BECKMANN UND NORDA - Rechtsanwälte Bielefeld

BGH
Urteil vom 23.06.2026
VI ZR 97/22
DSGVO Art. 82 Abs. 1; GG Art. 1 Abs. 1, Art. 2 Abs. 1; BGB § 823, § 1004 Abs. 1

Der BGH hat entschieden, dass die versehentliche Fehlleitung einer Chat-Nachricht mit vertraulichen Gehalts- und Bewerbungsdaten an einen unbeteiligten Dritten einen immateriellen Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO begründet. Ein Unterlassungsanspruch besteht hingegen nicht, wenn das konkrete Bewerbungsverfahren abgeschlossen ist, da nach Ansicht des BGH dann keine Wiederholungsgefahr mehr besteht.

Leitsätze des BGH:
a) Zum Begriff des immateriellen Schadens im Sinne von Art. 82 DSGVO.

b) Zu den Voraussetzungen eines Unterlassungsanspruchs nach nationalem Recht, der sich gegen eine erneute Übermittlung personenbezogener Daten unter Verstoß gegen die Datenschutz-Grundverordnung richtet.

BGH, Urteil vom 23. Juni 2026 - VI ZR 97/22 - OLG Frankfurt a.M. LG Darmstadt

Den Volltext der Entscheidung finden Sie hier:

ArbG Siegburg
Urteil vom vom 22.05.2026
1 Ca 1741/25

Das ArbG Siegburg hat entschieden, dass eine Stationsärztin, die die Diagnosen eines krankgemeldeten Kollegen in einer von mehreren Klinikärzten genutzten WhatsApp-Gruppe geteilt und dessen Erkrankung ins Lächerliche gezogen hat, dem Betroffenen einen immateriellen Schadensersatz in Höhe von 1.000 EUR zahlen muss.

Die Pressemitteilung des Gerichts:
Arbeitsgericht Siegburg: Diagnosen in WhatsApp-Chat geteilt – Ärztin muss ihrem Kollegen Schadensersatz zahlen

Verbreitet eine Ärztin in einer WhatsApp-Gruppe in einem Krankenhaus Gesundheitsdaten eines Kollegen, muss sie diesem Schadensersatz zahlen. Dies entschied das Arbeitsgericht Siegburg am 22.05.2026 in einem nunmehr veröffentlichten Urteil.

Der Kläger war als Arzt in Weiterbildung in einer Klinik beschäftigt. Die Beklagte ist dort Stationsärztin. Es existierte eine WhatsApp-Chatgruppe von mehreren Ärzten, in der die Urlaubsplanung, Krankmeldungen und Dienstübernahmen abgesprochen wurden. Der Kläger ließ sich in der Klinik untersuchen und meldete sich vor einem Wochenenddienst krank. Die Beklagte musste seinen Dienst übernehmen und tat ihrem Unmut darüber in der WhatsApp-Gruppe kund. Dabei schrieb sie die Diagnosen des Klägers in den Chat sowie ihre Vermutung, er sei gar nicht krank, sondern habe nur „einen Pups quer sitzen“. Der Kläger verklagte seine Kollegin wegen Datenschutzverstößen auf Unterlassung und Schadensersatz.

Mit Urteil vom 22.05.2026 gab das Arbeitsgericht Siegburg der Klage größtenteils statt. Die Beklagte habe personenbezogene Gesundheitsdaten des Klägers ohne Berechtigung weitergegeben. Dies sei nicht zulässig. Die für einen Unterlassungsanspruch notwendige Wiederholungsgefahr sah die Kammer als gegeben an, auch wenn der Kläger inzwischen woanders tätig ist. Die Beklagte zeigte sich im Gerichtstermin uneinsichtig und ließ kein Bewusstsein für ein eigenes Fehlverhalten erkennen. Zudem muss sie dem Kläger, dessen Diagnosen geteilt wurden und der vor den anderen Kollegen wegen seiner Erkrankung ins Lächerliche gezogen worden war, einen immateriellen Schadensersatz von 1.000 EUR zahlen.

Die Entscheidung ist noch nicht rechtskräftig. Gegen das Urteil kann Berufung beim Landesarbeitsgericht Köln eingelegt werden.

Arbeitsgericht Siegburg – Aktenzeichen 1 Ca 1741/25 vom 22.05.2026.

BGH
Urteil vom 12.05.2026
VI ZR 375/24
DSGVO Art. 6 Abs. 1 Unterabs. 1 Buchst. f, Art. 17 Abs. 1 Buchst. d, Art. 19 Satz 1, Art. 82 Abs. 1; BGB § 823 Abs. 1 Ah, § 1004 Abs. 1 Satz 1

Der BGH hat entschieden, dass die Übermittlung personenbezogener Daten zu einer bestrittenen und nicht plausibel dargelegten Forderung an die SCHUFA gegen Art. 6 Abs. 1 lit. f DSGVO verstößt und dem Betroffenen einen Folgenbeseitigungsanspruch auf Widerruf der Einmeldung gibt. Ein immaterieller Schaden nach Art. 82 DSGVO liegt bereits dann vor, wenn die rechtswidrige Einmeldung den SCHUFA-Score-Wert des Betroffenen beeinträchtigt und dadurch Vertragsanbahnungen gescheitert sind – ohne dass der Schaden allein oder maßgeblich auf der Einmeldung beruhen muss. Für einen Kontrollverlust als immateriellen Schaden genügt es, dass die Daten an die SCHUFA übermittelt wurden und dadurch die Gefahr weiterer Übermittlungen an eine unbestimmte Zahl von Dritten entstanden ist.

Leitsätze des BGH:
a) Zur Zulässigkeit der Übermittlung personenbezogener Daten im Rahmen der Meldung einer behaupteten offenen Forderung an eine Wirtschaftsauskunftei.

b) Werden personenbezogene Daten zu behauptet offenen Forderungen an eine Wirtschaftsauskunftei rechtswidrig übermittelt, kann dem Betroffenen gegen den Übermittelnden ein Folgenbeseitigungsanspruch in Form des Widerrufs der Einmeldung zustehen.

c) Zum Begriff des immateriellen Schadens im Sinne von Art. 82 DSGVO.

BGH, Urteil vom 12. Mai 2026 - VI ZR 375/24 - OLG Schleswig - LG Kiel

Den Volltext der Entscheidung finden Sie hier:

LG Karlsruhe
Urteil vom 20.05.2026
8 O 266/25

Das LG Karlsruhe hat entschieden, dass ein Verkäufer beim Versand von Rechnungen per E-Mail nicht verpflichtet ist, eine Ende-zu-Ende-Verschlüsselung zu verwenden, und deshalb nicht haftet, wenn unbekannte Dritte die Rechnung abfangen und die Bankverbindung manipulieren. Eine solche Verschlüsselung entspricht weder den üblichen Sicherheitserwartungen im Geschäftsverkehr noch ergibt sie sich aus der DSGVO. Auch ein Schadensersatzanspruch nach Art. 82 DSGVO scheidet aus, weil nicht die personenbezogenen Daten der Käufer verarbeitet wurden, sondern die Bankverbindungsdaten der Beklagten manipuliert wurden.

Aus den Entscheidungsgründen:
II. Die Klage ist auch hinsichtlich des hilfsweise begehrten Schadensersatzes abzuweisen. Den Klägern steht unter keinem rechtlichen Gesichtspunkt ein Anspruch auf Erstattung des fehlerhaft an die O-Bank überwiesenen Geldbetrages in Höhe von 109.185,00 € zu.

1. Ein Anspruch besteht nicht aufgrund der außergerichtlichen Antwortmail der Beklagten vom 14.04.2023 (Anlage zum Protokoll), in der die Beklagte mitteilte, dass der Auftrag storniert werde und „sollten irgendwelche Kosten entstehen“ dies nicht das Problem des Klägers sei, sondern diese von der Beklagten zu tragen sein sollten.

In dieser Erklärung kann aber aus der Sicht eines objektiven Erklärungsempfängers nach §§ 133, 157 BGB kein Einstandswillen der Beklagten dahingehend gesehen werden, für alle Schäden in dem Zusammenhang aufzukommen. Zum einen stammt die E-Mail von einem Zeitpunkt, in dem die Überweisung bereits getätigt war, sodass schon vom Wortlaut her „Kosten entstehen“ nicht umfasst ist. Die Kosten waren zu diesem Zeitpunkt bereits entstanden. Zum anderen ist es fernliegend, dass die Beklagte damit erklären wollte, für alle Schäden einzustehen, wo doch beide Parteien davon ausgingen, dass unbekannte Dritte die Rechnung gefälscht hatten.

2. Ein Anspruch besteht auch nicht aus einer kaufvertraglichen Nebenpflichtverletzung der Beklagten mit den Folgen eines Schadensersatzes nach §§ 280 Abs. 1, 241 Abs. 2 BGB.

Gem. § 241 Abs. 2 BGB kann das Schuldverhältnis nach seinem Inhalt jeden Teil zur Rücksicht auf die Rechte, Rechtsgüter und Interessen des anderen Teils verpflichten. Soweit sich solche Nebenpflichten also nicht aus besonderen gesetzlichen Vorschriften ergeben, können sich diese lediglich aus dem Inhalt des Vertrages ergeben. Dabei sind zunächst allgemeine Schutz-, Fürsorge- und Obhutspflichten als Nebenpflichten dergestalt anerkannt, dass jede Partei bei der Abwicklung des Schuldverhältnisses sich so zu verhalten hat, dass Körper, Leben, Eigentum, Vermögen und sonstige Rechtsgüter des anderen Teils nicht verletzt werden (BGH NJW 1983, 2813; KG NJW 1985, 2137; Soergel/Teichmann § 242 Rn. 178; BeckOGK/Fritzsche/Harman Rn. 346, BeckOK BGB/Sutschet, 77. Ed. 1.2.2026, BGB § 241 Rn. 89, beck-online).

a) Eine solche Pflichtverletzung, für die die Kläger schon nach den allgemeinen Grundsätzen darlegungs- und beweisbelastet sind, ist vorliegend nicht dargetan. Anders als die Kläger meinen, war die Beklagte bei der Übersendung der Rechnung vertraglich nicht dazu verpflichtet, eine Ende-zu-Ende-Verschlüsselung (E2EE) zu verwenden, um einem entsprechenden Missbrauch vorzubeugen.

Wie bereits ausgeführt, erfolgte der Vertragsschluss zwischen den Parteien mündlich durch Einigung der Beklagten mit dem von der Klägerseite beauftragten Vertreter. Besondere Vereinbarungen zur Tilgung des geschuldeten Kaufpreises haben die Parteien hierzu nicht getroffen, jedenfalls sind solche nicht vorgetragen. Bei lebensnaher Auslegung des vorgetragenen Sachverhalts ist jedoch anzunehmen, dass die Parteien eine Überweisung auf das Bankkonto der Beklagten vorsahen, so wie dies letztlich korrekt in der nachträglich übersendeten postalischen Rechnung mitgeteilt wurde. Konkrete gesetzliche Vorgaben für Sicherheitsvorkehrungen beim Versand von E-Mails im geschäftlichen Verkehr gibt es nicht (vgl. OLG Karlsruhe, Urteil vom 27.7.2023 – 19 U 83/22 in MMR 2023, 761 Rn. 29, beck-online). Welches Maß an Sicherheitsvorkehrungen von der Beklagten zu fordern war, bestimmt sich daher nach den berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung der Zumutbarkeit (ebd.). Dabei muss berücksichtigt werden, welche Erwartungen konkret die jeweiligen Vertragspartner tatsächlich haben.

Im Rahmen der informatorischen Anhörung gab der Kläger zu 1 selbst an, dass er von dem beauftragten Freund angewiesen worden sei, die E-Mail-Adresse mitzuteilen, damit alles geschickt werden könne. Er sollte auch eine Kopie des Personalausweises mitschicken. Dass die Kläger hier ihrerseits besonderen Wert auf sichere Übertragungswege gelegt hätten, ergibt sich daraus nicht, obwohl gar eine Ausweiskopie mit übersandt wurde. Letztlich war es auch der Kläger zu 1, der nach Erstattung einer Anzeige zur Einleitung eines Ermittlungsverfahrens nochmal unverschlüsselten Kontakt mit der Beklagten per E-Mail am 14.04.2026 (Anlage zum Protokoll) aufgenommen hatte. Selbst in Kenntnis des Umstandes, dass die in der E-Mail abgesandten Rechnungen „abgegriffen“ worden waren und die IBAN ausgetauscht wurde, war es der Kläger zu 1, der in seiner E-Mail wesentliche Informationen zum bisherigen Verfahrensstand mit sensiblen Daten an die Beklagte übersandte und hierin unter Nennung seiner privaten Postadresse um Übersendung der schriftlichen Originalrechnungen per Brief bat. Mit anderen Worten hatten die Kläger selbst zu einem Zeitpunkt, als sie schon offensichtlich Opfer einer Straftat wurden, noch keine Notwendigkeit einer verschlüsselten Kommunikation gesehen. Offenbar wird dies letztlich auch darin, dass der Kläger zu 1 am Tag der Überweisung am 05.04.2023 eine unverschlüsselte E-Mail (Anlage K5) an die Beklagte übersandte, die zum Inhalt sowohl die jeweiligen Rechnungsnummern, als auch die Kundennummer, den Klarnamen und auch die absendende Bank mit IBAN und BIC enthält. Dabei kann ihnen hieraus kein Vorwurf gemacht werden, denn es obliegt im Wesentlichen den Klägern, welche Sicherungsvorkehrung sie in ihren Geschäften für erforderlich halten, nur verdeutlicht dies, dass die Kläger im Vorfeld unter keinen Umständen die Erwartungshaltung gehegt haben konnten, dass die Rechnungen mit besonderer Verschlüsselungstechnik per E-Mail zu übersenden seien.

b) Eine (kausale) Pflichtverletzung kann auch nicht darin gesehen werden, dass die Beklagte auf die Mitteilung des Klägers zu 1, dass das Geld bereits überwiesen worden sei (Anlage K5), lediglich mit „besten Dank für die Info“ antwortete. Diese Antwort geschah bereits zu einem Zeitpunkt, zu dem das Geld bereits irrtümlicherweise überwiesen und der Schaden bereits eingetreten war.

3. Den Klägern steht auch kein Schadensersatz gem. Art. 82 DSGVO auf Erstattung des fehlerhaft überwiesenen Zahlbetrages zu. Zwar hatte das Oberlandesgericht Schleswig mit Urteil vom 18.12.2024 (12 U 9/24) in einem grundsätzlich vergleichbaren Fall, in dem der Überweisungsbetrag von 14.924,20 € nach Manipulation einer Rechnung durch kriminell handelnde Dritte auf das Konto eines Dritten gutgeschrieben wurde, dem Werkbesteller einen Schadensersatz in Höhe des Überweisungsbetrages gem. Art. 82 DSGVO zugesprochen, der der nicht erfüllten Werklohnforderung des Werkunternehmers gem. § 242 BGB entgegengehalten werden kann. Dem kann aus verschiedenen Gründen aber nicht gefolgt werden.

a) Zunächst setzt auch der Schadensersatzanspruch nach Art. 82 DSGVO einen Verstoß gegen die Datenschutzgrundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß voraus, wobei diese drei Voraussetzungen kumulativ sind (EuGH, Urteil vom 4. Oktober 2024 – C-507/23). Die Darlegungs- und Beweislast für diese Voraussetzungen trifft die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines (immateriellen) Schadens verlangt (BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 21, beck-online).

Da Art. 82 Abs. 1 DSGVO den Verstoß gegen die DSGVO sanktioniert, ist die Eröffnung des Anwendungsbereichs der DSGVO impliziert. Dieser ist vorliegend aber weder eröffnet noch ist deren Schutzzweck betroffen. Dabei ist die Frage, ob ein Verstoß gegen die Datenschutzgrundverordnung im Sinne des Art. 82 Abs. 1 DSGVO auch eine entsprechende Datenverarbeitung erfordert, bislang höchstrichterlich nicht entschieden (offen gelassen: BGH Urt. v. 18.11.2024 – VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 21, beck-online). Das erkennende Gericht hält eine solche aber für erforderlich.

Gem. Art. 2 Abs. 1 DSGVO kommt die Verordnung dann zur Anwendung, wenn personenbezogene Daten verarbeitet oder gespeichert werden sollen. Personenbezogene Daten sind in Art. 4 Nr. 1 DSGVO als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen“ definiert. Dies setzt wiederum voraus, dass bei einer Verarbeitung gegen die DSGVO verstoßen worden sein muss (vgl. Ehmann/Selmayr/Nemitz, 3. Aufl. 2024, DS-GVO Art. 82 Rn. 12, beck-online). Dies deckt sich auch mit der verordnungsgebenden Intention, wenn es in Erwägungsgrund Nr. 146 heißt „der Verantwortliche oder der Auftragsverarbeiter sollte Schäden, die einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht, ersetzen“ ([VO (EU) 2016/679] [Vorbemerkung], beck-online).

Hiernach ist also im vorliegenden Fall weder Schutzbereich noch Schutzzweck der Norm eröffnet, denn die in Art. 2 Nr. 1 DSGVO vorausgesetzte Verarbeitung von Informationen einer natürlichen Person ist nicht gegeben. Denn nicht die auf den Kläger bezogenen Daten wurden geändert und damit verarbeitet, sondern die Bankverbindungsdaten der Beklagten. Diese unterfallen jedoch nicht dem Schutzbereich der Datenschutzgrundverordnung, zumal es sich bei der Beklagten schon nicht um eine natürliche Person im Sinne vorgenannter Vorschrift handelt (vgl. auch Veeck, ZD 2025, 284). Allein anhand dieser Daten kann zudem ein Rückschluss auf die Kläger aber nicht gezogen werden (so auch Pauly, ZfBR 2025, 629; OLG Karlsruhe Urteil vom 27.07.2023 - 19 U 83/22; LG Rostock Urteil vom 20.11.2024 – 2 O 450/24 in NJW 2025, 2039, beck-online). Zwar ist es zutreffend, dass das Datenschutzrecht nicht die zu verarbeitenden Informationen an sich schützt, sondern die natürliche Person, deren Daten verarbeitet werden sollen (so Hessel/Prgomet in Rdi 2025, 221), dies setzt aber auch hiernach voraus, dass die Daten der natürlichen Person auch verarbeitet worden sein müssen. Zwar legt Art. 4 Nr. 2 DSGVO ein weites Verständnis der Verarbeitung nahe, gleichwohl sind hier die personenbezogenen Daten der Kläger allenfalls zufällig betroffen, denn der Schaden entstand nicht durch eine Veränderung der Daten der Kläger, sondern durch die kriminelle Veränderung der Bankverbindungsdaten der Beklagten durch Dritte. Für das Eintreten des Schadens war eine Veränderung oder Verarbeitung der Daten der Kläger nicht erforderlich, vielmehr war deren Integrität gerade wesentliche Voraussetzung für die Entstehung. Denn nur wenn die Daten der Kläger unverändert blieben, konnten diese in die Reichweite der unbekannten Dritten und damit in einen Bereich gelangen, in dem der Schaden eintreten konnte. Mit anderen Worten entsteht der Schaden nicht wegen der Verletzung personenbezogener Daten, sondern der Schaden aktiviert eine lediglich zufällige Betroffenheit (vgl. Schwarz in MMR 2025, 369).

b) Selbst wenn man aber eine Anwendbarkeit der DSGVO unterstellte (so etwa Hessel/Prgomet in Rdi 2025, 221; BeckOK DatenschutzR/Quaas, 55. Ed. 1.2.2026, DS-GVO Art. 82 Rn. 13b, beck-online), läge jedenfalls kein Verstoß gegen die der Beklagten obliegenden Pflichten vor. Ein solcher wäre im Übrigen von den darlegungs- und beweisbelasteten Klägern nicht nachgewiesen.

a) Die Beklagte war nach der DSGVO nicht dazu verpflichtet, die streitgegenständlichen Rechnungen mittels Ende-zu-Ende-Verschlüsselung zu versenden.

Die DSGVO legt unter anderem in Art 24 Abs. 1 DSGVO dem Verantwortlichen auf „unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um[zusetzen], um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt“. Nach Art. 24 Abs. 2 DSGVO muss der Verantwortliche daneben präventiv tätig werden und geeignete Datenschutzvorkehrungen treffen, welche in einem angemessenen Verhältnis zur Verarbeitungstätigkeit stehen müssen. Ein definitives Schutzniveau oder ein bestimmtes Sicherungsmittel zur Herstellung des Schutzes bestimmt die DSGVO ausdrücklich nicht. Vielmehr stellt die DSGVO das Maß an zu treffende Sicherheitsvorkehrungen unter das Prinzip der Verhältnismäßigkeit, ohne die zu berücksichtigenden Interessen in welcher Form auch immer einzugrenzen. Daher können dies alle Arten von Interessen sein. Insbesondere sind damit auch wirtschaftliche Faktoren wie etwa die Kosten und der tatsächliche Aufwand einer Umsetzung der Datenschutzvorkehrungen zu berücksichtigen (Gola/Heckmann/Piltz, 3. Aufl. 2022, DS-GVO Art. 24 Rn. 59, beck-online). Da die DSGVO selbst aber keine Klarheit darüber bietet, welche konkreten Standards anzuwenden sind (so auch OLG Schleswig, Urteil vom 18.12.2024 - 12 U 9/24 Rn. 67), ist dieses Maß unter Abwägung der genannten Interessen zu bestimmen ist, wobei auch die berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung der Zumutbarkeit (OLG Karlsruhe, Urteil vom 27.07.2023, 19 U 83/22) eine nicht zu vernachlässigende Rolle spielen. Die vom Oberlandesgericht Schleswig in Bezug genommene „Orientierungshilfe des Arbeitskreises Technische und organisatorische Datenschutzfragen vom 27.05.2021“ sieht eine wie von den Klägern in Anspruch genommene Ende-zu-Ende-Verschlüsselung nicht zwingend vor.

Eine mit erheblichem organisatorischem und technischem Aufwand verbundene Ende-zu-Ende-Verschlüsselung, bei der die erforderlichen Schlüssel auf anderem Wege als die zu übermittelnde Nachricht - hier die streitgegenständlichen Rechnungen - bereitgestellt werden müssen, wird weder im konkreten Geschäftsverkehr vorausgesetzt, noch entspricht sie den üblichen Sicherheitserwartungen im allgemeinen Geschäftsverkehr.

Bei einer Ende-zu-Ende-Verschlüsselung wird die Vertraulichkeit der Kommunikation dadurch gewährleistet, dass die Daten beim Absender verschlüsselt und erst beim Empfänger entschlüsselt werden, sodass Dritte - etwa Server oder Netzbetreiber - den Inhalt der so geschützten Nachricht nicht einsehen können. Dies setzt jedoch voraus, dass die erforderlichen kryptographischen Schlüssel zwischen den Parteien gesondert und zugleich hinreichend sicher ausgetauscht werden. Auch dieser Schlüsselaustausch selbst erfordert zusätzliche technische und organisatorische Maßnahmen und begründet weiteren Aufwand auf Seiten aller Beteiligten.

Gerade im vorliegenden Falle hatte sich die Kläger keine Gedanken über etwaige Sicherheitsvorkehrungen gemacht (siehe III.2.a)). Vielmehr sollte der Kauf offensichtlich unkompliziert ohne weitere Verifizierungen abgewickelt werden. Nur so ist es zu erklären, dass die Kläger eine Überweisung über beträchtliche Summen tätigten, ohne sich seinerseits der Authentizität der übermittelten Rechnung zu vergewissern. Er mag zwar auf deren Integrität vertraut und sich möglicherweise in Unkenntnis, ob des Risikos einer unverschlüsselten Nachricht als auch über die Möglichkeiten einer Verschlüsselung befunden haben. Genau hierin kommen aber die konkreten Sicherheitserwartungen der Kläger zum Ausdruck. Der Kläger zu 1 führte selbst aus, dass er ein 76 Jahre alter Rentner sei, der keine Geschäfte im Internet tätigt. Begeben sich die Kläger - vertreten durch den Kläger zu 1 - aber in diese Sphäre und gehen nach eigenem Vortrag davon aus, den Vertrag durch die Übersendung eines Angebots per E-Mail ohne weitere Sicherheitsmaßnahmen schließen zu können, bringt dies die von ihnen der Vertragsabwicklung zugrunde gelegten Sicherheitserwartungen gegenüber der Beklagten zum Ausdruck. Dies zeigt sich auch darin, dass der Kläger zu 1, wie erwähnt, noch nach Kenntnis des Vorfalls und in Kenntnis eines möglichen „Hacking-Angriffs“ mit unverschlüsselter E-Mail eine Nachricht an die Beklagte übersandte, die wesentliche und sensible Informationen enthielt.

Da die Ende-zu-Ende-Verschlüsselung im Übrigen nicht alleine vom Verwender durchgeführt werden kann, sondern die (aktive) Mitwirkung des Empfängers voraussetzt (Ziegler MMR 2023, 761), kann diese auch nicht ohne weiteres zum allgemeinen Maßstab der zu treffenden Sicherheitsvorkehrungen gemacht werden. Der elektronische Rechtsverkehr lebt von der Schnelligkeit und unkomplizierten Verfügbarkeit von Informationen, um eine reibungsfreie Abwicklung der Geschäfte zu ermöglichen.

Daher hat sich die Verwendung einer derartigen Verschlüsselung im Rechtsverkehr nicht durchgesetzt (Pauly aaO). Dass dabei im Allgemeinen gerade der unverschlüsselte und insofern ungeschützte E-Mail-Verkehr sowohl von Verbraucher- als auch von Unternehmerseite umfassend toleriert wird und daher weitergehende Verschlüsselungstechniken nicht als Maßstab der geschäftlichen E-Mail-Kommunikation gelten können, zeigt sich auch daran, dass die sicherere, gleichwohl nicht Ende-zu-Ende-verschlüsselte „DE-Mail“ wegen des damit verbundenen höheren Aufwandes von Bürgerinnen und Bürger sowie von Unternehmen nahezu nicht genutzt wurde (6.000 DE-Mails zwischen 2011 und 2020 Jahresbericht 2021 des Bundesrechnungshofes, https://www.bundesrechnungshof.de/SharedDocs/Downloads/DE/Berichte/2021/de-mail-kaum-genutzt-volltext.pdf?__blob=publicationFile&v=1).

Dabei kann die Notwendigkeit der Verschlüsselung auch nicht von der Höhe der zu zahlenden bzw. zu überweisenden Beträgen (so Pauly ZfBR 2025, 629) abhängig gemacht werden. Weder lässt sich dies anhand des Verordnungstextes begründen, noch können die zu erwartenden Sicherungsvorkehrungen zwingend an einer bestimmten Summe gemessen werden, die letztlich auch davon abhängt, welche Art von Geschäften in welchem Umfeld abgewickelt werden sollen. Die Sensibilität der übermittelten Daten kommt nicht zwangsläufig in der Höhe der Rechnungssumme zum Ausdruck.

Ein Verstoß gegen andere (behauptete) Pflichten des Rechtsverkehrs haben die Kläger aber weder vorgetragen noch sind diese ersichtlich. Allein aus der Tatsache, dass es Dritten gelungen ist, auf Daten zuzugreifen und sie zu veröffentlichen, folgt noch nicht, dass der Verantwortliche keine geeigneten technischen und organisatorischen Maßnahmen zum Schutz ergriffen hat (EuGH GRUR-RS 2023, 3578 – natsionalna agentsia za prihodite, BeckOK DatenschutzR/Quaas, 55. Ed. 1.2.2026, DS-GVO Art. 82 Rn. 14e, beck-online).

c) Indem die Kläger daneben ihre E-Mail-Adresse für den Empfang der von ihnen erwarteten Vertragsunterlagen dem Vertreter zur Verfügung stellten, der sie sodann an die Beklagte weiterreichte, ohne auf bestimmte Sicherheitsvorkehrungen zu bestehen, haben die Kläger zugleich konkludent zum Ausdruck gebracht, in die ungeschützte Übermittlung einzuwilligen (OLG Düsseldorf, Urteil vom 28.10.2021 – 16 U 275/20). Dabei kann für eine wirksame Einwilligung auch nicht vorausgesetzt werden, dass der Betroffene die Risiken vollumfänglich überblickt (so indes Hessel/Prgomet in Rdi 2025, 221), denn letztlich muss es dem Einzelnen überlassen bleiben, ob und wie er sich in den Geschäftsverkehr begibt.

d) Zuletzt fehlt es auch an der erforderlichen Kausalität zwischen dem behaupteten Pflichtenverstoß der Beklagten und dem eingetretenen Schaden. Für einen substantiierten Vortrag bei einer veränderten oder manipulierten E-Mail muss von den Klägern schlüssig vorgetragen und anschließend gegebenenfalls technisch festgestellt werden, ob und bei welchem Kommunikationspartner der Angriff stattgefunden hat - entweder auf der Seite des Empfängers oder des Versenders (Veeck, ZD 2025, 284).

Nach dem schriftsätzlichen Vortrag der Kläger steht nicht fest, ob sich Dritte (rechtswidrig) Zugang zum IT-System der Beklagten verschafft haben sollen, um bereits dort die Rechnung im Rechnungssystem zu ändern, ob Dritte sich beim versendenden Mitarbeiter Zugang verschafft haben sollen, ob sich Dritte Zugang zum E-Mail-Postfach des Rechnungsempfängers verschafft haben sollen (etwa weil dieses nicht hinreichend sicher passwortgeschützt war), oder ob die Rechnung während der Kommunikationsübertragung verändert wurde.

In den ersten beiden Varianten bestünde eine Kausalität schon deswegen nicht, weil die Veränderung der Rechnung zu einem Zeitpunkt vor Verschlüsselung erfolgt wäre und dann lediglich eine „falsche“ Rechnung verschlüsselt versandt worden wäre. Bei dritter Variante wäre die E-Mail beim Empfänger also bei den Klägern schon angekommen und wäre dann unverschlüsselt dem Angriff preisgeben (vgl. Veeck ZD 2025, 284).

Mit seinem Vortrag hat der Kläger den Umstand der veränderten E-Mail nicht schlüssig dargelegt, sodass vorliegend eine kausale Pflichtverletzung nicht festgestellt werden kann. Zunächst hatte die Kläger ohne jegliche Anhaltspunkte behauptet, die E-Mail sei auf Seiten der Beklagten verändert in den Rechtsverkehr gelangt, „um das Geld einzunehmen und die Ware nicht liefern zu müssen“ (Var.1). Erst im Rahmen der mündlichen Verhandlung setzte der Kläger auf Nachfragen das Gericht überhaupt erst in Kenntnis davon, dass das hiesige Verfahren Gegenstand eines umfangreichen Strafverfahrens gewesen ist und er selbst davon ausgehe, dass die E-Mail beim Internetanbieter der Kläger verändert worden sei (Anlage zum Protokoll). Damit steht aber der genaue Zeitpunkt des unbefugten Zugriffs nicht fest und ist auch nicht ermittelbar.

Den Volltext der Entscheidung finden Sie hier:

OLG Stuttgart
Urteil vom 29.04.2026
4 U 372/24

Das OLG Stuttgart hat dem Betroffenen 500 EURO Schadensersatz aus Art. 82 DSGVO gegen Meta wegen DSGVO-Verstößen durch die Meta Business Tools im Zusammenhang mit Drittseiten und Apps außerhalb der Meta-Netzwerke zugesprochen. Zudem hat das Gericht einen Unterlassungsanspruch bejaht.

Aus den Entscheidungsgründen:
Die Berufung hinsichtlich des Klagantrags Ziff. 5, mit dem der Kläger immateriellen Schadensersatz in Höhe von mindestens 5.000,00 € begehrt, ist in Höhe von 500,00 € begründet.

Anspruchsgrundlage für das Begehren des Klägers ist Art. 82 DSGVO. Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen. Voraussetzung für den Schadensersatzanspruch ist damit ein Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines immateriellen Schadens sowie ein Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (BGH, Urteil vom 18.11.2024, VI ZR 10/24, Rn. 21).

1. Ein Verstoß gegen die Datenschutz-Grundverordnung liegt vor.

a) Für den vom Kläger geltend gemachten Anspruch auf immateriellen Schadensersatz sind sowohl etwaige Verstöße gegen die Datenschutz-Grundverordnung bei der Erhebung personenbezogener Daten durch die Business Tools zu berücksichtigen, die in die gemeinsame Verantwortlichkeit der Beklagten und des Betreibers der Website mit den Business Tools fallen, als auch Verstöße nach Übermittlung dieser Daten an die Beklagte, denn hinsichtlich der insoweit vom Kläger behaupteten Verstöße ist von einem einheitlichen Streitgegenstand auszugehen.

Vom Streitgegenstand werden sämtliche mit der inkriminierten Datenverarbeitung im Zusammenhang stehenden gerügten Verstöße gegen die Datenschutz-Grundverordnung umfasst, die bei einer natürlichen, vom Standpunkt der Parteien ausgehenden und den Sachverhalt seinem Wesen nach erfassenden Betrachtung zu dem zur Entscheidung gestellten Tatsachenkomplex gehören (BGH, Urteil vom 18.11.2024, VI ZR 10/24, Rn. 17). Bei natürlicher Betrachtung können die geltend gemachten Verstöße gegen die Datenschutz-Grundverordnung vor und nach der Übermittlung der Daten an die Beklagte nicht isoliert beurteilt werden, da sie sämtlich in einem einheitlichen Geschehen wurzeln, nämlich der Bereitstellung der Business Tools durch die Beklagte und der Implementierung dieser Tools in die Websites der Drittunternehmer.

b) Gemäß den obigen Ausführungen zum Unterlassungsanspruch verstößt die Beklagte mit der Verarbeitung der ihr via Business Tool übermittelten personenbezogenen Daten des Klägers gegen die Datenschutz-Grundverordnung, da keiner der in Art. 6 Abs. 1 DSGVO genannten Bedingungen für eine Verarbeitung der Daten erfüllt ist. Außerdem liegt ein Verstoß gegen die Datenschutz-Grundverordnung auch in Bezug auf die Erhebung und Übermittlung der personenbezogenen Daten auf den Drittseiten vor, da die Beklagte keinen hinreichenden Vortrag zu der insoweit erforderlichen Einwilligung des Klägers gehalten hat. Hinsichtlich der Websites zeit.de und mueller.de ist ohnehin unstreitig, dass es an einer Einwilligung des Klägers fehlt.

c) Für den Verstoß hinsichtlich der Erhebung der Daten auf den Websites der Drittunternehmer zeit.de und mueller.de ist auch die Beklagte verantwortlich, da diese zusammen mit dem Drittunternehmer gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO ist (vgl. EuGH, Urteil vom 29.07.2019, C-40/17 – „Gefällt mir“-Button – Fashion ID). Dass die schädigende Handlung durch den Drittunternehmer vorgenommen worden ist und nicht durch die Beklagte, steht der Haftung nicht entgegen, denn bei gemeinsam Verantwortlichen genügt es, dass der andere beteiligte Verantwortliche eine schädigende Handlung vorgenommen hat (Auernhammer/Schürmann/Baier, aaO., Art. 82, Rn. 16).


Zur Entlastungsmöglichkeit nach Art. 82 Abs. 3 DSGVO wird auf die nachfolgenden Ausführungen unter 4. verwiesen.

2. Dem Kläger ist auch ein Schaden entstanden.

a) Der Begriff des immateriellen Schadens in Art. 82 Abs. 1 DSGVO umfasst negative Gefühle wie beispielsweise Sorge oder Ärger, die die betroffene Person infolge einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten empfindet und die

- durch einen Verlust der Kontrolle über diese Daten,

- ihre mögliche missbräuchliche Verwendung oder

- eine Rufschädigung

hervorgerufen werden, sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen diese Verordnung empfindet (EuGH, Urteil vom 04.09.2025, C-655/23, GRUR-RS 2025, 22639, Rn. 64).

b) Ein Schaden besteht hier in Form eines Kontrollverlusts. Hiergegen kann nicht eingewandt werden, dass die Daten nur an die Beklagte weitergegeben wurden, nicht an sonstige Dritte. Der Bundesgerichtshof hat einen Kontrollverlust auch in einem Fall bejaht, in dem die Personalaktenverwaltung von Bundesbeamten unzulässigerweise durch Bedienstete des Landes Niedersachsen vorgenommen wurde (BGH, NJW 2025, 1656, Rn. 14 f.). Der Umstand, dass die Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet waren, stand der Annahme eines Schadens dabei nicht entgegen (BGH, aaO., Rn. 16). Hinzu kommt, dass der Kläger nicht ansatzweise überblicken kann, welche Dimension die Datenverarbeitung durch die Beklagte hat (vgl. OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 341) und dass der Kläger keine Möglichkeit hat, durch eigenes Handeln die Kontrolle über die Daten zurückzuerlangen, da weder durch die Änderung der Datenschutzeinstellungen noch durch die Löschung seines Kontos eine vollumfängliche Löschung der bei der Beklagten gespeicherten Daten möglich wäre (vgl. OLG Dresden, Urteil vom 03.02.2026, 4 U 292/25, juris, Rn. 197). Angesichts dessen kann ein Kontrollverlust durch die unberechtigte Übermittlung personenbezogener Daten an die Beklagte nicht verneint werden.

Ein anderer Schaden im Sinne der Rechtsprechung des EuGH ist nicht ersichtlich. Eine Rufschädigung durch die Speicherung der an die Beklagte übermittelten Daten scheidet ebenso aus wie die Sorge über eine mögliche missbräuchliche Verwendung der Daten. Derartige Folgen hat der Kläger weder vorgetragen noch nachgewiesen.

3. Auch der erforderliche Kausalzusammenhang zwischen dem Schaden und dem Verstoß der Beklagten besteht. Würde die Beklagte die ihr via Business Tools übermittelten personenbezogenen Daten des Klägers nicht verarbeiten und insbesondere auch nicht speichern, hätte der Kläger bzgl. dieser Daten keinen Kontrollverlust erlitten.

4. Gem. Art. 82 Abs. 3 DSGVO wird der Verantwortliche von der Haftung gem. Art. 82 Abs. 2 DSGVO befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Mit Verantwortung ist das Verschulden im Sinne der deutschen Rechtsterminologie gemeint und nicht die datenschutzrechtliche Verantwortlichkeit (Quaas in BeckOK Datenschutzrecht, 55. Ed., Stand 01.02.2026, DSGVO, Art. 82, Rn. 17; Aliprandi, Datenschutzrechtlicher Schadensersatz nach Art. 82 DS-GVO, S. 448).

Hinsichtlich der Datenverarbeitung durch die Beklagte selbst kommt eine Haftungsbefreiung nach Art. 82 Abs. 3 DSGVO ersichtlich nicht in Betracht. Für ein fehlendes Verschulden der Beklagten ist nichts vorgetragen.

Gleiches gilt im Ergebnis für die Erhebung und Übermittlung der personenbezogenen Daten des Klägers durch die Drittunternehmer.

Nicht zu folgen ist insoweit allerdings der in der Kommentarliteratur teilweise vertretenen Ansicht, dass dem gemeinsam Verantwortlichen die Möglichkeit der Entlastung durch Art. 26 Abs. 3 DSGVO versagt wird (so Auernhammer/Schreibauer, aaO., Art. 26, Rn. 18). Zwar besagt Art. 26 Abs. 3 DSGVO, dass die betroffene Person ungeachtet der Einzelheiten der Vereinbarung der gemeinsam Verantwortlichen ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen kann. Für Schadensersatzansprüche enthält Art. 82 DSGVO in den Absätzen 3 und 4 aber eine speziellere Regelung, die neben einer angelegten gesamtschuldnerischen Haftung dem Verantwortlichen unter den hohen Voraussetzungen des Art. 82 Abs. 3 DSGVO auch einen individuellen Entlastungsbeweis ermöglicht (Spoerr in BeckOK DatenschutzR, aaO., DS-GVO Art. 26 Rn. 63). Ohnehin wird vertreten, dass die Regelung in Art. 26 Abs. 3 DSGVO nur die in Kapitel 3 der DSGVO geregelten Rechte betrifft, d.h. die in Art. 12 bis 23 DSGVO geregelten Rechte (vgl. Bertermann in Ehmann/Selmayr, aaO., Art. 26, Rn. 29), bzw. dass Art. 26 Abs. 3 DSGVO dem Betroffenen zwar die Geltendmachung gegenüber jedem Verantwortlichen ermöglicht, die Verpflichtung zur Erfüllung sich aber nach der getroffenen Vereinbarung richtet (so Piltz in Gola/Heckmannn, DSGVO, 3. Aufl. 2022, Art. 26, Rn. 35 f.).

Die Beklagte hat aber den Nachweis, dass sie in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist, nicht geführt. Die Beklagte hat insoweit lediglich die gem. Art. 26 DSGVO mit den Drittunternehmern geschlossene Vereinbarung vorgelegt. Dahinstehen kann, ob sie allein deshalb schon davon ausgehen durfte, dass der Betreiber der Website die erforderliche Sorgfalt beim Einholen der Einwilligung walten lässt. Selbst wenn dies der Fall wäre, müsste die Beklagte zumindest darlegen und ggf. beweisen, dass sie keine Kenntnis von der fehlerhaften Implementierung der Business Tools auf den Drittseiten z….de und m….de hatte – etwa aufgrund der Beschwerden anderer Kunden. Hierzu fehlt jeglicher Vortrag.

5. Die Höhe des immateriellen Schadensersatzes nach Art. 82 Abs. 1 DSGVO richtet sich nach nationalem Recht, da die Datenschutz-Grundverordnung keine Regeln für die Bemessung des nach Art. 82 DSGVO geschuldeten Schadensersatzes festlegt. Der Schadensersatz ist daher nach § 287 ZPO unter Beachtung der unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität zu schätzen. Entscheidend ist, welcher Betrag erforderlich ist, um einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden sicherzustellen, wie im 146. Erwägungsgrund der DSGVO ausgeführt, wobei weder der Grad des Verschuldens noch das Bestehen eines Unterlassungsanspruchs anspruchsmindernd zu berücksichtigen sind (vgl. EuGH, Urteil vom 04.09.2025, C-655/23, Rn. 69, 72 f., 83).

Zu berücksichtigen ist insoweit, dass die Datenverarbeitung durch die Beklagte besonders umfassend ist, da sie potenziell unbegrenzte Daten über die Online-Aktivitäten ihrer Nutzer betrifft, und das Gefühl auslösen kann, dass das Privatleben der Nutzer kontinuierlich überwacht wird (OLG Dresden, aaO., Rn. 197; OLG Jena, Urteil vom 02.03.2026, 3 U 31/25, BeckRS 2026, 2610, Rn. 156). Insbesondere besteht die Gefahr, dass die Beklagte auch bei verweigerter Einwilligung die über die Business Tools erlangten Daten zur Erstellung eines detaillierten Profils des Nutzers verwendet (OLG Dresden, aaO., Rn. 197). Zudem ist aus Sicht des Klägers nicht auszuschließen, dass auch besonders sensible Daten i.S.v. Art. 9 Abs. 1 DSGVO, etwa Gesundheitsdaten oder Daten zur sexuellen Orientierung, von der streitgegenständlichen Datenverarbeitung betroffen sind, denn für eine Übermittlung sensibler Daten genügt es schon, dass der Kläger auf einer Seite wie zeit.de Artikel mit entsprechenden Themen anklickt, und dem Kläger dürfte es wie jedem sonstigen Internet-Nutzer nicht möglich sein, seine Bewegungen im Internet im Nachhinein im Detail nachzuvollziehen (vgl. OLG Jena, Urteil vom 02.03.2026, 3 U 31/25, BeckRS 2026, 2610, Rn. 90). Das Gefühl umfassender Beobachtung kann insoweit dazu Anlass geben, davon abzusehen, derartige Artikel anzuklicken bzw. Webseiten mit derartigen Themen aufzusuchen (vgl. OLG Dresden, aaO., Rn. 197; OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 356).

Der Senat hält aus diesen Gründen einen Schadensersatzbetrag in Höhe von 500,00 € für angemessen.

6. Ein weitergehender Schadensersatzanspruch steht dem Kläger auch unter dem Gesichtspunkt der Verletzung seines allgemeinen Persönlichkeitsrechts nicht zu.

Der Umstand, dass dem Kläger ein Schadensersatzanspruch nach Art. 82 DSGVO zusteht, schließt einen Schadensersatzanspruch nach Art. 823 Abs. 1 BGB wegen Verletzung des allgemeinen Persönlichkeitsrechts nicht aus (BGH, Urteil vom 29.07.2025, VI ZR 426/24, Rn. 36). Das allgemeine Persönlichkeitsrecht umfasst auch das Recht auf informationelle Selbstbestimmung, das gewährleistet, dass Informationen über eine Person vor intransparenter Verarbeitung und Nutzung durch Private geschützt sind (Grüneberg/Retzlaff, aaO., § 823, Rn. 132).

Nach der ständigen Rechtsprechung des Bundesgerichtshofs begründet die schuldhafte Verletzung des allgemeinen Persönlichkeitsrechts einen Anspruch auf eine Geldentschädigung jedoch nur, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Ob eine so schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, dass die Zahlung einer Geldentschädigung erforderlich ist, kann nur aufgrund der gesamten Umstände des Einzelfalls beurteilt werden. Hierbei sind insbesondere die Bedeutung und Tragweite des Eingriffs, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens zu berücksichtigen. Die Zubilligung einer Geldentschädigung unter den genannten Voraussetzungen findet ihre sachliche Berechtigung in dem Gedanken, dass das Persönlichkeitsrecht gegenüber schwerwiegenden Beeinträchtigungen anderenfalls ohne ausreichenden Schutz bliebe mit der Folge, dass der Rechtsschutz der Persönlichkeit verkümmern würde (BGH, Urteil vom 12.03.2024, VI ZR 1370/20, Rn. 70).

Ein schwerwiegender Eingriff in das allgemeine Persönlichkeitsrecht des Klägers, der nicht in anderer Weise als durch Zahlung einer Geldentschädigung befriedigend aufgefangen werden könnte, liegt im vorliegenden Fall nicht vor (vgl. OLG Naumburg, aaO., Rn. 366 f.; OLG München, GRUR-RS 2025, 36464, Rn. 116 ff.; OLG Dresden, Urteil vom 17.03.2026, 4 U 709/25, Urteilsumdruck S. 33; OLG Hamm, Urteil vom 09.03.2026, I-8 U 13/25, Urteilsumdruck S. 38; a.A. OLG Dresden, Urteil vom 12.03.2026, Az. 17 U 625/25, Urteilsumdruck S. 68). Zu berücksichtigen ist, dass der Kläger für den datenschutzrechtlichen Verstoß der Beklagten bereits immateriellen Schadensersatz nach Art. 82 DSGVO erhält. Die vom Kläger erlittene Beeinträchtigung wird ferner dadurch aufgefangen, dass im vorliegenden Verfahren die Verarbeitung der ihr via Business Tool übermittelten Daten des Klägers untersagt wird (vgl. OLG München, GRUR-RS 2025, 36464, Rn. 121). Außerdem ist zu berücksichtigen, dass der Kläger nach wie vor I... nutzt und allein dadurch der Beklagten schon unzählige Daten liefert.

7. Der Schadensersatzbetrag von 500,00 € ist gem. §§ 291 Abs. 1, 288 Abs. 1 Satz 2 BGB ab Rechtshängigkeit, d.h. ab dem 20.01.2024 mit 5 Prozentpunkten über dem Basiszinssatz zu verzinsen. Ein weitergehender Anspruch auf Verzinsung bereits ab dem 05.12.2023 besteht nicht, da der Kläger den von der Beklagten bestrittenen Zugang seiner Mahnung vom 06.11.2023 nicht nachgewiesen hat.

Den Volltext der Entscheidung finden Sie hier:

VG Ansbach
Beschluss vom 01.04.2026
AN 14 K 26.1164

Das VG Ansbach hat entschieden, dass für Schadensersatzansprüche aus Art. 82 DSGVO gegen Behörden und öffentliche Stellen der ordentliche Rechtsweg und nicht der Verwaltungsrechtsweg eröffnet ist.

Aus den Enstcheidungsgründen:
Das Verfahren ist nach Anhörung der Beteiligten gemäß § 173 Satz 1 VwGO i.V.m. § 17a Abs. 2 Satz 1 GVG an das Amtsgericht Nürnberg zu verweisen.

Der Kläger fordert im Klagewege von der Beklagten Schadensersatz nach Art. 82 DS-GVO in Höhe von zuletzt mindestens 20.000 EUR wegen rechtswidriger Speicherung seiner personenbezogenen Daten durch das Bundesamt für Migration und Flüchtlinge. Diese Klage wurde mit Beschluss vom 1. April 2026 von der zeitgleich erhobenen Klage auf Löschung der personenbezogenen Daten abgetrennt.

1. Der hinsichtlich der Schadensersatzklage beschrittene Verwaltungsrechtsweg ist im Sinne des § 173 Satz 1 VwGO, § 17a Abs. 2 Satz 1 GVG unzulässig. Bei dem geltend gemachten Anspruch aus Art. 82 DS-GVO handelt es sich um einen Schadensersatzanspruch aus der Verletzung öffentlichrechtlicher Pflichten im Sinne des § 40 Abs. 2 Satz 1 Halbs. 1 VwGO, sodass demnach der ordentliche Rechtsweg gegeben ist (im Ergebnis ebenso: VG Köln U.v. 23.2.2023 – 13 K 278/21 –, BeckRS 2023, 16294 Rn. 14; VG Stade Verweisungsbeschluss v. 7.8.2025 – 10 A 624/24 –, BeckRS 2025, 22882 Rn. 3; VG Osnabrück Verweisungsbeschluss v. 12.12.2025 – 7 A 230/25 –, BeckRS 2025, 36628 Rn. 3).

Eine Zuständigkeit der Verwaltungsgerichte folgt auch nicht aus Art. 82 Abs. 6 i.V.m. Art. 79 Abs. 2 DS-GVO, da diese Vorschrift nur die internationale Zuständigkeit regelt (vgl. VG Köln U.v. 23.2.2023 – 13 K 278/21 –, BeckRS 2023, 16294 Rn. 15 m.w.N.; VG Stade Verweisungsbeschluss v. 7.8.2025 – 10 A 624/24 –, BeckRS 2025, 22882 Rn. 5; VG Osnabrück Verweisungsbeschluss v. 12.12.2025 – 7 A 230/25 –, BeckRS 2025, 36628 Rn. 4; Quaas in BeckOK Datenschutzrecht, 54. Ed. Stand: 1.11.2025, DS-GVO Art. 82 Rn. 46-46.3).

2. Damit ist der Rechtsstreit an das Amtsgericht Nürnberg als sachlich und örtlich zuständiges Gericht des ordentlichen Rechtswegs zu verweisen, § 173 Satz 1 VwGO i.V.m. § 17a Abs. 2 Satz 1 GVG.

Der Schadensersatzanspruch aus Art. 82 DS-GVO ist kein Amtshaftungsanspruch im Sinne des Art. 34 Satz 2 GG, sodass eine ausschließliche sachliche Zuständigkeit der Landgerichte gemäß § 71 Abs. 2 Nr. 2 GVG nicht gegeben ist (vgl. BFH, B.v. 28.6.2022 – II B 93/21 –, juris Rn. 14 ff.; BSG, B.v. 6.3.2023 – B 1 SF 1/22 R –, juris Rn. 19 ff.; VG Stuttgart, U.v. 20.6.2024 – 14 K 870/22 –, juris Rn. 23 ff.; VG Osnabrück Verweisungsbeschluss v. 12.12.2025 – 7 A 230/25, BeckRS 2025, 36628 Rn. 13 ff.).

Die sachliche Zuständigkeit richtet sich vielmehr nach § 1 ZPO i.V.m. §§ 23 Nr. 1, 71 Abs. 1 GVG, wonach Streitigkeiten über Ansprüche, deren Gegenstand an Geld oder Geldeswert die Summe von zehntausend Euro nicht übersteigt, von der Zuständigkeit der Amtsgerichte umfasst sind. Insoweit ist das mit der Klage verfolgte wirtschaftliche Interesse zu ermitteln, wobei den Wertangaben der Parteien, insbesondere des Klägers (§§ 253 Abs. 3, 495 ZPO), wenn sie nicht offensichtlich unzutreffend sind, erhebliches Gewicht zukommt, diese aber für das Gericht nicht bindend sind (vgl. Wendtland in BeckOK ZPO, 59. Ed. Stand: 1.12.2025, § 3 Rn. 1).

Der Kläger bezifferte die begehrte Schadensersatzhöhe in der Klageschrift vom 25. Dezember 2025 mit 1.000 EUR, in späteren Schriftsätzen mit mindestens 20.000 EUR. Die ausgeurteilten Schadensersatzansprüche aus Art. 82 DS-GVO bewegen sich bislang im unteren bis mittleren vier- oder dreistelligen Bereich (vgl. Quaas in BeckOK Datenschutzrecht, 54. Ed. Stand: 1.11.2025, DS-GVO Art. 82 Rn. 34 f.). Angesichts dessen erscheint die Angabe von 20.000 EUR offensichtlich unzutreffend, zumal Anhaltspunkte für eine Atypik des Falls des Klägers, die eine derart gravierend von der bisherigen Rechtsprechung abweichende Schadensersatzhöhe rechtfertigen könnten, weder vorgetragen noch erkennbar sind. Das objektive wirtschaftliche Interesse des Klagebegehrens liegt nach Auffassung des Gerichts jedenfalls unter 10.000 EUR, sodass die sachliche Zuständigkeit der Amtsgerichte eröffnet ist.

Örtlich zuständig ist vorliegend im Hinblick auf den Sitz des Bundesamts für Migration und Flüchtlinge in Nürnberg das Amtsgericht Nürnberg nach §§ 12, 17 Abs. 1 ZPO i.V.m. Art. 5 Abs. 2 Nr. 53 GerOrgG.

Die Entscheidung über die Kosten bleibt gemäß § 173 Satz 1 VwGO i.V.m. § 17b Abs. 2 Satz 1 GVG der Endentscheidung des Amtsgerichts Nürnberg vorbehalten.

Den Volltext der Entscheidung finden Sie hier:

VG Düsseldorf
Beschluss vom 23.03.2026
29 K 2876/26

Das VG Düsseldorf hat mit Beschluss vom 23.03.2026 entschieden, dass für Klagen auf immateriellen Schadensersatz asu Art. 82 DSGVO gegen öffentliche Stellen nicht der Verwaltungsrechtsweg, sondern der ordentliche Rechtsweg eröffnet ist. Das Gericht führt aus, dass die Bestimmungen der DSGVO lediglich die internationale Zuständigkeit der Mitgliedstaaten regeln und der innerstaatlichen Zuweisung des Schadensersatzanspruchs an die Zivilgerichte gemäß § 40 Abs. 2 Satz 1 VwGO nicht entgegenstehen.

Aus den Entscheidungsgründen:
Die Verweisung erfolgt auf der Grundlage der §§ 173 Verwaltungsgerichtsordnung (VwGO), 17a Abs. 2 Satz 1 Gerichtsverfassungsgesetz (GVG).

Der Kläger macht gegen den Beklagten, eine Anstalt des öffentlichen Rechts, einen Anspruch auf immateriellen Schadensersatz auf Grundlage von Art. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO) geltend. Hierfür ist nicht der Verwaltungsrechtsweg, sondern der ordentliche Rechtsweg eröffnet.

Gemäß § 40 Abs. 1 Satz 1 VwGO ist der Verwaltungsrechtsweg in allen öffentlich-rechtlichen Streitigkeiten nichtverfassungsrechtlicher Art gegeben, soweit die Streitigkeiten nicht durch Bundesgesetz einem anderen Gericht ausdrücklich gewesen sind. Für Schadensersatzansprüche aus der Verletzung öffentlich-rechtlicher Pflichten, die nicht auf einem öffentlich-rechtlichen Vertrag beruhen, ist dagegen nach § 40 Abs. 2 Satz 1 VwGO der ordentliche Rechtsweg gegeben. Um einen solchen Schadensersatzanspruch handelt sich vorliegend.

Eine davon abweichende Zuständigkeit der Verwaltungsgerichte folgt nicht aus Art. 82 Abs. 6 i.V.m. Art. 79 Abs. 2 DSGVO.

Nach Art. 82 Abs. 6 DSGVO sind mit Gerichtsverfahren zur Inanspruchnahme des Rechts auf Schadensersatz die Gerichte zu befassen, die nach den in Art. 79 Abs. 2 genannten Rechtsvorschriften des Mitgliedstaats zuständig sind. Art. 79 Abs. 2 DSGVO bestimmt, dass für Klagen gegen einen Verantwortlichen oder gegen einen Auftragsverarbeiter die Gerichte des Mitgliedstaats zuständig sind, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat (Art. 79 Abs. 2 Satz 1 DSGVO). Wahlweise können solche Klagen auch bei den Gerichten des Mitgliedstaats erhoben werden, indem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat, es sei denn, es handelt sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaats, die in Ausübung der hoheitlichen Befugnisse tätig geworden ist (Art. 79 Abs. 2 Satz 2 DSGVO).

Art. 82 Abs. 6 DSGVO stellt eine Regelung der internationalen Zuständigkeit und damit des zuständigen Mitgliedstaates dar.

Hess. LSG, Beschluss vom 26. Januar 2022 - L 6 SF 7 / 21 DS -, juris Rn. 35; Quaas, in: BeckOK, Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 54. Edition, Stand: 01.11.2025, Art. 82 Rn. 46 f.

Der Vorschrift ist nicht zu entnehmen, dass abweichend vom nationalen Verwaltungsprozessrecht auch für Schadensersatzklagen die gemäß § 40 Abs. 1 Satz 1 VwGO für Klagen nach Art. 79 Abs. 1 DSGVO zuständigen Verwaltungsgerichte zuständig sein sollen. Art. 82 Abs. 6 DSGVO enthält kein Verbot der (innerstaatlichen) Rechtswegaufspaltung.

So aber Bergt, in: Kühling/Buchner, DSGVO BDSG, 4. Aufl. 2024 Art. 82 Rn. 63; Frenzel, in: Paal/Pauly, DS-GVO BDSG, 4. Auflage 2026, Art. 82 DSGVO Rn. 18.

Art. 79 Abs. 2 DSGVO, auf den Art. 82 Abs. 6 DSGVO verweist, regelt die internationale Zuständigkeit der mitgliedstaatlichen Gerichte als solchen. Das ergibt sich daraus, dass Art. 79 Abs. 2 Satz 1 DSGVO auf den Mitgliedstaat einer Niederlassung des Verantwortlichen und Art. 79 Abs. 2 Satz 2 DSGVO auf den Mitgliedstaat des gewöhnlichen Aufenthaltsorts der betroffenen Person abstellt. Eine Aussage über den Ort innerhalb eines Mitgliedstaats, an dem Klage zu erheben ist, enthält Art. 79 Abs. 2 DSGVO nicht.

Vgl. Frenzel, in: Paal/Pauly, DS-GVO BDSG, 4. Auflage 2026, § 44 BDSG Rn. 1.

Um der betroffenen Person auch innerhalb Deutschlands das in Art. 79 Abs. 2 DSGVO vorgesehene Wahlrecht hinsichtlich des Klageortes einzuräumen, bedurfte es der nationalen Regelung in § 44 BDSG, die die Vorschriften zur internationalen Zuständigkeit nahezu gleichlautend auf die innerstaatliche örtliche Zuständigkeit für zivilrechtliche Klagen überträgt.

Erst recht enthält Art. 79 Abs. 2 DSGVO keine Bestimmung der innerstaatlichen sachlichen Zuständigkeit bzw. Rechtswegzuständigkeit. Die Begriffe der „Niederlassung“ bzw. des „gewöhnlichen Aufenthaltsorts“, auf die Art. 79 Abs. 2 DSGVO für die Bestimmung des zuständigen Mitgliedsstaats abstellt, sind allein ortsbezogen und geben keinerlei Hinweis auf eine (innerstaatliche) sachliche Zuständigkeit bzw. Rechtswegzuständigkeit. Die Regelungen zur innerstaatlichen Zuständigkeit verbleiben vielmehr im Verantwortungsbereich der Mitgliedstaaten. Die sachliche und örtliche Zuständigkeit des in Deutschland angerufenen Gerichts bemisst sich deshalb weiterhin nach nationalem Recht.

Vgl. HessVGH, Beschluss vom 1. Dezember 2022 - 10 B 1898/22 -, BeckRS 2022, 39739 Rn. 5 m.w.N.; FG Berlin-Brandenburg, Beschluss vom 27. Oktober 2021 - 16 K 16155/21 -, juris Rn. 20 m.w.N.

Trifft Art. 79 Abs. 2 DSGVO nur eine Aussage über den zuständigen Mitgliedstaat, kann sich auch der Verweis darauf in Art. 82 Abs. 6 DSGVO nur auf die internationale Zuständigkeit der Gerichte beziehen.

Die entgegenstehende Auffassung, die in Art. 82 Abs. 6 DSGVO eine Detailregelung für die Zuständigkeit der innerstaatlichen Gerichte sieht,

vgl. Bergt, in: Kühling/Buchner, DSGVO BDSG, 4. Aufl. 2024 Art. 82 Rn. 63,

bzw. eine Überlagerung des mitgliedstaatlichen Prozessrechts durch Art. 82 Abs. 6 DSGVO annimmt,

so: Frenzel, in Paal/Pauly, DS-GVO BDSG, 4. Auflage 2026, Art. 82 DSGVO Rn. 18,

kann sich nicht auf den Wortlaut von Art. 82 Abs. 6 DSGVO stützen. Zwar kann die deutsche Fassung auch dahingehend verstanden werden, dass die Gerichte, die nach den nationalen Rechtsvorschriften für Rechtsbehelfe gegen Verantwortliche oder Auftragsverarbeiter zuständig sind, auch für den Schadensersatzanspruch zuständig sein sollen. Aus der englischen Fassung ergibt sich aber eindeutig, dass sich der Verweis auf Art. 79 Abs. 2 DSGVO auf den nach dieser Vorschrift zuständigen Mitgliedstaat und gerade nicht auf das jeweilige Gericht bezieht. Darin heißt es: „Court proceedings for exercising the right to receive compensation shall be brought before the courts competent under the law of the Member State referred to in Article 79 (2)“.

Ebenso VG Köln, Urteil vom 23. Februar 2023 - 13 K 278/21 -, juris Rn. 23.

Noch deutlicher heißt es in der französischen Fassung „Les actions judiciaires engagées pour exercer le droit à obtenir réparation sont intentées devant les juridictions compétentes en vertu du droit de l'État membre visé à l'article 79, paragraphe 2.“ Das im Singular maskulin stehende „visé“ kann sich grammatisch nur auf den „État membre“, nicht aber auf die im Plural feminin stehenden „juridictions“ beziehen.

Vgl. Hess. LSG, Beschluss vom 26. Januar 2022 - L 6 SF 7 / 21 DS -, juris Rn. 36; VG Osnabrück, Beschluss vom 12. Dezember 2025 - 7 A 230/25 -, juris Rn. 13.

Etwas anderes ergibt sich nicht daraus, dass sich die internationale Zuständigkeit für Schadensersatzklagen bereits aus Art. 79 Abs. 2 DSGVO ergeben dürfte. Der Vorschrift in Art. 82 Abs. 6 DSGVO verbleibt gleichwohl ein eigener Regelungsgehalt.

a.A.: Bergt, in: Kühling/Buchner, DSGVO BDSG, 4. Aufl. 2024 Art. 82 Rn. 63.

Sie bewirkt, dass über Klagen wegen der Datenschutzverstöße auf der einen und auf Schadensersatz auf der anderen Seite nicht Gerichte verschiedener Mitgliedstaaten entscheiden. Damit wird dem mit der Vorschrift verfolgten Ziel einer möglichst einheitlichen Entscheidung über beide Ansprüche genüge getan. Primärer und sekundärer Rechtsschutz wird in ein- und demselben Mitgliedstaat gewährt.

Vgl. Hess. LSG, Beschluss vom 26. Januar 2022 - L 6 SF 7 / 21 DS -, juris Rn. 36.

Zudem ist zweifelhaft, ob der Unionsgesetzgeber für die Regelung der konkreten Rechtswegzuständigkeit innerhalb der Mitgliedstaaten überhaupt eine Kompetenz besitzt. Die Organisation der Gerichtszweige fällt in die alleinige Regelungskompetenz der Mitgliedstaaten. Aus der Kompetenznorm für den Datenschutz in Art. 16 AEUV dürfte keine Annexkompetenz der EU folgen, die Zuständigkeit der Gerichte innerhalb eines Mitgliedstaats zu regeln, soweit die Grundsätze der Äquivalenz und Effektivität gewahrt sind. Ein dem Äquivalenz- und Effektivitätsgebot entsprechender Rechtsschutz lässt sich auch durch die ordentlichen Gerichte sicherstellen. Betroffene können unmittelbar über den Zivilrechtsweg auf Schadensersatz klagen, ohne vor den Verwaltungsgerichten Klage auf Feststellung eines Datenschutzverstoßes erheben zu müssen.

Vgl. Meyer, Rechtsweg und Klagegegner bei Schadensersatzklagen nach Art. 82 DSGVO, ZD 2025, 200 (203), beck-online; VG Osnabrück, Beschluss vom 12. Dezember 2025 - 7 A 230/25 -, juris Rn. 18 f. m.w.N.; Quaas, in: BeckOK, Datenschutzrecht, Wolff/Brink/v. Ungern-Sternberg, 54. Edition, Stand: 01.11.2025, Art. 82 Rn. 46.1.

Art. 82 Abs. 6, Art. 79 Abs. 2 DSGVO bestimmen demnach allein, welcher Mitgliedstaat zuständig ist und mithin welche nationale Rechtsordnung Anwendung findet.

Enthält Art. 82 Abs. 6 DSGVO kein Verbot der Rechtswegaufspaltung, ist eine Vorlage des Rechtsstreits an den Europäischen Gerichtshof nach Art. 267 AEUV entgegen der Auffassung des Klägers nicht veranlasst. Unionsrecht steht der Zuweisung des vom Kläger gegen die Beklagte geltend gemachten datenschutzrechtlichen Auskunftsanspruchs zu den Verwaltungsgerichten einerseits und den Schadensersatzanspruch zu den Zivilgerichten andererseits nicht entgegen.

Die Verweisung an das Amtsgericht W. beruht auf §§ 23 Nr. 1, 71 GVG i.V.m. § 44 Abs. 1 Satz 2 BDSG. Eine Zuständigkeit des Landgerichts nach § 71 Abs. 2 Nr. 2 GVG besteht nicht. Danach sind die Landgerichte ohne Rücksicht auf den Wert des Streitgegenstandes ausschließlich zuständig für die Ansprüche gegen Richter und Beamte wegen Überschreitung ihrer amtlichen Befugnisse oder wegen pflichtwidriger Unterlassung von Amtshandlungen, also für Ansprüche aus § 839 BGB, auch wenn sie sich nach Art. 34 GG gegen den Dienstherrn richten. Der Kläger macht aber einen Schadensersatzanspruch aus § 82 Abs. 1 DSGVO geltend. Dieser stellt keinen Amtshaftungsanspruch dar. Der Anspruch aus Art. 82 Abs. 1 DSGVO ist auch dann, wenn er sich - wie hier - gegen eine Behörde richtet, kein Anspruch aus der Verletzung von Amtspflichten im Sinne des Art. 34 S. 1 GG, da es sich nicht um eine auf die Behörde übergeleitete Haftung des Amtsträgers, sondern um eine originäre Haftung der Behörde handelt.

Vgl. BFH, Beschluss vom 28. Juni 2022 - II B 92 / 21 -, juris Rn. 16; BSG, Beschluss vom 6. März 2023 - B 1 SF 1/22 R - juris, Rn. 19.

Den Volltext der Entscheidung finden Sie hier:

LAG Hessen
Urteil vom 10.02.2026
12 SLa 709/25

Das LAG Hessen hat entschieden, dass ein Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO infolge eines Hackerangriffs ausscheidet, wenn der Betroffene den konkreten Datenabfluss nicht schlüssig darlegt und lediglich ein hypothetisches Risiko einer missbräuchlichen Verwendung behauptet. Nach Ansicht des Gerichts begründet ein Kontrollverlust nur dann einen entschädigungsfähigen immateriellen Schaden, wenn die Befürchtung eines Datenmissbrauchs unter Anwendung eines objektiven Maßstabs als begründet anzusehen ist.

Aus den Entscheidungsgründen:
1. Ein Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO setzt nach der Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß voraus, wobei diese drei Voraussetzungen kumulativ gegeben sein müssen (vgl. EuGH 4. Oktober 2024 - C-200/23 - [Agentsia po vpisvaniyata] Rn. 140; EuGH 4. Mai 2023 - C-300/21 - [Österreichische Post] Rn. 32; ebenso BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10). Vorliegend fehlt es an allen drei Voraussetzungen.

Hinsichtlich der Darlegungs- und Beweislast gilt, dass die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. EuGH 11. April 2024 - C-741/21 - [juris] Rn. 35; EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 60 f.; BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 13; BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10).

a. Es fehlt bereits an einem schlüssigen Vortrag des Klägers zu einem Verstoß gegen die Bestimmungen der DSGVO. Zwar sind unstreitig Daten des Klägers kopiert worden und im Darknet ist eine Liste von Dateinamen aufzufinden, die die von den Hackern kopierten Dateien bezeichnen. Es fehlt aber an dem von dem darlegungsverpflichteten Kläger zu erbringendem Vortrag, welche seiner Daten konkret von den Hackern kopiert worden sind. Über diese Kenntnis verfügt der Kläger, weil die Beklagte mit ihrem Auskunftsschreiben in der dem Schreiben beigefügten Anlage 2 die kopierten Daten konkret bezeichnet hat. Dieser Umstand ist von der Beklagten bereits im erstinstanzlichen Verfahren unbestritten vorgetragen worden und auch im Berufungsverfahren bis zuletzt unstreitig geblieben. Zwar hat der Kläger in der mündlichen Verhandlung vom 10. Februar 2026 auf Nachfrage des Vorsitzenden angegeben,nach seiner Erinnerung habe er die Anlage 2 zum Informationsschreiben der Beklagten über den Datenschutzvorfall nicht erhalten, dies stellt aber kein erhebliches Bestreiten dar. Einerseits belegt der Umstand, dass der Kläger im Rahmen der mündlichen Verhandlung auf seinem Mobiltelefon zwar eine Kopie des Auskunftsschreiben vorgefunden hat, nicht aber die Anlagen zu dem Schreiben, nicht, dass diese dem ursprünglichen Schreiben nicht beigefügt waren. Andererseits stellt sein Hinweis auf seine fehlende Erinnerung nicht die ausdrückliche Angabe dar, die Anlage seien nicht beigefügt gewesen. Im Übrigen wäre das erstmalige Bestreiten des Erhalts der Anlage 2 in der mündlichen Verhandlung vor dem Landesarbeitsgericht verspätet, da es zumindest nicht mit der Berufungsbegründung erfolgt ist, § 67 Abs. 4 ArbGG, und die Berücksichtigung zu einer Verzögerung des Berufungsverfahrens führen würde.

Soweit der Kläger mit seiner Berufungsbegründung die erstinstanzliche Behauptung hinsichtlich der konkret kopierten Daten wiederholt, fehlt es an einer Auseinandersetzung mit dem Vortrag der Beklagten, bei den laut Kläger angeblich kopierten Daten handele es sich nicht um die widerrechtlich kopierten Daten, sondern um Daten, die in Beschäftigungsverhältnissen von der Beklagten grundsätzlich gespeichert werden. Diese grundsätzlich erhobenen Daten seien im Auskunftsschreiben als Anlage 1 beigefügt gewesen, die widerrechtlich kopierten Daten des Klägers in Anlage 2. Hinzu kommt, dass die Beklagte hinsichtlich einzelner Daten, nämlich bezüglich der Bank-, Steuer-, Renten- und Sozialversicherungsdaten sowie hinsichtlich der privaten Zugangsdaten und der Handynummer des Klägers ausdrücklich vorgetragen hat, diese Daten seien nicht kopiert worden. Eine Auseinandersetzung des Klägers mit diesem Vorbringen fehlt ebenfalls.

Soweit der Kläger mit der Berufungsbegründung neben der erstinstanzlich behaupteten Verletzung von Art. 32 und 34 DSGVO erstmals und im Weg der Verwendung von Textbausteinen die Verletzung von Art. 6, 12 bis 14, 33 und 35 DSGVO rügt, fehlt es insgesamt an einem hinreichenden Vortrag zu einem Datenschutzverstoß.

b. Auch das Vorliegen eines immateriellen Schadens – einen materiellen Schaden behauptet der Kläger nicht schlüssig – kann nach Auffassung der Kammer vorliegend nicht anerkannt werden. Der Kläger beruft sich insoweit auf einen Kontrollverlust durch das Kopieren seiner Daten und auf seine Befürchtung einer missbräuchlichen Verwendung seiner Daten durch die Hackerorganisation.

aa. Zwar kann nach der Rechtsprechung des EuGH ein Kontrollverlust auch dann gegeben sein, wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil der geschützten Person erfolgt sein sollte (vgl. EuGH 4. Oktober 2024 - C-200/23 - [Agentsia po vpisvaniyata] Rn. 144 ff.), denn es kann die entsprechende Gefahr bestanden haben. Die durch einen Verstoß gegen die Datenschutz-Grundverordnung ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden i.S.v. Art. 82 Abs. 1 DSGVO darstellen (EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 65; EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 79 ff.). Das rein hypothetische Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten kann jedoch nicht zu einer Entschädigung führen (EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 68; BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 13; BSG 24. September 2024 - B 7 AS 15/23 R - Rn. 31).

Unter einem Kontrollverlust versteht der EuGH daher nur eine Situation, in der die betroffene Person eine begründete Befürchtung des Datenmissbrauchs hegt (vgl. BSG 24. September 2024 - B 7 AS 15/23 R - Rn. 31). Das bloße Berufen auf eine bestimmte Gefühlslage reicht dabei nicht aus. Das Gericht hat vielmehr zu prüfen, ob das Gefühl unter Berücksichtigung der konkreten Umstände als begründet angesehen werden kann (EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 85). Dies setzt zwingend die Anwendung eines objektiven Maßstabs voraus (BAG 25. Juli 2024 - 8 AZR 225/23 - Rn. 33; BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 15; BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10). Je gravierender die Folgen eines Verstoßes gegen die Datenschutz-Grundverordnung sind, desto näher liegt eine begründete Befürchtung des Datenmissbrauchs. So wird die Veröffentlichung von sensiblen Daten im Internet aufgrund eines Datenlecks typischerweise eine Grundlage für solche Befürchtungen darstellen (BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10).

bb. Zwar wird mit dem Kläger davon auszugehen sein, dass er wegen des widerrechtlichen Kopierens seiner nicht näher bezeichneten personenbezogenen Daten einen Kontrollverlust bezüglich ihrer erlitten hat, eine begründete Sorge bezüglich des Eintritts eines weitergehenden Schadens ist jedoch nicht erkennbar.

Zunächst ist festzuhalten, dass die personenbezogenen Daten des Klägers im Internet oder im Darknet nicht eingestellt sind und auch zu keinem Zeitpunkt für einen Abruf dort zur Verfügung standen. Alleine ist im Darknet eine Liste mit Dateinamen eingestellt worden. Die einzelnen mit dem Dateinamen bezeichneten Dateien sind nicht einzusehen. Der Inhalt der Dateien ist, mit Ausnahme der Hackerorganisation selbst, Dritten nicht zugänglich. Hinzu kommt, dass die Beklagte unbestritten vorgetragen hat, dass es sich bei den kopierten Daten um eine riesige Menge nicht nur personenbezogener Daten handele, die unstrukturiert für unbefugte Dritte nicht nutzbar seien und von unbefugten Dritten auch nicht ohne massiven finanziellen Aufwand strukturiert werden könnten. Auch das Hochladen der Daten insgesamt dürfte für die Hackerorganisation aufgrund der Datenmenge einen ganz erheblichen Kostenfaktor darstellen. Bereits vor dem Hintergrund dieser Kosten und des erheblichen Aufwands, die Daten des Klägers strukturiert zusammenzufassen und darzustellen, erscheint es der Kammer ausgeschlossen, dass personenbezogene Daten des Klägers öffentlich gemacht werden.

Aber selbst, wenn die Kammer davon ausgehen wollte, dass die personenbezogenen Daten des Klägers zukünftig noch eingestellt werden könnten, wären begründete Befürchtungen eines Datenmissbrauchs nicht anzuerkennen. Entscheidend ist in diesem Zusammenhang, dass die Daten veraltet sind und ihr Wert für Dritte, die die Daten in schädigender Weise nutzen wollten, gegen Null tendiert. Zunächst ist nämlich darauf hinzuweisen, dass die Daten nicht dem Stand des Zeitpunkts des Kopierens entsprechen, sondern allenfalls dem Zeitpunkt des Ausscheidens des Klägers aus dem Arbeitsverhältnis mit der A am 30. November 2020. Anhaltspunkte dafür, dass die vormalige Arbeitgeberin nach dem Ausscheiden des Klägers seine Daten noch gepflegt hat, sind nicht gegeben. Hinzu kommt, dass auch im Zeitpunkt des Ausscheidens des Klägers aus dem Arbeitsverhältnis seine Daten, die knapp zwei Jahre später kopiert worden sind, nicht vollständig aktuell waren. Im Rahmen der Erörterungen im Verhandlungstermin vor der Kammer hat sich beispielsweise herausgestellt, dass die Festnetznummer des Klägers, die kopiert worden ist, nicht der im Jahr 2020 verwendeten Festnetznummer des Klägers entsprach. Die kopierte Nummer entstammte vielmehr der Zeit der Begründung des Arbeitsverhältnisses. Sie war also im Jahr 2006 aktuell gewesen, nicht mehr jedoch in den Jahren 2020 oder 2022. Gleiches gilt bzgl. des kopierten Wohnorts des Klägers. Auch hier wurde eine Wohnortangabe kopiert, die im Kalenderjahr 2020 nicht mehr aktuell war.

Begründete Befürchtungen eines Missbrauchs der personenbezogenen Daten des Klägers bezüglich seiner Bank-, Steuer-, Renten- und Sozialversicherungsdaten sowie seiner privaten Zugangsdaten und seiner Mobiltelefonnummer scheiden schon deshalb aus, weil die Beklagte diesbezüglich im Ergebnis unbestritten angegeben hat, diese Daten seien nicht kopiert worden.

Vor diesem Hintergrund greift auch das Vorbringen des Klägers zu einem materiellen Schadensersatz nicht durch. Seine erstmals mit Schriftsatz vom 03. Februar 2023 (Blatt 131 der Akte) aufgestellte und von der Beklagten bestrittene Behauptung "Mein Microsoft-Account wurde gehackt und es kam zu Abbuchungen für nicht bestelle Spiele-Abos auf der Microsoft Plattform (Wert ca. 200-300 EUR)" erläutert ungeachtet des Fehlens jeglicher hinreichender Substantiierung und ungeachtet von § 67 ArbGG nicht, wie dieser Schaden entstanden sein soll, wenn private Zugangsdaten und Bankdaten nicht von den Hackern kopiert worden sind.

c. Soweit der Kläger mit der Berufungsbegründung eine Verletzung der Art. 6, 12 bis 14, 33, 34 und 35 DSGVO rügt, fehlt es auch an einem schlüssigen Vortrag des Klägers zu einer Kausalität zwischen dem behaupteten Datenschutzverstoß und dem hier geltend gemachten Schaden. Hierauf hat das Arbeitsgericht bezüglich Art. 34 DSGVO bereits zutreffend hingewiesen.

2. Der auf den Ersatz etwaiger zukünftiger Schäden gerichtete Feststellungsantrag des Klägers ist bereits unzulässig.

Die Zulässigkeit eines Feststellungsantrags setzt, soweit er sich auf künftig erwachsende Schäden bezieht, eine nicht entfernt liegende, vom Kläger darzulegende (vgl. BGH 5. Oktober 2021 - VI ZR 136/20 - Rn. 28) Möglichkeit eines Schadens voraus, d.h. aufgrund des festgestellten Sachverhalts muss der Eintritt eines künftigen weiteren Schadens zumindest denkbar und möglich erscheinen (vgl. BAG 05. Juni 2025 - 8 AZR 117/24 - Rn. 29; BAG 29. März 2023 - 5 AZR 55/19 - Rn. 28; BGH 10. Januar 2023 - VI ZR 67/20 - Rn. 14 mwN). Eine gewisse Wahrscheinlichkeit eines Schadenseintritts muss bestehen (LAG Düsseldorf – 12 Sa 1007/23 - Rn. 162). Hiervon kann vorliegend, wie unter II.1.b.bb. gezeigt, nicht ausgegangen werden.

Unabhängig von der fehlenden Zulässigkeit des Feststellungsantrags stünde diesem auch entgegen, dass der Kläger mit seinem Antrag im Gegensatz zum Verfahren erster Instanz nunmehr ein Kopieren der Daten am 01. August 2022 behauptet, wofür sich in der Akte keine Anhaltspunkte finden lassen. Diese Widersprüchlichkeit des Vortrags erster und zweiter Instanz konnte auch im Verhandlungstermin trotz Nachfragen von dem Kläger nicht aufgeklärt werden. Eine Berichtigung des Antrags unterblieb.

Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 19.03.2026
C-526/24
Brillen Rottler

Der EuGH hat entschieden, dass ein Auskunftsanspruch nach Art. 15 DSGVO als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO abgelehnt werden kann, wenn eine Newsletter-Anmeldung und der anschließend geltend gemacht Auskunftsanspruch primär in der missbräuchlichen Absicht erfolgten, künstlich die Voraussetzungen für einen Schadensersatzanspruch gemäß Art. 82 DSGVO zu schaffen.

Die Pressemitteilung des EuGH:
Ein Antrag auf Auskunft über die eigenen personenbezogenen Daten kann als missbräuchlich eingestuft und zurückgewiesen werden, wenn er allein in der Absicht gestellt wird, anschließend Schadensersatz wegen eines angeblichen Verstoßes gegen die Datenschutz-Grundverordnung (DSGVO) zu fordern

Eine in Österreich wohnhafte Person abonnierte den Newsletter des familiengeführten Optikerunternehmens Brillen Rottler mit Sitz im deutschen Arnsberg. Dabei gab sie ihre personenbezogenen Daten in die Anmeldemaske auf der Website des Unternehmens ein.

13 Tage später richtete sie einen Auskunftsantrag nach der DSGVO an Brillen Rottler. Nach der DSGVO hat eine betroffene Person im Sinne dieser Verordnung das Recht, von dem Verantwortlichen im Sinne dieser Verordnung eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden, und, wenn dies der Fall ist, das Recht auf Auskunft über diese Daten und die damit verbundenen Informationen.

Brillen Rottler wies den Antrag zurück, da er missbräuchlich sei. Aus verschiedenen Medienberichten, Blogbeiträgen und Berichten von Rechtsanwälten sei ersichtlich, dass sich der Antragsteller systematisch zu Newslettern verschiedener Unternehmen anmelde, dann Auskunft beantrage und schließlich Schadensersatz fordere. Der Antragsteller hingegen hält seinen Auskunftsantrag für legitim und fordert von Brillen Rottler eine Entschädigung in Höhe von mindestens 1 000 Euro für den immateriellen Schaden, der ihm durch die Zurückweisung des Antrags entstanden sei.

Das Amtsgericht Arnsberg, das mit dem Rechtsstreit zwischen Brillen Rottler und dem Antragsteller über die Berechtigung der vorstehend genannten Anträge befasst ist, hat den Gerichtshof dazu befragt, ob ein erster Antrag der betroffenen Person auf Auskunft über personenbezogene Daten als „exzessiv“ angesehen werden kann und ob diese Person einen Anspruch auf Ersatz des aus einer Verletzung des Rechts auf Auskunft über diese Daten entstandenen Schadens hat.

Der Gerichtshof antwortet, dass ein erster Auskunftsantrag unter bestimmten Umständen bereits als „exzessiv“ im Sinne der DSGVO angesehen werden und daher missbräuchlich sein kann.

Dies ist der Fall, wenn der Verantwortliche nachweist, dass trotz formaler Einhaltung der in der DSGVO vorgesehenen Voraussetzungen für die Stellung eines Auskunftsantrags dieser Antrag nicht gestellt wurde, um sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, sondern in der als „missbräuchlich“ einzustufenden Absicht, künstlich die Voraussetzungen für die Erlangung von Schadensersatz nach der DSGVO zu schaffen.

Dass die betroffene Person nach öffentlich zugänglichen Informationen etwa mehrere Anträge auf Auskunft über ihre personenbezogenen Daten, gefolgt von Schadensersatzforderungen gegenüber verschiedenen Verantwortlichen, gestellt hat, kann für die Feststellung einer solchen missbräuchlichen Absicht berücksichtigt werden.

Außerdem hat eine Person, der wegen eines Verstoßes gegen die DSGVO – einschließlich einer Verletzung des Rechts auf Auskunft über ihre personenbezogenen Daten – ein materieller oder immaterieller Schaden entstanden ist6, Anspruch auf Ersatz des betreffenden Schadens gegen den Verantwortlichen. Der Gerichtshof stellt jedoch klar, dass die betroffene Person als Voraussetzung für einen solchen Schadensersatz u. a. nachweisen muss, dass ihr tatsächlich ein entsprechender Schaden entstanden ist. Im Übrigen kann diese Person keinen Schadensersatz7 nach der DSGVO erhalten, wenn ihr eigenes Verhalten die entscheidende Ursache für den Schaden ist.

Es ist Sache des Amtsgerichts Arnsberg, den bei ihm anhängigen Rechtsstreit unter Berücksichtigung der Antworten des Gerichtshofs zu entscheiden.

Tenor der Entscheidung:
1. Art. 12 Abs. 5 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass ein erster von der betroffenen Person an den Verantwortlichen gerichteter Antrag nach Art. 15 dieser Verordnung auf Auskunft über personenbezogene Daten als „exzessiv“ im Sinne dieses Art. 12 Abs. 5 angesehen werden kann, wenn der Verantwortliche in Ansehung aller relevanten Fallumstände nachweist, dass dieser Antrag trotz formaler Einhaltung der in diesen Bestimmungen vorgesehenen Bedingungen von der betroffenen Person nicht gestellt wurde, um sich der Verarbeitung dieser Daten bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, damit sie anschließend ihre Rechte aus der besagten Verordnung schützen kann, sondern in missbräuchlicher Absicht wie zur künstlichen Schaffung der Voraussetzungen für die Erlangung eines sich aus dieser Verordnung ergebenden Vorteils. Dass die betroffene Person nach öffentlich zugänglichen Informationen etwa mehrere Anträge auf Auskunft über ihre personenbezogenen Daten, gefolgt von Schadensersatzforderungen gegenüber verschiedenen Verantwortlichen, gestellt hat, kann für die Feststellung einer solchen missbräuchlichen Absicht berücksichtigt werden.

2. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass er der betroffenen Person einen Anspruch auf Ersatz des aus einer Verletzung des Auskunftsrechts nach Art. 15 Abs. 1 dieser Verordnung entstandenen Schadens verleiht.

3. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, das der immaterielle Schaden der betroffenen Person den Verlust der Kontrolle über ihre personenbezogenen Daten oder ihre Ungewissheit darüber umfasst, ob ihre Daten verarbeitet wurden, sofern insbesondere nachgewiesen wird, dass dieser Person tatsächlich ein solcher Schaden entstanden ist und dass ihr Verhalten nicht die entscheidende Ursache für diesen Schaden war.

Den Volltext der Entscheidung finden Sie hier:

LG Krefeld
Urteil vom 06.11.2025
3 O 93/24

Das LG Krefeld hat entschieden, dass ein Anspruch auf Schadensersatz aus Art. 82 DSGVO bei einem Hackerangriff – im vorliegenden Fall ein Zero-Day-Exploit – nicht besteht, wenn der Nachweis unzureichender Sicherheitsmaßnahmen des Unternehmens fehlt und ein konkreter Schaden nicht substantiiert dargelegt wurde.

Aus den Entscheidungsgründen:
Gemäß Art. 82 Abs. 4 DSGVO haften sowohl der Verantwortliche (hier die Beklagte zu 1) gemäß Art. 4 Nr. 7 DSGVO) als auch der Auftragsverarbeiter (hier die Beklagte zu 2) gemäß Art. 4 Nr. 8 DSGVO) gesamtschuldnerisch für einen verursachten Schaden. Soweit die Klägerin ein wirksames Auftragsverarbeitungsverhältnis zwischen den Beklagten mit Nichtwissen bestreitet (Bl. 162 d. A.), ist dieses Bestreiten gemäß § 138 Abs. 4 ZPO unbeachtlich, da er im Widerspruch zu ihrem vorherigen Vortrag (z.B. auf Bl. 8 f. d. A) steht. Denn die Klägerin trägt selbst vor, dass die Daten durch die Beklagte zu 2) als Dienstleister der Beklagten zu 1) verarbeitet worden sind.

Zudem kann das Gericht keinen schuldhaften Verstoß der Beklagten gegen die DSGVO annehmen. Insbesondere kann ein schuldhafter Verstoß gegen Art. 5 Abs. 1 lit. f), 24, 32 DSGVO nicht angenommen werden.

Nach Art. 5 Abs. 1 f) DSGVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen, wobei dies der Verantwortliche nach Art. 5 Abs. 2 DSGVO nachzuweisen hat. Nach Art. 24 Abs. 1 S. 1 DSGVO setzt der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Nach Art. 24 Abs. 2 DSGVO müssen diese Maßnahmen die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht. Nach Art. 32 Abs. 1 DSGVO treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, und zwar unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.

Die DSGVO verlangt ein Risikomanagementsystem einzuführen, aber nicht die Beseitigung des Risikos von Verletzungen des Schutzes personenbezogener Daten (EuGH, Urteil vom 14. Dezember 2023 - C-340/21 -, Rn. 29, juris). Aus dem Wortlaut der Art. 24 und 32 DSGVO ergibt sich, dass diese Bestimmungen dem Verantwortlichen lediglich vorschreiben, technische und organisatorische Maßnahmen zu treffen, die darauf geeignet sind, jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich zu verhindern (EuGH, Urteil vom 14. Dezember 2023 - C-340/21 -, Rn. 30, juris). Die Geeignetheit solcher Maßnahmen ist konkret zu bewerten, indem geprüft wird, ob der Verantwortliche diese Maßnahmen unter Berücksichtigung der verschiedenen in den genannten Artikeln aufgeführten Kriterien und der Datenschutzbedürfnisse getroffen hat, die speziell mit der betreffenden Verarbeitung sowie den davon ausgehenden Risiken verbunden sind. Dabei steht dem Verantwortlichen ein gewisser Entscheidungsspielraum zu (EuGH, Urteil vom 14. Dezember 2023 - C-340/21 -, Rn. 43, juris).

Die Beweislast dafür, dass personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit dieser Daten im Sinne von Art. 5 Abs. 1 f) und Art. 32 DSGVO gewährleisten, obliegt dem für die betreffende Verarbeitung Verantwortlichen (EuGH, Urteil vom 14. Dezember 2023 - C-340/21 -, Rn. 52, juris). Wenn eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO von Cyberkriminellen und damit von „Dritten“ im Sinne von Art. 4 Nr. 10 DSGVO begangen wurde, kann diese Verletzung dem Verantwortlichen nur dann zugerechnet werden, wenn dieser die Verletzung unter Missachtung einer Verpflichtung aus der DSGVO, insbesondere der Verpflichtung zum Datenschutz, die ihm nach Art. 5 Abs. 1 f), Art. 24 und Art. 32 DSGVO obliegt, ermöglicht hat (EuGH, Urteil vom 14. Dezember 2023 - C-340/21 -, Rn. 71, juris). Hackerangriffe oder Datenlecks entlasten (nur), wenn der Verantwortliche die übliche Sorgfalt zum Schutz der Daten angewendet hat, wobei zu berücksichtigen ist, dass die DSGVO nicht erfordert, alle theoretisch möglichen Schutzvorkehrungen vorzusehen (Quaas, in: BeckOK DatenschutzR, 51. Edition Stand: 01.02.2025, Art. 82, Rn. 18).

Ein pflichtwidriger Verstoß der Beklagten gegen die DSGVO kann vor diesem Hintergrund nicht festgestellt werden. Die Beklagten haben die Einhaltung ihrer datenschutzrechtlichen Pflichten substantiiert und ausführlich dargelegt, dies vermag die Klägerin mit ihrem bloßen Bestreiten nicht zu entkräften. Die Klägerin unterliegt vielmehr irrig der Annahme, der erfolgreiche Angriff liefere ein belastbares Indiz für unzureichende technische und organisatorische Maßnahmen im Vorfeld. Ein derartiger Rückschluss ist jedoch verfehlt (vgl. dazu OLG Stuttgart, BeckRS 2021, 6282 Rn. 52). Soweit sie darauf abstellt, dass die Beklagten weitere technische Maßnahmen hätten ergreifen können, wovon sie einige aufzählt, ergibt sich hieraus keine Umsetzungspflicht, deren Nichteinhaltung einen datenschutzrechtlichen Verstoß begründen kann. Die Beklagten sind lediglich dazu verpflichtet, geeignete Maßnahmen zu treffen, die darauf gerichtet sich, eine Datenschutzverletzung so weit wie möglich zu verhindern (vgl. EuGH ZD 2024, 150, 152 Rn. 30 f.). Dies ist nicht gleichbedeutend mit sämtlichen, den Stand der Technik erschöpfenden Maßnahmen. Unzureichend wären die von den Beklagten beschriebenen TOM nur dann, wenn sich zuvor konkrete Anhaltspunkte für die Fehleranfälligkeit der - zum Zeitpunkt des Vorfalls - marktführenden G.-Anwendung ergeben hätten. Die Klägerin behauptet insoweit pauschal und ohne nähere Darlegung. Sie verweist hierzu auf einen unergiebigen öffentlichen Beitrag sowie auf sog. CVE-Einträge einer Fehlerdatenbank. Daraus ergibt sich indes nicht, ob die Beklagten diese Umstände vor dem Cyberangriff konkret wahrgenommen haben oder hätten wahrnehmen müssen, da insbesondere die letztgenannte Quelle vielmehr dafür spricht, dass das Programm seitens des Herstellers regelmäßig überprüft und sicherheitstechnisch weiterentwickelt wurde und wird. Gegen die Annahme, dass die Beklagten entsprechende Bedenken hätten haben müssen, spricht der Umstand, dass weltweit ca. 2.500 Unternehmen und Institutionen dem - insoweit unvorhergesehenen - sog. „zero-day-exploit“ zum Opfer fielen. Die Beklagte zu 1) hatte keinen Anlass zur verstärkten Kontrolle der Beklagten zu 2), Zweifel an der Eignung der Beklagten zu 2) als Auftragsverarbeiterin wurden nicht vorgetragen.


Selbst wenn man einen Verstoß unterstellen würde, würde dies vorliegend nicht zu einem Schmerzensgeldanspruch führen. Den der Vortrag bzgl. der Sorgen, Ängste und des Gefühls eines Kontrollverlustes bleibt vollkommen unsubstantiiert. Auch fehlt hinreichender Vortrag zur Kausalität der behaupteten Datenschutzverstöße für die Schäden. Der Anspruch auf Schadensersatz gemäß Art. 82 Art. 1, 2 DSGVO resultiert nicht allein aus einem - mit dem Vorfall eines Datenmissbrauchs stets einhergehenden - Kontrollverlust. Erforderlich ist vielmehr ein konkreter, tatsächlicher und darüberhinausgehender Schaden. Die von der Klägerin vorgetragenen Sorgen und Ängste um ihre erhöhte Risikoanfälligkeit sind innere Vorgänge, die unter Heranziehung von Beweiszeichen objektiver Art näher darzulegen sind (vgl. LG Mainz GRUR-RS 2024, 42662 Rn. 28; OLG Hamm GRUR 2023, 1791). Alltägliche, negative Empfindungen allein begründen keinen ersatzfähigen (psychischen) Schaden. Der Vortrag der Klägerin, sie erhielte seit dem Vorfall vermehrt unerwünschte Anrufe, SMS sowie Spam-E-Mails, ist unschlüssig, da sie eine Betroffenheit dieser Datentypen bereits nicht hinreichend darlegt und derartige Kontaktversuche - wie allgemein bekannt - auch anlasslose, unregelmäßige Vorkommnisse des Alltags sein können. Es entspricht der allgemeinen Lebenswirklichkeit, dass man von derartigen Kontaktversuchen betroffen ist. Im Übrigen hat die Klägerin auch nicht vorgetragen, ihre E-Mail oder Telefonnummer in Reaktion hierauf ausgetauscht, oder ihr Verhalten im Internet anderweitig angepasst zu haben, was diese Vorfälle - als objektives Beweiszeichen - hätte plausibilisieren können.

In der Folge besteht auch kein Zinsanspruch.

Der Klageantrag zu 2) ist bereits unzulässig. Er ist weder hinreichend bestimmt noch besteht ein Feststellungsinteresse.

Ein Klageantrag ist i.S.v. § 253 Abs. 2 Nr. 2 ZPO hinreichend bestimmt, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) absteckt, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abwälzt und eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt (BGH, Urteil vom 9. März 2021 - VI ZR 73/20, VersR 2021, 795 Rn. 15). Dabei ist die Verwendung auslegungsbedürftiger Begriffe im Klageantrag zulässig, wenn über ihren Sinngehalt zwischen den Parteien kein Streit besteht und objektive Maßstäbe zur Abgrenzung vorliegen, oder wenn der Kläger den auslegungsbedürftigen Begriff hinreichend konkret umschreibt und gegebenenfalls mit Beispielen unterlegt oder sein Begehren an der konkreten Verletzungshandlung ausrichtet (BGH, Urteile vom 2. Juni 2022 - I ZR 140/15, BGHZ 234, 56 Rn. 26; vom 9. September 2021 - I ZR 113/20, GRUR 2021, 1425 Rn. 12 mwN). Bei einem - wie vorliegend - auf Vornahme einer Handlung gerichteten Antrag muss deren Art und Umfang bestimmt bezeichnet sein (Anders, in: Anders/Gehle, ZPO, 83. Aufl. 2025, § 253 Rn. 48).

Daran gemessen ist der Klageantrag zu 1) nicht hinreichend bestimmt. Die begehrte Feststellung bezieht sich auf die Verpflichtung, den „unbefugten Zugriff Dritter (…) zu verhindern“. Es ist jedoch auch unter Zugrundelegung des Vortrages der Klägerin nicht ersichtlich, in welchen Fällen konkret von einem unbefugten Zugriff durch Dritte auszugehen ist und welche Voraussetzungen eine „geeignete Datentransfer Software“ dementsprechend zu erfüllen hätte. Dies gilt insbesondere vor dem Hintergrund, dass die DSGVO ein risikobasiertes Maßnahmenkonzept vorschreibt und gerade nicht die Beseitigung jedweden Risikos von Verletzungen der personenbezogenen Daten verlangt (vgl. EuGH, Urteil vom 14. Dezember 2023 - C-340/21 -, Rn. 29, juris). Der Klageantrag lässt sich damit nicht in einer Weise auslegen, dass die Klägerin eine nach Art und Umfang hinreichend bestimmte Handlung begehrt, was den Streit in unzulässiger Weise in die Zwangsvollstreckung verlagern würde (vgl. zum Begriff „unbefugter Dritter“ auch BGH, Urteil v. 18.11.2024 - VI ZR 10/24, GRUR 2024, 1910, Rn. 56, 58).

Überdies ist der Klageantrag zu 2) auch mangels Feststellungsinteresse i.S.d. § 256 Abs. 1 ZPO unzulässig. Ein Interesse an der Feststellung einer Ersatzpflicht für künftige Schäden rein materieller Art - wie sie die Klägerin vorliegend mit dem Antrag zu 2) geltend macht - hängt von der Wahrscheinlichkeit des ausstehenden Schadenseintritts ab (OLG Brandenburg BeckRS 2020, 42937 Rn. 3). Ist hingegen bei verständiger Würdigung des Einzelfalls nicht mit dem Eintritt eines künftigen Schadens zu rechnen, so ist bereits eine derartige Möglichkeit zu verneinen (OLG Hamm GRUR 2023, 1793, 1803 Rn. 192ff.). Die Klägerin hat vorliegend keine Umstände vorgetragen, die den Eintritt künftiger Schäden über eine bloß theoretische Befürchtung hinaus wahrscheinlich werden lassen. Die Sicherheitslücke konnte durch ein Herstellerupdate am 02.06.2023 behoben werden. Seit dem knapp 2 ½ Jahre zurückliegenden Vorfall vom 31.05.2023 hat die Klägerin keine materiellen Schäden erlitten. Dabei verringert sich eine solche Möglichkeit stetig mit fortschreitendem Zeitablauf (OLG Köln GruR-RS 2023, 36757 Rn. 54). Die pauschalen Ausführungen der Klägerin zu hypothetisch erhöhten Risiken - die sich teilweise auf Daten beziehen, die dem Angriff bereits nicht anheimfielen - ändern hieran nichts. Gegen die Annahme, dass die Klägerin selbst mit künftigen Vermögensschäden rechnet, spricht auch, dass die Klägerin nicht vorträgt, entsprechende Schutzvorkehrungen getroffen zu haben, etwa durch Änderung ihrer Rufnummer, E-Mail-Adresse oder Bankverbindung. Schließlich trägt die Klägerin selbst vor, zum jetzigen Zeitpunkt noch nicht absehen zu können, welche Folgen durch die entwendeten persönlichen Daten eintreten werden.

Den Volltext der Entscheidung finden Sie hier: