Compliance-Leitfaden für WordPress-Agenturen in Spanien: DSGVO, AEPD, LSSI und NIS2

#Compliance-Leitfaden für WordPress-Agenturen in Spanien: DSGVO, AEPD, LSSI und NIS2

Der rechtliche Rahmen für Unternehmenswebsites und Onlineshops in Spanien ist kein Satz theoretischer Leitlinien mehr, sondern ein strenges Regelwerk für den Alltag. Wer 2026 in Spanien eine Website mit WordPress baut, braucht fundiertes Wissen nicht nur über die Technik, sondern auch über die nationalen und europäischen Gesetze zu Datenschutz, elektronischem Handel, Rechnungsstellung und Cybersicherheit.

Wer diese Vorschriften ignoriert, riskiert Sanktionen der spanischen Datenschutzbehörde (AEPD), des Staatssekretariats für Digitalisierung und Künstliche Intelligenz (Secretaría de Estado de Digitalización e Inteligencia Artificial) und der Steuerbehörde (Agencia Tributaria). Dieser Artikel zeigt, welche technischen Anforderungen eine WordPress-Installation erfüllen muss, um dem geltenden Rechtsrahmen in Spanien zu entsprechen, mit Verweisen auf die konsolidierten Gesetzestexte im BOE und auf die Leitfäden der AEPD.

#So erfüllen Sie die DSGVO in WordPress nach den Vorgaben der AEPD

Die DSGVO (Verordnung (EU) 2016/679) ist die Grundlage für die Verarbeitung personenbezogener Daten in der Europäischen Union. In Spanien überwacht die AEPD ihre Anwendung sehr aktiv auf Basis des Organgesetzes 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte (LOPDGDD).

#So hosten Sie Google Fonts lokal in WordPress

Einer der häufigsten Fehler auf WordPress-Websites ist das Nachladen externer Ressourcen zur Laufzeit. Sendet eine Website eine Anfrage an einen fremden Server (etwa an die Server von Google, um Schriften zu laden), wird die IP-Adresse der Besucher (nach DSGVO ein personenbezogenes Datum) an diesen Drittanbieter übermittelt, häufig auch außerhalb der Europäischen Union.

Diese Übermittlung braucht eine Rechtsgrundlage und, wenn der Server außerhalb des Europäischen Wirtschaftsraums steht, Garantien für die internationale Datenübermittlung. Wer die Schriften auf dem eigenen Server hostet, vermeidet die externe Anfrage und damit beide Probleme. Die technische Lösung in WordPress ist einfach: Alle Schriften werden heruntergeladen und lokal vom Server ausgeliefert oder in den statischen Build eingebunden (bei Headless-Websites auf Basis von Astro).

So hosten Sie Schriften lokal in einer klassischen WordPress-Installation:

1. Laden Sie die Schriftdateien (.woff2) über Google Webfonts Helper oder eine ähnliche Quelle herunter.
2. Legen Sie die Schriften im Ordner des Themes oder Child-Themes ab (/assets/fonts/).
3. Definieren Sie die @font-face-Regeln im CSS-Stylesheet.
4. Unterbinden Sie externe Anfragen über Filter in der functions.php oder mit Optimierungs-Tools.

@font-face {
  font-family: 'Outfit';
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url('/assets/fonts/outfit-v11-latin-regular.woff2') format('woff2');
}

#DSGVO-konformes Hosting in der EU

Die DSGVO verlangt vom Verantwortlichen, dass Nutzerdaten auf einer Infrastruktur gespeichert und verarbeitet werden, die europäischem Recht entspricht. Internationale Datenübermittlungen in Länder ohne Angemessenheitsbeschluss der Europäischen Kommission erfordern zusätzliche Garantien (etwa den Abschluss von Standardvertragsklauseln, SCC).

2026 hat die Datensouveränität Agenturen dazu gebracht, Hosting mit physischem Standort in der Europäischen Union zu bevorzugen. Plattformen, die den Datenverkehr ohne unterzeichneten Auftragsverarbeitungsvertrag (DPA, Data Processing Agreement) über Proxys außerhalb Europas leiten, sind ein erhebliches Compliance-Risiko. CDN- und Hosting-Anbieter, die ausschließlich in europäischen Rechenzentren speichern, sind der Standard für produktive Projekte.

#Was die LSSI von einer WordPress-Website verlangt

Die LSSI (Gesetz 34/2002) setzt die E-Commerce-Richtlinie in spanisches Recht um. Sie regelt Dienste, die über das Internet angeboten werden, sofern sie für den Anbieter eine wirtschaftliche Tätigkeit darstellen.

#Was das Aviso Legal enthalten muss

Jede Website, die für ihren Inhaber eine wirtschaftliche Tätigkeit darstellt (Direktverkauf, Werbung, Affiliate-Links oder Leadgenerierung), muss einen ständigen, einfachen, direkten und kostenlosen Zugang zu den Angaben bieten, die Artikel 10.1 der LSSI aufzählt. Meist stehen sie auf der Seite Aviso Legal, dem spanischen Gegenstück zum Impressum:

• Name oder Firmenname, Wohnsitz oder Sitz (oder eine Betriebsstätte in Spanien), E-Mail-Adresse und jede weitere Angabe, die eine direkte und wirksame Kommunikation ermöglicht.
• Angaben zur Eintragung im Handelsregister (Registro Mercantil) oder in dem öffentlichen Register, in dem der Inhaber eingetragen ist.
• Ist die Tätigkeit genehmigungspflichtig, die Angaben zu dieser Genehmigung und zur Aufsichtsbehörde.
• Bei einem reglementierten Beruf die Berufskammer und die Mitgliedsnummer, der Berufstitel, der Staat, in dem er verliehen wurde, und die geltenden berufsrechtlichen Regeln.
• Die Steuernummer.
• Zeigt die Website Preise an, klare und genaue Angaben dazu, ob sie Steuern und gegebenenfalls Versandkosten enthalten.
• Die Verhaltenskodizes, denen sich der Inhaber angeschlossen hat.

Eine Telefonnummer verlangt das Gesetz nicht: Es genügt die E-Mail-Adresse plus ein weiterer direkter Kontaktweg. Artikel 38 stuft die Verstöße ab. Ein erheblicher Verstoß gegen die Buchstaben a) (Identifizierung und Kontakt) und f) (Preise) von Artikel 10.1 ist eine schwere Ordnungswidrigkeit (Artikel 38.3 b), fehlende Angaben zu den übrigen Punkten sind eine leichte Ordnungswidrigkeit (Artikel 38.4 b). Nach Artikel 39 werden schwere Verstöße mit einer Geldbuße von 30.001 bis 150.000 Euro geahndet, leichte mit bis zu 30.000 Euro. In WordPress gehören diese Angaben auf eine Seite, die im Footer aller Templates verlinkt ist, auch im WooCommerce-Checkout.

#Cookie-Verwaltung und das Consent-Banner

Artikel 22.2 der LSSI erlaubt es, Informationen auf dem Endgerät des Nutzers zu speichern oder auszulesen, nur wenn dieser eingewilligt hat, nachdem er klar und vollständig über Verwendung und Zweck informiert wurde. Der Leitfaden zur Verwendung von Cookies der AEPD, aktualisiert im Mai 2024, legt fest, wie das Banner (CMP, Consent Management Platform) funktionieren muss:

• Gleichwertige Buttons: Die Ablehnung muss zur selben Zeit, auf derselben Ebene und genauso sichtbar angeboten werden wie die Zustimmung, ohne den Nutzer zum Ablehnen auf eine weitere Ebene zu schicken. Es ist unzulässig, den Zustimmungs-Button mit auffälligen Farben hervorzuheben und die Ablehnung hinter einem schwer lesbaren Textlink zu verstecken.
• Kategorien: Nutzer müssen Cookies nach Zwecken (Analyse, Werbung, Präferenzen) akzeptieren oder ablehnen können. Technische Cookies, die für den angeforderten Dienst nötig sind (etwa um Artikel im Warenkorb zu halten oder die Sprache zu speichern), sind von der Einwilligung ausgenommen.
• Aktive Einwilligung: Der Leitfaden übernimmt die Auffassung des Europäischen Datenschutzausschusses, dass Weitersurfen keine wirksame Form der Einwilligung ist, und ergänzt, dass auch bloße Untätigkeit des Nutzers keine ist. Tracking-Skripte müssen vollständig inaktiv bleiben, bis der Nutzer auf “Akzeptieren” klickt.

