Datenschutzund Cookies.

Cookies und Tracking gehören zu jeder modernen Website — und unterliegen klaren Vorgaben. In der Schweiz gelten dafür das Datenschutzgesetz und das Fernmeldegesetz; wie sie praktisch anzuwenden sind, hat der EDÖB in einem Leitfaden präzisiert. Diese Seite fasst zusammen, was das für Ihre Website heisst.

Was sich zuletzt geändert hat

30. Juni 2026 — der Tätigkeitsbericht zeigt mehr Vollzug

Im Berichtsjahr (1. April 2025 bis 31. März 2026) gingen beim EDÖB nach eigenen Angaben «über 2000 Meldungen möglicher Datenschutzverletzungen» ein. Er «intervenierte 156-mal gegenüber den Verantwortlichen und führte 22 Vorabklärungen und 9 Untersuchungen durch». In den meisten Fällen kam eine einvernehmliche Lösung zustande; wo nicht, verfügte er die Einstellung der beanstandeten Bearbeitung.

Quelle: Medienmitteilung des EDÖB vom 30.06.2026 zum 33. Tätigkeitsbericht 2025/2026.

27. März 2026 — ein Merkblatt für die Nutzerinnen und Nutzer

Der EDÖB hat ein Merkblatt veröffentlicht, das sich nicht an Website-Betreiber richtet, sondern an die Besucherinnen und Besucher. Es erklärt, wie man Cookie-Banner bewusst bedient, und empfiehlt Werkzeuge, die Tracker blockieren.

Wichtig ist der Zusammenhang: Der EDÖB hatte bei der Publikation des aktualisierten Cookie-Leitfadens angekündigt, zuerst zu sensibilisieren und danach die nötigen aufsichtsrechtlichen Schritte einzuleiten. Der erste Teil ist damit erfolgt.

Quelle: Merkblatt zur Verwendung von Cookies und Praktische Tipps des EDÖB.

6. Oktober 2025 — der Cookie-Leitfaden in Version 1.1

Die erste Fassung stammt vom 22. Januar 2025. Version 1.1 bringt keine neue Rechtslage, sondern Klarstellungen und Ergänzungen zu Fragen aus der Praxis. Sie ist bis heute die massgebende Auslegungshilfe.

Quelle: Aktualisierte Fassung des Cookie-Leitfadens, EDÖB.

Wer ist der EDÖB?

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die Aufsichtsbehörde des Bundes für den Datenschutz. Er ist unabhängig, wird von der Vereinigten Bundesversammlung gewählt und hat zwei Aufgaben: Er überwacht, wie Bundesorgane und private Unternehmen Personendaten bearbeiten, und er sorgt für den Zugang zu amtlichen Dokumenten (Öffentlichkeitsprinzip).

Seit der Revision des Datenschutzgesetzes 2023 kann er von sich aus untersuchen und verfügen — er kann also die Einstellung einer Datenbearbeitung anordnen, ohne dass jemand klagt. Bussen spricht nicht er aus, sondern die kantonalen Strafbehörden; sie treffen nach DSG die verantwortliche natürliche Person, nicht das Unternehmen.

Für die Praxis wichtiger als die Verfügungskompetenz sind seine Leitfäden und Merkblätter. Sie sind nicht verbindlich, zeigen aber, wie er das Gesetz liest.

Die Rechtsgrundlagen in der Schweiz

Für Cookies und Tracking gelten zwei Erlasse nebeneinander:

• Datenschutzgesetz (DSG) — Grundsätze wie Transparenz, Verhältnismässigkeit, Zweckbindung und, wo nötig, die Einwilligung.
• Fernmeldegesetz (FMG), Art. 45c — die Pflicht, über die Bearbeitung von Daten auf fremden Geräten zu informieren und die Ablehnung zu ermöglichen.

Das FMG verlangt also Information und Ablehnungsmöglichkeit, das DSG regelt den Umgang mit den Daten selbst. Der Leitfaden des EDÖB verbindet beides zu praktischen Anforderungen.

Die drei Arten von Cookies

Technisch notwendige Cookies

Ohne sie funktioniert die Website nicht: Anmeldestatus, Warenkorb, Spracheinstellung, Sicherheitsfunktionen.

Regel: kein Banner nötig. Die Information in der Datenschutzerklärung genügt, eine Einwilligung braucht es nicht.

Analyse- und Komfort-Cookies

Besucherstatistiken, gemerkte Voreinstellungen, Komfortfunktionen.

Regel: Die Nutzer müssen aktiv informiert werden und ablehnen können, und zwar sichtbar und leicht erreichbar. In der Praxis heisst das: ein Banner.

Tracking-, Marketing- und Profiling-Cookies

Google Analytics mit Personenbezug, Meta-Pixel, seitenübergreifendes Werbetracking.

Regel: aktive Zustimmung, bevor irgendetwas gesetzt oder geladen wird.

Was ein Cookie-Banner können muss

• klar sagen, wozu die Daten bearbeitet werden;
• Ablehnen gleich leicht machen wie Zustimmen — gleiche Ebene, gleich wenige Klicks;
• beim ersten Besuch gut sichtbar sein;
• nichts vorangekreuzt haben, wo eine Einwilligung nötig ist;
• eine Entscheidung speichern, statt bei jedem Aufruf neu zu fragen;
• jederzeit änderbar sein, etwa über einen Link im Fuss.

Ein versteckter Hinweis in der Datenschutzerklärung genügt nicht.

Der grössere Risikofaktor ist ohnehin nicht die Gestaltung, sondern der Ladepfad: Lädt vor dem Klick wirklich nur das technisch Nötige — auch keine eingebetteten Videos, Karten oder externen Schriften? Das sieht man dem Banner nicht an, nur dem Netzwerkverkehr.

Eingebundene Drittanbieter

Wer eine Karte, ein Video, ein Buchungssystem oder einen anderen externen Dienst einbindet, stellt eine direkte Verbindung zwischen dem Browser der Besucher und diesem Anbieter her. Dabei fliessen Daten — mindestens die IP-Adresse — auch dann, wenn die eigene Website gar nichts trackt.

Nach dem Leitfaden des EDÖB ist der Website-Betreiber dafür mitverantwortlich: Er ermöglicht die Einbindung technisch und löst damit die Übertragung aus. In der Praxis heisst das, externe Inhalte standardmässig zu blockieren und erst nach einer aktiven Handlung zu laden — die bekannte Zwei-Klick-Lösung — und die Einbindung in der Datenschutzerklärung zu beschreiben.

KI: gilt dafür etwas Eigenes?

Nein, und das ist die ganze Antwort. Die Schweiz hat kein KI-Gesetz; eine erste Vernehmlassungsvorlage wird auf Ende 2026 erwartet. Der EDÖB hält jedoch fest, dass das Datenschutzgesetz technologieneutral formuliert und damit direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. KI ist auch einer der Schwerpunkte seines aktuellen Tätigkeitsberichts.

Entscheidend ist deshalb nicht, ob eine Anwendung «KI» heisst, sondern welche Personendaten sie bearbeitet, wozu, wohin diese fliessen — und ob gestützt darauf automatisiert über Personen entschieden wird. Ein Chatbot, eine automatische Auswertung von Formularanfragen, ein Lead-Scoring oder ein KI-Werkzeug mit Kunden- oder Bewerberdaten gehört in die Datenschutzerklärung.

Quelle: «Geltendes Datenschutzgesetz ist auf KI direkt anwendbar» und KI und Datenschutz, EDÖB.

Wann zusätzlich EU-Recht gilt

In der EU gilt für fast alle nicht notwendigen Cookies eine Zustimmungspflicht, bevor sie gesetzt werden — ein Banner ist dort praktisch immer nötig. Die Schweiz ist flexibler und lässt für Analyse-Cookies auch eine Ablehnungsmöglichkeit genügen.

Die DSGVO gilt zusätzlich, wenn sich eine Schweizer Website an Personen in der EU richtet: wenn Sie dorthin liefern oder anbieten, Preise in Euro anzeigen, EU-Kundschaft gezielt ansprechen oder Werbetracking für den EU-Markt einsetzen.

Und seit dem 2. August 2026 greifen die Pflichten des EU AI Act für Hochrisiko-Systeme. Er wirkt über die Grenze: Wer KI-Systeme in der EU anbietet, betreibt oder deren Ergebnisse dort verwendet werden, kann erfasst sein — unabhängig vom Firmensitz.

Häufige Fragen

Brauche ich in der Schweiz immer ein Cookie-Banner?

Nein. Nur wenn nicht notwendige Cookies zum Einsatz kommen.

Reicht ein Hinweis in der Datenschutzerklärung?

Bei technisch notwendigen Cookies ja. Bei Statistik oder Tracking nicht.

Wann brauche ich eine aktive Zustimmung?

Bei Tracking-, Marketing- und Profiling-Cookies — und bevor externe Inhalte geladen werden.

Wann gelten die EU-Regeln?

Sobald sich Ihre Website aktiv an Personen in der EU richtet oder Sie EU-Kundschaft bedienen.

Was passiert, wenn ich nichts tue?

Der EDÖB kann von sich aus untersuchen und die Einstellung einer Bearbeitung verfügen. Die Sensibilisierungsphase, die er angekündigt hatte, ist abgeschlossen.

Quellen

• Leitfaden des EDÖB betreffend Datenbearbeitungen mittels Cookies, Version 1.1 vom 06.10.2025
• Merkblatt zur Verwendung von Cookies und ähnlichen Technologien, 27.03.2026
• Medienmitteilung zum 33. Tätigkeitsbericht, 30.06.2026 · Bericht als PDF
• KI und Datenschutz, EDÖB
• Datenschutzgesetz (DSG) · Fernmeldegesetz (FMG)

Stand: 14.09.2026. Alle Links an diesem Tag geprüft. Diese Seite ist eine Orientierung und keine Rechtsberatung — den Datenschutz betreuen wir gemeinsam mit datenschutzpartner.ch.