Wer gegen die DSGVO verstößt, kann Betroffenen nach Art. 82 DSGVO Schadensersatz schulden, auch für immaterielle Schäden wie einen Kontrollverlust über ihre Daten. Seit Gerichte die Hürden dafür gesenkt haben, erreichen solche Forderungen auch kleine und mittlere Betriebe. Entscheidend ist dann, ob Sie Ihre Datenschutzorganisation belegen können.
Was Art. 82 DSGVO regelt
Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Materielle Schäden sind etwa Kosten nach einem Datenmissbrauch. Praktisch wichtiger sind die immateriellen Schäden: Ärger, Sorge oder eben der Verlust der Kontrolle über eigene Daten.
Der Anspruch steht neben möglichen Bußgeldern der Aufsichtsbehörde. Er wird nicht von einer Behörde verhängt, sondern von der betroffenen Person selbst geltend gemacht, notfalls vor Gericht. Für Unternehmen bedeutet das: Auch ohne jede behördliche Prüfung kann ein Datenschutzverstoß Geld kosten.
Wie die Gerichte die Hürden gesenkt haben
Kein Schadensersatz ohne Schaden, aber keine Bagatellgrenze
Der Europäische Gerichtshof hat im Mai 2023 (Rechtssache C-300/21) klargestellt, dass ein bloßer Verstoß gegen die DSGVO noch keinen Anspruch begründet. Die betroffene Person muss einen Schaden darlegen. Zugleich hat er eine Erheblichkeitsschwelle abgelehnt: Auch geringe immaterielle Beeinträchtigungen zählen.
Angst vor Missbrauch und bloßer Kontrollverlust
Im Dezember 2023 (C-340/21) hat der EuGH entschieden, dass schon die begründete Befürchtung, gestohlene Daten könnten missbraucht werden, ein immaterieller Schaden sein kann. Der Bundesgerichtshof ist im November 2024 im ersten Leitentscheidungsverfahren zum sogenannten Facebook-Scraping (VI ZR 10/24) einen Schritt weitergegangen: Bereits der bloße, auch kurzzeitige Verlust der Kontrolle über personenbezogene Daten kann einen Schaden darstellen, ohne dass weitere spürbare Folgen nachgewiesen werden müssen.
Die Beträge bleiben bei bloßem Kontrollverlust überschaubar. Der Senat nannte als Größenordnung 100 Euro. Gefährlich für Unternehmen ist aber die Masse: Ein einziger Vorfall kann viele Betroffene und damit viele gleichartige Forderungen auslösen.
Wo die Beweislast liegt
Ein erfolgreicher Hackerangriff bedeutet nicht automatisch, dass Ihre Schutzmaßnahmen ungeeignet waren. Der EuGH verlangt jedoch, dass der Verantwortliche die Geeignetheit seiner Maßnahmen nachweist. Von der Haftung befreit ist nach Art. 82 Abs. 3 DSGVO nur, wer belegt, dass er in keinerlei Hinsicht für den schadensbegründenden Umstand verantwortlich ist.
Damit verschiebt sich die Frage vom Vorfall selbst auf Ihre Dokumentation. Können Sie zeigen, welche technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO Sie getroffen und regelmäßig überprüft haben? Gibt es Verträge mit Ihren Dienstleistern? Wurde die Datenpanne fristgerecht bewertet und gemeldet? Wer hier Lücken hat, steht im Streitfall schwach da, auch wenn der Fehler eigentlich beim Angreifer lag.
Typische Auslöser im Mittelstand
Forderungen entstehen selten aus dem Nichts. Häufig gehen ihnen Ereignisse voraus, die sich im Betrieb früh erkennen lassen:
- eine Datenpanne, etwa eine fehlgeleitete E-Mail, ein verlorenes Gerät oder ein Angriff auf Ihre IT,
- ein unbeantwortetes oder verspätet beantwortetes Auskunftsersuchen nach Art. 15 DSGVO, das einer Forderung vorausgehen kann,
- Streit mit ehemaligen Beschäftigten, in dem Datenschutzansprüche als zusätzliches Druckmittel dienen,
- Website-Dienste oder Werkzeuge, die Daten ohne ausreichende Rechtsgrundlage übertragen.
Bei Dienstleistern gilt: Ein Auftragsverarbeiter haftet nach Art. 82 Abs. 2 DSGVO nur, wenn er seine eigenen Pflichten verletzt oder gegen Ihre Weisungen gehandelt hat. Sind mehrere Beteiligte für denselben Schaden verantwortlich, haftet nach Art. 82 Abs. 4 DSGVO jeder gegenüber der betroffenen Person für den gesamten Schaden. Der Ausgleich erfolgt erst im Innenverhältnis.
Ob eine konkrete Forderung berechtigt ist, hängt von vielen Einzelheiten ab: Liegt überhaupt ein Verstoß vor? Ist der behauptete Schaden plausibel dargelegt? Welche Nachweise haben Sie? Für die rechtliche Vertretung im Streitfall ist eine Anwältin oder ein Anwalt zuständig. Die Datenschutzorganisation, auf die es dabei ankommt, lässt sich aber vorher aufbauen.
Unser Vorgehen
Als externer Datenschutzbeauftragter sehen wir uns mit Ihnen an, wo in Ihrem Betrieb Haftungsrisiken entstehen und welche Nachweise im Ernstfall fehlen würden. Wie die Umsetzung konkret aussieht, klären wir im Gespräch, denn sie hängt von Ihren Abläufen, Ihren Dienstleistern und Ihrer IT ab.
Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Stand dieses Beitrags: November 2026. Quellen: Art. 82 DSGVO (EUR-Lex), EuGH, C-300/21, EuGH, C-340/21.
Häufige Fragen zum DSGVO-Schadensersatz
Reicht ein DSGVO-Verstoß allein für einen Schadensersatzanspruch?
Nein. Der EuGH hat 2023 entschieden, dass ein bloßer Verstoß gegen die DSGVO noch keinen Anspruch begründet. Die betroffene Person muss zusätzlich einen Schaden darlegen, der durch den Verstoß entstanden ist.
Gibt es bei DSGVO-Schadensersatz eine Bagatellgrenze?
Nein. Nach der Rechtsprechung des EuGH darf der Anspruch nicht davon abhängen, dass der immaterielle Schaden eine bestimmte Erheblichkeit erreicht. Auch kleine Beeinträchtigungen können daher zu einem Anspruch führen.
Wie hoch fällt DSGVO-Schadensersatz aus?
Feste Beträge gibt es nicht, die Gerichte bemessen den Schaden im Einzelfall. Für einen bloßen Kontrollverlust hat der Bundesgerichtshof 2024 einen eher geringen Betrag für angemessen gehalten und als Größenordnung 100 Euro genannt. Bei schwereren Folgen kann es deutlich mehr sein.
Haftet ein Unternehmen nach einem Hackerangriff automatisch?
Nein. Ein erfolgreicher Angriff beweist nach dem EuGH nicht von selbst, dass die Schutzmaßnahmen ungeeignet waren. Das Unternehmen muss aber nachweisen können, dass seine Maßnahmen geeignet waren. Fehlt dieser Nachweis, wird es schwierig.
Haftet auch unser IT-Dienstleister für Datenschutzschäden?
Ein Auftragsverarbeiter haftet nach Art. 82 Abs. 2 DSGVO, wenn er seine eigenen Pflichten aus der DSGVO verletzt oder gegen Ihre Weisungen gehandelt hat. Gegenüber der betroffenen Person kann trotzdem Ihr Unternehmen als Verantwortlicher in Anspruch genommen werden.
