DSGVO-Leistungen / Spanien
DSGVO und LOPDGDD in Spanien — was jede Norm verlangt
Die DSGVO ist die europäische Verordnung, in Spanien unmittelbar anwendbar, ohne Umsetzungsgesetz. Die LOPDGDD — Ley Orgánica 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte — ist das spanische Gesetz, das sie ausgestaltet, konkretisiert und um eigene Pflichten ergänzt. Ihr Unternehmen verantwortet sich nach beiden — vor einer einzigen Behörde: der AEPD.
Sie handeln für einen Mandanten? Wir werden hinter professionellen Beratern beauftragt und berichten an Sie. Die Beziehung zu Ihrem Mandanten bleibt Ihre.
Was jede Norm regelt, in klaren Worten
Die DSGVO setzt den Rahmen
Die Grundsätze (Rechtmäßigkeit, Minimierung, Rechenschaftspflicht), die Rechtsgrundlagen, die Betroffenenrechte, die Rollen Verantwortlicher und Auftragsverarbeiter, Folgenabschätzungen, Datenpannen und das Sanktionsregime. Sie ist in der ganzen EU identisch und braucht kein nationales Gesetz.
Die LOPDGDD liefert das spanische Kleingedruckte
Wo die Verordnung Spielraum lässt, hat Spanien ihn gefüllt: wer einen DSB benennen muss (Artikel 34), die Pflicht zur Datensperrung (Artikel 32), das Einwilligungsalter Minderjähriger bei 14 Jahren, konkrete Regeln für Videoüberwachung und interne Hinweisgebersysteme, und ein ganzer Titel digitaler Rechte — Abschalten, Privatsphäre gegenüber Firmengeräten und mehr.
Verantwortlicher, Auftragsverarbeiter und DSB — die Unterscheidung, die alles ordnet
Drei Rollen, die in Audit um Audit verwechselt auftauchen — und deren Verwechslung ganze Verträge und Hinweise entwertet.
- VERANTWORTLICHER: wer Zwecke und Mittel entscheidet — Ihr Unternehmen, für seine eigenen Kunden- und Mitarbeiterdaten
- AUFTRAGSVERARBEITER: wer im Auftrag des Verantwortlichen verarbeitet — Lohnbüro, Steuerberatung, Cloud-Plattform; er braucht einen Artikel-28-Vertrag
- DSB (delegado de protección de datos): die unabhängige Rolle, die überwacht und berät — sie entscheidet keine Zwecke, verarbeitet für niemanden und verantwortet ihr Urteil vor der AEPD
In welches Feld jeder Dienstleister und jede Abteilung fällt, entscheidet über die Verträge, die Hinweise und die übernommene Verantwortung. Das zu ordnen ist üblicherweise das erste Ergebnis unseres DSGVO-Audits.
Was die LOPDGDD verlangt und die DSGVO nie erwähnt
- Artikel 34: die spanische Liste der Stellen mit DSB-Pflicht — breiter als die drei europäischen Auslöser
- Artikel 32: die Sperrpflicht — berichtigte oder gelöschte Daten bleiben für die Verjährungsfristen möglicher Ansprüche immobilisiert
- Artikel 7: Einwilligung Minderjähriger gültig ab 14 Jahren
- Artikel 22: Vermutungen und eigene Regeln für die Videoüberwachung
- Artikel 24: interne Hinweisgebersysteme
- Titel X: digitale Rechte — digitales Abschalten, Privatsphäre gegenüber Firmengeräten und Geolokalisierung am Arbeitsplatz
Keine dieser Pflichten steht in einer generischen DSGVO-Vorlage für ganz Europa. Es ist die Schicht, die einen Anbieter, der Spanien kennt, von einem unterscheidet, der Dokumente übersetzt.
Wie wir es abdecken
Ein Programm, das DSGVO und LOPDGDD als das behandelt, was sie sind — eine Pflicht mit zwei Quellen. Audit gegen beide Normen, ein externer DSB — der AEPD gemeldet —, Verzeichnisse und Artikel-28-Verträge in Ordnung, und — für Unternehmen mit britischen Kunden — UK GDPR-Abdeckung aus unserer UK-Gesellschaft, prüfbar bei Companies House (17350509), neben der europäischen im Malta Business Registry (C 95774).
Fragen, beantwortet
Was unterscheidet Verantwortlichen, Auftragsverarbeiter und DSB in Spanien?
Drei Rollen, die die DSGVO präzise definiert. Der Verantwortliche entscheidet Zwecke und Mittel — Ihr Unternehmen, für seine eigenen Daten. Der Auftragsverarbeiter verarbeitet im Auftrag — Lohnbüro, Steuerberatung, Cloud-Plattform. Und der DSB verarbeitet für niemanden: Er ist die unabhängige Rolle, die die Einhaltung überwacht, berät und den Kontakt zur AEPD hält. Sie zu verwechseln ist der häufigste Fehler, den wir in Audits finden.
Wenn wir die DSGVO einhalten, halten wir dann schon die LOPDGDD ein?
Nicht automatisch. Die LOPDGDD gestaltet die europäische Verordnung für Spanien aus und ergänzt eigene Pflichten: die Artikel-34-Liste der DSB-pflichtigen Stellen, die Sperrpflicht des Artikels 32, das Einwilligungsalter von 14 Jahren, eigene Regeln für Videoüberwachung und Hinweisgebersysteme und einen ganzen Titel digitaler Rechte. Ein Unternehmen kann die DSGVO solide abdecken und trotzdem rein spanische Pflichten verletzen.
Was ist die Sperrpflicht des Artikels 32 LOPDGDD?
Eine spanische Besonderheit: Wird ein Datum berichtigt oder gelöscht, muss der Verantwortliche es sperren — immobilisiert aufbewahren, ausschließlich für Richter, Gerichte, die Staatsanwaltschaft oder zuständige Verwaltungen, für die Verjährungsfristen möglicher Ansprüche. Das ist kein einfaches Löschen: Es ist eine konkrete technische und organisatorische Pflicht, die viele ausländische Vorlagen-Anbieter nicht einmal erwähnen.
Kann eine Malta-/UK-Firma die spanische Compliance führen?
Die DSGVO gilt unmittelbar in der ganzen EU, und unsere europäische Gesellschaft — Privacy Core Services Ltd, C 95774, Malta — ist im selben Rahmen niedergelassen wie Ihr Unternehmen. Die spanische Schicht (LOPDGDD, AEPD-Kriterien und -Leitlinien) gehört zum Service, die DSB-Benennung wird der AEPD gemeldet wie bei jedem lokalen Anbieter, und wir bringen etwas mit, das ein rein lokaler Anbieter nicht hat: UK GDPR-Abdeckung aus unserer britischen Gesellschaft für Mandanten mit UK-Bezug.
Beginnen Sie mit einem kurzen Gespräch
Sagen Sie uns, was Ihr Unternehmen verarbeitet und für wen, und wir sagen Ihnen klar, was DSGVO und LOPDGDD verlangen — und was nicht. Keine automatische Anmeldung; wir antworten innerhalb eines Werktags.