Datenverlust beim Consent-Banner minimieren

Opt-In oder Opt-Out beim Tracking in der Schweiz?

Nicht das Cookie-Banner kostet Daten, sondern das Opt-in dahinter. Wer erst nach aktiver Zustimmung misst, verliert jeden, der ablehnt oder wegklickt: in der Praxis 40 % bis 60 % aller Messdaten. Beim Opt-out läuft die Messung, und wer nicht will, widerspricht. Der Verlust bleibt einstellig.

Für Schweizer Besucher ist das Opt-out deshalb das Ziel. Das Schweizer Recht sieht es vor — umstritten ist nur, ob es noch reicht.

Zwei Denkschulen zur Cookie-Regelung

Ob für Standard-Tracking ein Opt-out ausreicht, hängt von der Rechtsgrundlage ab. Zwei Auslegungen stehen nebeneinander. Beide sind vertretbar.

Die FMG-Denkschule stützt sich auf Art. 45c lit. b FMG. Die Norm verlangt Information über Bearbeitung und Zweck sowie den Hinweis, dass die Bearbeitung abgelehnt werden kann. Ein vorgängiges Opt-in ist nicht erforderlich.

Die EDÖB-Denkschule stützt sich auf den Cookie-Leitfaden des EDÖB. Der Leitfaden liest das DSG kumulativ zum FMG und staffelt die Anforderungen nach Risiko: Information, Opt-out oder Opt-in.

Der Unterschied: Die FMG-Position behandelt Art. 45c als Spezialregelung für das Setzen und Auslesen von Daten auf dem Endgerät. Die EDÖB-Position behandelt das FMG nicht als abschliessend und verlangt je nach Risikostufe zusätzliche Massnahmen nach DSG. Rechtsabteilungen argumentieren in der Praxis häufig nur mit der zweiten Lesart.

Die Schweizer Cookie-Regel steht seit 1. April 2007 in Art. 45c lit. b FMG:

Das Bearbeiten von Daten auf fremden Geräten durch fernmeldetechnische Übertragung ist nur erlaubt […], wenn die Benutzerinnen und Benutzer über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können.

Drei Punkte tragen die FMG-Position:

• Spezialregelung. Die Norm erfasst das Setzen und Auslesen von Daten auf dem Endgerät. Verlangt sind Information und Ablehnungsmöglichkeit — kein vorgängiges Opt-in.
• Keine Geltung der EU-Cookie-Richtlinie. Die Schweiz ist weder EU- noch EWR-Mitglied und hat die Richtlinie 2009/136/EG auch mit dem revidierten DSG nicht übernommen.
• Keine Änderung durch das DSG. Art. 6 Abs. 7 DSG verlangt eine ausdrückliche Einwilligung nur bei besonders schützenswerten Personendaten und bei Profiling mit hohem Risiko. Standard-Reichweitenmessung fällt unter keines von beiden.

Einwilligung ist in der Schweiz die Ausnahme, nicht die Regel

Dahinter steht ein Systemunterschied, den viele Rechtsdienste unterschätzen. Die DSGVO verbietet die Verarbeitung personenbezogener Daten grundsätzlich und erlaubt sie nur ausnahmsweise — die Einwilligung ist einer dieser Erlaubnistatbestände. Das DSG kennt dieses Verbot nicht: Bearbeitung ist zulässig, solange sie die Persönlichkeit nicht widerrechtlich verletzt. Die Einwilligung rechtfertigt nur eine solche Verletzung (Art. 30 und 31 DSG).

Für Standard-Tracking greift stattdessen das überwiegende private Interesse nach Art. 31 Abs. 2 DSG. Die wirtschaftliche Auswertung des eigenen Webangebots ist ein anerkanntes Interesse — auch der EDÖB stellt für die mittlere Risikostufe darauf ab.

Nicht tragfähig ist das oft gehörte Argument, pseudonyme Marketing-IDs seien ohnehin anonym. Ein Cookie-Identifier gilt regelmässig als bestimmbar, und Art. 45c FMG greift unabhängig vom Personenbezug. Mit diesem Argument ist das Gespräch verloren.

Was der EDÖB verlangt: das Stufenmodell

Die zweite Denkschule stützt sich auf den EDÖB-Leitfaden zu Cookies vom 22. Januar 2025, aktualisiert am 6. Oktober 2025. Der Leitfaden ist rechtlich nicht verbindlich und wird von namhaften Schweizer Datenschutzjuristen als zu DSGVO-nah kritisiert.

Und er wird oft falsch wiedergegeben: Der EDÖB verlangt nicht überall ein Opt-in. Er ordnet nach Risiko ein, in Anhang A sogar mit Punktemodell.

Stufe	Was hineinfällt	Anforderung
1 – Technisch notwendig	Session, Login, Warenkorb, Sprachwahl, Captcha, Speicherung der Cookie-Entscheidung selbst.	Nur Information in der Datenschutzerklärung.
2 – Normales Profiling	Eigene Reichweiten- und Conversion-Messung ohne Weitergabe an Dritte, Komfortfunktionen, Angebote für eigene Produkte.	Überwiegendes Interesse plus wirksames Widerspruchsrecht (Opt-out).
3 – Hohes Risiko	Seitenübergreifendes Tracking durch eingebettete Dritte, entgeltlicher Datenzugang für Dritte, Standort-Bewegungsprofile, besonders schützenswerte Daten.	Einwilligung vor dem Laden (Opt-in).

Das ist der Kernpunkt: Die Einwilligungspflicht entsteht nicht durch das Messen, sondern durch die Weitergabe an eingebettete Drittanbieter für deren eigene Zwecke. Bleibt das Setup davon frei, genügt auch dem EDÖB ein Opt-out.

Das FMG gilt weiterhin – ein Leitfaden hebt kein Gesetz auf

Der EDÖB liest Art. 45c FMG nicht als abschliessende Regelung, sondern stellt das DSG kumulativ daneben. Das ist seine Auslegung, mehr nicht. Es gibt bis heute weder eine Gesetzesänderung noch ein Bundesgerichtsurteil, das dem FMG die Geltung nimmt oder ein Opt-in begründet.

Gleiches gilt für seinen Rückgriff auf Art. 7 Abs. 3 DSG (Privacy by Default). Der Datenschutzexperte David Rosenthal hält dagegen: Die Bestimmung greift nur, „soweit die betroffene Person nicht etwas anderes bestimmt" — sie setzt Einstellungen also voraus und begründet keine Pflicht, ein Banner einzuführen. Falls der Rechtsdienst mit dieser Norm argumentiert, ist das die Antwort.

Zwei Punkte des Leitfadens bleiben relevant: Ein blosser Verweis auf Browser-Einstellungen genügt dem EDÖB nicht mehr als Widerspruchsmöglichkeit. Und blosses Weitersurfen gilt ausdrücklich nicht als Einwilligung.

Saubere Umsetzung des Opt-Out

Damit das Opt-out hält, muss das Setup in Stufe 2 bleiben. Zwei Punkte entscheiden.

Messung im eigenen Haus statt Datenweitergabe an Dritte

Hohes Risiko löst die Einbindung von Drittanbietern aus, die auf vielen Webseiten sitzen und Daten für eigene Zwecke sammeln. Beim reinen Client-Side-Setup ist genau das der Fall — und der EDÖB nimmt dann eine gemeinsame Verantwortlichkeit von Webseitenbetreiber und Drittanbieter an.

Mit Server-Side Tracking läuft die Erhebung in der eigenen First-Party-Domain. Messtiefe und Determiniertheit bleiben, die rechtliche Einordnung verschiebt sich: Die Messung dient der eigenen Erfolgskontrolle, statt Dritten unkontrolliert Zugang zu Besucherdaten zu geben. Was zurück an die Werbeplattformen geht, bleibt steuerbar und dokumentierbar. Genau diese Dokumentation braucht der Rechtsdienst für die Interessenabwägung.

Ein Widerspruchsrecht, das den Anforderungen genügt

Der EDÖB stellt vier Anforderungen, und ein Satz in der Datenschutzerklärung erfüllt keine davon: Das Opt-out muss prominent platziert, technisch wirksam (ein Klick stoppt die Bearbeitung tatsächlich), granular nach Kategorien und jederzeit widerrufbar sein.

Praktisch heisst das: ein Consent-Tool mit Preference Center. Entscheidend bleibt der Unterschied zum Opt-in-Banner — das Tracking läuft ab dem Seitenaufruf, aktiv werden muss nur, wer widersprechen will. Die Messabdeckung bleibt nahezu vollständig.

Die drei Umsetzungsvarianten im Vergleich

Kriterium	A: Footer-Hinweis	B: Opt-out mit Preference Center	C: Opt-in-Banner
Rechtliche Basis	Art. 45c lit. b FMG.	Art. 45c FMG plus überwiegendes Interesse (Art. 31 Abs. 2 DSG).	Art. 6 Abs. 6 und 7 DSG, Art. 6 und 7 DSGVO.
Voreinstellung	Tracking startet beim Seitenaufruf.	Tracking startet beim Seitenaufruf, Widerspruch jederzeit wirksam.	Nur notwendige Cookies bis zur Zustimmung.
Bedienelement	Link in der Datenschutzerklärung.	Prominentes, granulares Widget mit Widerruf.	Banner mit gleichwertigem „Akzeptieren" und „Ablehnen".
Messabdeckung	Nahezu vollständig.	Nahezu vollständig.	40 % bis 60 % Datenverlust.
EDÖB	Genügt ihm nicht.	Genügt für Stufe 2, nicht für Stufe 3.	Erfüllt alle Stufen.
Restrisiko	Busse bis CHF 5'000 nach Art. 53 FMG, Beanstandung durch den EDÖB.	Kein Risiko (Setup Stufe 2).	Kein Risiko.

Für die meisten Schweizer Webseiten treffen sich Rechtssicherheit und Messqualität in Variante B.

Was Google vertraglich verlangt

Neben dem Gesetz gibt es die vertragliche Ebene. Googles EU User Consent Policy gilt seit 31. Juli 2024 auch für die Schweiz — aber nur für personalisierte Werbung an Nutzer in der Schweiz, nicht für Cookies an sich. Eine Meldung erteilter Einwilligungen per Consent Mode verlangt Google für die Schweiz ausdrücklich nicht. Eine zertifizierte Consent-Management-Plattform ist nur für Publisher mit eigenen Werbeflächen Pflicht.

Bei Google Ads zur Lead-Generierung ohne eigene Werbeflächen bleibt der Effekt begrenzt.

Das Risiko realistisch bewertet

Bussen. Realistisch ist Art. 53 FMG: Vorsätzliche oder fahrlässige Verstösse gegen Art. 45c FMG kosten bis CHF 5'000, gerichtet an die verantwortliche natürliche Person. Die Bussen nach Art. 60 ff. DSG bis CHF 250'000 setzen Vorsatz voraus, etwa das wissentliche Ignorieren einer rechtskräftigen EDÖB-Verfügung (Art. 63 DSG). Nur wenn die verantwortliche Person nur mit unverhältnismässigem Aufwand ermittelbar ist, kann nach Art. 64 Abs. 2 DSG das Unternehmen mit bis zu CHF 50'000 gebüsst werden. Zum Vergleich: Unter der DSGVO drohen bis zu 4 % des weltweiten Jahresumsatzes.

Aufsicht. Der EDÖB verhängt keine Bussen, sondern erlässt Verfügungen mit Anpassungsfrist. Nach Art. 49 Abs. 2 DSG kann er bei geringfügigen Verletzungen auf eine Untersuchung verzichten — eröffnen kann er sie von Amtes wegen oder auf Anzeige. Nach einer Sensibilisierungskampagne will er aufsichtsrechtlich nach Massgabe des Leitfadens vorgehen. Der wahrscheinliche Ablauf: Beanstandung, Verfügung, Nachbesserung. Der Schaden ist der Aufwand, nicht eine Zahlung.

In der Praxis. Ermittlungen gegen das Unternehmen kommen faktisch nicht vor. Dem EDÖB fehlen schlicht die Ressourcen, um Websites von sich aus zu prüfen — in aller Regel braucht es zuerst eine Anzeige oder Beschwerde einer betroffenen Person. Und selbst dann richtet sich ein Strafverfahren nach Art. 53 FMG gegen die verantwortliche natürliche Person, nicht gegen die Firma.

