IT/Datenschutz
Fehlgeleitete Bewerberdaten: BGH konkretisiert Schadensersatz nach Art. 82 DS-GVO
Der Bundesgerichtshof hat mit Urteil vom 23.06.2026 (Az. VI ZR 97/22) eine weitere wichtige Entscheidung zum datenschutzrechtlichen Schadensersatz nach Art. 82 DS-GVO getroffen. Das Urteil reiht sich in die jüngere Rechtsprechung von EuGH und BGH zum immateriellen Schaden ein und zeigt zugleich, wohin sich die Praxis künftig entwickeln dürfte: Weg von Grundsatzdiskussionen über die Existenz eines immateriellen Schadens und hin zu einer genaueren Betrachtung der konkreten Beeinträchtigung der betroffenen Person.
Worum ging es?
Dem Verfahren lag ein Bewerbungsprozess bei einer Privatbank zugrunde. Eine Mitarbeiterin der Bank übersandte über den Messenger-Dienst von Xing versehentlich eine Nachricht an einen Dritten statt an den eigentlichen Bewerber. Die Nachricht enthielt Informationen über das laufende Bewerbungsverfahren, die Gehaltsvorstellungen des Bewerbers sowie die Einschätzung des potenziellen Arbeitgebers. Der Dritte, der den Kläger aus früheren beruflichen Zusammenhängen kannte, leitete die Nachricht an diesen weiter und erkundigte sich, ob er sich tatsächlich beruflich verändern wolle.
Der Kläger machte unter anderem einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DS-GVO geltend. Nach mehreren Instanzen und einem Vorabentscheidungsverfahren vor dem EuGH (C‑655/23 – Quirin Privatbank) hatte der BGH nun erneut über die Sache zu entscheiden.
Die eigentliche Bedeutung des Urteils
Auf den ersten Blick könnte man meinen, es handele sich nur um einen klassischen Fall der Fehladressierung. Gerade darin liegt jedoch die besondere Bedeutung der Entscheidung. Der BGH befasst sich nicht mit einem großen Datenleck, einem Cyberangriff oder einem Scraping-Vorfall mit Millionen Datensätzen. Vielmehr geht es um eine Datenschutzverletzung, wie sie in der täglichen Unternehmenspraxis durchaus vorkommen kann: Eine Nachricht landet beim falschen Empfänger. Damit beantwortet das Urteil eine Frage, die für viele Verantwortliche von erheblicher praktischer Relevanz ist: Kann bereits die Offenlegung personenbezogener Daten gegenüber einer einzelnen unbefugten Person einen immateriellen Schaden im Sinne des Art. 82 DS-GVO begründen?
Der BGH beantwortet diese Frage grundsätzlich mit Ja.
Die unbefugte Offenlegung personenbezogener Daten gegenüber einem einzelnen Dritten kann bereits einen immateriellen Schaden im Sinne von Art. 82 DS-GVO begründen, wenn die betroffene Person dadurch die Kontrolle über die Verbreitung ihrer Daten verliert. Maßgeblich ist daher nicht die Anzahl der Empfänger oder das Ausmaß eines Datenabflusses, sondern die konkrete Beeinträchtigung der betroffenen Person. Bei Informationen über einen laufenden Bewerbungsprozess, Gehaltsvorstellungen und berufliche Wechselabsichten kann die Kenntnisnahme durch eine unbefugte Person deshalb mehr sein als ein bloßer formaler Datenschutzverstoß.
Kontrollverlust als zentraler Anknüpfungspunkt
Im Mittelpunkt steht damit der Kontrollverlust über personenbezogene Daten.
Der BGH knüpft den immateriellen Schaden nicht an eine schwerwiegende psychische Belastung. Ausreichen kann vielmehr, dass die betroffene Person nicht mehr selbst bestimmen kann, wer Kenntnis von vertraulichen Informationen erhält. Im konkreten Fall ging es um Angaben zu einem laufenden Stellenwechsel, zu Gehaltsvorstellungen und zur Kommunikation mit einem potenziellen Arbeitgeber.
Dogmatisch setzt der BGH damit die Linie fort, die der EuGH in den vergangenen Jahren entwickelt und die der BGH bereits in der Facebook-Scraping-Rechtsprechung aufgegriffen hatte (vgl. EuGH, Urt. v. 04.09.2025 – C‑655/23, Quirin Privatbank; EuGH, Urt. v. 19.03.2026 – C‑526/24).
Im entschiedenen Fall blieb dieser Kontrollverlust zudem nicht folgenlos: Der unbefugte Empfänger nahm die Informationen zum Anlass, den Kläger auf seine Bewerbung bei der Bank anzusprechen. Hinzu kam die Befürchtung, der in derselben Branche tätige Empfänger könne die Informationen weitergeben oder sie im Wettbewerb um Stellen zu seinem Vorteil nutzen.
Der BGH setzt dem Schadensersatzanspruch Grenzen
Zugleich betont der BGH aber, dass ein Datenschutzverstoß allein nicht genügt. Erforderlich bleibt ein tatsächlich eingetretener Schaden. Rein hypothetische Befürchtungen oder pauschale Behauptungen reichen nicht aus; die betroffene Person muss eine konkrete Beeinträchtigung darlegen können.
Gerade dieser Aspekt dürfte künftig erhebliche Bedeutung gewinnen. Während die Rechtsprechung die grundsätzliche Ersatzfähigkeit immaterieller Schäden mittlerweile weitgehend anerkennt, verlagert sich die Auseinandersetzung zunehmend auf die Frage der Darlegung und des Nachweises des Schadens.
Bedeutung für die Praxis
Für Unternehmen verdeutlicht das Urteil einmal mehr, dass auch vermeintlich kleinere Datenschutzverstöße erhebliche rechtliche Konsequenzen nach sich ziehen können. Fehler bei der Versendung von E-Mails, Nachrichten oder Bewerbungsunterlagen sind keineswegs bloße Bagatellen. Werden hierdurch vertrauliche personenbezogene Informationen offengelegt, kann ein Anspruch nach Art. 82 DS-GVO grundsätzlich in Betracht kommen.
Für betroffene Personen enthält die Entscheidung zugleich eine wichtige Einschränkung: Der Schadensersatzanspruch bleibt ein Ausgleichsanspruch und ist kein Automatismus. Wer Ansprüche nach Art. 82 DS-GVO geltend machen möchte, muss sich weiterhin mit den Voraussetzungen des Schadens und der Kausalität auseinandersetzen.
Fazit
Das BGH-Urteil VI ZR 97/22 entwickelt den Schadensbegriff des Art. 82 DS-GVO nicht grundlegend neu. Seine Bedeutung liegt vielmehr darin, dass der BGH die bisherige EuGH-Rechtsprechung auf einen typischen Alltagsfall anwendet und dadurch die praktische Reichweite des datenschutzrechtlichen Schadensersatzanspruchs konkretisiert.
Die Entscheidung bestätigt erneut, dass ein Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen kann. Gleichzeitig macht sie deutlich, dass Art. 82 DS-GVO nicht jeden Datenschutzverstoß automatisch kompensiert. Der Schwerpunkt künftiger Verfahren dürfte daher noch stärker auf der Frage liegen, welche konkrete individuelle Beeinträchtigung tatsächlich eingetreten ist und wie diese darzulegen und nachzuweisen ist.
