Website in Spanien rechtssicher: Impressum, DSGVO, Cookies

Jede Unternehmenswebsite, die sich an Menschen in Spanien richtet, muss einige rechtliche Anforderungen erfüllen, ob einseitiger Auftritt eines Restaurants oder vollständiger Onlineshop. Diese Checkliste fasst die wichtigsten spanischen und EU-Regeln verständlich zusammen, damit Sie Ihre Website prüfen oder Ihr Webteam und Ihre Anwaltskanzlei gezielt briefen können.

Das Wichtigste

Rechtssicherheit für Websites in Spanien läuft auf Transparenz und Wahlfreiheit hinaus: Ihr Unternehmen in einem Impressum (Aviso legal nach LSSI-CE) ausweisen, in einer Datenschutzerklärung (DSGVO und LOPDGDD) erklären, welche personenbezogenen Daten Sie wozu erheben, und keine nicht notwendigen Cookies laden, bevor Besucher zustimmen, wobei Ablehnen so einfach sein muss wie Akzeptieren. Onlineshops müssen Verbrauchern außerdem die Informationen und das Widerrufsrecht (in der Regel 14 Kalendertage) bieten, die das spanische Verbraucherrecht verlangt, und zwar in jeder Sprache der Website.

Welche Gesetze gelten

Für die meisten Unternehmenswebsites in Spanien gelten vier Regelwerke:

• LSSI-CE: Ley 34/2002, das spanische Gesetz über Dienste der Informationsgesellschaft und den elektronischen Geschäftsverkehr. Es betrifft Websites mit Bezug zu einer wirtschaftlichen Tätigkeit: Anbieterkennzeichnung, Werbe-E-Mails, Vertragsschluss im Internet und Cookies.
• DSGVO: die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679), die jede Verarbeitung personenbezogener Daten regelt.
• LOPDGDD: Ley Orgánica 3/2018 zum Schutz personenbezogener Daten und zur Gewährleistung digitaler Rechte, das spanische Gesetz, das die DSGVO anpasst und ergänzt.
• Verbraucherrecht: für Onlineshops vor allem das konsolidierte spanische Verbraucherschutzgesetz (Real Decreto Legislativo 1/2007).

Die spanische Datenschutzbehörde (Agencia Española de Protección de Datos, AEPD) beaufsichtigt Datenschutz und Cookies und veröffentlicht den maßgeblichen Cookie-Leitfaden.

Impressum (Aviso legal)

Artikel 10 der LSSI (Spanisch) verpflichtet Websitebetreiber, Nutzern ständig, leicht, unmittelbar und kostenlos Zugang zu grundlegenden Angaben über das Unternehmen zu geben. Diese stehen meist auf einer Seite „Aviso legal“, dem spanischen Gegenstück zum Impressum, die im Footer jeder Seite verlinkt ist:

• Name bzw. Firma (razón social)
• Anschrift (domicilio)
• E-Mail-Adresse und weitere Angaben, die eine direkte und wirksame Kontaktaufnahme ermöglichen
• Steuernummer (NIF; bei Gesellschaften früher CIF genannt)
• Angaben zum Handelsregister (Registro Mercantil) oder einem anderen öffentlichen Register, sofern zutreffend
• Berufsrechtliche Angaben bei reglementierten Berufen und Angaben zur Genehmigung, wenn Ihre Tätigkeit eine vorherige Genehmigung erfordert
• Preise, falls angegeben, klar und einschließlich Steuern und Versandkosten

Datenschutzerklärung (DSGVO und LOPDGDD)

Wenn Ihre Website personenbezogene Daten erhebt (Formulare, Newsletter, Bestellungen, Analyse), brauchen Sie eine Datenschutzerklärung: Artikel 13 und 14 DSGVO verlangen, dass Sie erklären, wie Sie mit diesen Daten umgehen. Eine Datenschutzerklärung sollte Folgendes abdecken:

• Wer der Verantwortliche ist und wie man ihn erreicht, dazu den Datenschutzbeauftragten, falls Sie einen benannt haben
• Zwecke: wofür Sie die einzelnen Datenarten verwenden (Anfragen beantworten, Bestellungen, Newsletter)
• Rechtsgrundlage für jeden Zweck: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung oder berechtigtes Interesse
• Empfänger: wer die Daten außerdem erhält (Hosting-, E-Mail-, Zahlungs- oder Analyseanbieter) und etwaige Übermittlungen außerhalb des Europäischen Wirtschaftsraums
• Speicherdauer: wie lange Sie die Daten aufbewahren oder nach welchen Kriterien Sie das festlegen
• Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf der Einwilligung, und wie man sie ausübt
• Das Recht, sich bei der AEPD zu beschweren

Artikel 11 der LOPDGDD (Spanisch) erlaubt ein Schichtenmodell: eine kurze erste Ebene direkt bei der Datenerhebung mit mindestens der Identität des Verantwortlichen, dem Zweck und den Rechten der Nutzer, plus einem Link, der einfachen und sofortigen Zugang zur vollständigen Erklärung bietet.

