Erst der Vorfall — ein abgeflossener Datensatz, eine Werbe-Mail ohne Einwilligung, ein Tracking-Tool auf der Website —, dann die Post: Ein Betroffener, oft vertreten, verlangt Schadensersatz für seinen „immateriellen Schaden" nach Art. 82 DSGVO. Und selten bleibt es bei einem Schreiben. Solche Forderungen kommen in Wellen, mit nahezu identischen Textbausteinen, manchmal Dutzende auf einmal. Die erste Reaktion vieler Unternehmen schwankt zwischen „das ignorieren wir" und „zahlen wir eben, damit Ruhe ist". Beides kann teuer werden. Denn ob überhaupt etwas geschuldet ist — und wenn ja, wie viel —, entscheidet sich an Fragen, die in den Serienschreiben gern übersprungen werden: Liegt wirklich ein Schaden vor? Wurde er durch Ihre Verarbeitung verursacht? Und trifft Sie die Verantwortung? Hier lesen Sie, wann nach Art. 82 DSGVO gehaftet wird, wo die europäische Rechtsprechung die Grenzen zieht — und mit welchen Linien sich eine solche Forderung abwehren lässt.
Ein Datensatz ist abgeflossen — durch einen Angriff, eine Fehlkonfiguration, eine Fehlversendung. Wochen später kommen Schreiben, oft anwaltlich, oft im Dutzend und wortgleich: Man habe „Kontrollverlust" erlitten, sei „in Sorge" und verlange einen Geldbetrag. Ob jeder dieser Absender wirklich einen ersatzfähigen Schaden hat, ist die entscheidende — und oft offene — Frage.
Eine Werbe-Mail ohne wirksame Einwilligung, ein Analyse- oder Werbe-Tool, das Daten an Dritte weitergibt, ein Kontaktformular ohne saubere Rechtsgrundlage. Auch daraus werden Art.-82-Forderungen abgeleitet. Hier steht neben dem Schaden vor allem die Frage im Raum, ob überhaupt ein Verstoß vorliegt — und ob er gerade beim fordernden Absender einen Nachteil ausgelöst hat.
Der Vorfall ist beim Dienstleister passiert — Cloud, Newsletter-Versender, IT-Wartung. Jetzt ist unklar, wer haftet: Sie als Verantwortlicher, der Auftragsverarbeiter oder beide? Wer für welchen Teil einstehen muss und wer sich entlasten kann, entscheidet über Ihre Position im Außenverhältnis zum Betroffenen und im Innenverhältnis zum Dienstleister.
Der Datenschutz-Schadensersatz hat eine eigene Anspruchsgrundlage, die unmittelbar aus der europäischen Verordnung stammt. Um eine Forderung einordnen zu können, muss man drei Ebenen auseinanderhalten: was ersetzt wird, unter welchen Voraussetzungen, und wer in Anspruch genommen werden kann. Genau an diesen Ebenen entscheidet sich, ob ein Serienschreiben trägt oder nicht.
Was ersetzt wird — auch der immaterielle Schaden. Der Wortlaut ist der Ausgangspunkt jeder Forderung: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter" (Art. 82 Abs. 1 DSGVO). Ersetzt wird also nicht nur der Vermögensschaden — die konkret verlorenen Euro —, sondern auch der immaterielle Schaden, etwa ein empfundener Kontrollverlust oder Sorgen um die eigenen Daten. Dass dieser immaterielle Schaden überhaupt in Geld ausgeglichen wird, ist der eigentliche Antrieb hinter den Forderungswellen: Er lässt sich behaupten, ohne eine konkrete Vermögenseinbuße vorweisen zu müssen.
