Ein falscher E-Mail-Verteiler, ein offengelegter Gesundheitsbefund oder ein Datenleck beim Online-Shop kann mehr sein als ein \u00e4rgerlicher Fehler. Wer DSGVO Schadensersatz beantragen m\u00f6chte, kann unter bestimmten Voraussetzungen Ersatz f\u00fcr materielle und immaterielle Sch\u00e4den verlangen. Entscheidend ist nicht, wie gro\u00df das Unternehmen ist, sondern ob Ihre personenbezogenen Daten rechtswidrig verarbeitet wurden und Ihnen daraus ein tats\u00e4chlicher Schaden entstanden ist.<\/p>\n
Die Datenschutz-Grundverordnung gibt Betroffenen ein starkes Recht an die Hand. Trotzdem zahlt ein Unternehmen nicht automatisch, nur weil ein Versto\u00df vorliegt. F\u00fcr eine erfolgreiche Durchsetzung m\u00fcssen Sachverhalt, Schaden und Zusammenhang nachvollziehbar dargestellt werden. Genau dort entscheidet sich, ob aus einer berechtigten Beschwerde ein durchsetzbarer Anspruch wird.<\/p>\n
Die Grundlage ist Art. 82 DSGVO. Danach kann jede Person Schadensersatz verlangen, wenn ihr wegen eines Versto\u00dfes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist. Materielle Sch\u00e4den sind messbare finanzielle Nachteile, etwa Kosten f\u00fcr die Wiederherstellung eines kompromittierten Kontos oder ein konkreter Verm\u00f6gensschaden nach Identit\u00e4tsmissbrauch.<\/p>\n
In der Praxis geht es h\u00e4ufig um immaterielle Sch\u00e4den. Gemeint sind etwa Kontrollverlust \u00fcber pers\u00f6nliche Daten, Angst vor Missbrauch, Blo\u00dfstellung, erhebliche Belastungen oder eine sp\u00fcrbare Beeintr\u00e4chtigung der Privatsph\u00e4re. Ein besonderes Merkmal der DSGVO: Es gibt keine feste Bagatellgrenze. Auch ein kleiner Schaden kann grunds\u00e4tzlich ersatzf\u00e4hig sein.<\/p>\n
Das bedeutet aber nicht, dass jeder formale Datenschutzfehler eine Zahlung ausl\u00f6st. Der Europ\u00e4ische Gerichtshof verlangt drei Punkte: einen Versto\u00df gegen die DSGVO, einen Schaden und einen urs\u00e4chlichen Zusammenhang zwischen beidem. Wer nur behauptet, sich ge\u00e4rgert zu haben, wird es regelm\u00e4\u00dfig schwer haben. Wer dagegen konkret schildern und belegen kann, welche Folgen eine Datenpanne hatte, verbessert seine Position erheblich.<\/p>\n
Typische Konstellationen sind die Weitergabe pers\u00f6nlicher Daten ohne Rechtsgrundlage, unberechtigte Bonit\u00e4tsabfragen, der Versand sensibler Informationen an falsche Empf\u00e4nger, unzureichend gesicherte Kundendaten oder rechtswidrige Profilbildung. Auch ein Datenleck kann einen Anspruch begr\u00fcnden. Ob es tats\u00e4chlich dazu kommt, h\u00e4ngt davon ab, welche Daten betroffen waren, wie hoch das Missbrauchsrisiko ist und welche Auswirkungen Sie pers\u00f6nlich erlitten haben.<\/p>\n
Viele Betroffene erfahren von einer Datenpanne und erwarten zu Recht eine Erkl\u00e4rung. F\u00fcr Schadensersatz gen\u00fcgt die Meldung des Unternehmens allein jedoch noch nicht. Sie m\u00fcssen den Vorgang so aufbereiten, dass deutlich wird: Was ist geschehen, welche Daten waren betroffen und welche konkrete Beeintr\u00e4chtigung folgte daraus?<\/p>\n
