Bußgelder für Cookies in Spanien: was die AEPD sanktioniert und wie Ihr Cookie-Banner 2026 rechtskonform wird

Wer in Spanien Analyse- oder Werbe-Cookies ohne Einwilligung der Nutzer setzt, riskiert bis zu 30.000 Euro pro Verstoß. Das ist kein theoretisches Risiko: Die Agencia Española de Protección de Datos (AEPD, die spanische Datenschutzbehörde) verhängt jedes Jahr Bußgelder gegen Websites und Apps, deren Banner keine Ablehnung erlauben, deren Pixel feuern, bevor jemand klickt, oder deren Cookie-Richtlinie von einer anderen Website kopiert wurde. Die gute Nachricht: Fast alle Verstöße wiederholen sich und lassen sich in zehn Minuten erkennen. Dieser Leitfaden erklärt, was das Gesetz verlangt, wie hoch die Bußgelder ausfallen können, welche Fehler sanktioniert werden und wie Sie Ihre eigene Website prüfen. Er gilt für jedes Unternehmen, dessen Website oder App sich an Nutzer in Spanien richtet, unabhängig vom Firmensitz.

Was das Gesetz sagt: Artikel 22.2 LSSI

Maßgeblich ist art. 22.2 der Ley 34/2002 über Dienste der Informationsgesellschaft und den elektronischen Geschäftsverkehr (LSSI), mit der Spanien die ePrivacy-Richtlinie umgesetzt hat. Cookies und ähnliche Technologien (Pixel, Local Storage, Fingerprinting) sind nur zulässig, wenn der Nutzer eingewilligt hat, nachdem er klar und umfassend über deren Verwendung und insbesondere deren Zwecke nach Maßgabe der Datenschutz-Grundverordnung (DSGVO) informiert wurde. Ausgenommen sind allein Cookies, die für die Übertragung der Kommunikation oder für einen ausdrücklich vom Nutzer angeforderten Dienst unbedingt erforderlich sind: die Session, der Warenkorb, die Lastverteilung oder das Cookie, das speichert, ob der Nutzer zugestimmt oder abgelehnt hat.

Alles andere (Google Analytics, das Meta-Pixel, Hotjar, Remarketing über Google Ads, eingebettete YouTube-Videos mit Drittanbieter-Cookies) erfordert eine vorherige Einwilligung. Zuständig für die Durchsetzung ist die AEPD: art. 43.1 LSSI weist ihr ausdrücklich die Sanktionsbefugnis für Cookie-Verstöße zu.

Wie hoch ist das Bußgeld für Cookies

Cookies zu verwenden, ohne nach art. 22.2 informiert oder die Einwilligung eingeholt zu haben, ist ein leichter Verstoß (art. 38.4.g LSSI), der mit einer Geldbuße von bis zu 30.000 Euro geahndet wird (art. 39.1.c LSSI). Die konkrete Höhe richtet sich nach den Kriterien des art. 40 LSSI, unter anderem Vorsatz, Dauer des Verstoßes, Wiederholung, Zahl der betroffenen Nutzer, erzielter Gewinn und Umsatz des Unternehmens.

Zwei Punkte sollten Sie kennen. Der erste spricht für Sie: Die AEPD kann statt eines Sanktionsverfahrens eine Verwarnung aussprechen und eine Frist zur Abhilfe setzen (art. 39 ter LSSI). Ist das Verfahren eröffnet, mindern das Anerkenntnis der Verantwortung und die freiwillige Zahlung das Bußgeld jeweils um mindestens 20 %, und beide Ermäßigungen sind kombinierbar (art. 85 der Ley 39/2015). Der Fall Vueling zeigt das: 2019 verhängte die AEPD gegen die Airline 30.000 Euro, weil ihr Banner keine Ablehnung der Cookies erlaubte (Verfahren PS/00300/2019); mit beiden Ermäßigungen blieben 18.000 Euro.

