Datenschutz in Deutschland: Ihre Rechte im Überblick 2026

Datenschutz ist in Deutschland kein abstraktes Konzept, sondern ein durchsetzbares Grundrecht. Seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 und der Anpassung des Bundesdatenschutzgesetzes (BDSG) verfügen Bürgerinnen und Bürger über umfassende Rechte gegenüber Unternehmen, Behörden und Plattformbetreibern. Doch viele Menschen kennen diese Rechte nicht – oder wissen nicht, wie sie sie konkret geltend machen können.

Dieser Leitfaden zeigt Ihnen, welche Datenschutzrechte Sie in Deutschland haben, wie Sie diese Schritt für Schritt durchsetzen und an welche Stellen Sie sich bei Verstößen wenden können.

Die rechtlichen Grundlagen des Datenschutzes in Deutschland

Der Datenschutz in Deutschland basiert auf einem mehrstufigen Rechtsrahmen, der europäisches und nationales Recht miteinander verzahnt. Ziel ist es, das Recht auf informationelle Selbstbestimmung zu schützen, das vom Bundesverfassungsgericht bereits 1983 im sogenannten Volkszählungsurteil als Grundrecht anerkannt wurde.

DSGVO – das europäische Fundament

Die DSGVO gilt seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar. Sie regelt, wie personenbezogene Daten verarbeitet werden dürfen, und definiert die zentralen Betroffenenrechte in den Artikeln 12 bis 22. Verstöße können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden.

Bundesdatenschutzgesetz (BDSG)

Das BDSG ergänzt die DSGVO und regelt nationale Besonderheiten, etwa im Beschäftigtendatenschutz, bei Videoüberwachung oder bei der Verarbeitung durch Sicherheitsbehörden. Es gilt zusammen mit den Landesdatenschutzgesetzen der 16 Bundesländer.

Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG)

Seit Dezember 2021 regelt das TTDSG den Datenschutz bei Telemedien und insbesondere den Einsatz von Cookies. Es setzt die ePrivacy-Richtlinie um und verpflichtet Website-Betreiber, vor dem Setzen nicht-essenzieller Cookies eine ausdrückliche Einwilligung einzuholen.

Ihre Datenschutzrechte nach DSGVO im Detail

Die DSGVO gewährt jedem Betroffenen acht zentrale Rechte. Diese gelten gegenüber jedem Verantwortlichen, der Ihre Daten verarbeitet – vom Onlineshop über die Krankenkasse bis zum sozialen Netzwerk.

1. Recht auf Information (Art. 13 und 14 DSGVO)

Sie müssen bei der Erhebung Ihrer Daten transparent darüber informiert werden, wer Ihre Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet. Diese Informationen finden Sie typischerweise in der Datenschutzerklärung einer Website oder eines Dienstes.

2. Recht auf Auskunft (Art. 15 DSGVO)

Sie können jederzeit kostenlos erfragen, ob und welche Daten ein Unternehmen über Sie gespeichert hat. Die Auskunft muss innerhalb eines Monats erfolgen und folgende Angaben enthalten:

Verarbeitungszwecke
Kategorien der verarbeiteten Daten
Empfänger oder Empfängerkategorien
Geplante Speicherdauer
Herkunft der Daten, sofern nicht bei Ihnen erhoben
Bestehen automatisierter Entscheidungsfindung

3. Recht auf Berichtigung (Art. 16 DSGVO)

Sind gespeicherte Daten unrichtig oder unvollständig, haben Sie Anspruch auf unverzügliche Korrektur. Das gilt etwa für falsche Adressen, veraltete Telefonnummern oder fehlerhafte Schufa-Einträge.

4. Recht auf Löschung – das „Recht auf Vergessenwerden" (Art. 17 DSGVO)

Unter bestimmten Voraussetzungen müssen Ihre Daten gelöscht werden, zum Beispiel wenn:

der Zweck der Verarbeitung entfallen ist
Sie Ihre Einwilligung widerrufen
die Daten unrechtmäßig verarbeitet wurden
eine gesetzliche Löschpflicht besteht

Wichtig: Dem Löschrecht stehen oft gesetzliche Aufbewahrungspflichten entgegen, etwa nach Handels- oder Steuerrecht (bis zu 10 Jahre).

5. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Statt einer Löschung können Sie verlangen, dass Daten nur noch eingeschränkt verarbeitet werden – etwa während einer Streitigkeit über deren Richtigkeit.

6. Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und an einen anderen Anbieter übertragen. Das erleichtert etwa den Wechsel des E-Mail-Anbieters oder sozialen Netzwerks.

7. Recht auf Widerspruch (Art. 21 DSGVO)

Gegen die Verarbeitung Ihrer Daten zu Direktwerbung können Sie jederzeit ohne Begründung Widerspruch einlegen. Bei anderen Verarbeitungen auf Grundlage berechtigter Interessen müssen Sie besondere Gründe nennen.

8. Recht auf Nicht-Unterwerfung unter automatisierte Entscheidungen (Art. 22 DSGVO)

Entscheidungen mit rechtlicher Wirkung – etwa eine automatische Kreditablehnung durch ein Scoring-System – dürfen nicht ausschließlich automatisiert erfolgen. Sie haben Anspruch auf menschliche Überprüfung.

So setzen Sie Ihre Rechte praktisch durch

Die theoretischen Rechte nützen wenig, wenn Sie nicht wissen, wie Sie diese in der Praxis geltend machen. Folgen Sie diesen Schritten:

Verantwortlichen identifizieren: Suchen Sie im Impressum oder in der Datenschutzerklärung den Datenschutzbeauftragten oder die verantwortliche Stelle.
Antrag formulieren: Stellen Sie Ihren Antrag schriftlich – per E-Mail oder Brief. Geben Sie eindeutig an, welches Recht Sie geltend machen.
Identität nachweisen: Das Unternehmen darf bei berechtigten Zweifeln einen Identitätsnachweis verlangen, jedoch nur in zumutbarem Umfang.
Frist setzen: Die Antwort muss innerhalb eines Monats erfolgen, in Ausnahmefällen verlängerbar um zwei Monate.
Bei Verstoß Beschwerde einreichen: Wenden Sie sich an die zuständige Datenschutzaufsichtsbehörde.

Musterformulierung für ein Auskunftsersuchen

„Sehr geehrte Damen und Herren, hiermit mache ich von meinem Auskunftsrecht nach Art. 15 DSGVO Gebrauch. Ich bitte Sie, mir Auskunft über alle zu meiner Person gespeicherten Daten sowie die nach Art. 15 Abs. 1 lit. a–h DSGVO geforderten Informationen innerhalb eines Monats zukommen zu lassen."

Die Aufsichtsbehörden in Deutschland

Bei Datenschutzverstößen können Sie sich kostenfrei an eine Aufsichtsbehörde wenden. Welche zuständig ist, hängt davon ab, ob es sich um eine private oder öffentliche Stelle und um welches Bundesland es sich handelt.

Bereich	Zuständige Behörde	Beispielfälle
Bundesbehörden, Telekommunikation, Post	BfDI (Bundesbeauftragte/r für den Datenschutz und die Informationsfreiheit)	Deutsche Post, Telekom, Bundespolizei
Private Unternehmen	Landesdatenschutzbehörde des jeweiligen Bundeslandes	Onlineshops, Arbeitgeber, Vereine
Landesbehörden, Kommunen	Landesdatenschutzbehörde	Bürgerämter, Schulen, Stadtverwaltung
Kirchen	Kirchliche Datenschutzaufsicht	Pfarrämter, kirchliche Arbeitgeber

Die BfDI ist auch zentrale Anlaufstelle für grenzüberschreitende Fälle und arbeitet eng mit dem Europäischen Datenschutzausschuss zusammen.

Besondere Datenkategorien und ihr Schutz

Bestimmte Datenarten genießen nach Art. 9 DSGVO einen besonderen Schutz. Ihre Verarbeitung ist grundsätzlich verboten und nur in eng definierten Ausnahmefällen erlaubt.

Besonders schutzwürdige Daten

Rassische und ethnische Herkunft
Politische Meinungen
Religiöse oder weltanschauliche Überzeugungen
Gewerkschaftszugehörigkeit
Genetische und biometrische Daten
Gesundheitsdaten
Daten zum Sexualleben oder zur sexuellen Orientierung

Diese Daten dürfen nur mit ausdrücklicher Einwilligung oder auf Grundlage spezieller gesetzlicher Erlaubnisnormen verarbeitet werden – etwa im Gesundheitswesen oder bei lebenswichtigen Interessen.

Datenschutz im Alltag: Praktische Anwendungsfälle

Datenschutz am Arbeitsplatz

Der Beschäftigtendatenschutz ist in § 26 BDSG geregelt. Arbeitgeber dürfen nur die Daten erheben, die für das Arbeitsverhältnis erforderlich sind. Verdeckte Videoüberwachung ist nur bei konkretem Verdacht auf Straftaten zulässig. Auch die Überwachung von E-Mails und Internetnutzung unterliegt strengen Voraussetzungen.

Datenschutz bei Onlinediensten

Beim Surfen im Netz hinterlassen Sie zwangsläufig Datenspuren. Achten Sie auf folgende Punkte:

Cookie-Banner: Lehnen Sie nicht-essenzielle Cookies ab, wenn Sie diese nicht wünschen.
Datenschutzerklärung lesen: Besonders bei der Anmeldung neuer Dienste.
Datenminimierung: Geben Sie nur Pflichtfelder an.
Privatsphäre-Einstellungen prüfen: Bei sozialen Netzwerken regelmäßig kontrollieren.

Wenn Sie Links teilen oder verkürzen, achten Sie auf datenschutzfreundliche Dienste. Anbieter wie Lunyb bieten beispielsweise URL-Kürzung mit DSGVO-konformer Datenverarbeitung und transparenten Statistiken – ohne Weitergabe an Drittparteien für Werbezwecke. Einen umfassenden Vergleich finden Sie in unserem Artikel Beste URL-Kürzungsdienste 2026.

Schutz vor QR-Code-Betrug und Phishing

Eine wachsende Bedrohung für Ihre Daten sind manipulierte QR-Codes (Quishing). Wie Sie sich konkret schützen, erfahren Sie in unserem Leitfaden QR-Code-Betrug: So schützen Sie sich vor Quishing 2026.

Datenschutz bei Behörden

Auch Behörden müssen DSGVO und BDSG einhalten. Sie haben das Recht zu erfahren, welche Daten dort über Sie gespeichert sind. Eine Ausnahme gilt nur, wenn überwiegende öffentliche Interessen entgegenstehen – etwa bei laufenden Ermittlungen.

Bußgelder und Sanktionen bei Verstößen

Datenschutzverstöße können erhebliche Folgen haben. Die deutschen Aufsichtsbehörden haben seit 2018 Bußgelder in dreistelliger Millionenhöhe verhängt. Bekannte Fälle:

Unternehmen	Bußgeld	Verstoß
Notebooksbilliger.de	10,4 Mio. €	Unzulässige Videoüberwachung von Mitarbeitern
1&1 Telecom	9,55 Mio. €	Unzureichende Authentifizierung in Hotline
Deutsche Wohnen	14,5 Mio. €	Unzulässige Datenspeicherung von Mietern
H&M	35,3 Mio. €	Ausspähung von Beschäftigten

Neben Bußgeldern können Betroffene auch Schadensersatz nach Art. 82 DSGVO geltend machen – auch für immaterielle Schäden wie Kontrollverlust oder Diskriminierung.

Datenschutz im internationalen Vergleich

Deutschland gilt als eines der Länder mit dem strengsten Datenschutz weltweit. Im Vergleich zu Drittländern – etwa den USA – bietet die DSGVO deutlich umfassendere Rechte. Auch innerhalb Europas gibt es Unterschiede: Wie sich etwa der Schweizer Datenschutz vom deutschen unterscheidet, lesen Sie in DSG vs DSGVO: Die Unterschiede verstehen. Für Leser in Österreich empfehlen wir den Beitrag Online-Privatsphäre in Österreich schützen.

Praktische Tipps zur Stärkung Ihres Datenschutzes

Datenschutz ist nicht nur eine Aufgabe für Behörden und Unternehmen, sondern auch für jeden Einzelnen. Mit diesen Maßnahmen schützen Sie Ihre Daten effektiv:

Starke, einzigartige Passwörter verwenden: Idealerweise mit einem Passwort-Manager.
Zwei-Faktor-Authentifizierung aktivieren: Wo immer möglich, insbesondere bei E-Mail und Onlinebanking.
Verschlüsseltes DNS nutzen: DoH (DNS over HTTPS) oder DoT erschweren das Mitlesen Ihrer Anfragen.
Privatsphäre-fokussierte Browser: Firefox mit erweitertem Tracking-Schutz oder Brave bieten mehr Kontrolle.
Regelmäßige Datenschutz-Audits: Prüfen Sie einmal jährlich, welche Konten Sie noch aktiv nutzen, und löschen Sie ungenutzte.
Auskunftsersuchen stellen: Fragen Sie bei großen Plattformen nach, welche Daten gespeichert sind.
Werbe-Tracking unterbinden: Adblocker und Anti-Tracking-Erweiterungen einsetzen.

Häufig gestellte Fragen (FAQ)

Wie lange darf ein Unternehmen meine Daten speichern?

Die Speicherdauer richtet sich nach dem Zweck der Verarbeitung und gesetzlichen Aufbewahrungspflichten. Steuerlich relevante Unterlagen müssen 10 Jahre, Handelsbriefe 6 Jahre aufbewahrt werden. Sobald der Zweck entfällt und keine Aufbewahrungspflicht mehr besteht, müssen Daten gelöscht werden.

Kostet ein Auskunftsersuchen nach Art. 15 DSGVO Gebühren?

Nein, die erste Auskunft ist kostenlos. Nur bei offensichtlich unbegründeten oder exzessiven Anfragen darf eine angemessene Gebühr verlangt oder die Bearbeitung verweigert werden. Bei wiederholten Anfragen kann ebenfalls eine Bearbeitungsgebühr anfallen.

Was kann ich tun, wenn ein Unternehmen mein Auskunftsersuchen ignoriert?

Wenn das Unternehmen nach Ablauf der Monatsfrist nicht reagiert, können Sie eine Beschwerde bei der zuständigen Landesdatenschutzbehörde einreichen. Diese ist kostenlos und kann mit Bußgeldern oder Anordnungen reagieren. Zusätzlich besteht die Möglichkeit, zivilrechtlich Schadensersatz zu fordern.

Gelten meine Datenschutzrechte auch gegenüber Unternehmen außerhalb der EU?

Ja, sofern das Unternehmen seine Dienste in der EU anbietet oder das Verhalten von EU-Bürgern beobachtet (Marktortprinzip nach Art. 3 DSGVO). Diese Unternehmen müssen einen EU-Vertreter benennen, an den Sie sich wenden können. Die Durchsetzung kann in der Praxis allerdings schwieriger sein.

Darf mein Arbeitgeber meine E-Mails am Arbeitsplatz lesen?

Das hängt davon ab, ob private Nutzung erlaubt ist. Ist sie verboten und wird diese Regel auch tatsächlich gelebt, darf der Arbeitgeber dienstliche E-Mails grundsätzlich einsehen. Bei erlaubter Privatnutzung gilt das Fernmeldegeheimnis und der Arbeitgeber darf E-Mails nur mit Zustimmung oder bei konkretem Verdacht prüfen.

Was ist der Unterschied zwischen Datenschutzbeauftragtem und Datenschutzbehörde?

Der Datenschutzbeauftragte ist eine interne Stelle im Unternehmen oder in der Behörde, die die Einhaltung des Datenschutzes überwacht und Ansprechpartner für Betroffene ist. Die Datenschutzbehörde ist eine staatliche Aufsicht, die Beschwerden bearbeitet, Bußgelder verhängt und Verstöße ahndet.

Fazit

Deutschland verfügt über einen der weltweit umfassendsten Datenschutzrahmen. Die DSGVO in Verbindung mit dem BDSG gibt Ihnen weitreichende Rechte – vom Auskunftsanspruch über das Recht auf Löschung bis zur Beschwerde bei der Aufsichtsbehörde. Entscheidend ist, dass Sie diese Rechte auch tatsächlich nutzen. Schon ein einfaches Auskunftsersuchen kann offenbaren, wie viele Daten Unternehmen über Sie gespeichert haben, und Ihnen die Kontrolle zurückgeben.

Datenschutz ist kein Luxus, sondern ein Grundrecht. Werden Sie aktiv: Prüfen Sie regelmäßig Ihre Datenspuren, nutzen Sie datenschutzfreundliche Dienste und scheuen Sie sich nicht, bei Verstößen die Aufsichtsbehörden einzuschalten. Nur so bleibt die informationelle Selbstbestimmung in der digitalen Welt eine gelebte Realität.