Kurze Antwort: Für eine Website, die sich nur an Kundschaft in der Schweiz richtet, verlangt das Recht keinen Einwilligungs-Banner nach EU-Muster. Verlangt ist, dass du über die Bearbeitung informierst und die Möglichkeit gibst, sie abzulehnen. Das ist ein wichtiger Unterschied, und er wird oft übersehen, weil die meisten Anleitungen aus Deutschland stammen.
Es gibt allerdings drei Fälle, in denen eine ausdrückliche Einwilligung trotzdem nötig wird. Der Reihe nach.
Was das Gesetz tatsächlich verlangt
Die einschlägige Bestimmung ist älter als das revDSG. Art. 45c lit. b des Fernmeldegesetzes (FMG) gilt seit 2007 und sagt sinngemäss: Wer Daten auf einem fremden Gerät bearbeitet, muss die Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informieren und sie darauf hinweisen, dass sie die Bearbeitung ablehnen können.
Information plus Ablehnungsmöglichkeit, also ein Widerspruchsmodell. Eine vorherige Zustimmung ist dort nicht gefordert.
Das revDSG hat daran nichts geändert. Es enthält keine allgemeine Pflicht zu einem Einwilligungs-Banner. Wer etwas anderes behauptet, verwechselt es meistens mit der DSGVO.
Wann doch eine ausdrückliche Einwilligung nötig ist
Drei Fälle, und in jedem davon reicht ein blosser Hinweis nicht mehr.
1. Besonders schützenswerte Personendaten. Gesundheit, Religion, politische Ansichten, Gewerkschaftszugehörigkeit, genetische und biometrische Daten. Wer solche Daten über Cookies oder Tracking bearbeitet, braucht die ausdrückliche Einwilligung (Art. 6 Abs. 7 revDSG).
2. Profiling mit hohem Risiko. Also eine automatisierte Auswertung, aus der sich wesentliche Aspekte der Persönlichkeit beurteilen lassen. Bei umfangreichem Werbe-Tracking über mehrere Seiten hinweg kommt man diesem Fall näher, als vielen bewusst ist.
3. Die DSGVO gilt zusätzlich. Das ist in der Praxis der häufigste Grund. Sobald du dich gezielt an Kundschaft in der EU richtest, gilt neben dem revDSG auch die DSGVO, und dann brauchst du für nicht notwendige Cookies eine vorherige Einwilligung.
Wann richtest du dich an die EU?
Nicht schon dadurch, dass deine Seite in der EU abrufbar ist. Es geht um das Ausrichten. Anzeichen dafür:
- Preise in Euro
- Lieferländer in der EU zur Auswahl
- Werbung, die sich an EU-Kundschaft richtet
- Sprachen, die auf ein EU-Publikum zielen
Ein Schweizer Shop, der nur in die Schweiz liefert und in Franken abrechnet, richtet sich nicht an die EU.
Was das für dich praktisch heisst
Nur Schweiz, keine besonderen Daten, kein Hochrisiko-Profiling: Ein Hinweis mit Ablehnungsmöglichkeit genügt, dazu eine Datenschutzerklärung, die die eingesetzten Dienste tatsächlich nennt.
Sobald du in die EU verkaufst: Einwilligung vorher einholen, mit echter Wahl und ohne vorausgewählte Häkchen.
Im Zweifel: Der aufwendigere Weg ist nie falsch. Ein Einwilligungs-Banner ist auch für eine reine Schweizer Seite zulässig, er kostet dich nur ein paar Prozent Messdaten.
Der Punkt, den alle übersehen
Ein Banner ersetzt die Datenschutzerklärung nicht.
Egal welches Modell du wählst: du musst über die eingesetzten Dienste informieren, mit Zweck, Empfänger und, bei Übermittlung ins Ausland, mit Staat und Grundlage. Ein Banner, der auf eine Erklärung verweist, in der die Hälfte der laufenden Dienste fehlt, erfüllt seinen Zweck nicht.
Genau das ist der häufigste Zustand: In meiner Erhebung über 206 Schweizer Websites lief bei 103 der 141 Seiten mit Erklärung mindestens ein Dienst, den sie nicht nannte. Ein Banner davor ändert daran nichts.
Was ich mache und was nicht
Ich liefere kein Cookie-Banner. Dafür gibt es eigene Werkzeuge, die das besser können.
Ich prüfe, ob auf deiner Seite ein Banner erkennbar ist und ob die Dienste, die eine Einwilligung brauchen könnten, in deiner Erklärung stehen. Und ich schreibe die Erklärung so, dass sie zu deiner Seite passt, mit Banner oder ohne.