Verstehen Sie Ihre Datenrechte: Was ist ein DSAR, warum ist es wichtig und wie stellt man einen Antrag auf Datenzugang (DSAR)

Was ist eine DSAR und warum sollten Sie dieses Recht wahrnehmen?

A DSAR (Antrag auf Zugang zu personenbezogenen Daten) ist ein Grundrecht, das Ihnen durch Artikel 15 der allgemeinen Datenschutzverordnung (GDPR) der Europäischen Union. Sie ermächtigt jede Person, eine Organisation zu fragen, ob sie personenbezogene Daten über sie speichert, und, falls dies der Fall ist, umfassende Informationen zu erhalten, einschließlich:

1. Eine Kopie Ihrer persönlichen Daten die die Organisation besitzt.
2. Detaillierte Informationen über das Wie und Warum diese Daten verarbeitet werden (z. B. die Zwecke der Verarbeitung).
3. Angaben zu den Empfängern oder Kategorien von Empfängern an wen Ihre Daten weitergegeben wurden oder werden (insbesondere an Drittländer oder internationale Organisationen).
4. Die vorgesehene Dauer der Speicherung der personenbezogenen Datenoder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieses Zeitraums.
5. Die Rechtsgrundlage für die Verarbeitung Ihrer Daten (z. B. Einwilligung, Vertrag, rechtliche Verpflichtung, berechtigtes Interesse).
6. Die Existenz des das Recht, von dem für die Verarbeitung Verantwortlichen die Berichtigung oder Löschung personenbezogener Daten oder die Einschränkung der Verarbeitung zu verlangen, die die betroffene Person betrifft, oder Widerspruch gegen eine solche Verarbeitung einzulegen.
7. Die Recht auf Einreichung einer Beschwerde mit einer Aufsichtsbehörde.
8. Informationen über die Quelle der Datenwenn die personenbezogenen Daten nicht direkt bei Ihnen erhoben werden.
9. Die Existenz von automatisierte Entscheidungsfindung, einschließlich ProfilingArtikel 22 Absätze 1 und 4 DSGVO und - zumindest in diesen Fällen - aussagekräftige Informationen über die Logik der Verarbeitung sowie die Bedeutung und die voraussichtlichen Folgen einer solchen Verarbeitung für die betroffene Person.

Warum sollten Sie von Ihrem DSAR-Recht Gebrauch machen?

Um dieses Recht auszuüben, brauchen Sie weder einen Anwalt noch eine komplexe Begründung. Wenn Ihre Daten von einer Organisation gesammelt oder verarbeitet werden, haben Sie ein Recht darauf zu erfahren, wie. Die Ausübung Ihres DSAR-Rechts ist aus mehreren Gründen wichtig:

• Transparenz und Kontrolle: Sie erhalten einen direkten Einblick in die personenbezogenen Daten, die eine Organisation über Sie gespeichert hat, wodurch die Transparenz gefördert wird und Sie die Möglichkeit haben, die Richtigkeit der Daten zu überprüfen.
• Berichtigung und Löschung: Wenn Sie ungenaue oder veraltete Informationen finden oder Daten, die nicht mehr erforderlich sind, ist ein DSAR der erste Schritt zur Ausübung Ihres Rechts auf Berichtigung oder Löschung.
• Verstehen des Datenflusses: Es hilft Ihnen zu verstehen, mit wem Ihre Daten geteilt werden, was in einer Zeit komplexer Datenökosysteme mit Drittverarbeitern besonders wichtig ist.
• Rechenschaftspflicht: Sie nimmt Organisationen für ihre Datenverarbeitungspraktiken in die Verantwortung und stellt sicher, dass sie die Datenschutzgesetze einhalten.
• Rechtsmittel: Im Falle von Datenschutzverletzungen oder -missbrauch kann eine Aufzeichnung Ihrer DSAR und der Reaktion der Organisation (oder des Fehlens einer solchen) von entscheidender Bedeutung sein, um Rechtsmittel einzulegen oder eine Beschwerde bei einer Aufsichtsbehörde einzureichen.

Einreichung eines DSAR-Antrags: Ein schrittweiser Leitfaden

Die Einreichung eines DSAR-Antrags ist in der Regel ein unkompliziertes Verfahren. Hier erfahren Sie, wie es geht:

1. Identifizieren Sie den für die Datenverarbeitung Verantwortlichen:
   • Ermitteln Sie, welches Unternehmen, welche öffentliche Einrichtung oder Organisation Ihre Daten besitzt. Dies ist in der Regel die Einrichtung, zu der Sie eine direkte Beziehung haben (z. B. Ihre Bank, Ihr Arbeitgeber, eine Social-Media-Plattform, ein Online-Händler).
   • Achten Sie auf die Datenschutzrichtlinien oder die Nutzungsbedingungen auf der Website des Unternehmens, die oft spezielle Kontaktangaben für Datenschutzanfragen oder DSARs enthalten.
2. Formulieren Sie Ihren Antrag:
   • Sie brauchen keinen juristischen Fachjargon zu verwenden, aber Sie müssen deutlich machen, dass Sie einen Antrag auf Zugang zu den Daten gemäß Artikel 15 der DSGVO stellen.
   • Beispiel-Wortlaut: "Ich schreibe Ihnen, um mein Auskunftsrecht gemäß Artikel 15 der Allgemeinen Datenschutzverordnung (DSGVO) auszuüben. Bitte stellen Sie mir eine Kopie aller personenbezogenen Daten zur Verfügung, die Sie über mich gespeichert haben. Ich wäre auch dankbar für Informationen über die Zwecke der Verarbeitung, die betroffenen Kategorien personenbezogener Daten, die Empfänger, an die meine Daten weitergegeben wurden oder werden, den geplanten Zeitraum, für den die personenbezogenen Daten gespeichert werden, und die Quelle der personenbezogenen Daten, falls sie nicht direkt bei mir erhoben wurden."
   • Sie müssen Ihre Anfrage zwar nicht begründen, aber wenn Sie genau angeben, an welchen Daten Sie interessiert sind (z. B. "alle meine persönlichen Daten" oder "meine Beschäftigungsdaten von 2020 bis 2023" oder "meine Transaktionshistorie"), kann die Organisation Ihre Anfrage effizienter bearbeiten.
3. Senden Sie den Antrag:
   • Methode: Sie können Ihre DSAR in der Regel per E-Mail, per Post oder manchmal auch über ein spezielles Datenschutzportal auf der Website des Unternehmens übermitteln. Informieren Sie sich in den Datenschutzrichtlinien des Unternehmens über die von ihm bevorzugte Methode.
   • Der Beweis: Bewahren Sie eine Kopie Ihres Antrags und einen Nachweis über die Einreichung auf (z. B. eine Bestätigung per E-Mail oder eine Postquittung).
   • Informelle Ersuchen: Die meisten Datenschutzbehörden akzeptieren formlose Anfragen (z. B. eine einfache E-Mail oder einen Brief). Sie sind nicht verpflichtet, ein bestimmtes Formular zu verwenden, es sei denn, die Organisation stellt eines zur Verfügung und besteht auf dessen Verwendung.
4. Identitätsnachweis (falls angefordert):
   • Organisationen haben das Recht, Ihre Identität zu überprüfen, um sich vor betrügerischen Anfragen zu schützen und eine unbefugte Weitergabe Ihrer persönlichen Daten zu verhindern.
   • Sie sollten nur nach Informationen fragen, die zur Bestätigung Ihrer Identität erforderlich sind. Dazu können eine Kopie einer Stromrechnung, ein geschwärztes Ausweisdokument oder die Beantwortung von Sicherheitsfragen gehören.
   • Seien Sie vorsichtig, wenn Sie übermäßig viele oder hochsensible Identitätsdokumente zur Verfügung stellen, es sei denn, dies ist absolut notwendig und sicher.
5. Warten Sie auf die Antwort:
   • Organisationen haben in der Regel einen Kalendermonat für die Beantwortung Ihres DSAR ab dem Datum des Eingangs.
   • Bei komplexen oder zahlreichen Anträgen können sie diese Frist um ein Jahr verlängern. weitere zwei Monate. Wenn sie dies tun, müssen sie Sie innerhalb der ursprünglichen Einmonatsfrist informieren und die Gründe für die Verlängerung erläutern.
   • Die Antwort sollte Ihnen die angeforderten Daten und Informationen kostenlos zur Verfügung stellen, obwohl sie eine angemessene Gebühr für offensichtlich unbegründete oder übertriebene Anfragen oder für weitere Kopien erheben können.
6. Nachbereitung:
   • Wenn Sie innerhalb der gesetzlichen Frist (ein Monat bzw. drei Monate, wenn eine Fristverlängerung mitgeteilt wurde) keine Antwort erhalten, wenden Sie sich schriftlich an das Unternehmen. Verweisen Sie auf Ihre ursprüngliche Anfrage und das Datum, an dem sie abgeschickt wurde.

Was ist, wenn sie nicht oder nur unzureichend reagieren?

Wenn eine Organisation Ihre DSAR nicht beantwortet, Ihre Anfrage ohne angemessene Begründung ablehnt oder eine unvollständige oder unbefriedigende Antwort gibt, haben Sie das Recht, Ihre Beschwerde zu eskalieren.

1. Interne Beschwerde (empfohlener erster Schritt):

   • Bevor Sie sich an eine Aufsichtsbehörde wenden, sollten Sie in Erwägung ziehen, eine formelle Beschwerde direkt beim Datenschutzbeauftragten (DSB) oder dem Datenschutzteam der Organisation einzureichen. Schildern Sie klar und deutlich, warum Sie mit der Antwort unzufrieden sind. Auf diese Weise lassen sich Probleme oft schneller lösen.

2. Reichen Sie eine Beschwerde bei Ihrer nationalen Datenschutzbehörde (Aufsichtsbehörde) ein:

   • Wenn die interne Beschwerde das Problem nicht löst, können Sie eine formelle Beschwerde bei der Datenschutzbehörde des Landes einreichen, in dem die Organisation ihren Sitz hat, oder in dem Land, in dem Sie ansässig sind (wenn Sie sich in der EU/im EWR befinden und die Organisation Ihre Daten dort verarbeitet).
   • Jedes EU-Land hat eine benannte Aufsichtsbehörde, die für die Durchsetzung der DSGVO zuständig ist. Auch das Vereinigte Königreich und die Schweiz haben ihre eigenen Datenschutzbehörden.
   • Die meisten Beschwerden können über Online-Formulare oder per E-Mail auf der offiziellen Website der DPA eingereicht werden.

   Wichtige Überlegungen:

   • Rückstände: Seien Sie sich darüber im Klaren, dass die Aufsichtsbehörden oft einen Rückstau an Beschwerden haben und es mehrere Wochen oder sogar Monate dauern kann (z. B. oft mehr als 16 Wochen, manchmal auch länger), bis eine Antwort oder eine Entscheidung der Aufsichtsbehörde vorliegt.
   • Beweise: Legen Sie bei der Einreichung Ihrer Beschwerde alle relevanten Unterlagen vor, einschließlich der Original-DSAR, des Schriftverkehrs mit der Organisation und deren Antwort (oder deren Fehlen).

Wichtige Ressourcen (offizielle Datenschutzbehörden)

Die für Ihre Region zuständige Datenschutzbehörde finden Sie in diesen offiziellen Quellen:

• Europäischer Datenschutzausschuss (EDPB) - Mitgliederliste (für alle EU/EWR-Datenschutzbehörden):
  • edpb.europa.eu/about-edpb/board/members_de
  • Dies ist der umfassendste Link, um die zuständige Datenschutzbehörde in der EU/im EWR zu finden.
• Frankreich (CNIL - Commission Nationale de l'Informatique et des Libertés):
  • cnil.fr
• Vereinigtes Königreich (ICO - Information Commissioner's Office):
  • ico.org.uk
  • Hinweis: Das ICO arbeitet nach der britischen Datenschutz-Grundverordnung (GDPR), die einen separaten, aber sehr ähnlichen Rahmen wie die EU-DSGVO darstellt.
• Schweiz (EDÖB - Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter):
  • edoeb.admin.ch
  • Hinweis: Die Schweiz hat ein eigenes Datenschutzgesetz (nFADP), das an die DSGVO angeglichen, aber von ihr getrennt ist.

Wenn Sie diese Schritte befolgen und Ihre Rechte kennen, können Sie die Kontrolle über Ihre persönlichen Daten im digitalen Zeitalter übernehmen.