Am 3. Februar 2025 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) den neuen EDÖB-Leitfaden zu Cookies und Tracking-Technologien veröffentlicht. Dieser Leitfaden, auch wenn nicht verbindlich, zeigt klar, wie der EDÖB die Umsetzung des Datenschutzgesetzes (DSG) in der digitalen Praxis interpretiert. Für Webseitenbetreiber bedeutet dies vor allem eines: mehr Verantwortung und wohl auch noch mehr Cookie-Banner.
Einstufung von Cookies und rechtliche Grundlagen
Hinsichtlich der Verwendung von Cookies in Apps und Webseiten gilt es zu beachten, dass das Fernmeldegesetz (FMG; SR 780.10) bezüglich deren Speicherung auf Endgeräten wie Smartphones oder Personal Computern in Art. 45c eine Spezialregelung enthält, die schon seit dem 1. April 2007 in Kraft ist. Diese Norm des speziellen Datenschutzrechts des Bundes ist kumulativ zum allgemeinen Datenschutzrecht im DSG einzuhalten.
Für den Einsatz nicht notwendiger Cookies ist durch Art. 45c FMG zwingend vorgeschrieben, dass der Verantwortliche den Betroffenen in jedem Fall die Möglichkeit einräumen muss, die Verwendung solcher Cookies abzulehnen (Widerspruchsrecht). Webseitenbetreiber sind gemäss Art. 45c FMG verpflichtet, die Seitenbesuchenden über den Einsatz von entsprechenden Technologien zu informieren und dabei die jeweiligen Zwecke zu nennen. Ausserdem muss darauf hingewiesen werden, dass und wie die betroffenen Personen die entsprechende Bearbeitung ablehnen können. Weiter muss der Verantwortliche das Widerspruchsrecht auf der Webseite an prominenter Stelle anzeigen, sodass die Möglichkeit eines Opt-outs sowohl beim ersten als auch bei nachfolgenden Besuchen leicht erkannt und mit wenigen Klicks angewählt und ausgeübt werden kann.
Wie und in welcher Form die betroffenen Personen informiert werden sollen, lässt die Bestimmung offen und muss nach Massgabe des DSG konkretisiert werden.
Der EDÖB unterscheidet zwischen folgenden Cookies:
1. Technisch notwendige Cookies
Diese sind für den Betrieb der Website unverzichtbar.
Beispiele:
- Warenkorb-Cookies in Online-Shops
- Login-Authentifizierung
- Sprachauswahl
- Schutz vor Brute-Force-Angriffen
Rechtliche Folgen: „Es gilt lediglich eine Informationspflicht, eine Einwilligung ist nicht erforderlich.¨
2. Funktionale Cookies („Comfort Cookies“)
Diese sind nicht zwingend notwendig, verbessern aber die Nutzererfahrung (z. B. Speicherung von Nutzereinstellungen).
Rechtliche Folgen:
- Art. 45c FMG verlangt, dass Nutzer der Speicherung solcher Cookies widersprechen können (Opt-out).
- DSG: Falls die Speicherung nicht durch ein überwiegendes Interesse gedeckt ist, ist eine Einwilligung notwendig.
- Unklarheit: Cookie-Banner sind unter Umständen erforderlich, jedoch nicht immer explizit vorgeschrieben.
3. Werbe- oder Tracking-Cookies
Diese analysieren das Nutzerverhalten und dienen z. B. der Anzeige personalisierter Werbung oder der Erstellung von Nutzerprofilen.
Rechtliche Folgen:
- Hier ist eine ausdrückliche Einwilligung (Opt-in) erforderlich.
- Cookie-Banner sind notwendig, müssen ein aktives Anklicken oder Setzen eines Häkchens verlangen.
- Die Einwilligung muss jederzeit widerrufbar sein. Hier wird in der Praxis davon ausgegangen, dass ein Cookie-Banner erforderlich ist.
4. Weitere Themen des Leitfadens waren:
Informationspflicht
Die Bearbeitung von Personendaten durch Cookies unterliegt gemäss Art. 19 f. DSG einer Informationspflicht. Dies bedeutet, dass Webseitenbetreiber aktiv und transparent darüber informieren müssen, welche Daten erfasst werden und zu welchem Zweck.
Wie muss informiert werden?
- Die Informationen müssen so aufbereitet sein, dass eine betroffene Person eine bewusste Entscheidung treffen kann.
- Die Informationspflicht kann z. B. durch Datenschutzerklärungen, Nutzungsbedingungen oder Piktogramme erfüllt werden.
- Ein sogenannter „Layered Approach“ ist erforderlich: Zunächst werden die wichtigsten Informationen angezeigt, dann folgen detaillierte Angaben.
- Die Informationen müssen leicht auffindbar, leserfreundlich und klar strukturiert sein.
Gemeinsame Verantwortlichkeit bei Social Plugins
Eine der wichtigsten Aussagen des Leitfadens betrifft die gemeinsame Verantwortlichkeit von Webseitenbetreibern und Drittanbietern, beispielsweise beim Einsatz von Social Plugins.
Gemäss der Rechtsprechung des EuGH (Fashion-ID-Entscheid) haftet ein Webseitenbetreiber mit, wenn er durch die Einbindung eines Social Plugins die Erhebung von Nutzerdaten ermöglicht. Der EDÖB folgt dieser Linie und verlangt, dass sich Webseitenbetreiber über die Datenbearbeitung ihrer eingebundenen Drittanbieter informieren und sicherstellen, dass alle datenschutzrechtlichen Anforderungen eingehalten werden. Wichtig zu wissen: Die gemeinsame Verantwortlichkeit beschränkt sich nur auf die Datenerhebung, nicht aber auf die weitere Bearbeitung durch den Drittanbieter.
5. Fazit
Dieser EDÖB-Leitfaden zu Cookies und Tracking verschärft die Anforderungen für Webseitenbetreiber. Für Webseitenbetreiber bedeutet dies vor allem eine erhöhte Informationspflicht, mehr Transparenz gegenüber Nutzern und in vielen Fällen die Notwendigkeit, Cookie-Banner zu implementieren. Wer Social Plugins oder Werbe-Tracking verwendet, sollte dringend überprüfen, ob er die Anforderungen des DSG erfüllt und die Einwilligung der Nutzer korrekt einholt.
Sehr gerne unterstützen wir Sie bei Fragen rund um den Datenschutz und die Datensicherheit. Wir freuen uns auf Ihre Kontaktaufnahme.
