DSGVO Schadensersatz nach Art. 82 ist kein automatisches Bußgeld für jede Datenschutzverletzung. Er dient dem Ausgleich materieller und immaterieller Schäden, die durch einen Verstoß entstanden sind. Die Rechtsprechung des EuGH und des Bundesgerichtshofs präzisiert die Voraussetzungen, den Kontrollverlust über personenbezogene Daten und den Nachweis einer Beeinträchtigung.
NoDSB-Fachanalyse · Stand: 7. November 2026 · Fachliche Einordnung der genannten Gerichtsentscheidungen; Einzelfälle erfordern eine gesonderte rechtliche Prüfung.
Das Wichtigste im Überblick
Der Anspruch nach Art. 82 DSGVO erfordert einen Rechtsverstoß, einen tatsächlichen Schaden und Kausalität. Eine feste Erheblichkeitsschwelle ist unzulässig; die Entschädigung richtet sich nach dem individuellen Schaden.
1. DSGVO-Schadensersatz: Verstoß, Schaden und Kausalität
Art. 82 Abs. 1 DSGVO setzt grundsätzlich drei Elemente voraus: einen DSGVO-Verstoß, einen tatsächlich eingetretenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Diese Elemente dürfen nicht miteinander gleichgesetzt werden. Das Urteil EuGH vom 4. Mai 2023, C-300/21 (Österreichische Post) legt fest, dass der reine Rechtsverstoß noch keinen Entschädigungsanspruch begründet; zugleich ist eine nationale Erheblichkeitsschwelle für immaterielle Schäden unzulässig. Keine Bagatellschwelle bedeutet nicht, dass jede abstrakte Unzufriedenheit schon ein nachgewiesener Schaden wäre.
2. Befürchtung von Missbrauch nach einem Cyberangriff
Bei einem Angriff auf die bulgarische Steuerbehörde befasste sich der EuGH in C-340/21 (Natsionalna agentsia za prihodite) mit dem Schutz personenbezogener Daten und der Angst vor einem künftigen Missbrauch. Eine reale und begründete Befürchtung kann einen immateriellen Schaden bilden; ein rein hypothetisches Risiko reicht nicht ohne Weiteres. Ob eine individuell geltend gemachte Beeinträchtigung vorliegt, ist anhand der Umstände zu beurteilen. Bei unbefugter Offenlegung folgt aus dem Vorfall nicht automatisch, dass die Sicherheitsmaßnahmen unangemessen waren; der Verantwortliche muss deren Geeignetheit jedoch darlegen und nachweisen können.
3. Kontrollverlust und Facebook-Scraping
Der BGH hat im Leitentscheidungsverfahren VI ZR 10/24 vom 18. November 2024 hervorgehoben, dass bereits der tatsächliche Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen kann. Daraus folgt keine gesetzliche Pauschale für jedes Scraping-Ereignis. Entscheidend bleiben die Feststellung des Kontrollverlusts, die konkrete Betroffenheit und die haftungsausfüllende Würdigung. Das Beispiel illustriert, wie Plattformdatenabflüsse zu Ansprüchen einzelner Personen führen können.
4. Höhe und Funktion der Entschädigung
Art. 82 DSGVO ist in erster Linie auf Ausgleich gerichtet, nicht auf Bestrafung oder einen abstrakt abschreckenden Zuschlag. Das Gericht muss eine wirksame Entschädigung für den individuell nachgewiesenen Schaden ermitteln. Die Bemessung ist nach den anwendbaren nationalen Verfahrensregeln vorzunehmen, wobei Gleichwertigkeit und Effektivität des Unionsrechts gewahrt bleiben müssen. Aus der Rechtsprechung folgt daher kein verbindlicher Betrag für Datenpannen, unzulässige Werbung oder verlorene Auskunftsanträge.
5. Praktische Prüfung für Unternehmen und Behörden
Zu dokumentieren sind die betroffenen Datenkategorien, der konkrete Verstoß, die zeitliche Dauer, Verbreitung und Zugänglichkeit der Daten, etwaige nachweisbare Folgen für die betroffene Person sowie Maßnahmen zur Schadensbegrenzung. Ein Vorfallbericht nach Art. 33 DSGVO ersetzt weder die individuelle Schadensprüfung noch die zivilrechtliche Anspruchsbewertung. Auch die Exkulpationsmöglichkeit nach Art. 82 Abs. 3 DSGVO und die Verteilung der Verantwortung bei mehreren beteiligten Stellen sind gesondert zu behandeln.
6. NoDSB-Einordnung
Das Urteilssystem bietet einen sachgerechten Mittelweg: Grundrechtsverletzungen werden ernst genommen, ohne Datenschutzverstöße automatisch in pauschale Zahlungsansprüche umzuwandeln. Ein sorgfältiger Fachartikel sollte insbesondere zwischen unzulässiger Verarbeitung, bloßer Gefahr, tatsächlichem Kontrollverlust und psychischer Beeinträchtigung differenzieren. Kommunen brauchen hierzu transparente Beschwerde-, Beweis- und Dokumentationsprozesse, auch wenn keine Schadensersatzzahlung erfolgt.
Häufige Fragen
Führt jeder DSGVO-Verstoß zu Geld?
Nein. Neben dem Verstoß müssen grundsätzlich ein Schaden und ein ursächlicher Zusammenhang vorliegen.
Muss ein immaterieller Schaden besonders schwer sein?
Nein. Der EuGH lässt keine allgemeine Erheblichkeitsschwelle zu; ein tatsächlicher Schaden muss dennoch vorliegen.
Gerichtsentscheidungen und amtliche Quellen
- EuGH C-300/21 – Österreichische Post
- EuGH C-340/21 – NAP
- EuGH C-687/21 – MediaMarktSaturn
- EuGH C-741/21 – juris
- BGH VI ZR 10/24 – Pressemitteilung
Verwandte Rechtsprechung auf NoDSB
Vertiefend: Auskunftsrecht nach Art. 15 DSGVO · Recht auf Löschung.
Weiterlesen auf NoDSB
Die Entscheidungen lassen sich im Zusammenhang der Rechtsprechungsdatenbank · Social Media und Datenschutz · Internationaler Datentransfer einordnen. Weiterführende Primärquellen werden bei der Übernahme in die NoDSB-Fachbibliothek nach Entscheidungen und Dokumenttypen klassifiziert.