EuGH gibt weitere Auslegungspunkte für Schadensersatzansprüche, die sich auf Scham, Sorge und Kontrollverlust stützen

Mit Urteil vom 04. September 2025 (C-655/23 - Link zum Urteil) hat der EuGH weitere Fragen zu Schadensersatzansprüchen nach der DSGVO beantwortet und auch das Zusammenspiel zwischen nationalem Recht (im Hinblick auf Unterlassungsansprüche) sowie der DSGVO konkretisiert.

Ein Bewerber stand über ein Karrierenetzwerk mit einem Unternehmen in Kontakt. Die ablehnende Antwort im Hinblick auf seine Gehaltsvorstellung ging versehentlich an eine dritte Person aus derselben Branche. Diese leitete die Nachricht an eine weitere, nicht am Bewerbungsprozess beteiligte Person weiter. Diese dritte Person, die zuvor mit dem Kläger gearbeitet hatte und ihn deshalb kannte, leitete die Nachricht an den Kläger weiter und fragte, ob er auf Stellensuche sei. Der Bewerber klagte daraufhin auf Unterlassung und Schadensersatz, gestützt auf die Sorge,

„dass mindestens eine dritte Person, die ihn kenne und in der gleichen Branche tätig sei wie er, in die Lage versetzt worden sei, diese vertraulichen Daten an ehemalige oder potenzielle Arbeitgeber weiterzugeben, ihm gegenüber einen Vorteil in einer etwaigen Konkurrenzsituation bei einer Bewerbung zu haben und die von ihm beim Unterliegen in seinen Gehaltsverhandlungen empfundene Schmach wahrzunehmen.“

Nach einem Rechtsstreit in mehreren Vorinstanzen legte der Bundesgerichtshof dem EuGH mehrere Grundsatzfragen zur DSGVO hinsichtlich des Unterlassungsanspruchs sowie der Voraussetzungen immaterieller Schadensersatzansprüche vor, die mit diesem Urteil beantwortet wurden.

Reichen Scham und Sorge nach einem Fehlversand bereits für einen DSGVO-Schadensersatzanspruch aus?

Kein automatischer DSGVO-Unterlassungsanspruch, aber nationale Regelungen anwendbar

In der Entscheidung stellt der EuGH klar: Die DSGVO selbst gewährt, wenn keine Löschung oder Einschränkung der Verarbeitung verlangt wird, keinen eigenständigen präventiven Unterlassungsanspruch. Weder Art. 17 noch Art. 18 oder 79 DSGVO geben Raum zur Herleitung eines solchen Anspruches.

Dies hindert jedoch nicht die Mitgliedstaaten, solche Unterlassungsansprüche im nationalen Recht vorzusehen. In Deutschland bestehen entsprechende Ansprüche etwa im Zivilrecht nach §§ 823, 1004 BGB analog. Die Geltendmachung von Unterlassungsansprüchen ist daher möglich, auch wenn die DSGVO selbst keinen ausdrücklichen Anspruch enthält.

Falsch adressierte Bewerbungsnachrichten oder interne Fehlversendungen können daher nicht nur Bußgelder und Schadensersatzansprüche, sondern auch zivilrechtliche Unterlassungsverfügungen nach sich ziehen.

Immaterieller Schaden: negative Gefühle zählen

In der vorliegenden Entscheidung hat sich der EuGH erneut zur Frage des immateriellen Schadens nach Art. 82 DSGVO geäußert. Dass Ärger oder Scham zum allgemeinen Lebensrisiko gehören, lässt sich zunächst hören, jedoch stellt der EuGH klar, dass negative Gefühle wie Sorge, Ärger, Scham, Kontrollverlust oder Angst vor Rufschädigung als immaterieller Schaden im Sinne von Art. 82 DSGVO anzuerkennen sind, sofern die betroffene Person nachweist, dass sie diese Gefühle aufgrund des Datenschutzverstoßes empfindet. Eine materielle Folge oder „Bagatellgrenze“ ist nicht erforderlich. Schon ein Verlust der Kontrolle über die eigenen Daten kann einen immateriellen Schaden darstellen, allerdings nur, wenn die betroffene Person daraus resultierende negative Gefühle bzw. Beeinträchtigungen und deren Kausalität zum Verstoß nachvollziehbar darlegt. Eine Erheblichkeitsschwelle besteht nicht. Es bleibt daher dabei, dass keine Erheblichkeitsschwelle besteht. Maßgeblich ist der konkrete Nachweis des Schadens und dessen Kausalität als zentrale Voraussetzung einer gerichtlichen Auseinandersetzung.

Verschuldensgrad spielt keine Rolle

Der EuGH beantwortete eine weitere Frage, die sich auf eine Reduktionsmöglichkeit des Schadensersatzanspruches im Hinblick auf den Verschuldensgrad bezog, dahin gehend, dass der Schadensersatz nach Art. 82 DSGVO ausschließlich dem Ausgleich des entstandenen Schadens diene und nicht der Bestrafung des Verantwortlichen. Es wird daher weiterhin klar zwischen den Bußgeldern und den Schadensersatzansprüchen der betroffenen Personen unterschieden. Ob der Verantwortliche grob oder nur leicht fahrlässig gehandelt hat, ist für die Höhe des Ersatzes unerheblich. Auch unbeabsichtigte Verstöße (z.B. ein versehentlich gesendeter Chat) können daher vollumfängliche Entschädigungsansprüche auslösen.

Zudem darf eine Unterlassungsverpflichtung oder -verfügung den Schadensersatz nicht mindern. Auch aus dieser Perspektive sind Prävention und Kompensation zwei getrennte Rechtsfolgenebenen, die nicht vermengt werden dürfen. Wer einen immateriellen Schaden erlitten hat, behält seinen Anspruch auf (finanziellen) Ausgleich seines Schadens, auch wenn das Unternehmen zusagt, künftig alles richtig zu machen.

Bedeutung für die Praxis

Das Urteil verdeutlicht, wie niedrig die Haftungsschwelle für Datenschutzverstöße nach der Rechtsprechung des EuGH anzusetzen ist. Es braucht keine großen Datenpannen. Bereits eine vertrauliche Nachricht im Messenger kann unter Umständen einen solchen Anspruch auslösen. Für die gerichtliche Durchsetzung bleibt insbesondere der Nachweis des immateriellen Schadens und des Kausalzusammenhangs zwischen Datenschutzverstoß und Schaden entscheidend.

Die Einhaltung interner Kommunikationsstandards und regelmäßige Mitarbeiterschulungen zum datenschutzkonformen Umgang mit personenbezogenen Daten bleiben weiterhin eine wichtige Compliance-Disziplin, um den Versand von sensiblen Informationen über unsichere Kanäle oder gar an falsche Empfänger zu vermeiden.

Hinweis

Dieser Beitrag dient ausschließlich der allgemeinen Information und ist keine abschließende Darstellung aller Regelungen der DSGVO oder des genannten Urteils. Es ersetzt keine individuelle Rechtsberatung und kann eine Prüfung des Einzelfalls nicht ersetzen.

Trotz sorgfältiger Erstellung wird keine Haftung für die inhaltliche Richtigkeit, Vollständigkeit oder Aktualität übernommen. Für eine rechtliche Bewertung oder konkrete Umsetzungsempfehlungen im Einzelfall sollte Rechtsrat eingeholt werden.