Schon der Kontrollverlust über Daten kann Schadensersatz begründen
Bundesgerichtshof · VI ZR 97/22 · 23. Juni 2026
Datenschutzrecht / immaterieller Schadensersatz / Art. 82 DSGVO
Leitsätze (nach INFOLAW-Zusammenfassung)
1. Ein immaterieller Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO besteht dem Grunde nach, wenn der Datenschutzverstoß zu einem nicht folgenlosen Kontrollverlust führt. Der bloße Verstoß genügt nicht, eine Erheblichkeitsschwelle besteht jedoch ebenfalls nicht.
2. Ein Unterlassungsanspruch folgt nicht unmittelbar aus der DSGVO (EuGH C-655/23), sofern keine Löschung verlangt wird; die Mitgliedstaaten dürfen ihn aber nach nationalem Recht vorsehen (§ 1004 Abs. 1 Satz 2 BGB analog i.V.m. § 823 BGB). Er setzt Wiederholungsgefahr voraus.
Hinweis zur Quellenlage
Diese Aufbereitung beruht auf der Zusammenfassung, wie sie der INFOLAW-Verteiler von Prof. Dr. Thomas Hoeren (ITM Universität Münster) am 24.07.2026 verbreitet hat. Der Urteils-Volltext ist als PDF über die BGH-Entscheidungsdatenbank verfügbar, wird hier aber nicht reproduziert.
Die Entscheidung im Überblick
Der BGH klärt zwei Fragen des DSGVO-Haftungsrechts. Zum immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO gilt: Der bloße Datenschutzverstoß genügt weiterhin nicht, doch es gibt auch keine Erheblichkeits- oder Bagatellschwelle. Ein Anspruch besteht, wenn der Verstoß einen nicht folgenlosen Kontrollverlust bewirkt. Im Streitfall hatte eine Bankmitarbeiterin eine für einen Bewerber bestimmte Xing-Nachricht mit Bewerbungs- und Vergütungsangaben versehentlich an einen Dritten geschickt, der den Bewerber daraufhin ansprach; die Befürchtung einer Weitergabe oder wettbewerblichen Nutzung durch den brancheninternen Dritten war begründet.
Zum Unterlassungsanspruch: Unmittelbar aus der DSGVO folgt kein Unterlassungsanspruch (im Anschluss an EuGH C-655/23 vom 04.09.2025), sofern der Betroffene keine Löschung verlangt. Die Mitgliedstaaten dürfen einen solchen Anspruch aber national vorsehen — in Betracht kommen § 1004 Abs. 1 Satz 2 BGB analog i.V.m. § 823 Abs. 1 BGB (informationelle Selbstbestimmung) sowie § 823 Abs. 2 BGB i.V.m. Art. 6 DSGVO. Im konkreten Fall scheiterte der Anspruch an der fehlenden Wiederholungsgefahr, weil das Bewerbungsverfahren abgeschlossen war. Zur Höhe des Schadensersatzes wurde an das OLG Frankfurt zurückverwiesen.
Hintergrund und Einordnung
Das Urteil ist für die Praxis von erheblicher Bedeutung, weil es die Linie des EuGH zum immateriellen Schadensersatz für das deutsche Recht konkretisiert und die Hürde niedrig hält: Betroffene müssen keinen „erheblichen“ Schaden nachweisen — ein belegter, nicht rein hypothetischer Kontrollverlust genügt. Für Verantwortliche steigt damit das Haftungsrisiko schon bei einfachen Datenpannen (Fehlversand, falscher Verteiler), sofern die Daten tatsächlich zur Kenntnis eines Dritten gelangen.
Zugleich stellt der BGH klar, dass Unterlassungsbegehren nicht auf die DSGVO selbst, sondern auf das nationale Deliktsrecht zu stützen sind und eine konkrete Wiederholungsgefahr voraussetzen. Praktische Konsequenz: technische und organisatorische Maßnahmen gegen Fehlversand (Empfängerprüfung, Verzögerungsfenster, DLP), dokumentierte Reaktionsprozesse und eine realistische Einschätzung der Schadensersatzrisiken bei Beschäftigten- und Bewerberdaten.
Originalquelle
Urteils-Volltext (BGH-Entscheidungsdatenbank, PDF):
Quellen
- BGH, Urteil vom 23.06.2026 – VI ZR 97/22 (Volltext-PDF) · original · abgerufen 2026-07-24
- INFOLAW-Verteiler (Prof. Dr. Thomas Hoeren) — Zusammenfassung · 2026-07-24 · Fundstellen-Hinweis
