Blog · Wissen

Cookie-Banner in der Schweiz: Pflicht oder nicht?

Ein Cookie-Banner ist in der Schweiz keine Pflicht, Information schon. Wann du trotzdem eine Einwilligung brauchst und wie ein faires Banner aussieht.

Von Matthias Gutknecht · 22. Oktober 2026 · 13 Min. Lesezeit

Isometrische Illustration: Ein Browserfenster mit einem Cookie und zwei Wegen zu einem Häkchen und einem Kreuz, im Hintergrund eine Schweizer Karte mit Fahne

Nein, ein Cookie-Banner ist in der Schweiz nicht grundsätzlich Pflicht. Pflicht ist etwas anderes: Du musst die Besucherinnen und Besucher deiner Website darüber informieren, welche Cookies du einsetzt, wozu sie dienen und dass man sie ablehnen kann. Das geht auch über die Datenschutzerklärung. Eine ausdrückliche Einwilligung mit Klick auf «Akzeptieren» brauchst du erst in bestimmten Fällen, etwa bei Werbe-Tracking über viele Websites hinweg. Was das für deine Website heisst, liest du hier, Stand Oktober 2026.

Das Wichtigste in Kürze

Das Schweizer Recht schreibt kein Cookie-Banner vor, sondern Information, zum Beispiel in der Datenschutzerklärung.
Eine ausdrückliche Einwilligung ist nötig bei besonders schützenswerten Daten, bei Profiling mit hohem Risiko und bei einem Einsatz, mit dem niemand rechnen muss.
Wer mit einem Banner eine Einwilligung einholt, darf das Ablehnen nicht schwerer machen als das Zustimmen. Irreführende Gestaltung kann die Einwilligung ungültig machen.
Die EU-Regeln (DSGVO) gelten nur, wenn deine Website tatsächlich unter sie fällt, etwa weil du dich gezielt an Kundschaft in der EU richtest.
Am einfachsten ist eine Website, die gar keine unnötigen Cookies setzt. Dann bleibt der Hinweis in der Datenschutzerklärung.

Ein paar Begriffe vorweg

Ein Cookie ist eine kleine Textdatei, die eine Website im Browser speichert, zum Beispiel damit der Warenkorb beim nächsten Klick noch gefüllt ist. «Ähnliche Technologien» sind Verfahren mit derselben Wirkung, etwa Zählpixel oder Skripte, die ein Gerät wiedererkennen.

Ein Cookie-Banner ist das Fenster, das beim ersten Besuch einer Website erscheint und über Cookies informiert, oft mit Knöpfen zum Zustimmen oder Ablehnen.

Opt-out heisst: Cookies sind erlaubt, solange die Person nicht widerspricht. Opt-in heisst: Cookies sind erst erlaubt, wenn die Person aktiv zustimmt.

Tracking ist das Verfolgen, was jemand auf einer oder mehreren Websites tut. Profiling heisst, aus solchen Daten automatisch ein Bild einer Person zu erstellen, etwa ihrer Interessen.

Was das Schweizer Recht wirklich verlangt

In der Schweiz regeln zwei Gesetze den Einsatz von Cookies. Das erste ist das Fernmeldegesetz (FMG). Nach Artikel 45c FMG müssen Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie diese ablehnen können. So fasst es der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), die Datenschutzaufsicht des Bundes, in seinem Merkblatt zu Cookies vom März 2026 zusammen.

Das zweite ist das Datenschutzgesetz (DSG). Es greift, sobald über Cookies Personendaten bearbeitet werden, also Daten, die sich einer bestimmten Person zuordnen lassen. Auch das DSG verlangt vor allem eines: Transparenz.

Daraus folgt das Schweizer Grundmodell: Opt-out. Du informierst klar über nicht notwendige Cookies und ihren Zweck, und wer nicht einverstanden ist, kann widersprechen, laut EDÖB grundsätzlich bevor die Cookies aktiv werden. Ein Banner verlangt das Gesetz dafür nicht. Das Datenrechts-Team der Kanzlei Walder Wyss hält auf datenrecht.ch fest, dass weder Art. 45c FMG noch das Datenschutzrecht ein Cookie-Banner verlangen, und auch SRF Espresso schreibt: Informieren genügt, das geht auch über die Datenschutzerklärung.

Das ist der grosse Unterschied zur EU. Dort ist die vorgängige Einwilligung für nicht notwendige Cookies die Regel, in der Schweiz die Ausnahme. Wer ein EU-Banner blind kopiert, macht sich darum oft mehr Aufwand als nötig.

Was in die Datenschutzerklärung gehört

Wenn du ohne Banner arbeitest, trägt die Datenschutzerklärung die ganze Last. Laut dem EDÖB zu Datenschutzerklärungen im Internet soll daraus hervorgehen, welche Personendaten zu welchen Zwecken bearbeitet werden und ob und welche Daten an Dritte gehen. Für Cookies heisst das konkret:

welche Cookies und ähnlichen Technologien die Website einsetzt,
wofür sie dienen (Funktion, Statistik, Werbung),
ob Dritte wie Werbe- oder Analysedienste beteiligt sind,
wie man die Cookies ablehnen kann.

Verlinke die Datenschutzerklärung gut sichtbar, üblicherweise in der Fusszeile jeder Seite.

Wann du doch eine Einwilligung brauchst

Das Opt-out-Modell hat Grenzen. Eine ausdrückliche Einwilligung verlangt das DSG in Art. 6 Abs. 7 für die Bearbeitung besonders schützenswerter Personendaten und für ein Profiling mit hohem Risiko durch Private. Der Cookie-Leitfaden des EDÖB in der Fassung vom 6. Oktober 2025 nennt zusätzlich den unerwarteten Einsatz. Zusammen:

Unerwarteter Einsatz: Nicht notwendige Cookies werden so eingesetzt, dass eine Besucherin vernünftigerweise nicht damit rechnen muss.
Profiling mit hohem Risiko: Laut Leitfaden kann das bei Werbe-Tracking der Fall sein, das meist über mehrere Websites hinweg läuft, um ein möglichst umfassendes Bild des Konsumverhaltens zu erstellen. Typisch sind Werbenetzwerke und Social-Media-Pixel.
Besonders schützenswerte Personendaten: Dazu zählen etwa Angaben zur Gesundheit, zur Religion oder zu politischen Ansichten.

Für eine Arztpraxis, eine Therapeutin oder einen Verein mit politischem Zweck lohnt sich darum ein genauer Blick. Wer auf solchen Seiten Werbe-Tracking einbindet, kommt um ein Opt-in kaum herum.

Technisch notwendig heisst wirklich notwendig

Manche Cookies braucht eine Website, damit sie überhaupt funktioniert. Der Leitfaden versteht darunter Cookies, die eine Website im gewünschten technischen Umfang anbieten oder ihre technische Sicherheit gewährleisten. Als Beispiel nennt er den Warenkorb-Cookie eines Onlineshops, der die ausgewählten Artikel speichert. Solche Cookies sind unproblematisch, gehören aber trotzdem in die Datenschutzerklärung.

Ein häufiger Fehler: alle Cookies pauschal als «technisch notwendig» zu bezeichnen. Ein Statistik- oder Werbe-Cookie wird dadurch nicht notwendig, und wer ihn so beschreibt, informiert falsch. Gerade das will die Informationspflicht verhindern.

Drei typische Websites im Vergleich

Die folgende Übersicht zeigt, wie die Regeln bei typischen Websites kleiner Unternehmen in der Regel ausfallen. Sie ersetzt keine Prüfung im Einzelfall.

Website	Was sie einsetzt	Was das Schweizer Recht verlangt
Visitenkarte einer Schreinerei	Keine Cookies oder nur technisch notwendige	Hinweis in der Datenschutzerklärung, kein Banner nötig
Website eines Coiffeursalons mit Besucherstatistik eines Drittanbieters	Analyse-Cookies, Daten gehen an Dritte	Klare Information und Ablehnungsmöglichkeit (Opt-out). Ein Banner ist möglich, aber nicht zwingend
Onlineshop mit Werbe-Pixeln sozialer Netzwerke	Tracking über viele Websites hinweg	Profiling mit hohem Risiko möglich, darum ausdrückliche Einwilligung (Opt-in)

Entscheidend ist also nicht, ob es ein Banner gibt, sondern was deine Website im Hintergrund tut.

Wenn du ein Banner einsetzt: So muss es aussehen

Viele Schweizer Websites zeigen trotzdem ein Banner, weil sie auf Nummer sicher gehen wollen oder sich an EU-Standards orientieren. Das ist erlaubt. Holt das Banner eine Einwilligung ein, muss es aber fair gestaltet sein. SRF Espresso hat gezeigt, wie mühsam das Ablehnen auf vielen Seiten ist: ein leuchtender Zustimmen-Knopf, ein grauer Ablehnen-Link, oder das Ablehnen erst hinter «Einstellungen».

Aus dem Leitfaden des EDÖB ergibt sich:

Aktive Zustimmung: Eine ausdrückliche Einwilligung braucht einen aktiven Klick oder ein selbst gesetztes Häkchen. Vorausgefüllte Häkchen genügen dafür nicht.
Ablehnen nicht schwerer als Zustimmen: Wer Optionen vorauswählt, darf das Abwählen nicht komplizierter machen als das Auswählen.
Keine Tricks: Schriften, Bilder und Farben dürfen nicht zu Verwirrung oder Versehen führen. Irreführende Darstellungen und Formulierungen, sogenannte Dark Patterns, können die Einwilligung ungültig machen.
Kein «alles oder nichts»: Ein Fenster, das nur erlaubt, alles zu akzeptieren oder die Website nicht zu sehen, gilt nicht als eindeutige Einwilligung. Zwecke wie Statistik und Werbung müssen sich einzeln wählen lassen.
Jederzeit widerrufbar: Die Einwilligung muss sich jederzeit einfach und ohne Begründung widerrufen lassen. Üblich ist ein Link wie «Datenschutzeinstellungen» in der Fusszeile.

Ein Banner, das nur «Alle akzeptieren» anbietet, erfüllt diese Anforderungen nicht. Wichtig ist zudem, dass Tracking-Cookies erst nach der Zustimmung geladen werden. Ein Banner, das um Zustimmung bittet, während im Hintergrund schon alles läuft, ist bloss Dekoration.

Wann die DSGVO für deine Website gilt

Die Datenschutz-Grundverordnung der EU (DSGVO) gilt nicht automatisch für jede Schweizer Website, nur weil man sie auch in Deutschland aufrufen kann. Sie kann aber auch Schweizer Unternehmen betreffen, etwa wenn sie Waren oder Dienstleistungen gezielt Personen in der EU anbieten oder deren Verhalten beobachten.

Ein paar Fragen helfen bei der Einordnung:

Lieferst du in EU-Länder oder bietest du dort Termine und Leistungen an?
Zeigt deine Website Preise in Euro oder richtet sie sich sprachlich und inhaltlich an ein Publikum im Ausland?
Schaltest du Werbung, die sich an Menschen in der EU richtet?

Wenn du mehrere Fragen mit Ja beantwortest, lass von einer Fachperson für Datenschutzrecht prüfen, ob die DSGVO für dich gilt. Dann gelten für nicht notwendige Cookies in der Regel die strengeren EU-Regeln mit Opt-in. Ein Malergeschäft in Thun, das nur im Berner Oberland arbeitet, ist in einer anderen Lage als ein Onlineshop, der nach München liefert. Mehr dazu in unserer Checkliste für DSGVO-konformes Hosting.

Was bei Verstössen droht

Die erste Folge ist meist keine Busse, sondern eine Beanstandung: Die Aufsicht verlangt, dass die Website ihre Information oder ihr Banner korrigiert.

Nach Art. 60 DSG können private Personen auf Antrag mit einer Busse bis zu 250 000 Franken bestraft werden, wenn sie vorsätzlich falsch oder unvollständig informieren oder die vorgeschriebene Information vorsätzlich ganz unterlassen. Strafbar ist also nur Vorsatz, und verfolgt wird nur auf Antrag. Für die meisten kleinen Websites ist das Risiko gering, wenn sie ehrlich und vollständig informieren. Genau das ist der Kern.

Dies ist allgemeine Information und keine Rechtsberatung. Wenn deine Website Gesundheitsdaten bearbeitet oder viel Werbe-Tracking einsetzt, lohnt sich eine Beratung durch eine Fachperson für Datenschutzrecht.

In fünf Schritten zur sauberen Lösung

Bestandesaufnahme machen: Öffne deine Website im Browser, öffne die Entwicklerwerkzeuge (meist mit F12) und sieh unter «Speicher» oder «Anwendung» nach, welche Cookies gesetzt werden. Oder frag deinen KI-Assistenten, welche eingebundenen Dienste im Code Cookies setzen oder Daten an fremde Server schicken.
Ausmisten: Prüfe jeden Dienst. Brauchst du das Werbe-Pixel, das eingebettete Video eines Drittanbieters oder die Schriften von einem fremden Server wirklich? Jeder Dienst, den du entfernst, ist einer weniger, über den du informieren musst.
Einordnen: Ordne die verbleibenden Cookies ein: technisch notwendig, Statistik oder Marketing. Prüfe, ob einer der drei Opt-in-Fälle vorliegt.
Informieren: Ergänze die Datenschutzerklärung um die konkreten Cookies, ihren Zweck, beteiligte Dritte und die Möglichkeit zur Ablehnung.
Bei Bedarf ein Banner: Nur wenn du ein Opt-in brauchst oder dich bewusst für ein Banner entscheidest: mit gleichwertigem Ablehnen, ohne vorgeladenes Tracking und mit einem Link zum Ändern in der Fusszeile.

