Cookies und Tracking: Regeln für Firmenwebsites

Jede Firmenwebsite verwendet Cookies und Tracking-Werkzeuge, oft ohne dass die verantwortliche Person genau weiss, welche Regeln gelten. In der Schweiz unterscheidet sich der Rahmen vom europäischen, ist deshalb aber nicht freizügig: Das neue Datenschutzgesetz auferlegt präzise Pflichten, und für viele Schweizer Unternehmen kommt zusätzlich die DSGVO hinzu. Zu klären, was wirklich nötig ist, verhindert überflüssige Banner einerseits und Verstösse andererseits. Betrachten wir das Bild praxisnah.

Der Schweizer Rahmen: das neue DSG

Seit dem 1. September 2023 ist das neue Bundesgesetz über den Datenschutz (DSG) in Kraft, das die Schweizer Regeln modernisiert und den europäischen Standards angenähert hat, ohne sie zu kopieren. Die zugrunde liegende Logik: Die Bearbeitung von Personendaten ist zulässig, sie muss aber transparent sein und die Grundsätze der Zweckbindung und Verhältnismässigkeit wahren.

Cookies und Tracking-Werkzeuge erheben Personendaten (Surfverhalten, IP-Adresse, Kennungen). Sie fallen somit unter das DSG und auferlegen zumindest eine klare Pflicht zur Information der Nutzerinnen und Nutzer.

Vorherige Einwilligung: was das Schweizer Modell sagt

Hier liegt der wichtigste Unterschied zu Europa. Das Schweizer Modell ist weniger streng ausgestaltet als die obligatorische vorherige Einwilligung, die den EU-Ansatz für viele nicht wesentliche Cookies kennzeichnet.

Praktisch gesehen legt das Schweizer Recht Wert auf Transparenz: Die Nutzerin muss verständlich darüber informiert werden, welche Daten erhoben werden, zu welchen Zwecken und durch wen. Für bestimmte Bearbeitungen sieht das Gesetz zudem die Möglichkeit vor, Widerspruch einzulegen (Opt-out). Das bedeutet nicht “keine Pflicht”: Es bedeutet, dass der Schwerpunkt auf der Information und der Kontrollmöglichkeit liegt, weniger auf einer generalisierten vorherigen Einwilligung.

Achtung jedoch: Dies ist die Lesart allein auf Schweizer Ebene. Für viele Unternehmen reicht sie nicht aus.

Warum die DSGVO auch viele Schweizer Unternehmen betrifft

Die europäische DSGVO hat eine extraterritoriale Reichweite. Sie gilt auch für ein Unternehmen mit Sitz in der Schweiz, wenn dieses Personen in der Europäischen Union Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet.

Konkret: Wenn eine Schweizer Firmenwebsite

• sich auch an Kundinnen und Kunden in der EU richtet (Sprachen, Währungen, Versand);
• europäische Besucher mit Analyse- oder Profilierungswerkzeugen verfolgt;

dann ist es realistisch, dass sie auch die DSGVO einhalten muss, die für nicht technische Cookies in der Regel eine vorherige, freiwillige und spezifische Einwilligung verlangt, eingeholt über ein Banner mit echter Ablehnungsmöglichkeit.

Deshalb setzen viele Schweizer Websites ein Einwilligungsbanner im europäischen Stil ein: nicht weil das DSG es immer vorschreibt, sondern weil ihr Publikum EU-Nutzer umfasst.

Cookie-Arten: Unterscheiden ist der Schlüssel

Nicht alle Cookies sind gleich, und die Unterscheidung bestimmt die Pflichten.

• Technische / notwendige Cookies: unverzichtbar für den Betrieb der Website (Sitzung, Warenkorb, Sicherheit). Sie sind am wenigsten problematisch.
• Analyse- / Statistik-Cookies: messen den Verkehr und das Verhalten der Nutzer.
• Marketing- / Profilierungs-Cookies: erstellen Profile für gezielte Werbung, oft von Dritten.

Je mehr sich ein Cookie in Richtung Profilierung und Dritte bewegt, desto grösser wird der Bedarf an einer detaillierten Information und, wo die DSGVO gilt, an einer vorherigen Einwilligung.

Was eine konforme Firmenwebsite haben muss

Ein solides Konzept, das DSG und — wo nötig — DSGVO zusammenhält, stützt sich auf einige Elemente:

• eine klare und aktuelle Datenschutzerklärung, die angibt, welche Daten erhoben werden, zu welchen Zwecken, wer die Empfänger sind und wie man seine Rechte ausübt;
• eine Cookie-Richtlinie, die die verwendeten Cookies, ihre Funktion und ihre Dauer auflistet;
• ein Banner, das, wenn das Publikum EU-Nutzer umfasst, das Akzeptieren oder Ablehnen nicht wesentlicher Cookies mit gleicher Leichtigkeit erlaubt;
• Aufmerksamkeit für Datenübermittlungen ins Ausland, ein zentrales Thema bei der Nutzung von Analyse- und Marketingwerkzeugen ausländischer Anbieter.

Die häufigsten Fehler

Wer eine Firmenwebsite betreibt, neigt dazu, in zwei entgegengesetzte Extreme zu verfallen:

• Unterschätzen: keine Information, Cookies von Dritten aktiv ohne jede Transparenz. Dies ist das am stärksten exponierte Profil, besonders wenn es EU-Nutzer gibt.
• Wahllos kopieren: Banner und Richtlinien von anderen Websites übernommen, nicht auf die tatsächlich genutzten Werkzeuge abgestimmt. Eine Information, die andere Bearbeitungen beschreibt als die realen, schützt nicht; im Gegenteil, sie dokumentiert die Widersprüchlichkeit.

Der richtige Weg ist, von einer realen Bestandsaufnahme der auf der Website installierten Werkzeuge auszugehen und die Information darauf aufzubauen.

Unser Ansatz

Bei SIH ONE helfen wir Unternehmen zu verstehen, welcher Rahmen für ihre Website gilt — nur DSG oder auch DSGVO — ausgehend vom tatsächlichen Publikum und den wirklich genutzten Werkzeugen. Wir richten Datenschutzerklärung, Cookie-Richtlinie und Einwilligungslogik kohärent ein, ohne überflüssige Banner, aber ohne Lücken gegenüber europäischen Kunden.

Möchten Sie Cookies und Datenschutz Ihrer Website in Ordnung bringen? Sprechen wir mit unserem Legal Desk darüber.