Mit der Einführung der Datenschutz-Grundverordnung (DSGVO) im Jahr 2016 wurde in der gesamten Europäischen Union ein einheitliches Datenschutzrecht etabliert. Trotz dieser Harmonisierung lohnt es sich, die rechtlichen Entwicklungen und Traditionen einzelner Mitgliedstaaten zu betrachten, um ein besseres Verständnis für deren Datenschutzregelungen zu gewinnen. Im Folgenden liegt der Fokus auf dem Datenschutzrecht Spaniens.
Die Entwicklung des Datenschutzes in Spanien
Nach dem Ende der Franco-Diktatur und der Verabschiedung des Gesetzes zur politischen Reform im Jahr 1976 begann ein Demokratisierungsprozess, der in der spanischen Verfassung von 1978 mündete. Diese verankerte in Artikel 18 das Recht auf Privatsphäre und Schutz persönlicher Daten. Eine wegweisende Ergänzung in Absatz 4 dieses Artikels bestimmte, dass der Einsatz digitaler Technologien reguliert werden muss, um die Grundrechte und Freiheiten der Bürger zu wahren.
1992 verabschiedete Spanien mit der Ley Orgánica 5/1992 erstmals ein Gesetz zum Schutz personenbezogener Daten. Es basierte auf der Verfassungsregelung, hatte jedoch eine eingeschränkte Reichweite, da es nur auf automatisierte Datenverarbeitung angewandt wurde. Um die EU-Datenschutzrichtlinie 95/46/EG umzusetzen, wurde 1999 ein neues Datenschutzgesetz (Ley Orgánica 15/1999) eingeführt, das sowohl automatisierte als auch nichtautomatisierte Datenverarbeitung regelte. Es brachte wesentliche Neuerungen mit sich, darunter ein Widerspruchsrecht für betroffene Personen, eine klare Definition von Auftragsverarbeitern sowie neue rechtliche Grundlagen für die Verarbeitung personenbezogener Daten.
Das Recht auf Privatsphäre vor Gericht
Das spanische Verfassungsgericht spielte eine entscheidende Rolle bei der Ausgestaltung des Datenschutzrechts. In einem Urteil von 1998 bestätigte es das Recht auf Datenschutz als eigenständiges Grundrecht, das Einzelpersonen Kontrolle über ihre persönlichen Daten ermöglicht. Zwei Jahre später konkretisierte das Gericht den Anwendungsbereich dieses Rechts und stellte klar, dass es alle Informationen umfasst, mit denen eine Person direkt oder indirekt identifiziert werden kann.
Die DSGVO und ihre Umsetzung in Spanien
Die Enthüllungen von Edward Snowden über weltweite Überwachungsprogramme durch US-Geheimdienste trugen dazu bei, dass die Datenschutz-Grundverordnung auf europäischer Ebene beschlossen wurde. Nach Inkrafttreten der DSGVO am 25. Mai 2018 passte Spanien sein Datenschutzrecht an und verabschiedete am 6. Dezember 2018 das Ley Orgánica 3/2018 (LOPD). Dieses Gesetz setzte die DSGVO in nationales Recht um und ersetzte das Datenschutzgesetz von 1999.
Das LOPD umfasst zehn Titel mit insgesamt 97 Paragrafen und behandelt unter anderem folgende Themen:
- Allgemeine Bestimmungen
- Grundsätze des Datenschutzes
- Rechte der betroffenen Personen
- Regelungen für spezielle Datenverarbeitungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
- Datenübermittlung in Drittländer
- Aufsichtsbehörden und Sanktionen
- Digitale Rechte
Besondere Regelungen im spanischen Datenschutzrecht
Schutz der Daten Verstorbener
Während die DSGVO keine speziellen Vorschriften für personenbezogene Daten Verstorbener enthält, erlaubt sie es den Mitgliedstaaten, eigene Regelungen zu erlassen. Spanien hat diese Möglichkeit genutzt: Nach Artikel 3 LOPD können nahe Angehörige, Erben oder Lebenspartner einer verstorbenen Person unter bestimmten Bedingungen Einsicht in deren Daten verlangen oder deren Löschung beantragen – es sei denn, die verstorbene Person hat dem ausdrücklich widersprochen. Zudem besteht die Möglichkeit, dass eine Person vor ihrem Tod eine Vertrauensperson bestimmt, die ihre Daten nach festgelegten Vorgaben verwaltet.
Datenschutz für Minderjährige
Nach spanischem Recht kann eine minderjährige Person ab 14 Jahren selbstständig in die Verarbeitung ihrer personenbezogenen Daten einwilligen. Liegt das Alter unter dieser Grenze, ist die Zustimmung der Erziehungsberechtigten erforderlich. Diese Regelung weicht von der DSGVO ab, die eine Altersgrenze von 16 Jahren vorsieht.
Pflicht zur Benennung eines Datenschutzbeauftragten
Im Gegensatz zu Deutschland, wo die Benennungspflicht eines Datenschutzbeauftragten an die Anzahl der Mitarbeitenden eines Unternehmens geknüpft ist, gibt das spanische LOPD eine Liste mit 16 spezifischen Branchen und Institutionen vor, die zwingend einen Datenschutzbeauftragten ernennen müssen. Dazu gehören beispielsweise Finanzinstitute, Gesundheitszentren und Bildungseinrichtungen. Unternehmen, die freiwillig einen Datenschutzbeauftragten benennen, können von mildernden Umständen bei Verstößen profitieren.
Die Datenschutzaufsicht in Spanien
Obwohl Spanien in 17 autonome Regionen unterteilt ist, die über eigene Gesetzgebungsbefugnisse verfügen, bleibt die Datenschutzaufsicht stark zentralisiert. Die Hauptverantwortung trägt die Agencia Española de Protección de Datos (AEPD) mit Sitz in Madrid. Diese Behörde überwacht sowohl private als auch öffentliche Organisationen hinsichtlich der Einhaltung des Datenschutzrechts.
Einige Regionen wie Katalonien und das Baskenland haben eigene Datenschutzbehörden eingerichtet, die sich jedoch nur auf öffentliche Einrichtungen auf Landesebene beziehen.
Hohe Aktivität der spanischen Datenschutzbehörde
Die AEPD unterscheidet Verstöße in drei Kategorien – geringfügig, schwerwiegend und sehr schwerwiegend – und verhängt entsprechend abgestufte Sanktionen. Im Jahr 2023 erließ die Behörde Bußgelder in Höhe von rund 30 Millionen Euro. Im Vergleich zu Deutschland, wo Datenschutzaufsichtsbehörden auf 17 Bundesländer verteilt sind, zeigt sich die spanische Behörde besonders aktiv und veröffentlicht regelmäßig Entscheidungen zu verhängten Sanktionen.
Mehr Informationen zu den Herausforderungen und Unterschieden bei der Durchsetzung von Datenschutzverstößen finden Sie in unserem ausführlichen Blogbeitrag „Die verborgenen deutschen Bußgelder“.
Bildlizenz: kostenloses Bild von Pixabay: Spanien Flagge Himmel - Kostenloses Foto auf Pixabay
Inhaltslizenz: Inhaltslizenz - Pixabay