Eine gefälschte E-Mail, ein geklauter Login und plötzlich sind Name, Adresse, Bankdaten oder Vertragsinformationen in fremden Händen. Eine DSGVO-Entschädigung nach Phishing ist in solchen Fällen möglich – aber sie entsteht nicht automatisch. Entscheidend ist, ob ein Unternehmen seine Datenschutzpflichten verletzt hat, Ihnen dadurch ein Schaden entstanden ist und beides rechtlich zusammenhängt.
Für Betroffene bedeutet das: Nicht jeder Phishing-Angriff führt zu einem Zahlungsanspruch. Unternehmen können sich aber auch nicht allein damit verteidigen, Kriminelle hätten den Angriff verursacht. Wer personenbezogene Daten verarbeitet, muss sie mit angemessenen technischen und organisatorischen Maßnahmen schützen.
Wann kommt eine DSGVO-Entschädigung nach Phishing infrage?
Die Grundlage für einen Schadensersatzanspruch ist Art. 82 DSGVO. Danach kann Ersatz verlangt werden, wenn wegen eines Datenschutzverstoßes ein materieller oder immaterieller Schaden entstanden ist. Materiell sind messbare finanzielle Verluste, etwa unberechtigte Abbuchungen oder Kosten zur Wiederherstellung eines Kontos. Immateriell sind persönliche Beeinträchtigungen wie Kontrollverlust über sensible Daten, Angst vor Missbrauch oder eine erhebliche Belastung durch die Folgen des Vorfalls.
Für einen Anspruch müssen in der Regel drei Punkte zusammenkommen: ein Verstoß gegen die DSGVO, ein tatsächlich erlittener Schaden und ein ursächlicher Zusammenhang zwischen beidem. Genau hier entscheidet sich, ob aus einem ärgerlichen Sicherheitsvorfall ein durchsetzbarer Anspruch wird.
Ein Beispiel: Ein Angreifer täuscht einen Mitarbeiter eines Unternehmens per Phishing-E-Mail und erhält dadurch Zugang zu einem Kundenportal. Werden dort Kundendaten abgerufen, kann eine Datenschutzverletzung vorliegen. Hat das Unternehmen keine ausreichenden Schutzvorkehrungen eingerichtet, etwa keine Mehrfaktor-Authentifizierung bei besonders sensiblen Zugängen oder keine wirksamen Kontrollen gegen betrügerische E-Mails, kann das für eine Pflichtverletzung sprechen.
Anders liegt der Fall, wenn Sie selbst auf eine überzeugende Phishing-Nachricht reagieren und Zugangsdaten auf einer gefälschten Seite eingeben, obwohl der Anbieter seine Systeme ordnungsgemäß abgesichert hat. Dann ist ein DSGVO-Anspruch gegen den Anbieter nicht ausgeschlossen, aber deutlich schwerer zu begründen. Es kommt auf die konkrete Sicherheitsarchitektur, die Warnhinweise, den Ablauf und die Art der betroffenen Daten an.
Ein Datenleck allein reicht nicht immer
Viele Betroffene gehen davon aus, dass eine Datenpanne automatisch Geld entschädigen muss. So pauschal ist das nicht. Der Europäische Gerichtshof verlangt keinen besonders schweren Schaden als Mindestschwelle. Ein Bagatellschaden ist also nicht zwingend ausgeschlossen. Trotzdem muss ein realer Nachteil nachvollziehbar dargelegt werden.
Die bloße Information, dass Daten möglicherweise betroffen sind, genügt nicht in jedem Fall. Wer Entschädigung fordert, sollte konkret schildern können, welche Folgen eingetreten sind: Mussten Passwörter, Bankverbindungen oder Ausweisdokumente abgesichert werden? Kam es zu betrügerischen Kontaktaufnahmen? Besteht wegen offengelegter Finanz-, Gesundheits- oder Identitätsdaten eine nachvollziehbare Sorge vor Missbrauch? Wurde Zeit aufgewendet, um Konten zu sperren, Kreditkarten zu ersetzen oder falsche Forderungen abzuwehren?
Gerichte bewerten diese Fragen immer im Einzelfall. Besonders sensibel sind Daten wie Zahlungsdaten, Kopien von Ausweisen, Zugangsdaten, Gesundheitsinformationen oder vollständige Kundenprofile. Je größer die Gefahr eines Identitätsdiebstahls oder finanziellen Missbrauchs, desto gewichtiger kann der immaterielle Schaden sein.
Welche Pflichten hat das betroffene Unternehmen?
Unternehmen müssen personenbezogene Daten nach Art. 32 DSGVO angemessen schützen. Was angemessen ist, hängt nicht allein von der Unternehmensgröße ab. Relevant sind auch die Risiken für Betroffene, der Stand der Technik, die Art der Daten und die Wahrscheinlichkeit eines Angriffs.
Bei Phishing geht es häufig um vermeidbare Schwachstellen. Dazu gehören schlecht geschützte E-Mail-Konten, fehlende Mehrfaktor-Authentifizierung, zu weitreichende Zugriffsrechte oder unzureichend geschulte Beschäftigte. Auch ein fehlendes Verfahren, mit dem ungewöhnliche Zahlungs- oder Datenzugriffe erkannt werden, kann eine Rolle spielen.
Kein Unternehmen kann jeden Angriff sicher verhindern. Datenschutzrecht verlangt keine absolute Sicherheit. Es verlangt aber ein Schutzkonzept, das zum Risiko passt und tatsächlich umgesetzt wird. Ein bloßes Sicherheitshandbuch hilft wenig, wenn Mitarbeitende keine Schulungen erhalten, Warnsignale ignoriert werden oder kritische Zugänge nur mit einem Passwort geschützt sind.
Nach einem Vorfall kann zudem relevant sein, wie das Unternehmen reagiert hat. Datenschutzverletzungen müssen unter bestimmten Voraussetzungen der zuständigen Aufsichtsbehörde gemeldet werden. Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, müssen diese grundsätzlich ebenfalls informiert werden. Eine solche Benachrichtigung beweist noch keinen Schadensersatzanspruch. Sie ist aber ein wichtiger Anhaltspunkt dafür, dass ein ernsthafter Datenschutzvorfall vorlag.
So dokumentieren Sie Ihren Fall richtig
Bei Phishing zählt häufig, was sich später noch belegen lässt. Sichern Sie deshalb Unterlagen sofort und vollständig. Löschen Sie verdächtige Nachrichten nicht, bevor Sie Screenshots angefertigt und die E-Mail samt Absenderdaten gesichert haben. Notieren Sie auch, wann Sie den Vorfall bemerkt, wen Sie informiert und welche Folgen Sie festgestellt haben.
Besonders hilfreich sind Unterlagen zu diesen Punkten:
- die Phishing-E-Mail, SMS oder Nachricht inklusive Datum, Absender und Inhalt;
- Mitteilungen des Unternehmens über einen Sicherheitsvorfall oder eine Datenpanne;
- Kontoauszüge, Mahnungen oder Belege über unberechtigte Abbuchungen;
- Nachweise über Passwortänderungen, Kartensperren, Ersatzdokumente oder Meldungen bei Bank und Polizei;
- eine zeitliche Übersicht über Missbrauchsversuche und Ihren Aufwand zur Schadensabwehr.
Diese Dokumentation ersetzt keine rechtliche Prüfung. Sie verhindert aber, dass der Fall später nur auf einer Erinnerung beruht. Gerade bei immateriellen Schäden kommt es auf eine glaubhafte, konkrete Darstellung an. Allgemeine Formulierungen wie „Ich hatte Angst“ sind schwächer als eine nachvollziehbare Schilderung: Welche Daten waren betroffen, welche Risiken entstanden und welche Maßnahmen mussten Sie ergreifen?
Wie hoch kann die Entschädigung ausfallen?
Eine feste Tabelle für DSGVO-Schadensersatz nach Phishing gibt es nicht. Die Höhe richtet sich nicht nach einer Strafe für das Unternehmen, sondern nach Ihrem individuellen Schaden. Schadensersatz soll ausgleichen, nicht pauschal bestrafen.
Bei einem begrenzten Datenabfluss ohne nachweisbare Missbrauchsfolgen können die zugesprochenen Beträge niedrig sein oder ein Anspruch scheitert, weil kein konkreter Schaden ausreichend belegt wurde. Anders kann es aussehen, wenn sensible Daten offenbart, Konten übernommen oder Betroffene über längere Zeit mit Betrugsversuchen konfrontiert werden. Sind finanzielle Schäden entstanden, können diese zusätzlich zu einem immateriellen Schadensersatz relevant sein.
Vorsicht ist bei pauschalen Werbeversprechen geboten, die für jede Datenpanne hohe Summen ankündigen. Ob ein Anspruch besteht, entscheidet sich anhand der Fakten. Gerade deshalb lohnt sich eine strukturierte Prüfung statt eines vorschnellen Vergleichs oder eines unvollständigen Schreibens an das Unternehmen.
Diese Schritte sind nach einem Phishing-Vorfall sofort wichtig
Der mögliche Entschädigungsanspruch darf nicht davon ablenken, dass der Schutz Ihrer Daten Vorrang hat. Ändern Sie betroffene Passwörter unverzüglich und verwenden Sie für jedes Konto ein eigenes Passwort. Aktivieren Sie, wo möglich, die Zwei-Faktor-Authentifizierung. Informieren Sie bei Zahlungsdatenverlust Ihre Bank oder den Zahlungsdienstleister sofort und lassen Sie Karten oder Zugänge sperren.
Wurde ein Kundenkonto übernommen, kontaktieren Sie das betroffene Unternehmen schriftlich. Fragen Sie konkret, welche Daten kompromittiert wurden, wann der Vorfall bekannt wurde, welche Schutzmaßnahmen bestanden und welche Schritte das Unternehmen nun ergreift. Bitten Sie um eine schriftliche Auskunft. Diese Informationen helfen Ihnen nicht nur beim Schutz Ihrer Daten, sondern auch bei der späteren Bewertung eines möglichen Anspruchs.
Bei Identitätsmissbrauch, unberechtigten Vertragsabschlüssen oder größeren finanziellen Schäden kann zudem eine Strafanzeige sinnvoll sein. Bewahren Sie das Aktenzeichen auf. Es zeigt, dass Sie den Vorfall ernst genommen und zügig gehandelt haben.
Verjährung und realistische Erwartungen
Datenschutzrechtliche Schadensersatzansprüche verjähren häufig innerhalb von drei Jahren. Die genaue Berechnung hängt vom Einzelfall ab, insbesondere davon, wann Sie vom Schaden und von der verantwortlichen Stelle erfahren haben. Wer zu lange wartet, riskiert, dass ein grundsätzlich berechtigter Anspruch nicht mehr durchgesetzt werden kann.
Gleichzeitig sollten Betroffene nicht vorschnell handeln, ohne die Tatsachen zu sichern. Ein wirksames Anspruchsschreiben muss klar machen, welche Daten betroffen waren, worin der DSGVO-Verstoß liegt und welchen Schaden Sie geltend machen. Fehlen diese Angaben, kann das Unternehmen den Anspruch leichter zurückweisen.
Eine DSGVO-Entschädigung nach Phishing ist kein Automatismus, aber auch kein aussichtsloser Sonderfall. Wenn ein Unternehmen Ihre Daten nicht angemessen geschützt hat und Sie dadurch spürbar belastet oder geschädigt wurden, sollten Sie den Fall nicht einfach abhaken. Sichern Sie Ihre Beweise, schützen Sie Ihre Konten und lassen Sie die Erfolgsaussichten fundiert prüfen – damit aus einem Sicherheitsvorfall nicht dauerhaft Ihr persönliches Risiko wird.