Können Betroffene Schadensersatz verlangen?

Ja. Nach Art. 82 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Ein bloßer Verstoß reicht nicht, die Person muss einen Schaden nachweisen. Eine Erheblichkeitsschwelle gibt es aber nicht: Schon der Verlust der Kontrolle über die eigenen Daten kann ein Schaden sein. Die Beträge für solche Fälle sind meist gering, Massenklagen machen das Risiko für Unternehmen dennoch relevant.

Die Voraussetzungen des Anspruchs

Der EuGH hat in mehreren Urteilen die Linie vorgegeben:

• Der bloße Verstoß begründet noch keinen Anspruch. Eine Bagatellgrenze für immaterielle Schäden darf es aber nicht geben (EuGH, Urteil vom 04.05.2023, C-300/21, Österreichische Post).
• Schon die begründete Befürchtung, dass Daten nach einem Hackerangriff missbraucht werden, kann ein immaterieller Schaden sein (EuGH, Urteil vom 14.12.2023, C-340/21).
• Der Anspruch setzt ein Verschulden voraus. Dieses wird aber vermutet: Der Verantwortliche muss beweisen, dass er für den schädigenden Umstand in keinerlei Hinsicht verantwortlich ist (EuGH, Urteil vom 21.12.2023, C-667/21).
• Der Schadensersatz hat eine Ausgleichsfunktion, keine Strafwirkung. Der Grad des Verschuldens und die Zahl der Verstöße erhöhen den Betrag nicht (EuGH, C-667/21 und Urteil vom 11.04.2024, C-741/21).
• Hat ein Mitarbeiter weisungswidrig gehandelt, entlastet das den Verantwortlichen nicht automatisch (EuGH, C-741/21).

Materieller und immaterieller Schaden

Materielle Schäden sind finanzielle Einbußen, etwa Kosten nach einem Identitätsmissbrauch, Abbuchungen durch Betrüger oder Kosten für die Rechtsverfolgung.

Immaterielle Schäden sind zum Beispiel Kontrollverlust über die Daten, Bloßstellung, Rufschädigung, Diskriminierung oder die begründete Sorge vor Missbrauch. Der Bundesgerichtshof hat 2024 in einem Leitentscheidungsverfahren zum Facebook-Scraping entschieden: Schon der bloße und kurzzeitige Verlust der Kontrolle über eigene Daten kann ein immaterieller Schaden sein. Weitere Nachteile muss die Person dafür nicht nachweisen. Für den reinen Kontrollverlust hielt der BGH einen Betrag von 100 Euro für angemessen (BGH, Urteil vom 18.11.2024, VI ZR 10/24).

Wie hoch ist der Schadensersatz?

Die DSGVO nennt keine Beträge. Die Gerichte schätzen den Schaden nach nationalem Recht (§ 287 ZPO). Maßgeblich sind Art und Dauer der Beeinträchtigung, die Sensibilität der Daten und die konkreten Folgen für die Person. Bei reinem Kontrollverlust bewegen sich die Beträge nach der BGH-Rechtsprechung im niedrigen dreistelligen Bereich. Bei sensiblen Daten, öffentlicher Bloßstellung oder tatsächlichem Missbrauch können sie deutlich höher liegen. Für Unternehmen entsteht das Risiko vor allem durch die Zahl der Betroffenen: 100 Euro mal 50.000 Kunden sind fünf Millionen Euro.

Wer haftet?

• Der Verantwortliche haftet für jeden Schaden, der durch eine verordnungswidrige Verarbeitung entsteht (Art. 82 Abs. 2 Satz 1 DSGVO).
• Der Auftragsverarbeiter haftet nur, wenn er seine speziellen Pflichten aus der DSGVO verletzt oder gegen rechtmäßige Weisungen gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).
• Mehrere Beteiligte haften gesamtschuldnerisch. Die betroffene Person kann den vollen Betrag von jedem verlangen (Art. 82 Abs. 4 DSGVO). Wer zahlt, kann bei den anderen Rückgriff nehmen (Art. 82 Abs. 5 DSGVO).

Wo und wie lange können Betroffene klagen?

Zuständig sind die ordentlichen Gerichte, bei Beschäftigten die Arbeitsgerichte. Die betroffene Person kann am Ort Ihrer Niederlassung oder an ihrem eigenen Aufenthaltsort klagen (Art. 79 Abs. 2 DSGVO, § 44 BDSG). Der Anspruch verjährt in der Regel nach drei Jahren, gerechnet ab dem Ende des Jahres, in dem die Person vom Schaden und vom Schädiger erfahren hat (§§ 195, 199 BGB).

Verbraucherverbände können außerdem Verbandsklagen erheben. Seit Oktober 2023 sind nach dem Verbraucherrechtedurchsetzungsgesetz (VDuG) Abhilfeklagen möglich, mit denen Ansprüche vieler Verbraucher gebündelt werden.

Schadensersatz und Bußgeld

Schadensersatz und Bußgeld schließen sich nicht aus. Das Bußgeld verhängt die Aufsichtsbehörde von Amts wegen, es fließt an den Staat und setzt keinen Schaden voraus (Art. 83 DSGVO). Den Schadensersatz muss die betroffene Person selbst geltend machen, er gleicht ihren Schaden aus.

Typische Fälle aus der Praxis

Datenleck nach Hackerangriff: Kundendaten tauchen im Netz auf. Betroffene verlangen Ersatz für Kontrollverlust und Sorge vor Missbrauch. Entscheidend ist, ob Ihre technischen und organisatorischen Maßnahmen angemessen waren (Art. 32 DSGVO). Ein erfolgreicher Angriff allein beweist nicht, dass sie unzureichend waren (EuGH, C-340/21). Die Beweislast für die Angemessenheit liegt aber bei Ihnen.

E-Mail an den falschen Empfänger: Ein Mitarbeiter schickt eine Gehaltsabrechnung an den falschen Kollegen. Ein immaterieller Schaden ist möglich, der Betrag hängt von den Umständen ab.

Verspätete oder unvollständige Auskunft: Ob allein daraus ein Schaden folgt, beurteilen die Gerichte unterschiedlich. Die Person muss auch hier einen konkreten Nachteil darlegen.

Wer muss was beweisen?

Die Beweislast ist geteilt. Die betroffene Person muss den Verstoß, den Schaden und den Zusammenhang zwischen beiden darlegen und beweisen. Den Schaden muss sie konkret schildern, etwa welche Sorgen oder Nachteile sie hatte. Allgemeine Formulierungen aus Musterschreiben reichen den Gerichten oft nicht.

Sie als Verantwortlicher müssen dagegen beweisen, dass Sie für den schädigenden Umstand nicht verantwortlich sind (Art. 82 Abs. 3 DSGVO). Wegen der Rechenschaftspflicht müssen Sie außerdem nachweisen können, dass Ihre Verarbeitung den Grundsätzen der DSGVO entspricht (Art. 5 Abs. 2 DSGVO). Bei einem Hackerangriff heißt das: Sie legen dar, welche Schutzmaßnahmen bestanden und warum sie angemessen waren.

Was tun, wenn eine Forderung eintrifft?

• Frist notieren und den Datenschutzbeauftragten einbinden.
• Sachverhalt intern klären: Gab es den behaupteten Verstoß wirklich?
• Prüfen, ob gleichzeitig ein Auskunftsantrag nach Art. 15 DSGVO gestellt wurde, und diesen fristgerecht beantworten.
• Nachweise sichern: TOM, Protokolle, Schulungen, Verträge.
• Bei vielen gleichartigen Forderungen einheitlich reagieren und rechtlichen Rat einholen.
• Vorfall auch darauf prüfen, ob eine Meldung nach Art. 33 DSGVO nötig war.

So senken Sie das Haftungsrisiko

• Technische und organisatorische Maßnahmen dokumentieren und regelmäßig prüfen, denn Sie müssen Ihre Entlastung beweisen.
• Beschäftigte schulen und klare Anweisungen geben.
• Einen Prozess für Datenpannen einrichten, um Schäden schnell zu begrenzen und Betroffene zu warnen.
• Auftragsverarbeitungsverträge mit Regelungen zu Haftung und Rückgriff abschließen.
• Betroffenenanfragen fristgerecht und vollständig beantworten.
• Prüfen, ob eine Cyber-Versicherung Datenschutzansprüche abdeckt.

Ein externer Datenschutzbeauftragter hilft Ihnen, diese Nachweise aufzubauen, bevor ein Schaden entsteht.