１９９０年德国资料法将个人资料的使用分为收集、处理和利用三大阶段或程序。根据该法第３条，“收集”是指取得当事人之资料；“处理”指个人资料的储存、变更、传输、封锁和删除；“利用”是指使用个人资料而与处理无关者。在这三大阶段，该法赋予个人资料本人四种核心权利：个人资料告知权、个人资料更正权、个人资料封锁权、个人资料删除权。以上四种权利是德国资料法关于个人资料本人权利的基本内容，对大陆法系其他国家产生了积极的影响，被广泛借鉴，成为大陆法系国家个人资料保护法的共同内容。
１请求告知权。所谓请求告知权是指个人资料本人有权就其资料的内容与处理请求收集机关告知的权利。依照１９９０年资料法第３３条和第３４条等，当事人有权就收集机关（储存机关）、个人资料内容、收集目的向资料收集机关请求告知。请求告知权是德国个人资料保护法确定的个人资料本人最基本的权利。本人拥有请求告知权，才能掌握自己的个人资料被何人在何种目的下用何种方式收集并将面临何种处理。
２个人资料更正权。个人资料更正权是指对于本人的错误、过时之资料，本人享有请求更正的权利。根据德国资料法第２０条的规定，资料更正，包括错误资料的变更和过时资料的更新两个方面。
３个人资料封锁权。该法第３条规定：“封锁是指为限制继续处理或利用，而对已储存的个人资料附加符号。”封锁的目的不是消除资料，也不是更正，只是通过附加“符号”的方式限制继续处理和利用。附加符号的具体方式则依资料的处理方式和技术而定。
４个人资料删除权。该法第３条规定：“删除，是指使已储存的个人资料不得复认。”只要使资料达到不再提供任何信息的要求就构成“不得复认”，在不同的技术背景下有不同的销毁方式，具体讲包括销毁资料媒介、在不销毁资料媒介的前提下的复写、格式化等。从结果上讲，销毁必须彻底，一方面必须做到使资料在保存媒介上消失，另一方面必须做到其他任何单位均因删除行为而使资料的信息消失。
我们认为，虽然以上四种权利已经被许多大陆法系国家所接受，但是仅有以上四种权利，对本人的保护尚嫌不够完整。我们主张在个人资料权利体系中构建个人资料决定权，使法律保护覆盖到个人资料的各个环节。所谓资料决定权是指个人资料本人享有的决定其个人资料是否被收集、储存和利用的权利。
具体说，个人资料是否被收集，在何时、何地、采取何方式、何程度进行处理并传送给何人由个人资料本人决定。个人资料决定权是个人资料保护的基础，它明确体现了个人资料保护的立法价值在于保护。
六、监督机制１９９０年德国资料法对监督机制作出了完整而系统的规定。在是否设立监督机构的问题上，在立法例上有两种相反的范示：一种是美国模式，主张通过资料处理者的行业自律实现资料安全，不设置监督机构；另一种是德国模式，主张外在的和内在的监督机制能更好地实现资料保护的目的。德国资料法设置资料保护委员对公务机关处理个人资料的情况进行监督，同时设置资料保护人，作为非公务机关处理个人资料的内部监督机制对非公务机关处理个人资料进行监督。
（一）资料保护委员。以资料保护委员为代表的联邦以及各州资料保护委员会是公务机关处理个人资料的外部监督机构。委员会由资料保护委员负责，资料保护委员在德国是一个法定的独立机构。德国资料法第２２条规定：“根据本法，联邦资料保护委员有公法机关的地位。他应独立履行职责，并只服从法律。他应该服从联邦政府的合法监管。”依照德国资料法的相关规定，资料保护委员有重要的政治地位，独立行使职权，是联邦或各州的最高个人资料保护机关。联邦资料保护委员的地位非常稳固，其选举、任命和罢免都十分慎重。
德国资料法第２２条规定：“联邦资料保护委员，由联邦政府提名，经联邦议会议员法定人数过半数选举。选举时，应满３５岁。当选人由联邦总统任命。”联邦资料保护委员由议会选举产生，每五年选举一次，实际上是议会的“被授权人”。“被授权人”一般是大学教授或法官。依照德国保护法的规定，除非联邦资料保护委员主动向联邦总统提出免除职务的请求，否则只有在极其特殊的充分理由的情况下，才能罢免其职务。这一规定使联邦资料保护委员的地位相当稳固。资料保护委员的基本职责是对公务机关实施资料法的情况进行监督。
德国资料法第２４条规定：“联邦资料保护委员应监督本法的和其他联邦公务机关资料保护规定的实施。”委员执行以下任务：１研究与咨询。委员应积极开展个人资料保护的研究和咨询工作，向相关机构提供调查报告和咨询报告或咨询意见。德国资料法第２６条规定：“应联邦议院、联邦政府的要求起草意见和报告。当联邦议院、请愿委员会、内政委员会要求时，联邦资料保护委员应该调研联邦公务机关资料保护事项和事件。联邦资料保护委员可在任何时间向联邦议院咨询。”２一般性监督工作。委员应该对公务机关保护个人资料的情况进行例行公事的检查和抽查，对在检查中发现的有关部门和官员违反了资料法的情况，有权要求其改正，如果改正行为和采取弥补措施的要求遭到拒绝，委员会有权向其上级部门反映。３个案监督。应公民的请求或依职权，委员可以针对个人资料的保护状况进行个案监督。委员在两种情况下可以行使个案监督的权力。一种情形是依个人资料本人申请。个人资料本人可以向委员会声明侵权的具体情形，委员有权力对该本人的资料的收集、处理或利用进行监督；另一种情形是依职权主动行使。委员知道有个人资料侵权的事实存在时，可以依职权主动行使监察。４定期报告。德国资料法第２６条规定：“联邦资料保护委员应每两年向联邦议院提交一份工作报告。报告应该阐明资料保护在私的领域主要的发展情况。”委员对于政府部门和官员违反个人资料保护法等相关法律规定的情况进行记录，每两年汇集成书（这就是德国人戏称的“黑名单”），提交议院后由议院对社会公布。资料保护委员可以从政府机关中抽调工作人员组成资料保护委员会，来协助自己履行上述职能。在德国这套措施非常有效，尤其是在大众媒体的配合下，起到了监督的效果。
依照德国资料法，资料保护委员没有对非公务机关处理个人资料进行监督的权力。
（二）特殊公务机关的内部监督机制。依照德国资料法的规定，某些特殊的公务机关处理个人资料应该设置内部资料保护人。一般情况下，内部资料保护人由处理个人资料的公务机关的高级主管担任，由其负责机关内部的资料保护监察工作。德国资料法第１８条规定：“联邦最高官署、联邦铁路局董事会、联邦邮政事业董事会或联邦邮政局管理处，以及联邦政府或最高官署仅得对其行使法律上监督之联邦直辖公法上社团、营造物与财团，在其业务范围内，应确保本法与其他保护资料法规之实施。”亦即授权此等机构行使“内部资料监察人”之职权，以确保此等单位之资料保护法义务的贯彻实施。
（三）资料保护人。依照德国资料法的规定，非公务机关处理个人资料，应该设置内部监督机制——资料保护人。资料保护人由各单位自行任命，以其具备必要的专业知识和品行良好为任命基本条件。资料处理单位应维护内部资料保护人的独立工作地位，对于其行使监督行为应予以配合，并明确规定不得因其行使职务行为遭受不利益。对于内部资料保护人的撤换，保护法也规定了严格的条件：第一，外部监督机构可以撤换资料保护人。第３８条规定：“如果资料保护人不具备履行相关职责所需的专门知识和可信度，监督机关可以要求免除他的职务。”第二，基于劳动合同终止或不可能继续的，资料处理单位可以撤换内部资料保护人。内部资料保护人执行以下任务：１对本单位处理个人资料进行监督；２在选任个人资料处理工作人员时，负责提供专业咨询意见；３有针对性地宣传个人资料保护法，使负责个人资料处理的工作人员熟悉法律。
七、跨国流通
１９９０年德国资料法第１７条是公务机关实施个人资料跨国流通的规定，而对非公务机关的个人资料跨国流通未作明确规定，涉及此问题只能借助总则的规定。德国资料法中的跨国流通是指德国公务机关将其个人资料流通给外国（或地区）的公务机关或非公务机关（包括国际组织），而不论这些机构是否在德国境内。该法第１７条第１项规定：“本法第１６条第１款和相关的法律和条约及本法第１６条第３款适用于本法效力范围以外的主体和超国家的或国际的组织流通个人资料。”第１６条是关于公务机关向非公务机关流通个人资料的规定。显然，德国法关于非公务机关个人资料跨国流通的基本态度是将此种流通视同公务机关向非公务机关流通个人资料。公务机关的个人资料跨国流通有专门法律规定或协议规定的，遵从其规定；没有规定的适用关于公务机关向非公务机关流通个人资料的规定。依照第１６条的规定，公务机关向非公务机关流通个人资料，应满足两个要件：第一，流通行为是公务机关履行职务的行为，并且具备个人资料的利用要件；第二，个人资料接收者对要求流通的个人资料有正当利益，并且个人资料本人没有值得保护的利益足以禁止流通实施的。这也是德国在资料法个人资料跨国流通的基本条件。
八、损害赔偿
损害赔偿制度是个人资料保护法的权利救济措施，也是资料本人补救权利的最终途径。虽然德国主张个人资料保护法的性质是行政法律，但从德国资料法的内容看，“公私一体”的属性十分明显。德国资料法的核心内容是“第二部分”和“第三部分”，其中，“第二部分”是关于“公务机关的资料处理”，属于行政法规范；而“第三部分”是关于“非公务机关和参与竞争的公法上的企业的资料处理”，从性质上讲，属于民事法律规范。个人资料保护法的“公私一体”的混合性质，势必导致个人资料的行政侵权行为和民事侵权行为并存于一法的局面。德国资料法对基于行政侵权行为发生的损害赔偿和基于民事侵权行为发生的损害赔偿进行了明确的区分，分别规定了不同的归责原则和赔偿范围：基于行政侵权行为发生的损害赔偿适用无过错责任原则，这主要是因为这种“赔偿制度的本质，是对损失的负担或弥补，而不是对造成损失行为或原因的评价”。在赔偿范围的确定上，针对行政侵权行为放弃了全额赔偿原则，设定了明确的最高限额；而基于民事侵权行为发生的损害赔偿则适用过错责任原则，这是因为民事主体地位平等，“如果个人已尽其法定注意义务，即得以免负侵权责任”。而在赔偿范围方面则实行全额赔偿，不设最高额限制，这也是民事主体地位平等所要求的。
在确定损害赔偿的具体途径上，德国资料法遵循以下步骤：１厘清侵权行为的性质，即确定侵权行为属于行政侵权行为还是民事侵权行为；２确定归责原则，即选择与行为性质相适应的归责原则；３确定赔偿范围，即全额赔偿还是最高额赔偿问题的确定，当然此问题的确定也有赖于第一个问题，详述如下：
第一，行为性质的确定。关于行政侵权行为和民事侵权行为的区分，德国资料法给出了简单而明确的规则，即以侵权行为的实施主体为标准。联邦和州公务机关，在个人资料处理过程中实施的侵害个人资料权利的行为，为行政侵权行为。该法第２条规定：“（１）‘联邦公务机关’指行政机关、司法机关和其他公法上的联邦机构和公法上的联邦公司，营造物和财团的机构及它们的不考虑法律上构成的协会的机构。根据邮政法或电信安装法拥有专权的，根据法律由德国联邦邮政部门的特别基金创建的企业被视为公务机关。（２）‘州的公务机关’指行政机关、司法机关和其他公法上的州的或自治市的机构，自治市的或其他公法下的受州监管的法人的协会和他们的不考虑法律上构成的协会的机构。”另外，符合一定条件的联邦公务机关的私法上的协会和履行公共行政职责的州，不管其是否有私股权，德国资料法均视为联邦公务机关或州公务机关。非公务机关在个人资料处理过程中实施的侵害个人资料本人权利的行为，为民事侵权行为。该法第２条同时规定：“‘非公务机关’是指以上第１款至第３款以外的自然人或法人，公司和其他任何私法上的人合团体。但非公务机关于行使公行政的公权力职务范围内，应被视为本法所称公务机关。”
第二，归责原则的确定。在归责原则方面，德国资料法规定公务机关对其行政侵权行为应承担无过错责任。该法第７条规定：“当公务机关在本法或其他资料保护规定下，由于未经许可或不正确的个人资料自动化处理对资料本人造成损害的，公务机关有责任赔偿本人的损失，而不论其是否有过错。”根据目的明确原则和限制利用原则，公务机关对个人资料的收集、储存和利用，应严格限定在法律规定的必要范围内。公务机关的工作人员在执行职务过程中，对个人资料的处理不当造成的损害，公务机关应承担无过错责任。依照该法第７条规定，在个人资料致害行为发生时，几个不同的公务机关分别储存该个人资料的，若被害人不能确定侵权人的，以上几个储存单位对受害人承担连带赔偿责任。
依照德国资料法非公务机关处理个人资料造成损害时，采过错责任原则，但实行举证责任倒置，由储存单位负举证责任。德国资料法第８条明确规定：
“非公务机关违反本法或其他资料保护规定，进行不合法或不正确的自动化资料处理，资料本人对其主张损害赔偿请求权，而其损害的发生是否出自资料档案控制者的存在状况，发生争执的，个人资料档案控制者应负举证责任。”
第三，赔偿范围的确定。德国资料法对行政侵权行为规定了最高额赔偿限额。首先，德国资料法规定了个人资料本人可以主张金钱赔偿的条件。德国资料法第７条规定：“在人格受到严重侵犯的情况下，资料本人可以取得适当的对非物质损害的金钱赔偿。”该法第３条同时规定，同一个人资料遭受侵害的最高赔偿额为２５万马克。在同一致害行为导致多人受损害的情况下，如果其赔偿总额高于２５万马克的，每一个损害赔偿的给付，应按其应得的赔偿总额与合计最高总额的比例减少。对于民事侵权行为，德国资料法没有最高额限制，采取民法上的全额赔偿原则。