#Welche Webanalyse nach der AEPD ohne Einwilligung funktioniert

Der allgemeine Leitfaden der AEPD stellt klar, dass Analyse-Cookies nicht von der Einwilligungspflicht ausgenommen sind. Die Ausnahme steht in einem anderen Leitfaden, Verwendung von Cookies für Tools zur Reichweitenmessung (Januar 2024), und gilt nur, wenn alle folgenden Bedingungen erfüllt sind:

• Der Zweck beschränkt sich auf die Messung der Reichweite der eigenen Website, ausschließlich im Namen des Betreibers, und das Ergebnis sind anonyme statistische Daten.
• Die Daten werden nicht mit anderen Verarbeitungen verknüpft oder an Dritte übermittelt und erlauben es nicht, die Person über verschiedene Websites oder Apps hinweg zu verfolgen.
• Die Laufzeit der Cookies ist auf einen Zeitraum begrenzt, der den Vergleich von Reichweiten erlaubt (der Leitfaden nennt als Beispiel dreizehn Monate), ohne Verlängerung bei jedem Besuch, und die Daten werden höchstens fünfundzwanzig Monate aufbewahrt.
• Der Nutzer wird informiert, etwa in der Datenschutzerklärung.
• Erbringt ein externer Anbieter die Messung, besteht ein Vertrag nach Artikel 28 DSGVO, der ihm die Weiterverwendung der Daten untersagt.

Der Leitfaden zählt außerdem die Messungen auf, die er als unbedingt erforderlich ansieht: Reichweite pro Seite, verweisende Seiten, Geräte- und Browsertyp, Ladezeiten, Verweildauer auf der Seite, Nutzeraktionen und geografische Region, stets in aggregierter Form. Eine Konfiguration, die Daten mit Werbeplattformen teilt, fällt aus der Ausnahme heraus. Ein selbst gehostetes Tool, das so konfiguriert ist, dass es Daten weder verknüpft noch weitergibt, kann darunter fallen.

#Welches Bußgeld die AEPD für Cookies ohne Einwilligung verhängt

Nicht ausgenommene Cookies ohne Information oder ohne Einwilligung im Sinne von Artikel 22.2 einzusetzen, ist nach Artikel 38.4 g) der LSSI eine leichte Ordnungswidrigkeit, die mit einer Geldbuße von bis zu 30.000 Euro geahndet werden kann (Artikel 39.1 c). Liegt ein Wiederholungsfall vor und wird er durch einen rechtskräftigen Bescheid aus den vorangegangenen drei Jahren festgestellt, wird daraus eine schwere Ordnungswidrigkeit (Artikel 38.3 i) mit einer Geldbuße von 30.001 bis 150.000 Euro. Die meisten Verstöße gegen die LSSI ahndet das Staatssekretariat für Digitalisierung und Künstliche Intelligenz, Artikel 43.1 weist der AEPD aber die Verstöße bei Cookies, bei kommerzieller Kommunikation per E-Mail und beim Widerruf der Einwilligung zu.

Für die Höhe der Geldbuße berücksichtigt Artikel 40 unter anderem den Vorsatz, die Dauer des Verstoßes, den erzielten Gewinn, den betroffenen Umsatz und Maßnahmen, mit denen der Schaden gemindert oder behoben wurde. Wer das Banner korrigiert, sobald der Fehler auffällt, und die Korrektur dokumentiert, liefert also einen Umstand, den das Gesetz selbst berücksichtigt.

#So bauen Sie DSGVO-konforme Formulare in WordPress

Die Leadgewinnung über Kontaktformulare, Newsletter-Anmeldungen oder Angebotsanfragen steht unter besonderer Beobachtung der AEPD. Da WordPress stark auf Formular-Plugins setzt (etwa Contact Form 7, Gravity Forms oder Formidable Forms), ist eine sorgfältige Konfiguration nötig, um rechtliche Lücken zu vermeiden:

#Einwilligungs-Checkbox im Kontaktformular

Jedes Kontaktformular, das personenbezogene Daten erhebt (etwa Name, E-Mail-Adresse oder Telefonnummer), braucht eine standardmäßig nicht angehakte Checkbox, mit der der Nutzer der Datenschutzerklärung der Website ausdrücklich zustimmt.

• Vorab angehakte Checkboxen sind unzulässig.
• Das Absenden muss blockiert sein, bis der Nutzer die Checkbox aktiv anhakt.
• Der Text neben der Checkbox muss klar und barrierefrei auf die Datenschutzerklärung verlinken.

#Was die erste Ebene der Datenschutzinformation enthalten muss

Die AEPD verlangt, dass direkt unter dem Absende-Button eine vereinfachte “erste Ebene” mit Informationen zur Datenverarbeitung angezeigt wird. Sie muss klar und direkt enthalten:

• Verantwortlicher: Name des Website-Betreibers oder Unternehmens.
• Zweck: wofür die Daten erhoben werden (z. B. Beantwortung von Anfragen, Zusendung von Angeboten).
• Rechtsgrundlage: die Grundlage der Verarbeitung (in der Regel die Einwilligung der betroffenen Person).
• Empfänger: ob Daten an Dritte weitergegeben werden (z. B. an E-Mail-Marketing-Tools wie Brevo oder Mailchimp).
• Rechte: wie Nutzer ihre Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch ausüben können (z. B. per E-Mail an ein eigenes Postfach).

#Wie Sie Einwilligungen aus Formularen in WordPress protokollieren

Nach dem Grundsatz der Rechenschaftspflicht (accountability) der DSGVO muss das Unternehmen nachweisen können, dass ein bestimmter Nutzer die Datenschutzerklärung zu einem bestimmten Zeitpunkt akzeptiert hat. In WordPress konfigurieren Sie dafür das Formular-Plugin so, dass es bei jeder Übermittlung die IP-Adresse (nach Möglichkeit teilweise anonymisiert), den Zeitstempel (timestamp) und den Status der Einwilligungs-Checkbox in der Datenbank speichert.

#Pflicht zur Barrierefreiheit in WordPress nach dem EAA

Die Richtlinie (EU) 2019/882, bekannt als European Accessibility Act (EAA), wurde in Spanien mit Titel I des Ley 11/2023 vom 8. Mai umgesetzt. Sie verlangt, dass bestimmte Produkte und Dienstleistungen für Menschen mit Behinderungen barrierefrei sind, darunter Dienstleistungen im elektronischen Geschäftsverkehr (auch solche, die mit WooCommerce gebaut sind) sowie Bank-, Verkehrs- und elektronische Kommunikationsdienste.

#Seit wann Barrierefreiheit für Onlineshops in Spanien Pflicht ist

Nach der achtzehnten Schlussbestimmung des Ley 11/2023 ist Titel I am 28. Juni 2025 in Kraft getreten. Seit diesem Datum müssen die erfassten Dienstleistungen die Anforderungen an die Barrierefreiheit erfüllen. Artikel 3.3 nimmt Kleinstunternehmen aus, die Dienstleistungen erbringen, und das Gesetz definiert ein Kleinstunternehmen als eines mit weniger als 10 Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens 2 Millionen Euro. Eine Agentur, die für mehrere Händler arbeitet, muss die Ausnahme Kunde für Kunde prüfen, denn maßgeblich ist die Größe des Shopbetreibers, nicht die der Agentur.

#WCAG-2.2-Kriterien der Stufe AA für WordPress

Der praktische Maßstab für die Prüfung einer Website ist Stufe AA der Web Content Accessibility Guidelines (WCAG). Das W3C erläutert in der Spezifikation von WCAG 2.2, dass diese Version WCAG 2.1 um weitere Kriterien ergänzt, sodass eine mit 2.2 konforme Website auch mit 2.1 konform ist, und empfiehlt, 2.2 als Ziel zu wählen, auch wenn formale Pflichten ältere Versionen nennen. Agenturen müssen WordPress-Templates und -Blöcke daher nach strengen Kriterien prüfen und optimieren:

• Tastaturbedienung: Die gesamte Website, einschließlich Dropdown-Menüs und WooCommerce-Checkout, muss allein mit der Tastatur (Tab-Taste) bedienbar sein. Fokuszustände (focus states) müssen deutlich sichtbar sein.
• Screenreader: Bilder brauchen aussagekräftige alt-Attribute, interaktive Elemente (Buttons, Links) aussagekräftige aria-label-Attribute, wenn ihr Textinhalt nicht eindeutig ist.
• Farbkontrast: Text muss ein Kontrastverhältnis von mindestens 4.5:1 zum Hintergrund einhalten (3:1 bei großer Schrift).

#Warum Overlay-Plugins für Barrierefreiheit den EAA nicht erfüllen

Viele Agenturen versuchen, Barrierefreiheit mit Overlay-Plugins zu lösen, die per schwebendem Button automatische Zugänglichkeit versprechen. Ein Overlay verändert die Seite im Browser, nachdem sie geladen wurde, ändert aber weder die Templates noch die Blöcke noch das HTML, das WordPress erzeugt, und genau dort werden die WCAG-Kriterien geprüft. Barrierefreiheit muss nativ im semantischen HTML gelöst werden, nicht mit JavaScript-Flicken.

#Wie NIS2 eine WordPress-Agentur in Spanien betrifft

Die europäische NIS2-Richtlinie, Richtlinie (EU) 2022/2555, soll das gemeinsame Cybersicherheitsniveau in der gesamten Europäischen Union anheben. Sie erweitert den Kreis der regulierten Sektoren deutlich und teilt die betroffenen Unternehmen in wesentliche und wichtige Einrichtungen ein. Ihr Artikel 41 setzte den 17. Oktober 2024 als Frist, bis zu der die Mitgliedstaaten die Umsetzungsvorschriften erlassen und veröffentlichen mussten.

#Stand der NIS2-Umsetzung in Spanien

Stand 14. Oktober 2026 verzeichnet die Datenbank konsolidierter Rechtsvorschriften des BOE keine spanische Norm, die NIS2 umsetzt. Maßgeblich bleibt das Real Decreto-ley 12/2018 über die Sicherheit von Netz- und Informationssystemen, das die erste NIS-Richtlinie umgesetzt hat und durch das Real Decreto 43/2021 konkretisiert wird. Sein Artikel 19 verpflichtet Betreiber wesentlicher Dienste und Anbieter digitaler Dienste zur Meldung von Sicherheitsvorfällen, und zwar über ihr zuständiges CSIRT. Artikel 11 weist dem INCIBE-CERT die Einrichtungen zu, die nicht zum öffentlichen Sektor im Sinne des Ley 40/2015 gehören. Sofern die Agentur nicht selbst Betreiber wesentlicher Dienste oder Anbieter digitaler Dienste im Sinne dieser Norm ist, trifft die Meldepflicht nicht sie. Was sie sehr wohl erreicht, sind die vertraglichen Anforderungen ihrer regulierten Kunden.

#NIS2-Anforderungen an WordPress-Agenturen in der Lieferkette

Eine der wichtigsten Neuerungen von NIS2 ist der Fokus auf die Cybersicherheit der Lieferkette. Artikel 21.2 zählt zu den Mindestmaßnahmen des Risikomanagements die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zwischen jeder Einrichtung und ihren unmittelbaren Anbietern (Buchstabe d), und den Einsatz von Multi-Faktor-Authentifizierung, wo angebracht (Buchstabe j). Artikel 21.3 verlangt von den Einrichtungen außerdem, die Schwachstellen jedes Anbieters und die Qualität seiner Cybersicherheitspraxis zu bewerten, einschließlich seiner Verfahren für sichere Entwicklung.

Entwickelt, hostet oder wartet Ihre Agentur eine WordPress-Website für eine regulierte Einrichtung, sollten Sie damit rechnen, dass der Kunde diese Maßnahmen in den Vertrag übernimmt:

• Zugriffskontrolle und MFA: Zwei-Faktor-Authentifizierung für alle Administratorkonten im CMS und in den Server-Control-Panels.
• Incident-Runbook: ein dokumentiertes Verfahren, um den Kunden unverzüglich zu informieren, damit er seine eigenen Fristen einhalten kann. Artikel 23.4 von NIS2 verlangt von der regulierten Einrichtung eine Frühwarnung innerhalb von 24 Stunden, nachdem sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt hat, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Meldung.
• Prüfung von Abhängigkeiten: regelmäßige Analyse der produktiv eingesetzten WordPress-Plugins, um Angriffe auf die Lieferkette zu verhindern (etwa Backdoors in Updates beliebter Erweiterungen).

#So passen Sie WooCommerce an VeriFactu an

Das Real Decreto 1007/2023 genehmigt die Verordnung mit den Anforderungen an computergestützte Rechnungssysteme, bekannt als VeriFactu-Verordnung. Ihr Artikel 8 verlangt, dass diese Systeme Integrität, Aufbewahrung, Zugänglichkeit, Lesbarkeit, Rückverfolgbarkeit und Unveränderbarkeit der Rechnungsdatensätze gewährleisten.

