# Aiara Privacy Suite: Ratgeber im Volltext

> Sämtliche Grundlagen- und Ratgeberbeiträge von https://www.aiara.ch als Fliesstext.
> Herausgeberin: Sidora AG, Sulzerallee 70, 8404 Winterthur, Schweiz.
> Stand: 2026-09-07. Übersicht: https://www.aiara.ch/llms.txt

Die Inhalte behandeln Schweizer und europäisches Datenschutzrecht. Sie sind
redaktionell erarbeitet und ersetzen keine Rechtsberatung im Einzelfall.

---

# Das DSG einfach erklärt: Schweizer Datenschutzgesetz für Unternehmen

Quelle: https://www.aiara.ch/dsg
Zuletzt aktualisiert: 2026-07-05

Das DSG betrifft praktisch jedes Unternehmen in der Schweiz — von der Einzelfirma mit Website bis zum Konzern. Trotzdem herrscht im Alltag viel Unsicherheit: Was verlangt das Gesetz konkret, was droht bei Verstössen, und wo reicht gesunder Menschenverstand? Dieser Guide beantwortet die wichtigsten Fragen zum Schweizer Datenschutzgesetz — verständlich, ohne Juristendeutsch und mit einer Checkliste für die Umsetzung.

## Was ist das DSG?

Das DSG ist das [Bundesgesetz über den Datenschutz (SR 235.1)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) — das zentrale Schweizer Gesetz für den Umgang mit Personendaten. Es schützt die Persönlichkeit und die Grundrechte von Personen, über die Daten bearbeitet werden, und gilt in totalrevidierter Fassung seit dem **1. September 2023** — und zwar ohne Übergangsfrist. Massgeblich ist einzig der offizielle Gesetzestext auf Fedlex, der Publikationsplattform des Bundesrechts.

Im Sprachgebrauch kursieren mehrere Namen für dasselbe Gesetz: **nDSG** («neues Datenschutzgesetz»), **revDSG** («revidiertes DSG») oder schlicht «neues Datenschutzgesetz Schweiz». Offiziell heisst das Gesetz weiterhin einfach DSG. Wer also vom nDSG spricht, meint keinen separaten Erlass, sondern die seit 2023 geltende Fassung des DSG.

Die Totalrevision hatte zwei Treiber. Erstens stammte das Vorgängergesetz aus dem Jahr 1992 — einer Zeit vor Smartphones, Cloud-Diensten und Online-Tracking. Zweitens musste die Schweiz ihr Datenschutzniveau an europäische Standards angleichen, damit die EU sie weiterhin als Land mit angemessenem Datenschutz anerkennt und Personendaten ohne zusätzliche Hürden über die Grenze fliessen dürfen.

Inhaltlich ruht das DSG auf wenigen Grundsätzen (Art. 6): Personendaten müssen rechtmässig, nach Treu und Glauben und verhältnismässig bearbeitet werden, die Bearbeitung muss zweckgebunden und für die betroffenen Personen erkennbar sein, die Daten müssen richtig sein — und ihre Sicherheit muss durch angemessene technische und organisatorische Massnahmen gewährleistet werden. Wer diese Grundsätze einhält, hat das Fundament der Compliance bereits gelegt.

Ein oft übersehener Unterschied zur EU: Das DSG folgt dem **Erlaubnisprinzip**. Die Bearbeitung von Personendaten ist grundsätzlich zulässig, ohne dass es dafür eine Einwilligung oder eine andere Rechtsgrundlage braucht — solange die Grundsätze eingehalten werden und keine Persönlichkeitsverletzung vorliegt. Die DSGVO funktioniert umgekehrt: Dort ist jede Bearbeitung verboten, bis eine Rechtsgrundlage sie erlaubt. Eine Einwilligung verlangt das DSG nur in bestimmten Konstellationen — etwa wenn besonders schützenswerte Daten entgegen den Grundsätzen bearbeitet werden oder beim Profiling mit hohem Risiko.

Überwacht wird das Gesetz vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) — der Schweizer Aufsichtsbehörde für den Datenschutz. Er führt Untersuchungen, berät Unternehmen und Private und veröffentlicht Leitfäden, etwa zu Cookies und Tracking.

Was sich mit der Revision im Einzelnen geändert hat — neue Begriffe, erweiterte Informationspflichten, verschärfte Sanktionen — haben wir im Beitrag «[Revidiertes DSG: Was sich für Schweizer Unternehmen wirklich ändert](/blog/revidiertes-dsg-2025)» aufgeschlüsselt. Dieser Guide konzentriert sich auf das geltende Recht: Was verlangt das DSG heute von einem Unternehmen?

## Für wen gilt das Datenschutzgesetz?

Das DSG gilt für alle privaten Personen und Unternehmen sowie für Bundesorgane, die Personendaten bearbeiten — ohne Schwellenwerte nach Grösse, Umsatz oder Branche. Personendaten sind alle Angaben, die sich einer bestimmten oder bestimmbaren Person zuordnen lassen: Name, E-Mail-Adresse, Kundennummer, aber auch IP-Adressen oder Standortdaten.

Damit ist der Geltungsbereich im Alltag schnell erreicht:

- die Bäckerei mit einem Kontaktformular auf der Website
- das Treuhandbüro mit Kundendossiers und Lohndaten
- der Onlineshop mit Bestell-, Zahlungs- und Tracking-Daten
- das Startup, das einen Newsletter versendet

Zwei Abgrenzungen sind wichtig. Erstens: Kantonale und kommunale Behörden unterstehen nicht dem DSG, sondern den jeweiligen kantonalen Datenschutzgesetzen. Zweitens: Das DSG wirkt **extraterritorial**. Nach Artikel 3 gilt es für Sachverhalte, die sich in der Schweiz auswirken — auch wenn sie im Ausland veranlasst werden. Ein deutscher Onlineshop, der gezielt Schweizer Kundschaft bedient, fällt also ebenso darunter wie ein US-Software-Anbieter, der Daten von Schweizer Nutzerinnen und Nutzern bearbeitet.

Eine besondere Kategorie sind die **besonders schützenswerten Personendaten**: Gesundheitsdaten, religiöse, weltanschauliche oder politische Ansichten, genetische und biometrische Daten, Angaben über strafrechtliche Verfolgungen sowie über Massnahmen der sozialen Hilfe. Für sie gelten strengere Regeln — wo eine Einwilligung nötig ist, muss sie ausdrücklich erfolgen. Wer solche Daten bearbeitet, sollte jede Pflicht in diesem Guide mit erhöhter Sorgfalt umsetzen.

## Die wichtigsten Pflichten für Unternehmen

Das DSG verlangt von Unternehmen im Kern sechs Dinge: informieren, Auskunft geben, dokumentieren, Datenpannen melden, Datenschutz von Anfang an mitdenken und Dienstleister vertraglich einbinden. Die folgenden Abschnitte erklären jede Pflicht mit dem zugehörigen Gesetzesartikel.

Vorweg eine Entlastung: Anders als die DSGVO kennt das DSG keine Pflicht, einen Datenschutzbeauftragten zu ernennen. Unternehmen können freiwillig eine Datenschutzberaterin oder einen Datenschutzberater bezeichnen — für die meisten KMU genügt es, die Verantwortung intern klar zuzuweisen.

### Informationspflicht und Datenschutzerklärung (Art. 19)

Wer Personendaten beschafft, muss die betroffenen Personen darüber informieren — vorab und in verständlicher Form. Artikel 19 verlangt mindestens die Identität und Kontaktdaten des Verantwortlichen, den Bearbeitungszweck, die Empfänger oder Empfängerkategorien und bei Auslandtransfers den Zielstaat samt Garantien.

Die Information muss bei der Beschaffung erfolgen; werden die Daten nicht direkt bei der betroffenen Person erhoben, spätestens einen Monat nach Erhalt. Für Website-Betreiber heisst das: Es braucht eine Datenschutzerklärung, die zum tatsächlichen Setup passt. Eine kopierte Vorlage, die Google Analytics verschweigt, obwohl es läuft, erfüllt die Pflicht nicht — sie dokumentiert im Zweifel sogar den Verstoss. Wie eine DSG-konforme Erklärung entsteht, zeigt der Beitrag «[Datenschutzerklärung für die Schweiz erstellen](/blog/datenschutzerklaerung-schweiz-erstellen)».

### Auskunftsrecht der betroffenen Personen (Art. 25)

Jede Person kann von einem Unternehmen Auskunft verlangen, welche Daten es über sie bearbeitet, woher diese stammen und an wen sie weitergegeben werden. Die Auskunft ist grundsätzlich kostenlos und innert 30 Tagen zu erteilen.

Verweigern, einschränken oder aufschieben dürfen Sie die Auskunft nur in engen Grenzen — etwa wenn ein Gesetz es vorsieht oder überwiegende Interessen Dritter betroffen sind — und müssen den Entscheid begründen. Im KMU-Alltag ist das Auskunftsrecht die häufigste Schwachstelle: Anfragen landen im allgemeinen Postfach, niemand fühlt sich zuständig, die Frist verstreicht. Eine definierte Zuständigkeit und eine einfache Antwortvorlage lösen das Problem mit minimalem Aufwand.

### Verzeichnis der Bearbeitungstätigkeiten (Art. 12)

Das Verzeichnis ist ein interner Katalog aller Datenbearbeitungen: Welche Daten, zu welchem Zweck, wer hat Zugriff, wie lange werden sie aufbewahrt? Für kleine Betriebe gibt es eine wichtige Erleichterung: Unternehmen mit **weniger als 250 Mitarbeitenden** sind von der Pflicht befreit — solange sie keine umfangreiche Bearbeitung besonders schützenswerter Daten vornehmen und kein Profiling mit hohem Risiko betreiben.

Empfehlenswert ist eine schlanke Übersicht trotzdem. Sie zwingt zur Bestandesaufnahme und macht jede spätere Auskunftsanfrage deutlich einfacher.

### Meldung von Datensicherheitsverletzungen (Art. 24)

Wird die Datensicherheit verletzt — durch einen Hackerangriff, ein verlorenes Notebook oder einen falsch adressierten Massenversand — und entsteht dadurch voraussichtlich ein hohes Risiko für die betroffenen Personen, muss das Unternehmen den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich informieren.

Zusätzlich kann eine Information der betroffenen Personen nötig sein — wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Praktisch braucht es dafür einen minimalen Notfallplan: Wer entscheidet im Ernstfall, wer meldet, über welchen Kanal? Ein A4-Blatt mit Zuständigkeiten und dem Meldeweg zum EDÖB genügt als Startpunkt.

### Privacy by Design und Privacy by Default (Art. 7)

Datenschutz muss ab der Planung mitgedacht werden («by Design»), und die datenschutzfreundlichste Einstellung muss die Voreinstellung sein («by Default»). Konkret: Wer ein neues CRM einführt, klärt Speicherort und Löschkonzept vor dem Kauf. Wer ein Formular baut, setzt das Newsletter-Häkchen nicht als Vorauswahl. Und ein Cookie-Banner, das Tracking erst nach der Einwilligung startet, ist gelebtes Privacy by Default.

### Auftragsbearbeitung und AVV (Art. 9)

Wer die Datenbearbeitung an Dritte auslagert — Hosting-Provider, Newsletter-Dienst, externe Buchhaltung — bleibt verantwortlich und muss die Bearbeitung vertraglich regeln. Das geschieht mit einem Auftragsbearbeitungsvertrag, kurz AVV. Der Auftragsbearbeiter darf die Daten nur so bearbeiten, wie es der Verantwortliche selbst dürfte, und muss eine angemessene Datensicherheit gewährleisten. Zieht er seinerseits Dritte bei — etwa wenn der Newsletter-Dienst selbst in einer fremden Cloud hostet — braucht das die vorgängige Genehmigung des Verantwortlichen. Was in einen solchen Vertrag gehört, erklärt der Beitrag «[Auftragsverarbeitungsvertrag (AVV) in der Schweiz](/blog/auftragsverarbeitungsvertrag-avv-schweiz)».

Eng verwandt ist die Auslandsbekanntgabe: Personendaten dürfen nur in Staaten fliessen, deren Datenschutz der Bundesrat als angemessen einstuft — für andere Länder braucht es vertragliche Garantien wie Standarddatenschutzklauseln. Da viele Cloud- und Marketing-Tools Daten ausserhalb der Schweiz und der EU verarbeiten, gehört diese Prüfung in jede Tool-Evaluation.

## Cookies, Tracking und das DSG

Für Cookies und Tracking gilt in der Schweiz ein Zusammenspiel aus zwei Gesetzen: Das DSG verlangt Transparenz über die Datenbearbeitung, und Artikel 45c des Fernmeldegesetzes (FMG) verlangt, dass Nutzerinnen und Nutzer über Cookies informiert werden und diese ablehnen können.

Konkretisiert wird dieses Zusammenspiel durch den [Cookie-Leitfaden des EDÖB](https://www.edoeb.admin.ch/de/cookie-leitfaden-aktualisiert). Seine Stossrichtung ist klar: Technisch notwendige Cookies sind unproblematisch — aber bei Tracking-, Analyse- und Marketing-Diensten braucht es echte Wahlfreiheit. Sobald risikoreiche Dienste laufen, besonders schützenswerte Daten im Spiel sind oder Daten in Staaten ohne angemessenen Datenschutz fliessen, führt an einer Einwilligung kaum ein Weg vorbei.

Der Leitfaden macht auch Vorgaben zur Gestaltung: Die Wahlfreiheit muss echt sein. Wer ablehnt, darf nicht durch versteckte Buttons oder vorangekreuzte Kategorien zur Zustimmung gedrängt werden, und eine erteilte Einwilligung muss sich so einfach widerrufen lassen, wie sie erteilt wurde. Für Besucherinnen und Besucher aus der EU gilt parallel deren strengeres Einwilligungsrecht.

Für die Praxis heisst das: Wer Google Analytics, Meta-Pixel, YouTube-Einbettungen oder ähnliche Dienste nutzt, braucht ein Cookie-Banner, das Tracking erst nach der Einwilligung startet — und eine Datenschutzerklärung, die diese Dienste vollständig aufführt. Wann genau ein Banner Pflicht ist und wie es korrekt umgesetzt wird, zeigt unser Guide zur [Cookie-Banner-Pflicht in der Schweiz](/cookie-banner-pflicht).

## Sanktionen: Was droht bei Verstössen?

Vorsätzliche Verstösse gegen zentrale DSG-Pflichten können mit Bussen bis **CHF 250'000** bestraft werden (Art. 60 ff.). Das betrifft insbesondere die Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten sowie der Sorgfaltspflichten, etwa bei Auslandtransfers oder der Auftragsbearbeitung.

Drei Eigenheiten unterscheiden das Schweizer Sanktionsregime deutlich von der DSGVO. Erstens trifft die Busse nicht das Unternehmen, sondern die **natürliche Person**, die den Verstoss zu verantworten hat — in einem KMU typischerweise die Geschäftsführung. Zweitens sind nur vorsätzliche Verstösse strafbar, nicht fahrlässige. Drittens handelt es sich um **Antragsdelikte**: Es braucht einen Strafantrag, verfolgt wird durch die kantonalen Strafbehörden — der EDÖB selbst verhängt keine Bussen, kann aber Untersuchungen eröffnen und verbindliche Verfügungen erlassen.

Neben dem Strafrisiko besteht ein aufsichtsrechtliches: Der EDÖB kann von Amtes wegen oder auf Anzeige hin eine Untersuchung eröffnen und verbindlich verfügen, dass eine Bearbeitung angepasst, unterbrochen oder eingestellt wird — bis hin zur Löschung von Daten. Für ein Unternehmen kann eine solche Verfügung einschneidender sein als eine Busse, etwa wenn ein zentrales Marketing-Tool nicht mehr eingesetzt werden darf. Dazu kommt der Reputationsschaden — Datenschutzverstösse sind längst ein Medienthema.

Zum Vergleich: Die DSGVO kennt Unternehmensbussen bis EUR 20 Millionen oder 4 Prozent des weltweiten Jahresumsatzes. Die Schweizer Bussen wirken daneben moderat — dafür haften Entscheidungsträger persönlich. Das macht Datenschutz zur Chefsache.

## DSG und DSGVO: Was gilt für wen?

Die Faustregel: Für Schweizer Unternehmen gilt immer das DSG — die europäische DSGVO kommt zusätzlich ins Spiel, wenn ein Unternehmen aktiv Kundschaft in der EU anspricht oder deren Verhalten beobachtet. Ein Onlineshop, der nach Deutschland liefert, muss beide Regelwerke beachten; ein rein binnenorientierter Handwerksbetrieb nur das DSG.

Die gute Nachricht: Die beiden Gesetze sind eng verwandt. Wer die strengere DSGVO erfüllt, deckt die DSG-Pflichten weitgehend mit ab. Umgekehrt profitiert die ganze Schweizer Wirtschaft vom Gleichschritt: Die EU anerkennt das Schweizer Datenschutzniveau als angemessen, weshalb Personendaten ohne Zusatzverträge aus der EU in die Schweiz fliessen dürfen — ein handfester Standortvorteil, etwa für Agenturen und IT-Dienstleister mit EU-Kundschaft.

Die Unterschiede im Detail — Einwilligungslogik, Sanktionen, EU-Vertretung — erklärt unser [DSGVO-Guide](/dsgvo) sowie der Beitrag «[DSG vs. DSGVO: Die wichtigsten Unterschiede](/blog/dsg-vs-dsgvo-unterschiede)».

## Die Datenschutzverordnung (DSV)

Die DSV ist die [Verordnung über den Datenschutz (SR 235.11)](https://www.fedlex.admin.ch/eli/cc/2022/568/de) — sie konkretisiert das DSG und trat gleichzeitig mit ihm am 1. September 2023 in Kraft. Die DSV regelt unter anderem die Mindestanforderungen an die Datensicherheit, die Modalitäten der Auskunftserteilung, die Einzelheiten zur Meldung von Datensicherheitsverletzungen und die Ausnahme vom Bearbeitungsverzeichnis für Unternehmen mit weniger als 250 Mitarbeitenden.

Für den Alltag genügt es zu wissen: Wer eine DSG-Pflicht umsetzt und wissen will, wie genau, findet die Antwort meist in der DSV. Daneben existiert mit der Verordnung über Datenschutzzertifizierungen (VDSZ) ein zweiter Ausführungserlass — für den KMU-Alltag spielt er kaum eine Rolle.

## DSG-Checkliste für KMU

Die kompakte Selbstprüfung — jede Zeile sollte sich mit Ja beantworten lassen. Arbeiten Sie die Liste von oben nach unten ab: Die ersten fünf Punkte decken die Pflichten ab, die bei einer Beschwerde erfahrungsgemäss als Erstes geprüft werden.

- [ ] Datenschutzerklärung online, aktuell und auf das eigene Setup zugeschnitten (Art. 19)
- [ ] Alle eingesetzten Tools und Drittanbieter darin benannt, inklusive Auslandtransfers
- [ ] Cookie-Banner im Einsatz, das Tracking erst nach der Einwilligung startet
- [ ] Zuständigkeit für Auskunftsanfragen definiert, Antwortvorlage bereit (30-Tage-Frist)
- [ ] Notfallplan für Datensicherheitsverletzungen mit Meldeweg an den EDÖB
- [ ] AVV mit allen Dienstleistern abgeschlossen, die Personendaten bearbeiten (Art. 9)
- [ ] Verzeichnis der Bearbeitungstätigkeiten geführt — Pflicht ab 250 Mitarbeitenden, darunter empfohlen
- [ ] Auslandtransfers geprüft: Zielstaaten mit angemessenem Schutz oder vertragliche Garantien
- [ ] Neue Tools und Prozesse werden nach Privacy by Design und by Default aufgesetzt
- [ ] Datenschutz ist als Verantwortung der Geschäftsleitung verankert (persönliches Bussenrisiko)

Die zwei sichtbarsten Punkte dieser Liste — Datenschutzerklärung und Cookie-Banner — müssen Sie nicht von Hand pflegen: Mit Aiara erstellen Sie beides automatisch DSG-konform, inklusive Cookie-Scanner, der Ihre Website laufend mit der Datenschutzerklärung synchron hält. So bleibt der Website-Teil der Compliance aktuell, ohne dass Sie jede Gesetzes- oder Tool-Änderung selbst nachführen müssen.

---

# DSGVO für Schweizer Unternehmen: Wann sie gilt und was zu tun ist

Quelle: https://www.aiara.ch/dsgvo
Zuletzt aktualisiert: 2026-07-05

## Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist das Datenschutzgesetz der Europäischen Union: die [Verordnung (EU) 2016/679](https://eur-lex.europa.eu/eli/reg/2016/679/oj), anwendbar seit dem 25. Mai 2018. Sie regelt, wie Unternehmen und Behörden Personendaten von Menschen in der EU erheben, nutzen und schützen müssen — einheitlich und unmittelbar in allen EU- und EWR-Staaten, ohne dass nationale Parlamente sie erst umsetzen müssen.

Inhaltlich baut die Verordnung auf wenigen Grundideen auf: Jede Verarbeitung von Personendaten braucht eine Rechtsgrundlage. Betroffene Personen haben durchsetzbare Rechte — Auskunft, Berichtigung, Löschung, Datenübertragbarkeit. Unternehmen müssen ihre Datenverarbeitung dokumentieren und Verstösse melden. Und bei Missachtung drohen empfindliche Bussen gegen das Unternehmen selbst.

Seit ihrer Einführung hat die Verordnung weltweit Massstäbe gesetzt: Zahlreiche Länder — auch die Schweiz mit der Revision ihres Datenschutzgesetzes — haben ihre Gesetzgebung an der DSGVO ausgerichtet, nicht zuletzt, um den freien Datenaustausch mit der EU nicht zu gefährden.

Für Schweizer Unternehmen ist die DSGVO aus einem einfachen Grund relevant: Sie macht an der EU-Aussengrenze nicht halt. Die Verordnung beansprucht ausdrücklich Geltung für Unternehmen ausserhalb der EU, sobald diese sich an Personen in der EU richten. Genau diese Frage — wann das der Fall ist — entscheidet, ob ein Unternehmen in Zürich, Lausanne oder Lugano die DSGVO erfüllen muss.

## Gilt die DSGVO für Schweizer Unternehmen?

Ja — aber nicht automatisch, sondern nur, wenn das sogenannte Marktortprinzip greift. Massgebend ist Artikel 3 Absatz 2 der DSGVO: Die Verordnung gilt für Unternehmen ohne EU-Niederlassung, wenn sie entweder **Waren oder Dienstleistungen Personen in der EU anbieten** (unabhängig davon, ob bezahlt wird) oder **das Verhalten von Personen in der EU beobachten**, etwa durch Tracking und Profilbildung.

Wichtig ist die Abgrenzung, die viele Ratgeber unterschlagen: Die blosse Erreichbarkeit einer Schweizer Website aus Deutschland oder Frankreich löst die DSGVO **nicht** aus. Es braucht ein erkennbares Ausrichten auf den EU-Markt. Die Erwägungsgründe der Verordnung nennen als Indizien unter anderem: Preise in Euro, Lieferoptionen in EU-Länder, gezielte Werbung für EU-Kundschaft oder die ausdrückliche Erwähnung von Kunden in EU-Staaten. Dass eine Website auf Deutsch verfügbar ist, genügt für sich allein nicht — Deutsch ist schliesslich Schweizer Landessprache.

Daneben gibt es den einfacheren Fall des Artikels 3 Absatz 1: Wer eine Niederlassung, Tochtergesellschaft oder Zweigstelle in der EU betreibt, fällt für deren Datenverarbeitung ohnehin unter die DSGVO — ganz ohne Marktort-Diskussion.

Ebenfalls oft missverstanden: Die DSGVO schützt Personen, die sich **in** der EU befinden — auf die Staatsbürgerschaft kommt es nicht an. Die Daten einer deutschen Staatsangehörigen mit Wohnsitz in Zürich fallen nicht unter die DSGVO; die Daten eines Schweizers mit Wohnsitz in Berlin dagegen schon. Für die Praxis zählt also der Aufenthaltsort Ihrer Zielgruppe, nicht deren Pass.

### Beispiele: Diese Schweizer Unternehmen fallen unter die DSGVO

- **Onlineshop mit EU-Versand:** Ein Shop aus Winterthur zeigt Preise in Euro an und liefert nach Deutschland und Österreich. Das ist ein klassisches Anbieten von Waren an Personen in der EU — die DSGVO gilt für diese Verarbeitungen.
- **Hotel mit EU-Gästen im Visier:** Ein Hotel im Berner Oberland bewirbt seine Zimmer auf deutschen Buchungsplattformen und schaltet Google-Anzeigen für Suchende in Deutschland. Die Buchungsdaten dieser Gäste unterliegen der DSGVO.
- **Website mit EU-Tracking:** Ein Schweizer Software-Anbieter setzt Analyse- und Remarketing-Tools ein, die das Verhalten von Besucherinnen und Besuchern aus der EU aufzeichnen und für Werbung auswerten. Das ist Verhaltensbeobachtung im Sinne von Artikel 3 Absatz 2 — die DSGVO greift.
- **Agentur mit EU-Kunden:** Eine Webagentur aus Basel betreut aktiv Kunden in Süddeutschland und verarbeitet deren Kundendaten. Auch hier ist die DSGVO Teil des Pflichtenhefts.

### Gegenbeispiele: Hier gilt nur das Schweizer Datenschutzgesetz

- **Lokales Gewerbe:** Eine Schreinerei in Aarau mit rein regionaler Kundschaft, Preisen in Franken und ohne Werbung im Ausland fällt nicht unter die DSGVO — auch wenn ihre Website aus München abrufbar ist.
- **Zufällige Einzelbestellung:** Bestellt ausnahmsweise eine Person aus Deutschland bei einem Schweizer Anbieter, der den EU-Markt nicht aktiv anspricht, entsteht daraus noch keine DSGVO-Pflicht. Es fehlt am Ausrichten auf den EU-Markt.
- **Binnenorientierte Dienstleister:** Eine Treuhandfirma, die ausschliesslich Schweizer Mandate betreut und keine EU-Personen trackt, bleibt beim Datenschutzgesetz (DSG).

Die ehrliche Praxis-Frage lautet also nicht «Ist meine Website aus der EU erreichbar?», sondern: **«Spreche ich Personen in der EU gezielt an — oder beobachte ich ihr Verhalten?»** Wer eine der beiden Fragen mit Ja beantwortet, sollte die DSGVO ernst nehmen.

## Wie erfülle ich DSGVO und DSG gleichzeitig?

Die kurze Antwort: Wer die strengere DSGVO sauber umsetzt, deckt das Schweizer Datenschutzgesetz in fast allen Punkten automatisch mit ab. Schweizer Unternehmen mit EU-Bezug fahren deshalb am besten zweigleisig mit einem Setup — dem DSGVO-Standard.

Der wichtigste konzeptionelle Unterschied liegt im Rechtsgrundlagenprinzip. Die DSGVO folgt einem **Verbot mit Erlaubnisvorbehalt**: Jede Verarbeitung von Personendaten ist verboten, ausser eine Rechtsgrundlage nach Artikel 6 erlaubt sie — etwa Einwilligung, Vertragserfüllung oder berechtigtes Interesse. Das Datenschutzgesetz (DSG) denkt umgekehrt: Die Bearbeitung ist grundsätzlich erlaubt, solange sie die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt. Für die Praxis heisst das: Unter der DSGVO müssen Sie für jede Verarbeitung begründen und dokumentieren können, **warum** Sie sie vornehmen dürfen.

Auch bei der Einwilligung ist die DSGVO formaler. Sie verlangt eine freiwillige, informierte, unmissverständliche und dokumentierte Zustimmung, die jederzeit widerrufbar ist. Das DSG verlangt eine ausdrückliche Einwilligung nur in bestimmten Fällen, etwa bei besonders schützenswerten Personendaten oder Profiling mit hohem Risiko.

Ein Beispiel macht den Unterschied greifbar: Ein Newsletter stützt sich unter der DSGVO auf die Einwilligung der Empfängerinnen und Empfänger — sie muss vor dem ersten Versand vorliegen und jederzeit nachweisbar sein. Unter dem DSG genügt in vielen Konstellationen, dass die Empfänger den Versand aus dem Kontext erkennen konnten und sich abmelden können.

Am deutlichsten unterscheiden sich die Sanktionen. Die DSGVO droht mit Bussen bis **20 Millionen Euro oder 4 Prozent des weltweiten Konzernumsatzes** — gerichtet gegen das Unternehmen. Das DSG sieht Bussen bis **CHF 250'000** vor — gerichtet gegen die verantwortliche natürliche Person, typischerweise die Geschäftsleitung. Zwei völlig verschiedene Logiken, die beide unangenehm werden können.

Die Details zum Schweizer Recht finden Sie im Ratgeber [Datenschutzgesetz (DSG)](/dsg); den direkten Vergleich der beiden Regelwerke im Beitrag [DSG vs. DSGVO: die wichtigsten Unterschiede](/blog/dsg-vs-dsgvo-unterschiede).

## Brauche ich einen EU-Vertreter?

Wenn die DSGVO über das Marktortprinzip für Sie gilt und Sie keine Niederlassung in der EU haben: grundsätzlich ja. Artikel 27 der DSGVO verpflichtet Unternehmen ausserhalb der EU, schriftlich einen Vertreter in einem EU-Mitgliedstaat zu benennen — vorzugsweise dort, wo sich die betroffenen Personen befinden.

Es gibt eine Ausnahme, und sie ist für kleine Unternehmen relevant: Die Vertretungspflicht entfällt, wenn die Verarbeitung nur **gelegentlich** erfolgt, keine umfangreiche Verarbeitung besonders schützenswerter Daten umfasst und voraussichtlich **kein Risiko** für die Rechte der betroffenen Personen mit sich bringt. Ein Schweizer B2B-Dienstleister, der sporadisch mit einzelnen EU-Kontakten korrespondiert, braucht keinen Vertreter. Ein Onlineshop, der laufend Bestellungen aus Deutschland abwickelt, verarbeitet dagegen regelmässig EU-Kundendaten — er fällt in aller Regel unter die Pflicht.

Was der EU-Vertreter konkret tut: Er dient EU-Aufsichtsbehörden und betroffenen Personen als Anlaufstelle, hält eine Kopie des Verarbeitungsverzeichnisses bereit und muss in der Datenschutzerklärung mit Namen und Kontaktdaten genannt werden. Er haftet nicht anstelle des Unternehmens, sondern funktioniert als Briefkasten mit Pflichten. In der Praxis übernehmen das spezialisierte Dienstleister für einige hundert Euro pro Jahr — deutlich günstiger, als eine eigene EU-Gesellschaft zu gründen.

Nicht zu verwechseln ist der EU-Vertreter mit der Schweizer Vertretungspflicht: Das Datenschutzgesetz verlangt spiegelbildlich von ausländischen Unternehmen, die in grossem Umfang Daten von Personen in der Schweiz bearbeiten, unter bestimmten Voraussetzungen eine Vertretung in der Schweiz. Schweizer Unternehmen betrifft diese zweite Pflicht nicht — für sie ist höchstens der Vertreter in der EU ein Thema.

## Brauche ich einen Datenschutzbeauftragten?

Für die meisten Schweizer KMU lautet die Antwort: nein. Artikel 37 der DSGVO verlangt einen Datenschutzbeauftragten nur in drei Fällen: bei Behörden und öffentlichen Stellen, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen, regelmässigen und systematischen Überwachung von Personen besteht, oder wenn die Kerntätigkeit die umfangreiche Verarbeitung besonders schützenswerter Daten umfasst — etwa Gesundheitsdaten.

Entscheidend ist das Wort **Kerntätigkeit**. Dass ein Unternehmen eine Kundendatenbank führt, Newsletter versendet oder Web-Statistiken auswertet, macht die Datenverarbeitung noch nicht zur Kerntätigkeit. Ein Werbenetzwerk, das vom Tracking lebt, oder eine Klinikgruppe, die Patientendaten in grossem Stil verarbeitet, erfüllt die Kriterien — ein Architekturbüro oder ein Onlineshop mit normalem Kundenstamm nicht.

Freiwillig einen Datenschutzverantwortlichen zu benennen, ist trotzdem oft sinnvoll: eine definierte Person, bei der Auskunftsbegehren, Löschanfragen und Datenpannen zusammenlaufen. Das Schweizer Recht kennt dafür die freiwillige Datenschutzberaterin beziehungsweise den Datenschutzberater — die Rolle lässt sich mit derselben Person besetzen.

## Was gilt für Cookies und Einwilligung unter der DSGVO?

Unter der DSGVO gilt für nicht notwendige Cookies ein klares Opt-in: Die Einwilligung muss **vor** dem Setzen der Cookies aktiv erteilt werden. Grundlage ist das Zusammenspiel der europäischen ePrivacy-Richtlinie (der EU-Richtlinie über den Datenschutz in der elektronischen Kommunikation) mit dem Einwilligungsstandard der DSGVO. Vorangekreuzte Kästchen, blosse Weiter-surfen-Hinweise oder Banner ohne echte Ablehnen-Option genügen nicht — das hat der Europäische Gerichtshof mehrfach bestätigt.

Damit ist die EU strenger als die Schweizer Praxis. Das Schweizer Fernmelderecht erlaubt Cookies grundsätzlich, wenn die Nutzer informiert werden und widersprechen können — ein Opt-out-Modell. Ein Banner, das für den Schweizer Markt genügt, kann für Besucherinnen und Besucher aus der EU deshalb zu wenig sein. Dass diese Regeln durchgesetzt werden, ist keine Theorie: EU-Aufsichtsbehörden prüfen Cookie-Banner inzwischen systematisch, und mehrere prominente Bussen der letzten Jahre betrafen genau diesen Punkt — fehlende Ablehnen-Buttons und erschwerten Widerruf. Welche Regeln wann gelten und wie ein sauberes Banner aussieht, zeigt der Ratgeber [Cookie-Banner-Pflicht in der Schweiz](/cookie-banner-pflicht).

Dazu kommt eine praktische Verschärfung ausserhalb des Gesetzes: Wer Google-Werbeprodukte für Zielgruppen im Europäischen Wirtschaftsraum nutzt, muss seit März 2024 den **Google Consent Mode V2** einsetzen — einen Mechanismus, der den Einwilligungsstatus der Besucher an Google übermittelt. Ohne ihn gehen Messdaten und Remarketing-Funktionen verloren. Was das konkret bedeutet, erklärt der Beitrag [Google Consent Mode V2 für Schweizer Websites](/blog/google-consent-mode-v2-schweiz).

Die pragmatische Linie für Schweizer Unternehmen mit EU-Bezug: ein einheitliches Einwilligungs-Banner nach DSGVO-Standard für alle Besucher. Das erfüllt automatisch auch die Schweizer Anforderungen und erspart die fehleranfällige Unterscheidung nach Herkunftsland.

## Wie funktioniert die Datenübermittlung zwischen der Schweiz und der EU?

Die gute Nachricht zuerst: Personendaten dürfen zwischen der Schweiz und der EU in beide Richtungen frei fliessen. Die EU-Kommission anerkennt die Schweiz seit dem Jahr 2000 per [Angemessenheitsbeschluss](https://eur-lex.europa.eu/eli/dec/2000/518/oj) als Drittland mit angemessenem Datenschutzniveau; bei der Überprüfung im Januar 2024 hat sie diese Einstufung bestätigt. EU-Unternehmen dürfen Personendaten deshalb ohne zusätzliche Garantien wie Standardvertragsklauseln an Schweizer Empfänger übermitteln.

Umgekehrt gilt dasselbe: Der Bundesrat führt die EU- und EWR-Staaten auf der Schweizer Angemessenheitsliste (Anhang 1 der Datenschutzverordnung). Schweizer Unternehmen dürfen Personendaten also ohne Zusatzaufwand an Empfänger in der EU weitergeben.

Ein Punkt bleibt trotzdem Pflicht: Wer Dienstleister mit der Datenverarbeitung beauftragt — Hosting, Newsletter-Tool, Buchhaltungssoftware —, braucht mit jedem dieser Auftragsverarbeiter einen **Auftragsverarbeitungsvertrag (AVV)**. Das verlangen DSGVO und Datenschutzgesetz gleichermassen, unabhängig davon, wo der Dienstleister sitzt. Wie ein solcher Vertrag aussieht, zeigt der Beitrag [Auftragsverarbeitungsvertrag (AVV) für Schweizer Unternehmen](/blog/auftragsverarbeitungsvertrag-avv-schweiz).

## Was gehört auf die DSGVO-Checkliste für Schweizer Unternehmen?

Wenn die DSGVO für Ihr Unternehmen gilt, führen diese zehn Punkte in sinnvoller Reihenfolge zur Konformität:

1. **Anwendbarkeit klären:** Richten Sie Waren oder Dienstleistungen erkennbar auf Personen in der EU aus — oder beobachten Sie deren Verhalten? Halten Sie die Einschätzung schriftlich fest.
2. **Verarbeitungsverzeichnis erstellen:** Dokumentieren Sie, welche Personendaten Sie zu welchem Zweck verarbeiten, wer Zugriff hat und wie lange gespeichert wird.
3. **Rechtsgrundlagen zuordnen:** Bestimmen Sie für jede Verarbeitung die passende Grundlage nach Artikel 6 — Einwilligung, Vertrag, gesetzliche Pflicht oder berechtigtes Interesse.
4. **Datenschutzerklärung aktualisieren:** Ergänzen Sie die Pflichtangaben der Artikel 13 und 14 — inklusive Rechtsgrundlagen, Speicherdauern, Beschwerderecht und gegebenenfalls EU-Vertreter.
5. **Cookie-Banner auf Opt-in umstellen:** Aktive Einwilligung vor dem Setzen nicht notwendiger Cookies, mit gleichwertiger Ablehnen-Option und dokumentierten Entscheiden.
6. **EU-Vertreter prüfen und bestellen:** Wenn keine Ausnahme nach Artikel 27 greift, benennen Sie schriftlich einen Vertreter in der EU und nennen Sie ihn in der Datenschutzerklärung.
7. **Auftragsverarbeitungsverträge abschliessen:** Mit jedem Dienstleister, der in Ihrem Auftrag Personendaten verarbeitet — vom Hoster bis zum Newsletter-Tool.
8. **Prozess für Betroffenenrechte einrichten:** Auskunfts-, Berichtigungs- und Löschbegehren müssen innerhalb eines Monats beantwortet werden. Definieren Sie eine zuständige Person und eine Vorlage.
9. **Meldeprozess für Datenpannen definieren:** Verletzungen der Datensicherheit müssen der zuständigen Aufsichtsbehörde binnen 72 Stunden gemeldet werden — das gelingt nur mit vorbereitetem Ablauf.
10. **Team sensibilisieren:** Legen Sie fest, wer für Datenschutz zuständig ist, und schulen Sie die Mitarbeitenden, die täglich mit Personendaten arbeiten.

Wer diese Liste abarbeitet, erfüllt nebenbei auch die Kernpflichten des Schweizer Datenschutzgesetzes — der Zusatzaufwand für die reine DSG-Konformität ist danach minimal.

## Wie hilft Aiara bei der DSGVO-Umsetzung?

Aiara ist für genau diese Schweizer Doppelwelt gebaut. Die generierte Datenschutzerklärung deckt das Datenschutzgesetz und die DSGVO in einem Dokument ab — auf Deutsch, Französisch, Italienisch und Englisch. Das Cookie-Banner arbeitet nach dem strengeren DSGVO-Standard mit dokumentierter Einwilligung und unterstützt den Google Consent Mode V2. So konfigurieren Sie einmal und erfüllen beide Regelwerke, ohne zwei Systeme zu pflegen.

---

# Google Analytics erst nach der Einwilligung laden, ohne eine Zeile Code

Quelle: https://www.aiara.ch/blog/analytics-nach-einwilligung-laden
Veröffentlicht: 2026-09-07

Ein Tracking-Skript darf erst laufen, wenn der Besucher zugestimmt hat. Über diesen Satz besteht Einigkeit, vom EDÖB-Leitfaden bis zur DSGVO. Uneinigkeit besteht darüber, wie man ihn umsetzt, ohne einen Entwickler zu beschäftigen.

Ab sofort tragen Sie in Aiara nur noch Ihre Mess-ID ein. Den Rest übernimmt der Banner.

## Warum das bisher Handarbeit war

Ein Cookie-Banner kann Skripte nur blockieren, die er als blockierbar erkennt. Der übliche Weg dafür sieht so aus:

```html
<script type="text/plain" data-cookie-category="analytics" src="..."></script>
```

Das `type="text/plain"` sorgt dafür, dass der Browser das Skript nicht ausführt. Nach der Einwilligung tauscht der Banner den Typ und lädt es nach. Technisch sauber, praktisch eine Hürde: Sie brauchen Zugriff auf das Seitentemplate, müssen wissen, wo das Skript steht, und dürfen sich beim Umschreiben nicht vertippen.

Wer die Mess-ID von seiner Agentur bekommt, kann damit nichts anfangen. Wer sein Content-Management-System nur über die Oberfläche bedient, kommt an die Stelle gar nicht heran. Und wer es doch versucht, merkt einen Fehler oft erst Wochen später, wenn die Zahlen fehlen.

Das war die Lücke: Aiara verwaltete die Einwilligung, aber nicht das, was von ihr abhängt.

## Was jetzt geht

Im Dashboard gibt es pro Domain den Tab **Tags**. Dort wählen Sie den Dienst, tragen Ihre Kennung ein, bestätigen die Kategorie und speichern. Der Banner spielt den Dienst von da an aus, sobald der Besucher der zugeordneten Kategorie zustimmt, und vorher nicht.

Kein Eingriff in den Quelltext. Keine Zeile Code.

## Diese Dienste sind vorbereitet

Für die folgenden acht Dienste genügt die Kennung. Aiara baut daraus das vollständige Skript, in der Form, die der Anbieter vorgibt:

| Dienst | Was Sie eintragen | Übliche Kategorie |
|---|---|---|
| **Google Analytics 4** | Mess-ID, etwa `G-ABC1234567` | Statistik |
| **Google Tag Manager** | Container-ID, etwa `GTM-ABC1234` | Statistik |
| **Matomo Analytics** | Adresse Ihrer Installation und Website-ID | Statistik |
| **Meta Pixel** (Facebook und Instagram) | Pixel-ID | Marketing |
| **LinkedIn Insight Tag** | Partner-ID | Marketing |
| **Google Ads** | Conversion-ID, etwa `AW-123456789` | Marketing |
| **Hotjar** | Site-ID | Statistik |
| **Plausible Analytics** | Ihre Domain in Plausible | Statistik |

Die Kategorie ist vorbelegt, lässt sich aber ändern. Nur die Kategorie «Notwendig» steht nicht zur Auswahl: Sie gilt immer als eingewilligt, ein Tracking-Dienst hat dort nichts verloren.

## Wenn Ihr Dienst nicht dabei ist

Im **Pro-Paket** gibt es zusätzlich das Feld «Eigenes Skript». Damit binden Sie jeden Dienst ein, der nicht in der Liste steht, von einem selbst gehosteten Werkzeug bis zu einer Branchenlösung. Sie fügen den Code ein, wählen die Kategorie, und der Banner behandelt ihn wie jeden anderen Tag.

Diese Möglichkeit ist bewusst dem Pro-Paket vorbehalten und zusätzlich auf Organisations-Admins beschränkt. Beliebiges JavaScript auf einer Website ist mächtig, und wer es hinterlegen darf, sollte eine bewusste Entscheidung sein.

## In vier Schritten eingerichtet

1. Im Dashboard die Domain öffnen und auf den Tab **Tags** wechseln
2. Auf **Tag hinzufügen** klicken und den Dienst wählen
3. Die Kennung eintragen, die Ihnen der Dienst anzeigt
4. Kategorie prüfen und speichern

Nach dem Speichern meldet Aiara, wie viele Cookies des Dienstes in Ihre Cookie-Liste übernommen wurden. Bei Google Analytics sind das derzeit sieben. Das ist kein Beiwerk: Ohne diese Einträge erschiene die Kategorie gar nicht im Banner, der Besucher könnte nie zustimmen, und der Dienst bliebe stumm. Gleichzeitig stimmt damit Ihre Cookie-Deklaration in der Datenschutzerklärung.

## Drei Dinge, die Sie wissen sollten

**Der Widerruf hält nichts an, was schon läuft.** Wer seine Einwilligung zurückzieht, sieht den Dienst ab dem nächsten Seitenaufruf nicht mehr. Auf der gerade geöffneten Seite läuft er weiter, denn ein ausgeführtes Skript lässt sich nicht zurückholen. Das gilt für jede Einwilligungslösung, wird aber selten so deutlich gesagt.

**Änderungen brauchen bis zu einer Stunde.** Der Banner merkt sich Ihre Einstellungen im Browser des Besuchers, damit er nicht bei jedem Seitenaufruf nachfragen muss. Bei jemandem, der gerade erst da war, erscheint ein neuer Tag deshalb etwas später. Neue Besucher sehen ihn sofort.

**Beim Google Tag Manager ist der Einwilligungsmodus meist besser.** Wer den Container erst nach der Zustimmung lädt, nimmt allen Tags darin ihre Einwilligungssignale. Der übliche Weg ist umgekehrt: Der Container startet sofort und führt nur aus, wofür eine Zustimmung vorliegt. Aiara weist im Dialog darauf hin, und den Einwilligungsmodus schalten Sie im Tab «Integrationen» ein.

## Für Agenturen

Wer Websites für Kunden betreut, kennt die Rückfrage: «Können Sie noch schnell den Pixel einbauen?» Das war bisher ein Ticket, ein Deploy und eine Rechnungsposition. Jetzt ist es ein Feld im Dashboard, das Ihr Kunde auf Wunsch selbst ausfüllen kann.

Die Tag-Verwaltung steht in beiden Paketen zur Verfügung. Nur das freie Skript bleibt Pro vorbehalten.

## Was das im Ergebnis heisst

Die Einwilligung und das, was von ihr abhängt, gehören zusammen. Sie an zwei Orten zu pflegen, einmal im Banner und einmal im Quelltext, war immer eine Fehlerquelle. Jetzt liegt beides an einem Ort, und wer die Einwilligung verwaltet, verwaltet auch die Dienste.

[Tag-Verwaltung im Dashboard ansehen](/pricing)

## Häufige Fragen

### Wie lade ich Google Analytics erst nach der Einwilligung?

In Aiara tragen Sie im Tab «Tags» Ihre Mess-ID ein, etwa G-ABC1234567, und wählen die Kategorie Statistik. Das war es. Der Banner spielt das Skript erst aus, wenn der Besucher dieser Kategorie zustimmt. Sie müssen weder das Seitentemplate anfassen noch ein Skript umschreiben.

### Welche Dienste kann ich in Aiara hinterlegen?

Vorbereitet sind Google Analytics 4, Google Tag Manager, Matomo, Meta Pixel, LinkedIn Insight Tag, Google Ads, Hotjar und Plausible. Bei jedem geben Sie nur die Kennung ein, den Rest baut Aiara. Im Pro-Paket kommt ein Feld für ein eigenes Skript dazu, damit auch seltene Dienste abgedeckt sind.

### Brauche ich dafür einen Entwickler?

Nein, und genau das ist der Punkt. Sie brauchen die Mess-ID Ihres Dienstes und einen Zugang zum Aiara-Dashboard. Wer bisher seine Agentur bitten musste, ein Skript einzubauen, erledigt das nun selbst in unter einer Minute.

### Was passiert, wenn jemand die Einwilligung widerruft?

Ab dem nächsten Seitenaufruf bleibt der Dienst aus. Was auf der gerade offenen Seite bereits läuft, lässt sich nicht mehr anhalten: Ein ausgeführtes Skript kann man technisch nicht zurückholen. Das ist bei jeder Einwilligungslösung so, wird aber selten offen gesagt.

### Sind die Cookies des Dienstes dann auch in meiner Datenschutzerklärung?

Ja. Beim Anlegen eines Tags übernimmt Aiara die bekannten Cookies des Dienstes in Ihre Cookie-Liste, mit Anbieter, Zweck und Speicherdauer. Damit erscheinen sie sowohl im Banner als auch in der generierten Datenschutzerklärung. Ohne diesen Schritt wäre die Deklaration unvollständig.

### Was ist mit dem Google Tag Manager?

Der ist ein Sonderfall. Wer den Container erst nach der Einwilligung lädt, nimmt allen darin enthaltenen Tags ihre Einwilligungssignale. Der übliche Weg ist der Einwilligungsmodus: Der Container startet sofort, führt aber nur aus, wofür eine Zustimmung vorliegt. Aiara weist im Dialog darauf hin und bietet den Einwilligungsmodus im Tab «Integrationen» an.

### Wie schnell wirkt eine Änderung?

Bei einem neuen Besucher sofort. Wer Ihre Website in der letzten Stunde schon einmal besucht hat, sieht die Änderung etwas später: Der Banner merkt sich die Einstellungen so lange im Browser, damit er nicht bei jedem Seitenaufruf neu nachfragen muss.

---

# Wer sieht mit, wenn Sie eine Spital-Website öffnen?

Quelle: https://www.aiara.ch/blog/spital-website-datenschutz-tracking
Veröffentlicht: 2026-09-02

Am 2. September 2026 haben wir 40 Schweizer Spital-, Klinik- und Gruppen-Websites aufgerufen, so wie es jede Besucherin tut, und mitgeschnitten, welche Verbindungen der Browser dabei aufbaut. Nicht geklickt, nichts bestätigt, kein Banner weggedrückt. Nur die Seite geöffnet.

32 Websites waren erreichbar. Auf **25 davon** ging beim blossen Aufruf mindestens eine Verbindung an Google oder Meta. Auf zwei Websites blieb alles im Haus.

Der Aufruf einer Geburtsabteilung sah in der Übertragung so aus:

```
Empfänger:   region1.analytics.google.com
Adresse:     https://www.[spital].ch/geburt
Seitentitel: «Ihre Begleitung bei Schwangerschaft und Geburt»
Einwilligung: keine
```

Dazu die IP-Adresse, die bei jeder Verbindung im Internet zwangsläufig mitgeht. Google erfährt damit: Dieser Anschluss hat zu diesem Zeitpunkt diese Seite dieses Spitals aufgerufen.

Wir nennen die untersuchten Häuser nicht. Es geht hier nicht um einzelne Verfehlungen: Das Muster ist flächendeckend, und in fast allen Fällen dürfte es niemandem im Haus bewusst sein.

## Was wir gemessen haben

| Befund | Anzahl |
|---|---|
| Websites in der Stichprobe (32 erreichbar) | 40 |
| Verbindung zu Google oder Meta beim blossen Aufruf | 25 von 32 |
| Detailgeprüft: Messpunkte **vor** jeder Einwilligung | 13 von 15 |
| Davon Meta-Pixel ohne Einwilligung | 6 |
| Ganz ohne Drittanbieter-Verbindung | 2 |
| Kein Consent-Werkzeug erkennbar | 17 von 32 |

Die eingesetzten Werkzeuge verteilten sich auf OneTrust (5), Cookiebot (3), CookieYes (2), Usercentrics (2) sowie je einmal Klaro, Complianz und Iubenda.

Ein Detail verdient besondere Beachtung. Bei einer Klinikgruppe stand im Aufruf an den Google-Werbeserver der Parameter `gcs=G111`. Das ist die Meldung, dass in Analyse **und** Werbung eingewilligt wurde. Es hatte niemand geklickt. Das Consent-Werkzeug war installiert, sichtbar, funktionsfähig, und es meldete Zustimmung, bevor jemand zustimmte.

Genau darum geht es in diesem Text. Das Banner ist nicht das Problem. Es ist auch nicht die Lösung.

## Warum ein Spital nicht wie ein Möbelhaus ist

Auf einer Website für Gartenmöbel ist ein Tracker eine Datenschutzfrage. Auf einer Spital-Website ist er möglicherweise etwas anderes.

Der EDÖB hat sich zu Tracking auf Gesundheits-Websites nie geäussert. Zur strukturell gleichen Frage aber sehr wohl. In seinem Merkblatt zu Patientenformularen vom **30. September 2025** steht:

> «Im Zusammenhang mit der Gesundheit kann bereits das blosse Bestehen einer Beziehung zu einer Therapeutin oder einem Therapeuten Rückschlüsse auf den Gesundheitszustand einer Person zulassen; dies gilt insbesondere für die Kommunikation mit Fachärztinnen und Fachärzten (ein Termin bei einer Onkologin zum Beispiel lässt vermuten, dass diese aufgrund einer potenziellen onkologischen Erkrankung konsultiert wird). Folglich ist auch der rein administrative Austausch (z. B. Terminvereinbarungen) als besonders schützenswert einzustufen.»

Der Gedankenschritt vom Termin bei der Onkologin zum Aufruf der Seite `/kliniken/onkologie` ist kurz. Der EDÖB ist ihn nicht gegangen, das gehört zur Redlichkeit dazu.

Andere sind ihn gegangen. Die norwegische Datenschutzbehörde entschied am **10. Juni 2025** über ein Gesundheitsportal mit Meta-Pixel und hielt fest, der Besuch der Website könne für sich allein genügen, um eine besondere Kategorie personenbezogener Daten darzustellen. Es sei nicht erforderlich, dass die Daten unmittelbar mit einem Gesundheitszustand verknüpft würden oder dass der Betreiber sie mit anderen Daten zusammenführe.

Der Europäische Gerichtshof hat in der **Lindenapotheke-Entscheidung vom 4. Oktober 2024** die Schwelle niedrig gelegt: Es genügt, dass sich aus den Daten «mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person geschlossen werden kann». Ob die Ableitung zutrifft und ob der Betreiber sie überhaupt beabsichtigt, spielt keine Rolle.

Die niederländische Aufsichtsbehörde hat das bereits 2016 für Spitäler ausbuchstabiert, nachdem sie alle 85 niederländischen Spitäler untersucht hatte: Es gehe nicht nur um die Startseite, sondern um die dahinterliegenden Seiten zu bestimmten Erkrankungen und Fachabteilungen.

**Die Gegenprobe der Fairness halber:** Ein Schweizer Gericht hat darüber nie entschieden. In ganz Europa gibt es bis heute keinen einzigen Aufsichtsentscheid gegen ein Spital wegen Google Analytics oder Meta-Pixel. Und die belgische Aufsicht hat eine vergleichbare Rüge 2022 gerade deshalb verworfen, weil die Verknüpfung zur besuchten Seite technisch nicht nachgewiesen war. Beim Spital, das die vollständige Adresse selbst mitsendet, liegt dieser Nachweis allerdings vor, und er lässt sich in jedem Browser in zwei Minuten führen.

## Die Rechtsfolge, wenn man den Schritt geht

Wer die Besuchsdaten als besonders schützenswert einstuft, landet bei einer klaren Regel. Der EDÖB schreibt in seinem Cookie-Leitfaden (Ziffer 3.10.1):

> «Für den Einsatz nicht notwendiger Cookies im Kontext von Bearbeitungen mit hoher Eingriffsintensität kann sich der Verantwortliche weder auf ein Überwiegen seines privaten Interesses noch eine optionale Ausgestaltung der Bearbeitung berufen. Vielmehr muss er vor der Durchführung derselben bei den Betroffenen eine ausdrückliche Einwilligung einholen.»

Im Risiko-Radar des Leitfadens erhält «besonders schützenswerte Personendaten: Ja» den Höchstwert 3, und ab 2,5 gilt: Opt-in obligatorisch. Artikel 6 Absatz 7 Buchstabe a DSG verlangt die ausdrückliche Einwilligung ohnehin, und Artikel 30 Absatz 2 Buchstabe c DSG nennt es ausdrücklich eine Persönlichkeitsverletzung, wenn Dritten besonders schützenswerte Personendaten bekanntgegeben werden.

Dazu kommt eine Schicht, die im Gesundheitswesen oft übersehen wird. Das **Berufsgeheimnis nach Artikel 321 StGB** schützt nach der Auslegung von SAMW und FMH nicht nur Diagnosen, sondern auch «die Identität der Patientin oder des Patienten und die Tatsache, dass sie oder er sich in ärztlicher Behandlung befindet». Verletzt ist es, sobald Geheimnisse Unbefugten bekannt werden, «unabhängig davon, auf welche Weise».

Die Datenschutzbeauftragte des Kantons Zürich wird in ihrem Merkblatt zu US-Cloud-Produkten vom Februar 2026 sehr deutlich:

> «Bei Informationen und Personendaten, die einer besonderen Geheimnispflicht unterstehen, führt die faktische Möglichkeit eines Zugriffs von US-Behörden zu einer Verletzung der entsprechenden Geheimnispflicht.»

Und weiter: «Mitarbeitende von US-Unternehmen [gelten] aufgrund der Konzernstruktur und der internationalen Vernetzung ihrer Arbeitgeber nicht als Hilfspersonen.» Auch die Randdaten seien zu schützen.

Ob das Setzen eines Trackers strafrechtlich ein «Offenbaren» ist, hat nie ein Gericht entschieden. Artikel 321 StGB verlangt Vorsatz. Das ist eine ernsthafte Hürde, aber eine, auf die sich niemand verlassen sollte, der die Entscheidung heute trifft.

## Woher die Anbieter kommen, und warum das die falsche Frage ist

Es hält sich hartnäckig, die grossen Consent-Anbieter seien allesamt aussereuropäisch. Das stimmt so nicht. Wir haben die Rechtsträger anhand von Impressen, Handelsregistern und Auftragsverarbeitungsverträgen geprüft:

| Anbieter | Rechtsträger | Sitz | Eigentümer |
|---|---|---|---|
| **Cookiebot** | Usercentrics A/S | Kopenhagen, DK | Teil der Usercentrics-Gruppe (Fusion mit Cybot A/S, 2021) |
| **Usercentrics** | Usercentrics GmbH | München, DE | Privat gehalten, Investoren u. a. Full In Partners (New York) |
| **CookieYes** | CookieYes Limited | Milton Keynes, UK | Zwei Privatpersonen; Produkt der Mozilor-Gruppe, Kochi (Indien) |
| **OneTrust** | OT Technology, Inc. | Atlanta, USA | Privat, Investoren u. a. Insight Partners, TCV, SoftBank |

Zwei der vier sitzen also in der EU. Wer mit «die sind ja gar nicht in Europa» argumentiert, argumentiert falsch.

Die aufschlussreichere Frage lautet: **Welchen Weg nehmen die Besucherdaten?** Und da wird es interessant, denn die Antwort steht in den Unterlagen der Anbieter selbst.

Cookiebot schreibt in seiner eigenen Support-Dokumentation:

> «Cookiebot uses Akamai, a US based company, as our CDN sub service provider. […] However, the way the Internet works, it cannot be avoided that Akamai will receive and log certain information about the Internet connection, **including end user IP addresses**.»

Deshalb gibt es eine rein europäische Variante, die man aber aktiv einschalten muss, indem man im Skript-Tag `consent.cookiebot.com` durch `consent.cookiebot.eu` ersetzt. Cookiebot beschreibt die Wahl mit bemerkenswerter Offenheit als «a conscious choice on your part of compliance over performance». Der Standardweg führt über die USA. Wir haben das nachgemessen: `consent.cookiebot.com` löst über Akamai auf, `consent.cookiebot.eu` über einen Knoten in Zürich.

Bei den übrigen sieht es so aus:

- **CookieYes** nennt in seiner Unterauftragsverarbeiter-Liste Cloudflare mit Sitz USA und den Datenkategorien «IP address, User agent, Hostname». Die eigene Dokumentation spricht von einer maskierten IP-Adresse; wie maskiert wird, steht in keiner auffindbaren Quelle. Der Support läuft über Mozilor Technologies in Indien. **Indien steht nicht auf der Länderliste des Bundesrats** (Anhang 1 der Datenschutzverordnung), womit eine Bekanntgabe dorthin zwingend zusätzliche Garantien nach Artikel 16 Absatz 2 DSG braucht.
- **Usercentrics** hält die Kette für die Consent-Verwaltung europäisch (Hosting Google Cloud Dublin, CDN aus Slowenien), räumt in der eigenen Datenschutzerklärung aber ein, man könne nicht ausschliessen, dass Daten in die USA gelangen und dort Behördenzugriff nach FISA 702 unterliegen.
- **OneTrust** ist der einzige mit US-Muttergesellschaft und zugleich der einzige mit einem wählbaren Azure-Rechenzentrum in Zürich und einer aktiven Zertifizierung unter dem Swiss-US Data Privacy Framework. Ob die Besucher-IP im Einwilligungsprotokoll gespeichert, gekürzt oder gehasht wird, sagt OneTrust in keiner öffentlichen Quelle.

Anders gesagt: Der dänische Anbieter schickt im Standardfall IP-Adressen über einen US-Konzern, und der amerikanische Anbieter kann in Zürich hosten. **Der Firmensitz ist kein Prüfkriterium. Der Datenweg ist eines.**

Ein verbreiteter Irrtum sei hier ausgeräumt: Es heisst gelegentlich, Cookiebot sei behördlich verboten worden. Das Verwaltungsgericht Wiesbaden hat einer Hochschule 2021 tatsächlich die Einbindung untersagt. Der Hessische Verwaltungsgerichtshof hat diesen Beschluss im Januar 2022 wieder aufgehoben, aus verfahrensrechtlichen Gründen. Ein Hauptsacheverfahren dazu ist nicht bekannt. Die Aussage «verboten» ist falsch.

## Öffentliche Spitäler stehen anders da, nämlich strenger

Hier ein Punkt, der in Diskussionen fast immer untergeht. Für **öffentliche** Spitäler gilt nicht das DSG des Bundes, sondern kantonales Datenschutzrecht. Der EDÖB stellt das selbst klar: Kantonsspitäler seien von seinen Bundes-Merkblättern «nicht direkt betroffen».

Und die Kantone sind teilweise deutlich strenger. Die Datenschutzbeauftragte des Kantons Zürich schreibt in ihrem Merkblatt zu Datenschutzerklärungen auf Websites öffentlicher Organe (Oktober 2025):

> «Öffentliche Organe gestalten ihren Internetauftritt datenschutzkonform und verzichten auf personenbezogene Auswertungen des Nutzerverhaltens. Daher sind Datenschutzerklärungen, Banner, Pop-ups und andere Mechanismen nicht erforderlich.»

Und ausdrücklich: «Es sind keine Mechanismen einzusetzen, die den Nutzenden eine fiktive Einwilligung vorspiegeln.»

Die Logik dahinter ist zwingend: Im öffentlichen Datenschutzrecht ist die Einwilligung kein allgemeiner Rechtfertigungsgrund. Massgebend sind gesetzliche Aufgabe und Erforderlichkeit. Ein Kantonsspital, das ein handelsübliches Einwilligungsbanner einsetzt, macht damit zwei Fehler auf einmal: Es trackt ohne Erforderlichkeit, und es fragt nach einer Einwilligung, die es rechtlich gar nicht entgegennehmen kann. Als zulässige Alternative nennt die Behörde ausdrücklich anonymisierende Werkzeuge wie Matomo oder AWStats.

Für private Kliniken, Praxen und Spitalgruppen gilt das nicht. Sie unterstehen dem DSG und damit dem Weg über die ausdrückliche Einwilligung.

## Was ein Haus konkret prüfen sollte

1. **Selbst nachmessen.** Rechtsklick, «Untersuchen», Reiter «Netzwerk», Seite neu laden, und zwar vor jedem Klick auf das Banner. Was jetzt schon an `google-analytics.com`, `facebook.net` oder `doubleclick.net` geht, geht ohne Einwilligung. Das dauert zwei Minuten und braucht kein Budget.
2. **Die heiklen Unterseiten zuerst.** Onkologie, Psychiatrie, Kinderwunsch, Suchtmedizin, Geburtshilfe. Dort ist der Seitenpfad selbst die Information.
3. **Unterauftragsverarbeiter-Liste verlangen.** Nicht den Firmensitz. Die Liste, mit Verarbeitungsorten. Bei Cookiebot zusätzlich klären, ob die europäische Variante aktiv ist. Sie ist es standardmässig nicht.
4. **Prüfen, ob das Werkzeug wirklich blockiert.** Ein Banner, das die Skripte erst nach der Einwilligung freigibt, ist etwas völlig anderes als eines, das nur fragt und alles laufen lässt.
5. **Das Berufsgeheimnis mitdenken.** Es ist eine eigene Rechtsschicht, keine Fussnote des Datenschutzrechts, und Artikel 9 Absatz 1 Buchstabe b DSG verbietet die Auslagerung ausdrücklich dort, wo eine Geheimhaltungspflicht entgegensteht.

## Der Massstab liegt bereits vor

Für die Inhalte des elektronischen Patientendossiers hat der Gesetzgeber eine unmissverständliche Regel aufgestellt. Artikel 12 Absatz 5 der Verordnung über das elektronische Patientendossier:

> «Die Datenspeicher müssen sich in der Schweiz befinden und dem Schweizer Recht unterstehen.»

Für die Besucherdaten derselben Institution auf ihrer eigenen Website gilt dieser Satz nicht. Das ist geltendes Recht und keine Lücke, die man wegdiskutieren sollte. Aber es ist ein Wertungsmassstab, den der Gesetzgeber selbst gesetzt hat. Wer die Adresse der Onkologie-Seite eines Spitals kennt, weiss über den Besucher womöglich mehr als mancher Eintrag im Dossier verrät.

---

*Aiara ist ein Schweizer Anbieter für Cookie-Banner und Rechtstexte. Unsere Anwendung läuft auf Servern in St. Gallen; das Banner-Skript lädt ausschliesslich von aiara.ch und kontaktiert keine Drittanbieter. Im Einwilligungsprotokoll speichern wir die IP-Adresse nicht im Klartext, sondern nur einen gesalzenen SHA-256-Hashwert. Dass wir dieses Thema aufgreifen, hat mit unserem Geschäft zu tun. Die Messwerte oben kann trotzdem jede und jeder in zwei Minuten selbst nachvollziehen, und genau dazu möchten wir einladen.*

**Methodik:** Aufgerufen am 2. September 2026 aus der Schweiz, je Website ein Seitenaufruf mit einem frischen Browserprofil, ohne Interaktion mit dem Einwilligungsbanner, Chromium 148, Sprache de-CH. Erfasst wurden alle ausgehenden Netzwerkanfragen. Als «Messpunkt» gewertet wurden ausschliesslich Aufrufe an bekannte Mess- und Werbeendpunkte, nicht das blosse Laden einer Bibliothek. Fünf Adressen waren nicht auflösbar, drei antworteten nicht innert 30 Sekunden.

## Häufige Fragen

### Sind Besuchsdaten einer Spital-Website Gesundheitsdaten?

Die Frage ist in der Schweiz nicht abschliessend entschieden. Der EDÖB hat sie für Websites nicht beantwortet, hält aber in seinem Merkblatt vom 30. September 2025 fest, dass bereits ein Termin bei einer Onkologin auf eine mögliche Erkrankung schliessen lässt und deshalb selbst der administrative Austausch besonders schützenswert ist. Die norwegische Datenschutzbehörde entschied am 10. Juni 2025, der blosse Besuch einer Gesundheits-Website könne für sich allein eine besondere Datenkategorie darstellen. Der EuGH verlangt in der Lindenapotheke-Entscheidung nur, dass sich der Gesundheitszustand durch gedankliche Kombination erschliessen lässt.

### Welche Einwilligung braucht es dann?

Der EDÖB stuft Cookie-Einsätze im Zusammenhang mit besonders schützenswerten Personendaten als Bearbeitung mit hoher Eingriffsintensität ein. In seinem Cookie-Leitfaden hält er fest, dass sich der Verantwortliche dabei weder auf ein überwiegendes eigenes Interesse noch auf eine optionale Ausgestaltung berufen kann: Er muss vorher eine ausdrückliche Einwilligung einholen. Artikel 6 Absatz 7 Buchstabe a DSG verlangt für besonders schützenswerte Daten ohnehin die ausdrückliche Einwilligung.

### Gilt für ein Kantonsspital dasselbe Recht wie für eine Privatklinik?

Nein. Öffentliche Spitäler unterstehen dem kantonalen Datenschutzrecht, nicht dem DSG des Bundes; der EDÖB sagt das selbst. Die Datenschutzbeauftragte des Kantons Zürich geht weiter als der Bund: Öffentliche Organe sollen auf personenbezogene Auswertung des Nutzerverhaltens ganz verzichten, und damit auch auf Einwilligungsbanner, weil ein Banner eine Einwilligung vorspiegelt, die im öffentlichen Recht gar kein tauglicher Rechtfertigungsgrund ist.

### Woher kommen die verbreiteten Consent-Anbieter?

Cookiebot gehört zur Usercentrics A/S mit Sitz in Kopenhagen, Usercentrics ist eine GmbH in München. Beide sitzen also in der EU. CookieYes Limited sitzt in Milton Keynes im Vereinigten Königreich und gehört zwei Privatpersonen; das Produkt stammt aus der indischen Mozilor-Gruppe in Kochi. OneTrust ist als OT Technology, Inc. in Atlanta ansässig. Der Sitz allein sagt allerdings wenig darüber aus, welchen Weg die Besucherdaten nehmen.

### Was ist der wichtigste Prüfpunkt für ein Spital?

Nicht der Firmensitz des Anbieters, sondern der tatsächliche Datenweg. Cookiebot etwa schreibt selbst, dass im Standardsetup der US-Dienstleister Akamai Besucher-IP-Adressen empfängt und protokolliert, und bietet eine rein europäische Variante an, die man aktiv wählen muss. Ein Spital sollte die Unterauftragsverarbeiter-Liste verlangen, den Datenweg im Browser nachmessen und prüfen, ob das Werkzeug die Tracker vor der Einwilligung tatsächlich blockiert.

### Reicht ein Consent-Banner, um das Problem zu lösen?

Nein. Unsere Messung zeigt das Gegenteil: Auf mehreren Websites war ein Consent-Werkzeug installiert, und die Tracker feuerten trotzdem vor jeder Einwilligung. Bei einer Klinikgruppe meldete die Seite dem Google-Server sogar ausdrücklich, es sei in Analyse und Werbung eingewilligt worden, obwohl niemand geklickt hatte. Ein Banner ist eine Bedienoberfläche; wirksam wird es erst, wenn es die Skripte auch tatsächlich zurückhält.

---

# Was darf ein Cookie-Banner kosten? Der ehrliche Preisvergleich

Quelle: https://www.aiara.ch/blog/cookie-banner-kosten-vergleich
Veröffentlicht: 2026-08-28

«Für einen Cookie-Banner? So viel?» — diesen Satz hören wir gelegentlich, und er verdient eine ehrliche Antwort statt einer Verkaufsfloskel. Denn die Frage ist berechtigt: Auf den ersten Blick blendet ein Cookie-Banner ein Fenster ein und speichert einen Klick. Dafür CHF 120 bis 240 im Jahr? In diesem Beitrag rechnen wir offen vor, was Cookie-Compliance am Markt kostet, was Gratis-Lösungen leisten — und wo eine Jahresgebühr im Verhältnis zum Risiko steht.

## Der Denkfehler: Ein Banner ist kein Banner

Wer Preise vergleicht, muss zuerst klären, was verglichen wird. «Cookie-Banner» steht umgangssprachlich für zwei sehr unterschiedliche Dinge:

**Das Fenster.** Ein Hinweis mit zwei Knöpfen. Das können Gratis-Plugins, und dafür wäre jeder Franken zu viel.

**Die Compliance dahinter.** Damit das Fenster rechtlich etwas wert ist, braucht es mehr: Die Website muss wissen, welche Cookies und Dienste sie überhaupt setzt (Scanner). Nicht notwendige Cookies müssen blockiert bleiben, bis die Einwilligung vorliegt. Die Einwilligung muss beweisbar protokolliert werden — im Streitfall müssen Sie belegen können, wer wann wozu Ja gesagt hat. Die Datenschutzerklärung muss die tatsächlich eingesetzten Dienste nennen und aktuell bleiben, wenn sich Gesetze oder Ihre Website ändern. Und Google verlangt seit 2024 den Consent Mode V2, sonst verlieren Sie Ihre Werbe- und Analysedaten.

Der Preisunterschied zwischen «gratis» und «kostenpflichtig» ist fast immer der Unterschied zwischen diesen beiden Ebenen.

## Was die bekannten Anbieter verlangen

Alle Angaben sind Listenpreise der Anbieter, Stand August 2026, bei jährlicher Abrechnung — Details ändern sich, die Grössenordnungen sind stabil.

| Anbieter | Preis pro Domain | Modell | Rechtstexte inklusive? |
|---|---|---|---|
| **Cookiebot (Usercentrics)** | ca. EUR 360–1'080/Jahr | nach Anzahl Unterseiten | Nein |
| **CookieYes** | ca. USD 100–550/Jahr | nach Seitenaufrufen und Funktionsstufe | Nein |
| **Borlabs Cookie** (nur WordPress) | ab EUR 29/Jahr | Plugin-Lizenz | Nein |
| **OneTrust** | auf Anfrage (Enterprise) | individuell | Nein |
| **Aiara Basic** | CHF 120/Jahr | pauschal, ohne Limits bei Seitenaufrufen | **Ja, in 4 Sprachen** |
| **Aiara Pro** | CHF 240/Jahr | pauschal, ohne Limits bei Seitenaufrufen | **Ja, in 4 Sprachen** |

Drei Dinge fallen auf:

**Erstens: Die grossen internationalen Anbieter sind teurer — teils deutlich.** Cookiebot hat seine Basispreise im Sommer 2025 verdoppelt; eine mittelgrosse Website zahlt dort heute rund EUR 360 bis 1'080 pro Jahr und Domain. Bei CookieYes kostet allein das Entfernen des Anbieter-Logos aus dem Banner USD 55 pro Monat — mehr als das Doppelte eines ganzen Aiara-Pro-Jahres.

**Zweitens: Die Abrechnungsmodelle bestrafen Erfolg.** Nach Unterseiten oder Seitenaufrufen abgerechnet heisst: Wächst Ihre Website oder läuft eine Kampagne gut, steigt die Rechnung — bei CookieYes etwa mit einem Aufpreis je 1'000 zusätzlichen Seitenaufrufen. Aiara kostet pauschal pro Domain und Jahr. Ein viraler Beitrag ändert an Ihrer Rechnung nichts.

**Drittens — und das ist der grösste versteckte Posten: Die Datenschutzerklärung ist fast nie dabei.** Cookiebot und CookieYes liefern eine Cookie-Tabelle, aber keine vollständige Datenschutzerklärung und kein Impressum. Die kaufen Sie separat ein — bei einem Textgenerator für zusätzlich rund EUR 100 pro Jahr, oder beim Anwalt ab mehreren hundert Franken, plus Aktualisierungen. Bei Aiara sind Datenschutzerklärung und Impressum in vier Sprachen enthalten und wachsen mit: Ergänzt der Scanner einen neuen Dienst, steht er auch in der Erklärung.

## Und die Gratis-Plugins?

Ja, es gibt sie, und wir reden sie nicht schlecht: Für eine reine Visitenkarten-Website ohne Statistik, ohne Werbung, ohne eingebettete Videos kann ein kostenloses Banner-Plugin genügen — sofern jemand die Rechtstexte separat pflegt.

Nur: Genau davon hängt es ab, wie Sie im Eingangsbeispiel richtig sagen würden — es kommt darauf an, **welche Cookies die Website tatsächlich setzt**. Und das wissen die wenigsten auswendig. Ein Theme lädt Google Fonts, das Kontaktformular einen Spam-Schutz, der Webdesigner hat vor zwei Jahren ein Statistik-Snippet eingebaut, das YouTube-Video setzt Cookies, bevor irgendjemand auf Abspielen drückt. Ein Gratis-Banner *zeigt* in dieser Lage etwas an — aber er *weiss* nicht, was er blockieren müsste, er *belegt* keine Einwilligungen, und er *schreibt* keine Datenschutzerklärung.

Die ehrliche Rechnung für «gratis» lautet darum: Plugin CHF 0, plus Ihre Zeit für Cookie-Inventar und Rechtstexte, plus die Pflege bei jeder Änderung, plus das Risiko, dass etwas davon liegen bleibt. Wer seine eigene Stunde mit auch nur CHF 50 bewertet, hat den Aiara-Jahrespreis nach einem halben Arbeitstag erreicht.

## Die Gegenrechnung: Was kostet es, wenn es schiefgeht?

Zur Einordnung des Jahrespreises gehört die andere Seite der Waage. Das Schweizer Datenschutzgesetz sieht **Bussen bis CHF 250'000** vor — und zwar gegen die verantwortliche natürliche Person, nicht gegen die Firma. Wie diese Sanktionen wirklich funktionieren und wen sie treffen, haben wir [hier im Detail aufgeschrieben](/blog/datenschutz-bussen-schweiz). Richtet sich Ihr Angebot auch an Kundschaft in der EU, kommt die Datenschutz-Grundverordnung dazu, mit Sanktionen bis 20 Millionen Euro oder 4 Prozent des Umsatzes.

Wir argumentieren bewusst nicht mit Angst — die Wahrscheinlichkeit, dass eine kleine Schweizer Website morgen gebüsst wird, ist gering. Aber die Relation darf man kennen: Ein Jahr Aiara Pro kostet CHF 240. Eine einzige Stunde Anwalt kostet mehr. Ein einziger begründeter Streitfall um eine fehlende Einwilligung kostet ein Vielfaches — selbst wenn Sie ihn gewinnen.

## Wofür Sie bei Aiara tatsächlich zahlen

Der Jahrespreis ist kein Preis für ein Fenster mit zwei Knöpfen. Er enthält:

- **Cookie-Banner** mit automatischem Blockieren nicht notwendiger Dienste vor der Einwilligung, barrierefrei nach WCAG 2.1 AA
- **Cookie-Scanner**, der Ihre Website regelmässig durchsucht und neue Dienste erkennt (Basic: 20 Seiten, Pro: 600)
- **Datenschutzerklärung und Impressum** in Deutsch, Französisch, Italienisch und Englisch — aus einem Fragebogen erstellt und bei Änderungen nachgeführt
- **Einwilligungs-Protokoll** als Nachweis, revisionssicher gespeichert in der Schweiz
- **Google Consent Mode V2**, damit Werbe- und Analysedaten einwilligungskonform weiterfliessen
- **Support aus Winterthur**, auf Deutsch, von den Leuten, die das Produkt bauen

Basic (CHF 120/Jahr) deckt das Schweizer Datenschutzgesetz ab und passt für kleine Websites bis 20 Unterseiten. Pro (CHF 240/Jahr) enthält zusätzlich die volle internationale Abdeckung — Datenschutz-Grundverordnung samt EU-Vertretung, das Einwilligungs-Framework der Werbebranche (IAB TCF), USA, Brasilien und Südafrika — sowie alle Gestaltungs- und Auswertungsfunktionen. [Die vollständige Gegenüberstellung steht auf der Preisseite.](/pricing)

## Das Fazit in einem Satz

Gemessen an dem, was ein Fenster mit zwei Knöpfen wert wäre, ist jeder Cookie-Banner zu teuer — gemessen an dem, was Cookie-Compliance am Markt kostet, liegt Aiara unter den grossen Anbietern, obwohl die Rechtstexte bereits drin sind, die anderswo den grössten versteckten Posten ausmachen.

## Häufige Fragen

### Warum sollte ich zahlen, wenn es Gratis-Plugins gibt?

Ein Gratis-Plugin zeigt einen Banner an — mehr nicht. Die Datenschutzerklärung, das Impressum, die Cookie-Erkennung, die Einwilligungs-Nachweise und die Pflege bei Gesetzesänderungen bleiben Ihre Aufgabe. Wer diese Arbeit selbst zuverlässig leistet, fährt mit gratis gut. Wer sie einkauft, zahlt anderswo schnell mehr als bei einer Komplettlösung.

### Zahle ich bei Aiara pro Seitenaufruf?

Nein. Aiara kostet einen festen Betrag pro Domain und Jahr — unabhängig davon, wie viele Personen Ihre Website besuchen. Bei Anbietern mit Abrechnung nach Seitenaufrufen oder Unterseiten kann ein erfolgreicher Monat die Rechnung verdoppeln.

### Was kostet ein Cookie-Banner bei anderen Anbietern?

Cookiebot verlangt je nach Grösse der Website rund 30 bis 90 Euro pro Monat und Domain, CookieYes 10 bis 55 US-Dollar pro Monat und Domain — die Datenschutzerklärung ist dort jeweils nicht enthalten. WordPress-Plugins wie Borlabs Cookie beginnen bei rund 29 Euro pro Jahr, decken aber nur den Banner ab und funktionieren nur mit WordPress. Stand: August 2026.

### Was riskiere ich ohne korrektes Cookie-Banner?

Das Schweizer Datenschutzgesetz sieht Bussen bis CHF 250'000 vor — gerichtet an die verantwortliche Person, nicht an die Firma. Richtet sich Ihr Angebot auch an die EU, drohen zusätzlich Sanktionen nach der DSGVO. Dazu kommen im Streitfall Anwaltskosten, die ein Jahresabo um ein Vielfaches übersteigen.

### Gibt es bei Aiara versteckte Kosten?

Nein. Der Jahrespreis pro Domain enthält Banner, Cookie-Scanner, Datenschutzerklärung und Impressum in vier Sprachen sowie den Support. Kostenpflichtige Zusätze gibt es nur, wenn Sie aktiv mehr bestellen: weitere Domains oder zusätzliche Scan-Seiten.

---

# Über die Schweiz hinaus: Aiara deckt jetzt USA, Brasilien und Südafrika ab

Quelle: https://www.aiara.ch/blog/cookie-banner-usa-brasilien-suedafrika
Veröffentlicht: 2026-08-19

Bis vor Kurzem galt für Aiara eine klare Grenze: Schweiz und EU. Das war eine bewusste Entscheidung — lieber zwei Rechtsräume richtig als zehn halbherzig. Inzwischen häuften sich aber Anfragen von Kundinnen und Kunden, deren Websites auch ausserhalb Europas aufgerufen werden. Wir haben Aiara deshalb um drei Rechtsräume erweitert: die Vereinigten Staaten, Brasilien und Südafrika.

## Die USA funktionieren genau umgekehrt

Das Wichtigste vorweg, weil es der grösste Unterschied ist: **In den USA gilt kein Einwilligungsmodell.** Was hierzulande selbstverständlich ist — erst fragen, dann Cookies setzen —, kennt das amerikanische Recht in dieser Form nicht. Dort ist die Verarbeitung erlaubt, bis eine Person widerspricht.

Das hat eine unmittelbare Folge für die Oberfläche: Ein Besucher aus Kalifornien bekommt kein Banner zu sehen, das ihn um Zustimmung bittet. Er sieht einen dauerhaft erreichbaren Link — üblicherweise «Your Privacy Choices» —, über den er dem Verkauf und der Weitergabe seiner Daten widersprechen kann. Wer diesen Link nicht anbietet, verstösst gegen die Vorschriften. Wer stattdessen ein europäisches Einwilligungsbanner zeigt, erfüllt sie ebenfalls nicht.

Aiara erkennt die Region und stellt automatisch um. Für Besuchende aus der Schweiz und der EU bleibt alles beim Alten.

## Ein Signal für über zwanzig Bundesstaaten

Die USA haben kein einheitliches Datenschutzgesetz. Kalifornien hat den CCPA in der Fassung des CPRA, Virginia den VCDPA, dazu kommen Colorado, Connecticut, Utah, Texas, Oregon und rund fünfzehn weitere Bundesstaaten mit eigenen Regelungen. Jedes einzeln umzusetzen wäre ein Fass ohne Boden.

Die Werbebranche hat dafür eine gemeinsame Lösung geschaffen: die **Global Privacy Platform** des IAB Tech Lab. Sie kennt einen landesweiten Abschnitt, der die Anforderungen aller Bundesstaaten in einem einzigen Signal zusammenfasst. Aiara verwendet genau diesen Abschnitt. Der praktische Vorteil: Wir müssen nicht wissen, in welchem Bundesstaat sich jemand aufhält — das Signal gilt landesweit. Eine Erkennung auf Bundesstaatsebene wäre technisch aufwendig, fehleranfällig und für den Zweck ohne Nutzen.

## Global Privacy Control wird automatisch befolgt

Ein Punkt, der in der Praxis oft untergeht: In Kalifornien und weiteren Bundesstaaten müssen Websites das **Global Privacy Control** respektieren. Das ist ein Signal, das der Browser oder eine Datenschutzerweiterung automatisch mitsendet und das bedeutet: Diese Person widerspricht der Weitergabe ihrer Daten.

Rechtlich ist das kein Wunsch, sondern ein gültiger Widerspruch. Kalifornische Behörden haben in mehreren Verfahren durchgesetzt, dass er befolgt werden muss. Aiara wertet das Signal aus, sobald der US-Modus aktiv ist, und setzt den Widerspruch ohne Rückfrage um. Im Auswahlfenster steht dann ein Hinweis, dass das Browsersignal erkannt und bereits befolgt wurde — und der Schalter ist gesperrt, weil es nichts mehr zu entscheiden gibt.

## Was ein Widerspruch tatsächlich abschaltet

Hier lohnt sich Genauigkeit, weil es leicht zu weit oder zu kurz greift. Ein Widerspruch nach kalifornischem Recht richtet sich gegen den Verkauf, die Weitergabe und die zielgerichtete Werbung. Er richtet sich **nicht** gegen Reichweitenmessung für eigene Zwecke — die gilt dort nicht als Verkauf.

Aiara schaltet bei einem Widerspruch daher die Marketing-Kategorie ab und lässt die Analyse laufen. Das ist bewusst so und unterscheidet sich von einer Ablehnung nach DSGVO, die beides trifft. Wer alles abschalten möchte, kann das über die üblichen Kategorien tun — aber die gesetzliche Anforderung ist die engere.

## Brasilien und Südafrika: vertrautes Modell, neue Texte

Bei diesen beiden war der Aufwand geringer, weil sie funktionieren wie die DSGVO: Beide arbeiten mit Einwilligung. Das Banner musste also nicht umgebaut werden — es fehlten nur die Rechtstexte.

**Brasilien** hat mit der Lei Geral de Proteção de Dados ein Gesetz, das der DSGVO stark ähnelt, aber eigene Begriffe und Zuständigkeiten kennt. Die Datenschutzerklärung nennt neu die Rechtsgrundlagen nach Artikel 7, die Betroffenenrechte nach Artikel 18, die Aufsichtsbehörde ANPD und den «Encarregado» — die dortige Entsprechung zum Datenschutzbeauftragten. Dazu kommt der Banner auf Portugiesisch, als fünfte Sprache neben Deutsch, Französisch, Italienisch und Englisch.

**Südafrika** regelt den Datenschutz im Protection of Personal Information Act. Der Abschnitt nennt die acht Bedingungen für rechtmässige Verarbeitung, die Betroffenenrechte, den Information Officer und den Information Regulator als Beschwerdestelle. Eine Besonderheit ist die Einwilligungspflicht für elektronische Direktwerbung an Personen, die noch keine Kundschaft sind — strenger als das, was viele erwarten.

## Brauchen Sie das überhaupt?

Wahrscheinlich nicht, und das sagen wir bewusst deutlich. Der CCPA greift erst ab 25 Millionen US-Dollar Jahresumsatz oder ab Daten von 100'000 kalifornischen Verbraucherinnen und Verbrauchern. Die anderen Bundesstaaten setzen vergleichbare Schwellen. Ein Handwerksbetrieb aus Winterthur mit ein paar Besuchern aus Übersee fällt nicht darunter.

Relevant wird es in drei Fällen:

- **Grösserer E-Commerce mit US-Geschäft**, der die Schwellenwerte tatsächlich erreicht
- **Vertragliche Anforderungen**, wenn ein Geschäftspartner die Abdeckung verlangt
- **Konzernvorgaben**, wenn eine Tochtergesellschaft dieselben Standards fahren muss wie die Mutter

Wer keinen dieser Fälle hat, lässt die Funktionen einfach aus. Sie sind standardmässig deaktiviert, und wer sie nicht einschaltet, merkt von der Erweiterung nichts.

## So aktivieren Sie es

Zwei Stellen, beide im Dashboard:

**Im Banner-Editor** finden Sie unter «USA (CCPA & weitere)» einen Schalter. Ist er aktiv, greift für Besuchende aus den USA das Widerspruchsmodell — mit dem Link «Your Privacy Choices» statt des Einwilligungsbanners.

**Im Fragebogen** unter «Rechtsraum» stehen drei neue Angaben: Besuchende aus den USA, aus Brasilien und aus Südafrika. Jede setzt einen eigenen Abschnitt in Ihrer Datenschutzerklärung. Die Texte werden wie gewohnt automatisch erzeugt und aktualisiert.

Beides ist unabhängig voneinander. Wer nur Rechtstexte für Brasilien braucht, aber keinen US-Modus, setzt eben nur den einen Haken.

## Was die Erweiterung nicht ist

Zum Schluss die Einschränkung, die dazugehört: Aiara deckt nun fünf Rechtsräume ab — Schweiz, EU, USA, Brasilien und Südafrika. Das ist kein «weltweit». Kanada, Grossbritannien, Australien, Japan, Indien und viele weitere haben eigene Gesetze, die wir nicht abbilden. Wer Publikum in diesen Ländern hat und dort tatsächlich unter die jeweiligen Schwellen fällt, braucht mehr, als wir heute bieten.

