Immaterieller Schaden nach Art. 82 DSGVO im Fokus: Das Kammergericht Berlin (KG Berlin) hat mit seinem Urteil vom 22.11.2023 (Az. 28 U 5/23) klargestellt, dass Betroffene nach einem Datenleck nur dann Anspruch auf DSGVO-Schadensersatz haben, wenn sie individuelle Beeinträchtigungen konkret nachweisen. Ein bloßer Kontrollverlust über personenbezogene Daten genügt nicht. Damit setzt das KG Berlin einen wichtigen Maßstab für Datenleck-Fälle und die Anwendung von Art. 82 DSGVO.
Wichtig für Betroffene:
Sorgen, Ängste oder seelische Beeinträchtigungen aufgrund eines Datenlecks können grundsätzlich einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO begründen. Jedoch nur dann, wenn diese individuell dargelegt und belegt werden.
Dies verdeutlicht insbesondere das Urteil des KG Berlin vom 22.11.2023 (Az.: 28 U 5/23), in dem es heißt:
„Der bloße Kontrollverlust über personenbezogene Daten reicht nicht automatisch aus, um einen Anspruch auf Schadensersatz nach Art. 82 DSGVO geltend zu machen.“
Das Urteil hat nicht nur für Betroffene, sondern auch für Unternehmen im Bereich Datenschutzrecht und DSGVO-Compliance erhebliche Bedeutung, da es die Voraussetzungen für den immateriellen Schaden weiter konkretisiert.
Immaterieller Schaden nach Art. 82 DSGVO bei massenhaftem Datenleck: KG Berlin
Im zugrunde liegenden Fall bezüglich des immateriellen Schadens nach Art. 82 DSGVO ging es um einen Hackerangriff auf die Nutzer einer bekannten Fitness-App, bei dem im Juli 2018 rund 1,9 GB personenbezogene Daten entwendet und anschließend auf einer öffentlich zugänglichen Website zum Download bereitgestellt wurden.
Betroffen waren sensible personenbezogene Daten im Sinne der DSGVO, darunter:
- Namen und E-Mail-Adressen
- Passwörter
- Profilbilder
- IP-Adressen
Ein Legal-Tech-Unternehmen hatte daraufhin die Schadensersatzansprüche zahlreicher Betroffener gemäß Art. 82 DSGVO vertraglich an sich abtreten lassen und diese gebündelt im eigenen Namen vor dem KG Berlin geltend gemacht. Die Klage umfasste zwei Hauptforderungen:
- Umfassende Auskunftserteilung nach Art. 15 DSGVO
- Immaterieller Schadensersatz nach Art. 82 DSGVO in Höhe von mindestens 5.400 Euro pro betroffener Person
Das Landgericht Berlin wies die Klage jedoch vollständig ab. Es stellte klar, dass der Auskunftsanspruch gemäß Art. 15 DSGVO höchstpersönlich ist und deshalb nicht abgetreten werden kann. Zwar können Betroffene Dritte bevollmächtigen, um ihre Datenschutzansprüche durchzusetzen, die eigentliche Auskunft muss jedoch direkt an die betroffene Person erfolgen.
Kein automatischer immaterieller Schaden nach Art. 82 DSGVO
Das KG Berlin bestätigte die Entscheidung des Landgerichts Berlin vom 24.03.2023 (Az.: 38 O 221/22) und setzte damit wichtige Leitplanken für die Auslegung von Art. 82 DSGVO und dem immateriellen Schadensersatz.
Der Senat betonte ausdrücklich, dass die DSGVO keine Bagatellgrenze vorsieht. Das bedeutet: Jeder immaterielle Schaden nach Art. 82 DSGVO kann grundsätzlich ersatzfähig sein. Gleichzeitig stellte das KG Berlin jedoch klar, dass Betroffene konkrete individuelle Nachteile darlegen müssen, um Schadensersatzansprüche erfolgreich geltend zu machen.
Voraussetzungen immaterieller Schaden nach Art. 82 DSGVO
- Keine Bagatellgrenze: Auch geringfügige Schäden können nach Art. 82 DSGVO ersatzfähig sein.
- Konkreter Nachweis erforderlich: Pauschale Behauptungen reichen nicht aus.
- Kontrollverlust allein genügt nicht: Der reine Umstand, dass personenbezogene Daten durch ein Datenleck kompromittiert wurden, reicht nicht automatisch für einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO.
- Individuelle Beeinträchtigung nachweisen: Angst, Sorgen oder seelische Belastungen müssen konkret und individuell belegt werden.
Damit stärkt das Kammergericht Berlin die Position von Unternehmen, die Opfer eines Datenlecks wurden, und schafft gleichzeitig einen klaren Rahmen für Betroffene, die Schadensersatzansprüche nach Art. 82 DSGVO geltend machen wollen.
Immaterieller Schaden nach Art. 82 DSGVO: Bedeutung für Unternehmen
Die Entscheidung des KG Berlin ist besonders relevant für Unternehmen mit hohen Datenschutzrisiken, da sie den Umfang möglicher Haftungen präzisiert. Gleichzeitig erhalten Betroffene klare Hinweise, welche Nachweise erforderlich sind, um vor Gericht erfolgreich einen immateriellen Schaden nach Art. 82 DSGVO geltend zu machen.
Immaterieller Schaden nach Art. 82 DSGVO: Was sollten Unternehmen jetzt tun?
Die Urteile des LG Berlin und des KG Berlin verdeutlichen, dass sowohl Unternehmen als auch Betroffene ihre Strategien im Umgang mit Datenschutzverletzungen und der Durchsetzung von Schadensersatzansprüchen gemäß der DSGVO künftig anpassen müssen.
Für Unternehmen bedeutet die Entscheidung, dass die Anforderungen an den Nachweis immaterieller Schäden nach Art. 82 DSGVO nun deutlich präziser gefasst sind. Ein bloßer Kontrollverlust über personenbezogene Daten reicht nicht mehr aus, um DSGVO-Schadensersatzforderungen erfolgreich abzuwehren oder durchzusetzen. Unternehmen sind daher gut beraten, ihre internen Datenschutzmaßnahmen zu überprüfen und rechtssicher zu dokumentieren.
Immaterieller Schaden nach Art. 82 DSGVO: Handlungsempfehlungen
Immaterieller Schaden nach Art. 82 DSGVO: Empfehlungen für Unternehmen
- Technische und organisatorische Maßnahmen dokumentieren
→ Sämtliche Schutzmaßnahmen gemäß Art. 32 DSGVO sollten lückenlos festgehalten werden, um im Streitfall DSGVO-Compliance nachweisen zu können. - Transparente Informationspflichten erfüllen
→ Betroffene müssen nach Art. 33 und 34 DSGVO zeitnah und umfassend über Datenpannen informiert werden, um Haftungsrisiken und einen immateriellen Schaden nach Art. 82 DSGVO zu minimieren und Vertrauen zu stärken. - Vorbereitung auf gezielte Einzelklagen
→ Da Gerichte künftig eine individuelle Darlegung immaterieller Schäden nach Art. 82 DSGVO verlangen, sollten Unternehmen auf präzise Einzelfallprüfungen vorbereitet sein.
Für Betroffene erhöhen die Urteile aus Berlin ebenfalls die Anforderungen an eine erfolgreiche Geltendmachung von immateriellen DSGVO-Schadensersatzansprüchen. Pauschale Behauptungen reichen nicht mehr aus. Erforderlich ist eine konkrete Darstellung der persönlichen Beeinträchtigung infolge des Datenlecks.
Immaterieller Schaden nach Art. 82 DSGVO: Empfehlungen für Betroffene
- Seelische Belastungen belegen
→ Dokumentieren Sie mögliche psychische Belastungen, etwa Stress, Angst oder Schlafstörungen nach einer Datenpanne. - Finanzielle Schäden nachweisen
→ Sammeln Sie Belege für Identitätsdiebstahl, betrügerische Kontoeröffnungen oder Phishing-Angriffe. - Reputationsschäden konkretisieren
→ Betroffene sollten nachweisbare berufliche oder persönliche Nachteile durch die Veröffentlichung personenbezogener Daten dokumentieren.
Diese praxisnahen Leitlinien helfen beiden Seiten, Datenschutzverstöße rechtssicher zu managen und immaterielle Schadensersatzansprüche nach Art. 82 DSGVO gezielt vorzubereiten. Andernfalls kann die Entscheidung, wie im vorliegenden Fall, zu Ungunsten der Kläger ausfallen:
Das Landgericht Berlin stellte ausdrücklich fest, dass die Klägerin keine hinreichenden Beweise vorgelegt hatte, ob die entwendeten Daten überhaupt ausgelesen oder missbraucht werden konnten. Daher blieb ihre Klage ohne Erfolg.
Fazit: Immaterieller Schaden nach Art. 82 DSGVO
Die Urteile des Landgerichts Berlin und des Kammergerichts Berlin setzen klare Maßstäbe für den immateriellen Schaden nach Art. 82 DSGVO. Sie verdeutlichen, dass kein Anspruch auf Schadensersatz allein durch den Kontrollverlust über personenbezogene Daten nach der DSGVO entsteht. Betroffene müssen konkrete individuelle Beeinträchtigungen nachweisen, um erfolgreich Schadensersatz geltend machen zu können.
Für Unternehmen bedeutet dies, dass präventiver Datenschutz wichtiger denn je ist: technische und organisatorische Maßnahmen müssen sorgfältig dokumentiert und Betroffene transparent informiert werden. Gleichzeitig wissen Betroffene nun genauer, welche Nachweise erforderlich sind, um ihre Datenschutzansprüche DSGVO-konform durchzusetzen.
Für Unternehmen bedeutet dies, dass präventiver Datenschutz und eine solide DSGVO-Compliance-Struktur wichtiger denn je sind.
Fragen zu immaterieller Schaden nach Art. 82 DSGVO, zu Datenlecks oder zur Durchsetzung von Betroffenenrechten?
Wenn Sie Fragen zum Schadensersatz nach Art. 82 DSGVO, zu immateriellen Schäden oder zu den praktischen Folgen des KG-Berlin-Urteils haben, unterstützen wir Sie gerne. Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht beraten Sie umfassend – von der Bewertung individueller Beeinträchtigungen über die rechtssichere Geltendmachung oder Abwehr von Ansprüchen nach der DSGVO.
Vereinbaren Sie gerne einen Beratungstermin – wir unterstützen Sie kompetent, praxisnah und zielgerichtet.
❓ FAQ zum immateriellen Schadensersatz nach Art. 82 DSGVO und dem KG-Berlin-Urteil
Ein immaterieller Schaden nach Art. 82 DSGVO liegt nur dann vor, wenn Betroffene konkrete individuelle Beeinträchtigungen nachweisen. Dazu zählen etwa Angst, Stress oder Reputationsschäden. Ein bloßer Kontrollverlust über personenbezogene Daten genügt nach dem Urteil des KG Berlin nicht.
Nein. Nach Auffassung des KG Berlin liegt ein immaterieller Schaden nach Art. 82 DSGVO nur dann vor, wenn konkrete Nachteile wie
- psychische Belastungen,
- finanzielle Schäden,
- reputationsbezogene Beeinträchtigungen
nachweisbar sind. Ohne solche individuellen Auswirkungen besteht kein Anspruch nach Art. 82 DSGVO.
Gerichte – insbesondere das KG Berlin – verlangen einen substantiierten Nachweis der tatsächlichen Folgen. Dazu gehören z. B.:
- psychische Belastungen (Stress, Angst, Schlafstörungen)
- finanzielle Schäden durch Identitätsdiebstahl oder Missbrauch
- berufliche Nachteile oder Reputationsschäden
Ein immaterieller Schaden nach Art. 82 DSGVO kann nicht allein auf pauschale Behauptungen gestützt werden.
Viele Klagen scheitern, weil kein immaterieller Schaden nach Art. 82 DSGVO durch belastbare Beweise belegt wird.
Im KG-Berlin-Fall stellte das Landgericht Berlin zudem fest, dass nicht nachgewiesen wurde, ob die entwendeten Daten überhaupt ausgelesen oder missbraucht wurden – daher blieb die Klage erfolglos.
Unternehmen sollten:
- DSGVO-Compliance lückenlos dokumentieren
- Datenpannen schnell melden
- Betroffene transparent informieren
- Interne Datenschutzstrategien regelmäßig prüfen und anpassen
Immaterieller Schaden nach Art. 82 DSGVO kann durch eine gezielte Schulung von Mitarbeitern vermieden werden.
Allein die abstrakte Angst vor möglichem Datenmissbrauch reicht nicht aus. Gerichte verlangen, dass Betroffene konkrete individuelle Beeinträchtigungen wie anhaltende Sorgen, Stress oder psychische Belastungen nachvollziehbar darlegen. Ein immaterieller Schaden nach Art. 82 DSGVO setzt daher eine spürbare persönliche Betroffenheit voraus, die über ein allgemeines Unwohlsein hinausgeht.
Die Höhe des Schadensersatzes ist nicht pauschal festgelegt und hängt vom Einzelfall ab. Maßgeblich sind Art, Intensität und Dauer der Beeinträchtigung. Gerichte sprechen je nach Nachweis Beträge von wenigen hundert bis mehreren tausend Euro zu. Ein immaterieller Schaden nach Art. 82 DSGVO wird stets individuell bemessen.
Nein, ein Datenleck führt nicht automatisch zu einer Zahlungspflicht. Unternehmen haften nur dann, wenn Betroffene einen konkreten immateriellen Schaden nachweisen können. Fehlt es an individuellen Beeinträchtigungen, scheidet ein Anspruch aus. Ein immaterieller Schaden nach Art. 82 DSGVO setzt mehr voraus als den bloßen Kontrollverlust über Daten.
Gerichte akzeptieren insbesondere ärztliche Atteste, psychologische Stellungnahmen, Zeugenaussagen oder nachvollziehbare Eigendarstellungen zu Stress, Angst oder Schlafstörungen. Auch dokumentierte Folgen wie Identitätsmissbrauch können relevant sein. Entscheidend ist, dass die Beweise eine individuelle Betroffenheit belegen. Ein immaterieller Schaden nach Art. 82 DSGVO muss konkret nachgewiesen werden.
Weiterführende Themen
DSGVO Kontrollverlust als Schadensersatzgrund – BAG 2025
Reicht Kontrollverlust über personenbezogene Daten für DSGVO-Schadensersatz? Das BAG stellt klar: Auch ohne Datenmissbrauch kann ein Anspruch nach Art. 82 DSGVO bestehen. Was das Urteil für Arbeitgeber und Arbeitnehmer bedeutet, erfahren Sie hier.
DSGVO Google-Recherche Bewerber im Recruiting-Prozess
Dürfen Arbeitgeber Bewerber googeln? Der Beitrag zeigt, wann eine DSGVO-konforme Google-Recherche im Recruiting-Prozess zulässig ist, welche Informationspflichten bestehen und wann Schadensersatz droht. Mit aktueller Rechtsprechung von LAG und BAG.
Datenschutz schlägt SCHUFA-Interesse
„Einmal SCHUFA, immer SCHUFA?“ Nicht mehr! Das OLG Köln hat entschieden: Bezahlte Schulden dürfen nicht jahrelang gespeichert bleiben. Datenschutz schlägt SCHUFA-Interesse – was das für Verbraucher, Kreditvergabe und Bonität bedeutet, erfahren Sie in unserem Beitrag.