DSGVO-Schadensersatz: Was Betroffene darlegen müssen (BGH vs. BAG)

Seit Geltung der DSGVO ist der Schadensersatzanspruch nach Art. 82 eines der meistdiskutierten Themen des Datenschutzrechts. Der EuGH hat die Grundlinien inzwischen gezogen: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber auch nicht. In Deutschland legen der Bundesgerichtshof und das Bundesarbeitsgericht diese Vorgaben allerdings mit unterschiedlicher Strenge aus. Für Betroffene wie für Unternehmen lohnt sich ein genauer Blick.

Die Vorgaben des EuGH

• Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang (Urteil Österreichische Post).
• Schon die begründete Befürchtung eines Datenmissbrauchs kann ein Schaden sein (C-340/21).
• Ein rein hypothetisches Risiko genügt nicht (MediaMarktSaturn).
• Der Anspruch hat eine reine Ausgleichsfunktion; Bußgeldkriterien spielen für die Höhe keine Rolle.

Die Linie des BGH: Kontrollverlust ist der Schaden

Der Bundesgerichtshof hat in seiner Leitentscheidung zum Facebook-Scraping vom 18. November 2024 (VI ZR 10/24) entschieden, dass bereits der bloße, auch kurzzeitige Verlust der Kontrolle über personenbezogene Daten ein immaterieller Schaden sein kann, ohne dass weitere negative Folgen nachgewiesen werden müssen. Für den bloßen Kontrollverlust hält er einen Ausgleich in der Größenordnung von 100 Euro für angemessen; besondere Umstände können zu höheren Beträgen führen. Einzelheiten in unserem Beitrag „BGH zum Facebook-Scraping“.

Die Linie des BAG: Konkrete Darlegung erforderlich

Das Bundesarbeitsgericht ist strenger. Mit Urteil vom 20. Februar 2025 (8 AZR 61/24) wies es die Klage eines ehemaligen Beschäftigten ab, der wegen einer verspäteten Auskunft nach Art. 15 DSGVO Schadensersatz verlangt hatte. Das bloße Behaupten eines Gefühls, etwa eines Kontrollverlusts, reiche nicht aus; erforderlich seien konkrete, objektivierbare Umstände. Bereits zuvor hatte das BAG entschieden, dass die Befürchtung eines Datenmissbrauchs zwar ein Schaden sein kann, ihre bloß allgemeine Behauptung aber nicht genügt. Anders liegt es, wenn der Schaden offensichtlich ist, etwa bei einer rechtswidrigen Überwachung eines Arbeitnehmers durch einen Detektiv.

Was folgt daraus für Betroffene?

• Beschreiben Sie konkret, was passiert ist und wie es sich auf Sie ausgewirkt hat, etwa Spam-Anrufe, Betrugsversuche, Sorgen um bestimmte Daten oder Zeitaufwand für Schutzmaßnahmen.
• Heben Sie Benachrichtigungsschreiben, verdächtige Nachrichten und bei erheblichen Belastungen ärztliche Atteste auf.
• Ohne besondere Folgen bewegen sich die Beträge meist im unteren dreistelligen Bereich.
• Ansprüche aus dem Arbeitsverhältnis landen vor den Arbeitsgerichten, für die die BAG-Rechtsprechung maßgeblich ist.

Was folgt daraus für Unternehmen?

Auch geringe Einzelbeträge können sich bei Datenpannen mit vielen Betroffenen erheblich summieren. Zugleich lohnt es sich, pauschale Forderungen genau zu prüfen: Wird der Schaden nur behauptet, lässt er sich häufig erfolgreich bestreiten. Die beste Verteidigung bleibt die Vorbeugung durch gute technische und organisatorische Maßnahmen und die fristgerechte Bearbeitung von Betroffenenanfragen. Gerade verspätete Auskünfte sind ein häufiger Anlass für Klagen; Hinweise zur Bearbeitung gibt unser Leitfaden „Auskunftsersuchen richtig beantworten“.

Der BGH lässt den Kontrollverlust genügen, das BAG verlangt eine konkrete Darlegung. Wie ein Verfahren ausgeht, hängt deshalb stark davon ab, wie gut der Sachverhalt aufbereitet und belegt ist. Wir unterstützen Sie dabei, Ansprüche geltend zu machen oder Forderungen abzuwehren. Kontaktieren Sie uns oder buchen Sie einen Termin.