Datenschutz in der Schweiz: Was Server-Side Tracking darf

Was gilt in der Schweiz?

Zwei Gesetze regeln Cookies und Tracking in der Schweiz:

• Art. 45c Fernmeldegesetz (FMG): Wer Daten auf fremden Geräten speichert oder ausliest, muss über die Bearbeitung und ihren Zweck informieren und auf das Recht hinweisen, sie abzulehnen. Das ist das Opt-out-Prinzip.

• Revidiertes Datenschutzgesetz (revDSG): Seit September 2023 gelten die Grundsätze für jede Bearbeitung von Personendaten, darunter Transparenz, Zweckbindung und Verhältnismässigkeit, sowie eine erweiterte Informationspflicht.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im Januar 2025 einen Leitfaden zu Cookies und ähnlichen Technologien veröffentlicht, im Oktober 2025 aktualisiert und im März 2026 in einem Merkblatt zusammengefasst. Die Kernaussagen:

• Notwendige Cookies, etwa für Warenkorb und Login, sind ohne Weiteres zulässig.

• Für Analyse- und Marketing-Tracking genügt grundsätzlich ein Opt-out, wenn klar informiert wird und der Widerspruch gut sichtbar und mit wenigen Klicks möglich ist.

• Eine ausdrückliche Einwilligung (Opt-in) ist nötig, wenn die Bearbeitung für Besucher unerwartet ist, ein Profiling mit hohem Risiko entsteht oder besonders schützenswerte Personendaten betroffen sind.

• Blosses Weitersurfen gilt nicht als Einwilligung.

Wichtig für Server-Side Tracking: Die Regeln knüpfen an den Zugriff auf das Endgerät und an die Personendaten an, nicht an den Ort der Bearbeitung. Ob eine Besucher-ID von einem Google-Skript oder von Ihrem eigenen Server gesetzt wird, ändert nichts an der Informations- und Widerspruchspflicht. Dieser Leitfaden ersetzt keine Rechtsberatung; für die Beurteilung Ihres konkreten Aufbaus ist eine Fachperson für Datenschutz die richtige Ansprechstelle.

Warum brauchen viele Schweizer Shops trotzdem ein Opt-in-Banner?

Aus drei Gründen arbeiten viele Schweizer Shops in der Praxis mit einem Banner nach EU-Standard:

• Kundschaft in der EU: Wer an Personen in der EU verkauft oder seine Werbung dorthin ausrichtet, muss für diese die EU-Regeln einhalten. Dort gilt für Analyse- und Marketing-Tracking das Opt-in-Prinzip.

• Google-Richtlinie: Seit dem 31. Juli 2024 gilt die EU-Einwilligungsrichtlinie von Google auch für Nutzer in der Schweiz. Für die Personalisierung von Werbung, etwa Remarketing, verlangt Google eine gültige Einwilligung, wo das Recht sie vorsieht.

• Profiling: Remarketing über mehrere Plattformen kann je nach Ausgestaltung als Profiling mit höherem Risiko gelten.

Ein sauber konfiguriertes Banner kann Schweizer Besuchern ein Opt-out und Besuchern aus der EU ein Opt-in anzeigen. Ob sich der Aufwand lohnt oder ein einheitliches Opt-in einfacher ist, ist eine bewusste Entscheidung, die Sie dokumentieren sollten.

Was ist der Google Consent Mode?

Der Consent Mode übermittelt den Einwilligungsstatus an die Google-Tags. Für Nutzer im Europäischen Wirtschaftsraum verlangt Google seit März 2024 die Version 2 mit zusätzlichen Signalen für Nutzerdaten und Personalisierung. Für Schweizer Traffic ist das Signal derzeit nicht im selben Mass vorgeschrieben, wird aber empfohlen, weil es Remarketing und Conversion-Modellierung absichert. Es gibt zwei Varianten:

• Basic: Google-Tags laden erst nach der Einwilligung.

• Advanced: Tags laden sofort, senden ohne Einwilligung aber nur cookielose Signale, aus denen Google fehlende Conversions modelliert.

Was gewinnt der Datenschutz durch Server-Side Tracking?

Hier liegt der eigentliche Vorteil. Beim Tracking im Browser übermittelt jedes Skript, was sein Anbieter vorsieht, inklusive IP-Adresse und Browserdaten. Auf dem eigenen Server können Sie:

• IP-Adressen kürzen oder entfernen, bevor Daten an Dritte gehen,

• Personendaten herausfiltern oder nur gehasht übertragen,

• pro Plattform festlegen, welche Parameter sie erhält,

• den Einwilligungs- bzw. Widerspruchsstatus serverseitig auswerten und Tags gar nicht erst auslösen.

Damit setzen Sie die Grundsätze des revDSG, insbesondere Datensparsamkeit und Transparenz, nachweisbar um.

Wo stehen die Server?

Für die Bekanntgabe ins Ausland zählt nach revDSG, ob das Zielland einen angemessenen Datenschutz bietet. Die Staaten der EU gelten als angemessen, deshalb ist ein Tracking-Server in der EU, wie bei TAGGRS, aus Schweizer Sicht unkritisch. Für die USA gilt seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework für zertifizierte Unternehmen. Die Weitergabe an Google, Meta und weitere Plattformen muss in Ihrer Datenschutzerklärung beschrieben sein.

Und der Digital Omnibus der EU?

Er betrifft Schweizer Shops nur, soweit sie in die EU verkaufen. Stand November 2026 ist er noch nicht verabschiedet: Der Rat hat sich im Oktober 2026 auf eine Position geeinigt, in der die Cookie-Regeln in der ePrivacy-Richtlinie bleiben, das Europäische Parlament hat seine Position noch nicht festgelegt. Bis auf Weiteres gilt für EU-Kundschaft das bestehende Recht mit Opt-in für Marketing-Tracking.