DSGVO-Schadensersatz nach Datenleck: LG Traunstein weist Klage ab

Ein Hackerangriff auf ein Unternehmen kann dazu führen, dass sensible Kundendaten in die Hände Unbefugter gelangen und anschließend im Internet veröffentlicht werden. Für Betroffene stellt sich dann die Frage, ob sie wegen des Verlusts ihrer personenbezogenen Daten eine finanzielle Entschädigung verlangen können. Doch begründet jede Datenschutzverletzung automatisch einen Anspruch auf DSGVO-Schadensersatz nach Datenleck?

Mit dieser Problematik befasste sich das Landgericht Traunstein in seinem Urteil vom 17.07.2026 (Az. 9 O 1560/24). Hintergrund war ein Cyberangriff auf einen Softwareanbieter, bei dem Kriminelle Kundendaten erbeuteten und im Darknet verbreiteten. Ein betroffener Nutzer forderte daraufhin Schadensersatz wegen eines behaupteten Kontrollverlusts über seine Daten.

Das Gericht lehnte die Forderungen jedoch ab. Es stellte insbesondere darauf ab, dass ein erfolgreicher Hackerangriff nicht zwangsläufig auf unzureichende Datenschutzmaßnahmen schließen lässt. Darüber hinaus müssen Betroffene nachweisen können, dass ihnen durch einen Datenschutzverstoß tatsächlich ein ersatzfähiger Schaden entstanden ist.

Die Entscheidung verdeutlicht damit, welche Voraussetzungen für Schadensersatzansprüche nach Art. 82 DSGVO gelten und welche Bedeutung der Nachweis angemessener Sicherheitsmaßnahmen für Unternehmen hat.

Cyberangriff auf Softwareanbieter: Was war passiert?

Im Mittelpunkt des Rechtsstreits stand ein Hackerangriff aus dem Jahr 2020. Cyberkriminellen war es gelungen, sich unberechtigten Zugang zu den Systemen eines Softwareanbieters zu verschaffen und dort gespeicherte Kundendaten abzugreifen. Die erbeuteten Informationen wurden zunächst in einem Hackerforum zum Kauf angeboten und später im Darknet veröffentlicht.

Welche personenbezogenen Daten waren betroffen?

Die kompromittierten Datensätze umfassten unterschiedliche Informationen über die Nutzer. Dazu gehörten unter anderem:

• Kontaktdaten: E-Mail-Adressen, Telefonnummern und Wohnanschriften
• Persönliche Angaben: Vor- und Nachnamen sowie Benutzernamen
• Technische Informationen: IP-Adressen und Account-IDs
• Geschäftliche Angaben: Unternehmensnamen

Der Vorfall wurde später auch über die Plattform „Have I Been Pwned“ bekannt, auf der Nutzer überprüfen können, ob ihre E-Mail-Adressen in bekannten Datenlecks enthalten sind.

Der Kläger hatte die Software genutzt und zumindest seine E-Mail-Adresse angegeben. Er behauptete, dass auch weitere persönliche Informationen von dem Angriff betroffen gewesen seien.

Nach seiner Darstellung hatte der Anbieter seine Daten nicht ausreichend geschützt. Durch die Veröffentlichung befürchtete er insbesondere einen möglichen Identitätsmissbrauch und machte geltend, die Kontrolle über seine personenbezogenen Informationen verloren zu haben.

Welche Ansprüche machte der Kläger nach dem Datenleck geltend?

Nach Bekanntwerden des Cyberangriffs erhob der betroffene Nutzer Klage gegen den Softwareanbieter. Er war der Ansicht, dass das Unternehmen seine datenschutzrechtlichen Verpflichtungen verletzt habe. Dabei beanstandete er sowohl die vermeintlich unzureichende Absicherung der Kundendaten als auch die Informationen, die ihm nach dem Vorfall zur Verfügung gestellt worden waren.

Der Kläger stützte seine Forderungen insbesondere auf Art. 82 DSGVO und verlangte:

• 3.000 Euro Schadensersatz wegen des behaupteten Verlusts der Kontrolle über seine personenbezogenen Daten.
• 2.000 Euro Entschädigung aufgrund einer aus seiner Sicht unvollständigen Auskunft nach Art. 15 DSGVO.
• Ersatz möglicher Folgeschäden, falls seine Daten künftig missbräuchlich verwendet würden.
• Weitere Auskünfte und Unterlassung, um zusätzliche Datenschutzverstöße zu verhindern.

Zur Begründung verwies er auf seine zunehmende Sorge vor Identitätsdiebstahl. Außerdem sei er seit dem Vorfall bei eingehenden E-Mails und Telefonanrufen besonders misstrauisch geworden.

Der Softwareanbieter widersprach den Vorwürfen. Nach seiner Darstellung waren angemessene Sicherheitsvorkehrungen vorhanden. Der Angriff sei vermutlich durch kompromittierte Zugangsdaten eines Mitarbeiters ermöglicht worden. Einen konkret nachgewiesenen Schaden des Klägers bestritt das Unternehmen ebenfalls.

LG Traunstein: Kein DSGVO-Schadensersatz nach Datenleck

Das Landgericht Traunstein entschied zugunsten des Softwareanbieters und wies sämtliche Klageanträge ab. Nach Auffassung des Gerichts hatte der Kläger nicht ausreichend dargelegt und bewiesen, dass die Voraussetzungen für einen Schadensersatzanspruch nach Art. 82 DSGVO erfüllt waren.

Welche Gründe waren für die Klageabweisung entscheidend?

Das Gericht stützte seine Entscheidung auf drei wesentliche Gesichtspunkte.

Kein festgestellter Verstoß gegen die DSGVO

Allein die Tatsache, dass Cyberkriminelle erfolgreich in ein IT-System eindringen konnten, lässt noch nicht auf eine Verletzung der Sicherheitsanforderungen nach Art. 32 DSGVO schließen.

Unzureichender Nachweis der eigenen Betroffenheit

Der Kläger konnte nicht belegen, dass seine E-Mail-Adresse tatsächlich bei dem konkreten Hackerangriff offengelegt worden war.

Fehlender Nachweis eines ersatzfähigen Schadens

Auch ein nachweisbarer Kontrollverlust oder ein ursächlicher Zusammenhang zwischen dem Datenleck und den geschilderten Beeinträchtigungen ließ sich nicht feststellen.

Darüber hinaus bewertete das Gericht die bereits erteilte Datenschutzauskunft als ausreichend. Den geltend gemachten Unterlassungsanspruch hielt es aufgrund seiner unbestimmten Formulierung für unzulässig.

Damit scheiterte die Klage an mehreren eigenständigen Voraussetzungen, die für einen erfolgreichen DSGVO-Schadensersatz nach Datenleck erfüllt sein müssen.

Welche Sicherheitsmaßnahmen verlangt Art. 32 DSGVO bei Hackerangriffen?

Unternehmen sind nach Art. 32 DSGVO verpflichtet, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen (TOMs) zu schützen. Dabei müssen sie ein Sicherheitsniveau gewährleisten, das den jeweiligen Risiken der Datenverarbeitung angemessen ist. Ein vollständiger Schutz vor sämtlichen Cyberangriffen lässt sich daraus jedoch nicht ableiten.

Das LG Traunstein betonte, dass für die rechtliche Bewertung insbesondere die Sicherheitsvorkehrungen maßgeblich sind, die bereits vor dem Angriff bestanden.

Wann gelten technische und organisatorische Maßnahmen als angemessen?

Ob ein Unternehmen seine datenschutzrechtlichen Schutzpflichten erfüllt hat, hängt von verschiedenen Umständen ab:

• Stand der Technik: Entsprechen die eingesetzten Schutzmaßnahmen den aktuellen technischen Möglichkeiten?
• Art der Daten: Wie sensibel sind die verarbeiteten personenbezogenen Informationen?
• Risikobewertung: Wie wahrscheinlich sind Sicherheitsvorfälle und welche Folgen könnten sie haben?
• Implementierungskosten: Welcher Aufwand ist mit geeigneten Sicherheitsmaßnahmen verbunden?

Im entschiedenen Fall konnte der Softwareanbieter seine Sicherheitsvorkehrungen nachvollziehbar darlegen. Das Gericht sah deshalb keine ausreichenden Anhaltspunkte für einen Verstoß gegen Art. 32 DSGVO.

Die Entscheidung verdeutlicht, dass ein erfolgreicher Hackerangriff nicht automatisch eine Pflichtverletzung begründet. Unternehmen müssen allerdings weiterhin nachweisen können, dass ihre Sicherheitsmaßnahmen den gesetzlichen Anforderungen entsprechen.

DSGVO-Schadensersatz nach Datenleck: Wer muss was beweisen?

Ein Anspruch auf Schadensersatz nach Art. 82 DSGVO setzt voraus, dass ein Datenschutzverstoß, ein materieller oder immaterieller Schaden sowie ein ursächlicher Zusammenhang zwischen beiden vorliegen. Im Verfahren vor dem LG Traunstein spielte insbesondere die Frage eine Rolle, ob der Kläger seine persönliche Betroffenheit ausreichend nachgewiesen hatte.

Der Kläger verwies auf die Plattform „Have I Been Pwned“, auf der seine E-Mail-Adresse im Zusammenhang mit einem bekannten Datenleck aufgeführt war. Nach Auffassung des Gerichts genügte dieser Eintrag jedoch nicht, um eine Verbindung zu dem konkreten Cyberangriff herzustellen.

Welche Nachweise sind für Betroffene entscheidend?

Für die Durchsetzung eines Schadensersatzanspruchs sind insbesondere folgende Punkte relevant:

• Eigene Betroffenheit: Waren die personenbezogenen Daten tatsächlich Gegenstand des betreffenden Sicherheitsvorfalls?
• Entstandener Schaden: Welche konkreten materiellen oder immateriellen Beeinträchtigungen liegen vor?
• Kausalität: Lassen sich die geltend gemachten Schäden auf den Datenschutzverstoß zurückführen?

Auch hinsichtlich weiterer angeblich veröffentlichter Informationen konnte der Kläger keine ausreichenden Belege vorlegen.

Die Entscheidung zeigt damit, dass allgemeine Hinweise auf einen Hackerangriff nicht genügen. Die Darlegungslast des Betroffenen ist allerdings von der Verantwortung des Unternehmens zu unterscheiden, die Angemessenheit seiner Sicherheitsmaßnahmen nachzuweisen.

Kontrollverlust über personenbezogene Daten als immaterieller Schaden

Nicht jeder Schaden infolge eines Datenschutzverstoßes muss mit einem finanziellen Verlust verbunden sein. Art. 82 Abs. 1 DSGVO ermöglicht auch eine Entschädigung für immaterielle Beeinträchtigungen. Dazu kann insbesondere der Verlust der Kontrolle über personenbezogene Daten gehören, wenn diese unbefugt offengelegt oder weitergegeben werden.

Der Bundesgerichtshof hat in der Vergangenheit bereits klargestellt, dass für einen solchen Schadensersatzanspruch keine besondere Erheblichkeitsschwelle gilt. Bereits ein kurzzeitiger Kontrollverlust kann grundsätzlich einen ersatzfähigen Schaden darstellen.

Warum erkannte das LG Traunstein keinen ersatzfähigen Schaden an?

Im konkreten Verfahren fehlten nach Auffassung des Gerichts jedoch ausreichende Nachweise für die behaupteten Beeinträchtigungen.

Der Kläger hatte insbesondere seine Angst vor einem möglichen Identitätsmissbrauch angeführt. Diese Befürchtungen waren nach Ansicht des Gerichts allerdings zu allgemein beschrieben, um daraus einen konkreten persönlichen Schaden abzuleiten.

Auch die behauptete Zunahme unerwünschter E-Mails überzeugte das Gericht nicht. Die E-Mail-Adresse des Klägers war bereits bei einem früheren, unabhängigen Datenleck betroffen gewesen.

Damit ließ sich nicht feststellen, dass die geschilderten Folgen tatsächlich auf den streitgegenständlichen Cyberangriff zurückzuführen waren. Ein DSGVO-Schadensersatz nach Datenleck scheiterte somit auch am fehlenden Schadens- und Kausalitätsnachweis.

Auskunftsanspruch nach Art. 15 DSGVO: Welche Informationen sind geschuldet?

Neben der finanziellen Entschädigung verlangte der Kläger zusätzliche Informationen über den Cyberangriff. Er wollte insbesondere wissen, welche seiner personenbezogenen Daten möglicherweise offengelegt worden waren, zu welchem Zeitpunkt der Zugriff stattgefunden hatte und an welche Personen die Informationen gelangt waren.

Das LG Traunstein sah den Auskunftsanspruch nach Art. 15 DSGVO jedoch als bereits erfüllt an. Der Softwareanbieter hatte unter anderem Angaben zu den verarbeiteten Daten, den Verarbeitungszwecken, der Speicherdauer und möglichen Datenempfängern gemacht.

Wo liegen die Grenzen der datenschutzrechtlichen Auskunftspflicht?

Nach Auffassung des Gerichts müssen Unternehmen keine Informationen mitteilen, deren Beschaffung tatsächlich unmöglich ist.

Da die Identität der Cyberkriminellen unbekannt geblieben war, konnte der Softwareanbieter keine konkreten Angaben zu den Angreifern machen. Auch der genaue Zeitpunkt, zu dem möglicherweise auf Daten des Klägers zugegriffen wurde, ließ sich nicht feststellen.

Entscheidend bleibt jedoch, dass Unternehmen sämtliche nach Art. 15 DSGVO geschuldeten und tatsächlich verfügbaren beziehungsweise ermittelbaren Informationen bereitstellen müssen. Die Entscheidung bedeutet daher keine generelle Einschränkung des Auskunftsrechts, sondern verdeutlicht dessen Grenzen bei objektiv nicht feststellbaren Umständen.

Welche Folgen hat das Urteil des LG Traunstein für Unternehmen?

Die Entscheidung macht deutlich, dass Unternehmen auch bei erfolgreichen Cyberangriffen nicht zwangsläufig schadensersatzpflichtig werden. Voraussetzung ist allerdings, dass sie ihre datenschutzrechtlichen Pflichten erfüllen und die Angemessenheit ihrer Sicherheitsmaßnahmen nachvollziehbar belegen können.

Für die betriebliche Praxis ergeben sich daraus insbesondere zwei zentrale Handlungsfelder.

Technische und organisatorische Maßnahmen regelmäßig überprüfen

Unternehmen sollten ihre Sicherheitskonzepte nicht nur umsetzen, sondern auch fortlaufend kontrollieren und dokumentieren. Dazu gehören beispielsweise:

• Zugriffsbeschränkungen und klar geregelte Berechtigungen
• regelmäßige Überprüfungen der IT-Sicherheit
• dokumentierte Risikobewertungen und Schutzmaßnahmen

Datenschutzvorfälle systematisch untersuchen und dokumentieren

Kommt es zu einem Sicherheitsvorfall, müssen Unternehmen dessen Ursachen und Auswirkungen sorgfältig untersuchen. Dabei sollten insbesondere betroffene Datenbestände identifiziert, mögliche Risiken bewertet und erforderliche Maßnahmen eingeleitet werden.

Zusätzlich sind mögliche Meldepflichten gegenüber der Datenschutzaufsichtsbehörde nach Art. 33 DSGVO sowie Benachrichtigungspflichten gegenüber Betroffenen gemäß Art. 34 DSGVO zu prüfen.

Das Urteil verdeutlicht, dass eine nachvollziehbare Dokumentation im Streitfall entscheidend sein kann. Sie unterstützt Unternehmen dabei, die Einhaltung ihrer Datenschutzpflichten darzulegen und unbegründete Schadensersatzforderungen abzuwehren. Eine automatische Haftungsbefreiung ist damit jedoch nicht verbunden.

Fazit: DSGVO-Schadensersatz nach Datenleck ist kein Automatismus

Das Urteil des LG Traunstein verdeutlicht, dass ein erfolgreicher Cyberangriff allein noch keine Schadensersatzpflicht nach Art. 82 DSGVO begründet. Vielmehr müssen die gesetzlichen Anspruchsvoraussetzungen im jeweiligen Einzelfall geprüft werden.

Für Betroffene bedeutet dies, dass sie ihre persönliche Betroffenheit, einen ersatzfähigen Schaden und dessen Zusammenhang mit dem geltend gemachten Datenschutzverstoß nachvollziehbar darlegen und nachweisen müssen. Allgemeine Befürchtungen oder Hinweise auf ein bekanntes Datenleck reichen dafür nicht ohne Weiteres aus.

Unternehmen wiederum sind verpflichtet, angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen und deren Angemessenheit nachweisen zu können. Ein erfolgreicher Hackerangriff stellt für sich genommen noch keinen Beweis für unzureichende Sicherheitsvorkehrungen dar.

Die Entscheidung schließt einen DSGVO-Schadensersatz nach Datenleck keineswegs grundsätzlich aus. Sie unterstreicht vielmehr die Bedeutung einer sorgfältigen Prüfung von Datenschutzverstoß, Schaden und Kausalität.

Damit liefert das Urteil wichtige Orientierung sowohl für Betroffene, die Schadensersatzansprüche durchsetzen möchten, als auch für Unternehmen, die sich gegen entsprechende Forderungen verteidigen müssen.

Fragen zum DSGVO-Schadensersatz nach Datenleck?

Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie bei der Prüfung und Durchsetzung von Schadensersatzansprüchen nach einem Datenleck gemäß Art. 82 DSGVO. Jetzt Beratungstermin vereinbaren oder unverbindlich Kontakt mit uns aufnehmen!