Ein Datenleck klingt schnell nach Schadensersatz. Gerade wenn es um einen Hackerangriff geht, liegt die Vermutung nahe, dass betroffene Arbeitnehmer ohne Weiteres einen Anspruch aus Art. 82 DSGVO haben. Das Hessische Landesarbeitsgericht hat mit Urteil vom 10. Februar 2026 (12 SLa 709/25) nun gezeigt: So einfach ist es nicht.
Die Entscheidung ist für Arbeitgeber und Arbeitnehmer gleichermaßen interessant. Denn sie macht deutlich, dass zwischen einem Datenschutzvorfall und einem ersatzfähigen immateriellen Schaden ein erheblicher rechtlicher Weg liegt.
Der Sachverhalt: 40 Terabyte kopierte Daten, aber keine Veröffentlichung
Ausgangspunkt war ein massiver Cyberangriff auf mehrere Konzerngesellschaften. Die Hacker kopierten rund 40 Terabyte Daten, darunter auch personenbezogene Beschäftigtendaten. Auslöser war nach den Feststellungen des Gerichts ein mit Schadsoftware infiziertes Software-Update, das ein Mitarbeiter einer Konzerngesellschaft privat auf seinem Dienstrechner installiert hatte.
Nachdem das geforderte Lösegeld nicht gezahlt wurde, tauchte im Darknet eine Liste mit Dateinamen auf. Die Dateien selbst wurden aber weder veröffentlicht noch nachweisbar verkauft. Auch im weiteren Verlauf ergaben sich keine belastbaren Hinweise darauf, dass die kopierten Daten tatsächlich weitergegeben oder offengelegt wurden.
Ein ehemaliger Arbeitnehmer verlangte daraufhin immateriellen Schadensersatz nach Art. 82 DSGVO sowie die Feststellung, dass die Arbeitgeberin für künftige materielle Schäden hafte.
Die zentrale Frage: Reicht der bloße Kontrollverlust?
Genau an diesem Punkt wird das Urteil spannend. Der Kläger argumentierte, bereits das Kopieren seiner Daten durch Kriminelle habe bei ihm einen Kontrollverlust ausgelöst. Hinzu kämen Ängste vor Identitätsdiebstahl, Phishing und sonstigem Missbrauch.
Das LAG Hessen erkennt zwar an, dass ein Kontrollverlust grundsätzlich einen immateriellen Schaden darstellen kann. Damit bewegt sich das Gericht auf der Linie der EuGH-Rechtsprechung. Entscheidend sei aber, ob die behaupteten Sorgen auch nachvollziehbar und objektiv begründet sind.
Und genau daran scheiterte die Klage.
Kein Schadensersatz ohne greifbare Missbrauchsgefahr
Das Gericht arbeitet sehr deutlich heraus, dass nicht jede abstrakte Sorge genügt. Ein rein theoretisches Risiko reicht nicht. Erforderlich sind konkrete Umstände, aus denen sich eine ernsthafte Gefahr des Datenmissbrauchs ableiten lässt.
Im konkreten Fall fehlte es daran aus Sicht des Gerichts aus mehreren Gründen:
Erstens waren im Darknet nur Dateinamen, nicht aber die Dateien selbst auffindbar. Dritte konnten also gerade nicht auf den eigentlichen Inhalt zugreifen.
Zweitens handelte es sich um eine enorme, unstrukturierte Datenmenge. Nach Auffassung des Gerichts wäre deren Aufbereitung für unbefugte Dritte mit erheblichem Aufwand und hohen Kosten verbunden.
Drittens waren die betroffenen Daten nach den Feststellungen der Kammer bereits deutlich veraltet. Der Kläger war schon Ende November 2020 aus dem Arbeitsverhältnis ausgeschieden, der Angriff erfolgte 2022. Zudem zeigte die mündliche Verhandlung, dass selbst einzelne gespeicherte Angaben schon damals nicht mehr aktuell waren, etwa Wohnort und Festnetznummer.
Das Gericht zieht daraus einen pragmatischen Schluss: Der wirtschaftliche und praktische Wert dieser Daten für missbräuchliche Zwecke sei gering und tendiere teils gegen Null.
Ein bemerkenswerter Punkt: Der Kläger hätte konkreter vortragen müssen
Besonders lehrreich ist die Entscheidung bei der Darlegungslast. Das LAG Hessen hält dem Kläger entgegen, dass er nicht hinreichend konkret vorgetragen habe, welche Daten von ihm überhaupt kopiert wurden.
Das ist deshalb brisant, weil ihm nach Darstellung der Beklagten mit dem Informationsschreiben eine Anlage übermittelt worden war, aus der sich genau die konkret betroffenen Datensätze ergeben sollte. Statt darauf aufzubauen, hatte der Kläger im Prozess im Wesentlichen nur allgemeine Kategorien personenbezogener Daten aufgelistet, die Arbeitgeber typischerweise speichern.
Das genügte dem Gericht nicht. Wer Schadensersatz nach Art. 82 DSGVO verlangt, muss eben nicht nur allgemein auf einen Datenschutzvorfall verweisen, sondern den behaupteten Verstoß und die eigene Betroffenheit greifbar machen.
Keine automatische Haftung nach einem Hackerangriff
Für die Praxis besonders wichtig ist die indirekte Botschaft des Urteils: Ein erfolgreicher Cyberangriff bedeutet nicht automatisch, dass der Verantwortliche gegen Art. 32 DSGVO verstoßen hat.
Das Gericht verlangt auch hier Substanz. Der bloße Angriff ist kein Beweis für unzureichende technische und organisatorische Maßnahmen. Hinzu kam im konkreten Fall, dass die Datenschutzaufsichtsbehörde das Verfahren abgeschlossen hatte, ohne Abhilfemaßnahmen nach Art. 58 Abs. 2 DSGVO anzuordnen. Das hat die Position der Beklagten deutlich gestärkt.
Damit setzt das LAG Hessen einen Kontrapunkt zu der im öffentlichen Eindruck oft anzutreffenden Vorstellung, jeder Datenschutzvorfall führe fast automatisch zu einem Entschädigungsanspruch.
Warum auch der Feststellungsantrag scheiterte
Der Kläger wollte zusätzlich festgestellt wissen, dass die Beklagte für künftige materielle Schäden einzustehen habe. Auch das lehnte das Gericht ab.
Der Grund ist konsequent: Für einen solchen Antrag reicht keine entfernte Möglichkeit. Es muss zumindest eine reale, nicht fernliegende Schadensgefahr bestehen. Gerade daran fehlte es nach Auffassung des Gerichts, weil ein späterer Missbrauch der veralteten und bislang nicht veröffentlichten Daten nicht hinreichend wahrscheinlich erschien.
Was das Urteil für Arbeitnehmer bedeutet
Für Beschäftigte und ehemalige Beschäftigte zeigt das Urteil, dass Datenschutzklagen sorgfältig vorbereitet werden müssen. Wer Art. 82 DSGVO erfolgreich geltend machen will, sollte nicht nur seine Besorgnis schildern, sondern präzise darlegen können:
welche Daten betroffen sind,
warum gerade diese Daten missbrauchsanfällig sind,
welche konkreten Risiken daraus folgen,
und weshalb diese Risiken nicht nur theoretischer Natur sind.
Je sensibler und aktueller die Daten, desto eher wird sich ein immaterieller Schaden begründen lassen. Fehlt es daran, bleibt die Klage angreifbar.
Was das Urteil für Arbeitgeber bedeutet
Für Unternehmen ist die Entscheidung kein Freibrief, aber eine wichtige Orientierung. Sie zeigt, dass Gerichte bei Cyberangriffen genau unterscheiden zwischen:
dem Datenschutzvorfall als solchem,
einem Verstoß gegen die DSGVO,
und dem tatsächlich eingetretenen oder ernsthaft drohenden Schaden.
Wer Vorfälle dokumentiert, Aufsichtsbehörden einbindet, Betroffene informiert und seine technischen sowie organisatorischen Maßnahmen nachvollziehbar darstellen kann, verbessert seine Verteidigungsposition erheblich.
Fazit
Das Hessische Landesarbeitsgericht macht mit seinem Urteil vom 10. Februar 2026 deutlich: Nicht jedes Datenleck führt zu Schadensersatz nach Art. 82 DSGVO. Auch ein Kontrollverlust genügt nicht schon für sich allein. Erforderlich sind konkrete, nachvollziehbare und objektiv begründete Befürchtungen eines Datenmissbrauchs.
Für die arbeitsrechtliche Praxis bedeutet das vor allem eines: Bei Datenschutzklagen entscheidet nicht die Schlagzeile über den Hackerangriff, sondern die Qualität des Vortrags im Detail.