Ein Datenleck ist nicht nur eine technische Panne. Gelangen E-Mail-Adresse, Passwort, Kontodaten, Anschrift oder Ausweisdaten in falsche Hände, kann das zu Betrugsversuchen, Identitätsmissbrauch und erheblichem Aufwand führen. Wer Schadensersatz nach Datenleck durchsetzen möchte, muss den Vorfall deshalb nicht einfach hinnehmen. Die Datenschutz-Grundverordnung kann Betroffenen einen Anspruch auf Ersatz materieller und immaterieller Schäden geben.
Entscheidend ist nicht, wie groß das Unternehmen ist oder ob es sich entschuldigt hat. Entscheidend ist, ob es für die Verarbeitung Ihrer Daten verantwortlich war, ob gegen Datenschutzrecht verstoßen wurde und welcher konkrete Nachteil Ihnen entstanden ist. Mit einer sauberen Dokumentation und einem klaren Vorgehen verbessern Sie Ihre Ausgangslage deutlich.
Wann besteht Schadensersatz nach einem Datenleck?
Die zentrale Grundlage ist Art. 82 DSGVO. Danach kann jede Person Ersatz verlangen, die wegen eines Verstoßes gegen die DSGVO einen materiellen oder immateriellen Schaden erlitten hat. Ein Datenleck kann ein solcher Verstoß sein, etwa wenn ein Unternehmen Daten unzureichend abgesichert, unbefugt offengelegt oder zu lange gespeichert hat.
Materielle Schäden sind finanzielle Nachteile. Dazu können unberechtigte Abbuchungen, Kosten für eine Ersatzkarte, Ausgaben zur Wiederherstellung eines kompromittierten Kontos oder nachweisbare Schäden durch Identitätsmissbrauch gehören. Auch der Zeitaufwand kann im Einzelfall relevant werden, etwa wenn er zu einem konkret belegbaren Verdienstausfall geführt hat.
Immaterielle Schäden betreffen persönliche Beeinträchtigungen. Dazu zählen nachvollziehbare Sorgen vor Missbrauch, der Verlust der Kontrolle über sensible Daten, Angst vor Phishing oder ein erheblicher Aufwand, die eigene digitale Identität zu schützen. Bei besonders sensiblen Informationen wie Gesundheits-, Finanz- oder Ausweisdaten wiegt ein Kontrollverlust meist schwerer als bei einer einzelnen E-Mail-Adresse.
Wichtig: Nicht jeder Datenschutzverstoß führt automatisch zu einer Zahlung. Der Europäische Gerichtshof hat klargestellt, dass ein bloßer Verstoß allein nicht genügt. Sie müssen einen tatsächlichen Schaden darlegen. Eine besonders hohe Erheblichkeitsschwelle gibt es aber nicht. Auch ein immaterieller Schaden kann ersatzfähig sein, wenn die konkrete Beeinträchtigung nachvollziehbar beschrieben und belegt wird.
Diese Punkte müssen Sie für Ihren Anspruch darlegen
Um Schadensersatz nach Datenleck durchzusetzen, kommt es in der Praxis auf drei Fragen an: Was ist passiert? Welche Daten waren betroffen? Welche Folgen hatte das für Sie?
Zunächst sollte feststehen, dass das Unternehmen für Ihre Daten verantwortlich war. Das kann sich aus einer Datenleck-Benachrichtigung, einer Pressemitteilung, einer E-Mail des Unternehmens oder einer Auskunft nach Art. 15 DSGVO ergeben. Unternehmen müssen Betroffene bei einem hohen Risiko für ihre Rechte und Freiheiten grundsätzlich unverzüglich informieren. Bleibt eine Benachrichtigung aus, bedeutet das allerdings nicht automatisch, dass kein Vorfall stattgefunden hat.
Danach geht es um die Art der Daten. Dokumentieren Sie möglichst genau, ob etwa Name, Anschrift, Geburtsdatum, Telefonnummer, Zugangsdaten, Bankverbindung oder besonders geschützte Daten betroffen waren. Je missbrauchsanfälliger die Informationen sind, desto besser lässt sich die Gefahr begründen.
Schließlich müssen Sie Ihre persönliche Belastung greifbar machen. Allgemeine Aussagen wie „Ich hatte Angst“ sind häufig zu wenig. Besser ist eine konkrete Darstellung: Sie mussten Passwörter ändern, Ihre Kontobewegungen prüfen, verdächtige Nachrichten abwehren, eine neue Karte beantragen oder erhielten anschließend Phishing-Mails. Notieren Sie Daten, Uhrzeiten und den jeweiligen Aufwand zeitnah. Das wirkt glaubwürdiger als eine Erinnerung Monate später.
Welche Unterlagen helfen wirklich?
Sichern Sie die Mitteilung zum Datenleck vollständig, einschließlich Anhängen und Kopfzeilen. Bewahren Sie außerdem Schriftverkehr mit dem Unternehmen, Screenshots von Phishing-Versuchen, Kontoauszüge bei unberechtigten Buchungen, Rechnungen für Ersatzmaßnahmen und Nachweise über Meldungen bei Bank oder Polizei auf.
