AlpiStats
AnmeldenGratis testen
Blog

Ist Google Analytics in der Schweiz legal?

Das AlpiStats-Team · Veröffentlicht am · Aktualisiert am

Kurze Antwort: Ja. Kein Schweizer Gesetz verbietet Google Analytics. Seit dem 15. September 2024 dürfen Daten an US-Unternehmen übermittelt werden, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind, worauf sich Google beruft. Für einen rechtmässigen Einsatz braucht es aber drei Dinge: Die Besucherinnen und Besucher informieren (Datenschutzerklärung), ihnen die Möglichkeit geben, Messcookies abzulehnen (Art. 45c FMG) und ihre vorgängige Einwilligung einholen, wenn sich Ihre Website auch an Besucher aus der Europäischen Union richtet. Der Rahmen für den Datentransfer bleibt zudem fragil.

Letzte Überprüfung der Quellen: 16. Oktober 2026. Text aktualisiert am 17. Oktober 2026 (Regelung von AlpiStats). Dieser Artikel dient der Information; er ersetzt keine Rechtsberatung.

Warum sich die Frage stellt

Google Analytics (GA4) setzt Cookies im Browser der Besucher und sendet Browsing-Daten an Google LLC, ein US-Unternehmen. In der Schweiz sind dabei drei verschiedene Regelungen betroffen:

  1. Das Datenschutzgesetz (revidiertes DSG, kurz «revDSG»), in Kraft seit dem 1. September 2023: Es regelt jede Bearbeitung von Personendaten, einschliesslich Cookie-Kennungen und IP-Adressen.
  2. Artikel 45c des Fernmeldegesetzes (FMG): Er regelt speziell das Speichern oder Auslesen von Informationen auf dem Gerät einer anderen Person, also Cookies.
  3. Die Regeln zur Bekanntgabe von Personendaten ins Ausland (Art. 16 und 17 revDSG): Sie gelten, sobald Daten die Schweiz verlassen.

Zwischen 2020 und 2022 haben mehrere europäische Behörden (namentlich in Österreich, Frankreich und Italien) den Einsatz von Google Analytics für unzulässig erklärt, weil in den USA kein ausreichender Schutz bestehe. Diese Entscheide wurden in der Schweiz breit diskutiert und nähren bis heute die Vorstellung, «Google Analytics sei verboten». Nach Schweizer Recht trifft das nicht zu, und die Lage hat sich seither verändert.

Datentransfers in die USA sind wieder möglich

Am 14. August 2024 hat der Bundesrat die USA in die Liste der Staaten mit angemessenem Datenschutzniveau aufgenommen, allerdings nur für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework (DPF) zertifiziert sind. Die Änderung der Datenschutzverordnung ist am 15. September 2024 in Kraft getreten. Seither sind für solche Übermittlungen keine zusätzlichen Garantien mehr nötig.

Google gibt an, sich seit dem 16. September 2024 «unter bestimmten Umständen» auf diesen Rahmen zu stützen, und zwar für Datenübermittlungen aus der Schweiz in die USA im Zusammenhang mit seinen Werbe- und Messprodukten. Für die übrigen Fälle verweist Google auf die Standardvertragsklauseln.

Was das konkret heisst: Die Übermittlung selbst ist nicht mehr das Hauptproblem. Sie muss aber in Ihrer Datenschutzerklärung erwähnt werden, mit Bestimmungsstaat und verwendeter Garantie (Art. 19 revDSG).

Ein Rahmen, der fragil bleibt

Die beiden früheren Abkommen zwischen Europa und den USA (Safe Harbor 2015, Privacy Shield 2020) wurden vom Gerichtshof der EU (EuGH) für ungültig erklärt, und die Schweiz ist dem jedes Mal gefolgt. Der heutige Rahmen hat eine erste Klage überstanden: Das Gericht der EU (EuG) hat ihn am 3. September 2025 bestätigt (Rechtssache Latombe). Am 31. Oktober 2025 wurde beim EuGH ein Rechtsmittel eingelegt; unseres Wissens ist es im Oktober 2026 noch hängig.

Der Schweizer Rahmen ist rechtlich vom europäischen getrennt, spiegelt ihn aber. Würde der EuGH den EU-Rahmen aufheben, wäre eine Infragestellung auch auf Schweizer Seite wahrscheinlich. Eine Website, die vollständig von Google Analytics abhängt, trägt daher nicht nur ein rechtliches Risiko, sondern ein Ausfallrisiko.

Cookies: In der Schweiz sind Information und Ablehnungsmöglichkeit Pflicht

Art. 45c FMG verlangt bei nicht notwendigen Cookies, dass die Besucher über deren Einsatz und Zweck informiert werden und darauf hingewiesen werden, dass sie sie ablehnen können. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat diese Regeln in einem Leitfaden zu Cookies präzisiert, der im Januar 2025 veröffentlicht und am 6. Oktober 2025 aktualisiert wurde.

Daraus ergibt sich für Google Analytics:

  • Die Reichweitenmessung kann durch ein überwiegendes Interesse des Betreibers gerechtfertigt sein, namentlich wenn die Daten so früh wie möglich anonymisiert werden und die Ergebnisse keine Rückschlüsse auf Personen zulassen (EDÖB-Leitfaden, Ziff. 3.8.2).
  • Sie entbindet aber nie vom Ablehnungsrecht nach Art. 45c FMG. Dieses Recht muss ab dem ersten Besuch sichtbar sein und mit wenigen Klicks ausgeübt werden können.
  • Eine ausdrückliche Einwilligung (Opt-in) wird nötig, wenn die Bearbeitung bis zu einem Profiling mit hohem Risiko geht oder besonders schützenswerte Personendaten betrifft. Der EDÖB verlangt, dieses Risiko so lange zu vermuten, wie es sich nicht ausschliessen lässt. Wer Google Signals aktiviert, GA4 mit Google Ads verknüpft oder Daten mit anderen Quellen abgleicht, kann in diese Kategorie fallen.

👉 Die Einzelheiten erklären wir in unserem Artikel Braucht es in der Schweiz einen Cookie-Banner?.

Was GA4 mit IP-Adressen macht

Laut der Dokumentation von Google erhebt GA4 die Daten von Besuchern in der EU, in der Schweiz und im Vereinigten Königreich über Server in Europa. Die IP-Adresse dient dort dazu, einen ungefähren Standort (Land, Region, Stadt) abzuleiten, und wird anschliessend gelöscht: Sie wird weder protokolliert noch gespeichert. Die Daten werden danach zur Verarbeitung an die Analytics-Server weitergeleitet, ohne dass Google deren Standort nennt.

Das ist ein echter Fortschritt gegenüber der früheren Version (Universal Analytics). Es genügt aber nicht, um die Daten zu anonymisieren: GA4 verwendet weiterhin eine Cookie-Kennung, die denselben Browser von einem Besuch zum nächsten wiedererkennt, und das gilt im Sinne des revDSG weiterhin als Personendaten.

Wer ist verantwortlich, und was riskiert man?

Verantwortlich ist der Betreiber der Website, nicht Google. Der EDÖB sagt dies deutlich: Wer die Website besitzt, entscheidet über die Einbindung des Tools und kann sich nicht auf die Nutzungsbedingungen des Anbieters berufen.

Das revDSG sieht Strafen vor, die sich gegen natürliche Personen (Geschäftsleitung, Verantwortliche) richten, nicht gegen das Unternehmen selbst:

  • eine Busse von bis zu CHF 250'000 bei vorsätzlicher Verletzung der Informationspflicht (Art. 60 revDSG);
  • dieselbe Höchstbusse bei bestimmten Verletzungen von Sorgfaltspflichten, darunter eine Bekanntgabe von Personendaten ins Ausland, die nicht den gesetzlichen Vorgaben entspricht (Art. 61 revDSG).

Diese Delikte werden auf Antrag verfolgt und von den kantonalen Strafbehörden beurteilt. In der Praxis ist das häufigste Risiko für ein KMU nicht die Busse, sondern eine Beschwerde eines Besuchers, eine Untersuchung des EDÖB oder die Anforderung eines Kunden (öffentliche Ausschreibung, Grosskunde, Gesundheits- oder Finanzbranche), der Garantien verlangt.

