Ein Server wird gehackt, eine E-Mail-Adresse landet ungefragt im Newsletter-Verteiler, ein Auftragsverarbeiter löscht Daten nicht rechtzeitig, wandert die Sache dann vor Gericht, entscheidet sich vieles an einer einzigen Frage: Reicht der bloße Verstoß, oder braucht es einen konkret nachweisbaren Schaden? Neun Entscheidungen aus den letzten drei Jahren, vom EuGH bis zum BAG, zeichnen dazu eine Linie, die konsequenter ist, als viele Websitebetreiber annehmen.
Der Ausgangspunkt: Österreichische Post
Am 4. Mai 2023 stellte der EuGH in der Sache Österreichische Post klar (C-300/21): Ein bloßer Verstoß gegen die DSGVO genügt für sich genommen nicht für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO. Es braucht einen Schaden. Gleichzeitig verneinte das Gericht aber eine Erheblichkeits- oder Bagatellschwelle, ein kleiner Schaden bleibt ein Schaden. Diese doppelte Aussage, kein Automatismus, aber auch keine Untergrenze, ist der Ankerpunkt für alles, was danach kommt.
Die Erweiterung: Kontrollverlust reicht
Am 18. November 2024 ging der BGH in der Facebook-Scraping-Entscheidung (VI ZR 10/24) einen entscheidenden Schritt weiter: Ein nachgewiesener bloßer Kontrollverlust über personenbezogene Daten kann bereits immateriellen Schaden begründen, konkrete Missbrauchsfolgen sind dafür nicht zwingend erforderlich. Diese Grundsatzentscheidung öffnete die Tür für eine ganze Reihe folgender Urteile.
Am 4. September 2025 bestätigte der EuGH in der Sache Quirin Privatbank (C-655/23) diese Richtung von der europäischen Seite aus: Negative Gefühle wie Sorge oder Ärger können bei nachgewiesener Kausalität immateriellen Schaden begründen, der Verschuldensgrad des Verantwortlichen ist für die Schadenshöhe irrelevant. Gleichzeitig stellte der EuGH klar, dass die DSGVO selbst keinen eigenständigen unionsrechtlichen Unterlassungsanspruch vorsieht, Mitgliedstaaten aber nicht daran gehindert sind, einen solchen national vorzusehen.
Zwei Fälle aus der betrieblichen Praxis zeigen, wie konkret das wird. Das OLG Düsseldorf sprach am 10. Juli 2025 (16 U 83/24, Deezer) 200 Euro Schadensersatz für einen kurzzeitigen Kontrollverlust nach einem Sicherheitsvorfall beim Auftragsverarbeiter zu, Verstöße des Auftragsverarbeiters gegen Löschungs- und Datenminimierungspflichten sind dem Verantwortlichen zurechenbar. Das BAG sprach am 8. Mai 2025 (8 AZR 209/21, Workday) ebenfalls 200 Euro zu, weil ein Arbeitgeber Echtdaten, darunter Gehaltsdaten, für einen Softwaretest über die Betriebsvereinbarung hinaus weitergegeben hatte, auch hier reichte ein kurzzeitiger Kontrollverlust.
Klartext für Geschäftsführer: Ein Datenleck oder eine unbefugte Weitergabe von Kundendaten muss keine nachgewiesenen Betrugsfälle oder finanziellen Folgen für Betroffene nach sich ziehen, um teuer zu werden. Der bloße Umstand, dass Daten außer Kontrolle geraten sind, kann bereits genügen. Bei der Bemessung der Schadenshöhe zählt reine Ausgleichsfunktion, nicht Verschuldensgrad. Ergänzend, außerhalb der neun Kernfälle: Das hat der BGH schon am 28. Januar 2025 in einer SCHUFA-Sache (VI ZR 183/22) so entschieden.
Die Gegenprobe: Ohne Nachweis kein Schaden
Wer daraus liest, jeder Verstoß führe automatisch zu Geld, übersieht die Kehrseite. Das BAG wies am 5. Juni 2025 (8 AZR 117/24) eine Klage ab, weil DSGVO-Verstöße ohne konkret dargelegten materiellen oder immateriellen Schaden keinen Ersatzanspruch begründen, und mehrere gleichzeitig auftretende Verstöße in derselben Verarbeitung sind kein eigenständiger schadenserhöhender Faktor. Am 20. Februar 2025 entschied dasselbe Gericht (8 AZR 61/24), dass eine verspätete Auskunftserteilung allein noch keinen ersatzfähigen Schaden begründet, Kausalität muss konkret dargelegt werden, bloßes Verstimmt- oder Genervtsein genügt nicht. Und am 28. Januar 2025 bestätigte der BGH (VI ZR 109/23) zwar erneut die fehlende Erheblichkeitsschwelle, verlangte aber, dass konkrete negative Folgen und ein tatsächlicher Schaden dargelegt werden.
Diese Fälle sind kein Widerspruch zur Kontrollverlust-Linie, sie ziehen nur die Grenze an einer anderen Stelle: Der Kontrollverlust selbst muss feststehen, eine bloße Behauptung oder ein rein hypothetisches Risiko reicht nicht. Wo genau die Beweisführung im Einzelfall ausreicht und wo nicht, das bleibt, ehrlich gesagt, eine Frage, die sich nicht mit einer einzigen Formel beantworten lässt, dafür sind die Sachverhalte zu unterschiedlich.
Klartext für Techniker: Interne Sicherheitsvorfälle sauber dokumentieren, auch scheinbar kleine, kurzzeitige. Genau diese Dokumentation entscheidet später, ob eine Klage Erfolg hat oder nicht, in beide Richtungen.
Die Fälle im Überblick
| Datum | Gericht | Az. | Kernaussage |
|---|---|---|---|
| 04.05.2023 | EuGH | C-300/21 (Österreichische Post) | Kein Automatismus, aber keine Bagatellschwelle |
| 18.11.2024 | BGH | VI ZR 10/24 (Facebook-Scraping) | Bloßer Kontrollverlust kann Schaden sein |
| 28.01.2025 | BGH | VI ZR 109/23 | Konkrete negative Folgen weiterhin nötig |
| 20.02.2025 | BAG | 8 AZR 61/24 | Verspätete Auskunft allein reicht nicht |
| 08.05.2025 | BAG | 8 AZR 209/21 (Workday) | Echtdaten-Softwaretest, 200 Euro |
| 05.06.2025 | BAG | 8 AZR 117/24 | Kein Schaden ohne konkreten Nachweis |
| 10.07.2025 | OLG Düsseldorf | 16 U 83/24 (Deezer) | Kontrollverlust bei Auftragsverarbeiter, 200 Euro |
| 04.09.2025 | EuGH | C-655/23 (Quirin Privatbank) | Negative Gefühle können Schaden sein, kein EU-Unterlassungsanspruch |
| 11.11.2025 | BGH | VI ZR 396/24 | Löschpflicht nach Auftragsverarbeitung, Darknet-Fund als Schaden |
Was für die Geschäftsführung zählt: Ein Sicherheitsvorfall, auch ein vermeintlich kleiner, ist kein reines IT-Thema mehr, sondern ein konkretes finanzielles Risiko pro betroffener Person, selbst ohne nachgewiesenen Missbrauch. Gleichzeitig ist nicht jeder theoretische Verstoß automatisch teuer, entscheidend ist immer der Einzelfallbeweis.
Was für die Technik zählt: Vorfälle beim eigenen Hoster oder Auftragsverarbeiter sind dem eigenen Unternehmen zurechenbar, das zeigen sowohl der Deezer- als auch der BGH-Fall zur Löschpflicht nach Vertragsende. Ein sauberes Löschkonzept mit dokumentierter Rückgabe- oder Löschbestätigung nach Beendigung einer Auftragsverarbeitung ist kein Papiertiger, sondern der Unterschied zwischen Haftung und Nicht-Haftung.
Diese Serie wird fortgesetzt: als nächstes ein Blick auf die SCHUFA-Rechtsprechung, wo sich Art. 82 DSGVO mit dem Auskunfteirecht überschneidet.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 17.07.2026.