DSGVO-Schadensersatz nach Art. 82: Was Mittelständler 2026 nach den EuGH-Urteilen wirklich zahlen

Inhalt in Kürze

• Der Kontrollverlust über personenbezogene Daten ist laut EuGH (Urteil vom 4. Oktober 2024, C-200/23) bereits ein ersatzfähiger immaterieller Schaden – ohne dass die betroffene Person konkrete Folgen wie Datenmissbrauch nachweisen muss.
• Die Beträge bleiben realistisch niedrig: Der BGH hielt am 18. November 2024 (VI ZR 10/24) für den reinen Kontrollverlust rund 100 Euro pro Person für angemessen, das Bundesarbeitsgericht am 8. Mai 2025 (8 AZR 209/21) bei einer unzulässigen Datenübermittlung im Konzern 200 Euro.
• Schadensersatz ist nicht gleich Bußgeld: Das Bußgeld verhängt die Behörde, den Schadensersatz nach Art. 82 DSGVO klagt der Betroffene selbst ein – das ist eine zweite, eigenständige Haftungsfront.
• Beim Verschulden gilt die Beweislastumkehr (Art. 82 Abs. 3 DSGVO): Ihr Unternehmen muss sich entlasten. Ohne saubere TOM-Dokumentation verlieren Sie diesen Punkt.

Nach jeder Datenpanne kommt heute oft als Zweites das Anwaltsschreiben: „Wir fordern Schadensersatz nach Art. 82 DSGVO.” Viele Geschäftsführer denken dabei zuerst an Bußgelder – und übersehen die zivilrechtliche Front, an der Betroffene direkt gegen Sie klagen. Was Sie 2026 nach den jüngsten EuGH- und BGH-Urteilen wirklich zahlen, und wie Sie überzogene Forderungen abwehren, klären wir hier.

DSGVO-Schadensersatz nach Art. 82: zwei Fronten, ein Datenleck

Bußgeld und Schadensersatz werden ständig verwechselt – dabei sind es zwei getrennte Dinge.

Das Bußgeld verhängt die Datenschutzaufsichtsbehörde (in Hamburg der HmbBfDI). Es geht an den Staat. Der Schadensersatz nach Art. 82 DSGVO ist Zivilrecht: Eine betroffene Person verlangt Geld für einen Schaden, den sie durch Ihren Datenschutzverstoß erlitten hat. Das Geld geht an sie persönlich.

Ein DSGVO-Schadensersatzanspruch ist also der individuelle Anspruch einer Person auf Ausgleich – materiell (etwa entstandene Kosten) oder immateriell (etwa das belastende Gefühl, die Kontrolle über die eigenen Daten verloren zu haben). Das Tückische: Beide Fronten können sich aus demselben Datenleck speisen. Erst prüft die Behörde, dann klagen die Betroffenen.

Was die EuGH-Linie 2024–2026 wirklich sagt

Der Europäische Gerichtshof hat den Anspruch in mehreren Urteilen geschärft. Drei Linien müssen Sie kennen.

Erstens: Ein bloßer Verstoß reicht nicht. Der EuGH hat klargestellt, dass allein der Regelverstoß noch keinen Anspruch begründet – die betroffene Person muss einen tatsächlichen Schaden darlegen (Art. 82 DSGVO).

Zweitens: Aber keine Bagatellschwelle. Der Schaden muss keine bestimmte Erheblichkeit überschreiten. Auch ein „kleiner” immaterieller Schaden ist ersatzfähig. Es gibt keine Untergrenze, ab der erst gezahlt wird.

Drittens – und das ist der Kern: Der Kontrollverlust über die eigenen Daten ist selbst schon ein ersatzfähiger immaterieller Schaden. Im Urteil vom 4. Oktober 2024 (C-200/23) entschied der EuGH, dass bereits ein – auch zeitlich begrenzter – Verlust der Kontrolle über personenbezogene Daten genügen kann. Die betroffene Person muss nicht zusätzlich beweisen, dass die Daten tatsächlich missbraucht wurden.

Wichtig für Ihre Verteidigung: Der EuGH betont zugleich, dass Art. 82 DSGVO eine reine Ausgleichsfunktion hat – keine Abschreckungs- oder Straffunktion. Der Betrag bemisst sich am konkret erlittenen Schaden, nicht an der Größe Ihres Unternehmens oder am Abschreckungsbedarf.

Lesetipp: Wie schwer ein Datenleck wiegt, hängt entscheidend davon ab, wie schnell Sie es erkennen und melden. Wann und wie eine Meldung an die Aufsichtsbehörde innerhalb der 72-Stunden-Frist läuft, lesen Sie unter Datenpanne melden in Hamburg.

Realistische Beträge: Was deutsche Gerichte tatsächlich zusprechen

Die Schlagzeile „bis zu 20 Millionen Euro” gehört zum Bußgeld – nicht zum Schadensersatz. Welche Summen Behörden tatsächlich verhängen, zeigt unser Bußgeld-Spiegel 2026. Was Gerichte beim Schadensersatz für den Kontrollverlust pro Person zusprechen, ist dagegen deutlich nüchterner.

Im Leiturteil zum Facebook-Scraping-Komplex (BGH, Urteil vom 18.11.2024, VI ZR 10/24) hielt der Bundesgerichtshof für den reinen Kontrollverlust einen Schadensersatz in der Größenordnung von 100 Euro für rechtlich nicht zu beanstanden. Kein konkreter Missbrauch, keine spürbaren Folgen – allein der Kontrollverlust, ausgeglichen mit rund 100 Euro.

Das Bundesarbeitsgericht legte 2025 eine ähnliche Linie an: Im Urteil vom 8. Mai 2025 (8 AZR 209/21) sprach es einem Arbeitnehmer 200 Euro zu, weil sein Arbeitgeber personenbezogene Echtdaten unzulässig an eine Konzerngesellschaft übermittelt hatte – schon dieser Kontrollverlust genügte. In einem anderen Fall (8 AZR 61/24) stellte das BAG zugleich klar: Eine bloß verspätete Auskunft oder pauschale Befürchtungen ohne dargelegten Schaden reichen für sich genommen nicht.

Aus der Praxis

Nach einer Panne ruft selten der einzelne Betroffene an. Es ruft die Kanzlei, oft mit gleichlautenden Schreiben an viele Geschädigte zugleich. Und die zentrale Frage im Prozess ist meist nicht „Gab es einen Verstoß?”, sondern „Kann sich das Unternehmen entlasten?”. Das entscheidet sich an Ihrer Dokumentation.

Innerhalb von 24 Stunden war der Fall geklärt. Der Mandant wusste: Er kann jetzt datenschutzkonform eine Umfrage an seine Kunden losschicken. Genau so soll Arbeit mit einem Datenschutzbeauftragten stattfinden.

Nils OehmichenDatenschutzberater bei frag.hugo

Wer vorbereitet ist, klärt im Ernstfall in Stunden, was andere wochenlang vor Gericht kostet. Genau diese laufende Vorbereitung ist die Kernaufgabe eines externen Datenschutzbeauftragten in Hamburg, der Ihre Nachweise pflegt, bevor das erste Anwaltsschreiben kommt.

Die Beweislast – Ihr wichtigster Hebel

Hier liegt der größte Unterschied zwischen verlieren und gewinnen. Beim Verschulden gilt eine Beweislastumkehr: Nach Art. 82 Abs. 3 DSGVO wird das Verschulden des Verantwortlichen vermutet. Sie müssen sich aktiv entlasten und nachweisen, dass Ihr Unternehmen „in keinerlei Hinsicht” für den schadensauslösenden Umstand verantwortlich ist.

Diese Exkulpation gelingt nur mit Belegen. Pauschale Beteuerungen reichen nicht. Ob Ihre Nachweise im Prozess wirklich tragen, zeigt am ehesten ein systematisches DSGVO-Audit. Was im Prozess zählt:

• Dokumentierte TOM. Schriftliche technische und organisatorische Maßnahmen, die zum Zeitpunkt des Vorfalls aktuell und nachweisbar umgesetzt waren.
• Verträge mit Dienstleistern. Gültige Auftragsverarbeitungsverträge, die zeigen, dass Sie Ihre Partner verpflichtet und kontrolliert haben.
• Schulungsnachweise. Belege, dass Mitarbeiter unterwiesen wurden – wichtig, wenn der Schaden auf menschlichem Fehlverhalten beruht.
• Reaktionsdokumentation. Wann der Vorfall erkannt, bewertet, gemeldet und eingedämmt wurde.

