Sanktionen vorbeugen! Der Schutz personenbezogener Daten in Spanien

 Informationspflicht des Unternehmens in Fällen des Schutzes personenbezogener Daten.

Im Gegensatz zu der deutschen Datenschutzbehörde wird das spanische Pendant nicht aus aus staatlichen bzw. öffentlichen Mitteln finanziert. Vor diesem Hintergrund ist es nachvollziehbar, dass die spanische Datenschutzbehörde bereits bei geringen Verstößen entsprechende Bußgelder verhängt.

Im folgenden Artikel möchten wir deshalb speziell die Informationspflichten beleuchten: 

Die Artikel 13 und 14 der DSGVO legen fest, dass das Unternehmen als Verantwortlicher für  die Verarbeitung personenbezogener Daten von Arbeitnehmern und Dritten verpflichtet ist, auf faire und transparente Weise über die innerhalb des Unternehmens durchgeführte Datenverarbeitung zu informieren. Diese Informationspflicht spiegelt sich hauptsächlich in der Datenschutzerklärung wider, die auf der Website des Datenverantwortlichen veröffentlicht ist.

Alle gesetzlich vorgeschriebenen Informationen müssen so abgefasst sein, dass der Interessent sie problemlos verstehen kann. Als Beispiel wird der Beschluss des Sanktionsverfahrens der spanischen Datenschutzbehörde nº PS/00047  /2022 angegeben, in dem eine Anwaltskanzlei in Höhe von 5.000 € sanktioniert wird, weil sie in der „Datenschutzrichtlinie“ der Website Informationen in einer nicht-offiziellen Landessprache (hier: Englisch) bereitstellte und die gesetzlichen weiteren Informationsvorschriften verletzte, wie z. B. Keine Bereitstellung der Kontaktdaten der für die Verarbeitung verantwortlichen Person; keine Identifizierung der Empfänger der personenbezogenen Daten; keine ausreichenden Informationen, die zur Ausübung der Rechte des Nutzers erforderlich sind.

Neben anderen Verstößen, die in dem Urteil behandelt werden, wird besonders die Tatsache betont, dass die Informationen in einer nicht-offiziellen Sprache in Spanien, in diesem Fall Englisch, zur Verfügung gestellt wurden. Es wurde deshalb von Seiten der Behörde davon ausgegangen, dass die Informationen den interessierten Parteien nicht in klarer, transparenter und loyaler Weise gegeben werden und daherdie Artikel 13 und 14 der RGPD verletzt werden.

Wenn ein Unternehmen seine Geschäftstätigkeit in Spanien ausübt, muss es die Informationen den interessierten Parteien in einer Amtssprache Spaniens zur Verfügung stellen – ohne dass es hier Spielraum gäbe. Wenn diese Informationen in englischer Sprache zur Verfügung gestellt werden, muss der spanische Interessent sie nicht zur Kenntnis nehmen, da es sich nicht um eine Amtssprache Spaniens handelt und daher die bereitgestellten Informationen nicht klar oder transparent sind.

Kurz gesagt, wenn ein Unternehmen seine Dienstleistungen erbringt oder seine Geschäftstätigkeit auf ein bestimmtes Gebiet konzentriert, müssen die Informationen in der Amtssprache desselben bereitgestellt werden.

Gemäß Artikel 13 und 14 der DSGVO muss die Datenschutzerklärung unter anderem die folgenden Informationen enthalten:

1. Identität und Kontaktdaten des für die Verarbeitung Verantwortlichen und gegebenenfalls seines Vertreters.
2. Die Kontaktdaten des Datenschutzbeauftragten.
3. Die Zwecke der Verarbeitung, für die die personenbezogenen Daten bestimmt sind, und die Rechtsgrundlage der Verarbeitung (wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen des Verantwortlichen oder eines Dritten).
4. Die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten.
5. Die Absicht des für die Verarbeitung Verantwortlichen, personenbezogene Daten an ein Drittland oder eine internationale Organisation zu übermitteln, und das Vorliegen oder Fehlen eines Angemessenheitsbeschlusses der Kommission oder, im Falle von Übermittlungen gemäß Artikel 46 oder 47 oder Artikel 49 Absatz 1 Unterabsatz 2, Verweis auf angemessene oder geeignete Garantien und die Mittel, um eine Kopie davon zu erhalten, oder auf die Tatsache, dass diese bereitgestellt wurden.
6. Die Dauer, für die die personenbezogenen Daten aufbewahrt werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.
7. Das Bestehen eines Rechts auf Auskunft des Verantwortlichen über die sie betreffenden personenbezogenen Daten, deren Berichtigung oder Löschung oder Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie das Recht auf Datenübertragbarkeit.
8. Beruht die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a, besteht das Recht, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird.
9. Das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen.
10. Wenn die Übermittlung personenbezogener Daten eine gesetzliche oder vertragliche Verpflichtung oder eine für den Abschluss eines Vertrags erforderliche Voraussetzung ist und wenn die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und über die möglichen Folgen der Nichtbereitstellung dieser Daten informiert wird.
11. Das Bestehen automatisierter Entscheidungen einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die angewandte Logik sowie die Tragweite und die erwarteten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Bei Fragen zu diesem Thema oder zum Datenschutz im Allgemeinen stehen wir Ihnen gerne unter +34 932 000 149 oder per E-Mail rgpdnexum@elegalnexum.com zur Verfügung.