Datenleck: Schadensersatz nach Kontrollverlust
Ein Datenleck kann auch dann einen Schadensersatzanspruch begründen, wenn kein Geld abgebucht und kein Identitätsdiebstahl nachgewiesen wurde. Bereits der tatsächliche Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden nach Artikel 82 Datenschutz-Grundverordnung darstellen.
Das hat der Bundesgerichtshof mit Urteil vom 18. November 2024 – VI ZR 10/24 für einen Scraping-Vorfall bei Facebook erläutert. Eine automatische Entschädigung für jeden Datenschutzverstoß folgt daraus nicht. Entscheidend bleiben der konkrete Verstoß, der tatsächlich eingetretene Schaden und der ursächliche Zusammenhang.
Worum es beim Facebook-Scraping ging
Unbekannte Dritte nutzten die Kontakt-Import-Funktion, um durch automatisierte Abfragen Telefonnummern mit Facebook-Nutzerkonten zu verknüpfen. Die daraus gewonnenen Datensätze wurden im April 2021 im Internet verbreitet.
Beim Kläger waren Telefonnummer, Nutzerkennung, Name, Geschlecht und Arbeitsstätte betroffen. Er hatte seine Telefonnummer im Profil auf „nur ich“ sichtbar gestellt. Die gesonderte Einstellung zur Suchbarkeit anhand dieser Nummer war jedoch bei der Voreinstellung „alle“ geblieben. Der Fall zeigt, dass Sichtbarkeit und technische Auffindbarkeit unterschiedliche Einstellungen sein können.
Der BGH hob das klageabweisende Berufungsurteil teilweise auf und verwies die Sache im Umfang der Aufhebung zurück. Weitere Feststellungen waren erforderlich, unter anderem zu einer möglichen wirksamen Einwilligung in die konkrete Nutzung der Telefonnummer. Die Entscheidung enthielt damit keine abschließende Zahlungsverurteilung für sämtliche Facebook-Betroffenen.
Welche Voraussetzungen erfüllt sein müssen
Für einen Anspruch aus Artikel 82 DSGVO müssen ein DSGVO-Verstoß, ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang zwischen beiden vorliegen. Der bloße Regelverstoß genügt nicht.
Für immaterielle Schäden darf keine zusätzliche Erheblichkeitsschwelle verlangt werden. Ein Schaden muss also nicht besonders schwerwiegend sein, um ersatzfähig zu werden. Die betroffene Person muss aber grundsätzlich darlegen und erforderlichenfalls beweisen, dass sie tatsächlich einen solchen Schaden erlitten hat.
Das Verschulden wird im Rahmen von Artikel 82 DSGVO vermutet. Der Verantwortliche kann sich entlasten, wenn er nach Artikel 82 Absatz 3 nachweist, in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich zu sein. Aus der Beteiligung unbekannter Angreifer folgt allein noch keine solche Entlastung.
Der Kontrollverlust kann selbst der Schaden sein
Steht ein durch den Datenschutzverstoß verursachter Kontrollverlust fest, ist dieser selbst als immaterieller Schaden ersatzfähig. Zusätzliche Angst, ein bereits erfolgter Datenmissbrauch oder ein finanzieller Verlust müssen dafür nicht hinzukommen. Auch ein nur kurzzeitiger Kontrollverlust kann genügen.
Der Betroffene sollte konkret beschreiben, welche seiner Daten an wen gelangt oder in welchem Umfang veröffentlicht worden sind. Relevant kann außerdem sein, wie die Daten zuvor verwendet und welchem Personenkreis sie bewusst zugänglich gemacht wurden. Eine gezielte Weitergabe der Telefonnummer an einzelne Kontakte ist nicht mit einer unkontrollierten Veröffentlichung im Internet gleichzusetzen.
Auch wenn ein Kontrollverlust nicht bewiesen werden kann, kommt ein immaterieller Schaden aufgrund einer begründeten Befürchtung künftigen Missbrauchs in Betracht. Die Befürchtung und ihre negativen Folgen müssen dann ordnungsgemäß nachgewiesen werden. Ein rein hypothetisches Risiko oder eine bloße Behauptung von Sorge reicht nicht aus.
Wie die Höhe des Schadensersatzes bestimmt wird
Schadensersatz nach Artikel 82 DSGVO dient dem vollständigen und wirksamen Ausgleich des konkret erlittenen Schadens. Er hat keine Straf- oder Abschreckungsfunktion. Die Höhe eines behördlichen Bußgelds oder die Anzahl beanstandeter Datenschutzverstöße ist daher kein pauschaler Maßstab für die Entschädigung eines Betroffenen.
Bei bloßem Kontrollverlust sind unter anderem die Art und Sensibilität der Daten, der Empfängerkreis, die Dauer des Kontrollverlusts und die Möglichkeit zur Wiedererlangung der Kontrolle zu berücksichtigen. Weitergehende nachgewiesene Folgen können einen höheren Betrag rechtfertigen.
Der BGH hielt in einem Fall wie dem entschiedenen eine Größenordnung von 100,00 € für einen bloßen Kontrollverlust für rechtlich vertretbar. Diese Aussage ist eine fallbezogene Orientierung. Sie schafft weder einen festen Betrag für jedes Datenleck noch eine allgemeine Obergrenze. Die konkrete Bemessung bleibt Aufgabe des zuständigen Gerichts.
Was Betroffene nach einem Datenleck sichern sollten
Hilfreich sind die Benachrichtigung des Unternehmens, Auskunftsantworten, frühere Datenschutzeinstellungen und konkrete Nachweise der eigenen Betroffenheit. Verdächtige Nachrichten oder Kontaktversuche sollten mit Datum und Inhalt dokumentiert werden. Dabei ist zu beachten, dass nicht jede spätere Spam-Nachricht auf denselben Vorfall zurückgehen muss.
Zusätzlich können Rechte auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung in Betracht kommen. Ihre jeweiligen Voraussetzungen und Grenzen sind gesondert zu prüfen. Solche Rechte ersetzen nicht den Nachweis eines Schadensersatzanspruchs.
Welche Fristen zu beachten sind
Bei Anwendung deutschen Verjährungsrechts beträgt die regelmäßige Verjährungsfrist grundsätzlich drei Jahre. Sie beginnt nach § 199 Absatz 1 BGB mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und die erforderliche Kenntnis vorliegt oder ohne grobe Fahrlässigkeit vorliegen müsste. Beginn, mögliche Hemmung und das anwendbare Recht sind für den konkreten Fall zu prüfen.
Eine einfache Zahlungsaufforderung oder eine Beschwerde bei der Datenschutzaufsicht wahrt die zivilrechtliche Verjährung nicht zuverlässig. Betroffene sollten deshalb frühzeitig klären, ob verjährungshemmende Schritte erforderlich sind. Bei Unternehmen mit Sitz im Ausland sind außerdem die internationale Zuständigkeit und die einschlägigen Verfahrensregeln zu beachten.
Was Unternehmen beachten sollten
Verantwortliche müssen angemessene technische und organisatorische Schutzmaßnahmen sowie datenschutzfreundliche Voreinstellungen vorsehen. Welche Maßnahmen erforderlich sind, richtet sich nach der konkreten Verarbeitung und dem Risiko. Eine massenhaft nutzbare Such- oder Importfunktion kann besondere Schutzvorkehrungen erforderlich machen.
Bei einer Datenschutzverletzung sind Ursache, betroffene Daten, Folgen und Gegenmaßnahmen zu dokumentieren. Eine Meldung an die zuständige Aufsichtsbehörde ist nach Artikel 33 DSGVO grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden ab Kenntnis erforderlich, sofern die gesetzliche Ausnahme für voraussichtlich risikolose Vorfälle nicht greift. Bei voraussichtlich hohem Risiko müssen nach Artikel 34 grundsätzlich auch Betroffene unverzüglich informiert werden. Die dort geregelten Ausnahmen sind eigenständig zu prüfen.
Fazit
Ein nachgewiesener Kontrollverlust über personenbezogene Daten kann einen immateriellen Schaden begründen. Die rechtliche Prüfung muss dennoch Datenschutzverstoß, individuelle Betroffenheit, Schaden, Kausalität und mögliche Entlastung erfassen. Pauschale Entschädigungsversprechen werden dieser Prüfung nicht gerecht.
Hanke.Legal in Singen (Hohentwiel) berät Betroffene und Unternehmen zur Durchsetzung oder Abwehr von Ansprüchen nach Datenschutzverletzungen.
Rechtsstand: 2. Oktober 2026. Der Beitrag ersetzt keine Prüfung des Einzelfalls.