Ein korrekt konfiguriertes Cookie-Banner ist heute eher die Ausnahme als die Regel. Laut einer im März 2025 veröffentlichten Studie, die die 10 000 meistbesuchten Websites in 31 Ländern untersucht hat, sind nur 15 % der Einwilligungsschnittstellen minimal konform — hauptsächlich weil die Ablehnungsoption keine echte Wirkung hat: Man klickt auf „Ablehnen”, wird aber trotzdem getrackt. Bei biskoui arbeiten wir genau daran, das zu ändern.
Im November 2025 verhängte die französische Datenschutzbehörde (CNIL) eine Geldstrafe von 750 000 € gegen den Herausgeber von Vanity Fair Frankreich wegen Mängeln bei der Cookie-Einwilligung. Die Art dieser Verstösse ist aufschlussreich: Es sind genau die Fehler, die auf vielen Schweizer Websites zu finden sind — und die das revDSG und das FMG gleichermassen untersagen.
Der Fall Vanity Fair: Was ist passiert?
Die CNIL-Entscheidung SAN-2025-010 (17. März 2026) stützt sich auf mehrere Online-Kontrollen, die zwischen Juli 2023 und Februar 2025 auf vanityfair.fr durchgeführt wurden. Sie identifiziert vier eigenständige Verstösse.
1. Cookies vor jeder Einwilligung gesetzt
Sobald ein Nutzer die Website aufrief, wurden Werbe-Cookies — darunter Googles NID-Cookie zur Anzeigenpersonalisierung — auf seinem Endgerät gesetzt, bevor er überhaupt mit dem Banner interagiert hatte. Die Einwilligung muss dem Setzen von Cookies vorausgehen. Das war nicht der Fall.
2. Irreführende Informationen zur Cookie-Kategorisierung
Bestimmte Funktionen des Transparency and Consent Framework (TCF) der IAB Europe — darunter geräteübergreifende Datenzusammenführung — wurden als „immer aktiv” dargestellt, was den Eindruck erweckte, sie seien für den Betrieb der Website unbedingt erforderlich. Das waren sie nicht. Nutzer konnten keine informierte Entscheidung treffen.
3. Ablehnung ohne reale Wirkung
Nutzer, die „Alles ablehnen” wählten, stellten fest, dass Werbe- und Video-Analyse-Cookies weiterhin gesetzt wurden. Ein „Ablehnen”-Button, der nichts ablehnt, ist kein Einwilligungsmanagement — es ist Täuschung.
4. Widerruf der Einwilligung ignoriert
Selbst nach dem Widerruf der Einwilligung wurden bereits auf dem Endgerät vorhandene Cookies weiterhin vom Dienst ausgelesen. Die CNIL stellt klar: Die Pflicht, den Widerruf zu respektieren, gilt nicht nur für das Setzen neuer Tracker, sondern auch für das Lesen bereits gespeicherter Cookies — einschliesslich First-Party-Cookies.
Was das Schweizer Recht verlangt
In der Schweiz regeln mehrere Rechtsgrundlagen den Einsatz von Cookies und verpflichten Website-Betreiber zu konkreten Massnahmen.
Das revDSG und seine allgemeinen Grundsätze
Das revidierte Bundesgesetz über den Datenschutz (revDSG) legt drei Grundsätze fest, die auf die Cookie-Verarbeitung anwendbar sind:
- Rechtmässigkeit und Treu und Glauben (Art. 6 revDSG): Ein Mechanismus, der eine Wahlmöglichkeit simuliert, ohne deren Wirkungen zu respektieren, verstösst gegen den Grundsatz von Treu und Glauben.
- Informationspflicht (Art. 19 revDSG): Nutzer müssen transparent über die Zwecke der Datenverarbeitung informiert werden.
- Einwilligung (Art. 31 revDSG): Soweit erforderlich, muss die Einwilligung freiwillig, spezifisch und informiert erfolgen — was voraussetzt, dass eine Ablehnung tatsächliche Wirkungen entfaltet.
Artikel 45c FMG
Artikel 45c Buchstabe b des Fernmeldegesetzes (FMG) sieht ausdrücklich vor, dass Nutzer über die Datenverarbeitung mittels Fernmeldetechnik — einschliesslich Cookies — sowie deren Zweck informiert werden müssen und die Möglichkeit haben müssen, sich dagegen zu wehren.
Der EDÖB-Leitfaden (Januar 2025)
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat eine aktualisierte Version seines Leitfadens zur Cookie-Verarbeitung veröffentlicht. Er betont drei Punkte:
- Die Notwendigkeit transparenter Information über die Verarbeitungszwecke (Abschnitt 3.3.1)
- Die Unterscheidung zwischen unbedingt notwendigen und nicht notwendigen Cookies, die nicht auf denselben Rechtsgrundlagen gerechtfertigt werden können (Abschnitte 3.5.2 und 3.6)
- Die konkreten Modalitäten des Einwilligungswiderrufs, einschliesslich der effektiven Löschung bereits gesetzter Tracker (Abschnitte 3.9 und 3.12.7)
Die Compliance bemisst sich am tatsächlichen Funktionieren, nicht an der blossen Existenz eines Banners. Ein Mechanismus, der dem Nutzer formell erlaubt, seine Einwilligung zu verweigern, während er weiterhin Tracker auf dem Endgerät ausliest, ist vor dem Grundsatz von Treu und Glauben im Sinne des revDSG nicht vertretbar.
Die 4 Fehler, die Sie auf Ihrer Schweizer Website vermeiden sollten
| Fehler | Risiko |
|---|---|
| Drittanbieter-Skripte vor der Einwilligung laden | Rechtswidrige Verarbeitung ab dem ersten Besuch |
| Nicht notwendige Cookies als obligatorisch darstellen | Verletzung der Informationspflicht (Art. 19 revDSG) |
| Verarbeitung nach „Ablehnen” nicht stoppen | Fiktive Einwilligung, entgegen Art. 6 revDSG |
| Verarbeitung nach Widerruf nicht einstellen | Rechtswidrige Fortführung der Datenverarbeitung |
Warum eine gut konfigurierte CMP den Unterschied macht
Die meisten dieser Verstösse sind nicht das Ergebnis böser Absicht: Sie entstehen durch fehlerhafte technische Umsetzung. Ein schlecht konditionierter Google Analytics-Tag, ein Video-Skript, das ohne Einwilligungsprüfung geladen wird, ein First-Party-Cookie, das beim Widerruf nicht gelöscht wird — das sind häufige Fehler, die für das Auge unsichtbar sind, aber in den Protokollen sehr real existieren.
Eine korrekt konfigurierte CMP (Consent Management Platform) löst diese Probleme an der Wurzel:
- Keine Verarbeitung vor der Einwilligung: Kein Drittanbieter-Skript wird ausgeführt, bevor der Nutzer seine Wahl getroffen hat.
- Ablehnung respektiert: Bedingte Verarbeitungen starten ohne Einwilligung nicht.
- Widerruf durchgesetzt: Eine Änderung der Präferenzen stoppt die betreffenden Verarbeitungen sofort.
- Strukturierte Information: Jeder Zweck wird klar dargestellt, ohne Vermischung mit notwendigen Funktionen.
Genau das bietet biskoui: eine 100% Schweizer CMP, gehostet auf einer ISO 27001-zertifizierten Cloud, konzipiert zur Erfüllung der Anforderungen des revDSG, des FMG und des EDÖB-Leitfadens.