Spanische Datenschutzbehörde: Funktionen, Zuständigkeiten und rechtlicher Rahmen

Die Spanische Datenschutzbehörde (AEPD) ist die öffentliche Behörde, die die Anwendung der Vorschriften zum Schutz personenbezogener Daten in Spanien beaufsichtigt. Als Aufsichtsbehörde ersetzt sie weder Unternehmen noch Verwaltungen in ihrer täglichen Verantwortung: Sie überwacht die Erfüllung ihrer Pflichten und bietet Wege, damit Personen ihre Rechte ausüben können. Ihre Rolle kombiniert Aufsicht, Orientierung und Verwaltungshandeln.

Die Unabhängigkeit ist wichtig, da sie es der Behörde ermöglicht, ihre Kontrollfunktionen auszuüben, ohne den beaufsichtigten Einrichtungen untergeordnet zu sein. Die Satzung der AEPD, genehmigt durch das Königliche Dekret 389/2021, regelt ihre Natur, Autonomie, Funktionen und Organisation. Daher sollte man vermeiden, sie als ministerielles Departement oder als eine Einrichtung zu beschreiben, die außerhalb des Gesetzes entscheidet: Es ist ein öffentliches Organ, das einem rechtlichen Rahmen und Verwaltungsvorgängen unterliegt.

In der Praxis ist die AEPD der nationale Referenzpunkt für Datenschutzfragen in ihrem Zuständigkeitsbereich. Sie ist weder ein Gericht noch ein privater Beratungsdienst: Sie kann Beschwerden bearbeiten und die von der Gesetzgebung anerkannten Befugnisse ausüben, bietet aber keine automatische Garantie, dass jede Beschwerde mit einer Sanktion oder einer finanziellen Entschädigung für den Beschwerdeführer endet.

Der Hauptrahmen kombiniert die Datenschutz-Grundverordnung (DSGVO), die in der Europäischen Union anwendbar ist, mit dem Organischen Gesetz 3/2018 zum Schutz personenbezogener Daten und der Garantie digitaler Rechte (LOPDGDD). Die europäische Gesetzgebung legt gemeinsame Grundsätze und Pflichten fest; das spanische Gesetz ergänzt diesen Rahmen und konkretisiert Aspekte der nationalen Anwendung. Die AEPD beaufsichtigt die Einhaltung, erstellt aber nicht allein den gesamten Satz von Datenschutzregeln.

Das Königliche Dekret 389/2021 erfüllt eine andere Funktion: Es genehmigt die Satzung der Behörde. Es sollte nicht mit der DSGVO oder der LOPDGDD verwechselt werden, die die Datenverarbeitung und die entsprechenden Rechte regeln. Diese Unterscheidung hilft, eine Entscheidung oder einen Leitfaden korrekt zu lesen: Eine Vorschrift kann Pflichten für Verantwortliche und Auftragsverarbeiter festlegen, während die Satzung festlegt, wie die Behörde organisiert ist, die für die Beaufsichtigung bestimmter Pflichten zuständig ist.

Die Anwendung dieser Vorschriften hängt vom Einzelfall ab: Welche Daten werden verarbeitet, wer bestimmt die Zwecke und Mittel der Verarbeitung, welche Tätigkeit wird ausgeübt und welche Behörde ist zuständig. Daher dient ein allgemeiner Leitfaden der Orientierung, ersetzt aber nicht die rechtliche Analyse einer konkreten Situation und erlaubt es auch nicht, ohne weitere Daten darauf zu schließen, dass jedes beanstandete Verhalten gegen das Gesetz verstößt.

Die AEPD kontrolliert die Anwendung der Vorschriften, fördert die Kenntnis der Risiken und Rechte im Zusammenhang mit der Datenverarbeitung durch die Öffentlichkeit und erleichtert die Informationen zur Ausübung dieser Rechte. Sie kann auch ermitteln und Korrekturmaßnahmen innerhalb der ihr vom Gesetz zugewiesenen Zuständigkeiten anwenden. Die Behörde beschränkt sich daher nicht auf Sanktionen: Prävention und Orientierung sind Teil ihrer Arbeit.

Um die Rollen zu verstehen, hilft es, drei Akteure zu trennen: die betroffene Person, deren Daten verarbeitet werden; der Verantwortliche oder Auftragsverarbeiter, der die entsprechenden Pflichten erfüllen muss; und die Aufsichtsbehörde, die das System beaufsichtigt und gemäß ihren Befugnissen eingreifen kann. Die AEPD entscheidet nicht für das Unternehmen, welche Daten in jedem Prozess erforderlich sind, und übernimmt auch nicht die Pflicht, die Verarbeitung zu dokumentieren und zu schützen.

Die Unterscheidung ist sowohl für Privatpersonen als auch für Fachleute nützlich. Eine Person, die Zugang zu ihren Daten anfordert, wendet sich zunächst an die Einrichtung, die sie verarbeitet; eine Organisation, die einen Prozess gestaltet, muss ihre Pflichten bewerten, bevor eine Beschwerde existiert; und die Behörde kommt als Aufsichtsbehörde oder institutioneller Kanal ins Spiel, wenn die entsprechenden Bedingungen erfüllt sind.

Die AEPD kann die Anwendung der DSGVO und anderer relevanter Datenschutzvorschriften kontrollieren. Aufsicht ist nicht gleichbedeutend mit einer sofortigen Geldstrafe: Die Behörde kann die verfügbaren Informationen analysieren, die Tatsachen ermitteln und je nach Umständen und Verfahren Maßnahmen innerhalb ihrer Zuständigkeiten ergreifen. Das Ziel einer konkreten Maßnahme hängt vom behaupteten Verstoß und dem ab, was die Akte belegen kann.

Die DSGVO sieht Verwaltungsstrafen vor, die bei bestimmten Verstößen 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes erreichen können, wobei der höhere Betrag gemäß den einschlägigen Regeln angewendet wird. Dies ist ein gesetzlicher Höchstbetrag, keine übliche Gebühr oder eine Vorhersage des Ergebnisses eines Falls. Der konkrete Betrag hängt von rechtlichen Faktoren und den bewiesenen Umständen ab; er kann nicht allein auf der Grundlage der Einreichung einer Beschwerde berechnet werden.

Der Höchstbetrag sollte auch nicht pauschal jedem Verhalten oder jeder Einrichtung zugeschrieben werden. Um das reale Risiko zu bewerten, muss eine Organisation die Verarbeitungsoperationen, die anwendbaren Pflichten, die Compliance-Maßnahmen und die möglichen Auswirkungen eines Verstoßes identifizieren. Für Bürger ist die praktische Entscheidung, Fakten und Beweise zu liefern; für ein Unternehmen oder eine Verwaltung besteht sie darin zu dokumentieren, wie sie die Einhaltung sicherstellen, und nachvollziehbar auf Anfragen und Anforderungen zu reagieren.

Wenn eine Person auf ihre Daten zugreifen, sie berichtigen oder ihre Löschung anfordern oder andere anerkannte Rechte ausüben möchte, besteht der erste Schritt normalerweise darin, sich an den Verantwortlichen für die Verarbeitung zu wenden. Es ist ratsam, dies über einen Kanal zu tun, der es ermöglicht, die Anfrage und das Datum zu dokumentieren. Die AEPD weist darauf hin, dass es bei Beschwerden über eine unzureichende oder fehlende Antwort wichtig ist, sich zuvor an die verantwortliche Einrichtung gewandt zu haben und dies nachweisen zu können.

Wenn es Anhaltspunkte oder Beweise für eine mögliche Verletzung gibt, kann die Beschwerde über das elektronische Hauptquartier der Behörde eingereicht werden. Es ist nützlich, die Tatsachen in der richtigen Reihenfolge zu erklären, die Einrichtung zu identifizieren, zu beschreiben, welches Recht ausgeübt wurde, und die ursprüngliche Anfrage, die erhaltene Antwort und alle relevanten Dokumente beizufügen. Eine konkrete und dokumentierte Darstellung erleichtert es der Behörde zu verstehen, was verlangt wird und welche Elemente die Beschwerde stützen, obwohl sie allein nicht ihre Zulässigkeit oder ihr Ergebnis bestimmt.

Die AEPD nennt eine maximale Frist von drei Monaten, um über die Zulässigkeit oder Unzulässigkeit einer Beschwerde zu entscheiden. Diese Frist bezieht sich auf diese erste Entscheidung; sie sollte nicht mit einer Zusage zur endgültigen Klärung der Sache innerhalb desselben Zeitraums verwechselt werden. Für allgemeine Zweifel veröffentlicht die Behörde Informationen und Kontaktmöglichkeiten. Der nützliche Weg ist daher: Das Recht gegenüber der Einrichtung ausüben, den Beweis aufbewahren und die offiziellen Anweisungen konsultieren, bevor die Beschwerde eingereicht wird.

Die AEPD ist Teil des europäischen Systems der Datenschutzbehörden, die den Rahmen der DSGVO teilen und in grenzüberschreitenden Angelegenheiten zusammenarbeiten. Der Europäische Datenschutzausschuss (EDSA) trägt zur Kohärenz der Anwendung der Verordnung bei, ersetzt aber die nationalen Behörden nicht in der ordnungsgemäßen Bearbeitung aller Fälle. Die Zusammenarbeit wird relevant, wenn eine Verarbeitung Personen oder Aktivitäten in mehr als einem Land betrifft.

Die Existenz einer spanischen Behörde bedeutet nicht, dass die AEPD immer die einzige zuständige ist. Bei grenzüberschreitenden Verarbeitungen können Kooperationsmechanismen und Regeln zur Bestimmung der führenden Behörde greifen; außerdem verfügt Spanien über regionale Behörden in bestimmten Bereichen. Die Zuständigkeit hängt vom Verantwortlichen, der Verarbeitung und den anwendbaren Regeln ab, sodass es nicht ausreicht, dass eine Person in Spanien wohnt, um ohne Weiteres zu schließen, welche Behörde eine Akte führen wird.

Sanktionsstatistiken vergleichen die registrierte Aktivität, messen aber nicht allein die Schwere der Verstöße, die Qualität der Aufsicht oder die Wahrscheinlichkeit einer Sanktion für eine bestimmte Einrichtung. Ebenso bedeutet die europäische Zusammenarbeit nicht, dass alle Länder in jedem Detail identische Verfahren anwenden: Der gemeinsame Rahmen wird mit verschiedenen Behörden und Umständen kombiniert. Für einen realen Fall ist es vernünftig, die Zuständigkeit und die geltenden offiziellen Anweisungen zu überprüfen.

Die Website der AEPD sammelt Informationen zu Rechten, Beschwerden, Funktionen, Anweisungen und Orientierungsmaterialien. Diese Ressourcen helfen, allgemeine Pflichten in praktische Fragen zu übersetzen: Welche Informationen zu kommunizieren, wie auf eine Anfrage zu reagieren oder welche Elemente zu dokumentieren. Für Unternehmen, Selbstständige und Verwaltungen sind sie ein Ausgangspunkt zur Überprüfung von Prozessen; für Privatpersonen klären sie, welche Schritte zu unternehmen und welche Beweise aufzubewahren sind.

Bei der Konsultation eines Leitfadens müssen Datum, Empfänger und Geltungsbereich überprüft werden. Ein Dokument, das sich auf eine bestimmte Technologie konzentriert, kann relevante Risiken erklären, ersetzt aber nicht die allgemeinen Pflichten und macht jede Empfehlung nicht zu einer unabhängigen Regel. Ebenso muss eine Anweisung oder Entscheidung im Kontext und ihrer rechtlichen Natur gelesen werden: Nicht alle veröffentlichten Materialien haben dieselbe Wirkung.

Eine einfache Überprüfung vor dem Handeln besteht darin, sich drei Fragen zu stellen: Welche Verarbeitung und welche Daten sind beteiligt?, welche Einrichtung ist verantwortlich und welche Antwort wurde erhalten?, und welche Vorschrift oder offizielle Ressource erklärt den nächsten Schritt? Wenn es sich um eine Organisation handelt, füge eine vierte hinzu: Kann mit Dokumenten nachgewiesen werden, wer auf die Daten zugreift, wofür sie verwendet werden und wie Anfragen verwaltet werden? Die AEPD ist genau als Behörde und Orientierungsquelle nützlich, aber die Einhaltung liegt in der Verantwortung jedes Verantwortlichen.