Deine Datenschutzrechte durchsetzen

Welche Rechte habe ich über meine Daten?

Du hast sechs handfeste Rechte, die jedes Unternehmen und jede Behörde in der EU erfüllen muss. Die Datenschutz-Grundverordnung, kurz DSGVO, gibt sie dir seit 2018, und sie gelten für die Krankenkasse genauso wie für den Online-Shop oder das soziale Netzwerk. Das wichtigste ist das Auskunftsrecht: Du darfst erfahren, ob und welche Daten über dich gespeichert sind, woher sie stammen und an wen sie weitergegeben wurden (Art. 15 DSGVO).

Dazu kommen fünf weitere. Du kannst falsche Angaben berichtigen lassen (Art. 16), die Löschung verlangen, wenn die Daten nicht mehr gebraucht werden oder unrechtmäßig verarbeitet wurden (Art. 17, das sogenannte Recht auf Vergessenwerden), die Verarbeitung vorübergehend einschränken lassen (Art. 18), deine Daten in einem gängigen Format mitnehmen und zu einem anderen Anbieter übertragen (Art. 20) und der Verarbeitung widersprechen, besonders bei Werbung (Art. 21). Eine einmal gegebene Einwilligung darfst du jederzeit widerrufen (Art. 7 Absatz 3), ohne Grund und mit Wirkung für die Zukunft.

Wie stelle ich einen Auskunftsantrag?

Ein Auskunftsantrag ist formlos, du brauchst kein Formular und keinen Anwalt. Eine E-Mail oder ein Brief genügt, in dem du klar sagst, dass du Auskunft nach Art. 15 DSGVO verlangst. Nenne deinen Namen und, falls vorhanden, deine Kundennummer, damit das Unternehmen dich zuordnen kann. Du musst deinen Antrag nicht begründen.

Verlange am besten gleich alles auf einmal: eine Kopie aller über dich gespeicherten Daten, die Zwecke der Verarbeitung, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer und die Herkunft der Daten, falls sie nicht von dir stammen. Das Unternehmen darf deine Identität prüfen, wenn begründete Zweifel bestehen, etwa durch eine Rückfrage. Es darf aber nicht mehr Daten von dir verlangen, als es ohnehin schon hat, nur um dich zu identifizieren.

Wie schnell muss das Unternehmen antworten, und was kostet mich das?

Die Antwort muss unverzüglich kommen, spätestens aber innerhalb eines Monats nach Eingang deines Antrags (Art. 12 Absatz 3 DSGVO). Nur bei besonders komplexen oder zahlreichen Anfragen darf das Unternehmen die Frist um bis zu zwei weitere Monate verlängern, muss dich darüber aber innerhalb des ersten Monats informieren und den Grund nennen.

Kosten entstehen dir keine. Die erste Auskunft und die erste Kopie deiner Daten sind kostenlos (Art. 12 Absatz 5 DSGVO). Nur für weitere Kopien darf ein angemessenes Entgelt verlangt werden, und nur bei offenkundig unbegründeten oder exzessiven Anfragen, etwa bei ständiger Wiederholung, darf das Unternehmen eine Gebühr nehmen oder die Bearbeitung verweigern. Für den Normalfall gilt: eine Anfrage, eine kostenlose Auskunft.

Das Unternehmen ignoriert mich. Was jetzt?

Wenn die Frist verstreicht oder die Antwort unvollständig ist, hast du einen starken nächsten Schritt: die Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO). Diese Behörde geht der Sache nach, kann das Unternehmen befragen, zur Auskunft zwingen und bei Verstößen Bußgelder verhängen. Für dich ist die Beschwerde kostenlos und formlos.

Welche Behörde zuständig ist, hängt davon ab, gegen wen sich deine Beschwerde richtet. Bei privaten Unternehmen ist es die Datenschutzbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Du kannst dich aber auch an die Aufsicht deines eigenen Wohnsitzlandes wenden, die leitet weiter. Bei Bundesbehörden, Telekommunikations- und Postdiensten ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, kurz BfDI, zuständig.

1. Sammle deine Nachweise: den ausgehenden Antrag, das Versanddatum und die Antwort des Unternehmens oder den Beleg, dass keine kam.
2. Suche die Aufsichtsbehörde am Sitz des Unternehmens oder an deinem Wohnsitz. Fast alle bieten ein Online-Beschwerdeformular.
3. Schildere kurz und sachlich, welches Recht du geltend gemacht hast, wann, und was das Unternehmen falsch gemacht hat.
4. Warte die Rückmeldung ab. Die Behörde muss dich über den Stand und das Ergebnis deiner Beschwerde unterrichten.

Kann ich Schadensersatz bekommen?

Ja, bei einem Datenschutzverstoß kann dir Schadensersatz zustehen, und zwar nicht nur für einen finanziellen Schaden, sondern auch für den immateriellen (Art. 82 DSGVO). Der Bundesgerichtshof hat am 18. November 2024 in einem Grundsatzurteil zum Facebook-Datenleck (Aktenzeichen VI ZR 10/24) entschieden, dass schon der bloße Verlust der Kontrolle über die eigenen Daten ein ersatzfähiger Schaden ist. Du musst also nicht beweisen, dass jemand deine Daten missbraucht hat. Es reicht, dass du die Kontrolle darüber verloren hast.

Die Höhe fällt meist überschaubar aus. Der BGH nannte für den reinen Kontrollverlust eine Größenordnung von etwa 100 Euro. Das ist kein Vermögen, aber es setzt Unternehmen unter Druck, weil bei einem großen Datenleck schnell Tausende Betroffene zusammenkommen. Für dich als Einzelnen lohnt sich der Aufwand vor Gericht selten allein wegen der Summe, wohl aber über gebündelte Verfahren und Musterklagen.

Werbung stoppen und Daten mitnehmen

Zwei Rechte sind im Alltag besonders nützlich und werden trotzdem selten genutzt. Das erste ist der Werbewiderspruch. Gegen Direktwerbung kannst du jederzeit widersprechen, und das Unternehmen muss dann sofort damit aufhören (Art. 21 Absatz 2 und 3 DSGVO). Anders als bei anderen Widersprüchen braucht es hier keine Abwägung: Bei Werbung gewinnst immer du. Ein Satz per E-Mail genügt, etwa "Ich widerspreche der Verarbeitung meiner Daten für Werbezwecke". Ab dann sind Newsletter, Kataloge und Telefonwerbung zu unterlassen.

Das zweite ist die Datenübertragbarkeit (Art. 20 DSGVO). Du kannst die Daten, die du einem Anbieter selbst gegeben hast, in einem gängigen, maschinenlesbaren Format herausverlangen und zu einem anderen Dienst mitnehmen. Das hilft beim Wechsel, etwa von einem Streamingdienst, einer Fitness-App oder einem E-Mail-Anbieter zum nächsten. Auf Wunsch muss der alte Anbieter die Daten sogar direkt an den neuen übertragen, soweit das technisch machbar ist.

Wo deine Rechte an Grenzen stoßen

Deine Datenschutzrechte sind stark, aber nicht grenzenlos. Eine Löschung scheitert, wenn gesetzliche Aufbewahrungspflichten greifen: Rechnungen und steuerlich relevante Unterlagen müssen Unternehmen zum Beispiel jahrelang aufbewahren, hier werden die Daten gesperrt statt gelöscht. Auch die Auskunft kann eingeschränkt sein, wenn dadurch Rechte anderer Personen verletzt würden, etwa wenn in einem Dokument auch Daten Dritter stecken.

Trotzdem gilt: Die Ausnahme muss das Unternehmen begründen, nicht du deinen Anspruch. Ein pauschales "geht nicht" oder "aus technischen Gründen leider nicht möglich" reicht nicht. Verlangt das Unternehmen eine Begründung von dir oder verweist es dich ab, ohne die Rechtsgrundlage zu nennen, ist genau das der Moment für die Beschwerde bei der Aufsichtsbehörde.

Häufige Fragen