Überall auf der Welt sind sich Unternehmen und Privatpersonen der DSGVO bewusst. Dabei handelt es sich um einen Rechtsrahmen, der die Erhebung und Verwendung personenbezogener Daten von EU-Bürgern regelt. Was oft weniger gewürdigt wird, ist die Rolle, die die einzelnen Mitgliedstaaten beim Datenschutz spielen.
Hier kommt die spanische AEPD ins Spiel.
Im Folgenden erörtern wir, was die AEPD ist, welche Auswirkungen sie auf Unternehmen hat und wie sie mit der DSGVO zusammenhängt.
Was ist die AEPD?
Die spanische Datenschutzbehörde, bekannt als AEPD (Agencia Española de Protección de Datos), hat die Aufgabe, den Datenschutz innerhalb der spanischen Grenzen zu regeln. Sie stellt sicher, dass die Erhebung, Speicherung und Verwendung personenbezogener Daten in Übereinstimmung mit den spanischen und EU-Rechtsvorschriften erfolgt. Darüber hinaus informiert die AEPD die spanischen Bürger auch über ihre Datenschutzrechte sowie über die Möglichkeiten, wie die AEPD helfen kann.
Die AEPD hat ihren Sitz in Madrid und ist eine unabhängige Agentur der spanischen Regierung. Sie wurde am 26. März 1999 im Rahmen von Artikel 18 Absatz 4 der spanischen Verfassung von 1978 gegründet:
„Das Gesetz schränkt den Einsatz von Informatik ein, um die Ehre und die persönliche und familiäre Privatsphäre der spanischen Bürger sowie die volle Ausübung ihrer Rechte zu schützen.“
Das ist bis heute der Leitgedanke.
Was sind die Hauptaufgaben der AEPD?
Obwohl die AEPD eine staatliche Behörde ist, genießt sie „absolute Unabhängigkeit von der öffentlichen Verwaltung“. Das bedeutet, dass sie die volle Verantwortung für den Datenschutz in Spanien hat. Zu seinen Aufgaben gehören:
- Sensibilisierung für die Tätigkeiten der AEPD und das Recht auf Schutz personenbezogener Daten
- Bieten Sie direkte Unterstützung bei der Beantwortung von Anfragen spanischer Bürger
- Schutz der Rechte des Einzelnen auf Zugang, Berichtigung, Löschung und Widerspruch gegen die Datenerhebung und -nutzung
- Register der Dateisysteme
- Kontrolle der Datenerfassung und Verwaltung von Strafen.
- Zusammenarbeit mit internationalen Agenturen und innernationalen autonomen Gemeinschaften (u.a. Katalonien, Baskenland und Madrid)
- Bewerten Sie aufkommende Risiken, einschließlich Trends bei personenbezogenen Daten im Internet, Videoüberwachung durch Arbeitgeber, Biometrie, Internetnutzung und mehr.
Was sind die regionalen spanischen Datenschutzbehörden?
Neben der AEPD gibt es die katalanische Datenschutzbehörde und die baskische Datenschutzbehörde. Von 1995 bis 2013 gab es auch die Datenschutzbehörde der Autonomen Gemeinschaft Madrid.
Wofür gilt der PDPA?
Wie andere Datenschutzgesetze, wie z. B. die DSGVO des Vereinigten Königreichs und der EU und das LGPD Brasiliens, enthält das PDPA „extraterritoriale Auswirkungen“. Das bedeutet, dass Organisationen, die nicht in Singapur ansässig sind, verpflichtet sein können, dem PDPA zuzustimmen, wenn eine Organisation Daten in Singapur sammelt, verwendet oder offenlegt.
Wenn beispielsweise ein nicht-singapurisches Unternehmen – wie Facebook – online Daten von Singapurern sammelt, unterliegt es dem PDPA. Es drohen auch Strafen, sollte sich herausstellen, dass es nicht im Einklang mit der Verordnung steht.
In welchem Verhältnis steht die AEPD zur EU?
In der Charta der Grundrechte der Europäischen Union ist festgelegt, dass alle EU-Bürger das Recht auf Schutz ihrer personenbezogenen Daten haben. Mit der Verabschiedung der DSGVO wurde ein weiterer Datenschutz eingeführt: der strengste weltweit.
Ursprünglich wurde die AEPD zum Schutz personenbezogener Daten gemäß Artikel 8 Absatz 3 der Charta der Grundrechte der Europäischen Union eingerichtet. Vor der DSGVO enthielt die europäische Datenschutzrichtlinie Standards für die Ausarbeitung von Rechtsvorschriften in den einzelnen Mitgliedstaaten. Diese Verantwortung wurde dann mit der DSGVO in der EU subsumiert.
