Datenschutz im Unternehmen: DSGVO-Pflichten in Spanien erfüllen

Jedes Unternehmen, das personenbezogene Daten erhebt, speichert oder nutzt — von Kunden, Beschäftigten oder Lieferanten —, muss die Datenschutz-Grundverordnung (DSGVO) und die Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), das spanische Datenschutzgesetz, einhalten. Ob Selbstständige mit einer E-Mail-Liste oder ein Unternehmen mit Tausenden von Datensätzen: Die Pflicht ist dieselbe.

Die Bußgelder bei Verstößen können 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes erreichen. Die Agencia Española de Protección de Datos (AEPD), die spanische Datenschutzbehörde, hat gegen KMU bereits Bußgelder zwischen 10.000 und 50.000 € verhängt — für Verstöße, die sich mit einer sauberen Anpassung hätten vermeiden lassen.

Welche Datenschutzpflichten hat Ihr Unternehmen?

Die DSGVO und die LOPDGDD legen eine Reihe von Pflichten fest, die jedes Unternehmen erfüllen muss:

Grundpflichten (für alle Unternehmen)

• Verzeichnis von Verarbeitungstätigkeiten: dokumentieren, welche Daten zu welchem Zweck, wie lange und mit welchem Zugriff verarbeitet werden
• Rechtsgrundlage für jede Verarbeitung: Einwilligung, Vertragserfüllung, berechtigtes Interesse oder eine andere Grundlage nach Art. 6 DSGVO
• Information der betroffenen Person: klare, zugängliche und aktuelle Datenschutzerklärung auf der Website und in Formularen
• Verträge mit Auftragsverarbeitern: förmliche Vereinbarung mit jedem Dienstleister, der Zugang zu personenbezogenen Daten hat (Steuerberatung, Hosting, CRM usw.)
• Sicherheitsmaßnahmen: Schutz der Daten durch technische und organisatorische Maßnahmen, die dem Risiko angemessen sind
• Meldung von Datenschutzverletzungen: jede Sicherheitsverletzung innerhalb von höchstens 72 Stunden an die AEPD melden

Zusätzliche Pflichten je nach Größe und Tätigkeit

• Datenschutzbeauftragter (DPD): verpflichtend für Unternehmen, die Daten in großem Umfang oder besondere Kategorien von Daten verarbeiten oder systematisch Profile bilden. Ebenso verpflichtend für Sicherheitsunternehmen, Bildungseinrichtungen, Versicherer und weitere in Art. 34 LOPDGDD aufgeführte Stellen.
• Datenschutz-Folgenabschätzung (EIPD): erforderlich, wenn die Verarbeitung ein hohes Risiko für die Rechte der Betroffenen mit sich bringt
• Ethikkanal: Ab April 2026 müssen spanische Unternehmen mit mehr als 50 Beschäftigten ein Hinweisgebersystem mit benannter verantwortlicher Person führen

Sie sind unsicher, ob Ihr Unternehmen die Vorgaben erfüllt? Unser Team für Beratung prüft Ihren Stand in einem kurzen Audit.

Was ist die DSGVO und was ist die LOPDGDD?

Es sind zwei einander ergänzende Normen:

Die LOPDGDD ersetzt die DSGVO nicht, sie ergänzt sie. Sie fügt spanische Besonderheiten hinzu: die Liste der Stellen, die einen Datenschutzbeauftragten benennen müssen, die digitalen Rechte der Beschäftigten und die Regeln zu Videoüberwachung und Auskunfteien.

Bußgelder: Was ein Verstoß kosten kann

Die AEPD unterscheidet drei Stufen von Verstößen:

In der Praxis liegen die Bußgelder gegen KMU meist zwischen 1.000 und 100.000 €, je nach Schwere und Umfang der betroffenen Daten. Die Anpassung an die DSGVO kostet deutlich weniger als ein Bußgeld.

So passen Sie Ihr Unternehmen Schritt für Schritt an die DSGVO an

Anpassungsplan in 6 Schritten

1. Verarbeitungen erfassen: alle personenbezogenen Daten auflisten, die das Unternehmen verarbeitet (Kunden, Beschäftigte, Lieferanten, Marketing)
2. Rechtsgrundlage prüfen: für jede Verarbeitung eine tragfähige Grundlage nachweisen (Einwilligung, Vertrag, berechtigtes Interesse)
3. Information der Betroffenen aktualisieren: Datenschutzerklärung, Impressum und Cookie-Richtlinie überarbeiten
4. Verträge mit Auftragsverarbeitern schließen: sicherstellen, dass jeder Dienstleister mit Datenzugang einen Auftragsverarbeitungsvertrag hat
5. Sicherheitsmaßnahmen umsetzen: Verschlüsselung, Zugriffskontrolle, Sicherungskopien, Verfahren bei Datenschutzverletzungen
6. Datenschutzbeauftragten benennen, falls nötig: prüfen, ob das Unternehmen dazu verpflichtet ist

Kostenlose Werkzeuge der AEPD

Die spanische Datenschutzbehörde stellt kostenlose Werkzeuge bereit, die die Umsetzung erleichtern:

• Facilita RGPD: Online-Fragebogen für Unternehmen mit geringem Risiko
• Gestiona EIPD: Werkzeug für Folgenabschätzungen
• Comunica Brecha RGPD: Meldeweg für Sicherheitsverletzungen

Datenschutz und digitale Transformation

Datenschutz ist nicht nur eine Rechtspflicht — er ist ein wesentlicher Bestandteil der digitalen Transformation Ihres Unternehmens. Jedes Digitalisierungsprojekt mit personenbezogenen Daten muss den Datenschutz von der Gestaltung an mitdenken (Privacy by Design).

Das hängt unmittelbar mit weiteren Vorgaben zusammen, die für Ihr Unternehmen gelten können:

• Verpflichtende elektronische Rechnung: Rechnungsdaten enthalten personenbezogene Daten
• NIS2-Richtlinie: Maßnahmen der Cybersicherheit schützen auch personenbezogene Daten
• Compliance im Unternehmen: Die DSGVO ist Teil des Compliance-Programms

Die Anpassung an die DSGVO lässt sich teilweise über Fördermittel für die Digitalisierung finanzieren, etwa über Kit Digital (Kategorie Cybersicherheit) oder Kit Consulting — spanische Programme für Unternehmen mit Tätigkeit in Spanien.

Wann ist ein Datenschutzbeauftragter (DPD) Pflicht?

Der DPD ist Pflicht für Unternehmen, die Daten in großem Umfang oder besondere Kategorien von Daten verarbeiten oder systematisch Profile bilden, sowie für Sicherheitsunternehmen, Bildungseinrichtungen, Versicherer und die übrigen Stellen nach Art. 34 LOPDGDD. Trifft das auf Ihr Unternehmen zu, ist die Benennung nicht optional.

Welche Bußgelder kann die AEPD bei Verstößen gegen die DSGVO verhängen?

Die AEPD unterscheidet leichte Verstöße (bis 40.000 €), schwere (bis 300.000 €) und sehr schwere (bis 20 Millionen Euro oder 4 % des Jahresumsatzes). In der Praxis liegen die Bußgelder gegen KMU je nach Schwere und Umfang der betroffenen Daten zwischen 1.000 und 100.000 €.

Nächster Schritt

Die Einhaltung der DSGVO ist weder optional noch aufschiebbar. Ist Ihr Unternehmen noch nicht vollständig angepasst, wächst das Bußgeldrisiko täglich. Tecnocim Innova bewertet Ihren Stand, benennt die Lücken und entwirft einen Anpassungsplan, der zu Größe und Risiko Ihres Unternehmens passt.

Kontaktieren Sie uns für ein erstes Audit zum Datenschutz.