Art. 82 DSGVO ist die zentrale Anspruchsgrundlage für Schadensersatz bei Datenschutzverstößen. Er erfasst ausdrücklich auch immaterielle Schäden — verlangt aber mehr als den bloßen Verstoß.
Die Voraussetzungen
Ein Anspruch nach Art. 82 DSGVO setzt voraus:
- einen Verstoß gegen die DSGVO,
- einen Schaden (materiell oder immateriell),
- einen Kausalzusammenhang zwischen Verstoß und Schaden.
Der bloße Verstoß genügt nach der Rechtsprechung nicht — es muss ein konkreter Schaden eingetreten sein. Eine Erheblichkeitsschwelle besteht jedoch nicht; auch ein Kontrollverlust oder begründete Sorge über Datenmissbrauch kann genügen.
Tipp der Redaktion
Dokumentieren Sie den Verstoß und seine Folgen genau: Wann erfuhren Sie davon, welche Daten betroffen waren, welche konkreten Nachteile oder Ängste entstanden. Je konkreter der Schaden geschildert ist, desto eher ist der Anspruch durchsetzbar.
Typische Fallgruppen
- Datenleck/Hackerangriff mit Offenlegung sensibler Daten,
- unbefugte Weitergabe an Dritte,
- unzulässige Werbung oder Profilbildung,
- verweigerte oder verspätete Auskunft (Art. 15 DSGVO).
Beweislast und Exkulpation
Hat die betroffene Person Verstoß und Schaden dargelegt, kann sich der Verantwortliche durch den Nachweis entlasten, dass er den Umstand nicht zu vertreten hat (Art. 82 Abs. 3 DSGVO). Diese Beweislastumkehr stärkt die Position der Betroffenen.
Höhe des Schadensersatzes
Feste Beträge gibt es nicht. Die Höhe richtet sich nach Art, Schwere und Dauer des Verstoßes sowie den konkreten Folgen. Der Schadensersatz hat Ausgleichs-, keine Straffunktion; ein Strafzuschlag ist nicht vorgesehen. Die zugesprochenen Beträge bewegen sich je nach Fall in unterschiedlicher Größenordnung.
Rechtsprechung, Literatur & Kommentierung
- Art. 82 DSGVO: Erfasst sind materielle und immaterielle Schäden; der bloße Verstoß genügt nach der Rechtsprechung des EuGH nicht, eine Erheblichkeitsschwelle besteht aber nicht.
- Kontrollverlust: Nach der Rechtsprechung kann bereits der Verlust der Kontrolle über die eigenen Daten oder die begründete Befürchtung des Missbrauchs einen ersatzfähigen immateriellen Schaden darstellen.
- Art. 82 Abs. 3 DSGVO: Der Verantwortliche haftet nicht, wenn er nachweist, dass er den schadensbegründenden Umstand nicht zu vertreten hat.
- Literatur: Kühling/Buchner, DS-GVO/BDSG; Gola/Heckmann, DS-GVO; BeckOK Datenschutzrecht.