Hypothetische Gefahren reichen nicht: BGH schließt DSGVO-Schmerzensgeld bei rein abstraktem Risiko aus

Wie konkret muss eine Datenschutzverletzung Betroffene treffen, damit ein Schmerzensgeldanspruch entsteht?Mit dieser Frage hat sich der Bundesgerichtshof (BGH) in seinem Urteil vom 13. Mai 2025 (Az. VI ZR 186/22) ausführlich auseinandergesetzt – und eine klare Grenze gezogen: Ein rein hypothetisches Risiko eines Missbrauchs reicht für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO nicht aus.

Das Urteil ist nicht nur juristisch interessant – es hat praktische Sprengkraft. Denn viele DSGVO-Klagen stützen sich auf gefühlte Bedrohungslagen oder pauschale Verunsicherung. Der BGH macht nun deutlich: Nicht jedes Datenschutzleck führt automatisch zu Geld.

 

Der Fall: Unverschlüsselte Faxübertragungen – und ein besorgter Kläger

Ein Unternehmer, der nach eigenen Angaben gefährliche Stoffe an Sicherheitsbehörden liefert, sah durch das unverschlüsselte Versenden von Empfangsbekenntnissen per Telefax durch eine Stadtverwaltung seine Sicherheit gefährdet. Siebenmal schickte die Behörde Empfangsbekenntnisse an das Verwaltungsgericht – jedes enthielt seinen Namen und Aktenzeichen. Seine Sorge: Die Daten könnten in falsche Hände geraten und Rückschlüsse auf seine Anschrift ermöglichen – mit potenziell gefährlichen Folgen.

Er klagte auf 17.500 € Schmerzensgeld. In den Vorinstanzen hatte er noch teilweise Erfolg. Der BGH aber hob die Entscheidungen auf und wies die Klage vollständig ab.

BGH: Kein Schaden ohne tatsächliche Beeinträchtigung

Der zentrale Satz des Urteils lautet:

„Ein rein hypothetisches Risiko der missbräuchlichen Verwendung personenbezogener Daten durch einen unbefugten Dritten kann nicht zu einer Entschädigung gemäß Art. 82 Abs. 1 DSGVO führen.“

Diese Aussage wirkt nüchtern, ist aber in der Praxis hochrelevant. Der BGH macht sich die Maßstäbe des Europäischen Gerichtshofs zu eigen, wonach für einen Schadensersatzanspruch drei Punkte kumulativ erfüllt sein müssen:

1. Ein Verstoß gegen die DSGVO,

2. ein materieller oder immaterieller Schaden,

3. ein Kausalzusammenhang zwischen Verstoß und Schaden.

Vor allem beim immateriellen Schaden wird der Maßstab nun spürbar enger gezogen.

Angst allein reicht nicht – Schaden muss konkret sein

Die bloße Sorge, Dritte könnten sich unbefugt Zugriff auf personenbezogene Daten verschaffen, ist laut BGH nicht automatisch ein Schaden im Sinne der DSGVO. Ein Kläger muss darlegen, dass er tatsächlich die Kontrolle über seine Daten verloren hat – oder dass die Wahrscheinlichkeit eines Missbrauchs konkret und nachvollziehbar ist.

Im konkreten Fall hatte der Kläger „nur“ behauptet, durch die Offenlegung seines Nachnamens in Verbindung mit einem Aktenzeichen bestehe die Gefahr, seine Anschrift könne ausgespäht werden. Das reichte dem BGH nicht:

„Die Wahrscheinlichkeit eines unbefugten Zugriffs war äußerst gering.“

Zudem habe der Kläger keine konkreten negativen Folgen belegt. Ein Schmerzensgeld diene dem Ausgleich – nicht der Bestrafung. Das Ziel, zukünftige Verstöße zu verhindern, sei mit Art. 82 DSGVO nicht zu erreichen.

Was dieses Urteil für künftige Schadensersatzklagen bedeutet

Das Urteil reiht sich ein in eine Serie höchstrichterlicher Entscheidungen, die bei Datenschutzverstößen nicht mehr automatisch von einer Entschädigung ausgehen. Für die Praxis bedeutet das:

• Betroffene müssen ihren Schaden konkret darlegen. Ein „Kontrollverlust“ über Daten muss greifbar sein – etwa durch einen tatsächlichen Datenmissbrauch oder reale Folgen (z. B. Betrugsversuch, Rufschädigung, Belästigung).

• Ein rein subjektives Unsicherheitsgefühl oder abstrakte Bedrohungslage genügt nicht. Entscheidend ist die objektive Nachvollziehbarkeit des Schadens.

• Gerichte prüfen zunehmend streng, ob die Voraussetzungen des Art. 82 DSGVO wirklich erfüllt sind – insbesondere nach den Urteilen des EuGH aus 2024.

 

Für Mandanten: Wann lohnt sich eine DSGVO-Klage – und wann nicht?

Für betroffene Personen bedeutet das: Nicht jeder Datenschutzverstoß ist automatisch „geldwert“. Wer über eine Klage nachdenkt, sollte vorab prüfen (lassen):

• Welche konkreten Daten wurden wie verarbeitet?

• Gab es tatsächliche Folgen – psychisch, wirtschaftlich oder sozial?

• Ist der Schaden belegbar, oder bleibt er abstrakt?

Auf der Gegenseite bietet das Urteil öffentlichen Stellen und Unternehmen neue Argumentationslinien gegen pauschale Schadensersatzforderungen.

Fazit: Mehr Rechtssicherheit – weniger Automatismus

Mit dem Urteil VI ZR 186/22 schafft der BGH ein Stück mehr Rechtssicherheit in einem Bereich, der in den letzten Jahren von Unsicherheiten geprägt war. Die Botschaft ist klar: Datenschutz bleibt wichtig – aber Schadensersatz gibt es nur bei konkreten Folgen. Wer DSGVO-Verstöße geltend machen will, muss liefern. Wer sich verteidigt, hat nun mehr Rückendeckung.