Immaterieller Schadensersatz nach Art. 82 DSGVO

Kurz beantwortet: Jede Person, der durch einen DSGVO-Verstoß ein materieller oder immaterieller Schaden entsteht, kann von Ihnen Schadensersatz verlangen (Art. 82 DSGVO). Befreien können Sie sich nur, wenn Sie nachweisen, in keinerlei Hinsicht verantwortlich zu sein, eine hohe Hürde. Für Software-Unternehmen mit vielen Nutzern liegt das Risiko weniger im Einzelbetrag als in der Masse gleichgelagerter Ansprüche.

Welchen Schaden erfasst Art. 82 DSGVO?

Lange galt die DSGVO vor allem als Bußgeldrisiko, der Blick ging zur Aufsichtsbehörde. Inzwischen kommt die Gefahr zunehmend von der anderen Seite: von den Betroffenen selbst. Sie klagen auf Schadensersatz, auch für immaterielle Schäden. Für Software-Unternehmen, die viele Nutzerdaten verarbeiten, ist Art. 82 DSGVO deshalb zu einem eigenständigen, oft unterschätzten Haftungsrisiko geworden.

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Den Ausschlag gibt dabei das Wort „immateriell“, denn ersatzfähig ist nicht nur ein bezifferbarer Vermögensschaden, sondern auch der ideelle Schaden, etwa der Kontrollverlust über die eigenen Daten. Genau das macht den Anspruch für Massenverfahren attraktiv.

Wie ist die Beweislast verteilt?

Die Haftung ist streng ausgestaltet. Nach Art. 82 Abs. 2 DSGVO haftet der Verantwortliche für Schäden aus einer nicht verordnungskonformen Verarbeitung. Befreien kann er sich nach Art. 82 Abs. 3 DSGVO nur, wenn er nachweist, dass er „in keinerlei Hinsicht“ für den schadensverursachenden Umstand verantwortlich ist, eine hohe Hürde. Sind mehrere Verantwortliche oder Auftragsverarbeiter beteiligt, haftet nach Art. 82 Abs. 4 DSGVO jeder für den gesamten Schaden, gesamtschuldnerisch, mit internem Regress nach Abs. 5.

Was hat die Rechtsprechung präzisiert?

Der Europäische Gerichtshof hat den Anspruch in mehreren Entscheidungen konturiert: Ein bloßer Verstoß gegen die DSGVO genügt nicht, die betroffene Person muss auch nachweisen, dass ihr dadurch ein Schaden entstanden ist (EuGH, Urt. v. 04.05.2023 – C-300/21). Eine Erheblichkeitsschwelle gibt es aber nicht. Schon die Befürchtung, dass Dritte die eigenen Daten missbräuchlich verwenden könnten, kann ein immaterieller Schaden sein (EuGH, Urt. v. 14.12.2023 – C-340/21), sofern diese Befürchtung samt ihrer negativen Folgen ordnungsgemäß nachgewiesen ist (EuGH, Urt. v. 20.06.2024 – C-590/22). Eine Befürchtung reicht dagegen nicht, wenn der unbefugte Empfänger die Daten erwiesenermaßen nicht zur Kenntnis genommen hat (EuGH, Urt. v. 25.01.2024 – C-687/21).

Zuletzt hat der EuGH klargestellt, dass der Verlust der Kontrolle über die eigenen Daten oder die Ungewissheit, ob sie verarbeitet wurden, einen immateriellen Schaden darstellt, sofern tatsächlich ein solcher Schaden nachgewiesen wird und das eigene Verhalten der Person nicht die entscheidende Ursache war. Zugleich kann auch die Verletzung des Auskunftsrechts nach Art. 15 DSGVO einen Ersatzanspruch auslösen (EuGH, Urt. v. 19.03.2026 – C-526/24). Welche Folgen das Urteil für missbräuchliche Auskunftsanträge hat, ordnet der Beitrag zur missbräuchlichen DSGVO-Auskunft ein.

Der Bundesgerichtshof folgt dieser Linie. Schon ein kurzzeitiger Kontrollverlust kann ein immaterieller Schaden sein (BGH, Urt. v. 18.11.2024 – VI ZR 10/24). In einer neueren Entscheidung legt er den Schadensbegriff weit aus und verzichtet auf eine Erheblichkeitsschwelle, verlangt aber im Anschluss an die EuGH-Urteile C-655/23 und C-526/24 den Nachweis tatsächlicher negativer Folgen. Die Befürchtung eines Missbrauchs genügt, wenn sie objektiv begründet ist und negative Folgen wie Sorge oder Ärger nachgewiesen sind; ein rein hypothetisches Risiko oder eine unbelegte Behauptung reicht nicht. Einen vorbeugenden Anspruch auf Unterlassung künftiger Verarbeitung gewährt die DSGVO nach dieser Entscheidung nicht, soweit nicht Löschung verlangt wird; das nationale Recht kann einen solchen Anspruch aber vorsehen (BGH, Urt. v. 23.06.2026 – VI ZR 97/22). Im entschiedenen Fall hat der BGH einen solchen Schaden bejaht, weil Bewerbungsdaten versehentlich an einen Dritten gingen; den Unterlassungsanspruch hat er nach dem Ende des Bewerbungsverfahrens verneint. Die Höhe im Einzelfall bleibt Sache der nationalen Gerichte und bewegt sich bislang meist in überschaubaren, aber in der Summe relevanten Bereichen.

Warum zählt das für SaaS-Anbieter besonders?

Wer viele Nutzer hat, hat viele potenzielle Kläger. Ein einzelnes Datenleck kann eine Vielzahl gleichgelagerter Ansprüche auslösen, und spezialisierte Kanzleien bündeln solche Fälle. Das Risiko liegt damit weniger in einem einzelnen hohen Betrag als in der Masse. Vorsorge heißt hier: Verstöße vermeiden, etwa durch wirksame Einwilligungen im E-Mail-Marketing (dazu der Beitrag zur Einwilligung im E-Mail-Marketing), im Schadensfall schnell und dokumentiert reagieren und die eigene Verantwortlichkeit sauber gegenüber Auftragsverarbeitern abgrenzen. Wie diese schnelle, dokumentierte Reaktion im Ernstfall abläuft, zeigt der Beitrag zur 72-Stunden-Meldung bei Datenpannen.

Was sollten Sie konkret tun?

• Verarbeitung rechtskonform halten: der beste Schutz ist, den Verstoß zu vermeiden, der den Anspruch auslöst;
• Auftragsverarbeitung sauber regeln: klare AVV und Weisungen begrenzen die eigene Haftung und ermöglichen Regress;
• Incident-Response dokumentieren: schnelle, belegbare Reaktion mindert Schaden und Haftungsrisiko;
• Versicherung prüfen: eine Cyber-/Datenschutz-Deckung sollte Ansprüche Betroffener einschließen.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter einer Mitgliederverwaltung für Fitnessstudios mit rund 50 Mitarbeitenden betreibt eine App, über die Mitglieder Kurse buchen. Eine Studiokette fragt, wie Haftungsrisiken aus Datenschutzverstößen verteilt sind und ob eine Versicherung besteht. Zu klären ist, was ein Anspruch voraussetzt. Ersatz gibt es für materielle und immaterielle Schäden, die betroffene Person muss den Schaden aber nachweisen; eine Erheblichkeitsschwelle gibt es nicht. Sind mehrere Verantwortliche oder Auftragsverarbeiter für denselben Schaden verantwortlich, haftet jeder für den gesamten Schaden. Bei vielen Mitgliedern liegt das Risiko in der Zahl gleichgelagerter Ansprüche.

Danach trennen sich die Wege. Für Mitgliederdaten, die der Anbieter im Auftrag der Studios verarbeitet, legen Auftragsverarbeitungsvertrag und Weisungen fest, wer wofür einsteht, und ermöglichen den Regress. Für Daten, die er über die App zu eigenen Zwecken verarbeitet, haftet er selbst; befreien kann er sich nur mit dem Nachweis, in keinerlei Hinsicht verantwortlich zu sein. Ob die Versicherung Ansprüche Betroffener einschließt, wird geprüft. Am Ende steht eine Antwort an die Kette zu Rollen und Vorsorge. Welche Risiken zuerst anzugehen sind, zeigt das Rechtliche Audit.

Häufige Fragen

Wer kann nach Art. 82 DSGVO Schadensersatz verlangen?

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

Sind auch immaterielle Schäden ersatzfähig?

Ja. Ersatzfähig ist nicht nur ein bezifferbarer Vermögensschaden, sondern auch der ideelle Schaden, etwa der Kontrollverlust über die eigenen Daten. Nach der Rechtsprechung genügt ein bloßer Verstoß allein zwar nicht, eine Erheblichkeitsschwelle besteht aber nicht. Die betroffene Person muss nachweisen, dass ihr tatsächlich ein Schaden entstanden ist; ein rein hypothetisches Risiko reicht nicht (EuGH C-655/23 und C-526/24, BGH VI ZR 97/22).

Kann auch eine fehlerhafte Auskunft zu Schadensersatz führen?

Ja. Nach dem Urteil des EuGH vom 19. März 2026 (C-526/24) gewährt Art. 82 Abs. 1 DSGVO Ersatz für den Schaden, der aus einer Verletzung des Auskunftsrechts nach Art. 15 DSGVO entsteht. Auch hier muss der Schaden tatsächlich nachgewiesen werden.

Wie kann sich ein Unternehmen von der Haftung befreien?

Nach Art. 82 Abs. 3 DSGVO gelingt die Befreiung nur, wenn der Verantwortliche nachweist, in keinerlei Hinsicht für den schadensverursachenden Umstand verantwortlich zu sein. Das ist eine hohe Hürde.

Warum ist das Risiko für SaaS-Anbieter besonders?

Wer viele Nutzer hat, hat viele potenzielle Kläger. Ein einzelnes Datenleck kann eine Vielzahl gleichgelagerter Ansprüche auslösen, die spezialisierte Kanzleien bündeln. Das Risiko liegt damit weniger in einem einzelnen hohen Betrag als in der Masse.

Wie hoch das Risiko aus Datenschutzverstößen ist, kann die Geschäftsführung ohne Überblick über Verarbeitungen und Verträge kaum einschätzen. Das Rechtliche Audit erfasst Ihre Datenschutzdokumentation und ordnet offene Punkte nach Risiko in einen Maßnahmenplan. Rechtliches Audit: Datenschutzrisiken priorisieren

Sie wollen Ihr Haftungsrisiko aus Art. 82 DSGVO einschätzen und begrenzen? In einem 60-minütigen Strategiegespräch schauen wir auf Ihre Verarbeitung und Ihre Verträge. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen