Der Europäische Gerichtshof hat mit Urteil vom 4. September 2025 (C-655/23) die Rechte von Betroffenen eines Datenschutzverstoßes erneut gestärkt – und die Hürden für den Nachweis eines immateriellen Schadens nach Art. 82 DSGVO weiter gesenkt. Die Entscheidung fügt sich nahtlos in die verbraucherfreundliche Linie ein, die EuGH und BGH in den vergangenen Jahren gezogen haben.
Der Fall: Eine fehlgeleitete Nachricht mit Gehaltsdaten
Eine Mitarbeiterin einer Bank hatte über ein berufliches Netzwerk eine Nachricht verschickt, die Informationen über die Gehaltsvorstellungen eines Bewerbers enthielt – versehentlich an einen falschen Empfänger, der den Bewerber auch noch persönlich kannte. Der Bewerber sah die Kontrolle über sensible Informationen verloren und machte unter anderem einen immateriellen Schaden nach Art. 82 DSGVO geltend. Der Bundesgerichtshof legte dem EuGH mehrere Fragen zur Auslegung vor.
Keine Bagatellgrenze – auch Ärger und Sorge zählen
Der EuGH stellt klar, dass der Ersatz eines immateriellen Schadens nicht von einer Erheblichkeitsschwelle abhängig gemacht werden darf:
Art. 82 Abs. 1 DSGVO steht einer nationalen Regelung oder Praxis entgegen, die den Ersatz eines immateriellen Schadens davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat oder eine „Bagatellgrenze“ überschreitet.
Damit können auch vergleichsweise leichte Beeinträchtigungen wie Ärger, Unmut oder Sorge einen ersatzfähigen immateriellen Schaden darstellen – sofern die betroffene Person diese Folgen nachvollziehbar darlegt. Ein bloß hypothetisches Unbehagen ohne jeden Bezug zum Vorfall genügt hingegen nicht.
Kontrollverlust genügt – ein Missbrauch muss nicht eingetreten sein
Der Gerichtshof bekräftigt zudem seine Rechtsprechung zum Kontrollverlust:
Bereits der bloße Verlust der Kontrolle über die eigenen personenbezogenen Daten infolge eines Verstoßes gegen die DSGVO kann einen immateriellen Schaden begründen – selbst wenn es zu keiner missbräuchlichen Verwendung der Daten gekommen ist.
Für Betroffene eines Datenlecks heißt das: Sie müssen nicht abwarten, bis ihre Daten tatsächlich missbraucht werden – der Verlust der Kontrolle als solcher ist der Schaden.
Das Verschulden des Unternehmens spielt für die Höhe keine Rolle
Bemerkenswert ist eine dritte Klarstellung: Bei der Bemessung des Schadensersatzes darf nicht berücksichtigt werden, wie schwer das Verschulden des Verantwortlichen wiegt. Der Anspruch aus Art. 82 DSGVO hat eine reine Ausgleichsfunktion – er soll den erlittenen Schaden vollständig kompensieren, nicht das Unternehmen bestrafen. Maßstab ist allein der Schaden des Betroffenen.
Einordnung: Die Linie von EuGH und BGH
Die Entscheidung reiht sich in eine Serie verbraucherfreundlicher Urteile ein: Bereits 2023 hatte der EuGH (C-300/21) die Erheblichkeitsschwelle verworfen. Der BGH folgte mit seiner Grundsatzentscheidung zum Facebook-Scraping (VI ZR 10/24) – rund 100 Euro allein für den Kontrollverlust – und bestätigte die Linie zuletzt für das Deezer-Datenleck (VI ZR 396/24). Mit C-655/23 senkt der EuGH die Darlegungshürden nun auch für die alltäglichen Folgen eines Datenschutzverstoßes: Ärger und Sorge sind keine Bagatellen mehr.
Was bedeutet das für Betroffene?
Die praktischen Konsequenzen sind erheblich: Wer von einem Datenleck oder einer Datenpanne betroffen ist, muss weder einen Missbrauch noch eine schwere psychische Belastung nachweisen. Es genügt, die nachvollziehbaren Folgen darzulegen – etwa den Kontrollverlust, die Sorge vor Phishing oder den Ärger über den Umgang mit den eigenen Daten. Dokumentieren Sie deshalb auffälligen Spam oder Phishing-Versuche nach einem Vorfall.
Wann Ihnen Schadensersatz zusteht, wie hoch er ausfällt und wann Ansprüche verjähren, erklärt unser Ratgeber: Art. 82 DSGVO – Schadensersatz bei Datenschutzverstößen durchsetzen. Ob Ihr Fall dabei ist, sehen Sie in der Übersicht der aktuellen Datenleck-Fälle – dort machen Sie Ihren Anspruch in wenigen Minuten geltend, ohne Kostenrisiko.