Wir haben die drei Rechtsräume ausgewählt, nach denen konkret gefragt wurde. Sollten weitere dazukommen, entscheidet dasselbe Kriterium: echter Bedarf statt einer möglichst langen Liste auf der Website.

## Häufige Fragen

### Gilt das kalifornische Datenschutzgesetz für mein Schweizer Unternehmen?

Meistens nicht. Der CCPA greift erst ab 25 Millionen US-Dollar Jahresumsatz oder ab Daten von 100'000 kalifornischen Verbraucherinnen und Verbrauchern. Die meisten Schweizer KMU liegen weit darunter. Relevant wird es bei grösserem E-Commerce mit US-Geschäft oder wenn ein Kunde es vertraglich verlangt.

### Was ist der Unterschied zwischen Einwilligung und Widerspruch?

In der Schweiz und der EU dürfen nicht notwendige Cookies erst gesetzt werden, wenn jemand zugestimmt hat. In den USA gilt das Gegenteil: Die Verarbeitung ist erlaubt, bis eine Person widerspricht. Deshalb sieht ein US-Besucher kein Banner, sondern einen dauerhaften Link, über den er widersprechen kann.

### Was ist Global Privacy Control?

Ein Signal, das der Browser oder eine Erweiterung automatisch mitsendet und das ausdrückt: Diese Person widerspricht der Weitergabe ihrer Daten. In Kalifornien und weiteren Bundesstaaten gilt es als rechtsgültiger Widerspruch und muss ohne Rückfrage befolgt werden. Aiara wertet es automatisch aus.

### Muss ich für Brasilien einen portugiesischen Banner haben?

Vorgeschrieben ist es nicht wörtlich, aber die Information muss verständlich sein — und das ist sie in der Landessprache am ehesten. Aiara liefert den Banner deshalb neu auch auf Portugiesisch. Die Datenschutzerklärung bleibt bei vier Sprachen; brasilianische Besuchende erhalten die englische Fassung.

### Was passiert mit meinem bestehenden Banner?

Nichts. Alle neuen Funktionen sind standardmässig ausgeschaltet. Wer sie nicht braucht, merkt von der Erweiterung nichts. Und selbst wenn Sie den US-Modus aktivieren, ändert sich für Besuchende aus der Schweiz und der EU kein Detail.

---

# Global Privacy Control: das Signal, das die meisten Websites ignorieren

Quelle: https://www.aiara.ch/blog/global-privacy-control-erklaert
Veröffentlicht: 2026-08-19

Es gibt ein Signal, das Millionen von Browsern bei jedem einzelnen Seitenaufruf mitsenden und das die allermeisten Websites schlicht nicht beachten. Es heisst Global Privacy Control, kurz GPC. Wer es ignoriert, verstösst in Kalifornien gegen geltendes Recht — und der erste Fall, in dem das durchgesetzt wurde, kostete 1,2 Millionen Dollar.

## Was das Signal aussagt

GPC ist eine technische Erklärung mit einem einzigen Inhalt: **Diese Person widerspricht dem Verkauf und der Weitergabe ihrer personenbezogenen Daten.**

Der Gedanke dahinter ist bestechend einfach. Statt auf jeder einzelnen Website erneut Häkchen zu setzen, stellt man die Präferenz einmal im Browser ein — und der sendet sie fortan an jede besuchte Seite. Für die Nutzerin bedeutet das: einmal entscheiden statt hundertmal klicken.

Wichtig ist, was GPC **nicht** tut: Es blockiert nichts. Das Signal ist eine Mitteilung, keine technische Sperre. Die Website erfährt den Widerspruch — umsetzen muss sie ihn selbst. Wer nichts tut, bekommt das Signal trotzdem und ignoriert es einfach.

## Wer es sendet

Mehr Menschen, als die meisten vermuten:

- **Firefox** hat die Einstellung fest eingebaut, unter Datenschutz und Sicherheit
- **Brave** sendet es standardmässig
- **Der DuckDuckGo-Browser** ebenso
- **Chrome, Safari und Edge** senden es nicht von sich aus, lassen sich aber über Erweiterungen wie Privacy Badger nachrüsten

Wer es einmal aktiviert hat, sendet es an alle Websites — auch an Ihre. Das Signal kommt also längst an, unabhängig davon, ob jemand es auswertet.

## Wo es rechtlich bindet

Hier lohnt sich die Genauigkeit, weil das Bild uneinheitlich ist.

**In den USA ist GPC verbindlich.** Kalifornien schreibt im CCPA in der Fassung des CPRA vor, dass Websites vom Nutzer aktivierte Widerspruchssignale befolgen müssen. Colorado, Connecticut und weitere Bundesstaaten haben vergleichbare Vorschriften erlassen. Die Umsetzung ist nicht optional und nicht verhandelbar: Wer das Signal empfängt, muss den Widerspruch behandeln, als hätte die Person aktiv auf einen Link geklickt.

**In der Schweiz und der EU ist es das nicht.** Weder das revidierte DSG noch die DSGVO nennen Global Privacy Control ausdrücklich. Interessant ist allerdings [Artikel 21 Absatz 5 DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679): Dort ist ausdrücklich vorgesehen, dass betroffene Personen ihr Widerspruchsrecht «mittels automatisierter Verfahren ausüben können, bei denen technische Spezifikationen verwendet werden». Das beschreibt ziemlich genau, was GPC tut — nur wurde es bisher nicht als solches anerkannt.

Wer das Signal in Europa befolgt, tut also mehr, als er muss. Aus unserer Sicht ist das kein Nachteil.

## Der Fall, der es ernst gemacht hat

Im August 2022 einigte sich der kalifornische Attorney General mit Sephora auf eine Zahlung von 1,2 Millionen US-Dollar — die erste öffentliche Durchsetzung des CCPA überhaupt. Vorgeworfen wurde dem Unternehmen unter anderem, Widersprüche über Global Privacy Control nicht umgesetzt zu haben.

Zwei Details aus dem Fall sind lehrreich:

**Erstens** war der Verstoss nicht, dass Sephora Daten verkauft hätte. Der Verstoss war, das Signal zu empfangen und nichts damit zu tun. Die Behörde argumentierte, ein empfangenes und ignoriertes Signal sei ein missachteter Widerspruch.

**Zweitens** enthielt die Einigung die Auflage, dem Attorney General regelmässig zu berichten, wie GPC-Signale behandelt werden. Es blieb also nicht bei der Zahlung — es folgte eine Nachweispflicht.

Seither hat Kalifornien weitere Verfahren geführt. Die Botschaft ist konsistent: Das Signal gilt.

## Wie eine Website es erkennt

Technisch ist der Aufwand gering. GPC kommt auf zwei Wegen:

**Im Browser** über eine Eigenschaft, die dann `true` ist:

```javascript
if (navigator.globalPrivacyControl === true) {
    // Diese Person hat widersprochen
}
```

**Auf dem Server** über einen HTTP-Header, der bei jeder Anfrage mitgeschickt wird:

```
Sec-GPC: 1
```

Beides ist in wenigen Zeilen ausgewertet. Die eigentliche Arbeit steckt nicht im Erkennen, sondern in der Folge: Der Widerspruch muss in die Consent-Logik einfliessen, die entsprechenden Skripte dürfen nicht laden, und das Ergebnis muss nach aussen kommuniziert werden — bei US-Traffic über die Global Privacy Platform, damit auch Werbepartner den Widerspruch erfahren.

## Was ein Widerspruch abschalten muss

Ein häufiger Fehler ist, GPC wie eine Ablehnung nach DSGVO zu behandeln und alles abzuschalten. Das geht am Zweck vorbei.

Der Widerspruch nach kalifornischem Recht richtet sich gegen **Verkauf, Weitergabe und zielgerichtete Werbung**. Er richtet sich nicht gegen Reichweitenmessung für eigene Zwecke — die gilt dort nicht als Verkauf. Wer bei GPC alles abschaltet, verliert Daten, die er behalten dürfte. Wer nur das Nötigste abschaltet, erfüllt die Vorschrift genau.

Ein zweiter Fehler: das Signal als Voreinstellung behandeln, die sich überstimmen lässt. Wenn jemand GPC sendet, ist der Widerspruch erklärt. Ein Banner, das trotzdem nach Zustimmung fragt und diese als gültig wertet, hebelt ihn aus.

## Wie Aiara damit umgeht

Sobald für eine Domain das US-Widerspruchsmodell aktiviert ist, wertet der Banner das Signal aus, bevor er irgendetwas anzeigt. Ist es gesetzt, gilt der Widerspruch sofort — ohne Rückfrage, ohne Klick.

Sichtbar wird das an drei Stellen. Marketing-Skripte laden nicht. Im Auswahlfenster steht ein Hinweis, dass das Browsersignal erkannt und bereits befolgt wurde. Und der zugehörige Schalter ist gesperrt, weil es nichts mehr zu entscheiden gibt — eine erneute Zustimmung würde den erklärten Widerspruch überschreiben.

Nach aussen wird die Entscheidung über die Global Privacy Platform mitgeteilt, sodass auch Werbepartner davon erfahren.

## Lohnt sich das für Schweizer Websites?

Verpflichtend ist es hier nicht. Aber es gibt zwei gute Gründe, das Signal trotzdem zu beachten.

**Der praktische:** Sobald Sie Besuchende aus den USA haben und dort unter eines der Staatengesetze fallen, ist es Pflicht. Diese Schwelle erreichen zwar wenige Schweizer KMU — wer sie erreicht, merkt es aber oft erst, wenn eine Anfrage kommt.

**Der grundsätzliche:** Jemand hat sich die Mühe gemacht, in den Browsereinstellungen eine Präferenz zu setzen. Diese Person hat ihren Willen unmissverständlich erklärt. Sie zu ignorieren, weil kein Gesetz es hierzulande erzwingt, ist juristisch vertretbar — überzeugend ist es nicht.

## Häufige Fragen

### Was ist Global Privacy Control?

Ein technisches Signal, das ein Browser oder eine Erweiterung bei jedem Seitenaufruf mitsendet. Es bedeutet: Diese Person widerspricht dem Verkauf und der Weitergabe ihrer Daten. Die Website muss den Widerspruch selbst umsetzen — das Signal blockiert nichts, es teilt nur mit.

### Welche Browser senden das Signal?

Firefox hat es in den Einstellungen, ebenso Brave und der DuckDuckGo-Browser. Chrome, Safari und Edge senden es nicht von sich aus, lassen sich aber über Erweiterungen wie Privacy Badger nachrüsten. Wer es aktiviert hat, sendet es an jede besuchte Website.

### Ist Global Privacy Control in der Schweiz rechtlich bindend?

Nein. Weder das DSG noch die DSGVO nennen GPC ausdrücklich. Die DSGVO sieht in Artikel 21 Absatz 5 zwar automatisierte Widerspruchsmittel vor, ohne sie zu konkretisieren. Rechtlich verpflichtend ist GPC bisher in Kalifornien, Colorado, Connecticut und weiteren US-Bundesstaaten.

### Was passiert, wenn eine Website das Signal ignoriert?

In Kalifornien ist das ein Verstoss gegen den CCPA. Der bekannteste Fall betrifft Sephora: Der kalifornische Attorney General verhängte 2022 eine Zahlung von 1,2 Millionen US-Dollar, unter anderem weil Widersprüche über Global Privacy Control nicht umgesetzt wurden.

### Wie erkennt eine Website das Signal?

Auf zwei Wegen: im Browser über die Eigenschaft navigator.globalPrivacyControl, die dann true ist, und serverseitig über den HTTP-Header Sec-GPC mit dem Wert 1. Beide Wege sind einfach auszuwerten — die Arbeit steckt nicht im Erkennen, sondern im Umsetzen der Folge.

---

# Aiara ist von Google zertifiziert — was das für Schweizer Websites bedeutet

Quelle: https://www.aiara.ch/blog/google-zertifizierte-cmp-schweiz
Veröffentlicht: 2026-08-14

Mitte August 2026 kam die Bestätigung: Die Aiara Privacy Suite ist eine von Google zertifizierte Consent Management Platform. Damit ist ein Prozess abgeschlossen, der im Frühsommer begann — und der Schluss eines Wegs, den wir schon deutlich früher eingeschlagen hatten.

## Worum es bei der Zertifizierung geht

Seit 2024 verlangt Google von allen, die im Europäischen Wirtschaftsraum oder in Grossbritannien Werbung ausspielen, den Einsatz einer zertifizierten Consent Management Platform. Der Hintergrund ist der [Digital Markets Act](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022R1925): Google darf Daten aus verschiedenen Diensten nur noch verknüpfen, wenn eine gültige Einwilligung vorliegt — und muss sicherstellen, dass diese Einwilligung tatsächlich eingeholt wurde.

Statt jede einzelne Website zu prüfen, prüft Google die Software dahinter. Eine zertifizierte CMP garantiert, dass Einwilligungen korrekt erfasst, in ein maschinenlesbares Format überführt und an die beteiligten Werbepartner weitergegeben werden. Wer eine nicht zertifizierte Lösung einsetzt, riskiert, dass Google die Auslieferung personalisierter Werbung einschränkt.

## Was geprüft wurde

Die Prüfung ist kein Formular, das man ausfüllt. Google testet die Plattform auf eigenen Testumgebungen — in unserem Fall auf einer WordPress- und einer Blogger-Installation, auf denen unser Banner eingebunden war. Geprüft wird unter anderem:

- ob der Banner überhaupt erscheint und die Einwilligung aktiv eingeholt wird
- ob eine Ablehnung genauso leicht möglich ist wie eine Zustimmung
- ob der übermittelte Einwilligungsstring technisch korrekt aufgebaut ist
- ob der Widerruf jederzeit funktioniert und die Signale entsprechend aktualisiert werden
- ob die Angaben zu Anbietern, Zwecken und Speicherdauern vollständig sind

Dieser Teil hat uns einiges an Feinarbeit gekostet. Ein Beispiel: Der Einwilligungsstring enthält Zeitstempel für Erstellung und letzte Änderung. Diese müssen bewusst ungenau sein — auf Mitternacht gerundet —, damit sie nicht zur Wiedererkennung einzelner Personen taugen. Solche Details entscheiden über Bestehen oder Nichtbestehen, und sie stehen in keinem Marketingprospekt.

## IAB Europe war von Beginn weg die Grundlage

Die Google-Zertifizierung ist der zweite Schritt gewesen, nicht der erste. Das Fundament wurde deutlich früher gelegt: mit der Registrierung als Consent Management Provider bei [IAB Europe](https://iabeurope.eu/transparency-consent-framework/). Aiara trägt dort die **Kennung 507**.

Der Unterschied zwischen den beiden ist wichtig, weil er oft durcheinandergeht:

**IAB Europe** betreibt das Transparency and Consent Framework — im Grunde die gemeinsame Sprache der europäischen Werbebranche. Wenn jemand auf einer Website «Alle akzeptieren» klickt, muss diese Entscheidung an teils hunderte Werbepartner übermittelt werden. Das Framework definiert, wie diese Nachricht aufgebaut ist: welche Zwecke es gibt, welche Anbieter beteiligt sind, wie der String kodiert wird. Ohne diese gemeinsame Sprache versteht die Gegenseite die Einwilligung schlicht nicht.

**Google** prüft, ob eine Plattform die eigenen Anforderungen erfüllt und für Werbedienste zugelassen wird. Google spricht das Framework ebenfalls, stellt aber zusätzliche Bedingungen.

Man braucht beides. Das eine ist die Sprache, das andere die Zulassung. Wir haben uns bewusst zuerst um die Sprache gekümmert — eine Zertifizierung ohne saubere technische Grundlage wäre ohnehin nicht zu bekommen gewesen. Der Weg dorthin führte über einen offiziellen Prüfbericht, der iterativ eingereicht und nachgebessert wird, bis alle technischen Kontrollen bestehen. Erst dann wird die Kennung vergeben.

## Was das für Ihre Website bedeutet

Für bestehende Kundinnen und Kunden ändert sich nichts, was Aufwand verursacht — und das ist der eigentliche Punkt. Die Zertifizierung gilt für die Plattform, nicht für die einzelne Website. Ihr Banner erfüllt die Anforderungen, ohne dass Sie etwas umstellen.

Konkret heisst das:

**Wenn Sie Google Ads oder Google Analytics nutzen** und Ihre Website auch aus dem EWR aufgerufen wird, setzen Sie bereits eine zertifizierte Lösung ein. Die Signale des Consent Mode werden korrekt gesetzt, einschliesslich der beiden Angaben, die der Digital Markets Act zusätzlich verlangt.

**Wenn Sie programmatische Werbung schalten** — also Werbeplätze automatisiert über Marktplätze verkaufen —, aktivieren Sie im Banner-Editor zusätzlich den TCF-Modus. Dann übermittelt der Banner die Einwilligung in der Sprache des Frameworks, mit der vollständigen Anbieterliste. Für gewöhnliches Cookie-Consent nach DSG und DSGVO braucht es das nicht, und wir empfehlen es dort auch nicht: Die Oberfläche wird dadurch deutlich umfangreicher.

**Wenn Sie eine Agentur sind**, können Sie die Zertifizierung gegenüber Kundinnen und Kunden als Nachweis verwenden. Wer wissen will, ob die eingesetzte Lösung Googles Anforderungen genügt, findet Aiara in Googles öffentlicher Liste zertifizierter CMPs.

## Ein Schweizer Anbieter auf einer kurzen Liste

Googles Verzeichnis zertifizierter Plattformen umfasst über 150 Einträge. Nach unserer Durchsicht im August 2026 stammt keiner davon aus der Schweiz — Aiara ist damit der erste Schweizer Anbieter auf dieser Liste. Wir schreiben das mit Datum dazu, weil sich so etwas ändern kann und wir keine Behauptung aufstellen wollen, die in einem halben Jahr überholt ist.

Interessanter als die Reihenfolge ist ohnehin, was dahintersteckt: Eine Zertifizierung dieser Art ist für einen kleinen Anbieter kein Nebenprodukt. Sie kostet Zeit, Gebühren und eine Menge technischer Detailarbeit an Stellen, die niemand sieht. Dass sie sich lohnt, liegt an unserer Zielgruppe — Schweizer Unternehmen und Agenturen, die Werbung schalten und dabei nicht zwischen Schweizer Recht und europäischen Werbeanforderungen wählen müssen wollen.

## Wie es weitergeht

Beide Zertifizierungen werden jährlich erneuert. Google prüft turnusgemäss nach, IAB Europe verlangt eine jährliche Gebühr und die Bestätigung, dass die Plattform weiterhin konform arbeitet. Das läuft bei uns im Hintergrund.

Parallel entwickelt sich das Regelwerk weiter. Die nächste grössere Änderung am Framework steht für Mitte Oktober 2026 an und betrifft vor allem die Darstellung: Anbieter müssen ihre Zwecke ausführlicher erklären, und bestimmte Angaben dürfen nicht mehr neben nicht abwählbaren Schaltern stehen. Wir setzen das um, bevor die Frist läuft — für Sie ändert sich dabei nichts ausser ein paar Formulierungen im Banner.

## Häufige Fragen

### Was ist eine von Google zertifizierte Consent Management Platform?

Google verlangt seit 2024, dass Publisher und Werbetreibende im Europäischen Wirtschaftsraum und in Grossbritannien eine zertifizierte CMP einsetzen, wenn sie Werbung ausspielen. Zertifiziert heisst: Google hat die Software geprüft und bestätigt, dass sie Einwilligungen korrekt einholt, korrekt weitergibt und dem eigenen Regelwerk entspricht. Ohne diese Prüfung kann Google die Auslieferung personalisierter Werbung einschränken.

### Brauche ich als Schweizer Unternehmen eine zertifizierte CMP?

Wenn Sie Google-Werbedienste nutzen und Ihre Website auch von Menschen im EWR oder in Grossbritannien besucht wird, ja. Rein binnenschweizerische Websites ohne Google-Werbung kommen ohne aus — in der Praxis trifft das aber auf wenige zu, sobald Google Ads oder programmatische Werbung im Spiel sind.

### Was ist der Unterschied zwischen der Google-Zertifizierung und IAB Europe?

Die IAB-Registrierung betrifft das Transparency and Consent Framework, also die Sprache, in der Einwilligungen an Werbepartner übermittelt werden. Aiara trägt dort die Kennung 507. Die Google-Zertifizierung prüft, ob die Plattform Googles eigene Anforderungen erfüllt. Beides ist nötig: Das eine ist die Sprache, das andere die Zulassung.

### Muss ich als bestehender Aiara-Kunde etwas tun?

Nein. Die Zertifizierung gilt für die Plattform, nicht für einzelne Websites. Ihr Banner erfüllt die Anforderungen ohne Zutun. Wer programmatische Werbung schaltet, aktiviert zusätzlich den TCF-Modus im Banner-Editor — für gewöhnliches Cookie-Consent nach DSG und DSGVO ist das nicht nötig.

### Wie lange gilt die Zertifizierung?

Google überprüft jährlich. Die Registrierung bei IAB Europe wird ebenfalls jährlich erneuert und ist gebührenpflichtig. Beides läuft bei uns im Hintergrund; für Kundinnen und Kunden ändert sich dadurch nichts.

---

# KI-Inhalte kennzeichnen: Was die neuen EU-Icons und der AI Act ab August 2026 verlangen

Quelle: https://www.aiara.ch/blog/ki-inhalte-kennzeichnen-eu-ai-act
Veröffentlicht: 2026-07-07

Die Europäische Kommission hat im Juni 2026 offizielle Icons zur Kennzeichnung von KI-generierten Inhalten veröffentlicht. Gleichzeitig rückt ein wichtiges Datum näher: Am **2. August 2026** werden die Transparenzpflichten des EU AI Act (Artikel 50) anwendbar. Zeit für eine nüchterne Einordnung — denn um dieses Thema ranken sich derzeit viele Halbwahrheiten.

## Was ab dem 2. August 2026 tatsächlich gilt

Der EU AI Act ist seit August 2024 in Kraft, seine Pflichten greifen aber gestaffelt. Am 2. August 2026 wird Artikel 50 anwendbar — die Transparenzpflichten für KI-Systeme, die mit Menschen interagieren oder Inhalte erzeugen. Vier Konstellationen sind geregelt:

1. **Chatbots und KI-Assistenten:** Wer mit einem KI-System interagiert, muss das erkennen können — ausser es ist offensichtlich.
2. **Maschinenlesbare Markierung:** Anbieter von KI-Systemen, die synthetische Bilder, Videos, Audio oder Texte erzeugen, müssen die Ausgaben maschinenlesbar als KI-generiert markieren (etwa über Metadaten oder Wasserzeichen). Diese Pflicht trifft die Hersteller der KI-Werkzeuge — also etwa Google, OpenAI oder Anthropic —, nicht deren Nutzer.
3. **Deep Fakes:** Wer KI-generierte oder KI-manipulierte Bilder, Audio- oder Videoinhalte veröffentlicht, die echten Personen, Orten oder Ereignissen täuschend ähnlich sind, muss offenlegen, dass der Inhalt künstlich erzeugt oder verändert wurde.
4. **KI-Texte zu öffentlichen Themen:** Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren und vollständig KI-generiert sind — ohne menschliche Überprüfung und ohne redaktionelle Verantwortung —, müssen als KI-generiert gekennzeichnet werden.

Für Website-Betreiber sind vor allem die Punkte 3 und 4 relevant. Sie gelten als sogenannte Deployer-Pflichten: Sie treffen nicht den Hersteller des KI-Werkzeugs, sondern denjenigen, der die Inhalte einsetzt und veröffentlicht.

## Die drei neuen EU-Icons

Die Kommission hat drei standardisierte Icons vorgestellt, die die Kennzeichnung vereinheitlichen sollen:

- **Basis-Icon «AI»** — generischer Hinweis auf KI-Beteiligung
- **«AI Generated»** — der Inhalt wurde vollständig von KI erzeugt (abgesehen von der Eingabe des Nutzers)
- **«AI Modified»** — ein bestehender Inhalt wurde durch KI verändert

Die Icons stehen in vier Varianten (schwarz, weiss, jeweils mit und ohne Transparenz) als SVG und PNG zum [Download bei der Europäischen Kommission](https://digital-strategy.ec.europa.eu/de/policies/eu-icons-labelling-ai-generated-content) bereit.

Wichtig: **Die Icons sind freiwillig.** Verpflichtend ist die Kennzeichnung an sich — in welcher Form sie erfolgt, schreibt das Gesetz nicht vor. Die Icons sind Teil eines Verhaltenskodex (Code of Practice), den die Kommission als geeignetes Instrument zur Umsetzung der Pflichten bewertet hat. Wer die Icons verwendet, nutzt damit einen von den Behörden anerkannten Standard.

## Was gekennzeichnet werden muss — und was nicht

Hier lohnt sich Präzision, denn die häufigste Fehlannahme lautet: «Jedes KI-Bild braucht jetzt ein Label.» Das stimmt nicht.

**Kennzeichnungspflichtig:**

- Ein KI-generiertes Foto, das eine reale Person zeigt oder täuschend echt wirkt (Deep Fake)
- Ein KI-generiertes «Kundenfoto» oder Testimonial-Video mit einer nicht existierenden, aber real wirkenden Person
- KI-geklonte Stimmen in Audio-Inhalten
- Ein vollständig KI-geschriebener News-Artikel, der ungeprüft publiziert wird

**Nicht kennzeichnungspflichtig:**

- Illustrationen, Icons, abstrakte Grafiken und stilisierte Hero-Bilder — auch wenn sie KI-generiert sind
- Blog-Artikel, die mit KI-Unterstützung entstanden sind, aber von einem Menschen geprüft und redaktionell verantwortet werden
- KI-gestützte Bildbearbeitung, die den Inhalt nicht täuschend verändert (Farbkorrektur, Freisteller, Upscaling)
- Künstlerische, satirische und offensichtlich fiktive Werke (hier genügt ein dezenter Hinweis, der das Werk nicht beeinträchtigt)

Die Grundregel: Es geht um **Täuschungsgefahr**, nicht um KI-Einsatz an sich. Der AI Act will verhindern, dass Menschen künstliche Inhalte für echt halten — er will nicht jede KI-Nutzung brandmarken.

## Gilt das auch für Schweizer Unternehmen?

Der AI Act ist EU-Recht — aber wie die DSGVO wirkt er über die EU-Grenzen hinaus. Erfasst ist, wer KI-Systeme in der EU in Verkehr bringt oder wessen KI-generierte Inhalte sich an Personen in der EU richten. Für Schweizer Unternehmen heisst das:

- **Website richtet sich (auch) an EU-Kunden** — etwa durch Lieferungen nach Deutschland, EU-Kundschaft oder gezieltes Marketing im EU-Raum: Die Transparenzpflichten gelten.
- **Rein schweizerisches Publikum:** Der AI Act greift formal nicht. Ein eigenes Schweizer KI-Gesetz existiert noch nicht; der Bundesrat verfolgt derzeit einen sektoriellen Ansatz und orientiert sich an der KI-Konvention des Europarats.

In der Praxis ist die Trennung selten sauber: Wer eine öffentlich erreichbare Website in deutscher, französischer oder italienischer Sprache betreibt, erreicht faktisch auch EU-Publikum. Unsere Empfehlung entspricht dem bewährten Muster aus dem Datenschutz: **Am EU-Standard ausrichten** — dann ist man in beiden Rechtsräumen auf der sicheren Seite und für eine künftige Schweizer Regelung vorbereitet.

## Checkliste für KMU und Agenturen

1. **Inventar machen:** Wo setzen Sie generative KI ein? Website-Bilder, Social-Media-Posts, Produktvideos, Blog-Texte, Newsletter, Chatbots?
2. **Deep-Fake-Check:** Gibt es Inhalte mit real wirkenden Personen, Stimmen, Orten oder Ereignissen, die KI-generiert oder KI-verändert sind? Diese müssen ab 2. August 2026 gekennzeichnet sein.
3. **Text-Check:** Publizieren Sie vollständig KI-generierte Texte ohne menschliche Prüfung — etwa automatisierte News-Feeds oder KI-Produkttexte in grossem Stil? Dann kennzeichnen oder einen redaktionellen Prüfschritt einführen.
4. **Chatbot-Check:** Ist für Nutzer klar erkennbar, dass sie mit einer KI sprechen? Ein kurzer Hinweis im Chat-Fenster genügt.
5. **Kennzeichnungsform festlegen:** Die EU-Icons herunterladen und in die eigenen Design-Vorlagen aufnehmen — oder eine eigene, klar verständliche Formulierung wählen («Mit KI erstellt»).
6. **Agenturen zusätzlich:** Kundenverträge und Abnahmeprozesse ergänzen — wer liefert die Kennzeichnung, wer haftet bei Verstössen? Ein Standard-Passus im Projektvertrag spart später Diskussionen.

## Unser Umgang damit bei Aiara

Transparenz ist unser Geschäft — deshalb legen wir offen, wie wir es selbst halten: Die Illustrationen auf unserer Website und in diesem Blog entstehen teilweise mit KI-Werkzeugen. Es handelt sich um stilisierte Grafiken ohne real wirkende Personen — sie fallen damit nicht unter die Kennzeichnungspflicht. Unsere Texte werden redaktionell geprüft und verantwortet. Und unsere Kernprodukte — Cookie-Banner, Datenschutzerklärungen, Impressum — werden regelbasiert aus Ihren Angaben generiert, nicht von einer KI: Gleiche Eingaben ergeben immer das gleiche, juristisch geprüfte Ergebnis.

Der AI Act und das Cookie-Recht sind zwei verschiedene Baustellen — aber sie gehören zur selben Frage: Ist Ihre Website rechtlich sauber aufgestellt? Wenn Sie ohnehin gerade Ihre Compliance prüfen, lohnt sich der Blick aufs Ganze: [Cookie-Banner](/cookie-banner-pflicht), [Datenschutzerklärung](/blog/datenschutzerklaerung-schweiz-erstellen) und Impressum decken wir ab — den KI-Check erledigen Sie mit der Checkliste oben in einer halben Stunde.

## Häufige Fragen

### Muss ich jedes KI-generierte Bild auf meiner Website kennzeichnen?

Nein. Die Kennzeichnungspflicht nach Artikel 50 Absatz 4 des EU AI Act betrifft Deep Fakes — also KI-Inhalte, die echten Personen, Orten oder Ereignissen täuschend ähnlich sehen und fälschlicherweise als echt wahrgenommen werden könnten. Eine abstrakte Illustration, ein generiertes Hintergrundmuster oder eine stilisierte Grafik fällt nicht darunter.

### Gilt der EU AI Act auch für Schweizer Unternehmen?

Ja, wenn ein EU-Marktbezug besteht. Der AI Act wirkt extraterritorial: Wer KI-generierte Inhalte an Nutzer in der EU richtet — etwa über eine Website, die sich auch an deutsche oder österreichische Kunden wendet — muss die Transparenzpflichten einhalten. Ein rein schweizerisches Publikum ohne EU-Bezug ist nicht erfasst, in der Praxis ist diese Trennung aber selten sauber möglich.

### Sind die neuen EU-Icons Pflicht?

Nein, die Icons selbst sind freiwillig. Verpflichtend ist die Kennzeichnung als solche — wie sie erfolgt, bleibt offen. Die EU-Icons bieten aber eine standardisierte, wiedererkennbare Lösung, die von den Behörden als angemessen anerkannt ist. Wer sie nutzt, ist auf der sicheren Seite.

### Muss ich Blog-Artikel kennzeichnen, die mit KI-Unterstützung geschrieben wurden?

In den meisten Fällen nein. Die Pflicht für KI-Texte greift nur bei Texten zu Angelegenheiten von öffentlichem Interesse, die ohne menschliche Überprüfung und ohne redaktionelle Verantwortung veröffentlicht werden. Sobald ein Mensch den Text prüft, überarbeitet und die Verantwortung für die Veröffentlichung trägt, entfällt die Kennzeichnungspflicht.

### Welche Strafen drohen bei Verstössen gegen die Transparenzpflichten?

Verstösse gegen Artikel 50 des EU AI Act können mit Bussgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist. Die Durchsetzung beginnt mit der Geltung der Pflichten am 2. August 2026.

### Was hat der Cookie-Banner mit dem AI Act zu tun?

Direkt nichts — es sind zwei verschiedene Rechtsgebiete. Aber beide gehören zur gleichen Frage: Ist meine Website rechtlich sauber aufgestellt? Wer jetzt seine Website auf den AI Act prüft, sollte im gleichen Zug Cookie-Einwilligung, Datenschutzerklärung und Impressum kontrollieren.

---

# Consent-Log: Wie lange muss ich Cookie-Einwilligungen aufbewahren?

Quelle: https://www.aiara.ch/blog/consent-log-aufbewahrung
Veröffentlicht: 2026-07-05

«Können Sie belegen, dass dieser Besucher dem Marketing-Cookie zugestimmt hat?» Wenn diese Frage kommt — von einer Aufsichtsbehörde, einem Anwalt oder einer betroffenen Person im Auskunftsbegehren —, entscheidet ein einziges Dokument über Ihre Position: das Consent-Log. Wer Cookie-Einwilligungen sauber dokumentiert, beantwortet die Frage in Minuten. Wer nur ein Banner betreibt, aber nichts protokolliert, steht mit leeren Händen da.

Die häufigste Anschlussfrage lautet: Wie lange müssen diese Protokolle aufbewahrt werden? Die ehrliche Antwort vorweg: Eine gesetzliche Frist gibt es nicht. Was stattdessen gilt, welche Leitplanken die Aufbewahrungsdauer bestimmen und was ein Consent-Log enthalten muss, damit es im Ernstfall trägt — der Überblick.

## Was ist ein Consent-Log — und wozu braucht es das?

Ein Consent-Log ist das fortlaufende Protokoll aller Einwilligungen und Widerrufe, die Besucher über Ihr Cookie-Banner erteilen — Ihr Beweismittel für den Fall, dass Sie eine Einwilligung nachweisen müssen.

Die Pflicht dazu steht in der europäischen [Datenschutz-Grundverordnung (DSGVO)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) schwarz auf weiss: Nach Art. 7 Abs. 1 muss der Verantwortliche «nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat». Wer Tracking auf eine Einwilligung stützt, ohne sie zu dokumentieren, verletzt diese Nachweispflicht — unabhängig davon, wie korrekt das Banner gestaltet ist. Dazu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Die Einhaltung der Grundsätze müssen Sie nicht nur sicherstellen, sondern belegen können.

Das Schweizer [Bundesgesetz über den Datenschutz (DSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) kennt dagegen keine ausdrückliche Consent-Log-Pflicht. Daraus zu schliessen, die Dokumentation sei in der Schweiz freiwillig, wäre trotzdem ein Fehlschluss: Wer eine Datenbearbeitung auf eine Einwilligung stützt, trägt im Streitfall die Beweislast dafür, dass sie erteilt wurde — das folgt aus dem allgemeinen Beweisrecht. Ohne Protokoll bleibt nur die Behauptung. Was das Gesetz sonst verlangt, fasst unser [Ratgeber zum Datenschutzgesetz](/dsg) zusammen. Und sobald Ihre Website Besucher aus dem EU-Raum anspricht, gilt die DSGVO-Nachweispflicht ohnehin direkt.

## Was gehört in ein Consent-Log?

Ein belastbares Consent-Log beantwortet vier Fragen: Wer hat wann worin eingewilligt — und auf welcher Grundlage? Konkret gehören fünf Angaben in jeden Eintrag:

- **Zeitstempel** — Datum und Uhrzeit der Entscheidung, sekundengenau.
- **Consent-Version** — welcher Bannertext, welche Zwecke und welche Dienste galten im Moment der Einwilligung? Ändert sich das Banner, muss nachvollziehbar bleiben, worauf sich ältere Einwilligungen bezogen.
- **Kategorien-Auswahl** — was genau wurde akzeptiert oder abgelehnt: alles, nur Statistik, nur Marketing? Ein pauschales «hat zugestimmt» genügt nicht, wenn das Banner eine differenzierte Auswahl anbietet.
- **Pseudonymisierte Kennung** — eine zufällige Besucher-ID oder eine gehashte IP-Adresse, damit sich der Eintrag einer Person zuordnen lässt. Die IP-Adresse im Klartext hat im Consent-Log nichts verloren: Sie wäre selbst ein Personendatum, dessen Vorratsspeicherung mehr Risiko schafft als Nutzen — Datensparsamkeit gilt auch für Beweismittel.
- **Widerrufe und Änderungen** — jede spätere Anpassung der Auswahl als neuer Eintrag, damit die Historie lückenlos bleibt.

Ein Screenshot des Banners ersetzt das alles nicht: Er zeigt, was Besucher gesehen haben, aber nicht, was ein einzelner Besucher entschieden hat. Wer eine Cookie-Einwilligung dokumentieren will, braucht das Protokoll pro Entscheidung — der Screenshot ist nur die sinnvolle Beilage dazu.

## Wie lange müssen Cookie-Einwilligungen aufbewahrt werden?

Die kurze, ehrliche Antwort: Weder das DSG noch die DSGVO nennen eine fixe Aufbewahrungsfrist für Consent-Logs. Wer Ihnen «gesetzlich vorgeschriebene fünf Jahre» oder eine andere Zahl als Pflicht verkauft, verkauft eine Erfindung. Statt einer Frist gibt es zwei Leitplanken, aus denen sich die Dauer ableitet.

**Leitplanke 1: Solange die Bearbeitung auf der Einwilligung beruht.** Der Nachweis muss verfügbar sein, solange Sie sich auf die Einwilligung stützen — also solange die Cookies gesetzt werden und die damit verbundene Datenbearbeitung läuft. Ein Log zu löschen, während das Tracking weiterläuft, wäre widersprüchlich: Genau dann brauchen Sie den Beleg.

**Leitplanke 2: Solange Ansprüche geltend gemacht werden können.** Auch nach dem Ende der Bearbeitung kann eine betroffene Person klagen oder eine Behörde prüfen. Eine Orientierung bieten die allgemeinen Verjährungsregeln: In der Schweiz verjähren ausservertragliche Ansprüche je nach Konstellation drei Jahre nach Kenntnis, absolut nach zehn Jahren; in Deutschland wird häufig die dreijährige Regelverjährung als Anhaltspunkt genannt. Das sind Orientierungsgrössen aus dem Haftungsrecht — keine Datenschutz-Fristen.

In der Praxis läuft das meist auf eine Aufbewahrung von wenigen Jahren hinaus; verbreitet sind Modelle, die Detaildaten zwei bis drei Jahre im direkten Zugriff halten und danach archivieren. Wichtig ist die Einordnung: Das sind Praxiswerte, abgeleitet aus Verjährung und Verhältnismässigkeit — keine gesetzlichen Vorgaben.

Und die Gegenrichtung gilt genauso: Consent-Logs ewig aufzubewahren, ist keine Sicherheitsreserve, sondern ein eigenes Problem. Auch das Log enthält Personendaten, und die Grundsätze der Verhältnismässigkeit und der Speicherbegrenzung gelten für Beweismittel genauso. Wer zehn Jahre alte Detail-Logs hortet, für die er keinen Aufbewahrungsgrund mehr nennen kann, verletzt genau die Prinzipien, deren Einhaltung das Log beweisen soll. Die Balance: Detaildaten so lange, wie sich die Aufbewahrung begründen lässt, danach löschen oder verdichtet archivieren — und die gewählte Frist samt Begründung intern festhalten. Eine dokumentierte, begründete Entscheidung überzeugt eine Behörde mehr als jede pauschale Zahl.

## Widerruf und Re-Consent: Was das Log zusätzlich abbilden muss

Ein Consent-Log, das nur Zustimmungen kennt, ist die halbe Dokumentation — genauso wichtig ist der Nachweis, dass Widerrufe funktionieren und respektiert wurden.

Die DSGVO verlangt in Art. 7 Abs. 3, dass der Widerruf so einfach ist wie die Erteilung. Für das Log heisst das: Ruft ein Besucher die Cookie-Einstellungen erneut auf und deaktiviert eine Kategorie, entsteht ein neuer Eintrag mit Zeitstempel. Erst die Kette «Einwilligung am 5. März, Widerruf am 12. Juni» belegt, dass Ihr System Widerrufe technisch umsetzt — und ab wann Sie welche Cookies nicht mehr setzen durften.

Der zweite Fall ist der Re-Consent: Binden Sie neue Dienste ein oder erweitern Sie die Zwecke — etwa um ein zusätzliches Marketing-Tool —, deckt die alte Einwilligung die neue Bearbeitung nicht ab. Das Banner muss erneut fragen. Für das Log bedeutet das zweierlei: Die neue Einwilligung wird mit der neuen Consent-Version protokolliert, und die alten Einträge bleiben erhalten — sie belegen weiterhin, dass die frühere Bearbeitung rechtmässig war. Rein kosmetische Änderungen wie Farben oder eine sprachliche Glättung ohne inhaltliche Auswirkung lösen dagegen keinen Re-Consent aus.

## Consent-Log in der Praxis: Export, Archivierung, Anbieterwechsel

Drei Situationen entscheiden darüber, ob Ihr Consent-Log im Alltag wirklich trägt: die Prüfung, die Langzeit-Aufbewahrung und der Wechsel des Anbieters.

**Export für Audits.** Ob Datenschutzbehörde, Auditor oder Anwalt der Gegenseite: Verlangt jemand den Nachweis, brauchen Sie die Logs in einem lesbaren Format — als CSV-Datei oder Bericht, gefiltert nach Zeitraum und Domain. Ein Log, das nur in der Datenbank des Anbieters existiert und sich nicht exportieren lässt, ist im Ernstfall wertlos. Prüfen Sie den Export, bevor Sie ihn brauchen.

**Archivierung statt Datenfriedhof.** Auf gut besuchten Websites wachsen Detail-Logs schnell auf Hunderttausende Einträge. Für ältere Zeiträume genügt eine verdichtete Form: periodische Exporte plus aggregierte Statistiken, während die Detaildaten aus der aktiven Datenbank gelöscht werden. Das hält das System schlank und setzt die Speicherbegrenzung um, ohne den Nachweis aufzugeben.

**Anbieterwechsel.** Der kritischste Moment im Lebenszyklus eines Consent-Logs: Kündigen Sie Ihr Consent-Tool, verschwinden mit dem Konto meist auch die Logs — und damit der Nachweis für die gesamte bisherige Laufzeit. Exportieren Sie deshalb sämtliche Consent-Logs, bevor Sie den alten Vertrag beenden, und archivieren Sie die Exporte intern. Worauf beim Umstieg sonst zu achten ist, zeigt unser [Wechsel-Guide](/wechsel).

## Wie Aiara das Consent-Log führt

Bei Aiara ist das Consent-Log kein Zusatzmodul, sondern Teil jeder Banner-Installation — mit den Punkten aus diesem Artikel als Voreinstellung statt als Option.

Jede Entscheidung eines Besuchers wird serverseitig protokolliert: Zeitstempel, gewählte Kategorien, Art der Aktion und die aufgerufene Seite. Die IP-Adresse speichert Aiara dabei nie im Klartext, sondern ausschliesslich als SHA-256-Hash mit geheimem Schlüssel — die pseudonymisierte Kennung aus dem Kapitel oben. Widerrufe und geänderte Auswahlen erzeugen neue Einträge, die Historie bleibt lückenlos.

Für die Aufbewahrung sorgt eine automatische Archivierung: Detail-Einträge werden nach 24 Monaten in monatliche CSV-Archive überführt und zusätzlich als aggregierte Statistik gesichert; danach verschwinden sie aus der aktiven Datenbank. So bleibt der Nachweis erhalten, ohne dass ein Datenfriedhof entsteht. Für Audits und einen allfälligen Wechsel gilt: Die Logs gehören Ihnen und lassen sich jederzeit exportieren. Welche Daten dabei wo liegen, dokumentiert das [Trust Center](/vertrauen) transparent.

Damit wird aus der Aufbewahrungsfrage das, was sie sein sollte: eine Abwägung, die Sie einmal begründet treffen — und die danach automatisiert läuft, statt eine offene Flanke zu bleiben.

## Häufige Fragen

### Gibt es eine gesetzliche Aufbewahrungsfrist für Cookie-Einwilligungen?

Nein. Weder das Schweizer Datenschutzgesetz noch die europäische Datenschutz-Grundverordnung nennen eine fixe Frist für Consent-Logs. Massgeblich sind zwei Leitplanken: Der Nachweis muss verfügbar sein, solange die Datenbearbeitung auf der Einwilligung beruht — und solange rechtliche Ansprüche denkbar sind, wofür die allgemeinen Verjährungsregeln eine Orientierung bieten. Verbreitete Praxismodelle halten Detaildaten zwei bis drei Jahre im Zugriff und archivieren danach; das ist eine begründete Abwägung, keine gesetzliche Vorgabe.

### Muss die IP-Adresse im Consent-Log gespeichert werden?

Nein — und im Klartext sollte sie es auch nicht. Für den Nachweis genügt eine pseudonymisierte Kennung, etwa eine zufällige Besucher-ID oder eine gehashte IP-Adresse. Die Klartext-IP wäre selbst ein Personendatum und widerspricht der Datensparsamkeit: Das Consent-Log soll die Einhaltung des Datenschutzes beweisen, nicht neue Risiken schaffen.

### Reicht ein Screenshot des Cookie-Banners als Nachweis?

Nein. Ein Screenshot belegt, wie das Banner aussah — aber nicht, dass ein bestimmter Besucher zu einem bestimmten Zeitpunkt eingewilligt hat. Für den Nachweis nach Art. 7 Abs. 1 der Datenschutz-Grundverordnung braucht es ein Protokoll pro Entscheidung: Zeitstempel, Kategorien-Auswahl, Consent-Version und eine pseudonymisierte Kennung. Als Ergänzung ist der Screenshot trotzdem sinnvoll, um das damalige Banner-Design zu dokumentieren.

### Was passiert mit dem Consent-Log bei einem Anbieterwechsel?

Exportieren Sie sämtliche Logs, bevor Sie den alten Vertrag kündigen — mit der Kontolöschung sind die Daten beim bisherigen Anbieter in der Regel unwiederbringlich weg, und mit ihnen der Nachweis für die gesamte bisherige Laufzeit. Archivieren Sie die Exporte intern und prüfen Sie beim neuen Anbieter vor der Unterschrift, ob Export und Archivierung eingebaut sind.

### Wann muss ich Besucher erneut um Einwilligung bitten?

Immer dann, wenn sich der Inhalt der Einwilligung ändert: neue Dienste, neue Zwecke oder neue Kategorien im Banner. Die alte Einwilligung deckt nur ab, was zum Zeitpunkt der Erteilung erkennbar war. Rein optische Anpassungen lösen dagegen keinen Re-Consent aus. Wichtig für das Log: Die neue Einwilligung wird mit neuer Consent-Version protokolliert, und die alten Einträge bleiben als Nachweis für die Vergangenheit erhalten.

---

# Auftragsverarbeitungsvertrag (AVV) in der Schweiz: Wann Sie ihn brauchen — mit Checkliste

Quelle: https://www.aiara.ch/blog/auftragsverarbeitungsvertrag-avv-schweiz
Veröffentlicht: 2026-07-03

«Haben wir mit unserem Hoster eigentlich einen Vertrag über die Daten?» Diese Frage stelle ich Schweizer KMU regelmässig — und die häufigste Antwort ist ein Schulterzucken. Dabei ist der Auftragsverarbeitungsvertrag (AVV) keine Kür für Konzerne, sondern eine gesetzliche Pflicht, sobald ein Dienstleister Personendaten für Sie bearbeitet. Also praktisch immer.

Wann Sie einen AVV brauchen, was hineingehört und warum Sie ein Muster aus dem Internet nie ungeprüft übernehmen sollten — eine Praxisanleitung mit Checkliste.

## Auftragsbearbeitung oder Auftragsverarbeitung? Zwei Begriffe, eine Sache

Zuerst die Begriffsklärung, die in der Schweiz regelmässig für Verwirrung sorgt. Das [Bundesgesetz über den Datenschutz (DSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) spricht in Art. 9 von «Auftragsbearbeitung»: Ein Verantwortlicher lässt Personendaten durch einen Auftragsbearbeiter bearbeiten. Die europäische [Datenschutz-Grundverordnung (DSGVO)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) nennt dasselbe Konzept in Art. 28 «Auftragsverarbeitung» — mit dem Auftragsverarbeiter als Gegenstück.

Gemeint ist in beiden Fällen dieselbe Konstellation: Sie bestimmen über Zweck und Mittel der Datenbearbeitung, ein Dritter führt sie in Ihrem Auftrag aus. Der Vertrag dazu heisst im DACH-Raum fast überall Auftragsverarbeitungsvertrag, kurz AVV — auch in der Schweiz hat sich dieser Begriff durchgesetzt, englisch Data Processing Agreement. Wer nach «avv muster schweiz» sucht, meint also genau das Dokument, das Art. 9 DSG und Art. 28 DSGVO verlangen.

## Wann brauchen Sie einen AVV?

Die Faustregel: Sobald ein externer Dienstleister Personendaten bearbeitet, über deren Zweck Sie bestimmen, braucht es einen AVV. «Bearbeiten» ist dabei weit gefasst — schon das blosse Speichern oder der technische Zugriff genügt.

Typische Fälle bei Schweizer KMU:

- **Hosting-Provider** — Ihre Webseite mit Kontaktformular liegt auf fremden Servern; der Hoster speichert damit Personendaten für Sie.
- **Newsletter-Tools** (Brevo, Mailchimp) — E-Mail-Adressen Ihrer Abonnenten liegen beim Anbieter.
- **Cloud-Speicher und Office-Suiten** (Microsoft 365, Google Workspace) — Kundendossiers, Personalunterlagen, E-Mail-Verkehr.
- **CRM- und Buchhaltungs-Software** — Kundendaten, Zahlungsinformationen.
- **Webagenturen mit Wartungszugriff** — wer für Updates Zugriff auf die Live-Datenbank hat, bearbeitet Personendaten in Ihrem Auftrag.
- **Cookie-Consent-Anbieter** — oft übersehen: Die protokollierten Einwilligungen enthalten Zeitstempel und technische Kennungen. Auch Ihr Consent-Tool ist ein Auftragsverarbeiter.

Die Liste zeigt: Ein durchschnittliches KMU hat nicht einen, sondern fünf bis fünfzehn Auftragsverarbeiter. Für jeden einzelnen braucht es einen Vertrag.

## Wann brauchen Sie keinen AVV?

Genauso wichtig ist die Abgrenzung. Kein AVV nötig ist bei Stellen, die Personendaten **eigenverantwortlich** bearbeiten — also selbst über Zweck und Mittel entscheiden. Klassische Beispiele: die Bank bei der Zahlungsabwicklung, die Post beim Versand, der Anwalt im Mandat, die Revisionsstelle bei der Prüfung. Diese sind selbst Verantwortliche, keine Auftragsverarbeiter.

Ebenfalls kein AVV nötig ist bei Diensten, die gar keine Personendaten berühren — etwa ein Lizenzanbieter für Schriften, die Sie lokal einbinden. Im Zweifel hilft die Kontrollfrage: «Könnte dieser Anbieter theoretisch auf Personendaten zugreifen, die ich zu verantworten habe?» Wenn ja, sprechen Sie über einen AVV.

Ein Sonderfall, der gerade Webagenturen betrifft: Dieselbe Firma kann beide Rollen gleichzeitig einnehmen. Die Agentur, die für ihre Kunden Webseiten wartet, ist dabei Auftragsverarbeiterin — für die eigene Kundenkartei und Rechnungsstellung ist sie aber selbst Verantwortliche. Entscheidend ist immer die konkrete Bearbeitung, nicht das Firmenschild. Wer als Agentur Kundenprojekte betreut, sollte deshalb jedem Kunden von sich aus einen AVV anbieten — das ist längst ein Professionalitätsmerkmal.

## Was Art. 9 DSG konkret verlangt

Das Schweizer Gesetz ist bei der Auftragsbearbeitung erfreulich kompakt. Art. 9 DSG stellt vier Bedingungen:

1. Die Bearbeitung darf nur so erfolgen, wie Sie selbst sie vornehmen dürften.
2. Keine gesetzliche oder vertragliche Geheimhaltungspflicht darf die Auslagerung verbieten.
3. Grundlage ist ein **Vertrag oder das Gesetz** — hier kommt der AVV ins Spiel.
4. Der Auftragsbearbeiter darf die Bearbeitung nur mit Ihrer **vorgängigen Genehmigung** an Dritte weitergeben — Stichwort Unterauftragsverarbeiter.

Dazu kommt die allgemeine Pflicht zur Datensicherheit (Art. 8 DSG): Sie müssen sich vergewissern, dass der Dienstleister die Daten angemessen schützt. Die DSGVO formuliert in Art. 28 dieselbe Logik, aber deutlich detaillierter — sie schreibt einen Katalog von Mindestinhalten für den Vertrag vor. Wer Kundschaft im EU-Raum hat, orientiert sich deshalb sinnvollerweise am strengeren DSGVO-Standard und deckt damit das DSG gleich mit ab.

## Die Checkliste: Was in jeden AVV gehört

Ob Sie den AVV eines Anbieters prüfen oder ein Muster als Ausgangspunkt nehmen — diese Punkte müssen geregelt sein:

- [ ] **Gegenstand und Dauer** — Welche Leistung wird erbracht, wie lange läuft der Vertrag, was passiert bei Kündigung?
- [ ] **Art und Zweck der Bearbeitung** — Datenkategorien und Kreis der betroffenen Personen (Kunden, Mitarbeitende, Webseitenbesucher).
- [ ] **Weisungsbindung** — Der Dienstleister bearbeitet Daten ausschliesslich nach Ihren dokumentierten Weisungen, nie für eigene Zwecke.
- [ ] **Vertraulichkeit** — Alle Personen mit Datenzugriff sind zur Verschwiegenheit verpflichtet.
- [ ] **Technische und organisatorische Massnahmen** — Verschlüsselung, Zugriffskontrolle, Backups; konkret beschrieben, nicht nur «angemessene Sicherheit» als Floskel.
- [ ] **Unterauftragsverarbeiter** — Liste der eingesetzten Subdienstleister, Genehmigungsmechanismus und Informationspflicht bei Wechseln.
- [ ] **Unterstützungspflichten** — Der Dienstleister hilft bei Auskunftsbegehren betroffener Personen und meldet Datenpannen unverzüglich.
- [ ] **Löschung und Rückgabe** — Nach Vertragsende werden die Daten zurückgegeben oder nachweisbar gelöscht.
- [ ] **Auditrechte** — Sie dürfen die Einhaltung überprüfen oder anerkannte Nachweise (etwa Zertifizierungen oder Prüfberichte) verlangen.
- [ ] **Datenexporte ins Ausland** — Wo stehen die Server, welche Garantien decken einen Export ab (etwa Standardvertragsklauseln)?

Fehlt einer dieser Punkte, ist der Vertrag lückenhaft — und im Ernstfall stehen Sie in der Beweispflicht.

## Gilt ein DSGVO-AVV auch für das DSG?

Die Frage kommt in jeder Beratung: Der US-Cloud-Anbieter legt einen DSGVO-Vertrag vor — reicht das für die Schweiz? Die kurze Antwort: inhaltlich fast immer, formal lohnt sich ein Blick auf zwei Punkte.

Erstens sollte der Vertrag das Schweizer Datenschutzrecht ausdrücklich einschliessen — viele internationale Anbieter haben ihre AVV inzwischen um eine Schweiz-Klausel ergänzt. Zweitens verlangt Art. 9 Abs. 3 DSG die vorgängige Genehmigung von Unterauftragsverarbeitern; eine reine Widerspruchslösung, wie sie manche DSGVO-Verträge vorsehen, sollte deshalb sauber als generelle Genehmigung mit Informationspflicht ausgestaltet sein. Sind beide Punkte abgedeckt, fahren Sie mit dem DSGVO-Vertrag auch unter dem DSG gut.

## Warum wir hier kein Muster zum Kopieren anbieten

Ein Wort zur Erwartungshaltung: Sie finden in diesem Artikel bewusst keinen Vertragstext zum Herauskopieren. Ein AVV regelt Haftungsfragen — und ein Muster, das nicht zu Ihrer Konstellation passt, schafft mehr Risiken, als es löst. Wer garantiert im Streitfall, dass die kopierten technischen und organisatorischen Massnahmen beim konkreten Dienstleister überhaupt existieren?

Ein seriöses AVV-Muster für die Schweiz erkennen Sie daran, dass es alle zehn Punkte der obigen Checkliste abdeckt, das DSG ausdrücklich nennt und Platz für die konkreten Angaben lässt: Datenkategorien, Subdienstleister, Serverstandorte. Diese Lücken müssen Sie füllen — sonst ist das Muster juristisch wertlos, wie bei Datenschutzerklärungen aus der Vorlage auch.

## So bauen Sie Ihr AVV-Inventar auf

Bevor Sie Verträge prüfen, brauchen Sie die Übersicht: Welche Dienstleister bearbeiten überhaupt Personendaten für Sie? Drei Quellen liefern die Liste in einer Stunde:

1. **Die eigene Datenschutzerklärung** — dort sollten alle Empfänger von Personendaten bereits aufgeführt sein. Ist sie aktuell, ist sie Ihr bestes Inventar.
2. **Ein Cookie-Scan der Webseite** — er zeigt, welche Drittdienste tatsächlich eingebunden sind, inklusive der Tools, die niemand mehr auf dem Radar hatte.
3. **Die Kreditorenbuchhaltung** — jede wiederkehrende Software-Rechnung ist ein Kandidat. Wer monatlich zahlt, bearbeitet mit hoher Wahrscheinlichkeit auch Daten.

Für jeden Eintrag halten Sie fest: Liegt ein AVV vor, in welcher Version, mit welchem Datum — und wo ist er abgelegt? Diese simple Tabelle ist im Auditfall mehr wert als jeder Ordner voller ungelesener Vertrags-PDFs. Bei Anbietern mit Servern ausserhalb der Schweiz und der EU notieren Sie zusätzlich die Exportgrundlage, meist die Standardvertragsklauseln mit Schweizer Anpassungen.

## Drei Fehler aus der Praxis

**Fehler 1 — Die «kleinen» Tools vergessen.** Der AVV mit Microsoft ist abgeschlossen, aber das Terminbuchungs-Tool, der Chat-Widget-Anbieter und das Consent-Tool laufen ohne Vertrag. Gerade die kleinen Dienste werden bei Audits zuerst gefunden.

**Fehler 2 — Unterschreiben und ablegen.** Der AVV wurde 2023 abgeschlossen, seither hat der Anbieter dreimal die Subdienstleister-Liste geändert. Wer die Änderungsmitteilungen ignoriert, genehmigt faktisch blind — und verletzt die eigene Prüfpflicht.

**Fehler 3 — Kein Nachweis.** Im Ernstfall fragt die Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) oder ein Anwalt der Gegenseite: «Welche Vertragsversion galt am Tag der Datenpanne?» Ein PDF irgendwo im Mail-Archiv, ohne Versionsstand und Abschlussdatum, ist ein schwacher Beleg.

## Wie Aiara das für seine Kunden löst

Auch Aiara ist als Cookie-Consent-Anbieter ein Auftragsverarbeiter seiner Kunden — die Einwilligungs-Protokolle sind Personendaten. Deshalb gibt es den AVV bei Aiara als Self-Service im [Trust Center](/vertrauen): Sie schliessen den Vertrag digital ab, in Deutsch, Französisch, Italienisch oder Englisch. Jeder Abschluss wird mit einem SHA-256-Hash versehen — einem kryptographischen Fingerabdruck des Dokuments, der jederzeit beweist, welche Vertragsversion Sie wann akzeptiert haben. Kein Papierkrieg, kein Mail-Pingpong, und der Nachweis für Audits liegt dauerhaft abrufbar bereit.

Genau so sollte der AVV-Abschluss 2026 bei jedem Ihrer Dienstleister funktionieren. Wo er es nicht tut, wissen Sie jetzt, wonach Sie fragen müssen — die Checkliste oben ist Ihr Prüfraster.

## Häufige Fragen

### Brauche ich mit jedem Tool einen AVV?

Nein — nur mit Dienstleistern, die Personendaten in Ihrem Auftrag bearbeiten. Das trifft auf Hosting, Newsletter-Tools, Cloud-Speicher, CRM-Systeme und Cookie-Consent-Anbieter praktisch immer zu. Kein AVV nötig ist bei Diensten ohne Personendaten-Zugriff (etwa ein reiner Font-Lizenzanbieter) oder bei Stellen, die eigenverantwortlich bearbeiten, wie Banken, Anwälte oder die Post.

### Gilt ein DSGVO-AVV auch für das DSG?

Weitgehend ja. Die Anforderungen von Art. 28 DSGVO sind detaillierter als jene von Art. 9 DSG — wer einen sauberen DSGVO-Vertrag hat, deckt die Schweizer Pflichten inhaltlich fast vollständig ab. Prüfen sollten Sie zwei Punkte: ob das Schweizer Datenschutzrecht als anwendbares Recht erwähnt wird und ob die Genehmigung von Unterauftragsverarbeitern geregelt ist, wie sie Art. 9 Abs. 3 DSG verlangt.

### Was passiert, wenn ich keinen AVV habe?

Das revidierte Datenschutzgesetz sanktioniert die Auslagerung der Datenbearbeitung ohne die Voraussetzungen von Art. 9 DSG mit Busse bis CHF 250'000 — gerichtet an die verantwortliche natürliche Person, typischerweise die Geschäftsführung. Dazu kommt das praktische Risiko: Bei einer Datenpanne beim Dienstleister stehen Sie ohne vertragliche Regelung zu Meldepflichten, Unterstützung und Haftung da.

### Wer muss den AVV vorlegen — Kunde oder Anbieter?

Rechtlich sind Sie als Verantwortlicher in der Pflicht, dafür zu sorgen, dass ein Vertrag existiert. In der Praxis stellen professionelle Anbieter einen Standard-AVV bereit, den Sie prüfen und abschliessen. Fehlt ein solches Angebot komplett, ist das ein Warnsignal für die Datenschutz-Reife des Anbieters.

### Muss ein AVV handschriftlich unterschrieben werden?

Nein. Die DSGVO verlangt einen Vertrag «schriftlich, was auch in einem elektronischen Format erfolgen kann», das DSG ist noch offener formuliert. Ein digitaler Abschluss ist zulässig — wichtig ist die Nachweisbarkeit: Wer hat wann welche Vertragsversion akzeptiert? Ein Integritätsnachweis wie ein SHA-256-Hash des Dokuments macht den Nachweis belastbar.

---

# Cookie-Banner für Onlineshops in der Schweiz: Shopify, WooCommerce & Co. richtig einrichten

Quelle: https://www.aiara.ch/blog/cookie-banner-onlineshop-schweiz
Veröffentlicht: 2026-06-30

Eine Firmen-Webseite mit Kontaktformular kommt oft mit einer Handvoll Cookies aus. Ein Onlineshop nicht: Werbe-Pixel messen Conversions, Retargeting-Dienste folgen Warenkorbabbrechern quer durchs Netz, Zahlungsdienstleister setzen Sicherheits-Cookies, Bewertungswidgets laden Skripte von Drittservern. Und wer in die EU verkauft, muss neben dem Schweizer Datenschutzgesetz fast immer auch die europäische Datenschutz-Grundverordnung einhalten. Dieser Beitrag zeigt, warum für Onlineshops strengere Massstäbe gelten, welche Cookies und Dienste typisch sind — und wie Sie das Cookie-Banner in Shopify, WooCommerce und anderen Shopsystemen konkret einrichten.

## Warum Onlineshops mehr Pflichten haben als Broschüren-Webseiten

Der Unterschied liegt nicht im Gesetz — es gelten dieselben Regeln wie für jede andere Webseite. Der Unterschied liegt darin, was ein Shop technisch tut. Drei Punkte machen den Abstand aus:

**Erstens: Shops tracken deutlich mehr.** Ein durchschnittlicher Schweizer Onlineshop setzt gut 40 Cookies — eine Visitenkarten-Webseite kommt auf 8 bis 10. Der Grund ist der Marketing-Stack: Conversion-Tracking für Google Ads und Meta, Retargeting-Pixel für Warenkorbabbrecher, E-Mail-Marketing-Tools mit eigenem Besucher-Tracking, Bewertungswidgets, Live-Chat. Jeder dieser Dienste bringt eigene Cookies mit — und die meisten davon sind zustimmungspflichtig, dürfen also erst nach einem Klick auf «Akzeptieren» laden.

**Zweitens: Fast jeder Shop ist DSGVO-relevant.** Hier greift das sogenannte Marktortprinzip: Die Datenschutz-Grundverordnung gilt für jedes Unternehmen, das erkennbar Kundschaft in der EU anspricht — unabhängig vom Firmensitz. Wer nach Deutschland oder Österreich liefert, Preise in Euro anzeigt oder eine .de-Domain betreibt, erfüllt dieses Kriterium in aller Regel. Für Schweizer Shops heisst das: Es gilt nicht nur das mildere Schweizer Recht, sondern zusätzlich die strengere europäische Verordnung — mit aktiver Einwilligungspflicht, bevor Marketing-Skripte überhaupt laden. Was das im Detail bedeutet, erklärt unser [DSGVO-Ratgeber](/dsgvo).

**Drittens: Die Datenschutzerklärung braucht E-Commerce-Angaben.** Ein Shop gibt Personendaten an deutlich mehr Empfänger weiter als eine Broschüren-Webseite: an den Zahlungsdienstleister (Stripe, PostFinance, Twint), an Versandpartner wie die Post oder DHL, bei Kauf auf Rechnung oft an einen Anbieter für die Bonitätsprüfung, dazu Newsletter-Dienst und Shop-Hosting. All diese Datenflüsse gehören in die Datenschutzerklärung — inklusive Angabe, in welches Land die Daten fliessen. Wie Sie eine vollständige Datenschutzerklärung aufbauen, zeigt unsere [Schritt-für-Schritt-Anleitung](/blog/datenschutzerklaerung-schweiz-erstellen).

## Typische Cookies und Dienste in Schweizer Onlineshops

Die folgende Übersicht zeigt, was bei Shop-Scans am häufigsten auftaucht — und wie die Dienste einzuordnen sind:

| Dienst | Typische Cookies | Zweck | Kategorie |
|--------|------------------|-------|-----------|
| Meta Pixel | _fbp, _fbc | Retargeting, Conversion-Messung | Marketing |
| Google Ads | _gcl_au, _gcl_aw | Conversion-Tracking | Marketing |
| TikTok Pixel | _ttp, ttwid | Retargeting, Conversion-Messung | Marketing |
| Google Analytics | _ga, _ga_* | Shop-Statistik | Statistik |
| Klaviyo | __kla_id | E-Mail-Marketing, Warenkorbabbrecher | Marketing |
| Mailchimp | mailchimp_landing_page | Newsletter-Attribution | Marketing |
| Stripe | __stripe_mid, __stripe_sid | Betrugsprävention bei der Zahlung | Notwendig |
| PostFinance / Twint | Session-Cookies | Zahlungsabwicklung | Notwendig |
| Trusted Shops | Widget-Cookies | Bewertungen, Käuferschutz-Badge | Funktional |
| Shopsystem selbst | Warenkorb- und Session-Cookies | Warenkorb, Login, Checkout | Notwendig |

Die wichtigste Unterscheidung steckt in der rechten Spalte. **Zahlungs-Cookies sind technisch notwendig:** Ohne die Sicherheits- und Session-Cookies von Stripe, PostFinance oder Twint kommt keine Zahlung zustande — sie dürfen deshalb ohne Einwilligung gesetzt werden. Dasselbe gilt für Warenkorb- und Login-Cookies des Shopsystems. **Werbe-Pixel sind das Gegenteil:** Meta Pixel, Google Ads und TikTok Pixel dienen ausschliesslich dem Marketing und dürfen erst laden, wenn die Besucherin aktiv zugestimmt hat. Ein Banner, das diese Skripte schon vor der Einwilligung feuert, ist keine Formalie, sondern der häufigste Compliance-Fehler in Onlineshops überhaupt.

Bewertungswidgets wie Trusted Shops liegen dazwischen: Das Badge selbst ist funktional, je nach Konfiguration fliessen aber Daten an den Anbieter — hier lohnt ein Blick in den Scan-Bericht, welche Cookies das Widget konkret setzt.

Ein Sonderfall sind E-Mail-Marketing-Tools wie Klaviyo oder Mailchimp, weil sie zwei getrennte Einwilligungen brauchen, die in der Praxis oft verwechselt werden: Die Newsletter-Anmeldung mit Bestätigungsmail deckt nur den Versand von E-Mails ab. Das Besucher-Tracking derselben Tools auf der Shop-Webseite — etwa das Wiedererkennen von Warenkorbabbrechern für automatische Erinnerungsmails — ist davon nicht erfasst und braucht die Einwilligung über das Cookie-Banner. Wer das Tracking-Skript von Klaviyo ungefragt lädt, weil «die Kunden ja den Newsletter abonniert haben», verwechselt die beiden Ebenen.

## Einrichtung nach Plattform

### Shopify

Für Shopify bietet Aiara eine Integration ohne App-Installation: ein Liquid-Snippet, das Sie im Theme-Code-Editor als eigenes Snippet hinterlegen, mit Ihrer Domain-ID versehen und vor dem schliessenden `</head>` in `theme.liquid` einbinden. Das Banner erscheint danach automatisch auf allen Seiten des Shops — vom Produktkatalog bis zur Bestellbestätigung. Die Anleitung mit Download finden Sie auf der [Shopify-Seite](/shopify).

Zwei Shopify-Besonderheiten sollten Sie kennen. Erstens bringt Shopify mit der Customer Privacy API eine eigene Schnittstelle für Einwilligungssignale mit, auf die Shopify-eigene Funktionen und ein Teil der Apps aus dem App Store hören — es lohnt sich zu prüfen, welche Ihrer installierten Apps diese Signale respektieren und welche ihre Skripte unabhängig davon laden. Zweitens ist der App Store selbst die grösste Tracking-Quelle: Jede Bewertungs-, Upsell- oder E-Mail-App kann eigene Cookies und Pixel mitbringen. Nach jeder App-Installation gehört deshalb ein neuer Cookie-Scan auf die Checkliste.

### WooCommerce (WordPress)

Für WooCommerce-Shops läuft die Einrichtung über das Aiara-Plugin aus dem offiziellen WordPress-Verzeichnis: Plugin installieren, Domain-ID eintragen, fertig. Das Plugin blockiert zustimmungspflichtige Skripte automatisch, bis die Einwilligung vorliegt — die technisch notwendigen Warenkorb- und Session-Cookies von WooCommerce laufen dabei ungestört weiter, der Checkout funktioniert also auch bei abgelehntem Banner. Details und Download finden Sie auf der [WordPress-Seite](/wordpress).

Die typische WooCommerce-Falle ist der Plugin-Zoo: Ein durchschnittlicher WooCommerce-Shop hat 20 bis 30 Plugins installiert, und viele davon — Page Builder, Formular-Plugins, Social-Media-Feeds, Analytics-Erweiterungen — setzen eigene Cookies, von denen der Shopbetreiber nichts weiss. Ein automatischer Scan nach jedem grösseren Plugin-Update deckt auf, was sich eingeschlichen hat.

### Andere Shopsysteme

Für alle übrigen Systeme — Magento, PrestaShop, Shopware oder eine individuelle Agentur-Lösung — funktioniert das universelle Snippet: eine einzige Script-Zeile vor dem schliessenden `</head>` im Template, und das Banner läuft. Da das Snippet reines JavaScript ohne Abhängigkeiten ist, spielt das darunterliegende System keine Rolle. Wichtig ist nur, dass die Zeile auf allen Seiten ausgeliefert wird — auch im Checkout, wo viele Templates ein separates, abgespecktes Layout verwenden.

## Ohne Google Consent Mode V2 verlieren Sie Conversion-Daten

Für werbetreibende Shops ist ein Punkt geschäftskritisch: Seit März 2024 verlangt Google für Nutzerinnen und Nutzer aus dem Europäischen Wirtschaftsraum Einwilligungssignale nach dem Standard Google Consent Mode V2. Fehlen diese Signale, verarbeitet Google keine Conversion-Daten mehr — Ihre Google-Ads-Kampagnen laufen dann blind: Das Conversion-Tracking bricht ein, die automatische Gebotssteuerung verliert ihre Datengrundlage, und Remarketing-Listen füllen sich nicht mehr.

Ein korrekt konfiguriertes Banner löst das: Es übermittelt bei jeder Einwilligungsentscheidung die passenden Signale an Google. Stimmt die Besucherin zu, läuft das Tracking normal; lehnt sie ab, gleicht Google einen Teil der fehlenden Daten über modellierte Conversions statistisch aus — Sie behalten also auch bei Ablehnungen eine belastbare Datengrundlage. Wie der Google Consent Mode V2 im Detail funktioniert und was bei der Einrichtung zu beachten ist, erklärt unser [Beitrag zum Google Consent Mode V2](/blog/google-consent-mode-v2-schweiz).

## Checkliste: Cookie-Banner zum Shop-Launch

Vor dem Livegang — oder als Audit für den laufenden Shop — sollten diese Punkte abgehakt sein:

1. **Vollständiger Cookie-Scan** über alle Seitentypen: Startseite, Produktseiten, Warenkorb und Checkout — gerade im Checkout tauchen die Payment-Cookies auf
2. **Kategorisierung geprüft:** Zahlungs- und Warenkorb-Cookies als notwendig, alle Werbe-Pixel als Marketing
3. **Blockierung vor Einwilligung:** Marketing-Skripte laden nachweislich erst nach dem Klick auf «Akzeptieren» — im Inkognito-Fenster mit den Browser-Entwicklertools kontrollieren
4. **Google Consent Mode V2 aktiv**, falls Google Ads oder Google Analytics im Einsatz sind
5. **Datenschutzerklärung mit E-Commerce-Angaben:** Zahlungsdienstleister, Versandpartner, allfällige Bonitätsprüfung, Newsletter-Dienst
6. **Banner in allen Shopsprachen** — wer auf Französisch verkauft, braucht das Banner auf Französisch
7. **Ablehnen ist gleich einfach wie Akzeptieren** — keine versteckten Links, keine vorangekreuzten Häkchen
8. **Prozess für Änderungen:** Nach jeder neuen App, jedem neuen Plugin und jedem neuen Werbekanal wird neu gescannt

## Was droht, wenn das Banner fehlt?

Das Schweizer [Datenschutzgesetz](/dsg) sieht bei vorsätzlichen Verstössen Bussen bis CHF 250'000 vor — gerichtet nicht gegen das Unternehmen, sondern gegen die verantwortliche Person, typischerweise die Geschäftsführung. Unter der Datenschutz-Grundverordnung liegt der Rahmen bei bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, und die EU-Aufsichtsbehörden können auch gegen Schweizer Shops vorgehen, die EU-Kundschaft bedienen.

Realistischer als die Maximalbusse ist für die meisten Shops allerdings ein anderes Szenario: Abmahnungen aus Deutschland. Wer dorthin liefert, kann von Mitbewerbern oder Verbraucherschutzverbänden kostenpflichtig abgemahnt werden, wenn Tracking ohne Einwilligung läuft — ein etabliertes Geschäftsmodell, das Schweizer Händler regelmässig trifft. Dazu kommt der Reputationsschaden: Kundschaft, die einem Shop ihre Zahlungsdaten anvertraut, reagiert auf Datenschutz-Schlagzeilen empfindlicher als anderswo.

Die gute Nachricht: Der Aufwand für ein sauberes Setup ist überschaubar. Snippet oder Plugin einbinden, Scan laufen lassen, Kategorien prüfen, Google Consent Mode V2 aktivieren — damit ist ein Schweizer Onlineshop in der Regel an einem Nachmittag konform aufgestellt.

## Häufige Fragen

### Braucht mein Shopify-Shop in der Schweiz ein Cookie-Banner?

Ja, praktisch immer. Sobald zustimmungspflichtige Dienste laufen — Werbe-Pixel, Statistik-Tools, E-Mail-Marketing — braucht es ein Banner. Bei Onlineshops ist das der Normalfall: Schon die Standard-Kombination aus Google Ads, Meta Pixel und einem Newsletter-Tool ist ohne Einwilligung nicht zulässig, sobald Kundschaft aus der EU im Spiel ist. Das Schweizer Datenschutzgesetz verlangt zudem Transparenz über alle eingesetzten Dienste.

### Sind Zahlungs-Cookies von Stripe, PostFinance oder Twint zustimmungspflichtig?

Nein. Cookies, die für die sichere Zahlungsabwicklung und die Betrugsprävention erforderlich sind, gelten als technisch notwendig und dürfen ohne Einwilligung gesetzt werden — der Kauf käme sonst gar nicht zustande. Sie gehören aber trotzdem in die Cookie-Liste des Banners und in die Datenschutzerklärung, inklusive Angabe des Zahlungsdienstleisters.

### Gilt die DSGVO für meinen Schweizer Onlineshop?

Fast immer. Sobald Sie erkennbar Kundschaft in der EU ansprechen — etwa durch Lieferung nach Deutschland oder Österreich, Preise in Euro oder eine .de-Domain — greift das Marktortprinzip der Datenschutz-Grundverordnung, auch ohne Niederlassung in der EU. Dann gilt: aktive Einwilligung, bevor Marketing-Skripte laden, und keine vorangekreuzten Häkchen.

### Wie richte ich ein Cookie-Banner in WooCommerce ein?

Am einfachsten über ein Plugin aus dem offiziellen WordPress-Verzeichnis: Plugin installieren, Domain-ID eintragen, fertig. Das Aiara-Plugin blockiert Marketing-Skripte automatisch, bis die Einwilligung vorliegt — die Warenkorb- und Session-Cookies von WooCommerce selbst laufen als technisch notwendige Cookies weiter.

### Funktioniert mein Google-Ads-Conversion-Tracking noch mit Cookie-Banner?

Ja — mit Google Consent Mode V2. Das Banner meldet den Einwilligungsstatus an Google; seit März 2024 verarbeitet Google ohne diese Signale keine Conversion-Daten von Nutzerinnen und Nutzern aus dem Europäischen Wirtschaftsraum mehr. Lehnt jemand ab, gleicht Google einen Teil der fehlenden Daten über modellierte Conversions aus.

---

# Cookie-Banner-Checkliste für Webagenturen: 20 Punkte vor jedem Kunden-Launch

Quelle: https://www.aiara.ch/blog/cookie-banner-checkliste-agenturen
Veröffentlicht: 2026-06-23

Der Launch-Tag einer Kundenwebsite ist selten entspannt: DNS umgestellt, letzte Inhalte eingepflegt, der Kunde wartet auf die Freigabe-Mail. Genau in diesem Stress geht der Datenschutz am häufigsten unter — der Cookie-Banner läuft noch mit der Staging-Konfiguration, die Datenschutzerklärung stammt vom letzten Projekt, und das Google-Maps-iframe lädt fröhlich vor jeder Einwilligung.

Rechtlich verantwortlich für die Konformität ist der Betreiber der Website, also Ihr Kunde. Aber seien wir ehrlich: Der Kunde hat die Website bei Ihnen in Auftrag gegeben, weil er sich genau um solche Dinge nicht kümmern will. Liefert die Agentur eine nicht konforme Website ab, drohen ihr zwar keine direkten Bussen — wohl aber vertragliche Haftungsfragen aus dem Werkvertrag, unangenehme Diskussionen und ein Reputationsschaden, der teurer ist als jede Checkliste. Deshalb hier: 20 Punkte, die Sie vor jedem Kunden-Launch abhaken sollten — aufgeteilt in vier Blöcke: rechtlich, technisch, organisatorisch und Übergabe.

Ein Hinweis zur Anwendung: Die Checkliste funktioniert am besten als fester Bestandteil Ihres Launch-Prozesses — als Vorlage im Projektmanagement-Tool, die bei jedem Kundenprojekt kopiert wird. Wer sie ad hoc aus dem Gedächtnis abarbeitet, vergisst erfahrungsgemäss genau die Punkte, die später Ärger machen.

## Block 1 — Rechtliche Grundlagen (Punkte 1 bis 6)

Diese sechs Punkte gehören in die Projektphase, nicht in die Launch-Woche. Wer sie erst am Schluss prüft, entdeckt Lücken, wenn es am wenigsten passt.

**1. Banner-Pflicht geprüft.** Nicht jede Website braucht einen Einwilligungs-Banner: Setzt die Site nur technisch notwendige Cookies, genügt in der Schweiz ein transparenter Hinweis in der Datenschutzerklärung. Sobald Statistik- oder Marketing-Tools laufen, führt kein Weg am Banner vorbei. Die Entscheidungslogik mit allen Fällen finden Sie auf unserer Übersichtsseite zur [Cookie-Banner-Pflicht](/cookie-banner-pflicht) — ein überflüssiger Banner nervt Besucher, ein fehlender ist ein Verstoss.

**2. Datenschutzerklärung aktuell — und im Namen des Kunden.** Der Klassiker unter den Copy-Paste-Fehlern: In der Datenschutzerklärung steht noch die Agentur als Verantwortliche — oder gleich der Kunde aus dem letzten Projekt. Die Erklärung muss den tatsächlichen Betreiber nennen und die tatsächlich eingesetzten Tools abbilden. Auskunftsbegehren richten sich an den dort genannten Verantwortlichen; steht der Falsche drin, ist das Dokument wertlos.

**3. Impressum korrekt und vollständig.** Firma, Rechtsform, Sitzadresse, Kontaktmöglichkeit — das Bundesgesetz gegen den unlauteren Wettbewerb verlangt bei Online-Angeboten eine klare Anbieterkennzeichnung. Es ist der am einfachsten prüfbare Punkt der ganzen Website: Konkurrenten und Konsumentenschützer sehen einen Fehler auf einen Blick. Was genau hineingehört, steht in unserem Artikel zur [Impressumspflicht in der Schweiz](/blog/impressumspflicht-schweiz).

**4. Alle Sprachen der Zielgruppe abgedeckt.** Zweisprachige Website, aber Rechtstexte nur auf Deutsch? Eine Einwilligung muss informiert sein — wer den Text nicht versteht, kann nicht gültig einwilligen. Banner und Datenschutzerklärung gehören in jede Sprachversion der Website, in der Westschweiz und im Tessin ist das keine Kür, sondern Grundvoraussetzung.

**5. Anwendbarkeit der Datenschutz-Grundverordnung geprüft.** «Schweizer Firma» heisst nicht «nur Schweizer Recht». Nach dem Marktortprinzip gilt die europäische Datenschutz-Grundverordnung mit, sobald sich das Angebot erkennbar an Personen in der EU richtet — Versand nach Deutschland, Euro-Preise, gezielte Werbung. Was das konkret bedeutet, erklärt unser [Guide zur Datenschutz-Grundverordnung](/dsgvo); für den Banner heisst es vor allem: strengere Einwilligungsanforderungen.

**6. Auftragsverarbeitungsverträge geschlossen.** Hosting, Newsletter-Tool, Cookie-Consent-Anbieter — sie alle bearbeiten Personendaten im Auftrag des Kunden, und dafür braucht es Verträge. Wichtig: Vertragspartner ist der Kunde als Verantwortlicher, nicht die Agentur. Wann ein Auftragsverarbeitungsvertrag Pflicht ist und was hineingehört, zeigt unser [Artikel zum Auftragsverarbeitungsvertrag](/blog/auftragsverarbeitungsvertrag-avv-schweiz).

## Block 2 — Technik (Punkte 7 bis 13)

Hier entscheidet sich, ob der Banner tatsächlich etwas bewirkt oder nur Dekoration ist. Alle sieben Punkte lassen sich in unter einer Stunde durchtesten.

**7. Script-Blocking vor der Einwilligung getestet.** Seite im privaten Fenster laden, Entwickler-Tools öffnen, Network-Tab beobachten — und nichts anklicken. Gehen Anfragen an Google Analytics, Meta oder andere Tracker raus, laden Skripte vor der Einwilligung, und der Banner ist wirkungslos. Dieser Test dauert fünf Minuten und deckt den schwerwiegendsten aller Fehler auf.

**8. Google Consent Mode V2 aktiv.** Wer Google Analytics oder Google Ads für Zielgruppen im Europäischen Wirtschaftsraum einsetzt, kommt am Consent Mode V2 nicht vorbei — ohne korrekte Consent-Signale schränkt Google Werbefunktionen wie Remarketing ein. Prüfen Sie, ob der Banner die Signale tatsächlich übergibt. Die Einrichtung erklärt unser Artikel zum [Google Consent Mode V2 in der Schweiz](/blog/google-consent-mode-v2-schweiz).

**9. iframes blockiert — mit Platzhalter.** Google Maps, YouTube und Vimeo setzen Cookies, sobald das iframe lädt — noch bevor irgendjemand eingewilligt hat. Korrekt ist: Das iframe wird blockiert und durch einen Platzhalter mit «Inhalt aktivieren» ersetzt, der den Inhalt erst nach Klick lädt. Testen Sie gezielt die Seiten mit Karte und Videos, dort passieren die meisten Pannen.

**10. Banner in allen Sprachen der Website.** Punkt 4 gilt auch technisch: Der Banner muss der Sprache der jeweiligen Seite folgen. Ein deutscher Banner auf der französischen Seitenversion untergräbt die informierte Einwilligung — und wirkt auf Besucher schlicht unfertig.

**11. Mobile Darstellung getestet.** Auf echten Geräten, nicht nur in der Geräte-Emulation der Entwickler-Tools. Rund 60 Prozent der Schweizer Website-Zugriffe kommen vom Smartphone; ein Banner, der den Ablehnen-Button unter den sichtbaren Bereich schiebt oder sich nicht schliessen lässt, behindert die freie Wahl der Mehrheit Ihrer Besucher.

**12. «Ablehnen» gleichwertig zu «Akzeptieren».** Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte verlangt in seinem Leitfaden gleichwertige Wahlmöglichkeiten: gleiche Grösse, gleicher Kontrast, gleiche Ebene. Ein grauer Ablehnen-Textlink neben einem leuchtenden Akzeptieren-Button gilt als Dark Pattern — und ist der Fehler, der bei Prüfungen als Erstes auffällt. Die Sorge vor sinkenden Zustimmungsraten ist übrigens meist unbegründet: Faire Banner schaffen Vertrauen, und Vertrauen zahlt auf die Marke des Kunden ein.

**13. Cookie-Scan nach dem Launch.** Die Live-Umgebung unterscheidet sich fast immer vom Staging: andere Domain, zusätzliche Dienste, Caching, echte Werbe-Tags. Scannen Sie die Live-Site direkt nach dem Launch und gleichen Sie das Ergebnis mit der Banner-Konfiguration ab — mit unserem [Website-Scanner](/website-scanner) geht das in wenigen Minuten.

## Block 3 — Organisation (Punkte 14 bis 17)

Der Launch ist kein Endpunkt, sondern der Beginn des Betriebs. Diese vier Punkte verhindern, dass eine heute konforme Website in sechs Monaten stillschweigend aus der Konformität rutscht.

**14. Einwilligungs-Protokoll aktiv.** Die Beweislast für Einwilligungen liegt beim Verantwortlichen. Ohne Protokoll mit Zeitstempel, pseudonymer Kennung und gewählten Kategorien lässt sich im Streitfall keine einzige Einwilligung nachweisen — wer nichts dokumentiert, steht da, als hätte er nie gefragt. Prüfen Sie vor der Übergabe, ob das Protokoll tatsächlich Einträge schreibt.

**15. Verantwortlichkeit schriftlich geklärt.** Der Kunde ist Verantwortlicher, die Agentur je nach Setup Auftragsverarbeiterin. Halten Sie im Projektvertrag fest, wer die Rechtstexte pflegt, wer auf Anfragen betroffener Personen reagiert und wer den Banner betreut. Ungeklärte Zuständigkeiten fallen im Zweifel auf die Agentur zurück — genau das will man vertraglich ausschliessen.

**16. Prozess für neue Tools und Pixel definiert.** Drei Monate nach dem Launch bittet das Marketing des Kunden um ein neues Conversion-Pixel — und niemand denkt an den Banner. Vereinbaren Sie deshalb einen festen Ablauf: Jedes neue Tool durchläuft die Schritte Banner-Kategorie zuweisen, Datenschutzerklärung ergänzen, Vertrag mit dem Dienstleister prüfen. Ohne Prozess ist die schönste Launch-Konformität nach einem Quartal Geschichte.

**17. Re-Scan-Rhythmus festgelegt.** Websites verändern sich schleichend: Plugin-Updates bringen neue Cookies mit, Dienste ändern ihre Domains. Ein automatischer Scan pro Quartal — besser monatlich — deckt Abweichungen zwischen Realität und Banner-Konfiguration auf, bevor es ein Kunde, ein Konkurrent oder eine Behörde tut.

## Block 4 — Übergabe (Punkte 18 bis 20)

Die beste Konfiguration nützt wenig, wenn der Kunde sie nicht versteht. Die letzten drei Punkte machen aus einem Projektabschluss eine saubere Übergabe.

