Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat 2025 zum ersten Mal detailliert festgelegt, wie er Cookies und Tracking auf Schweizer Websites beurteilt. Der EDÖB-Cookie-Leitfaden verschiebt die Praxis spürbar in Richtung Einwilligung, auch wenn die Schweiz formal beim Opt-out-Prinzip bleibt. Was das für deine Website konkret bedeutet, liest du hier.
Worum es beim EDÖB-Cookie-Leitfaden geht
Der EDÖB veröffentlichte am 22. Januar 2025 seinen «Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien». Am 6. Oktober 2025 folgte eine überarbeitete Version 1.1 mit rund 300 Textanpassungen. Der Leitfaden richtet sich an ein Fachpublikum und stützt sich auf das revidierte Datenschutzgesetz (DSG), die Datenschutzverordnung sowie Art. 45c des Fernmeldegesetzes (FMG).
Wichtig vorweg: Der Leitfaden ist rechtlich nicht verbindlich. Er gibt die Auslegung der Aufsichtsbehörde wieder, nicht ein Gesetz, und namhafte Datenschutzjuristen kritisieren ihn als zu nahe an der DSGVO. Trotzdem solltest du ihn ernst nehmen. Der EDÖB hat angekündigt, zuerst eine Sensibilisierungskampagne durchzuführen und danach «die nötigen aufsichtsrechtlichen Schritte nach Massgabe des Leitfadens» einzuleiten. Das Durchsetzungsrisiko ist also real geworden.
Die wichtigste Neuerung: FMG allein genügt nicht mehr
Bisher galt die verbreitete Lesart: Für eine rein schweizerische Website reicht ein Hinweis auf Cookies plus die Möglichkeit, sie abzulehnen (Opt-out), abgedeckt über die Datenschutzerklärung und notfalls die Browser-Einstellungen.
Der EDÖB widerspricht dieser Minimalvariante. Seine Kernaussage: Art. 45c FMG ist keine abschliessende Spezialregelung, sondern das DSG gilt kumulativ dazu. Damit muss jeder nicht notwendige Cookie zusätzlich die Anforderungen des DSG erfüllen. Der blosse Verweis auf Browser-Einstellungen genügt dem EDÖB nicht mehr. Er verlangt ein technisch nutzbares Widerspruchsrecht an prominenter Stelle auf der Website. In der Praxis läuft das auf einen Cookie-Banner beziehungsweise eine Consent-Management-Plattform hinaus, selbst dort, wo formal nur ein Opt-out nötig wäre.
Das Stufenmodell des EDÖB mit Beispielen
Der Leitfaden ordnet Cookies nach ihrem Risiko in drei Stufen ein. Im Anhang A stuft der EDÖB das sogar in einem Punktemodell ab: Risikowert 0 bis 1 ergibt notwendige Cookies, 1 bis 2.5 macht ein Opt-out obligatorisch, über 2.5 ein Opt-in.
Stufe 1: Technisch notwendige Cookies (nur Information, kein Opt-out nötig)
Diese Cookies sind für den Betrieb der Website unverzichtbar. Sie brauchen keinen Widerspruch, nur einen Hinweis in der Datenschutzerklärung. Beispiele:
- Session- und Login-Cookie
- Warenkorb im Onlineshop
- gespeicherte Sprachauswahl
- Speicherung der Cookie-Entscheidung selbst
- Lastverteilung, Captcha und Schutz vor Überlastung
Stufe 2: Funktionale Cookies und «normales» Profiling (Opt-out)
Hier genügt ein überwiegendes Interesse als Rechtfertigung, verbunden mit einem prominenten, technisch wirksamen Widerspruchsrecht. Wichtig: In diese Stufe fallen laut EDÖB auch komfortsteigernde funktionale Cookies und personalisierte Werbung für eigene Produkte, solange sie im Rahmen eines «normalen» Profilings bleibt. Beispiele:
- eigene, datensparsame Reichweitenmessung ohne Weitergabe an Dritte
- funktionale Cookies für Komfortfunktionen
- personalisierte Angebote für eigene Produkte ohne umfassendes, seitenübergreifendes Profil
Stufe 3: Qualifizierte Cookie-Einsätze (Opt-in)
Hier braucht es eine Einwilligung vor dem Laden, bei besonders schützenswerten Daten oder Profiling mit hohem Risiko sogar eine ausdrückliche. Dazu zählen:
- Profiling mit hohem Risiko, typischerweise seitenübergreifendes Tracking durch eingebettete Drittanbieter
- besonders schützenswerte Daten wie Gesundheit, politische oder religiöse Ansichten
- standortbasiertes Profiling mit Bewegungsprofilen
- unerwartete Cookie-Einsätze mit hoher Eingriffsintensität
Ein wichtiger Satz aus dem Leitfaden: Du musst bereits dann von einem hohen Risiko ausgehen, wenn du nicht ausschliessen kannst, dass die Schwelle zum «normalen» Profiling überschritten wird. Im Zweifel gilt also Opt-in.
Was Version 1.1 vom Oktober 2025 präzisiert hat
Die Aktualisierung brachte einige praxisrelevante Klarstellungen:
- Standortdaten gelten neu ausdrücklich als besonders heikel. Führen sie zu Bewegungsprofilen, die regelmässige Aufenthaltsorte wie Wohnung oder Arbeitsplatz erkennbar machen, ist meist von einem Profiling mit hohem Risiko auszugehen. Dann ist eine Einwilligung nötig.
- Personalisierte Werbung: Verschafft ein Website-Betreiber Dritten über Third-Party-Cookies gegen Entgelt Zugang zu Nutzerdaten, und sind diese Dritten auf vielen Websites eingebettet, entsteht ein Profiling mit hohem Risiko. Das erfordert eine Einwilligung.
- Cookie-Paywalls (Pur-Abos): Die Wahl zwischen Einwilligung oder Bezahl-Abo ist nur dann eine freiwillige Einwilligung, wenn der Preis verhältnismässig ist und den Datenschutz nicht aushöhlt.
- Bussdrohung: Vorsätzliche oder fahrlässige Verstösse gegen Art. 45c FMG können nach Art. 53 FMG mit einer Busse von bis zu CHF 5’000 geahndet werden.
- Eine Abschwächung: Die ursprüngliche Pauschalaussage, nicht notwendige Cookies seien generell unverhältnismässig, wurde relativiert. Massgeblich ist nun der vom Verantwortlichen gesetzte Bearbeitungszweck.
Wie eine Opt-out-Möglichkeit aussehen muss
Ein Opt-out im Sinne des EDÖB ist kein blosser Satz in der Datenschutzerklärung. Es muss folgende Eigenschaften erfüllen:
- Prominent: an gut sichtbarer Stelle, nicht in einer Fussnote versteckt.
- Technisch wirksam: ein Klick muss die Datenbearbeitung tatsächlich stoppen, nicht nur einen Text anzeigen.
- Granular: einzelne Kategorien wie Statistik oder Marketing müssen getrennt abwählbar sein.
- Jederzeit widerrufbar: die Entscheidung muss später wieder änderbar sein, üblich über ein dauerhaftes Icon oder einen Link im Footer.
Und damit zur ehrlichen Antwort auf die naheliegende Frage: Ja, in der Praxis braucht es dafür ein Consent-Management. Ein prominentes, granulares, technisch wirksames und jederzeit widerrufbares Widerspruchsrecht lässt sich kaum mehr mit einem statischen Text abbilden. Sobald du nicht notwendige Cookies einsetzt, führt am Cookie-Banner mit Preference-Center kein Weg mehr vorbei, egal ob das Ergebnis formal ein Opt-out oder ein Opt-in ist. Wer das umgehen will, hat nur eine echte Alternative: gar keine nicht notwendigen Cookies setzen, zum Beispiel mit cookielosem, anonymisiertem Analytics.
Vorsicht bei Dark Patterns
Der EDÖB verlangt eine freiwillige Einwilligung. Wird sie mit sogenannten Dark Patterns erschlichen, ist sie ungültig. Dark Patterns sind irreführende Gestaltungstricks, die Nutzer in Richtung Zustimmung drängen. Typische Beispiele:
- ein grosser, farbiger «Akzeptieren»-Button neben einem blassen, kaum sichtbaren «Ablehnen»-Link
- Ablehnen kostet mehr Klicks als Akzeptieren
- vorausgewählte Kästchen für nicht notwendige Cookies
- Formulierungen, die das Ablehnen als Nachteil oder Fehler framen
Sauber ist ein Banner, bei dem Zustimmen und Ablehnen gleichwertig gestaltet und gleich schnell erreichbar sind.
