Datenschutz in Spanien — DSGVO und LOPDGDD

Der Rechtsrahmen: DSGVO + LOPDGDD

Der Datenschutz in Spanien funktioniert in einem zweistufigen Rahmen:

1. DSGVO (Verordnung (EU) 2016/679): Unmittelbar in allen EU-Mitgliedstaaten ab dem 25. Mai 2018 anwendbar. Legt die übergreifenden Grundsätze, Rechte und Pflichten fest.

2. LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre): Spaniens nationales Umsetzungs- und Ergänzungsgesetz. Es ersetzt die DSGVO nicht, füllt aber Lücken, wo die DSGVO nationale Spielräume zulässt, legt Verwaltungsverfahren fest und fügt spanienspezifische Regeln hinzu.

Gemeinsam schaffen diese Instrumente einen umfassenden Rahmen, der für jede Organisation gilt, die personenbezogene Daten von Personen in Spanien verarbeitet oder Waren oder Dienstleistungen an Personen in Spanien anbietet.

Die AEPD: Spaniens Aufsichtsbehörde

Die Agencia Española de Protección de Datos (AEPD) ist Spaniens nationale Datenschutz-Aufsichtsbehörde. Ihre Funktionen umfassen: Untersuchung von Beschwerden der Betroffenen, Durchführung proaktiver Untersuchungen und Prüfungen, Erlass verbindlicher Entscheidungen, Warnungen und Bußgelder sowie Koordination mit anderen EU-Aufsichtsbehörden. Die AEPD kann Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes (untere Stufe) und bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes (obere Stufe) verhängen.

Wesentliche DSGVO-Pflichten für Organisationen in Spanien

1. Rechtsgrundlage der Verarbeitung

Jede Verarbeitungstätigkeit erfordert eine Rechtsgrundlage nach Artikel 6 DSGVO: Einwilligung, Vertragserfüllung, gesetzliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen.

2. Datenschutzhinweise

Organisationen müssen zum Zeitpunkt der Datenerhebung klare Datenschutzhinweise bereitstellen, die die Identität des Verantwortlichen, Zwecke und Rechtsgrundlagen der Verarbeitung, Empfänger, Aufbewahrungsfristen, Betroffenenrechte und das Recht auf Beschwerde bei der AEPD abdecken.

3. Verzeichnis der Verarbeitungstätigkeiten

Alle Verantwortlichen und Auftragsverarbeiter müssen ein internes Verzeichnis aller Verarbeitungstätigkeiten führen (Artikel 30 DSGVO).

4. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

Datenschutzkontrollen müssen von der Entwurfsphase an integriert werden. Standardeinstellungen müssen die datenschutzfreundlichste Option sein.

5. Datenschutz-Folgenabschätzung (DSFA/DPIA)

Eine DPIA ist vor Verarbeitungsvorgängen mit hohem Risiko verpflichtend: Verarbeitung sensibler Datenkategorien in großem Umfang, systematische Profilierung, Verarbeitung von Daten schutzbedürftiger Personen, automatisierte Entscheidungen mit erheblichen Auswirkungen.

6. Meldung von Datenschutzverletzungen

Datenschutzverletzungen müssen der AEPD innerhalb von 72 Stunden gemeldet und bei hohem Risiko auch den betroffenen Personen mitgeteilt werden.

7. Betroffenenrechte

Betroffene in Spanien haben folgende Rechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Rechte in Bezug auf automatisierte Entscheidungsfindung. Verantwortliche müssen innerhalb von einem Monat antworten.

LOPDGDD-spezifische Bestimmungen

Digitale Rechte im Arbeitsverhältnis

Titel X der LOPDGDD begründet spezifische digitale Rechte für Arbeitnehmer: Recht auf digitale Trennung außerhalb der Arbeitszeit, Recht auf Privatsphäre bei der Nutzung digitaler Arbeitsgeräte, Schutz vor Videoüberwachung, Anforderungen an die Vorabbenachrichtigung bei Geolokalisierungssystemen und das Recht auf Information über KI-gestützte Beschäftigungsentscheidungen.

Wie BMC helfen kann

Wir unterstützen Unternehmen bei der vollständigen DSGVO- und LOPDGDD-Compliance: Erstellung von Verarbeitungsverzeichnissen, Datenschutzhinweisen und Einwilligungsformularen, DPIA-Durchführung, Implementierung von Datenschutzmanagementsystemen, Beratung zu internationalen Datentransfers und Unterstützung bei AEPD-Untersuchungen.