Cookie-Einwilligung im Onlineshop in der Schweiz

Was Art. 45c FMG verlangt

Ein Cookie entsteht dadurch, dass die Webseite Daten auf dem Gerät der Besucherin oder des Besuchers ablegt oder dort ausliest. Diesen Vorgang regelt Art. 45c des Fernmeldegesetzes (FMG). Erlaubt ist er nur für die Fernmeldedienste und ihre Abrechnung oder dann, wenn die Benutzenden über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können (Art. 45c lit. a und b FMG). Die Bestimmung ist spezielles Datenschutzrecht des Bundes und steht neben dem Datenschutzgesetz (DSG); sie ist zusammen mit ihm einzuhalten (so der Leitfaden des EDÖB, Ziff. 2.1). Sie gilt seit 1. April 2007.

Aus der Norm folgen zwei Pflichten: informieren und ablehnen lassen. Eine Einwilligung verlangt Art. 45c FMG nicht. Auch das DSG verlangt eine Einwilligung nicht als allgemeine Voraussetzung, sondern nennt sie neben dem überwiegenden privaten oder öffentlichen Interesse und dem Gesetz als Rechtfertigungsgrund (Art. 31 Abs. 1 DSG). Ausdrücklich erfolgen muss sie nur in den Fällen von Art. 6 Abs. 7 DSG, für einen privaten Shop also bei besonders schützenswerten Personendaten und bei einem Profiling mit hohem Risiko durch eine private Person (Art. 6 Abs. 7 lit. a und b DSG). Stützt der Shop nicht notwendige Cookies auf Personendaten und beruft er sich nicht auf eine Einwilligung, muss die damit verbundene Persönlichkeitsverletzung durch ein überwiegendes privates Interesse gerechtfertigt sein; das Widerspruchsrecht nach Art. 45c FMG bleibt daneben Pflicht.

Wen die Pflicht trifft

Das DSG schützt Personendaten natürlicher Personen (Art. 2 Abs. 1 DSG). Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). Die Daten einer juristischen Person wie einer AG oder GmbH sind keine Personendaten; Name, E-Mail-Adresse und Telefonnummer einer Ansprechperson sind es sehr wohl. Auch das Gesetz gilt weit: Es erfasst Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 Abs. 1 DSG). Für Shops mit Sitz in Deutschland oder Österreich gilt eigenes Recht; siehe Cookie-Einwilligung im Onlineshop in Deutschland und Cookie-Einwilligung im Onlineshop in Österreich.

Art. 45c FMG knüpft an das Bearbeiten von Daten auf einem fremden Gerät durch fernmeldetechnische Übertragung an, nicht allein an die Speicherung. Wer Nutzungsdaten ausschliesslich auf dem eigenen Server auswertet und dabei nicht auf das Gerät der Besuchenden zugreift (etwa die eigenen Serverprotokolle), fällt nicht unter diese Bestimmung. Das DSG gilt für ihn trotzdem, sobald die Daten Personen betreffen; dann bleibt die Information nach Art. 19 DSG Pflicht. Ob eine Technik, die Merkmale des Geräts ausliest, unter Art. 45c FMG fällt, ist für diese Technik gesondert zu prüfen und nicht allein danach zu beurteilen, ob sie etwas auf dem Gerät speichert.

Welche Cookies eine Einwilligung brauchen

Die Tabelle ordnet typische Kategorien ein. Sie nennt zuerst den gesetzlichen Anknüpfungspunkt, dann die Anforderung an das Banner. Die Zuordnung folgt dem DSG und dem Cookie-Leitfaden des EDÖB; sie ist behördliche Auslegung, kein Gesetzeskatalog.

Kategorie	Beispiel im Shop	Ausdrückliche Einwilligung nötig	Was das Banner bieten muss
Technisch notwendig, funktional (EDÖB Ziff. 3.5.2)	Warenkorb, Zwischenspeichern von Formulareingaben, Login, Sprachauswahl, Speichern der Cookie-Wahl	Nein	Information über Bearbeitung und Zweck; kein Schalter; Ablehnung nur durch Verzicht auf das Angebot
Technisch notwendig, Sicherheit (EDÖB Ziff. 3.5.2)	Lastenverteilung, Schutz vor wiederholten Login-Versuchen, Captcha	Nein	wie oben
Komfort über das Notwendige hinaus (EDÖB Ziff. 3.6)	Produktvorschläge aus dem Warenkorb, Erinnerung an frühere Einstellungen, Filialentfernung aus Standortdaten	Nein, wenn ein überwiegendes privates Interesse die Bearbeitung deckt (Art. 31 Abs. 2 lit. a DSG); sonst braucht es eine Rechtfertigung, etwa eine einfache, nicht ausdrückliche Einwilligung	Information und Opt-out (Art. 45c FMG)
Reichweitenmessung für nicht personenbezogene Zwecke (Art. 31 Abs. 2 lit. e DSG)	anonymisierte Statistik über Seitenaufrufe	Nein, wenn die Voraussetzungen dieser Bestimmung erfüllt sind, insbesondere die Anonymisierung, sobald der Zweck es erlaubt	Information und Opt-out
Werbung mit normalem Profiling (Art. 5 lit. f DSG; EDÖB Ziff. 3.11.2)	personalisierte Anzeigen aus dem eigenen Surfverhalten	Nein, wenn ein überwiegendes privates Interesse die Bearbeitung deckt (Art. 31 Abs. 1 DSG)	Information und Opt-out, beim ersten und bei jedem weiteren Besuch leicht erkennbar und mit wenigen Klicks
Profiling mit hohem Risiko (Art. 5 lit. g DSG; EDÖB Ziff. 3.11.3)	Werbecookies Dritter, die gegen Entgelt in eine Vielzahl von Webseiten eingebettet sind und seitenübergreifend Daten verknüpfen; Standortdaten, die zu präzisen Bewegungsprofilen führen	Ja, ausdrücklich (Art. 6 Abs. 7 lit. b DSG)	Opt-in durch aktives Anklicken, Widerruf jederzeit möglich
Besonders schützenswerte Personendaten (Art. 5 lit. c DSG)	Angaben zu Gesundheit, Religion, politischen Ansichten	Ja, ausdrücklich (Art. 6 Abs. 7 lit. a DSG)	wie oben
Auswertung ohne Zugriff auf das fremde Gerät	Auswertung der eigenen Serverprotokolle	Eine Rechtfertigung nach Art. 30 und 31 DSG braucht nur eine Bearbeitung, welche die Persönlichkeit verletzt, etwa weil sie gegen die Grundsätze von Art. 6 und 8 DSG verstösst; ist für besonders schützenswerte Daten oder Profiling mit hohem Risiko eine Einwilligung nötig, muss sie ausdrücklich erfolgen (Art. 6 Abs. 7 DSG). Art. 45c FMG greift nicht, weil keine Bearbeitung auf dem fremden Gerät erfolgt	Information nach Art. 19 DSG, wenn Personendaten betroffen sind

Zwei Schwellen entscheiden also. Die erste ist die Frage, ob der Einsatz über das technisch Notwendige hinausgeht. «Technisch notwendig» sind nach dem Leitfaden Cookies, ohne die die Webseite ihre Funktion nicht erfüllen könnte, sowie solche, die für eine dem Risiko angemessene Datensicherheit nötig sind; ein verbindlicher Katalog besteht nicht (EDÖB Ziff. 3.5.2).

Die zweite Schwelle ist das Profiling. Nach dem Risikomodell in Anhang A des Leitfadens gilt: Bei Risikowerten von 0 bis 1 (notwendige Cookies) wird die Wahl für das ganze Angebot angenommen oder abgelehnt, bei Werten von 1 bis 2,5 (funktionale Cookies und Werbetracking mit normalem Profiling) ist ein Opt-out Pflicht, und über 2,5 (qualifizierte Einsätze) ist ein Opt-in Pflicht. Wer nicht ausschliessen kann, dass sein Tracking die Schwelle zum hohen Risiko überschreitet, muss nach dem Leitfaden von einem hohen Risiko ausgehen (EDÖB Ziff. 3.10.1 und 3.11.3). Der Leitfaden nennt Werbecookies Dritter, die gegen Entgelt in eine Vielzahl von Webseiten eingebettet sind, als Beispiel dafür, dass ein Dritter ein Profiling mit hohem Risiko durchführen kann (EDÖB Ziff. 3.11.1); ob die Schwelle erreicht ist, hängt von der Datenverknüpfung und der Eingriffstiefe ab (EDÖB Ziff. 3.11.3). Das Opt-out tritt nicht an die Stelle einer Rechtfertigung: Nicht notwendige Cookies, die Personendaten bearbeiten und über das notwendige Mass hinausgehen, verletzen die Persönlichkeit (Art. 30 Abs. 2 lit. a DSG; EDÖB Ziff. 3.6) und brauchen nach Art. 31 Abs. 1 DSG eine Rechtfertigung, etwa ein überwiegendes privates Interesse; ein leicht erreichbares Opt-out senkt nach dem Leitfaden die Schwere des Eingriffs (EDÖB Ziff. 3.7.2).

Wie ein zulässiges Banner aussieht

Die Information muss vor der Bearbeitung vorliegen und für eine bewusste Entscheidung reichen (Art. 19 Abs. 1 und 2 DSG, Art. 13 DSV). Für das Banner folgt daraus:

1. Informieren Sie vor jedem nicht notwendigen Zugriff. Stützt sich die Datenbearbeitung eines Drittskripts, eines Social Plugins oder eines Tracking-Pixels auf eine Einwilligung, darf sie nicht schon beim Aufruf der Seite aktiviert werden, sondern erst nach der Einwilligung (EDÖB Ziff. 3.13.1).
2. Halten Sie die Voreinstellungen auf dem Mindestmass (Art. 7 Abs. 3 DSG) und bieten Sie je Zweck einen eigenen Schalter an. Ein Fenster, das nur «alles akzeptieren» oder den Verzicht auf die Seite zulässt, genügt nach dem Leitfaden nicht (EDÖB Ziff. 3.12.5).
3. Trennen Sie Pflichtfelder von freiwilligen und kennzeichnen Sie, welche Angaben nötig und welche optional sind (EDÖB Ziff. 3.13.2).
4. Verlangen Sie dort, wo Art. 6 Abs. 7 DSG greift, eine aktive Handlung wie ein Anklicken; ohne sie liegt keine ausdrückliche Einwilligung vor (EDÖB Ziff. 3.12.6).
5. Gestalten Sie das Abwählen nicht umständlicher als das Ankreuzen und halten Sie Widerspruch und Widerruf jederzeit, formlos und mit wenigen Klicks erreichbar (EDÖB Ziff. 3.12.7 und 3.13.2).
6. Verzichten Sie auf irreführende Darstellungen. Nach dem Leitfaden können Täuschung und Nötigung die Einwilligung ungültig machen; dazu zählt auch, wer den Widerruf von der Abwahl vieler Felder abhängig macht (EDÖB Ziff. 3.12.4).
7. Nennen Sie das Minimum nach Art. 19 Abs. 2 DSG: Verantwortlicher mit Kontaktdaten, Bearbeitungszweck und Empfänger oder Empfängerkategorien; bei einer Bekanntgabe ins Ausland zusätzlich Staat oder internationales Organ und gegebenenfalls die Garantien oder die angewandte Ausnahme (Art. 19 Abs. 4 DSG).

Welche Angaben sonst in die Datenschutzerklärung gehören, steht im Artikel Datenschutzerklärung für den Onlineshop in der Schweiz.

Seit wann die Regeln gelten

Art. 45c FMG ist seit 1. April 2007 in Kraft. Das revidierte DSG und die Datenschutzverordnung (DSV) gelten seit dem 1. September 2023. Der Cookie-Leitfaden des EDÖB geht auf den 22. Januar 2025 zurück; die am 7. Oktober 2025 veröffentlichte Fassung 1.1 präzisiert ihn punktuell und ändert den Inhalt nicht. Auch für ein bestehendes Banner gilt dieselbe Regel: Die Information muss vorliegen, bevor die Daten bearbeitet werden (Art. 19 Abs. 2 DSG; EDÖB Ziff. 3.3.2).

Was bei einem Verstoss droht

Wer gegen Art. 45c FMG verstösst, wird mit Busse bis zu CHF 5’000 bestraft; strafbar ist vorsätzliches und fahrlässiges Handeln (Art. 53 FMG). Wer es vorsätzlich unterlässt, nach Art. 19 Abs. 1 DSG zu informieren oder die Angaben nach Art. 19 Abs. 2 DSG zu liefern, wird auf Antrag mit Busse bis zu CHF 250’000 bestraft (Art. 60 Abs. 1 lit. b DSG). Der EDÖB eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung, wenn genügend Anzeichen für einen Verstoss bestehen, und kann Anpassung, Unterbrechung oder Abbruch der Bearbeitung verfügen (Art. 49 Abs. 1 und Art. 51 Abs. 1 DSG).

Checkliste für Ihren Shop

• Erfassen Sie alle Cookies und eingebundenen Drittdienste mit Zweck, Speicherdauer und Empfänger.
• Ordnen Sie jede Position nach der Tabelle ein: notwendig, Komfort, Statistik, Werbung mit normalem Profiling, Profiling mit hohem Risiko.
• Setzen Sie für notwendige Cookies einen Hinweis, aber keinen Schalter; für alle anderen ein Opt-out, bei hohem Risiko ein Opt-in.
• Laden Sie Skripte, deren Bearbeitung sich auf eine Einwilligung stützt, erst nach der Einwilligung, und setzen Sie datenschutzfreundliche Voreinstellungen.
• Halten Sie Widerruf und Widerspruch mit wenigen Klicks und ohne Begründung erreichbar.
• Erneuern Sie den Hinweis, wenn Sie eine neue Analysedienstleistung oder Werbepartner einbinden.