Checkliste: Google Analytics in der Schweiz rechtskonform einsetzen

  1. Datenschutzerklärung: Google als Empfänger nennen, die USA als Bestimmungsland und das Swiss-U.S. DPF als Garantie angeben, Zwecke und Aufbewahrungsdauer beschreiben.
  2. Ablehnungsrecht: ein Link oder Banner, der ab dem ersten Besuch sichtbar ist und GA4 nach erfolgter Ablehnung tatsächlich blockiert.
  3. GA4-Einstellungen: Google Signals deaktivieren, wenn Sie es nicht brauchen, detaillierte Standort- und Gerätedaten für die Schweiz einschränken, die Aufbewahrungsdauer der Daten auf das nötige Minimum verkürzen und, wenn möglich, die Datenweitergabe an Google deaktivieren.
  4. Auftragsbearbeitungsvertrag: die Datenverarbeitungsbedingungen von Google (Google Ads Data Processing Terms) im Administrationsbereich akzeptieren.
  5. Keine Personendaten in den URL: E-Mail-Adressen, Kundennummern oder Tokens in URL-Parametern landen in den Berichten.
  6. EU-Besucher: Wenn sich Ihre Website auch an sie richtet, eine vorgängige Einwilligung (Opt-in) einrichten, bevor GA4 geladen wird. Siehe Schweizer Website und EU-Besucher: DSG oder DSGVO?.
  7. Plan B: wissen, wie Sie Ihre Reichweite messen würden, wenn der Rahmen für den Datentransfer wegfiele.

Wann lohnt sich eine Alternative?

Google Analytics bleibt ein sehr umfassendes Tool, in der Standardversion zudem kostenlos. Eine Alternative ist sinnvoll, wenn:

  • Sie vor allem die Basiszahlen nutzen (Besuche, Seitenaufrufe, Quellen, Länder, Geräte);
  • Sie die Verwaltung von Einwilligungen vereinfachen und weniger vom Transferrahmen abhängen möchten;
  • Ihre Kunden oder Ihre Branche eine Datenhaltung in der Schweiz verlangen;
  • Sie die Oberfläche von GA4 für Ihren Bedarf zu komplex finden.

In der Schweiz gehostete Messtools decken diese Fälle ab, sofern Sie deren Regeln akzeptieren. AlpiStats legt die Daten zum Beispiel in der Schweiz bei Infomaniak ab und wendet die strengste Regel auf alle Besucher an, in der Schweiz wie in der EU: Es misst die Reichweite in beiden Modi erst nach der Einwilligung des Besuchers und führt bei einer Ablehnung keinerlei Messung durch. Der Modus Essenziell misst die Reichweite (Seiten, Herkunft, Gerät, Land) ohne dauerhafte Reichweiten-Kennung im Browser; der Modus Vollständig erkennt zusätzlich wiederkehrende Besucher mithilfe einer zufälligen Kennung, ohne Cookie, die höchstens sechs Monate gespeichert bleibt, mit pseudonymisierten Detailbesuchen. Besucher können ihre Einwilligung jederzeit über ein dauerhaftes Badge widerrufen. Der Preis dafür ist bewusst gewählt: Die Statistiken erfassen nur Besucher, die zugestimmt haben, rechnen Sie also mit tieferen Zahlen als bei einem Tool, das zählt, ohne die Zustimmung abzuwarten. Es lässt sich während einer Übergangszeit parallel zu Google Analytics betreiben, was den Vergleich ermöglicht. AlpiStats und Google Analytics vergleichen.

Häufige Fragen

Ist Google Analytics in der Schweiz verboten?

Nein. Kein Schweizer Entscheid verbietet es. Die oft zitierten Verbote stammen von europäischen Behörden und datieren von 2022, also aus der Zeit vor dem Data Privacy Framework.

Braucht es die Einwilligung von Schweizer Besuchern, um Google Analytics zu nutzen?

In der Regel nein: Information und Ablehnungsmöglichkeit genügen. Eine ausdrückliche Einwilligung wird bei Profiling mit hohem Risiko oder bei besonders schützenswerten Personendaten nötig, und sie ist für Besucher aus der EU erforderlich.

Genügt die IP-Anonymisierung von GA4?

Sie verringert die Risiken, macht die Daten aber nicht anonym, weil GA4 Browser dank seiner Cookies von einem Besuch zum nächsten wiedererkennt.

Was passiert, wenn das Data Privacy Framework aufgehoben wird?

Die Übermittlungen an Google müssten wieder auf anderen Garantien beruhen (Standardvertragsklauseln und Risikobeurteilung), wie zwischen 2020 und 2024. Betroffene Websites müssten ihre Konformität rasch überprüfen.

Darf eine öffentliche Verwaltung Google Analytics nutzen?

Der EDÖB verlangt von Bundesorganen eine ausdrückliche Einwilligung, selbst bei normalem Profiling. Kantonale und kommunale Verwaltungen unterstehen dem kantonalen Recht, das oft strenger ist; sie sollten dies bei der kantonalen Datenschutzstelle abklären.

Quellen

Testen Sie AlpiStats auf Ihrer Website

30 Tage gratis, ohne Karte. Grundinstallation in wenigen Minuten, wenn Sie Zugriff auf Ihre Website haben.

Konto erstellen