Der Bundesgerichtshof (BGH) hat in einem Fall um eine versehentlich falsch versendete Bewerbungsnachricht über das Netzwerk Xing dem Europäischen Gerichtshof (EuGH) zentrale Fragen zur Datenschutz-Grundverordnung (DSGVO) vorgelegt. Im Kern geht es darum, wann eine unrechtmäßige Datenweitergabe einen ersatzfähigen immateriellen Schaden auslöst und ob Betroffene auf Unterlassung klagen können. Die Entscheidung ist für Verbraucher und Unternehmen gleichermaßen bedeutsam.
Der Fall
Ein Mann bewarb sich bei einer Privatbank. Der Kontakt lief über das Karriereportal Xing. Eine Mitarbeiterin der Bank schrieb ihm dort am 23. Oktober 2018 eine persönliche Nachricht, in der sie mitteilte, dass seine Gehaltsvorstellungen nicht erfüllt werden könnten, und ein alternatives Angebot machte.
Diese vertrauliche Nachricht ging jedoch nicht nur an den Bewerber, sondern versehentlich auch an eine dritte Person, die am Bewerbungsverfahren gar nicht beteiligt war. Dieser Dritte kannte den Bewerber, weil beide früher in derselben Holding gearbeitet hatten. Er leitete die Nachricht an den Betroffenen weiter und fragte nach, ob dieser tatsächlich auf Stellensuche sei.
Der Bewerber sah darin einen Datenschutzverstoß. Er argumentierte, dass ein Branchenkollege nun über seine laufende Bewerbung, seine Gehaltssituation und das „Unterliegen“ in den Verhandlungen Bescheid wisse. Das empfinde er als Bloßstellung. Er verlangte Unterlassung und mindestens 2.500 Euro immateriellen Schadensersatz. Das Landgericht sprach ihm 1.000 Euro und die Unterlassung zu. Das Oberlandesgericht wies den Schadensersatzanspruch dann jedoch ab.
Die Entscheidung des Gerichts
Der BGH hat das Verfahren ausgesetzt und dem EuGH mehrere Auslegungsfragen zur DSGVO vorgelegt. Das bedeutet: Der BGH entscheidet noch nicht abschließend, sondern lässt zunächst europarechtliche Grundsatzfragen klären, weil die Auslegung des Unionsrechts unklar ist.
Zwei Fragenkomplexe stehen im Mittelpunkt. Erstens: Können Betroffene, deren Daten unrechtmäßig durch Weiterleitung offengelegt wurden, auf Unterlassung einer erneuten Weitergabe klagen – gestützt auf die DSGVO, etwa Art. 17 oder Art. 18 –, ohne zugleich die Löschung zu verlangen? Zweitens: Wie ist der Begriff des immateriellen Schadens in Art. 82 Abs. 1 DSGVO zu verstehen?
Besonders praxisrelevant ist die Frage, ob bereits bloße negative Gefühle wie Ärger, Unmut oder Sorge für einen Schadensersatz genügen, oder ob ein darüber hinausgehender Nachteil nötig ist. Der BGH formulierte dazu:
„Ist Art. 82 Abs. 1 DSGVO dahingehend auszulegen, dass für die Annahme eines immateriellen Schadens im Sinne dieser Bestimmung bloße negative Gefühle wie z.B. Ärger, Unmut, Unzufriedenheit, Sorge und Angst, die an sich Teil des allgemeinen Lebensrisikos und oft des täglichen Erlebens sind, genügen?“
— BGH, EuGH-Vorlage vom 26.09.2023, Az. VI ZR 97/22
Weiter fragt der BGH, ob bei der Höhe des Schadensersatzes der Grad des Verschuldens berücksichtigt werden darf und ob ein zusätzlicher Unterlassungsanspruch die Entschädigung mindern kann. Dass ein Datenschutzverstoß vorlag, war für den BGH unstreitig: Die Weitergabe der Daten an einen Unbeteiligten war unrechtmäßig, weil keine Einwilligung vorlag.
Was bedeutet das für Betroffene?
Wer von einer Datenpanne betroffen ist, sollte wissen: Ein Verstoß gegen die DSGVO allein führt nicht automatisch zu Schadensersatz. Bislang verlangen Gerichte häufig den Nachweis eines konkreten Nachteils. Genau diese Schwelle prüft der EuGH nun. Fällt die Auslegung verbraucherfreundlich aus, könnten künftig auch spürbare negative Gefühle für einen Anspruch ausreichen.
Praktisch heißt das: Dokumentieren Sie den Vorfall so genau wie möglich. Sichern Sie Nachrichten, Screenshots, E-Mails und den Zeitpunkt der Panne. Halten Sie fest, welche Daten an wen gelangt sind und welche konkreten Folgen sich für Sie ergeben haben – etwa Nachteile im Berufsleben, Stress oder ein Vertrauensverlust. Je konkreter der Nachteil belegt ist, desto stärker ist Ihre Position.
Wichtig ist außerdem die Verjährung: Ansprüche aus der DSGVO verjähren in der Regel innerhalb von drei Jahren. Warten Sie also nicht zu lange. Neben Schadensersatz kommt oft auch ein Unterlassungsanspruch in Betracht, damit sich der Fehler nicht wiederholt. Verantwortliche Stellen, also Unternehmen und Behörden, die personenbezogene Daten verarbeiten, sollten interne Prozesse prüfen: Klare Freigaben vor dem Versand sensibler Nachrichten und geschulte Mitarbeiter senken das Risiko teurer Fehler.
Da die Rechtslage bis zur EuGH-Entscheidung im Fluss ist, lohnt sich frühzeitige Beratung. Ein spezialisierter Anwalt kann einschätzen, ob sich eine Klage lohnt, wie hoch die Erfolgsaussichten sind und ob ein Vergleich sinnvoll ist. Anwalt für Datenschutzrecht finden hilft, den passenden Ansprechpartner zu wählen.
Quellen: BGH, EuGH-Vorlage vom 26.09.2023, Az. VI ZR 97/22 · Weiterführend: Bericht bei LTO