Stand September 2026

Datenschutzrecht: DSGVO, Ihre Rechte und wie Sie sie durchsetzen

Seit dem 25. Mai 2018 gilt in der ganzen EU die Datenschutz-Grundverordnung (DSGVO); sie gibt jedem Menschen Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch gegenüber allen, die seine Daten verarbeiten. Wer gegen die DSGVO verstößt, schuldet Schadensersatz, auch für immaterielle Schäden, und Betroffene können sich kostenlos bei einer Datenschutzaufsichtsbehörde beschweren.^[1]

Geprüft am 29.09.2026 gegen Gesetzestext und amtliche Angaben · 3 Quellen · 6 Min. Lesezeit

Was ist Datenschutz?

Noch bevor man sich mit den juristischen Grundlagen des Datenschutzrechts befasst, sollte man sich mit dem Begriff Datenschutz auseinandersetzen. Der allgemeinen Definition folgend lässt sich dieser als Schutz des Rechts auf informationelle Selbstbestimmung beschreiben. Der Datenschutz soll zudem die Persönlichkeitsrechte im Zusammenhang mit der Datenverarbeitung schützen und einen Schutz vor Missbrauch bieten. In Zeiten zunehmender Digitalisierung hinterlassen Menschen immer mehr virtuelle Spuren, die sich zuweilen zu einem umfassenden Persönlichkeitsprofil zusammenfügen lassen.

Geschützt sind personenbezogene Daten, also alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen: Name, Anschrift und Geburtsdatum ebenso wie E-Mails, Fotos, Standortdaten, Online-Kennungen oder interne Vermerke über eine Person. Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine dieser Bedingungen erfüllt ist:^[1]

• die betroffene Person hat eingewilligt,
• die Verarbeitung ist für einen Vertrag mit ihr erforderlich,
• eine rechtliche Verpflichtung verlangt sie,
• sie schützt lebenswichtige Interessen,
• sie dient einer Aufgabe im öffentlichen Interesse,
• sie wahrt berechtigte Interessen des Verantwortlichen, sofern die Interessen der betroffenen Person nicht überwiegen.^[1]

Welche Gesetze gelten im Datenschutzrecht?

All diejenigen, die sich intensiver mit dem Datenschutzrecht befassen, wissen, dass nationale Vorschriften allein hier längst nicht mehr ausreichen. Die Richtlinie 95/46/EG wurde durch die Datenschutz-Grundverordnung abgelöst. Die Datenschutz-Grundverordnung, kurz EU-DSGVO, sorgt für eine europaweit einheitliche Basis für den Datenschutz. Seit dem 25. Mai 2018 gilt die DSGVO unmittelbar in allen Mitgliedstaaten; am gleichen Tag ist auch das neue Bundesdatenschutzgesetz (BDSG) in Kraft getreten.^[1]

Sogar die Kirchen unterliegen dem Datenschutz. Allerdings haben sie eigene kirchliche Datenschutzregelungen und eigene Datenschutzbeauftragte, ebenso der öffentlich-rechtliche Rundfunk.

Welche Rechte habe ich nach der DSGVO?

• Auskunft (Art. 15): Sie können verlangen zu erfahren, ob ein Unternehmen oder eine Behörde Daten über Sie verarbeitet, und wenn ja, welche, zu welchem Zweck, an wen sie weitergegeben wurden und wie lange sie gespeichert werden. Sie erhalten eine Kopie.
• Berichtigung (Art. 16): Falsche Daten müssen korrigiert werden.
• Löschung (Art. 17): Daten sind unverzüglich zu löschen, etwa wenn sie für den ursprünglichen Zweck nicht mehr nötig sind, wenn Sie Ihre Einwilligung widerrufen, wenn Sie wirksam widersprochen haben oder wenn sie unrechtmäßig verarbeitet wurden. Ein wesentlicher Aspekt, der auch in den Medien große Beachtung fand, ist das Recht auf Vergessenwerden. In der Datenschutz-Grundverordnung der EU kommt dieses Recht als Recht auf Löschung in Artikel 17 zum Ausdruck.
• Widerspruch (Art. 21): Gegen eine Verarbeitung aus berechtigtem Interesse können Sie aus Gründen Ihrer besonderen Situation widersprechen, gegen Direktwerbung jederzeit und ohne Begründung.^[1]

Der Verantwortliche muss Ihnen unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags antworten. Nur bei komplexen Anträgen kann er die Frist um zwei Monate verlängern und muss das innerhalb des ersten Monats mitteilen.^[1]

Die Auskunft erfordert keine Begründung und ist grundsätzlich kostenlos; für die erste Kopie dürfen keine Kosten verlangt werden. Stellen Sie den Antrag am besten schriftlich. Bei begründeten Zweifeln an Ihrer Identität darf der Verantwortliche einen Nachweis verlangen.

Brauchen Websites für Cookies eine Einwilligung?