Die entscheidende Grenze: bloßer Verstoß genügt nicht. Hier liegt das größte Missverständnis — und die wirksamste Verteidigungslinie. Ein DSGVO-Verstoß allein löst noch keinen Zahlungsanspruch aus. Nach der Rechtsprechung des Europäischen Gerichtshofs reicht der bloße Verstoß gegen die Bestimmungen der Verordnung nicht aus, um einen Schadenersatzanspruch zu begründen; erforderlich sind vielmehr drei Dinge zugleich: ein Verstoß gegen die DSGVO, ein der betroffenen Person tatsächlich entstandener Schaden und ein Kausalzusammenhang zwischen dem Verstoß und diesem Schaden (EuGH, Urteil vom 04.05.2023, C-300/21). Fehlt es an einem dargelegten, tatsächlichen Schaden, geht die Forderung ins Leere — der Verstoß mag vorliegen, ersetzt wird er ohne Schaden nicht. Genau diesen Schaden lassen viele Serienschreiben nur behaupten, statt ihn nachvollziehbar darzulegen.
Aber: keine Bagatellschwelle beim immateriellen Schaden. Die Grenze verläuft nicht dort, wo mancher sie vermutet. Man kann eine Forderung nicht mit dem Argument abtun, der behauptete Schaden sei „zu gering". Der Gerichtshof hat entschieden, dass Art. 82 DSGVO einer nationalen Regelung entgegensteht, die den Ersatz eines immateriellen Schadens davon abhängig macht, dass der Schaden „einen bestimmten Grad an Erheblichkeit erreicht" (EuGH, C-300/21). Es gibt also keine Erheblichkeits- oder Bagatellschwelle: Auch ein geringfügiger, aber echter immaterieller Schaden ist grundsätzlich ersatzfähig. Die richtige Verteidigung setzt deshalb nicht am „zu wenig" an, sondern eine Stufe früher — bei der Frage, ob überhaupt ein tatsächlicher Schaden dargelegt und verursacht ist. Der Schadensbegriff selbst ist dabei unionsautonom, also europaweit einheitlich und unabhängig von nationalen Vorstellungen auszulegen (EuGH, C-300/21).
Wer haftet — Verantwortlicher und Auftragsverarbeiter. Anspruchsgegner ist der Verantwortliche oder der Auftragsverarbeiter (Art. 82 Abs. 1 DSGVO). Dabei haftet jeder an einer Verarbeitung beteiligte Verantwortliche für den Schaden aus einer nicht verordnungskonformen Verarbeitung; der Auftragsverarbeiter haftet enger — nur, wenn er den speziell ihm auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung bzw. gegen die rechtmäßigen Anweisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 DSGVO). Wer welche Rolle innehat, ist deshalb keine Formalie, sondern bestimmt, wer überhaupt in der Haftung steht.
Die Entlastung — der Nachweis fehlender Verantwortlichkeit. Die Haftung ist keine reine Erfolgshaftung. Der Verantwortliche oder der Auftragsverarbeiter „wird von der Haftung … befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist" (Art. 82 Abs. 3 DSGVO). Die Beweisrichtung ist also umgekehrt: Nicht der Betroffene muss ein Verschulden belegen, sondern das Unternehmen kann sich durch den Nachweis entlasten, für den schadensauslösenden Umstand in keinerlei Hinsicht verantwortlich zu sein. Das ist eine hohe Hürde — aber eine, an der sich gerade bei fremdverschuldeten oder externen Ursachen ansetzen lässt.
Mehrere Beteiligte — gesamtschuldnerische Haftung. Sind mehrere Verantwortliche oder Auftragsverarbeiter an derselben Verarbeitung beteiligt und für den Schaden verantwortlich, so haftet jeder von ihnen „für den gesamten Schaden" — damit ein wirksamer Ersatz für die betroffene Person sichergestellt ist (Art. 82 Abs. 4 DSGVO). Der Betroffene kann sich also einen aussuchen und das Ganze von ihm verlangen. Wer vollständig gezahlt hat, kann anschließend von den übrigen Beteiligten deren Anteil zurückfordern (Art. 82 Abs. 5 DSGVO). Diese Trennung von Außen- und Innenverhältnis ist wichtig: Nach außen zahlen Sie womöglich zunächst alles, im Innenverhältnis holen Sie sich den fremden Anteil zurück — etwa vom Dienstleister, bei dem der Vorfall passiert ist.
Praxis Die teuerste Falle ist der Kurzschluss „es gab einen Verstoß, also müssen wir zahlen". Das ist nach der EuGH-Rechtsprechung gerade falsch — ohne dargelegten, verursachten Schaden gibt es keinen Ersatz. Die zweitteuerste Falle ist der umgekehrte Reflex, ein Serienschreiben mit Vergleichsangebot schnell zu bezahlen, damit Ruhe ist. Wer bei einer Welle einmal zahlt, ohne die Substanz zu prüfen, lädt die nächste Welle ein und verschenkt die Punkte, an denen sich die Forderungen abwehren lassen.
Eine Forderung nach Art. 82 DSGVO ist kein Automatismus, sondern eine Kette von Voraussetzungen, die jede für sich angreifbar ist. Wo eine reißt, trägt der Anspruch nicht. Die folgenden Linien lassen sich einzeln oder zusammen führen — welche im konkreten Fall greift, hängt vom Sachverhalt und vom Inhalt des Schreibens ab.
Der bloße Verstoß genügt nicht — es muss ein tatsächlich eingetretener Schaden vorliegen (EuGH, C-300/21). Serienschreiben behaupten oft nur pauschal „Kontrollverlust" oder „Unwohlsein", ohne einen konkreten Nachteil nachvollziehbar zu machen. Wo ein realer Schaden nicht dargelegt ist, fehlt eine tragende Voraussetzung des Anspruchs. Wichtig: Das ist keine Frage der Erheblichkeit — eine Bagatellschwelle gibt es nicht —, sondern die Frage, ob überhaupt ein echter Schaden besteht.
Verlangt wird ein Kausalzusammenhang zwischen dem konkreten Verstoß und dem konkreten Schaden (EuGH, C-300/21). Gerade bei Datensätzen, die aus vielen Quellen kursieren, ist oft offen, ob ein behaupteter Nachteil gerade aus Ihrem Vorfall folgt und nicht aus einer anderen Ursache. Diese Zuordnung muss der Fordernde leisten — sie lässt sich gezielt hinterfragen.
Der Nachweis, für den schadensauslösenden Umstand in keinerlei Hinsicht verantwortlich zu sein, befreit von der Haftung (Art. 82 Abs. 3 DSGVO). Das ist eine hohe Hürde, aber bei fremdverursachten Ereignissen — etwa dem alleinigen Fehlverhalten eines Dritten — ein prüfenswerter Ansatz, der die passende Dokumentation Ihrer Maßnahmen voraussetzt.
Ist Ihr Unternehmen im konkreten Vorgang Verantwortlicher oder Auftragsverarbeiter — und haftet in dieser Rolle überhaupt (Art. 82 Abs. 2 DSGVO)? Der Auftragsverarbeiter haftet nur enger. Bei mehreren Beteiligten steht zudem der interne Ausgleich im Raum (Abs. 4 und 5): Was Sie nach außen zahlen, ist nicht zwingend das, was Sie am Ende wirtschaftlich tragen.
Auch wenn dem Grunde nach etwas geschuldet ist, folgt daraus kein beliebiger Betrag. Die Schadenshöhe bemessen nach der EuGH-Rechtsprechung die nationalen Gerichte nach ihren Verfahrensregeln — der in Serienschreiben genannte Betrag ist eine Forderung, kein feststehender Anspruch. Zwischen „nichts geschuldet" und „geforderter Betrag" liegt regelmäßig Spielraum.
Im Ereignisfall werden zwei sehr verschiedene Folgen gern in einen Topf geworfen. Die eine ist der zivilrechtliche Schadensersatz nach Art. 82 DSGVO: Er steht der betroffenen Person zu, sie macht ihn selbst geltend, und er landet in ihrer Tasche. Die andere ist die Geldbuße der Aufsichtsbehörde nach Art. 83 DSGVO: Sie wird vom Staat verhängt, fließt dem Staat zu und bemisst sich nach eigenen Rahmen — bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes in der einen, bis zu 20 Millionen Euro oder 4 Prozent in der anderen Fallgruppe (Art. 83 Abs. 4 und Abs. 5 DSGVO), je nachdem, welcher Betrag höher ist.
Für Ihre Reaktion ist die Unterscheidung wichtig: Ein Vergleich mit einem einzelnen Betroffenen beendet nicht das aufsichtsrechtliche Risiko, und umgekehrt erledigt eine Sache mit der Behörde nicht die zivilrechtlichen Forderungen der Betroffenen. Beide Stränge können nebeneinander laufen und wollen getrennt gesteuert werden — was Sie im einen Verfahren erklären, kann im anderen Bedeutung haben. Dieser Beitrag behandelt den zivilrechtlichen Strang, die Abwehr der Schadensersatzforderung.
Beide Extreme sind teuer. Ungeprüftes Zahlen lädt die nächste Welle ein und verschenkt tragfähige Einwände; schlichtes Ignorieren kann bei tatsächlich begründeten Forderungen zu Verfahren und Kosten führen. Die Schreiben gehören zunächst gesichtet und nach ihrer Substanz sortiert.
Was ist passiert, welche Daten waren betroffen, welche Rechtsgrundlage bestand, war ein Auftragsverarbeiter beteiligt? Diese eine Grundlage trägt die Verteidigung gegen die ganze Welle — denn die Serienschreiben stützen sich meist auf denselben Vorfall und lassen sich mit denselben Punkten beantworten.
Prüfen Sie für jedes Schreiben: Verstoß, dargelegter tatsächlicher Schaden, Kausalität, Ihre Rolle und Haftung, Höhe (Art. 82 DSGVO; zu den Voraussetzungen EuGH, C-300/21). Wo eine dieser Voraussetzungen nicht dargelegt ist, lässt sich die Forderung gezielt zurückweisen — ohne die unzulässige Bagatell-Argumentation zu bemühen.
War ein Dienstleister beteiligt, klären Sie früh, wer im Innenverhältnis welchen Anteil trägt (Art. 82 Abs. 4 und 5 DSGVO). Was Sie nach außen zunächst zahlen, können Sie im Innenverhältnis anteilig zurückholen — das gehört in die Strategie, nicht erst in die Zeit nach der Zahlung.
Halten Sie das Bußgeldrisiko der Behörde (Art. 83 DSGVO) und die zivilen Forderungen (Art. 82 DSGVO) auseinander und stimmen Sie beide aufeinander ab. Was Sie gegenüber der Behörde erklären, kann die Zivilforderungen berühren und umgekehrt — eine abgestimmte Linie verhindert, dass Sie sich an einer Front das schwächt, was Sie an der anderen brauchen.
Gerade bei einer Welle zahlt sich eine einheitliche, tragfähige Antwortlinie aus, statt jeden Fall neu zu improvisieren. Lassen Sie die Substanz der Forderungen und Ihre Verteidigung prüfen, bevor Sie das erste Schreiben beantworten — die erste Reaktion setzt oft den Ton für alles Weitere.
Zwei Risiken sind auseinanderzuhalten. Das eine ist die Summe der zivilrechtlichen Forderungen: Bei einer Welle wirkt der einzelne Betrag klein, in der Masse kann er sich summieren — weshalb es sich lohnt, die Forderungen an ihrer Substanz zu messen, statt sie durchzuwinken. Das andere ist das davon getrennte Aufsichtsrisiko einer Geldbuße (Art. 83 DSGVO), das eigenen Regeln folgt. Beide lassen sich durch eine überlegte, einheitliche Reaktion deutlich dämpfen — und in vielen Fällen bricht die Forderung schon dem Grunde nach zusammen, wenn ein tatsächlicher, kausaler Schaden nicht dargelegt ist.
Feste Paketpreise nennen wir bewusst nicht: Ob es um die Abwehr eines einzelnen Schreibens geht, um die koordinierte Antwort auf eine ganze Welle gleichlautender Forderungen oder um die Abstimmung mit einem parallelen Aufsichtsverfahren, macht für Aufwand und Vorgehen den ganzen Unterschied. Sie erfahren die Größenordnung und eine ehrliche Einschätzung, welcher Weg für Sie sinnvoll ist, sobald wir den Vorfall und die Schreiben kennen — und in aller Regel ist die geprüfte Zurückweisung unbegründeter Forderungen günstiger als das ungeprüfte Zahlen einer ganzen Serie.
Nein. Der bloße Verstoß gegen die DSGVO reicht für einen Schadensersatzanspruch gerade nicht aus. Nach der Rechtsprechung des EuGH müssen ein Verstoß, ein tatsächlich eingetretener Schaden und ein Kausalzusammenhang zwischen beidem zusammenkommen (EuGH, Urteil vom 04.05.2023, C-300/21). Wo ein realer, verursachter Schaden nicht dargelegt ist, besteht kein Anspruch — auch wenn ein Verstoß vorliegen mag. Genau daran setzt die Verteidigung häufig an.
So nicht. Für den immateriellen Schaden gibt es keine Bagatell- oder Erheblichkeitsschwelle: Der Ersatz darf nicht davon abhängig gemacht werden, dass der Schaden einen bestimmten Grad an Erheblichkeit erreicht (EuGH, C-300/21). Auch ein geringer, aber echter Schaden ist ersatzfähig. Der richtige Ansatz ist eine Stufe früher — die Frage, ob überhaupt ein tatsächlicher, kausaler Schaden dargelegt ist. Ein bloßes Unbehagen ohne echten Schaden trägt die Forderung nicht.
Ja. Ersatzfähig ist der materielle und der immaterielle Schaden (Art. 82 Abs. 1 DSGVO). Es muss also kein konkreter Vermögensverlust vorliegen, damit überhaupt ein Anspruch in Betracht kommt. Vorausgesetzt bleibt aber immer, dass ein tatsächlicher Schaden entstanden und durch den Verstoß verursacht ist (EuGH, C-300/21) — die bloße Behauptung eines Unwohlseins genügt dafür nicht ohne Weiteres.
Das hängt von den Rollen ab. Der Verantwortliche haftet für den Schaden aus einer nicht verordnungskonformen Verarbeitung; der Auftragsverarbeiter haftet enger, nur bei Verletzung der speziell ihm auferlegten Pflichten oder bei weisungswidrigem Handeln (Art. 82 Abs. 2 DSGVO). Sind mehrere beteiligt, haftet nach außen jeder für den gesamten Schaden (Abs. 4); im Innenverhältnis kann der Zahlende den fremden Anteil zurückfordern (Abs. 5). Was Sie nach außen zahlen, ist also nicht zwingend das, was Sie am Ende tragen.
Nein, das sind zwei getrennte Dinge. Der Schadensersatz nach Art. 82 DSGVO steht der betroffenen Person zu und wird von ihr geltend gemacht. Die Geldbuße nach Art. 83 DSGVO verhängt die Aufsichtsbehörde, sie fließt dem Staat zu und folgt eigenen Rahmen (bis zu 10 bzw. 20 Millionen Euro oder 2 bzw. 4 Prozent des weltweiten Jahresumsatzes). Ein Vergleich mit einem Betroffenen beendet daher nicht das Behördenrisiko und umgekehrt — beide Stränge wollen getrennt gesteuert werden.
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn eine Welle gleichlautender Forderungen eingegangen ist und Fristen zur Antwort gesetzt sind, zählt jeder Tag — schildern Sie den Vorfall und die Schreiben lieber früher als später, bevor Sie das erste beantworten.
„Bei einer Welle von Datenschutz-Forderungen entscheidet nicht, ob es einen Verstoß gab, sondern ob für den einzelnen Absender ein tatsächlicher, verursachter Schaden dargelegt ist — wer das ruhig prüft, statt reflexhaft zu zahlen oder zu ignorieren, nimmt der Welle den Großteil ihrer Wucht", sagt Rechtsanwalt Sebastian Müller.
Schildern Sie kurz, worum es geht — Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern