Datenschutzrechte gegenüber spanischen Behörden und Unternehmen

Ein Auskunftsantrag an eine spanische Behörde ist nicht dasselbe wie ein Antrag auf Einsicht in eine Verwaltungsakte. Eine Löschungsforderung gegenüber einer Bank wirkt anders als gegenüber einem privaten Newsletter. Und Datenübertragbarkeit bedeutet nicht, dass jede Behörde sämtliche Akten in ein Wunschformat exportieren muss. Datenschutzrechte sind wirksam, wenn das konkrete Recht zur konkreten Verarbeitung passt.

Das Wichtigste im Überblick

• Ansprechpartner ist der Verantwortliche: Nicht automatisch der IT-Dienstleister, Sachbearbeiter oder Plattformbetreiber entscheidet über den Antrag.
• Ein Monat ist die Grundfrist: Der Verantwortliche muss grundsätzlich innerhalb eines Monats reagieren. Bei Komplexität oder vielen Anträgen sind bis zu zwei weitere Monate möglich, wenn Verlängerung und Gründe im ersten Monat mitgeteilt werden.
• Anträge sind grundsätzlich kostenlos: Nur bei offenkundig unbegründeten oder exzessiven, insbesondere häufig wiederholten Anträgen kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden.
• Identität darf geprüft werden: Zusätzliche Angaben dürfen verlangt werden, wenn begründete Zweifel bestehen. Eine vollständige Ausweiskopie ist aber nicht automatisch für jeden Antrag erforderlich.
• Auskunft umfasst mehr als eine Datenkopie: Dazu gehören Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft und Informationen über automatisierte Entscheidungen.
• Löschung ist nicht absolut: Gesetzliche Pflichten, öffentliche Aufgaben, Meinungs- und Informationsfreiheit, Forschung, Archivierung und Rechtsansprüche können entgegenstehen.
• Portabilität ist eng begrenzt: Sie gilt grundsätzlich bei Einwilligung oder Vertrag und automatisierter Verarbeitung, nicht für jede Akte oder hoheitliche Aufgabe.
• Widerspruch wirkt je nach Zweck: Gegen Direktwerbung kann jederzeit widersprochen werden; bei berechtigtem Interesse oder öffentlicher Aufgabe ist eine Interessen- beziehungsweise Zwingendheitsprüfung erforderlich.
• Behördenaktenzugang ist ein anderes Recht: Beteiligtenrechte nach dem spanischen Verwaltungsverfahrensgesetz können zusätzlich oder anstelle der DSGVO relevant sein.
• Polizei- und Strafverfolgungsdaten haben Sonderrecht: Für zuständige Behörden gilt in vielen Fällen die Ley Orgánica 7/2021 statt des normalen DSGVO-Regimes.
• Bei nicht erfüllten Rechten zuerst zum Verantwortlichen: Bei nicht beantwortetem oder abgelehntem Antrag kann eine Beschwerde mit Antrag, Zugangsbeleg und Antwort eingereicht werden.

1. Zuerst den Verantwortlichen finden

Der Verantwortliche bestimmt Zwecke und wesentliche Mittel der Verarbeitung. Bei einem Unternehmen ist dies der konkrete Rechtsträger, nicht nur die Marke. Bei einer Behörde kann es die Gemeinde, das Ministerium, eine autonome Behörde oder eine öffentliche Einrichtung sein.

Die Identität findet sich regelmäßig in:

• Datenschutzerklärung;
• Verwaltungsformular oder Bescheid;
• Vertrag und Rechnung;
• E-Mail-Signatur;
• Register- oder Impressumsangaben;
• Information nach Artikel 13 oder 14 DSGVO.

Viele Stellen benennen einen Datenschutzbeauftragten. Er ist Kontaktstelle und überwacht die Einhaltung, wird aber nicht selbst zum Verantwortlichen. Der Antrag darf an den offiziellen Datenschutzkontakt oder einen eindeutig zuständigen Kanal gerichtet werden.

2. Form, Identität und Nachweis

Die DSGVO schreibt kein einziges Formular vor. Der Antrag sollte jedoch enthalten:

1. Name und geeignete Kontaktdaten;
2. das konkret ausgeübte Recht;
3. betroffene Kunden-, Akten-, Vertrags- oder Vorgangsnummern;
4. Zeitraum und Datenkategorien, soweit bekannt;
5. gewünschte Form der Antwort;
6. Identitätsnachweis nur im erforderlichen Umfang;
7. Datum und nachweisbare Übermittlung.

Wird der Antrag elektronisch gestellt, soll die Antwort grundsätzlich ebenfalls elektronisch erfolgen, sofern nichts anderes gewünscht wird. Der Verantwortliche muss die Ausübung erleichtern. Er darf den Antrag nicht allein deshalb zurückweisen, weil ein internes Formular nicht benutzt wurde. Eine Artikelnummer ist nicht erforderlich. Ein Auskunftsantrag kann sich auch auf sämtliche eigenen personenbezogenen Daten beziehen.

Bei berechtigten Zweifeln an der Identität darf er zusätzliche Informationen verlangen. Das ist besonders wichtig, weil eine Auskunft selbst hochsensible Daten offenlegt. Die Prüfung muss verhältnismäßig sein: Kennt die Bank den Kunden über den authentisierten Onlinebereich, kann eine zusätzliche ungeschwärzte Passkopie unnötig sein.

3. Frist und Kosten

Artikel 12 Absatz 3 DSGVO setzt grundsätzlich eine Monatsfrist ab Eingang des Antrags. Der Verantwortliche kann bei Komplexität oder Anzahl der Anträge um höchstens zwei weitere Monate verlängern. Er muss die betroffene Person innerhalb des ersten Monats über Verlängerung und Gründe informieren.

Ergreift er keine Maßnahmen, muss er ebenfalls binnen eines Monats die Gründe und die Möglichkeit einer Aufsichtsbeschwerde oder eines gerichtlichen Rechtsbehelfs mitteilen. Schweigen ist keine zulässige Standardreaktion.

Die Bearbeitung ist grundsätzlich kostenlos. Bei offenkundig unbegründeten oder exzessiven Anträgen kann ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt oder die Bearbeitung verweigert werden. Die Beweislast für diesen Ausnahmefall trägt der Verantwortliche. Ein umfangreicher Antrag ist nicht allein deshalb exzessiv.

4. Recht auf Information

Artikel 13 und 14 DSGVO verpflichten zur Information, wenn Daten bei der Person selbst oder aus anderen Quellen erhoben werden. Typische Angaben sind:

• Verantwortlicher und Datenschutzbeauftragter;
• Zwecke und Rechtsgrundlagen;
• berechtigte Interessen, soweit genutzt;
• Empfänger;
• Drittlandübermittlungen;
• Speicherdauer oder Kriterien;
• Betroffenenrechte;
• Beschwerderecht;
• Pflicht zur Bereitstellung und Folgen der Nichtbereitstellung;
• Quelle der Daten;
• automatisierte Entscheidungen.

Eine allgemeine Datenschutzerklärung darf nicht so abstrakt sein, dass die konkrete Verarbeitung verborgen bleibt. Bei Behörden muss insbesondere die öffentliche Aufgabe oder Rechtsgrundlage nachvollziehbar bezeichnet werden.

5. Auskunft nach Artikel 15 DSGVO

Die betroffene Person kann bestätigen lassen, ob Daten verarbeitet werden, und Auskunft über die Verarbeitung verlangen. Dazu gehören die in Artikel 15 Absätze 1 und 2 genannten Kontextinformationen und eine Kopie der personenbezogenen Daten.

Was die Auskunft typischerweise umfasst

• Stammdaten und Kontaktdaten;
• Vertrags- und Vorgangsdaten;
• Kommunikationsinhalte, soweit personenbezogen;
• interne Vermerke mit Personenbezug;
• grundsätzlich die konkreten Empfänger; Empfängerkategorien genügen, wenn der Betroffene dies wählt, die Empfänger nicht identifiziert werden können oder der Verantwortliche einen offenkundig unbegründeten oder exzessiven Antrag nachweist;
• Datenherkunft;
• Speicherdauer;
• aussagekräftige Informationen zu automatisierten Entscheidungen.

Was sie nicht automatisch umfasst

Das Auskunftsrecht ist kein allgemeines Recht auf sämtliche Originaldokumente, Geschäftsgeheimnisse oder Daten anderer Personen. Eine verständliche Kopie der eigenen personenbezogenen Daten muss aber so vollständig sein, dass die Verarbeitung nachvollzogen werden kann. Rechte und Freiheiten Dritter dürfen nicht dazu benutzt werden, jede interne Information pauschal zurückzuhalten; gegebenenfalls ist zu schwärzen oder zu erklären.

Die erste Kopie ist grundsätzlich kostenlos. Für weitere Kopien kann unter den gesetzlichen Bedingungen ein angemessenes Entgelt verlangt werden.

6. Berichtigung und Vervollständigung

Unrichtige personenbezogene Daten sind unverzüglich zu berichtigen. Unvollständige Daten können unter Berücksichtigung des Zwecks ergänzt werden, auch durch eine ergänzende Erklärung.

Der Antrag sollte nicht nur „Daten falsch“ sagen, sondern die falsche Angabe, die richtige Angabe und einen geeigneten Nachweis benennen. Bei Meinungen oder Bewertungen ist zwischen objektiv falscher Tatsachengrundlage und einer zulässigen Einschätzung zu unterscheiden. Ein Betroffener kann nicht jede ihm ungünstige fachliche Beurteilung durch Berichtigung entfernen lassen, wohl aber falsche Tatsachen korrigieren und eine Gegendarstellung verlangen, soweit dies für Richtigkeit und Kontext erforderlich ist.

7. Löschung – Recht auf Vergessenwerden

Artikel 17 DSGVO nennt Löschungsgründe, insbesondere:

• Daten sind für den Zweck nicht mehr notwendig;
• Einwilligung wird widerrufen und es fehlt eine andere Grundlage;
• erfolgreicher Widerspruch;
• unrechtmäßige Verarbeitung;
• gesetzliche Löschungspflicht;
• bestimmte Daten von Kindern bei Diensten der Informationsgesellschaft.

Wichtige Ausnahmen

Löschung kann ausgeschlossen sein, soweit Verarbeitung notwendig ist für:

• Meinungs- und Informationsfreiheit;
• rechtliche Verpflichtung oder öffentliche Aufgabe;
• öffentliche Gesundheit;
• im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschung oder Statistik nach Artikel 89 Absatz 1, soweit die Löschung diese Ziele voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen würde;
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Eine spanische Steuerbehörde muss daher nicht eine rechtmäßig geführte Steuerakte löschen, nur weil der Steuerpflichtige dies verlangt. Ein Unternehmen darf Daten wegen gesetzlicher Buchführungs- oder Geldwäschefristen weiter sperrend aufbewahren. Es muss aber prüfen, ob aktive Nutzung, Marketing und Zugriff weiterhin erforderlich sind.

8. Einschränkung der Verarbeitung

Einschränkung bedeutet, dass gespeicherte Daten grundsätzlich nur noch begrenzt verarbeitet werden. Sie kommt etwa in Betracht, wenn:

• die Richtigkeit bestritten wird und geprüft werden muss;
• die Verarbeitung unrechtmäßig ist, der Betroffene aber keine Löschung will;
• der Verantwortliche die Daten nicht mehr benötigt, der Betroffene sie für Rechtsansprüche braucht;
• ein Widerspruch geprüft wird.

Eingeschränkte Daten dürfen – abgesehen von Speicherung – grundsätzlich nur mit Einwilligung, für Rechtsansprüche, zum Schutz anderer Personen oder aus wichtigem öffentlichen Interesse verarbeitet werden. Vor Aufhebung der Einschränkung ist die betroffene Person zu informieren.

9. Datenübertragbarkeit

Artikel 20 DSGVO erlaubt, selbst bereitgestellte Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und gegebenenfalls direkt an einen anderen Verantwortlichen übertragen zu lassen. Voraussetzungen sind grundsätzlich:

• Verarbeitung beruht auf Einwilligung oder Vertrag;
• Verarbeitung erfolgt automatisiert;
• Rechte und Freiheiten anderer werden nicht beeinträchtigt.

Portabilität gilt nicht für eine Verarbeitung, die zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Sie umfasst auch nicht automatisch alle abgeleiteten Profile, internen Analysen oder Papierakten. Bei einem privaten Fitnessdienst kann sie Trainings- und Nutzerdaten erfassen; bei einer kommunalen Steuerakte ist sie regelmäßig nicht das passende Instrument.

10. Widerspruch und Direktwerbung

Bei Verarbeitung aufgrund öffentlichen Interesses oder berechtigter Interessen kann die betroffene Person aus Gründen ihrer besonderen Situation widersprechen. Der Verantwortliche muss die Verarbeitung einstellen, es sei denn, er weist zwingende schutzwürdige Gründe nach, die Interessen und Rechte überwiegen, oder benötigt die Daten für Rechtsansprüche.

Gegen Verarbeitung für Direktwerbung kann jederzeit widersprochen werden. Dann dürfen die Daten für diesen Zweck nicht mehr verarbeitet werden. Dieser Widerspruch verlangt keine besondere persönliche Begründung. Profiling, soweit es mit Direktwerbung zusammenhängt, ist eingeschlossen.

11. Automatisierte Entscheidungen

Artikel 22 schützt vor einer ausschließlich automatisierten Entscheidung, die rechtliche Wirkung entfaltet oder ähnlich erheblich beeinträchtigt. Ausnahmen bestehen insbesondere bei Vertragsnotwendigkeit, gesetzlicher Zulassung mit Schutzmaßnahmen oder ausdrücklicher Einwilligung.

Soweit eine Ausnahme greift, müssen regelmäßig geeignete Garantien bestehen, insbesondere das Recht auf menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung. Nicht jede algorithmische Unterstützung ist eine ausschließlich automatisierte Entscheidung. Entscheidend ist, ob ein Mensch tatsächlich und mit Entscheidungsspielraum prüft.

Besondere Kategorien dürfen nur unter den zusätzlichen gesetzlichen Voraussetzungen in automatisierte Entscheidungen einfließen.

12. Besonderheiten gegenüber spanischen Behörden

Behörden verarbeiten Daten häufig aufgrund gesetzlicher Pflicht oder öffentlicher Aufgabe. Das verändert nicht die Transparenz- und Auskunftspflichten, begrenzt aber Löschung, Widerspruch und Portabilität.

Datenschutzrecht versus Akteneinsicht

Wer Beteiligter eines spanischen Verwaltungsverfahrens ist, hat nach der Ley 39/2015 eigene Rechte auf Kenntnis des Verfahrensstands, Zugang zu Dokumenten und Erhalt von Kopien. Diese Rechte dienen der Verfahrensverteidigung und können weiter oder anders reichen als Artikel 15 DSGVO. Umgekehrt ersetzt die DSGVO keinen Rechtsbehelf gegen einen Bescheid.

Ein sinnvoller Antrag benennt deshalb beide Ebenen getrennt:

• Datenschutz-Auskunft über eigene verarbeitete Daten;
• Akteneinsicht als Beteiligter;
• Berichtigung objektiv falscher Daten;
• fachlicher oder rechtlicher Rechtsbehelf gegen die Entscheidung.

Polizei und Strafverfolgung

Verarbeiten zuständige Behörden Daten zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder zur Strafvollstreckung, kann die Ley Orgánica 7/2021 gelten. Rechte, Einschränkungen und Aufsicht folgen dann dem speziellen Regime. Ein normaler DSGVO-Text darf nicht ungeprüft auf eine Polizeidatei übertragen werden.

13. Beschwerde bei der AEPD

Die AEPD verlangt für eine Beschwerde über nicht erfüllte Rechte regelmäßig, dass der Betroffene das Recht zuvor gegenüber dem Verantwortlichen ausgeübt hat. Eine Beschwerde ist möglich, wenn eine fristgerechte Antwort ausbleibt oder die erteilte Antwort unzureichend ist. Beizufügen sind:

• ursprünglicher Antrag;
• Nachweis des Eingangs;
• Antwort oder Nachweis des Schweigens;
• relevante Identitäts- und Vorgangsdaten;
• konkrete Beschreibung der Verletzung;
• gewünschte Abhilfe.

Eine Beschwerde ist kein Ersatz für zivil-, arbeits-, steuer- oder verwaltungsrechtliche Rechtsbehelfe. Geht es zugleich um Schadensersatz, Vertragskündigung oder Aufhebung eines Bescheids, sind zusätzliche Wege zu prüfen.

Bei grenzüberschreitender Verarbeitung innerhalb der EU kann das System der federführenden Aufsichtsbehörde eingreifen. Die betroffene Person kann sich grundsätzlich auch an die Aufsicht ihres Aufenthaltsorts wenden; die Behörden koordinieren die Zuständigkeit.

14. Muster für einen präzisen Antrag

Ich übe gegenüber [Verantwortlicher] mein Recht auf [Auskunft/Berichtigung/Löschung/Einschränkung/Portabilität/Widerspruch] nach Artikel [Nummer] DSGVO aus. Betroffen ist der Vorgang [Nummer] im Zeitraum [Zeitraum]. Konkret verlange ich [präzise Beschreibung]. Bitte antworten Sie elektronisch an [Adresse]. Soweit Sie zusätzliche Identitätsangaben benötigen oder den Antrag ganz oder teilweise ablehnen, bitte ich um eine begründete Mitteilung innerhalb der gesetzlichen Frist einschließlich Beschwerdemöglichkeit.

Bei einer Behörde kann ergänzt werden, dass parallel Akteneinsicht nach der Ley 39/2015 begehrt wird. Der Antrag sollte in einer Sprache gestellt werden, die die Stelle sicher bearbeiten kann; in Spanien ist eine spanische Fassung praktisch regelmäßig sinnvoll.

15. Praxisbeispiele

Beispiel 1: Bank löscht das Konto, aber nicht alle Daten

Nach Kontoschließung verlangt der Kunde vollständige Löschung. Die Bank darf Daten weiter aufbewahren, soweit gesetzliche Pflichten oder Rechtsansprüche dies erfordern. Sie muss jedoch Marketing beenden, Zugriffe beschränken und erklären, welche Kategorien bis wann auf welcher Grundlage gespeichert bleiben.

Beispiel 2: Gemeindeakte enthält falsche Adresse

Die Person beantragt Berichtigung der Adresse und zugleich Akteneinsicht. Datenschutz-Berichtigung korrigiert den falschen Personenbezug; ein Rechtsbehelf kann zusätzlich nötig sein, wenn ein Bescheid wegen der falschen Adresse angefochten werden soll.

Beispiel 3: Plattform verweigert Auskunft wegen Geschäftsgeheimnis

Die Plattform darf Rechte Dritter und Geschäftsgeheimnisse schützen, darf die personenbezogenen Daten aber nicht pauschal zurückhalten. Sie kann geeignete Erläuterungen oder geschwärzte Kopien bereitstellen.

16. Typische Fehler

• den Antrag an eine Marke statt den verantwortlichen Rechtsträger zu senden.
• gleichzeitig „alle Rechte“ ohne konkretes Ziel auszuüben.
• Löschung zu verlangen, obwohl eigentlich Berichtigung oder Widerspruch gegen Werbung gemeint ist.
• Datenportabilität für Papierakten oder hoheitliche Verfahren zu verlangen.
• eine Ausweiskopie mit mehr Daten als nötig unverschlüsselt zu versenden.
• Monatsfrist und Verlängerungsmitteilung nicht zu dokumentieren.
• bei einer AEPD-Beschwerde über nicht erfüllte Betroffenenrechte keinen nachweisbaren vorherigen Antrag an den Verantwortlichen vorzulegen.
• Datenschutzbeschwerde mit einem Rechtsbehelf gegen den Inhalt eines Bescheids zu verwechseln.
• Polizeidaten ungeprüft nach dem allgemeinen DSGVO-Regime zu behandeln.

17. Häufige Fragen

Muss ein spanisches Unternehmen auf Deutsch antworten?

Die DSGVO schreibt keine allgemeine Pflicht zur Antwort in jeder gewünschten Sprache vor. Die Information muss verständlich sein. Bei einem gezielt deutschsprachigen Angebot kann eine deutschsprachige Kommunikation naheliegen; rechtssicher ist häufig eine spanische Fassung.

Darf immer eine Passkopie verlangt werden?

Nein. Identitätsprüfung muss erforderlich und verhältnismäßig sein. Bei begründeten Zweifeln sind zusätzliche Informationen zulässig, aber unnötige Daten sollten geschwärzt werden.

Wann beginnt die Monatsfrist?

Grundsätzlich mit Eingang des Antrags beim Verantwortlichen. Muss wegen begründeter Zweifel die Identität geklärt werden, kann die Bearbeitung von der notwendigen Identifizierung abhängen; die Stelle darf dies nicht als Verzögerungstaktik missbrauchen.

Kann eine Behörde meine Daten auf Wunsch löschen?

Nur wenn ein Löschungsgrund besteht und keine gesetzliche Pflicht, öffentliche Aufgabe, Archivierung oder Rechtsverteidigung entgegensteht. Häufig ist Berichtigung, Einschränkung oder ein verfahrensrechtlicher Rechtsbehelf passender.

Muss ich vor der AEPD einen Anwalt einschalten?

Nein. Eine Beschwerde kann selbst eingereicht werden. Bei parallelen Schadensersatz-, Steuer-, Arbeits- oder Verwaltungsfragen kann anwaltliche Beratung dennoch erforderlich sein.

Amtliche Quellen und Rechtsstand

Rechtsstand und letzter Quellenabgleich: 16. September 2026.

Verwendet wurden die folgenden amtlichen Primärquellen und offiziellen Verfahrensinformationen:

1. Europäische Union – Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, amtliche spanische Veröffentlichung im BOE. Fundstelle/Locator: Art. 12–22 und Art. 77–79. Prüfstand: 16. September 2026. URL: https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807
2. Agencia Estatal Boletín Oficial del Estado – Ley Orgánica 3/2018 über Datenschutz und digitale Rechte. Fundstelle/Locator: Art. 12–18 zu den Betroffenenrechten. Prüfstand: 16. September 2026. URL: https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673
3. Agencia Española de Protección de Datos – Übersicht: Betroffenenrechte ausüben. Fundstelle/Locator: Information, Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität, Widerspruch und automatisierte Entscheidungen. Prüfstand: 16. September 2026. URL: https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
4. Agencia Española de Protección de Datos – Antwortfrist bei Ausübung von Datenschutzrechten. Fundstelle/Locator: Ein Monat; Verlängerung um bis zu zwei Monate mit Mitteilung im ersten Monat. Prüfstand: 16. September 2026. URL: https://www.aepd.es/preguntas-frecuentes/1-tus-derechos/2-tus-derechos-de-proteccion-de-datos/FAQ-0106-cual-es-el-plazo-para-responder-cuando-se-ejercitan-estos-derechos
5. Agencia Española de Protección de Datos – Wie die AEPD helfen kann. Fundstelle/Locator: Vorherige Rechtsausübung; Beschwerde bei Fristversäumnis oder unzureichender Antwort. Prüfstand: 16. September 2026. URL: https://www.aepd.es/la-agencia/en-que-podemos-ayudarte
6. Agencia Española de Protección de Datos – Beschwerde wegen Verletzung personenbezogener Daten. Fundstelle/Locator: Einreichung, Unterlagen und Verfahrensweg. Prüfstand: 16. September 2026. URL: https://www.aepd.es/preguntas-frecuentes/13-reclamaciones/FAQ-1301-como-puedo-interponer-una-reclamacion-si-han-vulnerado-mis-datos-de-caracter-personal
7. Agencia Estatal Boletín Oficial del Estado – Ley 39/2015 über das gemeinsame Verwaltungsverfahren. Fundstelle/Locator: Art. 13 und 53 zu Rechten und Aktenzugang. Prüfstand: 16. September 2026. URL: https://www.boe.es/buscar/act.php?id=BOE-A-2015-10565
8. Agencia Estatal Boletín Oficial del Estado – Ley Orgánica 7/2021 über Datenverarbeitung zu Strafverfolgungszwecken. Fundstelle/Locator: Sonderregime für zuständige Behörden und Betroffenenrechte. Prüfstand: 16. September 2026. URL: https://www.boe.es/buscar/act.php?id=BOE-A-2021-8806
9. Europäischer Datenschutzausschuss – Guidelines 01/2022, Version 2.1, zum Auskunftsrecht. Fundstelle/Locator: Rn. 35, 47–48 und 117. Prüfstand: 16. September 2026. URL: https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf

Gesetzesänderungen, neue Verwaltungsanweisungen, Übergangsregelungen und die konkrete Gestaltung des Einzelfalls können zu einem anderen Ergebnis führen. Vor einer fristgebundenen, vermögensrelevanten oder grenzüberschreitenden Umsetzung ist der aktuelle Norm- und Verfahrensstand erneut zu prüfen.