By name: datenschutz-schadensersatz-art-82-dsgvo description: "Schadensersatzklage nach Art. 82 DSGVO materieller und immaterieller Schaden vor deutschen Zivilgerichten. EuGH C-300/21 Oesterreichische Post C-340/21 Bulgarian Sofia C-687/21 MediaMarkt C-741/21 juris GmbH C-456/22 VX gegen Saale. Sieben-Fragen-Diagnose Anspruchsteller oder Anspruchsgegner Verstoss..."
Datenschutz Schadensersatz — Gerichtsstreit nach Art. 82 DSGVO
Wann dieses Modul hilft / Kaltstart-Fragen
Sie brauchen den Skill, sobald (a) ein Betroffener Schadensersatz vom Mandanten verlangt oder (b) der Mandant gegen einen Verantwortlichen vorgehen will.
Sieben-Fragen-Diagnose:
- Anspruchsteller oder Anspruchsgegner? Andere Schritte je nach Seite.
- Welcher konkrete Verstoss? Norm und Sachverhalt — nicht pauschal "DSGVO verletzt".
- Kausalitaet: Welcher Schaden hat sich aus welchem Verstoss konkret entwickelt? Kausalkette schriftlich.
- Schadensart: Materiell (Vermögen) und/oder immateriell (Gefuehl, Kontrollverlust, Sorge)? Höhe geschaetzt?
- Beweislast: Wer muss was beweisen — Verantwortlicher entlastet sich nach Art. 82 III DSGVO, dass er nicht verantwortlich ist; Kläger muss Verstoss und Schaden darlegen.
- Verjährung: Art. 82 selbst regelt nichts; nach BGH-Rspr. § 195 BGB drei Jahre ab Kenntnis.
- Anspruchskonkurrenz: UWG, BDSG § 83, deliktische Ansprueche §§ 823 ff. BGB?
Rechtlicher Rahmen
- Art. 82 I DSGVO Jede Person, die einen materiellen oder immateriellen Schaden erlitten hat, hat Anspruch gegen den Verantwortlichen oder Auftragsverarbeiter.
- Art. 82 II DSGVO Verantwortlicher haftet für Schaeden aus Verarbeitungen; Auftragsverarbeiter nur bei Pflichtverletzung gegen DSGVO-Auftragsverarbeiterspflichten oder Weisung.
- Art. 82 III DSGVO Entlastung des Verantwortlichen oder Auftragsverarbeiters bei Nachweis, in keinerlei Hinsicht verantwortlich.
- Art. 82 IV DSGVO Gesamtschuld bei mehreren Verantwortlichen.
- EuGH C-300/21 Oesterreichische Post (Urteil 04.05.2023): Kein blosser Verstoss reicht; konkreter Schaden notwendig; keine Erheblichkeitsschwelle.
- EuGH C-340/21 Bulgarian Sofia (Urteil 14.12.2023): Auch blosse Sorge vor Datenmissbrauch kann immaterieller Schaden sein; Verantwortlicher hat TOM-Pflicht und Beweislast für Geeignetheit; Hackerangriff allein entlastet nicht.
- EuGH C-687/21 MediaMarkt (Urteil 25.01.2024): Befürchtungen Betroffener können Schaden begruenden; konkretes Ausmass und Kausalitaet sind zu prüfen.
- EuGH, Urt. v. 11.04.2024 - C-741/21 (juris GmbH): Verschulden und Schaden — Art. 82 DSGVO setzt Verschulden voraus; Höhe nach nationalem Recht, aber unter Beachtung Effektivitaet und Äquivalenz.
- EuGH C-456/22 VX/Saale (Urteil 14.12.2023): Schadensersatz hat kompensatorische und keine Straffunktion; auch geringe Schadenshoehen möglich.
- BGH VI ZR 1148/22 (Urteil 18.11.2024): Bei DSGVO-Verstoss zeitnah Kontrollverlust und Folgen darzulegen; pauschale Behauptung reicht nicht.
- Art. 79 II DSGVO Gerichtsstand am Sitz des Verantwortlichen oder gewoehnlichen Aufenthaltsort des Betroffenen.
- § 195 BGB drei Jahre.
Mandantenfuehrung Schritt-für-Schritt
Klägerseite
- Zuerst: Beleg-Akte anlegen — Mailverkehr, Screenshots, Auskunftsersuchen nach Art. 15 DSGVO mit Antwort.
- Als zweites: Schadensdarstellung konkretisieren — Gefuehlssituation, zeitlicher Verlauf, Folgen (Sorge, Kontrollverlust, Aengste, konkrete Aufwendungen).
- Als drittes: Klage einreichen — Gerichtsstand Art. 79 II DSGVO, regelmaessig Amtsgericht bis 5.000 EUR.
Beklagtenseite
- Zuerst: Klageerwiderungsfrist sichern (§ 277 ZPO).
- Als zweites: Tatbestand prüfen — Verstoss nachweisbar? TOM Art. 32 dokumentiert? Belege für entlastenden Nachweis Art. 82 III?
- Als drittes: Kausalitaet und Schaden bestreiten — Erhalt von Spam-Mails, Wechselgefuehle ohne konkrete Folge sind nach EuGH C-300/21 nicht ausreichend; aber Sorge kann nach EuGH C-340/21 reichen.
- NICHT vorschnell anerkennen: Auch nicht "aus Goodwill", da Praezedenz für weitere Verfahren.
- Vergleich erwaegen: Bei klarer Beweislast lieber Vergleich als Praezedenzurteil.
Trade-off-Matrix
| Variante | Vorteil | Nachteil |
|---|---|---|
| Klage mit hohem Streitwert | Maximale Forderung | Hohe Vorschuesse, Risiko Klageabweisung |
| Streitwertbegrenzung Amtsgericht | Schnell, kostenarm | Reicht oft nicht für Praezedenz |
| Vergleich vor Klage | Schnelle Erledigung | Keine Klärung, Wiederholungsrisiko |
| Vollstaendige Verteidigung | Praezedenz, klare Rechtslage | Reputationsrisiko, Folgeklagen |
Mustertexte
Klageschrift (Kerntext)
Klage wegen Schadensersatzes nach Art. 82 DSGVO
Kläger: [Person, Anschrift] Beklagte: [Verantwortlicher, Anschrift] Streitwert: vorlaeufig [Betrag]
Antrag: Die Beklagte wird verurteilt, an die Klägerseite [Betrag] nebst Zinsen in Höhe von fuenf Prozentpunkten über dem Basiszinssatz seit Rechtshaengigkeit zu zahlen.
Begruendung: I. Sachverhalt (konkret Vorfall, Datum, Datenkategorie). II. Rechtlicher Rahmen (Art. 82 I DSGVO, EuGH C-300/21, EuGH C-340/21). III. Konkrete Pflichtverletzung (DSGVO-Norm). IV. Kausaler Schaden (immateriell mit Sorge, Kontrollverlust; materiell mit konkretem Betrag). V. Höhe (Begruendung der Schaetzung). VI. Gerichtsstand Art. 79 II DSGVO.
Klageerwiderung — Kernpunkte
- Verstoss bestreiten oder relativieren (welche DSGVO-Norm konkret und Subsumtion).
- Schaden bestreiten: blosse Sorge ohne Substanz reicht nach BGH VI ZR 1148/22 nicht; konkrete Folgen notwendig.
- Kausalitaet bestreiten — auch bei TOM-Pflichtverletzung muss Schaden konkret aus Verletzung resultieren.
- Entlastung Art. 82 III: TOM Art. 32 lagen vor (Anlage), Maßnahmen waren angemessen.
- Verjährung prüfen (§ 195 BGB).
- Hilfsweise Minderung der Höhe (EuGH C-456/22: kompensatorisch, nicht praeventiv).
Typische Fehler
- Pauschale Schadensbehauptung "Kontrollverlust" ohne konkrete Substanz (BGH VI ZR 1148/22).
- TOM-Pflicht Art. 32 unterschaetzt — Beklagte muss Maßnahmen aktiv belegen.
- Verschuldensfrage nach EuGH C-741/21 uebersehen.
- Streitwert zu hoch angesetzt — bei AG-Zuständigkeit Vorbehalt.
- Verjährung nicht gerueckpruefte (§ 195 BGB drei Jahre ab Kenntnis).
Was triggert hohe Schadensersatzbetraege? Art. 9-Daten, Massenvorfall, nachweisbare Kettenfolge (Identitaetsdiebstahl), fehlende Reaktion des Verantwortlichen, kein DSB.
Quellen Stand 06/2026
- DSGVO Art. 79, 82, 83.
- BGB § 195, § 199, § 823, § 826.
- BGH VI ZR 1148/22, Urteil 18.11.2024 (zu pauschalen Behauptungen Kontrollverlust).
- EuGH C-300/21 Oesterreichische Post, Urteil 04.05.2023.
- EuGH C-340/21 Bulgarian Sofia, Urteil 14.12.2023.
- EuGH C-687/21 MediaMarkt, Urteil 25.01.2024.
- EuGH, Urt. v. 11.04.2024 - C-741/21 (juris GmbH), vor Ausgabe über curia.europa.eu verifizieren.
- EuGH C-456/22 VX gegen Saale, Urteil 14.12.2023.
- Keine Aufsatzfundstellen aus Modellwissen.