Schadensersatz bei Datenpannen - Reicht der bloße Kontrollverlust?

Schadensersatzforderungen auf der Grundlage der Datenschutz-Grundverordnung (DSGVO) sind längst kein rein theoretisches Risiko mehr. In der Praxis führen sie zunehmend zu gerichtlichen Auseinandersetzungen. Dabei stellt sich zunehmend die Frage, ob bereits der Verlust der Kontrolle über personenbezogene Daten genügt, um einen Anspruch zu begründen – selbst wenn kein konkreter Missbrauch nachweisbar ist?
 

Schadensersatz nach der DSGVO
Art. 82 DSGVO normiert einen Anspruch auf Ersatz materieller und immaterieller Schäden, welche Betroffenen infolge eines Verstoßes gegen die DSGVO entstanden sind. Voraussetzung ist dabei nicht nur ein DSGVO-Verstoß, sondern auch ein konkreter, nachweisbarer Schaden. In diesem Zusammenhang ist zu bewerten, ob auch ein gefühlter Kontrollverlust – etwa infolge eines Datenlecks – ausreichen kann, ohne dass ein messbarer Nachteil eingetreten ist?
 

Kontrollverlust als immaterieller Schaden – was sagt der EuGH?
Nach der Rechtsprechung des EuGH ist ein immaterieller Schaden nicht allein deshalb ausgeschlossen, weil er geringfügig erscheint. Zugleich erläutert der EuGH, dass ein bloßer DSGVO-Verstoß nicht automatisch zu einem Schadensersatzanspruch führt. Entscheidend ist, ob ein individueller Schaden – auch psychischer Art – tatsächlich eingetreten ist.

Ein Verlust der Kontrolle über Daten, etwa bei einer versehentlichen Offenlegung, kann ein solcher Schaden sein, muss aber konkrete Auswirkungen auf die betroffene Person haben. Bloßes Unbehagen oder abstrakte Sorgen reichen nicht in jedem Fall aus – auch wenn einige Gerichte das anders sehen.

Rechtsunsicherheit durch uneinheitliche nationale Urteile
Die deutsche Rechtsprechung ist bislang uneinheitlich. Einige Gerichte erkennen schon subjektive Beeinträchtigungen wie Stress, Angst oder ein „ungutes Gefühl“ als immateriellen Schaden an. Andere verlangen eine objektivierbare und spürbare Beeinträchtigung der Lebensführung. Diese unterschiedliche Bewertung sorgt für erhebliche Unsicherheit – nicht nur für Betroffene, sondern auch für Unternehmen, welche sich kaum auf verlässliche Maßstäbe stützen können. In der Praxis führt dies zu einer deutlichen Ausweitung des Haftungsrisikos.

Haftung bei Datenpannen – nicht jede Sorge ist ein Schaden
Der Verlust der Kontrolle über personenbezogene Daten kann einen Schadensersatzanspruch nach der DSGVO auslösen – muss es aber nicht zwingend. Entscheidend bleibt der konkrete Einzelfall. Es bleibt zu hoffen, dass Gerichte klare Kriterien entwickeln, um berechtigte Ansprüche von pauschalen Klageversuchen abzugrenzen. Für Unternehmen ist es deshalb wichtig, Datenschutz nicht nur als regulatorisches Muss, sondern als aktiven Risikobereich zu verstehen – und entsprechend zu handeln.