DSGVO, Schweizer DSG und ePrivacy: der rechtliche Rahmen der Einwilligung
Die DSGVO (Datenschutz-Grundverordnung) ist der europäische Rahmen, der die Erhebung und Verarbeitung personenbezogener Daten seit Mai 2018 regelt. In Bezug auf Cookies und Tracker ist es die ePrivacy-Richtlinie, die eine ausdrückliche Einwilligung vor dem Setzen nicht streng notwendiger Cookies verlangt.
Das DSG (Bundesgesetz über den Datenschutz) ist das Schweizer Äquivalent zur DSGVO, das in seiner revidierten Fassung seit September 2023 in Kraft ist. Die Grundsätze ähneln der DSGVO, weisen aber bemerkenswerte Unterschiede auf: Das DSG verfolgt einen risikobasierten Ansatz, verlangt nicht in allen Fällen einen Datenschutzbeauftragten, und die Bussen richten sich an die verantwortlichen natürlichen Personen (bis zu 250.000 CHF) statt an die Unternehmen. Für Unternehmen im Genfersee-Becken, die auf beiden Seiten der Grenze tätig sind, gelten beide Regelwerke gleichzeitig.
Die Aufsichtsbehörden haben ihre Kontrollen seit 2022 verschärft. Die am häufigsten geahndeten Verstösse: fehlendes Cookie-Banner, Setzen von Trackern vor der Einwilligung, keine gleichwertige Möglichkeit zur Ablehnung wie zur Zustimmung und Datenerhebung durch nicht deklarierte Drittanbieter-Scripts.
Consent Mode v2: warum Google es vorschreibt und wie es funktioniert
Consent Mode v2 ist ein von Google entwickeltes Protokoll, das Google-Tags (Analytics, Ads, Floodlight) erlaubt, ihr Verhalten an die Einwilligung des Nutzers anzupassen. Konkret verhindert der Consent Mode bei Cookie-Ablehnung das Setzen von Cookies, sendet aber dennoch anonymisierte Pings an Google. Diese Signale ermöglichen es den Algorithmen, fehlende Conversions zu modellieren, ohne die Einwilligung zu verletzen.
Seit März 2024 schreibt Google Consent Mode v2 für jeden Werbetreibenden vor, der Nutzer im Europäischen Wirtschaftsraum anspricht. Ohne diese Implementierung verlieren Google Ads Kampagnen zwischen 30 und 40 % ihrer Conversion-Signale (Google-Daten, 2024). Remarketing-Audiences schrumpfen, Gebotsalgorithmen haben weniger Daten zur Optimierung und die Kosten pro Akquise steigen mechanisch.
Consent Mode v2 führt gegenüber Version 1 zwei neue Parameter ein: ad_user_data (Einwilligung zur Übermittlung von Nutzerdaten an Google für Werbezwecke) und ad_personalization (Einwilligung zur Personalisierung von Anzeigen). Diese Parameter müssen von der CMP (Consent Management Platform, die Plattform, die das Cookie-Banner anzeigt) an Google Tag Manager übermittelt werden, der sie an die Google-Tags weiterleitet. Ein fehlendes Glied in dieser Kette reicht aus, um die gesamte Konfiguration zu entwerten.
CMP auswählen und konfigurieren: Cookiebot, Axeptio, OneTrust
Eine CMP (Consent Management Platform) ist das Tool, das das Cookie-Einwilligungsbanner anzeigt, die Entscheidungen des Nutzers erfasst und speichert und diese Entscheidungen über den Consent Mode an die Tracking-Tags weitergibt. Die Wahl der CMP hängt von drei Kriterien ab: Kompatibilität mit Ihrem technischen Stack, Konformität mit den geltenden Vorschriften und Auswirkung auf die Nutzererfahrung.
Cookiebot (Usercentrics). Dänische Lösung, von Google für Consent Mode v2 zertifiziert. Cookiebot scannt Ihre Website automatisch, um Cookies und Drittanbieter-Scripts zu erkennen, was die anfängliche Konformität vereinfacht. Kompatibel mit GTM, WordPress, Shopify und den meisten CMS. Erschwinglicher Preis für KMU (ab 12 Euro pro Monat). Der automatische Scanner kann jedoch dynamisch geladene Scripts übersehen.
Axeptio. Französische Lösung mit einem differenzierenden UX-Ansatz: Das Cookie-Banner ist darauf ausgelegt, angenehm statt aufdringlich zu sein. Die beobachteten Einwilligungsraten sind typischerweise 10 bis 15 % höher als bei Standardbannern. Axeptio ist DSGVO-konform und Consent Mode v2-kompatibel. Die Konfigurationsoberfläche ist intuitiver als die von Cookiebot. Der automatische Cookie-Scan ist weniger umfassend, was eine gründlichere manuelle Konfiguration erfordert.
