El marco legal
El derecho alemán de protección de datos combina el Reglamento (UE) 2016/679 (RGPD), directamente aplicable, con la Bundesdatenschutzgesetz (BDSG, ley federal de protección de datos) y las leyes de los Länder (estados federados), que solo lo adaptan donde el reglamento deja margen — como hace en España la Ley Orgánica 3/2018 (LOPDGDD). Alemania es el único país de la Unión Europea con una autoridad de control en cada Land, a la que se suma el Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI, comisionado federal de protección de datos) para el sector público federal y las telecomunicaciones: diecisiete autoridades, frente a la única AEPD (Agencia Española de Protección de Datos). Por regla general es competente la autoridad del Land donde tiene su sede la empresa, pero la reclamación puede presentarse siempre ante la del Land de residencia, que la remite. El procedimiento es gratuito y la autoridad debe informar al reclamante de su curso. Los derechos son los del RGPD — acceso, rectificación, supresión, limitación, portabilidad y oposición —, con respuesta en un mes, prorrogable dos meses para las solicitudes complejas; la oposición a la publicidad directa es absoluta, y los datos sobre la salud, la vida sexual o la orientación sexual solo pueden tratarse con consentimiento explícito. Las empresas en las que al menos veinte personas tratan datos deben designar un delegado de protección de datos (Datenschutzbeauftragter), y las multas llegan a 20 millones de euros o al 4 % del volumen de negocios mundial. Las agencias de información crediticia (Auskunfteien), con la SCHUFA a la cabeza, pesan mucho en la vida diaria — alquiler, contrato de teléfono, crédito —, y la copia de los datos que conservan es gratuita. El RGPD protege a toda persona que vive en Alemania, sea cual sea su nacionalidad, también frente a los servicios establecidos fuera de la Unión que se dirigen a ella. Frente a una empresa o un organismo establecido en España, el residente en Alemania puede reclamar ante la autoridad de su Land, que remite la reclamación a la AEPD, o directamente ante la AEPD, en español. Los datos del Registro de Matrícula Consular, que llevan los consulados de España, están sometidos al RGPD y a la LOPDGDD; los que conservan las administraciones de un país latinoamericano, a la ley de ese país.
Los puntos clave
| Base jurídica | RGPD, completado por la BDSG y las leyes de los Länder — en España, Ley Orgánica 3/2018 |
|---|---|
| Derechos | Acceso, rectificación, supresión, limitación, portabilidad, oposición |
| Plazo | Un mes, prorrogable dos meses para las solicitudes complejas |
| Coste | Gratuito, salvo solicitudes manifiestamente excesivas |
| Multas | Hasta 20 millones de euros o el 4 % del volumen de negocios mundial |
| Datos especiales | Salud, vida sexual y orientación sexual, solo con consentimiento explícito |
| Publicidad directa | Derecho de oposición absoluto |
| Control repartido | Diecisiete autoridades: una por Land más el BfDI; competente, la sede del responsable — en España, una sola AEPD |
| Delegado de protección de datos | Obligatorio en las empresas con al menos veinte personas que tratan datos |
| Agencias de información crediticia | La copia de los datos en la SCHUFA y en agencias similares es gratuita y revela los errores |
| Indemnización | Los tribunales la conceden, pero exigen un perjuicio concreto — la pérdida de control sobre los datos puede bastar —; importes bajos |
| Españoles y latinoamericanos | Mismos derechos sea cual sea la nacionalidad; reclamación ante la autoridad del Land, o ante la AEPD frente a una empresa establecida en España |
En la práctica
- Escriba primero al delegado de protección de datos de la empresa — sus datos de contacto deben estar publicados —, citando el artículo del RGPD (15 para el acceso, 17 para la supresión, 21 para la oposición) y conservando la prueba de la fecha de envío: así se resuelve la mayoría de los casos sin acudir a la autoridad.
- Diga claramente qué quiere: una copia de sus datos, su supresión o el fin de la publicidad.
- Sin respuesta en un mes, reclame gratuitamente ante la autoridad del Land donde tiene su sede la empresa — la de su Land de residencia también la admite, pero la remite y se pierden semanas —, adjuntando la correspondencia.
- En las aplicaciones de citas y de salud, pregunte expresamente a quién se comunican sus datos y si se transfieren fuera de la Unión Europea.
- Pida a la SCHUFA la copia gratuita de sus datos (artículo 15 del RGPD), que no debe confundirse con los informes de solvencia que la propia SCHUFA vende: una dirección mal registrada o un antiguo contrato de teléfono sin cerrar bastan para que le denieguen un alquiler o un crédito.
- Frente a una empresa o una administración española, puede reclamar directamente ante la AEPD, en español; si una imagen íntima suya circula en España sin su consentimiento, el Canal Prioritario de la AEPD permite pedir su retirada urgente. Frente a un organismo o una empresa de un país latinoamericano, infórmese sobre la ley de protección de datos de ese país.
- Si una imagen íntima suya se difunde en Alemania sin su consentimiento, denuncie en la policía — la difusión se castiga de forma autónoma — y pida su retirada a la plataforma.
Coste y cobertura
El acceso, la reclamación y el procedimiento ante la autoridad son gratuitos, en Alemania como en España ante la AEPD. Las demandas civiles de indemnización dependen del valor del litigio (Streitwert), y las cantidades concedidas suelen ser bajas.
Cambios recientes
La jurisprudencia ha precisado la indemnización del daño moral conforme al RGPD: la pérdida de control sobre los datos puede bastar y no existe un umbral de gravedad — pero los importes siguen siendo bajos. La SCHUFA ha tenido que revisar su sistema de puntuación (scoring) tras la sentencia del Tribunal de Justicia de la Unión Europea de diciembre de 2023.
A quién dirigirse
- Autoridades de protección de datos de los dieciséis Länder (Landesdatenschutzbehörden); BfDI, para las autoridades federales y las telecomunicaciones.
- Delegados de protección de datos de las empresas, cuyos datos de contacto deben publicarse.
- Verbraucherzentralen (centrales de consumidores), para los requerimientos (Abmahnungen) en caso de publicidad no autorizada.
- SCHUFA y demás agencias de información crediticia, para la copia gratuita de sus datos.
- AEPD (aepd.es), para las reclamaciones contra empresas y organismos establecidos en España y para el Canal Prioritario.
Conviene saber
El derecho de acceso es la herramienta más poderosa y la menos utilizada: obliga a la empresa a revelar lo que sabe de usted, de dónde lo ha obtenido y a quién lo ha comunicado. La competencia depende de la sede del responsable: una reclamación presentada ante la autoridad equivocada se remite, pero cuesta semanas. Y quien llega desde España o desde América Latina debe revisar pronto su ficha en la SCHUFA: sin historial de crédito alemán, la puntuación puede ser baja, y con errores baja aún más — a menudo justo cuando busca piso.
Fuentes y enlaces oficiales
- Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos (RGPD) — EUR-Lex
- Bundesdatenschutzgesetz (BDSG) — ley federal de protección de datos — texto legal, en alemán
- Datenschutzkonferenz — autoridades de control de los Länder — para encontrar la autoridad competente
- AEPD — Agencia Española de Protección de Datos — reclamaciones y Canal Prioritario
Enlaces verificados a fuentes oficiales o de referencia. Se abren en una pestaña nueva.