Leitfaden des EDÖB betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien

Datenschutz

Aa

Leitfaden des EDÖB betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien 22. Januar 2025 mit Ergänzung vom 6. Oktober 2025

Version Datum Beschreibung 1.0 22.01.2025 Erste finalisierte Version 1.1 06.10.2025 Ergänzung Fussnote 5, Ergänzung eines Satzes im Absatz 3 in Ziff. 3.1.2, Ergänzung im letzten Satz von Ziff. 3.2.2, Präzisierende Ergänzungen und Anpassungen in Ziff. 3.5.2, Präzisierende Ergänzungen in Ziff. 3.6, Ergänzung in Ziffer 3.8.1, Ergänzung eines Verweises im letztem Satz des ersten Absatzes in Ziff. 3.9, Präzisierende Ergänzungen in Ziff. 3.10.1, Ergänzungen und Präzisierung in Ziff. 3.11.1, Präzisierung erster Satz in Ziff. 3.11.3 betr. eingebettete Dritte, Ergänzung eines zweiten Absatzes in Ziff. 3.12.3, Präzisierung in Ziff. 3.12.4. betreffend Gratisdienstleistungen und Cookie Paywalls.

1 Begrifflichkeiten

1.1 Cookies und ähnliche Technologien

Cookies sind kleine Textdateien, welche die Betreiber von Webseiten und von diesen ermächtigte Dritte auf den Rechnern der Webseitenbesuchenden speichern, um dort anfallende Nutzerdaten einer weiteren Bearbeitung zur Erfüllung spezifischer Funktionalitäten z.B. von Onlineshops zugänglich zu machen.

Aufgrund des Kriteriums der Speicherdauer lässt sich der Einsatz von Cookies wie folgt differenzieren: «Session» Cookies werden zeitlich begrenzt im Browser gespeichert und nach dem Schliessen des Browsers automatisch gelöscht. Permanente Cookies werden für eine längere Zeit im Browser gespeichert, um beispielsweise eine Wiedererkennung der Webseitenbesucherin oder des Webseitenbesuchers zu ermöglichen.

Cookies können auch unterschiedliche Funktionalitäten erfüllen. Beispielsweise kann ein Cookie die Spracheinstellung, einen Login oder, nach einem Webshop-Besuch, die ausgewählten Produkte im Warenkorb speichern. Cookies werden auch für sogenanntes «stateful tracking» verwendet: Dabei wird beim Client-Browser ein «Identifier» lokal gespeichert und zu einem späteren Zeitpunkt vom Anbieter abgerufen, so dass das Endgerät bei einem späteren Besuch wiedererkannt werden kann und somit Informationen über das Nutzerverhalten der Webseitenbesucher gesammelt werden können. Auf diese Weise ist es möglich, den Datenverkehr auf einer Webseite zu analysieren und den Inhalt und die Werbung auf einer Webseite zu personalisieren.

Unterscheiden lassen sich auch Cookies, die von einem Webseitenanbieter selbst gesetzt werden (sog. «First-Party Cookies»), von solchen, die nicht vom Webseitenanbieter selbst, sondern von Dritten, wie zum Beispiel Werbetreibenden, eingesetzt werden (sog. «Third-Party-Cookies»). Im ersten Fall findet eine Datenübertragung zwischen dem System des Webseitenbetreibers und dem Endgerät des Nutzers statt. Im zweiten Fall werden beim Aufruf der Webseite durch den Nutzer Datensätze von Dritten im Browser des Nutzers abgelegt. Es findet also im eigentlichen Sinne keine Übermittlung von Daten durch den Webseitenbetreiber an Dritte statt, sondern Dritte beschaffen sich auf Veranlassung des Webseitenbetreibers selbst Daten bei der betroffenen Person. Ruft ein Nutzer sodann Inhalte auf einer anderen Domain auf und ist derselbe Dritte eingebunden, wird er wiedererkannt. In vielen Fällen reichern Dritte die durch die Cookies beschafften Informationen mit weiteren Informationen an, die sie direkt bei den Nutzenden bei der Verwendung ihrer Dienste gesammelt haben oder welche noch andere Dritte ihnen zur Verfügung gestellt haben, so dass umfassende Nutzerprofile über Domaingrenzen hinweg erstellt werden können.

Die Erfassung und die Auswertung von Daten über das Surfverhalten werden gebräuchlicherweise als «Tracking» bezeichnet. Ein solches beruht allerdings nicht immer auf dem Einsatz von Cookies. Bei sogenanntem «stateless tracking» erfolgt keine Speicherung von Informationen auf dem Endgerät der Nutzer. Vereinfacht gesagt, erfolgt die Datensammlung und -auswertung diesfalls nicht über den Browser der Nutzer, sondern über den Server. Solche Tracking-Technologien wie «Browser- Fingerprinting», «ID-Graph», «User-ID», «ETags», «Pixel» oder «Authentifikation-Cache» werden in diesem Leitfaden unter dem Begriff «ähnlichen Technologien» subsumiert. Auch werden

Datenbearbeitungen im Zusammenhang mit der Einbindung von Drittdiensten wie «Like- und Share- Buttons» von sozialen Onlineplattformen in diesem Leitfaden als «ähnliche Technologien» bezeichnet.

1.2 Personentracking und Profiling

Personenbezogenes «Tracking» bezieht sich auf das Erfassen und Auswerten des Surfverhaltens von Personen, wobei die gewonnenen Daten zum Beispiel im Zusammenhang mit Webseitenanalysen für Optimierungszwecke eingesetzt werden. So als Grundlage für Performanceauswertungen von Internetseiten oder im Zusammenhang mit Onlinewerbung und Marketingkampagnen. Tracking kann als Ausgangspunkt dienen, um den Endnutzern basierend auf den erstellten Nutzungsprofilen personalisierte Werbeangebote auszuspielen. Je umfassender das Tracking gestaltet ist, desto mehr können die beworbenen Inhalte auf individuelle Personen zugeschnitten werden. Dabei wird von der Logik ausgegangen, dass die eingesetzten algorithmischen und selbstlernenden Computerprogramme die Vorlieben der Nutzenden umso besser voraussagen, je mehr Daten über diese verfügbar sind. Deshalb werden die Angaben über das Surfverhalten oft mit weiteren Informationen aus anderen Quellen (z.B. Social Media oder sonstige besuchte Webseiten) oder mit maschinell errechneten Prognosen oder Angaben angereichert, wodurch ein Profil der Nutzer entstehen kann («Profiling»). 1

Von einem Profiling ist gemäss Art. 5 lit. f DSG auszugehen, wenn ein Personentracking darauf abzielt, bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

Führt ein Personentracking zu einem Profiling mit einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person i.S.v. Art. 5 lit. g. DSG, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt, sind die Verantwortlichen gehalten, die Einleitung besonderer Schutzmassnahmen wie z.B. die Erstellung einer Datenschutz-Folgenabschätzung nach Art. 22 DSG zu prüfen (s. Ziff. 3.10.1).

2 Rechtsquellen

2.1 Vorgaben des Fernmeldegesetzes

Hinsichtlich der Verwendung von Cookies in Apps und Webseiten gilt es zu beachten, dass das Fernmeldegesetz (FMG; SR 780.10) bezüglich deren Speicherung auf Endgeräten wie Smartphones oder Personal Computern in Art. 45c eine Spezialregelung enthält, die schon seit dem 1. April 2007 in Kraft ist.

Diese Bestimmung im FMG bezieht sich auf die technischen Prozesse zum Setzen, Auslesen und Speichern von Cookies. Da diese Prozesse die Integrität von Endgeräten beeinträchtigen, indem sie unbemerkt mit anderen Rechnern Daten austauschen, zielt die Bestimmung von Art. 45c FMG darauf ab, die Privatsphäre und informationelle Selbstbestimmung der Benutzenden solcher Endgeräte zu schützen. Art. 45c FMG stellt m.a.W. eine spezialgesetzliche, öffentlich-rechtliche Norm für ansonsten unbemerkte «telekommunikative» Vorgänge dar 2, die als Norm des speziellen Datenschutzrechts des Bundes kumulativ zum allgemeinen Datenschutzrecht im DSG einzuhalten ist. 3

Art. 45c lit. b FMG stellt sicher, dass jede Datenbearbeitung auf fremden Geräten entweder der fernmeldetechnischen Übertragung dient oder, falls das nicht der Fall ist, durch die Benutzerinnen und Benutzer der Geräte kontrolliert werden kann. 4 Webseitenbetreiber sind gemäss Art. 45c FMG

Müller-Peltzer Philipp/Guttmann Philipp, „State of the art“ Webtracking – aktuelle Entwicklungen, aufsichtsbehördliche und gerichtliche Positionen, DSB 2023 S. 233. Botschaft zur Änderung des Fernmeldegesetzes vom 12. November 2003, BBl 2003 7951, S. 7987. Vgl. auch BVGer Urteil A-3548/2018 vom 19. März 2019, E. 5.4. Botschaft zur Änderung des Fernmeldegesetzes vom 12. November 2003, BBl 2003 7951, S. 7987.

verpflichtet 5, die Seiten-Besuchenden über den Einsatz von entsprechenden Technologien zu informieren und dabei die jeweiligen Zwecke zu nennen. Ausserdem muss darauf hingewiesen werden, dass und wie die betroffenen Personen die entsprechende Bearbeitung ablehnen können. Wie und in welcher Form die betroffenen Personen informiert werden sollen, lässt die Bestimmung offen und muss nach Massgabe des DSG konkretisiert werden (s. Ziff. 3.7.1, Ziff. 3.10.4 sowie Ziff. 3.11.1 bis Ziff. 3.12.8).

2.2 Vorgaben des DSG

Das DSG regelt sämtliche Aspekte von Personendatenbearbeitungen, die unter Einsatz von Cookies und ähnlichen Technologien erfolgen. Die Vorgaben des DSG, inklusive ihres Regelungsverhältnisses zur Spezialbestimmung von Art 45c FMG 6, sind Gegenstand dieses Leitfadens.

3 Datenschutzrechtliche Vorgaben des Cookie-Einsatzes

3.1 Bezug der Datenbearbeitung zu natürlichen Personen

3.1.1 Personenbezug im Allgemeinen

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). Eine natürliche Person ist bestimmt oder mindestens bestimmbar, wenn sich ihre Identität unmittelbar aus den Daten selbst ergibt oder wenn sich ihre Identität aus dem Kontext der Daten oder durch Kombination mit anderen Daten ergibt. 7 Auf welche Weise der Bezug zur betroffenen Person, mithin die Identifizierung, hergestellt wird, wie etwa anhand eines Schlüssels, einer AНV- Nummer, eines Aktenzeichens oder auch einer Kundennummer, ist grundsätzlich ohne Bedeutung. 8

Gemäss bundesgerichtlicher Rechtsprechung («Logistep-Urteil» 9) ist eine Person «bestimmt», wenn sich aus der Information selbst ergibt, dass es sich genau um diese Person handelt. «Bestimmbar» ist eine Person, wenn aufgrund zusätzlicher Informationen auf sie geschlossen werden kann, wobei nicht jede theoretische Möglichkeit der Identifizierung genügt. Ist der Aufwand derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor. 10 Die Frage, ob eine Bestimmbarkeit vorliegt, ist somit abhängig vom konkreten Fall zu beantworten, wobei insbesondere auch die Möglichkeiten der Technik mitzuberücksichtigen sind. Von Bedeutung ist indessen nicht nur, welcher Aufwand objektiv erforderlich ist, um eine bestimmte Information einer Person zuordnen zu können, sondern auch, welches Interesse der Datenbearbeiter oder ein Dritter an der Identifizierung hat. 11 Dieses Interesse kann sich im Laufe der Zeit ebenso ändern wie die Mittel, die dem Datenbearbeiter oder einem Dritten zur Identifikation zur Verfügung stehen. Eine Person kann mit anderen Worten für bestimmte Menschen oder Stellen aufgrund deren (Zusatz-) Wissens oder aufgrund deren Möglichkeit, auf weitere Informationen zu greifen, bestimmbar sein, während dies für andere, die nicht über dieses (Zusatz-) Wissen oder diese Möglichkeiten verfügen, nicht zutreffen mag 12. Im Falle der Weitergabe von Informationen zwischen einem Datenbearbeiter A, der die Daten nicht mit vertretbarem Aufwand einer Person zuordnen kann, und einem Datenempfänger B, der mit zusätzlichen Informationen die Person zu identifizieren vermag, gelangt das DSG zur Anwendung. Dies sowohl für Datenempfänger B als auch für Datenbearbeiter A. Anders zu entscheiden, so das Bundesgericht, «würde bedeuten, das Datenschutzgesetz nur auf die

Vorsätzliche oder fahrlässige Verletzungen dieser Bestimmung werden gemäss Art. 53 FMG mit Busse bis zu CHF 5'000 geahndet. Vgl. auch BVGer Urteil A-3548/2018 vom 19. März 2019, E. 5.4. Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7019. GABOR-PAUL BLECHTA, in: BLECHTA/VASELLA (Hrsg.), Basler Kommentar, Datenschutzgesetz / Öffentlichkeitsgesetz, Art. 3 DSG N. 10. BGE 136 II 508 E. 3.2 ff. Botschaft zum Bundesgesetz über den Datenschutz vom 23. März 1988, BBl 1988 II 413, S. 444 f. sowie Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7019. BGE 136 II 508 E. 3.2 ff. Vgl. BGE 136 II 508, E. 3.4.; BEAT RUDIN, in: BAERISWYL/PÄRLI/BLONSKI (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Auflage, Art. 5 N 11 f.

einzelnen Empfänger anzuwenden, nicht aber auf die Person, welche die betreffenden Daten beschafft und sie verbreitet. Dies würde dem Zweck des Gesetzes zuwiderlaufen.» 13.

