom Google-Server laden. Dann fliessen keine Daten zu Google.
• Cookieloses Analytics statt Google Analytics. Es gibt gute Lösungen, die ohne Einwilligung auskommen, und ich baue sowas standardmässig ein.
• Videos erst auf Klick laden statt fest eingebettet. Das verhindert, dass YouTube schon beim Seitenaufruf Daten zieht.
• Karten und Chat kritisch prüfen. Vieles davon braucht eine kleinere Firma gar nicht. Wer lokal gefunden werden will, fährt mit einem gepflegten Google-Unternehmensprofil oft besser als mit einer eingebetteten Karte.

Wenn man eine Seite von Anfang an so baut, fällt der Banner ersatzlos weg. Die Seite lädt schneller, wirkt aufgeräumter, und Sie haben weniger zu erklären.

Ein ehrlicher Hinweis: Wenn Sie aktiv Google Ads schalten und auf die Conversion-Messung angewiesen sind, kommen Sie um Google-Tools und damit um Banner und Consent Mode kaum herum. Dann ist der Banner Teil des Geschäfts. Für die meisten KMU, die einfach wissen wollen, wie viele Leute ihre Seite besuchen, ist er es nicht.

Was Sie auf jeden Fall brauchen

Eines bleibt unabhängig vom Banner Pflicht: eine verständliche Datenschutzerklärung. Sie gehört in den Footer und muss ehrlich beschreiben, welche Daten Sie bearbeiten, zu welchem Zweck, wer Zugriff hat und wie man seine Rechte wahrnimmt. Das ist der Kern dessen, was das revDSG mit Transparenz meint. Ein hübscher Banner ohne saubere Datenschutzerklärung erfüllt das Gesetz nicht. Die Erklärung ist das Fundament, der Banner höchstens das Dach.

Mein Fazit

Die Schweizer Lage ist entspannter, als das Banner-Theater vermuten lässt. Das revDSG verlangt Transparenz, keine Klick-Wand; Art. 45c FMG verlangt Information und eine Ablehnungsmöglichkeit, sobald nicht notwendige Cookies gesetzt werden. Den Einwilligungs-Banner brauchen Sie nur, wenn Sie Dienste einsetzen, die Daten an Dritte schicken, allen voran Google. Und genau diese Dienste lassen sich bei den meisten KMU-Seiten vermeiden. Wer sauber baut, braucht oft keinen Banner und hat trotzdem nützliche Besucherzahlen. Die Busse bis CHF 250’000 schliesslich ist kein Firmen-Schreckgespenst, sondern trifft im Ernstfall eine einzelne Person privat.

Wenn Sie unsicher sind, ob Ihre Seite einen Banner braucht oder ob sie unnötig Daten verschickt, schaue ich gern drauf. Schreiben Sie mir kurz über das Kontaktformular, und ich sage Ihnen ehrlich, was nötig ist und was nicht. Für die rechtlich verbindliche Beurteilung verweise ich auf eine Fachperson, EDÖB oder Steiger Legal.