Eine Nachricht landet beim falschen Empfänger. Was zunächst wie ein alltägliches Versehen wirkt, kann datenschutzrechtlich erhebliche Folgen haben. Das gilt besonders dann, wenn es um eine Bewerbung, Gehaltsvorstellungen und die beruflichen Pläne eines Betroffenen geht.
Der Bundesgerichtshof hat mit Urteil vom 23. Juni 2026 entschieden, dass die versehentliche Weitergabe solcher Informationen einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO begründen kann. Ein gleichzeitig geltend gemachter Unterlassungsanspruch scheiterte dagegen.
Die Entscheidung zeigt, worauf es bei DSGVO-Schadensersatz ankommt – und weshalb Datenschutzverstöße nicht automatisch zu einem dauerhaften Unterlassungsanspruch führen.
Bewerbungsnachricht geht an einen früheren Kollegen
Der Kläger befand sich bei einer Privatbank in einem Bewerbungsverfahren. Die Kommunikation lief über das Karriereportal Xing.
Eine Mitarbeiterin der Bank wollte dem Bewerber mitteilen, dass sein Profil für die Bank interessant sei, seine Gehaltsvorstellungen jedoch nicht erfüllt werden könnten. Genannt wurde ein mögliches Gehalt von 80.000 Euro zuzüglich variabler Vergütung.
Die Nachricht erreichte allerdings nicht nur den Bewerber. Sie wurde versehentlich auch an einen Dritten versandt. Dieser kannte den Kläger aus einer früheren gemeinsamen Tätigkeit innerhalb derselben Unternehmensgruppe.
Der Empfänger leitete die Nachricht an den Kläger weiter und fragte ihn, ob er sich bei der Bank beworben habe und auf Stellensuche sei.
Damit war genau das eingetreten, was Bewerber regelmäßig vermeiden möchten: Eine außenstehende Person erhielt Einblick in vertrauliche berufliche Pläne und in den Stand einer Gehaltsverhandlung.
Welche personenbezogenen Daten wurden offengelegt?
Nach Auffassung des BGH enthielt die Nachricht mehrere personenbezogene Daten. Dazu gehörten insbesondere:
- der Nachname des Bewerbers,
- sein aus der Anrede erkennbares Geschlecht,
- die Tatsache eines laufenden Bewerbungsverfahrens,
- die Bewertung seiner Bewerbung durch die Bank,
- seine zumindest mittelbar erkennbare Gehaltsvorstellung.
Dass möglicherweise mehrere Personen denselben Nachnamen trugen, änderte daran nichts. Für die Einordnung als personenbezogene Daten genügte es, dass der Empfänger den Kläger mithilfe seines Vorwissens identifizieren konnte.
Der Dritte hatte früher mit dem Kläger gearbeitet und konnte die Nachricht deshalb einer konkreten Person zuordnen. Dass er beim Kläger noch einmal nachfragte, schloss die Identifizierbarkeit nicht aus.
Die Übermittlung war rechtswidrig
Die Weitergabe der Nachricht an den unbeteiligten Dritten stellte eine Verarbeitung personenbezogener Daten dar. Unter den Begriff der Verarbeitung fällt nach Art. 4 Nr. 2 DSGVO auch die Offenlegung durch Übermittlung.
Für diese Übermittlung gab es keine Rechtsgrundlage. Insbesondere hatte der Kläger nicht darin eingewilligt, dass Informationen über seine Bewerbung und seine Gehaltsvorstellungen an einen früheren Kollegen weitergegeben werden.
Damit lag ein Verstoß gegen Art. 6 DSGVO vor.
Ob die Bank den Kläger zusätzlich nach Art. 34 DSGVO über die Datenschutzverletzung hätte informieren müssen, ließ der BGH offen. Der Kläger war noch am selben Tag durch den Empfänger der Nachricht über den Vorfall informiert worden.
Reicht ein DSGVO-Verstoß für Schadensersatz?
Nein. Der BGH bestätigt zunächst einen inzwischen gefestigten Grundsatz: Ein Datenschutzverstoß allein führt noch nicht automatisch zu einem Anspruch auf Schadensersatz.
Betroffene müssen zusätzlich darlegen und gegebenenfalls beweisen, dass ihnen durch den Verstoß ein materieller oder immaterieller Schaden entstanden ist.
Eine bestimmte Erheblichkeitsschwelle gibt es dabei jedoch nicht. Gerichte dürfen den Anspruch nicht allein mit der Begründung ablehnen, die Beeinträchtigung sei zu geringfügig.
Auch ein vergleichsweise geringer immaterieller Schaden kann daher ersatzfähig sein. Er muss aber tatsächlich eingetreten sein. Unbehagen, Ärger oder Befürchtungen dürfen nicht lediglich pauschal behauptet werden.
Kontrollverlust kann ein immaterieller Schaden sein
Der Verlust der Kontrolle über personenbezogene Daten kann grundsätzlich einen immateriellen Schaden darstellen. Das gilt auch dann, wenn die Daten nur kurzzeitig außerhalb des Einflussbereichs des Betroffenen waren.
Allerdings genügt nicht jeder abstrakte Kontrollverlust. Entscheidend sind die konkreten Folgen des Datenschutzverstoßes.
Im vorliegenden Fall waren die Informationen nicht nur versehentlich versandt worden. Der falsche Empfänger hatte sie tatsächlich gelesen, dem Kläger zugeordnet und für eine Nachfrage genutzt.
Der BGH wertete dies als missbräuchliche Verwendung der Daten. „Missbräuchlich“ bedeutet in diesem Zusammenhang nicht zwingend, dass der Empfänger mit Schädigungsabsicht gehandelt haben muss. Ausreichend war, dass er die ohne Rechtsgrundlage erhaltenen Informationen zur Kontaktaufnahme mit dem Kläger verwendete.
Der Kontrollverlust blieb damit nicht folgenlos.
Sorge vor beruflichen Nachteilen war nachvollziehbar
Der Kläger befürchtete außerdem, dass der frühere Kollege die Informationen weitergeben oder sie bei eigenen Bewerbungen als Konkurrent zu seinem Vorteil nutzen könnte.
Eine rein theoretische Gefahr hätte für sich genommen nicht genügt. Der BGH hielt die Sorge im konkreten Fall jedoch für begründet.
Der Empfänger kannte den Kläger, war in derselben Branche tätig und hatte die Informationen bereits zum Anlass genommen, ihn auf seine Bewerbung anzusprechen. Unter diesen Umständen war die Befürchtung einer weiteren Verwendung nicht lediglich aus der Luft gegriffen.
Damit stand für den BGH fest, dass dem Kläger dem Grunde nach ein immaterieller Schaden entstanden war.
Wie hoch fällt der DSGVO-Schadensersatz aus?
Über die Höhe des Schadensersatzes hat der Bundesgerichtshof nicht abschließend entschieden.
Das Landgericht hatte dem Kläger zunächst 1.000 Euro zugesprochen. Das Oberlandesgericht hatte den Schadensersatzanspruch vollständig abgelehnt. Der BGH hob diese Entscheidung auf und stellte klar, dass ein Anspruch dem Grunde nach besteht.
Nun muss das Berufungsgericht erneut über die Höhe entscheiden. Dabei wird es unter anderem die Art der offengelegten Daten, die tatsächliche Kenntnisnahme durch den Dritten, die konkrete Verwendung der Informationen und die nachvollziehbaren Sorgen des Klägers berücksichtigen müssen.
Das Urteil bedeutet daher nicht, dass bei vergleichbaren Fehlversendungen stets 1.000 Euro oder ein anderer fester Betrag zu zahlen ist. Die Höhe des Schadensersatzes bleibt eine Frage des Einzelfalls.
Warum scheiterte der Unterlassungsanspruch?
Neben Schadensersatz verlangte der Kläger, dass die Bank künftig keine Bewerberdaten mehr in vergleichbarer Weise an Dritte übermittelt.
Dieser Unterlassungsanspruch hatte keinen Erfolg.
Die DSGVO selbst sieht nach der vom BGH herangezogenen Rechtsprechung des Europäischen Gerichtshofs keinen allgemeinen gerichtlichen Anspruch vor, mit dem Betroffene ohne ein Löschungsverlangen vorbeugend jede erneute rechtswidrige Verarbeitung untersagen lassen können.
Ein Unterlassungsanspruch kann sich zwar aus deutschem Recht ergeben, insbesondere aus § 1004 BGB analog in Verbindung mit dem allgemeinen Persönlichkeitsrecht oder mit Art. 6 DSGVO. Dafür muss jedoch die Gefahr bestehen, dass sich die konkrete Rechtsverletzung wiederholt.
Nach einem bereits erfolgten Verstoß wird eine solche Wiederholungsgefahr grundsätzlich vermutet. Diese Vermutung kann aber widerlegt werden, wenn die Rechtsverletzung auf einer einmaligen Sondersituation beruht.
Genau davon ging der BGH aus. Der Unterlassungsantrag bezog sich auf eine Nachricht im konkreten Bewerbungsverfahren. Dieses Verfahren war längst beendet. Es bestand daher keine realistische Wahrscheinlichkeit, dass die Bank noch einmal im Rahmen derselben Bewerbung eine vergleichbare Nachricht über den Kläger versenden würde.
Der Schadensersatzanspruch konnte somit bestehen, obwohl der Unterlassungsanspruch scheiterte.
Was bedeutet das Urteil für Betroffene?
Wer nach einem Datenschutzverstoß Schadensersatz verlangt, sollte nicht nur den Verstoß beschreiben. Wichtig sind die persönlichen und tatsächlichen Folgen.
Betroffene sollten möglichst konkret dokumentieren,
- wer die Daten erhalten hat,
- ob und wie der Empfänger die Informationen verwendet hat,
- welche Reaktionen oder Nachfragen ausgelöst wurden,
- weshalb eine weitere Verbreitung oder Verwendung zu befürchten ist,
- welche Sorgen, Belastungen oder beruflichen Nachteile entstanden sind.
Je konkreter der Kontrollverlust und seine Folgen geschildert werden, desto besser lässt sich ein immaterieller Schaden begründen.
Pauschale Aussagen wie „Ich habe mich unwohl gefühlt“ oder „Die Daten könnten missbraucht werden“ werden dagegen häufig nicht ausreichen.
Was sollten Arbeitgeber beachten?
Gerade in Bewerbungsverfahren werden sensible Informationen verarbeitet. Dazu zählen Lebensläufe, bisherige Arbeitgeber, Gehaltsvorstellungen, Wechselabsichten und interne Bewertungen von Kandidaten.
Unternehmen sollten deshalb technische und organisatorische Maßnahmen vorsehen, die Fehlversendungen möglichst verhindern. Dazu können eindeutige Empfängerprüfungen, eingeschränkte Zugriffsrechte, Schulungen und klare interne Abläufe gehören.
Kommt es dennoch zu einer Fehlübermittlung, sollte der Vorfall unverzüglich geprüft und dokumentiert werden. Außerdem ist zu klären, ob eine Meldung an die Datenschutzaufsichtsbehörde nach Art. 33 DSGVO und eine Benachrichtigung des Betroffenen nach Art. 34 DSGVO erforderlich sind.
Eine schnelle und transparente Reaktion beseitigt einen bereits entstandenen Schaden nicht automatisch. Sie kann aber verhindern, dass sich die Folgen des Vorfalls weiter vertiefen.
Fazit
Das Urteil des BGH stärkt die Position von Betroffenen, deren vertrauliche Daten versehentlich an Dritte gelangen.
Ein Anspruch auf DSGVO-Schadensersatz setzt weiterhin einen konkreten Schaden voraus. Eine Mindestschwere verlangt das Gesetz jedoch nicht. Werden Daten vom falschen Empfänger tatsächlich zur Kenntnis genommen und verwendet, kann bereits der daraus folgende Kontrollverlust einen immateriellen Schaden begründen.
Zugleich macht die Entscheidung deutlich, dass Schadensersatz und Unterlassung unterschiedlichen Voraussetzungen folgen. Ein vergangener Datenschutzverstoß kann entschädigungspflichtig sein, ohne dass zugleich eine konkrete Gefahr seiner Wiederholung besteht.
Entscheidung: BGH, Urteil vom 23. Juni 2026 – VI ZR 97/22