Datenschutz-Update Spanien 2026: algorithmische Transparenz am Arbeitsplatz und KI auf dem Prüfstand

In Spanien ist künstliche Intelligenz das beherrschende Datenschutzthema 2026. Ein neues Königliches Dekret verpflichtet Arbeitgeber, algorithmische Entscheidungen offenzulegen, und die spanische Datenschutzbehörde (AEPD) formuliert klare Erwartungen an KI-Projekte, bevor sie starten.

1. Königliches Dekret 723/2026: algorithmische Transparenz im Arbeitsverhältnis

Das Real Decreto 723/2026, in Kraft seit dem 5. Oktober 2026, konkretisiert Art. 8.5 des spanischen Arbeitnehmerstatuts und setzt die Richtlinie (EU) 2019/1152 über transparente Arbeitsbedingungen teilweise um. Es ersetzt das Real Decreto 1659/1998. Die wichtigsten Punkte:

• Arbeitgeber müssen über das Vorhandensein automatisierter Entscheidungssysteme informieren und, wenn diese Arbeitsbedingungen festlegen oder ändern, über deren wesentliche Regeln und Kriterien
• Erfasst sind Entscheidungen über Arbeitszeit, Aufgaben- und Schichtzuteilung, Vergütung, Beförderung, Arbeitsort und Kündigung
• Der Begriff des algorithmischen Systems ist weiter als der des „KI-Systems“: auch Schichtplanungs-Tools und Scoring-Systeme können erfasst sein, ebenso Werkzeuge, die eine Entscheidung nur empfehlen, sie aber maßgeblich beeinflussen
• Bestehende Beschäftigte können die Informationen anfordern; laut Fachkommentaren muss der Arbeitgeber innerhalb von höchstens 30 Arbeitstagen antworten

Das Dekret gilt neben der DSGVO: Beschränkt sich die menschliche Beteiligung darauf, das Ergebnis des Algorithmus abzunicken, gilt die Entscheidung als vollautomatisiert im Sinne von Art. 22 DSGVO.

2. Warnungen der AEPD zu KI-Videoüberwachung

Am 6. Oktober 2026 hat die AEPD vorsorgliche Warnungen an zwei Gemeinden gerichtet, die Videoüberwachung mit KI-gestützter Bildanalyse planen — einschließlich Gesichtserkennung und der Suche nach Personen anhand ihres Aussehens. Die Verarbeitungen hatten noch nicht begonnen. Die AEPD nannte die Garantien, die sie erwartet:

• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen schon bei der Beschaffung
• eine Prüfung von Erforderlichkeit und Verhältnismäßigkeit für jede Funktion — technische Verfügbarkeit allein rechtfertigt den Einsatz nicht
• eine klare Festlegung der erzeugten Daten, Speicherfristen und Zugriffe je Funktion
• eine Datenschutz-Folgenabschätzung vor dem Start, wenn ein hohes Risiko zu erwarten ist
• das strengere Regime für biometrische Daten, wenn Personen eindeutig identifiziert werden können
• klare und verständliche Informationen für die Betroffenen

Auch wenn sich die Warnungen an öffentliche Stellen richteten, gelten dieselben Grundsätze für Unternehmen, die KI-gestützte Kameras in Geschäften, Lagern oder Büros einsetzen.

3. Der breitere KI-Fokus der AEPD

Die AEPD hat außerdem technische Hinweise zu Richtigkeit und Datenminimierung in KI-Systemen veröffentlicht und ein Unternehmen wegen eines KI-Tools zur Bewerbervorauswahl verwarnt — mit Betonung auf menschlicher Aufsicht und Transparenz. Ihre Sanktionspraxis zeigt, dass der Einsatz biometrischer Technik ohne gültige DSFA sehr teuer werden kann: eine der höchsten spanischen Geldbußen der letzten Zeit, über 10 Millionen Euro gegen den Flughafenbetreiber Aena, betraf eine Gesichtserkennung ohne gültige Folgenabschätzung.

4. Entwicklungen in der EU

• DSGVO-Verfahrensverordnung (EU) 2025/2518: anwendbar ab dem 2. April 2027
• EDSA-Leitlinien zu Geldbußen: angenommen am 21. September 2026, öffentliche Konsultation bis 13. November 2026
• Digital Omnibus: die geplanten DSGVO-Änderungen stocken im Rat; es gilt das bisherige Recht

Ihre Checkliste

1. Algorithmische HR-Tools erfassen und die nach dem Dekret 723/2026 geforderten Informationen vorbereiten
2. Arbeitsverträge und Datenschutzhinweise für Beschäftigte anpassen
3. DSFA durchführen, bevor KI-Videoanalyse oder biometrische Systeme eingesetzt werden
4. Echte menschliche Überprüfung automatisierter Entscheidungen sicherstellen

Wie ResGuard unterstützt

Der ResGuard Datenschutz-Manager enthält ein DSFA-Modul, das Verarbeitungsverzeichnis und das Richtlinienmanagement, und unser externer Datenschutzbeauftragter für Spanien unterstützt Sie bei der Bewertung von KI-Projekten.

Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quellen: Pressemitteilung der AEPD vom 6. Oktober 2026, veröffentlichte Kommentare zum Real Decreto 723/2026 und EU-Veröffentlichungen.