Teil 10 unserer Serie zum Datenschutzrecht in der Schweiz
In diesem Teil unserer Serie befassen wir uns mit der Frage, ob Cookies und Tracking-Technologien nach Schweizer Recht einer Einwilligungspflicht unterliegen und – falls ja – wie diese umzusetzen ist.
Allgemeine Informationspflicht
Der Einsatz von Cookies und ähnlichen Technologien in der Schweiz wird durch das Fernmeldegesetz (FMG) sowie – sofern Personendaten betroffen sind – durch das Bundesgesetz über den Datenschutz (DSG) geregelt.
Gemäss Art. 45c FMG ist der Einsatz solcher Technologien zulässig, sofern die Nutzerinnen und Nutzer über die damit verbundene Datenbearbeitung und deren Zweck sowie über die Möglichkeit, dieser Bearbeitung zu widersprechen (d. h. Cookies zu deaktivieren), informiert wurden.
Ob die durch Cookies oder ähnliche Technologien erhobenen Daten als Personendaten gelten, hängt davon ab, ob sich die Daten einer bestimmten Person zuordnen lassen (vgl. Teil 2 unserer Serie). Ist dies der Fall, gelten die Anforderungen des DSG.
Einwilligung und Opt-out-Pflichten
Da private Verantwortliche für die Bearbeitung von Personendaten gemäss DSG keine spezifische gesetzliche Grundlage benötigen (vgl. Teil 4 unserer Serie), sofern die Bearbeitung einem rechtmässigen Zweck dient, verhältnismässig ist und nach Treu und Glauben erfolgt (Art. 6 und 8 DSG), ist der Einsatz von Cookies und ähnlichen Technologien grundsätzlich nicht einwilligungspflichtig.
Allerdings stellt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) in seinem kürzlich veröffentlichten Leitfaden betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien1 klar, dass der Einsatz nicht essenzieller Cookies, also solcher, die nicht technisch notwendig für das einwandfreie Funktionieren der Website sind, gegen das Verhältnismässigkeitsprinzip nach Art. 6 Abs. 2 DSG verstösst – sofern keine rechtliche Rechtfertigung besteht, wie etwa ein überwiegendes berechtigtes Interesse oder eine Einwilligung.
Über dieses Statement lässt sich diskutieren. Der EDÖB empfiehlt jedenfalls, für sämtliche nicht zu erwartenden oder zu Profiling führenden Cookies – etwa für Webanalyse, personalisierte Werbung etc. – eine Einwilligung einzuholen.
Eine ausdrückliche Einwilligung ist gemäss den Richtlinien des EDÖB insbesondere dann erforderlich, wenn besonders schützenswerte Personendaten bearbeitet werden oder wenn Profiling mit hohem Risiko erfolgt, z. B. durch Website-übergreifendes Tracking.
Widerrufsrecht (Opt-out)
Das Recht, der Verwendung von Cookies und ähnlichen Technologien – mit Ausnahme technisch zwingend notwendiger Cookies – jederzeit zu widersprechen, ist sowohl im FMG als auch im DSG verankert und muss den Nutzenden jederzeit gewährt werden, unabhängig davon, ob Personendaten betroffen sind oder nicht.
Vorschau auf Teil 11
In Teil 11 unserer Serie beleuchten wir die Vorgaben und Einschränkungen für grenzüberschreitende Datenbekanntgaben nach dem DSG.
Footnote
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
