Die Benachrichtigung kommt per E-Mail und klingt beruhigend: Es habe einen Sicherheitsvorfall gegeben, man sei selbst Opfer eines Angriffs geworden, nach derzeitigem Kenntnisstand bestehe kein Anlass zur Sorge. Wenige Wochen später stehen Ihre Telefonnummer und Ihre Adresse in einem Datensatz, der im Netz kursiert.
Ob daraus ein Anspruch wird, entscheidet sich an fünf Stufen. Sie sind durch eine inzwischen geschlossene Linie des Gerichtshofs der Europäischen Union geklärt, und die meisten Fälle scheitern oder gelingen an derselben Stelle: dem Nachweis konkreter Folgen.
Die Prüfungsfolge
Erstens ein Verstoß gegen die Verordnung, etwa gegen die Grundsätze des Artikels 5, die Rechtmäßigkeit nach Artikel 6, das Auskunftsrecht nach Artikel 15 oder die Sicherheitspflichten des Artikels 32.
Zweitens ein Schaden, materiell oder immateriell. Es gibt kein Erheblichkeitserfordernis, aber Sie müssen konkrete Folgen nachweisen. Ersatzfähig sind der Kontrollverlust und die begründete Befürchtung künftigen Missbrauchs, nicht das rein hypothetische Risiko.
Drittens der Kausalzusammenhang zwischen Verstoß und Schaden. Er ist unterbrochen, wenn Sie den Kontrollverlust gezielt selbst herbeigeführt haben, um einen Verstoß zu provozieren und die Voraussetzungen für Schadensersatz künstlich zu schaffen; dieses Vorgehen muss das Unternehmen nachweisen.
Viertens keine Entlastung des Verantwortlichen nach Artikel 82 Abs. 3. Die Beweislast liegt bei ihm, und weder der Angriff Dritter noch das Fehlverhalten eigener Mitarbeiter genügen.
Fünftens die Bemessung: vollständiger Ausgleich, keine Straf- und keine Abschreckungsfunktion, keine Übertragung der Bußgeldkriterien, kein Zuschlag für Schwere oder Vorsatz, kein Abschlag für gute Absichten. Geringe Beträge sind ausdrücklich zulässig.
Die Zahlen, auf die es ankommt
| Frist | Bedeutung | Fundstelle |
|---|---|---|
| 72 Stunden | Frist für die Meldung einer Verletzung des Datenschutzes an die Aufsichtsbehörde. Sie knüpft an die Kenntnis des Verantwortlichen an und läuft nach der Berechnung der Aufsicht ab der ersten Stunde des Folgetages. Wird sie überschritten, ist eine Begründung beizufügen. | Art. 33 Abs. 1 DSGVO |
| unverzüglich | Frist für die Benachrichtigung der betroffenen Person, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. | Art. 34 Abs. 1 DSGVO |
| 3 Ausnahmen | Fälle, in denen die Benachrichtigung entfällt: wirksame Vorkehrungen wie Verschlüsselung, nachträgliche Risikobeseitigung oder unverhältnismäßiger Aufwand mit öffentlicher Bekanntmachung. | Art. 34 Abs. 3 DSGVO |
| Beweislast | Der Verantwortliche trägt im Schadensersatzverfahren die Beweislast für die Geeignetheit seiner Sicherheitsmaßnahmen. | EuGH, 14. Dezember 2023, C-340/21 |
| keine Bagatellgrenze | Eine nationale Regel, die den Ersatz immaterieller Schäden von einem Erheblichkeitsgrad abhängig macht, ist unzulässig. | EuGH, 4. Mai 2023, C-300/21; 14. Dezember 2023, C-456/22 |
| etwa 100 Euro | Größenordnung, die der Bundesgerichtshof in einem Scraping-Fall allein für den Kontrollverlust für angemessen gehalten hat. Ein Regelbetrag ist das nicht; die Höhe bleibt Sache des Einzelfalls. Sekundärquellenbelegt. | BGH, 18. November 2024, VI ZR 10/24 |
| 3 Wochen | Frist für die Anmeldung zum Verbandsklageregister, gerechnet ab dem Schluss der mündlichen Verhandlung. Die Anmeldung ist kostenfrei und hemmt die Verjährung. | Bundesamt für Justiz, Verbandsklageregister |
| Wahlgerichtsstand | Sie können am eigenen gewöhnlichen Aufenthaltsort klagen, ausgenommen gegen hoheitlich handelnde Behörden. | Art. 79 Abs. 2, Art. 82 Abs. 6 DSGVO; § 44 BDSG |
Kein Automatismus, aber auch keine Bagatellgrenze
Am 4. Mai 2023 in der Rechtssache C-300/21 hat der Gerichtshof die Doppelbotschaft formuliert, die seither jede Auseinandersetzung prägt. Der bloße Verstoß gegen die Bestimmungen der Verordnung reicht nicht aus, um einen Schadensersatzanspruch zu begründen. Zugleich steht Artikel 82 Abs. 1 einer nationalen Regelung entgegen, die den Ersatz eines immateriellen Schadens davon abhängig macht, dass er einen bestimmten Grad an Erheblichkeit erreicht.
Am 14. Dezember 2023 in der Rechtssache C-456/22 hat er das für einen kleinen Fall bestätigt: Eine Gemeinde hatte Namen und vollständige Adressen der Kläger drei Tage lang online abrufbar gehalten, während andere Beteiligte geschwärzt waren. Eine Bagatellgrenze gibt es nicht. Sie müssen aber nachweisen, dass die Folgen des Verstoßes tatsächlich einen Schaden verursacht haben, so geringfügig er auch sein mag.
Dazwischen liegt die eigentliche Arbeit jedes Falls. Wer nur den Verstoß vorträgt, verliert. Wer die Folgen konkret schildert, gewinnt auch bei kleinen Beträgen.
Das Datenleck-Urteil und was es für Sie bedeutet
Für Betroffene eines Hackerangriffs ist die Entscheidung vom 14. Dezember 2023 in der Rechtssache C-340/21 die wichtigste. Gegenstand war ein Angriff auf eine Behördendatenbank mit anschließender Veröffentlichung der Daten. Der Gerichtshof hat sechs Punkte geklärt, von denen drei Ihre Position unmittelbar verbessern und einer sie begrenzt.
Die Beweislast liegt beim Verantwortlichen. Er muss im Schadensersatzverfahren beweisen, dass seine technischen und organisatorischen Maßnahmen geeignet waren. Der Gerichtshof leitet das aus den Artikeln 5 Abs. 2, 24 Abs. 1 und 32 Abs. 1 ab.
Der Angriff Dritter entlastet nicht. Der Verantwortliche wird nicht schon deshalb von der Haftung befreit, weil die Verletzung von Angreifern verursacht wurde. Eine Befreiung setzt den Nachweis voraus, dass es keinen Kausalzusammenhang zwischen einer etwaigen Pflichtverletzung seinerseits und Ihrem Schaden gibt.
Die Befürchtung künftigen Missbrauchs ist ein Schaden. Der Begriff des immateriellen Schadens umfasst Situationen, in denen sich die betroffene Person darauf beruft, ihre Daten könnten aufgrund des Verstoßes künftig von Dritten missbräuchlich verwendet werden.
Und die Kehrseite, die fair zu benennen ist: Die unbefugte Offenlegung durch Dritte reicht für sich genommen nicht aus, um anzunehmen, die Maßnahmen seien ungeeignet gewesen. Die Geeignetheit ist vom Gericht konkret zu beurteilen, und ein Sachverständigengutachten ist dafür weder generell notwendig noch generell ausreichend.
Ergänzend hat der Gerichtshof am 11. April 2024 in der Rechtssache C-741/21 entschieden, dass es für eine Befreiung nicht genügt, wenn der Verantwortliche geltend macht, der Schaden sei durch das Fehlverhalten einer ihm unterstellten Person verursacht worden. Für Datenlecks durch Innentäter oder menschliches Versagen ist damit die naheliegende Verteidigung abgeschnitten.
Was als Schaden trägt und was nicht
Trägt einen Anspruch
- Der Kontrollverlust über die eigenen Daten, auch wenn er nur kurz andauert, sofern Sie ihn konkret schildern.
- Die begründete Befürchtung, die Daten könnten künftig missbraucht werden.
- Negative Gefühle wie Sorge oder Ärger, wenn der Kausalzusammenhang nachgewiesen ist.
- Die Beeinträchtigung des wirtschaftlichen Rufes, etwa durch eine unberechtigte Einmeldung bei einer Auskunftei.
- Materielle Folgen, etwa Kosten der Rechtsverfolgung.
Trägt keinen Anspruch
- Der bloße Verstoß gegen die Verordnung ohne jede Folge.
- Das rein hypothetische Risiko, wenn der Dritte die Daten erwiesenermaßen nicht zur Kenntnis genommen hat.
- Eine Befürchtung, deren negative Folgen nicht dargelegt werden.
- Ein Kontrollverlust, den Sie gezielt provoziert haben, um Schadensersatzansprüche künstlich zu schaffen.
- Ein zugleich verwirklichter Verstoß gegen nationale Vorschriften, die die Verordnung nicht präzisieren; er erhöht den Betrag nicht.
Wo die Grenze verläuft
Am 25. Januar 2024 in der Rechtssache C-687/21 hat der Gerichtshof die Kehrseite markiert. Ein Mitarbeiter hatte bei einem Gerätekauf Kaufvertragsunterlagen mit Name, Adresse, Arbeitgeber, Einkommen und Bankdaten versehentlich an einen anderen Kunden ausgehändigt; nach etwa dreißig Minuten wurden die Unterlagen zurückgeholt. Die Befürchtung, der Dritte könne Kopien angefertigt haben und diese künftig missbrauchen, trägt keinen Anspruch, wenn dieser Dritte die Daten erwiesenermaßen nicht zur Kenntnis genommen hat.
Am 20. Juni 2024 in der Rechtssache C-590/22 hat er die Anforderungen für die Gegenrichtung präzisiert: Die Befürchtung, Daten seien an Dritte weitergegeben worden, reicht auch dann aus, wenn diese Weitergabe nicht nachgewiesen werden kann, sofern die Befürchtung samt ihrer negativen Folgen ordnungsgemäß nachgewiesen ist. Der Satz enthält beides: die Öffnung und die Anforderung.
Die schärfste Begrenzung stammt vom 19. März 2026, Rechtssache C-526/24. Der Gerichtshof hat dort zugleich entschieden, dass Artikel 82 Abs. 1 einen Anspruch auch bei Verletzung des Auskunftsrechts gewährt und nicht auf Fälle unrechtmäßiger Verarbeitung beschränkt ist. Er begrenzt den Anspruch aber über die Kausalität: Der Zusammenhang ist unterbrochen, wenn die betroffene Person den Kontrollverlust durch eigenes Verhalten selbst herbeigeführt hat, etwa indem sie Daten gezielt bereitstellt, um Rechtsverstöße zu provozieren und die Voraussetzungen für Schadensersatz künstlich zu schaffen. Ein solches Vorgehen ist nachzuweisen. Das ist eine Absage an das Geschäftsmodell provozierter Massenansprüche, ohne den Anspruch ernsthaft Betroffener zu schwächen.
Die Höhe: Ausgleich, nicht Sanktion
Am 21. Dezember 2023 in der Rechtssache C-667/21 hat der Gerichtshof zwei Festlegungen getroffen, die die Bemessung bis heute bestimmen. Der Anspruch hat ausschließlich Ausgleichsfunktion und keine Straffunktion; die Entschädigung soll den konkret erlittenen Schaden vollständig ausgleichen, darf aber nicht darüber hinausgehen. Und die Haftung folgt einem Verschuldensregime mit Beweislastumkehr zugunsten der geschädigten Person: Artikel 82 Abs. 3 befreit den Verantwortlichen nur, wenn er nachweist, dass ihm der schadensverursachende Umstand in keinerlei Hinsicht zuzurechnen ist. Der Grad des Verschuldens wirkt sich auf die Höhe nicht erhöhend aus.
Am 20. Juni 2024 hat er in zwei Entscheidungen nachgezogen. In der Rechtssache C-590/22: Die Bußgeldkriterien des Artikels 83 sind nicht entsprechend anzuwenden, und dem Anspruch kommt keine Abschreckungsfunktion zu. In den verbundenen Rechtssachen C-182/22 und C-189/22: Schweregrad und Vorsätzlichkeit sind bei der Bemessung nicht zu berücksichtigen; ein immaterieller Schaden aufgrund eines Datenschutzverstoßes ist nicht per se als weniger schwerwiegend einzustufen als eine Körperverletzung; und geringfügige Beträge sind zulässig, sofern sie den Schaden vollständig ausgleichen. Der Begriff des Identitätsdiebstahls setzt voraus, dass ein Dritter die Identität tatsächlich angenommen hat, doch ist der Anspruch nicht auf solche Fälle beschränkt.
Am 4. Oktober 2024 in der Rechtssache C-507/23 ist eine doppelgesichtige Entscheidung hinzugetreten: Eine Entschuldigung kann einen angemessenen Ersatz eines immateriellen Schadens darstellen, sofern sie geeignet ist, den Schaden in vollem Umfang auszugleichen. Zugleich darf die Haltung und dürfen die Beweggründe des Verantwortlichen nicht berücksichtigt werden, um Ihnen weniger zuzusprechen, als konkret entstanden ist.
Und am 4. September 2025 in der Rechtssache C-655/23 hat der Gerichtshof festgehalten, dass die Verordnung keinen unionsrechtlich zwingenden vorbeugenden Unterlassungsrechtsbehelf vorsieht, die Mitgliedstaaten aber nicht gehindert sind, einen solchen national vorzusehen. Zu Artikel 82 hat er klargestellt: Negative Gefühle wie Sorge oder Ärger infolge einer unbefugten Datenübermittlung können einen immateriellen Schaden darstellen, sofern der Kausalzusammenhang nachgewiesen ist.
Was deutsche Gerichte zusprechen
Die Leitentscheidung stammt aus dem Facebook-Scraping-Komplex: Bundesgerichtshof, Urteil vom 18. November 2024, Aktenzeichen VI ZR 10/24. Danach kann der bloße, auch nur kurzzeitige Verlust der Kontrolle über die eigenen personenbezogenen Daten ein immaterieller Schaden im Sinne des Artikels 82 Abs. 1 sein. Weder eine konkrete missbräuchliche Verwendung noch eine darüber hinausgehende spürbare psychische Beeinträchtigung sind Voraussetzung. Für den Kontrollverlust allein hat der Bundesgerichtshof eine Größenordnung von etwa 100 Euro für einen angemessenen Ausgleich gehalten; kommen weitere Beeinträchtigungen hinzu, etwa nachgewiesene Ängste oder tatsächlicher Missbrauch, erhöht sich der Betrag.
Das Verfahren war zugleich das erste Leitentscheidungsverfahren nach der zum 1. November 2024 eingeführten Vorschrift, die verhindern soll, dass eine Klärung zentraler Rechtsfragen durch Rücknahme oder Vergleich vereitelt wird. Wichtig für die Einordnung: Sämtliche Angaben zur Rechtsprechung des Bundesgerichtshofs in diesem Ratgeber beruhen auf Fachbesprechungen, weil die Entscheidungsdatenbank des Gerichts für automatisierte Abrufe nicht erreichbar war. Beim Datum besteht eine Quellendiskrepanz: Drei unabhängige Besprechungen nennen den 18. November 2024, die Bundesrechtsanwaltskammer den 11. November 2024. Wir folgen der Mehrheit und legen die Abweichung offen.
Zur Größenordnung in der Instanzrechtsprechung: Eine anwaltliche Urteilsübersicht, die nach eigener Angabe rund 800 Entscheidungen erfasst, führt in einer daraus gebildeten Auswahl zugesprochene Beträge von 100 Euro über 250, 500, 750 und 1.000 bis 1.500 Euro auf; der höchste Betrag dieser Auswahl liegt bei 3.000 Euro. Ein Arbeitsgericht hat 1.000 Euro für die Weitergabe von Gesundheitsdaten in eine Messenger-Gruppe zugesprochen. Dieselbe Übersicht verzeichnet aber auch Klageabweisungen, etwa wegen fehlenden Schadensnachweises.
Die belastbare Einordnung lautet deshalb: Liegt allein ein Kontrollverlust vor, ist der untere bis mittlere dreistellige Bereich realistisch. Vierstellige Beträge setzen qualifizierte Umstände voraus, etwa besondere Datenkategorien, nachgewiesene wirtschaftliche Folgen oder eine besonders gravierende Offenlegung. Klageabweisungen sind kein Randphänomen, sondern die regelmäßige Folge unzureichenden Vortrags zum Schaden.
Nach einem Datenleck bei einem Onlinedienst
Sie erhalten am 4. März eine Benachrichtigung: Bei einem Sicherheitsvorfall seien Name, E-Mail-Adresse, Telefonnummer und Geburtsdatum abgeflossen. Passwörter seien nicht betroffen. Vier Wochen später häufen sich Anrufe mit unterdrückter Nummer, in denen Anrufer Ihren vollständigen Namen und Ihr Geburtsdatum kennen und sich als Mitarbeiter Ihrer Bank ausgeben. Sie wechseln Ihre Telefonnummer und verbringen mehrere Abende damit, Konten zu sichern. Das Unternehmen verweist darauf, es sei selbst Opfer eines kriminellen Angriffs geworden.
Ihre Position ist belastbar. Erstens ist die Beweislast für die Geeignetheit der Sicherheitsmaßnahmen beim Unternehmen, nicht bei Ihnen. Zweitens entlastet der Hinweis auf den Angriff Dritter nicht; erforderlich wäre der Nachweis, dass zwischen einer etwaigen Pflichtverletzung des Unternehmens und Ihrem Schaden kein Kausalzusammenhang besteht. Drittens ist Ihr Schaden nicht hypothetisch, sondern konkretisiert: Kontrollverlust, dokumentierte Missbrauchsversuche, der Aufwand für den Nummernwechsel. Schildern Sie genau diese Folgen, mit Daten, Uhrzeiten und Belegen. Prüfen Sie zugleich, ob eine Verbandsklage zu diesem Vorfall läuft; die Anmeldung ist kostenfrei und hemmt die Verjährung.
Gegen wen, und wo
Artikel 82 Abs. 2 teilt die Haftung auf. Der Verantwortliche haftet für jeden Schaden durch eine nicht verordnungskonforme Verarbeitung. Der Auftragsverarbeiter, also der externe IT-Dienstleister oder das Rechenzentrum, haftet Ihnen gegenüber nur, wenn er den ihm speziell auferlegten Pflichten nicht nachgekommen ist oder gegen rechtmäßig erteilte Weisungen gehandelt hat. Der richtige Anspruchsgegner ist deshalb regelmäßig das Unternehmen oder die Behörde, bei der Sie Kunde, Patient, Beschäftigter oder Nutzer sind.
Sind mehrere beteiligt, müssen Sie die interne Verantwortungsverteilung nicht aufklären: Nach dem Normtext haftet jeder Beteiligte für den gesamten Schaden, und der Regress ist Sache der Beteiligten untereinander. Bei arbeitsteiligen Strukturen, etwa Plattform und Zahlungsdienstleister oder Klinik und Abrechnungsdienstleister, ist das ein erheblicher praktischer Vorteil.
Zum Gerichtsstand: Artikel 79 Abs. 2 eröffnet wahlweise die Gerichte am Ort der Niederlassung oder an Ihrem gewöhnlichen Aufenthaltsort; Artikel 82 Abs. 6 verweist darauf, und § 44 Abs. 1 BDSG eröffnet ergänzend den Gerichtsstand am Wohnort. Die Wahlmöglichkeit entfällt bei Klagen gegen Behörden in Ausübung hoheitlicher Befugnisse. Praktisch unterschätzt ist § 44 Abs. 3 BDSG: Ein nach Artikel 27 Abs. 1 DSGVO benannter Vertreter gilt auch als bevollmächtigt, Zustellungen in zivilgerichtlichen Verfahren entgegenzunehmen. Das löst das Zustellungsproblem bei Anbietern außerhalb der Union.
Meldepflichten: warum Sie oft nichts hören
Nach Artikel 33 Abs. 1 meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Erfolgt die Meldung später, ist eine Begründung beizufügen. Die Orientierungshilfe des Bayerischen Landesbeauftragten für den Datenschutz mit Stand vom 1. Juni 2019 erläutert die Berechnung aus Sicht der Aufsicht, die Gerichte allerdings nicht bindet: Der Tag, in den das Ereignis fällt, wird nicht mitgerechnet; die Frist beginnt mit der ersten Stunde des Folgetages, und Samstage, Sonntage und Feiertage zählen mit.
Sie selbst müssen nach Artikel 34 Abs. 1 nur benachrichtigt werden, wenn die Verletzung voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge hat, und zwar in klarer und einfacher Sprache. Absatz 3 nennt drei Ausnahmen: wirksame Vorkehrungen, die die Daten für Unbefugte unzugänglich machen, insbesondere Verschlüsselung; nachfolgende Maßnahmen, die das hohe Risiko aller Wahrscheinlichkeit nach beseitigen; und ein unverhältnismäßiger Aufwand, der dann eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme erfordert.
Daraus folgt zweierlei. Für Unternehmen ist Verschlüsselung wirtschaftlich rational, weil sie im Ernstfall die Massenbenachrichtigung ersetzt. Für Sie bedeutet es: Das Ausbleiben einer Benachrichtigung beweist nicht, dass kein Vorfall stattgefunden hat. Nach Artikel 33 Abs. 5 muss der Verantwortliche jede Verletzung ohnehin dokumentieren, einschließlich aller Fakten, Auswirkungen und Abhilfemaßnahmen.
Drei Wege, die sich nicht ausschließen
Die Beschwerde bei der Aufsichtsbehörde ist kostenfrei und ohne Anwaltszwang. Sie kann zu einem aufsichtsrechtlichen Verfahren gegen den Verantwortlichen führen, verschafft Ihnen aber keinen Schadensersatz. Ihr Wert liegt in der Beweissicherung und in der Sachverhaltsaufklärung.
Die Individualklage führen Sie am Wohnsitzgericht. Wirtschaftlich sinnvoll ist sie bei qualifizierten Schäden, bei bestehender Rechtsschutzversicherung oder bei besonders sensiblen Datenkategorien. Bei bloßem Kontrollverlust steht der Aufwand in einem ungünstigen Verhältnis zum Ertrag.
Die Anmeldung zu einer Abhilfe- oder Musterfeststellungsklage ist kostenfrei, verjährungshemmend und ohne eigenes Prozessrisiko. Sie dauert lange, ist aber bei Massendatenlecks der naheliegende Weg. Nach den Angaben des Bundesamts für Justiz erfolgt die Anmeldung über ein Onlineformular, das zeitgleich mit der öffentlichen Bekanntmachung der Klage bereitgestellt wird, und ist bis zum Ablauf von drei Wochen nach dem Schluss der mündlichen Verhandlung möglich. Der entscheidende Unterschied zur Musterfeststellungsklage: Bei der Abhilfeklage werden die Ansprüche der Angemeldeten direkt erfüllt, eine zusätzliche eigene Klage ist nicht erforderlich.
Ein laufendes Verfahren zeigt die Größenordnung. Im Verbandsklageregister ist unter dem Aktenzeichen 11 VKl 1/24 beim Hanseatischen Oberlandesgericht Hamburg ein Verfahren des Verbraucherzentrale Bundesverbands gegen Meta Platforms Ireland eingetragen, bekanntgemacht am 5. Mai 2025. Es handelt sich nach der Registerbekanntmachung um eine Musterfeststellungsklage neuen Rechts, nicht um eine Abhilfeklage. Ein Erfolg führt daher zunächst zur Feststellung, nicht zur Auszahlung; Ihren Betrag müssen Sie anschließend selbst geltend machen. Gegenstand ist ein Datenleck bei Facebook aus den Jahren 2018 und 2019, von dem nach der Registerbekanntmachung etwa sechs Millionen deutsche Nutzerkonten betroffen waren. Geltend gemacht wird unter anderem die Feststellung eines Mindestschadensersatzes von 100 bis 200 Euro je nach Umfang der abgegriffenen Daten. Nach Angaben des klagenden Verbands hat das Gericht am 27. März 2026 die Anrufung des Gerichtshofs angekündigt und Vergleichsverhandlungen nahegelegt; die Vorlage erfolgte am 24. Juni 2026. Für Betroffene heißt das praktisch: Das Verfahren wird sich erheblich verzögern, die Anmeldung bleibt aber verjährungshemmend.
Größenordnung der Vorfälle
Eine bundesweite Gesamtzahl gemeldeter Datenpannen ließ sich nicht belegen. Belegbar sind Landeszahlen für das Berichtsjahr 2025, die nicht zu einer Bundeszahl addierbar sind, weil Zuständigkeiten und Zählweisen differieren.
In Baden-Württemberg gingen 4.059 Datenpannenmeldungen ein, nach 3.559 im Vorjahr, dazu 7.673 Beschwerden nach 4.034. Die Behörde leitete 314 Bußgeldverfahren ein, erließ 101 Bußgeldbescheide und kam auf eine Bußgeldsumme von rund 308.850 Euro. In Bayern verzeichnete die Aufsicht für den nicht öffentlichen Bereich 3.603 Meldungen von Datenschutzverletzungen, ein Anstieg um 23 Prozent, sowie 9.746 Beschwerden und Kontrollanregungen, ein Anstieg um 61 Prozent, davon 67 Prozent formelle Beschwerden. Als Ursachen nennt der Bericht Cyberangriffe, Ransomware-Fälle, Softwarefehler, Verlust und Diebstahl. In Hessen gingen 2.730 Meldungen ein, ein Anstieg um 28 Prozent, davon 625 Cyberangriffe; die Beschwerden stiegen von 3.839 auf 6.070. Verhängt wurden 47 Bußgelder mit einer Gesamthöhe von 190.100 Euro.
Darin liegt die zentrale Asymmetrie: Meldungen und Beschwerden steigen deutlich, die Bußgeldsummen der Landesaufsichtsbehörden bewegen sich dagegen im niedrigen sechsstelligen Bereich pro Jahr und Land. Der zivilrechtliche Anspruch des Einzelnen ist der wirksamere Hebel, wenn er kollektiv gebündelt wird.
So gehen Sie vor
- Sichern Sie sofort die Benachrichtigung des Unternehmens, alle Bildschirmfotos, den Zeitpunkt Ihrer Kenntnis und jede spätere Auffälligkeit: unbekannte Anrufe, Phishing-Nachrichten, Anmeldeversuche, Post von Inkassounternehmen.
- Verlangen Sie Auskunft nach Artikel 15 DSGVO. Sie erfahren, welche Daten betroffen sind und an wen sie gegangen sind, und Sie schaffen die Tatsachengrundlage für die Anspruchsprüfung.
- Schildern Sie Ihre Folgen konkret statt allgemein. Nicht ich fühle mich unwohl, sondern was genau geschehen ist, wann, wie oft und welchen Aufwand Sie hatten. An dieser Stelle scheitern die meisten Klagen.
- Fordern Sie das Unternehmen schriftlich zur Zahlung auf, mit Frist, unter Nennung des Vorfalls, der betroffenen Datenkategorien und Ihrer konkreten Folgen. Weisen Sie darauf hin, dass es die Beweislast für die Geeignetheit seiner Sicherheitsmaßnahmen trägt.
- Rechnen Sie mit dem Einwand, man sei selbst Opfer eines Angriffs geworden. Halten Sie dagegen, dass eine Befreiung den Nachweis fehlender Kausalität voraussetzt.
- Prüfen Sie, ob zu Ihrem Vorfall eine Verbandsklage läuft. Das Verbandsklageregister des Bundesamts für Justiz ist öffentlich; die Anmeldung ist kostenfrei und hemmt die Verjährung.
- Legen Sie parallel Beschwerde bei der zuständigen Aufsichtsbehörde ein. Das kostet nichts, kann den Sachverhalt aufklären und schließt eine spätere Klage nicht aus.
- Entscheiden Sie die Individualklage nach wirtschaftlichen Kriterien: Sie lohnt bei qualifizierten Schäden, bei Rechtsschutzversicherung oder bei besonders sensiblen Daten. Klagen können Sie an Ihrem eigenen Wohnsitz.
- Nehmen Sie ein Vergleichsangebot nicht vorschnell an, aber auch nicht reflexhaft ablehnend zur Kenntnis: Der Anspruch dient dem Ausgleich, nicht der Sanktion, und eine vollständige Ausgleichung kann auch in anderer Form erfolgen.
Sechs Einwände und was Sie ihnen entgegensetzen
Erstens, es liege kein erheblicher Schaden vor. Eine Erheblichkeitsschwelle ist unionsrechtswidrig. Sie müssen konkrete Folgen darlegen, aber keinen bestimmten Schweregrad erreichen.
Zweitens, man sei selbst Opfer krimineller Dritter. Das entlastet nicht. Erforderlich wäre der Nachweis, dass zwischen einer etwaigen Pflichtverletzung des Unternehmens und Ihrem Schaden kein Kausalzusammenhang besteht.
Drittens, ein Mitarbeiter habe den Fehler gemacht. Auch das genügt für eine Befreiung nicht.
Viertens, Sie müssten die Unzulänglichkeit der Sicherheitsmaßnahmen beweisen. Das Gegenteil trifft zu: Die Beweislast für deren Geeignetheit liegt beim Verantwortlichen.
Fünftens, der Dienstleister sei verantwortlich. Der Auftragsverarbeiter haftet Ihnen gegenüber nur eingeschränkt. Richten Sie sich an das Unternehmen, mit dem Sie die Beziehung haben.
Sechstens, es sei ja nichts passiert, weil niemand die Daten genutzt habe. Das trägt nur, wenn feststeht, dass der Dritte die Daten erwiesenermaßen nicht zur Kenntnis genommen hat. Bei einem veröffentlichten Datensatz ist das regelmäßig nicht der Fall.
Was diese Darstellung nicht leisten kann
Grenzen dieser Darstellung
Dieser Ratgeber stellt die Rechtslage allgemein dar und ersetzt keine Beratung im Einzelfall. Sieben Vorbehalte legen wir offen. Erstens ließ sich der Wortlaut des Artikels 82 Abs. 4 bis 6 und des Artikels 34 Abs. 2 bis 4 nicht aus der amtlichen Datenbank sichern, weil deren Volltext der Verordnung innerhalb des Artikels 34 endet; wir haben dafür einen nichtamtlichen Volltextdienst genutzt, ebenso für § 44 BDSG. Zweitens beruhen sämtliche Angaben zur Rechtsprechung des Bundesgerichtshofs auf Fachbesprechungen, weil dessen Entscheidungsdatenbank nicht erreichbar war; beim Datum der Leitentscheidung besteht eine Quellendiskrepanz zwischen dem 18. und dem 11. November 2024, die wir zugunsten des 18. November 2024 auflösen, weil drei unabhängige Quellen dieses Datum nennen. Drittens stammen alle Angaben zu zugesprochenen Beträgen aus einer einzigen anwaltlichen Urteilsübersicht und sind nicht am Original verifiziert; eine amtliche Statistik dazu existiert nicht. Viertens ließ sich der vollständige Tenor der Entscheidung vom 4. Oktober 2024 in der Rechtssache C-200/23 nicht extrahieren; die in der Fachpresse verbreitete Zuspitzung, der Kontrollverlust als solcher begründe einen immateriellen Schaden ohne zusätzliche nachteilige Folgen, führen wir deshalb nicht als gesicherte Aussage des Gerichtshofs. Fünftens nennen wir keine Streitwert- und Gebührenbeträge, weil dazu keine amtliche Fundstelle abrufbar war. Sechstens konnten wir den Vorlagebeschluss des Hanseatischen Oberlandesgerichts Hamburg vom 24. Juni 2026 und das zugehörige Aktenzeichen beim Gerichtshof nicht verifizieren; diese Angaben stammen von der Verfahrensseite des klagenden Verbands und einer anwaltlichen Quelle. Siebtens waren die Leitlinien des Europäischen Datenschutzausschusses zur Meldung von Datenschutzverletzungen nicht abrufbar; wir geben daraus nichts wieder.