Kurz: Ja, Cookiebot gehört in deine Datenschutzerklärung, mit der Usercentrics A/S in Dänemark als Anbieterin und den Daten, die der Banner speichert: Kennung, gekürzte IP-Adresse, Zeitpunkt und Inhalt der Wahl.
Der Banner, der die Einwilligung einholt, bearbeitet selbst Personendaten. Das ist die Pointe, die in fast jeder Erklärung fehlt: Cookiebot speichert, wer wann welcher Kategorie zugestimmt hat, und dafür braucht es eine Kennung des Besuchers und seine gekürzte IP-Adresse.
In meiner Erhebung über 206 Schweizer KMU-Websites (August 2026) lief Cookiebot auf 23 Seiten, also 11%. Es ist damit das meistverbreitete Einwilligungswerkzeug der Stichprobe.
Warum es überhaupt genannt werden muss
Zwei Gründe, und beide sind schlicht:
1. Es ist ein Empfänger. Die Zustimmungsprotokolle liegen beim Anbieter, nicht bei dir.
2. Es läuft vor jeder Einwilligung. Der Banner muss geladen werden, bevor irgendjemand zustimmen kann. Nach Schweizer Recht braucht er dafür keine eigene Rechtsgrundlage, solange die Grundsätze eingehalten sind (Art. 6 revDSG): Er bearbeitet nur, was für die Verwaltung der Wahl nötig ist, und das offen. Gilt für dich zusätzlich die DSGVO, stützt man ihn dort auf das berechtigte Interesse.
Die Einwilligung für den Einwilligungsdienst einzuholen, wäre ein Widerspruch in sich. Genannt werden muss er trotzdem, wie jeder andere Dienst auch: Welche Dienste laufen auf meiner Website?
Was Cookiebot bearbeitet
- Eine Kennung deines Besuchers, damit die Wahl beim nächsten Besuch noch gilt.
- Die gekürzte IP-Adresse und den Zeitpunkt, als Nachweis der Zustimmung.
- Den Inhalt der Wahl, also welche Kategorien zugelassen wurden.
- Die Adresse deiner Seite, auf der die Zustimmung erfolgte.
Die Anbieterin, geprüft
Cookiebot wird von der Usercentrics A/S in Kopenhagen, Dänemark betrieben; diese Angabe liegt mit Quelle und Prüfdatum vor. Dänemark steht auf der Staatenliste des Bundesrats (Anhang 1 DSV) und gilt als angemessen geschützt, zu nennen ist das Land trotzdem. Wo die Zustimmungsprotokolle gespeichert werden und ob weitere Stellen ausserhalb Europas beteiligt sind, habe ich nicht geprüft. Das steht in den Rechtstexten von Usercentrics, und kommt dort ein weiteres Land vor, gehört es in deine Erklärung.
Was ein Banner in der Schweiz leisten muss, und was nicht
Das Schweizer Recht kennt keinen allgemeinen Einwilligungszwang für Cookies, wie ihn die ePrivacy-Richtlinie für die EU vorsieht. Art. 45c FMG verlangt, dass du über Cookies informierst und sagst, wie man sie ablehnen kann. Der EDÖB verlangt in seinem Cookie-Leitfaden zudem, dass diese Ablehnung für nicht notwendige Cookies schon beim ersten Besuch gut sichtbar ist, und für Werbe-Tracking über mehrere Websites, etwa mit dem Meta Pixel, eine ausdrückliche Einwilligung. Wer Personen in der EU gezielt etwas anbietet oder ihr Verhalten mit solchen Diensten beobachtet, fällt zusätzlich unter die DSGVO.
Der häufigere Fehler ist ein anderer: das Banner steht da und blockiert nichts. In meiner Erhebung liefen auf 26% der 206 Seiten Dienste, die nach EU-Recht eine Einwilligung bräuchten, ganz ohne Banner. Ein Banner, das nur informiert und die Dienste trotzdem sofort startet, ist ein Bild und keine Einwilligung. Wann in der Schweiz überhaupt eines nötig ist, steht in Cookie-Banner Schweiz: Pflicht oder nicht?.
So kann der Abschnitt aussehen
Einwilligungsverwaltung
Zur Verwaltung deiner Auswahl setzen wir Cookiebot ein. Gespeichert werden eine Kennung, die gekürzte IP-Adresse, der Zeitpunkt und der Inhalt deiner Wahl. Zweck ist der Nachweis und die Beachtung der getroffenen Auswahl. Anbieterin ist die Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark. Dänemark steht auf der Staatenliste des Bundesrats (Anhang 1 DSV).
Oder zuerst ansehen, wie der Datenschutzerklärung-Generator arbeitet.