Ja, grundsätzlich. Das Speichern von Informationen auf Ihrem Gerät und der Zugriff darauf, etwa durch Cookies, sind nur zulässig, wenn Sie auf der Grundlage klarer und umfassender Informationen eingewilligt haben. Die Einwilligung richtet sich nach der DSGVO, muss also freiwillig, informiert und eindeutig sein.^[2]

Ohne Einwilligung erlaubt sind nur Speicherungen, die unbedingt erforderlich sind, damit ein ausdrücklich gewünschter digitaler Dienst funktioniert, etwa der Warenkorb im Onlineshop oder die Speicherung Ihrer Spracheinstellung, sowie solche, die allein der Übertragung einer Nachricht dienen.^[2]

Geregelt ist das im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), das früher TTDSG hieß. Seriöse Online-Anbieter veröffentlichen eine Datenschutzerklärung, die im Englischen als Privacy Policy bezeichnet wird. So kann man der Datenschutzerklärung entnehmen, welche personenbezogenen Daten erhoben werden, zu welchem Zweck und an wen sie weitergegeben werden.

Wer kontrolliert den Datenschutz?

Die Einhaltung überwachen unabhängige Aufsichtsbehörden:

• die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) für Bundesbehörden und einige Unternehmen, etwa im Bereich Telekommunikation und Post,
• die Landesdatenschutzbeauftragten für Landesbehörden und die meisten Unternehmen, Vereine und Verbände in ihrem Land,
• eigene Datenschutzbeauftragte bei Kirchen und im öffentlich-rechtlichen Rundfunk.

Jede betroffene Person hat das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Wohnorts, ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Die Beschwerde ist formlos möglich.^[1]

In Unternehmen sorgen zudem betriebliche Datenschutzbeauftragte für die Einhaltung. Sie müssen benannt werden, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Der Datenschutzbeauftragte kann intern als Mitarbeiter tätig sein oder extern beauftragt werden.

Habe ich Anspruch auf Schadensersatz bei einem Datenschutzverstoß?

Jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.^[1]

Der Bundesgerichtshof hat am 18. November 2024 im Fall des Datenlecks bei Facebook entschieden: Schon der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden sein. Weder muss es zu einem konkreten Missbrauch der Daten gekommen sein noch bedarf es sonstiger spürbarer negativer Folgen. Für den bloßen Kontrollverlust hielt der BGH einen Ausgleich in einer Größenordnung von 100 Euro für vertretbar.^[3]

Der Verstoß allein genügt aber nicht; Sie müssen darlegen, dass Ihnen durch ihn ein Schaden entstanden ist, und sei es der Kontrollverlust. Höhere Beträge kommen in Betracht, wenn Daten tatsächlich missbraucht wurden oder besonders sensible Daten betroffen sind.

Datenschutz im Arbeitsverhältnis und im Mietverhältnis

Der Arbeitgeber darf Daten seiner Beschäftigten verarbeiten, wenn dies für die Entscheidung über die Einstellung oder für die Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist. Beruht die Verarbeitung auf einer Einwilligung, ist die Abhängigkeit im Arbeitsverhältnis bei der Frage zu berücksichtigen, ob sie freiwillig war. Welche Fragen im Bewerbungsgespräch zulässig sind, erklärt Welche Fragen sind beim Arbeitsvertrag zulässig?.

Auch Vermieter dürfen vor Vertragsschluss nur Daten erheben, die sie für die Entscheidung über den Mietvertrag wirklich brauchen. Was in eine Mieterselbstauskunft gehört, steht unter Welche Fragen darf der Vermieter stellen?. Wie Foren mit Nutzerdaten umgehen müssen und wann sie Daten herausgeben, erklärt Foren und Recht.

Auch wenn der Datenschutz in Deutschland sehr weit reicht, kann er die Verbraucher nicht von ihrer Eigenverantwortung entbinden. Gerade in sozialen Netzwerken geben Nutzer oft freiwillig Daten von sich preis, die eigentlich niemanden etwas angehen.

Wer ist zuständig?

Häufige Fragen

• Was sind personenbezogene Daten?

  Alle Informationen, die sich einer bestimmten oder bestimmbaren Person zuordnen lassen, etwa Name, Anschrift, Telefonnummer, Kontodaten, Fotos, Standortdaten oder Kundennummern. Anonyme Statistiken ohne Personenbezug fallen nicht darunter.

• Darf ein Unternehmen für die Auskunft Geld verlangen?

  Nein, die Auskunft und die erste Kopie sind kostenlos. Ein Entgelt ist nur bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt, etwa bei ständiger Wiederholung.

• Gilt die DSGVO auch für Privatpersonen?

  Nicht für rein persönliche oder familiäre Tätigkeiten, etwa das private Adressbuch. Wer aber eine öffentliche Website betreibt, Videokameras auf die Straße richtet oder Fotos anderer im Internet veröffentlicht, muss die Regeln beachten.

• Wie hoch sind Bußgelder bei Datenschutzverstößen?

  Die Aufsichtsbehörden können Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes eines Unternehmens verhängen, je nachdem, welcher Betrag höher ist.

Auch interessant: Medienrecht und IT-Recht

Quellen

1. Datenschutz-Grundverordnung (DSGVO), Textausgabe der BfDI (INFO 1)
2. Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), § 25
3. Bundesgerichtshof, Pressemitteilung Nr. 218/2024 zum Urteil VI ZR 10/24 vom 18. November 2024