Ein Datenleck, eine falsch versendete E-Mail oder eine unberechtigte Bonitätsabfrage kann mehr sein als ein ärgerlicher Fehler. Die Schadensersatzhöhe bei einer Datenschutzverletzung entscheidet darüber, ob sich die Durchsetzung Ihres Anspruchs lohnt. Eine pauschale Summe gibt es nicht. Entscheidend ist, was genau passiert ist, welche Daten betroffen waren und welche Folgen die Verletzung für Sie hatte.
Viele Betroffene warten ab, weil sie keinen konkreten finanziellen Verlust nachweisen können. Das ist nicht zwingend erforderlich. Die Datenschutz-Grundverordnung erlaubt auch Schadensersatz für immaterielle Schäden, etwa bei Kontrollverlust, Angst vor Datenmissbrauch oder einer spürbaren Beeinträchtigung der Privatsphäre. Ein Verstoß allein reicht jedoch nicht automatisch für eine Zahlung.
Wann besteht ein Schadensersatzanspruch?
Die Grundlage ist Art. 82 DSGVO. Danach kann eine Person Ersatz verlangen, wenn ihr durch einen Datenschutzverstoß ein materieller oder immaterieller Schaden entstanden ist. Dafür müssen drei Punkte zusammenkommen: Es muss ein Verstoß gegen Datenschutzrecht vorliegen, Ihnen muss ein Schaden entstanden sein und zwischen Verstoß und Schaden muss ein Zusammenhang bestehen.
Ein Unternehmen verarbeitet Ihre Daten also nicht rechtmäßig, weil es etwa sensible Informationen an Dritte weitergibt. Das allein kann ein starkes Indiz sein. Für Schadensersatz müssen Sie zusätzlich nachvollziehbar darlegen, wie Sie dadurch beeinträchtigt wurden. Bei einem finanziellen Schaden ist das oft einfach: Unberechtigte Abbuchungen, Kosten für eine Ersatzkarte oder Aufwendungen zur Abwehr eines Identitätsmissbrauchs lassen sich belegen.
Bei immateriellen Schäden kommt es stärker auf die Umstände an. Wer nach einem Datenleck ernsthaft befürchten muss, dass Adresse, Kontodaten oder Zugangsdaten missbraucht werden, kann betroffen sein, auch wenn der Missbrauch noch nicht eingetreten ist. Bloßer Ärger über eine unerwünschte Nachricht oder ein rein theoretisches Unwohlsein genügt dagegen häufig nicht. Sie müssen Ihre Beeinträchtigung konkret und plausibel schildern.
Datenschutzverletzung: Welche Schadensersatz-Höhe ist realistisch?
Gerichte wenden keinen festen Katalog mit Entschädigungsbeträgen an. Die Schadensersatzhöhe bei einer Datenschutzverletzung wird im Einzelfall geschätzt und bewertet. Deshalb können vergleichbare Fälle unterschiedlich ausgehen. Das ist unbefriedigend, aber kein Grund, einen berechtigten Anspruch vorschnell aufzugeben.
Bei weniger gravierenden Verstößen bewegen sich zugesprochene immaterielle Beträge in Deutschland häufig im unteren bis mittleren dreistelligen Bereich. Werden besonders schutzwürdige Daten offengelegt, Daten über längere Zeit unzulässig verarbeitet oder viele Personen von einem Sicherheitsvorfall erfasst, können höhere Beträge in Betracht kommen. Bei nachweisbaren finanziellen Folgeschäden kommt dieser konkrete Schaden zusätzlich hinzu.
Wichtig: Schadensersatz nach der DSGVO soll den tatsächlich erlittenen Schaden ausgleichen. Er ist keine Strafe für das Unternehmen und kein Gewinnmodell. Die Höhe muss deshalb zur konkreten Beeinträchtigung passen. Überzogene Forderungen können eine außergerichtliche Einigung erschweren und im Streitfall die Glaubwürdigkeit mindern.
Diese Faktoren beeinflussen die Höhe
Wie hoch ein Anspruch ausfällt, hängt besonders davon ab, wie sensibel die betroffenen Daten sind. Name und E-Mail-Adresse sind anders zu bewerten als Gesundheitsdaten, Ausweisdaten, Kontoinformationen oder Zugangsdaten zu einem Kundenkonto.
Auch das Ausmaß zählt. Wurden Ihre Daten nur an eine falsche Person geschickt und der Empfänger hat sie nachweislich gelöscht? Oder standen sie frei im Internet, wurden von Unbefugten abgerufen oder über Monate unrechtmäßig genutzt? Je größer der Kontrollverlust und je länger die Gefährdung andauert, desto stärker kann die Beeinträchtigung wiegen.
Relevant ist außerdem, wie das Unternehmen reagiert. Eine schnelle Information, eine nachvollziehbare Aufklärung und wirksame Schutzmaßnahmen beseitigen den Verstoß nicht. Sie können aber bei der Gesamtbewertung eine Rolle spielen. Umgekehrt kann ein Unternehmen, das einen Vorfall verschweigt, Auskunft verweigert oder seine Sicherheitslücken nicht schließt, seine Position verschlechtern.