Cookies und Einwilligung

In Spanien dürfen nicht notwendige Cookies erst nach der Einwilligung der Besucher eingesetzt werden. Die Regel stammt aus Artikel 22.2 der LSSI, und der Cookie-Leitfaden der AEPD (Guía sobre el uso de las cookies, auf Spanisch, zuletzt aktualisiert im Mai 2024) erklärt die Anwendung. Die wichtigsten Regeln:

• Keine nicht notwendigen Cookies vor der Einwilligung. Cookies, die für den Betrieb der Website unbedingt erforderlich sind (Sitzung, Warenkorb, Sicherheit, Speicherung der Cookie-Entscheidung), sind ausgenommen. Analyse-, Werbe- und Social-Media-Cookies nicht; sie dürfen erst laden, wenn der Nutzer zustimmt.
• Ein klares Banner. Kurz erklären, wofür Cookies verwendet werden, und schon auf der ersten Ebene Wahlmöglichkeiten bieten. Ablehnen muss so einfach sein wie Akzeptieren, etwa mit gleich prominenten Schaltflächen „Akzeptieren“ und „Ablehnen“. Weitersurfen gilt nicht als Einwilligung, und Optionen dürfen nicht vorausgewählt sein.
• Eine Cookie-Richtlinie, die die eingesetzten Cookies auflistet, wer sie setzt (Sie oder Dritte), Zweck und Laufzeit, und wie man die Einwilligung widerruft.
• Eine Möglichkeit, die Einwilligung jederzeit zu ändern, etwa ein Link „Cookie-Einstellungen“ im Footer, der die Auswahl erneut öffnet.
• Auch Tools von Dritten zählen. Eingebettete Videos, Karten, Chat-Widgets, Werbepixel und Analyse-Tags können Cookies setzen; sind diese nicht unbedingt erforderlich, holen Sie zuerst die Einwilligung ein, zum Beispiel indem die Einbettung erst nach einem Klick lädt.

Kontaktformulare

Ein Kontaktformular erhebt personenbezogene Daten. Es braucht deshalb Informationen direkt bei der Erhebung, nur die nötigen Felder und nicht angekreuzte Einwilligungskästchen:

• Bei der Erhebung informieren. Neben dem Formular einen kurzen Hinweis der ersten Ebene zeigen: Verantwortlicher, Zweck, Rechtsgrundlage, Rechte und ein Link zur Datenschutzerklärung.
• Nur abfragen, was Sie brauchen. Name, E-Mail und Nachricht genügen oft.
• Checkboxen richtig einsetzen. Bestätigt ein Kästchen, dass der Nutzer die Datenschutzerklärung gelesen hat, darf es nicht vorab angekreuzt sein. Wollen Sie außerdem Werbe-E-Mails senden, fragen Sie mit einem separaten, nicht angekreuzten Kästchen: Artikel 21 der LSSI verbietet Werbe-E-Mails, die der Empfänger nicht zuvor angefordert oder ausdrücklich erlaubt hat, mit der wichtigsten Ausnahme von Bestandskunden, die Angebote zu ähnlichen Produkten oder Leistungen erhalten.
• Wissen, wohin die Daten gehen: welches Postfach oder System die Nachrichten empfängt, wer darauf zugreifen kann und wie lange Sie sie aufbewahren. Nennen Sie die beteiligten Anbieter in Ihrer Datenschutzerklärung.
• Spamschutz-Tools berücksichtigen, wenn sie Daten der Besucher verarbeiten oder Cookies setzen.

Onlineshops: Grundlagen des Verbraucherrechts

Onlineshops, die an Verbraucher verkaufen, müssen zusätzlich das spanische Verbraucherrecht einhalten, das vorvertragliche Informationen, ein Widerrufsrecht und einen klaren Bestellablauf verlangt. Prüfen Sie im Überblick:

• Allgemeine Geschäftsbedingungen (condiciones generales de contratación), vor dem Kauf abrufbar und speicherbar
• Vorvertragliche Informationen: Ihre Identität und Kontaktdaten, die wesentlichen Eigenschaften der Produkte, den Gesamtpreis einschließlich Mehrwertsteuer (IVA) und etwaiger Versandkosten sowie Zahlungs- und Lieferbedingungen
• Informationen zum Widerrufsrecht: Nach Artikel 102 des Verbraucherschutzgesetzes (Spanisch) können Verbraucher einen Fernabsatzkauf in der Regel innerhalb von 14 Kalendertagen ohne Angabe von Gründen widerrufen. Erklären Sie, wie das geht, stellen Sie das Muster-Widerrufsformular bereit und nennen Sie gesetzliche Ausnahmen, die für Ihre Produkte gelten
• Informationen zur gesetzlichen Gewährleistung für die verkauften Produkte
• Ein klarer Bestellablauf: die einzelnen Schritte, wie man Eingabefehler korrigiert, die verfügbaren Sprachen, eine abschließende Bestellschaltfläche, die eindeutig auf die Zahlungspflicht hinweist, und eine Bestätigung nach dem Kauf

Diese Punkte ergeben sich vor allem aus dem Real Decreto Legislativo 1/2007 und den Artikeln 27 und 28 der LSSI. Ob Sie in Spanien besser über einen eigenen Onlineshop oder einen Marktplatz verkaufen und welches Shopsystem passt, etwa Shopify, WooCommerce oder ein individueller Shop, vergleichen wir in eigenen Beiträgen.

Mehrsprachige Websites und eine abschließende Checkliste

Ist Ihre Website mehrsprachig, etwa auf Spanisch, Deutsch und Englisch, veröffentlichen Sie Impressum, Richtlinien, Banner und Formularhinweise in jeder dieser Sprachen mit demselben Inhalt. Überprüfen Sie sie, sobald Sie ein Tool wie Google Analytics, ein Werbepixel, ein Chat-Widget oder einen Newsletter hinzufügen.

Prüfen Sie vor der Veröffentlichung, ob Sie Folgendes haben:

1. Ein Impressum (Aviso legal) mit den Angaben nach LSSI, im Footer verlinkt
2. Eine Datenschutzerklärung mit allen DSGVO-Informationen, einschließlich des Beschwerderechts bei der AEPD
3. Ein Cookie-Banner: keine nicht notwendigen Cookies vor der Einwilligung, Ablehnen so einfach wie Akzeptieren
4. Eine Cookie-Richtlinie und einen Link „Cookie-Einstellungen“
5. Kontaktformulare mit Informationen der ersten Ebene und ohne vorab angekreuzte Kästchen
6. Für Onlineshops: AGB, Widerrufsbelehrung, Preise inklusive Mehrwertsteuer
7. Rechtstexte in jeder Sprache der Website

Häufige Fragen

Braucht auch die Website eines kleinen Unternehmens in Spanien ein Impressum?

In der Regel ja. Steht die Website im Zusammenhang mit einer wirtschaftlichen Tätigkeit, und dazu zählt schon die bloße Vorstellung Ihres Unternehmens, gelten die Kennzeichnungspflichten der LSSI unabhängig von der Unternehmensgröße.

Darf ich Google Analytics in Spanien ohne Cookie-Einwilligung nutzen?

In der Regel nein. Eine Standardeinrichtung von Google Analytics nutzt nicht notwendige Analyse-Cookies; nach den Vorgaben der AEPD sollte sie deshalb erst laden, wenn Besucher zustimmen. Richten Sie Ihr Banner so ein, dass es Analytics bis dahin blockiert.

Brauche ich ein Cookie-Banner, wenn ich nur technische Cookies verwende?

Setzt Ihre Website nur unbedingt erforderliche Cookies ein, ist keine Einwilligung nötig und damit auch kein Einwilligungsbanner. Es ist trotzdem gute Praxis, diese Cookies in einer Cookie-Richtlinie zu beschreiben. Prüfen Sie aber genau: Eingebettete Inhalte und Tools von Dritten bringen oft unerwartete Cookies mit.

UsualMatrix entwickelt Websites für Unternehmen in Spanien mit Cookie-Bannern nach dem Einwilligungsprinzip, klaren Kontaktformularen und Rechtstexten in jeder Sprache der Website und kommuniziert auf Chinesisch, Spanisch oder Englisch. Mehr zu unserem Webdesign, oder schreiben Sie uns, um über Ihre Website zu sprechen.

Wichtig: Dieser Beitrag ist eine allgemeine Information über spanische und EU-Regeln zum Stand der letzten Aktualisierung und keine Rechtsberatung. Was für Sie gilt, hängt von Ihrem Unternehmen, Ihrer Branche und der Funktionsweise Ihrer Website ab. Lassen Sie die Anforderungen für Ihren Fall von einer Anwältin, einem Anwalt oder einer Datenschutzfachkraft bestätigen.