Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat am 22. Januar 2025 einen neuen Leitfaden zu Cookies und ähnlichen Technologien veröffentlicht, der die Datenschutzanforderungen für Websites in der Schweiz konkretisiert. Hier sind die wichtigsten Punkte zusammengefasst:
Wesentliche Anforderungen
- Information: Alle personenbezogenen Cookies müssen klar in der Datenschutzerklärung erwähnt werden, insbesondere bei sensiblen Datenbearbeitungen.
- Widerspruchsrecht: Nutzer müssen jederzeit technisch die Möglichkeit haben, nicht notwendige Cookies abzulehnen. Dies erfordert prominente Hinweise auf das Widerspruchsrecht, etwa durch Cookie-Banner.
- Einwilligung: Für nicht notwendige oder unerwartete Cookies ist ein Opt-In erforderlich, manchmal sogar mit einer Bestätigung. Voreingestellte Zustimmung (z. B. vorangekreuzte Checkboxen) ist unzulässig.
- Ausdrückliche Einwilligung: Bei besonders schützenswerten Daten oder riskantem Profiling wird ein aktives Opt-In verlangt, ohne vorangekreuzte Checkboxen.
Technologieneutraler Ansatz
Der Leitfaden gilt nicht nur für klassische Cookies, sondern auch für moderne Tracking-Technologien wie Fingerprinting und Pixel. Mobile Apps könnten ebenfalls betroffen sein.
Anforderungen an Cookie-Banner
- Klare und verständliche Informationen über den Zweck der Cookies.
- Gleichwertige Darstellung von Optionen wie „Alle akzeptieren“ und „Ablehnen“.
- Detaillierte Steuerungsmöglichkeiten, damit Nutzer einzelne Cookie-Kategorien aktiv auswählen können.
- Leichte Widerrufsmöglichkeit der Einwilligung.
Praktische Auswirkungen
Der Leitfaden ist weniger streng als die DSGVO, zeigt jedoch eine Annäherung an europäische Standards. Unternehmen müssen ihre Cookie-Banner und Datenschutzpraktiken überarbeiten, um den neuen Anforderungen zu entsprechen. Dies umfasst:
- Prüfung des Cookie-Einsatzes.
- Anpassung von Consent-Bannern.
- Durchführung von Risikoanalysen und Datenschutzfolgenabschätzungen bei Profiling.
- Aktualisierung der Datenschutzerklärung.
Dieser Leitfaden ist nicht verbindlich, aber er unterstreicht den Anspruch des EDÖB, Datenschutzstandards durchzusetzen. Webseitenbetreiber sollten handeln, um rechtliche Risiken und mögliche Sanktionen zu vermeiden.
Wie unterscheiden sich die Cookie-Regeln des EDÖB von denen der DSGVO
Die Cookie-Regeln des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und der Datenschutz-Grundverordnung (DSGVO) unterscheiden sich in mehreren Aspekten, insbesondere in Bezug auf die Anforderungen an Einwilligung, Transparenz und technische Umsetzung. Hier sind die wesentlichen Unterschiede:
1. Einwilligungsanforderungen
- EDÖB: Für nicht notwendige Cookies reicht ein Opt-out aus, solange keine qualifiziert unerwarteten oder risikoreichen Cookies eingesetzt werden. Eine aktive Einwilligung (Opt-in) ist nur bei besonders schützenswerten Daten oder riskantem Profiling erforderlich.
- DSGVO: Strengere Anforderungen. Für alle nicht notwendigen Cookies ist eine aktive Einwilligung (Opt-in) erforderlich, unabhängig von der Art der Daten.
2. Technologieneutralität
- EDÖB: Der Leitfaden gilt für Cookies und ähnliche Technologien wie Fingerprinting und Pixel, ohne spezifische Regelungen für jede Technologie.
- DSGVO: Ebenfalls technologieneutral, aber mit klareren Vorgaben zur Anwendung auf moderne Tracking-Technologien.
3. Transparenz und Information
- EDÖB: Nutzer müssen über den Zweck und die Möglichkeit des Widerspruchs informiert werden. Die Datenschutzerklärung muss leicht zugänglich sein, z. B. im Footer.
- DSGVO: Umfassendere Informationspflichten, einschließlich detaillierter Angaben zu jedem Cookie und dessen Zweck direkt im Cookie-Banner.
4. Cookie-Banner
- EDÖB: Cookie-Banner sind nur bei nicht notwendigen Cookies erforderlich, wobei das Widerspruchsrecht hervorgehoben werden muss. Die Darstellung von «Akzeptieren» und «Ablehnen» muss nicht gleichwertig sein.
- DSGVO: Cookie-Banner müssen immer eine gleichwertige Option zum Ablehnen und Akzeptieren bieten, um eine freie Wahl sicherzustellen.
5. Rechtsgrundlage
- EDÖB: Stützt sich auf das Schweizer Datenschutzgesetz (DSG) und Art. 45c FMG. Letzterer erlaubt eine Ablehnungsmöglichkeit ohne explizite Einwilligungspflicht.
- DSGVO: Basierend auf der ePrivacy-Richtlinie und DSGVO, die eine strengere Regulierung von Cookies vorschreiben.
Zusammenfassend ist die EDÖB-Regelung liberaler als die DSGVO, da sie weniger strenge Anforderungen an die Einwilligung stellt und mehr Flexibilität bei der technischen Umsetzung bietet. Die DSGVO hingegen legt den Fokus stärker auf den Schutz der Privatsphäre durch umfassende Zustimmungspflichten und Transparenz.
