{"id":22208,"date":"2026-10-04T02:24:31","date_gmt":"2026-10-04T02:24:31","guid":{"rendered":"https:\/\/rechto.de\/dsgvo-entschaedigung-nach-phishing\/"},"modified":"2026-10-04T02:24:31","modified_gmt":"2026-10-04T02:24:31","slug":"dsgvo-entschaedigung-nach-phishing","status":"publish","type":"post","link":"https:\/\/rechto.de\/en\/dsgvo-entschaedigung-nach-phishing\/","title":{"rendered":"DSGVO-Entsch\u00e4digung nach Phishing verstehen"},"content":{"rendered":"

Eine gef\u00e4lschte E-Mail, ein geklauter Login und pl\u00f6tzlich sind Name, Adresse, Bankdaten oder Vertragsinformationen in fremden H\u00e4nden. Eine DSGVO-Entsch\u00e4digung nach Phishing<\/strong> ist in solchen F\u00e4llen m\u00f6glich – aber sie entsteht nicht automatisch. Entscheidend ist, ob ein Unternehmen seine Datenschutzpflichten verletzt hat, Ihnen dadurch ein Schaden entstanden ist und beides rechtlich zusammenh\u00e4ngt.<\/p>\n

F\u00fcr Betroffene bedeutet das: Nicht jeder Phishing-Angriff f\u00fchrt zu einem Zahlungsanspruch. Unternehmen k\u00f6nnen sich aber auch nicht allein damit verteidigen, Kriminelle h\u00e4tten den Angriff verursacht. Wer personenbezogene Daten verarbeitet, muss sie mit angemessenen technischen und organisatorischen Ma\u00dfnahmen sch\u00fctzen.<\/p>\n

Wann kommt eine DSGVO-Entsch\u00e4digung nach Phishing infrage?<\/h2>\n

Die Grundlage f\u00fcr einen Schadensersatzanspruch ist Art.<\/a> 82 DSGVO. Danach kann Ersatz verlangt werden, wenn wegen eines Datenschutzversto\u00dfes ein materieller oder immaterieller Schaden entstanden ist. Materiell sind messbare finanzielle Verluste, etwa unberechtigte Abbuchungen oder Kosten zur Wiederherstellung eines Kontos. Immateriell sind pers\u00f6nliche Beeintr\u00e4chtigungen wie Kontrollverlust \u00fcber sensible Daten, Angst vor Missbrauch oder eine erhebliche Belastung durch die Folgen des Vorfalls.<\/p>\n

F\u00fcr einen Anspruch m\u00fcssen in der Regel drei Punkte zusammenkommen: ein Versto\u00df gegen die DSGVO, ein tats\u00e4chlich erlittener Schaden und ein urs\u00e4chlicher Zusammenhang zwischen beidem. Genau hier entscheidet sich, ob aus einem \u00e4rgerlichen Sicherheitsvorfall ein durchsetzbarer Anspruch wird.<\/p>\n

Ein Beispiel: Ein Angreifer t\u00e4uscht einen Mitarbeiter eines Unternehmens per Phishing-E-Mail und erh\u00e4lt dadurch Zugang zu einem Kundenportal. Werden dort Kundendaten abgerufen, kann eine Datenschutzverletzung vorliegen. Hat das Unternehmen keine ausreichenden Schutzvorkehrungen eingerichtet, etwa keine Mehrfaktor-Authentifizierung bei besonders sensiblen Zug\u00e4ngen oder keine wirksamen Kontrollen gegen betr\u00fcgerische E-Mails, kann das f\u00fcr eine Pflichtverletzung sprechen.<\/p>\n

Anders liegt der Fall, wenn Sie selbst auf eine \u00fcberzeugende Phishing-Nachricht reagieren und Zugangsdaten auf einer gef\u00e4lschten Seite eingeben, obwohl der Anbieter seine Systeme ordnungsgem\u00e4\u00df abgesichert hat. Dann ist ein DSGVO-Anspruch gegen den Anbieter nicht ausgeschlossen, aber deutlich schwerer zu begr\u00fcnden. Es kommt auf die konkrete Sicherheitsarchitektur, die Warnhinweise, den Ablauf und die Art der betroffenen Daten an.<\/p>\n

Ein Datenleck allein reicht nicht immer<\/h2>\n

Viele Betroffene gehen davon aus, dass eine Datenpanne automatisch Geld entsch\u00e4digen muss. So pauschal ist das nicht. Der Europ\u00e4ische Gerichtshof verlangt keinen besonders schweren Schaden als Mindestschwelle. Ein Bagatellschaden ist also nicht zwingend ausgeschlossen. Trotzdem muss ein realer Nachteil nachvollziehbar dargelegt werden.<\/p>\n

Die blo\u00dfe Information, dass Daten m\u00f6glicherweise betroffen sind, gen\u00fcgt nicht in jedem Fall. Wer Entsch\u00e4digung fordert, sollte konkret schildern k\u00f6nnen, welche Folgen eingetreten sind: Mussten Passw\u00f6rter, Bankverbindungen oder Ausweisdokumente abgesichert werden? Kam es zu betr\u00fcgerischen Kontaktaufnahmen? Besteht wegen offengelegter Finanz-, Gesundheits- oder Identit\u00e4tsdaten eine nachvollziehbare Sorge vor Missbrauch? Wurde Zeit aufgewendet, um Konten zu sperren, Kreditkarten zu ersetzen oder falsche Forderungen abzuwehren?<\/p>\n

Gerichte bewerten diese Fragen immer im Einzelfall. Besonders sensibel sind Daten wie Zahlungsdaten, Kopien von Ausweisen, Zugangsdaten, Gesundheitsinformationen oder vollst\u00e4ndige Kundenprofile. Je gr\u00f6\u00dfer die Gefahr eines Identit\u00e4tsdiebstahls oder finanziellen Missbrauchs, desto gewichtiger kann der immaterielle Schaden sein.<\/p>\n

Welche Pflichten hat das betroffene Unternehmen?<\/h2>\n

Unternehmen m\u00fcssen personenbezogene Daten nach Art. 32 DSGVO angemessen sch\u00fctzen. Was angemessen ist, h\u00e4ngt nicht allein von der Unternehmensgr\u00f6\u00dfe ab. Relevant sind auch die Risiken f\u00fcr Betroffene, der Stand der Technik, die Art der Daten und die Wahrscheinlichkeit eines Angriffs.<\/p>\n

Bei Phishing geht es h\u00e4ufig um vermeidbare Schwachstellen. Dazu geh\u00f6ren schlecht gesch\u00fctzte E-Mail-Konten, fehlende Mehrfaktor-Authentifizierung, zu weitreichende Zugriffsrechte oder unzureichend geschulte Besch\u00e4ftigte. Auch ein fehlendes Verfahren, mit dem ungew\u00f6hnliche Zahlungs- oder Datenzugriffe erkannt werden, kann eine Rolle spielen.<\/p>\n

Kein Unternehmen kann jeden Angriff sicher verhindern. Datenschutzrecht verlangt keine absolute Sicherheit. Es verlangt aber ein Schutzkonzept, das zum Risiko passt und tats\u00e4chlich umgesetzt wird. Ein blo\u00dfes Sicherheitshandbuch hilft wenig, wenn Mitarbeitende keine Schulungen erhalten, Warnsignale ignoriert werden oder kritische Zug\u00e4nge nur mit einem Passwort gesch\u00fctzt sind.<\/p>\n

Nach einem Vorfall kann zudem relevant sein, wie das Unternehmen reagiert hat. Datenschutzverletzungen m\u00fcssen unter bestimmten Voraussetzungen der zust\u00e4ndigen Aufsichtsbeh\u00f6rde gemeldet werden. Besteht voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten der Betroffenen, m\u00fcssen diese grunds\u00e4tzlich ebenfalls informiert werden. Eine solche Benachrichtigung beweist noch keinen Schadensersatzanspruch<\/a>. Sie ist aber ein wichtiger Anhaltspunkt daf\u00fcr, dass ein ernsthafter Datenschutzvorfall vorlag.<\/p>\n

So dokumentieren Sie Ihren Fall richtig<\/h2>\n

Bei Phishing z\u00e4hlt h\u00e4ufig, was sich sp\u00e4ter noch belegen l\u00e4sst. Sichern Sie deshalb Unterlagen sofort und vollst\u00e4ndig. L\u00f6schen Sie verd\u00e4chtige Nachrichten nicht, bevor Sie Screenshots angefertigt und die E-Mail samt Absenderdaten gesichert haben. Notieren Sie auch, wann Sie den Vorfall bemerkt, wen Sie informiert und welche Folgen Sie festgestellt haben.<\/p>\n

Besonders hilfreich sind Unterlagen zu diesen Punkten:<\/p>\n