EuGH C-655/23 (Quirin Privatbank, VO 2016/679) – Unterlassungsanspruch aus der DSGVO, immaterieller Schaden und Verschuldensgrad In Kraft

Kernfakten

Geltungsbereich

Das Urteil legt die Datenschutz-Grundverordnung (VO (EU) 2016/679) aus. Als EU-Verordnung gilt die DSGVO unmittelbar in allen Mitgliedstaaten; ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung des Gerichtshofs ist für alle Verantwortlichen und Auftragsverarbeiter im Anwendungsbereich der DSGVO maßgeblich.

Praktisch betroffen ist jede Stelle, bei der personenbezogene Daten versehentlich an den falschen Empfänger geraten können — also praktisch jedes Unternehmen und jede Behörde mit E-Mail-, Messenger- oder Postversand. Besonders relevant ist das Urteil für Personalabteilungen und Recruiting, weil Bewerbungsdaten regelmäßig Gehaltsangaben, Lebensläufe und Absageinformationen enthalten, deren Offenlegung gegenüber Branchenkollegen spürbare Nachteile auslösen kann.

Die Aussage zum Unterlassungsanspruch ist mitgliedstaatsabhängig: Der Gerichtshof verneint einen unionsrechtlichen Anspruch, erlaubt den Mitgliedstaaten aber ausdrücklich einen eigenen. In Deutschland besteht ein solcher Anspruch nach ständiger Rechtsprechung über § 1004 Abs. 1 BGB analog in Verbindung mit § 823 BGB. In anderen Mitgliedstaaten kann die Lage abweichen.

Der Fall

Der Kläger befand sich bei der Quirin Privatbank AG in einem Bewerbungsprozess, der über ein Online-Karrierenetzwerk lief. Eine Mitarbeiterin der Bank versandte über den Messenger-Dienst des Netzwerks eine nur für den Kläger bestimmte Nachricht — sie teilte darin mit, dass seine Gehaltsvorstellungen abgelehnt würden, und bot eine andere Vergütung an — versehentlich an eine dritte, nicht am Bewerbungsprozess beteiligte Person.

Dieser Dritte hatte zuvor mit dem Kläger zusammengearbeitet, kannte ihn und war in derselben Branche tätig. Er leitete die Nachricht an den Kläger weiter und fragte, ob dieser auf Stellensuche sei.

Der Kläger verlangte vor dem Landgericht Darmstadt zweierlei: die Bank solle die Verarbeitung seiner bewerbungsbezogenen Daten unterlassen, soweit dadurch die unbefugte Offenlegung wiederholt würde, und sie solle Ersatz des immateriellen Schadens zahlen. Seinen Schaden beschrieb er als Sorge, ein Branchenkollege könne die vertraulichen Daten an frühere oder potenzielle Arbeitgeber weitergeben, sich einen Wettbewerbsvorteil in einer künftigen Bewerbungskonkurrenz verschaffen und die von ihm empfundene „Schmach" des Unterliegens in den Gehaltsverhandlungen wahrnehmen.

Das LG Darmstadt gab der Klage am 26.05.2020 vollständig statt und sprach 1.000 Euro nebst Zinsen zu. Das OLG Frankfurt bestätigte am 02.03.2022 den Unterlassungsanspruch (gestützt auf Art. 17 Abs. 1 DSGVO), wies den Schadensersatzantrag aber ab: Ein konkreter Schaden sei nicht nachgewiesen, und die empfundene „Schmach" sei kein immaterieller Schaden. Beide Seiten legten Revision ein; der Bundesgerichtshof setzte das Verfahren aus und legte dem Gerichtshof sechs Fragen vor.

Was der Gerichtshof entschieden hat

1. Kein unionsrechtlicher Unterlassungsanspruch (Tenor 1, erster Teil). Die DSGVO enthält keine Bestimmung, die ausdrücklich oder implizit einen präventiven Anspruch darauf vorsieht, dem Verantwortlichen einen künftigen Verstoß untersagen zu lassen. Ein solcher Anspruch lässt sich weder aus Art. 17 (Löschung) noch aus Art. 18 (Einschränkung) ableiten — und auch Art. 79 Abs. 1 DSGVO verpflichtet die Mitgliedstaaten nicht, einen speziellen präventiven Rechtsbehelf zu schaffen. Art. 79 Abs. 1 gewährt den wirksamen gerichtlichen Rechtsbehelf für den Fall, dass Rechte infolge einer nicht verordnungskonformen Verarbeitung verletzt wurden — also rückblickend, nicht vorbeugend.

2. Aber: Die Mitgliedstaaten dürfen es (Tenor 1, zweiter Teil). Kapitel VIII DSGVO enthält zwar keine ausdrückliche Öffnungsklausel für Rechtsbehelfe. Der Unionsgesetzgeber wollte die verfügbaren Rechtsbehelfe jedoch nicht abschließend harmonisieren und hat eine solche Möglichkeit nicht ausgeschlossen. Der Wortlaut „unbeschadet" in Art. 79 Abs. 1 DSGVO spricht dafür, dass nationale Rechtsordnungen zusätzliche Rechtsbehelfe vorsehen dürfen. Der Gerichtshof knüpft hier ausdrücklich an sein Urteil Lindenapotheke (C-21/23, 04.10.2024) an.

3. Negative Gefühle können immaterieller Schaden sein (Tenor 2). Der Begriff „immaterieller Schaden" in Art. 82 Abs. 1 DSGVO umfasst negative Gefühle, die die betroffene Person infolge einer unbefugten Übermittlung ihrer Daten an einen Dritten empfindet — ausdrücklich genannt: Sorge und Ärger — sofern sie durch einen Verlust der Kontrolle über die Daten, deren mögliche missbräuchliche Verwendung oder eine Rufschädigung hervorgerufen werden. Bedingung: Die betroffene Person weist nach, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des konkreten Verstoßes empfindet. Der bloße Verstoß genügt nicht; eine Erheblichkeitsschwelle gibt es umgekehrt aber auch nicht.

4. Verschuldensgrad ist irrelevant (Tenor 3). Art. 82 Abs. 1 DSGVO steht dem entgegen, dass der Grad des Verschuldens des Verantwortlichen bei der Bemessung der Höhe des immateriellen Schadensersatzes berücksichtigt wird. Die deutsche Praxis zu § 253 BGB, die dem Schmerzensgeld neben der Ausgleichs- auch eine Genugtuungsfunktion zuschreibt und dabei das Verschulden gewichtet, ist für Art. 82 DSGVO damit gesperrt. Art. 82 DSGVO hat eine rein kompensatorische, keine Straf- oder Genugtuungsfunktion.

5. Unterlassungstitel mindert den Geldersatz nicht (Tenor 4). Hat die betroffene Person nach nationalem Recht bereits eine Unterlassungsanordnung erwirkt, darf dieser Umstand nicht dazu führen, dass die finanzielle Entschädigung für den immateriellen Schaden gemindert oder gar ersetzt wird. Beide Rechtsfolgen stehen nebeneinander.

Wie es in Deutschland ausgegangen ist

Der Bundesgerichtshof hat den Ausgangsrechtsstreit nach der Vorabentscheidung mit Urteil vom 23.06.2026 – VI ZR 97/22 abgeschlossen. Nach den veröffentlichten Kurzfassungen hat der VI. Zivilsenat den immateriellen Schaden bejaht und den Unterlassungsanspruch verneint — Letzteres, weil die Wiederholungsgefahr nach Abschluss des Bewerbungsverfahrens entfallen war.

Damit gilt für die deutsche Praxis:

• Der Unterlassungsanspruch aus § 1004 Abs. 1 BGB analog i. V. m. § 823 BGB bleibt neben der DSGVO eröffnet — unionsrechtlich ist er zulässig.
• Er setzt aber Wiederholungsgefahr voraus. Diese wird nach allgemeinen Grundsätzen bei einem bereits begangenen Verstoß tatsächlich vermutet; die Vermutung ist widerlegbar, ausnahmsweise etwa dann, wenn der Verstoß durch eine einmalige Sondersituation veranlasst war oder die betroffene Verarbeitung — wie hier nach Ende des Bewerbungsverfahrens — nicht mehr stattfindet.
• Beim Schadensersatz nach Art. 82 DSGVO ist der Nachweis der negativen Folgen durch die betroffene Person der entscheidende Prüfungspunkt. Die bloße Behauptung einer Befürchtung ohne nachgewiesene Folgen genügt nicht, ebenso wenig ein rein hypothetisches Missbrauchsrisiko.

> Hinweis: Die konkrete vom BGH zugesprochene Entschädigungshöhe ist auf dieser Seite bewusst nicht beziffert, weil sie im Erstellungslauf nicht gegen den amtlichen Urteilsvolltext abgeglichen werden konnte. Die 1.000 Euro in den Kernfakten beziehen sich ausdrücklich auf das erstinstanzliche Urteil des LG Darmstadt vom 26.05.2020.

Was das für Verantwortliche bedeutet

• Der Fehlversand ist der Klassiker. Eine an den falschen Empfänger gesendete Nachricht ist eine „Verletzung des Schutzes personenbezogener Daten" im Sinne von Art. 4 Nr. 12 DSGVO und zugleich eine unrechtmäßige Verarbeitung nach Art. 6 Abs. 1 DSGVO, wenn keine Rechtsgrundlage greift. Sie kann die Meldepflicht nach Art. 33 DSGVO auslösen.
• Ein Unterlassungstitel kauft nichts ab. Wer sich unterwirft oder verurteilt wird, schuldet den Geldersatz in voller Höhe daneben. Vergleichsstrategien, die auf „Unterlassung statt Zahlung" setzen, tragen unionsrechtlich nicht.
• Sorgfalt entlastet nicht der Höhe nach. Dass ein Verstoß nur leicht fahrlässig oder durch ein Versehen einer einzelnen Mitarbeiterin verursacht wurde, darf den Betrag nicht senken. Das Verschulden spielt nur noch bei der Exkulpation nach Art. 82 Abs. 3 DSGVO eine Rolle — dort muss der Verantwortliche nachweisen, dass er in keinerlei Hinsicht verantwortlich ist — und bei Geldbußen nach Art. 83 Abs. 2 lit. b DSGVO, wo Vorsatz und Fahrlässigkeit ausdrücklich zu berücksichtigen sind.
• Wiederholungsgefahr aktiv beseitigen. Wo die Verarbeitung endet (abgeschlossenes Bewerbungsverfahren, gelöschter Datensatz) oder der Verstoß auf eine einmalige Sondersituation zurückgeht, kann die Vermutung der Wiederholungsgefahr widerlegt werden. Das ist die realistische Verteidigungslinie gegen den Unterlassungsantrag — nicht die Bestreitung des Verstoßes.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO adressieren genau dieses Risiko: Vier-Augen-Prinzip bei sensiblen Nachrichten, Verzögerung des Versands, Empfängerprüfung, getrennte Kanäle für Bewerbungskommunikation.

Was das für betroffene Personen bedeutet

Wer Opfer einer Fehlleitung seiner Daten wird, muss zwei Dinge auseinanderhalten:

Geldersatz (Art. 82 Abs. 1 DSGVO). Der Anspruch besteht unmittelbar aus der Verordnung. Sorge und Ärger reichen als Schaden aus — aber sie müssen konkret dargelegt und nachgewiesen werden, einschließlich der negativen Folgen. Hilfreich ist, den Zusammenhang zu benennen: Wer hat die Daten erhalten, in welchem Verhältnis steht diese Person zum Betroffenen, welcher konkrete Nachteil droht daraus (Wettbewerbsnachteil bei Bewerbungen, Weitergabe an Arbeitgeber, Rufschädigung).

Unterlassung. Dieser Anspruch kommt nicht aus der DSGVO, sondern aus dem nationalen Recht — in Deutschland aus § 1004 Abs. 1 BGB analog i. V. m. § 823 BGB. Er setzt Wiederholungsgefahr voraus. Ist die Verarbeitung beendet, läuft der Antrag ins Leere.

Beide Ansprüche schließen sich nicht gegenseitig aus und mindern sich nicht gegenseitig.

