Datenschutz & IT-Recht
Bekomme ich nach einem Datenleck Schadensersatz?
Möglich — ein Vermögensschaden ist nicht erforderlich, aber ein konkreter Nachteil muss dargelegt werden.
Kurz gesagt
Ja, dem Grunde nach. Nach Art. 82 DSGVO und der Rechtsprechung des EuGH setzt der Anspruch keinen Vermögensschaden voraus; ein immaterieller Nachteil genügt. Er muss aber konkret dargelegt werden — ein bloßer Verstoß führt nicht automatisch zu einer Entschädigung. Die zugesprochenen Beträge liegen meist zwischen einigen Hundert und wenigen Tausend Euro.
Was jetzt zu tun ist
- 1Die Meldung des Unternehmens aufbewahren — sie ist der Beleg, dass ein Verstoß vorlag.
- 2Auskunft nach Art. 15 DSGVO verlangen, um zu klären, welche Ihrer Daten betroffen waren.
- 3Passwörter ändern und ungewöhnliche Mails, Anrufe und Abbuchungen ab sofort mit Datum festhalten.
- Stand
- Verantwortlich
Tim PlatnerJurist & Chief Operating Officer (COO), Geschäftsführer Legal Data Technology GmbH- Fachlich zuständig
Jan SchlingmannRechtsanwalt & Geschäftsführer
Rechtsgrundlagen
Nach jedem großen Datenleck folgt die Frage, ob sich daraus Geld machen lässt. Die Antwort ist differenzierter als die Werbeversprechen einzelner Anbieter.
Die Rechtslage
Art. 82 DSGVO gibt jeder Person, der wegen eines Verstoßes ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Ersatz.
Der EuGH hat dazu zwei zentrale Punkte geklärt:
- Ein Vermögensschaden ist nicht erforderlich — ein immaterieller Nachteil genügt (C-300/21).
- Der Verstoß allein begründet aber keinen Anspruch; der Schaden ist darzulegen. Es gibt keine Entschädigung „ins Blaue“.
Zudem: kein Bagatellvorbehalt — auch geringe Nachteile sind erfassbar, und die Entschädigung hat Ausgleichs-, nicht Straffunktion.
Was als Nachteil anerkannt wird
- Kontrollverlust über die eigenen Daten
- begründete Sorge vor Missbrauch, wenn sie substantiiert ist
- tatsächliche Folgen: Phishing-Mails, Anrufversuche, Identitätsmissbrauch, gesperrte Konten
- Aufwand zur Schadensabwehr — Passwortwechsel, Kartensperrung, Bonitätsprüfung
Die Beweislastverteilung
Zu Ihren Gunsten: Der Verantwortliche muss die Rechtmäßigkeit der Verarbeitung (Art. 5 Abs. 2) und angemessene Sicherheitsmaßnahmen (Art. 32) nachweisen. Sie müssen den Verstoß und Ihren Nachteil vortragen, nicht die technische Ursache.
Größenordnungen
Die deutsche Rechtsprechung ist uneinheitlich. Verbreitet sind Beträge von 100 bis 1.000 Euro je Betroffenem bei Kontrollverlust ohne konkreten Missbrauch, deutlich mehr bei nachgewiesenen Folgen. Ein Überblick über die Entscheidungslinien steht in den Ratgeberbeiträgen zu Facebook/Meta und EuGH C-340/21.
Was Sie jetzt tun sollten
Meldung des Unternehmens aufbewahren, ungewöhnliche Mails und Anrufe dokumentieren, Auskunft nach Art. 15 DSGVO verlangen (das klärt, welche Daten betroffen sind) und Passwörter ändern. Der Auskunftsanspruch ist regelmäßig der erste Schritt, nicht der Schadensersatzanspruch.
Kurz beantwortet
Den Verstoß, Ihre Betroffenheit und den konkreten Nachteil — etwa Kontrollverlust über die Daten, tatsächlich erfolgte Missbrauchsversuche, Spam- und Phishing-Zunahme, Sorge und Beeinträchtigung. Je konkreter und belegter, desto höher fällt die Bewertung aus.
Der Verantwortliche. Er trägt die Nachweispflicht für Rechtmäßigkeit (Art. 5 Abs. 2 DSGVO) und für angemessene Sicherheitsmaßnahmen (Art. 32 DSGVO) — das ist ein wesentlicher prozessualer Vorteil für Betroffene.
Einzeln oft nur mit Rechtsschutzversicherung. Interessant wird es bei mehreren Betroffenen, bei nachweisbarem Missbrauch oder wenn der Anspruch mit einem Auskunfts- und Löschungsverlangen verbunden wird.
Weitere Fragen aus Datenschutz & IT-Recht
- Was kann ich mit einem Auskunftsanspruch erreichen?
- Was ist eine Datenpanne?
- Wie wehre ich Werbeanrufe und Spam-Mails ab?
- Wie setze ich die Löschung meiner Daten durch?
Wenn es bei Ihnen anders liegt
Nicht jeder Fall trägt, und nicht für jeden Weg braucht es eine Kanzlei. Was dann hilft:
- Sie haben keinen konkreten Nachteil erlitten
- Nach der Rechtsprechung des EuGH genügt der Kontrollverlust zwar im Ansatz, die zugesprochenen Beträge bleiben ohne spürbare Folgen aber gering — oft im unteren dreistelligen Bereich. Die Aufsichtsbeschwerde ist dann der wirksamere Hebel und kostet nichts. LDI Nordrhein-Westfalen
- Sie wollen sich einer Sammelklage anschließen
- Bei großen Datenpannen bündeln Verbraucherzentralen die Ansprüche in einer Abhilfeklage. Die Teilnahme ist kostenfrei und für Sie risikolos, dauert aber länger als ein eigenes Verfahren. Verbraucherzentrale
Passend dazu
Schlagworte
- Datenleck
- Schadensersatz
- DSGVO
