Schadensersatz bei Datenschutzverstoß: Wann Sie Anspruch haben und wie viel Geld es gibt

Wer Ihre personenbezogenen Daten rechtswidrig verarbeitet, schuldet Ihnen Schadensersatz, sobald Ihnen dadurch ein Schaden entsteht. Das gilt für Unternehmen ebenso wie für Behörden, Polizei und Gerichte. Grundlage ist Art. 82 der Datenschutz-Grundverordnung (DSGVO), im Strafverfahren § 83 des Bundesdatenschutzgesetzes (BDSG). Der Verstoß allein genügt nicht: Sie müssen Ihren Schaden konkret belegen.

Was ist ein Datenschutzverstoß?

Ein Datenschutzverstoß liegt vor, wenn jemand Ihre personenbezogenen Daten ohne Rechtsgrundlage verarbeitet, sie unzureichend schützt oder Ihre Rechte als Betroffener missachtet. Personenbezogene Daten sind alle Informationen, die sich auf Sie beziehen: Name, Anschrift, Telefonnummer, Kontodaten, Gesundheitsdaten.

Typische Fälle:

• Datenleck oder Hackerangriff: Kundendaten gelangen ins Internet.
• Fehlversand: Ein Brief, eine E-Mail oder eine ganze Akte geht an den falschen Empfänger.
• Unberechtigte SCHUFA-Meldung: Ein Unternehmen meldet eine bestrittene Forderung an eine Auskunftei.
• Unerlaubte Weitergabe: Ihre Adresse oder Telefonnummer geht ohne Ihre Einwilligung an Dritte.
• Verweigerte Auskunft: Sie erfahren nicht, welche Daten über Sie gespeichert sind.

Auch die verweigerte Auskunft kann einen Anspruch auslösen. Das hat der Europäische Gerichtshof (EuGH) am 19. März 2026 klargestellt (C-526/24, Brillen Rottler). Wer die Auskunft allerdings nur verlangt, um einen Schadensersatzanspruch zu konstruieren, handelt missbräuchlich und geht leer aus.

Wann haben Sie Anspruch auf Schadensersatz?

Sie haben Anspruch, wenn drei Voraussetzungen zusammenkommen (Art. 82 Abs. 1 DSGVO):

1. Verstoß: Das Unternehmen oder die Behörde hat gegen das Datenschutzrecht verstoßen.
2. Schaden: Ihnen ist ein materieller oder immaterieller Schaden entstanden.
3. Ursächlichkeit: Der Schaden beruht auf dem Verstoß.

Alle drei Punkte müssen Sie darlegen und beweisen. Das verlangt der EuGH seit seinem Urteil vom 4. Mai 2023 (C-300/21, Österreichische Post). Zugleich gilt: Eine Bagatellgrenze gibt es nicht. Auch ein kleiner Schaden ist zu ersetzen.

Materieller Schaden ist jeder Vermögensnachteil: abgebuchtes Geld nach einem Identitätsdiebstahl, Kosten für neue Ausweise oder für notwendige Schutzmaßnahmen. Immaterieller Schaden ist der Nachteil, der sich nicht in Euro beziffern lässt: der Kontrollverlust über die eigenen Daten, eine Bloßstellung, die begründete Angst vor Missbrauch.

Ein Verschulden müssen Sie nicht nachweisen. Der Verantwortliche haftet, solange er nicht beweist, dass er für den Schaden in keiner Weise verantwortlich ist (Art. 82 Abs. 3 DSGVO).

Reichen Ärger oder Angst für einen Anspruch?

Ärger allein reicht nicht, der Verlust der Kontrolle über Ihre Daten dagegen schon. Kontrollverlust bedeutet: Ihre Daten sind tatsächlich bei jemandem angekommen, der sie nicht haben durfte.

Der Bundesgerichtshof (BGH) hat das im Facebook-Verfahren entschieden. Unbekannte hatten Telefonnummern mit Nutzerkonten verknüpft und die Daten im Internet veröffentlicht. Der BGH stellte klar: Schon dieser Kontrollverlust ist ein Schaden. Ein Missbrauch der Daten ist nicht erforderlich (Urteil vom 18. November 2024, VI ZR 10/24).

Anders liegt es, wenn nur ein Risiko im Raum steht. Eine Stadt hatte Schriftstücke unverschlüsselt gefaxt. Der Kläger verlangte 17.500 Euro und bekam nichts: Ein Zugriff Dritter war nicht festgestellt, die Gefahr blieb theoretisch (BGH, Urteil vom 13. Mai 2025, VI ZR 186/22).

Für Ihre Befürchtungen heißt das: Angst vor Missbrauch zählt, wenn sie sich auf Tatsachen stützt. Sind Ihre Kontodaten nachweislich in fremde Hände geraten, ist die Sorge begründet. Die pauschale Aussage „Ich fühle mich unwohl“ überzeugt kein Gericht.

Wie hoch ist der Schadensersatz bei einem Datenschutzverstoß?

Eine feste Tabelle gibt es nicht; die Gerichte schätzen den Betrag im Einzelfall. Für den bloßen Kontrollverlust hält der BGH rund 100 Euro für angemessen. Bei sensiblen Daten oder belegten Folgen liegen die Beträge höher.

Die beiden Urteile aus Pforzheim und Düsseldorf sind älter als die Linie des BGH. Sie zeigen die Größenordnung, sind aber kein Maßstab für jeden Fall.

