Rechtsanwalt Klaus Dietrich Haupt Fachanwalt für Familienrecht und Verkehrsrecht

Eine E-Mail vom Online-Shop: „Ihre Kundendaten wurden durch einen unbefugten Zugriff betroffen.“ Eine SMS der Bank: „Ihre Kontodaten waren Bestandteil eines Datenlecks.“ Eine Nachricht von Facebook: „Ihr Profil wurde beim Scraping erfasst.“ Solche Meldungen sind in einer digital vernetzten Welt an der Tagesordnung – und treffen Millionen von Menschen. Was viele nicht wissen: Die Datenschutz-Grundverordnung (DSGVO) gibt Ihnen in diesen Situationen handfeste Schadensersatzansprüche.

Was sagt Art. 82 DSGVO?

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, das Recht auf Schadensersatz gegenüber dem Verantwortlichen oder dem Auftragsverarbeiter. Das Besondere: Das Gesetz verlangt keinen schweren Schaden. Auch ein immaterieller Schaden – also ein Schaden ohne direkte finanzielle Auswirkungen, wie Unbehagen, Kontrollverlust oder psychische Belastung – kann ausreichen.

Für den Verantwortlichen gilt eine vermutete Haftung (Art. 82 Abs. 3 DSGVO): Er kann sich nur befreien, wenn er nachweist, dass er den Schaden nicht zu verantworten hat. Der Betroffene muss zwar einen DSGVO-Verstoß und einen Schaden darlegen, trägt aber nicht die volle Beweislast für das Verschulden des Unternehmens.

Was hat der BGH zuletzt entschieden?

Der BGH hat am 18. November 2024 in einem Leitentscheidungsverfahren zum sogenannten Facebook-Scraping-Komplex klargestellt: Bereits der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines DSGVO-Verstoßes kann einen immateriellen Schaden darstellen – ohne dass eine missbräuchliche Verwendung oder weitere spürbare negative Folgen nachgewiesen werden müssen.

Mit Urteil vom 14. Mai 2024 (Az. VI ZR 10/24) hatte der BGH bereits festgestellt: Ein konkreter und individuell nachgewiesener Kontrollverlust reicht für einen ersatzfähigen Schaden aus. Allerdings betonte der BGH mit Urteil vom 13. Mai 2025 (Az. VI ZR 186/22) auch die Grenzen: Ein bloß hypothetisches oder rein abstraktes Risiko – ohne konkret nachgewiesene Beeinträchtigung – genügt nicht. Der Betroffene muss also seinen persönlichen Schaden plausibel darlegen.

Typische Fallkonstellationen

• Datenpanne beim Online-Shop oder Dienstleister – Ihre Kreditkartendaten oder Adresse wurden gestohlen oder weitergegeben.
• Unerlaubte Weitergabe an Dritte – Ihr Arbeitgeber, eine Behörde oder ein Unternehmen hat Ihre Daten ohne Einwilligung an Dritte übermittelt.
• Scraping in sozialen Netzwerken – Ihre öffentlich sichtbaren Profilangaben wurden automatisiert abgerufen und weitergegeben.
• Unzureichende Datensicherheit – Das Unternehmen hat technische oder organisatorische Schutzmaßnahmen vernachlässigt (Art. 32 DSGVO).
• Fehlende Löschung – Ihre Daten werden weiterhin gespeichert, obwohl Sie einen Löschungsanspruch geltend gemacht haben (Art. 17 DSGVO).

Was sollte ich jetzt tun?

• Benachrichtigung des Unternehmens dokumentieren: Heben Sie die Datenpannen-Mitteilung auf.
• Schaden konkret beschreiben: Was hat Sie persönlich beeinträchtigt? Unbehagen, Angst vor Missbrauch, Zeitaufwand für Absicherungsmaßnahmen?
• Auskunftsanspruch geltend machen (Art. 15 DSGVO): Fordern Sie Auskunft, welche Ihrer Daten betroffen sind und an wen sie ggf. weitergegeben wurden.
• Aufsichtsbehörde informieren: In Rheinland-Pfalz ist der Landesbeauftragte für den Datenschutz zuständig. Eine Beschwerde kostet nichts und kann zusätzlichen Druck erzeugen.

Wie kann Rechtsanwalt Haupt Ihnen helfen?

Datenschutzrecht und die Durchsetzung von DSGVO-Schadensersatzansprüchen sind ein wachsendes Tätigkeitsfeld im allgemeinen Zivilrecht. Rechtsanwalt Klaus Dietrich Haupt bei Walek Rechtsanwälte in Mayen bearbeitet neben seinen Fachgebieten Familien- und Verkehrsrecht auch allgemeine zivilrechtliche Mandate – darunter die Geltendmachung von Ansprüchen nach Art. 82 DSGVO. Er prüft Ihren Fall, bewertet die Erfolgsaussichten realistisch und leitet die notwendigen Schritte ein. Lesen Sie dazu auch unseren Artikel: Phishing im Onlinebanking – wann die Bank haftet.

Häufig gestellte Fragen (FAQ)

Wie hoch ist der Schadensersatz, den ich erwarten kann?

Gerichte sprechen derzeit in typischen Scraping-Fällen häufig zwischen 100 und 1.000 Euro zu, bei schwerwiegenderen Verletzungen (Identitätsdiebstahl, erhebliche Sicherheitsrisiken) auch mehr. Entscheidend ist die konkrete Darlegung des persönlichen Schadens.

Muss ich beweisen, dass das Unternehmen schuldhaft gehandelt hat?

Nein – für das Verschulden gilt eine vermutete Haftung (Art. 82 Abs. 3 DSGVO). Das Unternehmen muss beweisen, dass es nicht verantwortlich ist. Sie müssen jedoch den DSGVO-Verstoß und Ihren Schaden darlegen.

Was ist, wenn das Unternehmen im Ausland sitzt?

Die DSGVO gilt für alle Unternehmen, die Daten von EU-Bürgern verarbeiten – unabhängig vom Firmensitz. Für Facebook, Google und Co. können Sie in Deutschland klagen. Bei außereuropäischen Anbietern ohne EU-Niederlassung ist die Durchsetzung schwieriger, aber nicht unmöglich.

Gilt das auch, wenn ich in die Datenschutzerklärung „eingewilligt“ habe?

Eine Einwilligung rechtfertigt nur rechtmäßige Verarbeitungen. Datenpannen, Datenverluste durch unzureichende Sicherheit oder unrechtmäßige Weitergabe sind von einer Einwilligung nicht gedeckt und begründen weiterhin Schadensersatzansprüche.

Wie lange habe ich Zeit für eine Klage?

Ansprüche nach Art. 82 DSGVO unterliegen der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB), beginnend am Ende des Jahres, in dem Sie von Datenpanne und Schaden Kenntnis erlangt haben.