Eine Personalerin verschickt eine Xing-Nachricht an den falschen Empfänger, und acht Jahre später steht fest, was das kostet. Der Bundesgerichtshof hat mit Urteil vom 23. Juni 2026 (VI ZR 97/22) entschieden, dass dem betroffenen Bewerber ein Anspruch auf immateriellen Schadensersatz aus Art. 82 Abs. 1 DSGVO dem Grunde nach zusteht, den begehrten Unterlassungsanspruch aber abgewiesen. Bei der Gelegenheit konnte der BGH auch nochmals klarmachen, was als immaterieller Schaden nach Art. 82 DSGVO gilt.
Der Vorgang
Eine Mitarbeiterin einer Privatbank sandte im Oktober 2018 eine für einen Bewerber bestimmte Nachricht über den Messenger des Portals zusätzlich an einen unbeteiligten Dritten. Die Nachricht offenbarte Nachname, Geschlecht, das laufende Bewerbungsverfahren, die Haltung der Bank dazu und mittelbar die Größenordnung der Gehaltsvorstellung. Der Dritte kannte den Bewerber aus einer früheren gemeinsamen Holding, leitete die Nachricht weiter und erkundigte sich, ob dieser auf Stellensuche sei.
Personenbezug trotz Zusatzwissen
Der Senat bejaht den Personenbezug ohne Zögern. Die Angaben enthielten mehrere typische Zuordnungsmerkmale, und dass zur Identifizierung zusätzliches Wissen des Empfängers nötig war, ändert daran nichts. Entscheidend ist die Identifizierbarkeit, nicht der Nachweis tatsächlicher Identifizierung. Wer glaubt, ein Nachname allein sei anonym genug, verkennt die Reichweite von Art. 4 Nr. 1 DSGVO in beruflichen Netzwerken, in denen der Empfänger den Kontext ohnehin mitbringt.
Der Schaden liegt in der Rückfrage
Hier korrigiert der BGH das Oberlandesgericht deutlich. Die Vorinstanz hatte den Vortrag des Klägers als bloße Beschreibung eines Datenschutzverstoßes abgetan; das war ein Fehlurteil. Der Senat verortet den immateriellen Schaden spätestens in dem Moment, in dem der Dritte die Daten zur Kenntnis nahm und den Kläger auf seine Bewerbung ansprach. Darin lag bereits eine missbräuchliche Verwendung, der Kontrollverlust blieb also nicht folgenlos.
Zugleich hält der Senat die Befürchtung des Klägers für begründet, der branchennahe Empfänger könne die Informationen weitergeben oder sich als Konkurrent einen Vorteil verschaffen. Eine Erheblichkeitsschwelle gibt es nicht, doch die bloße Behauptung einer Sorge genügt weiterhin nicht; sie muss unter den konkreten Umständen nachvollziehbar sein. Genau diese Brücke schlägt die Rückfrage des Dritten, sie verwandelt ein abstraktes Risiko in eine belegbare negative Folge. Praktisch heißt das: Wer klagt, muss zeigen, dass die Daten etwas bewirkt haben.
Immaterieller Schaden nach Art. 82 DSGVO
Der Bundesgerichtshof bestimmt den immateriellen Schaden in Art. 82 Abs. 1 DSGVO autonom unionsrechtlich, weil die Norm gerade nicht auf das Recht der Mitgliedstaaten verweist, und er legt ihn weit aus, wie es Erwägungsgrund 146 Satz 3 verlangt. Das klingt großzügig, ist es im Ergebnis aber nur begrenzt. Denn der Verstoß gegen die Verordnung allein trägt keinen Anspruch. Verstoß, Schaden und Kausalität stehen nebeneinander, und der Schaden ist eine eigenständige Anspruchsvoraussetzung, die der Betroffene darlegen und nachweisen muss. Wer bloß einen Rechtsbruch schildert, verlässt den Gerichtssaal mit leeren Händen, wie es dem Kläger in der Entscheidung vom 23. Juni 2026 vor dem Berufungsgericht zunächst ergangen war.
Eine Erheblichkeitsschwelle darf das nationale Recht dabei nicht errichten. Der Gerichtshof hat wiederholt klargestellt, dass ein bestimmter Grad an Schwere nicht verlangt werden kann, und der Senat übernimmt das ohne Einschränkung. Die Ablehnung einer Bagatellgrenze befreit den Betroffenen jedoch nicht davon, zu zeigen, dass die für ihn negativen Folgen überhaupt einen immateriellen Schaden bilden. Beides gehört zusammen und wird in der Praxis gern getrennt gelesen, je nachdem, auf welcher Seite man steht.
Den zentralen Zugang eröffnet der Kontrollverlust. Nach Erwägungsgrund 85 zählt schon der Verlust der Herrschaft über die eigenen Daten zu den ersatzfähigen Schäden, und zwar auch dann, wenn die Daten nie missbräuchlich verwendet wurden. Selbst ein kurzzeitiger Kontrollverlust kann einen Anspruch begründen, sofern die betroffene Person nachweist, ihn tatsächlich erlitten zu haben, so geringfügig er auch sein mag. Im entschiedenen Fall blieb es nicht beim abstrakten Verlust: Der unbeteiligte Empfänger der fehlgeleiteten Bewerbernachricht nahm sie zum Anlass, den Kläger auf seine Bewerbung anzusprechen. Darin sieht der Senat bereits eine missbräuchliche Verwendung, womit die Frage nach folgenlosem Kontrollverlust gar nicht mehr beantwortet werden musste.
Daneben steht die Befürchtung künftigen Missbrauchs. Sie kann für sich genommen einen immateriellen Schaden darstellen, wenn sie samt ihren negativen Folgen ordnungsgemäß nachgewiesen ist. Negative Gefühle wie Sorge und Ärger genügen dafür, auch wenn sie zum allgemeinen Lebensrisiko gehören können. Die bloße Behauptung einer Sorge reicht dagegen ebenso wenig wie ein rein hypothetisches Missbrauchsrisiko. Die Befürchtung muss unter den besonderen Umständen und mit Blick auf die konkrete Person begründet erscheinen, und genau daran scheitern viele Klagen. Der Kläger hatte hier den Vorteil, dass der Dritte in derselben Branche tätig war und sich tatsächlich meldete, was seine Sorge vor Weitergabe oder Wettbewerbsvorteil aus der Spekulation heraushob.
Kein Unterlassungsanspruch aus der Verordnung
Der EuGH hatte auf Vorlage des Senats geklärt, dass die DSGVO ohne Löschungsantrag keinen präventiven Unterlassungsrechtsbehelf gewährt, den Mitgliedstaaten einen solchen aber auch nicht verbietet. Nationale Ansprüche aus § 1004 Abs. 1 Satz 2 analog in Verbindung mit § 823 BGB und dem allgemeinen Persönlichkeitsrecht bleiben damit denkbar. Sie scheitern hier an der Wiederholungsgefahr: Der Antrag zielte auf die konkrete Verletzungsform im laufenden Bewerbungsverfahren, und dieses Verfahren ist abgeschlossen. Der Verstoß beruhte auf einer einmaligen Sondersituation, die tatsächliche Vermutung ist widerlegt.
Wer nach einem Fehlversand Unterlassung begehrt, sollte den Antrag also nicht zu eng an den erledigten Einzelvorgang binden, sonst entzieht ihm der Zeitablauf die Grundlage. Über die Höhe des Schadensersatzes entscheidet nun wieder das Oberlandesgericht nach § 287 ZPO.
Nichts Neues vom BGH
Der BGH bleibt seiner Linie treu: Der Schadensbegriff des Art. 82 DSGVO ist weit, aber er ist kein Selbstläufer. Ein Datenschutzverstoß allein bringt keinen Cent. Wer Schadensersatz will, muss zeigen, was der Verstoß bei ihm angerichtet hat, und sei es nur ein kurzer Kontrollverlust. Genau daran scheitern die meisten Massenklagen, und genau daran hätte es auch hier fast gefehlt. Gerettet hat den Kläger nicht sein Vortrag zur gefühlten Schmach, sondern die schlichte Tatsache, dass der falsche Empfänger die Daten tatsächlich benutzt und nachgefragt hat. Für Unternehmen heißt das: Ein einzelner Fehlversand kostet selten viel Geld, aber er kostet, sobald die Daten beim Empfänger Wirkung entfalten. Und für Betroffene heißt es: Substanz statt Standardformulierung.
Zur Schadenshöhe schweigt der Senat im Übrigen bewusst: Die Bemessung obliegt dem Tatrichter nach § 287 ZPO, wobei die Maßstäbe der Grundsatzentscheidung vom 18. November 2024 und die Antworten des Gerichtshofs in der Rechtssache C-655/23 auf die fünfte und sechste Vorlagefrage gelten. Der Anspruch bleibt ein Ausgleich, keine Strafe, und für den reinen Kontrollverlust bewegen sich die Beträge entsprechend im niedrigen zweistelligen bis dreistelligen Bereich. Wer mehr will, muss mehr zeigen als den Verstoß, nämlich, was er beim Betroffenen angerichtet hat.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (IT-Strafprozessrecht, digitale Beweismittel). Überdies beschäftigt er sich mit den rechtsstaatlichen Grundlagen moderner Arbeit und moderner Technologie – insbesondere mit der Frage, wie Bewusstsein, Verantwortung und Cybersecurity-Awareness im KI-geprägten Alltag Freiheitsräume und europäische Rechtsprinzipien sichern.
Wir übernehmen im IT-Recht und Strafrecht nur bestimmte Bereiche. So im IT-Recht allein im Softwarerecht mit darauf bezogenem IT‑Vertragsrecht und Lizenzrecht sowie rund um Cybersicherheit. Im Strafrecht übernehmen wir ausschiesslich Strafverteidigungen in Bereichen, auf die wir uns spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht