What rights do I have under the GDPR in Germany?

What the Law Says

Your GDPR rights apply directly in Germany, supplemented by the Bundesdatenschutzgesetz (BDSG), which tailors EU rules to national needs. The BDSG does not replace the GDPR but fills gaps—especially for non-public bodies and specific public-sector processing.

Under the GDPR (Regulation (EU) 2016/679), you have eight core rights as a data subject: the right to be informed; access; rectification; erasure ('right to be forgotten'); restriction of processing; data portability; objection; and rights related to automated decision-making and profiling.

The BDSG applies alongside the GDPR. Section 1 clarifies its scope: it governs both public and non-public entities processing personal data in Germany — including when they fall under GDPR jurisdiction, even without a physical establishment in the EU (e.g., offering goods/services to Germans). It explicitly defers to the GDPR where EU law applies directly.

BDSG § 83 provides your legal basis to claim compensation. If a controller unlawfully processes your data and causes damage—even non-material harm like distress—you may demand appropriate monetary compensation. Liability is strict for automated processing; for non-automated processing, fault must be proven.

Statutory Text

Dieses Gesetz findet Anwendung auf öffentliche Stellen. Auf nichtöffentliche Stellen findet es Anwendung, sofern der Verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Inland verarbeitet, die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung des Verantwortlichen oder Auftragsverarbeiters erfolgt oder der Verantwortliche oder Auftragsverarbeiter zwar keine Niederlassung in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum hat, er aber in den Anwendungsbereich der Verordnung (EU) 2016/679 [...] fällt.

— BDSG § 1 — Federal Data Protection Act

Statutory Text

Hat ein Verantwortlicher einer betroffenen Person durch eine Verarbeitung personenbezogener Daten, die nach diesem Gesetz oder nach anderen auf ihre Verarbeitung anwendbaren Vorschriften rechtswidrig war, einen Schaden zugefügt, ist er oder sein Rechtsträger der betroffenen Person zum Schadensersatz verpflichtet.

— BDSG § 83 — Federal Data Protection Act

What to Do

Sources

Related Questions