OneTrust. Enterprise-Plattform für grosse Organisationen mit Multi-Jurisdiktions-Anforderungen. OneTrust verwaltet DSGVO, CCPA (Kalifornien), Schweizer DSG und weitere Vorschriften in einer einheitlichen Oberfläche. Kosten und Konfigurationskomplexität reservieren sie für mittlere bis grosse Unternehmen oder internationale Konzerne.
Der grenzüberschreitende Aspekt Hochsavoyen / Schweiz
Unternehmen in der Nähe der Schweizer Grenze, die eine Schweizer Kundschaft bedienen oder Grenzgänger beschäftigen, stehen vor einer doppelten Konformitätspflicht. Die DSGVO gilt für alle bei EU-Einwohnern erhobenen Daten. Das DSG gilt, sobald Daten von Schweizer Einwohnern verarbeitet werden, auch von einem Server in Frankreich aus.
Im Genfersee-Becken ist diese Situation alltäglich. Ein E-Commerce-Unternehmen in Annemasse, das nach Genf liefert, erhebt Daten, die beiden Regelwerken unterliegen. Eine Arztpraxis in Thonon-les-Bains, die Schweizer Patienten empfängt, muss neben der DSGVO auch das DSG einhalten. Die CMP muss daher so konfiguriert sein, dass sie den geografischen Ursprung des Besuchers erkennt und den entsprechenden Rechtsrahmen anwendet.
Server-Side Tracking bietet in diesem grenzüberschreitenden Kontext eine zusätzliche Kontrollschicht. Der Zwischenserver ermöglicht es, Daten nach ihrer Jurisdiktion zu filtern und zu routen, bevor sie an Drittplattformen weitergeleitet werden. Daten von Schweizer Besuchern können mit den spezifischen DSG-Anforderungen behandelt werden, ohne die Verarbeitung europäischer Daten unter der DSGVO zu beeinträchtigen.
Der Consent-Agent: was er autonom ausführt
Der Consent-Agent scannt den Quellcode Ihrer Website, identifiziert jedes Cookie und Drittanbieter-Script und prüft die Konsistenz zwischen CMP-Deklaration und aktiven Trackern. Der menschliche Architekt validiert die Compliance-Strategie und die Grenzwerte für Einwilligungsraten.
Dieses automatisierte Audit reproduziert in wenigen Minuten die Kontrolle, die die Aufsichtsbehörde bei einer Prüfung durchführt. Die Ergebnisse werden in einem Bericht präsentiert, der jede Nichtkonformität mit ihrem Risikoniveau und ihrer Korrektur auflistet. Dieser präventive Ansatz ist deutlich günstiger als die Nachbesserung nach einer Sanktion.
Die zweite Ebene betrifft die Optimierung der Einwilligungsraten. Die KI analysiert die Variationen der Zustimmungsrate je nach Banner-Design, Anzeigezeitpunkt, Wording und Seitentyp. Auf Basis dieser Daten passen wir die CMP-Konfiguration an, um die Einwilligung zu maximieren und gleichzeitig die gesetzlichen Anforderungen einzuhalten. Eine Einwilligungsrate, die von 55 % auf 70 % steigt, bedeutet 15 % mehr Werbesignale für GA4 und Google Ads, ohne jede Änderung an den Kampagnen selbst.
Leistungen und erwartete Ergebnisse
Jede Consent-Management-Mission liefert konkrete und dokumentierte Ergebnisse. Das Compliance-Audit erzeugt einen vollständigen Bericht: Inventar aller Cookies und Drittanbieter-Scripts, Klassifizierung nach Kategorie (notwendig, funktional, analytisch, Marketing), Identifikation der Nichtkonformitäten und priorisierter Korrekturplan. Die CMP-Implementierung umfasst Installation, Consent Mode v2 Konfiguration, Integration mit GTM und Verifizierung der korrekten Funktion auf allen Browsern und Geräten.
Die technische Rechtsdokumentation formalisiert die Konfigurationsentscheidungen: Welche Rechtsgrundlage rechtfertigt jede Verarbeitungskategorie, welche Cookies werden gesetzt und für welche Dauer, wie werden Daten an Drittplattformen übermittelt. Dieses Dokument dient als Konformitätsnachweis bei einer Kontrolle. Auf der Ergebnisseite erreichen unsere Kunden vollständige DSGVO- und DSG-Konformität, eine um 15 bis 20 % gestiegene Einwilligungsrate dank UX-Optimierung des Banners und einen funktionstüchtigen Consent Mode v2, der die Google Ads Werbesignale trotz Cookie-Ablehnung bewahrt.