Artikel 15 der Datenschutz-Grundverordnung – verankert in der niederländischen Datenschutz-Grundverordnung (AVG) – gibt jeder Person das eindeutige Recht, zu erfahren, ob eine Organisation ihre personenbezogenen Daten verarbeitet, eine Kopie zu erhalten und den Kontext wie Zwecke, Empfänger und Aufbewahrungsfristen einzusehen. Dieses Recht ist das Rückgrat von Transparenz und Rechenschaftspflicht: Es ermöglicht Einzelpersonen zu überprüfen, was über sie gespeichert ist, und zwingt Unternehmen, ihre Datenpraktiken sauber, dokumentiert und vertretbar zu halten.
Ob Sie Ihre eigene Personalakte anfordern oder sich auf die Auskunftsanfrage eines Kunden vorbereiten: Die Kenntnis des genauen Geltungsbereichs und der Grenzen von Artikel 15 verringert das Risiko von Bußgeldern, Streitigkeiten und Reputationsschäden. Auf den folgenden Seiten übersetzen wir den Gesetzestext in verständliches Englisch, führen betroffene Personen Schritt für Schritt durch eine Antragsvorlage, informieren Verantwortliche über Fristen, Gebühren und Redaktionspflichten, weisen auf die niederländischen Vorschriften der Autoriteit Persoonsgegevens hin und bieten abschließend praktische Checklisten für beide Seiten.
Entschlüsselung von Artikel 15 AVG in einfachem Englisch
„Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten…“ – Artikel 15 Absatz 1 DSGVO
Einfach ausgedrückt: Sie können jede Organisation fragen : „Speichern Sie Daten über mich? Wenn ja, zeigen Sie mir, welche Daten Sie speichern, warum, mit wem Sie diese teilen und wie lange Sie sie aufbewahren.“ Das ist der Kern des Auskunftsrechts nach der DSGVO; der Anwendungsbereich von Artikel 15 der DSGVO ist in den Niederlanden identisch, da die niederländische Auskunftsverordnung (Uitvoeringswet AVG) lediglich die Durchsetzung lokalisiert, ohne den Inhalt zu ändern.
Wenn Sie einen Antrag stellen, haben Sie Anspruch auf acht konkrete Punkte:
- Bestätigung der Verarbeitung
- Eine Kopie der personenbezogenen Daten
- die Verarbeitungszwecke
- Betroffene Datenkategorien
- Empfänger bzw. Empfängerkategorien
- Geplante Speicherdauer bzw. Kriterien für deren Festlegung
- Weitere DSGVO-Rechte, die Sie ausüben können
- Schutzmaßnahmen für jegliche Übertragungen außerhalb des EWR
Das Recht ist persönlich – nur die betroffene Person (oder ein bevollmächtigter Vertreter) kann es geltend machen – und es ist absolut hinsichtlich des Erhalts der eigenen Daten. Verantwortliche können den Zugriff jedoch einschränken oder verweigern, wenn andere grundlegende Rechte (Geschäftsgeheimnisse, Datenschutz Dritter) dadurch beeinträchtigt würden.
Rechtstext vs. Laienbegriffe
| Artikel 15 Klausel | Was es wirklich bedeutet |
|---|---|
| 15 (1) Bestätigung | Fragen Sie „Ja/Nein“, wenn Ihre Daten verarbeitet werden. |
| 15 (1) Zugang | Holen Sie sich die tatsächlichen Daten und den Kontext. |
| 15 (1) (c) Empfänger | Erfahren Sie, wer die Daten innerhalb und außerhalb des Unternehmens sieht oder erhält. |
| 15 (2) Drittlandtransfers | Informieren Sie sich über Daten, die außerhalb des EWR gesendet werden, und die verwendeten Schutzmaßnahmen. |
| 15 (3) Kopieren | Erhalten Sie die Informationen kostenlos in einem wiederverwendbaren digitalen Format. |
Die wichtigsten Erkenntnisse auf einen Blick
- Wie lange darf ein Controller dauern? Ein Monat, erweiterbar auf drei für komplexe Fälle.
- Können sie mir etwas berechnen? Nein, es sei denn, die Anfrage ist „offensichtlich unbegründet oder übertrieben“.
- In welchem Format erhalte ich die Daten? Sichere elektronische Datei (z. B. PDF oder CSV), sofern Sie nichts anderes verlangen.
- Muss ich ein spezielles Formular verwenden? Nein; E-Mail, Brief oder sogar ein Telefonanruf zählen.
- Was passiert, wenn sie nichts über mich in der Hand haben? Das müssen sie mir innerhalb derselben Frist schriftlich mitteilen.
Wer kann das Recht ausüben und gegenüber wem?
Gemäß Artikel 4 Absatz 1 DSGVO ist jede lebende, identifizierbare natürliche Person – ob Kunde, Mitarbeiter, Patient oder minderjähriger Schüler – eine betroffene Person . Jede dieser Personen kann ihr Auskunftsrecht nach der DSGVO geltend machen: Der Anwendungsbereich von Artikel 15 DSGVO diskriminiert nicht nach Alter, Staatsangehörigkeit oder Wohnsitz. Anfragen sind an den Verantwortlichen zu richten : die Stelle, die über Zweck und Art der Datenverarbeitung entscheidet. Ein Cloud-Anbieter oder ein Lohnabrechnungsdienstleister, der die Daten lediglich speichert, ist ein Auftragsverarbeiter ; er muss die Anfrage an den Verantwortlichen weiterleiten, darf aber direkte Anweisungen nicht verweigern.
Einwohner der Niederlande können ihre Anfrage auch an ein ausländisches Unternehmen richten, das auf den niederländischen Markt abzielt (z. B. ein in Irland ansässiges soziales Netzwerk). Die Frist von einem Monat beginnt mit dem Eingang der Anfrage beim Verantwortlichen, unabhängig davon, wo sich dessen Server befinden.
Besondere Situationen: Vertreter, Verstorbene, Eltern und Erziehungsberechtigte
- Minderjährige und geschäftsunfähige Erwachsene: Ein Elternteil, Vormund oder Pfleger kann gemäß Buch 1 des niederländischen Bürgerlichen Gesetzbuchs in ihrem Namen handeln.
- Schulen und Arbeitgeber: Schüler und Mitarbeiter sich kann einen Antrag auf Auskunft über personenbezogene Daten (SAR) stellen; Vertreter sind optional und nicht erforderlich.
- Verstorbene Personen fallen nicht unter die DSGVO, Ärzte, Notare und Versicherer müssen jedoch weiterhin die Vorschriften zur beruflichen Schweigepflicht einhalten, bevor sie entsprechende Akten offenlegen.
Gemeinsame Verantwortung der Verantwortlichen in gemeinsam genutzten Systemen
Wenn zwei oder mehr Organisationen gemeinsam die Zwecke oder Mittel der Datenverarbeitung festlegen (Art. 26 DSGVO) – beispielsweise ein Arbeitgeber und sein HR-Softwareanbieter –, sind sie gemeinsam Verantwortliche . Sie müssen transparent vereinbaren, wer Anfragen nach Art. 15 beantwortet, und die betroffene Person darüber informieren. Jede Organisation bleibt jedoch haftbar, wenn die andere ihrer Verantwortung nicht nachkommt.
