Datenschutz & DSGVO: Was deutsche Unternehmer in Spanien wissen müssen
Viele deutsche Unternehmer, die sich an der Costa Blanca oder der Marina Alta niedergelassen haben, gehen davon aus, dass mit dem Umzug nach Spanien auch bestimmte deutsche Vorschriften weggefallen sind. Das ist ein kostspieliger Irrtum. Die Datenschutz-Grundverordnung ist europäisches Recht. Sie gilt in Dénia genauso wie in Düsseldorf, in Jávea genauso wie in Stuttgart.
Wer eine Website betreibt und dabei personenbezogene Daten verarbeitet, ob über ein Kontaktformular, einen Newsletter oder einfach durch das Einbinden von Google Fonts, unterliegt der DSGVO. Und “Datenschutz auf der Website” ist keine einmalige Angelegenheit, die man einrichtet und dann vergisst. Es ist ein dauerhafter Teil des Betriebs.
Dieser Artikel erklärt, worauf es konkret ankommt: ohne Juristendeutsch, ohne überflüssige Theorie.
Was die DSGVO für Ihre Website tatsächlich bedeutet
Die DSGVO regelt, wie personenbezogene Daten erhoben, gespeichert und verarbeitet werden. Personenbezogen ist dabei mehr, als die meisten Unternehmer denken: IP-Adressen, E-Mail-Adressen, Namen aus Kontaktformularen, Standortdaten und sogar das Nutzerverhalten auf der Website fallen darunter.
Die häufigsten Datenschutz-Schwachstellen auf Websites kleinerer Unternehmen sind:
- Kontaktformulare ohne Datenschutzhinweis
- Google Analytics oder andere Tracking-Tools ohne Einwilligung
- Externe Schriftarten (z. B. Google Fonts), die direkt von Google-Servern geladen werden
- Newsletter-Anmeldeformulare ohne Double-Opt-in
- Kein oder ein rechtlich unzureichendes Cookie-Banner
Keiner dieser Punkte ist technisch kompliziert zu lösen. Aber jeder einzelne kann zum Problem werden, wenn er ignoriert wird.
Datenschutzerklärung: Was sie enthalten muss
Eine Datenschutzerklärung ist Pflicht. Nicht optional, nicht “empfohlen”. Jede Website, die personenbezogene Daten verarbeitet, was auf praktisch jede Unternehmenswebsite zutrifft, muss eine vollständige, aktuelle Datenschutzerklärung bereitstellen.
Die Datenschutzerklärung muss konkret benennen:
- Wer verantwortlich ist. Name, Adresse und Kontaktdaten des Verantwortlichen. Als Unternehmer in Spanien sind das Ihre spanischen Kontaktdaten.
- Welche Daten erhoben werden. Nicht in allgemeinen Floskeln, sondern konkret: Formular-Daten, IP-Adressen, Cookies, Analyse-Daten.
- Warum sie erhoben werden. Der Zweck der Verarbeitung muss klar benannt sein.
- Auf welcher Rechtsgrundlage. Einwilligung, berechtigtes Interesse oder Vertragserfüllung (Art. 6 DSGVO).
- Wie lange die Daten gespeichert werden.
- Welche Drittanbieter involviert sind. Google, Mailchimp, Stripe, Calendly, jeder externe Dienst muss erwähnt werden.
- Welche Rechte Nutzer haben. Auskunft, Löschung, Widerspruch, Datenübertragbarkeit.
Kostenlose Generatoren wie der von Datenschutz.org oder eRecht24 können als Ausgangspunkt dienen, aber sie ersetzen keine individuelle Prüfung. Wer spezifische Tools einsetzt oder mehrsprachige Zielgruppen anspricht, sollte eine Rechtsberatung hinzuziehen.
Cookie-Consent: Warum das “Nur-Info-Banner” nicht ausreicht
Das verbreitetste Missverständnis im Bereich Website-Datenschutz ist das Cookie-Banner, das lediglich darauf hinweist, dass Cookies eingesetzt werden, aber keine echte Wahlmöglichkeit bietet. Das entspricht nicht der DSGVO.
Was tatsächlich erforderlich ist:
Technisch notwendige Cookies (für den Betrieb der Website unerlässlich) dürfen ohne Einwilligung gesetzt werden. Alle anderen Cookies, insbesondere Analyse- und Marketing-Cookies, setzen eine vorherige, aktive Einwilligung voraus. Das bedeutet: Die Cookies dürfen erst nach dem Klick auf “Akzeptieren” geladen werden, nicht vorher.
Außerdem muss die Ablehnung genauso einfach sein wie die Zustimmung. Ein auffälliger “Akzeptieren”-Button neben einem kaum sichtbaren “Ablehnen”-Link ist nicht zulässig.
Empfehlenswerte Consent-Management-Plattformen für kleinere Websites sind Cookiebot, Usercentrics oder das kostenfreie Borlabs Cookie (für WordPress). Welches System das richtige ist, hängt von der Website-Architektur ab. Wichtig ist, dass das System tatsächlich Cookies blockiert, bis eine Entscheidung getroffen wurde, und dass die Einwilligungen protokolliert werden.
Google Fonts, Analytics & Co.: Die versteckten Datenschutzfallen
Zwei Punkte, die auf vielen Websites übersehen werden, aber regelmäßig zu Abmahnungen führen:
Google Fonts. Wer Google Fonts direkt über die Google-Server einbindet, übermittelt dabei die IP-Adresse des Besuchers an Google, ohne Einwilligung. Seit einem deutschen Gerichtsurteil aus dem Jahr 2022 ist das ein bekanntes Risiko. Die Lösung ist denkbar einfach: Schriftarten lokal auf dem eigenen Server hosten. Das ist ein technischer Handgriff, der beim Website-Setup erledigt werden sollte.
Google Analytics. Wer Google Analytics ohne Consent Management einsetzt, verstößt gegen die DSGVO. Eine mögliche Alternative ist Google Analytics 4 mit IP-Anonymisierung und aktiviertem Consent Mode, oder der Wechsel zu einer datenschutzfreundlicheren Lösung wie Plausible oder Fathom Analytics, die ohne Cookies auskommen und keine personenbezogenen Daten übermitteln.
Diese Tools sind keine Kompromisse. Plausible liefert alle wesentlichen Metriken ohne den datenschutzrechtlichen Aufwand.
Spanien und die AEPD: Die lokale Aufsichtsbehörde
In Deutschland ist die DSGVO-Durchsetzung bekannt, weil Abmahnungen durch Mitbewerber ein reales Marktphänomen sind. In Spanien ist die zuständige Behörde die AEPD (Agencia Española de Protección de Datos), und sie kontrolliert aktiv.
Als Unternehmer mit Sitz in Spanien sind Sie der AEPD rechenschaftspflichtig. Gleichzeitig: Wer deutsche Kunden anspricht oder eine .de-Domain betreibt, bewegt sich auch im Blickfeld deutschen Wettbewerbsrechts. Das ist keine theoretische Überlegung. Grenzüberschreitende Abmahnungen zwischen Deutschland und Spanien sind möglich.
Der praktische Rat: Richten Sie Ihre Website so ein, dass sie den Anforderungen der DSGVO vollständig entspricht. Dann sind Sie gegenüber beiden Behörden auf der sicheren Seite.
Checkliste: Das Minimum für DSGVO-konforme Websites
Bevor Sie den nächsten Abschnitt weiterlesen, prüfen Sie Ihre Website auf diese Punkte:
- Datenschutzerklärung vorhanden, vollständig und aktuell
- Cookie-Banner mit echter Einwilligung (kein “Nur-Info”-Banner)
- Google Fonts lokal gehostet
- Kontaktformulare mit Datenschutzhinweis und Einwilligungs-Checkbox
- Newsletter-Anmeldung mit Double-Opt-in
- Verarbeitungsverzeichnis intern geführt (für Unternehmen mit Mitarbeitern Pflicht, für Solo-Unternehmer empfehlenswert)
- Drittanbieter-Dienste vollständig in der Datenschutzerklärung aufgeführt
Diese Liste ist kein Ersatz für rechtliche Beratung. Sie ist der Ausgangspunkt, um zu erkennen, wo auf Ihrer Website Handlungsbedarf besteht.
Datenschutz als Teil der Website, nicht als Nachgedanke
Ein Aspekt, der oft unterschätzt wird: Datenschutz ist nicht nur eine rechtliche Pflicht, sondern ein Vertrauenssignal. Deutsche Kunden, ob in Deutschland oder unter den deutschen Unternehmern in der Marina Alta, achten auf Datenschutz. Ein professionell gesetztes Cookie-Banner, eine klar formulierte Datenschutzerklärung und der erkennbare Verzicht auf unnötige Datenerhebung zeigen, dass Sie Ihr Unternehmen ernstnehmen.
Das gilt besonders an der Valencianischen Küste, wo viele kleinere Unternehmen Online-Auftritte haben, die rechtlich und gestalterisch veraltet sind. Wer sich erkennbar um diese Details kümmert, hebt sich ab, nicht durch Marketing-Rhetorik, sondern durch sichtbare Sorgfalt.
Wenn Sie Ihre Website neu aufsetzen oder eine bestehende Website überprüfen lassen möchten, um sie rechtssicher und professionell zu gestalten: Sprechen Sie mich an. FRAMEONE MEDIA DESIGN betreut Websites für deutsche und internationale Unternehmer entlang der Küste von Valencia bis Alicante, auf Deutsch, Spanisch und Englisch. Starten Sie das Gespräch.
