In Ruhe erklärt
Das Recht steht in Art. 15 der Datenschutz-Grundverordnung und gilt seit dem 25.05.2018. Die Firma muss bestätigen, ob sie personenbezogene Daten über dich verarbeitet, und dann die Daten selbst nennen, dazu Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft, deine Rechte samt Beschwerderecht und gegebenenfalls automatisierte Entscheidungen. Empfänger muss sie grundsätzlich mit Namen nennen, nicht nur als Gruppe (EuGH, C-154/21), und die Kopie muss originalgetreu und verständlich sein (EuGH, C-487/21).
Antworten muss die Firma unverzüglich, spätestens einen Monat nach Eingang; um zwei Monate verlängern darf sie nur bei komplexen oder vielen Anträgen und mit Begründung. Die erste Kopie ist kostenlos, und einen Grund für deine Anfrage darf niemand verlangen (EuGH, C-307/22). Offenkundig unbegründete oder übermäßige Anträge darf sie ablehnen, muss das aber nachweisen; laut EuGH-Urteil vom 19.03.2026 kann das bei nachgewiesener Missbrauchsabsicht schon für einen ersten Antrag gelten (C-526/24).
Weitere Nachweise darf die Firma nur bei begründeten Zweifeln an deiner Identität verlangen. Fragst du aus deinem angemeldeten Konto, ist eine Ausweiskopie nach Ansicht des Europäischen Datenschutzausschusses unverhältnismäßig. Beschweren kannst du dich kostenlos bei der Datenschutzaufsicht, etwa bei der Behörde deines Bundeslandes; ist sie nicht zuständig, gibt sie die Beschwerde weiter.