Darauf achten die Gerichte:

• Art der Daten: Gesundheits- und Finanzdaten wiegen schwerer als eine E-Mail-Adresse.
• Reichweite und Dauer: Wie viele Personen hatten Zugriff, und wie lange?
• Rückholbarkeit: Eine Telefonnummer lässt sich wechseln, eine Wohnanschrift kaum.
• Belegte Folgen: Missbrauch, Bloßstellung, Nachteile bei der Kreditwürdigkeit, gesundheitliche Beeinträchtigungen.

Keine Rolle spielt, wie schwer der Verstoß wiegt oder wie nachlässig das Unternehmen war. Der Schadensersatz gleicht aus, er bestraft nicht (BGH, Urteil vom 28. Januar 2025, VI ZR 183/22). Materielle Schäden kommen hinzu und sind in voller Höhe zu ersetzen.

Haften auch Behörden, Polizei und Gerichte?

Ja. Auch der Staat haftet für Datenschutzverstöße. Für die meisten Behörden gilt wie für Unternehmen Art. 82 DSGVO, etwa für Stadtverwaltung, Jobcenter oder Bürgeramt.

Im Strafverfahren gilt eine eigene Regel. Verarbeiten Polizei, Staatsanwaltschaft oder Strafgericht Ihre Daten rechtswidrig, richtet sich der Anspruch nach § 83 BDSG in Verbindung mit § 500 StPO. Die Vorschrift ist für Betroffene günstig: Bei automatisierter Datenverarbeitung haftet der Staat ohne Verschulden. Auch immaterielle Schäden gleicht er in Geld aus. Für die Gefahrenabwehr der Polizei enthalten die Landesgesetze vergleichbare Regeln.

Anspruchsgegner ist nicht der einzelne Beamte, sondern der Träger der Behörde: die Gemeinde, das Land oder der Bund.

Eine Frage ist noch offen: Der BGH hat dem EuGH am 6. Mai 2025 vorgelegt, ob für Gerichte in Bußgeldverfahren die DSGVO oder das BDSG gilt (VI ZR 53/23). Die Entscheidung steht aus (Stand: November 2026). Für Sie bleibt es in beiden Fällen dabei: Entscheidend ist der belegbare Schaden.

Was sollten Sie nach einem Datenschutzverstoß tun?

Sichern Sie zuerst die Beweise und verlangen Sie dann Auskunft. So gehen Sie vor:

1. Beweise sichern. Heben Sie Schreiben, E-Mails, Briefumschläge und die Benachrichtigung über das Datenleck auf. Machen Sie Screenshots mit Datum.
2. Auskunft verlangen. Fragen Sie schriftlich, welche Daten gespeichert sind, woher sie stammen und an wen sie gegangen sind (Art. 15 DSGVO). Die Antwort muss in der Regel innerhalb eines Monats kommen.
3. Schaden begrenzen. Ändern Sie Passwörter, sperren Sie Karten, prüfen Sie Ihre Kontoauszüge. Ist Ihre Wohnanschrift in falsche Hände geraten und droht Ihnen Gefahr, beantragen Sie beim Bürgeramt eine Auskunftssperre (§ 51 BMG). Sie ist kostenlos.
4. Folgen dokumentieren. Notieren Sie mit Datum, was passiert: Betrugsversuche, Spam-Anrufe, Kosten, Arztbesuche. Diese Belege entscheiden über die Höhe.
5. Anspruch anmelden. Fordern Sie den Verantwortlichen schriftlich und mit Frist zur Zahlung auf. Zahlt er nicht, bleibt die Klage. Gegen Unternehmen können Sie an Ihrem Wohnort klagen (§ 44 Abs. 1 BDSG).
6. Beschwerde prüfen. Zusätzlich können Sie sich kostenlos bei der Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Geld erhalten Sie darüber nicht.
7. Verjährung beachten. Der Anspruch verjährt in drei Jahren. Die Frist beginnt am Ende des Jahres, in dem Sie von dem Verstoß und dem Verantwortlichen erfahren haben (§§ 195, 199 BGB).

Häufige Fragen

Fazit

Ein Datenschutzverstoß bringt Geld, wenn Sie einen konkreten Schaden belegen. Der Kontrollverlust über Ihre Daten genügt, die bloße Sorge nicht. Wo Gerichte einen Schaden bejaht haben, lagen die Beträge in den gezeigten Fällen zwischen 100 und 2.000 Euro; über den Erfolg entscheidet die Beweislage.

Ich prüfe, ob in Ihrem Fall ein Verstoß vorliegt, hole die Auskunft ein und mache Ihren Anspruch geltend, gegenüber Unternehmen ebenso wie gegenüber Behörden und der Justiz. Sie erreichen mich bei VON RUEDEN Rechtsanwälte, Leipziger Platz 9, 10117 Berlin, unter 030 / 200 590 770 oder info@rueden.de.

Quellen und Rechtsprechung

• EuGH, Urteil vom 4. Mai 2023, C-300/21 (Österreichische Post)
• EuGH, Urteil vom 19. März 2026, C-526/24 (Brillen Rottler), Pressemitteilung
• BGH, Urteil vom 18. November 2024, VI ZR 10/24, Zusammenfassung
• BGH, Urteil vom 28. Januar 2025, VI ZR 183/22
• BGH, Urteil vom 13. Mai 2025, VI ZR 186/22
• BGH, Vorlagebeschluss vom 6. Mai 2025, VI ZR 53/23
• OLG Düsseldorf, Urteil vom 28. Oktober 2021, 16 U 275/20, Besprechung
• AG Pforzheim, Urteil vom 27. Januar 2022, 2 C 381/21
• § 83 BDSG, § 44 BDSG, § 51 BMG

Beiträge dienen der allgemeinen Information und ersetzen keine individuelle Rechtsberatung. Für Ihren konkreten Fall sprechen Sie mit unseren spezialisierten Anwältinnen und Anwälten.