Wenn Sie Auskunft verlangen, fragen Sie konkret nach dem Zeitpunkt des Vorfalls, den betroffenen Datenkategorien, den Empfängern Ihrer Daten, den Ursachen und den ergriffenen Schutzmaßnahmen. Eine pauschale Antwort sollten Sie nicht vorschnell akzeptieren. Sie brauchen Informationen, um Risiko und Schaden realistisch bewerten zu können.
So gehen Sie Schritt für Schritt vor
Der erste Schritt ist immer die Beweissicherung. Löschen Sie verdächtige E-Mails nicht, auch wenn sie offensichtlich betrügerisch wirken. Ändern Sie kompromittierte Passwörter sofort und verwenden Sie für jedes Konto ein eigenes, starkes Passwort. Waren Zahlungsdaten betroffen, informieren Sie Ihre Bank und kontrollieren Sie Ihre Umsätze besonders genau.
Im zweiten Schritt fordern Sie das verantwortliche Unternehmen schriftlich zur Stellungnahme auf. Schildern Sie den Vorfall, benennen Sie die betroffenen Daten und beschreiben Sie Ihre konkreten Folgen. Fordern Sie Auskunft und machen Sie den Schadensersatzanspruch dem Grunde nach geltend. Eine angemessene Frist setzt das Unternehmen unter Zugzwang und verhindert, dass Ihr Anliegen in einer allgemeinen Support-Anfrage verschwindet.
Im dritten Schritt sollten Sie die Höhe der Forderung sorgfältig wählen. Für tatsächlich entstandene Kosten verlangen Sie den belegbaren Betrag. Bei immateriellen Schäden gibt es keine feste Tabelle. Die Höhe hängt unter anderem von der Sensibilität der Daten, dem Umfang des Lecks, der Dauer der Gefährdung, möglichen Missbrauchsversuchen und Ihrer individuellen Belastung ab. Unrealistisch hohe Pauschalforderungen können die Durchsetzung erschweren. Eine nachvollziehbar begründete Forderung ist meist die bessere Strategie.
Reagiert das Unternehmen nicht, weist es den Anspruch pauschal zurück oder bietet es eine unangemessen geringe Zahlung an, kann eine rechtliche Prüfung sinnvoll sein. Gerade bei größeren Datenpannen betrifft der Vorfall oft viele Menschen. Das ändert nichts daran, dass Ihr individueller Schaden sauber dargestellt werden muss.
Beschwerde bei der Datenschutzbehörde oder direkt fordern?
Eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde kann Druck erzeugen und helfen, den Sachverhalt aufzuklären. Die Behörde kann das Unternehmen untersuchen und datenschutzrechtliche Maßnahmen verhängen. Sie entscheidet jedoch in der Regel nicht verbindlich über Ihre persönliche Schadensersatzsumme.
Für Geldentschädigung müssen Sie Ihren Anspruch daher gegenüber dem Unternehmen geltend machen und ihn bei Bedarf rechtlich durchsetzen. Beides kann parallel sinnvoll sein: Die Beschwerde dient der aufsichtsrechtlichen Prüfung, die Forderung verfolgt Ihren individuellen Ausgleich.
Fristen nicht unterschätzen
Datenschutzrechtliche Schadensersatzansprüche verjähren häufig innerhalb von drei Jahren. Die Frist beginnt grundsätzlich mit dem Ende des Jahres, in dem Sie vom Schaden, dem Verantwortlichen und den maßgeblichen Umständen Kenntnis erlangt haben oder hätten erlangen müssen. Je nach Fall können Details abweichen, insbesondere wenn Informationen erst später bekannt werden.
Verlassen Sie sich deshalb nicht darauf, dass ein Datenleck „noch lange her“ ist. Sichern Sie Unterlagen sofort und klären Sie frühzeitig, welche Ansprüche bestehen. Wer erst aktiv wird, wenn Belege verschwunden, Konten geschlossen oder Erinnerungen verblasst sind, verschenkt häufig entscheidende Möglichkeiten.
Typische Fehler, die Ihren Anspruch schwächen
Viele Betroffene konzentrieren sich ausschließlich auf die Frage, ob das Unternehmen Schuld eingeräumt hat. Das kann hilfreich sein, ist aber nicht alles. Wesentlich ist, den Datenschutzverstoß und die eigenen Folgen nachvollziehbar miteinander zu verbinden.
Auch der Verzicht auf eigene Schutzmaßnahmen kann problematisch werden. Wer trotz bekannt gewordenem Passwortleck über Wochen nichts ändert und später einen Schaden erleidet, muss sich möglicherweise Fragen zu einem Mitverschulden stellen. Handeln Sie daher sofort, ohne dadurch Ihre Forderung aufzugeben.
Ebenso ungünstig sind unvollständige Angaben. Wenn mehrere Betrugsversuche auftreten, dokumentieren Sie nicht nur den größten, sondern jeden einzelnen. Das Gesamtbild zeigt, dass der Vorfall keine abstrakte Möglichkeit, sondern eine reale Belastung war.
Ein Datenleck kann lange nachwirken. Sie müssen sich mit dieser Belastung nicht allein auseinandersetzen und berechtigte Ansprüche nicht aus Unsicherheit aufgeben. Entscheidend ist, jetzt strukturiert zu handeln: Vorfall sichern, Folgen dokumentieren, Informationen verlangen und Ihre Forderung klar formulieren.