DSGVO-Schadensersatz: Was steckt dahinter?
Der DSGVO-Schadensersatz ist in Art. 82 DSGVO geregelt. Betroffene können Ersatz verlangen, wenn ihnen durch einen Datenschutzverstoß ein materieller oder immaterieller Schaden entstanden ist.
In der Praxis geht es fast immer um immateriellen Schaden, also etwa:
- Gefühl des Kontrollverlusts über personenbezogene Daten
- Angst vor Missbrauch (z. B. Phishing, Identitätsdiebstahl)
- Psychische Belastung durch die Datenpanne
Wichtig: Anders als im US-Recht gibt es keinen Strafschadensersatz. Es geht nicht um „Bestrafung“ des Unternehmens, sondern um den tatsächlichen Ausgleich eines Schadens.
Typischer Ablauf nach einer Datenpanne
Wenn es zu einem Data Breach kommt, beginnt für Unternehmen regelmäßig eine Ausnahmesituation:
- Technische Analyse und Schadensbegrenzung
- Prüfung der Meldepflicht an die Aufsichtsbehörde (Frist: 72 Stunden)
- Gegebenenfalls Information der betroffenen Personen
Gerade bei großen Datenbeständen – etwa Online-Shops mit hunderttausenden Kunden – entsteht hier massiver organisatorischer Druck.
Hinzu kommt: Unternehmen befinden sich in dieser Phase oft bereits im Krisenmodus – mit unsicherer IT-Lage, möglichen Umsatzausfällen und erheblichem Zeitdruck.
In der Praxis kann schon die Benachrichtigung aller Betroffenen zur Herausforderung werden – etwa wenn hunderttausende Datensätze betroffen sind und technische oder organisatorische Kapazitäten fehlen.
Parallel dazu beginnt oft schon die nächste Welle: eingehende Schadensersatzforderungen.
Die neue Realität: Viele Forderungen, wenig Substanz?
Was sich deutlich verändert hat: Die Hürde für Betroffene, Ansprüche geltend zu machen, ist gesunken. Heute werden Unternehmen häufig mit langen, teils KI-generierten Schreiben konfrontiert.
Das führt zu zwei Effekten:
- Mehr Anfragen: Die Anzahl der Forderungen steigt deutlich.
- Mehr Aufwand: Auch unbegründete Schreiben müssen geprüft und beantwortet werden.
- Mehr Nachfassaktionen: Auf erste Antworten folgen häufig weitere, teils noch umfangreichere Erwiderungen.
Früher endeten viele Fälle nach einem anwaltlichen Antwortschreiben. Heute wird deutlich häufiger „nachgelegt“ – oft automatisiert oder KI‑gestützt. Inhaltlich sind diese Schreiben nicht selten überladen oder unsauber begründet. Dennoch binden sie Zeit und Ressourcen.
Wie hoch ist der DSGVO-Schadensersatz wirklich?
Die Erwartung vieler Betroffener („1.000 Euro gehen immer“) hält der Realität selten stand.
Bei klassischen Datenpannen – etwa dem Abfluss von E-Mail-Adressen und Kontaktdaten – bewegt sich die Rechtsprechung grob in diesem Rahmen:
- ca. 50 bis 1.500 Euro
Das obere Ende bleibt Ausnahmen vorbehalten. Deutlich höhere Beträge kommen eher bei sensiblen Daten (z. B. Gesundheitsdaten) in Betracht – solche Fälle sind jedoch selten.
Die größte Hürde: Der Nachweis des immateriellen Schadens
Der entscheidende Punkt wird oft unterschätzt: Betroffene müssen ihren Schaden konkret darlegen und beweisen.
Ein bloßer Hinweis auf einen Datenverlust reicht nicht aus. Erforderlich ist beispielsweise:
- konkrete Darstellung von Ängsten oder Beeinträchtigungen
- nachvollziehbare Schilderung persönlicher Auswirkungen
- im Streitfall ggf. eine glaubhafte Aussage vor Gericht
In der Praxis scheitern viele Ansprüche genau hier – insbesondere in gerichtlichen Befragungen, in denen behauptete Ängste oder Belastungen konkretisiert werden müssen.
Externer DSB für Ihr Unternehmen
Sichern Sie sich zuverlässige Unterstützung im Datenschutz – individuell, skalierbar und rechtssicher.
Warum das Thema für Unternehmen trotzdem teuer werden kann
Auch wenn einzelne Forderungen oft gering sind, entsteht die eigentliche Belastung an anderer Stelle:
- Bearbeitung zahlreicher Anfragen („Rückläufer“)
- Anwaltliche Prüfung umfangreicher Schreiben
- Strategische Abwägung: Vergleich oder Verteidigung?
- Wiederholte Kommunikation mit denselben Anspruchstellern über mehrere Runden hinweg
Zudem zeigt die Praxis: Viele Anspruchsteller gehen letztlich nicht vor Gericht – der Aufwand entsteht bereits im Vorfeld durch die intensive Auseinandersetzung.
Viele Unternehmen entscheiden sich im Einzelfall für einen Vergleich, etwa im Bereich von 100 bis 300 Euro – schlicht weil die vollständige Abwehr teurer wäre.
Das Risiko: Wenn sich herumspricht, dass schnell gezahlt wird, kann das weitere Forderungen nach sich ziehen.
Vergleich oder Verteidigung – was ist die richtige Strategie?
Eine pauschale Antwort gibt es nicht. Entscheidend sind:
- Anzahl der Anspruchsteller
- Qualität der vorgetragenen Ansprüche
- Signalwirkung für zukünftige Fälle
In der Praxis zeigt sich: Viele Verfahren lassen sich erfolgreich abwehren – insbesondere, wenn der Vortrag zum immateriellen Schaden nicht trägt. Manche Unternehmen verfolgen bewusst eine konsequente Verteidigungsstrategie, um keine Anreize für weitere Forderungen zu schaffen oder eine „Signalwirkung“ nach außen zu vermeiden.
Gleichzeitig kann ein Vergleich wirtschaftlich sinnvoll sein, um Aufwand zu begrenzen.
Für eine fundierte rechtliche Bewertung im Einzelfall kann spezialisierte Unterstützung entscheidend sein. Mehr dazu finden Sie hier: Fachanwalt IT-Recht: Rechtssicherheit für Software, Daten & digitale Produkte.
Wie Sie sich als Unternehmen sinnvoll aufstellen
Der beste Schutz vor DSGVO-Schadensersatz ist eine saubere Organisation des Datenschutzes – und ein klarer Plan für den Ernstfall.
Sinnvolle Maßnahmen sind unter anderem:
- funktionierendes Incident-Response-Konzept
- klare interne Prozesse bei Datenpannen
- frühzeitige rechtliche Bewertung
Wenn Sie unsicher sind, wie gut Ihr Unternehmen aufgestellt ist, kann ein Datenschutz Check mit kostenfreier Ersteinschätzung helfen, Risiken frühzeitig zu erkennen.
Auch die laufende Betreuung durch einen externen Datenschutzbeauftragten sorgt dafür, dass Sie im Ernstfall nicht erst bei null anfangen.
Fazit: Kein Massenrisiko – aber ein wachsendes Dauerproblem
DSGVO-Schadensersatz ist selten existenzbedrohend, aber zunehmend ein operatives Problem. Nicht die einzelne Forderung ist das Risiko, sondern die Kombination aus Zeitdruck, Masse, wiederholter Kommunikation und steigender Komplexität.
Wer vorbereitet ist und strukturiert reagiert, kann die meisten Fälle sauber lösen – und behält die Kontrolle, auch wenn es einmal hektisch wird.
