Deine Datenschutzrechte durchsetzen

Welche Rechte habe ich über meine Daten?

Du hast sechs handfeste Rechte, die jedes Unternehmen und jede Behörde in der EU erfüllen muss. Die Datenschutz-Grundverordnung, kurz DSGVO, gibt sie dir seit 2018, und sie gelten für die Krankenkasse genauso wie für den Online-Shop oder das soziale Netzwerk. Das wichtigste ist das Auskunftsrecht: Du darfst erfahren, ob und welche Daten über dich gespeichert sind, woher sie stammen und an wen sie weitergegeben wurden (Art. 15 DSGVO).

Dazu kommen fünf weitere. Du kannst falsche Angaben berichtigen lassen (Art. 16), die Löschung verlangen, wenn die Daten nicht mehr gebraucht werden oder unrechtmäßig verarbeitet wurden (Art. 17, das sogenannte Recht auf Vergessenwerden), die Verarbeitung vorübergehend einschränken lassen (Art. 18), deine Daten in einem gängigen Format mitnehmen und zu einem anderen Anbieter übertragen (Art. 20) und der Verarbeitung widersprechen, besonders bei Werbung (Art. 21). Eine einmal gegebene Einwilligung darfst du jederzeit widerrufen (Art. 7 Absatz 3), ohne Grund und mit Wirkung für die Zukunft.

Wie stelle ich einen Auskunftsantrag?

Ein Auskunftsantrag ist formlos, du brauchst kein Formular und keinen Anwalt. Eine E-Mail oder ein Brief genügt, in dem du klar sagst, dass du Auskunft nach Art. 15 DSGVO verlangst. Nenne deinen Namen und, falls vorhanden, deine Kundennummer, damit das Unternehmen dich zuordnen kann. Du musst deinen Antrag nicht begründen.

Verlange am besten gleich alles auf einmal: eine Kopie aller über dich gespeicherten Daten, die Zwecke der Verarbeitung, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer und die Herkunft der Daten, falls sie nicht von dir stammen. Das Unternehmen darf deine Identität prüfen, wenn begründete Zweifel bestehen, etwa durch eine Rückfrage. Es darf aber nicht mehr Daten von dir verlangen, als es ohnehin schon hat, nur um dich zu identifizieren.

Wie schnell muss das Unternehmen antworten, und was kostet mich das?

Die Antwort muss unverzüglich kommen, spätestens aber innerhalb eines Monats nach Eingang deines Antrags (Art. 12 Absatz 3 DSGVO). Nur bei besonders komplexen oder zahlreichen Anfragen darf das Unternehmen die Frist um bis zu zwei weitere Monate verlängern, muss dich darüber aber innerhalb des ersten Monats informieren und den Grund nennen.

Kosten entstehen dir keine. Die erste Auskunft und die erste Kopie deiner Daten sind kostenlos (Art. 12 Absatz 5 DSGVO). Nur für weitere Kopien darf ein angemessenes Entgelt verlangt werden, und nur bei offenkundig unbegründeten oder exzessiven Anfragen, etwa bei ständiger Wiederholung, darf das Unternehmen eine Gebühr nehmen oder die Bearbeitung verweigern. Für den Normalfall gilt: eine Anfrage, eine kostenlose Auskunft.

Das Unternehmen ignoriert mich. Was jetzt?

Wenn die Frist verstreicht oder die Antwort unvollständig ist, hast du einen starken nächsten Schritt: die Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO). Diese Behörde geht der Sache nach, kann das Unternehmen befragen, zur Auskunft zwingen und bei Verstößen Bußgelder verhängen. Für dich ist die Beschwerde kostenlos und formlos. Sie ist damit oft der bequemste Weg, dein Recht durchzusetzen, ganz ohne eigene Klage.

Welche Behörde zuständig ist, hängt davon ab, gegen wen sich deine Beschwerde richtet. Bei privaten Unternehmen ist es die Datenschutzbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Du kannst dich aber auch an die Aufsicht deines eigenen Wohnsitzlandes wenden, die leitet weiter. Bei Bundesbehörden, Telekommunikations- und Postdiensten ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, kurz BfDI, zuständig.

1. Sammle deine Nachweise: den ausgehenden Antrag, das Versanddatum und die Antwort des Unternehmens oder den Beleg, dass keine kam.
2. Suche die Aufsichtsbehörde am Sitz des Unternehmens oder an deinem Wohnsitz. Fast alle bieten ein Online-Beschwerdeformular.
3. Schildere kurz und sachlich, welches Recht du geltend gemacht hast, wann, und was das Unternehmen falsch gemacht hat.
4. Warte die Rückmeldung ab. Die Behörde muss dich über den Stand und das Ergebnis deiner Beschwerde unterrichten.

Kann ich Schadensersatz bekommen?

Ja, bei einem Datenschutzverstoß kann dir Schadensersatz zustehen, und zwar nicht nur für einen finanziellen Schaden, sondern auch für den immateriellen (Art. 82 DSGVO). Der Bundesgerichtshof hat am 18. November 2024 in einem Grundsatzurteil zum Facebook-Datenleck (Aktenzeichen VI ZR 10/24) entschieden, dass schon der bloße Verlust der Kontrolle über die eigenen Daten ein ersatzfähiger Schaden ist. Du musst also nicht beweisen, dass jemand deine Daten missbraucht hat. Es reicht, dass du die Kontrolle darüber verloren hast.

Die Höhe fällt meist überschaubar aus. Der BGH nannte für den reinen Kontrollverlust eine Größenordnung von etwa 100 Euro. Das ist kein Vermögen, aber es setzt Unternehmen unter Druck, weil bei einem großen Datenleck schnell Tausende Betroffene zusammenkommen. Für dich als Einzelnen lohnt sich der Aufwand vor Gericht selten allein wegen der Summe, wohl aber über gebündelte Verfahren. Verbraucherverbände können solche Ansprüche in einer Sammel- oder Abhilfeklage bündeln, sodass du dich anschließt, statt selbst zu klagen. Willst du dennoch einzeln vorgehen, hilft der Ratgeber zum Zivilverfahren beim Einordnen von Kosten und Ablauf.

Werbung stoppen und Daten mitnehmen

Zwei Rechte sind im Alltag besonders nützlich und werden trotzdem selten genutzt. Das erste ist der Werbewiderspruch. Gegen Direktwerbung kannst du jederzeit widersprechen, und das Unternehmen muss dann sofort damit aufhören (Art. 21 Absatz 2 und 3 DSGVO). Anders als bei anderen Widersprüchen braucht es hier keine Abwägung: Bei Werbung gewinnst immer du. Ein Satz per E-Mail genügt, etwa "Ich widerspreche der Verarbeitung meiner Daten für Werbezwecke". Ab dann sind Newsletter, Kataloge und Telefonwerbung zu unterlassen.

Das zweite ist die Datenübertragbarkeit (Art. 20 DSGVO). Du kannst die Daten, die du einem Anbieter selbst gegeben hast, in einem gängigen, maschinenlesbaren Format herausverlangen und zu einem anderen Dienst mitnehmen. Das hilft beim Wechsel, etwa von einem Streamingdienst, einer Fitness-App oder einem E-Mail-Anbieter zum nächsten. Auf Wunsch muss der alte Anbieter die Daten sogar direkt an den neuen übertragen, soweit das technisch machbar ist.

Automatisierte Entscheidungen und Scoring

Ein Recht, das immer wichtiger wird, betrifft Entscheidungen, die eine Maschine allein trifft. Du hast das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die dir gegenüber rechtliche Wirkung entfaltet oder dich erheblich beeinträchtigt (Art. 22 DSGVO). Das betrifft zum Beispiel ein automatisch abgelehntes Darlehen oder eine Bonitätsbewertung, den sogenannten Score. Beim Scoring darfst du erfahren, welche Kriterien einfließen, und eine menschliche Überprüfung verlangen.

Das ist auch deshalb wichtig, weil ein automatisiertes System Menschen benachteiligen kann, ohne dass jemand es beabsichtigt. Führt ein Score oder ein Algorithmus dazu, dass du wegen deiner Herkunft, deines Wohnorts oder deines Geschlechts schlechter behandelt wirst, berührt das nicht nur den Datenschutz, sondern auch den Schutz vor Diskriminierung. Beide Wege lassen sich nebeneinander gehen: die Datenschutzbeschwerde bei der Aufsicht und die Beschwerde wegen Benachteiligung.

Wo deine Rechte an Grenzen stoßen

Deine Datenschutzrechte sind stark, aber nicht grenzenlos. Eine Löschung scheitert, wenn gesetzliche Aufbewahrungspflichten greifen: Rechnungen und steuerlich relevante Unterlagen müssen Unternehmen zum Beispiel jahrelang aufbewahren, hier werden die Daten gesperrt statt gelöscht. Auch die Auskunft kann eingeschränkt sein, wenn dadurch Rechte anderer Personen verletzt würden, etwa wenn in einem Dokument auch Daten Dritter stecken.

Trotzdem gilt: Die Ausnahme muss das Unternehmen begründen, nicht du deinen Anspruch. Ein pauschales "geht nicht" oder "aus technischen Gründen leider nicht möglich" reicht nicht. Verlangt das Unternehmen eine Begründung von dir oder verweist es dich ab, ohne die Rechtsgrundlage zu nennen, ist genau das der Moment für die Beschwerde bei der Aufsichtsbehörde. Wenn du bei der Durchsetzung Unterstützung brauchst, zeigt der Ratgeber zur Rechtsberatung, wo du sie günstig findest.

Auch Behörden, Arbeitgeber und Ärzte sind gebunden

Die Datenschutzrechte gelten nicht nur gegenüber Unternehmen. Auch dein Arbeitgeber, deine Krankenkasse, eine Arztpraxis und jede Behörde müssen dir Auskunft geben und deine Daten schützen. Du darfst also auch von der öffentlichen Verwaltung wissen, welche Daten sie über dich führt, und die Berichtigung falscher Angaben verlangen. Bei Behörden ist im Zweifel der oder die Datenschutzbeauftragte der Stelle die erste Anlaufstelle, danach die zuständige Aufsichtsbehörde. Auch hier gilt die Monatsfrist für die Auskunft und der Grundsatz, dass die Ausnahme die Stelle begründen muss, nicht du deinen Anspruch.

Häufige Fragen