Datenschutz in Deutschland: Ihre Rechte im Überblick (2026)

Datenschutz ist in Deutschland ein Grundrecht. Als Bürgerin oder Bürger stehen Ihnen umfassende Rechte zu, wenn Unternehmen, Behörden oder andere Stellen Ihre personenbezogenen Daten verarbeiten. Dieser Leitfaden zeigt Ihnen im Detail, welche Rechte Sie nach DSGVO und Bundesdatenschutzgesetz (BDSG) haben – und wie Sie diese praktisch durchsetzen.

Was bedeutet Datenschutz in Deutschland?

Datenschutz in Deutschland bezeichnet den gesetzlichen Schutz personenbezogener Daten vor Missbrauch, unbefugter Verarbeitung und unrechtmäßiger Weitergabe. Er beruht auf dem Grundrecht auf informationelle Selbstbestimmung, das das Bundesverfassungsgericht 1983 im sogenannten Volkszählungsurteil begründet hat.

Die rechtliche Grundlage bilden heute vor allem zwei Regelwerke:

• Datenschutz-Grundverordnung (DSGVO): EU-weit gültige Verordnung, seit 25. Mai 2018 in Kraft.
• Bundesdatenschutzgesetz (BDSG): Nationale Ergänzung zur DSGVO mit deutschen Besonderheiten.

Hinzu kommen bereichsspezifische Regelungen wie das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), die Landesdatenschutzgesetze sowie das Sozialgesetzbuch.

Wer überwacht den Datenschutz in Deutschland?

Aufsichtsbehörden kontrollieren die Einhaltung der Datenschutzvorschriften. Zuständig sind:

• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI): Zuständig für Bundesbehörden und Telekommunikationsanbieter.
• Landesdatenschutzbeauftragte: In jedem Bundesland eine eigene Behörde für Unternehmen und Landesbehörden.

Die 8 wichtigsten Betroffenenrechte im Überblick

Die DSGVO gewährt Ihnen konkrete, einklagbare Rechte gegenüber jeder Stelle, die Ihre Daten verarbeitet. Diese Rechte sind kostenlos auszuüben und müssen innerhalb eines Monats beantwortet werden.

1. Recht auf Auskunft (Art. 15 DSGVO)

Sie können jederzeit erfahren, welche personenbezogenen Daten ein Unternehmen über Sie gespeichert hat. Die Auskunft muss folgende Informationen enthalten:

1. Verarbeitungszwecke
2. Kategorien der verarbeiteten Daten
3. Empfänger oder Kategorien von Empfängern
4. Geplante Speicherdauer
5. Herkunft der Daten (falls nicht bei Ihnen erhoben)
6. Hinweis auf Ihre weiteren Rechte

Die erste Auskunft ist kostenlos. Bei offenkundig unbegründeten oder exzessiven Anträgen darf das Unternehmen ein angemessenes Entgelt verlangen.

2. Recht auf Berichtigung (Art. 16 DSGVO)

Sind Ihre gespeicherten Daten unrichtig oder unvollständig, haben Sie Anspruch auf Berichtigung. Dies gilt zum Beispiel für:

• Falsch geschriebene Namen
• Veraltete Adressen
• Fehlerhafte Bonitätsdaten bei Auskunfteien wie der SCHUFA
• Unvollständige Kundendaten

3. Recht auf Löschung (Art. 17 DSGVO)

Auch bekannt als „Recht auf Vergessenwerden“. Sie können die Löschung Ihrer Daten verlangen, wenn:

• Der Verarbeitungszweck entfallen ist
• Sie Ihre Einwilligung widerrufen
• Die Daten unrechtmäßig verarbeitet wurden
• Sie erfolgreich Widerspruch eingelegt haben

Eine ausführliche Schritt-für-Schritt-Anleitung finden Sie in unserem Beitrag Recht auf Vergessenwerden: So stellen Sie den Antrag richtig.

4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Statt einer vollständigen Löschung können Sie eine „Sperrung“ Ihrer Daten verlangen. Diese werden dann nur noch gespeichert, aber nicht mehr aktiv verarbeitet. Sinnvoll ist dies etwa, wenn Sie die Richtigkeit bestreiten und die Prüfung läuft.

5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie können verlangen, dass Ihnen Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format (z. B. CSV oder JSON) ausgehändigt werden. Zudem können Sie fordern, dass die Daten direkt an einen anderen Anbieter übertragen werden – etwa beim Wechsel eines E-Mail-Providers oder sozialen Netzwerks.

6. Recht auf Widerspruch (Art. 21 DSGVO)

Gegen bestimmte Verarbeitungen können Sie jederzeit Widerspruch einlegen. Besonders wichtig:

• Direktwerbung: Absoluter Widerspruch – muss immer akzeptiert werden.
• Profiling für Werbezwecke: Ebenfalls uneingeschränkt widerrufbar.
• Verarbeitung auf Basis berechtigter Interessen: Bei nachweisbarer besonderer Situation.

7. Recht auf Nichtunterwerfung unter automatisierte Entscheidungen (Art. 22 DSGVO)

Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Sie erheblich beeinträchtigen, dürfen grundsätzlich nicht ohne Ihre Zustimmung getroffen werden. Beispiele: automatische Ablehnung eines Kreditantrags, algorithmische Bewerbungsauswahl.

8. Recht auf Beschwerde (Art. 77 DSGVO)

Sie haben jederzeit das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist die Landesdatenschutzbehörde in dem Bundesland, in dem Sie wohnen, arbeiten oder in dem der Vorfall stattgefunden hat.

Übersicht: Rechte, Fristen und Zuständigkeiten

Recht	Rechtsgrundlage	Antwortfrist	Kosten
Auskunft	Art. 15 DSGVO	1 Monat	Kostenlos (Erstauskunft)
Berichtigung	Art. 16 DSGVO	1 Monat	Kostenlos
Löschung	Art. 17 DSGVO	1 Monat	Kostenlos
Einschränkung	Art. 18 DSGVO	1 Monat	Kostenlos
Datenübertragbarkeit	Art. 20 DSGVO	1 Monat	Kostenlos
Widerspruch	Art. 21 DSGVO	Sofort	Kostenlos
Beschwerde	Art. 77 DSGVO	Nach Aufsichtsbehörde	Kostenlos

Die Frist kann bei komplexen Anträgen um zwei weitere Monate verlängert werden – das Unternehmen muss Sie darüber jedoch innerhalb des ersten Monats informieren.

So setzen Sie Ihre Rechte in der Praxis durch

Die theoretischen Rechte nützen wenig, wenn Sie nicht wissen, wie Sie sie praktisch geltend machen. Hier ist der bewährte Ablauf:

Schritt 1: Verantwortliche Stelle identifizieren

Prüfen Sie in der Datenschutzerklärung des Anbieters, wer Verantwortlicher im Sinne der DSGVO ist. Bei Konzernen kann dies eine andere Gesellschaft sein als der operative Anbieter.

Schritt 2: Antrag schriftlich formulieren

Ein formloser Antrag genügt. Wichtige Bestandteile:

1. Vollständiger Name und Adresse
2. Klare Bezugnahme auf das ausgeübte Recht (z. B. „Auskunft nach Art. 15 DSGVO“)
3. Genaue Beschreibung des Anliegens
4. Kontaktdaten für die Antwort
5. Frist zur Antwort (empfohlen: 4 Wochen)

Schritt 3: Identität nachweisen

Das Unternehmen darf Ihre Identität überprüfen, wenn begründete Zweifel bestehen. Übertriebene Anforderungen (z. B. Ausweiskopie ohne Notwendigkeit) sind jedoch unzulässig.

Schritt 4: Bei Nichtreaktion Beschwerde einlegen

Antwortet das Unternehmen nicht oder unzureichend, wenden Sie sich an die zuständige Datenschutzbehörde. Die Beschwerde ist kostenlos und formlos möglich.

Datenschutz im Internet: Wo lauern die größten Risiken?

Nicht jede Datenverarbeitung ist offensichtlich. Viele Risiken für Ihre Privatsphäre entstehen durch scheinbar harmlose Aktivitäten:

Tracking und Cookies

Nahezu jede Website setzt Cookies oder ähnliche Technologien ein. Seit dem Urteil des Bundesgerichtshofs (Planet49) und dem TDDDG ist für nicht-notwendige Cookies eine ausdrückliche Einwilligung erforderlich. Ein Cookie-Banner mit vorausgewählten Häkchen ist unzulässig.

Werbe-IDs und Fingerprinting

Auch ohne Cookies können Sie über Browser-Fingerprints, Werbe-IDs oder Geräteinformationen identifiziert werden. Achten Sie auf datenschutzfreundliche Browser-Einstellungen und deaktivieren Sie personalisierte Werbe-IDs in Ihren Geräteeinstellungen.

Weitergabe an Drittländer

Werden Ihre Daten in die USA oder andere Drittländer übermittelt, gelten besondere Anforderungen. Das EU-US Data Privacy Framework schafft seit 2023 eine neue Rechtsgrundlage – bleibt aber juristisch umstritten.

Getarnte Links und Weiterleitungen

Verkürzte Links in E-Mails, Social Media oder Messengern können Nutzer auf Phishing-Seiten oder Tracker-Fallen leiten. Ein transparenter, datenschutzfreundlicher URL-Kürzer wie Lunyb speichert nur die notwendigen Klickdaten und verzichtet auf umfangreiches Profiling. Einen Marktüberblick bietet unser Vergleich der URL-Kürzungsdienste 2026.

Besonderer Schutz für sensible Daten

Bestimmte Datenkategorien unterliegen einem besonders strengen Schutz nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich verboten und nur in engen Ausnahmefällen erlaubt.

• Rassische oder ethnische Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische und biometrische Daten
• Gesundheitsdaten
• Daten zum Sexualleben oder zur sexuellen Orientierung

Verstöße gegen die Verarbeitung sensibler Daten werden von den Aufsichtsbehörden besonders streng geahndet – mit Bußgeldern bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Datenschutz am Arbeitsplatz

Auch das Arbeitsverhältnis kennt umfassende Datenschutzrechte. Arbeitgeber dürfen nur solche Daten verarbeiten, die für das Beschäftigungsverhältnis erforderlich sind (§ 26 BDSG).

Was ist erlaubt?

• Verarbeitung von Personalstammdaten
• Zeiterfassung (Pflicht seit BAG-Urteil 2022)
• Berechtigte Kontrollmaßnahmen zur Aufdeckung von Straftaten

Was ist unzulässig?

• Heimliche Videoüberwachung
• Anlasslose E-Mail-Kontrolle
• Keylogger ohne konkreten Verdacht
• Detaillierte Bewegungsprofile ohne Rechtfertigung

Datenschutz und andere Länder: Ein kurzer Blick

Die DSGVO gilt EU-weit einheitlich, wird aber in jedem Mitgliedstaat national ergänzt. Vergleichen Sie hierzu unseren Leitfaden zum Datenschutzgesetz Österreich. Grundlegende Erklärungen zur DSGVO finden Sie in unserem Artikel DSGVO Einfach Erklärt 2026.

Praktische Tipps zum Selbstschutz

Über die gesetzlichen Rechte hinaus können Sie viel für Ihre Privatsphäre tun. Diese Maßnahmen wirken sofort:

1. Datenschutzfreundliche Browser einsetzen: Firefox, Brave oder LibreWolf mit strengen Tracking-Schutz-Einstellungen.
2. Verschlüsseltes DNS (DoH/DoT) nutzen: Verhindert, dass Ihr Internetanbieter Ihre besuchten Domains protokolliert.
3. Suchmaschinen ohne Tracking wählen: Alternativen wie Startpage oder MetaGer respektieren Ihre Privatsphäre.
4. Cookies regelmäßig löschen: Oder direkt beim Schließen des Browsers automatisch entfernen lassen.
5. Zwei-Faktor-Authentifizierung aktivieren: Schützt Konten selbst bei Passwort-Leaks.
6. Datensparsam anmelden: Nur wirklich notwendige Daten angeben, Wegwerf-Adressen für unwichtige Dienste nutzen.
7. Berechtigungen von Apps überprüfen: Standortzugriff, Kontakte und Mikrofon nur bei echtem Bedarf gewähren.

Wenn Sie regelmäßig Links teilen – etwa im Marketing oder für Kampagnen – lohnt sich der Einsatz eines datenschutzkonformen Kürzungsdienstes wie Lunyb. Weitere Informationen zu vergleichbaren Werkzeugen finden Sie in unserem Vergleich der besten Link-Tracking-Tools 2026.

Was tun bei einer Datenschutzverletzung?

Wurden Ihre Daten unrechtmäßig verarbeitet, gestohlen oder veröffentlicht, stehen Ihnen mehrere Wege offen:

1. Verantwortlichen kontaktieren: Klarstellung und Beseitigung fordern.
2. Aufsichtsbehörde einschalten: Beschwerde nach Art. 77 DSGVO einreichen.
3. Schadensersatz geltend machen: Nach Art. 82 DSGVO können Sie auch immateriellen Schadensersatz fordern.
4. Zivilrechtlich klagen: Bei erheblichen Schäden auch gerichtlich möglich.

Der EuGH hat 2023 klargestellt, dass bereits der Kontrollverlust über Daten einen ersatzfähigen Schaden begründen kann – auch ohne konkrete finanzielle Einbußen.

Häufig gestellte Fragen (FAQ)

Was kostet eine Auskunft nach Art. 15 DSGVO?

Die erste Auskunft ist grundsätzlich kostenlos. Nur bei offensichtlich unbegründeten oder exzessiven Anträgen – etwa mehrfachen Anfragen kurz hintereinander – darf das Unternehmen ein angemessenes Entgelt erheben oder die Auskunft verweigern.

Wie lange darf ein Unternehmen für die Antwort brauchen?

Grundsätzlich muss die Antwort innerhalb eines Monats erfolgen. Bei komplexen oder zahlreichen Anträgen kann die Frist um weitere zwei Monate verlängert werden. Das Unternehmen muss Sie darüber jedoch innerhalb des ersten Monats informieren, andernfalls liegt ein Verstoß vor.

An wen kann ich mich bei Beschwerden wenden?

Zuständig ist die Datenschutzaufsichtsbehörde Ihres Bundeslandes. Bei bundesweit tätigen Telekommunikations- oder Postunternehmen sowie Bundesbehörden ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) die richtige Anlaufstelle.

Habe ich Anspruch auf Schadensersatz bei Datenschutzverstößen?

Ja. Nach Art. 82 DSGVO haben Sie bei materiellen und immateriellen Schäden Anspruch auf Schadensersatz. Der EuGH hat entschieden, dass bereits Angst, Stress oder Kontrollverlust über die eigenen Daten einen ersatzfähigen Schaden darstellen können.

Gilt der Datenschutz auch für Unternehmen außerhalb der EU?

Ja. Die DSGVO gilt auch für Unternehmen mit Sitz außerhalb der EU, sofern sie Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von EU-Bürgern beobachten (Marktortprinzip). Betroffen sind praktisch alle großen Internetkonzerne weltweit.