Die Installation von GA4, Google Ads oder Werbepixeln auf einer spanischen Website ist nicht nur eine technische Entscheidung. Cookies und ähnliche Technologien können Informations- und Einwilligungspflichten auslösen. Die richtige Einrichtung hängt davon ab, was die jeweilige Technologie leistet, und nicht von der Bezeichnung, die Ihr Tag-Manager ihr gibt. Dieser Leitfaden bietet einen operativen Rahmen, keine Rechtsberatung.
Beginnen Sie mit dem Zweck, nicht mit dem Cookie-Namen
Klassifizieren Sie jede Technologie nach ihrem eigentlichen Zweck: wesentliche Funktion, Präferenzen, Zielgruppenmessung, Werbung oder eine andere Verwendung. Erfassen Sie, wer es einrichtet, welche Daten es verarbeitet, wie lange es dauert und ob Informationen an eine andere Partei weitergegeben werden.
Das Ändern eines Cookie-Namens oder das Verschieben einer Anfrage über Ihre eigene Subdomain macht es nicht automatisch zu einem wesentlichen oder Erstanbieter im rechtlichen Sinne. Wenn der zugrunde liegende Zweck Werbung ist, sollten die Erklärungen und Kontrollen für den Benutzer diesen Zweck widerspiegeln.
Was ein spanisches Einwilligungsbanner erreichen sollte
In den Richtlinien von AEPD heißt es, dass das Akzeptieren und Ablehnen von Cookies gut sichtbar und auf derselben Ebene dargestellt werden sollte, ohne die Ablehnung zu erschweren. Die Informationen sollten klar sein und der Benutzer muss seine Wahl so einfach widerrufen können, wie er sie gegeben hat.
Vermeiden Sie vorausgewählte optionale Kategorien, vage Schaltflächen und Designs, die Besucher zur Akzeptanz drängen. Die erste Ebene sollte die grundlegenden Zwecke erläutern und Zugriff auf detailliertere Einstellungen und die Cookie-Richtlinie ermöglichen.
GA4 und Analyse-Cookies
Gehen Sie nicht davon aus, dass jede Analyseimplementierung ausgenommen ist. AEPD verfügt über separate Anleitungen für bestimmte Tools zur Zielgruppenmessung, eine Ausnahme hängt jedoch von strengen Bedingungen und der tatsächlichen Konfiguration ab. Standardmäßige GA4- oder werbebezogene Implementierungen sollten nicht ohne eine dokumentierte Bewertung als ausgenommen erklärt werden.
Überprüfen Sie Google Signals, Werbefunktionen, Produktlinks, vom Benutzer bereitgestellte Daten, Aufbewahrung und Zugriff. Der Einwilligungsmodus kann das Google-Tag-Verhalten anpassen, ersetzt jedoch nicht das Banner und schafft keine Rechtsgrundlage.
Wo serverseitiges Tracking hilft – und wo nicht
Mit dem serverseitigen GTM erhalten Sie eine kontrollierte Ebene zwischen der Website und den Anbietern. Sie können Ereignisse validieren, unnötige Parameter entfernen, Daten schwärzen und Ziele entsprechend Ihrer Zustimmung blockieren. Es kann auch die Anzahl der Anfragen Dritter reduzieren, die direkt vom Browser gestellt werden.
Es wandelt Werbedaten nicht in wesentliche Daten um, umgeht weder Einwilligungsanforderungen noch lässt es einen Anbieter verschwinden. Die Wahl des Besuchers muss weiterhin die Erhebung und Weiterleitung regeln und Ihre Mitteilungen müssen die tatsächliche Verarbeitung beschreiben.
Dieser Leitfaden stellt keine Rechtsberatung dar
Die Cookie-Regeln hängen von der Technologie, dem Zweck, den Parteien und dem geltenden Recht ab. Konsultieren Sie die neuesten AEPD-Materialien und qualifizierten Rat, bevor Sie sich auf eine Ausnahmeregelung verlassen oder ohne Zustimmung erweiterte Messungen durchführen.
Ein praktisches Cookie- und Tag-Audit
Wiederholen Sie dieses Audit immer dann, wenn sich CMP, die Website oder der Marketing-Stack ändert.
- 01
Scannen und beobachten
Testen Sie einen neuen Browser vor der Einwilligung, nach der Ablehnung, nach der teilweisen Einwilligung und nach der vollständigen Akzeptanz. Erfassen Sie Cookies, Speicher- und Netzwerkanfragen.
- 02
Erstellen Sie ein Tag-Register
Für jedes Tag, Dokumenteneigentümer, Zweck, Felder, Empfänger, Aufbewahrung, Auslöser und Einwilligungsanforderung.
- 03
Richten Sie CMP-Kategorien aus
Machen Sie Kategorienamen verständlich und stellen Sie sicher, dass ihre technischen Zuordnungen den für Besucher beschriebenen Zwecken entsprechen.
- 04
Korrigieren Sie den Einwilligungszeitpunkt
Legen Sie restriktive Standardeinstellungen fest, bevor optionale Tags ausgeführt werden, und aktualisieren Sie den Status dann sofort, wenn der Besucher eine Auswahl trifft oder zurückzieht.
- 05
Wenden Sie Serverkontrollen an
Verwenden Sie sGTM-Trigger und -Transformationen, um Daten zu minimieren und Ziele zu stoppen, die für den aktuellen Einwilligungsstatus nicht zulässig sind.
- 06
Bewahren Sie Beweise auf
Speichern Sie Testergebnisse, Konfigurationsversionen, Richtlinien und Überprüfungsdaten, damit zukünftige Änderungen schnell beurteilt werden können.
Compliance ist ein gepflegtes System
Ein konformes Banner kann durch ein zu frühes Auslösen eines Tags oder durch das Hinzufügen einer neuen Marketingintegration ohne Überprüfung beeinträchtigt werden. Behandeln Sie Einwilligung, Dokumentation und technische Durchsetzung als ein System.
Serverseitiges Tracking ist wertvoll, wenn es das System durch Minimierung, Kontrolle und Überwachung unterstützt. Es handelt sich nicht um eine Abkürzung für die spanischen Cookie-Anforderungen.
AEPD, Cookies und GA4: häufige Fragen
Kann GA4 vor der Einwilligung in Spanien laufen?
Gehen Sie nicht davon aus, dass dies möglich ist. Die Antwort hängt von der Konfiguration, dem Zweck und davon ab, ob alle Bedingungen für eine anwendbare Ausnahme erfüllt sind. Standardmäßige Analyse- und Werbeeinrichtungen erfordern in der Regel eine Einwilligung.
Muss die Schaltfläche „Ablehnen“ genauso sichtbar sein wie die Schaltfläche „Akzeptieren“?
In der AEPD-Leitlinie heißt es, dass Akzeptieren und Ablehnen deutlich sichtbar und auf gleicher Ebene angeboten werden sollten, ohne die Ablehnung zu erschweren.
Entfernt eine First-Party-Tracking-Domain die Einwilligungspflicht?
Nein. Die Domänenarchitektur ändert weder den zugrunde liegenden Zweck noch die Parteien. Bewerten Sie, welche Daten verarbeitet werden, warum und wohin sie gehen.
Wie oft sollten Tags geprüft werden?
Überprüfen Sie dies zumindest nach jeder wesentlichen Änderung von CMP, Website oder Anbieter. Regelmäßige automatisierte Scans und manuelle Fahrttests liefern stärkere Beweise.