Die tatsächliche Veränderung benennen
Ein Kontrollverlust kann etwa relevant werden, wenn personenbezogene Angaben durch einen unbefugten Datenzugriff einer fremden Nutzungssphäre zugänglich werden. Die Prüfung verlangt eine konkrete Beschreibung: Welche Daten waren betroffen, wer konnte darauf zugreifen und worin liegt die beeinträchtigte Kontrolle? Der pauschale Begriff Datenproblem beantwortet dies nicht. Auch darf die Behauptung eines Kontrollverlusts nicht allein aus jedem beliebigen Formfehler abgeleitet werden. Eine sachliche Darstellung trennt den Verstoß gegen eine Datenschutzregel von der tatsächlich eingetretenen Auswirkung auf die personenbezogenen Informationen.
Die neuere europäische Einordnung
In der Entscheidung vom 19. März 2026 – C-526/24 erläuterte der EuGH nach seiner gerichtseigenen Pressemitteilung auch mögliche Schäden bei einer Auskunftsverletzung. Genannt werden grundsätzlich Kontrollverlust und Ungewissheit darüber, ob Daten verarbeitet wurden. Zugleich bleibt ein tatsächlicher Schaden nachzuweisen. Die Aussage erlaubt deshalb weder eine automatische Zahlung für jede unvollständige Antwort noch den pauschalen Ausschluss einer solchen Beeinträchtigung. Entscheidend sind die konkreten Umstände. Die rechtliche Anerkennung einer Schadensart ersetzt nicht die Feststellung, ob sie im betreffenden Fall tatsächlich eingetreten ist.
Von Identitätsdiebstahl unterscheiden
Im Urteil vom 20. Juni 2024 – C-182/22 und C-189/22 stellte der EuGH klar, dass der Diebstahl personenbezogener Daten noch nicht mit der tatsächlichen Annahme einer fremden Identität gleichzusetzen ist. Gleichwohl ist ein Ersatz nach Artikel 82 nicht auf Fälle beschränkt, in denen es anschließend zu solchem Missbrauch kommt. Kontrollverlust und Identitätsdiebstahl müssen daher begrifflich getrennt werden. Es wäre falsch, jede mögliche Beeinträchtigung erst nach einem nachgewiesenen Vertragsabschluss unter fremdem Namen zu berücksichtigen. Ebenso ungenau wäre die Behauptung, jeder Datenzugriff sei bereits vollendeter Identitätsbetrug.
Ein Beispiel einer offengelegten Kontaktinformation
Eine private Telefonnummer wird infolge eines datenschutzwidrigen Vorgangs unbefugt weitergegeben. Die betroffene Person beschreibt, dass sie die weitere Verbreitung nicht mehr kontrollieren kann. Ob ein ersatzfähiger Kontrollverlust vorliegt, ist anhand dieses tatsächlichen Vorgangs zu prüfen. Ein zusätzlicher Identitätsdiebstahl muss dafür nicht pauschal unterstellt werden. Werden nur allgemeine Befürchtungen ohne Bezug zur eigenen Betroffenheit vorgetragen, kann weiterer Tatsachenvortrag erforderlich sein. Das Beispiel begründet keinen festen Eurobetrag. Der genaue Datenfluss und seine nachgewiesenen Folgen bleiben für die rechtliche Bewertung wesentlich.
Weitere Anspruchsmerkmale bleiben erforderlich
Artikel 82 verlangt eine einschlägige Verletzung, einen materiellen oder immateriellen Schaden und den erforderlichen Ursachenzusammenhang. Auch die haftungsrechtlichen Voraussetzungen und mögliche Entlastung sind zu prüfen. Ein tatsächlich bestehender Kontrollverlust darf deshalb nicht mit einem automatisch abschließend bewiesenen Anspruch verwechselt werden. Umgekehrt beseitigt das Fehlen eines bezifferbaren Vermögensschadens nicht schon jede immaterielle Beeinträchtigung. Die Prüfung muss die jeweiligen Merkmale getrennt untersuchen. So wird vermieden, einerseits jeden Verstoß pauschal zu vergüten oder andererseits nur bereits finanziell ausgenutzte Datendiebstähle ernst zu nehmen.
Ausgleich ist keine private Geldbuße
Ein Schadensersatzanspruch nach der DSGVO hat nach der europäischen Rechtsprechung eine Ausgleichsfunktion. Er ersetzt nicht die behördliche Bußgeldprüfung. Deshalb sollte die Höhe nicht allein aus dem Umsatz eines Unternehmens oder dem Wunsch nach Bestrafung abgeleitet werden. Maßgeblich ist der tatsächlich zu kompensierende Schaden nach den einschlägigen Regeln. Eine bestimmte in einem anderen Verfahren diskutierte Summe lässt sich nicht ohne Weiteres als allgemeiner Tarif übernehmen. Auch mehrere ähnliche Fälle verlangen eine sachgerechte Zuordnung zu den jeweiligen tatsächlichen Beeinträchtigungen.
Betroffenheit und Folgen dokumentieren
Hilfreich sind nachvollziehbare Informationen über den Vorfall, die eigenen betroffenen Daten und die tatsächlich eingetretene Veränderung ihrer Kontrollierbarkeit. Erhaltene Mitteilungen und konkrete Folgevorgänge sollten unverändert gesichert werden. Eigene Wahrnehmungen sind von bloß vermuteten weiteren Verwendungen zu unterscheiden. Zusätzlich kommen Auskunft, Berichtigung oder andere Datenschutzrechte in Betracht, ohne dass deren Voraussetzungen mit einer Zahlungsforderung identisch wären. Eine präzise Darstellung erleichtert die Prüfung. Sie ersetzt weder die erforderlichen Beweise noch eine rechtliche Einzelfallbewertung des behaupteten Kontrollverlusts.