Datenschutz schadensersatz art 82 dsgvo

Datenschutz Schadensersatz — Gerichtsstreit nach Art. 82 DSGVO

Wann dieses Modul hilft / Kaltstart-Fragen

Sie brauchen den Skill, sobald (a) ein Betroffener Schadensersatz vom Mandanten verlangt oder (b) der Mandant gegen einen Verantwortlichen vorgehen will.

Sieben-Fragen-Diagnose:

1. Anspruchsteller oder Anspruchsgegner? Andere Schritte je nach Seite.
2. Welcher konkrete Verstoss? Norm und Sachverhalt — nicht pauschal "DSGVO verletzt".
3. Kausalitaet: Welcher Schaden hat sich aus welchem Verstoss konkret entwickelt? Kausalkette schriftlich.
4. Schadensart: Materiell (Vermögen) und/oder immateriell (Gefuehl, Kontrollverlust, Sorge)? Höhe geschaetzt?
5. Beweislast: Wer muss was beweisen — Verantwortlicher entlastet sich nach Art. 82 III DSGVO, dass er nicht verantwortlich ist; Kläger muss Verstoss und Schaden darlegen.
6. Verjährung: Art. 82 selbst regelt nichts; nach BGH-Rspr. § 195 BGB drei Jahre ab Kenntnis.
7. Anspruchskonkurrenz: UWG, BDSG § 83, deliktische Ansprueche §§ 823 ff. BGB?

Rechtlicher Rahmen

• Art. 82 I DSGVO Jede Person, die einen materiellen oder immateriellen Schaden erlitten hat, hat Anspruch gegen den Verantwortlichen oder Auftragsverarbeiter.
• Art. 82 II DSGVO Verantwortlicher haftet für Schaeden aus Verarbeitungen; Auftragsverarbeiter nur bei Pflichtverletzung gegen DSGVO-Auftragsverarbeiterspflichten oder Weisung.
• Art. 82 III DSGVO Entlastung des Verantwortlichen oder Auftragsverarbeiters bei Nachweis, in keinerlei Hinsicht verantwortlich.
• Art. 82 IV DSGVO Gesamtschuld bei mehreren Verantwortlichen.
• EuGH C-300/21 Oesterreichische Post (Urteil 04.05.2023): Kein blosser Verstoss reicht; konkreter Schaden notwendig; keine Erheblichkeitsschwelle.
• EuGH C-340/21 Bulgarian Sofia (Urteil 14.12.2023): Auch blosse Sorge vor Datenmissbrauch kann immaterieller Schaden sein; Verantwortlicher hat TOM-Pflicht und Beweislast für Geeignetheit; Hackerangriff allein entlastet nicht.
• EuGH C-687/21 MediaMarkt (Urteil 25.01.2024): Befürchtungen Betroffener können Schaden begruenden; konkretes Ausmass und Kausalitaet sind zu prüfen.
• EuGH, Urt. v. 11.04.2024 - C-741/21 (juris GmbH): Verschulden und Schaden — Art. 82 DSGVO setzt Verschulden voraus; Höhe nach nationalem Recht, aber unter Beachtung Effektivitaet und Äquivalenz.
• EuGH C-456/22 VX/Saale (Urteil 14.12.2023): Schadensersatz hat kompensatorische und keine Straffunktion; auch geringe Schadenshoehen möglich.
• BGH, Urteil vom 18.11.2024 - VI ZR 10/24: Schon ein nachgewiesener kurzzeitiger Kontrollverlust kann ein immaterieller Schaden sein; eine missbräuchliche Verwendung oder zusätzliche spürbare Nachteile sind nicht erforderlich. Anspruchsteller müssen den tatsächlichen Kontrollverlust und dessen Verursachung durch den Verstoß darlegen und beweisen.
• Art. 79 II DSGVO Gerichtsstand am Sitz des Verantwortlichen oder gewoehnlichen Aufenthaltsort des Betroffenen.
• § 195 BGB drei Jahre.

Mandantenfuehrung Schritt-für-Schritt

Klägerseite

1. Zuerst: Beleg-Akte anlegen — Mailverkehr, Screenshots, Auskunftsersuchen nach Art. 15 DSGVO mit Antwort.
2. Als zweites: Schadensdarstellung konkretisieren — Gefuehlssituation, zeitlicher Verlauf, Folgen (Sorge, Kontrollverlust, Aengste, konkrete Aufwendungen).
3. Als drittes: Klageweg bestimmen. Artikel 79 Absatz 2 DSGVO regelt den unionsrechtlichen Gerichtsstand, nicht die sachliche Zuständigkeit; diese folgt im ordentlichen Rechtsweg grundsätzlich aus Paragrafen 23 Nummer 1, 71 Absatz 1 GVG mit Amtsgericht bis einschließlich 10.000 Euro. Bei Beschäftigtendaten den Rechtsweg zu den Arbeitsgerichten gesondert prüfen.

Beklagtenseite

1. Zuerst: Klageerwiderungsfrist sichern (§ 277 ZPO).
2. Als zweites: Tatbestand prüfen — Verstoss nachweisbar? TOM Art. 32 dokumentiert? Belege für entlastenden Nachweis Art. 82 III?
3. Als drittes: Kausalitaet und Schaden bestreiten — Erhalt von Spam-Mails, Wechselgefuehle ohne konkrete Folge sind nach EuGH C-300/21 nicht ausreichend; aber Sorge kann nach EuGH C-340/21 reichen.
4. NICHT vorschnell anerkennen: Auch nicht "aus Goodwill", da Praezedenz für weitere Verfahren.
5. Vergleich erwaegen: Bei klarer Beweislast lieber Vergleich als Praezedenzurteil.

Trade-off-Matrix

Variante	Vorteil	Nachteil
Klage mit hohem Streitwert	Maximale Forderung	Hohe Vorschuesse, Risiko Klageabweisung
Streitwertbegrenzung Amtsgericht	Schnell, kostenarm	Reicht oft nicht für Praezedenz
Vergleich vor Klage	Schnelle Erledigung	Keine Klärung, Wiederholungsrisiko
Vollstaendige Verteidigung	Praezedenz, klare Rechtslage	Reputationsrisiko, Folgeklagen

Mustertexte

Klageschrift (Kerntext)

Klage wegen Schadensersatzes nach Art. 82 DSGVO

Kläger: [Person, Anschrift] Beklagte: [Verantwortlicher, Anschrift] Streitwert: vorlaeufig [Betrag]

Antrag: Die Beklagte wird verurteilt, an die Klägerseite [Betrag] nebst Zinsen in Höhe von fuenf Prozentpunkten über dem Basiszinssatz seit Rechtshaengigkeit zu zahlen.

Begruendung: I. Sachverhalt (konkret Vorfall, Datum, Datenkategorie). II. Rechtlicher Rahmen (Art. 82 I DSGVO, EuGH C-300/21, EuGH C-340/21). III. Konkrete Pflichtverletzung (DSGVO-Norm). IV. Kausaler Schaden (immateriell mit Sorge, Kontrollverlust; materiell mit konkretem Betrag). V. Höhe (Begruendung der Schaetzung). VI. Gerichtsstand Art. 79 II DSGVO.

Klageerwiderung — Kernpunkte

1. Verstoss bestreiten oder relativieren (welche DSGVO-Norm konkret und Subsumtion).
2. Schaden differenziert bestreiten: Ist ein tatsächlicher Kontrollverlust bewiesen, sind nach BGH VI ZR 10/24 keine zusätzlichen spürbaren Folgen erforderlich. Fehlt ein Kontrollverlust, müssen eine begründete Missbrauchsbefürchtung und ihre negativen Folgen substantiiert und bewiesen sein.
3. Kausalitaet bestreiten — auch bei TOM-Pflichtverletzung muss Schaden konkret aus Verletzung resultieren.
4. Entlastung Art. 82 III: TOM Art. 32 lagen vor (Anlage), Maßnahmen waren angemessen.
5. Verjährung prüfen (§ 195 BGB).
6. Hilfsweise Minderung der Höhe (EuGH C-456/22: kompensatorisch, nicht praeventiv).

Typische Fehler

• Einen bloß behaupteten mit einem bewiesenen Kontrollverlust gleichsetzen; BGH VI ZR 10/24 verlangt den Nachweis des Kontrollverlusts, aber keine zusätzlichen spürbaren Folgen.
• TOM-Pflicht Art. 32 unterschaetzt — Beklagte muss Maßnahmen aktiv belegen.
• Verschuldensfrage nach EuGH C-741/21 uebersehen.
• Streitwert zu hoch angesetzt — bei AG-Zuständigkeit Vorbehalt.
• Verjährung nicht gerueckpruefte (§ 195 BGB drei Jahre ab Kenntnis).

Was triggert hohe Schadensersatzbetraege? Art. 9-Daten, Massenvorfall, nachweisbare Kettenfolge (Identitaetsdiebstahl), fehlende Reaktion des Verantwortlichen, kein DSB.

Quellen Stand 06/2026

• DSGVO Art. 79, 82, 83.
• BGB § 195, § 199, § 823, § 826.
• BGH, Urteil vom 18.11.2024 - VI ZR 10/24 (Kontrollverlust als immaterieller Schaden; Nachweis und Bemessung).
• EuGH C-300/21 Oesterreichische Post, Urteil 04.05.2023.
• EuGH C-340/21 Bulgarian Sofia, Urteil 14.12.2023.
• EuGH C-687/21 MediaMarkt, Urteil 25.01.2024.
• EuGH, Urt. v. 11.04.2024 - C-741/21 (juris GmbH), vor Ausgabe über curia.europa.eu verifizieren.
• EuGH C-456/22 VX gegen Saale, Urteil 14.12.2023.
• Keine Aufsatzfundstellen aus Modellwissen.