Schadensersatz bei Datenschutzverstoß

Zuletzt aktualisiert am 17. September 2026

Anspruchsgrundlage: Art. 82 DSGVO

Der Schadensersatzanspruch bei Datenschutzverstößen ist in Art. 82 DSGVO geregelt. Diese Vorschrift gewährt jeder Person, die wegen eines Verstoßes gegen die DSGVO einen materiellen oder immateriellen Schaden erlitten hat, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

Besonders bedeutsam ist die Beweislastumkehr in Art. 82 Abs. 3 DSGVO: Der Verantwortliche muss nachweisen, dass er für den schadenverursachenden Vorfall nicht verantwortlich ist. Diese Regelung stärkt die Position der Betroffenen erheblich und unterscheidet sich von der allgemeinen Beweislastverteilung im deutschen Zivilrecht.

Aktuelle Rechtsprechung zum Schadensersatz

EuGH-Urteil zur Erheblichkeitsschwelle

Der Europäische Gerichtshof hat in mehreren Urteilen klargestellt, dass Art. 82 DSGVO keine Erheblichkeitsschwelle für den immateriellen Schadensersatz vorsieht. Jeder noch so geringe Datenschutzverstoß kann grundsätzlich einen Schadensersatzanspruch begründen – vorausgesetzt, dem Betroffenen ist tatsächlich ein Schaden entstanden. Der Betroffene muss allerdings den konkreten Schaden nachweisen.

Typische Schadensersatzbeträge

Die deutschen Gerichte haben in den vergangenen Jahren zahlreiche Schadensersatzurteile gesprochen. Die Höhe der zugesprochenen Beträge variiert erheblich:

• Unberechtigte Weitergabe von Daten: 500 bis 5.000 Euro
• Verspätete oder unvollständige Auskunft nach Art. 15 DSGVO: 250 bis 2.000 Euro
• Veröffentlichung personenbezogener Daten im Internet: 1.000 bis 10.000 Euro
• Datenlecks mit sensiblen Gesundheitsdaten: 2.000 bis 15.000 Euro
• Unberechtigte Videoüberwachung: 1.500 bis 5.000 Euro

Materielle und immaterielle Schäden

Materielle Schäden umfassen alle finanziellen Einbußen, die direkt auf den Datenschutzverstoß zurückzuführen sind. Beispiele sind:

• Kosten für die Sperrung und Neuausstellung von Kreditkarten
• Finanzielle Verluste durch Identitätsdiebstahl
• Anwalts- und Gerichtskosten
• Kosten für Kreditüberwachungsdienste

Immaterielle Schäden betreffen die psychischen und emotionalen Auswirkungen eines Datenschutzverstoßes. Der EuGH hat bestätigt, dass bereits der Kontrollverlust über die eigenen Daten, Ängste oder Stress einen ersatzfähigen immateriellen Schaden darstellen können.

So schützen Sie Ihr Unternehmen vor Schadensersatzforderungen

Die beste Verteidigung gegen Schadensersatzforderungen ist die Prävention. Folgende Maßnahmen minimieren das Risiko:

1. Professionelles Datenschutzmanagement: Ein strukturiertes Datenschutzkonzept bildet die Grundlage für alle Datenschutzaktivitäten
2. Regelmäßige Schulungen: Geschulte Mitarbeiter verursachen weniger Datenpannen
3. Technische Absicherung: Angemessene technisch-organisatorische Maßnahmen reduzieren das Risiko von Datenverlust und unbefugtem Zugriff
4. Incident-Response-Plan: Ein vorbereiteter Plan für den Umgang mit Datenpannen ermöglicht schnelles und rechtssicheres Handeln
5. Dokumentation: Lückenlose Dokumentation aller Datenschutzmaßnahmen stärkt die Position im Streitfall

Die Rolle des Datenschutzbeauftragten bei der Schadensprävention

Ein qualifizierter externer Datenschutzbeauftragter ist ein wesentlicher Baustein in der Prävention von Datenschutzverstößen. Er überwacht die Einhaltung der DSGVO, schult die Mitarbeiter, berät die Geschäftsleitung und fungiert als Ansprechpartner für Betroffene und Aufsichtsbehörden.

Die DATUREX GmbH aus Dresden unterstützt Unternehmen dabei, ein wirksames Datenschutzmanagement aufzubauen und Haftungsrisiken zu minimieren. Informieren Sie sich über unsere Leistungen und die Kosten für einen externen Datenschutzbeauftragten.

Gruppenklage und Verbandsklage im Datenschutz

Neben individuellen Schadensersatzansprüchen bietet die DSGVO auch Möglichkeiten für kollektiven Rechtsschutz. Art. 80 DSGVO erlaubt Betroffenen, Verbraucherschutzorganisationen mit der Wahrnehmung ihrer Rechte zu beauftragen. In Deutschland können Verbraucherschutzverbände seit der Umsetzung der EU-Verbandsklagerichtlinie auch Schadensersatzansprüche gebündelt geltend machen.

Diese Entwicklung ist für Unternehmen besonders bedeutsam, da ein einzelner Datenschutzverstoß, der viele Personen betrifft, zu kumulierten Schadensersatzforderungen in Millionenhöhe führen kann. Beispiele aus der Praxis zeigen, dass insbesondere große Datenlecks und systematische Verstöße gegen die Einwilligungsvorschriften Gegenstand von Gruppenklagen sind.

Haftung von Auftragsverarbeitern

Art. 82 Abs. 2 DSGVO erstreckt die Haftung ausdrücklich auch auf Auftragsverarbeiter. Ein Auftragsverarbeiter haftet, wenn er seinen speziell auferlegten Pflichten nicht nachgekommen ist oder gegen die rechtmäßigen Anweisungen des Verantwortlichen verstoßen hat. In der Praxis bedeutet dies, dass auch IT-Dienstleister, Cloud-Anbieter und andere Auftragsverarbeiter unmittelbar auf Schadensersatz in Anspruch genommen werden können.

Für Unternehmen ist es daher wichtig, sorgfältig geeignete Auftragsverarbeiter auszuwählen und dies zu dokumentieren. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sollte klare Regelungen zur Haftungsverteilung und zu Freistellungsansprüchen enthalten.

Verjährung von Schadensersatzansprüchen

Schadensersatzansprüche nach Art. 82 DSGVO unterliegen der regelmäßigen Verjährungsfrist von drei Jahren gemäß § 195 BGB. Die Verjährungsfrist beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Betroffene von den anspruchsbegründenden Umständen Kenntnis erlangt hat.

In der Praxis bedeutet dies, dass Datenschutzverstöße auch Jahre später noch zu Schadensersatzforderungen führen können, wenn der Betroffene erst spät von dem Verstoß erfährt. Dies unterstreicht die Bedeutung einer vorausschauenden und transparenten Kommunikation bei Datenschutzvorfällen.

Cyber-Versicherungen als zusätzlicher Schutz

Angesichts der zunehmenden Risiken durch Datenschutzverstöße und Cyberangriffe gewinnen Cyber-Versicherungen an Bedeutung. Eine solche Versicherung kann folgende Kosten abdecken:

• Forensische Untersuchung des Datenschutzvorfalls
• Benachrichtigung der betroffenen Personen und der Aufsichtsbehörde
• Krisenmanagement und PR-Maßnahmen
• Rechtsberatungs- und Gerichtskosten
• Wiederherstellung von Daten und Systemen
• Betriebsunterbrechungsschäden

Wichtig zu beachten: Bußgelder der Aufsichtsbehörden sind in der Regel nicht versicherbar. Eine Cyber-Versicherung ersetzt daher nicht die Notwendigkeit eines professionellen Datenschutzmanagements, sondern ergänzt es als zusätzliche Absicherung.

Art. 82 DSGVO — Die Rechtsgrundlage für Schadensersatz

Art. 82 DSGVO bildet die zentrale Anspruchsgrundlage für Schadensersatz bei Datenschutzverstößen. Absatz 1 bestimmt, dass jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter hat.

Aktuelle Rechtsprechung des EuGH zu Art. 82 DSGVO

Der Europäische Gerichtshof (EuGH) hat in mehreren wegweisenden Urteilen die Voraussetzungen für Schadensersatzansprüche konkretisiert:

• EuGH C-300/21 (Österreichische Post): Der bloße Verstoß gegen die DSGVO reicht für einen Schadensersatzanspruch nicht aus. Es muss ein tatsächlicher Schaden eingetreten sein. Allerdings gibt es keine Erheblichkeitsschwelle — auch geringe immaterielle Schäden können ersatzfähig sein.
• EuGH C-340/21 (Natsionalna agentsia): Der Verantwortliche kann sich nicht allein dadurch exkulpieren, dass ein Dritter die Datenpanne verursacht hat.
• EuGH C-687/21 (MediaMarktSaturn): Der Schadensersatz nach Art. 82 DSGVO hat eine Ausgleichsfunktion, keine Straffunktion.

Typische Schadensersatzfälle in der Praxis

Die Bandbreite der Fälle, in denen Schadensersatz wegen Datenschutzverstößen geltend gemacht wird, ist groß:

• Unbefugte Datenweitergabe: Wenn personenbezogene Daten ohne Rechtsgrundlage an Dritte übermittelt werden, beispielsweise an Werbepartner oder Auskunfteien.
• Datenpannen und Datenlecks: Bei Sicherheitsvorfällen, durch die personenbezogene Daten in unbefugte Hände gelangen.
• Verstoß gegen Betroffenenrechte: Wenn Auskunfts-, Löschungs- oder Berichtigungsansprüche nicht fristgerecht erfüllt werden.
• Unzulässige Videoüberwachung: Die Überwachung von Mitarbeitern oder Kunden ohne ausreichende Rechtsgrundlage.
• Unzulässiges Tracking: Der Einsatz von Tracking-Technologien auf Websites ohne wirksame Einwilligung.
• Fehlversand von Dokumenten: Wenn personenbezogene Daten an den falschen Empfänger versendet werden.

Höhe der Schadensersatzansprüche

Die von deutschen Gerichten zugesprochenen Schadensersatzbeträge bei Datenschutzverstößen bewegen sich in einer erheblichen Bandbreite:

• Versand einer E-Mail mit offenem Verteiler: 100 bis 500 Euro pro betroffenem Empfänger
• Verspätete oder unvollständige Auskunft: 500 bis 5.000 Euro
• Unbefugte Weitergabe von Gesundheitsdaten: 1.000 bis 10.000 Euro
• Unzulässige Videoüberwachung am Arbeitsplatz: 1.500 bis 10.000 Euro
• Datenleck mit Veröffentlichung sensibler Daten: 2.000 bis 15.000 Euro und mehr

Zu beachten ist, dass neben dem immateriellen Schadensersatz auch materielle Schäden ersetzt werden müssen — etwa Kosten für die Sperrung von Konten oder Rechtsanwaltskosten.

Beweislastumkehr zugunsten des Betroffenen

Art. 82 Abs. 3 DSGVO enthält eine partielle Beweislastumkehr: Der Verantwortliche oder Auftragsverarbeiter wird von der Haftung befreit, wenn er nachweist, dass er für den schadensverursachenden Umstand in keinerlei Hinsicht verantwortlich ist. Die betroffene Person muss lediglich den Verstoß und den eingetretenen Schaden nachweisen — nicht aber das Verschulden des Verantwortlichen.

Verjährung von Schadensersatzansprüchen

Die Verjährung von Schadensersatzansprüchen nach Art. 82 DSGVO richtet sich nach nationalem Recht. In Deutschland gilt die regelmäßige Verjährungsfrist von drei Jahren (§ 195 BGB). Die Frist beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Betroffene Kenntnis von den anspruchsbegründenden Umständen erlangt hat.

Prävention: Datenschutzverstöße vermeiden

Der beste Schutz vor Schadensersatzansprüchen ist die konsequente Einhaltung der DSGVO. Folgende Maßnahmen sind besonders wirksam:

• Regelmäßige Datenschutz-Audits zur Identifikation von Schwachstellen
• Implementierung angemessener technisch-organisatorischer Maßnahmen
• Schulung aller Mitarbeiter zum Datenschutz
• Etablierung eines Prozesses zur schnellen Reaktion auf Datenschutzverletzungen
• Führung eines vollständigen Verarbeitungsverzeichnisses
• Bestellung eines qualifizierten Datenschutzbeauftragten

Die DATUREX GmbH unterstützt Unternehmen in Dresden und Sachsen bei der präventiven Vermeidung von Datenschutzverstößen und deren Konsequenzen. Kontaktieren Sie uns für eine unverbindliche Beratung.