Ein falscher E-Mail-Verteiler, ein offengelegter Gesundheitsbefund oder ein Datenleck beim Online-Shop kann mehr sein als ein ärgerlicher Fehler. Wer DSGVO Schadensersatz beantragen möchte, kann unter bestimmten Voraussetzungen Ersatz für materielle und immaterielle Schäden verlangen. Entscheidend ist nicht, wie groß das Unternehmen ist, sondern ob Ihre personenbezogenen Daten rechtswidrig verarbeitet wurden und Ihnen daraus ein tatsächlicher Schaden entstanden ist.
Die Datenschutz-Grundverordnung gibt Betroffenen ein starkes Recht an die Hand. Trotzdem zahlt ein Unternehmen nicht automatisch, nur weil ein Verstoß vorliegt. Für eine erfolgreiche Durchsetzung müssen Sachverhalt, Schaden und Zusammenhang nachvollziehbar dargestellt werden. Genau dort entscheidet sich, ob aus einer berechtigten Beschwerde ein durchsetzbarer Anspruch wird.
Wann Sie DSGVO Schadensersatz beantragen können
Die Grundlage ist Art. 82 DSGVO. Danach kann jede Person Schadensersatz verlangen, wenn ihr wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist. Materielle Schäden sind messbare finanzielle Nachteile, etwa Kosten für die Wiederherstellung eines kompromittierten Kontos oder ein konkreter Vermögensschaden nach Identitätsmissbrauch.
In der Praxis geht es häufig um immaterielle Schäden. Gemeint sind etwa Kontrollverlust über persönliche Daten, Angst vor Missbrauch, Bloßstellung, erhebliche Belastungen oder eine spürbare Beeinträchtigung der Privatsphäre. Ein besonderes Merkmal der DSGVO: Es gibt keine feste Bagatellgrenze. Auch ein kleiner Schaden kann grundsätzlich ersatzfähig sein.
Das bedeutet aber nicht, dass jeder formale Datenschutzfehler eine Zahlung auslöst. Der Europäische Gerichtshof verlangt drei Punkte: einen Verstoß gegen die DSGVO, einen Schaden und einen ursächlichen Zusammenhang zwischen beidem. Wer nur behauptet, sich geärgert zu haben, wird es regelmäßig schwer haben. Wer dagegen konkret schildern und belegen kann, welche Folgen eine Datenpanne hatte, verbessert seine Position erheblich.
Typische Konstellationen sind die Weitergabe persönlicher Daten ohne Rechtsgrundlage, unberechtigte Bonitätsabfragen, der Versand sensibler Informationen an falsche Empfänger, unzureichend gesicherte Kundendaten oder rechtswidrige Profilbildung. Auch ein Datenleck kann einen Anspruch begründen. Ob es tatsächlich dazu kommt, hängt davon ab, welche Daten betroffen waren, wie hoch das Missbrauchsrisiko ist und welche Auswirkungen Sie persönlich erlitten haben.
Datenschutzverstoß allein reicht nicht
Viele Betroffene erfahren von einer Datenpanne und erwarten zu Recht eine Erklärung. Für Schadensersatz genügt die Meldung des Unternehmens allein jedoch noch nicht. Sie müssen den Vorgang so aufbereiten, dass deutlich wird: Was ist geschehen, welche Daten waren betroffen und welche konkrete Beeinträchtigung folgte daraus?
Ein Beispiel: Ein Händler informiert Sie darüber, dass Ihre Adresse, Kontodaten und Zugangsdaten durch einen Angriff abgeflossen sein könnten. Kurz danach erhalten Sie täuschend echte Phishing-Mails, müssen Passwörter ändern, Ihr Konto überwachen und befürchten unberechtigte Abbuchungen. Das ist deutlich greifbarer als die pauschale Aussage, der Vorfall sei unangenehm gewesen.
Bei besonders sensiblen Daten kann schon die Gefahr eines Missbrauchs stärker wiegen. Dazu gehören Gesundheitsdaten, Angaben zur sexuellen Orientierung, religiösen Überzeugungen oder Finanzdaten. Auch die Reichweite zählt: Wurden Daten an eine einzelne falsche Person versendet oder frei im Internet veröffentlicht? Je größer Kontrollverlust und Risiko, desto gewichtiger kann der immaterielle Schaden ausfallen.
So bereiten Sie Ihren Anspruch richtig vor
Wer seinen Anspruch strukturiert vorbereitet, spart später Zeit und vermeidet Lücken. Sichern Sie zunächst alles, was den Vorfall belegt. Dazu gehören E-Mails des Unternehmens, Schreiben über Datenpannen, Screenshots, Auskünfte nach Art. 15 DSGVO, Nachrichten von Dritten und gegebenenfalls Unterlagen zu finanziellen Schäden.
Notieren Sie den Ablauf zeitnah. Halten Sie fest, wann Sie vom Vorfall erfahren haben, welche Daten betroffen waren und welche Folgen eingetreten sind. Waren Sie gezwungen, Karten zu sperren, Konten zu überwachen oder Passwörter bei vielen Diensten zu ändern? Gab es Phishing, unerwünschte Kontaktaufnahmen, Rufschäden oder konkrete Ausgaben? Solche Details machen Ihren Vortrag glaubwürdig.
Fordern Sie das verantwortliche Unternehmen schriftlich zur Stellungnahme auf. Fragen Sie, welche Daten verarbeitet oder offengelegt wurden, auf welcher Grundlage dies geschah, wer Zugriff hatte und welche Schutzmaßnahmen getroffen wurden. Benennen Sie Ihren Schadensersatzanspruch klar und setzen Sie eine angemessene Frist zur Antwort.
Eine allgemeine Formulierung wie „Ich fordere Schmerzensgeld“ ist dabei wenig hilfreich. Besser ist eine sachliche Begründung: Beschreiben Sie den Verstoß, die Folgen und die Höhe Ihrer Forderung oder kündigen Sie an, diese nach Auskunft zu beziffern. Bleiben Sie bei nachweisbaren Tatsachen. Überzogene Forderungen ohne Bezug zum Einzelfall können die Verhandlung unnötig erschweren.
Welche Höhe kann der Schadensersatz haben?
Eine feste Tabelle für DSGVO-Schadensersatz gibt es nicht. Gerichte bewerten jeden Fall einzeln. Maßgeblich sind unter anderem Art und Sensibilität der Daten, Dauer und Reichweite der Offenlegung, Verschulden des Unternehmens, Risiko weiterer Nachteile sowie die konkrete Belastung für die betroffene Person.
Bei einem einzelnen, schnell korrigierten Fehler mit wenigen Daten kann der Betrag niedriger ausfallen oder ein Anspruch scheitern, wenn kein nachweisbarer Schaden vorliegt. Anders kann es aussehen, wenn sensible Informationen über längere Zeit zugänglich waren, Daten an viele Empfänger gingen oder der Vorfall zu Betrug, Nachteilen im Beruf oder erheblicher psychischer Belastung führte.
Schadensersatz nach Art. 82 DSGVO soll den entstandenen Schaden ausgleichen. Er ist keine automatische Strafe für Unternehmen. Datenschutzaufsichtsbehörden können zusätzlich Bußgelder verhängen, doch diese fließen nicht an Betroffene. Eine Beschwerde bei der Aufsichtsbehörde kann Druck erzeugen und einen Verstoß klären helfen, ersetzt aber Ihre eigene Forderung auf Schadensersatz nicht.
Fristen: Warten kann Ansprüche gefährden
Für DSGVO-Schadensersatzansprüche gilt in Deutschland regelmäßig die dreijährige Verjährungsfrist des Bürgerlichen Gesetzbuchs. Sie beginnt grundsätzlich mit dem Ende des Jahres, in dem Sie vom Anspruch und von der verantwortlichen Stelle Kenntnis erlangt haben oder ohne grobe Fahrlässigkeit hätten erlangen müssen.
Erfahren Sie beispielsweise im Jahr 2026 von einem Datenschutzverstoß, läuft die regelmäßige Frist typischerweise ab dem 31. Dezember 2026 und endet mit Ablauf des 31. Dezember 2029. Sonderfälle können anders liegen. Wer früh handelt, sichert Beweise besser und vermeidet Streit über Fristen und Erinnerungen.
DSGVO Schadensersatz beantragen: Der praktische Ablauf
Der erste Schritt ist die Prüfung, ob der geschilderte Vorfall tatsächlich gegen Datenschutzrecht verstößt und ob ein konkreter Schaden plausibel ist. Danach folgt die außergerichtliche Geltendmachung gegenüber dem Verantwortlichen. Viele Unternehmen weisen Forderungen zunächst zurück oder bestreiten, dass ein Schaden entstanden sei. Das ist kein Grund, vorschnell aufzugeben, aber ein Anlass, die eigene Begründung genau zu prüfen.
Bleibt eine Einigung aus, kann eine rechtliche Durchsetzung sinnvoll sein. Dabei kommt es auf die Beweislage, die erwartbare Anspruchshöhe und das Kostenrisiko an. Nicht jeder Fall muss vor Gericht enden. Eine klare, gut dokumentierte Forderung kann bereits zu einer Lösung führen. Wenn die Gegenseite nicht reagiert oder den Anspruch unbegründet ablehnt, braucht es jedoch oft konsequentes Vorgehen.
Sie müssen diesen Prozess nicht allein organisieren. Digitale Verfahren können Unterlagen bündeln, den Sachverhalt strukturiert erfassen und den Status transparent machen. Rechto unterstützt Anspruchsteller dabei, berechtigte Forderungen einfach digital prüfen und einreichen zu lassen. Entscheidend bleibt: Die rechtliche Bewertung muss zu Ihrem individuellen Fall passen, nicht zu einer pauschalen Musterforderung.
Häufige Fehler, die Sie vermeiden sollten
Der häufigste Fehler ist, den Schaden zu allgemein zu beschreiben. Formulieren Sie nicht nur, dass Sie sich unsicher fühlten. Erklären Sie, wodurch die Unsicherheit ausgelöst wurde, wie lange sie anhielt und welche konkreten Maßnahmen oder Folgen daraus entstanden.
Ebenso problematisch ist es, Belege nicht zu sichern. Eine nachträglich gelöschte E-Mail, ein nicht dokumentierter Anruf oder eine fehlende Kopie der Datenpannen-Mitteilung lassen sich später oft nur schwer rekonstruieren. Bewahren Sie Unterlagen geordnet auf und speichern Sie Screenshots mit Datum.
Schließlich sollten Sie Datenschutzansprüche nicht mit jedem unerwünschten Kontakt verwechseln. Eine einzelne Werbe-E-Mail kann rechtswidrig sein, führt aber nicht automatisch zu DSGVO-Schadensersatz. Es kommt auf die Umstände, die Datenverarbeitung und Ihren konkreten Nachteil an.
Wenn Ihre Daten ohne ausreichenden Schutz verarbeitet, weitergegeben oder offengelegt wurden, warten Sie nicht auf eine freiwillige Entschuldigung. Sichern Sie die Fakten, dokumentieren Sie die Folgen und lassen Sie Ihren Anspruch prüfen. Wer seine Rechte klar darlegt, schafft die Grundlage dafür, dass aus einem Datenschutzverstoß auch eine faire Entschädigung werden kann.