DSGVO Schadensersatz Kontrollverlust: Wann eine fehlgeleitete Nachricht haftbar macht
- Noah Osuji
- 13. Aug.
- 7 Min. Lesezeit
Beim DSGVO Schadensersatz Kontrollverlust gilt nach dem BGH: Wird eine personenbezogene Nachricht versehentlich an einen Dritten gesendet und nimmt dieser sie zur Kenntnis und zum Anlass einer Rückfrage, liegt ein ersatzfähiger immaterieller Schaden nach Art. 82 Abs. 1 DSGVO vor, (BGH, Urt. v. 23.06.2026 – VI ZR 97/22).
Das Wichtigste in Kürze
Der BGH bejaht den Schadensersatzanspruch dem Grunde nach und verweist zur Höhe an das OLG Frankfurt zurück. Ein Betrag steht noch nicht fest.
Den Schaden stützt der BGH auf zwei Erwägungen: einen nicht folgenlos gebliebenen Kontrollverlust und eine begründete Missbrauchsbefürchtung.
Der Unterlassungsanspruch scheiterte am Fehlen der Wiederholungsgefahr. Maßgeblich dafür war die auf die konkrete Verletzungsform beschränkte Fassung des Klageantrags – ein Punkt, der in der bisherigen Berichterstattung untergeht.
Der BGH lässt ausdrücklich offen, ob Art. 17 DSGVO einen nationalen Unterlassungsanspruch überhaupt verdrängt.
Inhalt
Der Fall: Eine Xing-Nachricht an den falschen Empfänger
Ein Bewerber stand bei einer Privatbank in einem Bewerbungsprozess, der über Xing lief. Am 23. Oktober 2018 versandte eine Mitarbeiterin der Bank über den Messenger-Dienst des Portals eine nur für den Bewerber bestimmte Nachricht zusätzlich an eine dritte, am Verfahren unbeteiligte Person.
Der Inhalt der Nachricht ist für die rechtliche Bewertung entscheidend: Sie enthielt den Nachnamen des Bewerbers, sein aus der Anrede erkennbares Geschlecht, die Tatsache des laufenden Bewerbungsverfahrens, die Haltung der Bank zu seiner Bewerbung sowie – mittelbar über das Gegenangebot von 80.000 Euro plus variabler Vergütung – die Größenordnung seiner Gehaltsvorstellung.
Der Dritte kannte den Bewerber aus einer früheren gemeinsamen Tätigkeit in derselben Holding. Er leitete die Nachricht weiter und fragte nach, ob der Bewerber auf Stellensuche sei.
Der Bewerber verlangte Unterlassung und mindestens 2.500 Euro immateriellen Schadensersatz. Das Landgericht Darmstadt sprach 1.000 Euro zu und verurteilte zur Unterlassung. Das OLG Frankfurt hob den Schadensersatz auf – der Kläger habe keinen konkreten Schaden dargelegt – und bestätigte die Unterlassungsverurteilung. Der BGH setzte das Verfahren aus und legte dem EuGH vor (C-655/23, Urteil vom 4. September 2025). Nach der Vorabentscheidung hat er nun entschieden: Schadensersatz ja, Unterlassung nein.
DSGVO Schadensersatz Kontrollverlust: die Maßstäbe des EuGH
Der BGH fasst die gefestigte EuGH-Rechtsprechung in vier Sätzen zusammen, die man sich merken sollte:
Grundsatz | Bedeutung |
Autonome Auslegung | Der Begriff des immateriellen Schadens richtet sich nicht nach nationalem Recht, sondern ist unionsrechtlich zu bestimmen und nach Erwägungsgrund 146 weit auszulegen. |
Kein Verstoß-Automatismus | Der bloße DSGVO-Verstoß genügt nicht. Der Schadenseintritt ist eine eigenständige Anspruchsvoraussetzung. |
Keine Erheblichkeitsschwelle | Eine nationale Praxis, die eine bestimmte Schwere verlangt, ist unionsrechtswidrig – auch geringfügige Schäden sind ersatzfähig. |
Nachweislast bleibt | Der Wegfall der Erheblichkeitsschwelle befreit nicht vom Nachweis, dass die negativen Folgen einen immateriellen Schaden darstellen. |
Zwei Fallgruppen sind anerkannt:
Kontrollverlust. Nach Erwägungsgrund 85 zählt der Verlust der Kontrolle über die eigenen Daten zu den möglichen Schäden. Der EuGH formuliert, dass auch ein kurzzeitiger Kontrollverlust einen immateriellen Schaden darstellen kann – sofern die betroffene Person nachweist, dass sie einen solchen Schaden tatsächlich erlitten hat, so geringfügig er auch sein mag.
Begründete Missbrauchsbefürchtung. Die Befürchtung, Daten könnten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden darstellen, sofern sie samt ihrer negativen Folgen ordnungsgemäß nachgewiesen ist. Die bloße Behauptung einer Befürchtung ohne nachgewiesene Folgen genügt nicht, ebenso wenig ein rein hypothetisches Risiko. Die Befürchtung muss unter den besonderen Umständen als begründet angesehen werden können.
Bemerkenswert und praktisch bedeutsam: Zu den ersatzfähigen negativen Folgen können auch Sorge und Ärger zählen – auch dann, wenn solche Gefühle Teil des allgemeinen Lebensrisikos sein können. Und: Eine tatsächliche missbräuchliche Verwendung ist in keiner der beiden Fallgruppen erforderlich.
Warum der BGH den Schaden bejaht
Der BGH stützt sich auf zwei Erwägungen, die er kumulativ anführt („zum einen … zum anderen").
Erstens: Der Kontrollverlust blieb nicht folgenlos. Der Dritte nahm die Daten zur Kenntnis und zum Anlass, sich an den Kläger zu wenden. Darin liegt nach dem BGH bereits eine missbräuchliche Verwendung. Der Senat formuliert ungewöhnlich deutlich, der EuGH-Rechtsprechung lasse sich „ohne Zweifel" entnehmen, dass jedenfalls in einem solchen Fall ein immaterieller Schaden vorliegt.
Zweitens: Die Befürchtung war begründet. Der Kläger befürchtete, der in derselben Branche tätige Dritte könne die Informationen weitergegeben oder sich als Konkurrent einen Bewerbungsvorteil verschafft haben. Dass der Dritte sich tatsächlich nach der Bewerbung erkundigte, machte diese Befürchtung hinreichend begründet.
Der zeitliche Anknüpfungspunkt ist präzise gefasst: Der Schaden liegt spätestens ab dem Zeitpunkt vor, zu dem der Dritte die Daten zur Kenntnis nahm und zum Anlass der Rückfrage machte – nicht schon mit dem Versand.
Ein Detail, das die Verteidigungslinie vieler Unternehmen entkräftet: Die Bank hatte die Identifizierbarkeit des Klägers bestritten. Der BGH verwirft das unter Verweis auf den EuGH (C-479/22). Dass zur Identifizierung gegebenenfalls zusätzliche Informationen erforderlich sind, schließt die Qualifikation als personenbezogene Daten nicht aus. Und die betroffene Person muss nicht nachweisen, dass sie tatsächlich identifiziert wurde.
Wichtig für die Erwartungshaltung: Der BGH hat nur dem Grunde nach entschieden. Die Bemessung ist nach § 287 ZPO dem Tatrichter vorbehalten und wurde an das OLG Frankfurt zurückverwiesen. Die erstinstanzlich zugesprochenen 1.000 Euro sind kein Präjudiz.
Praxisfolgen für Betroffene
Nicht beim Verstoß stehen bleiben. Der Verstoß allein trägt den Anspruch nicht. Vorzutragen ist, was aus ihm folgte.