Häufige Fehler

• „Die DSGVO gibt mir einen Unterlassungsanspruch." Falsch — der Gerichtshof hat das ausdrücklich verneint. Der Anspruch kommt in Deutschland aus § 1004 BGB analog, nicht aus Art. 17, 18 oder 79 DSGVO.
• „Also gibt es in Deutschland gar keinen Unterlassungsanspruch mehr." Ebenfalls falsch — der Gerichtshof erlaubt den Mitgliedstaaten ausdrücklich, einen solchen Rechtsbehelf vorzusehen. Die deutsche Rechtsprechung tut das.
• „Ärger und Sorge sind allgemeines Lebensrisiko und kein Schaden." Nach diesem Urteil überholt — sie sind erfasst, wenn ihre negativen Folgen nachgewiesen werden.
• „Der Verstoß allein begründet schon den Schadensersatz." Falsch — der Schadenseintritt ist eine eigenständige Anspruchsvoraussetzung. Ohne nachgewiesenen Schaden kein Ersatz.
• „Es gibt eine Erheblichkeitsschwelle." Falsch — eine Bagatellgrenze ist unionsrechtlich unzulässig. Der Nachweis des tatsächlichen Schadens bleibt aber erforderlich.
• „Wir haben nur leicht fahrlässig gehandelt, das senkt die Summe." Falsch — der Verschuldensgrad darf bei der Bemessung nach Art. 82 Abs. 1 DSGVO nicht berücksichtigt werden.
• „Wir haben eine Unterlassungserklärung abgegeben, damit ist die Sache erledigt." Falsch — der Unterlassungstitel darf den Geldersatz weder mindern noch ersetzen.
• „Der Schadensersatz nach Art. 82 DSGVO hat Strafcharakter." Falsch — er ist rein kompensatorisch. Abschreckung erfolgt über die Geldbußen nach Art. 83 DSGVO.

Änderungsverlauf

• 2026-09-17: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-655/23 (Quirin Privatbank) vom 04.09.2025, Vierte Kammer, ECLI:EU:C:2025:655, Vorabentscheidung auf Vorlage des BGH (Beschluss vom 26.09.2023 – VI ZR 97/22), aufgenommen. Der Tenor wurde im deutschen Urteilsvolltext auf EUR-Lex (CELEX 62023CJ0655) wörtlich gegengelesen: (1) Die DSGVO sieht zugunsten der von einer unrechtmäßigen Verarbeitung betroffenen Person, die keine Löschung beantragt, keinen gerichtlichen Rechtsbehelf vor, um präventiv eine Unterlassungsanordnung gegen den Verantwortlichen zu erwirken; die Mitgliedstaaten sind jedoch nicht gehindert, einen solchen Rechtsbehelf vorzusehen. (2) Der Begriff „immaterieller Schaden" in Art. 82 Abs. 1 DSGVO umfasst negative Gefühle wie Sorge oder Ärger infolge unbefugter Übermittlung an einen Dritten, hervorgerufen durch Kontrollverlust, mögliche missbräuchliche Verwendung oder Rufschädigung, sofern die betroffene Person diese Gefühle samt negativen Folgen nachweist. (3) Art. 82 Abs. 1 DSGVO steht der Berücksichtigung des Verschuldensgrades bei der Bemessung entgegen. (4) Art. 82 Abs. 1 DSGVO steht entgegen, dass ein erwirkter Unterlassungstitel die Entschädigung mindert oder ersetzt. Ergänzend aufgenommen: Sachverhalt und Verfahrensgang (LG Darmstadt, 26.05.2020 – 13 O 244/19, 1.000 Euro; OLG Frankfurt, 02.03.2022 – 13 U 206/20), Schlussanträge des Generalanwalts vom 20.03.2025 sowie die deutsche Endentscheidung BGH, 23.06.2026 – VI ZR 97/22 (immaterieller Schaden bejaht, Unterlassungsanspruch mangels fortbestehender Wiederholungsgefahr verneint). factcheck_status=review_needed, weil (1) die deutsche Endentscheidung BGH VI ZR 97/22 vom 23.06.2026 im Erstellungslauf nur über die dejure.org-Verfahrensdokumentation und veröffentlichte Kurzfassungen ausgewertet werden konnte, nicht gegen den amtlichen Urteilsvolltext, und (2) die dort zugesprochene Entschädigungshöhe deshalb bewusst nicht beziffert ist. Der EuGH-Tenor selbst ist vollständig amtlich belegt. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

• [DSGVO-Schadensersatz Art. 82 – Immaterieller Schadensersatz nach EuGH](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
• [DSGVO Art. 17 – Recht auf Löschung](/fakten/dsgvo-loeschungsrecht-art-17.html)
• [DSGVO Art. 77–79 – Beschwerde bei der Aufsichtsbehörde und Rechtsschutz](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html)
• [DSGVO Art. 33 – Meldepflicht bei Verletzung des Schutzes personenbezogener Daten](/fakten/dsgvo-meldepflicht-art-33.html)
• [DSGVO Art. 34 – Benachrichtigung der betroffenen Person bei Datenschutzverletzung](/fakten/dsgvo-benachrichtigung-betroffener-art-34.html)
• [DSGVO Art. 32 – Technische und organisatorische Maßnahmen](/fakten/dsgvo-tom-art-32.html)
• [DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83 DSGVO](/fakten/dsgvo-bussgelder.html)
• [EuGH C-21/23 (Lindenapotheke) – Gesundheitsdaten und Mitbewerberklage](/fakten/eugh-lindenapotheke-c-21-23-gesundheitsdaten-mitbewerberklage.html)
• [EuGH C-526/24 (Brillen Rottler) – Rechtsmissbrauch beim ersten Auskunftsantrag](/fakten/eugh-c-526-24-brillen-rottler-rechtsmissbrauch-auskunftsantrag.html)
• [DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung](/fakten/dsgvo-rechtsgrundlagen-art-6.html)

Stand

• Stand: 2026-09-17
• Entscheidungsdatum: 2025-09-04 (EuGH, Vierte Kammer, C-655/23, Quirin Privatbank, ECLI:EU:C:2025:655)
• Verfahrensstand: Vorabentscheidung ergangen; Ausgangsverfahren durch BGH, Urteil vom 23.06.2026 – VI ZR 97/22, abgeschlossen
• Status: aktuell
• Quellenautorität: A (EUR-Lex CELEX 62023CJ0655 im deutschen Volltext, VO 2016/679, dejure.org-Permalinks zum Verfahrensgang)
• Lizenz: CC BY 4.0

Quellen

• EUR-Lex – Urteil des Gerichtshofs (Vierte Kammer) vom 04.09.2025, C-655/23 (IP / Quirin Privatbank AG), CELEX 62023CJ0655, ECLI:EU:C:2025:655: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0655 A
• EUR-Lex – Mitteilung im Amtsblatt zur Rechtssache C-655/23 (Vorabentscheidungsersuchen): https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:C_202401391 A
• InfoCuria – Verfahrensdokumentation zur Rechtssache C-655/23: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?num=C-655%2F23 A
• dejure.org – Permalink EuGH, 04.09.2025 – C-655/23: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=04.09.2025&Aktenzeichen=C-655%2F23 A
• dejure.org – Permalink BGH, 23.06.2026 – VI ZR 97/22 (Endentscheidung im Ausgangsverfahren): https://dejure.org/2026,21461 A
• dejure.org – Permalink BGH, 26.09.2023 – VI ZR 97/22 (Vorlagebeschluss): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BGH&Datum=26.09.2023&Aktenzeichen=VI+ZR+97%2F22 A
• dejure.org – Permalink Generalanwalt beim EuGH, 20.03.2025 – C-655/23 (Schlussanträge Campos Sánchez-Bordona): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=Generalanwalt+beim+EuGH&Datum=20.03.2025&Aktenzeichen=C-655%2F23 A
• EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), Volltext (Art. 17, 18, 79, 82, 83, 84): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
• EUR-Lex – Urteil des Gerichtshofs vom 04.10.2024, C-21/23 (Lindenapotheke), CELEX 62023CJ0021: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0021 A
• gesetze-im-internet.de – § 1004 BGB (Beseitigungs- und Unterlassungsanspruch): https://www.gesetze-im-internet.de/bgb/__1004.html A
• gesetze-im-internet.de – § 823 BGB (Schadensersatzpflicht): https://www.gesetze-im-internet.de/bgb/__823.html A
• gesetze-im-internet.de – § 253 BGB (Immaterieller Schaden): https://www.gesetze-im-internet.de/bgb/__253.html A
• EU-Kommission – Schadensersatz und Rechtsbehelfe nach der DSGVO: https://commission.europa.eu/law/law-topic/data-protection/reform/rights-citizens/redress_de A