Warum Spanien einen eigenen Blick verdient

Spanien gehört weltweit zu den größten Zielgruppen für spanischsprachige Publisher, und seine Datenschutzbehörde, die Agencia Española de Protección de Datos (AEPD), ist eine der aktivsten Regulierungsbehörden Europas. Wie jedes EU-Land wendet Spanien die DSGVO an, die Cookie-Regel stammt jedoch aus dem nationalen Recht zur Umsetzung der ePrivacy-Richtlinie. Für Publisher sind die Cookie-Hinweise der AEPD die praktischste Referenz dafür, wie diese Regeln in Spanien ausgelegt werden.

Dieser Artikel fasst zusammen, was diese Hinweise für eine typische werbefinanzierte Website oder App bedeuten. Er ist ein praktischer Überblick, keine Rechtsberatung.

Die Rechtsgrundlage: LSSI Artikel 22.2

Die Cookie-Regel in Spanien steht in Artikel 22.2 des Gesetzes 34/2002 über Dienste der Informationsgesellschaft und den elektronischen Geschäftsverkehr, bekannt als LSSI. Sie verlangt, dass das Speichern von oder der Zugriff auf Informationen auf dem Gerät eines Nutzers auf einer Einwilligung beruht, die nach klarer und vollständiger Information erteilt wurde; ausgenommen ist eine Speicherung, die für einen vom Nutzer ausdrücklich gewünschten Dienst oder für die Übertragung einer Nachricht unbedingt erforderlich ist.

Werden Cookies zur Verarbeitung personenbezogener Daten verwendet, gelten zusätzlich die DSGVO und Spaniens Organgesetz 3/2018 (LOPDGDD). Deshalb ist die AEPD die Behörde, mit der Publisher in Cookie-Fragen zu tun haben.

Der AEPD-Cookie-Leitfaden

Die AEPD veröffentlicht einen Leitfaden zur Verwendung von Cookies, der gemeinsam mit Branchenverbänden erstellt wurde. Er wurde im Juli 2023 aktualisiert, um ihn an die Arbeit des Europäischen Datenschutzausschusses zu Cookie-Bannern und täuschenden Designmustern anzupassen; Organisationen erhielten bis Januar 2024 Zeit zur Anpassung. Die wichtigsten Punkte für Publisher folgen unten.

Gleichwertige Hervorhebung der Ablehnung

Der aktualisierte Leitfaden erwartet: Enthält die erste Ebene des Banners eine Schaltfläche zum Akzeptieren von Cookies, bietet sie auch eine gleichwertige Möglichkeit zur Ablehnung, auf derselben Ebene und mit ähnlicher Sichtbarkeit. Eine Ablehnungsoption hinter einem „Einstellungen“-Link ist nicht gleichwertig.

Keine Einwilligung durch Surfen

Scrollen, Weiternavigieren oder das Schließen des Banners gelten nicht als Einwilligung. Der Nutzer muss eine eindeutige bestätigende Handlung vornehmen.

Klare Information in Ebenen

Der Leitfaden akzeptiert einen mehrstufigen Ansatz: eine kurze erste Ebene, die den Publisher, die Zwecke, die Beteiligung Dritter und die Möglichkeiten zum Akzeptieren, Ablehnen oder Konfigurieren nennt, und eine zweite Ebene mit detaillierten Angaben zu jedem Cookie, den beteiligten Parteien und der Speicherdauer.

Granulare Auswahl

Nutzer sollen nach Zweck und, wo sinnvoll, nach Drittanbieter wählen können, statt vor einem einzigen Alles-oder-nichts-Schalter zu stehen.

Widerruf

Nutzer müssen ihre Einwilligung jederzeit widerrufen können, und zwar so einfach, wie sie sie erteilt haben. Üblich ist ein dauerhafter Link oder ein Symbol, das die Einstellungen wieder öffnet.

Gültigkeitsdauer der Einwilligung

Der Leitfaden empfiehlt, die Einwilligung regelmäßig zu erneuern, und nennt eine maximale Gültigkeit von 24 Monaten, damit Nutzer erneut gefragt werden, statt dass eine Auswahl unbegrenzt gespeichert bleibt.

Zugang abhängig von Cookies

Der Leitfaden behandelt Fälle, in denen der Zugang zu einem Dienst von der Annahme von Cookies abhängig gemacht wird. Er weist darauf hin, dass dies unter Umständen zulässig sein kann, etwa wenn dem Nutzer eine echte Alternative geboten wird, auf die Inhalte ohne Annahme von Cookies zuzugreifen, die nicht kostenlos sein muss. Angesichts der gesonderten Stellungnahme des EDSA zu „Consent or Pay“-Modellen großer Plattformen sollten Publisher, die diesen Ansatz erwägen, gezielt rechtlichen Rat einholen.

Was das in der Praxis bedeutet

Für die meisten Publisher, die bereits eine TCF-basierte CMP in der EU einsetzen, erfordert Spanien nur wenige strukturelle Änderungen. Diese Punkte brauchen am häufigsten Aufmerksamkeit:

• Ablehnen auf der ersten Ebene. Wenn Ihr EU-Banner noch immer nur „Akzeptieren“ plus „Optionen verwalten“ verwendet, ist der spanische Traffic ein Grund, eine sichtbare Ablehnen-Schaltfläche hinzuzufügen.
• Spanischsprachige Texte. Zwecke und Beschreibungen von Drittanbietern sollten für Nutzer in Spanien in klarem Spanisch vorliegen, nicht als maschinell übersetzte Fragmente vermischt mit englischen Anbieternamen.
• Zeitplan für die erneute Abfrage. Prüfen Sie, ob Ihre CMP die Einwilligung innerhalb des von Ihnen gewählten Zeitraums erneuert und ob Änderungen an Anbietern oder Zwecken eine neue Abfrage auslösen.
• Cookie-Richtlinie. Halten Sie die Angaben der zweiten Ebene und Ihre Cookie-Richtlinie im Einklang mit dem, was tatsächlich auf der Website läuft.
• Laden vor der Einwilligung. Stellen Sie sicher, dass keine Werbe- oder Analyse-Cookies gesetzt werden, bevor der Nutzer entschieden hat. Das bleibt überall die häufigste Feststellung bei Cookie-Untersuchungen.

Durchsetzungskontext

Die AEPD veröffentlicht regelmäßig ihre Entscheidungen, und darunter finden sich Cookie-Fälle, oft mit Bannern ohne echte Ablehnungsoption oder mit Cookies, die vor jeder Auswahl gesetzt wurden. Beträge und Ergebnisse unterscheiden sich von Fall zu Fall; die nützliche Lehre ist daher das Muster der Feststellungen und nicht irgendeine Zahl: fehlende Ablehnungsoptionen, Tracking vor der Einwilligung und unklare Informationen sind die Probleme, die immer wieder auftauchen.

Eine Checkliste für ein Spanien-taugliches Banner

1. Akzeptieren und Ablehnen werden in der ersten Ebene gleichrangig angeboten.
2. Vor einer Auswahl keine Cookies außer den unbedingt notwendigen.
3. Klare Zusammenfassung auf der ersten Ebene auf Spanisch, mit Link zu den Details.
4. Granulare Steuerung nach Zweck in der zweiten Ebene.
5. Widerruf von jeder Seite aus möglich.
6. Einwilligung innerhalb eines festgelegten Zeitraums erneuert, empfohlen höchstens 24 Monate.
7. Cookie-Richtlinie im Einklang mit den tatsächlich geladenen Tags.

Wichtigste Erkenntnisse

• Spaniens Cookie-Regel ist LSSI Artikel 22.2; die AEPD setzt sie neben der DSGVO durch.
• Der im Juli 2023 aktualisierte AEPD-Leitfaden erwartet, dass die Ablehnung auf der ersten Ebene so einfach ist wie das Akzeptieren.
• Surfen oder Schließen des Banners ist keine Einwilligung.
• Der Leitfaden empfiehlt, die Einwilligung mindestens alle 24 Monate zu erneuern.
• Modelle mit bedingtem Zugang erfordern eine sorgfältige, fallspezifische rechtliche Prüfung.