Kurz gesagt: Spanisches Recht verlangt von jeder Website eine vorherige, informierte Einwilligung, bevor nicht unbedingt erforderliche Cookies eingesetzt werden, auf Grundlage von Art. 22.2 LSSI in Verbindung mit DSGVO und LOPDGDD. Es gilt für in Spanien niedergelassene Anbieter und für Anbieter außerhalb der EU, die sich gezielt an spanische Nutzer richten. Die AEPD setzt es aktiv durch, mit Bußgeldern bis 30.000 € je Cookie-Verstoß nach LSSI, mehr im Wiederholungsfall, und DSGVO-Sanktionen, wenn personenbezogene Daten rechtswidrig verarbeitet werden.
LOPDGDD: Worum geht es?
Die LOPDGDD ist die Ley Orgánica 3/2018 vom 5. Dezember 2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte. Sie wurde im spanischen Gesetzblatt BOE Nr. 294 vom 6. Dezember 2018 veröffentlicht und trat am Tag darauf, dem 7. Dezember 2018, in Kraft. Nach Art. 1 hat sie zwei Ziele: das spanische Recht an die DSGVO anzupassen und deren Bestimmungen zu ergänzen, und die digitalen Rechte der Bürger zu gewährleisten (Titel X, Art. 79 bis 97). Sie ersetzt die DSGVO nicht, sondern füllt die Spielräume aus, die das EU-Recht den Mitgliedstaaten lässt, ähnlich wie das BDSG in Deutschland.
Für Cookies ist allerdings ein anderes Gesetz maßgeblich: Art. 22.2 des Gesetzes 34/2002 über Dienste der Informationsgesellschaft und den elektronischen Geschäftsverkehr (LSSI). Es ist die spanische Umsetzung von Art. 5 Abs. 3 der ePrivacy-Richtlinie, das spanische Gegenstück zu § 25 TDDDG. Danach dürfen Anbieter „Vorrichtungen zur Speicherung und zum Abruf von Daten“ auf den Endgeräten der Nutzer nur verwenden, wenn diese eingewilligt haben, nachdem sie klare und vollständige Informationen über deren Nutzung erhalten haben, insbesondere über die Zwecke der Verarbeitung.
Der Artikel verweist noch auf das alte spanische Datenschutzgesetz von 1999. Die AEPD erklärt in ihrem Cookie-Leitfaden, dass dieser Verweis heute als Verweis auf die DSGVO (anwendbar seit dem 25. Mai 2018) und die LOPDGDD (anwendbar seit dem 7. Dezember 2018) zu lesen ist. Das spanische Cookie-Recht hat also drei Ebenen:
- Art. 22.2 LSSI entscheidet, wann eine Einwilligung nötig ist;
- DSGVO und LOPDGDD legen fest, was eine wirksame Einwilligung ist, und regeln die über Cookies erhobenen personenbezogenen Daten;
- der Cookie-Leitfaden der AEPD, zuletzt im Mai 2024 aktualisiert, erklärt die Anwendung auf Banner.
Räumlicher Anwendungsbereich. Die LSSI gilt für in Spanien niedergelassene Anbieter von Diensten der Informationsgesellschaft und für Dienste über eine feste Niederlassung in Spanien. Auch Anbieter außerhalb von EU und EWR, die ihre Dienste gezielt auf Spanien ausrichten, unterliegen ihren Pflichten.
Wer ist betroffen?
In der Praxis betrifft das spanische Cookie-Recht:
- Unternehmen, Selbstständige, Vereine und Behörden, die von Spanien aus eine Website oder App betreiben;
- Unternehmen außerhalb der EU, die spanische Nutzer ansprechen;
- alle, deren Cookies personenbezogene Daten von Personen in Spanien verarbeiten, die zusätzlich DSGVO und LOPDGDD einhalten müssen.
Für ein deutsches Unternehmen mit spanischer Shop-Version heißt das: Das Setzen von Cookies richtet sich in der Regel nach dem Recht des Niederlassungsstaats, also dem TDDDG, die AEPD bleibt aber über die DSGVO zuständig, wenn spanische Nutzer betroffen sind. Da die Anforderungen der AEPD und der DSK an Banner sehr ähnlich sind, genügt in der Praxis ein sauber gestalteter Banner für beide Märkte.
Der Begriff „Cookie“ ist laut AEPD weit zu verstehen: Art. 22.2 erfasst jede Vorrichtung zum Speichern oder Abrufen von Daten auf dem Endgerät, einschließlich Web Beacons und Fingerprinting.
Was die LOPDGDD für Cookies und Einwilligung vorschreibt
Vorherige Einwilligung für alles nicht unbedingt Erforderliche
Spanien folgt dem Opt-in-Modell. Laut AEPD dürfen Cookies erst verwendet werden, wenn der Nutzer die erforderlichen Informationen erhalten und eingewilligt hat.
Ausgenommen sind Cookies, die nur der Übertragung einer Nachricht dienen oder für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Die AEPD nennt unter anderem Cookies für Nutzereingaben (Formulare, Warenkorb), Authentifizierung, Sicherheit, Lastverteilung und vom Nutzer selbst gewählte Oberflächeneinstellungen wie Sprache oder Schriftgröße, sofern sie nur diesem Zweck dienen.
Alle anderen Cookies brauchen eine Einwilligung, auch Analyse-Cookies: Die AEPD stellt klar, dass sie nicht ausgenommen sind, auch wenn Erstanbieter-Cookies mit aggregierten Statistikdaten wenig Risiko bergen.
Was eine wirksame Einwilligung ausmacht
Art. 6 LOPDGDD übernimmt die DSGVO-Definition: freiwillige, bestimmte, informierte und unmissverständliche Willensbekundung durch Erklärung oder eindeutige bestätigende Handlung. Bei mehreren Zwecken muss eindeutig feststehen, dass die Einwilligung für jeden gilt. Die AEPD konkretisiert für Cookies:
- Weitersurfen ist keine wirksame Einwilligung, wie der Europäische Datenschutzausschuss festgestellt hat;
- das Lesen der zweiten Ebene oder das Navigieren in den Einstellungen ist ebenfalls keine Zustimmung;
- vorausgewählte Kästchen zugunsten der Annahme sind unzulässig;
- für Minderjährige unter 14 Jahren muss die Einwilligung von den Sorgeberechtigten kommen (Art. 7 LOPDGDD).
Information in Ebenen
Art. 11 LOPDGDD erlaubt eine Information in Ebenen: Basisinformationen (Verantwortlicher, Zweck, Rechte) und ein Link zu den übrigen Angaben. Die AEPD überträgt das auf Cookies: eine kurze erste Ebene im Banner und eine zweite Ebene, meist die Cookie-Richtlinie, mit Details zu jedem Cookie, seinem Anbieter und seiner Laufzeit.
Dauer, Widerruf und Nachweis
Dauer. Die AEPD hält es für gute Praxis, dass die Einwilligung für einen Cookie höchstens 24 Monate gilt und die Wahl in dieser Zeit gespeichert bleibt. Ändern sich Zwecke oder Dritte, müssen Sie erneut fragen.
Widerruf. Nutzer müssen ihre Einwilligung jederzeit widerrufen können, so einfach wie bei der Erteilung. Das ist laut AEPD gegeben, wenn ein einfacher und dauerhafter Zugang zu den Cookie-Einstellungen besteht.
Nachweis. Nach Art. 7 Abs. 1 DSGVO müssen Sie die Einwilligung nachweisen können. Ein Protokoll mit Datum, Wahl und Bannerversion ist der praktische Weg.
Der LOPDGDD-konforme Cookie-Banner
Der Leitfaden der AEPD ist einer der detailliertesten Europas. Die allgemeinen Grundsätze erklärt unser Leitfaden zum DSGVO-konformen Cookie-Banner, hier die spanischen Besonderheiten.
Die erste Ebene muss vor der Nutzung der Cookies erscheinen und sichtbar bleiben, bis der Nutzer handelt. Sie enthält die Identität des Anbieters, die Zwecke der Cookies und ob es eigene oder fremde sind, allgemeine Angaben zu Profilbildung, die Möglichkeiten zum Akzeptieren, Konfigurieren und Ablehnen sowie einen gut sichtbaren Link zur zweiten Ebene.
Die Buttons. Die Ablehnoption muss gleichzeitig, auf derselben Ebene und mit derselben Sichtbarkeit wie die Annahme angeboten werden, ohne Verweis auf eine andere Ebene. Gibt es einen Button „Aceptar“, braucht es einen vergleichbaren Button „Rechazar“, dazu einen Link zu einem Einstellungsbereich mit Wahl mindestens nach Zweck.
Verbotene Praktiken. Der Banner darf nicht den Eindruck erwecken, dass die Annahme Pflicht sei, nicht deutlich zur Annahme drängen und keine irreführenden Farben oder Kontraste verwenden. Das sind dieselben Dark Patterns, die europäische Behörden verfolgen, wie unser Artikel zu Cookie Dark Patterns zeigt.
Cookie-Walls. Cookie-Walls ohne Alternative zur Einwilligung sind unzulässig. Eine Zugangsverweigerung ist nur mit angemessener Information und einer alternativen Zugangsmöglichkeit ohne Cookies möglich, die nicht kostenlos sein muss.
Sanktionen und Kontrollen
Die AEPD beaufsichtigt DSGVO und LOPDGDD und ist nach Art. 43 LSSI auch für Sanktionen bei Cookie-Verstößen zuständig. Nach der LSSI gilt:
- Cookies ohne die nach Art. 22.2 erforderliche Information oder Einwilligung sind ein leichter Verstoß (Art. 38.4.g) mit Bußgeld bis 30.000 € (Art. 39);
- die Wiederholung, rechtskräftig festgestellt in den drei Jahren zuvor, ist ein schwerer Verstoß (Art. 38.3.i) mit 30.001 bis 150.000 €;
- die Höhe richtet sich unter anderem nach Vorsatz, Dauer, Wiederholung, Schaden und Gewinn (Art. 40).
Betreffen Cookies personenbezogene Daten, gilt zusätzlich das DSGVO-Regime: Die Verarbeitung ohne Rechtsgrundlage nach Art. 6 DSGVO ist nach Art. 72 LOPDGDD ein sehr schwerer Verstoß, der nach drei Jahren verjährt, und Art. 83 Abs. 5 DSGVO sieht bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes vor. Nach Art. 76.4 LOPDGDD werden AEPD-Bußgelder über eine Million Euro gegen juristische Personen im BOE veröffentlicht.
Von der AEPD veröffentlichte Fälle:
- Iberia, 30.000 € (PS/00032/2020). Nutzer konnten ohne Klick auf „Akzeptieren“ oder „Cookie-Einstellungen“ nicht weitersurfen, es gab keine Möglichkeit, alle Cookies auf einmal abzulehnen, und Drittanbieter-Cookies und Laufzeiten wurden nicht genannt. (Entscheidung der AEPD)
- Vodafone España, 20.000 € (PS/00567/2022). Mit Entscheidung vom 28. April 2023 ahndete die AEPD Mängel der Cookie-Richtlinie und den Einsatz nicht technischer Cookies ohne Einwilligung und wies den Widerspruch des Unternehmens zurück. (Entscheidung der AEPD)
- Grupo Massimo Dutti, 5.000 € (PS/00051/2023). Auf der ersten Ebene fehlte „Alle ablehnen“, der Einstellungslink war ein schlichter Text neben einem hervorgehobenen „Alle akzeptieren“, und es gab keinen dauerhaften Zugang zum Widerruf. (Entscheidung der AEPD)
Checkliste zur Umsetzung
- Prüfen Sie Ihre Website auf alle Cookies, Pixel, Local-Storage-Einträge und Fingerprinting-Skripte mit Anbieter, Zweck und Laufzeit.
- Trennen Sie ausgenommene Cookies von einwilligungsbedürftigen, einschließlich Analyse.
- Blockieren Sie nicht ausgenommene Cookies bis zur Einwilligung.
- Zeigen Sie auf der ersten Ebene Akzeptieren, Ablehnen und Konfigurieren, mit gleich sichtbarem Ablehnen-Button.
- Entfernen Sie Dark Patterns: keine vorausgewählten Kästchen, kein „Weitersurfen heißt Zustimmung“.
- Bieten Sie Einstellungen nach Zweck mit klaren Beschreibungen auf Spanisch.
- Richten Sie einen dauerhaften Widerrufszugang ein, etwa einen Link auf jeder Seite.
- Sichern Sie Einwilligungsnachweise (Datum, Wahl, Bannerversion).
- Erneuern Sie die Einwilligung spätestens nach 24 Monaten.
- Aktualisieren Sie Ihre Cookie-Richtlinie mit Dritten, Zwecken und Laufzeiten.
Wie FlowConsent Ihnen hilft, die LOPDGDD einzuhalten
FlowConsent bietet einen Banner nach den Erwartungen der AEPD: Akzeptieren, Ablehnen und Konfigurieren gleichwertig auf der ersten Ebene, Kategorien nach Zweck, nichts vorausgewählt. Skripte werden vor der Einwilligung blockiert, Analyse- und Werbe-Tags laufen erst nach dem Opt-in, und Google Consent Mode v2 ist integriert. Der automatische Scan listet die Cookies Ihrer Website, und jede Wahl wird als exportierbarer Nachweis gespeichert, wie unsere Dokumentation zum Nachweisbericht erklärt. Die Einrichtung dauert etwa zehn Minuten, das Hosting erfolgt in Europa, kostenlos bis 25.000 Sitzungen pro Monat (Pro: 14,99 € pro Monat bis 100.000 Sitzungen). Prüfen Sie Ihre Website mit unserem kostenlosen Scanner und erstellen Sie Ihr Konto.
Weiterführende Artikel
Die folgenden Artikel vertiefen die Punkte, auf die die AEPD besonders achtet. Beginnen Sie mit den 7 Voraussetzungen einer wirksamen Einwilligung und lesen Sie danach zu Cookie-Walls, Dark Patterns, Einwilligungsnachweis und einer regelkonformen Konfiguration von Google Analytics.