Immaterieller Schadensersatz nach Art. 82 DSGVO

Kurz beantwortet: Jede Person, der durch einen DSGVO-Verstoß ein materieller oder immaterieller Schaden entsteht, kann von Ihnen Schadensersatz verlangen (Art. 82 DSGVO). Befreien können Sie sich nur, wenn Sie nachweisen, in keinerlei Hinsicht verantwortlich zu sein, eine hohe Hürde. Für Software-Unternehmen mit vielen Nutzern liegt das Risiko weniger im Einzelbetrag als in der Masse gleichgelagerter Ansprüche.

Welchen Schaden erfasst Art. 82 DSGVO?

Lange galt die DSGVO vor allem als Bußgeldrisiko, der Blick ging zur Aufsichtsbehörde. Inzwischen kommt die Gefahr zunehmend von der anderen Seite: von den Betroffenen selbst. Sie klagen auf Schadensersatz, auch für immaterielle Schäden. Für Software-Unternehmen, die viele Nutzerdaten verarbeiten, ist Art. 82 DSGVO deshalb zu einem eigenständigen, oft unterschätzten Haftungsrisiko geworden.

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Den Ausschlag gibt dabei das Wort „immateriell“, denn ersatzfähig ist nicht nur ein bezifferbarer Vermögensschaden, sondern auch der ideelle Schaden, etwa der Kontrollverlust über die eigenen Daten. Genau das macht den Anspruch für Massenverfahren attraktiv.

Wie ist die Beweislast verteilt?

Die Haftung ist streng ausgestaltet. Nach Art. 82 Abs. 2 DSGVO haftet der Verantwortliche für Schäden aus einer nicht verordnungskonformen Verarbeitung. Befreien kann er sich nach Art. 82 Abs. 3 DSGVO nur, wenn er nachweist, dass er „in keinerlei Hinsicht“ für den schadensverursachenden Umstand verantwortlich ist, eine hohe Hürde. Sind mehrere Verantwortliche oder Auftragsverarbeiter beteiligt, haftet nach Art. 82 Abs. 4 DSGVO jeder für den gesamten Schaden, gesamtschuldnerisch, mit internem Regress nach Abs. 5.

Was hat die Rechtsprechung präzisiert?

Der Europäische Gerichtshof hat den Anspruch in mehreren Entscheidungen konturiert: Ein bloßer Verstoß gegen die DSGVO genügt nicht, es muss ein konkreter Schaden entstanden und kausal auf den Verstoß zurückzuführen sein. Eine Erheblichkeitsschwelle gibt es aber nicht, auch der Kontrollverlust oder eine begründete Befürchtung des Datenmissbrauchs kann ein ersatzfähiger immaterieller Schaden sein. Die Höhe im Einzelfall bleibt Sache der nationalen Gerichte und bewegt sich bislang meist in überschaubaren, aber in der Summe relevanten Bereichen.

Warum zählt das für SaaS-Anbieter besonders?

Wer viele Nutzer hat, hat viele potenzielle Kläger. Ein einzelnes Datenleck kann eine Vielzahl gleichgelagerter Ansprüche auslösen, und spezialisierte Kanzleien bündeln solche Fälle. Das Risiko liegt damit weniger in einem einzelnen hohen Betrag als in der Masse. Vorsorge heißt hier: Verstöße vermeiden, im Schadensfall schnell und dokumentiert reagieren und die eigene Verantwortlichkeit sauber gegenüber Auftragsverarbeitern abgrenzen. Wie diese schnelle, dokumentierte Reaktion im Ernstfall abläuft, zeigt der Beitrag zur 72-Stunden-Meldung bei Datenpannen.

Was sollten Sie konkret tun?

• Verarbeitung rechtskonform halten: der beste Schutz ist, den Verstoß zu vermeiden, der den Anspruch auslöst;
• Auftragsverarbeitung sauber regeln: klare AVV und Weisungen begrenzen die eigene Haftung und ermöglichen Regress;
• Incident-Response dokumentieren: schnelle, belegbare Reaktion mindert Schaden und Haftungsrisiko;
• Versicherung prüfen: eine Cyber-/Datenschutz-Deckung sollte Ansprüche Betroffener einschließen.

Häufige Fragen

Wer kann nach Art. 82 DSGVO Schadensersatz verlangen?

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

Sind auch immaterielle Schäden ersatzfähig?

Ja. Ersatzfähig ist nicht nur ein bezifferbarer Vermögensschaden, sondern auch der ideelle Schaden, etwa der Kontrollverlust über die eigenen Daten. Nach der Rechtsprechung genügt ein bloßer Verstoß allein zwar nicht, es bedarf eines konkreten und kausalen Schadens, eine Erheblichkeitsschwelle besteht aber nicht.

Wie kann sich ein Unternehmen von der Haftung befreien?

Nach Art. 82 Abs. 3 DSGVO gelingt die Befreiung nur, wenn der Verantwortliche nachweist, in keinerlei Hinsicht für den schadensverursachenden Umstand verantwortlich zu sein. Das ist eine hohe Hürde.

Warum ist das Risiko für SaaS-Anbieter besonders?

Wer viele Nutzer hat, hat viele potenzielle Kläger. Ein einzelnes Datenleck kann eine Vielzahl gleichgelagerter Ansprüche auslösen, die spezialisierte Kanzleien bündeln. Das Risiko liegt damit weniger in einem einzelnen hohen Betrag als in der Masse.

Sie wollen Ihr Haftungsrisiko aus Art. 82 DSGVO einschätzen und begrenzen? In einem 30-minütigen Erstgespräch schauen wir auf Ihre Verarbeitung und Ihre Verträge. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen