Art. 82 DSGVO
Schadensersatz bei Datenschutzverstößen durchsetzen
Was Art. 82 DSGVO regelt:
Art. 82 DSGVO gibt Ihnen als Betroffenem einen Anspruch auf Schadensersatz, wenn gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen wurde – etwa bei einem Datenleck. Ersatzfähig ist nicht nur ein finanzieller (materieller), sondern ausdrücklich auch ein immaterieller Schaden. Mehrere Grundsatzentscheidungen von BGH und EuGH aus 2024 und 2025 haben die Rechte der Betroffenen erheblich gestärkt.
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
(3) Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
Wir bündeln die Ansprüche vieler Betroffener und setzen sie – über eine beauftragte Partnerkanzlei – gemeinsam durch. So bekommt der einzelne Anspruch das Gewicht, das es gegenüber einem großen Unternehmen braucht. Ein Honorar fällt nur im Erfolgsfall an.
Wer haftet? Verantwortlich ist, wer über Zweck und Mittel der Datenverarbeitung entscheidet (z. B. der Online-Shop oder die Plattform). Nach Art. 82 Abs. 4 DSGVO können bei mehreren Beteiligten alle gesamtschuldnerisch haften. Auch wer Daten an einen Dienstleister weitergibt, bleibt verantwortlich.
Materieller und immaterieller Schaden: Materiell sind konkrete Vermögensschäden (z. B. Kosten der Rechtsverfolgung). Immateriell ist der Schaden ohne unmittelbaren Geldwert – umgangssprachlich oft als „Schmerzensgeld“ bezeichnet – insbesondere der Kontrollverlust über die eigenen Daten sowie Sorge, Ärger oder die begründete Befürchtung eines Missbrauchs.
Was ist eine Datenschutzverletzung? Eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) liegt vor, wenn Daten unrechtmäßig offengelegt, verändert, vernichtet werden oder verloren gehen – typischerweise bei einer Datenpanne bzw. einem Hackerangriff, beim Scraping oder bei einer versehentlichen Veröffentlichung. Häufig erhalten Betroffene eine Benachrichtigung nach Art. 34 DSGVO.
Was Gerichte zu Art. 82 DSGVO entschieden haben:
Die Rechtsprechung zum DSGVO-Schadensersatz hat sich in den letzten Jahren klar zugunsten der Betroffenen entwickelt:
- BGH, Urt. v. 18.11.2024 (VI ZR 10/24) – Facebook-Scraping: Bereits der bloße und kurzzeitige Kontrollverlust ist ein ersatzfähiger immaterieller Schaden; ein Missbrauchsnachweis ist nicht erforderlich. Für den reinen Kontrollverlust hat der BGH rund 100 Euro als angemessen angesehen.
- BGH, Urt. v. 11.11.2025 (VI ZR 396/24) – Deezer-Datenleck: Auch die begründete Sorge vor Spam, Phishing oder Identitätsdiebstahl genügt; wer Daten an einen Dienstleister weitergibt, bleibt auch nach Vertragsende verantwortlich. Zum Deezer-Fall.
- EuGH, Urt. v. 04.09.2025 (C-655/23): Auch leichte Beeinträchtigungen wie Ärger, Unmut oder Sorge können ein immaterieller Schaden sein; eine Bagatellschwelle lehnt der EuGH ab.
- EuGH, Urt. v. 14.12.2023 (C-340/21): Schon die begründete Befürchtung eines künftigen Missbrauchs kann ein Schaden sein; für die Angemessenheit seiner Sicherheitsmaßnahmen ist das Unternehmen beweisbelastet.
- EuGH, Urt. v. 04.05.2023 (C-300/21): Keine Erheblichkeitsschwelle; der bloße Verstoß allein reicht aber nicht.
Praxisbeispiele: Tauchen nach einer Panne bei einem Dienstleister Kundendaten im Darknet auf, genügt nach der BGH-Linie der Kontrollverlust. Beim massenhaften Scraping öffentlicher Profildaten hat der BGH rund 100 Euro allein für den Kontrollverlust zugesprochen – zuzüglich Feststellung künftiger Schäden.
Wie hoch der Schadensersatz ausfällt:
Die Höhe des Schadensersatzes nach Art. 82 DSGVO hängt vom Einzelfall ab und ist nicht garantiert. Realistisch bewegen sich die meisten Datenleck-Fälle im unteren dreistelligen Bereich; deutlich höhere Beträge sind die Ausnahme und an schwere Verstöße geknüpft.
| Konstellation | Realistische Größenordnung | Rechtsprechung |
|---|---|---|
| Bloßer Kontrollverlust nach Datenleck | rund 100 € | BGH VI ZR 10/24; VI ZR 396/24 |
| Datenleck mit begründeter Missbrauchssorge | unterer dreistelliger Bereich | EuGH C-655/23; C-340/21 |
| Rechtswidrige SCHUFA-Eintragung | im Einzelfall bis rund 1.500 € | OLG Dresden 4 U 1078/23 |
| Schwere Verstöße / sensible Daten | im Einzelfall höher | OLG-Rechtsprechung |
Pauschale Zusagen wie „Ihnen stehen X Euro zu“ sind unseriös – maßgeblich ist immer der konkrete Fall.
Wann Sie Anspruch auf Schadensersatz haben:
Ein Anspruch auf DSGVO-Schadensersatz setzt voraus: einen Verstoß gegen die DSGVO, einen konkreten Schaden (materiell oder immateriell, auch Kontrollverlust) und einen Kausalzusammenhang.
Beweislast: Sie legen den Schaden und den Zusammenhang zum Vorfall dar. Ob es die Datenschutzregeln eingehalten hat, muss das Unternehmen nachweisen – und sich entlasten, um der Haftung zu entgehen (Art. 82 Abs. 3 DSGVO).
Anspruchs-Ampel – eine erste Selbsteinschätzung:
- Sie haben eine Benachrichtigung über ein Datenleck erhalten (Art. 34 DSGVO).
- Ihre Daten sind nachweislich in einem Leak oder im Darknet aufgetaucht.
- Sie erhalten seit dem Vorfall auffällig viel Spam oder Phishing.
- Sie vermuten eine Betroffenheit, haben aber noch keine Bestätigung.
- Der Vorfall liegt länger zurück – eine Durchsetzung kann sich dennoch lohnen.
- Der Ärger über einen Vorfall lässt sich keinem konkreten Datenschutzverstoß zuordnen.
- Der Vorfall ereignete sich vor dem 25.05.2018 (Geltung der DSGVO).
- Es besteht nur ein rein hypothetisches Risiko ohne tatsächliche Betroffenheit.
Was Sie nach einem Datenleck tun sollten:
Sie haben eine Benachrichtigung über eine Datenpanne erhalten oder vermuten, betroffen zu sein? Drei Schritte sind jetzt sinnvoll:
- Benachrichtigung aufbewahren. Das Schreiben nach Art. 34 DSGVO ist ein wichtiges Beweisstück – löschen Sie es nicht.
- Folgen dokumentieren. Sichern Sie auffälligen Spam, Phishing-Mails oder -SMS mit Datum (Screenshots). Das stärkt den Nachweis Ihres Schadens.
- Rechtsverfolgung sichern. Wählen Sie Ihr Datenleck in der Übersicht der aktuellen Fälle aus – die Anmeldung dauert nur wenige Minuten.
Unsicher, ob Ihre Daten überhaupt betroffen sind? Nach Art. 15 DSGVO haben Sie einen Auskunftsanspruch gegen das Unternehmen – dieser umfasst nach der Rechtsprechung auch die Frage, ob Sie von einem Datenschutzvorfall betroffen sind. Mehr dazu in unserem Beitrag.
Wann Ansprüche verjähren:
Ansprüche nach Art. 82 DSGVO verjähren regelmäßig innerhalb von drei Jahren (§§ 195, 199 BGB). Die Frist beginnt mit dem Ende des Jahres, in dem Sie von dem Datenleck und den maßgeblichen Umständen Kenntnis erlangt haben.
Ob die Frist tatsächlich schon läuft, ist im Datenschutzrecht aber nicht immer eindeutig. Nach anerkannter Rechtsprechung ist der Verjährungsbeginn hinausgeschoben, wenn die Rechtslage so unsicher war, dass sie selbst ein rechtskundiger Dritter nicht zuverlässig einschätzen konnte. Da die maßgeblichen Grundsatzurteile erst 2024 und 2025 ergangen sind, sprechen guten Argumente dafür, dass die Frist bei vielen Datenleck-Ansprüchen später begann als der Vorfall selbst.
Darüber hinaus wird – gestützt auf die Rechtsprechung des EuGH zum Effektivitätsgrundsatz – vertreten, dass die Frist erst beginnt, wenn der Betroffene auch die rechtliche Würdigung kennt. Diese Auslegung ist allerdings umstritten; der BGH hat sie zuletzt abgelehnt. Für Sie heißt das: Auch bei älteren Vorfällen kann eine Durchsetzung noch möglich sein – warten Sie dennoch nicht zu lange.
Wie wir Ihren Anspruch durchsetzen:
Sie setzen Ihren Anspruch auf Schadensersatz nach Art. 82 DSGVO ohne Kostenrisiko durch – ein Honorar fällt nur im Erfolgsfall an. Wir bündeln gleichgelagerte Fälle und lassen sie über eine beauftragte Partnerkanzlei durchsetzen; ein persönliches Erscheinen vor Gericht ist für Sie in der Regel nicht nötig.
Den Stand ausgewählter Verfahren veröffentlichen wir laufend auf unserer Seite Verfahrensstand.
Sind Sie rechtsschutzversichert, beauftragen wir unsere Kooperationsanwälte mit der Deckungsanfrage bei Ihrer Versicherung – Sie müssen sich um nichts kümmern.
Ein Anspruch setzt einen konkreten Datenschutzvorfall voraus. Eine Übersicht der Datenlecks, bei denen wir Ansprüche durchsetzen, finden Sie hier: Aktuelle Datenleck-Fälle im Überblick. Auf der jeweiligen Fall-Seite können Sie Ihren Anspruch in wenigen Minuten geltend machen.