Das Wichtigste in Kürze
- Art. 82 DSGVO gibt Betroffenen einen Anspruch auf Schadensersatz bei Datenschutzverstößen — auch für immaterielle Schäden.
- Nach EuGH und BGH kann bereits der bloße Verlust der Kontrolle über personenbezogene Daten ein Schaden sein.
- Ein konkreter finanzieller Nachteil muss dafür nicht nachgewiesen werden.
- Der bloße Verstoß allein genügt aber nicht — es muss ein (auch immaterieller) Schaden hinzukommen.
- Leitentscheidung: BGH, Urteil vom 18. November 2024 — VI ZR 10/24 (Facebook-Scraping).
Datenlecks sind Alltag geworden — Millionen Datensätze tauchen im Netz auf. Lange war unklar, ob Betroffene ohne konkreten Geldverlust überhaupt etwas verlangen können. Höchstrichterlich ist das inzwischen geklärt.1
Der AnspruchWas Art. 82 DSGVO gewährt
Die Datenschutz-Grundverordnung gibt jeder Person, der wegen eines Verstoßes ein Schaden entstanden ist, einen Anspruch auf Schadensersatz (Art. 82 DSGVO). Erfasst sind ausdrücklich auch immaterielle Schäden — also nicht nur Vermögensnachteile, sondern etwa Ängste, Unbehagen oder eben der Verlust der Kontrolle über die eigenen Daten.
Lange war umstritten, wie hoch die Hürde ist. Muss ein spürbarer Nachteil nachgewiesen werden? Reicht der bloße Ärger? Diese Fragen haben EuGH und BGH nun beantwortet.
Die KlärungKontrollverlust als Schaden
Der EuGH hat entschieden, dass der bloße Verstoß gegen die DSGVO für sich genommen nicht ausreicht — es muss ein Schaden hinzukommen. Zugleich hat er die Schwelle niedrig angesetzt: Bereits der Verlust der Kontrolle über die eigenen Daten kann ein solcher immaterieller Schaden sein.2
Der BGH hat dies in seiner Leitentscheidung zum Facebook-Scraping für Deutschland konkretisiert: Wer nachvollziehbar den Kontrollverlust über seine Daten erlebt, muss keinen darüber hinausgehenden Nachteil beweisen.1
Der Verlust der Kontrolle über die eigenen Daten ist selbst schon der Schaden — ein zusätzlicher Nachteil ist nicht nötig.Kern der BGH-Rechtsprechung
Der HintergrundWie hoch fällt der Ersatz aus?
Die Beträge sind bislang moderat: Für den reinen Kontrollverlust ohne weitere Folgen bewegen sich die zugesprochenen Summen im unteren dreistelligen Bereich. Kommen konkrete Folgen hinzu — etwa Betrugsversuche, Spam-Wellen oder erheblicher Aufwand —, kann der Ersatz höher ausfallen.
Was zählt — und was nicht
- Ausreichend
- Der nachvollziehbare Verlust der Kontrolle über personenbezogene Daten infolge eines Verstoßes.
- Nicht ausreichend
- Der bloße Verstoß ohne jeden Schaden; rein hypothetische, nicht plausible Befürchtungen.
Für BetroffeneSo machen Sie Ansprüche geltend
Wer von einem Datenleck betroffen ist, sollte den Vorfall dokumentieren und den Verantwortlichen zur Auskunft auffordern (Art. 15 DSGVO). Der Schadensersatzanspruch lässt sich einzeln oder gebündelt über Sammelklagen und Verbraucherverbände verfolgen.
Praxis-Hinweis der Redaktion
Bewahren Sie Nachweise über die Betroffenheit auf (Benachrichtigungen, Screenshots, verdächtige Nachrichten). Prüfen Sie, ob eine Sammelklage zu Ihrem Fall läuft — das senkt Aufwand und Kostenrisiko. Achten Sie auf die Verjährung (regelmäßig drei Jahre) und lassen Sie die Erfolgsaussichten im Einzelfall prüfen.
Quellen & Belege
- BGH, Urteil vom 18.11.2024 – VI ZR 10/24 (Facebook-Scraping): bloßer Kontrollverlust über personenbezogene Daten als ersatzfähiger immaterieller Schaden. Bundesgerichtshof.
- EuGH-Rechtsprechung zu Art. 82 DSGVO (u. a. C-300/21): Verstoß allein genügt nicht, Kontrollverlust kann Schaden sein; BGH-Verfahren gegen Meta. Europäischer Gerichtshof; Urteilsdatenbank des vzbv. vzbv.de