Welche Schäden können erfasst sein?
Materielle Schäden betreffen wirtschaftliche Nachteile, etwa konkrete Vermögensverluste. Immaterielle Schäden berühren persönliche Interessen und lassen sich nicht unmittelbar anhand einer Rechnung beziffern. Auch solche Nachteile müssen tatsächlich bestehen; eine allein abstrakte Beschreibung denkbarer Gefahren ersetzt ihren Nachweis nicht. Die erforderliche Darlegung hängt vom behaupteten Schaden und dem konkreten Geschehen ab. Dabei können Art und Umfang betroffener Daten, erfolgte Zugriffe und nachvollziehbare Auswirkungen eine Rolle spielen. Es gibt keinen allgemeinen festen Geldbetrag für jede verlorene Datei oder fehlerhafte Nachricht.
EuGH-Urteil zu den Anspruchsvoraussetzungen
Der Europäische Gerichtshof entschied am 4. Mai 2023, C‑300/21, dass DSGVO-Verstoß, Schaden und Kausalität kumulativ erforderlich sind. Zugleich darf ein immaterieller Schaden nicht allein deshalb ausgeschlossen werden, weil er eine zusätzliche Erheblichkeitsschwelle nicht erreicht. Das Urteil verlangt somit einen Schaden, aber keine darüber hinausgehende besondere Schwere als eigenständige Zugangsvoraussetzung. Beide Aussagen gehören zusammen. Wer nur den Datenschutzverstoß belegt, hat damit noch nicht automatisch alle Voraussetzungen bewiesen; ein nachgewiesener geringer Schaden darf umgekehrt nicht pauschal als unerheblich aussortiert werden.
Gegen wen kann sich der Anspruch richten?
Artikel 82 unterscheidet Verantwortliche und Auftragsverarbeiter. Verantwortliche haften nach den dortigen Voraussetzungen für Schäden aus einer rechtswidrigen Verarbeitung. Für Auftragsverarbeiter enthält die Vorschrift besondere Anknüpfungen, insbesondere an ihre eigenen Pflichten oder ein Handeln außerhalb rechtmäßiger Weisungen. Eine Entlastung ist unter den gesetzlichen Voraussetzungen möglich. Sind mehrere Beteiligte verantwortlich, können Regeln zur gesamtschuldnerischen Haftung und zum internen Ausgleich relevant werden. Deshalb muss geklärt werden, welche Stelle welche Verarbeitung tatsächlich durchgeführt oder bestimmt hat. Ein bekannter Markenname allein identifiziert nicht immer den richtigen Anspruchsgegner.
Welche Nachweise sind sinnvoll?
Hilfreich sind Benachrichtigungen über Datenpannen, Auskünfte, Schriftwechsel und Unterlagen zu konkreten Folgen. Zeitliche Abläufe sollten nachvollziehbar festgehalten werden. Wer einen finanziellen Verlust geltend macht, sollte dessen Höhe und Verbindung zur beanstandeten Verarbeitung belegen können. Bei immateriellen Nachteilen kommt es auf eine konkrete Darstellung der tatsächlichen Beeinträchtigung an. Übertriebene oder schematisch übernommene Behauptungen können die Prüfung erschweren. Eine Auskunft kann bei der Sachverhaltsklärung helfen, ersetzt aber nicht in jedem Fall den Nachweis sämtlicher Anspruchsvoraussetzungen.
Wie wird die Höhe bestimmt?
Der Anspruch dient dem Ausgleich des erlittenen Schadens. Er ist von einer behördlichen Geldbuße zu unterscheiden, die anderen Voraussetzungen und Zwecken folgt. Die Bemessung muss die maßgeblichen Umstände des Einzelfalls berücksichtigen. Das genannte EuGH-Urteil liefert deshalb keine allgemeine Preisliste für Datenschutzverletzungen. Auch die Anzahl betroffener Datensätze lässt sich nicht ohne Weiteres mit einem festen Betrag multiplizieren. Vor einer gerichtlichen Geltendmachung sollten Beweislage, Anspruchsgegner, Streitwert und mögliche Kosten gemeinsam betrachtet werden.
Welche Schritte kommen praktisch in Betracht?
Zunächst sollten Vorfall und Datenumfang möglichst präzise ermittelt werden. Anschließend sind Verletzung, konkreter Schaden und Zusammenhang jeweils gesondert zu bewerten. Eine Beschwerde bei der Datenschutzaufsicht kann neben zivilrechtlichen Ansprüchen bestehen, führt aber nicht automatisch zu einer persönlichen Entschädigung. Laufende Verjährungsfragen dürfen dabei nicht aus dem Blick geraten. Ein begründetes Anspruchsschreiben sollte den tatsächlichen Sachverhalt nachvollziehbar darstellen, statt sich allein auf die allgemeine Bedeutung des Datenschutzes zu berufen.