Viele Schweizer Unternehmen gehen nach wie vor davon aus, dass die Regeln für Cookies hierzulande deutlich weniger streng sind als in der EU. Ganz falsch ist diese Einschätzung nicht. Doch aktuelle Entwicklungen zeigen: Die Anforderungen an den Einsatz von Cookies und Tracking-Technologien bewegen sich zunehmend in Richtung der europäischen Praxis.
Cookies werden in der Schweiz nicht primär über das Datenschutzgesetz geregelt
Ein weit verbreitetes Missverständnis besteht darin, dass Cookies direkt bzw. ausschliesslich dem Datenschutzgesetz (DSG bzw. revDSG) unterstehen. Tatsächlich werden Cookies in der Schweiz traditionell primär durch das Fernmeldegesetz (FMG) geregelt. Sobald mit Cookies oder ähnlichen Technologien jedoch Personendaten bearbeitet werden, sind zusätzlich die Vorgaben des Datenschutzgesetzes zu beachten.
Nach der traditionellen Schweizer Rechtsauffassung war deshalb für viele Cookies keine ausdrückliche Einwilligung der Nutzer:innen erforderlich. In der Regel genügte es per einfachem Banner/Fenster mit Verlinkung auf die Datenschutzerklärung, transparent über den Einsatz von Cookies zu informieren.
Der EDÖB verschärft seine Erwartungen
Mit dem aktualisierten Cookie-Leitfaden hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) seine Erwartungen an den Einsatz von Cookies und ähnlichen Technologien deutlich konkretisiert. Zwar betont der EDÖB selbst, dass die Aktualisierung keine neuen materiellen Pflichten schafft, sondern punktuelle Präzisierungen und Ergänzungen enthält. Der Leitfaden zeigt jedoch klar auf, wie die Behörde die geltenden Datenschutzvorschriften künftig auslegen und anwenden möchte.
Der Leitfaden bewegt die Schweizer Praxis damit spürbar näher an die europäische DSGVO-Welt heran. Er bringt einige Präzisierungen und faktisch auch Verschärfungen bei Tracking, Profiling, personalisierter Werbung, Cookie-Paywalls und der Unterscheidung zwischen notwendigen und nicht notwendigen Cookies.
Welche Cookies gelten als notwendig?
Der Leitfaden unterscheidet klar zwischen technisch notwendigen und nicht notwendigen Cookies.
Als notwendig gelten beispielsweise Cookies für:
- Login-Funktionen
- Warenkörbe in Onlineshops
- Sicherheitsmechanismen
- Schutz vor Missbrauch
- Lastverteilung (Load Balancing)
Für solche Cookies ist grundsätzlich weiterhin keine ausdrückliche Einwilligung erforderlich.
Anders sieht es bei Analyse-, Komfort- oder Marketing-Cookies aus. Diese gelten in der Regel nicht als technisch notwendig und sollten deshalb gesondert beurteilt werden. Dazu gehören beispielsweise Webanalyse-Tools, Tracking-Technologien oder personalisierte Werbelösungen.
Was bedeutet das für Unternehmen?
Rechtlich betrachtet hat sich das Gesetz nicht geändert. Der Cookie-Leitfaden ist keine verbindliche Rechtsnorm. Dennoch sollten Unternehmen die Bedeutung des Dokuments nicht unterschätzen. Der Leitfaden zeigt klar auf, wie die zuständige Aufsichtsbehörde die bestehenden Vorschriften auslegt und künftig anwenden möchte. Zudem ist davon auszugehen, dass sich die Aufsichtspraxis des EDÖB an diesen Vorgaben orientieren wird.
Für Websitebetreiber empfiehlt sich daher eine Überprüfung der bestehenden Cookie- und Tracking-Lösungen:
- Welche Cookies sind technisch notwendig?
- Welche Analyse- oder Marketing-Tools werden eingesetzt?
- Können Nutzer diese Technologien einfach ablehnen?
- Entsprechen Cookie-Banner und Datenschutzerklärung den aktuellen Transparenzanforderungen?
Fazit
Ein einfacher Hinweisbanner ohne Auswahlmöglichkeit kann bei rein technisch notwendigen Cookies auch nach heutiger Schweizer Rechtslage weiterhin genügen. Werden jedoch Analyse-, Tracking- oder Marketing-Cookies eingesetzt, reicht ein blosser Hinweis auf die Datenschutzerklärung aus praktischer Sicht zunehmend nicht mehr aus. Der aktualisierte EDÖB-Leitfaden ist zwar keine verbindliche Rechtsnorm und ändert das Gesetz nicht. Er zeigt aber deutlich, dass die Aufsichtsbehörde bei nicht notwendigen Cookies mehr Transparenz und effektive Wahlmöglichkeiten erwartet. Insbesondere bei Analyse-, Tracking- und Marketing-Cookies empfiehlt sich deshalb eine Lösung, bei der Nutzer nicht notwendige Cookies einfach ablehnen können. Schweizer Websitebetreiber sollten deshalb prüfen, welche Cookies und Tracking-Technologien sie tatsächlich einsetzen, und ihren Cookie-Banner sowie die Datenschutzerklärung entsprechend anpassen.
Für Schweizer Händler mit Kundschaft im EWR, insbesondere auch in Liechtenstein, ist zusätzlich Vorsicht geboten. Wer seine Waren oder Dienstleistungen gezielt an Personen im EWR anbietet, muss unter Umständen die Anforderungen der DSGVO berücksichtigen. In der Praxis fahren viele Händler deshalb gut damit, ihre Website gleich an den strengeren europäischen Standard anzupassen und damit sowohl den Anforderungen im EWR als auch den steigenden Erwartungen der Schweizer Aufsichtsbehörde gerecht zu werden.
Download Leitfaden des EDÖB betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien