Artikel 15 DSGVO

Artikel 15 DSGVO gibt jeder Person das gesetzliche Recht, von einer Organisation zu verlangen, welche personenbezogenen Daten über sie verarbeitet werden, woher sie stammen, wofür sie verwendet werden und mit wem sie geteilt werden. Dieses Recht auf Einsichtnahme ist eines der wichtigsten Datenschutzrechte in der Allgemeinen Datenschutzverordnung und gilt für alle Unternehmen, die personenbezogene Daten von in der Europäischen Union ansässigen Personen verarbeiten. Als Organisation sind Sie verpflichtet, innerhalb von 30 Tagen zu antworten und eine Kopie der Daten zur Verfügung zu stellen, es sei denn, es liegt ein Ausnahmefall vor.

Wie ein Überprüfungsantrag nach Artikel 15 DSGVO funktioniert

Eine Person reicht bei Ihrer Organisation eine Anfrage ein, häufig per E-Mail oder über ein Kontaktformular. Sie müssen dann innerhalb eines Monats eine vollständige Übersicht über alle von Ihnen verarbeiteten personenbezogenen Daten vorlegen: Name, Adresse, E-Mail-Adresse, Kaufhistorie, IP-Adressen, Cookies, Notizen in Ihrem CRM-System usw. Außerdem müssen Sie angeben, zu welchem Zweck die Daten verarbeitet werden, wie lange Sie die Daten aufbewahren, an wen Sie sie weitergeben und ob eine automatisierte Entscheidungsfindung stattfindet. In der Praxis bedeutet dies, dass Sie alle Systeme durchsuchen müssen: Ihre Webshop-Datenbank, Ihr E-Mail-Marketing-Tool, Ihre Buchhaltungssoftware sowie eventuelle externe Anbieter wie einen Hosting-Anbieter oder einen Zahlungsdienstleister. Eine gut organisierte Datenstruktur und Dokumentation spart bei der Bearbeitung einer solchen Anfrage enorm viel Zeit.

Warum das Recht auf Einsichtnahme entstanden ist und warum es heute wichtig ist

Das Recht auf Einsichtnahme gab es bereits in früheren europäischen Datenschutzgesetzen, wurde aber mit der Einführung der DSGVO im Mai 2018 und höheren Bußgeldern bei Verstößen in eine wesentlich strengere Form gebracht. Dahinter steht der Gedanke, dass die Bürgerinnen und Bürger die Kontrolle über ihre eigenen Daten haben und überprüfen können, ob die Unternehmen die Vorschriften einhalten. Für KMU bedeutet dies, dass eine allgemeine Datenschutzerklärung nicht mehr ausreicht. Sie müssen in der Lage sein, konkret darzulegen, welche Daten sie haben, warum sie diese haben und wie sie diese sichern. Seit 2018 stellen wir fest, dass sich die Verbraucher ihrer Rechte stärker bewusst sind und das Recht auf Einsichtnahme häufiger in Anspruch nehmen, insbesondere nach Datenschutzverletzungen oder beim Wechsel von Dienstleistern.

Was Artikel 15 DSGVO den KMU bringt

Auf den ersten Blick scheint ein Auskunftsersuchen vor allem Arbeit zu bedeuten. Dennoch bringt Ihnen die Einhaltung von Artikel 15 DSGVO auch Vorteile. Erstens vermeiden Sie Bußgelder der niederländischen Datenschutzbehörde, die bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes betragen können. Zweitens bauen Sie Vertrauen bei Ihren Kunden auf: Wer bei der Datenverarbeitung transparent ist, punktet mit höherer Zuverlässigkeit. Drittens zwingt Sie das Auskunftsrecht dazu, Ihr Datenmanagement in Ordnung zu halten, was auch intern effizienter funktioniert. Unternehmen, die ihre Daten gut dokumentieren und strukturieren, können schneller Berichte erstellen, machen weniger Fehler und sind besser auf Audits vorbereitet. Weitere Informationen zu den gesetzlichen Anforderungen finden Sie auf der Website der niederländischen Datenschutzbehörde.

In der Praxis spielt Artikel 15 DSGVO vor allem bei Kundenanfragen, Audits und Datenschutzverletzungen eine Rolle. Für KMU ist es wichtig zu wissen, wann sie einer Datenanfrage nachkommen, wie sie dies tun, ohne sich angreifbar zu machen, und welche Systeme sie einrichten müssen, um schnell zu reagieren.

Einsichtnahmeanfrage eines Kunden oder ehemaligen Mitarbeiters

Die häufigste Anwendung ist eine Anfrage eines Kunden, der wissen möchte, welche Daten Sie gespeichert haben. Dies geschieht oft nach einem Kauf, einer Beschwerde oder einer Kündigung. Auch ehemalige Mitarbeiter können einen Antrag auf Einsichtnahme stellen, um zu prüfen, was in ihrer Personalakte steht. Sie müssen dann innerhalb von 30 Tagen eine vollständige Übersicht vorlegen, einschließlich der E-Mail-Korrespondenz, der Notizen in Ihrem CRM-System und etwaiger Bewertungen. In der Praxis sehen wir bei KMU-Kunden, dass dies oft schwierig ist, weil die Daten über mehrere Systeme verteilt sind: einen Webshop, ein Buchhaltungssystem, ein E-Mail-Marketing-Tool und manchmal noch ein externes CRM. Eine gute API-Integration oder eine zentrale Datenschicht hilft dabei, alle Daten schnell abzurufen.

Vorbereitung auf ein Audit oder eine Zertifizierung

Unternehmen, die mit sensiblen Daten oder Großkunden arbeiten, müssen oft nachweisen, dass sie DSGVO-konform sind. Artikel 15 DSGVO ist dann einer der Prüfpunkte: Können Sie nachweisen, dass Sie eine vollständige Zugangsanfrage innerhalb von 30 Tagen bearbeiten können? Dies erfordert ein strukturiertes Bearbeitungsregister, eine klare Dokumentation Ihrer Datenquellen und ein Verfahren zur Überprüfung der Identität des Antragstellers. Ein B2B-Dienstleister mit 12 Mitarbeitern, der zum Beispiel mit Gemeinden oder Gesundheitseinrichtungen zusammenarbeitet, muss nachweisen können, dass alle personenbezogenen Daten auffindbar und abrufbar sind. Das bedeutet auch, dass Sie wissen müssen, welche externen Parteien Zugang zu den Daten haben, wie z. B. Ihr Hosting-Anbieter oder Ihr CRM-Anbieter.

Reaktion auf eine Datenschutzverletzung oder einen Datenschutzvorfall

Nach einer Datenschutzverletzung haben die betroffenen Personen das Recht zu erfahren, welche Daten an die Öffentlichkeit gelangt sind und welche Folgen dies haben könnte. Artikel 15 DSGVO gibt ihnen das Recht, diese Informationen zu verlangen, zusätzlich zur Meldepflicht, die Sie gegenüber der Datenschutzbehörde haben. In einer solchen Situation müssen Sie in der Lage sein, schnell herauszufinden, welche Daten betroffen sind und an wen Sie dies melden müssen. Unternehmen, die ihre Sicherheit und Überwachung in Ordnung haben, können dies schneller und genauer tun. Ein Webshop mit 500 Produkten, in den ein Hack eingedrungen ist, muss beispielsweise innerhalb von 72 Stunden Bericht erstatten und alle Betroffenen innerhalb von 30 Tagen über das Ausmaß des Lecks und die betroffenen Daten informieren.

Wann ist Artikel 15 DSGVO die richtige Wahl und wann nicht?

Artikel 15 DSGVO ist keine Wahlmöglichkeit, sondern eine rechtliche Verpflichtung, sobald Sie personenbezogene Daten verarbeiten. Dennoch gibt es Situationen, in denen Sie eine Anfrage ablehnen oder einschränken können. Dies ist zum Beispiel erlaubt, wenn die Anfrage offensichtlich unbegründet oder übertrieben ist, etwa wenn jemand jeden Monat dieselbe Anfrage stellt, ohne dass ein neuer Grund vorliegt. Sie können auch eine Entschädigung verlangen, wenn der Antrag einen übermäßigen Arbeitsaufwand erfordert. Hinweis: Die Beweislast liegt bei Ihnen. Sie müssen nachweisen können, warum Sie den Antrag ablehnen oder einschränken. In der Praxis ist es fast immer klüger, der Aufforderung nachzukommen, es sei denn, es liegt ein eindeutiger Missbrauch vor.