Nexvyra

DSGVO-Schadensersatz Art. 82 (VO 2016/679) – Immaterieller Schadensersatz nach EuGH-Rechtsprechung (C-300/21 u. a.)

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-14 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Nach Artikel 82 Abs. 1 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Der Gerichtshof der Europäischen Union (EuGH) hat in seiner Leitentscheidung C-300/21 (Österreichische Post AG) vom 4. Mai 2023 klargestellt, dass drei kumulative Voraussetzungen erfüllt sein müssen: ein Verstoß gegen die DSGVO, ein tatsächlich entstandener Schaden und ein Kausalzusammenhang zwischen beiden. Der bloße Verstoß gegen die DSGVO begründet keinen Anspruch. Zugleich gibt es keine Bagatell- oder Erheblichkeitsschwelle: Auch ein geringfügiger immaterieller Schaden ist ersatzfähig. In Folgeurteilen hat der EuGH entschieden, dass bereits die begründete Befürchtung eines Datenmissbrauchs nach einem Datenleck ein ersatzfähiger immaterieller Schaden sein kann (C-340/21), dass diese Befürchtung aber nicht rein hypothetisch sein darf (C-687/21), dass der Anspruch rein ausgleichend und nicht bestrafend ist (C-590/22) und dass sich der Verantwortliche nicht schon dadurch entlasten kann, dass der Schaden durch einen weisungswidrig handelnden Beschäftigten verursacht wurde (C-741/21).

Kernfakten

PunktWert
RechtsgrundlageVerordnung (EU) 2016/679 (DSGVO), Artikel 82
Anspruchsinhaberjede Person mit materiellem oder immateriellem Schaden aus einem DSGVO-Verstoß
AnspruchsgegnerVerantwortlicher (Art. 4 Nr. 7) bzw. Auftragsverarbeiter (Art. 4 Nr. 8)
Anspruchsvoraussetzungen (C-300/21)3 kumulativ: Verstoß + Schaden + Kausalität
Bloßer Verstoß genügt?Nein – ein Schaden muss nachgewiesen werden
Erheblichkeits-/BagatellschwelleNein – jeder Schaden ist ersatzfähig (C-300/21)
Immaterieller Schadenerfasst; z. B. Kontrollverlust, Ängste, Bloßstellung
Befürchtung des Missbrauchskann Schaden sein, wenn begründet und nicht hypothetisch (C-340/21, C-590/22)
Beweislast Schaden/Kausalitätbetroffene Person
Beweislast Entlastung (Art. 82 Abs. 3)Verantwortlicher/Auftragsverarbeiter
Entlastung Abs. 3nur wenn „in keinerlei Hinsicht" für das schädigende Ereignis verantwortlich
Funktion des Anspruchsrein ausgleichend, nicht abschreckend/bestrafend (C-590/22)
Höhe des Ersatzeskeine gesetzliche Ober- oder Untergrenze; nationale Gerichte bemessen
Verschuldensgrad des Verantwortlichenfür die Höhe unerheblich (C-741/21, C-590/22)
Gesamtschuldnerische HaftungArt. 82 Abs. 4 bei mehreren Beteiligten
Zuständiges GerichtArt. 82 Abs. 6 i. V. m. Art. 79 Abs. 2 DSGVO
Verhältnis zum Bußgeld (Art. 83)eigenständig; Schadenersatz ist kein Bußgeld

Geltungsbereich

Artikel 82 DSGVO gilt unmittelbar in allen EU-/EWR-Mitgliedstaaten (die DSGVO ist eine Verordnung und bedarf keiner nationalen Umsetzung). Anspruchsberechtigt ist jede natürliche Person, deren personenbezogene Daten unter Verstoß gegen die DSGVO verarbeitet wurden und der dadurch ein Schaden entstanden ist. In Anspruch genommen werden können sowohl Verantwortliche als auch Auftragsverarbeiter; letztere haften nach Art. 82 Abs. 2 S. 2 jedoch nur, wenn sie ihren speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen sind oder unter Nichtbeachtung bzw. gegen die rechtmäßigen Weisungen des Verantwortlichen gehandelt haben. Neben dem europarechtlichen Anspruch aus Art. 82 DSGVO bleiben etwaige Ansprüche aus nationalem Recht (z. B. § 823 BGB i. V. m. dem Persönlichkeitsrecht) unberührt; Art. 82 DSGVO ist gegenüber diesen jedoch die spezialgesetzliche und praktisch vorrangige Grundlage für datenschutzrechtliche Schäden.

Die drei Voraussetzungen (EuGH C-300/21)

Der EuGH hat in der Rechtssache C-300/21 (Österreichische Post AG) entschieden, dass ein Anspruch aus Art. 82 Abs. 1 DSGVO nur besteht, wenn kumulativ vorliegen:

  1. ein Verstoß gegen die DSGVO,
  2. ein der betroffenen Person entstandener Schaden (materiell oder immateriell),
  3. ein Kausalzusammenhang zwischen Verstoß und Schaden.

Der bloße Verstoß gegen die DSGVO reicht danach nicht aus, um einen Ersatzanspruch zu begründen – anders als teilweise zuvor von deutschen Gerichten angenommen. Zugleich stellte der EuGH klar, dass Art. 82 DSGVO keine Erheblichkeitsschwelle kennt: Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Schwere erreicht. Auch geringfügige immaterielle Beeinträchtigungen sind grundsätzlich ersatzfähig, sofern sie überhaupt als Schaden dargelegt werden.

Was als immaterieller Schaden gilt

Der Begriff des immateriellen Schadens ist unionsrechtlich autonom und weit auszulegen (Erwägungsgrund 146 DSGVO). Ersatzfähig sind insbesondere der Verlust der Kontrolle über die eigenen Daten, Ängste, Sorgen und das Gefühl der Bloßstellung.

Beweislast und Entlastung (Art. 82 Abs. 2 und 3)

Die betroffene Person muss den Verstoß, den Schaden und den Kausalzusammenhang darlegen und beweisen. Der Verantwortliche kann sich nach Art. 82 Abs. 3 DSGVO nur befreien, wenn er nachweist, dass er „in keinerlei Hinsicht" für das schadensbegründende Ereignis verantwortlich ist – die Beweislast für die Entlastung liegt bei ihm.

Höhe des Schadenersatzes

Die DSGVO enthält keine gesetzliche Ober- oder Untergrenze und keine feste Bemessungstabelle. Die Bemessung obliegt den nationalen Gerichten nach ihren innerstaatlichen Verfahrensvorschriften, gebunden an die unionsrechtlichen Grundsätze der Äquivalenz und Effektivität.

Praktische Folge: Für immaterielle Schäden setzen deutsche Gerichte je nach Einzelfall sehr unterschiedliche Beträge fest. Eine pauschale „Preisliste" existiert nicht; entscheidend sind der konkret dargelegte Nachteil, seine Dauer und Intensität.

Häufige Fehler

Quellen

Änderungsverlauf

Stand