--- title: DSGVO-Schadensersatz Art. 82 (VO 2016/679) – Immaterieller Schadensersatz nach EuGH-Rechtsprechung (C-300/21 u. a.) seo_title: DSGVO-Schadensersatz Art. 82 – Immaterieller… slug: dsgvo-schadensersatz-art-82-eugh topic: datenschutz legal_status: in_force authority_level: A valid_from: 2018-05-25 valid_to: null last_reviewed: 2026-08-14 status: aktuell license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-schadensersatz-art-82-eugh.md wikidata_subjects: [Q1172506, Q60520997] factcheck_status: ok --- # DSGVO-Schadensersatz Art. 82 (VO 2016/679) – Immaterieller Schadensersatz nach EuGH-Rechtsprechung (C-300/21 u. a.) ## Kurzantwort Nach **Artikel 82 Abs. 1 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein **materieller oder immaterieller Schaden** entstanden ist, Anspruch auf **Schadenersatz** gegen den Verantwortlichen oder den Auftragsverarbeiter. Der Gerichtshof der Europäischen Union (EuGH) hat in seiner Leitentscheidung **C-300/21 (Österreichische Post AG) vom 4. Mai 2023** klargestellt, dass **drei kumulative Voraussetzungen** erfüllt sein müssen: ein **Verstoß gegen die DSGVO**, ein **tatsächlich entstandener Schaden** und ein **Kausalzusammenhang** zwischen beiden. Der **bloße Verstoß** gegen die DSGVO begründet **keinen** Anspruch. Zugleich gibt es **keine Bagatell- oder Erheblichkeitsschwelle**: Auch ein geringfügiger immaterieller Schaden ist ersatzfähig. In Folgeurteilen hat der EuGH entschieden, dass bereits die **begründete Befürchtung eines Datenmissbrauchs** nach einem Datenleck ein ersatzfähiger immaterieller Schaden sein kann (C-340/21), dass diese Befürchtung aber **nicht rein hypothetisch** sein darf (C-687/21), dass der Anspruch **rein ausgleichend und nicht bestrafend** ist (C-590/22) und dass sich der Verantwortliche **nicht schon dadurch entlasten** kann, dass der Schaden durch einen weisungswidrig handelnden Beschäftigten verursacht wurde (C-741/21). ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage | Verordnung (EU) 2016/679 (DSGVO), Artikel 82 | | Anspruchsinhaber | jede Person mit materiellem oder immateriellem Schaden aus einem DSGVO-Verstoß | | Anspruchsgegner | Verantwortlicher (Art. 4 Nr. 7) bzw. Auftragsverarbeiter (Art. 4 Nr. 8) | | Anspruchsvoraussetzungen (C-300/21) | 3 kumulativ: Verstoß + Schaden + Kausalität | | Bloßer Verstoß genügt? | Nein – ein Schaden muss nachgewiesen werden | | Erheblichkeits-/Bagatellschwelle | Nein – jeder Schaden ist ersatzfähig (C-300/21) | | Immaterieller Schaden | erfasst; z. B. Kontrollverlust, Ängste, Bloßstellung | | Befürchtung des Missbrauchs | kann Schaden sein, wenn begründet und nicht hypothetisch (C-340/21, C-590/22) | | Beweislast Schaden/Kausalität | betroffene Person | | Beweislast Entlastung (Art. 82 Abs. 3) | Verantwortlicher/Auftragsverarbeiter | | Entlastung Abs. 3 | nur wenn „in keinerlei Hinsicht" für das schädigende Ereignis verantwortlich | | Funktion des Anspruchs | rein ausgleichend, nicht abschreckend/bestrafend (C-590/22) | | Höhe des Ersatzes | keine gesetzliche Ober- oder Untergrenze; nationale Gerichte bemessen | | Verschuldensgrad des Verantwortlichen | für die Höhe unerheblich (C-741/21, C-590/22) | | Gesamtschuldnerische Haftung | Art. 82 Abs. 4 bei mehreren Beteiligten | | Zuständiges Gericht | Art. 82 Abs. 6 i. V. m. Art. 79 Abs. 2 DSGVO | | Verhältnis zum Bußgeld (Art. 83) | eigenständig; Schadenersatz ist kein Bußgeld | ## Geltungsbereich Artikel 82 DSGVO gilt **unmittelbar** in allen EU-/EWR-Mitgliedstaaten (die DSGVO ist eine Verordnung und bedarf keiner nationalen Umsetzung). Anspruchsberechtigt ist **jede natürliche Person**, deren personenbezogene Daten unter Verstoß gegen die DSGVO verarbeitet wurden und der dadurch ein Schaden entstanden ist. In Anspruch genommen werden können sowohl **Verantwortliche** als auch **Auftragsverarbeiter**; letztere