Cookie-Compliance: Gültige Einwilligung, nicht nur ein Banner

Cookie-Compliance in Spanien wird durch Artikel 22(2) des Gesetzes 34/2002 über Informationsgesellschaftsdienste und elektronischen Handel (LSSI-CE) geregelt, zusammen mit der EU-Datenschutz-Grundverordnung (DSGVO, Verordnung 2016/679) und den Cookie-Richtlinien der AEPD (aktualisiert 2023). Nicht wesentliche Cookies — einschließlich Analytics-, Werbe- und Social-Media-Cookies — erfordern eine vorherige, frei gegebene, spezifische, informierte und unzweideutige Einwilligung, bevor sie auf dem Gerät eines Benutzers gesetzt werden; durch Dark Patterns erlangte Einwilligung (wie ein auffälligerer "Akzeptieren"-Button oder in Konfigurationsmenüs verborgenes Cookie-Ablehnen) erfüllt nicht den rechtlichen Standard. Die bevorstehende ePrivacy-Verordnung wird die LSSI-CE-Cookie-Bestimmungen auf EU-Ebene ersetzen.

Cookie-Compliance ist der Datenschutzbereich, in dem die größte Lücke zwischen der Wahrnehmung der Unternehmen ihrer Position und der regulatorischen Realität besteht. Ein Cookie-Banner auf einer Website ist keine Compliance — es ist der Ausgangspunkt eines Systems, das, um gültig zu sein, sicherstellen muss, dass die erhaltene Einwilligung alle Anforderungen der DSGVO und der Cookie-Richtlinien der AEPD erfüllt.

Diese Dienstleistung ist Teil unserer Rechtsberatungspraxis.

Warum Ihr Cookie-Banner nicht ausreicht

Die meisten Unternehmen glauben, die Cookie-Vorschriften einzuhalten, weil sie ein Banner auf ihrer Website haben. Die Realität ist, dass die AEPD aktiv Unternehmen mit Bannern sanktioniert hat, die die Anforderungen an eine gültige Einwilligung nach der DSGVO nicht erfüllen: ein Ablehnungsbutton, der in Konfigurationsmenüs vergraben ist, Drittanbieter-Cookies, die installiert werden, bevor der Benutzer mit dem Banner interagiert, oder das Fehlen einer “Alle ablehnen”-Option in der ersten Ebene.

Die aktualisierten Cookie-Richtlinien der AEPD von 2023 legen konkrete Kriterien fest, die viele aktuelle Implementierungen nicht erfüllen. Die Gleichwertigkeitsanforderung — dass Akzeptieren- und Ablehnen-Optionen in der ersten Ebene des Banners gleichermaßen zugänglich sein müssen — erzeugt die häufigsten Verstöße. Die Folgen gehen über die Geldbuße hinaus: Ein fehlerhaft konfiguriertes Cookie-System kann alle Strategien zur digitalen Messung und Werbung ungültig machen und zu Datenverlust von Kampagnen sowie Geschäftsentscheidungen auf Basis falscher Metriken führen.

Das technische Cookie-Audit enthüllt auch regelmäßig Situationen, derer sich Organisationen nicht bewusst waren: Drittanbieter-Skripte, die laden, bevor der Benutzer mit dem Banner interagiert hat, Cookies, die unabhängig von der gewählten Option gesetzt werden, oder aktive Werbe-Tracker, die das technische Team vergessen hatte und die nicht in der Cookie-Richtlinie erscheinen.

Unser Cookie-Compliance-Audit- und CMP-Implementierungsprozess

Unser Spezialistenteam führt die vollständige technische Prüfung durch: Scan der Website zur Identifizierung aller aktiven Cookies und Tracker, eigener und Drittanbieter, einschließlich derer, die vor der Einwilligung installiert werden. Wir bewerten das aktuelle Einwilligungssystem anhand der AEPD-Cookie-Richtlinien von 2023 und konfigurieren oder implementieren die Consent Management Platform (CMP) auf dem von der Behörde verlangten Rigorositätsniveau.

Die Vor-Einwilligungs-Blockierung von Drittanbieter-Skripten ist die kritische technische Kontrolle, die eine funktionierende CMP von einer rein kosmetischen trennt. Ein Banner, das Benutzereinstellungen aufzeichnet, aber die zugrunde liegenden Skripte vor der Einwilligung nicht blockiert, bietet keinen tatsächlichen rechtlichen Schutz und ist bei einer technischen AEPD-Inspektion leicht zu erkennen.

Für Unternehmen mit fortgeschrittenen digitalen Marketingstrategien bedeutet Cookie-Compliance nicht zwangsläufig, auf Messung zu verzichten. Die korrekte Implementierung von Google Consent Mode v2, kombiniert mit einer ordnungsgemäß konfigurierten CMP, ermöglicht es, nützliche Konversionsmessung aufrechtzuerhalten, selbst wenn ein Teil der Benutzer Cookies ablehnt — unter Verwendung von Googles Datenmodellierung für Nicht-Einwilligungs-Sitzungen.

Google Analytics, Google Ads und Meta Pixel: Die häufigsten Fälle

Digitale Analyse- und Werbetools sind diejenigen, die am häufigsten Cookie-Compliance-Verstöße verursachen:

Google Analytics 4 (GA4). GA4 verwendet Erstanbieter-Cookies und sendet Daten an Google-Server in den Vereinigten Staaten. Mehrere europäische Datenschutzbehörden haben die Übertragung von Daten europäischer Nutzer an Google ohne zusätzliche Schutzmaßnahmen als rechtswidrig eingestuft. Die Verwendung von GA4 ohne ausdrückliche Einwilligung oder ohne eine Server-seitige Tagging-Lösung, die Daten vor dem Senden anonymisiert, kann eine Haftung nach der DSGVO erzeugen. Google Consent Mode v2 ist der empfohlene technische Mechanismus für eine compliance-kompatible Messung.

Google Ads und Konversionspixel. Konversionspixel, die nach einem Kauf oder einem Formular ausgelöst werden, sind Drittanbieter-Cookies, die eine vorherige Einwilligung erfordern, wenn der Benutzer Marketing-Cookies nicht akzeptiert hat. Viele fehlerhafte Implementierungen lösen das Pixel beim Konversionsereignis aus, ohne zuvor zu prüfen, ob der Benutzer eingewilligt hat.

Meta Pixel. Das Meta Pixel installiert Tracking-Cookies und kann Retargeting-Funktionalitäten aktivieren. Es erfordert in jedem europäischen Kontext eine ausdrückliche vorherige Einwilligung. Die Server-seitige Integration (CAPI — Conversions API) ermöglicht es, die Abhängigkeit von Browser-Cookies zu reduzieren und die Messung bei gleichzeitiger Einhaltung der Compliance zu verbessern.

Dark Patterns und das Risiko manipulativer Gestaltung

Die AEPD und der Europäische Datenschutzausschuss haben spezifische Leitlinien zu Dark Patterns in Datenschutzschnittstellen veröffentlicht. Die Muster, die am häufigsten Sanktionen verursachen: ein auffällig farbiger “Alle akzeptieren”-Button gegenüber einem grauen oder kleineren “Ablehnen”-Button; das Fehlen einer Ablehnungsoption in der ersten Bannerebene; das Vorausfüllen von Cookie-Kategorien; und das Schließen des Banners durch das X, das als Zustimmung interpretiert wird.

Ein normenkonformes Banner-Design ist technisch neutral: Akzeptier- und Ablehnoptionen sind gleichermaßen zugänglich. Wir koordinieren mit Design- und Entwicklungsteams, um Banner zu implementieren, die die Vorschriften einhalten, ohne die Nutzererfahrung zu beeinträchtigen oder die Einwilligungsrate zu senken.

Koordination mit dem Datenschutzbeauftragten

Cookie-Compliance ist Teil des umfassenderen Datenschutz-Rahmenwerks, das der externe Datenschutzbeauftragte kontinuierlich überwacht. Im Rahmen der Datenschutz-Folgenabschätzung sind Cookies und Tracking-Technologien regelmäßig Gegenstand der Risikoanalyse — insbesondere wenn Profiling für Marketingzwecke, Verhaltensanalyse oder Retargeting betrieben wird. Privacy by Design auf der Ebene der Cookie-Infrastruktur bedeutet, das Einwilligungssystem als integralen Bestandteil jedes neuen digitalen Projekts zu behandeln, nicht als nachträglichen Compliance-Zusatz.

Vorbereitung auf ePrivacy und den regulatorischen Weg nach vorne

Die ePrivacy-Verordnung wurde wiederholt verzögert, aber ihr eventuelles Inkrafttreten wird wesentliche Änderungen an Einwilligungssystemen, dem Umgang mit Metadaten elektronischer Kommunikation und digitalen Werberegeln erfordern. Organisationen, die ihre Einwilligungsinfrastruktur jetzt korrekt aufbauen — mit einer gut strukturierten CMP, dokumentierten Einwilligungsprotokollen und einer modularen Architektur — werden sich weit leichter anpassen, wenn die Verordnung schließlich gilt.

Das Compliance-Risiko-Mapping ermöglicht es, Cookie-Compliance in die konsolidierte regulatorische Sicht der Organisation zu integrieren — als Teil eines umfassenden Datenschutz-Risikomanagements, das alle datenschutzrelevanten Verarbeitungstätigkeiten abdeckt.