---
title: "Datenschutz in Spanien für deutsche Firmen"
description_de: "LOPDGDD, AEPD und DSGVO — Datenschutz für deutsche Unternehmen mit Sitz oder Kunden auf Mallorca."
description_en: "LOPDGDD, AEPD, and GDPR — privacy for German companies in Mallorca."
url: /wissen/it-mallorca/datenschutz-spanien-deutsche-firmen
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Welche Datenschutzgesetze gelten für deutsche Firmen auf Mallorca?"
---
# Datenschutz in Spanien für deutsche Firmen
Deutsche Firmen auf [Mallorca](/wissen/it-mallorca) verarbeiten Daten unter spanischem Recht — die LOPDGDD ergänzt die EU-DSGVO, die AEPD ist zuständige Aufsicht. Wer gleichzeitig Kunden in Deutschland bedient, operiert faktisch in zwei Compliance-Kontexten: gleiche Technik, unterschiedliche Dokumentation und Meldewege.
## LOPDGDD vs. [DSGVO](/wissen/it-sicherheit/dsgvo-kmu): was gilt wo?
Die EU-DSGVO ist Grundlage in ganz Europa; die LOPDGDD spanisches Ausführungs- und Ergänzungsgesetz mit eigenen Schwellen, Bußgeldern und Verfahren.
Für eine S.L. auf [Mallorca](/wissen/it-mallorca) mit Sitz in Spanien ist die LOPDGDD unmittelbar relevant: Verarbeitungsverzeichnis, Rechtsgrundlagen, Betroffenenrechte, [TOM](/wissen/glossar/tom) und Meldung von [Datenpannen](/wissen/glossar/datenpanne) an die AEPD. Die deutsche DSGVO-Diskussion aus Fachartikeln ersetzt das nicht — Formulare, Fristen und Auslegung können abweichen.
Parallel gilt: Wenn die S.L. Kunden oder Mitarbeitende in Deutschland hat, bleiben deutsche Erwartungen an AV-Verträge, Auskunft und Löschung bestehen. Praxis: zweisprachiges Verarbeitungsverzeichnis, klare Zuordnung welche Verarbeitung welchem Betrieb zugeordnet ist, einheitliche technische Maßnahmen ([MFA](/wissen/glossar/mfa), Verschlüsselung) mit dokumentierter Begründung.
IT liefert Fakten — Systeme, Speicherorte, Logs; Anwalt oder Datenschutzberater bewertet Rechtsgrundlagen. Externe Betreuung mit DE-ES-Erfahrung reduziert Fehlinterpretationen bei Microsoft-365-Konfiguration und spanischer Buchhaltungssoftware.
Schwellenwerte für Datenschutzbeauftragten in Spanien mit Anwalt prüfen — auch kleine S.L. können Grenzfälle haben bei sensiblen Daten (Gesundheit, umfangreiche Kundenlisten).
Einwilligungen für Newsletter und Kundenakquise auf Deutsch und Spanisch dokumentieren — unterschiedliche Formulierungen, gleiche technische Umsetzung.
Videoüberwachung im Büro oder Lager auf [Mallorca](/wissen/it-mallorca): Hinweisschilder und Verzeichnis — AEPD beanstandet fehlende Transparenz regelmäßig.
## AEPD: Meldewege und [Datenpannen](/wissen/glossar/datenpanne)
Bei Verletzungen des Schutzes personenbezogener Daten melden Verantwortliche nach spanischem Recht an die AEPD — Fristen und Formulare kennen, bevor der Ernstfall eintritt.
Runbook erstellen: Wer entscheidet über Meldepflicht? Wer kontaktiert AEPD? Welche Logs sind verfügbar ([Microsoft 365](/wissen/microsoft-365), Firewall, Verifactu-System)? 72-Stunden-Denken aus Deutschland hilft als Orientierung, spanische Details müssen im Runbook stehen.
Typische Auslöser auf [Mallorca](/wissen/it-mallorca): verlorener Laptop mit Mandantenliste, [Phishing](/wissen/glossar/phishing) auf Geschäftsführungs-Postfach, falsch adressierte E-Mail mit Lohnabrechnungen, unverschlüsseltes USB-Backup. Schnelle Reaktion: Konto sperren, Sessions beenden, Beweise sichern, Anwalt einschalten.
Schulung auf Muttersprache des [Teams](/wissen/glossar/teams) — Spanisch, Deutsch oder beides — damit Meldeketten nicht an Missverständnissen scheitern.
AEPD-Online-Formulare und Ansprechpartner im Runbook verlinken — im Stress keine Google-Suche.
Betroffenenbenachrichtigung auf Deutsch an DE-Kunden, auf Spanisch an ES-Kontakte — Vorlagen vorab vom Anwalt.
Forensik: Microsoft-365-Audit-Log Aufbewahrung aktivieren — ohne Premium eingeschränkt, dann Alternativen dokumentieren.
## Technische Maßnahmen und [TOM](/wissen/glossar/tom)
LOPDGDD verlangt angemessene Sicherheit — für KMU auf der Insel konkret: Identität, Verschlüsselung, [Backup](/wissen/glossar/backup), Zugriffskontrolle.
[Microsoft 365](/wissen/microsoft-365) in EU-Region, AV-Vertrag, [Conditional Access](/wissen/glossar/conditional-access), kein Legacy-Auth. Geräteverschlüsselung BitLocker/FileVault verpflichtend. [Passwort-Manager](/wissen/glossar/passwort-manager) und [MFA](/wissen/glossar/mfa) für alle — auch externe Steuerberater mit Gastzugang.
Spanische Buchhaltung und [Verifactu](/wissen/it-mallorca/verifactu-elektronische-rechnung): Minimierung personenbezogener Daten in Rechnungsnotizen, Aufbewahrungsfristen mit Steuerberater abstimmen, Zugriff nur für Rollen die es brauchen.
Artikel DSGVO-KMU im Security-Cluster ergänzt mit deutschen Schwerpunkten; dieser Artikel fokussiert Spanien-Bezug.
TOM-Dokument: Verschlüsselung, [Backup](/wissen/glossar/backup), Zugriff, Schulung, Incident — proportional zur Datenart. Steuerdaten höhere Latte als reine Kontaktformulare.
Löschfristen in CRM und Buchhaltung technisch umsetzen — nicht nur im Verzeichnis auf Papier.
Pen-Test für KMU optional; regelmäßiger Access-Review Pflicht.
## Doppelte Rolle: S.L. in ES, Kunden in DE
Ein Steuerbüro in Palma mit deutschen Mandanten oder eine Beratung mit HQ in Köln und Niederlassung auf [Mallorca](/wissen/it-mallorca) — Daten fließen grenzüberschreitend, Verträge müssen das abbilden.
AV-Verträge mit Cloud-Anbietern, Subunternehmerkette dokumentieren. US-Tools ohne Transfer-Mechanismus kritisch prüfen — Standardvertragsklauseln, EU-Rechenzentrum, oder Alternative.
Mitarbeitende in DE und ES: Arbeitsrecht getrennt, IT einheitlich — ein Tenant, klare Standort-Gruppen, Offboarding in 24 Stunden bei Austritt.
Keine Rechtsberatung durch IT ersetzen: Wohnsitz, Firmensitz und Steuerfragen klären Anwalt und Steuerberater; IT verhindert unkontrollierte Datenkopien und Schatten-Clouds.
Holding in DE, Tochter S.L. auf [Mallorca](/wissen/it-mallorca): Datenflüsse zwischen Gesellschaften im Verzeichnis trennen — Konzernprivileg ersetzt keine [TOM](/wissen/glossar/tom).
Mitarbeitende remote in DE für spanische S.L.: Geräte und Zugriff gleiche Standards wie in Palma-Büro.
Website mit deutschen und spanischen Formularen: unterschiedliche Rechtsgrundlagen, einheitliches Cookie- und Tracking-Setup.
## Jährlicher Datenschutz-Rhythmus
Datenschutz ist kein Ordner einmalig, sondern Kalender.
Jährlich: Verarbeitungsverzeichnis aktualisieren, AV-Verträge prüfen, Restore-Test, Schulung wiederholen. Bei neuem Tool (CRM, Newsletter, KI-Assistent): vor Nutzung bewerten, nicht nach Vertragsunterschrift.
DSGVO-Risiko-Check für deutsche Mandantenprozesse; LOPDGDD-Checkliste mit spanischem Anwalt für lokale Pflichten. Kombination vermeidet blinde Flecken.
Quartalsweise: Gastzugänge in [Microsoft 365](/wissen/microsoft-365), externe Freigaben, Admin-Liste. Halbjährlich: Schulung [Phishing](/wissen/glossar/phishing). Jährlich: komplette Verzeichnis-Review.
Neue KI-Tools (Copilot, Chatbots): vor Aktivierung LOPDGDD/DSGVO-Folgen mit Anwalt — Indexierung von Mandantendaten verhindern.
## Praxisbeispiel Steuerkanzlei Palma
Deutsche Mandanten, spanische LOPDGDD-Pflicht, [Microsoft 365](/wissen/microsoft-365) EU — typisches Spannungsfeld.
Mandantenakten in [SharePoint](/wissen/glossar/sharepoint) mit DE/ES-Ordnerstruktur, Zugriff nur über Gruppen. Steuerberater Gast mit [MFA](/wissen/glossar/mfa), kein Download auf private Geräte.
Verifactu-Rechnungen für spanische Leistungen getrennt von DE-Rechnungslogik der Holding — zwei Prozesse, ein IT-Sicherheitsstandard.
AEPD-Meldung und deutsche Aufsicht parallel im Runbook — selten, aber vorbereitet sein spart Nerven.
## Datenschutz als Betriebsprozess
LOPDGDD und [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) sind kein Jahresordner, sondern laufende Disziplin — besonders bei Personalwechsel und neuen Tools.
Jeder neue SaaS-Dienst (CRM, Newsletter, Buchhaltungs-Add-on) durchläuft Kurz-Check: personenbezogene Daten ja/nein, Speicherort EU, AV-Vertrag, Löschung. GF oder Datenschutzkoordinator signiert vor erstem Login — nicht nach drei Monaten Nutzung.
Offboarding in ES und DE gleich schnell: Konto deaktivieren, Tokens widerrufen, Gerät remote wipe, Postfach-Weiterleitung befristet. [Personaldienstleister](/wissen/branchen/personaldienstleister) mit hohem Fluktuationsrisiko: Checkliste aus it-betrieb-Cluster adaptieren.
Mitarbeitende in [Homeoffice](/wissen/glossar/remote-arbeit) auf [Mallorca](/wissen/it-mallorca) unterliegen denselben [TOM](/wissen/glossar/tom) wie im Palma-Büro — [Conditional Access](/wissen/glossar/conditional-access) erzwingt managed devices, nicht Vertrauen in „der arbeitet schon vorsichtig“.
AEPD und deutsche Aufsicht: selten doppelte Meldung, aber ein Vorfall kann beide Informationspflichten auslösen — Runbook mit Anwalt abgestimmt, IT liefert Timeline und Logs.
Schulung zweisprachig wenn Team gemischt: Phishing-Muster auf spanische und deutsche Behörden, keine Klickshaming-Kultur. Meldung innerhalb einer Stunde an internen Ansprechpartner.
tim-dekker und [IT Security Expert](/externe-it-betreuung) unterstützen technische [TOM](/wissen/glossar/tom) und Dokumentation — Rechtsbewertung bleibt bei Anwalt; Kombination verhindert typische Gründerfehler bei S.L. mit DE-Mandanten.
## Datenpanne-Simulation
Einmal jährlich Tischübung: verlorener Laptop, Phishing-Mail, falsch versendete Liste — ohne Panik im Ernstfall.
Szenario durchspielen: Wer stoppt Zugriff? Wer schreibt AEPD? Wer informiert Mandanten auf Deutsch? Zeit stoppen — über 72h ist peinlich und teuer.
Lessons learned ins Runbook — ein Absatz pro Übung. IT-Partner moderiert, Anwalt bewertet Meldepflicht.
Nach Übung: MFA-Quote prüfen, offene Freigaben schließen, Backup-Restore wiederholen.
## Dokumentenlenkung
Verträge mit Mandanten, AV-Verträge, LOPDGDD-Register — Versionierung in [SharePoint](/wissen/glossar/sharepoint).
Nur eine aktuelle Version, Änderungshistorie für Prüfer. Zugriff nach Rolle — nicht jeder sieht alles.
Löschfristen nach Ablauf Mandat: technisch und organisatorisch — IT-Export, Anwalt Freigabe.
aepd-Meldeformular als Lesezeichen, nicht vergessen bei Browser-Wechsel.
## Kurz-Checkliste für GF
Fünf Punkte, die Sie ohne IT-Jargon selbst prüfen können.
Hat jeder Mitarbeitende [MFA](/wissen/glossar/mfa)? Gibt es noch private Gmail für Mandanten? Wann war der letzte Backup-Restore? Ist das Verzeichnis älter als 12 Monate? Kennt jeder die Meldeadresse bei Verdacht?
Ein „Nein“ ist die nächste Aufgabe für IT-Partner oder internen Owner — nicht Schuldfrage.
## Mitarbeitende und Dienstleister: Zugriffe sauber halten
Jeder Gastzugang ist ein Risiko — besonders Steuerberater, Webdesigner und Buchhaltungs-Outsourcing.
Steuerberater auf [Mallorca](/wissen/it-mallorca) mit DE-Mandanten brauchen oft Zugriff auf Belege und SharePoint-Ordner. Gastkonto mit [MFA](/wissen/glossar/mfa), Ablaufdatum, keine Global-Admin-Rechte. Jährliche Review: Wer braucht noch was? Webdesigner mit WordPress-Zugang und Buchhaltungs-Outsourcing mit Export-Rechten gehören ins Verzeichnis als separate Verarbeitungen.
Homeoffice-Mitarbeitende in Inca oder Manacor unterliegen denselben Conditional-Access-Regeln wie das Palma-Büro. Privates WLAN ohne Gast-Trennung ist kein Argument für Ausnahme — Firmengerät oder restriktive BYOD-Policy. Bei Austritt: Konto innerhalb von 24 Stunden deaktivieren, Tokens widerrufen, Gerät remote löschen.
Dienstleister außerhalb der EU: vor Einsatz Transfer-Mechanismus mit Anwalt klären. US-Newsletter-Tools oder Analytics ohne Consent-Logik sind auf Websites deutscher S.L. mit DE-Traffic schnell angreifbar — technisch und reputativ.
## Betroffenenrechte und Doppelanfragen
Ein Mandant in München stellt Auskunft nach [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) — Ihre S.L. antwortet nach LOPDGDD und EU-Recht. Ein Prozess, eine Fristenübersicht.
Auskunft, Löschung, Widerspruch: Wer bearbeitet — GF, Datenschutzbeauftragter, IT-Extrakt? IT liefert Export aus [Microsoft 365](/wissen/microsoft-365) und CRM, Anwalt prüft Ausschlüsse (Steueraufbewahrung). Fristen nicht verpassen — Reputation bei deutschen Mandanten leidet schneller als Bußgeld droht.
Doppelte Anfragen an DE-Holding und ES-S.L.: Klarheit im Vertrag mit Mandant, welche Gesellschaft Verantwortlicher ist. Technisch getrennte Ordner und Zugriffe verhindern Vermischung.
## Marketing, Newsletter und KI
Newsletter an deutschsprachige Interessenten von [Mallorca](/wissen/it-mallorca) aus braucht Einwilligung und Abmeldung — LOPDGDD und [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) parallel.
Tracking auf Website: Cookie-Banner spanisch und deutsch, gleiche technische Consent-Logik. Kein US-Tracker ohne Transfer-Mechanismus. KI-Assistenten auf Kundendaten: vor Einsatz mit Anwalt — AEPD beobachtet automatisierte Entscheidungen kritisch.
Mitarbeitende schulen: [Phishing](/wissen/glossar/phishing) auf spanische Behörden und deutsche Banken — beide Zielgruppen. Meldeweg an internen Ansprechpartner, nicht an externe „IT-Support“-Mail.
## Zusammenarbeit mit Steuerberater und Anwalt
IT ersetzt keine Rechtsberatung — liefert aber Listen: Systeme, Speicherorte, Zugriffe. Vierteljährliches Dreierteam-Gespräch GF, Steuerberater, IT-Partner: neue Tools, neue Risiken, Verifactu-Status. Protokoll eine Seite — Gold wert bei Prüfung.
## [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) für deutsche Kunden von [Mallorca](/wissen/it-mallorca) aus
Ihre S.L. verarbeitet Daten in Spanien — deutsche Mandanten erwarten trotzdem DSGVO-Niveau und verständliche Antworten auf Deutsch.
AV-Verträge mit Mandanten wenn Sie Auftragsverarbeiter sind — Muster vom Anwalt. Technische Maßnahmen identisch dokumentieren: [MFA](/wissen/glossar/mfa), Verschlüsselung, [Backup](/wissen/glossar/backup), Löschkonzept. Auskunftsanfragen binnen einer Frist bearbeiten — interner Owner.
Übermittlung in Drittländer: US-Cloud nur mit Mechanismus. EU-Rechenzentrum Microsoft bevorzugen. Subunternehmer in AV-Verträgen listen — auch [VoIP](/wissen/glossar/voip), [Backup](/wissen/glossar/backup), Newsletter.
## Checkliste Datenschutz [Mallorca](/wissen/it-mallorca)
□ Verarbeitungsverzeichnis DE+ES □ AEPD-Runbook □ [MFA](/wissen/glossar/mfa) alle □ Backup-Restore getestet □ Gastzugänge mit Ablauf □ Schulung Team □ AV-Verträge Cloud □ Keine privaten Clouds für Mandantendaten
## Internationale Mandanten
Nicht nur DE: UK, CH, EU — gleiche technische Basis, unterschiedliche Vertragsklauseln. IT liefert Export und Löschung technisch, Anwalt rechtlich. Einheitliche Retention in CRM und Mail — nicht pro Land unterschiedliche vergessene Ablagen.
## Audits und Nachweise
Bei Prüfung: Verzeichnis, Schulungsnachweise, AV-Verträge, Restore-Protokoll, Incident-Log (auch leer dokumentiert). AEPD-Anfrage: Frist im Kalender, nicht in E-Mail verlieren. [Externe IT-Betreuung](/externe-it-betreuung) hält Change-Log — wer hat wann welche Freigabe geändert.
## Technische Mindeststandards
BitLocker/FileVault, [MFA](/wissen/glossar/mfa), [Passwort-Manager](/wissen/glossar/passwort-manager), kein Legacy-Auth [M365](/wissen/microsoft-365), [Backup](/wissen/glossar/backup) mit Test, Offboarding 24h, Verschlüsselung Mail transit/at rest. Für Kanzlei mit DE-Mandanten nicht verhandelbar — nur umsetzen.
## Kurzfassung Datenschutz [Mallorca](/wissen/it-mallorca)
LOPDGDD und AEPD für die S.L., DSGVO-Niveau für deutsche Mandanten, einheitliche Technik — dokumentiert auf Deutsch und Spanisch. IT liefert Umsetzung, Anwalt die rechtliche Linie, externe Betreuung die Verbindung zwischen beiden.
## Videoüberwachung und Büro vor Ort
Kamera am Eingang in Palma? Dann AEPD-konforme Hinweise und Eintrag im Verzeichnis — nicht nur Handwerker montieren lassen.
Viele Gewerbeobjekte haben Videoüberwachung vom Vormieter übernommen. Speicherdauer, Zugriff, Zweck und Löschung dokumentieren. Mitarbeitende informieren — auch temporäre Saisonkräfte. Keine Kameras in Aufenthaltsräumen; bei [Homeoffice](/wissen/glossar/remote-arbeit) keine heimliche Überwachung des Arbeitszimmers durch „Sicherheits-App“.
## Cookies, Website und deutsche Besucher
Wenn Ihre S.L.-Website DE-Mandanten anspricht: Consent-Banner in Deutsch und Spanisch, gleiche technische Logik. Tracking nur mit Rechtsgrundlage. Formulare: Datenminimierung, verschlüsselte Übertragung, kein Klartext-Mailversand sensibler Anfragen an [info@gmail.com](mailto:info@gmail.com).
## Wichtigste drei Maßnahmen
[MFA](/wissen/glossar/mfa) für alle Konten mit Mandantenzugang. Verschlüsselte Geräte und [Backup](/wissen/glossar/backup) mit monatlichem Restore-Test. Verarbeitungsverzeichnis und AEPD-Runbook aktuell — alles andere baut darauf auf. Bei Fragen: Datenschutz-Artikel im Cluster und DSGVO-KMU ergänzen.