haften nach Art. 82 Abs. 2 S. 2 jedoch nur, wenn sie ihren speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen sind oder unter Nichtbeachtung bzw. gegen die rechtmäßigen Weisungen des Verantwortlichen gehandelt haben. Neben dem europarechtlichen Anspruch aus Art. 82 DSGVO bleiben etwaige Ansprüche aus nationalem Recht (z. B. § 823 BGB i. V. m. dem Persönlichkeitsrecht) unberührt; Art. 82 DSGVO ist gegenüber diesen jedoch die **spezialgesetzliche und praktisch vorrangige** Grundlage für datenschutzrechtliche Schäden. ## Die drei Voraussetzungen (EuGH C-300/21) Der EuGH hat in der Rechtssache **C-300/21 (Österreichische Post AG)** entschieden, dass ein Anspruch aus Art. 82 Abs. 1 DSGVO nur besteht, wenn **kumulativ** vorliegen: 1. ein **Verstoß gegen die DSGVO**, 2. ein der betroffenen Person **entstandener Schaden** (materiell oder immateriell), 3. ein **Kausalzusammenhang** zwischen Verstoß und Schaden. Der **bloße Verstoß** gegen die DSGVO reicht danach **nicht** aus, um einen Ersatzanspruch zu begründen – anders als teilweise zuvor von deutschen Gerichten angenommen. Zugleich stellte der EuGH klar, dass Art. 82 DSGVO **keine Erheblichkeitsschwelle** kennt: Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Schwere erreicht. Auch geringfügige immaterielle Beeinträchtigungen sind grundsätzlich ersatzfähig, sofern sie überhaupt als Schaden dargelegt werden. ## Was als immaterieller Schaden gilt Der Begriff des immateriellen Schadens ist **unionsrechtlich autonom und weit** auszulegen (Erwägungsgrund 146 DSGVO). Ersatzfähig sind insbesondere der **Verlust der Kontrolle** über die eigenen Daten, Ängste, Sorgen und das Gefühl der Bloßstellung. - **C-340/21 (Natsionalna agentsia za prihodite, Urteil vom 14.12.2023):** Nach einem Hackerangriff auf die bulgarische Steuerbehörde kann bereits die **Befürchtung eines möglichen künftigen Missbrauchs** der abgeflossenen Daten für sich genommen ein immaterieller Schaden sein. Für die technischen und organisatorischen Maßnahmen (Art. 32) trägt der Verantwortliche die **Darlegungs- und Beweislast**; allein die Tatsache, dass Dritte (Angreifer) die Daten offengelegt haben, führt nicht automatisch zur Haftung. - **C-687/21 (MediaMarktSaturn, Urteil vom 25.01.2024):** Eine **rein hypothetische** Missbrauchsgefahr oder ein nur **kurzzeitiger Kontrollverlust** ohne konkret dargelegten Nachteil genügt nicht. Wird ein Dokument versehentlich an eine falsche Person herausgegeben, aber wieder zurückerlangt, ohne dass ein Missbrauch stattfand, ist ein ersatzfähiger Schaden nicht ohne Weiteres gegeben. - **C-590/22 (PS GbR, Urteil vom 20.06.2024):** Eine **begründete Befürchtung** kann ausreichen; ein tatsächlicher Missbrauch muss nicht bewiesen werden. Die Befürchtung und der daraus folgende Schaden müssen jedoch **konkret und nachvollziehbar** dargelegt werden. ## Beweislast und Entlastung (Art. 82 Abs. 2 und 3) Die **betroffene Person** muss den **Verstoß, den Schaden und den Kausalzusammenhang** darlegen und beweisen. Der **Verantwortliche** kann sich nach **Art. 82 Abs. 3 DSGVO** nur befreien, wenn er nachweist, dass er **„in keinerlei Hinsicht" für das schadensbegründende Ereignis verantwortlich** ist – die Beweislast für die Entlastung liegt bei ihm. - **C-741/21 (juris GmbH, Urteil vom 11.04.2024):** Der Verantwortliche kann sich **nicht** allein dadurch entlasten, dass der Schaden durch eine ihm unterstellte Person (Beschäftigte) verursacht wurde, die **gegen seine Weisungen** gehandelt hat. Er muss vielmehr beweisen, dass zwischen einer etwaigen Verletzung seiner Datenschutzpflichten und dem Schaden **kein Kausalzusammenhang** besteht. Der Grad des Verschuldens ist für die Bemessung der Höhe **unerheblich**, und eine bereits verhängte Geldbuße nach Art. 83 mindert den Schadenersatz nicht. ## Höhe des Schadenersatzes Die DSGVO