La base del RGPD
Como Estado miembro de la UE, esta jurisdicción aplica directamente el Reglamento General de Protección de Datos (RGPD): todo uso de datos personales requiere una de seis bases legales, las personas tienen derecho a acceder, rectificar, suprimir y portar sus datos, las violaciones de seguridad deben notificarse en un plazo de 72 horas, y las multas alcanzan los EUR 20 millones o el 4 % de la facturación mundial. Sumado a esto, la transposición nacional de la Directiva ePrivacy exige el consentimiento previo para las cookies y el rastreo similar, con el marketing electrónico sobre una base de opt-in, atenuada únicamente por la excepción de cliente existente.
Para los anunciantes, eso significa que aquí se aplica en su totalidad el manual estándar de la UE: consentimiento antes del seguimiento y la segmentación conductual, una plataforma de consentimiento conforme a la normativa, mecánica de transferencias documentada para cualquier infraestructura fuera de la UE, y un ojo puesto en las negociaciones del Digital Omnibus, que podrían modificar las normas de cookies una vez que se adopte un texto final. Los detalles nacionales a continuación son lo que este Estado miembro añade o enfatiza.
La capa nacional
La ley nacional de implementación es la BDSG + TDDDG (cookies y equipos terminales), y la supervisión del día a día corresponde a la BfDI, más 16 autoridades estatales de protección de datos. Alemania gestiona la protección de datos a través de diecisiete autoridades: la BfDI federal, más una por cada estado, cada una con su propio temperamento de aplicación. La TDDDG (renombrada de TTDSG en 2024) incorpora la regla de consentimiento de cookies a la ley, y los tribunales alemanes produjeron el caso Planet49, el caso del TJUE que eliminó las casillas premarcadas en toda Europa.
Instrumentos clave
Ley de Protección de Datos en las Telecomunicaciones y los Servicios Digitales (TDDDG)
La implementación alemana de ePrivacy. El artículo 25 exige consentimiento antes de almacenar o leer cualquier información en el dispositivo de un usuario, salvo que sea estrictamente necesario. También creó la base legal para los servicios reconocidos de gestión de consentimiento (PIMS), un concepto que la UE tomó prestado más tarde para su propio debate de reforma.
Marketing y publicidad
Base legal del RGPD; la TDDDG exige consentimiento de tipo opt-in para el acceso a cookies y dispositivos. La mayoría de las decisiones de canal aquí se derivan de esa regla de consentimiento.
Los compradores deben saber que las autoridades alemanas de protección de datos se coordinan a través de la conferencia DSK y publican posiciones conjuntas, incluida una línea estricta sobre las transferencias de la era de Google Analytics y sobre la telemetría de las grandes plataformas. Las tasas de consentimiento y el diseño de los banners se auditan aquí más que en casi cualquier otro lugar de la UE.
Transferencias internacionales
El Capítulo V del RGPD se aplica en su totalidad, de modo que los datos personales solo salen del EEE bajo una decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o una excepción limitada, con una evaluación de impacto de la transferencia esperada cuando el destino esté expuesto a leyes de vigilancia. La mecánica es idéntica en todo el bloque, de modo que una estructura de transferencias creada para un Estado miembro sirve para todos ellos.
Aplicación y sanciones
Se aplica el límite máximo del RGPD, con multas de hasta EUR 20 millones o el 4 % de la facturación anual mundial, lo que sea mayor, impuestas por la autoridad nacional de supervisión, y el EDPB puede forzar una postura más estricta mediante el mecanismo de resolución de conflictos. Los Estados miembros comparten el límite máximo, pero difieren en su disposición a hacer cumplir la norma.