Eine vertrauliche Nachricht im Rahmen eines Bewerbungsverfahrens sollte über Xing an einen Bewerber gehen. Tatsächlich wurde sie versehentlich an eine unbeteiligte Person übermittelt.
Der Bundesgerichtshof hat mit Urteil vom 23. Juni 2026 (VI ZR 97/22) entschieden, dass ein solcher Kontrollverlust über personenbezogene Bewerberdaten einen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO begründen kann. Im konkreten Fall kam hinzu, dass der Kläger eine weitere Verwendung der offengelegten Informationen befürchtete. Der BGH hielt auch diese Sorge angesichts der Umstände für relevant.
Was ist passiert?
Der Kläger befand sich in einem Bewerbungsverfahren bei einer Privatbank. Eine Mitarbeiterin der Bank wollte ihm über den Messenger-Dienst von Xing eine Nachricht zu seiner Bewerbung senden. Die Nachricht enthielt unter anderem seinen Nachnamen, Angaben zum laufenden Bewerbungsverfahren, eine interne Einschätzung seines Profils sowie Informationen über die von der Bank vorgesehene Vergütung zuzüglich variabler Bestandteile.
Sie erreichte jedoch versehentlich einen anderen Empfänger. Dieser kannte den Kläger aus einer früheren gemeinsamen Tätigkeit in derselben Unternehmensgruppe und arbeitete weiterhin in derselben Branche. Er leitete die Nachricht an den Kläger weiter.
Der Kläger verlangte daraufhin unter anderem immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO. Das Landgericht Darmstadt sprach ihm 1.000 Euro zu. Das OLG Frankfurt verneinte dagegen einen ersatzfähigen immateriellen Schaden. Der BGH setzte das Verfahren zunächst aus und legte dem EuGH mehrere Fragen zur Auslegung der DSGVO vor. Ein Teil der Vorlage betraf die Frage, ob sich aus der DSGVO selbst ein Anspruch auf Unterlassung weiterer rechtswidriger Datenübermittlungen ergibt und welche Rolle dabei eine Wiederholungsgefahr spielt.
Für den Schadensersatz nach Art. 82 DSGVO wollte der BGH insbesondere wissen, ob bereits negative Gefühle wie Ärger, Unmut, Unzufriedenheit, Sorge oder Angst einen immateriellen Schaden darstellen können oder ob ein darüber hinausgehender Nachteil erforderlich ist. Weitere Fragen betrafen die Bedeutung des Verschuldens des Verantwortlichen für die Schadenshöhe und die mögliche Berücksichtigung eines daneben bestehenden Unterlassungsanspruchs. Der EuGH beantwortete die Vorlagefragen mit Urteil vom 4. September 2025 in der Rechtssache C-655/23 (Quirin Privatbank). Auf dieser Grundlage entschied anschließend der BGH über den konkreten Fall.
Wann begründet ein Kontrollverlust Schadensersatz nach Art. 82 DSGVO?
Ausgangspunkt ist die inzwischen gefestigte Rechtsprechung des EuGH: Ein Verstoß gegen die DSGVO allein begründet keinen Schadensersatzanspruch. Art. 82 Abs. 1 DSGVO verlangt zusätzlich einen tatsächlich eingetretenen materiellen oder immateriellen Schaden. Eine besondere Erheblichkeitsschwelle gibt es allerdings nicht. Ein Anspruch darf deshalb nicht allein mit der Begründung abgelehnt werden, die Beeinträchtigung sei geringfügig.
Besondere Bedeutung hat der Verlust der Kontrolle über personenbezogene Daten. Nach der Rechtsprechung des EuGH kann bereits ein kurzzeitiger Kontrollverlust einen immateriellen Schaden darstellen. Eine darüber hinausgehende missbräuchliche Verwendung der Daten ist dafür nicht zwingend erforderlich. Auch negative Gefühle wie Sorge oder Angst können grundsätzlich einen immateriellen Schaden darstellen. Voraussetzung bleibt, dass die betroffene Person einen solchen Schaden tatsächlich erlitten hat und nachweisen kann. Ebenso kann die Befürchtung einer zukünftigen missbräuchlichen Verwendung personenbezogener Daten relevant sein. Eine lediglich abstrakte Möglichkeit genügt nicht. Die Sorge muss angesichts der konkreten Umstände nachvollziehbar begründet sein.
Im vorliegenden Fall sah der BGH diese Voraussetzungen als erfüllt an. Der Empfänger hatte die Nachricht gelesen und den Kläger anschließend auf seine Bewerbung angesprochen. Damit war der Kontrollverlust nicht nur theoretisch geblieben. Von Bedeutung war außerdem die Beziehung zwischen den Beteiligten. Der Empfänger kannte den Kläger aus der gemeinsamen beruflichen Vergangenheit und war weiterhin in derselben Branche tätig. Deshalb hielt der BGH auch die Sorge des Klägers vor einer weiteren Verwendung der Informationen für begründet.
Der BGH bejahte damit einen Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO dem Grunde nach. Über die Höhe des Schadensersatzes muss nun das OLG Frankfurt entscheiden, an das der BGH das Verfahren zurückverwiesen hat.
Auswirkungen auf die Praxis
Die Entscheidung betrifft zwar ein Bewerbungsverfahren, ihre Bedeutung reicht aber darüber hinaus. Fehlgeleitete E-Mails, Messenger-Nachrichten oder Dokumente gehören zu den typischen Datenschutzvorfällen im Unternehmensalltag.
Solche Vorfälle zeigen, dass neben möglichen Meldepflichten an Aufsichtsbehörden und Betroffene auch Schadensersatzrisiken nach Art. 82 DSGVO behandelt werden müssen.
Entscheidend dafür sind die konkreten Umstände. Relevant ist insbesondere, ob der unberechtigte Empfänger die Daten tatsächlich zur Kenntnis genommen hat. Wird eine falsch adressierte Nachricht nachweislich ungelesen gelöscht, kann die Situation anders zu beurteilen sein als bei einer Nachricht, die gelesen, weitergeleitet oder bereits verwendet wurde.
Auch die Art der betroffenen Daten spielt eine Rolle. Angaben zu einer Bewerbung, zum Gehalt oder interne Bewertungen können für die betroffene Person besonders sensibel sein. Ebenso kann entscheidend sein, wer die Informationen erhalten hat und in welcher Beziehung diese Person zur betroffenen Person steht.
Bei der Bearbeitung eines Datenschutzvorfalls sollte sollten im Rahmen einer Risikoprognose deshalb dokumentiert werden,
-
ob der falsche Empfänger die Daten tatsächlich zur Kenntnis genommen hat,
-
ob Hinweise auf eine Weitergabe oder Verwendung bestehen,
-
welche Beziehung zwischen Empfänger und betroffener Person besteht und
-
welche konkreten Folgen oder nachvollziehbaren Befürchtungen sich aus der Offenlegung ergeben.
Empfehlungen
Die Entscheidung des BGH macht deutlich, dass Unternehmen neben aufsichtsrechtlichen Pflichten und möglichen Bußgeldrisiken auch zivilrechtliche Schadensersatzrisiken nach Art. 82 DSGVO im Blick behalten sollten. Für die Praxis lassen sich daraus vor allem folgende Maßnahmen für einen strukturierten Umgang mit Datenschutzvorfällen ableiten:
1. Risiken in Kommunikationsprozessen reduzieren
Unternehmen sollten prüfen, über welche Kanäle personenbezogene und vertrauliche Informationen ausgetauscht werden und an welchen Stellen Fehlversendungen entstehen können.
Je sensibler die betroffenen Daten sind, desto eher sollten zusätzliche technische oder organisatorische Schutzmaßnahmen vorgesehen werden. Das kann etwa eine zusätzliche Kontrolle der Empfängerangaben oder eine Beschränkung bestimmter Kommunikationskanäle für besonders vertrauliche Inhalte sein.
2. Datenschutzvorfälle unverzüglich intern steuern
Kommt es dennoch zu einer Fehlversendung oder einer vergleichbaren unbefugten Offenlegung, sollte der oder die Datenschutzbeauftragte unverzüglich einbezogen werden. Parallel sind Ad-hoc-Maßnahmen festzulegen, um den Vorfall möglichst schnell einzudämmen und weitere Auswirkungen zu verhindern.
Bei einer Fehlversendung kann hierzu insbesondere gehören, den unberechtigten Empfänger zu kontaktieren, die Löschung der Nachricht und vorhandener Kopien zu verlangen und zu klären, ob die Informationen bereits zur Kenntnis genommen, weitergeleitet oder anderweitig verwendet wurden.
3. Rechtliche Folgen und tatsächliche Auswirkungen bewerten
Anschließend ist zu prüfen, ob eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 DSGVO erforderlich ist. Eine Meldung an die Aufsichtsbehörde ist bei einem voraussichtlichen Risiko für die Rechte und Freiheiten betroffener Personen erforderlich und muss unverzüglich, möglichst binnen 72 Stunden, erfolgen. Bei einem hohen Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen. Unabhängig davon ist die Datenschutzverletzung nach Art. 33 Abs. 5 DSGVO zu dokumentieren.
4. Ursachen analysieren und Folgemaßnahmen festlegen
Nach der unmittelbaren Bearbeitung sollte geklärt werden, warum es zu dem Vorfall kommen konnte. Unabhängig davon, ob eine Meldung oder Benachrichtigung erforderlich war, sollten geeignete präventive und reaktive Folgemaßnahmen festgelegt werden.
Das kann Anpassungen technischer Einstellungen, veränderte Arbeitsabläufe, zusätzliche Kontrollschritte oder gezielte Schulungen betreffen. Ebenso sollte geprüft werden, ob interne Meldewege und Zuständigkeiten im Incident-Management ausreichend funktioniert haben.
Der Vorfall sollte damit nicht nur abgeschlossen, sondern für die weitere Verbesserung der Datenschutzorganisation genutzt werden.
Eine ausführliche Darstellung zum Vorgehen bei Datenschutzverletzungen, einschließlich Risikobewertung, Meldepflichten und Incident-Response-Prozess, finden Sie in unserem Beitrag „Datenpanne, Datenleck oder Cyberangriff – was ist zu tun?“
Das Urteil des BGH erweitert dabei nicht die allgemeinen Pflichten zum Umgang mit Datenschutzverletzungen. Es macht jedoch deutlich, dass neben aufsichtsrechtlichen Folgen und möglichen Bußgeldern auch zivilrechtliche Schadensersatzansprüche nach Art. 82 DSGVO relevant werden können. Gerade deshalb sollten Unternehmen bei der Bewertung eines Vorfalls auch dessen tatsächliche Auswirkungen auf die betroffenen Personen nachvollziehbar erfassen.
BGH, Urteil vom 23. Juni 2026, VI ZR 97/22; EuGH, Urteil vom 4. September 2025, C-655/23.
Häufige Fragen
Nein. Ein DSGVO-Verstoß allein genügt nicht. Zusätzlich muss ein materieller oder immaterieller Schaden eingetreten sein. Nach der Rechtsprechung kann allerdings bereits ein tatsächlicher Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen.
Ja. Auch negative Folgen wie Sorge oder Angst können grundsätzlich erfasst sein. Sie müssen aber tatsächlich bestehen und angesichts der konkreten Umstände nachvollziehbar begründet sein.
Der Vorfall sollte unverzüglich intern gesteuert und der oder die Datenschutzbeauftragte einbezogen werden. Je nach Fall sind Ad-hoc-Maßnahmen zur Eindämmung zu treffen, etwa die Kontaktaufnahme mit dem falschen Empfänger und die Aufforderung zur Löschung. Anschließend sind Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO zu prüfen, der Vorfall zu dokumentieren und geeignete präventive sowie reaktive Folgemaßnahmen festzulegen