Der zweite spricht gegen Sie: Das LSSI-Bußgeld ist nicht das ganze Risiko. Cookies, die den Nutzer identifizieren, verarbeiten personenbezogene Daten, und wenn zusätzlich Rechtsgrundlage, Information oder Umgang mit diesen Daten mangelhaft sind, greift die DSGVO mit Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes (art. 83.5 DSGVO). Fehlen auf der Website die Angaben zum Betreiber (art. 10.1 LSSI, das spanische Impressum oder aviso legal), ist das ein weiterer, eigenständiger leichter Verstoß (art. 38.4.b LSSI). Eine vernachlässigte Website sammelt meist mehrere davon.

In der Praxis lagen viele Bußgelder gegen KMU und Startups bei einigen tausend Euro. Die eigentlichen Kosten entstehen aber meist anders: Das Verfahren beginnt fast immer mit der Beschwerde eines Nutzers oder Wettbewerbers, verlangt die Beantwortung behördlicher Anfragen und einen hastigen Umbau des Banners, und die Entscheidung wird mit dem Namen des Unternehmens veröffentlicht.

Was die AEPD in ihrem Cookie-Leitfaden konkretisiert hat

Die LSSI sagt wenig darüber, wie ein Banner aussehen muss. Das hat die AEPD in ihrem Leitfaden zur Verwendung von Cookies konkretisiert, der im Juli 2020 und im Juli 2023 an die Kriterien des Europäischen Datenschutzausschusses angepasst wurde. Bei einer Prüfung zählen vor allem diese Punkte.

Ablehnen muss so einfach sein wie Annehmen. Seit der Aktualisierung von 2023 (anwendbar ab dem 11. Januar 2024) müssen die Optionen Annehmen und Ablehnen an hervorgehobener Stelle, in hervorgehobenem Format und auf derselben Ebene angeboten werden. Ein großer farbiger "Akzeptieren"-Button mit einer Ablehnung, die in einem grauen Link oder auf einer zweiten Seite versteckt ist, genügt nicht mehr.

"Weitersurfen" ist keine Einwilligung. Seit der Aktualisierung von 2020 ist das bloße Weitersurfen nach Ansicht der AEPD unter keinen Umständen eine gültige Einwilligung. Ebenso wenig Scrollen oder vorangekreuzte Kästchen: Erforderlich ist eine eindeutige bestätigende Handlung.

Nichts wird vor dem Klick geladen. Einwilligungspflichtige Cookies dürfen beim Öffnen der Seite nicht gesetzt werden. Das ist der häufigste Fehler: Das Banner ist gut gestaltet, aber Google Analytics oder das Meta-Pixel feuern trotzdem, weil die Tags im Tag-Manager nicht auf die Antwort des Nutzers warten.

Cookie-Walls nur mit Alternative. Der Zugang darf nur dann von der Annahme der Cookies abhängig gemacht werden, wenn Nutzern, die ablehnen, eine echte Alternative angeboten wird. Die AEPD hat 2023 klargestellt, dass diese Alternative nicht kostenlos sein muss (das "Pay or Consent"-Modell einiger Medien).

Der Widerruf muss ebenso einfach sein. Nutzer müssen ihre Entscheidung jederzeit so einfach ändern können, wie sie eingewilligt haben (art. 7.3 DSGVO). In der Praxis heißt das: ein dauerhaft erreichbarer Link "Cookie-Einstellungen", meist in der Fußzeile. Als gute Praxis empfiehlt der Leitfaden, die Einwilligung nicht länger als 24 Monate aufrechtzuerhalten, ohne erneut zu fragen.

Die am häufigsten sanktionierten Fehler

Liest man die Entscheidungen der AEPD der letzten Jahre, wiederholen sich die Gründe. Banner ohne Ablehnen-Button auf der ersten Ebene oder mit "Einstellungen", die zu einer Seite mit bereits aktivierten Kästchen führen. Analyse- und Werbe-Cookies, die vor jeder Interaktion gesetzt werden, selbst wenn der Nutzer danach ablehnt. Websites, die zum Akzeptieren zwingen, um weiterzusurfen (wie 2024 berichtet wurde, bestätigte die Audiencia Nacional deshalb das Bußgeld von 30.000 Euro gegen Iberia). Und allgemeine Cookie-Richtlinien, aus denen nicht hervorgeht, welche Cookies es gibt, wem sie gehören, wozu sie dienen und wie lange sie gespeichert werden.

Ein grundlegender Fehler erklärt fast alle anderen: das Banner als Plugin zu behandeln, das man installiert und vergisst. Jedes Mal, wenn das Marketing ein neues Tag, einen Chat, eine Karte oder ein eingebettetes Video hinzufügt, ändert sich die Website, und das Banner bildet sie nicht mehr ab. Deshalb sind Websites, die am ersten Tag konform waren, oft wenige Monate später nicht mehr konform.

So prüfen Sie Ihre Website in zehn Minuten

1. Öffnen Sie Ihre Website in einem Inkognito-Fenster und berühren Sie das Banner nicht. Sehen Sie in den Entwicklertools des Browsers (Registerkarte Anwendung oder Speicher, Bereich Cookies) nach, welche Cookies vorhanden sind. Finden Sie _ga, _fbp, _gcl_au, _hjSession oder Ähnliches vor der Zustimmung, haben Sie ein Problem.

2. Klicken Sie auf "Ablehnen" und laden Sie die Seite neu. Analyse- und Werbe-Cookies sollten nicht erscheinen. Tun sie es doch, ist das Banner reine Dekoration.

3. Sehen Sie sich die erste Ebene des Banners an. Annehmen und Ablehnen müssen sichtbar sein, auf derselben Ebene und mit demselben visuellen Gewicht, zusammen mit einer kurzen Erklärung, wofür Sie Cookies verwenden, und einem Link zur Richtlinie.

4. Öffnen Sie die Cookie-Richtlinie. Sie sollte die tatsächlich verwendeten Cookies mit Anbieter (eigene oder Drittanbieter), Zweck und Speicherdauer auflisten und erklären, wie die Einwilligung widerrufen wird.

5. Suchen Sie den Link zum Ändern der Entscheidung. Es muss einen dauerhaften Zugang zu den Einstellungen geben.

6. Prüfen Sie den Tag-Manager. Wenn Sie Google Tag Manager nutzen, muss jedes Tag, das Cookies setzt, von der Einwilligung abhängen (der Consent Mode von Google hilft, ersetzt aber nicht die richtige Konfiguration jedes einzelnen Tags).

Scheitert einer dieser Schritte, reicht ein Plugin-Wechsel nicht aus: Die Cookies müssen inventarisiert, das Banner angepasst und die Richtlinie so neu geschrieben werden, dass sie beschreibt, was die Website tatsächlich tut.

Cookies sind nur ein Teil der Rechtstexte

Eine Website, die in Spanien verkauft oder Kunden gewinnt, braucht neben Banner und Cookie-Richtlinie ein Impressum mit den Angaben nach art. 10 LSSI, eine Datenschutzerklärung mit den Informationen nach art. 13 DSGVO und, beim Verkauf an Verbraucher, Geschäftsbedingungen mit den vorvertraglichen Informationen und dem Widerrufsrecht nach Verbraucherrecht. Mehr dazu in welche Rechtstexte Ihre Website braucht und, für Onlineshops, in DSGVO im E-Commerce. Von einer anderen Website kopierte Texte haben dasselbe Problem wie ein falsch konfiguriertes Banner: Sie beschreiben eine Website, die nicht Ihre ist.

Wenn Ihr Produkt von Daten lebt, beginnt die Analyse früher

Für eine Unternehmenswebsite reichen Banner und Rechtstexte. Hängt Ihr Geschäftsmodell aber von Nutzerdaten ab (eine App mit SDKs von Drittanbietern, eine Werbe- oder Affiliate-Plattform, ein Produkt, das Nutzerprofile erstellt oder künstliche Intelligenz einsetzt, ein Gesundheits- oder Finanzdienst), sind Cookies nur das sichtbare Symptom einer größeren Frage: ob das, was Sie mit diesen Daten vorhaben, rechtmäßig ist und unter welchen Bedingungen. Diese Frage beantwortet man besser vor dem Bau des Produkts als nach der ersten behördlichen Anfrage. Genau das leistet unser Gutachten zur rechtlichen Machbarkeit (Seite auf Englisch), ab 650 Euro zzgl. MwSt.; für KI-Produkte erläutern wir es in rechtliche Machbarkeit eines KI-Projekts.

Was sich ändern kann

Die Europäische Kommission hat am 19. November 2025 im Rahmen des sogenannten Digital Omnibus vorgeschlagen, die Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO zu überführen und es Nutzern zu erleichtern, ihre Präferenzen automatisch über den Browser zu übermitteln. Zum Zeitpunkt der Veröffentlichung befindet sich der Vorschlag noch im Gesetzgebungsverfahren, ohne endgültigen Text, und kann sich erheblich ändern. Bis dahin gilt und wird in Spanien durchgesetzt: art. 22.2 LSSI mit den oben beschriebenen Kriterien der AEPD. Wir aktualisieren diesen Leitfaden, sobald der Vorschlag verabschiedet ist.

Häufige Fragen

Wie hoch ist das Bußgeld, wenn ein Cookie-Banner fehlt?

Setzt die Website nicht notwendige Cookies, ohne zu informieren oder eine Einwilligung einzuholen, liegt ein leichter Verstoß nach art. 38.4.g LSSI vor, mit einer Geldbuße von bis zu 30.000 Euro. Verwendet die Website nur technische oder unbedingt erforderliche Cookies, braucht sie kein Banner, sollte sie aber in der Cookie-Richtlinie erläutern.

Brauchen Google-Analytics-Cookies eine Einwilligung?

Ja. Die Ausnahme in art. 22.2 LSSI gilt nur für Cookies, die für den vom Nutzer angeforderten Dienst unbedingt erforderlich sind, und Analyse gehört nicht dazu. Deshalb darf Google Analytics erst nach der Zustimmung geladen werden.

Reicht ein kostenloses Cookie-Plugin?

Als Werkzeug kann es helfen, macht Sie aber nicht von selbst konform. Es muss so konfiguriert sein, dass es Cookies bis zur Einwilligung tatsächlich blockiert, dass Ablehnen auf derselben Ebene steht wie Annehmen und dass die Richtlinie die tatsächlich verwendeten Cookies wiedergibt. Die meisten Verstöße, die wir sehen, passieren mit installiertem Plugin.

Wer haftet, wenn das Cookie von Google oder Meta stammt?

Der Betreiber der Website. Das Cookie mag einem Dritten gehören, aber Sie entscheiden, dessen Code in Ihre Seite einzubinden, und Sie müssen die Einwilligung einholen, bevor es gesetzt wird.

Darf ich Nutzern, die Cookies ablehnen, den Zugang sperren?

Nur wenn Sie ihnen eine echte Alternative bieten, um ohne Zustimmung auf die Inhalte zuzugreifen, die nach Ansicht der AEPD kostenpflichtig sein darf. Eine Cookie-Wall ohne Alternative ist unzulässig.

So gehen wir bei Sonav Legal vor

Wir prüfen Ihre Website oder App so, wie es ein Prüfer tun würde: welche Cookies vor und nach der Einwilligung gesetzt werden, wie das Banner konfiguriert ist und was Ihre Rechtstexte sagen. Anschließend erstellen oder korrigieren wir Impressum, Datenschutzerklärung, Cookie-Richtlinie und Geschäftsbedingungen, damit sie beschreiben, was Ihr Unternehmen tatsächlich tut, zu einem vorab vereinbarten Festpreis. Wenn Sie in Spanien starten, sind die Rechtstexte der Website in unseren Startup-Paketen ab 1.250 Euro enthalten.