Deutsche Firmen auf Mallorca verarbeiten Daten unter spanischem Recht — die LOPDGDD ergänzt die EU-DSGVO, die AEPD ist zuständige Aufsicht. Wer gleichzeitig Kunden in Deutschland bedient, operiert faktisch in zwei Compliance-Kontexten: gleiche Technik, unterschiedliche Dokumentation und Meldewege.
LOPDGDD vs. DSGVO: was gilt wo?
Die EU-DSGVO ist Grundlage in ganz Europa; die LOPDGDD spanisches Ausführungs- und Ergänzungsgesetz mit eigenen Schwellen, Bußgeldern und Verfahren.
Für eine S.L. auf Mallorca mit Sitz in Spanien ist die LOPDGDD unmittelbar relevant: Verarbeitungsverzeichnis, Rechtsgrundlagen, Betroffenenrechte, TOM und Meldung von Datenpannen an die AEPD. Die deutsche DSGVO-Diskussion aus Fachartikeln ersetzt das nicht — Formulare, Fristen und Auslegung können abweichen.
Parallel gilt: Wenn die S.L. Kunden oder Mitarbeitende in Deutschland hat, bleiben deutsche Erwartungen an AV-Verträge, Auskunft und Löschung bestehen. Praxis: zweisprachiges Verarbeitungsverzeichnis, klare Zuordnung welche Verarbeitung welchem Betrieb zugeordnet ist, einheitliche technische Maßnahmen (MFA, Verschlüsselung) mit dokumentierter Begründung.
IT liefert Fakten — Systeme, Speicherorte, Logs; Anwalt oder Datenschutzberater bewertet Rechtsgrundlagen. Externe Betreuung mit DE-ES-Erfahrung reduziert Fehlinterpretationen bei Microsoft-365-Konfiguration und spanischer Buchhaltungssoftware.
Schwellenwerte für Datenschutzbeauftragten in Spanien mit Anwalt prüfen — auch kleine S.L. können Grenzfälle haben bei sensiblen Daten (Gesundheit, umfangreiche Kundenlisten).
Einwilligungen für Newsletter und Kundenakquise auf Deutsch und Spanisch dokumentieren — unterschiedliche Formulierungen, gleiche technische Umsetzung.
Videoüberwachung im Büro oder Lager auf Mallorca: Hinweisschilder und Verzeichnis — AEPD beanstandet fehlende Transparenz regelmäßig.
AEPD: Meldewege und Datenpannen
Bei Verletzungen des Schutzes personenbezogener Daten melden Verantwortliche nach spanischem Recht an die AEPD — Fristen und Formulare kennen, bevor der Ernstfall eintritt.
Runbook erstellen: Wer entscheidet über Meldepflicht? Wer kontaktiert AEPD? Welche Logs sind verfügbar (Microsoft 365, Firewall, Verifactu-System)? 72-Stunden-Denken aus Deutschland hilft als Orientierung, spanische Details müssen im Runbook stehen.
Typische Auslöser auf Mallorca: verlorener Laptop mit Mandantenliste, Phishing auf Geschäftsführungs-Postfach, falsch adressierte E-Mail mit Lohnabrechnungen, unverschlüsseltes USB-Backup. Schnelle Reaktion: Konto sperren, Sessions beenden, Beweise sichern, Anwalt einschalten.
Schulung auf Muttersprache des Teams — Spanisch, Deutsch oder beides — damit Meldeketten nicht an Missverständnissen scheitern.
AEPD-Online-Formulare und Ansprechpartner im Runbook verlinken — im Stress keine Google-Suche.
Betroffenenbenachrichtigung auf Deutsch an DE-Kunden, auf Spanisch an ES-Kontakte — Vorlagen vorab vom Anwalt.
Forensik: Microsoft-365-Audit-Log Aufbewahrung aktivieren — ohne Premium eingeschränkt, dann Alternativen dokumentieren.
Technische Maßnahmen und TOM
LOPDGDD verlangt angemessene Sicherheit — für KMU auf der Insel konkret: Identität, Verschlüsselung, Backup, Zugriffskontrolle.
Microsoft 365 in EU-Region, AV-Vertrag, Conditional Access, kein Legacy-Auth. Geräteverschlüsselung BitLocker/FileVault verpflichtend. Passwort-Manager und MFA für alle — auch externe Steuerberater mit Gastzugang.
Spanische Buchhaltung und Verifactu: Minimierung personenbezogener Daten in Rechnungsnotizen, Aufbewahrungsfristen mit Steuerberater abstimmen, Zugriff nur für Rollen die es brauchen.
Artikel DSGVO-KMU im Security-Cluster ergänzt mit deutschen Schwerpunkten; dieser Artikel fokussiert Spanien-Bezug.
TOM-Dokument: Verschlüsselung, Backup, Zugriff, Schulung, Incident — proportional zur Datenart. Steuerdaten höhere Latte als reine Kontaktformulare.
Löschfristen in CRM und Buchhaltung technisch umsetzen — nicht nur im Verzeichnis auf Papier.
Pen-Test für KMU optional; regelmäßiger Access-Review Pflicht.
Doppelte Rolle: S.L. in ES, Kunden in DE
Ein Steuerbüro in Palma mit deutschen Mandanten oder eine Beratung mit HQ in Köln und Niederlassung auf Mallorca — Daten fließen grenzüberschreitend, Verträge müssen das abbilden.
AV-Verträge mit Cloud-Anbietern, Subunternehmerkette dokumentieren. US-Tools ohne Transfer-Mechanismus kritisch prüfen — Standardvertragsklauseln, EU-Rechenzentrum, oder Alternative.
Mitarbeitende in DE und ES: Arbeitsrecht getrennt, IT einheitlich — ein Tenant, klare Standort-Gruppen, Offboarding in 24 Stunden bei Austritt.
Keine Rechtsberatung durch IT ersetzen: Wohnsitz, Firmensitz und Steuerfragen klären Anwalt und Steuerberater; IT verhindert unkontrollierte Datenkopien und Schatten-Clouds.
Holding in DE, Tochter S.L. auf Mallorca: Datenflüsse zwischen Gesellschaften im Verzeichnis trennen — Konzernprivileg ersetzt keine TOM.
Mitarbeitende remote in DE für spanische S.L.: Geräte und Zugriff gleiche Standards wie in Palma-Büro.
Website mit deutschen und spanischen Formularen: unterschiedliche Rechtsgrundlagen, einheitliches Cookie- und Tracking-Setup.
Jährlicher Datenschutz-Rhythmus
Datenschutz ist kein Ordner einmalig, sondern Kalender.
Jährlich: Verarbeitungsverzeichnis aktualisieren, AV-Verträge prüfen, Restore-Test, Schulung wiederholen. Bei neuem Tool (CRM, Newsletter, KI-Assistent): vor Nutzung bewerten, nicht nach Vertragsunterschrift.
DSGVO-Risiko-Check für deutsche Mandantenprozesse; LOPDGDD-Checkliste mit spanischem Anwalt für lokale Pflichten. Kombination vermeidet blinde Flecken.
Quartalsweise: Gastzugänge in Microsoft 365, externe Freigaben, Admin-Liste. Halbjährlich: Schulung Phishing. Jährlich: komplette Verzeichnis-Review.
Neue KI-Tools (Copilot, Chatbots): vor Aktivierung LOPDGDD/DSGVO-Folgen mit Anwalt — Indexierung von Mandantendaten verhindern.
Praxisbeispiel Steuerkanzlei Palma
Deutsche Mandanten, spanische LOPDGDD-Pflicht, Microsoft 365 EU — typisches Spannungsfeld.
Mandantenakten in SharePoint mit DE/ES-Ordnerstruktur, Zugriff nur über Gruppen. Steuerberater Gast mit MFA, kein Download auf private Geräte.
Verifactu-Rechnungen für spanische Leistungen getrennt von DE-Rechnungslogik der Holding — zwei Prozesse, ein IT-Sicherheitsstandard.
AEPD-Meldung und deutsche Aufsicht parallel im Runbook — selten, aber vorbereitet sein spart Nerven.
Datenschutz als Betriebsprozess
LOPDGDD und DSGVO sind kein Jahresordner, sondern laufende Disziplin — besonders bei Personalwechsel und neuen Tools.
Jeder neue SaaS-Dienst (CRM, Newsletter, Buchhaltungs-Add-on) durchläuft Kurz-Check: personenbezogene Daten ja/nein, Speicherort EU, AV-Vertrag, Löschung. GF oder Datenschutzkoordinator signiert vor erstem Login — nicht nach drei Monaten Nutzung.
Offboarding in ES und DE gleich schnell: Konto deaktivieren, Tokens widerrufen, Gerät remote wipe, Postfach-Weiterleitung befristet. Personaldienstleister mit hohem Fluktuationsrisiko: Checkliste aus it-betrieb-Cluster adaptieren.
Mitarbeitende in Homeoffice auf Mallorca unterliegen denselben TOM wie im Palma-Büro — Conditional Access erzwingt managed devices, nicht Vertrauen in „der arbeitet schon vorsichtig“.
AEPD und deutsche Aufsicht: selten doppelte Meldung, aber ein Vorfall kann beide Informationspflichten auslösen — Runbook mit Anwalt abgestimmt, IT liefert Timeline und Logs.
Schulung zweisprachig wenn Team gemischt: Phishing-Muster auf spanische und deutsche Behörden, keine Klickshaming-Kultur. Meldung innerhalb einer Stunde an internen Ansprechpartner.
tim-dekker und IT Security Expert unterstützen technische TOM und Dokumentation — Rechtsbewertung bleibt bei Anwalt; Kombination verhindert typische Gründerfehler bei S.L. mit DE-Mandanten.
Datenpanne-Simulation
Einmal jährlich Tischübung: verlorener Laptop, Phishing-Mail, falsch versendete Liste — ohne Panik im Ernstfall.
Szenario durchspielen: Wer stoppt Zugriff? Wer schreibt AEPD? Wer informiert Mandanten auf Deutsch? Zeit stoppen — über 72h ist peinlich und teuer.
Lessons learned ins Runbook — ein Absatz pro Übung. IT-Partner moderiert, Anwalt bewertet Meldepflicht.
Nach Übung: MFA-Quote prüfen, offene Freigaben schließen, Backup-Restore wiederholen.
Dokumentenlenkung
Verträge mit Mandanten, AV-Verträge, LOPDGDD-Register — Versionierung in SharePoint.
Nur eine aktuelle Version, Änderungshistorie für Prüfer. Zugriff nach Rolle — nicht jeder sieht alles.
Löschfristen nach Ablauf Mandat: technisch und organisatorisch — IT-Export, Anwalt Freigabe.
aepd-Meldeformular als Lesezeichen, nicht vergessen bei Browser-Wechsel.
Kurz-Checkliste für GF
Fünf Punkte, die Sie ohne IT-Jargon selbst prüfen können.
Hat jeder Mitarbeitende MFA? Gibt es noch private Gmail für Mandanten? Wann war der letzte Backup-Restore? Ist das Verzeichnis älter als 12 Monate? Kennt jeder die Meldeadresse bei Verdacht?
Ein „Nein“ ist die nächste Aufgabe für IT-Partner oder internen Owner — nicht Schuldfrage.
Mitarbeitende und Dienstleister: Zugriffe sauber halten
Jeder Gastzugang ist ein Risiko — besonders Steuerberater, Webdesigner und Buchhaltungs-Outsourcing.
Steuerberater auf Mallorca mit DE-Mandanten brauchen oft Zugriff auf Belege und SharePoint-Ordner. Gastkonto mit MFA, Ablaufdatum, keine Global-Admin-Rechte. Jährliche Review: Wer braucht noch was? Webdesigner mit WordPress-Zugang und Buchhaltungs-Outsourcing mit Export-Rechten gehören ins Verzeichnis als separate Verarbeitungen.
Homeoffice-Mitarbeitende in Inca oder Manacor unterliegen denselben Conditional-Access-Regeln wie das Palma-Büro. Privates WLAN ohne Gast-Trennung ist kein Argument für Ausnahme — Firmengerät oder restriktive BYOD-Policy. Bei Austritt: Konto innerhalb von 24 Stunden deaktivieren, Tokens widerrufen, Gerät remote löschen.
Dienstleister außerhalb der EU: vor Einsatz Transfer-Mechanismus mit Anwalt klären. US-Newsletter-Tools oder Analytics ohne Consent-Logik sind auf Websites deutscher S.L. mit DE-Traffic schnell angreifbar — technisch und reputativ.
Betroffenenrechte und Doppelanfragen
Ein Mandant in München stellt Auskunft nach DSGVO — Ihre S.L. antwortet nach LOPDGDD und EU-Recht. Ein Prozess, eine Fristenübersicht.
Auskunft, Löschung, Widerspruch: Wer bearbeitet — GF, Datenschutzbeauftragter, IT-Extrakt? IT liefert Export aus Microsoft 365 und CRM, Anwalt prüft Ausschlüsse (Steueraufbewahrung). Fristen nicht verpassen — Reputation bei deutschen Mandanten leidet schneller als Bußgeld droht.
Doppelte Anfragen an DE-Holding und ES-S.L.: Klarheit im Vertrag mit Mandant, welche Gesellschaft Verantwortlicher ist. Technisch getrennte Ordner und Zugriffe verhindern Vermischung.
Marketing, Newsletter und KI
Newsletter an deutschsprachige Interessenten von Mallorca aus braucht Einwilligung und Abmeldung — LOPDGDD und DSGVO parallel.