Was du jetzt tun solltest
Drei pragmatische Schritte für dein KMU:
- Bestandsaufnahme: Prüfe, welche Cookies und Dienste deine Website tatsächlich lädt, und ordne jeden dem Stufenmodell zu. PrivacyBee erkennt aktive Dienste automatisch über das Dienstverzeichnis und aktualisiert Datenschutzerklärung und Cookie-Banner entsprechend.
- Third-Party-Tracking absichern: Google Ads, Google Analytics, Meta-Pixel und LinkedIn Insight Tag gehören in die Opt-in-Kategorie und dürfen erst nach aktiver Einwilligung laden. Mit aktivierter Einwilligungspflicht im PrivacyBee Cookie-Banner werden sie bis zur Zustimmung blockiert.
- Im Zweifel auf Opt-in-Niveau gehen: Wer die strengeren Anforderungen erfüllt, ist in der Schweiz sicher und, falls EU-Publikum dazukommt, auch unter der DSGVO.
Der EDÖB-Cookie-Leitfaden macht die Schweizer Praxis strenger, ohne das Gesetz zu ändern. Formal bleibt es beim Opt-out-Prinzip, faktisch nähert sich der EDÖB der DSGVO an und erwartet für nicht notwendige Cookies ein prominentes Consent-Element. Für Marketing-Tracking wie Google Ads, für Standortdaten und personalisierte Werbung heisst das: Einwilligung einholen oder auf datensparsame Alternativen setzen.
PrivacyBee deckt Datenschutzerklärung, Cookie-Banner und Impressum als vollautomatischen «Done for you»-Service ab und zieht bei neuen Diensten und Gesetzesänderungen laufend nach.
Häufige Fragen zum EDÖB-Cookie-Leitfaden
Ist der EDÖB-Cookie-Leitfaden rechtlich verbindlich?
Nein. Der Leitfaden ist die Auslegung der Aufsichtsbehörde, kein Gesetz, und wird juristisch teils kritisiert. Der EDÖB hat aber angekündigt, danach aufsichtsrechtlich vorzugehen. Wer sich nicht daran hält, trägt daher ein reales Durchsetzungsrisiko.
Brauche ich nach dem Leitfaden zwingend einen Cookie-Banner?
Für rein technisch notwendige Cookies nicht. Sobald du nicht notwendige Cookies einsetzt, verlangt der EDÖB ein prominentes, technisch nutzbares Widerspruchs- oder Einwilligungselement, praktisch also einen Cookie-Banner mit Consent-Management.
Reicht in der Schweiz weiterhin ein Opt-out?
Nur eingeschränkt. Bei nicht notwendigen Cookies mit normalem Risiko kann ein Opt-out genügen, es muss aber prominent und technisch ausübbar sein. Bei Profiling mit hohem Risiko, besonders schützenswerten Daten oder personalisierter Werbung über Dritte verlangt der EDÖB eine Einwilligung (Opt-in).
Wie muss ich ein Opt-out umsetzen?
Nach dem EDÖB-Leitfaden musst du nicht notwendige Cookies standardmässig blockieren, bis der Besucher entschieden hat, und den Widerspruch prominent, granular nach Kategorien und bei jedem Besuch mit wenigen Klicks anbieten. Ein Klick auf Ablehnen oder Widerrufen muss die Skripte tatsächlich stoppen und die Entscheidung speichern. In der Praxis setzt du das mit einem Cookie-Banner samt Preference-Center um, zum Beispiel dem PrivacyBee Cookie-Banner. Ein blosser Link in der Datenschutzerklärung reicht nicht mehr. Ganz ohne solche Umsetzung kommst du nur aus, wenn du gar keine nicht notwendigen Cookies einsetzt.
LegalTech Experte
Datenschutz Anwalt
- Zuletzt aktualisisert: 24. Juli 2026
