Schadensersatz nach der DSGVO: Wann besteht ein Anspruch – und wann nicht?

Ob Unternehmen, Behörde oder Verein – ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) kann teuer werden. Denn neben möglichen Bußgeldern drohen auch individuelle Schadensersatzansprüche durch betroffene Personen. Aber wann genau ist ein solcher Anspruch begründet? Und welche Grenzen setzt das Recht?

Ich erkläre hier, in welchen Fällen ein Schadensersatz gezahlt werden muss – und wann gerade kein Anspruch besteht.

Der Ausgangspunkt: Art. 82 DSGVO

Art. 82 Absatz 1 DSGVO legt fest:

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

Daraus ergeben sich drei Voraussetzungen:

1. Es muss ein Verstoß gegen die DSGVO vorliegen.

2. Der betroffenen Person muss ein Schaden entstanden sein.

3. Zwischen beidem muss ein ursächlicher Zusammenhang bestehen.

Alle drei Punkte müssen erfüllt sein. Ein bloßer Verstoß allein reicht nicht.

Wann ist ein Schaden ersatzfähig?

Ein materieller Schaden liegt zum Beispiel dann vor, wenn durch eine Datenschutzverletzung ein finanzieller Verlust entsteht – etwa durch Identitätsdiebstahl, Kreditkartenmissbrauch oder durch entgangene Vorteile.

Interessanter ist jedoch der immaterielle Schaden – also der Ersatz für nicht-finanzielle Nachteile. Genau hier hat der Europäische Gerichtshof (EuGH) in einem aktuellen Urteil vom 4. September 2025 (Rechtssache C‑655/23) klare Worte gefunden.

Der EuGH stellt klar:
Auch Ärger, Sorge oder Rufschädigung können immaterielle Schäden im Sinne der DSGVO sein – wenn diese Reaktion nachvollziehbar und durch den Datenschutzverstoß verursacht wurde.

Ein Beispiel: Wer erfährt, dass seine Kontodaten oder Gesundheitsdaten ohne Rechtsgrundlage an Dritte weitergegeben wurden, darf sich nicht nur ärgern – er kann unter Umständen auch Schadensersatz verlangen. Entscheidend ist, dass der Ärger nachvollziehbar und belegbar ist. Der reine Unmut über die Datenverarbeitung reicht dagegen nicht.

Wann gibt es keinen Schadensersatz?

Nicht jede Datenschutzverletzung führt automatisch zu einem Ersatzanspruch. Auch das stellt der EuGH klar.

Es braucht immer einen konkreten, nachweisbaren Nachteil. Wer sich lediglich „unwohl fühlt“, ohne darzulegen, wie genau sich das auswirkt, wird keinen Erfolg haben.

Kein Schadensersatz besteht beispielsweise:

• wenn der Betroffene keinen spürbaren Nachteil erlitten hat,

• wenn es beim Verstoß nur um formale Fehler geht (etwa eine unvollständige Datenschutzerklärung),

• wenn der Schaden lediglich theoretisch möglich, aber nicht eingetreten ist,

• wenn es keinen Zusammenhang zwischen dem Verstoß und dem behaupteten Nachteil gibt.

Der Schaden muss also real, individuell und durch den Datenschutzverstoß verursacht worden sein.

Gibt es eine Bagatellgrenze?

Der EuGH lehnt die Idee einer festen Erheblichkeitsschwelle ab. Auch kleine Schäden können ersatzfähig sein – wenn sie real sind.

Das bedeutet aber nicht, dass jede Verletzung automatisch zum Schadensersatz führt. Vielmehr bleibt es bei der Notwendigkeit, einen konkreten Nachteil darzulegen.

Die Gerichte müssen also im Einzelfall prüfen, ob das persönliche Unwohlsein, die Verunsicherung oder der Ärger tatsächlich über das hinausgehen, was im Alltag hinzunehmen ist.

Hat das Verschulden Einfluss auf die Höhe des Schadensersatzes?

Nein. Die DSGVO will keinen Strafschadensersatz. Es geht ausschließlich um Ausgleich, nicht um Bestrafung.

Das bedeutet: Ob der Verstoß fahrlässig oder vorsätzlich erfolgt ist, ist für die Höhe des Schadensersatzes nicht entscheidend. Das unterscheidet den Datenschutz-Schadensersatz von anderen zivilrechtlichen Ansprüchen, bei denen das Verschulden oft eine Rolle spielt.

Unterlassung und Schadensersatz – zwei Paar Schuhe

Ein weiterer Punkt aus dem Urteil vom 4. September 2025 betrifft den Unterlassungsanspruch. Die DSGVO sieht diesen ausdrücklich nicht vor. Wer eine weitere Verarbeitung verhindern will, muss auf das nationale Recht zurückgreifen – in Deutschland zum Beispiel auf § 1004 BGB analog.

Aber: Ein erteilter Unterlassungstitel mindert nicht den Schadensersatzanspruch. Wer bereits erfolgreich Unterlassung durchgesetzt hat, darf dennoch zusätzlich Schadensersatz fordern – beides steht nebeneinander.

Fazit

Ein Anspruch auf Schadensersatz nach der DSGVO setzt mehr voraus als nur einen Verstoß. Es braucht einen individuellen, nachvollziehbaren Nachteil – materiell oder immateriell. Reine Unzufriedenheit reicht nicht.

Das Urteil des EuGH bringt mehr Klarheit und schützt sowohl Betroffene als auch Unternehmen vor überzogenen oder pauschalen Forderungen.

Wer in der Datenverarbeitung tätig ist, sollte jedoch weiterhin mit größter Sorgfalt handeln. Denn auch scheinbar kleine Verstöße können in bestimmten Fällen finanzielle Folgen haben.

Für wen ist das relevant?

Ich berate regelmäßig:

• Unternehmen, die mit Schadensersatzforderungen konfrontiert werden,

• Betroffene, die wissen wollen, ob ein Anspruch besteht,

• Datenschutzbeauftragte und Compliance-Verantwortliche,

• Organisationen, die ihre Prozesse datenschutzkonform gestalten möchten.

Wenn Sie rechtliche Unterstützung im Zusammenhang mit Schadensersatzforderungen nach der DSGVO benötigen – sei es zur Abwehr oder zur Geltendmachung – sprechen Sie mich gerne an.