Tracking auf Website: Cookie-Banner spanisch und deutsch, gleiche technische Consent-Logik. Kein US-Tracker ohne Transfer-Mechanismus. KI-Assistenten auf Kundendaten: vor Einsatz mit Anwalt — AEPD beobachtet automatisierte Entscheidungen kritisch.
Mitarbeitende schulen: Phishing auf spanische Behörden und deutsche Banken — beide Zielgruppen. Meldeweg an internen Ansprechpartner, nicht an externe „IT-Support“-Mail.
Zusammenarbeit mit Steuerberater und Anwalt
IT ersetzt keine Rechtsberatung — liefert aber Listen: Systeme, Speicherorte, Zugriffe. Vierteljährliches Dreierteam-Gespräch GF, Steuerberater, IT-Partner: neue Tools, neue Risiken, Verifactu-Status. Protokoll eine Seite — Gold wert bei Prüfung.
DSGVO für deutsche Kunden von Mallorca aus
Ihre S.L. verarbeitet Daten in Spanien — deutsche Mandanten erwarten trotzdem DSGVO-Niveau und verständliche Antworten auf Deutsch.
AV-Verträge mit Mandanten wenn Sie Auftragsverarbeiter sind — Muster vom Anwalt. Technische Maßnahmen identisch dokumentieren: MFA, Verschlüsselung, Backup, Löschkonzept. Auskunftsanfragen binnen einer Frist bearbeiten — interner Owner.
Übermittlung in Drittländer: US-Cloud nur mit Mechanismus. EU-Rechenzentrum Microsoft bevorzugen. Subunternehmer in AV-Verträgen listen — auch VoIP, Backup, Newsletter.
Checkliste Datenschutz Mallorca
□ Verarbeitungsverzeichnis DE+ES □ AEPD-Runbook □ MFA alle □ Backup-Restore getestet □ Gastzugänge mit Ablauf □ Schulung Team □ AV-Verträge Cloud □ Keine privaten Clouds für Mandantendaten
Internationale Mandanten
Nicht nur DE: UK, CH, EU — gleiche technische Basis, unterschiedliche Vertragsklauseln. IT liefert Export und Löschung technisch, Anwalt rechtlich. Einheitliche Retention in CRM und Mail — nicht pro Land unterschiedliche vergessene Ablagen.
Audits und Nachweise
Bei Prüfung: Verzeichnis, Schulungsnachweise, AV-Verträge, Restore-Protokoll, Incident-Log (auch leer dokumentiert). AEPD-Anfrage: Frist im Kalender, nicht in E-Mail verlieren. Externe IT-Betreuung hält Change-Log — wer hat wann welche Freigabe geändert.
Technische Mindeststandards
BitLocker/FileVault, MFA, Passwort-Manager, kein Legacy-Auth M365, Backup mit Test, Offboarding 24h, Verschlüsselung Mail transit/at rest. Für Kanzlei mit DE-Mandanten nicht verhandelbar — nur umsetzen.
Kurzfassung Datenschutz Mallorca
LOPDGDD und AEPD für die S.L., DSGVO-Niveau für deutsche Mandanten, einheitliche Technik — dokumentiert auf Deutsch und Spanisch. IT liefert Umsetzung, Anwalt die rechtliche Linie, externe Betreuung die Verbindung zwischen beiden.
Videoüberwachung und Büro vor Ort
Kamera am Eingang in Palma? Dann AEPD-konforme Hinweise und Eintrag im Verzeichnis — nicht nur Handwerker montieren lassen.
Viele Gewerbeobjekte haben Videoüberwachung vom Vormieter übernommen. Speicherdauer, Zugriff, Zweck und Löschung dokumentieren. Mitarbeitende informieren — auch temporäre Saisonkräfte. Keine Kameras in Aufenthaltsräumen; bei Homeoffice keine heimliche Überwachung des Arbeitszimmers durch „Sicherheits-App“.
Cookies, Website und deutsche Besucher
Wenn Ihre S.L.-Website DE-Mandanten anspricht: Consent-Banner in Deutsch und Spanisch, gleiche technische Logik. Tracking nur mit Rechtsgrundlage. Formulare: Datenminimierung, verschlüsselte Übertragung, kein Klartext-Mailversand sensibler Anfragen an info@gmail.com.
Wichtigste drei Maßnahmen
MFA für alle Konten mit Mandantenzugang. Verschlüsselte Geräte und Backup mit monatlichem Restore-Test. Verarbeitungsverzeichnis und AEPD-Runbook aktuell — alles andere baut darauf auf. Bei Fragen: Datenschutz-Artikel im Cluster und DSGVO-KMU ergänzen.
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen