Jede Person kann erfragen, welche Daten BesluitBron über sie gespeichert hat, und deren Berichtigung oder Löschung verlangen. Seit dem 1.3.11 gibt es in der Verwaltungskonsole hierfür einen Bildschirm mit dem Titel „Personal data requests“. So geht man dabei vor.
Wo ein Antrag eingeht
Eine Anfrage geht unter der in der Datenschutzerklärung angegebenen Adresse ein. Es gibt bewusst kein Formular, über das jemand selbst eine Anfrage stellen kann. Ein solches Formular wäre bei einem Dienst ohne Benutzerkonten eine Möglichkeit, Daten zu einer von jemandem gewählten Adresse abzufragen, wobei erst im Nachhinein überprüft würde, wer die Anfrage gestellt hat.
Ein Administrator erfasst den Antrag manuell auf dem Bildschirm. Der Dienst berechnet daraufhin die Laufzeit von einem Monat und zeigt auf dem Dashboard an, wie viele Tage noch verbleiben.
Die Sprache der Antwort
Bei der Erfassung wählt der Sachbearbeiter die Sprache der Akte aus: Niederländisch oder Englisch. Diese Wahl ist für den Antrag verbindlich und bestimmt den gesamten Brief, vom Kopf bis zum letzten Feld. Wird die Akte später neu zusammengestellt, erscheint sie in derselben Sprache, auch wenn der Verwalter die Konsole inzwischen in einer anderen Sprache nutzt.
Es gibt zwei Sprachen und nicht sechzehn. Jeder Satz in einer solchen Akte ist handschriftlich verfasst. Ein maschinell übersetzter Text kann hier Fehler enthalten, die für den Leser nicht erkennbar sind, und genau aus diesem Grund sind die rechtlichen Seiten der Website in vier Sprachen verfügbar und nicht in sechzehn.
Zunächst feststellen, wer die Frage stellt
Es wird keine Akte angelegt, bevor festgestellt wurde, dass davon auszugehen ist, dass der Antragsteller der ist, für den er sich ausgibt. Dafür gibt es drei Gründe:
- Die Antwort wird an die E-Mail-Adresse gesendet, die bereits in der Abonnentendatei hinterlegt ist, und an keine andere Adresse;
- Der Antragsteller ist auf der Konsole angemeldet, das Konto ist also mit dieser Person verknüpft;
- Ein Behandler hält in einem Satz fest, warum er den Anspruch für begründet hält. Dies ist die Grundlage bei einem Antrag über ein Netzwerk oder eine Sitzung, da diese keine bestimmte Person benennen.
Eine Kopie eines Ausweises wird niemals gespeichert. Ein Dienst, der Pass-Scans sammelt, um die AVG einzuhalten, ist selbst zum größeren Problem geworden.
Was der Dienst dann tut
Der Bildschirm durchsucht alle Speicherorte des Dienstes: das Protokoll, die Fehlertabelle, die Abonnentendatei, die Konten, die Trace-Datei, die temporären Speicher im Arbeitsspeicher und das Verzeichnis der Anfragen selbst. Für jeden Speicher wird in der Akte vermerkt, wozu dieser Speicher dient, auf welcher Rechtsgrundlage er geführt wird, wie lange er aufbewahrt wird, was gefunden wurde und was bei einem Löschantrag geschieht.
Es wird nur nach ganzen Werten gesucht, niemals nach einem Teil davon. Es wird nicht nach Namen gesucht, und es wird nicht in den Registern gesucht, auf die BesluitBron Zugriff gewährt: Ein Name in einem Ratsdokument oder einem Urteil gehört zu der Verwaltungsbehörde oder dem Gericht, die bzw. das es veröffentlicht hat, und nicht zu diesem Dienst. Siehe Openbaarheid en Persoonsgegevens.
Was nicht bereitgestellt wird
Bezieht sich eine Anfrage ausschließlich auf eine IP-Adresse, wird gezählt und beschrieben, was dort steht, ohne dass der Inhalt dieser Zeilen preisgegeben wird. Die erfasste Adresse wurde auf ein Netzwerk verkürzt, und dieses Netzwerk wird von vielen Personen gemeinsam genutzt. Die Weitergabe des Inhalts würde dazu führen, dass auch der Datenverkehr anderer Personen offengelegt würde.
Kann ein Datensatz nicht gelesen werden, wird dies in der Akte vermerkt. Eine leere Antwort, die in Wirklichkeit auf eine Störung zurückzuführen war, darf nicht als „es gibt nichts“ interpretiert werden.
Was gespeichert wird
Die Akte wird im Datenordner abgelegt, und zwar in einem Ordner pro Antrag, zusammen mit der Antwort im JSON-Format und einem Entwurf für ein Schreiben. Die Akte wird neunzig Tage nach Abschluss des Antrags gelöscht. Was verbleibt, ist der Eintrag im Register: was angefragt wurde, auf welcher Grundlage, von wem die Bearbeitung erfolgte und ein Hashwert der versendeten Akte. Damit lässt sich im Nachhinein nachweisen, dass eine Antwort erteilt wurde, ohne die Antwort selbst aufzubewahren.
Der Bildschirm und das Verzeichnis benötigen eine Datenbank, die ab Version 1.3.73 immer vorhanden ist, da der Dienst ohne sie nicht startet. Bis einschließlich Version 1.3.72 meldete der Bildschirm, dass keine Datenbank vorhanden sei. Ein Protokoll darüber, wer was angefordert hat, gehört nicht in eine separate Datei. Befindet sich noch eine alte Protokolldatei aus der Zeit vor der Umstellung vorhanden, wird diese bei einer Anfrage mitgelesen, damit die Antwort vollständig bleibt.
Was eine Löschanfrage bewirkt
Zu jedem Eintrag gibt es eine Bewertung mit einer Begründung:
- Der Abonnentenstamm: Die Adresse wird gelöscht. Sie dient ausschließlich dem Versand von Nachrichten und zu keinem anderen Zweck;
- das Protokoll und die Trace-Datei: Es gibt keinen Eintrag, der einer bestimmten Person zugeordnet werden kann, und der Speicher räumt sich selbst auf. Die Datei enthält das Datum, an dem der letzte Eintrag gelöscht wurde;
- Die Fehlertabelle: Das Gleiche gilt auch hier, außer bei einer Meldung, die als Angriff eingestuft wurde. Diese bleibt bis zum Ablauf ihrer Frist bestehen, und das wird ausdrücklich erwähnt, anstatt stillschweigend übergangen zu werden;
- Ein Konto: Dieses wird auf Anfrage nicht gelöscht, solange es existiert, da es dazu dient, diese Installation zu verwalten.