Die Schritte 1, 2 und 4 lassen sich gut im Gespräch mit Claude oder ChatGPT erledigen. Ein Satz wie «Entferne alle externen Dienste, die Cookies setzen, und zeig mir, was du geändert hast» reicht oft schon. Weitere Beispiele findest du in unserem Beitrag Website im Chat pflegen.

So ist es bei MADLAB // Publishing

MADLAB // Publishing ist weder CMS noch Baukasten. Gebaut wird mit deinem KI-Assistenten, wir bringen die Website sicher online. Für das Thema Cookies heisst das:

Von uns kommen keine Cookies. Das Hosting, der Formular-Dienst und das Badge auf Gratis-Websites setzen keine Cookies. Welche Cookies deine Website setzt, hängt allein davon ab, was du einbaust.
Kein Cookie-Plugin nötig. Es gibt kein Redaktionssystem, dem ein Banner-Plugin «halt dazugehört». Was auf der Website läuft, steht in ihren Dateien, und dein Assistent kann es dir jederzeit auflisten.
Fremde Server fallen auf. Bevor du veröffentlichst, prüft dein Assistent die Website mit check_site. Lädt eine Seite Schriften, Skripte oder Bilder von fremden Servern, meldet die Prüfung das als Datenschutz-Hinweis, denn dabei geht die IP-Adresse jedes Besuchers an diesen Server.
Statistik ohne Cookies. Als Zusatzpaket gibt es eine Besucherstatistik, die ohne Cookies und mit gekürzter IP-Adresse zählt, auf einer Matomo-Installation auf unseren Servern in der Schweiz und der EU. Die Daten gehen an niemanden weiter. In die Datenschutzerklärung gehört sie trotzdem, den passenden Absatz gibt dir dein Assistent beim Einbau. Mehr unter Besucherstatistik.
Vorschau und Versionen. Jede Änderung, auch an der Datenschutzerklärung, siehst du zuerst in der Vorschau, und jeder frühere Stand lässt sich zurückholen. Siehe Versionen und Zurückrollen.

Läuft deine Website heute auf einem CMS mit Cookie-Plugins, kannst du sie übernehmen und das CMS hinter dir lassen. Wie der Einstieg gelingt, zeigen Website mit Claude erstellen und Website mit ChatGPT erstellen. Was die Pläne und Zusatzpakete kosten, steht unter Pläne und Zusatzpakete.

Quellen

Häufige Fragen

Ist eine Datenschutzerklärung in der Schweiz Pflicht?

Sobald deine Website Personendaten bearbeitet, musst du darüber informieren, und das geschieht üblicherweise in einer Datenschutzerklärung. Schon eine eingebundene Karte oder ein Video eines Drittanbieters kann dazu führen, dass Daten an Dritte gehen. Die Datenschutzerklärung ist auch der Ort, an dem du über Cookies informierst.

Reicht ein einfacher Cookie-Hinweis mit «OK»-Knopf?

Wenn du nur informieren musst, ist ein Hinweis ohne Auswahl zulässig, solange die Information vollständig ist und man die Cookies ablehnen kann. Brauchst du eine Einwilligung, reicht ein «OK»-Knopf nicht. Dann muss man genauso einfach ablehnen wie zustimmen können.

Brauche ich ein Banner für Google Analytics oder Social-Media-Pixel?

Das hängt davon ab, wie diese Dienste eingesetzt werden. Werbe-Pixel, die Personen über viele Websites hinweg verfolgen, können nach dem Leitfaden des EDÖB ein Profiling mit hohem Risiko sein und brauchen dann eine ausdrückliche Einwilligung. Bei Analysediensten kommt es auf die Einstellungen und die Weitergabe an Dritte an. Wer sicher gehen will, verzichtet darauf oder klärt es mit einer Fachperson.

Gilt die DSGVO, weil meine Website auch in der EU erreichbar ist?

Die blosse Erreichbarkeit reicht in der Regel nicht. Entscheidend ist, ob du dich gezielt an Personen in der EU richtest oder deren Verhalten beobachtest. Im Zweifel lohnt sich eine kurze Prüfung durch eine Fachperson für Datenschutzrecht.

Brauche ich für eine Statistik ohne Cookies ein Banner?

Nein, wenn sie wirklich nichts im Browser ablegt, Personen nicht wiedererkennt und die Daten nicht an Dritte gibt. In die Datenschutzerklärung gehört sie trotzdem.