Arbeitsbereich

Leitfaden · Schweizer Vorschrift

FADP: Das Schweizer Datengesetz, erklärt für alle, die von Anzeigen leben

Die Schweiz gehört nicht zur Europäischen Union und hat ein eigenes Datengesetz, das 2023 überarbeitet wurde. Es ist an manchen Stellen flexibler als die GDPR und an einer Stelle strenger: Die Geldbuße trifft die verantwortliche Person. Hier sehen Sie, was für Cookies, Banner und Google-Anzeigen mit Schweizer Besuchern gilt.

Meinen Traffic aus der Schweiz prüfenLeitfaden lesen
  • ✓Basiert auf dem Bundesgesetz und den offiziellen Hinweisen der Schweizer Aufsichtsbehörde
  • ✓Beispiele für Websites mit Anzeigen, auch aus Brasilien
  • ✓Lesen, ohne die Website zu verändern
CHF 250.000Höchstbuße, verhängt gegen die verantwortliche Person und nicht gegen das Unternehmen
2023Jahr, in dem das überarbeitete Gesetz am 1. September in Kraft trat, ohne Übergangsfrist
250Mitarbeitende: Darunter können Unternehmen mit risikoarmer Verarbeitung auf das Verzeichnis der Verarbeitungstätigkeiten verzichten
CHF 5.000Höchstbuße des Fernmeldegesetzes für alle, die gegen die Cookie-Regel verstoßen

Was es ist

Ein eigenes Gesetz, ähnlich wie die GDPR, aber nicht gleich

Das Schweizer Bundesgesetz über den Datenschutz, auf Englisch FADP, auf Französisch nLPD und auf Deutsch nDSG genannt, wurde 2020 vom Parlament überarbeitet und trat am 1. September 2023 in Kraft. Die neue Fassung hat das Schweizer Gesetz der europäischen GDPR angenähert, aber eine eigene Logik beibehalten.

In der GDPR braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. In der Schweiz ist die Verarbeitung erlaubt, solange sie die Grundsätze des Gesetzes wie Transparenz, Zweckbindung und Verhältnismäßigkeit einhält. Eine Rechtfertigung wie Einwilligung oder überwiegendes Interesse ist nur erforderlich, wenn die Verarbeitung gegen diese Grundsätze oder gegen die Persönlichkeit der Person verstößt.

Die Aufsicht liegt beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, dem FDPIC, auf Französisch PFPDT und auf Deutsch EDÖB genannt. Er ermittelt, erlässt Anordnungen und veröffentlicht Hinweise, verhängt aber keine Bußen. Die Bußen sind strafrechtlich und liegen bei den Behörden der Kantone.

Für Cookies gilt außerdem eine Regel des Fernmeldegesetzes. Sie verlangt, dass die Website über den Einsatz und den Zweck der Cookies informiert und den Besuchern die Möglichkeit bietet, sie abzulehnen. Der Hinweis des FDPIC erklärt, wie diese beiden Gesetze zusammenwirken.

Checkliste

Was Sie erfüllen müssen

Das sind die Punkte, die die Orientierungshilfe des FDPIC und Google von einer Website mit Werbung verlangen, die Besucher aus der Schweiz hat.

  1. Eine von Google zertifizierte CMP verwenden

    Seit dem 31. Juli 2024 verlangt Google eine zertifizierte CMP mit IAB-TCF-Integration, um in der Schweiz personalisierte Anzeigen auszuspielen. Ohne sie darf der Schweizer Traffic nur nicht personalisierte oder eingeschränkte Anzeigen erhalten.

    Beispiel

    Nehmen Sie die Schweiz in die Regionen der CMP auf, denn sie gehört weder zur Europäischen Union noch zum EWR.

  2. Lassen Sie das Ablehnen von Cookies immer zu

    Der FDPIC sagt, die Website müsse dem Besucher immer die Option bieten, nicht notwendige Cookies abzulehnen. Die Ablehnen-Option muss klar sichtbar sein.

    Beispiel

    Das Banner zeigt einen sichtbaren Button Ablehnen und nicht nur einen kleinen Link im Text.

  3. Verwenden Sie kein Banner nur mit Alle akzeptieren

    Nach Ansicht des FDPIC ist ein Fenster, das nur Alle akzeptieren zulässt, keine klare Einwilligungserklärung. Das wiegt noch schwerer, wenn notwendige Cookies mit einwilligungspflichtigen Cookies vermischt werden.

  4. Holen Sie bei hohem Risiko die ausdrückliche Einwilligung ein

    Sensible Daten und Profiling mit hohem Risiko erfordern eine ausdrückliche Einwilligung. Der FDPIC erklärt, dass Anzeigen-Tracking über mehrere Websites hinweg dieses Niveau erreichen kann. Bei Zweifeln fragen Sie Ihre Rechtsberatung.

    Beispiel

    Werbe-Cookies von Dritten werden erst nach dem aktiven Klick auf Akzeptieren gesetzt.

  5. Informieren Sie zum Zeitpunkt der Erhebung

    Der Besucher muss informiert werden, wenn Daten erhoben werden, und zwar in Ebenen, mit dem Wichtigsten zuerst. Es genügt nicht, die Datenschutzerklärung in einer versteckten Ecke der Website abzulegen.

    Beispiel

    Das Banner fasst die Nutzung der Cookies zusammen und führt mit einem Klick zur vollständigen Erklärung.

  6. Sagen Sie, wer die Daten erhält und in welchem Land

    Die Erklärung muss angeben, wenn Daten an Dritte oder Dienstleister gehen, samt Zweck. Wenn die Daten die Schweiz verlassen, muss auch das Zielland genannt werden.

    Beispiel

    In der Erklärung: Wir nutzen Google und andere Werbenetzwerke, und die Daten können in die Vereinigten Staaten gesendet werden.

  7. Erschweren Sie den Widerruf der Einwilligung nicht

    Wenn der Widerruf der Einwilligung deutlich mehr Aufwand erfordert als die Erteilung, verletzt das laut FDPIC die Freiwilligkeit. Vorausgewählte Kästchen sind nur dort zulässig, wo keine ausdrückliche Einwilligung verlangt wird.

    Beispiel

    Ein fester Link im Footer öffnet die Einstellungen mit einem Klick erneut.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Für personalisierte Anzeigen in der Schweiz verlangt Google eine zertifizierte CMP, und dies sind die offiziellen Seiten zum Auswählen und Einrichten.

Für wen es gilt und Definitionen

Was das Gesetz abdeckt

Das Gesetz schaut auf die Auswirkung in der Schweiz, nicht auf die Adresse des Unternehmens. Das sind die Begriffe, die für eine Website mit Anzeigen am meisten zählen.

Auswirkung in der Schweiz

Das Gesetz gilt für Sachverhalte, die sich im Land auswirken, auch wenn die Website woanders gehostet und betrieben wird.

Nur natürliche Personen

Die neue Fassung schützt nur Daten natürlicher Personen. Daten von Unternehmen sind nicht mehr erfasst.

Sensible Daten

Dazu gehören Gesundheit, ethnische Herkunft, Religion, politische Meinung, genetische und biometrische Daten sowie Strafverfahren. Sie erfordern Sorgfalt und oft eine ausdrückliche Einwilligung.

Profiling mit hohem Risiko

Das ist die Verknüpfung von Daten, die es erlaubt, wesentliche Aspekte der Persönlichkeit einer Person zu beurteilen. Das Tracking von Anzeigen über mehrere Websites hinweg kann diese Stufe erreichen.

Verantwortlicher und Auftragsverarbeiter

Der Verantwortliche entscheidet über Zweck und Mittel, zum Beispiel der Inhaber der Website. Der Auftragsverarbeiter verarbeitet Daten in seinem Auftrag, zum Beispiel ein Hosting-Anbieter.

Vertretung in der Schweiz

Unternehmen aus dem Ausland, die im Land Produkte anbieten oder Personen beobachten, brauchen eine Vertretung vor Ort, wenn die Verarbeitung regelmäßig, umfangreich und mit hohem Risiko erfolgt.

Einwilligung und Cookies

Wann ein Hinweis genügt und wann gefragt werden muss

Die Grundregel für Cookies in der Schweiz lautet: informieren und Ablehnen zulassen. Die Website muss bei der Erhebung mitteilen, dass sie Cookies verwendet und wofür, und die Besucher daran erinnern, dass sie Nein sagen können. Der Hinweis des FDPIC stellt klar, dass das Recht auf Ablehnung in jedem Szenario verpflichtend ist.

Die ausdrückliche Einwilligung, mit einem aktiven Klick auf einen Button oder in ein Kästchen, wird bei höherem Risiko verlangt: bei der Verarbeitung sensibler Daten und bei Profiling mit hohem Risiko. Sie gilt auch für Websites mit politischem, gewerkschaftlichem oder religiösem Inhalt, wenn die Cookies über das Erwartbare hinausgehen.

Die aktualisierte Fassung des Hinweises, veröffentlicht im Oktober 2025, behandelt Werbung. Sie erklärt, dass Cookies von Dritten, die über viele Websites verteilt sind und Daten der Besucher gegen Bezahlung weitergeben, ein Profiling mit hohem Risiko darstellen können. Wenn die Website dieses Risiko nicht ausschließen kann, muss sie es als hoch behandeln und eine ausdrückliche Einwilligung einholen.

Zum Banner sagt der FDPIC, dass ein Fenster, das nur „Alles akzeptieren“ anbietet, keine eindeutige Einwilligung erzeugt, dass die Ablehnung sichtbar sein muss und dass der Widerruf der Einwilligung nicht schwerer sein darf als ihre Erteilung. Vorausgewählte Kästchen werden nur für Nutzungen akzeptiert, die keine ausdrückliche Einwilligung erfordern.

Rechte der Personen

Was Schweizer Besucher verlangen können

Die Website muss eine Kontaktstelle haben, um Anfragen entgegenzunehmen und fristgerecht zu beantworten.

Auskunft

Wissen, ob die Website Daten über die Person verarbeitet, und die im Gesetz vorgesehenen Informationen erhalten, in der Regel innerhalb von 30 Tagen und kostenlos.

Berichtigung und Löschung

Verlangen, dass falsche Daten berichtigt und unrechtmäßig verarbeitete Daten gelöscht werden.

Widerspruch

Einer Verarbeitung widersprechen, auch Cookies ablehnen. Nach dem Fernmeldegesetz muss diese Ablehnung immer möglich sein.

Übertragbarkeit

Die selbst bereitgestellten Daten in einem gängigen elektronischen Format erhalten oder verlangen, dass sie an ein anderes Unternehmen gesendet werden.

Menschliche Prüfung

Über Entscheidungen informiert werden, die allein durch ein System getroffen werden und erhebliche Wirkung haben, und verlangen, dass eine Person sie überprüft.

Information bei der Erhebung

Erfahren, wer erhebt, wofür, an wen weitergegeben wird und in welche Länder die Daten gehen.

Pflichten

Was eine Website mit Schweizer Besuchern tun muss

  1. Bei der Erhebung informierenHaben Sie eine Datenschutzerklärung mit Identität und Kontakt des Verantwortlichen, Zwecken, Empfängern und den Ländern, in die die Daten gehen. Der Hinweis verlangt eine gestufte Information, mit dem Wichtigsten zuerst, und nie versteckt in einer Ecke der Seite.
  2. Das Ablehnen von Cookies ermöglichenZeigen Sie einen Cookie-Hinweis mit klarer Ablehnungsoption. Für Anzeigen mit websiteübergreifendem Tracking bevorzugen Sie die ausdrückliche Einwilligung, die auch Google für personalisierte Anzeigen verlangt.
  3. Mit dem Minimum beginnenDas Gesetz verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. In der Praxis sollte nichts, was nicht notwendig ist, nur deshalb laufen, weil die Seite geladen wurde.
  4. Das Risiko bewertenFühren Sie vor Verarbeitungen mit hohem Risiko eine Folgenabschätzung durch und führen Sie ein Verzeichnis der Verarbeitungstätigkeiten, es sei denn, das Unternehmen hat weniger als 250 Mitarbeitende und nur risikoarme Verarbeitungen.
  5. Über Datenpannen informierenMelden Sie dem FDPIC so schnell wie möglich, wenn eine Datenpanne ein hohes Risiko für die Personen bringen kann, und informieren Sie die Betroffenen, wenn das zu ihrem Schutz nötig ist.
  6. Übermittlungen beachtenDie Übermittlung von Daten aus der Schweiz heraus braucht ein Land mit angemessenem Schutz oder Garantien wie Vertragsklauseln. Für die USA werden Unternehmen akzeptiert, die im Swiss-U.S. Data Privacy Framework zertifiziert sind, seit dem 15. September 2024.

Durchsetzung und Strafen

In der Schweiz zahlt die Person

Anders als bei der GDPR wird die Schweizer Buße nicht auf den Umsatz des Unternehmens berechnet. Sie ist strafrechtlich und richtet sich gegen die Einzelperson, die den Verstoß entschieden oder ausgeführt hat.

Bis zu CHF 250.000

Buße für die verantwortliche natürliche Person, die vorsätzlich gegen Pflichten wie Information, Beantwortung von Auskunftsanfragen oder Schutz der Daten bei der Übermittlung verstößt.

Unternehmen nur ausnahmsweise

Wenn die Ermittlung der verantwortlichen Person einen unverhältnismäßigen Aufwand erfordern würde, kann stattdessen das Unternehmen gebüßt werden, sofern die Buße CHF 50.000 nicht übersteigt.

Anordnungen des FDPIC

Der Beauftragte ermittelt und kann anordnen, dass die Verarbeitung korrigiert oder ausgesetzt wird oder dass Daten gelöscht werden. Auch das Missachten der Anordnung ist strafbar.

Cookie-Regel

Das Fernmeldegesetz sieht eine Buße von bis zu CHF 5.000 für alle vor, die die Pflicht zur Information und zum Ablehnenlassen vorsätzlich oder fahrlässig verletzen.

Zeitleiste

Die wichtigen Daten

Von der Verabschiedung des überarbeiteten Gesetzes bis zur jüngsten Aktualisierung des Cookie-Hinweises.

  1. 25. September 2020

    Überarbeitetes Gesetz verabschiedet

    Das Schweizer Parlament verabschiedet die vollständige Revision des Datenschutzgesetzes.

  2. 1. September 2023

    Inkrafttreten

    Das neue Gesetz und die zugehörige Verordnung beginnen zu gelten, für die meisten Regeln ohne Übergangsfrist.

  3. 31. Juli 2024

    Google verlangt zertifizierte CMP

    Für personalisierte Anzeigen an Besucher aus der Schweiz verlangen AdSense und Ad Manager nun eine zertifizierte, in IAB TCF integrierte CMP.

  4. 15. September 2024

    Abkommen mit den USA

    US-Unternehmen, die im Swiss-U.S. Data Privacy Framework zertifiziert sind, gelten nun als angemessenes Zielland für Daten.

  5. Januar 2025

    Cookie-Hinweis

    Der FDPIC veröffentlicht den Hinweis zur Datenverarbeitung mit Cookies und ähnlichen Technologien.

  6. Oktober 2025

    Aktualisierter Hinweis

    Die Version 1.1 geht auf personalisierte Werbung, Standortdaten und das Modell „Bezahlen oder zustimmen“ ein.

Für alle mit AdSense oder Ad Manager

Was sich in der Praxis für die Einnahmen ändert

Seit dem 31. Juli 2024 verlangt Google für Besucher aus der Schweiz dasselbe wie für den Europäischen Wirtschaftsraum und das Vereinigte Königreich: eine zertifizierte, in IAB TCF integrierte CMP. Ohne sie erhält der Schweizer Traffic nur nicht personalisierte oder eingeschränkte Anzeigen.

Das heißt: Selbst wenn sich das Schweizer Gesetz in manchen Fällen damit begnügt, zu informieren und Ablehnen zuzulassen, braucht jede Person, die personalisierte Google-Anzeigen möchte, eine in der TC string erfasste Einwilligung. In der Praxis ist der Standard von Google der strengste.

Ein häufiges Beispiel: eine brasilianische Stellenwebsite auf Französisch, die Besucher aus Genf und Lausanne erhält. Wurde die CMP nur für die Europäische Union konfiguriert, bleibt die Schweiz außen vor, weil sie weder Mitglied der Union noch des EWR ist. Das Ergebnis ist Schweizer Traffic ohne TC string und mit eingeschränkten Anzeigen.

„Datenschutz und Messaging“ von AdSense und Ad Manager ist bereits zertifiziert und erlaubt es, die Schweiz einzubeziehen. Prüfen Sie bei einer anderen CMP, ob die Schweiz in der Liste der Regionen erscheint und ob Google unter den Anbietern ist.

In der Praxis

Was mit Schweizer Besuchern erlaubt ist und was nicht

Alltagsbeispiele von Inhalts-, Stellen- und Finanzwebsites mit Publikum in der Schweiz.

Erlaubt

  • Essenzielle Cookies, etwa das, das die Entscheidung im Banner speichert, ohne Einwilligung verwenden
  • Den Einsatz von Cookies gestuft mitteilen, mit der Zusammenfassung im Banner und den Details auf der Datenschutzseite
  • Die Schweiz in dieselbe CMP-Konfiguration aufnehmen, die für den EWR und das Vereinigte Königreich verwendet wird
  • Nicht personalisierte Anzeigen für alle zeigen, die abgelehnt haben
  • Einen festen Link in der Fußzeile anbieten, über den die Besucher ihre Entscheidung ändern können

Nicht erlaubt

  • Ein Banner mit nur dem Button „Alles akzeptieren“ zeigen
  • Remarketing-Pixel von Dritten vor jeder Antwort auslösen
  • Die Schweiz vergessen, weil sie nicht zur Europäischen Union gehört
  • Den Widerruf der Einwilligung schwerer machen als die Zustimmung
  • Die Datenschutzerklärung in einer schwer zu findenden Ecke verstecken

Häufige Fehler

Wo Websites am häufigsten ausrutschen

Fehler, die bei Websites mit Schweizer Traffic häufig auftreten.

Schweiz fehlt in der Liste der Regionen

Die CMP zeigt die Meldung für die Europäische Union, aber nicht für die Schweiz. Google erhält Anfragen ohne gültige Einwilligung und schränkt die Anzeigen ein.

Sich nur auf das Opt-out verlassen

Das Gesetz akzeptiert in manchen Fällen Informieren und Ablehnen zulassen, aber das Tracking von Anzeigen über mehrere Websites hinweg kann eine ausdrückliche Einwilligung erfordern, und Google verlangt eine Einwilligung zur Personalisierung.

Denken, die Buße sei Sache des Unternehmens

In der Schweiz trifft die Strafbuße die Person, die entschieden hat. Inhaber der Website, Manager oder technisch Verantwortliche können persönlich haften.

Erklärung ohne Zielländer

Das Gesetz verlangt die Angabe, in welche Länder die Daten gehen. Viele Texte nennen Google und vergessen zu sagen, dass die Daten die Schweiz verlassen.

Banner, das die Ablehnung nicht erkennt

Die Besucher klicken auf Ablehnen, und die Anzeigen-Cookies sind trotzdem da. Der Hinweis sagt, dass eine von der Website verhinderte Ablehnung nicht gegen die Besucher verwendet werden darf.

„Bezahlen oder zustimmen“ ohne Sorgfalt

Den Zugang davon abhängig zu machen, dass man Tracking akzeptiert oder ein Abonnement bezahlt, wird im Hinweis unter eigenen Bedingungen behandelt. Das Modell eines anderen Landes ungeprüft zu kopieren, ist riskant.

In ConsentMode

Was das Audit für die Schweiz prüft

  • Öffnet die Website als Besucher aus der Schweiz und hält fest, ob das Banner erscheint, welche Buttons es anbietet und ob die Ablehnung sichtbar ist.
  • Erkennt die CMP am Code der Seite und prüft, ob sie auf der Liste der von Google zertifizierten CMPs steht.
  • Liest die TC string und die Consent-Mode-Signale, die in den Anzeigenanfragen gesendet werden.
  • Vergleicht Cookies und Netzwerkanfragen vor und nach der Entscheidung und zeigt, was zu früh ausgelöst wird.
  • Prüft, ob die Datenschutzerklärung den Verantwortlichen, die Zwecke, die Empfänger und die Zielländer enthält.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Meine Website ist brasilianisch. Gilt das Schweizer Gesetz für mich?

Das Gesetz erfasst Sachverhalte mit Auswirkung in der Schweiz, auch wenn sie im Ausland begonnen haben. Wenn die Website Schweizer Besucher für Anzeigen trackt, gibt es eine Auswirkung im Land. Und Google verlangt für die Personalisierung von Anzeigen für dieses Publikum eine zertifizierte CMP, unabhängig davon, wo die Website steht.

Kann das Banner in der Schweiz nur informativ sein?

Bei Cookies mit geringem Risiko akzeptiert das Gesetz Informieren und Ablehnen anbieten. Für das Tracking von Anzeigen über mehrere Websites hinweg, sensible Daten oder Profiling mit hohem Risiko ist eine ausdrückliche Einwilligung nötig. Für personalisierte Google-Anzeigen ist die zertifizierte CMP mit Einwilligung Pflicht.

Wer kontrolliert und wer verhängt Bußen?

Der FDPIC ermittelt, berät und kann Anordnungen erlassen. Die Bußen werden von den Strafbehörden der Kantone verhängt.

Kann die Buße den Inhaber der Website treffen?

Ja. Die Buße von bis zu CHF 250.000 wird gegen die natürliche Person verhängt, die für den vorsätzlichen Verstoß verantwortlich ist. Das Unternehmen wird nur in Ausnahmefällen gebüßt.

Brauche ich eine Vertretung in der Schweiz?

Nur wenn das Unternehmen außerhalb des Landes sitzt und Daten von Personen in der Schweiz regelmäßig, umfangreich und mit hohem Risiko verarbeitet. Die meisten kleinen und mittleren Inhaltswebsites erreichen diese Stufe nicht, aber eine Prüfung lohnt sich.

Ich nutze dieselbe CMP wie für die GDPR. Brauche ich etwas anderes?

Normalerweise nicht. Es genügt zu bestätigen, dass die Schweiz in den konfigurierten Regionen enthalten ist und dass die Texte des Banners und der Erklärung auch das Schweizer Gesetz erfüllen, etwa durch die Nennung der Zielländer.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie, wie Ihre Website für einen Schweizer Besucher aussieht

Das Audit öffnet die Website aus der Schweiz, hält Banner, TC string und Cookies fest und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten