Kreditunterlagen beim falschen Kunden: Warum eine halbe Stunde Datenpanne nicht automatisch Geld brachte
Archivdatum: 17. Oktober 2026 · Redaktionell geprüft am 31. Oktober 2026
Ein Kunde kaufte ein Elektrogerät auf Kredit. An der Warenausgabe nahm dann ein anderer Kunde nicht nur das Gerät, sondern auch die Vertragsunterlagen mit Einkommens- und Bankdaten mit. Eine halbe Stunde später war alles zurück. Ob der betroffene Käufer schon wegen der Sorge vor einem späteren Datenmissbrauch Geld verlangen konnte, behandelte der Europäische Gerichtshof am 25. Januar 2024 – C-687/21, MediaMarktSaturn. Entscheidend war, ob ein wirklicher Schaden oder nur ein hypothetisches Risiko vorlag.
Das Versehen geschah an der Warenausgabe
Für den Kauf- und Kreditvertrag hatte ein Saturn-Mitarbeiter Namen, Anschrift, Arbeitgeber, Einkünfte und Bankdaten des Käufers im Computersystem erfasst. Die ausgedruckten Unterlagen wurden unterschrieben und anschließend zur Warenausgabe gebracht. Dort drängelte sich ein anderer Kunde unbemerkt vor. Ein Mitarbeiter händigte ihm irrtümlich Gerät und Dokumente aus.
Der Fehler wurde schnell entdeckt. Ein Saturn-Mitarbeiter erreichte die Rückgabe; rund 30 Minuten später erhielt der richtige Käufer seine Unterlagen. Das Unternehmen bot eine kostenlose Lieferung des Geräts nach Hause an. Dem Kunden genügte das nicht. Er verlangte vor dem Amtsgericht Hagen Ersatz eines immateriellen Schadens und verwies auf das Risiko, die Kontrolle über seine persönlichen Informationen verloren zu haben.
Die Rückgabe allein beantwortet nicht jede Datenschutzfrage
Art. 24 und Art. 32 DSGVO verpflichten Unternehmen zu angemessenen technischen und organisatorischen Schutzmaßnahmen. Der EuGH erklärte, dass eine einzelne versehentliche Herausgabe nicht schon unwiderlegbar beweist, sämtliche Schutzmaßnahmen seien ungeeignet gewesen. Das Unternehmen muss die Eignung seiner Maßnahmen allerdings selbst nachweisen können. Die Panne kann sehr wohl auf Fahrlässigkeit oder organisatorische Mängel hinweisen.
Das Gericht muss deshalb den tatsächlichen Ablauf und die vorgelegten Sicherheitsvorkehrungen prüfen. Denkbar ist etwa die Frage, wie die Berechtigung bei der Geräteausgabe kontrolliert und weshalb dafür eine vollständige Finanzierungsunterlage weitergereicht wurde. Aus dem Urteil folgt weder eine automatische Haftung für jede Fehlübergabe noch eine pauschale Entlastung mit dem Hinweis, Menschen machten gelegentlich Fehler.
Warum die Angst vor einer heimlichen Kopie nicht immer genügt
Für Schadensersatz nach Art. 82 DSGVO müssen ein Verstoß, ein materieller oder immaterieller Schaden und der Zusammenhang zwischen beiden vorliegen. Ein nachgewiesener immaterieller Schaden muss keine bestimmte Mindestschwere erreichen. Auch ein kurzzeitiger tatsächlicher Verlust der Kontrolle über Daten oder eine begründete Missbrauchsbefürchtung kann rechtlich erheblich sein.
Die hier gestellte Frage hatte jedoch eine besondere tatsächliche Grundlage: Das nationale Gericht ging davon aus, dass der falsche Empfänger die Daten vor der Rückgabe nicht zur Kenntnis genommen hatte. Der Kläger befürchtete gleichwohl, dieser hätte eine Kopie anfertigen und später Informationen verbreiten können. Wenn erwiesenermaßen keine Kenntnisnahme erfolgte, reicht ein rein hypothetisches Missbrauchsrisiko nach dem EuGH nicht für eine Entschädigung aus.
Diese Voraussetzung darf nicht weggelassen werden. Es macht einen Unterschied, ob das Nichtlesen feststeht oder ob schlicht ungeklärt ist, was mit den Unterlagen geschah. Das Urteil erklärt daher nicht jede schnell beendete Datenpanne für schadenslos. Ob eine Sorge begründet ist, muss deshalb im jeweiligen Einzelfall geprüft werden.
Die Entschädigung ist keine Strafe für schlechte Organisation
Der Käufer konnte einen Geldbetrag nicht allein damit begründen, Saturn hätte die Ausgabe besser organisieren müssen. Art. 82 soll den tatsächlich entstandenen Schaden vollständig ausgleichen. Die Vorschrift erlaubt keinen zusätzlichen Strafaufschlag, nur weil ein Unternehmensfehler vermeidbar oder besonders ärgerlich war.
Damit bleiben die Eignung der Schutzmaßnahmen und die Höhe eines nachgewiesenen Schadens unterschiedliche Fragen. Der EuGH legte die maßgeblichen Anforderungen fest; er sprach dem Käufer selbst weder einen bestimmten Betrag zu noch entschied er abschließend über sämtliche tatsächlichen Umstände des Hagener Rechtsstreits.
Welche Informationen Betroffene nach einer Fehlübergabe brauchen
Für eine Prüfung sollten Betroffene festhalten, welche Dokumente weitergegeben wurden, an wen, für welchen Zeitraum und wie die Rückgabe ablief. Ebenso relevant sind Angaben dazu, ob Kopien, Fotos oder eine tatsächliche Nutzung bekannt sind. Eine schriftliche Darstellung des Unternehmens kann helfen, offene Punkte von gesicherten Tatsachen zu unterscheiden.
Wer einen eigenen Schaden geltend macht, sollte seine konkrete Beeinträchtigung nachvollziehbar beschreiben. Der Fall zeigt, warum eine Datenschutzverletzung und der Beleg eines daraus entstandenen Schadens zusammen geprüft werden müssen. Die bloße Dauer von 30 Minuten ersetzt keine dieser beiden Prüfungen.