#Technische Anforderungen an WooCommerce

Für WooCommerce-Shops, die auf dem spanischen Markt verkaufen, muss die Rechnungsstellung der Verordnung folgen:

• QR-Code: Die Rechnung enthält einen QR-Code, dessen Daten der Empfänger freiwillig an die Steuerbehörde übermitteln kann (Artikel 17).
• Integrität der Datensätze: Datensätze dürfen nicht verändert werden können, ohne dass das System es erkennt und meldet. Jede Korrektur oder Stornierung erfolgt über mindestens einen zusätzlichen, späteren Rechnungsdatensatz, sodass die ursprünglichen Daten erhalten bleiben (Artikel 8.2 a). Die Datensätze sind verkettet, damit sich ihre Abfolge vom ersten bis zum letzten nachvollziehen lässt (Artikel 8.2 b).
• Zwei Modalitäten: Das System kann alle Datensätze automatisch und sofort an die AEAT übermitteln. Dann gilt es als “Sistema VERI*FACTU”, und es wird vermutet, dass es die Anforderungen konstruktionsbedingt erfüllt (Artikel 16). Übermittelt es sie nicht, muss es die Datensätze elektronisch signieren (Artikel 16.3 befreit nur VERI*FACTU-Systeme von dieser Signatur).
• Declaración responsable: Der Softwarehersteller bestätigt mit einer Eigenerklärung, die in jeder Version sichtbar ist, dass sein System der Verordnung entspricht (Artikel 13). Eine Zulassung der Software durch das Finanzministerium sieht die Verordnung nicht vor.

WordPress-Agenturen sollten generische Plugins meiden, die veränderbare Datensätze speichern, und WooCommerce stattdessen über APIs an ERP-Systeme oder Rechnungssoftware anbinden, deren Hersteller diese declaración responsable vorlegt.

#VeriFactu-Fristen für WooCommerce-Shops

Die vierte Schlussbestimmung des Real Decreto 1007/2023 in der Fassung des Real Decreto-ley 15/2025 vom 2. Dezember legt folgende Fristen fest:

• Körperschaftsteuerpflichtige (Impuesto sobre Sociedades): angepasste Systeme vor dem 1. Januar 2027.
• Übrige Verpflichtete nach Artikel 3.1 (einkommensteuerpflichtige Personen mit wirtschaftlicher Tätigkeit, Gebietsfremde mit Betriebsstätte und Einrichtungen mit Einkünftezurechnung): betriebsbereite Systeme vor dem 1. Juli 2027.
• Hersteller und Vertreiber von Software: angepasste Produkte spätestens neun Monate nach Inkrafttreten der ministeriellen Durchführungsverordnung.

Artikel 3.3 nimmt Steuerpflichtige aus, die ihre Registerbücher nach Artikel 62.6 der Mehrwertsteuerverordnung führen, also über das Suministro Inmediato de Información (SII). Für alle anderen muss das Rechnungssystem zu diesen Terminen angepasst sein, und in vielen kleinen Shops ist WooCommerce genau die Stelle, an der die Rechnung entsteht.

#Checkliste zur rechtlichen Compliance für WordPress in Spanien

Die folgende technische Checkliste fasst die Elemente zusammen, die in jeder WordPress-Installation für den spanischen Markt konfiguriert sein müssen, um 2026 alle Vorgaben zu erfüllen:

graph TD
    A[Rechtliche Compliance in Spanien] --> B[Datenschutz & DSGVO]
    A --> C[Formale Pflichten & LSSI]
    A --> D[Sicherheit & NIS2]
    A --> E[Rechnungsstellung & VeriFactu]

    B --> B1["Google Fonts lokal gehostet"]
    B --> B2["Server mit DPA innerhalb der EU"]
    B --> B3["Tracking-Skripte vorab blockiert"]

    C --> C1["Sichtbares Aviso Legal, Datenschutz- und Cookie-Seiten"]
    C --> C2["Cookie-Banner mit gleichwertigen Buttons"]
    C --> C3["Ausdrückliche und informierte Einwilligung"]

    D --> D1["Zwei-Faktor-Authentifizierung (MFA) für Admins"]
    D --> D2["Ereignisprotokolle und System-Logs"]
    D --> D3["Automatische Prüfung installierter Plugins"]

    E --> E1["Nicht änderbare Rechnungen"]
    E --> E2["Software mit VeriFactu-Eigenerklärung"]
    E --> E3["IGIC auf den Kanaren und IPSI in Ceuta und Melilla"]

#Checkliste für die Konfiguration von WordPress und WooCommerce

• Lokale Schriften: Entfernen Sie jeden Aufruf von fonts.googleapis.com oder fonts.gstatic.com.
• Kein externes CDN: Stellen Sie sicher, dass Bilder und statische Ressourcen von Domains unter EU-Kontrolle ausgeliefert werden.
• Aktuelle Rechtstexte: barrierefrei erreichbare Links im Footer zu Datenschutzerklärung, Aviso Legal und Cookie-Richtlinie.
• Konformes Cookie-Banner: Konfigurieren Sie das gewählte Tool (etwa Cookiebot, Complianz oder eine schlanke Eigenentwicklung auf Cloudflare Workers) nach dem Cookie-Leitfaden der AEPD, mit dem Ablehnen-Button auf der ersten Ebene.
• WordPress-Sicherheit:
  • Begrenzen Sie fehlgeschlagene Login-Versuche (per Sicherheits-Plugin oder auf Ebene des Cloudflare-Proxys).
  • Ändern Sie bei der Installation das Standard-Präfix der WordPress-Datenbank (wp_).
  • Setzen Sie ein Aktivitätsprotokoll-Plugin ein, das kritische Aktionen von Administratoren aufzeichnet.
• WooCommerce:
  • Konfigurieren Sie Versandzonen und Steuerberechnung für die Kanarischen Inseln (IGIC), Ceuta und Melilla (IPSI).
  • Ergänzen Sie im Rechnungsformular des Checkouts eigene Felder für NIF/CIF.
  • Binden Sie den Checkout an Zahlungsanbieter an, die die von der PSD2 geforderte starke Kundenauthentifizierung umsetzen (3D Secure 2 bei Kartenzahlungen).

#Fazit

Rechtliche Compliance einer Unternehmenswebsite oder eines Onlineshops in Spanien ist keine bloße Durchsicht von Rechtstexten mehr, die sich mit vorgefertigten Vorlagen erledigen lässt. 2026 ist die Rechtskonformität untrennbar mit dem Design und der technischen Architektur der Plattform verbunden.

Agenturen, die konsequent auf Security by Design und Privacy by Default setzen, senken nicht nur erhebliche rechtliche Risiken für ihre Kunden. Sie verschaffen sich auch einen entscheidenden Wettbewerbsvorteil bei den größten und lukrativsten Projekten auf dem iberischen Markt.

#So vermeiden Sie Sanktionen der AEPD in WordPress

Rechtliche Compliance im spanischen Digitalumfeld erfordert eine vorausschauende technische Überwachung:

• Umgang mit internationalen Datenübermittlungen: Nach mehreren europäischen Gerichtsentscheidungen zum transatlantischen Datenverkehr müssen Administratoren sicherstellen, dass Hosting-, Analyse- und Automatisierungsanbieter keine Daten ohne ausdrückliche Einwilligung der Nutzer in Rechtsordnungen ohne angemessene Garantien übermitteln.
• Verzeichnis von Verarbeitungstätigkeiten (RAT) in WordPress: Jedes Unternehmen muss Kontaktformulare, WooCommerce-Kundendatenbanken und Zugriffsprotokolle registrierter Nutzer sorgfältig dokumentieren. Wer diese Richtlinien direkt in die technische Projektdokumentation aufnimmt, ist für mögliche Prüfungen der spanischen Datenschutzbehörde gut gerüstet. Rechtliche Sorgfalt schützt den Unternehmenswert.

#Backups und DSGVO-Schulungen für WordPress-Teams

Gute Cybersicherheitspraxis senkt rechtliche und betriebliche Risiken im Web:

• Kontrollierte Updates und unveränderbare Backups: Automatisierte Sicherungen in Rechenzentren in Europa ermöglichen die sofortige Wiederherstellung nach Ransomware-Angriffen oder Hardwareausfällen.
• Schulung des Redaktionsteams: Wer Redakteure im richtigen Umgang mit Bildern, Autorenrechten und personenbezogenen Daten schult, schafft eine dauerhafte Compliance-Kultur im Unternehmen.