Argumente um den Rechtsdienst zu überzeugen

Einem Schweizer Rechtsdienst können folgende Probleme und Lösungsansätze aufgezeigt werden. Ziel ist die Einführung der Lösung B: Opt-out mit Preference Center für Webseiten-Besucher aus der Schweiz

1. Systematischer Datenverlust von 40 % bis 60 %: Ein Opt-in-Banner kostet in der Praxis 40 % bis 60 % aller Messdaten. Das ist kein Worst-Case-Szenario, sondern der empirische Standard.

2. Verzerrte Datenbasis: Ablehner verhalten sich anders (andere Altersgruppen, andere Kaufbereitschaft) und erzeugen systematische Verfälschung der Datensammlung

3. Vermeidbare Kosten: Eine datengetriebene Steuerung des Werbebudgets wird unmöglich. Budget kann nicht auf die Kampagnen und Keywords verschoben werden, die messbar Kunden und Umsatz bringen. Die Kosten pro Lead können 20 % bis 30 % höher liegen.

4. Opt-in-Zwang liegt auch nach EDÖB gar nicht vor: Wir erheben per Server-Side Tracking in unserer eigenen First-Party-Domain und messen ausschliesslich für unsere eigene Erfolgskontrolle — kein seitenübergreifendes Tracking durch eingebettete Dritte, kein entgeltlicher Datenzugang für Dritte. Damit sind die Kriterien der Stufe 3 nicht erfüllt und das Setup liegt in der mittleren Risikostufe des EDÖB. Dort genügt ein wirksames Widerspruchsrecht, belegt durch die Interessenabwägung nach Art. 31 Abs. 2 DSG. Was an Werbeplattformen zurückgeht, bestimmen wir selbst und können es dokumentieren.

5. Hybrid-Lösung via Geo-Routing: Opt-In wird in EU-Ländern automatisiert ausgespielt:

   • EU-Besucher: Opt-in-Banner (Deutschland § 25 TDDDG, Österreich § 165 Abs. 3 TKG 2021).
   • CH-Besucher: Opt-out-Element gemäss Art. 45c FMG, kein Banner erforderlich.

6. Compliance-Überregulierung rechtfertigt keinen Ertragsverlust: Der EDÖB verhängt keine Bussen, sondern fordert im Bedarfsfall Nachbesserung; sein Leitfaden ist rechtlich nicht verbindlich. Realistische Höchstbusse: CHF 5'000 nach Art. 53 FMG. Dem vernachlässigbaren Rechtsrisiko steht ein garantierter, wiederkehrender Ertragsverlust gegenüber.

Quellen und rechtliche Grundlagen

• Fedlex – Fernmeldegesetz (FMG), Art. 45c und Art. 53: Bearbeitung von Daten auf fremden Geräten und die zugehörige Strafbestimmung.
• Fedlex – Bundesgesetz über den Datenschutz (DSG, SR 235.1): Art. 6 Grundsätze, Art. 7 Privacy by Default, Art. 30 und 31 Rechtfertigungsgründe, Art. 49 Aufsicht, Art. 60 ff. Strafbestimmungen.
• EDÖB – Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien: Version vom 22. Januar 2025 mit Ergänzung vom 6. Oktober 2025. Gibt die Auffassung der Aufsichtsbehörde wieder und ist rechtlich nicht verbindlich.
• Martin Steiger auf cyon: Cookie-Banner in der Schweiz – wer braucht sie wirklich?: Die Rechtslage aus Sicht der FMG-Denkschule, inklusive Googles EU User Consent Policy.
• HÄRTING Rechtsanwälte: Neue Schweizer Leitlinien des EDÖB zu Cookies: Einordnung des Leitfadens und der Änderungen in Version 1.1.
• Swiss Infosec: Cookie-Consent-Banner – die aktuelle Rechtslage: Zur extraterritorialen Anwendbarkeit der DSGVO auf Schweizer Unternehmen.
• Datenrecht.ch – Walder Wyss: Juristische Analyse des Leitfadens und der EDÖB-Praxis.