Nicht mehr bestimmbar ist hingegen eine Person, wenn Personendaten anonymisiert worden sind. Anonymisiert bedeutet, dass der Personenbezug irreversibel so aufgehoben wird, dass ohne unverhältnismässigen Aufwand keine Rückschlüsse auf Personen mehr möglich sind.

3.1.2 Personenbezug durch Einsatz von Cookies

Ob und inwieweit sich bei der Bearbeitung von Daten durch den Einsatz von Cookies oder vergleichbaren Technologien ein Personenbezug ergibt oder ein solcher verstärkt wird, hängt von den Umständen des Einzelfalls ab. So insbesondere auch, welche Informationen Cookies übertragen und mit welchen anderen Daten sie kombiniert werden. Ein Personenbezug kann einerseits vorliegen, wenn die bearbeitete Information selbst ein identifizierendes Merkmal besitzt (z.B. die eindeutige Benutzererkennung UID für Android- oder Ad-ID für Apple-Geräte) 14. Andererseits kann sich ein Personenbezug aufgrund der Umstände der Erhebung und späterer Auswertung der Daten durch den Webseitenbetreiber oder Dritte ergeben, auch wenn bei der Erhebung noch keine identifizierenden Informationen vorlagen, und es sich somit (zunächst) nur um Sachdaten handelte.

Ein Personenbezug ist spätestens dann erstellt, wenn der Webseiteninhaber oder eingebundene Drittdienste Sachdaten aufgrund eines Logins 15 oder vergleichbarer Online-Kennungen mit spezifischen und identifizierenden Angaben in Verbindung bringen können. So z.B., wenn der Besucher beim erstmaligen Aufruf einer Webseite eine Sprachauswahl vornimmt. Diesfalls wird auf seinem Endgerät ein Cookie samt der Information hinterlegt, dass er die Webseite in der gewählten Sprache verwenden will. Sofern diese Information nicht mit dem Besucher der Webseite in Verbindung gebracht werden kann, gelten die mittels dieser Textdatei bearbeiteten Daten nicht als Personendaten. Sofern der Webseitenbetreiber die Spracheinstellung mit einem bestimmten Besucher in Verbindung bringen kann, zum Beispiel, weil er sich vor- oder nachher im Onlineshop der Webseite registrierte, müssen die Daten als Personendaten gelten 16.

Werden Datensätze einer Person zum alleinigen Zweck gekennzeichnet, diese innerhalb eines Informationssystems eindeutig zu erkennen, ohne dass ihnen identifizierende Merkmale einer natürlichen Person zugeordnet werden, spricht man von einer sog. Singularisierung. Ob und inwieweit solche Bearbeitungen einen Personenbezug herstellen, lassen Lehre 17 und Rechtsprechung 18 noch weitgehend offen und hängt vom Bearbeitungskontext im konkreten Einzelfall ab. Von einer hohen Wahrscheinlichkeit einer Identifizierung von Personen ist in der Praxis namentlich bei der Erhebung von Standortdaten auszugehen, wenn diese Bearbeitung zu Bewegungsprofilen führt. Werden durch

BGE 136 II 508 E. 3.4. S. Schlussbericht des EDÖB vom 11. April 2024 in Sachen Ricardo AG und TX Group, Ziff. 128: https://www.edoeb.admin.ch/de/nsb?id=102867 Zur Bedeutung von Kundenkonti s. Schlussbericht des EDÖB vom 15. April 2024 in Sachen Digitec Galaxus AG, Ziff. 85: Österreichische Datenschutzbehörde, FAQ Datenschutz & Cookies: https://dsb.gv.at/faq/datenschutz-cookies Kritisch: David Rosenthal, Das neue Datenschutzgesetz, in: Jusletter 16. November 2020, derselbe in digma, Heft 4, Dezember 2017; befürwortend aber DSB in Sachen Google Analytics https://noyb.eu/sites/default/files/2022-04/Bescheid%20geschwärzt.pdf; Teilbescheid der österreichischen Datenschutzbehörde, GZ: D155.027 2021-0.586.257, vom 22. Dezember 2021, in Sachen «Google Analytics», D.2. Spruchpunkt 2. a) und b). S. auch Philip Glass, Identifizierung und Singularisierung, www.datalaw.ch, Rz. 9 f. (https://www.datalaw.ch/singularisierung-und-identifizierung/; Stand: 11. Juli 2024). In BGE 136 II 508 in Sachen Logistep brachte das Bundesgericht in E. 3.6 zum Ausdruck, dass seine Auslegung des Begriffs des Personendatum nach dem DSG in Einklang mit der damaligen Rechtslage in der Europäischen Union zu stehen schien, indem es auf die Stellungnahme 4/2007 vom 20. Juni 2007 des unabhängigen EU-Beratungsgremiums für Datenschutzfragen (Artikel-29- Datenschutzgruppe) verwies. Vgl. S. 16 der zit. Stellungnahme 4/2007 : «An diesem Punkt ist anzumerken, dass Personen in der Praxis zwar überwiegend anhand ihres Namens identifiziert werden, ein Name zur Identifizierung einer Person jedoch keineswegs immer notwendig ist. Beispielsweise kann eine Person anhand anderer „Kennzeichen“ singularisiert werden. So ordnen rechnergestützte Dateien zur Erfassung personenbezogener Daten den erfassten Personen gewöhnlich ein eindeutiges Kennzeichen zu, um Verwechslungen zwischen zwei Personen in der Datei auszuschliessen. Auch im Internet kann das Verhalten eines Geräts und somit des Gerätenutzers mit Hilfe von Überwachungswerkzeugen für den Internetverkehr problemlos identifiziert werden. Dadurch entsteht Stück für Stück ein Bild von der Persönlichkeit der Person, der bestimmte Entscheidungen zugeschrieben werden können. Die Person kann also ohne Kenntnis ihres Namens und ihrer Adresse anhand

sozioökonomischer, psychologischer, philosophischer oder sonstiger Kriterien kategorisiert und mit bestimmten Entscheidungen in Zusammenhang gebracht werden, da der Kontaktpunkt der Person (Computer) die Offenlegung ihrer Identität im engeren Sinn nicht mehr zwingend erfordert. Mit anderen Worten setzt die Identifizierbarkeit einer Person nicht mehr die Kenntnis ihres Namens voraus. In der Definition für personenbezogene Daten spiegelt sich dies wider.»

Letztere Orte regelmässigen Verweilens wie Geschäftslokalitäten oder Wohnungen erkennbar, lassen sich Rückschlüsse auf reale Identitäten bestimmter Personen ziehen. 19

Der EDÖB rät, in Zweifelsfällen, in denen sich bei einer Verwendung von Cookies nicht mit hinreichender Bestimmtheit abschätzen lässt, ob eine Identifikation von Personen mit verhältnismässigem Aufwand möglich ist oder möglich werden könnte, von einer potenziellen Bearbeitung von Personendaten auszugehen. Wenn eine schwer abschätzbare Identifikation darüber hinaus für die Betroffenen mit hohen Risiken verbunden sein könnte, empfiehlt der EDÖB den Verantwortlichen zu prüfen, ob die betreffende Bearbeitung und der damit verbundene Einsatz von Cookies einer Datenschutz- Folgenabschätzung unterzogen werden sollte (s. Ziff. 3.10.1).

3.2 Verantwortlichkeit

Nach Art. 5 lit. j DSG gilt als datenschutzrechtlich verantwortlich, wer allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet.

Im Rahmen des Webauftritts ist der Inhaber der Webseite für den Einsatz von Cookies verantwortlich, weil er bestimmt, welche Daten zu welchem Zweck über seine Webseite bearbeitet werden. Als Verantwortlicher hat er insbesondere dafür zu sorgen, dass die Bearbeitungsgrundsätze nach Art. 6 und

8 DSG eingehalten und die betroffenen Personen angemessen über die Datenbearbeitung informiert

werden (s. Ziff. 3.3 und 3.5.1).

Bindet ein Webseiteninhaber Drittdienste in seine Webseite ein, gilt es hinsichtlich seiner Verantwortlichkeit zu unterscheiden, ob er die Drittdienste im Sinne einer Auftragsdatenbearbeitung («Outsourcing») gemäss Art. 9 DSG einsetzt, oder ob Dritte die auf der Webseite eingebetteten Dienste einsetzen, um Daten (auch) für ihre eigene Zwecke zu beschaffen.

3.2.1 Auftragsdatenbearbeitung

Bei der Auftragsdatenbearbeitung («Outsourcing») i.S.v. Art. 9 DSG überträgt der Verantwortliche die Bearbeitung von Personendaten an einen Dritten. Dabei soll die Informationsbearbeitung Hauptzweck oder mindestens zentraler Bestandteil des Vertragsverhältnisses bilden. Ein Auftragsdatenbearbeiter bearbeitet Personendaten im Auftrag des Verantwortlichen und nicht für eigene Zwecke. Es besteht zwischen dem den Auftrag erteilenden Verantwortlichen und seinem Auftragsdatenbearbeiter ein «Innenverhältnis», somit stellt die Datenübermittlung an einen Auftragsdatenbearbeiter keine Bekanntgabe von Personendaten an Dritte dar 20. Für die Übertragung der Datenbearbeitung braucht der Verantwortliche deshalb keinen speziellen Rechtfertigungsgrund. Erforderlich ist aber ein Vertrag oder eine gesetzliche Grundlage und die Einhaltung der weiteren Voraussetzungen von Art. 9 DSG 21.

3.2.2 Datenbeschaffung durch Dritte

Werden beispielsweise Social Plug-Ins von Plattformen wie Facebook, X oder Instagram oder Videos von Plattformen wie YouTube eingebunden, können Webseitenbetreiber gewisse Funktionalitäten von sozialen Netzwerken auf ihren eigenen Webseiten nutzen. Durch die Einbindung von Drittprodukten wird der Browser des Besuchers der betreffenden Webseite veranlasst, Inhalte des Anbieters anzufordern und hierzu Personendaten des Besuchers an den Drittanbieter zu übermitteln. In dieser Konstellation der eingebetteten Dienste, bearbeiten Dritte die beschafften Personendaten zu eigenen Zwecken und damit in eigenen Interessen. Gemäss Art. 19 DSG müssen Beschaffungen von Personendaten sowohl vom Webseitenbetreiber als auch von Dritten gegenüber den Betroffenen offengelegt werden. Letztere müssen den Betroffenen gemäss Abs. 3 dieser Bestimmung auch die Kategorien der Personendaten mitteilen, die sie über das Setzen von Cookies auf einer fremden Webseite über sie beschaffen. Diese

Die Bewegungsprofile können wiederum durch Auswertung von wiederholt aufgesuchten Orten wie z.B. Drittwohnungen oder Arzt- und Anwaltspraxen sensible Rückschlüsse auf deren Intimsphäre führen und auch die Privatsphäre Dritter beeinträchtigen. Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7023. Weiterführende Informationen auf unserer Webseite: Outsourcing (Auftragsdatenbearbeitung)

Informationen erlauben den Webseitenbesuchern sodann, das ihnen nach Art. 45c FMG zustehende Recht auszuüben und die Bearbeitung abzulehnen (s. Ziff. 2.1).

Art. 5 lit. j DSG fasst die Verantwortlichkeit insofern weit, als der Entscheid über die eingesetzten Mittel oder den Zweck der Bearbeitung von mehreren Verantwortlichen gemeinsam getroffen werden kann. Der Dritte ist zunächst für seine Datenbearbeitung verantwortlich, da er aus Eigeninteresse auf die Bearbeitung von personenbezogenen Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Bearbeitung mitwirkt. Der Webseiteninhaber wiederum ermöglicht die Datenbeschaffung des Dritten erst mit der Einbindung des Drittdienstes auf seiner Webseite (Mittel), auch wenn er auf die nachgelagerte Datenbearbeitung keinen oder nur geringen Einfluss hat. Daraus folgt, dass für den Prozess der Datenbeschaffung des Dritten (als Bearbeitung im Sinne von Art. 5 lit. d DSG) mittels der Webseite von einer gemeinsamen oder geteilten Verantwortlichkeit auszugehen ist 22.

Da der Webseitenbetreiber die Kontrolle darüber hat, welche Drittdienste eingebaut werden, kann er nicht davon ausgehen, dass seine Verantwortung dort aufhört, wo die Nutzungsbedingungen der Dritten gelten. Er trägt die Verantwortung, die Internetseite datenschutzkonform zu gestalten. Er muss sich folglich über die Datenbearbeitung der eingebundenen Drittdienste in Kenntnis setzen und sicherstellen, dass die Anforderungen des Gesetzes eingehalten werden. Namentlich hat der Webseitenbetreiber sicher zu stellen, dass gegenüber den betroffenen Webseitenbesuchern sämtliche Informationspflichten erfüllt und gegebenenfalls hinreichend bestimmte Einwilligungen eingeholt werden (s. Ziff. 3.10.1 und 3.12.3).

3.3 Allgemeine Informationspflichten

3.3.1 Inhalt und Form der Information

Gemäss dem Einleitungssatz von Art. 19 Abs. 2 DSG müssen der betroffenen Person all diejenigen Informationen mitgeteilt werden, die erforderlich sind, damit sie ihre Rechte nach dem DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Art. 19 Abs. 2 lit. a - c sowie die Absätze 3 und 4 DSG konkretisieren diesen Grundsatz durch verschiedene Mindestangaben, welche der betroffenen Person mitgeteilt werden müssen. Diese allgemeinen Informationspflichten gelten selbstverständlich auch bezüglich des Einsatzes von Cookies und ähnlichen Technologien.

Zu den Mindestangaben gehören: die Identität (d.h. der Name oder die Firma) und die Kontaktdaten des Verantwortlichen (Art. 19 Abs. 2 lit. a DSG), der Zweck der Datenbearbeitung (Art. 19 Abs. 2 lit. b DSG) und gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen die Personendaten bekanntgegeben werden (Art. 19 Abs. 2 lit. c). Der Verantwortliche muss die betroffene Person bei der Beschaffung von Personendaten also darüber informieren, dass die Daten an einen Auftragsbearbeiter oder einem Dritten bekanntgegeben werden und zu welchem Zweck die Datenübertragung resp. Datenbekanntgabe erfolgt. Werden die Personendaten ins Ausland bekanntgegeben, muss schliesslich auch über den jeweiligen Staat oder das jeweilige internationale Organ und gegebenenfalls die Garantien nach Art. 16 Abs. 2 DSG oder die Anwendung einer Ausnahme nach Art. 17 DSG informiert werden (Art. 19 Abs. 4 DSG). 23

Das DSG legt nicht fest, auf welche Weise die betroffenen Personen informiert werden müssen. Art. 19 Abs. 1 DSG gibt einzig vor, dass die Information «angemessen» sein muss. Die Angemessenheit hängt davon ab, ob eine betroffene Person auf der Grundlage der erhaltenen Information eine bewusste und selbstbestimmte Entscheidung treffen und ihre Gestaltungsrechte wie die Einwilligung in eine personenbezogene Bearbeitung resp. Verwendung von Cookies oder den Widerspruch dagegen rechtsgenüglich wahrnehmen kann (s. Ziff. 3.9 und 3.12). Je umfangreicher und überraschender eine

Vgl. Urteil des EuGH vom 29. Juli 2019 C-40/17 Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7051 f.

Datenbearbeitung ist und je schwerer diese in die Persönlichkeit der betroffenen Personen greift, desto höher sind die Anforderungen an die Zugänglichkeit der Informationen. 24

Art. 13 DSV konkretisiert, dass der verantwortliche Datenbearbeiter der betroffenen Person die Information über die Beschaffung von Personendaten in präziser, transparenter, verständlicher und leicht zugänglicher Form mitteilen muss. Weder das DSG noch die DSV geben Formvorschriften für die Information vor. In Frage kommen also z.B. Datenschutzerklärungen, Nutzungsbedingungen, Hinweise oder Piktogramme. Die Information muss aber aktiv erfolgen, was bedeutet, dass der verantwortliche Datenbearbeiter diese Informationen bereitstellen und gewährleisten muss, dass die betroffene Person in zumutbarer Weise die vollständige Information tatsächlich zur Kenntnis nehmen kann. 25 Somit genügt es nicht, die Datenschutzerklärung irgendwo in einer beliebigen versteckten Rubrik auf der Webseite anzubringen oder, dass die Informationen nur auf Verlangen erteilt werden.

Um dem Erfordernis von Art. 13 DSV zu genügen, müssen die Informationen in schriftlicher Form leserfreundlich gestaltet sein und sich an den Bedürfnissen der Adressatinnen ausrichten. In der digitalen Realität unerlässlich ist eine mehrstufige Information («layered approach») wobei der Verantwortliche bei der Wahl der Informationsform sicherstellen muss, dass die betroffene Person bei der Beschaffung ihrer Personendaten die wichtigsten Informationen stets auf der ersten Kommunikationsstufe erhält. Eine Datenschutzerklärung, die nach diesem Ansatz verfasst wird, erlaubt beispielsweise den betroffenen Personen alle wesentlichen Informationen in zusammengefasster Form auf einen Blick zu erhalten, sowie Fachpersonen, Investigationsjournalisten und Aufsichtsbehörden mit weitergehendem Informationsbedürfnissen, mittels Aufrufes einer weiteren Ebene, rechtlich und informationstechnologisch detaillierte Informationen zu erhalten (zur technischen Umsetzung der

Vorgaben s. Ziff. 3.13). Bei der Einbindung von Drittdiensten oder bei einer Auftragsdatenbearbeitung kann der Webseitenbetreiber für detaillierte Informationen auf weiterführende Informationen beim Drittdienst resp. Auftragsdatenbearbeiter verweisen.

3.3.2 Zeitpunkt der Information

Gemäss Wortlaut des Gesetzes muss die Information der betroffenen Person bei der Beschaffung der Personendaten erfolgen. Dies bedeutet, dass der Verantwortliche, der Personendaten direkt bei der betroffenen Person beschafft, sicherstellen muss, dass die betroffenen Personen spätestens im Zeitpunkt, in dem sie ihre Wahlrechte für oder gegen die personenbezogene Beschaffung von Daten resp. Verwendung von Cookies ausübt, angemessen informiert werden (s. Ziff. 3.12.2 und Ziff. 3.13.1).

3.4 Weitergehende Informationspflichten

Bezüglich des Einsatzes von Cookies und ähnlicher Technologien können sich weitergehende Informationspflichten ergeben, wie aus den nachfolgenden Ausführungen zu den qualifizierten Formen des unerwarteten oder mit hoher Eingriffsintensität erfolgenden Cookie-Einsatzes und zur informierten Einwilligung hervorgeht (s. Ziff. 3.10 und Ziff. 3.12.2).

3.5 Anwendung der Bearbeitungsgrundsätze des DSG auf den Einsatz von Cookies

Das DSG nennt in Art. 6 Grundsätze, die der Verantwortliche auch beim Einsatz von Cookies und vergleichbaren Technologien zu befolgen hat, sobald er damit rechnen muss, dass die Bearbeitung einen Personenbezug herstellt (s. Ziff. 3.1). So schreibt diese Norm vor, dass Personendaten nur rechtmässig bearbeitet werden dürfen (Abs. 1) und dass ihre Bearbeitung nach Treu und Glauben zu erfolgen hat sowie verhältnismässig sein muss (Abs. 2). Die Beschaffung von Personendaten und insbesondere der Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein, und die BRUNO BÄRISWYL, in: BAERISWYL/PÄRLI/BLONSKI (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Art. 7 N 16 ff. BRUNO BÄRISWYL, in: BAERISWYL/PÄRLI/BLONSKI (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Art. 7 N 16 ff., Vgl. Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7050 Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7050 f.; Bundesamt für Justiz, Erläuternder Bericht zur Revision der Verordnung über den Datenschutz vom 31. August 2022, S. 37

Personendaten dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist (Abs. 3). Verantwortliche müssen sich über die Richtigkeit der bearbeiteten Personendaten vergewissern (Abs. 5). Absatz 6 und 7 regeln die Voraussetzungen für die Gültigkeit der Einwilligung der betroffenen Person, die sinngemäss auch für das Widerspruchsrecht Anwendung finden müssen (s. Ziff. 3.12.1). Der Grundsatz der Transparenz wird durch die Informationspflichten bei der Beschaffung von Personendaten konkretisiert (Art. 19 DSG). Die Grundsätze der Verhältnismässigkeit und der Datensicherheit werden mit der Verpflichtung zu datenschutzfreundlichen Voreinstellungen (Art. 7 Abs. 3 DSG) und mit der Verpflichtung zur Datensparsamkeit (Art. 6 Abs. 4) konkretisiert.

Private dürfen Personendaten bearbeiten, es sei denn, dass sie dadurch die Persönlichkeit der betroffenen Personen widerrechtlich verletzen. Da gemäss Art. 30 Abs. 2 lit. a DSG eine Persönlichkeitsverletzung vorliegt, wenn Private Personendaten entgegen den gesetzlichen Bearbeitungsgrundsätzen bearbeiten, setzten die Grundsätze die gesetzlichen Schranken für die Datenbearbeitungen durch Private. Werden die Grundsätze verletzt, liegt nach Art. 31 Abs. 1 DSG eine widerrechtliche Persönlichkeitsverletzung vor, sofern sie nicht durch einen der Rechtfertigungsgründe nach Art. 31 DSG (Einwilligung der betroffenen Person, überwiegendes privates oder öffentliches Interesse oder Gesetz) gerechtfertigt wird.

Bundesorgane müssen bei der Bearbeitung von Personendaten die Grundsätze des DSG ebenso beachten wie private Verantwortliche, unterliegen aber zudem dem Legalitätsprinzip nach Art. 34 Abs. 2 DSG, wonach für jede Bearbeitung eine genügende gesetzliche Grundlage bestehen muss. Im Rahmen der gesetzlich geregelten und stets im öffentlichen Interesse erfolgenden Bearbeitung von Personendaten setzen Bundesorgane im Einklang mit dem Verhältnismässigkeitsgrundsatz technisch notwendige Cookies ein. Ein darüberhinausgehender Einsatz von Textdateien ist möglich, sofern er ebenfalls im öffentlichen Interesse liegt und auf einer hinreichend bestimmten gesetzlichen Grundlage beruht.

3.5.1 Grundsatz von Treu und Glauben und Transparenz

Der Grundsatz von Treu und Glauben nach Art. 6 Abs. 2 DSG und die vorerwähnten Informationspflichten nach Art. 19 DSG stellen die Transparenz der Personendatenbearbeitung sicher. Letztere ist eine unabdingbare Voraussetzung dafür, dass die Betroffenen ihre Rechte nach dem DSG geltend machen und so insbesondere Gestaltungsrechte wie die Einwilligung in den personenbezogenen Einsatz von Cookies oder den Widerspruch dagegen rechtsgenüglich ausüben können (zu Inhalt, Form und Fristigkeit der Informationspflichten nach Art. 19 DSG s. Ziff. 3.3 und zu den qualifizierten Formen des Cookie-Einsatzes und zur qualifizierten Einwilligung s. Ziff. 3.9 und Ziff. 3.12 und 3.13).

3.5.2 Grundsatz der Verhältnismässigkeit

Gemäss dem Grundsatz der Verhältnismässigkeit nach Art. 6 Abs. 2 DSG dürfen nur Daten bearbeitet werden, die für den Zweck der Bearbeitung geeignet und nötig sind. Zudem muss ein angemessenes Verhältnis zwischen dem Zweck und dem verwendeten Mittel bestehen. 27 Dieser Grundsatz wird in Art. 7 Abs. 3 DSG konkretisiert, indem der Verantwortliche verpflichtet wird, mittels geeigneter Voreinstellungen dafür zu sorgen, dass grundsätzlich nur so wenige Personendaten bearbeitet werden, wie im Hinblick auf den Verwendungszweck nötig sind, soweit die betroffene Person nicht etwas anderes bestimmt 28.

Als «technisch notwendig» werden Cookies bezeichnet, die dazu dienen eine Webseite oder App in dem von Nutzerinnen und Nutzer gewünschten technischen Umfang anzubieten. Dieser Begriff umfasst somit Cookies und ähnliche Technologien,

Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7024. Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7030.

• ohne die eine Webseite für ihre eigentliche - und von Besuchern gewünschte - Funktion gar nicht verwendet werden könnte (funktionaler Aspekt der technischen Notwendigkeit);

• oder ohne welche die gewünschte Bearbeitung die Mindestanforderungen an die technische Sicherheit i.S.v. Art. 8 DSG nicht erfüllen würde (sicherheitstechnischer Aspekt der technischen Notwendigkeit).

Technisch notwendige Einstätze von Cookies und ähnlichen Technologien aufgrund funktionaler Kriterien

Welche Cookies und ähnliche Technologien zur Gewährleistung der funktionalen Durchführbarkeit der gewünschten Bearbeitung technisch notwendig sind, hängt vom Verwendungszweck ab, welchen der Verantwortliche mit einer konkreten Datenbearbeitung verfolgt, und kann nicht pauschal beantwortet werden. Ob Datenbearbeitungen mittels Cookies oder ähnliche Technologien für einen bestimmten Zweck geeignet, erforderlich und zumutbar sind, ergibt sich aus einer Würdigung der konkreten Umstände des Einzelfalls. 29 Die Beurteilung der Zumutbarkeit wird von der Intensität des Eingriffs und der berechtigten Erwartung der betroffenen Personen, die diese Webseite oder App verwenden, abhängen. 30

So ist beispielsweise bei einem Onlineshop der Einsatz von Warenkorb-Cookies, welche die im Onlineshop ausgewählten Artikel speichern, als notwendig und somit datenschutzrechtlich als verhältnismässig einzustufen. Solche Cookies erlauben Kundinnen und Kunden, Produkte in einen digitalen Warenkorb hinzuzufügen und den Kaufvorgang erst abzuschliessen, nachdem sie Gelegenheit hatten alle Produkte, die sie interessieren, zu finden. Sie verhindern auch, dass die Kundinnen und Kunden alle Produkte erneut aussuchen müssen, wenn sie den Kauf nicht innerhalb einer einzigen Browsersession abschliessen konnten.

Technisch notwendige Einsätze von Cookies und ähnlichen Technologien aufgrund sicherheitstechnischer Kriterien

Die sicherheitstechnische Begründung der Notwendigkeit eines Einsatzes von Cookies und ähnlicher Technologien setzt voraus, dass dieser Einsatz für die Bereitstellung einer dem Risiko angemessenen Datensicherheit i.S.v. Art. 8 Abs. 1 DSG erforderlich ist.

Im Folgenden findet sich eine exemplarische 31 Liste, einiger Cookies, die als «technisch notwendig» gelten und bei denen die entsprechende Datenbearbeitung als für die betroffenen Personen in der Regel zumutbar und daher grundsätzlich als verhältnismässig angesehen werden kann:

Technisch notwendige Einstätze von Cookies und ähnlichen Technologien aufgrund funktionaler Kriterien aufgrund sicherheitstechnischer Kriterien

• Warenkorb-Cookie: Die Speicherung von • Lastenverteilung («Load Balancing»): ausgewählten Produkten (in einem Cookies, die der gleichmässigen Onlineshop); Lastenverteilung einer Webseite dienen;

• Nutzereingaben: Die Zwischenspeicherung • Cookies zur Verhinderung von der Angaben (in einem Onlineformular); sogenannten Brute-Force-Angriffen durch

• Login: Die Authentifizierung einer wiederholte Login-Versuche; eingeloggten Nutzerin oder eines Nutzers (in • Cookies, um Menschen von Computereiner Webseite, die einen geschützten Bots zu unterscheiden (Captcha) In diesem Sinne überschneidet sich die Verhältnismässigkeitsprüfung mit der Prüfung eines überwiegenden privaten Interesses, insbesondere im Sinne von Art. 31 Abs. 2 lit. a DSG. Eine Datenbearbeitung, die zwingend notwendig ist für die Erbringung der Dienstleistung einer App ist durch ein überwiegendes privates Interesse des Datenbearbeiters gerechtfertigt und auch für die betroffenen Personen zumutbar, vgl. Bundesgerichtsurteil 2C_369/2021 vom 22.9.2021, E. 6.1 sowie BGE 143 I 403, E. 5.6.3; 140 I 2, E. 9.2.2 und Häfelin/Müller/Uhlmann, Allgemeines Verwaltungsrecht, 8. Aufl., N 555 ff. Bei Applikationen von Verkehrsbetrieben zwecks Abrechnung gebührenpflichtiger Passagierbeförderungen ist die Erfassung von Positionsdaten heute gebräuchlich. Indem man Zugriff auf den eigenen Standort erlaubt, entfällt die manuelle Eingabe des Start- oder Zielortes. Da sich der Zweck des Ticketverkaufs ohne die Erhebung von Positionsdaten erreichen lässt, ist diese Datenbearbeitung, welche mit erheblichen datenschutzrechtlichen Risiken verbunden ist, nicht erforderlich und zumutbar. Folglich ist sie mittels Einwilligung zu rechtfertigen. Die folgenden Beispiele sind als Hilfestellung zu verstehen, in welchen Fällen die Zumutbarkeit der Datenverarbeitung mit hoher Wahrscheinlichkeit bejaht werden kann. Es existiert allerdings kein verbindlicher Katalog notwendiger Cookies.

Bereich beinhaltet, welcher nur eingeloggten Nutzerinnen zugänglich sei soll);

• Sprachauswahl: Die Speicherung der Wahl der für den Webseitenbesucher passenden Sprache (bei Webseiten, die auf mehrere Sprachen angeboten werden);

• Cookie-Opt-in und Cookie-Opt-out: Die Speicherung der Cookie-Einwilligung oder das Opt-out ist erforderlich, (bei Webseiten, die eine CMP 32 haben).

Das Kriterium der Erforderlichkeit ist sowohl auf den Inhalt der Cookies als auch auf deren Speicherdauer und allfälligen Datenbekanntgaben an Dritte in Bezug zu setzen. Was den Inhalt angeht, kann es erforderlich sein, dass Cookies für die Speicherung einer Einwilligung oder für Load-Balancing gesetzt werden. Mit einer eindeutigen ID dürfen sie nur gespeichert werden, wenn und solange dies für die Erfüllung der Funktionalität nötig ist. Ähnliches gilt für das Speichern von Einstellungen zur Sprache oder Hintergrundfarbe. Hierfür ist kein eindeutiges Identifizierungsmerkmal wie eine eindeutige User-ID erforderlich, sondern es reicht die Speicherung einer jeweils nicht identifizierenden Angabe wie z. B. „background-color: black“ oder „language: de“.

Ein Widerspruch gegen solche notwendigen Cookies in Anwendung von Art. 45c FMG (s. Ziff. 2.1) ist demzufolge nur indirekt möglich, indem diesfalls auf die Applikation als Ganzes verzichtet wird.

3.6 Zulässigkeit nicht notwendiger Cookies

Nebst den in Ziff. 3.5.2 beschriebenen «technisch notwendigen Cookies» werden oft Cookies verwendet, die dazu dienen, das Erlebnis der Nutzenden beim Surfen auf der Webseite zu optimieren (sog. funktionale oder Komfort Cookies). Der Einsatz solcher Cookies kollidiert mit dem datenschutzrechtlichen Grundsatz der Verhältnismässigkeit nach Art. 6 Abs. 2 DSG, da er über das notwendige Mass hinausgeht. 33

Werden Personendaten von einem privaten Verantwortlichen entgegen den allgemeinen Bearbeitungsgrundsätzen nach Art. 6 und 8 DSG bearbeitet, verletzt diese Bearbeitung gemäss Art. 30 Abs. 2 lit. a. die Persönlichkeit der davon betroffenen Personen. Gemäss Art. 31 Abs. 1 DSG sind Persönlichkeitsverletzungen von den privaten Verantwortlichen zu unterlassen, wenn sie nicht durch ein überwiegendes privates oder öffentliches Interesse, Gesetz oder durch Einwilligung der Betroffenen gerechtfertigt werden können.

Privaten Verantwortlichen stehen somit folgende Instrumente zur Verfügung, um nicht notwendige Cookies 34 rechtmässig einzusetzen:

• Erstens können sie im Rahmen einer Interessenabwägung prüfen, ob die mittels solcher Cookies durchgeführten Datenbearbeitungen durch überwiegende private Interessen gerechtfertigt werden können (s. Ziff. 3.7);

• Zweitens haben Verantwortliche die Möglichkeit, eine Einwilligung der betroffenen Personen einzuholen (s. Ziff. 3.12).

Als weitere Möglichkeit können Verantwortliche persönlichkeitsverletzende Datenbearbeitungen durch Einräumung eines Widerspruchsrechts nach Art. 30 Abs. 2 lit. d DSG optional ausgestalten, was

«Consent Management Platform» Siehe oben, Ziff. 3.5.2. Unter «nicht notwendigen Cookies» sind alle Cookies gemeint, welche die Kriterien gemäss Ziff. 3.5.2 nicht erfüllen, um als «technisch notwendig» zu gelten.

bezüglich des Einsatzes nicht notwendiger Cookies aufgrund der spezialgesetzlichen Vorgabe in Art. 45 c FMG ohnehin vorgeschrieben ist (s. Ziff. 2.1, 3.7.2 und 3.9).

3.7 Rechtfertigung persönlichkeitsverletzender Cookie-Einsätze durch überwiegende private

Interessen Den kommerziellen Einsatz von Cookies jenseits der Grenzen des Verhältnismässigkeitsgrundsatzes versuchen Werbetreibende in der Praxis häufig mit dem Überwiegen ihrer privaten Interessen zu rechtfertigen, weil sie durch den Nachweis eines solchen davon absehen können, bei den Betroffenen eine Einwilligung einzuholen, was nichts daran ändert, dass sie diesen nach Art. 45c FMG ein Widerspruchsrecht einräumen müssen.

3.7.1 Abwägung des Einsatzes nicht notwendiger Cookies gegen die Schwere der

Persönlichkeitsverletzung Ob die privaten Interessen des Datenbearbeiters eine konkrete Persönlichkeitsverletzung zu rechtfertigen vermögen, hängt von der Abwägung der Interessen des Verantwortlichen und der betroffenen Person im Einzelfall ab 35. Betreiber von Webseiten müssen also zunächst prüfen, welche privaten Interessen die von ihnen jenseits der Grenzen des Verhältnismässigkeitsprinzips eingesetzten Cookies oder ähnlichen Technologien bedienen, welchen Nutzen und welche Nachteile sie für die Betroffenen haben und wie schwer die sich aus den Nachteilen ergebende Verletzung der Persönlichkeit der Betroffenen wiegt. Anschliessend gilt es abzuwägen, ob die Verletzung den Betroffenen zumutbar ist, sodass die privaten Interessen der Webseitenbetreiber überwiegen. In die Abwägung einbezogen werden müssen Elemente wie die Speicherdauer der mit Cookies erhobenen Informationen oder allfällige Datenbekanntgaben an Dritte.

3.7.2 Optionale Ausgestaltung mindert Schwere des Eingriffs

In den meistens Fällen 36 kann der Verantwortliche die Schwere der mit persönlichkeitsverletzenden Datenbearbeitungen verbundenen Eingriffe auf ein datenschutzverträgliches Mass senken, indem er den Betroffenen das von Art. 30 Abs. 2 lit. b DSG garantierte Widerspruchsrecht gegen die Bearbeitungen einräumt. Für den Einsatz nicht notwendiger Cookies ist diese optionale Ausgestaltung durch Art. 45c FMG zwingend vorgeschrieben, sodass der Verantwortliche den Betroffenen in jedem Fall die Möglichkeit einräumen muss, die Verwendung solcher Cookies abzulehnen.

3.8 Gesetzliche Sachverhaltskonstellationen, die ein mögliches Überwiegen privater

Interessen indizieren Im Rahmen der Interessenabwägung werden private Verantwortliche zunächst versuchen, die in Art. 31 Abs. 2 lit. a – f DSG aufgeführten Konstellationen, anzurufen. Einerseits indiziert dieser nicht abschliessende Katalog ein mögliches Überwiegen der dort umschriebenen Interessenkonstellationen. Andrerseits ist nach der Rechtsprechung des Bundesgerichts ein überwiegendes privates Interesse nur zurückhaltend zu bejahen. 37 Aus der exemplarischen Aufzählung des Gesetzgebers ist zu schliessen, dass dem Verantwortlichen in allen Konstellationen, in denen er ein legitimes privates Interesse geltend machen kann, Schranken gesetzt sind, indem er einen klaren Bearbeitungszweck bestimmen und den Umfang der zu bearbeitenden Daten zeitlich, inhaltlich und hinsichtlich deren Zugänglichkeit verhältnismässig einschränken muss. Dies, um den Eingriff in die Persönlichkeit der Betroffenen so gering wie möglich zu halten, damit er für sie noch zumutbar bleibt.

Damit ein privates Interesse am Einsatz nicht notwendiger Cookies als überwiegend gelten kann, muss das Verhältnis zwischen Zweck und Mittel angemessen sein. Dies ist nicht der Fall, wenn es mildere Mittel gäbe, um denselben Zweck zu erreichen, oder, wenn der Eingriff in die Persönlichkeit der

Vgl. BGE 136 II 508 S. 521, E. 5.2.5 Wenn der Einsatz nicht notwendiger Cookies im Kontext von Bearbeitungen erfolgt, die mit schweren Eingriffen oder hohen Risiken für die Persönlichkeit und Grundrechte der Betroffenen verbunden sind, vermag der optionale Einsatz diese Senkung nicht in rechtsgenüglichem Mass herbeizuführen (Ziff. 3.10). BGE 136 II 508, E. 5.2.4 und 6.3.3.

Betroffenen für die Erfüllung dieser Zwecke derart schwerwiegend ist, dass er den Betroffenen nicht zumutbar ist. So vermag das private Interesse des Webseitenbetreibers an einer durch Cookies unterstützen Analyse der Besucherströme keine personenbezogenen Datenauswertungen zu rechtfertigen, wenn dieser Zweck mit einer anonymisierten Auswertung erfüllt werden kann.

3.8.1 Cookie-Einsatz im unmittelbaren Zusammenhang mit dem Abschluss oder der Abwicklung eines

Vertrages Mit dem Einsatz von Cookies unterstützen private Verantwortliche in der Praxis des E-Commerce eine Vielzahl von Funktionalitäten, die dem Abschluss oder der Abwicklung von Verträgen dienen. So z.B. Cookies, welche Produkte basierend auf den bereits ausgewählten Artikeln im Warenkorb im Rahmen einer Onlinebestellung als Vorschlag präsentieren oder an die Präferenzen der Nutzer bei einem späteren Besuch erinnern und darüber hinaus Kommoditäten, wie z.B. gestützt auf Standortdaten die Entfernung zur nächsten Filiale angeben oder die Lieferzeit für Hauslieferungen voraussagen, welche technisch nicht unbedingt notwendig sind. In Art. 31 Abs. 2 lit. a. DSG hat der Gesetzgeber ein mögliches Überwiegen des privaten Interesses an derartigen Verwendungen indiziert.

3.8.2 Einsatz von Cookies für Forschung und Statistik

Als besonders relevant mit Blick auf den Einsatz von nicht notwendigen Cookies erweist sich auch der Rechtfertigungsgrund für nicht personenbezogene Datenbearbeitungen wie Forschung und Statistik gemäss Art. 31 Abs. 2 lit. e DSG. Dies, weil die Analyse der Besucherströme von Webseiten oft durch den Einsatz von Cookies erfolgt und es ein wichtiges Anliegen der Betreiber ist herauszufinden, wie ihre Webseite verwendet wird und optimiert werden kann.

Der Gesetzgeber hat für die Erreichung dieses Zwecks die Interessenabwägung bereits vorgenommen und drei Voraussetzungen definiert, um ein überwiegendes privates Interesse des Privaten zu bejahen. Demnach ist die Bearbeitung von Personendaten für nicht personenbezogene Zwecke für die Statistik gerechtfertigt, sofern folgende drei Voraussetzungen erfüllt werden:

a. Die Daten werden anonymisiert, sobald der Bearbeitungszweck dies erlaubt. Im Kontext von Webseiten heisst dies i.d.R. umgehend. Ist dies unmöglich oder erfordert es einen unverhältnismässigen Aufwand, so werden angemessene Massnahmen getroffen, um die Bestimmbarkeit der betroffenen Person zu verhindern.

b. Handelt es sich um besonders schützenswerte Personendaten, so gibt er diese Dritten so bekannt, dass die betroffene Person nicht bestimmbar ist; ist dies nicht möglich, so muss gewährleistet sein, dass die Dritten die Daten nur zu nicht personenbezogenen Zwecken bearbeiten.

c. Die Ergebnisse werden so veröffentlicht, dass die betroffenen Personen nicht bestimmbar sind.

Durch Einhalten dieser gesetzlichen Vorgaben kann der Webseitenbetreiber die Analyse der Besucherströme durch überwiegende private Interessen rechtfertigen. Beim Einsatz von externen Analyse-Tools kann diesen Anforderungen ebenfalls genügt werden, sofern deren Anbieter die Daten nicht zu eigenen Zwecken, sondern nur im Auftrag des Webseitenbetreibers bearbeiten.

3.9 Gewährung des Widerspruchsrechts und datenschutzrechtliche Voreinstellungen

Soweit der Einsatz nicht notwendiger Cookies nicht einer ausdrücklichen Einwilligung bedarf, muss der Verantwortliche die gesetzlich vorgeschriebene Gewährung des Widerspruchsrechts gegen den Einsatz solcher Cookies (Ziff. 3.7.2) so ausgestalten, dass die Einräumung dieses Rechts dem Grundprinzip von Treu und Glauben nach Art. 6 Abs. 2 DSG genügt (s. Ziff. 3.10.4). Zudem muss er als Webseitenbetreiber durch geeignete Voreinstellungen nach Massgabe von Art. 7 Abs. 3 DSG sicherstellen, dass der Cookie- Einsatz – bis zur tatsächlichen Möglichkeit der Kenntnisnahme der Datenbearbeitungen und Ausübung

des Widerspruchsrechts mittels entsprechender Schaltfläche (s. Ziff. 3.13.2) – auf das für den Verwendungszweck nötige Mindestmass beschränkt wird (s. Ziff. 3.13.1).

Weiter muss der Verantwortliche das Widerspruchsrecht gegen den Einsatz nicht notwendiger Cookies auf der Webseite an prominenter Stelle anzeigen, sodass die Möglichkeit eines Opt-out für Benutzende, die sich dafür interessieren, sowohl beim ersten wie auch nachfolgenden Besuchen leicht erkannt und mit wenigen Klicks angewählt und ausgeübt werden kann.

3.10 Qualifizierte Einsätze von Cookies

Erfolgt der Einsatz nicht notwendiger Cookies unerwartet oder im Kontext von Bearbeitungen, die mit schweren Eingriffen oder hohen Risiken für die Persönlichkeit und Grundrechte der Betroffenen verbunden sind, vermögen die privaten Interessen der Verantwortlichen die Persönlichkeitsverletzungen der Betroffenen in aller Regel nicht zu überwiegen (in Anhang A findet sich eine schematische Übersicht über die Risikostufen des Cookie-Einsatzes).

3.10.1 Mit hoher Eingriffsintensität in die Persönlichkeit und Grundrechte verbundener Cookie-Einsatz

Mit einer hohen Eingriffsintensität verbunden ist die Verwendung nicht notwendiger Cookies, wenn sie im Kontext von Bearbeitungen erfolgt, die besonders schützenswerte Personendaten i.S.v. Art. 5 lit. c. DSG zum Gegenstand haben oder in ein Profiling mit hohem Risiko i.S.v lit. g. dieser Bestimmung münden. Das Profiling mit hohem Risiko führt zu einer Verknüpfung von Daten, die eine Beurteilung wesentlicher Aspekte einer natürlichen Person erlaubt (s. Ziff. 1.2). So kann etwa die mittels Cookies und ähnlicher Technologien unterstützte Erfassung von Geolokalisationsdaten je nach Dauer der Datenerhebung in ein Profiling mit hohem Risiko münden, wenn die erhobenen Daten alleine oder in Kombination mit anderen Daten und Datenquellen zu präzisen Bewegungsprofilen führen, die Rückschlüsse über wesentliche Aspekte der Persönlichkeit der Nutzer erlaubt. Die Praxis zeigt, dass dieses Resultat auch durch Kombination von ungenauen Standortdaten erreicht werden kann.

Von einem Profiling mit hohem Risiko müssen Verantwortliche (Webseitenbetreiber sowie allfällige eingebettete Dritte) ausgehen, wenn beim Profiling eine grosse Anzahl verschiedener Datensätze miteinbezogen werden und sie nicht ausschliessen können, dass das Resultat schwerwiegende Auswirkungen für die Persönlichkeit und die Grundrechte der Betroffenen haben könnte (s. Ziff. 3.11.3).

Für den Einsatz nicht notwendiger Cookies im Kontext von Bearbeitungen mit hoher Eingriffsintensität kann sich der Verantwortliche weder auf ein Überwiegen seines privaten Interesses noch eine optionale Ausgestaltung der Bearbeitung berufen. Vielmehr muss er vor der Durchführung derselben bei den Betroffenen eine ausdrückliche Einwilligung einholen (s. Ziff. 3.12). Dies gilt auch in Fällen, in denen solche einschneidenden Einsätze aufgrund einer allgemeinen Verkehrsauffassung erwartet werden. 38

3.10.2 Unerwarteter Cookie-Einsatz

Als unerwartet oder ungewöhnlich gelten muss die Verwendung verzichtbarer Cookies, wenn sie Zwecke bedient, die in einem offensichtlichen Kontrast zu den Zwecken der personenbezogenen Hauptbearbeitung stehen, in deren Kontext sie erfolgt. Ein solche Ungewöhnlichkeit kann z.B. gegeben sein, wenn bei der Webseiten-gestützten Vermittlung karitativ oder freundschaftlich motivierter Dienste oder bei gewissen Onlinespielen Cookies für eine Verknüpfung und Vermarktung von Adress- und Telefondaten gesetzt werden. Wenn aufgrund der konkreten Umstände davon auszugehen ist, dass derartige Einsätze den Erwartungen eines signifikant hohen Anteils der Webseitenbesuchenden widersprechen, müssen die Verantwortlichen auf der Webseite mit besonderer Deutlichkeit auf die Setzung entsprechender Cookies und die Widerspruchmöglichkeit dagegen hinweisen.

Bei Applikationen von Verkehrsbetrieben zwecks Abrechnung gebührenpflichtiger Passagierbeförderungen, sind Erfassungen von Positionsdaten wie oben beschrieben für die Auslösung eines Tickets heute gebräuchlich. Die Einholung einer Einwilligung für diesen Zweck umfasst jedoch nicht den Verkauf sensibler Daten an Dritte; hierzu müsste die Einwilligung ebenfalls bestimmt sein.

Schwerer wirkt sich für die Betroffenen der Zweck- und Erwartungskontrast aus, wenn kommerzielle Zwecke bedienende Cookies auf Webseiten mit sensiblen Inhalten politischer 39, gewerkschaftlicher oder religiöser Natur eingesetzt werden. Aufgrund des Zusammenhangs mit Bearbeitungen besonders schützenswerter Personendaten, müssen die Betreiber solcher Webseiten von den Betroffenen vor dem überraschenden Cookie-Einsatz eine ausdrückliche Einwilligung einholen (s. Ziff. 3.10.1).

3.10.3 Besondere Kennzeichnungs- und Hervorhebungspflichten

Nach dem Grundsatz von Treu und Glauben müssen die Verantwortlichen die Betroffenen auf der Webseite an prominenter Stelle, gesondert und mit besonderer Deutlichkeit auf die hohe Eingriffsintensität oder Ungewöhnlichkeit einer Personendatenbearbeitung resp. des damit einhergehenden Einsatzes nicht notwendiger Cookies hinweisen. So ist bei qualifizierten Bearbeitungen mit hoher Eingriffsintensität angezeigt, dass beim ersten Besuch der Webseite ein automatischer Hinweis («Pop-Up-Fenster») auf den besonders einschneidenden oder ungewöhnlichen Einsatz von Cookies erscheint oder dass auf diesen Einsatz mittels auffälliger Schriftgrösse oder Schriftart in unübersehbarer Weise aufmerksam gemacht wird (zur technischen Umsetzung s. Ziff. 3.13).

Diese besonderen Kennzeichnungs- und Hervorhebungspflichten erstrecken sich bei den qualifizierten Cookie-Einsätzen auch auf das in der Regel zwingende Einholen einer ausdrücklichen Einwilligung (Optin) und die in einigen Fällen ausreichende Gewährung eines Widerspruchsrechts (Opt-out):

3.10.4 Ausgestaltung des gesetzlichen Widerspruchsrechts und Opt-out

Eine optionale Ausgestaltung der Bearbeitung mag z.B. dann angehen, wenn ein unerwarteter Cookie- Einsatz ohne hohe Eingriffsintensität erfolgt (s. Ziff. 3.10.2 erster Abschnitt). Bei der Gewährung des Widerspruchsrechts gegen derartig qualifizierte Cookie-Einsätze müssen die Verantwortlichen nebst datenschutzfreundlichen Voreinstellungen, prominenter Webseitenplatzierung und gut sichtbarer Anzeige der Widerspruchsmöglichkeit (s. Ziff. 3.9) sicherstellen, dass Letztere mit einem Grad an Auffälligkeit gekennzeichnet ist, welcher der Ungewöhnlichkeit des fraglichen Cookie-Einsatzes entspricht. Dieser Grad ist erreicht, wenn für die Betroffenen beim erstmaligen Aufsuchen der Webseite aufgrund besonders auffälliger Hinweise nicht zu übersehen ist, dass ein qualifizierter Einsatz von Cookies ansteht, dem sie mit wenigen Klicks widersprechen können.

3.10.5 Ausgestaltung der Einwilligung und Opt-in

Zur Rechtfertigung von Bearbeitungen mit hoher Eingriffsintensität und des damit einhergehenden Einsatzes von Cookies muss der Verantwortliche von den Betroffenen eine ausdrückliche Einwilligung i.S.v. Art. 6 Abs. 7 DSG einholen. Bundesorganen schreibt lit. c. dieser Norm das Einholen einer ausdrücklichen Einwilligung schon dann vor, wenn der Cookie-Einsatz in ein Profiling mündet, das die Schwelle zum hohen Risiko noch nicht überschritten hat.

Das rechtsgenügliche Einholen eines Opt-in setzt voraus, dass der Verantwortliche den Betroffenen beim erstmaligen Besuch der Webseite ein aktives Anklicken oder Setzen von Zeichen abverlangt, ehe sie vom entsprechenden Webangebot Gebrauch machen. Nach Erteilen einer Einwilligung muss die Webseite den Betroffenen bei jedem Besuch an prominenter Stelle anzeigen, dass sie ihre Einwilligung zum fraglichen Einsatz von Cookies jederzeit zurückziehen können. Sodann muss die Seite rücktrittswillige Besuchende mit einer einfachen Navigation zur entsprechenden Schaltfläche leiten (zur technischen Umsetzung dieser Vorgaben s. Ziff. 3.13).

Vgl. dazu den Leitfaden vom 15. Dezember 2022 der Datenschutzbehörden von Bund und Kantonen zur Anwendung der Datenschutzrechts auf die digitale Bearbeitung von Personendaten im Zusammenhang mit Wahlen und Abstimmungen in der Schweiz:

3.11 Einsatz von Cookies für personalisierte Werbung

3.11.1 Gebräuchlichkeit von Werbecookies im kommerziellen Bearbeitungskontext

Es ist allgemein gebräuchlich und bekannt, dass viele private Unternehmen in der Praxis des E- Commerce Cookies zu Zwecken der Zustellung personalisierter Werbung einsetzen, sodass diese Einsatzmodalität in einem kommerziellen Kontext nicht als unerwartet oder ungewöhnlich gelten kann. Je nach den Umständen des konkreten Angebots können vergleichbare Erwartungshaltungen auch für unentgeltliche Onlinedienste wie z.B. die Vermittlung von Kontaktmöglichkeiten auf sozialen Netzwerken bestehen (s. Ziff. 3.10.2). Anders verhält es sich indessen, wenn der Verantwortliche Dritten Zugang zu personenbezogenen Informationen gegen Entgelt mittels Third Party Cookies oder ähnlichen Technologien verschafft. Sofern diese Dritten in einer Mehrzahl von Webseiten eingebetteten sind, werden sie in die Lage versetzt, ein Profiling mit hohem Risiko durchzuführen (s. Ziff. 3.11.3).

Im Interesse der Harmonisierung und Transparenz hat die Werbebranche die Verwendung von CMPs (Consent Management Platforms) standardisiert, um die Nutzer über die Erhebung ihrer personenbezogenen Daten durch Cookies und über die Zwecke dieser Verarbeitung zu informieren 40. Dieser Schritt ist zwar ein Schritt in die richtige Richtung, doch zeigt die Praxis, dass Nutzerprofile, die aus Personendaten mithilfe Tracking-Mechanismen erstellt werden, an verschiedene Akteure verkauft werden können. Diese Daten können somit für andere Zwecke als gezielte Werbung genutzt werden, sodass es schwierig ist, die mit dieser Art von Praxis verbundenen Risiken zu bewerten. 41

Auch wenn ein signifikant hoher Anteil von Webseitenbesuchenden mit einem Werbe-Tracking rechnet und der Verantwortliche seinen Informationspflichten nachkommt und die gesetzliche Widerspruchsmöglichkeit (Opt-out) dagegen hinreichend datenschutzfreundlich ausgestaltet (s. Ziff. 3.9), vermag das private Interesse des Verantwortlichen am Einsatz von Cookies zu Zwecken der Onlinewerbung nicht immer zu überwiegen. Es gilt diesbezüglich zwischen dem Werbetracking mit einem Profiling und einem qualifizierten Profiling resp. mit einem mittleren und hohen Risiko zu unterscheiden (zum Profiling s. Ziff. 1.2 und zur schematischen Risikoabstufung s. Anhang A).

3.11.2 Werbetracking mittels «normalem» Profiling

Werbetreibende erheben mit Cookies das Verhalten und die Interessen der Besuchenden ihrer Webseite, um ihnen auf der Grundlage dieser Daten eine personalisierte Darstellung von Angeboten zu ermöglichen oder personalisierte Werbeanzeigen für eigene Produkte zu versenden. Die erhobenen Daten und darauf gestützte Analysen münden so in ein Profiling i.S.v. Art. 5 lit. f DSG, das Rückschlüsse auf bestimmte Aspekte der Persönlichkeit und des Konsumverhaltens der Nutzenden erlaubt.

Für Einsätze von Werbecookies, die sich innerhalb der Grenzen dieses «normalen» Profilings bewegen, müssen private Verantwortliche im Sinne einer Minimalanforderung gewährleisten, dass für die Benutzenden der Webseite beim ersten, wie auch bei weiteren Besuchen sofort erkennbar ist, wie sie mit wenigen Klicks ihr Widerspruchsrecht (Opt-out) ausüben können, wenn sie nach der entsprechenden Schaltfläche suchen (s. Ziff. 3.9).

Im Gegensatz zu privaten Verantwortlichen müssen Bundesorgane für die Verwendungen von Cookies, die zu einem «normalen» Profiling i.S.v. Art. 5 lit. f DSG führen, eine ausdrückliche Einwilligung einholen.

CMPs ermöglichen die Verwaltung der Einwilligung von Internetnutzern und bieten anpassbare Cookie-Banner, die klar erklären sollen, welche Daten zu welchen Zwecken (Marketing, Statistiken usw.) erfasst werden, und den Nutzern die Möglichkeit geben, die entsprechenden Bearbeitungen detailliert zu akzeptieren oder abzulehnen. Dieser Standard wird insbesondere durch das TCF-Framework (Transparency and Consent Framework) der IAB Europe unterstützt, das darauf abzielt, die Verwaltung der Einwilligung im digitalen Werbeökosystem zu vereinheitlichen. Dank dieser Standardisierung durch CMPs zielt die Online-Werbung darauf ab, die Nutzer besser zu informieren und ihnen eine konformere und transparentere Datenbearbeitung anzubieten. Studien haben beispielsweise gezeigt, dass Unternehmen sehr detaillierte Profile erstellen, in denen Personen sogar nach sensiblen persönlichen Merkmalen (Süchte, psychische Störungen, politische Meinungen usw.) kategorisiert werden, und dass diese Profile unter zahlreichen Akteuren auf dem Datenmarkt ausgetauscht und verkauft werden. Diese intensive Profilerstellung, die oft mit Werbepraktiken wie Real-Time Bidding (RTB) verbunden ist, kann zu einem erhöhten Risiko von Manipulation, Verletzung der Privatsphäre und unkontrollierter Nutzung von Daten führen, die sich der Kontrolle der betroffenen Personen entziehen. Dies wirft grosse Bedenken hinsichtlich der Transparenz, der Datensicherheit und der tatsächlichen Kontrolle des Nutzers über seine digitale Identität auf.

Allerdings ist darauf hinzuweisen, dass Bundesorgane sowohl hoheitlich als auch privatrechtlich handeln können. Beim Einsatz von Werbe-Cookies dürfte in aller Regel Letzteres zutreffen, sodass für deren Einsatz die DSG-Bestimmungen zur Datenbearbeitung durch Private zur Anwendung gelangen.

3.11.3 Werbetracking mittels Profiling mit hohem Risiko

Wie in Ziff. 3.11.1 dargelegt wurde, erfassen Webseitenbetreibende bzw. Dritte, die auf der Webseite eingebettet sind, mit Cookies das Verhalten und die Interessen der Besuchenden, um darüber hinaus Dritten auf der Grundlage dieser Daten die Schaltung personalisierter Werbung zu ermöglichen bzw. diesen die Platzierung von personalisierten Werbeanzeigen mittels Auktion zu verkaufen. Um ein möglichst umfassendes Bild über das Konsumverhalten der Nutzer zu erstellen, erfolgt ein solches Tracking mittels Cookies meist über mehrere Webseiten hinweg. Dieses kann so die Intensität des normalen Profilings überschreiten, sodass es in ein solches mit hohem Risiko i.S.v. Art. 5 lit. g DSG mündet. Ist diese Schwelle überschritten, müssen die Verantwortlichen hinsichtlich Kennzeichnungs- und Hervorhebungspflichten wie auch bezüglich des Einholens von Einwilligungen die Vorgaben für Bearbeitungen erfüllen, die sich durch eine hohe Eingriffstiefe qualifizieren (s. Ziff. 3.10.3 und 3.10.5).

Solange Verantwortliche mangels Durchführung nötiger Analyse nicht ausschliessen können, dass die Schwelle des «normalen» Profilings überschritten wird, haben sie von einem potentiell hohen Risiko auszugehen (s. Ziff. 3.10.1). In Schlussbericht vom 11. April 2024 zu einer nach dem alten DSG vom 19.6.1992 abgeschlossenen Sachverhaltsklärung ging der EDÖB von einer qualifizierten Bearbeitung i.S. der altrechtlichen Begrifflichkeit des «Persönlichkeitsprofils» nach Art. 3 lit. d aDSG aus, von welcher der Gesetzgeber von 2020 die neurechtliche Begrifflichkeit des «Profilings mit hohem Risiko» nach Art. 5 lit. g DSG abgeleitet hat 42. Die Abklärung richtete sich gegen ein Unternehmen, das Nutzungsdaten seiner Kunden auf der eigenen Plattform unter Einsatz von Cookies bearbeitet und mit Daten weiterer Unternehmen derselben Unternehmensgruppe verknüpft hatte, um das Nutzerverhalten angebotsübergreifend zu analysieren. Zur Qualifizierung der Bearbeitung als «Persönlichkeitsprofil» gelangte der EDÖB in Würdigung folgender Umstände: Erstens waren die am Tracking teilnehmenden Wirtschaftsakteure in unterschiedlichen Sektoren tätig. Zweitens wurden die fraglichen Personendaten über einen längeren Zeitraum zusammengetragen, und Drittens konnten zur Verbesserung der Datenbasis auch öffentlich erhältliche Daten sowie solche von Drittanbietern hinzugezogen werden 43.

3.12 Rechtliche Vorgaben für das Einholen von Einwilligungen und die Einräumung der

Rechte auf Widerruf und Widerspruch Weder das DSG noch Art. 45c FMG sehen die Einholung einer Einwilligung als zwingende Voraussetzung für die Rechtmässigkeit einer Datenbearbeitung mittels nicht notwendiger Cookies vor. Die Einwilligung der betroffenen Personen stellt nur einen von mehreren Gründen zur Rechtfertigung von persönlichkeitsverletzenden Datenbearbeitungen dar, die der Gesetzgeber in Art. 31 Abs. 1 DSG aufzählt.

Selbst in Konstellationen, in welchen das Einholen von Einwilligungen breiterer Personenkreise möglich wäre, kann sich eine solche als zeit- und kostenintensiv erweisen. Einwilligungen werden deshalb von privaten Verantwortlichen aus Praktikabilitätsgründen für gewöhnlich erst eingeholt, wenn sich abzeichnet, dass bei Gewährung eines blossen Widerspruchsrechts gegen den Einsatz nicht notwendiger Cookies die daraus resultierenden Betroffenennachteile das private Interesse an diesem Einsatz überwiegen.

3.12.1 Sinngemässe Anwendung der Vorgaben auf Widerspruchsrecht gegen Cookies

Die zentralen Voraussetzungen einer gültigen Einwilligung in einen personenbezogenen Einsatz nicht notwendiger Cookies oder ähnlicher Technologien sind gemäss Art. 6 Abs. 6 DSG eine angemessene Information über die Datenbearbeitungen, in die eingewilligt werden soll, und die Freiwilligkeit der Willenserklärung.

BEAT RUDIN, in: BAERISWYL/PÄRLI/BLONSKI (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Auflage, Art. 5 N 52. S. Schlussbericht des EDÖB vom 11. April 2024 in Sachen Ricardo AG und TX Group: https://www.newsd.admin.ch/newsd/message/attachments/90124.pdf

Die Einwilligung in eine Personendatenbearbeitung, der Widerspruch dagegen sowie der Widerruf einer erteilten Einwilligung oder eines eingelegten Widerspruchs sind vier Gestaltungsrechte, die rechtlich wesensverwandt sind. Die in den nachfolgenden Kapiteln erläuterten Vorgaben zur Einholung einer rechtsgültigen Einwilligung und zur Einräumung eines gültigen Widerrufs derselben müssen deshalb hinsichtlich einer Treu und Glauben entsprechenden Einräumung des Widerspruchsrechts und des Widerrufs desselben (s. Ziff. 2.1, 3.7.1 und 3.9) sinngemässe Geltung beanspruchen.

3.12.2 Informierte Einwilligung

Gemäss Rechtsprechung des Bundesverwaltungsgerichts will das Erfordernis einer angemessenen Information erreichen, dass die betroffene Person ihre Einwilligung in Kenntnis der Sachlage gibt, das heisst erst entscheiden muss, wenn sie sich ein Bild (auch) über die möglichen negativen Folgen ihrer Einwilligung machen konnte. Erforderlich, aber auch genügend ist letztlich, dass sich die betroffene Person im Klaren darüber sein kann, worin sie einwilligen soll, das heisst was die Tragweite ihrer Entscheidung ist. 44 Die Voraussetzung der angemessenen Information ist somit eng mit dem Grundsatz der Erkennbarkeit und den Informationspflichten nach Art. 19 DSG verbunden (s. Ziff. 3.3). Wenn eine persönlichkeitsverletzende Datenbearbeitung durch die Einwilligung der betroffenen Person gerechtfertigt werden soll, sind die Anforderungen an die Transparenz hoch anzusetzen, weil ihr der Verantwortliche durch das Einfordern derselben eine Mitverantwortung für die persönlichkeitsverletzenden Folgen übertragen will. Die betroffene Person muss deshalb nachvollziehen können, welche Datenbearbeitung gestützt auf ihre Einwilligung für welchen Zweck durchgeführt werden soll. Nur so kann sie die Konsequenzen respektive Risiken der Datenbearbeitung in Bezug auf ihre Persönlichkeitsrechte abschätzen und eine Willenserklärung rechtsgenüglich äussern. In Anwendung des Verhältnismässigkeitsgrundsatzes hat die Information grundsätzlich umso eindeutiger zu sein, je sensibler die betroffenen Personendaten sind. 45

Das Bundesverwaltungsgericht führt aus, dass je nach Situation eine Aufklärung erforderlich sein wird, die nicht nur auf die Umstände der Datenbearbeitung, sondern auch auf ihre wichtigsten möglichen Risiken bzw. Folgen für die betroffene Person hinweist. 46 Denn die Ausgestaltung einer angemessenen Information ist abhängig von der Person oder der Personengruppe, die informiert werden soll. 47 Wenn das Zielpublikum einer Datenbearbeitung urteilsfähige Minderjährige sind, die ihr informationelles Selbstbestimmungsrecht selbstständig ausüben, 48 wird vom Datenbearbeiter erwartet, dass leichte und unmissverständliche Sprache verwendet und auf die möglichen Risiken bzw. Folgen der entsprechenden Datenbearbeitung spezifisch hingewiesen wird.

Wie oben unter Ziff. 3.3.2 dargelegt, muss die Information über den bevorstehenden Einsatz von Cookies stets vor der Erteilung der Willenserklärung erfolgen. 49

3.12.3 Bestimmte Einwilligung

Die Einwilligung in den Einsatz nicht notwendiger Cookies muss aus den Umständen klar als Willensäusserung der betroffenen Person hervorgehen, dass sie mit den Datenbearbeitungen einverstanden ist, über die sie zuvor informiert wurde. Des Weiteren muss sich diese Willensäusserung auf eine eindeutige, spezifizierte und legitime Datenbearbeitung beziehen. 50 Generalklauselartige Einwilligungserklärungen oder Blanko-Einwilligungen werden damit ausgeschlossen (so z.B. die häufige Formulierung «für Marketingzwecke»). 51 Bezieht sich die Einwilligungserklärung auf mehrere verschiedene Datenbearbeitungen und Zwecke und werden verschiedene Zwecke miteinander kombiniert, so ist den Nutzenden unmissverständlich zu erklären, dass sie die Möglichkeit haben, den betreffenden Datenbearbeitungen einzeln zuzustimmen oder sie abzulehnen. Holt der

Siehe BVGE 2009/44 E. 4.2. LUKAS BÜHLMANN/MICHAEL SCHÜEPP, Information, Einwilligung und weitere Brennpunkte im (neuen) Schweizer Datenschutzrecht, Rz. 52 sowie 54 KLAUS SAMUEL/THOMANN KENZO in: BIERI/POWELL (Hrgs.), Orell Füssli Kommentar zum DSG, 1. Aufl., Art. 6 DSG N. 21. Siehe BVGE 2009/44 E. 4.2. TOBIAS FASNACHT, Die Einwilligung im Datenschutzrecht, Zürich 2017, N 263 Bei Kindern üben die Eltern im Umfang ihrer elterlichen Sorge dieses Recht in Vertretung der Kinder aus. MONIKA PFAFFINGER in: BAERISWYL/PÄRLI/BLONSKI (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl., Art. 31 DSG N. 33; TOBIAS FASNACHT, Die Einwilligung im Datenschutzrecht, Zürich 2017, N 252. Art. 5 Abs. 4 ER-Konv 108+; Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 2017 6941, S. 7027. BRUNO BÄRISWYL, in: BAERISWYL/PÄRLI/BLONSKI (Hrsg.), Stämpflis Handkommentar zum DSG, 2. Aufl. Art. 6 N 86.

Webseitenbetreiber die Einwilligung für die Bearbeitung durch eingebettete Dritte ein, muss die Einwilligungserklärung auch diesbezüglich eindeutig sein (s. Ziff. 3.11.1).

3.12.4 Freiwillige Einwilligung

Die Einwilligung muss nach Art. 6 Abs. 6 DSG freiwillig erteilt werden. Eine Einwilligung, die aufgrund einer Täuschung oder unter Zwang erteilt wird, ist ungültig. Eine Täuschung kann vorliegen, wenn der Verantwortliche vorsätzlich falsche Tatsachen vorgespiegelt oder wichtige Informationen vorenthält, um die Entscheidung der betroffenen Person zu beeinflussen. 52 Irreführende Darstellungen und Formulierungen (sog. «Dark Patterns» oder «Nudging») können somit zur Ungültigkeit der Einwilligung führen. 53

Aus der bundesgerichtlichen Rechtsprechung lässt sich ableiten, dass eine Einwilligung insbesondere dann als unfreiwillig zu beurteilen ist, wenn bei einer Verweigerung Nachteile drohen, die keinen Bezug zum Zweck der Datenbearbeitung haben oder der betroffenen Person gegenüber unverhältnismässig sind. 54 Freiwillig ist somit eine Einwilligung, wenn die betroffene Person eine echte oder freie Wahl hat bzw. in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen ohne unverhältnismässige Nachteile zu erleiden.

Im Kontext von Webseiten stellt sich die Frage der Freiwilligkeit insbesondere dann, wenn der Zugang zur Webseite oder einer charakteristischen Hauptleistung verweigert wird, solange die Einwilligung zu einer oder mehreren für die Hauptleistung nicht notwendigen Datenbearbeitungen, wie z.B. das Setzen von Third Party Cookies, nicht erteilt worden ist. Dies ist besonders häufig bei sog. «Gratisdiensten», die sich teilweise durch personalisierte Onlinewerbung finanzieren. Ob eine Einwilligung unter diesen Umständen gültig erteilt werden kann, hängt davon ab, ob der Verzicht auf die Hauptdienstleistung für die betroffene Person im konkreten Anwendungsfall als zumutbar beurteilt werden kann oder nicht. Ist der Verzicht nicht zumutbar, muss der Verantwortliche eine gleichwertige Alternative zur Verfügung stellen, damit eine Einwilligung als freiwillig betrachtet werden kann. Eine Zumutbarkeit des Verzichts ist eher zu verneinen, wenn ein Abhängigkeitsverhältnis besteht und fehlende oder schlechte Alternativen die Folge sind. 55 Auf die Teilnahme eines einmaligen Gewinnspiels kann man eher verzichten als auf die Bestellung eines Produktes bei einem marktherrschenden Onlinehändler oder auf die Nutzung eines online Jobportals oder eines sozialen Netzwerks. Dabei ist zu beachten, dass die Bedeutung von sozialen Netzwerken und Onlineportalen für eine Teilhabe am gesellschaftlichen Leben im Zuge der fortschreitenden Digitalisierung noch weiter zunehmen dürfte. 56

Bei sog. «Cookie-Paywalls» werden die Betroffenen vor die Wahl gestellt, entweder in sämtliche Bearbeitungen von Cookies und ähnlichen Technologien einzuwilligen oder einen festgelegten Preis zu bezahlen (sog. «Pur-Abo-Modelle»), um etwa die Inhalte einer Webseite zu sehen. Dabei muss also die Person nicht auf die Leistung verzichten, wenn sie keine Einwilligung erteilt; sie muss aber etwas bezahlen. Die Freiwilligkeit der Einwilligung in die Datenbearbeitungen hängt unter diesen Umständen davon ab, ob der finanzielle Beitrag erstens verhältnismässig ist und zweitens nicht zu einer Aushöhlung des grundrechtlichen Charakters des Anspruchs der Betroffenen auf Datenschutz führt. Mit Blick auf die Einhaltung des Kriteriums der Verhältnismässigkeit werden die Betreiber von Webseiten darauf achten müssen, dass der eingeforderte Preis in einem angemessenen Verhältnis zum Einnahmenausfall steht, welcher ihnen durch den Verzicht auf die Datenweitergabe an Dritte entsteht.

3.12.5 Form und Ausgestaltung der Einwilligung

Der Gesetzgeber des DSG hat die Einwilligung an keine Rechtform gebunden 57. Die Ausgestaltung deren Einholung kann aber von Relevanz für die Gültigkeit sein. So z.B., wenn der Verantwortliche eine Einwilligung zu mehreren Datenbearbeitungen mit unterschiedlichen Zwecken einholt. Werden

TOBIAS FASNACHT, Die Einwilligung im Datenschutzrecht, Zürich 2017, N 276 ff. «Dark Patterns. Das Unbekannte dokumentieren». Bericht des Bundesrates in Erfüllung des Postulates 22.3190, Michaud Gigon Sophie, 16. März 2022, S. 30 ff. Verfügbar unter: https://www.newsd.admin.ch/newsd/message/attachments/88176.pdf BGE 138 I 331 E. 7.4.1. TOBIAS FASNACHT, Die Einwilligung im Datenschutzrecht, Zürich 2017, N 295 ff. Siehe EDSA, Stellungnahme 08/2024 zur „Wirksamkeit von Einwilligungen im Kontext von „Consent or Pay“--Modellen grosser Onlineplattformen vom 17. April 2024. Gemäss Art. 6 Abs. 7 DSG muss aber die Einwilligung ausdrücklich erfolgen für: die Bearbeitung von besonders schützenswerten Personendaten; ein Profiling mit hohem Risiko durch eine private Person; oder ein Profiling durch ein Bundesorgan.

unterschiedliche Arten und Funktionalitäten von Cookies kombiniert, ist den Nutzenden die Möglichkeit einzuräumen, Datenbearbeitungen mit unterschiedlichen Zwecken einzeln an- oder abzuwählen. Ein Dialogfeld, das den Nutzenden nur erlaubt, entweder «alles» zu akzeptieren oder auf das Anzeigen des Inhalts der Webseite gänzlich zu verzichten, kann nicht als eindeutige Willenserklärung verstanden werden. Dies insbesondere nicht, wenn Bearbeitungen, die ohne die Einwilligung der betroffenen Person durchgeführt werden dürfen, mit solchen vermengt werden, für welche der Verantwortliche eine Genehmigung einholen muss. Hingegen kann es zulässig sein, verschiedene Datenbearbeitungen, die demselben Zweck dienen, zu kombinieren.

3.12.6 Ausdrückliche Einwilligung

Zur Einholung von Einwilligungen, für die das DSG in Art. 6 Abs. 7 DSG eine ausdrückliche Erklärung resp. ein Opt-in verlangt, müssen die Verantwortlichen den Betroffenen stets ein aktives Verhalten abverlangen, mit denen sie ihre ausdrückliche Zustimmung manifestieren müssen. Anders verhält es sich bei der Einräumung von Widerspruchs- und Widerrufsrechten, die für die Betroffenen Optionen darstellen, welche sie durch aktives Anwählen von Schaltflächen oder Setzen von Zeichen wahrnehmen können, aber eben nicht müssen (zur technischen Umsetzung s. Ziff. 3.13).

3.12.7 Widerruf der Einwilligung

Die Einwilligung zur Verwendung nicht notwendiger Cookies muss jederzeit formlos und ohne Begründung widerrufen werden können. Der verantwortliche Webseiteninhaber hat den Seitenbesuchenden einfache Möglichkeiten anzubieten, um das Widerrufsrecht auszuüben. Erschwert er den Widerruf der Einwilligung etwa durch Einbau administrativer Schikanen, die zu einem unzumutbar höheren Aufwand führen als deren Erteilung, verstösst dies gegen das Gebot der Freiwilligkeit. Machen Verantwortliche den Widerruf von der Abwahl einer Vielzahl von Datenbearbeitungen abhängig, liegt ein unzulässiges «Dark Pattern» vor. Auch wenn das Einräumen des Widerrufsrechts so kompliziert ausgestaltet wird, dass von einem durchschnittlichen Nutzenden nicht erwartet werden kann, dass er sich die Zeit für eine bewusste Entscheidung nimmt, muss dies zur Ungültigkeit der Einwilligung führen.

Sinngemäss muss gelten, dass Datenbearbeitungen nicht als rechtmässig geltend dürfen, wenn der Verantwortliche bei der Umsetzung des gesetzliche Widerspruchsrechts resp. dessen Rückrufs die Grundsätze von Treu und Glauben missachtet.

3.12.8 Folgen von Rechtsmängeln bei der Gewährung der Rechte auf Einwilligung und Widerspruch

Allein vom Verantwortlichen zu vertretende Rechtsmängel, die dazu führen, dass Einwilligungen in den Einsatz von Cookies aufgrund von Informations- oder Willensmängeln zustande kamen oder Widerspruchserklärungen dagegen ausblieben, können keine Rechtswirkung zu Ungunsten der Erklärenden resp. der von der Datenbearbeitung Betroffenen entfalten.

3.13 Technische Umsetzung

Vorstehend wurden die allgemeinen und weitergehenden Informationspflichten für das Setzen nicht notwendiger Cookies sowie die Vorgaben für das Einholen von Einwilligungen und Gewähren von Widerrufs- und Widerspruchsrechten dargestellt. Die folgenden Hinweise sollen die verantwortlichen Webseitenbetreiber bei der vom schweizerischen Gesetz- und Verordnungsgeber in weiten Teilen offen gelassenen technischen Umsetzung dieser datenschutzrechtlichen Vorgaben unterstützen:

3.13.1 Umsetzung der Rechtzeitigkeit

Um mit Blick auf den Einsatz von Cookies die gesetzlichen Anforderungen an das Einholen von Einwilligungen zu erfüllen, muss die Webseite technisch so eingerichtet werden, dass die in Frage stehenden Datenbearbeitungen erst erfolgen, nachdem die betroffenen Personen die Möglichkeit hatten, Kenntnis davon zu nehmen. Werden Cookies beispielsweise eingesetzt, damit Dritte Daten der Besucherinnen und Besucher erheben können und sich diese Datenbearbeitung auf die Einwilligung der betroffenen Person stützt, dann dürfen diese Datenbearbeitungen nicht bereits in jenem Zeitpunkt standardmässig aktiviert werden, in welchem die Webseite aufgerufen wird. Um eine vorgängige Information zu ermöglichen, ist die Implementierung einer Zwei-Klick-Lösung angezeigt, die sicherstellt, dass das JavaScript erst aktiviert wird, nachdem der Besucher informiert wurde und damit einverstanden ist. Dies gilt insbesondere bei der Einbindung von Social Plugins, Tracking-Pixel und weiteren Drittdiensten.

3.13.2 Consent-Banner

Zur technischen Umsetzung der Informations- und Selbstbestimmungsrechte der Webseitenbesuchenden (s. Ziff. 3.10.3), des Einholens von Einwilligungen (Opt-In) sowie der anschliessenden Speicherung erlaubter Cookies oder Blockierung nicht notwendiger Cookies durch Einlegen eines Widerspruchs (Opt-out) sind in der Praxis sogenannte «Cookie-Banner» oder CMPs gebräuchlich.

Die Nutzenden werden mittels solcher Banner über die Möglichkeiten zur Aktivierung oder Deaktivierung einzelner Aspekte und Funktionalitäten einer Webseite aufgeklärt und können diesbezüglich informierte und selbstbestimmte Entscheidungen treffen, die sie dem Betreiber der Webseite sowie allfälligen Dritten mitteilen. Dies z.B. durch Setzen entsprechender Häkchen bzw. Abwahl bereits angekreuzter Kästchen oder durch Klicken auf entsprechende Schaltflächen.

Bei der technischen Umsetzung von «Consent-Bannern» zur Einholung einer ausdrücklichen Einwilligung im Sinne von Art. 6 Abs. 7 DSG müssen die Verantwortlichen stets Schaltflächen oder Felder einsetzen, die den Nutzenden ein aktives Anklicken oder Setzen von Zeichen abverlangen, mit denen Letztere ihre ausdrückliche Zustimmung visualisiert zu manifestieren haben (s. Ziff. 3.12.6). Entscheidet sich der Webseitenbetreiber, bestimmte Bearbeitungen und Bearbeitungsmodalitäten, für die das Gesetz keine ausdrückliche Einwilligung verlangt 58, standardmässig voreinzustellen, darf er die Abwahl eines bereits angekreuzten Kastens nicht komplizierter gestalten als die Auswahl desselben.

Entscheidet der Webseitenbetreiber im «Consent-Banner» sowohl Datenbearbeitungen abzubilden, für die er eine Einwilligung einholt, als auch solche, für die dies nicht der Fall ist, muss für die Betroffenen klar erkennbar sein, welche Felder obligatorisch und welche optional anzuklicken sind. Bei der visuellen Umsetzung der «Consent-Banner» müssen die Verantwortlichen zudem darauf achten, dass der Einsatz von Schriften, Bildern und Farben bei der Ausübung von Gestaltungsrechten nicht zu Verwirrung, Versehen oder Unterlassungen führt (s. Ziff. 3.12.4).

Gemäss Art. 6 Abs. 7 DSG muss Einwilligung muss die ausdrücklich erfolgen für: a. die Bearbeitung von besonders schützenswerten Personendaten; b. ein Profiling mit hohem Risiko durch eine private Person; oder c. ein Profiling durch ein Bundesorgan.

Eidgenössischer Datenschutz- und Anhang A Öffentlichkeitsbeauftragter Leitfaden des EDÖB betreffend Datenbearbeitungen mittels Cookies und ähnlichen Technologien EDÖB Datenschutz

Risikofaktoren von Cookie-Einsätzen Risikowerte 1-3 Risiken von Cookie-Einsätzen Nein 0 0 - 1 geringes Risiko 1 - 2.5 mittleres Risiko 3 hohes Risiko Personenbezug Ja 1 Ja 1 Personenbezug Technisch notwendig Nein 2 3 Ja 1 2.5 Wird von Nutzenden erwartet Nein 2.5 Nein 1 2 Profiling Ja 2 Ungewöhnlichkeit des Technische Verzichtbarkeit Cookie Einsatzes 1.5 der Cookies Ja 3 Profiling mit hohem Risiko 1 Besonders schützenswerte Nein 1 0.5 Personendaten Ja 3

Gestaltungsrechte der Betroffenen Gestaltungsrechte der Intensität des Profilings Betroffenen Bei Risikowerten 0 – 1 Annahme oder Verzicht für (notwendige Cookies) ganzes Angebot Bei Risikowerten 1 - 2.5 Opt-out obligatorisch (funktionale Cookies und Cookie-Einsätze mit «normalem» Profiling) Sensibilität der Personendaten Bei Risikowerten > 2.5 Opt-in obligatorisch (qualifizierte Cookie-Einsätze)