**18. Der Kunde kennt sein Dashboard.** Zeigen Sie bei der Übergabe, wo Einwilligungs-Statistiken, Banner-Einstellungen und Scan-Berichte zu finden sind — eine halbe Stunde reicht. Ein Kunde, der sein eigenes Consent-Setup versteht, ruft nicht bei jeder Kleinigkeit die Agentur an und merkt selbst, wenn etwas nicht stimmt.

**19. Pflegeprozess für Rechtstexte vereinbart.** Neues Produkt, neuer Newsletter-Anbieter, plötzlich ein Onlineshop — jede Geschäftsänderung kann die Datenschutzerklärung betreffen. Klären Sie explizit: Meldet der Kunde Änderungen an die Agentur, oder pflegt er die Texte über einen Generator selbst? Beides funktioniert; nur die ungeklärte Variante funktioniert nicht.

**20. Dokumentation übergeben.** Welche Tools sind eingebunden, welche Cookie-Kategorien konfiguriert, welche Verträge geschlossen, wer hat worauf Zugriff. Das klingt nach Fleissarbeit, spart aber bei jeder Auskunftsanfrage, jedem Relaunch und jedem Personalwechsel Stunden. Und im Streitfall belegt die Dokumentation, dass die Agentur sauber gearbeitet hat — sie ist damit auch Ihr eigener Schutz.

## Für Agenturen mit vielen Kunden

Bei einer einzelnen Website ist diese Checkliste in ein bis zwei Stunden durchgearbeitet. Bei dreissig Kundenwebsites wird sie zum Prozessproblem — niemand prüft 600 Punkte von Hand, und schon gar nicht jedes Quartal. Genau dafür ist Aiara gebaut: ein zentrales Dashboard für alle Kundendomains, automatische Scans mit Benachrichtigung bei Abweichungen, generierte und gepflegte Rechtstexte pro Kunde sowie eingebaute Einwilligungs-Protokolle. Agenturen erhalten Partnerkonditionen mit Rabattstufen und Sammelrechnung — die Details finden Sie unter [Aiara für Agenturen](/partner).

## Häufige Fragen

### Haftet die Webagentur, wenn der Cookie-Banner des Kunden nicht konform ist?

Gegenüber den Behörden haftet der Betreiber der Website — er ist der Verantwortliche im Sinne des Datenschutzgesetzes. Die Agentur kann aber vertraglich haften: Wer eine Website als Werk abliefert, schuldet ein mangelfreies Werk, und dazu gehört je nach Vereinbarung auch die zugesicherte Rechtskonformität. Dazu kommt der Reputationsschaden, wenn ein Kunde wegen einer frisch gelieferten Website Post vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erhält.

### Braucht jede Kunden-Website einen Cookie-Banner?

Nein. Setzt eine Website nur technisch notwendige Cookies, reicht in der Schweiz eine transparente Datenschutzerklärung. Sobald Statistik-, Komfort- oder Marketing-Cookies gesetzt werden — und das ist bei den meisten Business-Websites der Fall —, braucht es eine echte Einwilligungslösung. Richtet sich das Angebot auch an Personen in der EU, führt an einem Banner ohnehin kein Weg vorbei.

### Wie teste ich, ob Skripte vor der Einwilligung blockiert werden?

Website im privaten Fenster öffnen, Entwickler-Tools starten, Network-Tab wählen, Seite neu laden — und nichts anklicken. Erscheinen Anfragen an google-analytics.com, facebook.com oder andere Tracking-Domains, lädt etwas vor der Einwilligung. Zusätzlich lohnt der Blick unter Application → Cookies: Dort sieht man, welche Cookies bereits ohne Zutun gesetzt wurden.

### Wie oft sollten Agenturen Kunden-Websites neu scannen?

Mindestens quartalsweise, besser monatlich — und zusätzlich nach jedem grösseren Update, Plugin-Wechsel oder neu integrierten Marketing-Tool. Websites verändern sich schleichend: Ein Plugin-Update bringt ein neues Cookie mit, das Marketing ergänzt ein Pixel, und schon stimmt die Banner-Konfiguration nicht mehr mit der Realität überein.

### Was bietet Aiara Webagenturen konkret?

Ein zentrales Dashboard für alle Kundendomains, automatische Cookie-Scans mit Benachrichtigung bei Abweichungen, generierte Rechtstexte in vier Sprachen, eingebaute Einwilligungs-Protokolle und ein Partnerprogramm mit Rabattstufen und Sammelrechnung. Damit lassen sich die meisten Punkte dieser Checkliste automatisieren, statt sie pro Kunde von Hand abzuhaken.

---

# Datenschutz-Bussen in der Schweiz: Wer bestraft wird — und wofür

Quelle: https://www.aiara.ch/blog/datenschutz-bussen-schweiz
Veröffentlicht: 2026-06-16

«Bussen bis 250'000 Franken — die verteilt der EDÖB dann wohl wie die EU-Behörden ihre DSGVO-Millionen?» So oder ähnlich klingt es oft, wenn in Schweizer Geschäftsleitungen über Datenschutz gesprochen wird. Beide Annahmen sind falsch: Der EDÖB kann gar keine Bussen aussprechen, und die Busse trifft auch nicht das Unternehmen. Wer die tatsächliche Mechanik der DSG-Sanktionen versteht, kann das eigene Risiko realistisch einschätzen — ohne Panik, aber auch ohne falsche Sorglosigkeit. Dieser Beitrag erklärt, wer in der Schweiz wofür bestraft wird, was seit Inkrafttreten des neuen Gesetzes tatsächlich passiert ist und welche Fehler im Web-Alltag am ehesten Risiko schaffen.

Die Grundlagen zum Gesetz selbst finden Sie in unserem [DSG-Ratgeber](/dsg) und im Beitrag «[nDSG einfach erklärt](/blog/ndsg-neues-datenschutzgesetz-schweiz)».

## Die wichtigste Klarstellung: Der EDÖB verhängt keine Bussen

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann keine Bussen aussprechen — dieses Instrument gibt ihm das [Datenschutzgesetz (DSG, SR 235.1)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) schlicht nicht. Was der [EDÖB](https://www.edoeb.admin.ch/de) kann, ist trotzdem einschneidend: Er eröffnet von Amtes wegen oder auf Anzeige hin Untersuchungen und erlässt seit der Gesetzesrevision verbindliche Verfügungen. Damit kann er anordnen, dass eine Datenbearbeitung angepasst, unterbrochen oder ganz abgebrochen wird, dass Daten gelöscht oder vernichtet werden — im Ergebnis also eigentliche Bearbeitungsverbote. Verfügungen von allgemeinem Interesse werden zudem publiziert, mit Namensnennung.

Die Bussen selbst verhängen die **kantonalen Strafverfolgungsbehörden** — Staatsanwaltschaften oder, je nach Kanton, Statthalterämter. Das DSG weist die Verfolgung und Beurteilung der Straftatbestände ausdrücklich den Kantonen zu (Art. 65 DSG). Der EDÖB kann Anzeige erstatten und im Verfahren die Rechte einer Privatklägerschaft wahrnehmen — mehr nicht.

Drei Voraussetzungen begrenzen das Bussenrisiko zusätzlich:

- **Strafantrag:** Die Delikte nach Art. 60–62 DSG werden nur auf Antrag verfolgt — typischerweise durch die betroffene Person, deren Rechte verletzt wurden. Ohne Antrag kein Verfahren. Einzige Ausnahme: das Missachten einer EDÖB-Verfügung (Art. 63 DSG) wird von Amtes wegen verfolgt.
- **Vorsatz:** Strafbar ist nur, wer vorsätzlich handelt. Fahrlässigkeit — das versehentliche Versäumnis, das schlampige Formular — ist straflos. Vorsicht allerdings: Eventualvorsatz genügt. Wer weiss, dass etwas nicht stimmt, und es bewusst in Kauf nimmt, handelt vorsätzlich.
- **Natürliche Personen:** Adressat der Busse ist nicht die Firma, sondern der Mensch, der den Verstoss zu verantworten hat.

## Wen die Busse trifft: Personen, nicht Firmen

Gebüsst wird die verantwortliche **natürliche Person** — in einem KMU typischerweise die Geschäftsführung, in grösseren Organisationen die Führungskraft, die den Entscheid getroffen hat, im Einzelfall auch Fachpersonen wie Unternehmensjuristen oder Datenschutzverantwortliche. Der Gesetzgeber hat das bewusst so konstruiert: Eine Busse gegen die Unternehmenskasse lässt sich einkalkulieren, ein Strafverfahren gegen die eigene Person nicht.

Die einzige Ausnahme steht in **Art. 64 DSG**: Kommt eine Busse von höchstens CHF 50'000 in Betracht und wäre die Ermittlung der strafbaren Person innerhalb des Unternehmens mit unverhältnismässigem Aufwand verbunden, kann die Behörde von der Verfolgung Einzelner absehen und stattdessen den **Geschäftsbetrieb** zur Bezahlung der Busse verurteilen. Das ist als Vereinfachung für die Behörden gedacht, nicht als Schutzschild für die Geschäftsleitung — bei klar zuordenbarer Verantwortung bleibt es bei der persönlichen Strafbarkeit.

Ob ein Arbeitgeber eine gegen Mitarbeitende verhängte Busse übernehmen darf, ist rechtlich umstritten. Verlassen sollte sich darauf niemand: Das Strafverfahren selbst — Einvernahme, Anwaltskosten, Eintrag in den Akten — trägt in jedem Fall die betroffene Person.

## Wofür es Bussen gibt: der Deliktkatalog der Art. 60–63 DSG

Strafbar sind vier Gruppen von Verstössen — alle mit Bussen bis CHF 250'000 bedroht, alle nur bei Vorsatz:

- **Verletzung der Informations-, Auskunfts- und Mitwirkungspflichten (Art. 60 DSG):** Wer betroffene Personen bei der Datenbeschaffung vorsätzlich nicht oder falsch informiert — die Datenschutzerklärung ist hier der Hauptanwendungsfall —, macht sich strafbar. Ebenso, wer auf ein Auskunftsbegehren eine falsche oder unvollständige Auskunft erteilt oder wer in einer EDÖB-Untersuchung die Mitwirkung verweigert oder falsche Angaben macht. Eine Eigenheit beim Auskunftsrecht: Wer ein Auskunftsbegehren schlicht ignoriert, ist nach herrschender Lesart nicht strafbar — wer antwortet und dabei vorsätzlich Falsches oder Unvollständiges liefert, schon. Bei der Informationspflicht ist dagegen auch das komplette Unterlassen strafbar.
- **Verletzung von Sorgfaltspflichten (Art. 61 DSG):** Dazu gehört, Personendaten entgegen den gesetzlichen Voraussetzungen ins Ausland bekanntzugeben, eine Auftragsbearbeitung ohne die Voraussetzungen von Art. 9 DSG an Dienstleister zu übergeben — Stichwort fehlender Auftragsverarbeitungsvertrag — oder die vom Bundesrat festgelegten Mindestanforderungen an die Datensicherheit zu missachten.
- **Verletzung der beruflichen Schweigepflicht (Art. 62 DSG):** Wer geheime Personendaten, von denen er bei der Berufsausübung Kenntnis erlangt hat, vorsätzlich offenbart, wird auf Antrag gebüsst. Diese Bestimmung reicht deutlich weiter als das klassische Berufsgeheimnis von Ärztinnen oder Anwälten — sie erfasst praktisch jede berufliche Tätigkeit.
- **Missachten von Verfügungen (Art. 63 DSG):** Wer einer Verfügung des EDÖB oder einem Entscheid der Rechtsmittelinstanzen vorsätzlich nicht Folge leistet, wird von Amtes wegen gebüsst. Das ist der Hebel, der den Verfügungen des EDÖB Zähne verleiht: Die Verfügung selbst kostet nichts — ihre Missachtung bis zu CHF 250'000.

## DSG und DSGVO: zwei völlig verschiedene Sanktionslogiken

Die europäische Datenschutz-Grundverordnung büsst Unternehmen, das Schweizer DSG bestraft Personen — das ist der Kernunterschied. Nach der DSGVO verhängen die Aufsichtsbehörden direkt Verwaltungsbussen gegen das Unternehmen: bis zu EUR 20 Millionen oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Auch fahrlässige Verstösse sind sanktionierbar, ein Strafantrag ist nicht nötig.

Das Schweizer Modell ist ein Strafrechtsmodell: kantonales Strafverfahren, Vorsatzerfordernis, Antragsdelikte, persönliche Verantwortlichkeit. Die Beträge sind kleiner, das Verfahren ist hürdenreicher — dafür ist das Risiko höchstpersönlich. Für Schweizer Unternehmen mit EU-Kundschaft gilt im Zweifel beides parallel: die DSGVO für die Bearbeitungen mit EU-Bezug, das DSG für alles. Die Details zu beiden Regelwerken haben wir im [DSG-Ratgeber](/dsg) und im [DSGVO-Ratgeber](/dsgvo) aufbereitet.

## Was bisher tatsächlich passiert ist

Seit Inkrafttreten des revidierten DSG am 1. September 2023 sind erst wenige Bussen publik geworden — und die bekannten Beträge sind klein. Ein öffentlich dokumentierter Fall: Das Statthalteramt Bezirk Zürich verhängte mit [Strafbefehl vom 4. März 2025](https://steigerlegal.ch/2025/06/11/strafbefehl-dsg-verletzung-auskunftspflichten/) eine Busse von CHF 600 (plus CHF 430 Verfahrenskosten) gegen einen Unternehmensjuristen der TX Group AG — wegen vorsätzlich falscher beziehungsweise unvollständiger Auskunft auf ein Auskunftsbegehren (Art. 60 Abs. 1 lit. a DSG). Der Strafbefehl war bei Bekanntwerden nicht rechtskräftig, der Betroffene erhob Einsprache. Daneben berichten Wirtschaftskanzleien von ersten rechtskräftigen Bussen wegen vorsätzlicher Verletzung der Auskunftspflicht — durchwegs unter CHF 1'000 inklusive Kosten, amtlich publiziert wurden sie nicht.

Deutlich sichtbarer ist die Aufsichtstätigkeit des EDÖB. Auf seiner [Verfügungsseite](https://www.edoeb.admin.ch/de/verfuegungen) publiziert er abgeschlossene Untersuchungen mit Namensnennung: etwa gegen die Cembra Money Bank AG (Januar 2025, Fristen und Umfang bei Auskunftsbegehren), gegen die Inkasso-Team AG (April 2025, Online-Publikation von Schuldnerdaten) oder im April 2026 gegen zwei Gesellschaften aus dem Umfeld der Modemarke Philipp Plein (Bearbeitungsgrundsätze, Löschungs- und Widerspruchsrechte). In seinem Tätigkeitsbericht 2024/2025 kündigt der EDÖB zudem ein verstärktes Einschreiten gegen Rechtsverstösse an — mit rund 30 Prozent mehr Personal in der Aufsicht.

Die ehrliche Einordnung lautet also: Die praktische Gefahr liegt heute weniger in der spektakulären Busse als in drei anderen Konsequenzen. Erstens in der **EDÖB-Untersuchung** selbst — sie bindet Ressourcen, endet unter Umständen mit einer publizierten Verfügung samt Firmenname und schafft mit Art. 63 DSG ein echtes Bussenrisiko für die Zukunft. Zweitens im **Reputationsschaden**: Eine publizierte Verfügung oder ein Medienbericht über ein Datenschutzverfahren wirkt länger nach als jede Busse. Drittens in **zivilrechtlichen Ansprüchen** betroffener Personen, von der Auskunfts- und Löschungsklage bis zur Genugtuung. Und nicht zu vergessen: Selbst eine Busse von CHF 600 bedeutet ein Strafverfahren gegen eine konkrete Person — mit allem, was dazugehört.

## Welche Fehler im Web-Kontext am ehesten Risiko schaffen

Drei Konstellationen aus dem Website-Alltag führen am direktesten in die Strafbestimmungen und die Aufsicht:

**Erstens: die falsche oder fehlende Datenschutzerklärung.** Art. 60 DSG stellt sowohl das Unterlassen der Information als auch die falsche Information unter Strafe. Heikel ist vor allem die kopierte Vorlage, die nicht zum tatsächlichen Setup passt: Wer weiss, dass auf der Website Analyse- und Marketing-Dienste laufen, die in der Erklärung nicht vorkommen, und den Zustand bewusst stehen lässt, bewegt sich in Richtung Eventualvorsatz — und dokumentiert den Widerspruch gleich selbst.

**Zweitens: ignorierte oder falsch beantwortete Auskunftsbegehren.** Der bislang einzige öffentlich dokumentierte Bussenfall betrifft genau diese Pflicht, und auch die erste publizierte EDÖB-Verfügung gegen ein Unternehmen drehte sich um Auskunftsfristen. Die Abhilfe ist unspektakulär: eine zuständige Person, eine Antwortvorlage, die 30-Tage-Frist im Blick.

**Drittens: Tracking ohne Transparenz und ohne Einwilligung, wo sie nötig ist.** Cookies und Tracking-Dienste, über die nirgends informiert wird, verletzen die Informationspflicht; bei risikoreichem Profiling oder Besucherinnen aus der EU führt an einer echten Einwilligung kaum ein Weg vorbei. Genau hier setzen auch die Prüfkriterien an, die der EDÖB für seine Aufsicht nutzt — wir haben sie im Beitrag zum [Risiko-Radar nach EDÖB Anhang A](/blog/risiko-radar-edoeb-anhang-a) aufgeschlüsselt. Wer wissen will, wo die eigene Website steht, kann sie mit dem [kostenlosen Website-Scanner](/website-scanner) prüfen: Er zeigt, welche Cookies und Dienste tatsächlich laufen — die Grundlage für eine Datenschutzerklärung, die der Realität entspricht.

## Fazit: kleine Bussen, echtes persönliches Risiko

Das Schweizer Sanktionssystem ist kein DSGVO-Klon: Der EDÖB untersucht und verfügt, gebüsst wird von den kantonalen Strafverfolgungsbehörden — auf Antrag, nur bei Vorsatz und gegen die verantwortliche Person statt gegen die Firma. Die bisher bekannten Bussen sind klein, die Zahl der Fälle überschaubar. Entwarnung wäre trotzdem der falsche Schluss: Der EDÖB baut seine Aufsicht sichtbar aus, publizierte Verfügungen treffen die Reputation, und das Strafrisiko trägt die Geschäftsleitung höchstpersönlich.

Die gute Nachricht: Die Pflichten, die im Web-Kontext am ehesten Risiko schaffen, lassen sich systematisch absichern. Mit Aiara halten Sie Datenschutzerklärung und Cookie-Banner automatisch synchron mit dem, was auf Ihrer Website tatsächlich läuft — der Cookie-Scanner prüft das laufend nach. So verschwindet genau der Widerspruch zwischen Papier und Realität, der im Ernstfall am schwersten wiegt.

## Häufige Fragen

### Kann der EDÖB Bussen aussprechen?

Nein. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) untersucht Verstösse und kann verbindliche Verfügungen erlassen — etwa eine Datenbearbeitung anpassen, unterbrechen oder ganz verbieten. Bussen verhängen ausschliesslich die kantonalen Strafverfolgungsbehörden, bei den meisten Delikten nur auf Strafantrag einer betroffenen Person.

### Wie hoch können Bussen nach dem Schweizer Datenschutzgesetz ausfallen?

Bis CHF 250'000 — gerichtet an die verantwortliche natürliche Person, nicht an das Unternehmen. Nur wenn eine Busse von höchstens CHF 50'000 in Betracht kommt und die Ermittlung der verantwortlichen Person unverhältnismässig aufwendig wäre, kann nach Art. 64 DSG stattdessen der Geschäftsbetrieb zur Zahlung verurteilt werden.

### Wer wird gebüsst — das Unternehmen oder die Geschäftsleitung?

Grundsätzlich die natürliche Person, die den Verstoss zu verantworten hat: die Geschäftsleitung, die verantwortliche Führungskraft, im Einzelfall auch Fachpersonen wie Juristinnen oder Datenschutzberater. Das unterscheidet das DSG grundlegend von der europäischen Datenschutz-Grundverordnung, die Unternehmensbussen kennt.

### Sind fahrlässige Datenschutzverstösse strafbar?

Nein. Strafbar ist nur vorsätzliches Handeln — wobei Eventualvorsatz genügt, also das bewusste Inkaufnehmen eines Verstosses. Die Delikte nach Art. 60–62 DSG werden zudem nur auf Antrag verfolgt; einzig das Missachten einer Verfügung des EDÖB (Art. 63 DSG) wird von Amtes wegen verfolgt.

### Gab es in der Schweiz schon Bussen nach dem neuen Datenschutzgesetz?

Wenige — und die bekannten Beträge sind klein. Publik wurde ein Strafbefehl des Statthalteramts Bezirk Zürich vom März 2025 über CHF 600 gegen einen Unternehmensjuristen wegen falscher Auskunft; Kanzleien berichten daneben von ersten rechtskräftigen Bussen unter CHF 1'000. Die praktische Gefahr liegt derzeit eher in EDÖB-Untersuchungen, Reputationsschäden und zivilrechtlichen Ansprüchen.

---

# Impressumspflicht in der Schweiz: Was auf jede Website gehört

Quelle: https://www.aiara.ch/blog/impressumspflicht-schweiz
Veröffentlicht: 2026-06-09

«Wo finde ich eine gute Impressum-Vorlage für die Schweiz?» Diese Frage höre ich fast so oft wie die nach dem Cookie-Banner. Und meist steckt dahinter eine falsche Annahme — nämlich dass die Schweiz eine Impressumspflicht nach deutschem Vorbild kennt. Die Realität ist differenzierter. Wer sie versteht, schreibt am Ende ein besseres Impressum als mit jeder Copy-Paste-Vorlage.

## Die ehrliche Antwort: Eine allgemeine Impressumspflicht gibt es nicht

Wer nach «Impressum Pflicht Schweiz» sucht, findet Dutzende Ratgeber mit der Aussage: Jede Schweizer Website braucht ein Impressum. So pauschal stimmt das nicht. Die Schweiz kennt — anders als Deutschland — kein Gesetz, das jede Website zu einem Impressum verpflichtet.

Was es gibt, ist Art. 3 Abs. 1 lit. s des [Bundesgesetzes gegen den unlauteren Wettbewerb (UWG)](https://www.fedlex.admin.ch/eli/cc/1988/223_223_223/de). Die Bestimmung sagt sinngemäss: Wer Waren, Werke oder Leistungen im elektronischen Geschäftsverkehr anbietet, handelt unlauter, wenn er keine klaren und vollständigen Angaben über seine Identität und seine Kontaktadresse macht — ausdrücklich einschliesslich der E-Mail-Adresse.

Der Begriff «elektronischer Geschäftsverkehr» ist der Schlüssel. Gemeint sind Websites, über die Geschäfte angebahnt oder abgeschlossen werden: Webshops, Buchungsplattformen, Software-Abos, aber auch Dienstleister-Websites mit Offerten- oder Bestellfunktion. Eine reine private Hobby-Seite fällt nicht darunter. Das Gesetz nimmt zudem Verträge aus, die ausschliesslich per E-Mail-Austausch geschlossen werden.

Dazu kommt eine zweite Rechtsquelle, die oft übersehen wird: Art. 19 des Datenschutzgesetzes (DSG) verlangt, dass die Datenschutzerklärung die Identität und die Kontaktdaten des Verantwortlichen nennt. Da praktisch jede Website mit Kontaktformular, Analytics oder Newsletter eine Datenschutzerklärung braucht, müssen Sie diese Angaben ohnehin machen — das Impressum ist der natürliche Ort dafür.

Das Fazit vorweg: Juristisch gibt es keine allgemeine Impressumspflicht. Praktisch braucht fast jede geschäftliche Schweizer Website ein Impressum. Und weil ein Impressum nichts kostet und Vertrauen schafft, gibt es kaum einen Grund, darauf zu verzichten.

## Wen die Pflicht konkret trifft

**Klar erfasst:** Webshops, Buchungs- und Reservationssysteme, SaaS-Anbieter, Online-Kurse, Restaurants mit Online-Bestellung, Handwerker mit Offertenformular. Überall dort, wo über die Website ein Geschäft angebahnt oder abgeschlossen werden kann, greift das Gesetz gegen den unlauteren Wettbewerb direkt.

**Grauzone:** Die reine Visitenkarten-Website ohne Bestell- oder Buchungsfunktion. Streng gelesen fällt sie nicht unter den elektronischen Geschäftsverkehr. Aber: Sobald ein Kontaktformular Anfragen für Dienstleistungen entgegennimmt, lässt sich gut argumentieren, dass eine Geschäftsanbahnung stattfindet. Und die Datenschutzerklärung verlangt die Verantwortlichen-Angaben sowieso.

**Nicht erfasst:** Private Blogs, Vereinswebsites ohne kommerzielles Angebot, persönliche Portfolios ohne Verkaufsabsicht. Hier ist ein Impressum freiwillig — aber auch hier empfehlenswert, sobald die Seite öffentlich wahrgenommen werden soll.

## Die Pflichtangaben: Was ins Impressum gehört

Wenn Sie die Anforderungen des Gesetzes gegen den unlauteren Wettbewerb und des Datenschutzgesetzes zusammennehmen, ergibt sich diese Checkliste:

- **Firma oder Name** — exakt so, wie im Handelsregister eingetragen, inklusive Rechtsformzusatz («Muster GmbH», nicht «Muster Web Solutions»). Ohne Handelsregistereintrag: Vor- und Nachname der Inhaberin oder des Inhabers.
- **Rechtsform** — ergibt sich meist aus dem Firmennamen (AG, GmbH), sollte aber erkennbar sein.
- **Vollständige Geschäftsadresse** — Strasse, Hausnummer, Postleitzahl, Ort. Ein Postfach allein genügt nicht; die Angabe muss eine physische Erreichbarkeit ermöglichen.
- **E-Mail-Adresse** — vom Gesetz ausdrücklich verlangt. Ein Kontaktformular ist eine Ergänzung, kein Ersatz.
- **UID-Nummer** — die Unternehmens-Identifikationsnummer (CHE-xxx.xxx.xxx) ist im Impressum nicht zwingend, aber üblich und ein Vertrauenssignal. Wer mehrwertsteuerpflichtig ist, ergänzt den Zusatz «MWST».
- **Vertretungsberechtigte Personen** — für die Schweiz nicht zwingend, aber empfehlenswert bei AG und GmbH (Geschäftsführung, Verwaltungsrat). Für den deutschen Markt Pflicht.
- **Telefonnummer** — optional, aber gerade für Dienstleister sinnvoll.

## Unterschiede nach Rechtsform

**Einzelfirma:** Anzugeben ist der bürgerliche Name der Inhaberin oder des Inhabers — ein blosser Fantasiename reicht nicht. Ab CHF 100'000 Jahresumsatz besteht Handelsregisterpflicht; dann gilt die eingetragene Firma, die den Familiennamen enthalten muss.

**GmbH und AG:** Firma exakt gemäss Handelsregister inklusive Rechtsformzusatz, Sitz gemäss Statuten, UID-Nummer. Wer sauber arbeitet, nennt zusätzlich die geschäftsführenden Personen — spätestens bei deutscher Kundschaft wird das ohnehin Pflicht.

**Verein:** Vereinsname gemäss Statuten, Sitz und eine vertretungsberechtigte Person (typischerweise das Präsidium). Sobald der Verein online Mitgliedschaften, Tickets oder Kurse verkauft, ist er im elektronischen Geschäftsverkehr tätig — dann gelten dieselben Regeln wie für Unternehmen.

## Deutschland ist strenger — und das betrifft auch Schweizer Websites

In Deutschland regelt § 5 des Digitale-Dienste-Gesetzes (bis Mai 2024: § 5 Telemediengesetz) eine echte allgemeine Impressumspflicht für alle geschäftsmässigen Online-Dienste. Verlangt werden dort zusätzlich: vertretungsberechtigte Personen, Handelsregister samt Registernummer, Umsatzsteuer-Identifikationsnummer und je nach Branche die zuständige Aufsichtsbehörde. Verstösse können mit Bussgeldern geahndet werden — und werden in der Praxis von Mitbewerbern kostenpflichtig abgemahnt.

Warum das Schweizer Unternehmen interessieren muss: Richtet sich Ihr Angebot erkennbar an Kundschaft in Deutschland — Versand nach Deutschland, Preise in Euro, gezielte Werbung, eine .de-Domain —, kann deutsches Recht auf Ihren Auftritt anwendbar sein. Die Abmahn-Industrie ist real, und ein unvollständiges Impressum ist eines der einfachsten Ziele. Meine Empfehlung ist deshalb klar: Wer deutsche Kundschaft bedient, erfüllt den strengeren deutschen Standard. Der Mehraufwand sind drei Zeilen.

## Fünf Fehler, die ich regelmässig sehe

**Fehler 1 — Kontaktformular statt E-Mail-Adresse.** Aus Angst vor Spam wird die E-Mail-Adresse weggelassen. Genau die verlangt das Gesetz aber ausdrücklich. Lösung: eine dedizierte Adresse wie info@ verwenden und den Spam-Filter arbeiten lassen.

**Fehler 2 — Postfach als einzige Adresse.** Ein Postfach schafft keine physische Erreichbarkeit. Die Geschäftsadresse gehört ins Impressum, das Postfach darf ergänzen.

**Fehler 3 — Impressum schwer auffindbar.** Der Link versteckt sich in einem Untermenü oder existiert nur auf der Startseite. Die Angaben müssen klar und vollständig sein — dazu gehört, dass man sie findet.

**Fehler 4 — Veraltete Angaben.** Umzug, Umfirmierung, Rechtsformwechsel — und das Impressum nennt noch die alte GmbH an der alten Adresse. Falsche Angaben sind schlimmer als gar keine, denn sie sind aktiv irreführend.

**Fehler 5 — Impressum nur auf Deutsch.** Die Website läuft auf Deutsch, Französisch und Italienisch, das Impressum existiert nur auf Deutsch. Wie bei der Datenschutzerklärung gilt: Die Information muss für die Zielgruppe verständlich sein.

## Wo das Impressum stehen muss

Es gibt keine Vorschrift, die den Ort zentimetergenau festlegt. Etabliert und sinnvoll ist: ein eigener Menüpunkt oder Footer-Link mit der Beschriftung «Impressum», erreichbar von jeder Seite mit einem Klick. Nicht ausreichend: ein PDF-Download, eine Erwähnung in den AGB oder eine Seite, die erst nach Login sichtbar wird. Impressum und Datenschutzerklärung gehören auf getrennte Seiten — sie beantworten unterschiedliche Fragen und werden unterschiedlich aktualisiert.

## Was bei einem fehlenden Impressum droht

Ein Verstoss gegen Art. 3 Abs. 1 lit. s des Gesetzes gegen den unlauteren Wettbewerb ist auf Antrag strafbar — theoretisch mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe (Art. 23). Das klingt dramatisch; in der Praxis sind Strafverfahren wegen fehlender Impressums-Angaben selten.

Die realistischen Risiken liegen woanders: Mitbewerber und Konsumentenschutzorganisationen können zivilrechtlich gegen unlauteres Verhalten vorgehen. Bei deutscher Kundschaft drohen kostenpflichtige Abmahnungen. Und nicht zu unterschätzen: Eine Website ohne nachvollziehbaren Betreiber wirkt auf potenzielle Kundschaft schlicht unseriös — der Vertrauensschaden kostet mehr als jede Busse.

## Vorlage, Generator oder selbst schreiben?

Für eine Einzelfirma mit einfacher Website reicht im Prinzip eine sorgfältig ausgefüllte Impressum-Vorlage. Die Schwäche von Vorlagen zeigt sich später: Sie veralten unbemerkt, niemand pflegt sie nach, und sie passen nicht zu den übrigen Rechtstexten der Website.

Ein Impressum-Generator spielt seine Stärke dort aus, wo das Impressum Teil eines Gesamtpakets ist: konsistent mit der Datenschutzerklärung, in allen Sprachversionen der Website vorhanden und bei Änderungen zentral nachgeführt. Denn das Impressum ist ohnehin nur die halbe Miete — was in die [Datenschutzerklärung für Schweizer Websites](/blog/datenschutzerklaerung-schweiz-erstellen) gehört, habe ich separat beschrieben. Ein Anwalt ist für ein Impressum allein dagegen kaum je nötig; die Angaben sind Fakten, keine Auslegungsfragen.

## Was Aiara hier konkret tut

Aiara generiert das Impressum automatisch aus dem Fragebogen — zusammen mit der Datenschutzerklärung, aus denselben Angaben, ohne doppelte Erfassung. Rechtsform, Handelsregister-Angaben, UID-Nummer und Kontaktdaten werden einmal erfasst und in beide Rechtstexte übernommen. Das Ergebnis liegt in vier Sprachen vor (Deutsch, Französisch, Italienisch, Englisch) und bleibt synchron: Ändert sich die Adresse oder die Rechtsform, wird sie an einer Stelle angepasst und ist überall aktuell. Für Webagenturen mit vielen Kundenwebsites ist genau das der Unterschied zwischen «einmal sauber aufgesetzt» und «dauerhaft korrekt».

## Häufige Fragen

### Ist ein Impressum in der Schweiz Pflicht?

Nicht für jede Website — aber für fast jede geschäftliche. Eine allgemeine Impressumspflicht wie in Deutschland kennt die Schweiz nicht. Art. 3 Abs. 1 lit. s des Bundesgesetzes gegen den unlauteren Wettbewerb verlangt aber bei Angeboten im elektronischen Geschäftsverkehr klare und vollständige Angaben zu Identität und Kontaktadresse, einschliesslich E-Mail. Praktisch trifft das auf nahezu jede Website zu, über die Waren oder Dienstleistungen angeboten werden.

### Reicht ein Kontaktformular statt E-Mail-Adresse?

Nein. Das Gesetz gegen den unlauteren Wettbewerb verlangt die Angabe der Kontaktadresse ausdrücklich «einschliesslich derjenigen der elektronischen Post» — also eine E-Mail-Adresse. Ein Kontaktformular kann die E-Mail-Adresse ergänzen, aber nicht ersetzen. Wer nur ein Formular anbietet, erfüllt die Anforderung nicht.

### Muss ich als Einzelfirma ein Impressum haben?

Sobald Sie über Ihre Website Waren oder Dienstleistungen anbieten, ja. Anzugeben sind Vor- und Nachname der Inhaberin oder des Inhabers — bei einem Handelsregistereintrag die eingetragene Firma —, die Geschäftsadresse und eine E-Mail-Adresse. Ein Künstlername oder blosser Markenname ohne bürgerlichen Namen genügt nicht.

### Gilt für Schweizer Websites das deutsche Impressumsrecht?

Wenn sich Ihr Angebot erkennbar an Kundschaft in Deutschland richtet — etwa durch Versand nach Deutschland, Euro-Preise oder gezielte Werbung —, kann deutsches Recht anwendbar sein. Das deutsche Digitale-Dienste-Gesetz ist strenger als das Schweizer Recht und verlangt zusätzlich Vertretungsberechtigte, Registernummer und Umsatzsteuer-Identifikationsnummer. Schweizer Websites mit deutscher Kundschaft fahren am sichersten, wenn sie den strengeren deutschen Standard erfüllen.

### Wo muss das Impressum auf der Website stehen?

Es muss leicht auffindbar und von jeder Seite aus erreichbar sein — in der Praxis heisst das: ein klar beschrifteter Link im Footer, der auf eine eigene Impressum-Seite führt. Ein Impressum, das nur auf der Startseite verlinkt ist, in einem PDF steckt oder hinter einem Login liegt, erfüllt die Anforderung nicht.

---

# Newsletter DSG-konform: Double-Opt-in in der Schweiz richtig umsetzen

Quelle: https://www.aiara.ch/blog/newsletter-double-opt-in-schweiz
Veröffentlicht: 2026-05-28

«Wir haben die Adressen von der Messe — die nehmen wir doch einfach in den Verteiler.» Dieser Satz fällt in Schweizer KMU erstaunlich oft. Und er ist der direkteste Weg in eine Spam-Beschwerde, denn ohne Einwilligung ist Massenwerbung per E-Mail in der Schweiz unlauter — und auf Antrag sogar strafbar.

Gleichzeitig kursiert das Gegenteil als Halbwissen: «Double-Opt-in ist Pflicht.» Auch das stimmt so nicht. Was das Gesetz tatsächlich verlangt, wo die Bestandskunden-Ausnahme greift und warum Double-Opt-in trotzdem der einzige vernünftige Weg ist — eine Praxisanleitung.

## Welches Gesetz regelt den Newsletter-Versand in der Schweiz?

Die zentrale Regel für Newsletter steht nicht im Datenschutzgesetz, sondern im [Bundesgesetz gegen den unlauteren Wettbewerb (UWG)](https://www.fedlex.admin.ch/eli/cc/1988/223_223_223/de). Art. 3 Abs. 1 lit. o UWG erklärt Massenwerbung per E-Mail, SMS oder anderen Fernmeldediensten für unlauter, wenn drei Bedingungen nicht erfüllt sind:

1. **Vorgängige Einwilligung** der Empfänger,
2. **korrekte Absenderangabe** — kein verschleierter oder gefälschter Absender,
3. **Hinweis auf eine problemlose und kostenlose Ablehnungsmöglichkeit** in jeder Nachricht.

Alle drei Bedingungen müssen gleichzeitig erfüllt sein. Ein Newsletter mit Einwilligung, aber ohne Abmeldelink ist genauso unlauter wie einer ohne Einwilligung. Verstösse sind nach Art. 23 UWG auf Antrag strafbar — mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.

Parallel dazu greift das [Bundesgesetz über den Datenschutz (DSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de): E-Mail-Adressen sind Personendaten, und die Informationspflicht nach Art. 19 DSG verlangt, dass Sie über die Bearbeitung informieren. Konkret heisst das: Ihre Datenschutzerklärung braucht einen Newsletter-Abschnitt — welches Versand-Tool Sie nutzen, wohin die Daten fliessen, wie lange sie gespeichert bleiben.

## Wann greift die Bestandskunden-Ausnahme?

Eine Einwilligung ist nicht in jedem Fall nötig — das UWG kennt eine ausdrückliche Ausnahme für bestehende Kunden. Wer beim **Verkauf eigener Waren oder Dienstleistungen** Kontaktdaten erhält, darf diesen Kunden auch ohne Einwilligung Werbung senden, wenn vier Bedingungen erfüllt sind:

- Die Kontaktdaten stammen aus einem tatsächlichen Kauf, nicht aus einer blossen Anfrage oder einem Messegespräch.
- Sie haben **schon bei der Erhebung** auf die Ablehnungsmöglichkeit hingewiesen — etwa mit einem Satz im Bestellprozess.
- Die Werbung betrifft nur **eigene ähnliche Waren oder Dienstleistungen**. Wer Druckerpatronen verkauft hat, darf Druckerzubehör bewerben — nicht aber Versicherungen eines Partners.
- Jede Nachricht enthält weiterhin die kostenlose Abmeldemöglichkeit.

Die Ausnahme ist enger, als sie klingt. Visitenkarten von der Messe, Teilnehmerlisten eines Webinars, Kontaktformular-Anfragen — all das sind keine Käufe und fallen nicht darunter. Im Zweifel gilt: Einwilligung einholen. Sie ist der robustere Weg, und sie ist auch gegenüber Empfängern im Ausland die einzige tragfähige Grundlage.

## Ist Double-Opt-in in der Schweiz Pflicht?

Nein — eine ausdrückliche Double-Opt-in-Pflicht kennt das Schweizer Recht nicht. Das UWG verlangt eine Einwilligung, schreibt aber kein bestimmtes Verfahren vor, wie diese zustande kommen muss. Wer behauptet, das Gesetz schreibe das Bestätigungsverfahren vor, ist ungenau. Diese Ehrlichkeit gehört zu einer seriösen Beratung.

Aber — und dieses Aber ist entscheidend: **Wer sich auf eine Einwilligung beruft, muss sie im Streitfall nachweisen können.** Und genau hier scheitert das einfache Anmeldeverfahren (Single-Opt-in). Trägt jemand eine fremde E-Mail-Adresse in Ihr Formular ein, landet der Inhaber ohne sein Zutun im Verteiler — und Sie haben keinerlei Beleg, dass die Einwilligung von ihm stammt. Ein Eintrag in Ihrer Datenbank beweist nur, dass irgendjemand die Adresse eingetippt hat.

Das Double-Opt-in-Verfahren schliesst diese Lücke: Nach der Anmeldung erhält die Adresse eine Bestätigungsmail, und erst der Klick auf den Bestätigungslink aktiviert das Abonnement. Der dokumentierte Klick belegt, dass der tatsächliche Postfach-Inhaber zugestimmt hat. Darum ist Double-Opt-in in der Schweiz Best Practice zur Beweissicherung — nicht Gesetzespflicht, aber der einzige Weg, die Einwilligung belastbar zu dokumentieren.

Dazu kommt der Blick über die Grenze: In Deutschland hat die Rechtsprechung Double-Opt-in faktisch zum Standard gemacht. Wer in den DACH-Raum versendet — und welcher Schweizer Verteiler tut das nicht —, kommt am Verfahren ohnehin nicht vorbei.

Und was ist mit gewachsenen Altbeständen — Adressen, die vor Jahren ohne sauberes Verfahren gesammelt wurden? Ehrliche Antwort: Für diese Adressen fehlt der Nachweis, und er lässt sich nachträglich nicht herbeireden. Der gangbare Weg ist eine einmalige Re-Permission-Kampagne: Sie bitten die bestehenden Empfänger um eine bestätigte Neuanmeldung, und wer nicht reagiert, fliegt vom Verteiler. Das kostet Reichweite auf dem Papier — aber es bleiben genau die Empfänger übrig, die den Newsletter tatsächlich wollen. Für die Zustellbarkeit und die Öffnungsraten ist das erfahrungsgemäss ein Gewinn, kein Verlust.

## Was gilt bei Newsletter-Empfängern in der EU?

Sobald Sie Ihren Newsletter gezielt an Personen in der EU richten, kommt die Datenschutz-Grundverordnung (DSGVO) dazu — auch für ein Schweizer Unternehmen ohne EU-Niederlassung. Für den Newsletter-Versand bedeutet das konkret:

- Die Einwilligung muss **freiwillig, informiert und unmissverständlich** sein (Art. 4 Ziff. 11, Art. 6 Abs. 1 lit. a DSGVO).
- Art. 7 Abs. 1 DSGVO macht die Nachweispflicht ausdrücklich: Der Verantwortliche **muss nachweisen können**, dass die betroffene Person eingewilligt hat. Was in der Schweiz Best Practice ist, ist hier ausformulierte Pflicht.
- Das **Kopplungsverbot** (Art. 7 Abs. 4 DSGVO) verbietet es, eine Vertragsleistung von einer nicht erforderlichen Einwilligung abhängig zu machen.
- Der Widerruf muss **so einfach sein wie die Erteilung** (Art. 7 Abs. 3 DSGVO).

In der Praxis lohnt sich kein Zwei-Klassen-Verteiler mit unterschiedlichen Regeln für Schweizer und EU-Adressen. Arbeiten Sie von Anfang an nach dem strengeren DSGVO-Standard — dann sind beide Rechtsordnungen abgedeckt. Was die Verordnung sonst noch für Schweizer Unternehmen bedeutet, haben wir im Ratgeber [zur DSGVO für Schweizer Unternehmen](/dsgvo) zusammengefasst.

## Wie setzen Sie Double-Opt-in sauber um?

Ein rechtssicheres Double-Opt-in besteht aus vier Bausteinen: Anmeldeformular, Bestätigungsmail, Einwilligungs-Protokoll und Abmeldelink.

**1. Das Anmeldeformular.** Keine vorangekreuzten Checkboxen — eine bereits gesetzte Einwilligung ist keine. Kein Kopplungszwang: Wer ein Whitepaper herunterlädt, darf nicht automatisch im Newsletter landen; die Newsletter-Checkbox bleibt optional und unangetastet. Sagen Sie transparent, was die Anmeldung bedeutet: welche Inhalte, ungefähr welche Frequenz, mit Link auf die Datenschutzerklärung. Und erheben Sie nur, was nötig ist — für einen Newsletter reicht die E-Mail-Adresse; Name und Firma sind freiwillige Felder.

**2. Die Bestätigungsmail.** Sie hat genau eine Aufgabe: die Anmeldung bestätigen zu lassen. Ein neutraler Betreff, ein Satz zur Erklärung, der Bestätigungslink — **keine Werbung, keine Angebote, keine Produktbilder**. Eine werbliche Bestätigungsmail an eine Adresse, deren Einwilligung noch gar nicht feststeht, ist selbst schon Werbung ohne Einwilligung. Wer nicht klickt, wird nicht angeschrieben — auch nicht mit einer «Erinnerung».

**3. Das Einwilligungs-Protokoll.** Dokumentieren Sie pro Abonnent: Zeitstempel der Anmeldung, Zeitstempel des Bestätigungsklicks, die IP-Adressen beider Schritte und den Wortlaut des Formulars in der damals gültigen Version. Die gängigen Versand-Tools protokollieren Zeitstempel und IP automatisch — den Formular-Wortlaut müssen Sie selbst versionieren. Erst dieses Protokoll macht aus dem Verfahren einen Beweis.

**4. Der Abmeldelink.** In jeder einzelnen E-Mail, kostenlos, ohne Login-Zwang und ohne Nachfrage-Hürden. Die Abmeldung wirkt sofort — «die Löschung kann bis zu 14 Tage dauern» ist 2026 technisch durch nichts zu rechtfertigen. Der Abmeldelink ist zudem eine der drei UWG-Grundbedingungen: Fehlt er, ist auch der Versand an korrekt eingewilligte Empfänger unlauter.

## Checkliste: Newsletter-Einwilligung rechtssicher aufsetzen

Die Kurzfassung zum Abhaken:

- [ ] Anmeldeformular ohne vorangekreuzte Checkboxen
- [ ] Newsletter-Einwilligung von anderen Leistungen entkoppelt (kein Kopplungszwang)
- [ ] Transparente Angabe von Inhalt und Frequenz, Link zur Datenschutzerklärung
- [ ] Nur die E-Mail-Adresse als Pflichtfeld
- [ ] Bestätigungsmail neutral, ohne Werbung
- [ ] Versand erst nach dem Bestätigungsklick
- [ ] Protokoll: Zeitstempel, IP-Adresse, Formular-Wortlaut mit Version
- [ ] Abmeldelink in jeder E-Mail, sofort wirksam
- [ ] Bestandskunden-Ausnahme nur bei echten Käufen und eigenen ähnlichen Produkten
- [ ] Newsletter-Abschnitt in der Datenschutzerklärung (Tool, Datenfluss, Speicherdauer)

## Was hat die Datenschutzerklärung damit zu tun?

Der Newsletter gehört zwingend in Ihre Datenschutzerklärung — die Einwilligung im Formular ersetzt die Informationspflicht nach DSG nicht. Der Abschnitt nennt das eingesetzte Versand-Tool (etwa Brevo oder Mailchimp), den Serverstandort samt allfälligem Datenexport, den Zweck, die Speicherdauer und das Widerrufsrecht. Wie eine vollständige Erklärung aufgebaut ist, zeigt unser Leitfaden zur [Datenschutzerklärung für Schweizer Websites](/blog/datenschutzerklaerung-schweiz-erstellen).

Der Grundgedanke ist derselbe wie beim Cookie-Banner: Eine Einwilligung ist nur so viel wert wie ihr Nachweis. Bei Aiara ist dieses Prinzip eingebaut — die Cookie-Einwilligungen Ihrer Webseitenbesucher werden revisionssicher protokolliert, und der Datenschutz-Generator erstellt den Newsletter-Abschnitt Ihrer Datenschutzerklärung gleich mit, abgestimmt auf das Versand-Tool, das Sie im Fragebogen angeben. So bleibt die Dokumentation konsistent: ein Setup, alle Einwilligungen nachweisbar.

## Häufige Fragen

### Ist Double-Opt-in in der Schweiz gesetzlich vorgeschrieben?

Nein, nicht ausdrücklich. Das Gesetz gegen den unlauteren Wettbewerb verlangt eine vorgängige Einwilligung für Massenwerbung per E-Mail, schreibt aber kein bestimmtes Verfahren vor. Weil der Versender im Streitfall beweisen muss, dass die Einwilligung vorliegt, ist Double-Opt-in trotzdem der Standard: Nur der dokumentierte Bestätigungsklick belegt, dass die Anmeldung tatsächlich vom Inhaber der E-Mail-Adresse stammt.

### Was droht bei Newsletter-Versand ohne Einwilligung?

Der Versand von Massenwerbung ohne Einwilligung ist unlauterer Wettbewerb nach Art. 3 Abs. 1 lit. o UWG. Auf Antrag ist er nach Art. 23 UWG strafbar — mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Dazu kommen zivilrechtliche Ansprüche der Betroffenen und der Reputationsschaden: Spam-Beschwerden verschlechtern die Zustellbarkeit aller künftigen Mailings.

### Darf ich bestehenden Kunden ohne Einwilligung einen Newsletter senden?

Ja, unter vier Bedingungen: Sie haben die Kontaktdaten beim Verkauf eigener Waren oder Dienstleistungen erhalten, Sie haben dabei auf die Ablehnungsmöglichkeit hingewiesen, Sie bewerben nur eigene ähnliche Produkte, und jede E-Mail enthält eine problemlose, kostenlose Abmeldemöglichkeit. Fehlt eine der Bedingungen, brauchen Sie die Einwilligung.

### Was muss ich bei der Newsletter-Einwilligung protokollieren?

Mindestens: Zeitpunkt der Anmeldung, Zeitpunkt des Bestätigungsklicks, die IP-Adressen beider Schritte sowie den Wortlaut des Anmeldeformulars in der damals gültigen Version. Nur mit diesen Angaben können Sie Jahre später belegen, wer wann worin eingewilligt hat — genau das verlangt die Nachweispflicht, unter der Datenschutz-Grundverordnung sogar ausdrücklich.

### Gilt die DSGVO für meinen Schweizer Newsletter?

Sobald Sie Ihren Newsletter gezielt an Empfänger in der EU richten, ja. Dann gelten die Einwilligungsanforderungen von Art. 6 und 7 DSGVO: freiwillig, informiert, unmissverständlich — und mit ausdrücklicher Nachweispflicht des Verantwortlichen. Da die meisten Schweizer Verteiler auch EU-Adressen enthalten, ist es in der Praxis am einfachsten, von Anfang an nach dem strengeren DSGVO-Standard zu arbeiten.

---

# Google Analytics 4 DSG-konform einrichten: Schritt für Schritt

Quelle: https://www.aiara.ch/blog/google-analytics-4-dsg-konform
Veröffentlicht: 2026-05-19

«Dürfen wir Google Analytics eigentlich noch einsetzen?» Diese Frage höre ich von Schweizer KMU und Agenturen fast wöchentlich — meist begleitet von halb erinnerten Schlagzeilen über Verbote in Österreich und Frankreich. Die kurze Antwort: Ja, Google Analytics 4 (GA4) lässt sich in der Schweiz rechtskonform betreiben. Die längere Antwort: nur, wenn Sie sechs Dinge richtig machen. Genau die gehen wir hier durch.

## Warum Google Analytics 4 datenschutzrechtlich heikel ist

GA4 überträgt Personendaten an die Google LLC in die USA — das ist der Kern des Problems, nicht das Messen an sich. Cookie-Kennungen, Geräteinformationen und Verhaltensdaten gelten sowohl unter dem [Bundesgesetz über den Datenschutz (DSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) als auch unter der europäischen [Datenschutz-Grundverordnung (DSGVO)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) als Personendaten, sobald sie einer Person zugeordnet werden können. Damit stellen sich zwei Fragen: Ist das Tracking selbst zulässig — und darf man die Daten in die USA schicken?

Die erste Frage beantworten DSG und DSGVO im Grundsatz gleich: Reichweitenmessung ist erlaubt, aber nicht bedingungslos. Es braucht Transparenz, eine gültige Einwilligung und einen Vertrag mit dem Dienstleister — dazu gleich mehr in den sechs Schritten.

Bei der zweiten Frage hat sich die Lage entspannt, und das wird oft übersehen. Seit dem 15. September 2024 anerkennt der Bundesrat die USA als Land mit angemessenem Datenschutzniveau — allerdings nur für Unternehmen, die unter dem Swiss–U.S. Data Privacy Framework zertifiziert sind. Google LLC ist zertifiziert. Die Übermittlung an Google ist damit zulässig, ohne dass Sie zusätzliche Garantien wie Standardvertragsklauseln abschliessen müssten. Die bekannten «Google Analytics ist illegal»-Entscheide aus Österreich und Frankreich stammen aus dem Jahr 2022 — aus der Zeit vor dem Framework und zur alten Version Universal Analytics. Wer sie heute als Beleg gegen GA4 zitiert, argumentiert mit einer überholten Rechtslage.

Entwarnung ist das trotzdem nur zur Hälfte. Das Framework löst ausschliesslich die Übermittlungsfrage. Einwilligung, Auftragsverarbeitungsvertrag, Datenminimierung und Transparenz bleiben Ihre Aufgabe — und genau daran scheitern die meisten Installationen. Die folgenden sechs Schritte decken alles ab. Wer die Grundlagen der beiden Gesetze nachlesen will, findet sie in unseren Guides zum [DSG](/dsg) und zur [DSGVO](/dsgvo).

## Schritt 1: Einwilligung einholen, bevor GA4 lädt

Das GA4-Skript darf erst laden, nachdem die Besucherin im Cookie-Banner aktiv zugestimmt hat — das ist die wichtigste Regel überhaupt. Der [Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB)](https://www.edoeb.admin.ch/de/cookie-leitfaden-aktualisiert) hält in seinem Cookie-Leitfaden fest, dass Tracking zu Analysezwecken, das Nutzungsprofile erstellt, einer Einwilligung bedarf. Unter der DSGVO ist die Sache noch eindeutiger: ohne Einwilligung kein Analyse-Cookie.

In der Praxis heisst das: Der Banner muss das GA4-Tag technisch blockieren, bis die Kategorie «Statistik» akzeptiert wurde. Ein Banner, der nur informiert, während GA4 im Hintergrund längst feuert, ist wertlos — und genau dieses Muster sehe ich bei Audits am häufigsten. Prüfen können Sie es selbst: Browser-Entwicklertools öffnen, Netzwerk-Tab beobachten, Seite neu laden. Erscheinen Requests an Google-Analytics-Domains, bevor Sie im Banner irgendetwas angeklickt haben, lädt das Skript zu früh.

Wichtig ist auch die Gestaltung des Banners selbst: «Ablehnen» muss so einfach sein wie «Akzeptieren», und vorangekreuzte Kästchen machen die Einwilligung ungültig. Dokumentieren Sie zudem jede Entscheidung — wer hat wann welcher Kategorie zugestimmt? Ohne dieses Protokoll können Sie im Streitfall keine gültige Einwilligung nachweisen. Eine saubere Einwilligung ist das Fundament — alle weiteren Schritte bauen darauf auf.

## Schritt 2: Google Consent Mode V2 verdrahten

Der Consent Mode V2 übersetzt die Banner-Entscheidung in vier Signale, die Google-Dienste verstehen — und er ist Pflicht, sobald Sie neben GA4 auch Google Ads mit Nutzern aus dem Europäischen Wirtschaftsraum (EWR) einsetzen. Die Signale `analytics_storage`, `ad_storage`, `ad_user_data` und `ad_personalization` müssen standardmässig auf «denied» stehen und dürfen erst nach der Einwilligung auf «granted» wechseln.

Wie die Implementierung im Detail funktioniert — Basic vs. Advanced Mode, die Default-Konfiguration, typische Fehler — haben wir in einer eigenen [Anleitung zum Google Consent Mode V2](/blog/google-consent-mode-v2-schweiz) beschrieben. Für die GA4-Einrichtung genügt an dieser Stelle: Ihr Cookie-Banner muss die vier Signale korrekt setzen, sonst misst GA4 entweder gar nichts oder — schlimmer — ohne gültige Einwilligung.

## Schritt 3: Datenaufbewahrung auf 2 oder 14 Monate begrenzen

GA4 speichert Ereignisdaten auf Nutzerebene standardmässig begrenzt — Sie wählen in den Property-Einstellungen unter Datenaufbewahrung zwischen 2 und 14 Monaten. Das ist eine der wenigen Stellen, an denen GA4 dem Grundsatz der Datenminimierung von Haus aus entgegenkommt: Mehr als 14 Monate sind in der Standardversion gar nicht möglich.

Welche Option ist richtig? Aus reiner Datenschutzsicht: 2 Monate. Wer in explorativen Analysen Jahresvergleiche fahren will, braucht 14 Monate — auch das ist vertretbar, solange die Datenschutzerklärung die Dauer transparent nennt. Zu wissen ist dabei: Die Einstellung betrifft nur die detaillierten Ereignis- und Nutzerdaten für eigene Auswertungen. Die aggregierten Standardberichte — Seitenaufrufe pro Monat, Besucherquellen — bleiben unabhängig davon erhalten, weil sie keine Einzelprofile mehr enthalten.

Kontrollieren Sie bei der Gelegenheit gleich die Einstellung zur Zurücksetzung der Aufbewahrungsdauer bei neuer Aktivität: Ist sie aktiv, beginnt die Frist bei jedem Besuch neu zu laufen. Für konsequente Datenminimierung gehört sie deaktiviert.

## Schritt 4: Google-Signale und Werbefunktionen bewusst entscheiden

Die Google-Signale sind eine aktive Entscheidung, keine Standardeinstellung — und für die meisten Schweizer Webseiten lautet die richtige Antwort: ausgeschaltet lassen. Aktivieren Sie die Signale, verknüpft Google die Besuche Ihrer Webseite mit den Google-Konten eingeloggter Nutzer. Das ermöglicht geräteübergreifende Auswertungen, demografische Berichte und Remarketing-Zielgruppen — bedeutet aber auch, dass deutlich mehr Daten zu Werbezwecken an Google fliessen.

Wer die Signale einschaltet, braucht dreierlei: die Einwilligung der Nutzer in personalisierte Werbung (im Consent Mode das Signal `ad_personalization`), einen entsprechenden Hinweis in der Datenschutzerklärung und einen echten Anwendungsfall. Genau daran hapert es oft — viele Installationen haben die Werbefunktionen aktiviert, ohne je eine Remarketing-Kampagne geschaltet zu haben. Dann sammeln Sie Daten ohne Zweck, und das widerspricht dem Grundsatz der Verhältnismässigkeit im DSG. Die Faustregel: Nur aktivieren, was Sie nachweislich nutzen.

## Schritt 5: Data Processing Terms akzeptieren

Google bearbeitet die Analytics-Daten in Ihrem Auftrag — dafür verlangt das Gesetz einen Vertrag, und den schliessen Sie direkt in den Kontoeinstellungen ab. Google stellt dafür die sogenannten Data Processing Terms bereit: den Auftragsverarbeitungsvertrag (AVV) für Google-Werbe- und Analyseprodukte. Sie finden die Annahme in den Kontoeinstellungen Ihrer GA4-Property; dort hinterlegen Sie auch die Kontaktangaben Ihrer Organisation.

Klingt nach Formalie, ist aber Pflicht: Art. 9 DSG und Art. 28 DSGVO verlangen für jede Auftragsbearbeitung eine vertragliche Grundlage. Ohne akzeptierte Terms bearbeitet Google Ihre Besucherdaten ohne Vertrag — ein Mangel, der bei jeder Datenschutzprüfung sofort auffällt. Wann ein AVV generell nötig ist und worauf Sie beim Abschluss achten sollten, erklärt unser [Beitrag zum Auftragsverarbeitungsvertrag](/blog/auftragsverarbeitungsvertrag-avv-schweiz).

## Schritt 6: Datenschutzerklärung ergänzen

Ihre Datenschutzerklärung muss den GA4-Einsatz vollständig ausweisen — wer misst, muss es sagen. Konkret gehören in den Analytics-Absatz: der Zweck (Reichweitenmessung und Verbesserung des Angebots), der Anbieter (Google LLC bzw. Google Ireland Limited als europäische Vertragspartnerin), die Rechtsgrundlage Einwilligung, die gesetzten Cookies mit Laufzeiten, die gewählte Aufbewahrungsdauer, die Übermittlung in die USA mit Verweis auf die Zertifizierung unter dem Data Privacy Framework — und der Hinweis, dass sich die Einwilligung jederzeit über die Cookie-Einstellungen widerrufen lässt.

Falls Sie die Google-Signale aktiviert haben, kommt der Absatz zu personalisierter Werbung dazu. Wie eine vollständige Datenschutzerklärung aufgebaut ist und was das DSG darüber hinaus verlangt, zeigt unsere [Anleitung zur Datenschutzerklärung](/blog/datenschutzerklaerung-schweiz-erstellen).

## IP-Anonymisierung: in GA4 bereits Standard

Die IP-Anonymisierung müssen Sie in GA4 nicht konfigurieren — es gibt schlicht keinen Schalter mehr dafür. Wer noch Universal Analytics kannte, erinnert sich an das `anonymizeIp`-Flag, das man von Hand setzen musste und gerne vergass. GA4 protokolliert IP-Adressen gar nicht erst: Google nutzt sie beim Empfang kurz für die Geolokalisierung auf Ebene von Stadt oder Region und verwirft sie anschliessend. Ein beliebter Prüfpunkt aus alten Datenschutz-Checklisten — «IP-Anonymisierung aktiviert?» — ist damit gegenstandslos. Wenn Ihnen ein Berater diesen Punkt für GA4 als Mangel ankreidet, arbeitet er mit einer veralteten Checkliste.

## Reicht das für die DSGVO?

Weitgehend ja — die sechs Schritte decken auch die DSGVO-Anforderungen ab, denn die europäischen Vorgaben sind bei Analytics strenger und waren hier durchgehend der Massstab. Einwilligung vor dem Laden, Widerrufsmöglichkeit, Auftragsverarbeitungsvertrag, Transparenz in der Datenschutzerklärung: Das sind exakt die Punkte, die europäische Aufsichtsbehörden bei Analytics prüfen.

Zwei Besonderheiten bleiben für Schweizer Unternehmen mit EU-Kundschaft: Erstens verlangt die DSGVO die Einwilligung ausnahmslos — die unter dem DSG diskutierte Möglichkeit, gewisse Messungen auf ein überwiegendes Interesse zu stützen, trägt gegenüber EU-Besuchern nicht. Zweitens brauchen Unternehmen ohne EU-Niederlassung, die regelmässig Personen in der EU tracken, unter Umständen eine EU-Vertretung nach Art. 27 DSGVO. Was sonst noch gilt, wenn Ihre Webseite auf den EU-Markt ausgerichtet ist, fasst unser [DSGVO-Guide](/dsgvo) zusammen.

## GA4 mit Aiara DSG-konform einbinden

Mit Aiara erledigen sich die technischen Schritte dieser Anleitung von selbst. Der Cookie-Banner blockiert GA4 automatisch, bis die Einwilligung vorliegt, setzt die vier Consent-Mode-V2-Signale korrekt und protokolliert jede Entscheidung revisionssicher. Der Rechtstext-Generator erstellt den passenden Analytics-Absatz für die Datenschutzerklärung in vier Sprachen — inklusive Data-Privacy-Framework-Hinweis. Übrig bleiben nur die Konto-Einstellungen, die Google Ihnen nicht abnehmen lässt: Datenaufbewahrung wählen, Data Processing Terms akzeptieren, Google-Signale bewusst entscheiden. Drei Klicks, einmalig — und Ihr GA4 ist sauber aufgesetzt.

## Häufige Fragen

### Ist Google Analytics 4 in der Schweiz erlaubt?

Ja — sofern die Einrichtung stimmt. Nötig sind eine Einwilligung über den Cookie-Banner, bevor das Skript lädt, korrekt gesetzte Consent-Mode-Signale, akzeptierte Data Processing Terms als Auftragsverarbeitungsvertrag und ein Absatz in der Datenschutzerklärung. Die Übermittlung in die USA ist seit dem 15. September 2024 über das Swiss–U.S. Data Privacy Framework abgedeckt, weil Google LLC dort zertifiziert ist.

### Brauche ich für Google Analytics eine Einwilligung?

Ja. GA4 setzt Cookies und erstellt Nutzungsprofile — dafür braucht es nach dem Cookie-Leitfaden des EDÖB und erst recht nach der DSGVO eine aktive Einwilligung. Das Skript darf erst laden, nachdem die Besucherin im Banner zugestimmt hat. Ein Banner, der GA4 schon beim Seitenaufruf feuert, ist der häufigste Fehler in der Praxis.

### Was bedeutet das Data Privacy Framework für Google Analytics?

Der Bundesrat anerkennt die USA seit dem 15. September 2024 als Land mit angemessenem Datenschutzniveau — allerdings nur für Unternehmen, die unter dem Swiss–U.S. Data Privacy Framework zertifiziert sind. Google LLC ist zertifiziert. Damit ist die Datenübermittlung an Google ohne zusätzliche Garantien wie Standardvertragsklauseln zulässig. Das Framework löst aber nur die Übermittlungsfrage — Einwilligung, Vertrag und Transparenz bleiben Ihre Aufgabe.

### Muss ich die IP-Anonymisierung in GA4 aktivieren?

Nein — sie lässt sich gar nicht aktivieren, weil sie Standard ist. Anders als Universal Analytics mit seinem anonymizeIp-Flag protokolliert GA4 keine IP-Adressen. Google nutzt die IP-Adresse nur kurz zur Geolokalisierung auf Stadt- oder Regionsebene und verwirft sie danach. Ein entsprechender Konfigurationsschritt entfällt also.

### Welche Datenaufbewahrung soll ich in GA4 einstellen?

GA4 bietet für Ereignisdaten auf Nutzerebene nur zwei Optionen: 2 oder 14 Monate. Aus Sicht der Datenminimierung sind 2 Monate die sauberste Wahl. Wer Jahresvergleiche in explorativen Analysen braucht, wählt 14 Monate — auch das ist vertretbar, wenn es in der Datenschutzerklärung transparent gemacht wird. Die aggregierten Standardberichte bleiben von der Einstellung unberührt.

---

# nDSG einfach erklärt: Das neue Schweizer Datenschutzgesetz für KMU

Quelle: https://www.aiara.ch/blog/ndsg-neues-datenschutzgesetz-schweiz
Veröffentlicht: 2026-05-09

«Gilt für uns jetzt eigentlich die DSGVO — oder etwas Eigenes?» Diese Frage hören wir von Schweizer KMU-Geschäftsführern regelmässig, sobald das Stichwort Datenschutz fällt. Die Antwort: Die Schweiz hat ihr eigenes, modernisiertes Datenschutzgesetz — das nDSG. Es gilt seit September 2023 für praktisch jedes Unternehmen im Land, vom Einzelunternehmen mit Webseite bis zum Industriebetrieb. Die gute Nachricht: Die Grundpflichten sind überschaubar und lassen sich ohne Rechtsabteilung umsetzen. Dieser Beitrag erklärt das nDSG von Grund auf — verständlich, ohne Juristendeutsch und mit einer konkreten Checkliste am Schluss.

Den kompletten Überblick über das Gesetz — von den Pflichten bis zu den Sanktionen — finden Sie in unserem [DSG-Ratgeber](/dsg).

## Was heisst «nDSG» überhaupt?

nDSG steht für «neues Datenschutzgesetz» und ist die gebräuchliche Abkürzung für das totalrevidierte [Bundesgesetz über den Datenschutz (DSG, SR 235.1)](https://www.fedlex.admin.ch/eli/cc/2022/491/de). Offiziell heisst das Gesetz weiterhin schlicht DSG — das vorangestellte «n» hat sich im Alltag etabliert, um die revidierte Fassung vom Vorgängergesetz aus dem Jahr 1992 zu unterscheiden. Ob jemand vom nDSG, vom revidierten DSG oder vom «neuen Datenschutzgesetz Schweiz» spricht: Gemeint ist immer dasselbe Gesetz.

Warum die Totalrevision? Das alte Gesetz stammte aus einer Zeit vor Smartphones, Cloud-Diensten und Online-Tracking. Gleichzeitig musste die Schweiz nachziehen, um von der EU weiterhin als Land mit angemessenem Datenschutzniveau anerkannt zu werden — die Voraussetzung dafür, dass Personendaten ohne zusätzliche Hürden zwischen der Schweiz und der EU fliessen dürfen.

Wichtig für die Planung: Das nDSG trat am **1. September 2023 ohne Übergangsfrist** in Kraft. Es gibt also keine Schonzeit, auf die man sich berufen könnte — die Pflichten gelten seit dem ersten Tag vollumfänglich.

Wer die einzelnen Änderungen gegenüber dem alten Recht im Detail nachlesen will, findet sie im Beitrag «[Revidiertes DSG: Was sich für Schweizer Unternehmen wirklich ändert](/blog/revidiertes-dsg-2025)». Hier konzentrieren wir uns auf den Gesamtüberblick: Was muss ein KMU wissen und tun?

## Für wen gilt das nDSG?

Kurz gesagt: für alle. Das nDSG kennt keine Schwellenwerte nach Umsatz, Mitarbeiterzahl oder Branche. Sobald ein Unternehmen Personendaten bearbeitet — also Daten, die sich einer bestimmten Person zuordnen lassen — ist es im Geltungsbereich. Und Personendaten bearbeitet praktisch jedes Unternehmen:

- die Bäckerei mit einem Kontaktformular auf der Webseite
- das Treuhandbüro mit Kundendossiers
- der Onlineshop mit Bestell- und Zahlungsdaten
- die Schreinerei mit den Personaldaten ihrer fünf Angestellten

Auch ausländische Unternehmen fallen unter das nDSG, wenn sich ihre Datenbearbeitung in der Schweiz auswirkt. Für Schweizer KMU mit Kundschaft in der EU stellt sich zusätzlich die Frage, ob parallel die europäische Datenschutz-Grundverordnung (DSGVO) gilt — dazu weiter unten mehr.

## Die fünf wichtigsten Pflichten für KMU

### 1. Datenschutzerklärung — die Informationspflicht nach Art. 19

Das Herzstück des nDSG aus Sicht eines Webseitenbetreibers: Wer Personendaten beschafft, muss die betroffenen Personen darüber informieren. Artikel 19 verlangt mindestens die Identität und die Kontaktdaten des Verantwortlichen, den Bearbeitungszweck, die Empfänger oder Empfängerkategorien und — falls Daten ins Ausland gehen — den Zielstaat sowie die Garantien für den Schutz.

In der Praxis erfüllt man diese Pflicht mit einer Datenschutzerklärung auf der Webseite. Entscheidend ist, dass sie zum tatsächlichen Setup passt: Eine kopierte Vorlage, die Google Analytics nicht erwähnt, obwohl es läuft, erfüllt die Pflicht nicht — sie dokumentiert im Zweifel sogar den Verstoss.

### 2. Verzeichnis der Bearbeitungstätigkeiten — mit KMU-Ausnahme

Das Verzeichnis der Bearbeitungstätigkeiten ist ein interner Katalog: Welche Daten bearbeiten wir, zu welchem Zweck, wer hat Zugriff, wie lange bewahren wir sie auf? Die gute Nachricht für kleine Betriebe: Unternehmen mit **weniger als 250 Mitarbeitenden** sind davon befreit — solange sie keine umfangreiche Bearbeitung besonders schützenswerter Daten vornehmen und kein Profiling mit hohem Risiko betreiben. Besonders schützenswert sind etwa Gesundheitsdaten, religiöse oder politische Ansichten und biometrische Daten.

Die meisten KMU sind damit formal aus dem Schneider. Trotzdem empfiehlt sich ein schlankes Verzeichnis auch für Kleinbetriebe: Eine einfache Tabelle mit den wichtigsten Datenkategorien zwingt zur Bestandesaufnahme und macht jede spätere Auskunftsanfrage massiv einfacher.

### 3. Meldepflicht bei Datensicherheitsverletzungen

Neu im Schweizer Recht: Wird die Datensicherheit verletzt — etwa durch einen Hackerangriff, ein verlorenes Notebook oder einen falsch adressierten Massenversand — und entsteht dadurch voraussichtlich ein hohes Risiko für die betroffenen Personen, muss das Unternehmen den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich informieren.

Für KMU heisst das konkret: Es braucht einen minimalen Notfallplan. Wer intern weiss, wer im Ernstfall entscheidet und meldet, verliert im Stress keine Zeit. Ein A4-Blatt mit Zuständigkeiten und dem Meldeweg zum EDÖB reicht als Startpunkt völlig aus.

### 4. Privacy by Design und Privacy by Default

Zwei sperrige Begriffe, ein einfacher Gedanke: Datenschutz soll von Anfang an mitgedacht werden («by Design»), und die datenschutzfreundlichste Einstellung soll die Voreinstellung sein («by Default»).

Praktisch bedeutet das: Wer ein neues Kundenverwaltungs-Tool einführt, fragt schon bei der Auswahl nach Speicherort und Löschkonzept — nicht erst nach drei Jahren. Wer ein Registrierungsformular baut, setzt das Newsletter-Häkchen nicht als Vorauswahl. Auch der Cookie-Banner ist ein Anwendungsfall: Tracking, das erst nach der Einwilligung startet, ist gelebtes Privacy by Default.

### 5. Auskunftsrecht der betroffenen Personen

Jede Person kann von Ihnen Auskunft darüber verlangen, welche Daten Sie über sie bearbeiten, woher diese stammen und an wen sie weitergegeben werden. Die Frist beträgt 30 Tage, die Auskunft ist grundsätzlich kostenlos. Das klingt banal, ist im KMU-Alltag aber die häufigste Schwachstelle: Anfragen landen im allgemeinen Postfach, niemand fühlt sich zuständig, die Frist verstreicht. Definieren Sie eine zuständige Person und eine simple Antwortvorlage — mehr braucht es meist nicht.

## Sanktionen: Bussen treffen Personen, nicht Firmen

Beim Thema Bussen unterscheidet sich das nDSG deutlich von der DSGVO. Vorsätzliche Verstösse gegen zentrale Pflichten — etwa die Informations- oder Auskunftspflicht — können auf Antrag mit Bussen bis **CHF 250'000** bestraft werden. Adressat ist dabei nicht das Unternehmen, sondern die **natürliche Person**, die den Verstoss zu verantworten hat. In einem KMU ist das typischerweise die Geschäftsführung.

Das macht Datenschutz zur Chefsache. Zwei Einordnungen, damit keine Panik aufkommt: Erstens sind nur vorsätzliche Verstösse strafbar, nicht fahrlässige. Zweitens braucht es einen Strafantrag — der EDÖB verhängt nicht selbst flächendeckend Bussen. Wer seine Grundpflichten nachweisbar erfüllt, hat wenig zu befürchten. Wer sie bewusst ignoriert, trägt das Risiko persönlich.

## Drei häufige Missverständnisse

**«Wir sind zu klein, das betrifft uns nicht.»** Das nDSG kennt keine Untergrenze. Die KMU-Ausnahme beim Verzeichnis ist die einzige nennenswerte Erleichterung — alle anderen Pflichten gelten für die Einzelfirma genauso wie für den Konzern.

**«Wir haben eine Datenschutzerklärung von 2019, das reicht.»** Leider nein. Die Informationspflicht nach Art. 19 verlangt Angaben, die ältere Texte in der Regel nicht enthalten — insbesondere zu Empfängern und Auslandtransfers. Ein Text aus der Zeit vor September 2023 ist mit hoher Wahrscheinlichkeit lückenhaft.

**«Ohne EU-Kunden brauchen wir uns um Cookies nicht zu kümmern.»** Das nDSG verlangt Transparenz über eingesetzte Tracking-Dienste, und die Empfehlungen des EDÖB gehen klar in Richtung echter Wahlfreiheit. Sobald risikoreiche Dienste oder EU-Besucher im Spiel sind, führt an einer sauberen Einwilligungslösung kaum ein Weg vorbei.

## nDSG und DSGVO: Was gilt für wen?

Viele Schweizer KMU sind unsicher, ob für sie zusätzlich die DSGVO gilt. Die Faustregel: Wer aktiv Kundschaft in der EU anspricht — etwa mit einem Onlineshop, der nach Deutschland liefert — muss beide Regelwerke beachten. Wer rein binnenorientiert arbeitet, für den gilt nur das nDSG.

Wo die beiden Gesetze im Detail auseinanderlaufen — Einwilligung, Sanktionslogik, EU-Vertretung — haben wir im Beitrag «[DSG vs. DSGVO: Die wichtigsten Unterschiede](/blog/dsg-vs-dsgvo-unterschiede)» aufgeschlüsselt. Für den Einstieg genügt: Wer die strengere DSGVO erfüllt, erfüllt das nDSG automatisch mit.

## Pflichten-Checkliste: nDSG für KMU

Die kompakte Selbstprüfung — jede Zeile sollte sich mit Ja beantworten lassen:

- [ ] Datenschutzerklärung online, aktuell und auf das eigene Setup zugeschnitten (Art. 19)
- [ ] Alle eingesetzten Tools und Drittanbieter darin benannt, inklusive Auslandtransfers
- [ ] Cookie-Banner, das Tracking erst nach der Einwilligung startet
- [ ] Zuständigkeit für Auskunftsanfragen definiert (30-Tage-Frist)
- [ ] Notfallplan für Datensicherheitsverletzungen mit Meldeweg an den EDÖB
- [ ] Verzeichnis der Bearbeitungstätigkeiten geführt — Pflicht ab 250 Mitarbeitenden, darunter empfohlen
- [ ] Neue Tools und Prozesse werden nach Privacy by Design und by Default aufgesetzt

## Wie anfangen? Drei pragmatische Schritte

**Schritt 1: Bestandesaufnahme.** Eine Stunde, ein Dokument: Welche Personendaten haben wir, wo liegen sie, welche Tools laufen auf der Webseite? Ein Cookie-Scan der eigenen Seite fördert dabei fast immer Überraschungen zutage — moderne Webseiten setzen mehr Cookies, als ihre Betreiber vermuten.

**Schritt 2: Datenschutzerklärung und Cookie-Banner aktualisieren.** Das sind die beiden sichtbarsten Pflichten — und diejenigen, die bei einer Beschwerde als Erstes geprüft werden.

**Schritt 3: Prozesse definieren.** Zuständigkeit für Auskunftsanfragen, Meldeweg für Datenpannen, Datenschutz-Check bei jedem neuen Tool. Einmal sauber definiert, kostet das im Alltag kaum noch Zeit.

## Fazit

Das nDSG ist kein Bürokratiemonster, sondern ein pragmatisches Gesetz mit klaren Grundpflichten: informieren, dokumentieren, im Ernstfall melden — und Datenschutz bei allem Neuen von Anfang an mitdenken. Wer die Checkliste oben abarbeitet, hat den Grossteil der KMU-Pflichten erfüllt und das persönliche Bussenrisiko der Geschäftsführung im Griff.

Den sichtbarsten Teil müssen Sie dabei nicht von Hand bauen: Mit Aiara erstellen Sie Datenschutzerklärung und Cookie-Banner automatisch nDSG-konform — inklusive Cookie-Scanner, der Ihre Webseite laufend mit der Erklärung synchron hält. So ist der Webseiten-Teil der Compliance in einer Stunde erledigt statt in einer Woche.

## Häufige Fragen

### Was bedeutet die Abkürzung nDSG?

nDSG steht für «neues Datenschutzgesetz» und bezeichnet das totalrevidierte Bundesgesetz über den Datenschutz, das am 1. September 2023 in Kraft getreten ist. Offiziell heisst das Gesetz weiterhin schlicht DSG — das vorangestellte «n» hat sich im Sprachgebrauch etabliert, um die revidierte Fassung vom Vorgängergesetz aus dem Jahr 1992 zu unterscheiden.

### Für wen gilt das nDSG?

Für alle privaten Unternehmen und Bundesorgane, die Personendaten bearbeiten — unabhängig von Grösse, Umsatz oder Branche. Auch eine Einzelfirma mit einer Webseite samt Kontaktformular fällt darunter. Erleichterungen gibt es nur punktuell, etwa beim Verzeichnis der Bearbeitungstätigkeiten für Unternehmen mit weniger als 250 Mitarbeitenden.

### Seit wann gilt das neue Datenschutzgesetz in der Schweiz?

Seit dem 1. September 2023 — und zwar ohne Übergangsfrist. Anders als bei der DSGVO, die zwei Jahre Vorlaufzeit gewährte, galten die Pflichten des nDSG ab dem ersten Tag vollumfänglich. Wer heute noch nicht konform ist, kann sich also auf keine Schonfrist berufen.

### Was droht bei Verstössen gegen das nDSG?

Vorsätzliche Verletzungen zentraler Pflichten — etwa der Informations-, Auskunfts- oder Mitwirkungspflicht — können auf Antrag mit Bussen bis CHF 250'000 bestraft werden. Die Busse trifft nicht das Unternehmen, sondern die natürliche Person, die den Verstoss zu verantworten hat: in einem KMU typischerweise die Geschäftsführung.

### Muss ich als KMU ein Verzeichnis der Bearbeitungstätigkeiten führen?

Pflicht ist das Verzeichnis erst ab 250 Mitarbeitenden. Kleinere Unternehmen sind befreit, solange sie keine umfangreiche Bearbeitung besonders schützenswerter Daten vornehmen und kein Profiling mit hohem Risiko betreiben. Empfehlenswert ist eine schlanke Übersicht trotzdem — sie erleichtert jede spätere Auskunftsanfrage erheblich.

---

# Cookie-Kategorien erklärt: Notwendig, Funktional, Statistik, Marketing

Quelle: https://www.aiara.ch/blog/cookie-kategorien-erklaert
Veröffentlicht: 2026-04-22
Zuletzt aktualisiert: 2026-07-04

«Welche Kategorie ist dieses Cookie?» — diese Frage taucht in jedem Implementierungs-Projekt auf. Und überraschend oft wird falsch klassifiziert. Hier eine klare Übersicht der vier Kategorien, mit konkreten Beispielen aus dem Schweizer Webagentur-Alltag.

## Die vier Kategorien im Überblick

### Notwendige Cookies

Cookies, ohne die die Webseite technisch nicht funktioniert. Beispiele:

- **Session-Cookies** (PHPSESSID, JSESSIONID): identifizieren die laufende Session
- **CSRF-Schutz** (_csrf, XSRF-TOKEN): verhindern Cross-Site-Request-Forgery
- **Warenkorb** (cart_id, basket): in E-Commerce-Shops zwingend
- **Login** (auth_token, remember_me): für eingeloggte Bereiche
- **Cookie-Consent** (cookie_consent, aiara_consent): speichert die Einwilligungs-Wahl
- **Stripe Payment** (__stripe_mid, __stripe_sid): für Zahlungs-Sicherheit
- **Cloudflare** (__cf_bm): Bot-Schutz

Diese Cookies brauchen **keine Einwilligung**, müssen aber in der Datenschutzerklärung erwähnt werden.

### Funktionale Cookies

Cookies, die die Nutzung komfortabler machen, aber technisch nicht zwingend sind. Beispiele:

- **Sprach-Präferenz** (locale, lang): merkt sich die gewählte Sprache
- **Theme-Auswahl** (theme=dark): merkt sich Light/Dark Mode
- **Geo-Lokation** (country, region): für regionale Inhalte
- **Schriftgrösse** (font_size): Accessibility-Einstellung
- **Cookie-Banner-Präferenzen** (banner_dismissed): Banner nicht erneut zeigen

Diese Cookies sind grenzwertig: Information empfehlenswert, Einwilligung in der Schweiz meist nicht zwingend, in der [DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj)-Praxis empfohlen.

### Statistik-Cookies

Cookies, die Webseiten-Statistiken sammeln. Beispiele:

- **Google Analytics 4** (_ga, _ga_*): Webseiten-Tracking
- **Matomo** (_pk_id, _pk_ses): selbstgehostete Analytics
- **Hotjar** (_hjSession_*, _hjUser_*): Session-Recording
- **Plausible** (in der Cookie-Less-Konfiguration ohne Cookie)
- **YouTube Embed Statistics** (YSC, VISITOR_INFO1_LIVE): wenn YouTube-Videos eingebettet

Diese Cookies brauchen in der Regel **Einwilligung** — auch wenn sie nicht direkt für Werbung sind. Der [EDÖB-Leitfaden](https://www.edoeb.admin.ch/de/cookie-leitfaden-aktualisiert) empfiehlt Opt-In, das [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de) sieht das ähnlich.

### Marketing-Cookies

Cookies für Werbe-Tracking, Targeting und Conversion-Messung. Beispiele:

- **Google Ads** (_gcl_au, _gcl_aw): Conversion-Tracking
- **Meta Pixel** (_fbp, fr): Facebook/Instagram-Werbung
- **LinkedIn Insight Tag** (li_oatml): B2B-Werbung
- **TikTok Pixel** (_ttp): TikTok-Werbung
- **HubSpot CRM** (__hstc, hubspotutk): Marketing-Automation
- **Salesforce Pardot**: Lead-Tracking

Diese Cookies brauchen **zwingend Einwilligung**. Sie dürfen erst nach Opt-In geladen werden, und der Consent muss dokumentiert sein.

## Die häufigsten Klassifizierungs-Fehler

**Fehler 1 — Google Analytics als «Notwendig» klassifizieren.** Manche Webseiten begründen das mit «wir nutzen das ja eh für unsere internen Statistiken». Das ist falsch: Statistik ist nicht notwendig im Sinne der technischen Funktion.

**Fehler 2 — Live-Chat-Cookies als «Funktional» einordnen.** Tools wie Intercom oder Drift sind oft als CRM- und Lead-Generation-Tool konzipiert. Sobald Daten an den Anbieter fliessen für Marketing-Zwecke, ist das Marketing — nicht funktional.

**Fehler 3 — YouTube-Embed pauschal als «Statistik».** Wer ein YouTube-Video einbettet, lädt YouTube-Cookies. YouTube tut damit auch User-Tracking für Google Ads. Korrekter: als Marketing-Cookie behandeln, oder besser: youtube-nocookie.com nutzen, das deutlich weniger Tracking macht.

**Fehler 4 — A/B-Test-Tools als «Statistik».** Tools wie VWO oder Optimizely können als Statistik klassifiziert werden, wenn sie ausschliesslich anonyme Aggregat-Daten sammeln. Sobald aber Personalisierung im Spiel ist (User-Segmentierung), wird es Marketing.

## Klassifizierungs-Entscheidungsbaum

Bei jedem neuen Cookie folgende Fragen stellen:

1. **Funktioniert die Webseite ohne den Cookie?**
   - Nein → **Notwendig**
   - Ja, weiter zu 2

2. **Werden Daten an Drittanbieter übertragen?**
   - Nein → **Funktional**
   - Ja, weiter zu 3

3. **Was ist der Zweck der Datenübertragung?**
   - Reine Webseiten-Analyse, anonyme Aggregat-Daten → **Statistik**
   - Werbe-Tracking, Targeting, Conversion → **Marketing**

Im Zweifel: strengere Kategorie wählen. Es ist immer sicherer, ein Cookie als Marketing zu klassifizieren und Einwilligung zu verlangen, als zu lasch zu sein.

## Was bei korrekter Klassifizierung passiert

Wer sauber klassifiziert, bietet Nutzern echte Wahl:

- **Alle ablehnen**: nur notwendige Cookies werden gesetzt
- **Nur Statistik**: Notwendige + Statistik aktivieren, Marketing bleibt aus
- **Alles akzeptieren**: alle vier Kategorien aktiv

Diese Granularität ist EDÖB- und DSGVO-Anforderung. Banner ohne diese Wahl-Möglichkeit gelten als unzureichend.

## Klassifizierung in Aiaras Cookie-Datenbank

Aiara pflegt eine Cookie-Datenbank mit über 1500 bekannten Cookies und ihrer Standard-Klassifizierung. Wenn der Scanner einen bekannten Cookie auf einer Webseite findet, wird er automatisch korrekt eingeordnet. Bei unbekannten Cookies wird der Webseiten-Verantwortliche aufgefordert, eine manuelle Klassifizierung vorzunehmen — mit den drei Fragen aus dem Entscheidungsbaum als Hilfe.

Das Resultat: weniger Klassifizierungs-Fehler, konsistente Banner-Konfiguration, und im Falle einer EDÖB-Stichprobe eine dokumentierte Begründung für jede Zuordnung.

## Häufige Fragen

### Welche Cookie-Kategorien gibt es?

Im Schweizer Datenschutzrecht haben sich vier Kategorien etabliert: Notwendige Cookies (für die technische Funktion zwingend), Funktionale Cookies (Komfort, aber nicht zwingend), Statistik-Cookies (Webseiten-Analyse) und Marketing-Cookies (Werbe-Tracking). Diese Einteilung folgt dem EDÖB-Leitfaden und der DSGVO-Praxis.

### Welche Cookies brauchen keine Einwilligung?

Notwendige Cookies (Session, CSRF-Schutz, Warenkorb, Login) brauchen keine Einwilligung — sie sind technisch zwingend für die Webseiten-Funktion. Funktionale Cookies (Sprach-Präferenz, Theme) sind grenzwertig: meist Information ausreichend, Einwilligung nicht zwingend, aber empfohlen.

### Sind Google Analytics-Cookies Statistik oder Marketing?

Standardmässig sind sie Statistik-Cookies. Aber: sobald Google Analytics mit Google Ads verknüpft ist (Audiences, Conversion-Tracking), wird die Datenverarbeitung zu Marketing. In der Praxis empfehle ich, Google Analytics immer als Marketing zu klassifizieren, wenn auch Google Ads im Einsatz ist.

### Wie ordne ich neue Cookies zu?

Drei Fragen: 1. Funktioniert die Webseite ohne diesen Cookie? Wenn nein → Notwendig. 2. Wird der Cookie nur für eine Komfortfunktion ohne Datenweitergabe an Dritte gesetzt? → Funktional. 3. Werden Daten an Drittanbieter übertragen? → Je nach Zweck Statistik oder Marketing.

### Was passiert bei falscher Klassifizierung?

Ein Marketing-Cookie als 'Notwendig' zu klassifizieren wäre eine Umgehung der Einwilligungspflicht — bei einer EDÖB-Stichprobe ein klarer Verstoss. Konservativ klassifizieren: Im Zweifel als strenger Kategorie zuweisen, statt zu lasch.

---

# Risiko-Radar nach EDÖB Anhang A: Datenschutz-Risiken systematisch bewerten

Quelle: https://www.aiara.ch/blog/risiko-radar-edoeb-anhang-a
Veröffentlicht: 2026-04-15
Zuletzt aktualisiert: 2026-07-04

«Brauchen wir eine Datenschutz-Folgenabschätzung?» Diese Frage ist eine der häufigsten — und die Antwort ist meistens: «Wahrscheinlich nicht, aber Anhang A des [EDÖB-Leitfadens](https://www.edoeb.admin.ch/de/datenschutz-folgenabschaetzung) hilft, das systematisch zu prüfen.» Anhang A ist das praktische Werkzeug, das im [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de) selbst keine grosse Rolle spielt, im Praxis-Alltag aber Gold wert ist.

## Was Anhang A leistet

Der EDÖB hat in seinem Leitfaden zur Datenschutz-Folgenabschätzung (DSFA) einen Anhang A publiziert, der eine strukturierte Methodik beschreibt, um Datenschutz-Risiken zu bewerten. Die Methode kombiniert vier Dimensionen zu einem Gesamt-Score und gibt damit eine objektive Grundlage für die Entscheidung «DSFA ja oder nein».

Wichtig: Anhang A ist keine Pflicht, aber eine Empfehlung. Wer ihn benutzt, hat einen verteidigbaren Risikobewertungs-Prozess. Wer eigene Methoden anwendet, muss sie ähnlich strukturiert dokumentieren können.

## Die vier Risiko-Dimensionen

### 1. Auswirkung der Beeinträchtigung

Wie schwer wäre der Schaden für eine betroffene Person, wenn etwas schiefgeht? Skala typischerweise:
- **Niedrig** — geringer Aufwand zur Wiederherstellung (z.B. Newsletter-Spam)
- **Mittel** — spürbare Beeinträchtigung (z.B. unerwünschte Werbung)
- **Hoch** — substantielle Beeinträchtigung (z.B. unfaire Kreditentscheidung)
- **Sehr hoch** — irreparabel (z.B. öffentliche Bekanntmachung sensitiver Gesundheitsdaten)

### 2. Wahrscheinlichkeit

Wie wahrscheinlich tritt der Schaden ein? Skala:
- **Sehr unwahrscheinlich** — z.B. bei sehr starken Sicherheitsmassnahmen
- **Unwahrscheinlich** — Standard-Sicherheit, wenig Angriffsfläche
- **Möglich** — durchschnittliches Risiko
- **Wahrscheinlich** — Schwachstellen bekannt, Mitigation unklar
- **Sehr wahrscheinlich** — keine Schutzmassnahmen, hohe Angriffsfläche

### 3. Anzahl Betroffener

Wie viele Personen wären betroffen? Skala:
- **Wenige** (< 100)
- **Mittel** (100-10'000)
- **Viele** (> 10'000)

### 4. Besondere Schutzbedürftigkeit

Sind besonders schutzbedürftige Personen betroffen? (z.B. Kinder, Patienten, Mitarbeitende mit Asymmetrie zur Verarbeitenden Stelle)
- **Nein** — übliche erwachsene Nutzer
- **Ja** — Kinder, Patienten, Angestellte oder Personen in vulnerablen Situationen

## Risiko-Score berechnen

Der Score wird typischerweise als Multiplikation oder Aggregation der vier Dimensionen gebildet. Ein einfaches Modell:

```
Risiko = Auswirkung × Wahrscheinlichkeit × Anzahl-Faktor × Schutzbedürftigkeits-Faktor
```

Mit:
- Auswirkung: 1-4
- Wahrscheinlichkeit: 1-5
- Anzahl: 1 (wenige), 2 (mittel), 3 (viele)
- Schutzbedürftigkeit: 1 (nein), 2 (ja)

**Schwellenwerte:**
- Score 1-12: Niedriges Risiko, keine DSFA nötig
- Score 13-30: Mittleres Risiko, DSFA empfehlenswert
- Score 31-120: Hohes Risiko, DSFA Pflicht

## Beispiel: KMU-Webshop mit Standard-Marketing

Setup: Schweizer Webshop, ca. 5'000 monatliche Besucher, Google Analytics, Meta Pixel, Newsletter via Brevo.

**Auswirkung:** 1 (niedrig) — bei Cookie-Tracking-Datenleak wäre die individuelle Beeinträchtigung gering.

**Wahrscheinlichkeit:** 2 (unwahrscheinlich) — die Tools sind etablierte Anbieter mit guter Sicherheit.

**Anzahl:** 1 (wenige) — pro Monat sind nur ein Bruchteil aktiv getrackt.

**Schutzbedürftigkeit:** 1 (nein) — Standardnutzer.

**Score:** 1 × 2 × 1 × 1 = 2 → **Niedriges Risiko, keine DSFA nötig.**

## Beispiel: Online-Plattform mit Profiling

Setup: SaaS-Plattform, automatische Tarifberechnung basierend auf Nutzerverhalten und demografischen Daten, 50'000 Nutzer.

**Auswirkung:** 3 (hoch) — falsche Tarif-Bestimmung kann finanzielle Nachteile bringen.

**Wahrscheinlichkeit:** 3 (möglich) — Algorithmen können bias enthalten, wurde nicht getestet.

**Anzahl:** 3 (viele) — über 10'000 Personen.

**Schutzbedürftigkeit:** 1 (nein) — geschäftliche Kunden.

**Score:** 3 × 3 × 3 × 1 = 27 → **Mittleres Risiko, DSFA empfehlenswert. Bei höherer Wahrscheinlichkeit Pflicht.**

## Wann der EDÖB konsultiert werden muss

Wenn die DSFA ergibt, dass das Risiko nicht hinreichend reduziert werden kann, ist der EDÖB vorgängig zu konsultieren (Art. 23 DSG). In der Praxis ist das selten der Fall — meist findet man Mitigationen, die das Risiko ausreichend abfedern.

Mögliche Mitigationen:
- **Datensparsamkeit** — weniger Daten erheben
- **Anonymisierung/Pseudonymisierung** — Daten so verarbeiten, dass keine Identifikation möglich ist
- **Einwilligung** — explizite Zustimmung als zusätzliche Legitimation
- **Transparenz** — Betroffene informieren und Wahlmöglichkeit geben
- **Sicherheitsmassnahmen** — Verschlüsselung, Zugangskontrollen, Logging

## Aiara und der Risiko-Radar

Der Risiko-Radar ist Teil der Aiara Privacy Suite und als integrierte Funktion verfügbar. Schweizer KMU können pro Domain und pro genutztem Tool eine schnelle Bewertung vornehmen — basierend auf den vier Dimensionen, mit automatischen Empfehlungen für Mitigationen. Wer den Risiko-Radar regelmässig nutzt, dokumentiert seine Risikobewertung systematisch und kann bei einer EDÖB-Stichprobe sofort eine begründete Beurteilung vorzeigen.

Auch ohne Tool gilt: Nehmen Sie Anhang A ernst, machen Sie eine schriftliche Bewertung pro relevantem Datenverarbeitungs-Vorgang, und dokumentieren Sie das Ergebnis mit Datum und Verantwortlichen. Das ist in einer halben Stunde gemacht.

## Häufige Fragen

### Was ist der EDÖB Anhang A?

Anhang A des EDÖB-Leitfadens zur Datenschutz-Folgenabschätzung beschreibt eine strukturierte Methode, um die Risiken einer Datenverarbeitung zu bewerten. Konkret werden vier Dimensionen betrachtet: Auswirkung der Beeinträchtigung, Wahrscheinlichkeit, Anzahl Betroffener und besondere Schutzbedürftigkeit. Die Bewertung ergibt einen Risiko-Score, der entscheidet, ob eine DSFA Pflicht ist.

### Wann ist eine Datenschutz-Folgenabschätzung (DSFA) Pflicht?

Wenn eine Datenverarbeitung ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt. Klassische Beispiele: Profiling mit grosser Wirkung (etwa Bonität, Tarif), Bearbeitung besonders schützenswerter Daten (Gesundheit, religiöse Überzeugung), systematische Überwachung öffentlicher Bereiche.

### Muss ein typischer KMU-Webshop eine DSFA durchführen?

Wenn die Webseite Standard-Tracking nutzt (Google Analytics, Meta Pixel) und keine Hochrisiko-Verarbeitungen vornimmt, ist die DSFA in der Regel nicht zwingend. Sobald aber Profiling mit grosser Wirkung im Spiel ist (z.B. dynamische Preisgestaltung basierend auf Nutzer-Verhalten), wird sie relevant.

### Wer führt die DSFA durch?

Der Verantwortliche selbst — also typischerweise der Geschäftsführer oder ein delegierter Datenschutz-Verantwortlicher. Ein Datenschutzbeauftragter (intern oder extern) sollte konsultiert werden. Bei Unklarheiten oder Hochrisiko: Konsultation des EDÖB.

### Wie dokumentiert man eine DSFA?

Schriftlich, mit klarer Beschreibung der Verarbeitung, der Risiken, der Mitigationen und der verbleibenden Risiken. Idealerweise als Word-/PDF-Dokument mit Datum und Verantwortlichem. Bei einer EDÖB-Stichprobe ist diese Dokumentation Goldwert — sie zeigt, dass man die Risiken durchdacht hat.

---

# Cookie-Scanner: So finden Sie heraus, was Ihre Webseite wirklich tracked

Quelle: https://www.aiara.ch/blog/cookie-scanner-website-tracking
Veröffentlicht: 2026-04-03
Zuletzt aktualisiert: 2026-07-04

«Wir wissen, welche Cookies wir setzen.» Diese Aussage höre ich oft — und sie stimmt fast nie. Bei jedem zweiten Cookie-Audit decke ich Tracking-Tools auf, von denen weder die Webagentur noch der Geschäftsführer wussten. Hier erkläre ich, warum manuelle Inventur fast immer schief geht, wie ein automatischer Scanner funktioniert, und wann sich welcher Ansatz lohnt.

## Warum manuelle Inventur fast immer falsch ist

Die meisten Webseitenbetreiber denken: «Wir nutzen Google Analytics und einen Newsletter-Service. Mehr läuft nicht.» Tatsächlich:

- **Embed-Tools** (YouTube, Vimeo, Calendly) setzen eigene Cookies, die oft vergessen werden
- **CDN-Provider** (Cloudflare, jsDelivr) können Cookies setzen, die nicht zur eigentlichen Webseite gehören
- **CMS-Plugins** (insbesondere bei WordPress) bringen oft eigene Cookies mit, die der Admin nicht kennt
- **Dynamisches Tag-Loading** über Tag Manager kann Tools laden, die im Backend konfiguriert sind, aber dem Frontend-Team nicht bewusst sind
- **Drittanbieter-Skripte** (Live-Chat, Heatmaps, A/B-Test-Tools) bringen oft mehrere Cookies pro Tool

Realität: Wer denkt, er habe 5 Cookies, hat meist 15. Wer 15 schätzt, hat 30.

## Wie ein automatischer Scanner funktioniert

Ein moderner Cookie-Scanner arbeitet in mehreren Schritten:

1. **Headless Browser starten** (typischerweise Chromium via Playwright oder Puppeteer)
2. **Webseite aufrufen** wie ein normaler Besucher
3. **Cookies auslesen** nach dem ersten Page-Load
4. **Interaktionen simulieren** — Cookie-Banner schliessen, Links klicken, Formulare füllen
5. **Erneut Cookies auslesen** — viele Cookies werden erst nach Interaktion gesetzt
6. **Unterseiten besuchen** — Sitemap oder interne Links durchgehen
7. **Local Storage und Session Storage erfassen** — auch das sind Tracking-Mechanismen
8. **Tracking-Pixel identifizieren** — Bilder, die HTTP-Requests an Drittserver senden
9. **Bericht erstellen** — Cookie-Liste mit Anbieter, Zweck (wenn aus Bibliothek bekannt), Speicherdauer

Der Aiara-Scanner geht zusätzlich noch tiefer: er identifiziert dynamisch geladene Tracking-Skripte, prüft [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de)-relevante Datenexporte und gleicht die Resultate gegen eine Cookie-Datenbank ab, um automatisch zu klassifizieren (notwendig / Statistik / Marketing).

## Manuelle Schnell-Inventur mit DevTools

Wenn Sie eine schnelle Inventur Ihrer eigenen Webseite machen wollen:

1. **Inkognito-Modus öffnen** im Chrome (verhindert, dass alte Cookies das Bild verfälschen)
2. **DevTools öffnen** mit F12 oder Cmd+Option+I
3. **Application Tab** → Cookies → Ihre Domain
4. **Sehen Sie sich Erste-Party-Cookies an** — gesetzt von Ihrer eigenen Webseite
5. **Wechseln Sie zu Drittanbieter-Domains** in der Cookie-Liste — Google, Meta, etc.
6. **Network Tab** → Filter «Doc» und «Script» → schauen Sie, welche Drittanbieter-Skripte geladen werden
7. **Local Storage und Session Storage** ebenfalls in Application Tab prüfen

Diese Inventur findet etwa 60-70 % aller Cookies einer Webseite. Den Rest entdeckt nur ein automatischer Scan, der Unterseiten, Logins und Formulare durchläuft.

## Was Tracking ohne Cookie macht

Eine Falle, die viele übersehen: nicht jedes Tracking braucht ein Cookie. Häufige Cookie-Less-Tracking-Mechanismen:

- **Local Storage** — wie ein Cookie, aber technisch anders, oft nicht in Cookie-Listen
- **Session Storage** — temporär, aber bei einigen DSG-Definitionen ebenfalls als Personendaten zu behandeln
- **Tracking-Pixel** — winzige Bilder, die einen HTTP-Request mit Tracking-Parametern an Drittserver senden
- **Server-Side-Tracking** — Daten werden direkt vom Server zu Google/Meta gesendet, der Browser sieht nichts
- **Fingerprinting** — Identifizierung über Browser-Eigenschaften (Schriftarten, Plugins, Bildschirmgrösse) ohne Cookie

Ein guter Scanner erfasst zumindest die ersten drei Kategorien. Server-Side-Tracking und Fingerprinting sind nur durch Code-Review erkennbar.

## Die häufigsten Cookies bei Schweizer Webseiten — und wofür sie da sind

Eine kurze Übersicht der Top 15:

| Cookie | Anbieter | Zweck | Kategorie |
|--------|----------|-------|-----------|
| _ga | Google Analytics | User-Identifikation | Statistik |
| _gid | Google Analytics | Session-ID | Statistik |
| _gcl_au | Google Ads | Conversion-Tracking | Marketing |
| _fbp | Meta Pixel | Conversion-Tracking | Marketing |
| __hstc | HubSpot | User-Tracking | Marketing |
| hubspotutk | HubSpot | Cookie-Konsens | Marketing |
| _hjSession_* | Hotjar | Session-Recording | Statistik |
| YSC | YouTube Embed | Video-Statistik | Statistik |
| VISITOR_INFO1_LIVE | YouTube Embed | User-Präferenz | Statistik |
| __cf_bm | Cloudflare | Bot-Schutz | Notwendig |
| PHPSESSID | Webserver | Session | Notwendig |
| _csrf | Webframework | CSRF-Schutz | Notwendig |
| consent_v1 | Aiara Banner | Consent-Speicherung | Notwendig |
| _calendly_session | Calendly | Termin-Buchung | Funktional |
| __stripe_mid | Stripe | Zahlungs-Sicherheit | Notwendig |

Diese 15 Cookies decken etwa 80 % aller Schweizer KMU-Webseiten ab. Den Rest machen branchenspezifische Tools aus.

## Aiara-Scanner — was er konkret tut

Der Aiara-Scanner besucht eine Webseite mit Headless Chromium, klickt durch bis zu 600 Unterseiten, simuliert verschiedene Nutzer-Interaktionen und produziert eine Cookie-Liste mit:

- **Cookie-Name und Anbieter**
- **Vermutete Kategorie** (basierend auf Cookie-Datenbank)
- **Speicherdauer** (aus den HTTP-Headers)
- **First-Party vs. Third-Party**
- **Datenexport-Land** (basierend auf der Anbieter-Datenbank)
- **DSG-Konformitäts-Hinweise** (z.B. «Marketing-Cookie ohne Consent geladen»)

Die Resultate werden direkt in den Cookie-Banner und die Datenschutzerklärung übernommen. Bei Veränderungen — etwa neuer Tool-Integration durch das Marketing-Team — meldet sich der Scanner automatisch.

## Wer braucht einen automatischen Scanner?

Als Faustregel:

- **Reine Visitenkarten-Webseiten** (statisch, kein Marketing) → manueller DevTools-Check reicht
- **KMU mit Standard-Marketing-Stack** (Google Analytics, Newsletter) → quartalsweiser Scan
- **E-Commerce, Multi-Tool-Marketing-Stacks** → kontinuierlicher Scan empfehlenswert
- **Webagenturen mit vielen Kunden** → unbedingt automatisierte Lösung, sonst nicht skalierbar

Der Aufwand für einen sauberen monatlichen Scan ist deutlich kleiner als der einer einzigen [EDÖB](https://www.edoeb.admin.ch/de)-Untersuchung — und die Wahrscheinlichkeit, einen versteckten Tracking-Pixel zu finden, ist hoch.

## Häufige Fragen

### Was ist ein Cookie-Scanner?

Ein automatisiertes Tool, das eine Webseite wie ein echter Browser besucht und alle gesetzten Cookies, Local-Storage-Einträge und Tracking-Pixel protokolliert. Im Gegensatz zur manuellen Inventur erkennt er auch Cookies, die nur auf bestimmten Unterseiten oder nach Nutzer-Interaktion gesetzt werden.

### Wie viele Cookies hat eine durchschnittliche Schweizer KMU-Webseite?

Meist zwischen 10 und 30 Cookies — und 5 bis 15 Tracking-Pixel oder Local-Storage-Einträge. Je mehr Marketing-Tools im Einsatz, desto mehr. Ein typisches Schweizer Restaurant: ca. 8 Cookies. Ein E-Commerce-Shop mit Marketing-Stack: gut 40.

### Kann ich meine Cookies auch manuell finden?

Ja, mit den Browser-DevTools (F12 → Application → Cookies). Aber: Sie sehen nur Cookies, die auf der konkret aufgerufenen Seite gesetzt werden — nicht solche, die erst nach Klicks oder auf Unterseiten erscheinen. Ein automatischer Scanner besucht die ganze Webseite.

### Was kosten Cookie-Scanner?

Zwischen kostenlos (für eine schnelle Inventur einer einzelnen Webseite) und CHF 50-200/Monat für professionelle Lösungen mit kontinuierlicher Überwachung. Aiaras Public-Scanner ist kostenlos für eine schnelle Stichprobe, der Pro-Scan ist im Domain-Abo (CHF 240/Jahr) inklusive.

### Wie oft sollte ich scannen lassen?

Bei jedem grösseren Website-Update sowieso. Ohne Updates: mindestens vierteljährlich. Wer Marketing-Tools regelmässig integriert (Newsletter-Tool, Webinar-Plattform, neuer Werbe-Pixel): monatlich. Bei Aiara läuft der Scan automatisch im Hintergrund.

---

# 7 Cookie-Banner-Fehler, die Schweizer KMU teuer kommen können

Quelle: https://www.aiara.ch/blog/cookie-banner-fehler-schweizer-kmu
Veröffentlicht: 2026-03-25
Zuletzt aktualisiert: 2026-07-04

In den letzten 18 Monaten habe ich rund 150 Schweizer Webseiten auf ihre Cookie-Banner-Compliance hin geprüft. Sieben Fehler tauchen so regelmässig auf, dass sie sich klar identifizieren lassen. Hier die Liste — mit konkretem Fix-Vorschlag, der den Banner nicht aufdringlicher macht, aber rechtlich auf der sicheren Seite ist.

## Fehler 1 — «Akzeptieren» grösser als «Ablehnen»

Der Klassiker. Akzeptieren-Button: gross, leuchtend grün, prominent. Ablehnen-Button: klein, grau, halbtransparent, manchmal sogar nur als Textlink.

**Warum das ein Problem ist:** Der [EDÖB-Leitfaden](https://www.edoeb.admin.ch/de/cookie-leitfaden-aktualisiert) V1.1 verlangt explizit Gleichwertigkeit. [DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj)-konform ist es nur dann, wenn beide Buttons visuell vergleichbar sind. Ungleichwertigkeit gilt als Dark Pattern.

**Fix:** Beide Buttons gleich gross, gleicher Kontrast, gleiche Position. Wenn Sie die Konversionsrate fürchten — keine Sorge, in der Praxis sehe ich bei Aiara-Kunden eher höhere Akzeptanzraten, weil das Vertrauen steigt.

## Fehler 2 — Pre-Checked Boxes

Die Banner-Detailseite zeigt Kategorien (Statistik, Marketing) als Toggles — und die sind standardmässig aktiviert. Der Nutzer müsste manuell deaktivieren.

**Warum das ein Problem ist:** Eine voreingestellte Einwilligung ist keine freiwillige Einwilligung. Unter DSGVO klar verboten. Unter [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de) problematisch.

**Fix:** Alle Toggles standardmässig auf «aus». Nur bei explizitem User-Klick auf «ein». Notwendige Cookies bleiben (technisch) aktiv und können auch nicht ausgeschaltet werden — das ist legitim.

## Fehler 3 — Marketing-Cookies vor Einwilligung laden

Sie öffnen die Webseite, der Banner erscheint, und während Sie noch lesen — werden bereits Google Ads, Meta Pixel und Hotjar geladen. Der Banner ist reine Dekoration.

**Warum das ein Problem ist:** Wenn Cookies vor Einwilligung gesetzt werden, ist die Einwilligung sinnlos. Das ist der schwerwiegendste der häufigen Fehler.

**Fix:** Tag-Manager-Logik anpassen. Tracking-Skripte mit Consent-Trigger versehen. Bei korrekter Implementierung lädt nichts Trackendes, bevor der Nutzer aktiv eingewilligt hat. Der Aiara-Banner blockiert Marketing-Skripte standardmässig.

## Fehler 4 — Keine Domain-spezifische Anpassung

Webagenturen verwenden den gleichen Banner-Code für alle Kundenwebseiten. Dadurch zeigt der Banner Cookies auf, die auf dieser konkreten Webseite gar nicht laufen — oder umgekehrt, nennt vorhandene Cookies nicht.

**Warum das ein Problem ist:** Die Datenschutzerklärung passt nicht zur tatsächlichen Datenverarbeitung. Bei einer Stichprobe ist das ein dokumentierter Verstoss.

**Fix:** Pro Webseite einen eigenen Cookie-Scan, der die tatsächlich gesetzten Cookies erfasst. Banner und Datenschutzerklärung werden basierend auf diesem Scan generiert. Aiara macht das automatisch — beim Anlegen einer Domain wird der Scanner ausgeführt und der Banner entsprechend konfiguriert.

## Fehler 5 — Veraltete Dokumentation

Die Banner-Konfiguration wurde 2022 gemacht, seither nicht mehr angepasst. Inzwischen wurden drei neue Tools integriert (HubSpot, ein neuer Newsletter-Service, ein Vimeo-Embed). Die Datenschutzerklärung erwähnt sie nicht.

**Warum das ein Problem ist:** Bei einer Auskunftsanfrage muss klar sein, welche Daten an welche Empfänger gehen. Veraltete Dokumentation macht das unmöglich.

**Fix:** Quartalsweise automatischer Scan plus Quartals-Review der Datenschutzerklärung. Bei Aiara-Kunden ist das eingebaut — der Scan läuft monatlich, und Diskrepanzen werden gemeldet.

## Fehler 6 — Fehlender Consent-Log

Der Banner zeigt Akzeptieren/Ablehnen, aber niemand führt Buch darüber, wer wann was gewählt hat. Bei einer Auskunftsanfrage kann nichts nachgewiesen werden.

**Warum das ein Problem ist:** Beweispflicht liegt beim Verantwortlichen. Wer keine Einwilligungs-Dokumentation hat, gilt als hätte er keine Einwilligung.

**Fix:** Consent-Log mit Zeitstempel, IP-Hash (oder anderer pseudonymer Kennung) und gewählten Kategorien. Aiara protokolliert das standardmässig — bei einer Auskunftsanfrage exportieren Sie die Datensätze in einem Klick.

## Fehler 7 — Mobile-Test fehlt

Der Banner sieht auf Desktop gut aus. Auf Mobile aber: er verdeckt 80 % des Bildschirms, der Ablehnen-Button ist nicht sichtbar, oder der Banner kommt gar nicht erst weg.

**Warum das ein Problem ist:** 60 % der Schweizer Webseitenbesuche kommen vom Smartphone. Ein nicht funktionierender Banner auf Mobile betrifft die Mehrheit der Nutzer.

**Fix:** Banner auf realen Mobilgeräten testen — nicht nur in der DevTools-Mobile-Ansicht. Aiaras Banner ist responsiv designed, getestet auf iOS Safari, Android Chrome und mobilen Edge-Versionen.

## Self-Audit-Checkliste

Sie können in 10 Minuten Ihren eigenen Banner prüfen:

1. Gleichwertige Buttons? (Stoppuhr: Augenmuster, würden beide gleich auffallen?)
2. Toggles standardmässig aus? (Detailseite öffnen, prüfen)
3. Tracking erst nach Klick? (DevTools → Network, vor und nach Klick auf Akzeptieren)
4. Cookies passen zur Datenschutzerklärung? (Application → Cookies vergleichen mit Erklärung)
5. Aktualisierungsdatum der Erklärung jünger als 6 Monate?
6. Consent-Log vorhanden? (Beim Anbieter nachfragen)
7. Mobile-Test? (Echtes Smartphone, nicht Browser-Emulation)

## Was Aiara hier konkret abdeckt

Bei Aiara sind diese sieben Fehler standardmässig adressiert. Buttons gleichwertig, Toggles standardmässig aus, Marketing-Skripte erst nach Consent, Domain-spezifischer Cookie-Scan, monatliches Update der Datenschutzerklärung, eingebauter Consent-Log, mobile-optimierter Banner. Das ist nicht Magie — das ist die saubere Implementierung dessen, was DSG, DSGVO und EDÖB-Leitfaden seit Jahren verlangen. Webagenturen, die Aiara einsetzen, können ihren Kunden seriös sagen: «Damit ist der Banner-Teil sauber.» Und das mit gutem Gewissen.

## Häufige Fragen

### Welcher Cookie-Banner-Fehler ist am häufigsten?

Klar Fehler 1: ungleichwertige Buttons. Akzeptieren ist gross und farbig, Ablehnen klein und grau. Etwa 70 % der Schweizer KMU-Webseiten, die ich auditiere, haben diesen Fehler. Es ist auch der Fehler, den der EDÖB am ehesten beanstandet.

### Sind pre-checked Boxes wirklich verboten?

Nach DSGVO ja, eindeutig. Nach revidiertem DSG sind sie problematisch, weil eine voreingestellte Aktivierung keine freiwillige Einwilligung darstellt. Wer DACH-Geschäft betreibt, sollte alle Boxen standardmässig deaktiviert haben — sonst greift die DSGVO und Pre-Checked ist klar verboten.

### Was bedeutet, dass Marketing-Cookies vor Einwilligung laden?

Manche Webseiten laden Tracking-Skripte schon beim Seitenaufruf, bevor der Nutzer überhaupt mit dem Banner interagiert hat. Das ist ein technischer Fehler — der Banner ist quasi Dekoration. Korrekt: Tracking-Skripte werden erst nach 'Akzeptieren' geladen, idealerweise via Tag Manager mit Consent-Trigger.

### Muss der Cookie-Banner mobile-optimiert sein?

Ja. Etwa 60 % der Schweizer Webseitenzugriffe kommen vom Smartphone. Ein Banner, der auf Mobile den Bildschirm komplett verdeckt oder den Ablehnen-Button nicht erreichbar macht, ist nicht nur UX-mässig schlecht, sondern auch DSG-rechtlich problematisch — weil die freiwillige Wahl behindert wird.

### Wie oft sollte ich den Banner überprüfen?

Mindestens alle drei Monate. Bei jedem grösseren Webseiten-Update sowieso. Konkret: Nach jeder Tool-Integration, jeder neuen Marketing-Kampagne und mindestens vierteljährlich ein automatisierter Cookie-Scan, um Diskrepanzen zwischen tatsächlich gesetzten Cookies und der Banner-Konfiguration aufzudecken.

---

# EDÖB-Leitfaden in der Praxis: Was er für Webseitenbetreiber wirklich bedeutet

Quelle: https://www.aiara.ch/blog/edoeb-leitfaden-praxis
Veröffentlicht: 2026-03-13
Zuletzt aktualisiert: 2026-07-04

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zentrale Aufsichtsbehörde für Datenschutzfragen in der Schweiz. Sein [Leitfaden zu Online-Tracking und Cookies](https://www.edoeb.admin.ch/de/cookie-leitfaden-aktualisiert) ist seit 2019 die wichtigste Referenz für Schweizer Webseitenbetreiber — auch wenn ihn nur die wenigsten gelesen haben. Hier eine Einordnung der wichtigsten Empfehlungen, ergänzt um die Beobachtung, wie der EDÖB sie in der Praxis umsetzt.

## Was der Leitfaden ist — und was nicht

Der Leitfaden V1.1 vom Februar 2024 ist keine Verordnung, kein Gesetz, keine bindende Norm. Er ist eine Verlautbarung der Aufsichtsbehörde, in der sie ihre Auslegung des [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de) für den Bereich Online-Tracking erklärt. Das klingt schwach, ist aber praktisch sehr wirkungsvoll: Wer untersucht wird, wird am Leitfaden gemessen. Wer abweicht, muss begründen.

Aus juristischer Sicht: Der Leitfaden bindet nicht direkt, aber er bildet die «sichere Praxis» ab. Vor Gericht würde ein Argument «aber der EDÖB hat das so empfohlen» zwar nicht den Ausschlag geben, aber ein erheblicher Faktor sein.

## Die fünf wichtigsten Empfehlungen

### 1. Layered Approach für Cookie-Information

Der EDÖB empfiehlt eine zweistufige Information: erste Ebene als Banner mit den Kernpunkten, zweite Ebene mit detaillierter Cookie-Aufstellung. Die zweite Ebene muss intuitiv erreichbar sein.

In der Praxis: Die meisten Banner haben das umgesetzt, aber oft schlecht — der Klick auf «Einstellungen» öffnet eine Liste, die kaum lesbar ist. Was der EDÖB will: lesbare, kategorische Auflistung mit klarer Wahlmöglichkeit.

### 2. Gleichwertigkeit von Akzeptieren und Ablehnen

«Akzeptieren» und «Ablehnen» müssen visuell und logisch gleichwertig sein. Konkret: Beide Buttons sollten gleich gross sein, gleich prominent platziert, mit ähnlichem Kontrast.

In der Praxis: Hier gibt es viele Verstösse. Der grüne, leuchtende «Akzeptieren»-Button neben dem grauen, halbtransparenten «Ablehnen» ist ein klassisches Dark Pattern, das der EDÖB explizit als unzulässig markiert.

### 3. Keine Cookie-Walls

Eine Cookie-Wall — also «Akzeptieren oder Webseite verlassen» — ist nach EDÖB-Position nicht zulässig, weil die Einwilligung dann nicht mehr freiwillig ist. Es gibt Spielraum für Modelle wie «Pay-per-Page» oder «Consent oder Abo», aber das ist juristisch heikel.

In der Praxis: Cookie-Walls sind in der Schweiz selten. Die meisten Webseiten lassen Ablehnen zu, ohne den Zugang zu blockieren.

### 4. Granulare Wahlmöglichkeit

Nutzer müssen nicht nur «Alle akzeptieren» oder «Alle ablehnen» wählen können, sondern auch kategorisch — etwa nur Statistik, nur Marketing. Idealerweise pro einzelnem Drittanbieter-Tool.

In der Praxis: Granularität ist meistens umgesetzt, aber oft mit unklarer Kategorie-Beschriftung. «Marketing» heisst was genau? Welche Tools fallen rein, welche raus? Die Detailseite muss das klären.

### 5. Dokumentation der Einwilligung

Jede Einwilligung muss nachweisbar sein. Konkret: Consent-Log, der für jeden Nutzer-Klick festhält, was, wann, mit welchen Kategorien gewählt wurde.

In der Praxis: Der schwächste Punkt bei vielen Schweizer Webseiten. Wenn ein Nutzer eine Auskunftsanfrage stellt und nach seinem Consent-Log fragt, kommt oft Funkstille — weil keiner geführt wird.

## Die Behördenpraxis seit 2024

Der EDÖB hat in den letzten 18 Monaten merklich aktiver geprüft. Die typische Vorgehensweise:

1. **Eingang einer Beschwerde** oder **Stichproben-Auswahl** durch die Behörde
2. **Informelle Anfrage** an das Unternehmen mit Bitte um Stellungnahme
3. **Empfehlung zur Anpassung** mit angemessener Frist (typisch 30-60 Tage)
4. Bei Nicht-Umsetzung: **formelle Empfehlung** mit Publikation
5. Bei weiterer Nicht-Umsetzung: **Beschwerde an das Bundesverwaltungsgericht**

In der Praxis kommen die meisten Fälle bei Stufe 2 zum Abschluss — eine informelle Anpassung reicht. Stufe 3 wird publik, Stufe 4 ist selten.

## Was die V2 (angekündigt 2026) bringen könnte

Der EDÖB hat angekündigt, eine V2 des Leitfadens zu publizieren. Erwartete Schwerpunkte:

- **AI-bezogenes Tracking** — Behavioral Profiling durch ML-Modelle
- **Server-Side Tracking** — Workarounds, die First-Party-Cookies setzen, aber Daten an Drittanbieter senden
- **Mobile App-Tracking** — Schnittstelle zwischen DSG und Apple/Google App-Tracking-Policies
- **Dark Pattern-Erweiterungen** — neue Kategorien irreführender UI-Patterns

Wer heute schon sauber implementiert, ist für die V2 vorbereitet. Wer Workarounds nutzt, sollte sich auf neue Anforderungen einstellen.

## Praxis-Checkliste vor einer EDÖB-Stichprobe

Wenn der EDÖB anklopft, sollten Sie folgende Punkte sofort vorzeigen können:

- [ ] Cookie-Banner mit gleichwertigen Akzeptieren/Ablehnen-Buttons
- [ ] Detailseite mit Auflistung aller Cookies, kategorisch und einzeln wählbar
- [ ] Consent-Log mit nachvollziehbaren Einwilligungen
- [ ] Datenschutzerklärung, die zur tatsächlichen Cookie-Realität passt
- [ ] Auskunftsanfragen-Prozess mit dokumentierter Reaktionszeit
- [ ] Datenexporte ins Ausland mit Mechanismus ausgewiesen
- [ ] Verzeichnis der Verarbeitungstätigkeiten (sofern pflichtig)

## Wo Aiara den Leitfaden umsetzt

Aiaras Banner ist standardmässig nach dem Layered Approach gebaut. Akzeptieren und Ablehnen haben gleiche Grösse und Prominenz. Die Detailseite listet jeden Cookie einzeln, mit Anbieter, Zweck und Speicherdauer. Der Consent-Log läuft automatisch im Hintergrund — bei einer Auskunftsanfrage sehen Sie auf einen Blick, wann der Nutzer welche Wahl getroffen hat. Das ist nicht Magie, das ist die Anwendung dessen, was der EDÖB als «sichere Praxis» empfiehlt.

## Häufige Fragen

### Ist der EDÖB-Leitfaden rechtlich bindend?

Der Leitfaden selbst ist keine Rechtsnorm, sondern eine Verlautbarung der Behörde. Er ist aber die Grundlage, auf der der EDÖB seine Untersuchungen führt. Wer dem Leitfaden folgt, ist auf der sicheren Seite. Wer abweicht, muss seine Abweichung gut begründen können.

### Was ist der Layered Approach?

Der EDÖB empfiehlt eine zweistufige Cookie-Information: Erste Ebene ist der Banner mit Grundinformation und Wahlmöglichkeit, zweite Ebene ist eine Detailseite mit jedem einzelnen Cookie. Wichtig dabei: Der Übergang muss intuitiv sein, kein versteckter Klick auf 'Mehr Info'.

### Wann hat der EDÖB seinen Leitfaden zuletzt aktualisiert?

Im Februar 2024 wurde die Version V1.1 veröffentlicht. Diese ergänzt den ursprünglichen Leitfaden um Hinweise zu Cookie-Walls, Dark Patterns und der Equivalenz von Akzeptieren-/Ablehnen-Buttons. Eine V2 ist für 2026 angekündigt.

### Welche Branchen prüft der EDÖB schwerpunktmässig?

Bisher waren es eher Hinweise aus der Bevölkerung, die zu Untersuchungen führten. Seit 2025 setzt der EDÖB stärker auf Stichproben — mit Fokus auf E-Commerce, grosse Schweizer Marken und Gesundheitsplattformen. Aber: jede Branche kann betroffen sein.

### Was passiert, wenn der EDÖB eine formelle Empfehlung ausspricht?

Eine formelle Empfehlung wird publiziert. Wenn das Unternehmen die Empfehlung nicht umsetzt, kann der EDÖB an das Bundesverwaltungsgericht weiterziehen. In der Praxis setzen die meisten Unternehmen die Empfehlungen freiwillig um — der Reputationsschaden einer öffentlichen Auseinandersetzung ist meist grösser als die Kosten der Anpassung.

---

# Datenschutzerklärung erstellen: Vorlage und Praxisleitfaden für Schweizer Webseiten

Quelle: https://www.aiara.ch/blog/datenschutzerklaerung-schweiz-erstellen
Veröffentlicht: 2026-03-04
Zuletzt aktualisiert: 2026-07-04

«Können Sie unsere Datenschutzerklärung kurz prüfen? Es ist eine Standard-Vorlage.» Diese Anfrage bekomme ich pro Monat etwa fünfmal. Und in 80 % der Fälle ist die Datenschutzerklärung nicht nur formal unvollständig, sondern auch inhaltlich falsch — weil die Vorlage nicht zur tatsächlichen Datenverarbeitung passt.

Was eine korrekte Datenschutzerklärung 2026 enthalten muss, welche Fehler ich regelmässig sehe und wann sich ein Generator gegenüber einer Vorlage lohnt — eine Praxisanleitung.

## Die rechtliche Grundlage

Das revidierte [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de) (Art. 19 ff.) verpflichtet jeden, der Personendaten bearbeitet, zur Information der betroffenen Personen. Das gilt unabhängig davon, ob Sie eine kleine Webseite oder eine grosse Plattform betreiben. Bei einer Webseite ist die Datenschutzerklärung die übliche Form dieser Information.

Wichtig: Die Information muss **vor der Bearbeitung** verfügbar sein, in **leicht zugänglicher** Form, und sie muss **vollständig** sein. Eine versteckte Erklärung im Footer-Mikrofont erfüllt das schon nicht ganz.

## Die 12 Bausteine einer korrekten Datenschutzerklärung

Strukturiert man die Erklärung nach den DSG- und (bei DACH-Geschäft) [DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj)-Anforderungen, ergibt sich folgender Aufbau:

1. **Identität des Verantwortlichen** — Firmenname, Adresse, Kontaktperson
2. **Kontakt für Datenschutzanfragen** — E-Mail oder Postadresse
3. **EU-Vertreter** — falls DSGVO greift (Art. 27)
4. **Welche Daten werden bearbeitet** — Kategorien, nicht jeder einzelne Datenpunkt
5. **Zweck der Bearbeitung** — pro Kategorie
6. **Rechtsgrundlage** — Einwilligung, Vertragserfüllung, berechtigtes Interesse
7. **Speicherdauer** — pro Kategorie, idealerweise mit Begründung
8. **Empfänger der Daten** — Auftragsverarbeiter (Hoster, CRM, E-Mail-Versender), aber auch Werbenetzwerke
9. **Datenexporte ins Ausland** — Land, Mechanismus (Standardvertragsklauseln, Angemessenheitsbeschluss)
10. **Rechte der Betroffenen** — Auskunft, Berichtigung, Löschung, Widerspruch
11. **Cookie-Aufstellung** — bei Verwendung von Tracking
12. **Stand und Versionierung** — Datum der letzten Änderung

In dieser Reihenfolge oder einer ähnlichen Logik sollte jede Datenschutzerklärung aufgebaut sein. Eine reine Auflistung «wir verwenden Google Analytics» ohne diese Strukturierung ist keine Datenschutzerklärung — es ist eine Behauptung.

## Drei häufige Fehler bei Schweizer KMU

**Fehler 1 — Outdated Vorlage.** Die Erklärung wurde 2021 vom IT-Dienstleister erstellt. Seither: drei neue Tools (HubSpot, Calendly, Vimeo), keine Aktualisierung der Erklärung. Resultat: Die Erklärung listet drei Tools, die Webseite verwendet sechs. Bei einer [EDÖB](https://www.edoeb.admin.ch/de)-Stichprobe ist das ein dokumentierter Verstoss.

**Fehler 2 — Generische Vorlage.** «Diese Webseite nutzt Cookies, die für die Funktion erforderlich sind.» Welche Cookies? Welcher Zweck? Welche Speicherdauer? Pflichtangaben fehlen, die Erklärung ist juristisch unvollständig.

**Fehler 3 — Versteckter US-Datenexport.** Mailchimp wird genannt, ohne den Hinweis, dass Daten in die USA fliessen und welcher Mechanismus den Export legitimiert (Standardvertragsklauseln). Auch der Hinweis auf das EU-US Data Privacy Framework wäre hier hilfreich.

## Generator vs. Anwalt — die ehrliche Einschätzung

**Generator** (Aiara, datenschutzgenerator.de, etc.):
- Pro: Günstig (CHF 200-600/Jahr), automatische Updates bei Gesetzesänderungen, Cookie-Scanner-Integration
- Contra: Standard-Formulierungen, weniger juristische Tiefe für Spezialfälle
- Geeignet für: Standard-Webseiten, KMU, Webagenturen mit vielen Kunden

**Anwalt** (Schweizer Wirtschaftskanzlei):
- Pro: Massgeschneidert, beraterisch, deckt Spezialfälle ab
- Contra: Teuer (CHF 1000-3000 Erstaufwand, jährliche Updates extra), schwerfällig bei Tool-Updates
- Geeignet für: Komplexe B2B-Datenverarbeitungen, Branchen mit spezifischen Compliance-Anforderungen (Gesundheit, Finanz)

In der Praxis: 90 % der KMU sind mit einem guten Generator besser bedient. Wer komplexe Datenverarbeitungen hat (etwa medizinische Daten, Finanztransaktionen, Personalentscheidungen mit Algorithmen), sollte den Anwalt-Weg gehen.

## Die häufigsten Drittanbieter-Tools — und wie sie zu erwähnen sind

Eine kurze Liste, was bei den meisten Schweizer KMU vorkommt:

- **Google Analytics 4 / Google Ads** — Empfänger: Google Ireland; Datenexport USA mit Standardvertragsklauseln; Zweck: Webseiten-Statistik / Werbe-Optimierung; Speicherdauer: 14 Monate (Default GA4).
- **Meta Pixel** — Empfänger: Meta Platforms Ireland; Export USA; Zweck: Werbe-Targeting; Speicherdauer: 90 Tage (Default).
- **HubSpot / Salesforce** — Empfänger: HubSpot/Salesforce; Export USA/EU; Zweck: CRM und Marketing-Automation; Speicherdauer: bis zur Beendigung der Geschäftsbeziehung.
- **Mailchimp / Brevo** — Empfänger: Anbieter; Export je nach Anbieter (Brevo EU, Mailchimp USA); Zweck: Newsletter-Versand; Speicherdauer: bis zur Abmeldung.
- **Calendly** — Empfänger: Calendly Inc.; Export USA; Zweck: Terminbuchung; Speicherdauer: nach Termin-Abschluss zeitlich begrenzt.

Für jedes Tool sollten Sie diese fünf Angaben in der Erklärung machen. Generic «wir nutzen Drittanbieter» ohne Spezifikation ist nicht zulässig.

## Mehrsprachigkeit — das oft vergessene Thema

Eine deutschsprachige Datenschutzerklärung auf einer DE/FR/IT-Webseite ist ein klassisches Compliance-Loch. Die DSG verlangt zwar keine Mehrsprachigkeit explizit, aber die «leichte Zugänglichkeit» bedeutet praktisch, dass die Information für die Zielgruppe verständlich sein muss.

In der Praxis: Wenn Sie eine mehrsprachige Webseite haben, brauchen Sie eine mehrsprachige Datenschutzerklärung. Bei Aiara passiert das automatisch — beim Generator-Setup wird die Erklärung in allen vier Sprachen DE/FR/IT/EN parallel erstellt und synchron gehalten.

## Praxis-Checkliste

Vor jedem grösseren Webseiten-Update:

- [ ] Aktualisiert sich die Datenschutzerklärung mit den Tools synchron?
- [ ] Sind alle aktuell genutzten Drittanbieter benannt?
- [ ] Ist das Datum der letzten Aktualisierung sichtbar?
- [ ] Sind alle Datenexporte ins Ausland mit Mechanismus ausgewiesen?
- [ ] Ist die Erklärung in allen Sprachen der Webseite verfügbar?
- [ ] Gibt es einen Auskunfts-Prozess mit klar definiertem Empfänger?

## Was Aiara hier konkret tut

Aiara generiert die Datenschutzerklärung basierend auf Ihrem Cookie-Scan und Ihren Eingaben im Fragebogen. Das System kennt die häufigsten Drittanbieter-Tools und füllt die Pflichtangaben automatisch aus. Bei Cookie-Änderungen auf der Webseite passt sich die Erklärung mit. Versionierung ist eingebaut — frühere Stände bleiben einsehbar, was bei Auskunftsanfragen oder Audits Gold wert ist.

## Häufige Fragen

### Brauche ich als Einzelunternehmer eine Datenschutzerklärung?

Sobald Sie eine Webseite betreiben, ja — auch als Einzelunternehmer. Schon ein einfaches Kontaktformular oder ein Newsletter-Abonnement bedeutet, dass Sie Personendaten bearbeiten. Das DSG verlangt eine Information darüber. Eine Datenschutzerklärung ist die Standard-Form dieser Information.

### Reicht eine Vorlage aus dem Internet?

Eine Vorlage ist ein Startpunkt, nie das fertige Resultat. Sie müssen die Vorlage an Ihr konkretes Setup anpassen: welche Tools nutzen Sie, welche Daten sammeln Sie, mit welchem Zweck, an wen geben Sie Daten weiter. Ohne diese Anpassung ist die Vorlage juristisch wertlos.

### Was kostet ein Generator vs. ein Anwalt?

Ein guter Schweizer Datenschutz-Generator kostet zwischen CHF 200-600 pro Jahr und liefert eine technisch saubere Erklärung. Ein Anwalt kostet typischerweise CHF 1000-3000 für eine massgeschneiderte Erstausarbeitung. Für Standard-Webseiten ist der Generator wirtschaftlich, für komplexe Datenverarbeitungen lohnt sich der Anwalt.

### Wie oft muss ich die Datenschutzerklärung aktualisieren?

Bei jeder relevanten Änderung — neue Tools, neue Auftragsverarbeiter, neue Datenexporte ins Ausland. Mindestens jährlich sollte eine vollständige Review erfolgen. Wer einen Cookie-Scanner nutzt, sieht automatisch Änderungen im Setup, die in der Erklärung nachgezogen werden müssen.

### In welchen Sprachen muss die Datenschutzerklärung verfügbar sein?

Es gibt keine gesetzliche Pflicht zur Mehrsprachigkeit. Aber: Die Erklärung muss für Ihre Zielgruppe verständlich sein. Wenn Sie eine deutschsprachige Webseite haben, reicht Deutsch. Bei mehrsprachigen Webseiten (DE/FR/IT) sollten Sie die Erklärung in jeder Sprache anbieten — sonst kommt das Argument, sie sei nicht zugänglich.

---

# DSG vs. DSGVO: Die wichtigsten Unterschiede für Schweizer Unternehmen 2026

Quelle: https://www.aiara.ch/blog/dsg-vs-dsgvo-unterschiede
Veröffentlicht: 2026-02-19
Zuletzt aktualisiert: 2026-07-04

«Wir sind ein Schweizer Unternehmen, also gilt für uns nur das DSG.» Diesen Satz höre ich oft — und er stimmt manchmal, manchmal nicht. Die Realität ist: Sobald Sie geschäftlich über die Schweizer Grenze hinaus tätig sind, müssen Sie wahrscheinlich beide Regelwerke beachten. Hier die wichtigsten Unterschiede in einer pragmatischen Übersicht.

Vertiefend: Unsere Ratgeber [zum Schweizer Datenschutzgesetz (DSG)](/dsg) und [zur DSGVO für Schweizer Unternehmen](/dsgvo) erklären beide Gesetze im Detail.

## Anwendungsbereich — der entscheidende Punkt

Das **revidierte [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de)** knüpft am bearbeitenden Unternehmen an. Wer in der Schweiz sitzt und Personendaten bearbeitet, fällt darunter — unabhängig davon, wo die betroffenen Personen wohnen. Auch ausländische Unternehmen, die Personen in der Schweiz gezielt ansprechen, können in den Geltungsbereich fallen.

Die **[DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj)** dagegen knüpft am Schutz der betroffenen Person an. Wer Personen in der EU «gezielt anspricht» (offer goods or services) oder ihr Verhalten beobachtet, fällt unter die DSGVO — auch wenn das Unternehmen in der Schweiz sitzt.

Die Praxis-Frage: «Spreche ich aktiv EU-Kundschaft an?» Wenn ja, gelten beide. Wenn nein, nur DSG.

## Einwilligung — wo es wirklich auseinandergeht

Die DSGVO verlangt grundsätzlich eine Rechtsgrundlage für jede Bearbeitung. Eine davon ist die Einwilligung (opt-in, dokumentiert, widerrufbar). Andere sind etwa Vertragserfüllung, gesetzliche Pflicht oder berechtigtes Interesse.

Das DSG ist weniger formal. Eine Einwilligung ist nur dann zwingend, wenn besonders schützenswerte Daten bearbeitet werden oder ein hohes Persönlichkeitsrisiko besteht (etwa beim Profiling). Für viele Standard-Verarbeitungen (Bestellabwicklung, Newsletter mit kundeneigener Zustimmung) reicht die Erkennbarkeit aus dem Kontext.

**Praxis:** Wenn Sie DSG- und DSGVO-konform sein wollen, behandeln Sie Einwilligungen DSGVO-konform. Damit liegen Sie automatisch über dem DSG-Standard.

## Auskunftsrecht — ähnlich, aber nicht identisch

Beide Gesetze geben Betroffenen ein Recht auf Auskunft über die Bearbeitung ihrer Daten. Beide setzen eine Frist von 30 Tagen. Aber:

- **DSGVO** definiert sehr detailliert, was die Auskunft enthalten muss — Zwecke, Empfängerkategorien, Speicherdauer, Datenherkunft, automatisierte Entscheidungen.
- **DSG** ist offener formuliert, in der Praxis aber sehr ähnlich. Eine DSGVO-konforme Auskunft erfüllt auch das DSG.

In der Praxis lohnt sich ein gemeinsamer Auskunfts-Prozess: ein definierter Empfänger im Unternehmen, eine Vorlage, ein dokumentiertes Ablaufdiagramm.

## Datenschutzerklärung — formaler Unterschied, gleicher Inhalt

Die DSGVO listet in Art. 13 und 14 die Pflichtangaben einer Datenschutzerklärung. Das DSG hat seit der Revision ähnliche Anforderungen, formuliert sie aber kompakter.

Wer eine DSGVO-konforme Datenschutzerklärung hat, deckt das DSG automatisch ab. Umgekehrt nicht zwingend — eine DSG-Vorlage könnte unter DSGVO-Augen unvollständig sein.

## Vertretung — DSGVO-Spezifikum

Schweizer Unternehmen, die regelmässig EU-Personen-Daten verarbeiten, brauchen nach DSGVO Art. 27 einen Vertreter in der EU. Diese Person agiert als Anlaufstelle für EU-Aufsichtsbehörden und Betroffene.

Praktisch bedeutet das: ein juristischer Vertretungsdienst (mehrere hundert Euro pro Jahr) oder ein eigenes EU-Tochterunternehmen. Das DSG kennt eine ähnliche Pflicht für ausländische Unternehmen, die in der Schweiz Daten bearbeiten — Schweizer Unternehmen mit EU-Geschäft müssen also potentiell zwei Vertretungen organisieren.

## Sanktionen — die grösste Diskrepanz

Hier wird's drastisch unterschiedlich:

- **DSGVO:** Bussen bis 20 Mio. EUR oder 4 % des weltweiten Konzernumsatzes — je nachdem, was höher ist. Adressat: das Unternehmen.
- **DSG:** Bussen bis CHF 250'000. Adressat: die natürliche Person, die für den Verstoss verantwortlich ist (typischerweise Geschäftsführer).

Beide Logiken haben ihre Berechtigung. Die DSGVO trifft das Unternehmen — was bei grossen Konzernen abschreckende Wirkung hat. Das DSG trifft Personen — was bei KMU näher an der Realität ist, weil Geschäftsführer in der Regel direkt verantwortlich sind.

## Praktischer Doppel-Compliance-Ansatz

Für Schweizer KMU mit DACH-Geschäft empfehle ich folgende Strategie:

1. **Cookie-Banner DSGVO-konform** — Opt-in, dokumentiert, widerrufbar, Layered Approach
2. **Datenschutzerklärung DSGVO-konform** — alle Art. 13/14-Punkte erfüllt
3. **Auskunfts-Prozess DSGVO-konform** — 30-Tage-Frist, definierter Empfänger
4. **EU-Vertreter** — juristischer Service (z.B. VGS Datenschutz) ab ca. CHF 500/Jahr
5. **Verzeichnis der Verarbeitungstätigkeiten** — auch wenn unter DSG nicht zwingend, gibt es Struktur

Mit diesem Setup sind Sie sowohl DSG- als auch DSGVO-konform. Den Aufwand spürt man am Anfang, danach ist es Routine.

## Wo das DSG entgegenkommt

Drei Punkte, in denen das Schweizer Recht pragmatischer ist:

- **Datenschutz-Folgenabschätzung** — nur bei wirklich risikoreichen Verarbeitungen, nicht bei jedem neuen Tool
- **Datenschutzbeauftragter** — freiwillig, nicht zwingend
- **Sanktions-Logik** — Personen statt Unternehmen, was bei kleinen Bussen die Schwelle der Bedrohung niedrig hält, aber Geschäftsführer sensibilisiert

Für KMU ist das DSG insgesamt das angenehmere Regelwerk — sofern man es ernst nimmt und nicht hinter dem Mythos «das ist eh ein Kavaliersdelikt» versteckt.

## Was Aiara leistet

Aiara ist von Grund auf für die Schweizer Doppelwelt gebaut. Cookie-Banner, Datenschutzerklärung und Impressum decken DSG und DSGVO gleichzeitig ab. Sie konfigurieren einmal, und das System wählt den jeweils strengeren Standard automatisch. Bei Schweizer Webagenturen mit DACH-Kundschaft erspart das pro Kunde einen halben Tag manuelle Arbeit — und das Risiko, eines der beiden Gesetze unbeabsichtigt zu verletzen.

## Häufige Fragen

### Wann gilt für ein Schweizer Unternehmen die DSGVO?

Sobald Sie sich gezielt an Personen in der EU richten — etwa durch deutschsprachigen Onlineshop mit EU-Versand, gezielte EU-Werbung oder die Ansprache von Personen in der EU — gilt die DSGVO für diese Verarbeitungen. Reine Kunde-aus-Deutschland-bei-Schweizer-Anbieter-Konstellationen ohne aktive Marktansprache sind weniger eindeutig.

### Reicht es, beide Gesetze in einer Datenschutzerklärung zu nennen?

Wenn Sie tatsächlich beide Regelwerke umsetzen, ja. Die meisten Schweizer KMU mit DACH-Geschäft fahren genau so: eine Datenschutzerklärung, die beide Gesetze als Grundlage nennt und die strengeren Anforderungen (DSGVO) erfüllt. Das deckt automatisch das DSG mit ab.

### Sind die Bussen unter beiden Gesetzen gleich hoch?

Nein. Die DSGVO sieht Bussen bis 20 Mio. Euro oder 4 % des weltweiten Konzernumsatzes vor — gegen das Unternehmen. Das revidierte DSG sieht Bussen bis CHF 250'000 vor — gegen die natürliche Person, die für den Verstoss verantwortlich ist. Schweiz pragmatischer, EU drastischer.

### Brauche ich einen EU-Vertreter, wenn ich Daten aus der EU verarbeite?

Nach DSGVO Art. 27 brauchen Unternehmen ausserhalb der EU einen Vertreter in der EU, sofern sie regelmässig personenbezogene Daten von EU-Bürgern verarbeiten. Es gibt Ausnahmen für gelegentliche Verarbeitung — die meisten Schweizer KMU mit aktivem EU-Geschäft fallen aber unter die Vertretungspflicht.

### Wie werden die Auskunftsrechte unterschiedlich behandelt?

Beide Gesetze gewähren Auskunftsrechte. DSGVO: 30 Tage, kostenlos beim ersten Mal, mit klar definiertem Mindestumfang. DSG: ebenfalls 30 Tage, ähnlicher Umfang, aber etwas pragmatischer formuliert. In der Praxis muss derselbe Prozess beide bedienen — wer DSGVO erfüllt, erfüllt automatisch DSG.

---

# Google Consent Mode V2 in der Schweiz: Komplette Anleitung für KMU

Quelle: https://www.aiara.ch/blog/google-consent-mode-v2-schweiz
Veröffentlicht: 2026-02-04
Zuletzt aktualisiert: 2026-07-04

Im März 2024 hat Google den Consent Mode V2 zur Voraussetzung für Werbung im EWR-Raum gemacht. Seither stehen Schweizer Marketing-Verantwortliche regelmässig vor der gleichen Frage: «Brauche ich das auch?» Die Antwort ist meistens ja — und der Weg dorthin ist gar nicht so kompliziert wie befürchtet.

## Worum es beim Consent Mode V2 geht

Google verlangt von Werbetreibenden, dass sie den Einwilligungsstatus ihrer Webseitenbesucher an Google-Dienste übermitteln. Konkret heisst das: Bevor ein Tracking-Cookie gesetzt wird, prüft Google, ob der Nutzer eingewilligt hat. Vier Signale werden übertragen:

- **ad_storage** — Werbe-Cookies erlaubt
- **analytics_storage** — Analyse-Cookies erlaubt
- **ad_user_data** — Daten an Google senden erlaubt
- **ad_personalization** — Personalisierte Anzeigen erlaubt

Diese Signale können «granted» (erteilt) oder «denied» (verweigert) sein. Standardmässig sollten alle auf «denied» stehen, bis der Nutzer aktiv einwilligt.

## Basic vs. Advanced — der entscheidende Unterschied

**Basic Consent Mode** ist die simple Variante: Solange keine Einwilligung erteilt ist, lädt Google Tag Manager die Tracking-Tags gar nicht. Wenn der Nutzer ablehnt, kommt bei Google nichts an. Das ist datensparsam, aber für Werbetreibende suboptimal — weil Google ohne Daten keine Modelle bauen kann.

**Advanced Consent Mode** ist die zeitgemässere Lösung: Tags laden immer, aber wenn keine Einwilligung erteilt ist, schickt Google sogenannte «Cookieless Pings» — anonyme Signale ohne IDs. Google verwendet diese, um statistische Modelle zu trainieren und Conversion-Modelling zu betreiben. Konkret heisst das: Wenn 30 % der Nutzer nicht einwilligen, schätzt Google die Konversionen dieser Gruppe basierend auf den Zustimmenden.

Aus Sicht eines Werbetreibenden ist Advanced klar überlegen — mehr Daten, bessere Optimierung. Aus Datenschutz-Sicht ist es debattierbar, aber technisch konform, solange die anonymen Pings tatsächlich keine personenbezogenen Daten enthalten.

## Implementierung: Die drei Stufen

### Stufe 1 — Default Consent setzen

Bevor irgendein Google-Skript lädt, muss `gtag('consent', 'default', ...)` gesetzt sein. In der Praxis legt man das ganz oben in den `<head>`:

```javascript
gtag('consent', 'default', {
  ad_storage: 'denied',
  analytics_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  wait_for_update: 500
});
```

Das `wait_for_update`-Feld gibt Google 500 ms Zeit, auf eine Update-Aktion zu warten, bevor die Tags ohne Consent feuern.

### Stufe 2 — Cookie-Banner verbinden

Wenn der Nutzer einwilligt (oder ablehnt), muss der Banner die Signale aktualisieren:

```javascript
// Beispiel: Nutzer akzeptiert alle
gtag('consent', 'update', {
  ad_storage: 'granted',
  analytics_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted'
});
```

Bei kategorischer Einwilligung (z.B. nur Statistik, keine Marketing-Cookies) werden nur die entsprechenden Signale auf «granted» gesetzt.

### Stufe 3 — Verifikation mit Tag Assistant

Google Tag Assistant zeigt im Browser, welche Signale gerade aktiv sind. Vor Live-Schaltung sollte jede Konstellation getestet werden: alle akzeptiert, alle abgelehnt, nur Statistik, nur Marketing.

## Häufige Implementierungsfehler

Drei Fallen, die ich bei Audits regelmässig sehe:

**Fehler 1 — Default auf «granted»** Wenn die Default-Werte auf «granted» stehen, hebelt das den ganzen Consent-Mode aus. Google merkt das in der Audit-Logik und stuft die Implementierung als unzulässig ein.

**Fehler 2 — Vergessenes `wait_for_update`** Ohne dieses Feld feuern Tags sofort, bevor der Banner überhaupt geladen ist. Dann wird ein erster Page-View ohne Consent gezählt — das verfälscht die Daten und ist datenschutzrechtlich kritisch.

**Fehler 3 — Nur drei Signale gesetzt** V2 brachte `ad_user_data` und `ad_personalization` als neue Signale. Wer nach V1-Logik nur `ad_storage` und `analytics_storage` setzt, hat eine unvollständige Implementierung. Google warnt im Tag Manager-UI bei dieser Konstellation.

## DSG-Konformität sicherstellen

Aus Schweizer Sicht gilt: Der Consent Mode V2 ist [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de)-konform, **wenn** der Banner den Einwilligungsstatus korrekt erfasst und die Signale entsprechend gesetzt werden. Drei Punkte sind dabei kritisch:

1. **Kein Default «granted»** — sonst greift Tracking ohne Einwilligung, was unter dem revidierten DSG kritisch ist.
2. **Datenschutzerklärung anpassen** — die Cookieless Pings müssen erwähnt werden, ebenso die Rolle Googles als Empfänger.
3. **Conversion-Modelling transparent machen** — wer im DSG-Sinn präzise sein will, weist im Banner darauf hin, dass auch ohne Cookie-Einwilligung anonyme Signale fliessen können.

## Was es bringt — und was nicht

In der Praxis sehe ich bei Schweizer KMU mit korrekter Advanced-Implementierung etwa 30-50 % höhere gemessene Konversionen im Vergleich zu Setups ohne Consent Mode. Das klingt viel, ist aber kein Magie — Google rechnet die nicht-zustimmenden Nutzer einfach mit ein.

Was der Consent Mode nicht löst: Wenn Ihre Cookie-Banner-Architektur grundsätzlich Probleme hat (etwa pre-checked Boxes oder fehlender «Ablehnen»-Button), dann hilft auch der beste Consent Mode nichts. Die Einwilligung muss valide sein, sonst fällt das ganze Konstrukt zusammen.

## Aiara und Consent Mode V2

Bei Aiara ist der Consent Mode V2 standardmässig aktiv. Sobald Sie Ihren Cookie-Banner einrichten und Google Analytics oder Google Ads als Tools registrieren, werden die vier Signale automatisch korrekt gesetzt. Sie müssen keinen Code selbst schreiben — die Integration läuft transparent im Hintergrund. Das spart bei Schweizer Webagenturen typischerweise einen halben Arbeitstag pro Kundenseite.

## Häufige Fragen

### Brauchen Schweizer Webseiten den Google Consent Mode V2?

Wer Google Ads, Floodlight oder Google Analytics 4 nutzt und mindestens einen Werbe-Klick aus dem EWR-Raum (EU + EEA) verarbeitet, braucht den Consent Mode V2. Reine Schweizer Webseiten ohne EU-Werbung können theoretisch ohne, aber praktisch nutzen die meisten Schweizer KMU GA4 oder Google Ads — also wird es relevant.

### Was ist der Unterschied zwischen Basic und Advanced Consent Mode?

Basic Mode lädt Tags erst nach Einwilligung. Wenn der Nutzer ablehnt, fliesst gar nichts an Google. Advanced Mode lädt die Tags immer, sendet aber bei fehlender Einwilligung nur sogenannte 'Cookieless Pings' — anonyme Signale ohne IDs. Damit kann Google Modelle trainieren, ohne den einzelnen Nutzer zu tracken. Advanced ist meistens die bessere Wahl, weil mehr Daten ankommen.

### Welche vier Consent-Signale gibt es?

ad_storage (Werbe-Cookies), analytics_storage (Analyse-Cookies), ad_user_data (Übermittlung User-Daten an Google) und ad_personalization (personalisierte Werbung). Alle vier müssen vom Cookie-Banner explizit gesetzt werden, basierend auf der Einwilligung des Nutzers.

### Ist der Consent Mode V2 mit dem revidierten DSG vereinbar?

Ja, sofern korrekt implementiert. Die Signale müssen die Einwilligung des Nutzers widerspiegeln — keine Voreinstellung auf 'granted'. Ausserdem müssen Cookies, die durch den Mode gesetzt werden, in der Datenschutzerklärung erwähnt sein. Schweizer Nutzer müssen wie EU-Nutzer behandelt werden, wenn die Webseite ohnehin EU-Tracking implementiert.

### Was passiert ohne Consent Mode V2?

Google Ads und GA4 funktionieren technisch noch — aber Konversionen von EWR-Nutzern werden nicht mehr ausgewertet. Für Werbetreibende heisst das: deutlich schlechtere Optimierung, weil Google die Performance-Daten fehlen. In der Praxis verlieren Kampagnen ohne Consent Mode V2 nach einigen Wochen massiv an Effizienz.

---

# Cookie-Banner Pflicht in der Schweiz: Was 2026 wirklich gilt

Quelle: https://www.aiara.ch/blog/cookie-banner-pflicht-schweiz
Veröffentlicht: 2026-01-22
Zuletzt aktualisiert: 2026-07-04

Die Frage taucht in jeder Beratungssitzung auf: «Brauche ich denn überhaupt einen Cookie-Banner?» Und je nachdem, mit wem ich spreche, höre ich drei völlig verschiedene Antworten. Die Webagentur sagt «klar, alle haben einen». Der Anwalt sagt «kommt drauf an». Der Geschäftsführer sagt «ich will das so unauffällig wie möglich». Alle haben irgendwo recht — aber die nüchterne juristische Realität ist konkreter, als es auf den ersten Blick scheint.

Die Kurzfassung mit Entscheidungsbaum finden Sie auf unserer Übersichtsseite [Cookie-Banner-Pflicht in der Schweiz](/cookie-banner-pflicht).

## Die Rechtslage in der Schweiz — kurz und klar

Das revidierte [Datenschutzgesetz](https://www.fedlex.admin.ch/eli/cc/2022/491/de) erwähnt Cookies nicht namentlich. Es spricht von der Bearbeitung von Personendaten und davon, dass diese Bearbeitung transparent erfolgen muss. Cookies sind technisch betrachtet kleine Textdateien, die im Browser gespeichert werden. Wenn ein Cookie eine eindeutige ID enthält und damit Verhalten zurückverfolgt werden kann, ist das eine Bearbeitung von Personendaten — also vom DSG erfasst.

Die zweite relevante Quelle ist Art. 45c des Fernmeldegesetzes (FMG). Er verpflichtet Webseitenbetreiber, ihre Nutzer über die Bearbeitung mittels Cookies zu informieren und ihnen die Möglichkeit zu geben, diese abzulehnen. In der Praxis hat das FMG aber wenig Zähne — bislang gab es kaum Strafverfahren auf dieser Grundlage.

Die dritte und derzeit wichtigste Quelle ist die [EDÖB-Empfehlung](https://www.edoeb.admin.ch/de/cookie-leitfaden-aktualisiert) vom Februar 2024. Darin wird klar formuliert, wie der EDÖB eine korrekte Cookie-Information versteht: Layered Approach mit erster Informationsebene, präziser Cookie-Aufstellung auf zweiter Ebene, gleichwertige Buttons für Akzeptieren und Ablehnen.

## Wann ist ein Banner zwingend?

Die einfache Faustregel: Wenn Ihre Webseite Cookies setzt, die nicht für die Funktion notwendig sind, brauchen Sie einen Einwilligungs-Banner.

Konkret heisst das:

- **Notwendige Cookies** (Session, Warenkorb, Login, CSRF): kein Banner nötig, aber eine Erwähnung in der Datenschutzerklärung.
- **Funktionale Cookies** (Sprach-Präferenz, Theme, gespeicherte Filter): Empfehlung der Information, Einwilligung empfohlen aber nicht zwingend.
- **Statistik-Cookies** (Google Analytics, Matomo, Plausible): Einwilligung empfohlen — bei Plausible ohne Cookie technisch möglich.
- **Marketing-Cookies** (Meta Pixel, Google Ads, Hotjar): Einwilligung zwingend.

Die Praxis: Wer auch nur einen einzigen Marketing- oder Statistik-Cookie hat, braucht einen sauberen Einwilligungs-Banner. Webseiten ohne Tracking — etwa eine reine Visitenkarte ohne Analytics — kommen ohne Banner aus, sollten aber dennoch eine Datenschutzerklärung haben.

## Das DSGVO-Thema, das viele KMU übersehen

Ein häufiger Irrtum: «Wir sind ein Schweizer Unternehmen, also gilt für uns nur das DSG.» Stimmt, solange Sie sich gezielt an den Schweizer Markt richten. Sobald Sie aber EU-Kundschaft aktiv ansprechen — etwa durch Produktversand nach Deutschland, deutschsprachige Anzeigen in Österreich oder einen Newsletter mit französischen Abonnenten — greift die [DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj) für diese Besucher.

Was bedeutet das konkret? Der DSGVO-Banner setzt strengere Standards als das DSG. Insbesondere:

- Einwilligung muss **opt-in** sein (nicht voreingestellt aktiv)
- «Ablehnen» muss gleichwertig zugänglich sein
- Einwilligung muss **dokumentiert** werden (Consent-Log)
- Einwilligung muss **widerrufbar** sein (so einfach wie sie erteilt wurde)

Wer beide Welten abdecken will, baut den Banner nach DSGVO-Standard. Das ist ohnehin die Empfehlung des EDÖB — strengere Anforderungen erfüllen mildere automatisch.

## Die EDÖB-Empfehlung im Detail

Die Empfehlung von 2024 ist überraschend praxisnah. Sie schlägt einen «Layered Approach» vor:

**Erste Ebene** — der Banner selbst. Hier muss erkennbar sein:
- Welche Arten von Cookies eingesetzt werden
- Wer Empfänger ist (auch Drittanbieter)
- Wie die Einwilligung erteilt oder verweigert werden kann
- Ein Link auf detaillierte Informationen

**Zweite Ebene** — die Cookie-Detailseite. Hier muss aufgeführt sein:
- Jeder einzelne Cookie mit Name, Anbieter, Zweck, Speicherdauer
- Möglichkeit, kategorisch oder einzeln zu wählen
- Hinweise auf Drittanbieter-Datenschutzerklärungen

In der Praxis verschmelzen Ebene 1 und 2 oft in einer Modal-Logik: Banner unten, Klick auf «Einstellungen» öffnet die Detailansicht. Das ist akzeptabel, solange der Zugang zur Detailansicht intuitiv ist.

## Drei Praxisbeispiele aus dem Schweizer Alltag

**Beispiel 1 — Lokaler Restaurant-Webauftritt.** Statische Seite, eingebettete Google Maps, sonst nichts. Maps setzt einen Cookie. Empfehlung: Banner mit Information und Möglichkeit, Maps zu deaktivieren. In der Praxis lädt man Maps erst nach Einwilligung — bis dahin zeigt man eine statische Karte oder einen Platzhalter.

**Beispiel 2 — Webagentur mit HubSpot-CRM.** HubSpot-Tracking, Google Analytics, Meta Pixel. Hier ist ein professioneller Cookie-Banner unverzichtbar — ohne Einwilligung darf keines dieser Tools laden.

**Beispiel 3 — Schweizer Onlineshop mit DACH-Versand.** DSGVO greift mit ein. Banner muss DSGVO-konform sein, Marketing-Cookies dürfen nur nach explizitem Opt-in geladen werden. Consent-Log ist Pflicht — bei Auskunftsanfragen muss nachweisbar sein, wann der Kunde welcher Verarbeitung zugestimmt hat.

## Konsequenzen bei Verstoss

Der EDÖB hat 2025 begonnen, Webseiten gezielter zu prüfen. Bei einem Verstoss erfolgt zunächst eine informelle Empfehlung zur Anpassung. Wer ignoriert oder unvollständig korrigiert, riskiert eine formelle Empfehlung, die öffentlich gemacht werden kann. Im Wiederholungsfall droht eine Strafanzeige — mit der Konsequenz, dass die für den Verstoss verantwortliche natürliche Person mit bis zu CHF 250'000 belangt werden kann.

Reputational ist der Schaden oft grösser als die finanzielle Sanktion. Eine öffentliche EDÖB-Empfehlung gegen ein KMU bleibt im Web nachlesbar — und Kunden achten zunehmend auf Datenschutz-Hygiene.

## Fazit für 2026

Die Cookie-Banner-Pflicht in der Schweiz ist nicht binär «ja oder nein». Sie hängt davon ab, welche Cookies und Tracking-Tools tatsächlich eingesetzt werden. Aber sobald irgendetwas jenseits von Session-Funktionalität läuft, ist ein sauberer Einwilligungs-Banner mit Layered Approach Pflicht — und keine Stilfrage.

Wer das pragmatisch lösen will, hat zwei Optionen: einen eigenen Banner bauen lassen (teuer, wartungsintensiv) oder eine fertige Lösung wie Aiara einsetzen, die DSG- und DSGVO-konform out-of-the-box funktioniert. Aiara erkennt automatisch, welche Cookies Ihre Webseite setzt, und passt den Banner inklusive Detailseite entsprechend an.

## Häufige Fragen

### Muss jede Schweizer Webseite zwingend einen Cookie-Banner zeigen?

Nicht jede. Wer ausschliesslich technisch notwendige Cookies setzt — etwa Session-Cookies für eingeloggte Nutzer oder einen Warenkorb — braucht streng genommen keinen Einwilligungs-Banner. Sobald aber Tracking-, Analyse- oder Marketing-Cookies ins Spiel kommen, ist eine Information und in der Regel eine Einwilligung Pflicht.

### Welche Rolle spielt die DSGVO für Schweizer Webseiten?

Wenn Sie Personen in der EU gezielt ansprechen — etwa durch deutschsprachige Inhalte mit EU-Versand oder spezifische Marketing-Kampagnen in Deutschland — gilt für diese Besucher die DSGVO. In der Praxis heisst das: Selbst Schweizer Webshops mit überschaubarer EU-Kundschaft setzen meist auf einen DSGVO-konformen Banner, um auf der sicheren Seite zu sein.

### Reicht ein blosser Hinweis 'Diese Seite verwendet Cookies'?

Nein. Die Empfehlung des EDÖB folgt dem Layered Approach: Information über Cookies, Möglichkeit zur Einwilligung mit gleichwertigen Buttons für 'Akzeptieren' und 'Ablehnen', sowie kategorische Auswahl. Ein reiner Info-Banner ohne Einwilligungs-Logik genügt für Tracking-Cookies nicht.

### Wer kontrolliert die Cookie-Banner-Pflicht in der Schweiz?

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Er kann Untersuchungen einleiten, Empfehlungen aussprechen und im Streitfall an das Bundesverwaltungsgericht weiterziehen. Bei Verstössen drohen Bussen bis zu CHF 250'000 — nicht gegen das Unternehmen, sondern gegen die verantwortliche natürliche Person.

### Was passiert, wenn ich keinen Cookie-Banner habe?

Im schlimmsten Fall eine Anzeige beim EDÖB, eine formelle Untersuchung und ein Strafbefehl. In der Praxis kommt es eher zu Aufforderungen zur Korrektur — wer aber wiederholt ignoriert oder vorsätzlich falsch informiert, riskiert eine persönliche Busse für den Geschäftsführer.

---

# Revidiertes DSG 2025: Was sich für Schweizer Unternehmen wirklich ändert

Quelle: https://www.aiara.ch/blog/revidiertes-dsg-2025
Veröffentlicht: 2026-01-08
Zuletzt aktualisiert: 2026-07-04

Seit dem 1. September 2023 gilt in der Schweiz ein neues [Datenschutzgesetz](https://www.fedlex.admin.ch/eli/cc/2022/491/de). Über zwei Jahre später stelle ich in Gesprächen mit Webagenturen und KMU-Geschäftsführern immer wieder fest: Viele haben die Anpassungen pflichtbewusst angefasst, aber nie ganz abgeschlossen. Der Klassiker — eine kurz vor September 2023 publizierte Datenschutzerklärung, ein Cookie-Banner, das danach nie wieder angefasst wurde, und das schleichende Gefühl, dass da noch irgendetwas offen ist.

Dieser Beitrag fasst zusammen, was das revidierte DSG tatsächlich verändert hat und wo der Handlungsbedarf 2026 noch akut ist.

## Worum es beim revidierten DSG eigentlich geht

Die Schweiz hat ihr Datenschutzgesetz aus zwei Gründen modernisiert. Erstens, weil das alte Gesetz aus dem Jahr 1992 stammte und schlicht nicht mehr zeitgemäss war. Zweitens, weil ohne Anpassung der Status als „angemessenes Drittland" nach EU-Recht gefährdet gewesen wäre — und damit der freie Datenverkehr zwischen Schweiz und EU.

Das revidierte DSG ist näher an die [DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj) herangerückt, ohne sie eins zu eins zu kopieren. Die Logik bleibt schweizerisch pragmatisch: Verantwortung liegt bei denjenigen, die Daten bearbeiten, ohne dass jede Verarbeitung in Bürokratie ertränkt wird.

## Die fünf wichtigsten Änderungen im Überblick

### 1. Erweiterte Informationspflicht

Wer Personendaten erhebt, muss die betroffene Person darüber informieren — und zwar nicht nur über das Wer, sondern auch über das Wozu. Konkret heisst das: Identität und Kontaktdaten des Verantwortlichen, Zweck der Bearbeitung, allenfalls Empfänger der Daten, sowie ein Hinweis bei Datenexporten ins Ausland.

Diese Informationen gehören in die Datenschutzerklärung. Eine generische Vorlage aus dem Internet reicht nicht — die Empfänger und Zwecke müssen Ihrem konkreten Setup entsprechen.

### 2. Verzeichnis der Verarbeitungstätigkeiten

Unternehmen mit 250 oder mehr Mitarbeitenden müssen ein Verzeichnis aller Bearbeitungstätigkeiten führen. Was sich harmlos anhört, ist in der Praxis ein nüchterner Excel- oder Tool-basierter Katalog: Welche Daten werden wofür bearbeitet, von wem, wo gespeichert, wie lange aufbewahrt.

Für KMU unter 250 Mitarbeitenden gilt dies nur, wenn die Bearbeitung umfangreich ist oder besonders schützenswerte Daten betrifft. In der Praxis empfehle ich allen Webagenturen mit Kundendatenbanken trotzdem ein einfaches Verzeichnis — schon um bei einer Auskunftsanfrage strukturiert reagieren zu können.

### 3. Datenschutz-Folgenabschätzung (DSFA)

Bei Bearbeitungen mit hohem Risiko für Persönlichkeitsrechte ist eine DSFA Pflicht. Das klingt sperrig, ist aber präzise gemeint: Wer ein neues Tracking-Tool einführt, das Verhaltensprofile aggregiert, oder eine Mitarbeiter-Überwachung implementiert, muss vorher die Risiken bewerten und dokumentieren.

Wenn die DSFA ergibt, dass das Risiko nicht hinreichend reduziert werden kann, ist der [EDÖB](https://www.edoeb.admin.ch/de) zu konsultieren. In der Praxis wird dieser Weg selten beschritten — meist findet man Mitigationen, die das Risiko genügend abfedern.

### 4. Schärfere Sanktionen

Bis zu CHF 250'000 Busse — und das pro Verstoss. Wichtig: Die Busse trifft nicht das Unternehmen, sondern die natürliche Person, die den Verstoss zu verantworten hat. In der Praxis ist das oft die Geschäftsführung. Das macht das Thema zur Chefsache, nicht zum delegierbaren IT-Problem.

Sanktioniert werden insbesondere die vorsätzliche Verletzung der Auskunfts-, Informations- und Mitwirkungspflichten. Fahrlässige Verstösse sind nicht direkt strafbar — was aber nicht bedeutet, dass man sie ignorieren darf.

### 5. Stärkere Rechte der betroffenen Personen

Das Auskunftsrecht ist nicht neu, wurde aber präzisiert. Betroffene können verlangen zu erfahren, welche Daten zu ihrer Person bearbeitet werden, woher diese stammen, und wem sie offengelegt werden. Die Frist beträgt 30 Tage. Eine Ausweitung gegenüber dem alten Gesetz: Auch automatisierte Einzelentscheidungen müssen erklärt werden — also etwa Bonitätsprüfungen, automatische Tarifbestimmungen oder Bewerber-Screenings.

## Was Webseitenbetreiber konkret tun müssen

Wenn ich eine Schweizer KMU-Webseite auf DSG-Konformität durchgehe, schaue ich auf fünf Punkte:

1. **Datenschutzerklärung aktuell?** Datum prüfen. Wenn vor September 2023, sicher veraltet. Wenn aus 2024 oder 2025, kritisch lesen — viele Vorlagen wurden zwar formal angepasst, aber nicht inhaltlich auf das konkrete Unternehmen zugeschnitten.
2. **Cookie-Banner sauber implementiert?** Werden Marketing-Cookies erst nach Einwilligung gesetzt? Ist „Ablehnen" gleichwertig zu „Akzeptieren"? Wird der Consent dokumentiert?
3. **Drittanbieter-Tools ausgewiesen?** Google Analytics, Meta Pixel, HubSpot, Mailchimp — alles muss in der Datenschutzerklärung benannt sein, mit Zweck und Empfängerland.
4. **Auskunftsanfragen-Prozess vorhanden?** Wer reagiert, wenn jemand seine Daten verlangt? Reine E-Mail an info@ ist im KMU-Alltag oft der schwächste Punkt.
5. **Datenexporte ins Ausland transparent?** US-Cloud-Anbieter, EU-Hosting — alles, was die Schweiz verlässt, gehört in die Erklärung. Idealerweise mit Hinweis auf den Mechanismus (Standardvertragsklauseln, Angemessenheitsbeschluss).

## Häufige Stolperfallen aus der Praxis

Drei Punkte, die ich bei fast jeder Audit-Sitzung sehe:

**Stolperfalle 1 — Outdated Cookie-Listen.** Die Datenschutzerklärung erwähnt drei Cookies, die Webseite setzt aber zwölf, weil das Marketing-Team ein neues Tool integriert hat. Lösung: regelmässige automatisierte Scans, die Diskrepanzen aufdecken.

**Stolperfalle 2 — Unverbindliche Texte.** „Wir achten auf Ihre Daten" ist keine Datenschutzerklärung. Das DSG verlangt konkrete Angaben — welche Daten, welche Zwecke, welche Empfänger.

**Stolperfalle 3 — Vergessene Auskunftsanfragen.** Wenn keine klare Zuständigkeit definiert ist, landen Anfragen im allgemeinen Postkorb und werden vergessen. Bei kompletter Funkstille ist die Frist von 30 Tagen schnell überschritten — und damit ein dokumentierter Verstoss.

## Praxis-Checkliste DSG 2026

Eine kompakte Liste zur Selbstprüfung:

- [ ] Datenschutzerklärung enthält Zweck, Empfänger, Auslandsexport
- [ ] Cookie-Banner mit gleichwertigem „Ablehnen" und Consent-Log
- [ ] Alle Drittanbieter-Tools in der Erklärung benannt
- [ ] Auskunftsanfragen-Prozess dokumentiert (Empfänger, Frist, Ablauf)
- [ ] Datenexporte ins Ausland mit Mechanismus ausgewiesen
- [ ] Verzeichnis der Verarbeitungstätigkeiten geführt (sofern pflichtig)
- [ ] DSFA für Hochrisiko-Verarbeitungen durchgeführt
- [ ] Aktuelle Cookie-Inventur mit Scanner verifiziert

## Ausblick

Der EDÖB hat 2025 begonnen, gezielter zu untersuchen — bisher meist auf Hinweis aus der Bevölkerung, zunehmend aber auch in eigenen Stichproben. Wer 2023 angefangen hat und seither nichts mehr angepasst hat, sollte 2026 einen Frühjahrs-Review einplanen. Ein systematischer Cookie-Scan, ein Update der Erklärung und eine Auffrischung des Auskunftsanfragen-Prozesses sind in einer Halbtagessitzung machbar.

Wer keinen eigenen Datenschutz-Generator nutzt, dem hilft Aiara: Cookie-Banner, Datenschutzerklärung und Impressum laufen automatisch synchron mit Ihrer Webseite — DSG- und DSGVO-konform, mit Schweizer Hosting und Versionsverwaltung. Der erste Domain ist kostenlos, ein Audit-Cookie-Scan inklusive.

## Häufige Fragen

### Gilt das revidierte DSG auch für Einzelfirmen und Kleinstunternehmen?

Ja. Das revidierte DSG kennt keine Schwellenwerte nach Mitarbeiterzahl oder Umsatz. Wer Personendaten bearbeitet — und das tut praktisch jedes Unternehmen, das eine Webseite betreibt oder Kundendaten speichert — fällt unter die gesetzliche Pflicht. Erleichterungen bestehen nur für Unternehmen mit weniger als 250 Mitarbeitenden, etwa beim Verzeichnis der Verarbeitungstätigkeiten.

### Brauche ich einen Datenschutzbeauftragten?

In der Schweiz ist die Bestellung freiwillig — anders als in der EU unter der DSGVO. Wer aber einen internen Datenschutzberater meldet, ist von der Pflicht zur vorgängigen Konsultation des EDÖB befreit. Für KMU mit grösseren Datenmengen oder Hochrisiko-Verarbeitungen ist die Bestellung empfehlenswert.

### Was passiert bei einem Verstoss?

Vorsätzliche Verletzungen der Auskunfts-, Informations- oder Mitwirkungspflichten können auf Antrag mit Bussen bis zu CHF 250'000 sanktioniert werden — gerichtet an die natürliche Person, die den Verstoss zu verantworten hat. Im Gegensatz zur DSGVO trifft die Busse also den Geschäftsführer, nicht das Unternehmen direkt.

### Reicht meine alte Datenschutzerklärung von 2018?

Nein. Eine vor 2023 erstellte Datenschutzerklärung erfüllt die neuen Informationspflichten meist nicht. Insbesondere müssen Sie heute den Zweck der Bearbeitung, die Empfänger sowie Auslandexporte transparent ausweisen. Eine Aktualisierung ist Pflicht.

### Wie unterscheidet sich das revidierte DSG von der DSGVO?

Die Grundprinzipien sind ähnlich, aber das Schweizer DSG ist pragmatischer. Wichtige Unterschiede: Einwilligung ist nur bei besonders schützenswerten Daten oder Profiling mit hohem Risiko zwingend (nicht generell), Bussen treffen Personen statt Unternehmen, und der Geltungsbereich knüpft am bearbeitenden Unternehmen an — nicht am Wohnsitz der betroffenen Person.