DSGVO in Spanien (LOPD-GDD)

DSGVO und Spaniens LOPD-GDD

Die EU-Datenschutz-Grundverordnung (DSGVO — Verordnung 2016/679) gilt seit dem 25. Mai 2018 direkt in ganz Spanien. Sie wird ergänzt und erweitert durch Spaniens nationales Umsetzungsgesetz, das Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPD-GDD), das die DSGVO an das spanische Verfassungsrecht anpasst (das Recht auf Privatsphäre ist ein Grundrecht nach Artikel 18 der spanischen Verfassung) und sektorspezifische Regeln hinzufügt.

Für in Spanien tätige Unternehmen setzt die Kombination aus DSGVO und LOPD-GDD — nicht allein die DSGVO — den Compliance-Standard.

Spaniens Datenschutzbehörde: AEPD

Die Agencia Española de Protección de Datos (AEPD) ist Spaniens unabhängige Aufsichtsbehörde. Sie ist beständig eine der aktivsten Datenschutzbehörden in der EU und verhängt regelmäßig erhebliche Bußgelder gegen Unternehmen aller Größen. Bemerkenswerte AEPD-Durchsetzungsmaßnahmen umfassten Bußgelder gegen große Telekommunikationsanbieter, Fluggesellschaften und Banken sowie gegen kleinere Unternehmen bei grundlegenden Compliance-Versäumnissen.

Die Durchsetzungsprioritäten der AEPD umfassen:

• Unrechtmäßige Verwendung von Cookies und Tracking-Technologien
• Unzureichende Rechtsgrundlagen für die Verarbeitung personenbezogener Daten
• Versäumnis, auf Betroffenenrechtsanfragen innerhalb der gesetzlichen Fristen (ein Monat) zu antworten
• Unzureichende technische und organisatorische Sicherheitsmaßnahmen nach Datenpannen

Wesentliche Compliance-Pflichten

1. Rechtsgrundlage für die Verarbeitung

Jede Verarbeitungstätigkeit muss auf einer der sechs DSGVO-Rechtsgrundlagen basieren: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. In Spanien überprüft die AEPD Einwilligungsmechanismen sorgfältig — vorangekreuzte Kästchen, gebündelte Einwilligung und als Auffanglösung für kommerzielle Profilierung eingesetzte Einwilligung werden regelmäßig beanstandet.

2. Verarbeitungsverzeichnis (ROPA)

Unternehmen mit mehr als 250 Mitarbeitern oder die sensible Daten verarbeiten oder systematische Verarbeitung durchführen, müssen ein schriftliches Verzeichnis führen, das alle Verarbeitungstätigkeiten, ihre Zwecke, Datenkategorien, Aufbewahrungsfristen und Sicherheitsmaßnahmen dokumentiert.

3. Datenschutzbeauftragter (DSB)

Ein DSB ist für öffentliche Stellen, Unternehmen, die sensible Daten in großem Maßstab verarbeiten, oder Unternehmen, die umfangreiche systematische Überwachung von Personen durchführen, verpflichtend. Der DSB kann ein Mitarbeiter oder ein externer Anbieter sein und muss bei der AEPD registriert sein.

4. Auftragsverarbeitungsverträge (AVV)

Jeder Drittanbieter, der personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet (Cloud-Anbieter, Gehaltsabrechnungsdienstleister, Marketingplattformen), muss einen unterschriebenen AVV haben, der den Anforderungen von DSGVO-Artikel 28 entspricht. Dies ist eine häufig bei Due-Diligence-Prüfungen spanischer Unternehmen festgestellte Lücke.

5. Cookies und Online-Tracking

Die AEPD-Guía sobre el uso de las cookies gehört zu den detailliertesten Cookie-Leitfäden der EU. Die Einwilligung muss spezifisch, informiert und freiwillig erteilt sein; Cookie-Sperren (Zugangsblockierung, sofern Cookies nicht akzeptiert werden) sind nur unter spezifischen Umständen zulässig. Analyse-Cookies sind nicht “unbedingt notwendig” und erfordern Einwilligung.

6. HR-Daten

Das LOPD-GDD fügt spezifische Bestimmungen zur Mitarbeiterüberwachung, digitalen Rechten am Arbeitsplatz und der Verwendung biometrischer Daten für Zeiterfassungssysteme hinzu (eine in Spanien verbreitete, aber rechtlich komplexe Praxis).

Bußgelder und Sanktionen

Die DSGVO ermöglicht Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) bei schwerwiegendsten Verstößen. Die AEPD verhängt regelmäßig Bußgelder im Bereich von 50.000–300.000 Euro für mittelgroße Unternehmen und hat Bußgelder über 5 Millionen Euro für große Organisationen ausgesprochen.

LOPD-GDD-Ergänzungen über die DSGVO hinaus

Das LOPD-GDD fügt spezifisch spanische Rechte und Pflichten hinzu, die in der Basis-DSGVO nicht enthalten sind:

• Recht auf digitale Abschaltung bei der Arbeit (derecho a la desconexión digital)
• Recht, nicht automatisiertem Profiling bei Beschäftigungsentscheidungen unterworfen zu werden
• Spezifische Regeln für die Verarbeitung von Daten verstorbener Personen

Wie BMC helfen kann

Wir führen DSGVO-Compliance-Audits durch, erstellen ROPA-Verzeichnisse und interne Richtlinien, verhandeln AVVs mit Lieferanten, unterstützen die DSB-Bestellung, verwalten AEPD-Beschwerden und -Untersuchungen und beraten zu den Datenschutzaspekten von M&A-Transaktionen.