Schadensersatz nach Art. 82 DSGVO
Der Verstoß ist eine von drei Voraussetzungen und beweist den Schaden nicht. Umgekehrt genügt der Kontrollverlust als Schaden, sodass die Verteidigung in aller Regel nicht am Ob ansetzt, sondern an der Höhe.
Im Posteingang liegt ein Schreiben. Es nennt einen Vorfall, benennt einen Verstoß und fordert eine Summe, häufig gestellt durch einen Anwalt und manchmal für mehrere Betroffene zugleich. Die Frist darin ist kurz.
Der erste Reflex geht in eine von zwei Richtungen, beide sind teuer. Wer zahlt, um Ruhe zu haben, schafft einen Bezugspunkt für die nächsten Schreiben. Wer pauschal zurückweist, verliert die Einwände, auf die es ankommt.
Der Verstoß ist eine von drei Voraussetzungen
Was die Gegenseite tatsächlich verlangen kann, hängt an dem, was das Schreiben nicht belegt. Der Gerichtshof der Europäischen Union hat mehrfach entschieden, dass ein Verstoß für sich genommen keinen Schaden darstellt (4. Oktober 2024, C-507/23).
Voraussetzung 1: Verstoß
Ein Verstoß gegen die Verordnung. Das ist meist der einzige Punkt, den ein Anspruchsschreiben ausführt.
Voraussetzung 2: Schaden
Ein materieller oder immaterieller Schaden, der tatsächlich entstanden ist. Nachzuweisen hat ihn die betroffene Person.
Voraussetzung 3: Kausalzusammenhang
Der Schaden muss gerade auf diesem Verstoß beruhen. Bei einem Datenabgriff aus mehreren Quellen ist das die schwächste Stelle der Forderung.
Die drei Voraussetzungen sind kumulativ und zugleich abschließend. Ein zusätzliches Erfordernis, etwa eine ungerechtfertigte Verletzung des geschützten Interesses, lässt sich nicht daneben stellen.
Der Kontrollverlust genügt als Schaden, die Erwartung an die Höhe nicht
Ob die geforderte Summe realistisch ist, entscheidet sich nicht am Ob des Schadens, denn dort ist die Schwelle niedrig. Der Bundesgerichtshof hat am 18. November 2024 entschieden, dass auch der bloße und kurzzeitige Verlust der Kontrolle über eigene Daten ein immaterieller Schaden sein kann, ohne missbräuchliche Verwendung und ohne weitere spürbare Folgen (VI ZR 10/24).
Setzt die Forderung an
- Kontrollverlust über die betroffenen Daten
- Begründete Befürchtung einer künftigen Verwendung
- Nachweisbarer materieller Nachteil, etwa Aufwand zur Schadensabwehr
Trägt die Höhe nicht
- Die Schwere des Verstoßes für sich genommen
- Der Umsatz oder die Größe des Verantwortlichen
- Haltung und Beweggründe, denn die kennt nur Art. 83 DSGVO
- Ein Zuschlag zur Abschreckung
Das Ende der Auftragsverarbeitung ist die übersehene Anspruchsquelle
Woraus ein Anspruch entsteht, mit dem niemand gerechnet hat, zeigt eine Entscheidung vom 11. November 2025. Der Verantwortliche muss auch bei der Beendigung einer Auftragsverarbeitung dafür sorgen, dass beim Auftragsverarbeiter keine Daten zurückbleiben. Das Erforderliche dazu hat er selbst beizutragen (VI ZR 396/24). Werden zurückgebliebene Daten dort später abgegriffen und im Darknet angeboten, ist das ein Schaden. Daran ändert sich nichts, wenn dieselben Daten schon zuvor rechtswidrig abgegriffen wurden.
Art. 28 Abs. 3 lit. g DSGVO verlangt die Löschung oder Rückgabe nach Abschluss der Leistung. Der Vertragstext allein erfüllt das nicht, denn geschuldet ist ein Beitrag zum tatsächlichen Ergebnis.
04.05.2023
EuGH C-300/21
Drei kumulative Voraussetzungen. Der Schadenseintritt ist eine potenzielle und keine automatische Folge.
20.06.2024
EuGH C-182/22
Bei fehlender Schwere genügt ein geringfügiger Betrag zum vollständigen Ausgleich.
04.10.2024
EuGH C-507/23
Der Verstoß allein ist kein Schaden. Die Funktion des Anspruchs ist ausschließlich ausgleichend.
18.11.2024
BGH VI ZR 10/24
Der bloße und kurzzeitige Kontrollverlust kann ein immaterieller Schaden sein.
11.11.2025
BGH VI ZR 396/24
Die Pflicht des Verantwortlichen reicht bis zur tatsächlichen Löschung beim Auftragsverarbeiter.
Was in die Antwort auf das Schreiben gehört
Wie auf die Forderung zu antworten ist, entscheidet sich vor der ersten Zeile, weil jede Äußerung im späteren Verfahren gelesen wird.
- Der behauptete Verstoß ist geprüft und vom behaupteten Schaden getrennt beantwortet
- Zum Kausalzusammenhang ist vorgetragen, insbesondere bei Daten aus mehreren Quellen
- Die Entlastung nach Art. 82 Abs. 3 DSGVO ist geprüft und die Dokumentation dazu gesichtet
- Die eigene Meldung an die Aufsicht und deren Stand sind berücksichtigt
- Kein Betrag wird genannt, bevor die Zahl der weiteren Betroffenen feststeht
Wo der Schaden am unteren Rand liegt, kommt eine Entschuldigung als Ersatz in Betracht, sofern sie den Schaden vollständig ausgleicht. Als taktisches Zugeständnis eignet sie sich nicht, wohl aber als Maßstab dafür, in welcher Größenordnung sich der Fall bewegt.
Wie wir unterstützen
- Nach dem AnspruchsschreibenWir wehren die Forderung ab, trennen Verstoß und Schaden und antworten fristwahrend.
- Bei mehreren BetroffenenWir stimmen die Antworten ab, damit kein Schreiben einen Bezugspunkt für die übrigen schafft.
- Vor dem nächsten VorfallWir prüfen die Löschung bei beendeten Aufträgen und die Dokumentation, auf die es bei der Entlastung ankommt.
Nicht behandelt ist hier der Anspruch aus der Sicht der betroffenen Person. Wir vertreten in diesen Fällen die Verantwortlichen.
Eine Forderung liegt vor, die Frist läuft?
Melden Sie sich, bevor geantwortet wird. Die erste Antwort bindet weiter, als sie soll.
Forderung prüfen lassenHäufige Fragen
Mit welcher Größenordnung ist zu rechnen?
Eine Tabelle gibt es nicht. Der Gerichtshof hat die Bemessung ausdrücklich den Mitgliedstaaten überlassen. Feststeht die Richtung: Art. 82 DSGVO hat ausschließlich eine ausgleichende Funktion, ein Strafzuschlag ist ausgeschlossen und bei fehlender Schwere des Schadens genügt ein geringfügiger Betrag. Die Haltung und die Beweggründe des Verantwortlichen bleiben außer Betracht, denn diese Kriterien kennt nur Art. 83 DSGVO für die Geldbuße.
Können wir einwenden, es sei gar kein Schaden entstanden?
Selten mit Erfolg. Der Bundesgerichtshof hat am 18. November 2024 entschieden, dass auch der bloße und kurzzeitige Kontrollverlust ein immaterieller Schaden sein kann, ohne missbräuchliche Verwendung und ohne weitere spürbare Folgen (VI ZR 10/24). Der Einwand hat Aussicht, wo der Kontrollverlust selbst zweifelhaft ist, etwa weil die Daten den Empfängerkreis nie verlassen haben.
Genügt eine Entschuldigung?
Sie kommt in Betracht. Der Gerichtshof hat am 4. Oktober 2024 entschieden, dass eine Entschuldigung einen angemessenen Ersatz darstellen kann, sofern sie geeignet ist, den entstandenen Schaden in vollem Umfang auszugleichen (C-507/23). Das setzt einen Schaden am unteren Rand voraus. Rechtlich bedeutsam ist die Feststellung vor allem, weil sie zeigt, woran sich die Bemessung ausrichtet.
Wann haften wir nicht?
Nach Art. 82 Abs. 3 DSGVO entfällt die Haftung, wenn der Verantwortliche nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist. Die Schwelle ist hoch, die Beweislast liegt bei uns. In der Praxis entscheidet sich das an der Dokumentation der getroffenen Maßnahmen, die zum Zeitpunkt des Vorfalls vorliegen musste.
Haften wir für den Dienstleister?
Für die eigene Auswahl und Kontrolle, darüber hinaus für das, was am Ende des Auftrags geschieht. Der Bundesgerichtshof hat am 11. November 2025 entschieden, dass der Verantwortliche das nach den Umständen Erforderliche beitragen muss, damit die Daten bei Auftragsende zurückgegeben oder gelöscht werden (VI ZR 396/24). Ein Vertragstext allein genügt dafür nicht.