AEPD Spanien: DNI, NIE und LATAM-Identifikatoren
Spaniens Datenschutzbehörde, die AEPD, erließ 2023 insgesamt 847 Durchsetzungsentscheidungen. Das ist der höchste Wert aller EU-Aufsichtsbehörden. Einzelne Bußgelder sind oft kleiner als die der irischen DPC oder niederländischen AP. Aber das Volumen schafft ein echtes Risiko für jedes Unternehmen mit Spanien-Aktivitäten.
Durchsetzungsrahmen der AEPD für KI
Spaniens Behörde hat die detailliertesten KI-Datenschutzleitlinien in der EU veröffentlicht. Sie deckt zwei Bereiche ab.
KI- und DSGVO-Leitfaden (2020, aktualisiert 2024): Dieser Leitfaden verlangt eine Datenschutz-Folgenabschätzung (DSFA) für jedes KI-System, das personenbezogene Daten verarbeitet. Er gilt auch dann, wenn die Schwellenwerte des DSGVO-Artikels 35 nicht erreicht sind. Das ist eine der breitesten DSFA-Regeln in der EU. Jedes Unternehmen, das KI auf spanischen Daten einsetzt, muss vor dem Start eine DSFA abschließen.
Umsetzung des spanischen KI-Gesetzes: Spanien gehört zu den ersten EU-Staaten mit einem nationalen KI-Register für Hochrisikosysteme. Die AEPD arbeitet mit Spaniens KI-Aufsichtsbehörde zusammen. Gemeinsam setzen sie sowohl das KI-Gesetz als auch die DSGVO durch. Unternehmen tragen ein Prüfungsrisiko gegenüber beiden Behörden.
Spanische Nationalidentifikatoren: Die Erkennungslücke
Generische NLP-Tools erkennen DNI und NIE in spanischen Dokumenten mit nur 34% Genauigkeit. Die AEPD meldete dies in ihrem Bericht 2024. Jeder Identifikator hat eine Struktur, die erklärt, warum generische Tools versagen.
DNI: Acht Ziffern plus ein Kontrollbuchstabe. Der Buchstabe ergibt sich aus dem Rest der Zahl geteilt durch 23. Dieser Wert verweist auf eine feste Buchstabensequenz. Bestimmte Buchstaben sind ausgeschlossen — es ist nicht A bis Z. Dieser Algorithmus ist Spanien-spezifisch. Generische Tools überspringen ihn. Ein Tool, das nur das Ziffernmuster prüft, ohne den Modulus-Schritt, liefert falsche Ergebnisse.
NIE: Ein Präfixbuchstabe (X, Y oder Z), sieben Ziffern, dann ein Kontrollbuchstabe. Die NIE gilt für ausländische Staatsangehörige in Spanien. Sie wird für Steuer- und Verwaltungszwecke verwendet. Jeder Präfix spiegelt einen anderen Ausgabezeitraum wider. Der Kontrollbuchstabe verwendet denselben Algorithmus wie die DNI. Die NIE erscheint in Arbeitsverträgen, Steueranmeldungen und Aufenthaltsunterlagen.
CIF-Steuernummer für Unternehmen: Ein Buchstabe plus sieben Ziffern plus ein Kontrollzeichen. Der Anfangsbuchstabe zeigt den Unternehmenstyp an. Das Kontrollzeichen verwendet einen anderen Algorithmus als DNI und NIE.
Gesundheitskarte: Das Format der spanischen Gesundheitskarte variiert je nach Region. Jede autonome Gemeinschaft verwendet ihr eigenes Format. Das erschwert die automatische Erkennung gegenüber einem einheitlichen nationalen Standard.
Mehr zu Identifikatorlücken in EU-Ländern finden Sie in unserem EU-Identifikatorlücken-Leitfaden.
Lateinamerikanische Identifikatoren: Compliance in allen Märkten
Spaniens Verbindungen zu Lateinamerika erweitern die Compliance-Anforderungen über Spanien hinaus. Jedes Unternehmen, das spanischsprachige Märkte bedient, braucht eine breitere PII-Abdeckung.
Mexiko: Der CURP ist ein 18-stelliger alphanumerischer Code. Er kodiert Geburtsdatum, Geschlecht, Geburtsort und Namensinitialen. Der RFC ist eine 13-stellige Steuer-ID für Einzelpersonen und 12 Stellen für Unternehmen. Beide erscheinen in Beschäftigungs- und Steuerunterlagen.
Argentinien: Die CUIL ist eine 11-stellige Zahl mit Prüfziffer. Die CUIT verwendet dasselbe Format. Der argentinische Personalausweis hat 7 bis 8 Stellen. Alle drei erscheinen in Lohn-, Bank- und Behördenunterlagen.
Chile: RUT und RUN haben 7 bis 9 Stellen, einen Bindestrich und eine Prüfziffer. Die Prüfung verwendet einen Modulus-11-Algorithmus. Jede Person und jedes Unternehmen in Chile hat eine. Die Erkennung muss den Prüfziffernschritt umsetzen, um falsche Treffer zu vermeiden.
Kolumbien: Der nationale Personalausweis hat 8 bis 10 Stellen. Die NIT hat neun Stellen plus eine Prüfziffer und gilt für Unternehmen.
Vollständige Abdeckung für spanischsprachige Märkte bedeutet sowohl spanische EU-Identifikatoren als auch lateinamerikanische nationale Ausweise. Unser globaler PII-Identifikatorleitfaden vergleicht diese mit der US-SSN, Aadhaar und anderen nationalen IDs.
AEPD-Durchsetzungsübersicht 2024
847 Durchsetzungsentscheidungen sind der höchste Wert in der EU. Spaniens Behörde erreicht dies durch hohes Beschwerdeaufkommen und aktive Branchendurchläufe. Die Fälle gliedern sich nach Sektoren:
Telekommunikation und Finanzdienstleistungen: 42% der Entscheidungen. Hauptprobleme: unzulässige Bonitätsprüfungen, überlange Speicherfristen und fehlende Einwilligung für Marketing.
Gesundheit und Versicherung: 22% der Entscheidungen. Gesundheitsdaten ohne Einwilligung weitergegeben, schwache De-Identifizierung für die Forschung und biometrische Verarbeitung für Terminsysteme.
Beschäftigung: 19% der Entscheidungen. Mitarbeiterüberwachung, Social-Media-Screening und Videoüberwachung ohne ordentliche Benachrichtigung.
KI-Systeme: Eine wachsende Kategorie. Die Behörde fand mehrere spanische Unternehmen, die KI ohne abgeschlossene DSFAs betrieben. Das verstößt gegen den eigenen KI-Leitfaden der AEPD.
Die technische Basis für die Compliance spanischsprachiger PII ist die DNI- und NIE-Erkennung mit Kontrollbuchstabenvalidierung. Ergänzen Sie eine spanischsprachige Named-Entity-Erkennung. Fügen Sie dann CURP-, RUT-, CUIL- und nationale Ausweisabdeckung für volle lateinamerikanische Unterstützung hinzu.
Den vollständigen DSFA-Workflow nach spanischen Regeln finden Sie in unserem AEPD-KI-DSFA-Compliance-Leitfaden.