Diese Rechtsvorschriften stehen in Übereinstimmung mit dem Europäischen Datenschutzausschuss (EDSA). Es handelt sich um eine unabhängige europäische Einrichtung, die geschaffen wurde, um die einheitliche Anwendung der Datenschutzvorschriften in der gesamten EU zu gewährleisten.
Denn die EU entwickelt zwar die DSGVO und analysiert Trends im Datenschutz, ist aber letztlich nicht in der Lage, das Recht durchzusetzen. Die Mitgliedstaaten erhalten vom EDSA allgemeine Leitlinien zu den Schlüsselkonzepten der DSGVO und der Strafverfolgungsrichtlinie. Der EDSA setzt sich aus Vertreterinnen und Vertretern der nationalen Datenschutzbehörden der EU-Mitgliedstaaten, einschließlich der AEPD, zusammen.
So hat beispielsweise die AEPD kürzlich aktualisierte Leitlinien zu Cookies veröffentlicht, nachdem der EDSA neue Leitlinien veröffentlicht hatte.
Bemerkenswerte Fälle der AEPD
Der bemerkenswerteste Fall, der von der AEPD angestrengt wurde, wird allgemein als Google gegen Spanien bezeichnet. Obwohl der eigentliche Name Google Spain v. AEPD & Mario Costeja ist.
Der Hintergrund: Eine spanische Zeitung veröffentlichte zwei Meldungen über den Zwangsverkauf von Immobilien aufgrund von Sozialversicherungsschulden. Mario Costeja González, ein Eigentümer einer der in den Ankündigungen genannten Immobilien, wandte sich an die Zeitung und bat um die Entfernung seines Namens. Die Zeitung lehnte ab, da die Geschichte inzwischen vom spanischen Ministerium für Arbeit und Soziales veröffentlicht worden war. Costeja wandte sich daraufhin an Google und forderte die Löschung der Ankündigungslinks. Google Spanien wehrte sich gegen deren Entfernung, was dazu führte, dass Costeja und AEPD eine Klage gegen Google Spanien einreichten.
Es wird allgemein angenommen, dass sich der Fall um das „Recht auf Vergessenwerden“ dreht. Dies ist jedoch ein Irrtum.
In dem Urteil hat das Gericht ein solches Recht nicht ausdrücklich eingeräumt. Vielmehr seien Suchmaschinen verpflichtet, Suchergebnisse zu entfernen, wenn sie „im Lichte der verstrichenen Zeit unzureichend, irrelevant oder nicht mehr relevant oder übertrieben erscheinen“.
Nichtsdestotrotz war dies einer der Hauptgründe, warum das Recht auf Vergessenwerden zur Aufnahme in die DSGVO vorgeschlagen wurde. Bevor sie gemäß dem Urteil des spanischen Richters unter bestimmten Umständen in die Löschung umgewandelt werden.
Schlussfolgerung
Die AEPD ist die offizielle Datenschutzbehörde der spanischen Regierung. Wie alle Mitgliedstaaten ist sie die nationale Behörde, die für den Erlass der DSGVO und anderer relevanter Gesetze verantwortlich ist. Sie hat jedoch auch zusätzliche Aufgaben, die in der spanischen Verfassung und im spanischen Recht verankert sind, um spanische Bürger über ihre Datenschutzrechte zu informieren.
Angenommen, Sie sind ein Unternehmen, das in Bezug auf einen spanischen Staatsbürger gegen die DSGVO verstößt. In diesem Fall ist es wahrscheinlich die AEPD, die Ihren Fall bearbeitet. Wenn Sie also ein spanisches Unternehmen sind, ist es wichtig, sich über die Grundlagen dessen im Klaren zu sein, wer und was die AEPD ist.
Hoffentlich haben Sie nach dem Lesen dieses Artikels dieses Verständnis.
Weitere Informationen finden Sie auf der Website der AEPD.
Quellen:
https://www.aepd.es/es
https://en.wikipedia.org/wiki/Google_Spain_v_AEPD_and_Mario_Costeja_Gonz%C3%A1lez
https://en.wikipedia.org/wiki/Spanish_Data_Protection_Agency
https://inplp.com/latest-news/article/the-spanish-data-protection-authority-aepd-publishes-its-annual-report-summarizing-last-years-activities-including-enforcement-cases/
https://medium.com/golden-data/google-v-spain-the-right-to-be-forgotten-aaee50dae43c
https://www.linklaters.com/en/insights/data-protected/data-protected—spain
https://ec.europa.eu/info/law/law-topic/data-protection/data-protection-eu_en