Ein Beispiel: Ein H\u00e4ndler informiert Sie dar\u00fcber, dass Ihre Adresse, Kontodaten und Zugangsdaten durch einen Angriff abgeflossen sein k\u00f6nnten. Kurz danach erhalten Sie t\u00e4uschend echte Phishing-Mails, m\u00fcssen Passw\u00f6rter \u00e4ndern, Ihr Konto \u00fcberwachen und bef\u00fcrchten unberechtigte Abbuchungen. Das ist deutlich greifbarer als die pauschale Aussage, der Vorfall sei unangenehm gewesen.<\/p>\n
Bei besonders sensiblen Daten kann schon die Gefahr eines Missbrauchs st\u00e4rker wiegen. Dazu geh\u00f6ren Gesundheitsdaten, Angaben zur sexuellen Orientierung, religi\u00f6sen \u00dcberzeugungen oder Finanzdaten. Auch die Reichweite z\u00e4hlt: Wurden Daten an eine einzelne falsche Person versendet oder frei im Internet ver\u00f6ffentlicht? Je gr\u00f6\u00dfer Kontrollverlust und Risiko, desto gewichtiger kann der immaterielle Schaden ausfallen.<\/p>\n
Wer seinen Anspruch strukturiert vorbereitet, spart sp\u00e4ter Zeit und vermeidet L\u00fccken. Sichern Sie zun\u00e4chst alles, was den Vorfall belegt. Dazu geh\u00f6ren E-Mails des Unternehmens, Schreiben \u00fcber Datenpannen, Screenshots, Ausk\u00fcnfte nach Art. 15 DSGVO, Nachrichten von Dritten und gegebenenfalls Unterlagen zu finanziellen Sch\u00e4den.<\/p>\n
Notieren Sie den Ablauf zeitnah. Halten Sie fest, wann Sie vom Vorfall erfahren haben, welche Daten betroffen waren und welche Folgen eingetreten sind. Waren Sie gezwungen, Karten zu sperren, Konten zu \u00fcberwachen oder Passw\u00f6rter bei vielen Diensten zu \u00e4ndern? Gab es Phishing, unerw\u00fcnschte Kontaktaufnahmen, Rufsch\u00e4den oder konkrete Ausgaben? Solche Details machen Ihren Vortrag glaubw\u00fcrdig.<\/p>\n
Fordern Sie das verantwortliche Unternehmen schriftlich zur Stellungnahme auf. Fragen Sie, welche Daten verarbeitet oder offengelegt wurden, auf welcher Grundlage dies geschah, wer Zugriff hatte und welche Schutzma\u00dfnahmen getroffen wurden. Benennen Sie Ihren Schadensersatzanspruch klar und setzen Sie eine angemessene Frist zur Antwort.<\/p>\n
Eine allgemeine Formulierung wie \u201eIch fordere Schmerzensgeld\u201c ist dabei wenig hilfreich. Besser ist eine sachliche Begr\u00fcndung: Beschreiben Sie den Versto\u00df, die Folgen und die H\u00f6he Ihrer Forderung oder k\u00fcndigen Sie an, diese nach Auskunft zu beziffern. Bleiben Sie bei nachweisbaren Tatsachen. \u00dcberzogene Forderungen ohne Bezug zum Einzelfall k\u00f6nnen die Verhandlung unn\u00f6tig erschweren.<\/p>\n
Eine feste Tabelle f\u00fcr DSGVO-Schadensersatz gibt es nicht. Gerichte bewerten jeden Fall einzeln. Ma\u00dfgeblich sind unter anderem Art und Sensibilit\u00e4t der Daten, Dauer und Reichweite der Offenlegung, Verschulden des Unternehmens, Risiko weiterer Nachteile sowie die konkrete Belastung f\u00fcr die betroffene Person.<\/p>\n
Bei einem einzelnen, schnell korrigierten Fehler mit wenigen Daten kann der Betrag niedriger ausfallen oder ein Anspruch scheitern, wenn kein nachweisbarer Schaden vorliegt. Anders kann es aussehen, wenn sensible Informationen \u00fcber l\u00e4ngere Zeit zug\u00e4nglich waren, Daten an viele Empf\u00e4nger gingen oder der Vorfall zu Betrug, Nachteilen im Beruf oder erheblicher psychischer Belastung f\u00fchrte.<\/p>\n