Die Kenntnisnahme durch den Dritten dokumentieren. Der Wendepunkt im entschiedenen Fall war die Rückfrage des Dritten. Chatverläufe, E-Mails, Screenshots sichern.
Die Befürchtung konkret begründen. Pauschale Sorge genügt nicht. Tragfähig war hier: gleiche Branche, Konkurrenzsituation, mögliche Weitergabe.
Unterlassungsantrag bewusst wählen. Ein auf die konkrete Verletzungsform beschränkter Antrag scheitert, wenn die Situation nicht wiederkehren kann. Wer die organisatorische Fehleranfälligkeit angreifen will, muss den Antrag entsprechend fassen – und trägt dann das Risiko der Unbestimmtheit.
Kostenfolge bedenken. Der Kläger verlor mit der Unterlassung auch den Anspruch auf Erstattung der darauf entfallenden vorgerichtlichen Anwaltskosten
Praxisfolgen für Unternehmen
Die Entscheidung verschiebt das Haftungsrisiko in den Alltag. Ein einzelner Versandfehler – kein Hackerangriff, kein systematisches Datenleck – genügt für einen Anspruch dem Grunde nach.
Organisatorisch: Messenger-Dienste von Karriereportalen sind für vertrauliche Kommunikation strukturell riskant, weil Empfängerauswahl und Nachrichtenverlauf in einer Oberfläche zusammenfallen. Gehaltsdaten und Absageentscheidungen gehören in einen Kanal mit Sendekontrolle.
Prozessual: Das Bestreiten der Identifizierbarkeit ist selten erfolgversprechend. Es müssen sich nicht alle Informationen in einer Hand befinden, und die betroffene Person muss ihre tatsächliche Identifizierung nicht nachweisen.
Bei der Reaktion: Eine Unterlassungserklärung, die sich nur auf den Wortlaut der beanstandeten Nachricht bezieht, ist erkennbar eng. Ob sie genügt, hat der BGH offengelassen – auf diese Frage sollte man sich nicht verlassen.
Zur Meldepflicht: Der BGH konnte offenlassen, ob zusätzlich ein Verstoß gegen Art. 34 DSGVO vorlag, weil der Kläger daraus keinen eigenen Schaden ableitete. Das entlastet nicht: In anderen Konstellationen kann eine unterbliebene Benachrichtigung einen eigenständigen Schadensposten begründen.
Häufige Fragen
Reicht ein DSGVO-Verstoß für Schadensersatz aus?
Nein. Der Schadenseintritt ist eine eigenständige Anspruchsvoraussetzung. Erforderlich ist der Nachweis, dass der Verstoß tatsächlich zu einem Schaden geführt hat.
Ist der bloße Kontrollverlust ein ersatzfähiger Schaden?
Er kann es sein. Der EuGH zählt den Verlust der Kontrolle über personenbezogene Daten ausdrücklich zu den möglichen Schäden, auch bei nur kurzzeitigem Verlust. Die betroffene Person muss aber nachweisen, dass sie einen solchen Schaden tatsächlich erlitten hat.
Muss ein tatsächlicher Datenmissbrauch stattgefunden haben?
Nein. Weder beim Kontrollverlust noch bei der begründeten Befürchtung ist eine tatsächliche missbräuchliche Verwendung erforderlich.
Wie viel Schadensersatz gibt es bei einer fehlgeleiteten Nachricht?
Das steht im Fall VI ZR 97/22 noch nicht fest. Der BGH hat nur dem Grunde nach entschieden und die Bemessung an das OLG Frankfurt zurückverwiesen. Die Höhe bestimmt der Tatrichter nach § 287 ZPO.
Gibt es neben Schadensersatz auch einen Unterlassungsanspruch?
Die DSGVO selbst sieht ohne Löschungsverlangen keinen präventiven Unterlassungsrechtsbehelf vor. Nationale Ansprüche nach § 1004 Abs. 1 Satz 2 BGB analog bleiben möglich, setzen aber eine Wiederholungsgefahr voraus.
Entfällt die Wiederholungsgefahr, wenn der Anlass weggefallen ist?
Sie kann entfallen. Die Vermutung der Wiederholungsgefahr lässt sich entkräften, wenn der Verstoß durch eine einmalige Sondersituation veranlasst war – etwa ein abgeschlossenes Bewerbungsverfahren.
Fazit
Das Urteil trennt zwei Ansprüche, die in der Praxis oft gemeinsam geltend gemacht werden, konsequent voneinander: Ein vergangener Datenschutzverstoß kann entschädigungspflichtig sein, ohne dass eine Wiederholungsgefahr besteht. Für die anwaltliche Praxis liegt die eigentliche Lehre in der Antragsfassung. Der Kläger scheiterte an der fehlenden Wiederholungsgefahr – und diese entfiel, weil sein Antrag eine Konstellation beschrieb, die sich nach Abschluss des Bewerbungsverfahrens nicht mehr wiederholen konnte.
Verfasser: Noah Osuji, Rechtsanwalt, Kanzlei Osuji. Stand: 13. August 2026. Der Beitrag ersetzt keine Beratung im Einzelfall.
TEIL 3 – Bild und Alt-Text
Hero (1200 × 630) – Prompt:
Photorealistic close-up of a smartphone screen showing a generic messaging interface with a blurred contact list, a finger hovering over the send button, soft desk lighting, muted colours, no readable text, no logos, no brand marks, documentary style, 16:9
Alt-Text: DSGVO Schadensersatz Kontrollverlust: Nachricht wird an falschen Empfänger gesendet
Eigene Grafik (empfohlen, 1000 × 700): Zweispaltige Gegenüberstellung „Schadensersatz Art. 82 DSGVO" vs. „Unterlassung § 1004 BGB analog" mit den jeweiligen Voraussetzungen und dem Ergebnis im Fall. Als SVG erstellen.
Alt-Text: Gegenüberstellung der Voraussetzungen von Schadensersatz nach Art. 82 DSGVO und Unterlassungsanspruch
Kein Xing-Logo, keine Bank-Anmutung, keine identifizierbaren Personen.
TEIL 4 – Vor Veröffentlichung zu klären
Fachliche Freigabe zwingend. Die Bewertung im Abschnitt 4 – der Unterlassungsanspruch sei an der Antragsfassung und nicht am materiellen Recht gescheitert – ist eine redaktionelle Einordnung. Sie ist aus Rn. 29 und Rn. 30 des Urteils belegbar, geht aber über den Wortlaut hinaus.
Zitate gegen die Primärquelle prüfen. Urteilsvolltext als PDF auf bundesgerichtshof.de sowie dejure.org (Fundstelle 2026,21461).
EuGH C-655/23 (Urt. v. 04.09.2025, NJW 2025, 3137) und VI ZR 10/24 (BGHZ 242, 180) verifizieren.
Aktuellen Verfahrensstand prüfen. Die Sache ist an das OLG Frankfurt zurückverwiesen. Falls dort bereits entschieden wurde, gehört das in den Beitrag – und wäre ein erheblicher Vorsprung gegenüber allen bestehenden Veröffentlichungen.
Platzhalter ersetzen: [NAME], [Anwaltsprofil], interne Links.
Wettbewerbslage (Stand 13.08.2026): Zur Entscheidung liegen Beiträge von beck-aktuell, Haufe, mehreren IT-Rechtskanzleien und einem Universitätsblog vor. Alle referieren die Schadensersatzbegründung. Die Antragsproblematik (Rn. 29/30), die offengelassene Frage zum Verhältnis von Art. 17 DSGVO und nationalem Unterlassungsanspruch sowie der Hinweis, dass noch kein Betrag feststeht, kommen in den gesichteten Beiträgen nicht oder nur am Rande vor. Darin liegt die Differenzierung.
Kommentare