Schadensersatz nach Datenleck: Wie viel Entschädigung steht Ihnen zu?

Ein Anspruch auf Schadensersatz nach einem Datenleck kann bestehen, wenn ein Verstoß gegen die DSGVO vorliegt und Sie dadurch einen immateriellen Schaden erleiden, etwa in Form eines Verlusts der Kontrolle über Ihre persönlichen Informationen.

Ob und in welcher Höhe Ihnen Entschädigung zusteht, hängt im Einzelfall davon ab, ob Sie diesen Kontrollverlust und Ihre individuellen Beeinträchtigungen – zum Beispiel unerwünschte Kontaktaufnahmen oder nachvollziehbare Sorgen um einen Missbrauch Ihrer Daten – konkret darlegen und gegebenenfalls beweisen können.

Ab wann haben Sie nach einer Datenpanne einen rechtlichen Anspruch auf Schadenersatz?

Spam-Mails im Postfach, verdächtige SMS auf dem Handy oder die ständige Sorge, dass Kriminelle das eigene Konto angreifen – Datenlecks können den Alltag spürbar belasten. Wenn ein Unternehmen gegen die DSGVO verstößt und Ihnen dadurch ein immaterieller Schaden entsteht, haben Sie nach Art. 82 Abs. 1 DSGVO grundsätzlich einen Anspruch auf Schadenersatz – auch für Beeinträchtigungen wie Stress, Angst oder den Verlust der Kontrolle über Ihre eigenen Daten.

Aber der Weg von diesem Recht zur tatsächlichen Auszahlung ist kürzer, als manche Anwaltswerbung verspricht – und gleichzeitig anspruchsvoller, als viele Betroffene erwarten. Ein bloßer Verstoß des Unternehmens reicht nicht aus. Sie müssen darlegen und gegebenenfalls nachweisen, dass Ihnen ein individueller Nachteil entstanden ist und dass dieser auf die Datenpanne zurückzuführen ist.

Reiner Kontrollverlust: Wie hoch fällt der Schadenersatz bei einem Datenleck aus?

Drei Voraussetzungen müssen kumulativ erfüllt sein: ein DSGVO-Verstoß des Unternehmens, ein konkreter Schaden auf Ihrer Seite und ein ursächlicher Zusammenhang zwischen beidem.

Eine Mindesthürde, wie schwer der Schaden sein muss, gibt es nicht. Der EuGH hat in seiner Entscheidung vom 4. Mai 2023 (C-300/21) ausdrücklich klargestellt, dass Art. 82 Abs. 1 DSGVO einer nationalen Regelung entgegensteht, „die den Ersatz eines immateriellen Schadens davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat.“ Auch leichte immaterielle Beeinträchtigungen sind also ersatzfähig.

Ebenso entschied der EuGH am 14. Dezember 2023 (C-340/21), dass bereits die begründete Befürchtung vor einem künftigen Datenmissbrauch für sich allein einen immateriellen Schaden darstellen kann – ohne dass ein Missbrauch bereits stattgefunden haben muss. Voraussetzung ist allerdings, dass diese Befürchtung unter den konkreten Umständen als objektiv nachvollziehbar angesehen werden kann.

Was dieser Schaden wert ist, hat der BGH am 18. November 2024 erstmals höchstrichterlich beziffert. Im ersten deutschen Leitentscheidungsverfahren zum Facebook-Datenleck (VI ZR 10/24) stellte der Senat fest, dass schon der bloße und kurzzeitige Kontrollverlust über personenbezogene Daten ein erstattungsfähiger immaterieller Schaden ist. In Leitsatz 4 heißt es dazu: Der Senat hat „keine Bedenken, den notwendigen Ausgleich für den (vorliegend) eingetretenen Kontrollverlust als solchem … mit einer Größenordnung von EUR 100,00 zu bemessen.“

Hundert Euro – das ist der Maßstab, an dem sich die deutschen Gerichte für den reinen Kontrollverlust seither orientieren. Das OLG Köln hat diesen Wert in seiner Entscheidung vom 3. April 2025 (15 U 41/23) ausdrücklich übernommen.

Forderungen von über 1.000 Euro für den schlichten Verlust einer Telefonnummer ohne weitere nachgewiesene Angriffe scheitern vor Gericht fast immer. Wer höhere Beträge anstrebt, muss erhebliche, individuell belegbare Zusatzschäden vorweisen – zum Beispiel ärztlich behandelte Angstzustände, berufliche Nachteile oder nachweisbaren finanziellen Schaden.

