Bloßer Kontrollverlust reicht für DSGVO-Schadensersatz aus

Der Bundesgerichtshof (BGH) hat mit Urteil vom 11. Februar 2025 (Az. VI ZR 365/22) ein wegweisendes Urteil zur Reichweite des Schadensersatzanspruchs nach Art. 82 DSGVO gefällt. Die Entscheidung markiert einen Paradigmenwechsel im deutschen Datenschutzrecht. Erstmalig hat das höchste deutsche Zivilgericht klargestellt, dass bereits ein bloßer Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen kann, der ersatzpflichtig ist.

Im Mittelpunkt stand dabei eine langjährige Verletzung datenschutzrechtlicher Vorgaben in einem sensiblen Bereich: dem Zugriff auf die Personalakte einer Bundesbeamtin durch nicht autorisierte Landesbedienstete. Die Entscheidung des BGH rückt die Bedeutung des Grundrechts auf Datenschutz in den Fokus und konkretisiert die Anforderungen an die Durchsetzung von Betroffenenrechten.

Der Sachverhalt im Detail

Die Klägerin, eine Bundesbeamtin aus Hannover, war bei einer Bundesbehörde beschäftigt. Ihre Personalakte wurde jedoch nicht ausschließlich von der zuständigen Bundesdienststelle verwaltet, sondern über viele Jahre hinweg auch von Bediensteten des Landes Niedersachsen bearbeitet. Diese Bearbeitung erfolgte ohne gesetzliche oder vertragliche Grundlage und war datenschutzrechtlich unzulässig. Die Personalakte enthielt selbstverständlich zahlreiche sensible Informationen – u.a. zu Gesundheit, Familienstand, Beurteilungen, Besoldung und Disziplinarmaßnahmen.

Erst im Jahr 2019 – und damit nach Inkrafttreten der DSGVO am 25. Mai 2018 – wurde diese rechtswidrige Praxis durch eine Organisationsverfügung beendet. Anlass war die Intervention des Bundesdatenschutzbeauftragten, der die unbefugte Datenverarbeitung beanstandet hatte.

Die Beamtin klagte gegen die Bundesrepublik Deutschland auf Feststellung eines Schadensersatzanspruchs nach Art. 82 Abs. 1 DSGVO. Sie sah sich durch die langjährige, unberechtigte Zugänglichkeit ihrer Akte in ihrem Grundrecht auf Datenschutz verletzt. Die Vorinstanzen – Landgericht und Oberlandesgericht – wiesen die Klage jedoch mit der Begründung ab, dass kein konkreter immaterieller Schaden erkennbar sei.

Die Entscheidung des Bundesgerichtshofs

Der BGH hob die Entscheidungen der Vorinstanzen auf und gab der Klage statt. Die Richter in Karlsruhe fanden klare Worte und trafen mehrere grundsätzliche Aussagen, die für die gesamte Datenschutzpraxis weitreichende Konsequenzen haben:

1. Der bloße Kontrollverlust ist ein Schaden im Sinne des Art. 82 DSGVO

Der BGH stellt klar:

„Schon der bloße Kontrollverlust kann, wie der Senat in Umsetzung der jüngeren Rechtsprechung des Gerichtshofs der Europäischen Union entschieden hat, einen ersatzfähigen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO darstellen.“

Damit folgt der BGH der weitaus victimenfreundlicheren Auslegung des EuGH. Das Argument der Vorinstanzen, ein Schadensersatzanspruch setze eine zusätzliche Beeinträchtigung des Persönlichkeitsrechts voraus, weist der BGH zurück:

„Anders als das Berufungsgericht meint, muss der Verpflichtung zum Ausgleich keine über diesen Kontrollverlust hinausgehende „benennbare und insoweit tatsächliche Persönlichkeitsrechtsverletzung gegenüberstehen. Auch muss der Beeinträchtigung des Betroffenen kein besonderes Gewicht zukommen (...).“

Die Entscheidung ist damit ein deutliches Bekenntnis zur autonomen Bedeutung des Datenschutzgrundrechts: Wer die Kontrolle über seine personenbezogenen Daten verliert – auch ohne dass diese an die Öffentlichkeit geraten – ist in seiner Grundrechtsposition betroffen. Diese Beeinträchtigung reicht aus, um einen immateriellen Schaden im Sinne von Art. 82 DSGVO anzunehmen.

2. Der Schadensbegriff der DSGVO ist autonom und weit

Der BGH betont darüber hinaus, dass Art. 82 DSGVO nicht durch nationale Vorgaben eingeschränkt werden darf. Es sei nicht erforderlich, dass Betroffene zuvor andere nationale Rechtsbehelfe ausschöpfen, z. B. eine Amtshaftungsklage nach § 839 BGB:

„Der Anspruch aus Art. 82 DSGVO ist nicht mit dem Amtshaftungsanspruch zu begrenzen. Die Klägerin muss also nicht zuerst andere Rechtsmittel ausschöpfen.“

Damit macht der BGH deutlich, dass es sich bei der DSGVO um ein unmittelbar anwendbares europäisches Regelwerk handelt, das unabhängig von nationalem Schadensrecht durchgesetzt werden kann.

3. Verschwiegenheitspflicht der Bediensteten schließt Schaden nicht aus

Ein zentrales Argument der Vorinstanzen war, dass kein ersatzfähiger Schaden vorliege, da die Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet gewesen seien. Auch dieses Argument überzeugte den BGH nicht:

„Der vom Berufungsgericht angeführte Umstand, dass auch die mit Personalangelegenheiten betrauten Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet waren, steht der Annahme eines Schadens dem Grunde nach nicht entgegen, sondern wird erst bei der Bemessung der Höhe des zu leistenden Schadensersatzes (...) zu berücksichtigen sein.“

Damit ist klar: Schon der unbefugte Zugriff auf personenbezogene Daten kann einen Schaden begründen – selbst wenn diese Daten nicht weiterverbreitet oder missbraucht werden. Die Art der Datenverarbeitung (rechtmäßig/unrechtmäßig) ist entscheidend, nicht die Intention oder Vertrauenswürdigkeit der handelnden Personen.

Relevanz und praktische Folgen der Entscheidung

Die Entscheidung hat erhebliche praktische Auswirkungen:

Für Betroffene:

• Die Hürde für immateriellen Schadensersatz wurde deutlich gesenkt.
• Es genügt, einen tatsächlichen Kontrollverlust über personenbezogene Daten nachzuweisen.
• Die Notwendigkeit, darüber hinaus weitere Folgen wie Angst, Stigmatisierung oder Reputationsverlust zu belegen, entfällt.

Für Öffentliche Stellen und Unternehmen:

• Datenschutzverstöße können auch ohne Datenpanne nach außen ersatzpflichtig sein.
• Interne Abläufe, insbesondere bei Zugriffsberechtigungen, müssen datenschutzkonform organisiert und dokumentiert werden.
• Das Urteil unterstreicht die Pflicht, die Verarbeitung personenbezogener Daten streng nach dem Need-to-know-Prinzip zu gestalten.

Fazit: Neue Standards für immateriellen Schaden nach Art. 82 DSGVO

Mit dem Urteil VI ZR 365/22 schafft der BGH Rechtsklarheit und orientiert sich konsequent an der Rechtsprechung des EuGH. Der bloße Kontrollverlust über personenbezogene Daten ist nunmehr als immaterieller Schaden im Sinne der DSGVO anerkannt. Betroffene werden damit in ihrer Rechtsposition gestärkt, während Verantwortliche angehalten sind, ihre Datenschutzorganisation zu überprüfen und gegebenenfalls zu verbessern.

Der Fall zeigt: Datenschutz ist Grundrechtsschutz – nicht nur in der Theorie, sondern auch in der Praxis. Und wo dieses Recht verletzt wird, muss es auch zu einem Ausgleich kommen. Das Urteil des BGH ist daher nicht weniger als ein Meilenstein im Datenschutzrecht.