So gehen Sie nach einer Forderung konkret vor:

1. Schritt 1: Forderung nicht ignorieren und nicht reflexartig zahlen. Frist notieren, alle Unterlagen zum Vorfall sichern.
2. Schritt 2: Schaden prüfen lassen. Liegt überhaupt ein darlegungsfähiger Schaden vor, oder nur eine pauschale „Sorge" ohne Substanz?
3. Schritt 3: Exkulpation aufbauen. TOM, AVV und Schulungsnachweise zusammenstellen – das ist Ihre Verteidigung nach Art. 82 Abs. 3.
4. Schritt 4: Mit Datenschutzbeauftragtem und ggf. Anwalt eine abgestimmte, schriftliche Antwort formulieren. Überzogene Massenforderungen lassen sich oft auf das angemessene Maß zurückführen.

Genau diese Unterlagen prüfen und pflegen wir laufend für unsere Mandanten – damit Sie im Ernstfall nicht erst anfangen zu suchen. Mehr dazu im Erstgespräch oder über unsere Datenschutz-Plattform Hugo DSB, in der Verarbeitungsverzeichnis, TOM und Nachweise zentral liegen.

Fazit: Ihr nächster Schritt

DSGVO-Schadensersatz ist 2026 kein theoretisches Risiko mehr. Der Kontrollverlust allein begründet Ansprüche, die Beträge bleiben pro Kopf moderat – aber bei vielen Betroffenen wird daraus echtes Geld. Entscheidend ist nicht, ob Sie je eine Panne haben (die kommt irgendwann), sondern ob Sie sich danach entlasten können. Wer TOM, AVV und Schulungen sauber dokumentiert hat, verhandelt aus einer Position der Stärke. Wer nichts vorweisen kann, zahlt.

Häufige Fragen (FAQ)

Wie hoch ist Schadensersatz nach Art. 82 DSGVO 2026? Für den reinen Kontrollverlust über Daten halten deutsche Gerichte Beträge in der Größenordnung von 100 Euro für angemessen – so der BGH am 18. November 2024 im Facebook-Scraping-Fall (VI ZR 10/24). Das Bundesarbeitsgericht sprach am 8. Mai 2025 (8 AZR 209/21) wegen unzulässiger Datenübermittlung im Konzern 200 Euro zu. Höhere Summen gibt es nur bei nachweisbar schwereren Folgen wie tatsächlichem Datenmissbrauch.

Reicht ein bloßer DSGVO-Verstoß für Schadensersatz aus? Nein. Der EuGH hat klargestellt, dass ein Verstoß allein nicht genügt. Die betroffene Person muss zusätzlich einen tatsächlichen materiellen oder immateriellen Schaden darlegen – allerdings ohne dass dieser eine Bagatell- oder Erheblichkeitsschwelle überschreiten muss.

Ist Kontrollverlust über Daten ein Schaden im Sinne von Art. 82 DSGVO? Ja. Der EuGH hat 2024 entschieden, dass bereits der Verlust der Kontrolle über personenbezogene Daten ein ersatzfähiger immaterieller Schaden sein kann – auch ohne den Nachweis konkreter weiterer Folgen wie Missbrauch.

Wer muss bei DSGVO-Schadensersatz was beweisen? Die betroffene Person muss Verstoß und Schaden darlegen. Das Verschulden wird vermutet: Nach Art. 82 Abs. 3 DSGVO muss sich das Unternehmen entlasten und nachweisen, dass es in keiner Weise für den Schaden verantwortlich ist. Genau hier wird Ihre TOM-Dokumentation prozessentscheidend.

Hat DSGVO-Schadensersatz einen Strafcharakter? Nein. Der EuGH betont, dass Art. 82 DSGVO eine reine Ausgleichsfunktion hat, keine Abschreckungs- oder Straffunktion. Der Betrag soll den konkret erlittenen Schaden ausgleichen, nicht das Unternehmen abstrafen.

Was ist der Unterschied zwischen DSGVO-Bußgeld und Schadensersatz? Das Bußgeld verhängt die Aufsichtsbehörde und es geht an den Staat. Den Schadensersatz nach Art. 82 DSGVO klagt die betroffene Person selbst ein, und das Geld geht an sie. Beide können sich aus demselben Vorfall ergeben – ein erledigtes Behördenverfahren schützt nicht vor Zivilklagen.