By · Last updated 2026-06-05

Zurück zum BlogDSGVO & Compliance

AEPD Spanien: Was Spaniens DPA verlangt...

Die AEPD gab 2023 847 Sanktionen bekannt — die höchste Anzahl in der EU — und verlangt DPIAs für alle KI-Systeme...

June 5, 20267 min Lesezeit
AEPD SpainSpanish GDPRAI DPIA Spainemployee monitoringSpanish data protection

AEPD Spanien: KI und Beschäftigtendatenschutz

Aktualisiert für 2026

AEPD: Aktivste Datenschutzbehörde der EU

Die AEPD (Agencia Española de Protección de Datos) ist Spaniens Datenschutzaufsicht. Sie erließ 2023 insgesamt 847 Bußgeldbescheide. Keine andere EU-Behörde kam auch nur annähernd heran. Die Gesamtstrafen überstiegen in diesem Jahr 12 Millionen Euro.

Das Vorgehen der Behörde unterscheidet sich von den meisten EU-Peers. Sie konzentriert sich nicht nur auf hohe Strafen gegen Großunternehmen. Sie nimmt auch KMU, Kommunen und mittelgroße Firmen ins Visier. Das erzeugt einen breiten Druck in der spanischen Wirtschaft.

Die wichtigsten Durchsetzungsbereiche in 2024:

  • Kamera- und biometrische Prüfungen (29 % der Fälle)
  • Marketing und unerwünschte Kontakte (24 % der Fälle)
  • Mitarbeiterüberwachung und HR-Akten (18 % der Fälle)
  • KI-Systeme und automatisierte Entscheidungen (15 % der Fälle – steigend)
  • Gesundheits- und besondere Datenkategorien (14 % der Fälle)

Die KI-DSFA-Pflicht der AEPD

Die Guía de adecuación al RGPD de tratamientos con IA des Regulators (2024) stellt eine klare Regel auf. Jedes KI-Tool, das persönliche Unterlagen verarbeitet, benötigt eine Datenschutz-Folgenabschätzung (DSFA).

Art. 35 DSGVO verlangt DSFAs, wenn die Verarbeitung ein „hohes Risiko" birgt. Das ist ein Kontexttest. Die spanische Behörde nimmt eine strengere Haltung ein. Ihre Leitlinie besagt: Jedes ML-Tool, das persönliche Akten berührt, löst die DSFA-Pflicht aus. Eine vorherige Einzelfallprüfung ist nicht erforderlich.

Spanische Unternehmen müssen DSFAs durchführen und dokumentieren für:

  • Kundendienst-Chatbots
  • Tools zur Bewerbervorauswahl
  • Marketing-Tools
  • Textverarbeitungsmodelle (einschließlich Anonymisierungstools)
  • Jedes KI-Tool, das Mitarbeiter- oder Kundenakten verarbeitet

Jedes in Spanien eingesetzte Tool benötigt eine eigene DSFA-Dokumentation. Das gilt auch, wenn das Tool intern als risikoarm gilt.

AEPD-Anonymisierungsstandards

Der Anonymisierungsleitfaden der Behörde baut auf der Arbeit der CNIL auf. Er ergänzt spezifische Anforderungen für spanische Identifikatoren:

Spanische ID-Typen:

  • DNI (Documento Nacional de Identidad): 8-stellige Zahl plus Prüfbuchstabe
  • NIE (Número de Identificación de Extranjero): Buchstabe + 7 Ziffern + Buchstabe, für ausländische Staatsangehörige
  • NIF (Número de Identificación Fiscal): Gleiches Format wie DNI, für Steuerzwecke
  • Número de Seguridad Social: Spanische Sozialversicherungsnummer

Die Aufsicht weist darauf hin, dass NER-Modelle NIE-Nummern häufig übersehen. Spanien hat eine große Einwanderungsbevölkerung. Prüfen Sie, ob Ihre Tools NIEs erkennen, wenn Sie Akten von Nicht-Spaniern verarbeiten.

Spanische Namensmuster:

Im Spanischen werden zwei Nachnamen (apellidos compuestos) verwendet. NER-Modelle, die auf einnamigen Daten trainiert wurden, können hier versagen. Der Name „García López, Juan Carlos" hat zwei Nachnamen, keinen zusammengesetzten. Spanische NER-Modelle müssen diese Struktur beherrschen.

AEPD-Fälle zur Mitarbeiterüberwachung

Achtzehn Prozent der Fälle betreffen die Mitarbeiterüberwachung. Spanien schränkt die Arbeitgeberkontrolle durch das Estatuto de los Trabajadores (Arbeitsstatut) ein. Der Regulator setzt diese Grenzen neben der DSGVO durch.

Wichtige Positionen der Behörde:

  • Keylogger: Verdeckter Keylogger-Einsatz ist in den meisten Fällen ein DSGVO-Verstoß. Screenshot-Tools brauchen eine schriftliche Begründung und eine Verhältnismäßigkeitsprüfung.
  • GPS-Ortung: Auf Firmenfahrzeugen mit klarer Mitarbeiterinformation zulässig. Auf privaten Fahrzeugen nicht zulässig.
  • E-Mail-Prüfungen: Mit vorheriger schriftlicher Ankündigung und einer Richtlinie zulässig. Inhaltsanalysen brauchen zusätzliche Begründung.
  • KI-Tracking-Tools: Jedes Modell, das das Mitarbeiterverhalten verfolgt, benötigt eine DSFA. Die EDPB-Regeln gelten ebenfalls.

Automatisierte Überwachung erhält die stärkste Kontrolle durch Spaniens DPA.

AEPD-konforme KI-Dokumentation

Für spanische Unternehmen mit KI-Tools sind vier Dokumentenpakete erforderlich.

1. KI-System-Inventar

Führen Sie jedes Tool auf, das spanische persönliche Akten verarbeitet. Notieren Sie: Systemname, Anbieter, Zweck, Aktentypen, Aufbewahrungsfrist und DPA-Status.

2. DSFA pro System

Verwenden Sie die vom Regulator veröffentlichte DSFA-Vorlage. Erfassen Sie:

  • Zweck, Rechtsgrundlage, Aktentypen und Empfänger
  • Verhältnismäßigkeitsprüfung
  • Risikobewertung für betroffene Personen
  • Risikokontrollen: technisch und prozessual
  • DSB-Konsultationsprotokoll (falls ein DSB benannt ist)

3. Nachweis technischer Maßnahmen

Dokumentieren Sie für jedes Tool die Kontrollen gegen unbefugten Zugriff:

  • Vorfilterung (PII-Entfernung vor dem Modellstart)
  • Zugriffskontrollen auf verarbeitete Ergebnisse
  • Durchsetzung von Aufbewahrungsfristen
  • Maßnahmen zur Erkennung und Reaktion auf Datenpannen

4. Richtlinie zur Mitarbeiterüberwachung

Wenn ein Tool Mitarbeiter überwacht, fügen Sie eine schriftliche Richtlinie hinzu. Diese muss Umfang, Mitarbeiterinformation, Rechtsgrundlage und Verhältnismäßigkeitsnachweis enthalten.

AEPD-Prüfungen beginnen mit dem Inventar und den DSFAs. Unternehmen mit diesen Unterlagen lösen Prüfungen deutlich schneller ab. Unser DSGVO-Leitfaden deckt den Dokumentationsumfang ab. Unsere Übersicht zur Sicherheits-Compliance erläutert technische Kontrollen. Für die Erkennung spanischer personenbezogener Daten empfehlen wir unseren mehrsprachigen PII-Erkennungsleitfaden.

Quellen

Bereit, Ihre Daten zu schützen?

Beginnen Sie mit der Anonymisierung von PII mit über 285 Entitätstypen in 48 Sprachen.

About this page

We update this page when our platform or the law changes.

Read our founder note for how we work.

Each change shows up in the timestamp at the top.

Related reading

We follow these rules

  • GDPR (EU 2016/679).
  • ISO/IEC 27001:2022.
  • NIS2 (EU 2022/2555).
  • HIPAA safe harbor under 45 CFR § 164.514(b)(2).

Our promise

We do not sell your data.

We do not train models on your text.

We store your files in Germany.

You can delete your account at any time.

You own your work.

Where we run

Our servers live in Falkenstein, Germany.

We use Hetzner. They hold ISO 27001 certification.

All data stays in the EU.

Backups run every day.

Need help?

Email support@anonym.legal.

We reply within one business day.

How we test

We run a full check suite on every release.

Each surface gets its own sweep script and report.

Human reviewers spot-check the output each week.

We track recall and precision on a labelled set.

Bad runs block the deploy.

What we never do

  • We never sell your information to third parties.
  • We never train models on what you upload.
  • We never keep your work after you delete it.
  • We never share keys with any outside firm.
  • We never run ads inside the product.

Plans in plain words

We sell credits, not seats.

One credit covers one short job.

Long jobs use a few credits each.

You can top up at any time.

Unused credits roll over each month.

Read the plans page for current rates.

Who built this

A small team of engineers and lawyers built this.

We ship from Europe and work in the open.

Our founder note spells out why we started.

Where to start

How the parts fit

A browser add-on cleans text inside Chrome.

A Word plug-in handles drafts in Office.

A small desktop tool works on whole folders.

An agent protocol link feeds large models safely.

All four share one core engine and one rule set.

Words from our team

We started this work after a lunch about cookies.

One friend kept getting odd ads on her phone.

We asked why a court file leaked through a draft.

We sketched the first build on a napkin that week.

By month three we had a tiny demo for a friend.

She used it on her first case the next day.

Common questions we hear

Can the tool read scanned PDFs? Yes, with OCR.

Does it work on long files? Yes, in small chunks.

Can I roll my own rule set? Yes, save it as a preset.

Does it run offline? The desktop build runs offline.

Do you keep my files? No, the cloud build wipes after each run.

Will it learn from my work? No, we never train on inputs.

A short tour of the workflow

Upload a file or paste a snippet of prose.

Pick the entities you want gone from the draft.

Choose a method: replace, mask, hash, encrypt, or redact.

Press run and watch the side panel show each hit.

Skim the result and tweak any rule that misfired.

Save the cleaned file or send it to a teammate.