Auf den Punkt: Der bloße Versand personenbezogener Daten an einen Unbefugten genügt für einen immateriellen Schadensersatz nach DSGVO, auch ohne nachweisbaren wirtschaftlichen Schaden.
Der Bundesgerichtshof hat entschieden, dass eine versehentlich an die falsche Person verschickte Bewerbungs-Nachricht einen DSGVO-Schadensersatzanspruch begründet — allein durch den Kontrollverlust über die Daten und die begründete Furcht vor Missbrauch.
Die Berliner Privatbank Quirin versendete 2018 über Xing eine Absagenachricht an einen Bewerber — die Nachricht enthielt seinen Namen, Geschlecht und Details zum Gehaltsangebot. Durch einen Fehler gelangte diese jedoch auch an einen Ex-Kollegen des Bewerbers, der in derselben Branche tätig ist. Der Kollege fragte beim Bewerber nach, ob die Nachricht für ihn bestimmt sei, und leitete sie weiter.
Das Landgericht Darmstadt erkannte zunächst einen DSGVO-Schadensersatzanspruch an, das Oberlandesgericht Frankfurt hob dieses Urteil jedoch auf. Es argumentierte, der Kläger habe keinen konkreten Schaden wie Angst oder Stress bewiesen, sondern nur einen formalen DSGVO-Verstoß geltend gemacht. Der Fall landete beim BGH, der 2023 Vorlagefragen an den Europäischen Gerichtshof stellte.
Im September 2025 entschied der EuGH, dass auch negative Gefühle — etwa durch Kontrollverlust über die eigenen Daten oder Furcht vor Missbrauch — einen immateriellen Schadensersatzanspruch begründen können, sofern diese vom Betroffenen glaubhaft gemacht werden. Der BGH folgte dieser Linie in seinem Urteil vom 23. Juni 2026 (Az. VI ZR 97/22): Die Übermittlung personenbezogener Daten an den falschen Empfänger stelle eine unrechtmäßige Datenverarbeitung dar. Ein Schaden entstehe spätestens ab dem Moment, in dem der Dritte die Daten zur Kenntnis nimmt — dies sei bereits ein Kontrollverlust. Zudem sei die Furcht des Bewerbers, der Kollege könne die Informationen ausnutzen, nachvollziehbar begründet.
Für Compliance-Verantwortliche bedeutet das Urteil eine Verschärfung der Haftungsrisiken: Datenpannen und Versendungsfehler können auch ohne messbare wirtschaftliche Konsequenzen zu Schadensersatzforderungen führen. Ein Unterlassungsanspruch wurde vom BGH dagegen abgelehnt. Die genaue Höhe des Schadensersatzes muss das Oberlandesgericht Frankfurt in einer neuerlichen Verhandlung festlegen.
Quelle: www.it-daily.net · Erschienen 29. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.