Wissen Sie, was Cookies sind? Was Ihre Website speichert und was das Gesetz verlangt

Sie öffnen eine Website, und als Erstes sehen Sie einen Hinweis zu Cookies, mit einem Button zum Annehmen und, mit etwas Glück, einem zum Ablehnen. Cookie heißt auf Englisch Keks. Mit Gebäck hat das nichts zu tun... oder doch ein bisschen, wie Sie gleich sehen. Wenn Sie ein kleines Unternehmen oder einen Onlineshop in Spanien betreiben, ist dieser Hinweis auch Ihre Sache: Das spanische Recht legt fest, was er fragen muss und wie. Hier die Erklärung ohne Fachchinesisch, dazu das, was sich in der EU ändern könnte, und eine kurze Checkliste für Ihre Website.

Was ein Cookie ist, erklärt mit einem Keks

Stellen Sie sich einen Laden um die Ecke vor, in dem Ihnen die Verkäuferin einen Keks mit Ihrem Namen in Zuckerschrift gibt, dazu einen Zettel mit dem, was in Ihrem Korb liegt. Jedes Mal, wenn Sie wieder an die Theke kommen, zeigen Sie den Keks, und sie weiß, wer Sie sind und was Sie kaufen wollten. Ein Cookie macht genau das: Es ist eine kleine Datei, die die Website in Ihrem Browser ablegt und bei jedem Besuch wieder ausliest. Der Leitfaden der spanischen Datenschutzbehörde zu Cookies (AEPD) spricht von jedem Mittel, das Informationen auf dem Gerät der Nutzer speichert und später wieder abruft.

Es gibt eigene Cookies, die die besuchte Website setzt, und Cookies von Drittanbietern, die ein anderes Unternehmen setzt, dessen Dienst auf der Website eingebunden ist, etwa ein Statistikwerkzeug oder ein Werbenetzwerk. Im zweiten Fall nutzt dieses Unternehmen die Daten für eigene Zwecke.

Wofür Websites Cookies nutzen

Der Leitfaden der AEPD ordnet Cookies nach ihrem Zweck. In einem gewöhnlichen Onlineshop sind das die häufigsten:

• Den Warenkorb merken, damit das, was Sie hineingelegt haben, beim Seitenwechsel noch da ist.
• Die Anmeldung offen halten, damit nicht bei jedem Klick das Passwort abgefragt wird.
• Die Sprache oder Währung merken, die Sie gewählt haben.
• Besuche messen: wie viele Menschen kommen, welche Seiten sie lesen und wo sie gehen, um die Website zu verbessern.
• Werbung: verfolgen, was Sie auf verschiedenen Websites ansehen, um Ihnen passende Anzeigen zu zeigen.

Die ersten drei sorgen dafür, dass die Website so funktioniert, wie Sie es erwarten. Die letzten beiden nützen dem Betreiber oder anderen Unternehmen, und genau dort zieht das Gesetz die Grenze.

Warum der Hinweis erscheint und was das spanische Recht sagt

Maßgeblich ist Artikel 22.2 des spanischen Gesetzes über Dienste der Informationsgesellschaft (LSSI). Eine Website darf Cookies auf Ihrem Gerät nur speichern und auslesen, wenn Sie eingewilligt haben, nachdem Sie klar und vollständig darüber informiert wurden, wofür sie genutzt werden. Ausgenommen sind laut Gesetz Cookies, die für einen von Ihnen gewünschten Dienst unbedingt nötig sind, wie der Warenkorb oder die Anmeldung.

Wie diese Einwilligung einzuholen ist, beschreibt in der Fassung vom Mai 2024 der Cookie-Leitfaden der AEPD. Das Wichtigste für kleine Unternehmen:

• Ablehnen muss so leicht sein wie Annehmen. Der Button zum Ablehnen steht im selben Hinweis, auf derselben Ebene und sieht ähnlich aus wie der zum Annehmen, ohne Farben, die ihn verstecken, und ohne Umweg über weitere Seiten.
• Keine vorab angekreuzten Kästchen. In den Einstellungen sind Statistik und Werbung zunächst nicht ausgewählt.
• Weitersurfen gilt nicht als Zustimmung. Es zählt nur der Klick auf den Button.
• Statistik- und Werbe-Cookies dürfen erst laufen, wenn die Person zugestimmt hat. Vor diesem Klick sind nur die notwendigen aktiv.
• Die Meinung zu ändern muss genauso einfach sein, mit dauerhaftem Zugang zu den Einstellungen, zum Beispiel über einen Link in der Fußzeile.

Technische Cookies wie Warenkorb, Anmeldung oder die selbst gewählte Sprache brauchen keine Einwilligung, die AEPD empfiehlt aber, sie in der Cookie-Richtlinie zu erwähnen. Außerdem hält die Behörde es für gute Praxis, dass eine Einwilligung höchstens 24 Monate gilt.

Was sich ändern könnte: der Vorschlag zum digitalen Omnibus

Am 19. November 2025 veröffentlichte die Europäische Kommission den Vorschlag für die Omnibus-Verordnung zur Digitalisierung, ein Paket, das mehrere Digitalgesetze vereinfachen soll und auch Cookies betrifft. Damit es klar ist: Es handelt sich um einen Vorschlag, nicht um ein Gesetz. Stand 15. Oktober 2026 wartet das Verfahren laut der Verfahrensakte des Europäischen Parlaments noch auf die Entscheidung der Ausschüsse, danach müssen sich Parlament und Rat auf einen Text einigen. Unterwegs kann sich noch einiges ändern.

Für Cookies schlägt die Kommission Folgendes vor, laut dem Text des Vorschlags:

• Die Regeln für Cookies, die personenbezogene Daten verarbeiten, würden in die Datenschutz-Grundverordnung (DSGVO) wandern.
• Keine Einwilligung bräuchten Cookies, die die Verbindung herstellen, einen von Ihnen gewünschten Dienst erbringen oder ihn absichern, und auch nicht die Reichweitenmessung mit zusammengefassten Daten, wenn die Website sie selbst und nur für eigene Zwecke durchführt.
• Ablehnen müsste mit einem einzigen Klick möglich sein.
• Wer ablehnt, dürfte für denselben Zweck mindestens sechs Monate lang nicht erneut gefragt werden.
• Websites müssten die im Browser eingestellte Wahl respektieren, sobald es technische Normen dafür gibt, und die großen Browser müssten diese Option anbieten.

Wird der Vorschlag so beschlossen, gälte der Cookie-Teil sechs Monate nach Inkrafttreten, der Teil zu den Browser-Einstellungen nach 24 Monaten. Unsere Einschätzung: Wegen des Omnibus muss heute niemand etwas ändern. Es gelten das LSSI und der Leitfaden der AEPD, und eine Website, die den Button zum Ablehnen schon gut sichtbar zeigt, wird sich leicht an das anpassen, was am Ende herauskommt.

Was Sie auf Ihrer Website prüfen sollten

1. Öffnen Sie Ihre Website in einem privaten Browserfenster, das ohne gespeicherte Cookies startet. Der Hinweis sollte sofort beim Laden erscheinen.
2. Sehen Sie sich die Buttons an. Ablehnen muss im selben Hinweis stehen wie Annehmen, in ähnlicher Größe und Farbe.
3. Öffnen Sie die Einstellungen. Die Kästchen für Statistik und Werbung dürfen nicht angekreuzt sein.
4. Lesen Sie den Text des Hinweises. Er muss sagen, wofür Sie Cookies nutzen; Formulierungen wie "um Ihr Surferlebnis zu verbessern" lässt die AEPD nicht gelten.
5. Suchen Sie in der Fußzeile einen Link, über den sich die Cookie-Einstellungen später ändern lassen, und prüfen Sie, ob die Cookie-Richtlinie sagt, welche Cookies Sie nutzen, wofür, wie lange sie gespeichert bleiben und ob es eigene oder fremde sind.
6. Bitten Sie die Person, die Ihre Website betreut, zu prüfen, dass nach einem Klick auf Ablehnen keine Statistik- oder Werbe-Cookies geladen werden. Das ist der einzige Punkt auf dieser Liste, den man nicht mit bloßem Auge sieht.

Unsere Empfehlung

Ohne Cookies gäbe es weder Warenkorb noch Anmeldung, die Cookies selbst sind also nie das Problem. Das Gesetz verlangt, dass Ihre Kundschaft wirklich wählen kann. Ein klarer Hinweis mit sichtbarem Ablehnen-Button ist meist schnell umgesetzt: Bei WordPress, WooCommerce, Shopify und den meisten anderen Plattformen geht es vor allem darum, das Einwilligungswerkzeug richtig einzustellen und zu prüfen, welche Dienste zu früh geladen werden.