Wer regelmäßig E-Mails oder Nachrichten über Business-Netzwerke wie Xing oder LinkedIn versendet, dem ist dies vielleicht schon mehr als einmal passiert: Der falsche Empfänger ist ausgewählt – etwa durch die Autovervollständigung, die nur einen ähnlichen Namen aber nicht den korrekten vorschlägt – und vertrauliche Informationen landen dort, wo sie nicht hingehören.
Dies kann zu einem unangenehmen Moment, aber auch zu einem Schadensersatzanspruch nach Art. 82 Datenschutz-Grundverordnung (DSGVO) führen. Dies zeigt der Bundesgerichtshof (BGH) mit seinem Urteil vom 23. Juni 2026 (Az. VI ZR 97/22). Das Urteil setzt die Vorgaben des Europäischen Gerichtshofs (EuGH) konsequent um und verdeutlicht einmal mehr, dass der Verlust der Kontrolle über personenbezogene Daten durchaus einen immateriellen Schaden darstellen kann. Mit der einschlägigen Rechtsprechung haben wir uns bspw. hier und hier befasst.
Gehaltsvorstellungen in den falschen Händen
Das Urteil hat eine Vorgeschichte, die beim Landgericht (LG) Darmstadt begann und zur Berufung zum Oberlandesgericht (OLG) Frankfurt ging. Darüber berichteten wir bereits in der Vergangenheit. Eine Bank wollte einem Bewerber über Xing ein vertrauliches Gehaltsangebot übersenden. Die Nachricht enthielt u. a. die angebotene Vergütung sowie weitere Informationen zum laufenden Bewerbungsprozess. Durch ein Versehen erhielt jedoch nicht nur der Bewerber die Nachricht, sondern auch ein außenstehender Branchenkollege. Dieser wusste damit nicht nur von der Bewerbung, sondern auch von dem Gehaltsangebot der Bank, das unter den Vorstellungen des Bewerbers lag. Er nutzte diese Informationen anschließend sogar, um den Bewerber zu fragen, ob er auf Stellensuche sei. Der Bewerber verlangte daraufhin immateriellen Schadensersatz nach Art. 82 DSGVO sowie Unterlassung weiterer Datenübermittlungen.
Der BGH legte dem EuGH u. a. die Frage vor, ob negative Gefühle bereits für Schadensersatz ausreichen und ob der Grad der Verschuldung Einfluss hat auf die Bemessung des Schadensersatzes.
Der EuGH geht in seiner Antwort davon aus (Urteil vom 4. September 2025, Quirin Privatbank AG, Rechtssache C-655/23, wir berichteten), dass bereits der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann. Hinzukommen können nachvollziehbare Sorgen oder Ängste hinsichtlich einer möglichen weiteren Verwendung der Daten. Im vorliegenden Fall genügte es, dass eine außenstehende Person Kenntnis von den vertraulichen Informationen erlangte und der Bewerber dadurch die Kontrolle über seine personenbezogenen Daten verlor. Außerdem sah der EuGH den Grad des Verschuldens für Schadensersatz als unerheblich an.
Der BGH bejahte den Schadensersatzanspruch dem Grunde nach. Über dessen Höhe muss nun erneut das Oberlandesgericht (OLG) Frankfurt entscheiden. Den Unterlassungsanspruch lehnte der BGH hingegen ab, da das Bewerbungsverfahren bereits beendet war und deshalb keine Wiederholungsgefahr mehr bestand.
Schmerzensgeld nur mit Nachweis
Mit diesem Urteil bestätigt der BGH die Rechtsprechung des EuGH zum immateriellen Schadensersatz nach Art. 82 DSGVO.
Allerdings führt ein Datenschutzverstoß nicht automatisch zu einem Schadensersatzanspruch, wie der BGH betont. Nach wie vor müssen die Voraussetzungen des Art. 82 DSGVO erfüllt sein. Insbesondere muss ein immaterieller Schaden tatsächlich eingetreten sein. Der Verlust der Kontrolle über personenbezogene Daten kann hierfür bereits ausreichen. Eine besondere Erheblichkeit oder gar ein wirtschaftlicher Schaden werden dagegen nicht verlangt. Dies hat der EuGH dem BGH mit auf den Weg gegeben.
Fazit
Im konkreten Fall hat der BGH einen Schadensersatz nicht ausgeschlossen, betont aber im Einklang mit dem EuGH, dass die betroffene Person nachweisen muss, dass sie einen Schaden erlitten hat. Die Ablehnung einer Erheblichkeitsschwelle heißt nicht, dass sie den Schaden nicht beweisen muss. Allerdings sind die Hürden nicht allzu hoch, da auch ein tatsächlicher, kurzzeitiger Kontrollverlust für einen immateriellen Schadensersatz ausreichen kann.
Unternehmen und Behörden müssten daher ihre Beschäftigten darauf sensibilisieren, den Absender auch in der Hektik des Alltags sorgfältig auszuwählen – sowohl bei Messengern als auch bei Nachrichten per E-Mail.
Keine Kommentare