Braucht meine Website in der Schweiz einen Cookie-Banner?

Die Regel zu Cookies steht zuerst im Fernmeldegesetz (FMG). Das Datenschutzgesetz kommt in vielen Fällen dazu. Art. 45c FMG trägt den Titel «Daten auf fremden Geräten» und lautet:

«Das Bearbeiten von Daten auf fremden Geräten durch fernmeldetechnische Übertragung ist nur erlaubt: a. für die Fernmeldedienste und ihre Abrechnung; oder b. wenn die Benutzerinnen und Benutzer über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können.»

Das Wort «Einwilligung» steht dort nicht. Verlangt sind zwei Dinge: informieren und auf die Ablehnung hinweisen. Art. 45c spricht von Daten auf fremden Geräten, das Wort Cookie kommt darin nicht vor. Der Leitfaden der Aufsicht behandelt Cookies zusammen mit «ähnlichen Technologien».

Das Datenschutzgesetz (DSG) kommt dazu, sobald ein Cookie Personendaten bearbeitet. Personendaten sind «alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen» (Art. 5 Bst. a DSG). Dann gilt die Informationspflicht: «Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten» (Art. 19 Abs. 1 DSG).

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) fasst es in seinem Leitfaden so zusammen: «Weder das DSG noch Art. 45c FMG sehen die Einholung einer Einwilligung als zwingende Voraussetzung für die Rechtmässigkeit einer Datenbearbeitung mittels nicht notwendiger Cookies vor» (EDÖB-Leitfaden, Version 1.1 vom 6. Oktober 2025, Ziff. 3.12).

Der EDÖB unterscheidet im Anhang seines Leitfadens drei Stufen. Die Tabelle gibt seine Einteilung wieder, die Bezeichnungen in Anführungszeichen sind seine.

Notwendige Cookies. Der EDÖB bezeichnet so Cookies, «die dazu dienen eine Webseite oder App in dem von Nutzerinnen und Nutzer gewünschten technischen Umfang anzubieten» (Ziff. 3.5.2). Eine feste Liste gibt es nicht: «Es existiert allerdings kein verbindlicher Katalog notwendiger Cookies.» Laut EDÖB kann man sie nur ablehnen, indem man «auf die Applikation als Ganzes» verzichtet, also die Website nicht nutzt.

Opt-out. Für alle nicht notwendigen Cookies muss man ablehnen können. Laut EDÖB ist das zwingend, «sodass der Verantwortliche den Betroffenen in jedem Fall die Möglichkeit einräumen muss, die Verwendung solcher Cookies abzulehnen» (Ziff. 3.7.2).

Ablehnen können heisst nicht, dass diese Cookies schon beim ersten Laden laufen dürfen. Laut Merkblatt des EDÖB müssen Besucher ablehnen können, und zwar «prinzipiell vor der Aktivierung der Cookies». Der Leitfaden verlangt Voreinstellungen, mit denen der Cookie-Einsatz bis dahin «auf das für den Verwendungszweck nötige Mindestmass beschränkt wird» (Ziff. 3.9).

Opt-in. Bei Bearbeitungen mit hoher Eingriffsintensität genügt das Widerspruchsrecht nicht. Der Verantwortliche muss dann laut EDÖB «vor der Durchführung derselben bei den Betroffenen eine ausdrückliche Einwilligung einholen» (Ziff. 3.10.1). Wo es eine Einwilligung braucht, muss sie laut Gesetz ausdrücklich erfolgen, unter anderem für «die Bearbeitung von besonders schützenswerten Personendaten» und für «ein Profiling mit hohem Risiko durch eine private Person» (Art. 6 Abs. 7 DSG).

Das Merkblatt von 2026 fasst den Auslöser weiter: «Hingegen ist eine vorgängige, ausdrückliche Zustimmung erforderlich, wenn die Datenbearbeitung als «unerwartet» oder als «mit hohem Risiko» eingestuft werden kann oder besonders schützenswerte Personendaten betrifft.» Besonders schützenswert sind laut Gesetz unter anderem «Daten über die Gesundheit» (Art. 5 Bst. c DSG). Wer etwa eine Praxis-Website mit Tracking betreibt, sollte das abklären lassen.

Eine Liste, welches Werkzeug in welche Stufe fällt, habe ich beim EDÖB nicht gefunden. Das hängt davon ab, wie es eingerichtet ist und welche Daten zusammenkommen. Im Zweifel fragst du eine Fachperson für Datenschutz.

Einen Banner nennt der EDÖB dafür nicht als Bedingung. Er stellt aber Anforderungen an die Statistik. Der Massstab ist streng: «So vermag das private Interesse des Webseitenbetreibers an einer durch Cookies unterstützen Analyse der Besucherströme keine personenbezogenen Datenauswertungen zu rechtfertigen, wenn dieser Zweck mit einer anonymisierten Auswertung erfüllt werden kann» (Ziff. 3.8).

Zu den Anforderungen gehört unter anderem: «Die Daten werden anonymisiert, sobald der Bearbeitungszweck dies erlaubt. Im Kontext von Webseiten heisst dies i.d.R. umgehend.» Und zu Werkzeugen von Dritten: «Beim Einsatz von externen Analyse-Tools kann diesen Anforderungen ebenfalls genügt werden, sofern deren Anbieter die Daten nicht zu eigenen Zwecken, sondern nur im Auftrag des Webseitenbetreibers bearbeiten» (Ziff. 3.8.2).

Was ein Werkzeug speichert, sagt der Hersteller. Zwei Beispiele:

• Google Analytics 4 setzt laut Google das Cookie _ga mit einer Laufzeit von zwei Jahren. Google beschreibt es so: «Dient zur Unterscheidung einzelner Nutzer» (Google, «Verwendung von Cookies auf Websites»).
• Plausible schreibt in seiner Datenrichtlinie: «We do not use cookies, browser cache or local storage» (Plausible Data Policy).

Ob deine Einrichtung die Anforderungen des EDÖB erfüllt, sagt dir keine der beiden Seiten. Die Hersteller beschreiben ihr Produkt, nicht deine Pflichten nach Schweizer Recht. Wozu sich die Statistik überhaupt lohnt, steht in Warum bringt meine Website keine Anfragen?.

Eine bestimmte Form ist nicht vorgeschrieben. Der EDÖB schreibt: «Weder das DSG noch die DSV geben Formvorschriften für die Information vor. In Frage kommen also z.B. Datenschutzerklärungen, Nutzungsbedingungen, Hinweise oder Piktogramme» (Ziff. 3.3.1).

Verstecken darfst du sie nicht: «Somit genügt es nicht, die Datenschutzerklärung irgendwo in einer beliebigen versteckten Rubrik auf der Webseite anzubringen oder, dass die Informationen nur auf Verlangen erteilt werden.»

Für das Ablehnen verlangt der EDÖB, dass es «sowohl beim ersten wie auch nachfolgenden Besuchen leicht erkannt und mit wenigen Klicks angewählt und ausgeübt werden kann» (Ziff. 3.9).

Und der Banner? Der EDÖB nennt ihn ein übliches Mittel: Zur technischen Umsetzung «sind in der Praxis sogenannte «Cookie-Banner» oder CMPs gebräuchlich» (Ziff. 3.13.2). Einen Satz, der einen Banner für jede Website vorschreibt, habe ich im Leitfaden nicht gefunden.

Hier wird es heikler, weil Daten an einen Dritten gehen, sobald die Seite lädt. Der EDÖB schreibt: «Durch die Einbindung von Drittprodukten wird der Browser des Besuchers der betreffenden Webseite veranlasst, Inhalte des Anbieters anzufordern und hierzu Personendaten des Besuchers an den Drittanbieter zu übermitteln» (Ziff. 3.2.2).

Als Lösung nennt er: «Um eine vorgängige Information zu ermöglichen, ist die Implementierung einer Zwei-Klick-Lösung angezeigt, die sicherstellt, dass das JavaScript erst aktiviert wird, nachdem der Besucher informiert wurde und damit einverstanden ist. Dies gilt insbesondere bei der Einbindung von Social Plugins, Tracking-Pixel und weiteren Drittdiensten» (Ziff. 3.13.1).

Praktisch heisst das: Statt des Videos erscheint zuerst ein Vorschaubild, das von deinem eigenen Server kommt, mit dem Hinweis, dass der Klick Daten an YouTube überträgt. Erst der Klick lädt das Video.

Das hängt davon ab, an wen sich die Website richtet. Die EU-Datenschutzverordnung (DSGVO) gilt auch für Firmen ausserhalb der EU, wenn die Datenbearbeitung damit zusammenhängt, «betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten» oder «das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt». Das steht in Art. 3 Abs. 2 DSGVO, hier zitiert nach dem EDÖB.

Dass die Website aus der EU erreichbar ist, genügt allein nicht. Laut einem Erwägungsgrund der Verordnung, den der EDÖB zitiert, ist die blosse Zugänglichkeit dafür «kein ausreichender Anhaltspunkt».

Beim Tracking wird der EDÖB deutlicher. Zu einer Website, die das Surfverhalten von Besuchern registriert, schreibt er: «Die DSGVO ist wahrscheinlich anwendbar.» Das Papier heisst «Die EU-Datenschutzgrundverordnung und ihre Auswirkungen auf die Schweiz» und hat den Stand November 2018. Es ist also älter als das heutige Datenschutzgesetz.

Den Unterschied der beiden Rechtsräume beschreibt der EDÖB in seinem Merkblatt vom 31. März 2026: «Während das europäische Recht eine vorgängige, ausdrückliche Zustimmung zur Verwendung von Cookies verlangt (ausser bei notwendigen Cookies), legt das Schweizer Recht den Schwerpunkt auf eine transparente Information der Nutzerinnen und Nutzer und ihr Widerspruchsrecht.»

Darum sieht man auch auf Schweizer Websites so viele Banner. Im selben Merkblatt steht: «Viele in der Schweiz gehostete Websites richten sich nach den europäischen Standards und zeigen beim Öffnen der Website einen Banner an».

Es gibt zwei Bussenrahmen:

• Fernmeldegesetz: Wer gegen eine Bestimmung des Fernmelderechts verstösst, «wird mit Busse bis zu 5000 Franken bestraft» (Art. 53 FMG). Der EDÖB ordnet Verstösse gegen Art. 45c diesem Artikel zu (Leitfaden, Fussnote 5).
• Datenschutzgesetz: «Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft», die es unter anderem vorsätzlich unterlassen, die betroffene Person zu informieren (Art. 60 Abs. 1 DSG).

Im Datenschutzgesetz stehen zwei Einschränkungen im selben Satz: auf Antrag und vorsätzlich. Mit «private Personen» sind nicht nur Privatleute gemeint. Das Gesetz kennt zwei Gruppen, für die es gilt: «private Personen» und «Bundesorgane» (Art. 2 Abs. 1 DSG). Wer eine Firma führt, gehört zur ersten.

1. Öffne deine Website in Chrome in einem neuen Inkognito-Fenster.
2. Drück F12 (auf manchen Laptops Fn + F12, am Mac Cmd + Option + I). Es öffnen sich die Entwicklertools.
3. Wähl oben den Reiter «Anwendung» (englisch «Application»). Ist er nicht zu sehen, steckt er hinter dem Doppelpfeil.
4. Klapp links unter «Speicher» den Punkt «Cookies» auf und klick auf deine Adresse.
5. Klick dich durch drei, vier Seiten und schau, was in der Liste erscheint.

Steht dort nichts, hat deine Website bei diesem Durchgang keine eigenen Cookies gesetzt. Ein Freibrief ist das nicht. Chrome blockiert im Inkognito-Fenster standardmässig Cookies von Drittanbietern, und manches wird erst nach einem Klick gesetzt, etwa auf ein Video oder ein Formular. Schau darum auch unter «Lokaler Speicher» und «Sitzungsspeicher» nach und wiederhole die Prüfung in einem normalen Fenster.

Stehen in der Liste Namen wie _ga, weisst du, dass ein Werkzeug Besucher wiedererkennt. Im Reiter «Netzwerk» siehst du nach einem Neuladen der Seite zusätzlich, welche fremden Adressen sie aufruft.

Ich zeige keinen Cookie-Banner, weil meine Website nach meiner Messung keine Cookies setzt. Am 7. Oktober 2026 habe ich es in einem frischen Browserprofil geprüft: sieben Seiten von 0ggi.ch geöffnet und durchgescrollt, danach über die Navigation durch vier Seiten geklickt. Am Ende lagen 0 Cookies im Browser, und im lokalen Speicher stand nichts.

Zwei Dinge legt die Website selbst im Browser ab. Wer auf das helle Design umschaltet, dessen Wahl merkt sich der lokale Speicher. Und beim Wechsel zwischen Seiten setzt sie kurz eine Markierung im Sitzungsspeicher, die sie gleich wieder löscht.

Die Besucherstatistik läuft mit Plausible auf meinem eigenen Server. Plausible setzt keine Cookies. Ganz ohne Daten geht es auch dort nicht. Der Hersteller beschreibt es in seiner Datenrichtlinie so: IP-Adresse und Browserkennung fliessen in eine Tageskennung ein. Deren Schlüssel wird alle 24 Stunden gelöscht, die IP-Adresse selbst wird nicht gespeichert. Was ich damit mache, steht in meiner Datenschutzerklärung.

Bei Kundenprojekten hängt es von der Website ab. Manche brauchen Google Analytics, ein Werbe-Pixel oder ein Einwilligungs-Werkzeug, andere kommen wie meine ohne aus.

Für eine Firmenwebsite empfehle ich diese Reihenfolge:

Ohne Cookies fällt die Cookie-Frage weg, die Informationspflicht nicht. Art. 19 DSG knüpft sie an die Beschaffung von Personendaten, nicht an Cookies. Ein Kontaktformular beschafft solche Daten auch ohne Cookie.

Das ist mein Rat als Webentwickler, keine rechtliche Beurteilung deiner Website. Was ich sonst anbiete, steht unter Webdesign für KMU, und was das kostet, in Was kostet eine Website in der Schweiz?.

Im kostenlosen Website-Check schauen wir zwanzig Minuten gemeinsam auf deinen Auftritt. Du gehst mit drei konkreten Hebeln für mehr Anfragen raus, ob wir danach zusammenarbeiten oder nicht. Website-Check anfragen

Abgerufen am 07.10.2026.

• Fernmeldegesetz (FMG), SR 784.10, Stand 1. Juni 2026: Art. 45c, 53
• Datenschutzgesetz (DSG), SR 235.1, Stand 7. Juli 2025: Art. 2, 5, 6, 19, 60
• EDÖB: Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien, Version 1.1 vom 6. Oktober 2025
• EDÖB: Merkblatt Cookies, 31. März 2026
• EDÖB: Die EU-Datenschutzgrundverordnung und ihre Auswirkungen auf die Schweiz, Stand November 2018
• Google Analytics-Hilfe: Verwendung von Cookies auf Websites
• Plausible: Data Policy
• Eigene Messung auf 0ggi.ch vom 07.10.2026.