Was offengelegt werden muss: Daten und ergänzende Informationen
Wenn Sie Ihr Auskunftsrecht gemäß DSGVO geltend machen, verpflichtet Artikel 15 der DSGVO den Verantwortlichen zur Herausgabe zweier Dinge: der eigentlichen personenbezogenen Daten und eines Pakets mit Kontextinformationen . Stellen Sie sich das so vor, als erhielten Sie sowohl das Foto als auch die dazugehörige Bildunterschrift. Die Gesetzgebung unterteilt die Auskunftspflicht in acht Kategorien, die im Folgenden aufgeführt sind.
| Art. 15 Abs. 1 Ziffer | Was Sie erhalten sollten |
|---|---|
| (a) Bestätigung | Eine klare ja Nein ob Ihre Daten verarbeitet werden |
| (b) Zwecke | Die Gründe für die Existenz der Daten (z. B. Gehaltsabrechnung, Marketing) |
| c) Kategorien | Typen wie Kontaktdaten, Kaufhistorie, GPS-Protokolle |
| d) Empfänger | Interne Teams und externe Partner oder Auftragsverarbeiter |
| (e) Aufbewahrung | Genauer Zeitraum bzw. Kriterien (z. B. „7 Jahre für Steuerrecht“) |
| f) Rechte | Erinnerung: Sie können Daten berichtigen, löschen, einschränken, widersprechen oder sich beschweren |
| g) Quelle | Woher die Daten stammen, wenn sie nicht bei Ihnen erhoben wurden |
| (h) Übermittlungen | Sicherheitsvorkehrungen für Sendungen außerhalb des EWR |
Personenbezogene Daten umfassen mehr als nur Namen und Nummern. Sie umfassen Verhaltensprofile, abgeleitete Kredit-Scores, Videoüberwachungsaufnahmen, Sprachaufzeichnungen, Geräte-IDs und sogar scheinbar langweilige Metadaten wie Anmeldezeitstempel – alles, was direkt oder indirekt mit einer identifizierbaren Person verknüpft werden kann.
Erläuterung der „Kopie der personenbezogenen Daten“
Eine Kopie ist eine verständliche Wiedergabe, nicht das Originaldokument. Erwarten Sie Folgendes:
- Ein PDF Ihrer Lohn- und Gehaltsabrechnung
- CSV-Export von CRM-Notizen
- ZIP mit Audiodateien von Supportanrufen
Wenn Sie die Anfrage per E-Mail gesendet haben, sollte die Standardzustellung ebenfalls elektronisch und in einem „allgemein verwendeten“ Format erfolgen, sofern Sie nicht um Papier bitten.
Persönliche Daten vs. Dokumente: Wo ist die Grenze zu ziehen?
Die Verantwortlichen dürfen nur die für Sie relevanten Ausschnitte extrahieren. Beispielsweise können in einem Besprechungsprotokoll mit mehreren Mitarbeitern Ihre gesprochenen Bemerkungen offengelegt werden, während die Kommentare der Kollegen geschwärzt werden. Ein unterzeichneter Arbeitsvertrag hingegen wird vollständig offengelegt, da jede Klausel Sie betrifft.
Obligatorische Zusatzinformationen
Neben der Datenkopie muss der Verantwortliche folgende Informationen erläutern: Zweck, Kategorien, Empfänger, Aufbewahrung, verfügbare Rechte, Datenquellen, die Logik hinter automatisierten Entscheidungen (falls vorhanden) und Übertragungsgarantien. Achten Sie auf vage Antworten – „für Geschäftszwecke“ oder „so lange wie nötig gespeichert“ werden die Autoriteit Persoonsgegevens wahrscheinlich nicht zufriedenstellen. Umfassende, verständliche Erklärungen sind der beste Schutz vor Beschwerden und Bußgeldern.
So reichen Sie in den Niederlanden eine Anfrage zum Zugriff auf personenbezogene Daten (SAR) ein und bearbeiten sie
Ein Antrag auf Auskunft über personenbezogene Daten kann auf jedem beliebigen Weg gestellt werden – per Telefon, E-Mail , Brief, Direktnachricht in sozialen Medien oder sogar per Chatbot. Artikel 12 DSGVO verbietet es Verantwortlichen, eine bestimmte Form vorzuschreiben. Daher genügt die Aussage „Ich möchte eine Kopie aller personenbezogenen Daten, die Sie über mich speichern“, um die Frist in Gang zu setzen. Es empfiehlt sich jedoch, einen schriftlichen Nachweis zu erstellen, damit beide Seiten die Fristen nachverfolgen können. Sobald der Antrag eingegangen ist, muss der Verantwortliche unverzüglich (1) den Eingang bestätigen und (2) die einmonatige Antwortfrist dokumentieren. Schweigen oder Verzögerungen nach Ablauf dieser Frist können zu einer Beschwerde bei der französischen Datenschutzbehörde (Autoriteit Persoonsgegevens, AP) und möglichen Bußgeldern führen.
Nachfolgend finden Sie eine prägnante, zweisprachige Vorlage, die die betroffenen Personen kopieren und einfügen können. Es ist kein juristischer Fachjargon erforderlich.
Subject: Subject Access Request – Article 15 GDPR/AVG
Dear [Controller],
I hereby request, under Article 15 GDPR/AVG, confirmation of whether you process my personal data.
If so, please provide a copy and the supplementary information listed in Article 15(1)(a-h).
Kind regards,
[Name] | [Email] | [Any reference number]
---
Onderwerp: Verzoek om inzage – Artikel 15 AVG/GDPR
Geachte [Verwerkingsverantwoordelijke],
Ik verzoek u op grond van artikel 15 AVG om bevestiging of u mijn persoonsgegevens verwerkt.
Indien dit het geval is, ontvang ik graag een kopie en de aanvullende informatie zoals genoemd in artikel 15 lid 1 onder a-h.
Met vriendelijke groet,
[Naam] | [E-mail] | [Eventuele referentie]
Die Verantwortlichen sollten einen einfachen Aufnahme-Workflow erstellen – [email protected] Postfach, Ticketnummer, automatische Bestätigung –, um die Einhaltung später nachweisen zu können.
Identitätsprüfung ohne übermäßiges Sammeln von Daten
Der Verantwortliche muss bei der Überprüfung der Anfragen „angemessen“ vorgehen, ohne mehr Daten zu erfassen als nötig. Die AP empfiehlt:
- Ordnen Sie die Anfragedetails nach Möglichkeit den vorhandenen Kontodaten (Benutzername, Client-ID) zu.
- Wenn zusätzliche Nachweise unumgänglich sind, fordern Sie einen redigierten Reisepass an oder Führerschein-Scan mit geschwärzter BSN, Foto und MRZ.
- Bewahren Sie Kopien niemals länger auf, als für die Überprüfung erforderlich ist. Protokollieren Sie die Tatsache der Überprüfung und löschen Sie die Datei anschließend.
Protokollierung und Aufzeichnung zur Rechenschaftspflicht
Ein einfaches SAR-Protokoll stellt die Aufsichtsbehörden – und Ihren Datenschutzbeauftragten – zufrieden. Protokollieren Sie:
- Empfangsdatum und Kanal (E-Mail, Anruf usw.)
- Durchgeführte Schritte zur Identitätsüberprüfung
- Umfang der Daten
- Beteiligte interne Teams
- Datum und Art der Antwort + etwaige beantragte Fristverlängerungen
- Zusammenfassung der bereitgestellten Informationen oder Gründe für die Ablehnung
Durch die Führung dieses Registers wird das Prinzip der „Verantwortlichkeit“ gemäß Artikel 5 unterstützt und es entsteht ein vorgefertigter Prüfpfad, falls der AP an Ihre Tür klopft.
Zeitpläne, Gebühren und Lieferformate der Controller
Sobald die Frist beginnt, haben Verantwortliche einen Monat Zeit , um auf eine Auskunftsanfrage zu antworten. Sie können die Frist einmalig um bis zu zwei weitere Monate verlängern , jedoch nur bei komplexen oder zahlreichen Anfragen. Die Verzögerung muss innerhalb des ersten Monats begründet werden. Liegen keine personenbezogenen Daten vor, muss der Verantwortliche dennoch innerhalb derselben Frist antworten und dies ausdrücklich angeben.
Artikel 12(5) sieht eine Gebührenfreiheit vor: Der Zugriff ist kostenlos. Eine Gebühr ist nur dann zulässig, wenn eine Anfrage „offensichtlich unbegründet oder übermäßig“ ist – beispielsweise wenn ein Mitarbeiter wöchentlich identische Kopien anfordert oder ein Spammer Daten zu Hunderten von gefälschten Profilen verlangt.
Die Übermittlung muss in einem allgemein gebräuchlichen, sicheren Format erfolgen. Ein kurzer Vergleich:
| Format | Vorteile | Nachteile |
|---|---|---|
| Verschlüsseltes PDF | Lesbar; einfache Redaktion | Schwache Passwörter möglich |
| CSV-Export | Maschinenlesbar; kleine Größe | Für Laien schwieriger |
| Sicheres Portal | 2FA und Prüfpfad | Kostspielige Wartung |
Welcher Weg auch immer gewählt wird, die Verantwortlichen sollten angemessene Präferenzen berücksichtigen und eine proprietäre Bindung vermeiden.
Sichere Übertragung und Datenminimierung
Versenden Sie niemals ungeschützte Tabellenkalkulationen per E-Mail. Verwenden Sie passwortgeschützte Dateien (teilen Sie den Schlüssel separat), HTTPS-Portale mit Zwei-Faktor-Authentifizierung oder Einschreiben für Papierpakete. Bereinigen Sie vor der Übertragung Daten von Drittanbietern mit einer Schwärzungssoftware und entfernen Sie überflüssige Felder. Dies entspricht der Minimierung von Artikel 5(1)(c) und schützt gleichzeitig Mitarbeiter, Geschäftsgeheimnisse und Unbeteiligte.
Berechtigte Gründe für die Einschränkung oder Verweigerung des Zugriffs
Artikel 15 ist zwar wirkungsvoll, aber nicht unbegrenzt. Absatz 4 und Erwägungsgrund 63 stellen klar, dass ein Verantwortlicher die Offenlegung einschränken oder sogar verweigern kann, wenn die Herausgabe der Informationen mit anderen Grundrechten kollidieren oder offenkundig unzumutbar wäre. Die Beweislast liegt beim Verantwortlichen: Er muss dokumentieren , warum der vollständige Zugriff diese widerstreitenden Interessen beeinträchtigen würde und wie er die Auswirkungen abgemildert hat (z. B. durch teilweise Schwärzung).
Schutz der Privatsphäre Dritter
Die Offenlegung eines E-Mail-Verlaufs, in dem auch Kollegen oder Kunden namentlich genannt werden, kann deren personenbezogene Daten preisgeben. Die niederländische Rechtsprechung (Rb. Midden-Nederland, ECLI:NL:RBMNE:2023:1204) bestätigt, dass Verantwortliche Kennungen Dritter unkenntlich machen oder zusammenfassen dürfen, sofern der Anfragende den Kontext weiterhin versteht. Techniken:
- Schwarz eingefärbte Namen und Telefonnummern
- Durch neutrale Begriffe ersetzen („ein anderer Mitarbeiter“)
- Liefern Sie Auszüge statt der gesamten Datei
Geschäftsgeheimnisse, geistiges Eigentum und Urheberrecht
Unternehmen müssen ihren algorithmischen Kimono nicht öffnen. Wenn die Offenlegung von Quellcode, Preisformeln oder urheberrechtlich geschütztem Material vertrauliches Know-how preisgeben würde, erlaubt Artikel 15(4) eine angemessene Reaktion. Typische Problemumgehung: Beschreiben Sie die Logik einer automatisierten Entscheidung in einfachem Englisch, nicht den vollständigen Code; geben Sie Auszüge aus einem Vertragsplan an, nicht die proprietäre Vorlage. Erklären Sie stets, warum eine weitergehende Offenlegung kommerziellen Interessen schaden würde.
Verhinderung von Rechtsmissbrauch
Eine Anfrage ist offensichtlich unbegründet oder übertrieben, wenn sie wiederholt, belästigend oder absichtlich belastend ist – beispielsweise wöchentliche, kopierte Auskunftsersuchen, nachdem die vollständigen Daten bereits übermittelt wurden. Verantwortliche können dann:
- Erheben Sie eine „angemessene Gebühr“, die die Verwaltungskosten widerspiegelt. or
- Weigern Sie sich, überhaupt zu handeln.
In jedem Fall müssen Sie Ihren Standpunkt schriftlich begründen und die betroffene Person über ihr Recht informieren, sich bei der Autoriteit Persoonsgegevens zu beschweren.
Wiedergutmachung: Beschwerden und Rechtsstreitigkeiten in den Niederlanden
Wenn ein Verantwortlicher sein Ziel verfehlt, haben die betroffenen Personen schnelle und schrittweise Möglichkeiten, ihr Auskunftsrecht gemäß der DSGVO (im Geltungsbereich von Artikel 15 der DSGVO) durchzusetzen.
- Innerer Anstoß. Senden Sie eine datierte Erinnerung mit Verweis auf Artikel 15 und die abgelaufene Frist. Die meisten Organisationen kommen der Aufforderung nach.
- Autoriteit Persoonsgegevens Beschwerde. Online einreichen. Die AP kann die Offenlegung anordnen, tägliche Strafzahlungen verhängen oder Verwaltungsstrafen erheben. Einfache Fälle werden oft innerhalb von drei Monaten abgeschlossen.
- Zivilgerichtsverfahren. Gemäß Artikel 82 DSGVO Niederländische Gerichte kann einstweilige Verfügungen erlassen und Entschädigungen zusprechen. Jüngste Urteile haben 250–2 500 € für Notfälle zugesprochen, mit Schnellverfahren summarisches Verfahren Bei dringenden Arbeitsverhältnissen gibt es Hilfen.
Grenzüberschreitende Zusammenarbeit und One-Stop-Shop
Ein niederländischer Einwohner kann sich auch dann bei der AP beschweren, wenn der EU-Hauptsitz des Verantwortlichen woanders liegt. Die AP leitet die Beschwerde über den GDPR One-Stop-Shop weiter , und der Europäische Datenschutzausschuss kann etwaige regulatorische Blockaden lösen – der geografische Standort ist also kein Hindernis für den Zugriff auf Ihre Daten.
Compliance-Blueprint für Organisationen
Ein sauberer SAR-Prozess beginnt lange vor dem Eintreffen der ersten Anfrage. Bauen Sie diese wesentlichen Elemente ein, und 90 % der Zugriffsprobleme verschwinden:
- Veröffentlichen Sie eine kurze, in einfachem Englisch verfasste SAR-Richtlinie und weisen Sie Ihre Mitarbeiter darauf hin.
- Halten Sie Ihr Verzeichnis der Verarbeitungstätigkeiten (RoPA) auf dem neuesten Stand, damit Sie wissen, wo sich die Daten befinden.
- Ordnen Sie Aufbewahrungsfristen und Löschauslöser zu. Veraltete Daten sind Daten, die Sie nie weitergeben müssen.
- Behalten Sie einen schrittweisen Redaktionsworkflow mit einer Überprüfung durch zwei Kontrollen bei.
- Protokollieren Sie jede Anfrage, Entscheidung und Frist für Artikel 5 Rechenschaftspflicht.
- Führen Sie jährlich Planübungen durch, um Geschwindigkeit, Klarheit und Befehlskette zu testen.
Schulen Sie Front-Office, HR und IT darin, mündliche Anfragen zu erkennen und zu priorisieren. Ein verpasster Anruf kann die Strafe in Gang setzen.
Automatisierung und Tools
Verwenden Sie Datenerkennungssoftware, APIs zur ID-Verifizierung und sichere Download-Portale, um Daten schnell zu finden, zu verpacken und zu übertragen – und lassen Sie dabei immer Raum für eine menschliche Sinnprüfung und Kontextprüfung.
Integration mit anderen Rechten betroffener Personen
Gestalten Sie den SAR-Workflow so, dass er in Korrektur-, Löschungs- oder Portabilitätsaktionen verzweigt. Eine kohärente Pipeline vermeidet doppelte Suchvorgänge und inkonsistente Antworten.
Stärkung der Datensubjekte: Praktische Tipps für wirksame Anfragen
Ein klarer, gut abgegrenzter SAR spart allen Beteiligten Zeit und erschwert es dem Lotsen, die Situation zu verzögern. Versuchen Sie folgende Taktiken:
- Genau feststellen was Sie möchten: „Alle E-Mails zwischen mir und Manager Jansen vom 1. Januar bis 31. März 2024.“
- Erwähnen woher dort steht: „HR-System und Helpdesk-Tickets.“
- Geben Sie Ihre bevorzugtes Format (CSV, PDF) und sicherer Kanal.
- Markieren Sie die Dringlichkeit, wenn relevant („bevorstehende Leistungsbeurteilung am 15. Oktober“).
Sobald die Daten vorliegen, suchen Sie nach Fehlern oder Lücken und senden Sie sofort eine Berichtigungs- oder Löschungsanfrage – indem Sie immer die gleiche Beweisspur verfolgen, bleibt die Dynamik erhalten.
Eskalationsstrategie bei Missachtung
Tag 31 und immer noch Funkstille? Bleiben Sie höflich, aber bestimmt:
Subject: Reminder – Article 15 GDPR/AVG request overdue
Dear [Controller],
On [date] I requested access to my personal data. The one-month term has passed without a response.
Please provide the information within seven days or explain the lawful basis for any refusal.
Failing that, I will file a complaint with the Autoriteit Persoonsgegevens and consider civil action.
Regards,
[Name]
Dokumentieren Sie jeden Schritt (Daten, E-Mails, Telefonprotokolle). Wenn die zusätzliche Woche abgelaufen ist, reichen Sie eine Online-Beschwerde bei der AP ein und fügen Sie Ihr Beweispaket bei. Gerichte und Aufsichtsbehörden bevorzugen gut organisierte Kläger.
Zusammenfassung Ihres Zugriffsrechts
Artikel 15 DSGVO gibt Einzelpersonen die Kontrolle: Sie können fragen, einsehen und anfechten, was eine Organisation mit Ihren Daten macht. Für Verantwortliche sind klare Verfahren, übersichtliche Aufzeichnungen und sinnvolle Schwärzungen keine Option – sie sind die einzige Möglichkeit, die einmonatige Frist einzuhalten und dem Blick der Autoriteit Persoonsgegevens zu entgehen.
Denken Sie an das grundlegende Playbook:
- Anfrage kann formlos sein,
- Die Antwort muss kostenlos, zeitnah und vollständig erfolgen.
- Grenzen sind eng und müssen begründet werden,
- Eine teilweise Offenlegung ist besser als eine pauschale Ablehnung.
Wenn Sie diese Regeln befolgen, wird das Zugriffsrecht zu einer routinemäßigen Compliance-Aufgabe und nicht zu einem Ärgernis im Gerichtssaal.
Benötigen Sie eine maßgeschneiderte SAR-Vorlage, Hilfe bei der Entwirrung von Drittanbieterdaten oder eine Strategie für einen hartnäckigen Controller? Die Datenschutzanwälte von Law & More sind bereit, einzugreifen – egal, ob Sie eine betroffene Person sind, die Antworten sucht, oder ein Unternehmen, das Gewissheit sucht.
