DSGVO-Schadensersatz nach Art. 82 – Ansprüche geltend machen und abwehren

Wer durch einen Verstoß gegen die Datenschutz-Grundverordnung einen materiellen oder immateriellen Schaden erleidet, hat nach Art. 82 DSGVO Anspruch auf Schadensersatz. Seit der EuGH 2023 klargestellt hat, dass es keine „Bagatellgrenze“ gibt, sind Schadensersatzklagen ein Massengeschäft geworden. Für Betroffene ist das eine Chance, für Unternehmen ein ernstzunehmendes Haftungsrisiko. Wir vertreten beide Seiten.

Die drei Voraussetzungen des Anspruchs

Der EuGH hat mit Urteil vom 4. Mai 2023 (C-300/21, Österreichische Post) die Struktur des Anspruchs festgelegt. Erforderlich sind kumulativ:

1. ein Verstoß gegen die DSGVO, etwa eine Verarbeitung ohne Rechtsgrundlage, eine unzureichende Datensicherheit (Art. 32), eine verspätete oder unvollständige Auskunft oder eine unzulässige Weitergabe an Dritte,
2. ein materieller Schaden (z. B. Kosten, Vermögensverlust nach Identitätsdiebstahl) oder immaterieller Schaden (z. B. Kontrollverlust über Daten, Bloßstellung, begründete Befürchtung eines Missbrauchs),
3. ein Kausalzusammenhang zwischen Verstoß und Schaden.

Der bloße Verstoß allein genügt nicht. Umgekehrt darf der Anspruch aber nicht davon abhängig gemacht werden, dass der immaterielle Schaden eine bestimmte Erheblichkeitsschwelle überschreitet. Den Schaden muss die betroffene Person darlegen und beweisen.

Kontrollverlust als Schaden: die Leitentscheidung des BGH

Mit Urteil vom 18. November 2024 (VI ZR 10/24) hat der Bundesgerichtshof im Verfahren um das „Scraping“ von Facebook-Nutzerdaten entschieden, dass bereits der kurzzeitige Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann. Weitere spürbare Folgen oder besondere Ängste muss die betroffene Person dafür nicht nachweisen. Zugleich hat der BGH deutlich gemacht, dass der Ausgleich für einen bloßen Kontrollverlust ohne weitere Beeinträchtigungen eher gering ausfällt; er hielt im entschiedenen Fall eine Größenordnung von 100 Euro für vertretbar.

Weitere Leitlinien des EuGH: Schon die begründete Befürchtung, dass Daten nach einem Hackerangriff missbraucht werden, kann ein Schaden sein (Urteil vom 14. Dezember 2023, C-340/21). Der Schadensersatz hat keine Straf- oder Abschreckungsfunktion; er soll den erlittenen Schaden vollständig ausgleichen, nicht mehr (Urteil vom 11. April 2024, C-741/21). Die Schwere des Verstoßes ist für die Höhe deshalb nicht maßgeblich, anders als beim Bußgeld nach Art. 83 DSGVO.

Wie hoch ist der Schadensersatz?

Eine feste Tabelle gibt es nicht. Die Gerichte bemessen den immateriellen Schaden nach § 287 ZPO im Einzelfall. Maßgeblich sind insbesondere:

• Art und Sensibilität der Daten (Gesundheits-, Finanz- oder Bewegungsdaten wiegen schwerer als eine E-Mail-Adresse),
• Dauer und Reichweite der Offenlegung oder Verarbeitung,
• konkrete Folgen, etwa Spam- und Phishing-Wellen, Erpressungsversuche, Rufschäden, berufliche Nachteile,
• das Verhalten des Verantwortlichen nach dem Vorfall (Information, Abhilfe).

Materielle Schäden wie Anwalts- und Wiederherstellungskosten oder ein nachweisbarer Vermögensverlust sind zusätzlich in voller Höhe zu ersetzen. Seriös lässt sich die Höhe erst nach Prüfung des konkreten Falls einschätzen.

Typische Fallgruppen

• Datenlecks und Hackerangriffe bei Online-Diensten, Versicherern, Praxen oder Behörden.
• Verspätete oder unvollständige Auskunft nach Art. 15 DSGVO. Hier verlangen Gerichte regelmäßig, dass ein über den Verstoß hinausgehender Schaden dargelegt wird. Mehr dazu unter Auskunftsanspruch nach Art. 15 DSGVO.
• Unzulässige Weitergabe, etwa an Auskunfteien, Arbeitgeber, Werbepartner oder in Drittländer.
• Beschäftigtendaten: Weitergabe von Personalakten, Überwachung, Veröffentlichung von Fotos ohne Einwilligung (siehe Beschäftigtendatenschutz).
• Fehlgeleitete E-Mails und Briefe mit sensiblen Inhalten.

Für Betroffene: So gehen wir vor

1. Wir sichern den Sachverhalt: Benachrichtigungen nach Art. 34 DSGVO, E-Mails, Screenshots, Zeitpunkte, verdächtige Kontakte.
2. Oft ist ein Auskunftsersuchen der erste Schritt, um Umfang und Empfänger der Daten zu klären.
3. Außergerichtlich machen wir den Anspruch mit Frist und Bezifferung geltend, wo sinnvoll verbunden mit einer Unterlassungs- und Löschungsforderung.
4. Notfalls klagen wir beim Amts- oder Landgericht, gegebenenfalls an Ihrem Wohnsitz (Art. 79 Abs. 2 DSGVO).

Prüfen Sie vorab, ob eine Rechtsschutzversicherung die Kosten übernimmt. Wir klären das für Sie.

Für Unternehmen: Ansprüche wirksam abwehren

Nach einem Datenschutzvorfall erhalten Unternehmen häufig hunderte gleichlautende Anspruchsschreiben. Entscheidend ist eine einheitliche Verteidigungslinie:

• Prüfung, ob überhaupt ein Verstoß vorliegt. Ein erfolgreicher Angriff bedeutet nicht automatisch, dass die technischen und organisatorischen Maßnahmen unzureichend waren (EuGH, C-340/21).
• Entlastungsbeweis nach Art. 82 Abs. 3 DSGVO: Der Verantwortliche haftet nicht, wenn er nachweist, dass er für den schadensbegründenden Umstand in keinerlei Hinsicht verantwortlich ist. Dafür braucht es eine gute Dokumentation (Art. 5 Abs. 2, Art. 30, Art. 33 Abs. 5 DSGVO).
• Bestreiten des individuellen Schadens und der Betroffenheit gerade des Anspruchstellers.
• Abstimmung mit Cyber- und Haftpflichtversicherern, Aufsichtsbehörde und Kommunikation.

Die beste Abwehr beginnt vor dem Vorfall: mit einem funktionierenden Datenpannen-Prozess, sauberen Auftragsverarbeitungsverträgen und einem Datenschutzbeauftragten, der die Dokumentation aktuell hält.

Häufige Fragen zum DSGVO-Schadensersatz

Muss ich einen „spürbaren“ Schaden nachweisen?

Nein, eine Erheblichkeitsschwelle gibt es nicht (EuGH, C-300/21). Sie müssen aber darlegen, dass Ihnen überhaupt ein Schaden entstanden ist. Nach dem BGH kann dafür bereits ein Kontrollverlust über Ihre Daten genügen.

Wie lange kann ich Schadensersatz verlangen?

Nach überwiegender Auffassung gilt die regelmäßige Verjährung von drei Jahren ab Ende des Jahres, in dem Sie vom Anspruch und vom Schuldner Kenntnis erlangt haben (§§ 195, 199 BGB). Warten Sie trotzdem nicht zu lange, denn Beweise gehen verloren.

Haftet das Unternehmen auch für Fehler eines Mitarbeiters?

Ja. Ein Fehlverhalten von Beschäftigten entlastet den Verantwortlichen nicht ohne Weiteres; er muss nachweisen, dass er für den Schaden in keinerlei Hinsicht verantwortlich ist (EuGH, C-741/21).

Was kostet die Vertretung?

Das hängt vom Streitwert und vom Aufwand ab. Wir nennen Ihnen den Kostenrahmen vorab und prüfen, ob eine Rechtsschutzversicherung eintritt.

Aktuelle Urteile zum Schadensersatz besprechen wir regelmäßig im Blog.