Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Die Spotify Web API und der eingebettete Player ermöglichen es Websites, Musik zu streamen und Playlists direkt auf einer Seite anzuzeigen. Wenn der Player oder die API auf einer öffentlichen Seite geladen wird, ruft er Spotify Domains auf, die Cookies von Drittanbietern wie sp_t, sp_dc und sp_adid setzen. Diese Cookies messen die Nutzung, halten angemeldete Sitzungen aufrecht und unterstützen Werbung, sie sind also nicht unbedingt erforderlich. Ihre Nutzung erfordert eine vorherige Einwilligung nach DSGVO und ePrivacy Richtlinie, und Daten können auf US Infrastruktur verarbeitet werden.
Die Spotify Web API ist die Entwicklerschnittstelle, über die Websites und Anwendungen Katalogdaten lesen, Playlists verwalten und die Wiedergabe steuern können, während der Spotify Embed ein gebrauchsfertiger iframe Player ist, der Titel und Alben auf einer Seite streamt. Viele Seiten nutzen den eingebetteten Player, um Songs oder Playlists zu teilen, andere rufen die Web API auf, um umfangreiche Musikinhalte anzuzeigen. In beiden Fällen verbindet sich der Browser des Besuchers mit Spotify Domains, die beim Laden des Players Cookies setzen und technische Daten verarbeiten.
Beim Laden des Embeds setzt Spotify Cookies von Drittanbietern wie sp_t für anonyme Nutzungsstatistiken, sp_landing zum Speichern der Landing Page, sp_dc für die Geräte und Kontokontinuität angemeldeter Nutzer und sp_adid für Werbung, sofern anwendbar. Neben diesen Cookies erhält Spotify die IP Adresse des Besuchers, Browser und Geräteinformationen, die verweisende Seite und Wiedergabeinteraktionen. Bei Nutzern, die bei Spotify angemeldet sind, kann diese Aktivität mit ihrem Konto verknüpft werden, wodurch die Verarbeitung personenbezogen im Sinne der DSGVO wird.
Da diese Cookies zu Mess und Werbezwecken statt für unbedingt erforderliche Funktionen auf dem Gerät des Besuchers gespeichert und gelesen werden, verlangt Artikel 5(3) der ePrivacy Richtlinie eine vorherige Einwilligung. Die IP Adresse und die Kontoverknüpfung machen die Daten zudem personenbezogen nach der DSGVO, sodass Sie eine Rechtsgrundlage, klare Informationen und einen Eintrag im Verzeichnis von Verarbeitungstätigkeiten benötigen. Der Embed sollte daher niemals laden, bevor der Besucher die betreffende Cookie Kategorie akzeptiert hat.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die Einwilligung muss eingeholt werden, bevor eine Spotify Domain kontaktiert wird, das heißt der Player iframe und die Web API Aufrufe müssen blockiert bleiben, bis der Besucher aktiv zustimmt. Ein empfohlenes Muster ist ein Klick zum Laden Platzhalter, der ein statisches Cover und eine Wiedergabetaste zeigt und den eigentlichen Embed erst nach erteilter Einwilligung lädt. Vorab angekreuzte Kästchen, stillschweigende Einwilligung durch Scrollen und Cookie Walls erfüllen den Standard nicht, und die Einwilligung muss so leicht widerrufbar wie erteilbar sein.
Spotify hat seinen Sitz in Schweden, nutzt aber Infrastruktur und Auftragsverarbeiter in den USA, dokumentieren Sie die Übermittlung daher über die Standardvertragsklauseln und verweisen Sie auf die ergänzenden Maßnahmen von Spotify. Steuern Sie in der Praxis den Embed und die API über Ihre Consent Management Plattform, verwenden Sie eine Klick zum Laden Lösung und listen Sie die Spotify Cookies und ihre Laufzeiten in Ihrer Cookie Richtlinie auf. Nennen Sie Spotify als Empfänger, legen Sie die Verarbeitung in den USA offen und prüfen Sie regelmäßig, da sich Cookie Namen und Laufzeiten ändern können.
Websites using Spotify Web API must obtain user consent under GDPR regulations.
DPIA considerations
Der Spotify Embed setzt persistente Drittanbieter Cookies (sp_t, sp_dc) und eine Werbe ID (sp_adid), verknüpft Aktivitäten bei angemeldeten Nutzern mit Spotify Konten und sendet IP Adressen und Gerätedaten an Infrastruktur, die die USA einschließt. Eine DSFA sollte den Umfang des Trackings über eingebettete Player, die Kombination aus Analyse und Werbe Cookies, die internationale Übermittlung in die USA und die Aufbewahrung bewerten, ergänzt um Maßnahmen wie Klick zum Laden, Einwilligungssteuerung und klare Cookie Offenlegung.
Sample consent text
Wir nutzen den Spotify Player, damit Sie auf unserer Website Musik hören können. Wenn Sie zustimmen, speichert Spotify Cookies auf Ihrem Gerät, um Ihre Sitzung zu halten, die Nutzung zu messen und Werbung auszuspielen, und kann Ihre IP Adresse und Geräteinformationen erhalten. Dieser Inhalt lädt erst, nachdem Sie die Kategorie Marketing akzeptiert haben, und die Daten können in den USA verarbeitet werden. Sie können Ihre Einwilligung jederzeit über unsere Cookie Einstellungen widerrufen.
Third-party domains contacted
open.spotify.comembed.spotify.comembed-cdn.spotifycdn.comaudio-ak.spotifycdn.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| sp_t | analytics | 1 year | Anonymous usage analytics cookie set by Spotify to measure how the embedded player and content are used. |
| sp_landing | analytics | Session | Stores the landing page so that Spotify can attribute the entry point of the visit. Short lived and used for measurement. |
| sp_dc | marketing | 1 year | Maintains device and account continuity for users who are logged in to Spotify, linking embedded activity to their account. |
| sp_adid | marketing | 1 year | Advertising identifier set where applicable to support advertising and measurement across Spotify services. |
Spotify Web API verwendet Cookies für Nutzereinstellungen — informieren Sie Besucher mit einem Cookie-Banner.
Der Spotify Player setzt Cookies von Drittanbietern wie sp_t für anonyme Nutzungsstatistiken mit einer Laufzeit von etwa einem Jahr, sp_landing zum kurzzeitigen Speichern der Landing Page, sp_dc für die Geräte und Kontokontinuität angemeldeter Nutzer für etwa ein Jahr und sp_adid für Werbung, sofern anwendbar. Der genaue Satz hängt davon ab, ob der Besucher bei Spotify angemeldet ist.
Ja. Die vom Embed gesetzten Cookies sind Analyse und Marketing Cookies, die nicht unbedingt erforderlich sind, daher müssen Sie nach Artikel 5(3) der ePrivacy Richtlinie und der DSGVO eine vorherige, aktive Einwilligung einholen, bevor der Player oder die Web API Spotify kontaktiert. Der einfachste konforme Ansatz ist ein Klick zum Laden Platzhalter.
Das Speichern und Lesen der Cookies stützt sich auf die Einwilligung nach der ePrivacy Richtlinie, und die anschließende Verarbeitung personenbezogener Daten wie IP Adressen stützt sich auf die Einwilligung nach Artikel 6(1)(a) der DSGVO. Berechtigtes Interesse ist in der Regel nicht verfügbar, da die Einwilligung bereits zum Setzen der Cookies und Laden des Embeds erforderlich ist.
Ja. Obwohl Spotify seinen Sitz in Schweden hat, nutzt es Infrastruktur und Auftragsverarbeiter in den USA, sodass IP Adressen und Gerätedaten dorthin übermittelt werden können. Dokumentieren Sie die Übermittlung über die Standardvertragsklauseln und verweisen Sie in Ihrer Datenschutzerklärung auf die ergänzenden Maßnahmen von Spotify.
Eine vollständige DSFA ist nicht immer verpflichtend, aber ratsam, wenn Sie Spotify auf vielen Seiten einbetten oder mit anderen Trackern kombinieren. Dokumentieren Sie die Zwecke, die Cookies und ihre Laufzeiten, die internationale Übermittlung und die Aufbewahrung und wenden Sie Maßnahmen wie Klick zum Laden und Einwilligungssteuerung an.
Blockieren Sie den Player iframe und alle Web API Aufrufe, bis der Besucher die Kategorie Marketing in Ihrer Consent Management Plattform akzeptiert. Verwenden Sie eine Klick zum Laden Lösung, die ein statisches Cover zeigt und den echten Embed erst nach der Einwilligung lädt, listen Sie die Spotify Cookies in Ihrer Cookie Richtlinie auf und legen Sie die Verarbeitung in den USA offen.
Sie können auf Spotify verlinken statt einzubetten, einen selbst gehosteten Audioplayer für eigene Titel verwenden oder ein datenschutzfreundliches Musik Widget wählen, das keine Tracking Cookies setzt. Diese Optionen reduzieren oder entfernen Drittanbieter Cookies und US Übermittlungen, allerdings auf Kosten des nativen Spotify Streaming Erlebnisses.
Listen Sie jedes Spotify Cookie wie sp_t, sp_dc und sp_adid mit Zweck und Laufzeit auf, nennen Sie Spotify als Empfänger und legen Sie die Übermittlung in die USA offen. Halten Sie die Einträge durch einen regelmäßigen Cookie Scan aktuell, da sich die Namen und Laufzeiten der Spotify Cookies im Laufe der Zeit ändern können.