Das Wichtigste in Kürze
- Wer durch einen Datenschutzverstoß einen Schaden erleidet, hat Anspruch auf Ersatz – auch für immaterielle Schäden (Art. 82 DSGVO).
- Eine Bagatellgrenze gibt es nicht, ein Schaden muss aber konkret dargelegt werden (EuGH, Urt. v. 04.05.2023 – C-300/21; BGH, Beschl. v. 12.12.2023 – VI ZR 277/22).
- Nach dem BGH genügt bereits der bloße Kontrollverlust über die eigenen Daten als Schaden – etwa nach einem Datenleck (BGH, Urt. v. 18.11.2024 – VI ZR 10/24).
- Die zugesprochenen Beträge liegen häufig im dreistelligen Bereich, bei schweren Fällen – etwa veröffentlichten Gesundheits- oder Intimdaten – deutlich darüber.
- Wir prüfen Ihren Fall in einer kostenlosen Ersteinschätzung und setzen den Anspruch außergerichtlich oder vor Gericht durch.
Datenlecks, fehlerhafte Bonitätsauskünfte, veröffentlichte Bewerbungsunterlagen oder Gesundheitsdaten im falschen Postfach: Datenschutzverletzungen sind Alltag – und sie kosten Geld. Art. 82 DSGVO gibt Betroffenen einen Anspruch auf Ersatz des materiellen und des immateriellen Schadens. Während der materielle Schaden das Vermögen betrifft, geht es beim immateriellen Schaden um Ängste, Kontrollverlust, Bloßstellung oder Stress – umgangssprachlich das „Schmerzensgeld“ des Datenschutzrechts. Drei Fragen entscheiden über jeden Fall: Was ist überhaupt ein Schaden, wer muss ihn darlegen und wie hoch fällt der Ersatz aus? Die Rechtsprechung von EuGH und BGH hat sie in den letzten Jahren weitgehend beantwortet.
Keine Erheblichkeitsschwelle, aber Nachweis
Ein erstes Grundsatzurteil fällte der EuGH am 04. Mai 2023 (EuGH, Urteil vom 4. Mai 2023, Az.:C-300/21). Darin stellte er fest, dass ein bloßer Verstoß gegen eine Bestimmung der DSGVO allein nicht ausreicht, um Schadensersatz nach Art. 82 DSGVO fordern zu können. Vielmehr bedarf es zusätzlich des Eintritts eines Schadens, der kausal auf dem Verstoß beruht. Eine gewisse Erheblichkeitsschwelle muss ein immaterieller Schaden zwar nicht überschritten haben, dennoch ist von der betroffenen Person ein Nachweis des Schadens zu erbringen.
Negative Folgen konkret benennen
Diesen Feststellungen folgte der 6. Zivilsenat des BGH mit seinem Beschluss im Dezember 2023 (BGH, Beschluss vom 12. Dezember 2023, Az.: VI ZR 277/22). Dort hatte er über eine Anhörungsrüge einer Klägerin zu entscheiden, nachdem deren Nichtzulassungsbeschwerde durch Beschluss vom 28. September 2023 zurückgewiesen wurde. Die Klägerin rügte die Verletzung rechtlichen Gehörs gemäß Art. 103 Abs. 1 GG und meinte, dass das Berufungsgericht von einer zu hohen Schwelle in Bezug auf die Darlegungslast bei immateriellen Schäden nach Art. 82 DSGVO ausgegangen sei.
Entsprechend dem Urteil des EuGH vom 04. Mai 2023 entschied der BGH, dass die negativen Folgen des Verstoßes gegen die DSGVO, die einen immateriellen Schaden darstellen können, vom Betroffenen konkret zu benennen sind. Solche negativen Folgen seien weder im Schriftsatz der Klägerin noch im Sitzungsprotokoll aufgeführt gewesen. Jedenfalls habe die Nichtzulassungsbeschwerde nicht aufgezeigt, dass und an welcher Stelle diesbezüglicher Vortrag gehalten und übergangen worden sein soll.
Kontrollverlust genügt: BGH zum Facebook-Datenleck
Den entscheidenden Schritt für Betroffene von Datenlecks hat der BGH im November 2024 gemacht (BGH, Urteil vom 18.11.2024 – VI ZR 10/24). Anlass war das Facebook-Scraping von 2021, bei dem Daten von rund 533 Millionen Nutzern abgegriffen und veröffentlicht wurden. Der BGH entschied: Bereits der bloße Kontrollverlust über die eigenen personenbezogenen Daten ist ein immaterieller Schaden im Sinne von Art. 82 DSGVO. Betroffene müssen keine konkrete missbräuchliche Verwendung, keine Spam-Anrufe und keinen Identitätsdiebstahl nachweisen – der Verlust der Kontrolle reicht. Für den Kontrollverlust allein hielt der BGH einen Betrag von etwa 100 Euro für angemessen; wer darüber hinausgehende Folgen darlegt, kann mehr verlangen.
Damit ist die Darlegungslast für die häufigste Fallgruppe – das Datenleck beim Unternehmen – deutlich gesunken. Für andere Fallgruppen (Auskunftsverweigerung, verspätete Auskunft, unzulässige Weitergabe) bleibt es beim Grundsatz: Die negativen Folgen sind konkret zu benennen. Mehr zum Facebook-Fall in unserem Beitrag Entschädigung für Facebook-Nutzer.
Höhe des Schadensersatzes
Die Höhe des Schadensersatzes für immaterielle Schäden hängt von verschiedenen Faktoren ab und ist immer eine Abwägung der Umstände des Einzelfalls. Hier spielen unter anderem die Intensität, aber auch Art und Dauer der Rechtsverletzung eine Rolle. Hierbei ist jedoch zu beachten, dass der Schadensersatz nicht den Zweck hat, den Schädiger zu bestrafen, sondern den Schaden vollständig auszugleichen und Genugtuung zu verschaffen. Eine Orientierung hierfür bietet eine Übersicht, die die jeweils gerichtlich zugesprochenen Höhen des Schadensersatzes enthält, die von Rechtsanwalt Kevin Leibold erstellt wurde (ZD-Aktuell 2024, 01535).
Fazit: Anspruch ja – aber mit sauberer Darlegung
Ein Datenschutzverstoß allein bringt kein Geld; der Schaden muss dargelegt werden. Die Hürde ist seit dem BGH-Urteil zum Kontrollverlust aber niedrig, und bei intensiven Verstößen – veröffentlichte Gesundheits-, Intim- oder Bewerbungsdaten – sind vierstellige Beträge realistisch. Entscheidend ist, die Folgen des Verstoßes konkret und belegbar vorzutragen, bevor der Anspruch geltend gemacht wird.
Wir konnten für unsere Mandanten bereits erhebliche Schadenersatzforderungen realisieren. In einem Fall hatte ein Influenzer ohne Einwilligung Daten zu sexuellen Vorlieben einer Besucherin einer Veranstaltung veröffentlicht.
Ein zweiter Fall bei dem ein IT-Unternehmen die Bewerbungsunterlagen nach Abschluss des Bewerbungsverfahrens nicht gelöscht hatte und die Bewerbungsunterlagen noch 8 Monate nach Abschluss des Bewerbungsverfahrens öffentlich im Internet auffindbar waren, geht gerade ins Klageverfahren.
So gehen wir vor
- Verstoß sichern: Screenshots, Schreiben, Meldungen der Aufsichtsbehörde, Datenleck-Datenbanken.
- Folgen dokumentieren: Was hat der Verstoß bei Ihnen ausgelöst – Sorgen, Zeitaufwand, Nachteile im Beruf, Belästigung durch Dritte?
- Auskunft verlangen (Art. 15 DSGVO): Oft liefert erst die Auskunft die Beweise für Umfang und Dauer des Verstoßes.
- Anspruch beziffern und geltend machen: außergerichtlich mit Frist, dann Klage – bei Datenlecks häufig als Teil einer Vielzahl gleichgelagerter Verfahren.
Weiterführende Beiträge
Wie Sie ein Datenleck nachweisen, zeigt unser Beitrag zu Datenschutzverletzungen und HaveIBeenPwned; welche Ansprüche Betroffene des Tegut-Hacks haben, unter Tegut-Hack. Unsere Beratung im Datenschutzrecht für Unternehmen und Betroffene: Rechtsanwalt für Datenschutzrecht. Die kostenlose Ersteinschätzung ist der erste Schritt.
Zuletzt aktualisiert: September 2026.
Häufige Fragen zum Schadensersatz nach DSGVO
Wie hoch ist der Schadensersatz bei einem Datenleck?
Für den bloßen Kontrollverlust hat der BGH rund 100 Euro als angemessen angesehen. Kommen konkrete Folgen hinzu – Missbrauch der Daten, Belästigung, psychische Belastung – oder betrifft der Verstoß sensible Daten wie Gesundheits- oder Intimdaten, sprechen Gerichte deutlich höhere, teils vierstellige Beträge zu.
Muss ich einen konkreten Schaden nachweisen?
Ja, ein Verstoß allein reicht nicht. Bei Datenlecks genügt nach dem BGH aber der Kontrollverlust als Schaden. In anderen Fällen müssen Sie die negativen Folgen benennen: Ängste, Zeitaufwand, berufliche Nachteile, Bloßstellung. Eine Erheblichkeitsschwelle gibt es nicht.
Wie lange kann ich Schadensersatz nach DSGVO geltend machen?
Der Anspruch aus Art. 82 DSGVO verjährt nach den allgemeinen Regeln des BGB in drei Jahren ab dem Ende des Jahres, in dem Sie vom Verstoß und vom Verantwortlichen Kenntnis erlangt haben (§§ 195, 199 BGB). Bei Datenlecks aus dem Jahr 2021 ist deshalb Eile geboten; wir prüfen die Frist im Einzelfall.
