Werden personenbezogene Daten rechtswidrig verarbeitet, offengelegt oder unzureichend geschützt, kann ein Anspruch auf Ersatz materieller und immaterieller Schäden bestehen. Ein DSGVO-Verstoß allein genügt jedoch nicht: Schaden und Zusammenhang mit dem Verstoß müssen konkret geprüft werden.
Art. 82 DSGVO gewährt jeder Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden entstanden ist, einen Schadensersatzanspruch gegen den Verantwortlichen oder Auftragsverarbeiter. Erforderlich sind drei Elemente: ein DSGVO-Verstoß, ein ersatzfähiger Schaden und ein ursächlicher Zusammenhang zwischen beiden.
Der Gerichtshof der Europäischen Union hat mit Urteil vom 4. Mai 2023 – C-300/21 – klargestellt, dass der bloße Verstoß nicht automatisch einen Schadensersatzanspruch begründet. Zugleich darf ein immaterieller Schaden nicht von einer national festgelegten Erheblichkeitsschwelle abhängig gemacht werden. Entscheidend bleibt daher, ob eine tatsächliche Beeinträchtigung vorliegt und nachvollziehbar dargelegt werden kann.
Ansprüche können auf sehr unterschiedlichen Verarbeitungsvorgängen beruhen. Typische Fallgruppen sind:
Nicht jede Unregelmäßigkeit führt zu demselben Ergebnis. Maßgeblich sind Art und Sensibilität der Daten, Umfang und Dauer der Verarbeitung, Empfängerkreis, Möglichkeiten weiterer Verbreitung und die vom Verantwortlichen ergriffenen Gegenmaßnahmen.
Ein immaterieller Schaden kann etwa in einem tatsächlichen Verlust der Kontrolle über personenbezogene Daten, begründeter Angst vor Missbrauch, Rufbeeinträchtigung oder sonstigen nachteiligen persönlichen Folgen liegen. Der EuGH hat mit Urteil vom 14. Dezember 2023 – C-340/21 – bestätigt, dass auch die Befürchtung eines möglichen Datenmissbrauchs einen immateriellen Schaden darstellen kann. Die Befürchtung muss unter den Umständen des Einzelfalls nachvollziehbar sein.
Der Bundesgerichtshof hat für einen Fall des Daten-Scrapings entschieden, dass bereits ein Kontrollverlust einen ersatzfähigen immateriellen Schaden darstellen kann, auch wenn kein konkreter Datenmissbrauch nachgewiesen ist (BGH, Urteil vom 18. November 2024 – VI ZR 10/24). Daraus folgt jedoch kein pauschaler Betrag für jeden Datenschutzverstoß. Bestehen, Intensität und Dauer der Beeinträchtigung sind weiterhin fallbezogen zu bewerten.
Ersatzfähig können auch nachweisbare Vermögensschäden sein, beispielsweise Kosten infolge eines Identitätsmissbrauchs, konkrete Zahlungsausfälle oder erforderliche Aufwendungen zur Begrenzung eines eingetretenen Schadens. Jede Position ist dem Datenschutzverstoß nachvollziehbar zuzuordnen und zu belegen.
Bloßer Zeitaufwand, allgemeiner Ärger oder vorsorgliche Maßnahmen führen nicht ohne Weiteres zu einem bestimmten Zahlungsanspruch. Rechnungen, Zahlungsnachweise und die Gründe notwendiger Schutzmaßnahmen sollten deshalb vollständig dokumentiert werden.
Verantwortliche und Auftragsverarbeiter können sich nach Art. 82 Abs. 3 DSGVO entlasten, wenn sie nachweisen, dass sie in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich sind. Bei Sicherheitsvorfällen genügt der Hinweis auf einen Angriff durch unbekannte Dritte nicht automatisch. Zu prüfen ist insbesondere, ob die technischen und organisatorischen Maßnahmen dem konkreten Risiko angemessen waren.
Sind mehrere Stellen an derselben Verarbeitung beteiligt und verantwortlich, kann nach Art. 82 Abs. 4 DSGVO eine gesamtschuldnerische Haftung bestehen. Die interne Verteilung zwischen den Beteiligten ist von dem Anspruch der betroffenen Person zu unterscheiden.
Art. 82 DSGVO enthält keine festen Beträge oder Tabellen. Die Höhe muss einen vollständigen und wirksamen Ausgleich des tatsächlich entstandenen Schadens ermöglichen, darf aber nicht strafenden Charakter haben. Berücksichtigt werden können insbesondere Sensibilität und Umfang der betroffenen Daten, Reichweite und Dauer des Kontrollverlusts, konkrete Folgen, Reaktion des Verantwortlichen und fortbestehende Risiken.
Entscheidungen anderer Gerichte bieten Orientierung, ersetzen aber nicht die Bewertung des eigenen Sachverhalts. Hohe Forderungsbeträge sind ohne konkrete Darlegung der persönlichen oder wirtschaftlichen Folgen nicht allein aufgrund der Datenschutzverletzung gerechtfertigt.
Für die Prüfung sollten der Verarbeitungsvorgang und seine Folgen chronologisch dokumentiert werden. Wichtig sind insbesondere:
Pauschale Formulierungen reichen häufig nicht aus. Je genauer sich Zeitpunkt, Dauer, Kenntniserlangung, Folgen und Reaktionen belegen lassen, desto belastbarer kann der Anspruch oder die Verteidigung bewertet werden.
Vor einer Bezifferung kann eine datenschutzrechtliche Auskunft erforderlich sein, um Art, Zweck, Herkunft, Empfänger und Speicherdauer der Datenverarbeitung zu klären. Daneben kommt eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde in Betracht. Das aufsichtsrechtliche Verfahren ersetzt den zivilrechtlichen Schadensersatzprozess jedoch nicht.
Für gerichtliche Ansprüche sind Zuständigkeit, Verjährung, richtige Anspruchsgegner und schlüssige Darlegung gesondert zu prüfen. Ebenso ist auf laufende Fristen in vorgerichtlicher Korrespondenz oder bereits zugestellten gerichtlichen Schreiben zu achten.
Nein. Neben dem Verstoß müssen ein materieller oder immaterieller Schaden und dessen Zusammenhang mit dem Verstoß vorliegen.
Eine starre Erheblichkeitsschwelle ist mit dem Unionsrecht nicht vereinbar. Gleichwohl muss eine tatsächliche Beeinträchtigung bestehen und dargelegt werden.
Nein. Veröffentlichte Urteile sind einzelfallbezogen. Art, Umfang, Dauer und Folgen der Verarbeitung bestimmen die Bewertung.
Weitere Informationen finden Sie im Bereich Schadensersatzrecht.
Übersenden Sie die Mitteilung über den Vorfall, Auskunftsantworten, bisherige Korrespondenz, Belege zu Datenmissbrauch oder Vermögensschäden sowie eine chronologische Beschreibung der konkreten Auswirkungen. Bei laufenden behördlichen oder gerichtlichen Verfahren sollten alle Fristen sofort genannt werden.