Videoüberwachung in Spanien: AEPD-Regeln zu Hinweisschild, Herausgabe von Aufnahmen und das Bußgeld von 12.000 Euro gegen einen Supermarkt in Madrid

TL;DR: In Spanien ist das Hinweisschild der leichte Teil. Die spanische Datenschutzbehörde (AEPD) ahndet, was danach passiert: wer die Aufnahmen sieht, wie sie herausgegeben werden und ob andere Personen zu sehen sind. Ein Supermarkt in Madrid zahlte 12.000 Euro, weil eine Kassiererin ein Kassenvideo mit anderen Kunden per WhatsApp verschickte. Für Datenschutzbeauftragte, Compliance und IT. Gallio PRO macht Gesichter und Kennzeichen automatisch unkenntlich. Prüfen Sie Ihre Anlage im CCTV-Compliance-Check : neun Fragen, Ihr Ergebnis direkt auf der Seite, ohne E-Mail-Adresse.

Für wen dieser Leitfaden ist

Dieser Beitrag beschreibt die Lage in Spanien. Er richtet sich an Unternehmen aus Deutschland, Österreich und der Schweiz, die in Spanien Filialen, Lager, Büros oder andere Standorte betreiben, und an deren Datenschutzteams.

Die DSGVO gilt in der gesamten EU, doch Spanien ergänzt eine eigene Ebene: die spanische Datenschutzbehörde (Agencia Española de Protección de Datos, AEPD) und das Organgesetz 3/2018 über Datenschutz und digitale Rechte (Ley Orgánica de Protección de Datos y garantía de los derechos digitales, LOPDGDD). Die spanischen Begriffe stehen in Klammern, damit Sie sie in lokalen Dokumenten und bei Beratern wiederfinden.

Das Schild schützt nicht, wenn danach etwas schiefgeht

Viele Unternehmen laden ein Schild „zona videovigilada“ (videoüberwachter Bereich) herunter, hängen es an den Eingang und halten das Thema für erledigt.

Der Fall unten zeigt das Gegenteil. Der sanktionierte Supermarkt gab an, an allen Eingängen Schilder zu haben. Das Bußgeld betraf nicht das Schild, sondern den Umgang mit der Aufnahme, als sie gebraucht wurde.

Das Risiko konzentriert sich auf drei Momente:

• Vor der Aufnahme: das Schild und die Information der Beschäftigten.
• Während der Speicherung: wer die Aufnahmen sehen darf und wie lange sie gespeichert werden.
• Bei der Herausgabe: an wen, über welchen Kanal und mit welchen Dritten im Bild.

Was das Gesetz sagt: Artikel 22 LOPDGDD

Videoüberwachung zu Sicherheitszwecken richtet sich in Spanien nach der DSGVO und nach Artikel 22 LOPDGDD:

• Zweck (Art. 22 Abs. 1): Schutz von Personen, Eigentum und Einrichtungen.
• Öffentlicher Raum (Art. 22 Abs. 2): darf nur erfasst werden, soweit es für diesen Zweck unerlässlich ist.
• Speicherung (Art. 22 Abs. 3): Aufnahmen werden spätestens nach einem Monat gelöscht, es sei denn, sie müssen als Beweis für Taten gegen Personen, Eigentum oder Einrichtungen aufbewahrt werden. Dann sind sie der zuständigen Behörde innerhalb von 72 Stunden ab Kenntnis der Aufnahme zur Verfügung zu stellen.
• Information (Art. 22 Abs. 4): erfolgt durch ein Hinweisschild an einer ausreichend sichtbaren Stelle.

Pflicht 1: das Schild „zona videovigilada“

Nach Artikel 22 Abs. 4 LOPDGDD muss das Schild mindestens angeben:

• Dass eine Verarbeitung stattfindet
• Die Identität des Verantwortlichen
• Die Möglichkeit, die Rechte nach Art. 15 bis 22 DSGVO auszuüben

Das Schild kann einen QR-Code oder eine Webadresse mit den übrigen Informationen enthalten. Der Verantwortliche muss die vollständigen Informationen nach Art. 13 DSGVO für Betroffene bereithalten. Die AEPD veröffentlicht auf ihrer Website eine Vorlage für das Schild, die mit den echten Unternehmensdaten auszufüllen ist: Eine heruntergeladene, leere Vorlage informiert niemanden.

Wenn Beschäftigte gefilmt werden, ergänzt Artikel 89 LOPDGDD drei Regeln:

• Beschäftigte und gegebenenfalls ihre Vertreter sind vorab, ausdrücklich, klar und knapp zu informieren.
• Keine Kameras und keine Tonaufzeichnung in Umkleiden, Toiletten, Kantinen und vergleichbaren Ruheräumen.
• Tonaufzeichnung ist nur bei erheblichen Sicherheitsrisiken und unter Wahrung der Verhältnismäßigkeit zulässig.

Pflicht 2: kontrollierter Zugriff und sichere Herausgabe

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Nach Absatz 4 dürfen Personen mit Zugang zu den Daten diese nur auf Anweisung des Verantwortlichen verarbeiten.

Für Videoüberwachung heißt das ganz konkret:

• Wer darf den Monitor sehen und Aufnahmen exportieren?
• Wird jede Sichtung und jeder Export protokolliert?
• Über welchen Kanal werden Aufnahmen herausgegeben, und niemals über einen privaten Messenger?

Verlangt ein Kunde seine Aufnahme, hat er Anspruch auf eine Kopie (Art. 15 DSGVO). Die Frist beträgt einen Monat, bei komplexen Fällen verlängerbar um zwei Monate (Art. 12 Abs. 3). Art. 15 Abs. 4 bestimmt aber, dass die Kopie die Rechte anderer nicht beeinträchtigen darf. Die Leitlinien 3/2019 des Europäischen Datenschutzausschusses (EDSA) nennen die Lösung: Dritte vor der Herausgabe verpixeln oder maskieren.

Der Fall des Supermarkts in Madrid: 12.000 Euro für ein WhatsApp-Video

Die AEPD schloss das Verfahren EXP202407160 gegen die NOVATES ALIMENTACIÓN MADRID, S.L. ab, die einen Supermarkt in Madrid betreibt ( Quelle: AEPD-Entscheidung PS/00345/2024, auf Spanisch).

Der Sachverhalt laut Entscheidung:

• Eine Kundin hatte ein Produkt zurückgegeben. Später erklärte ihr das Personal, die Rückerstattung sei falsch abgewickelt worden und sie müsse einen Teil des Betrags zurückzahlen.
• Als Beweis zeigte ihr eine Kassiererin auf ihrem Handy ein Video der Kamera über der Kasse und schickte es anschließend per WhatsApp an das private Telefon der Kundin.
• Das 40-sekündige Video war eine Handyaufnahme des Überwachungsmonitors. Zu hören waren die Stimmen von zwei Personen, die das Bild kommentierten.
• Neben der Kundin waren zwei weitere Kunden zu sehen: die Person vor ihr in der Schlange, während der gesamten Aufnahme, und ein Kunde, der den Markt betrat.

Das Unternehmen argumentierte, es habe an allen Eingängen Hinweisschilder und die Kundin habe das Video selbst verlangt und ihre Nummer angegeben. Die AEPD sah dennoch einen Verstoß gegen Art. 32 DSGVO: Die Aufnahmen waren für Beschäftigte zugänglich, deren Bezug zur Überwachung nicht nachgewiesen war, sie wurden mit einem zweiten Gerät abgefilmt und ohne jede Sicherung verbreitet.

Das ursprüngliche Bußgeld betrug 20.000 Euro. Das Unternehmen erkannte seine Verantwortung an und zahlte am 11. April 2025 freiwillig, wodurch zwei Ermäßigungen von je 20 % griffen und der Endbetrag bei 12.000 Euro lag. Die AEPD ordnete zudem an, binnen eines Monats Sicherheitsmaßnahmen für die Überwachungsaufnahmen umzusetzen.

Was der Fall zeigt:

• Schilder verhindern kein Bußgeld, wenn der Zugriff auf Aufnahmen nicht kontrolliert ist.
• Dass ein Kunde das Video verlangt, erlaubt nicht, es auf beliebigem Weg oder mit anderen sichtbaren Personen zu verschicken.
• Streit um Rückgaben und Erstattungen ist im Handel Alltag. Wie Sie damit umgehen, beschreibt unser Beitrag zu CCTV-Aufnahmen bei Kundenstreitigkeiten .
• Man muss keine große Kette sein: Laut Entscheidung lag der Umsatz des Unternehmens bei etwa 6,1 Mio. Euro.

Verstöße gegen Art. 32 DSGVO fallen unter Art. 83 Abs. 4: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Verstöße gegen Grundsätze und Betroffenenrechte fallen unter Art. 83 Abs. 5: bis zu 20 Mio. Euro oder 4 %.

So geben Sie einem Kunden in Spanien Videoaufnahmen heraus: 5 Schritte

1. Anfrage richtig kanalisieren. Die Anfrage sollte über den auf dem Schild genannten Kanal für Betroffenenrechte eingehen, nicht an der Kasse. Notieren Sie das Datum: Ab diesem Tag läuft die Monatsfrist. Prüfen Sie die Identität und erfragen Sie Datum, Uhrzeit und Ort.
2. Ausschnitt aus dem System exportieren. Nur eine befugte Person exportiert den Ausschnitt aus dem Videomanagementsystem, niemals durch Abfilmen des Bildschirms mit dem Handy. Tun Sie das vor Ablauf der Monatsfrist und protokollieren Sie es.
3. Dritte unkenntlich machen. Laden Sie den Ausschnitt in Gallio PRO . Die Software detektiert Gesichter und Kfz-Kennzeichen automatisch und macht sie unkenntlich. Die Gesichtsdetektion identifiziert keine Personen, sie findet nur Bildbereiche mit Gesichtern. Achten Sie darauf, dass die anfragende Person erkennbar bleibt: Unkenntlich gemacht werden nur Dritte.
4. Manuell nachbearbeiten. Namensschilder, Kassenbildschirme mit Daten, Dokumente und Logos werden nicht automatisch erkannt. Diese Bereiche markieren Sie im integrierten Editor von Gallio PRO von Hand. Prüfen Sie auch Spiegelungen in Glas und Schaufenstern.
5. Sicher übermitteln und dokumentieren. Nutzen Sie einen Unternehmenskanal mit kontrolliertem Zugang, keinen privaten Messenger. Protokollieren Sie, wer welchen Ausschnitt wann herausgegeben hat und was unkenntlich gemacht wurde.

Gallio PRO läuft als Anwendung auf Windows und macOS. Für Enterprise-Umgebungen gibt es eine On-Premise-Kommandozeilenversion für Linux. Die Aufnahmen müssen nicht an einen externen Cloud-Dienst übertragen werden. Wie eine große Handelskette damit arbeitet, zeigt die Fallstudie Plodine .

Checkliste für Kameraanlagen in Spanien

Prüfpunkt	Rechtsgrundlage	Erledigt?
Sichtbares Schild mit Hinweis auf Verarbeitung, Verantwortlichen und Betroffenenrechte	Art. 22 Abs. 4 LOPDGDD	☐
Vollständige Informationen verfügbar (Website, QR-Code oder Empfang)	Art. 13 DSGVO	☐
Beschäftigte vorab und ausdrücklich informiert	Art. 89 Abs. 1 LOPDGDD	☐
Keine Kameras in Umkleiden, Toiletten oder Kantinen	Art. 89 Abs. 2 LOPDGDD	☐
Öffentlicher Raum nur im unerlässlichen Umfang erfasst	Art. 22 Abs. 2 LOPDGDD	☐
Löschung spätestens nach einem Monat	Art. 22 Abs. 3 LOPDGDD	☐
Zugriff auf Monitor und Export nur für befugtes Personal	Art. 32 Abs. 4 DSGVO	☐
Prozess für Auskunftsanfragen mit Monatsfrist	Art. 12 und 15 DSGVO	☐
Werkzeug, um Dritte vor der Herausgabe unkenntlich zu machen	Art. 15 Abs. 4 DSGVO	☐
Herausgabe über sicheren Kanal, nie über private Messenger	Art. 32 DSGVO	☐

Häufige Fragen

Was muss auf einem Hinweisschild zur Videoüberwachung in Spanien stehen?

Mindestens, dass eine Verarbeitung stattfindet, die Identität des Verantwortlichen und die Möglichkeit, die Rechte nach Art. 15 bis 22 DSGVO auszuüben (Artikel 22 Abs. 4 LOPDGDD). Ein QR-Code oder eine Webadresse mit den übrigen Informationen kann ergänzt werden.

Ist ein Hinweisschild zur Videoüberwachung in Spanien Pflicht?

Ja. Nach der LOPDGDD gilt damit die Informationspflicht als erfüllt. Es muss an einer ausreichend sichtbaren Stelle vor dem Erfassungsbereich hängen.

Wie lange dürfen Videoaufnahmen in Spanien gespeichert werden?

Höchstens einen Monat ab Aufnahme. Belegt eine Aufnahme eine Tat gegen Personen, Eigentum oder Einrichtungen, darf sie aufbewahrt werden, muss aber innerhalb von 72 Stunden der zuständigen Behörde zur Verfügung gestellt werden.

Darf ein Kunde in Spanien Aufnahmen aus einem Geschäft verlangen?

Ja, über das Auskunftsrecht nach Art. 15 DSGVO. Das Unternehmen muss innerhalb eines Monats antworten und andere sichtbare Personen vor der Herausgabe unkenntlich machen.

Darf man Videoaufnahmen per WhatsApp verschicken?

Das ist kein sicherer Kanal für diese Verarbeitung. Im Fall des Supermarkts in Madrid gehörte das Verschicken eines abgefilmten Videos per WhatsApp zu dem Sachverhalt, der mit 12.000 Euro geahndet wurde.

Darf ein Unternehmen in Spanien seine Beschäftigten filmen?

Ja, zur Kontrolle der Arbeitstätigkeit, wenn die Beschäftigten vorab und ausdrücklich informiert werden (Artikel 89 LOPDGDD). Nie in Umkleiden, Toiletten oder Kantinen.

Welche Bußgelder kann die AEPD bei Videoüberwachung verhängen?

Bei Sicherheitsmängeln (Art. 32 DSGVO) bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Bei Verstößen gegen Grundsätze oder Rechte bis zu 20 Mio. Euro oder 4 %. Der Supermarkt in Madrid zahlte nach zwei Ermäßigungen von je 20 % auf ein ursprüngliches Bußgeld von 20.000 Euro letztlich 12.000 Euro.

Fazit

Das Schild „zona videovigilada“ ist der erste Schritt, nicht der letzte. Die AEPD prüft, wer auf die Aufnahmen zugreift, wie sie exportiert werden und ob die Kopie für einen Kunden andere Personen preisgibt. Der Fall des Supermarkts in Madrid zeigt, dass ein einziges improvisiert verschicktes Video für ein Bußgeld reicht.

Auch Standorte in Deutschland? Die nationalen Regeln unterscheiden sich von Land zu Land, obwohl überall dieselbe DSGVO gilt.

Prüfen Sie Ihre Anlage im CCTV-Compliance-Check : neun Fragen, Ihr Ergebnis direkt auf der Seite, ohne E-Mail-Adresse.