Datenschutzverstöße betreffen häufig Millionen Nutzer gleichzeitig. Plattformen sammeln, analysieren und verknüpfen personenbezogene Daten in großem Umfang. Für Verbraucherverbände liegt deshalb der Gedanke nahe, Ansprüche gebündelt durchzusetzen. Genau an diesem Punkt setzt eine aktuelle Entscheidung des Kammergerichts Berlin an – mit erheblicher Bedeutung für künftige Massenverfahren im Datenschutzrecht.
Mit Urteil vom 30. April 2026 hat das Kammergericht eine Verbandsklage der niederländischen Stiftung SOMI gegen das soziale Netzwerk „X“ als unzulässig abgewiesen. Im Zentrum der Entscheidung steht eine Frage, die für zahlreiche DSGVO-Verfahren relevant werden dürfte: Wann sind Datenschutz-Schadensersatzansprüche überhaupt „gleichartig“ genug für eine kollektive Klage?
Worum ging es in dem Verfahren?
Die Stiftung SOMI hatte gegen die Betreiberin von „X“ eine sogenannte Abhilfeklage nach dem Verbraucherrechtedurchsetzungsgesetz (VDuG) erhoben. Ziel war es, Schadensersatzansprüche deutscher Nutzer gebündelt geltend zu machen.
Gefordert wurden:
- mindestens 750 Euro pro registriertem Nutzer wegen der Datenverarbeitung,
- zusätzlich mindestens 250 Euro für Nutzer, die von einem konkreten Datenleck betroffen gewesen sein sollen.
Nach Darstellung von SOMI habe „X“ personenbezogene Daten ohne wirksame Einwilligung gesammelt, zusammengeführt und ausgewertet, um personalisierte Werbung auszuspielen und Nutzerverhalten gezielt zu beeinflussen.
Die Vorwürfe zielten damit auf klassische DSGVO-Themen:
- fehlende Einwilligung,
- Profilbildung,
- Tracking,
- Datenzusammenführung,
- Verarbeitung zu Werbezwecken.
Warum die Klage scheiterte
Das Kammergericht befasste sich zunächst nicht mit der Frage, ob tatsächlich Datenschutzverstöße vorlagen. Die Klage scheiterte bereits an der Zulässigkeit.
Nach § 15 Abs. 1 VDuG ist eine Abhilfeklage nur möglich, wenn die Ansprüche der Verbraucher „im Wesentlichen gleichartig“ sind. Genau daran fehlte es nach Auffassung des Gerichts.
Der entscheidende Punkt: Der Schaden ist individuell
Das Gericht stellte klar, dass ein DSGVO-Schadensersatzanspruch nicht automatisch allein wegen eines Datenschutzverstoßes entsteht. Entscheidend sei vielmehr, ob beim jeweiligen Nutzer tatsächlich ein individueller Schaden eingetreten ist.
Zwar könne bereits der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen. Ob ein solcher Kontrollverlust aber vorliegt und wie schwer er wiegt, müsse jeweils individuell geprüft werden.
Das Kammergericht nennt dabei mehrere Faktoren:
- Umfang der betroffenen Daten,
- Dauer des Kontrollverlusts,
- persönliche Betroffenheit,
- mögliche Ängste oder psychische Belastungen,
- missbräuchliche Nutzung der Daten durch Dritte.
Gerade diese Unterschiede zwischen den einzelnen Nutzern führten nach Ansicht des Gerichts dazu, dass keine ausreichend gleichartigen Ansprüche vorliegen.
Warum das Urteil für DSGVO-Massenverfahren wichtig ist
Die Entscheidung dürfte weit über den konkreten Fall hinaus Bedeutung entfalten. Viele Datenschutzverfahren beruhen auf der Vorstellung, dass identische oder jedenfalls vergleichbare Verstöße automatisch zu pauschalen Schadensersatzansprüchen führen.
Das Kammergericht setzt hier einen deutlichen Akzent: Beim immateriellen DSGVO-Schaden kommt es stark auf die konkrete individuelle Betroffenheit an.
Für Verbraucherverbände bedeutet das:
Je stärker Schadensersatzansprüche von persönlichen Umständen abhängen, desto schwieriger wird eine kollektive Durchsetzung im Wege der Abhilfeklage.
Für Unternehmen wiederum zeigt die Entscheidung, dass Datenschutzverstöße nicht zwangsläufig zu pauschalen Sammelansprüchen in großer Höhe führen müssen.
Keine Entwarnung für Unternehmen
Trotz der Entscheidung sollten Unternehmen das Urteil nicht als Freibrief verstehen.
Das Kammergericht hat ausdrücklich nicht festgestellt, dass die beanstandete Datenverarbeitung rechtmäßig gewesen sei. Die Richter entschieden allein über die Frage, ob die Ansprüche kollektiv geltend gemacht werden können.
Individuelle Schadensersatzklagen nach Art. 82 DSGVO bleiben weiterhin möglich. Auch Aufsichtsbehörden können Datenschutzverstöße unabhängig davon verfolgen und sanktionieren.
Hinzu kommt: Das Urteil ist noch nicht rechtskräftig. SOMI kann Revision zum Bundesgerichtshof einlegen. Sollte der BGH den Fall anders bewerten, könnte sich die Rechtslage erneut verändern.
Was Unternehmen jetzt beachten sollten
Die Entscheidung verdeutlicht vor allem eines: Datenschutzprozesse entwickeln sich zunehmend zu strategischen Massenverfahren mit erheblichem wirtschaftlichem Risiko.
Unternehmen sollten daher insbesondere prüfen:
- ob Einwilligungen DSGVO-konform eingeholt werden,
- wie Tracking- und Werbemaßnahmen dokumentiert sind,
- welche Daten tatsächlich verarbeitet werden,
- wie lange personenbezogene Daten gespeichert werden,
- ob technische und organisatorische Schutzmaßnahmen ausreichend sind.
Gerade bei datengetriebenen Geschäftsmodellen bleibt das Risiko von Verfahren durch Verbraucherverbände und Datenschutzbehörden hoch.
Fazit
Das Kammergericht Berlin zieht bei DSGVO-Sammelklagen eine wichtige Grenze: Datenschutzverstöße allein reichen nicht aus, um pauschale kollektive Schadensersatzansprüche durchzusetzen. Entscheidend bleibt die individuelle Betroffenheit jedes einzelnen Nutzers.
Damit stärkt das Gericht die Bedeutung der Einzelfallprüfung beim immateriellen DSGVO-Schaden – und erschwert zugleich groß angelegte Verbandsklagen im Datenschutzrecht.
Ob diese Linie Bestand haben wird, könnte nun der Bundesgerichtshof entscheiden.