enthält **keine gesetzliche Ober- oder Untergrenze** und keine feste Bemessungstabelle. Die Bemessung obliegt den **nationalen Gerichten** nach ihren innerstaatlichen Verfahrensvorschriften, gebunden an die unionsrechtlichen Grundsätze der **Äquivalenz** und **Effektivität**. - **C-590/22 (PS GbR):** Art. 82 DSGVO hat eine **rein ausgleichende (kompensatorische)** Funktion; er ist **nicht** darauf gerichtet, abzuschrecken oder zu bestrafen. Der zugesprochene Betrag muss den **konkret erlittenen Schaden vollständig** ausgleichen, aber nicht mehr. Weder die Schwere des Verstoßes noch ein etwaiger Vorsatz des Verantwortlichen sind für die **Höhe** maßgeblich. Praktische Folge: Für immaterielle Schäden setzen deutsche Gerichte je nach Einzelfall sehr unterschiedliche Beträge fest. Eine pauschale „Preisliste" existiert nicht; entscheidend sind der konkret dargelegte Nachteil, seine Dauer und Intensität. ## Häufige Fehler - **„Jeder DSGVO-Verstoß bringt automatisch Schadenersatz."** Falsch – ohne nachgewiesenen Schaden und Kausalität besteht kein Anspruch (C-300/21). - **„Bagatellschäden sind ausgeschlossen."** Falsch – es gibt keine Erheblichkeitsschwelle; auch kleine immaterielle Schäden sind ersatzfähig, müssen aber dargelegt werden (C-300/21). - **„Die bloße Angst vor Missbrauch reicht immer."** Nur, wenn sie **begründet und konkret** ist – rein hypothetische Befürchtungen genügen nicht (C-340/21 vs. C-687/21). - **„Der Schadenersatz steigt mit der Schwere des Verstoßes."** Nein – der Anspruch ist rein ausgleichend; die Höhe richtet sich nach dem Schaden, nicht nach dem Verschulden (C-590/22). - **„Wenn ein Mitarbeiter eigenmächtig handelt, haftet das Unternehmen nicht."** Doch – Weisungsverstoß eines Beschäftigten entlastet den Verantwortlichen nicht automatisch (C-741/21). - **„Ein bereits gezahltes Bußgeld senkt den Schadenersatz."** Nein – Bußgeld (Art. 83) und Schadenersatz (Art. 82) sind voneinander unabhängig (C-741/21). ## Quellen - Verordnung (EU) 2016/679 (DSGVO), Artikel 82, Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 - EuGH, Urteil vom 04.05.2023, C-300/21 (Österreichische Post AG) – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0300 – dejure-Permalink: https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-300/21 - EuGH, Urteil vom 14.12.2023, C-340/21 (Natsionalna agentsia za prihodite) – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0340 – dejure-Permalink: https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-340/21 - EuGH, Urteil vom 25.01.2024, C-687/21 (MediaMarktSaturn) – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0687 – dejure-Permalink: https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-687/21 - EuGH, Urteil vom 11.04.2024, C-741/21 (juris GmbH) – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0741 – dejure-Permalink: https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-741/21 - EuGH, Urteil vom 20.06.2024, C-590/22 (PS GbR) – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CJ0590 – dejure-Permalink: https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-590/22 - Europäischer Datenschutzausschuss (EDPB) – Guidelines 04/2024 zu Art. 82 (Recht auf Schadenersatz): https://www.edpb.europa.eu/public-consultations_en ## Änderungsverlauf - 2026-07-30: Erstveröffentlichung der Faktenseite. Rechtsrahmen (Art. 82 DSGVO) und fünf Leitentscheidungen des EuGH (C-300/21, C-340/21, C-687/21, C-741/21, C-590/22) gegen EUR-Lex und dejure-Permalinks gegengeprüft; Frontmatter-Felder gesetzt (legal_status, authority_level, wikidata_subjects, factcheck_status). | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published" ## Stand - Stand: 2026-07-30 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO) - Status: aktuell - Quellenautorität: A (EUR-Lex, EuGH/curia, EDPB, dejure-Permalinks) - Lizenz: CC BY 4.0