Schließlich geht es um Ihre persönliche Belastung. Mussten Sie Passwörter ändern, Konten überwachen, Karten sperren oder unberechtigte Forderungen abwehren? Gab es konkrete Betrugsversuche? Haben Sie wegen der Veröffentlichung privater oder beruflicher Informationen Nachteile erlitten? Solche Folgen sollten Sie nicht nur behaupten, sondern möglichst mit Unterlagen belegen.
Typische Fälle und ihre Bewertung
Ein klassischer Fall ist die E-Mail mit einem falschen Empfänger im CC-Feld. Sind dort nur wenige gewöhnliche Kontaktdaten sichtbar und wird der Fehler sofort korrigiert, kann die Beeinträchtigung begrenzt sein. Enthält die Nachricht dagegen Informationen zu einer Erkrankung, einem Arbeitsverhältnis, einer Zahlung oder einem Streitfall, ist die Lage deutlich ernster.
Bei großen Datenlecks kommt es darauf an, welche Daten abgeflossen sind und ob sie missbraucht werden können. Die Veröffentlichung von Login-Daten, Kontodaten oder Kopien von Ausweisdokumenten kann ein erhebliches Risiko schaffen. Hat ein Angreifer mit den Daten bereits Bestellungen ausgelöst, Verträge geschlossen oder Phishing-Nachrichten versendet, sollten Sie alle Folgeschäden sauber erfassen.
Auch unberechtigte Auskünfte an Wirtschaftsauskunfteien, falsche Negativmerkmale oder eine rechtswidrige Verarbeitung von Beschäftigtendaten können Ansprüche auslösen. Hier können neben dem Datenschutzverstoß weitere rechtliche Fragen entstehen. Eine genaue Prüfung des Einzelfalls ist dann besonders sinnvoll.
So sichern Sie Ihren Anspruch
Wer einen Datenschutzverstoß vermutet, sollte nicht nur eine Beschwerde verfassen, sondern den Sachverhalt von Anfang an dokumentieren. Je klarer die Fakten sind, desto besser lässt sich ein Anspruch begründen. Bewahren Sie insbesondere diese Unterlagen auf:
- die Mitteilung des Unternehmens über den Vorfall und den genauen Wortlaut der Erklärung,
- Screenshots, E-Mails, Briefe und Hinweise auf eine unberechtigte Datenverarbeitung,
- Nachweise zu Folgen wie Kontosperrungen, Ersatzkosten, Betrugsversuchen oder Schriftwechsel mit Dritten,
- eine kurze Chronologie mit Daten, Ansprechpartnern und Ihren eigenen Schutzmaßnahmen.
Fordern Sie das verantwortliche Unternehmen schriftlich zur Auskunft auf. Sie können wissen wollen, welche Daten verarbeitet wurden, woher sie stammen, an wen sie weitergegeben wurden und welche Schutzmaßnahmen nach dem Vorfall ergriffen wurden. Diese Informationen helfen Ihnen, Umfang und Risiko der Verletzung einzuordnen.
Beschreiben Sie bei einer Schadensersatzforderung konkret, was passiert ist und welche Folgen Sie getroffen haben. Formulierungen wie „Ich hatte erhebliche Sorgen“ sind schwächer als eine nachvollziehbare Darstellung: Sie mussten etwa Zugänge sichern, Ihre Bank informieren, unberechtigte Kontaktaufnahmen abwehren oder befürchten, dass sensible Informationen im beruflichen Umfeld bekannt werden.
Fristen und Risiken nicht unterschätzen
Für DSGVO-Schadensersatzansprüche gilt regelmäßig die dreijährige Verjährungsfrist. Sie beginnt grundsätzlich mit dem Ende des Jahres, in dem Sie vom Schaden, vom möglichen Verantwortlichen und von den anspruchsbegründenden Umständen erfahren haben oder hätten erfahren müssen. Der genaue Fristbeginn kann im Einzelfall schwierig sein. Wer lange wartet, riskiert vermeidbare Beweisprobleme und den Verlust des Anspruchs.
Nicht jede Datenschutzbeschwerde führt auch zu Schadensersatz. Die Datenschutzaufsicht kann ein Unternehmen prüfen oder sanktionieren, zahlt Ihnen aber nicht automatisch Geld aus. Ihr individueller Anspruch muss eigenständig geltend gemacht werden. Umgekehrt kann ein Unternehmen einen Verstoß bestreiten, die Kausalität infrage stellen oder Ihre Beeinträchtigung als zu gering darstellen. Eine strukturierte Aufbereitung ist deshalb keine Formalität, sondern Ihre Grundlage für eine erfolgreiche Durchsetzung.
Wenn Sie Aufwand, Kostenrisiko und rechtliche Unsicherheit vermeiden möchten, kann eine digitale Prüfung sinnvoll sein. Rechto unterstützt dabei, Anspruchssituationen verständlich einzuordnen und den weiteren Weg transparent vorzubereiten. Entscheidend ist nicht, möglichst laut zu fordern, sondern Ihren Fall frühzeitig, vollständig und nachvollziehbar auf den Tisch zu legen.