Beachten Sie dabei aber das Kostenrisiko. Übersteigt der Streitwert – also die geforderte Summe – den letztlich zugesprochenen Betrag deutlich, tragen Sie einen entsprechenden Teil der Gerichts- und Anwaltskosten selbst. Der vzbv hält im Rahmen seiner Musterfeststellungsklage gegen Meta für Fälle, in denen neben Telefonnummer und Name auch Wohnort, E-Mail-Adresse, Geburtsdatum und Beziehungsstatus abgeflossen sind, eine Entschädigung von 600 Euro für angemessen – das zeigt, dass höhere Beträge bei einer breiteren Datenbasis möglich sind, aber keine Selbstverständlichkeit.

Datenleck durch Cyberangriff: Haftet das Unternehmen in jedem Fall?

Ein weit verbreiteter Irrtum ist, dass der Abfluss von Daten durch einen Hackerangriff automatisch eine zwingende Haftung des betroffenen Unternehmens auslöst. Das Datenschutzrecht kennt an dieser Stelle keine sogenannte Gefährdungshaftung. Gemäß Art. 82 Abs. 3 DSGVO kann sich der Verantwortliche stattdessen von der Ersatzpflicht befreien, wenn er nachweist, dass er für das schadensauslösende Ereignis in keinerlei Hinsicht verantwortlich ist.

Der Europäische Gerichtshof (EuGH) hat in diesem Zusammenhang in seinem weiter oben bereits erwähnten Urteil vom 14. Dezember 2023 (C-340/21) grundlegend festgestellt, dass ein erfolgreicher Cyberangriff nicht zwingend bedeutet, dass die Sicherheitsvorkehrungen des Unternehmens unzureichend waren. Die rechtliche Beweislast liegt zwar beim angegriffenen Unternehmen.

Dies bedeutet, dass das Unternehmen aktiv belegen muss, dass die Sicherheitslücke für es nicht vermeidbar war. Gelingt dem Unternehmen jedoch der Nachweis, dass seine IT-Systeme zum Zeitpunkt des Angriffs dem geforderten Stand der Technik (gemäß Art. 32 DSGVO) entsprachen, entfällt mit dem Fehlen eines eigenen DSGVO-Verstoßes auch die Grundlage für einen Schadenersatzanspruch der Betroffenen.

Wie beweisen Sie psychische Folgen und den Kontrollverlust vor Gericht richtig?

Hier scheitern die meisten Fälle nicht am Recht, sondern an der Darlegung. Wer seinen Schadenersatzanspruch auf standardisierte Textbausteine stützt – Formulierungen wie „Kontrollverlust“, „Sorge“ und „emotionales Ungemach“ ohne jeden Bezug zur eigenen Lebenssituation – riskiert die vollständige Klageabweisung.

Das OLG Köln hat in seiner bereits genannten Entscheidung vom 3. April 2025 (15 U 41/23) genau diesen Mechanismus beschrieben: Der Kläger hatte im Schriftsatz weitergehende psychische Folgen behauptet – in der persönlichen Anhörung vor Gericht „haben sich diese allerdings nicht bestätigt.“ Mehr als den Sockelbetrag für den Kontrollverlust gab es deshalb nicht. Gerichte befragen Kläger persönlich, und in dieser Anhörung zerfallen pauschale Behauptungen.

Der BGH hat am 13. Mai 2025 (VI ZR 186/22) noch einen weiteren Grundsatz bekräftigt: „Ein rein hypothetisches Risiko der missbräuchlichen Verwendung personenbezogener Daten durch einen unbefugten Dritten kann nicht zu einer Entschädigung gemäß Art. 82 Abs. 1 DSGVO führen.“ Die Befürchtung muss konkret und objektiv begründet sein – nicht nur behauptet.

Besonders heikel ist die Frage, ob Sie mit Ihren Daten vorher sorgsam umgegangen sind. Das OLG Hamm hat am 5. November 2024 (7 U 83/24) eine Klage abgewiesen, weil die Klägerin ihre Telefonnummer zuvor bereits breit gestreut hatte. Das Gericht stellte fest, dass sich ein Kontrollverlust „durch das Scraping … vor diesem Gesamthintergrund im vorliegenden Einzelfall nicht feststellen“ lässt. Wer seine Nummer öffentlich in Foren, auf Plattformen oder in Impressen veröffentlicht hatte, kann den Verlust der Kontrolle über genau diese Nummer durch ein bestimmtes Datenleck kaum noch belegen.

Zu beachten ist: Wer psychische Folgen behauptet, die nicht existieren, verstößt gegen die prozessuale Wahrheitspflicht nach § 138 ZPO. Das kann Kostenfolgen haben und ist nach einem Hinweis des OLG Celle im schlimmsten Fall sogar strafrechtlich relevant. Schildern Sie ausschließlich, was tatsächlich eingetreten ist.

„Die Parteien haben ihre Erklärungen über tatsächliche Umstände vollständig und der Wahrheit gemäß abzugeben.“ (§ 138 Abs. 1 ZPO)

Schritt-für-Schritt: Wie setzen Sie Ihren Anspruch auf Datenleck-Schadenersatz erfolgreich durch?

Sobald Sie von einer Datenpanne erfahren, gilt eine klare Priorität: Beweise sichern, bevor Sie irgendetwas löschen. Verdächtige SMS, Phishing-Mails und unbekannte Anrufe sind Ihre wichtigsten Belege. Machen Sie sofort Screenshots mit sichtbarem Zeitstempel, fertigen Sie Kopien an und verändern Sie die Originale nicht. Wer aus Ärger die verdächtige E-Mail löscht, vernichtet damit möglicherweise den einzigen Nachweis seines Schadens.

Parallel dazu lohnt sich der Auskunftsantrag nach Art. 15 DSGVO. Das Unternehmen muss Ihnen grundsätzlich innerhalb eines Monats mitteilen, welche Ihrer Daten betroffen sind, woher sie stammen und an wen sie weitergegeben wurden – kostenlos und ohne Begründung Ihrerseits. Diese Auskunft ist die Grundlage, auf der Sie Ihren Schadenersatzanspruch aufbauen.

Wie reichen Sie den Auskunftsantrag richtig ein?

Ein Auskunftsantrag ist gesetzlich an keine bestimmte Form gebunden. Aus Beweisgründen sollten Sie ihn jedoch zwingend schriftlich stellen, beispielsweise per E-Mail. Die richtige Anlaufstelle finden Sie in der Datenschutzerklärung des Unternehmens auf dessen Website – suchen Sie dort nach den Kontaktdaten des Datenschutzbeauftragten oder einer speziellen E-Mail-Adresse für Datenschutzanfragen.

Damit das Unternehmen Ihren Antrag zuordnen kann, geben Sie Ihren vollständigen Namen sowie identifizierende Merkmale wie Ihre Kundennummer oder die registrierte E-Mail-Adresse an. Formulieren Sie Ihr Anliegen deutlich als „Auskunftsersuchen nach Art. 15 DSGVO“ und weisen Sie vorsorglich auf die gesetzliche Bearbeitungsfrist von einem Monat gemäß Art. 12 Abs. 3 DSGVO hin.

„Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.“ (Art. 12 Abs. 3 DSGVO)

Wichtig für die Zeitplanung: Schadenersatzansprüche nach der DSGVO verjähren in drei Jahren gemäß §§ 195, 199 BGB. Die Frist beginnt mit dem Ablauf des Jahres, in dem Sie vom Schaden und vom verantwortlichen Unternehmen erfahren haben. Beim Facebook-Datenleck aus dem Jahr 2021 drohte die Verjährung zum Ende des Jahres 2024 – wer bis dahin weder klagte noch sich einer Sammelklage anschloss, riskierte den Verlust seines Anspruchs. Ein Art.-15-Auskunftsantrag hemmt die Verjährung übrigens nicht automatisch – das ist ein verbreiteter Irrtum.

Was die Verjährung hemmt: die Anmeldung zum Klageregister einer Musterfeststellungsklage oder Sammelklage, eine eigene Klage oder ein Mahnbescheid. Der vzbv führt derzeit eine Musterfeststellungsklage gegen Meta Platforms Ireland Ltd. vor dem Hanseatischen OLG Hamburg; das Klageregister beim Bundesamt für Justiz ist seit Mai 2025 geöffnet. Die Anmeldung ist kostenlos. Sie klärt allerdings nur die grundsätzlichen Rechtsfragen – für die individuelle Auszahlung kann anschließend eine eigene Klage nötig sein.

Bevor Sie ein Vergleichsangebot des Unternehmens annehmen, lassen Sie es anwaltlich prüfen. Wer zu früh einwilligt, verzichtet möglicherweise auf höhere Ansprüche oder auf die Feststellung künftiger Schäden. Eine individuelle anwaltliche Prüfung ist besonders dann entscheidend, wenn Unternehmen pauschal abwinken, ein unzureichendes Vergleichsangebot vorlegen oder wenn Sie zwischen einer formlosen Sammelklage und den Chancen einer risikoreicheren Einzelklage abwägen müssen.

Zur realistischen Einschätzung: Die BGH-Linie senkt die Hürde dafür, einen Anspruch dem Grunde nach zu begründen. Gleichzeitig dämpft sie die Höhe. Wer mit nachgewiesenem Kontrollverlust, sorgfältigem Vorverhalten und konkreten individuellen Folgen vor Gericht geht, hat gute Aussichten auf rund 100 Euro – und bei erheblichen Zusatzschäden im Einzelfall mehr. Wer nur auf standardisierte Schreiben setzt und in der persönlichen Anhörung keine überzeugende eigene Geschichte erzählen kann, geht leer aus.

Welche Entschädigung steht mir zu?