Die Parteien stritten über Unterlassungs- und Schadensersatzansprüche wegen der unbefugten Weitergabe personenbezogener Daten im Rahmen eines Bewerbungsverfahrens. Der Bewerber befand sich bei einer Privatbank in einem über das Online-Portal Xing geführten Bewerbungsprozess. Eine Mitarbeiterin der Bank versandte über den Messenger-Dienst des Portals versehentlich eine für den Bewerber bestimmte Nachricht an einen nicht am Bewerbungsverfahren beteiligten Dritten.
Die Nachricht enthielt neben dem Nachnamen und dem aus der Anrede ersichtlichen Geschlecht des Bewerbers Angaben über das laufende Bewerbungsverfahren. Außerdem ging aus ihr hervor, dass der zuständige Leiter das berufliche Profil des Bewerbers zwar für interessant hielt, dessen Gehaltsvorstellungen aber nicht erfüllt werden könnten. Zugleich wurde ein konkretes Vergütungsangebot von 80 000 j zuzüglich einer variablen Vergütung genannt. Der Empfänger der Nachricht kannte den Bewerber aus einer früheren gemeinsamen Tätigkeit in derselben Holding. Er leitete die Nachricht an diesen weiter und erkundigte sich, ob die Mitteilung für ihn bestimmt gewesen sei und ob er sich auf Stellensuche befinde.
Nachdem die Bank dem Bewerber später mitgeteilt hatte, dass er im Bewerbungsverfahren nicht weiter berücksichtigt werde, beanstandete dieser die versehentliche Übermittlung seiner Daten. Er verlangte eine strafbewehrte Unterlassungserklärung, Auskunft, immateriellen Schadensersatz sowie die Erstattung seiner Rechtsanwaltskosten. Die Bank gab lediglich eine auf die erneute Verbreitung der konkreten Nachricht in ihrem Wortlaut bezogene Unterlassungserklärung ab.
Der Bewerber machte geltend, sein immaterieller Schaden bestehe nicht lediglich in einem abstrakten Kontrollverlust über seine personenbezogenen Daten. Ein ihm bekannter und in derselben Branche tätiger Dritter habe vielmehr Kenntnis von vertraulichen Umständen seines Bewerbungsverfahrens und seiner Gehaltsverhandlungen erhalten. Er müsse befürchten, dass dieser die Informationen weitergebe oder sie als möglicher Konkurrent bei künftigen Bewerbungen zu seinem Vorteil verwende. Zudem empfinde er es als „Schmach“, dass sein Unterliegen in den Gehaltsverhandlungen einem Dritten bekannt geworden sei.
Das Landgericht (LG) sprach dem Bewerber unter anderem einen immateriellen Schadensersatz von 1 000 j zu. Das Oberlandesgericht (OLG) wies den Schadensersatzanspruch dagegen ab, bestätigte aber imWesentlichen den Unterlassungsanspruch. Der Bundesgerichtshof (BGH) hatte das Verfahren zunächst ausgesetzt und dem Gerichtshof der Europäischen Union Fragen zur Auslegung der Datenschutz-Grundverordnung (DSGVO) zur Vorabentscheidung vorgelegt. Nach der Entscheidung des EuGH vom 04.09.2025 – C-655/23 entschied der BGH über die Revisionen beider Parteien. Er bejahte einen Anspruch auf immateriellen Schadensersatz dem Grunde nach, verneinte jedoch den geltend gemachten Unterlassungsanspruch.
Unbefugte Übermittlung von Bewerbungsdaten als DSGVO-Verstoß
Nach Auffassung des BGH enthalte die fehlgeleitete Nachricht personenbezogene Daten im Sinne von Art. 4 Nr. 1 Datenschutz-Grundverordnung. Hierzu gehörten nicht nur der Nachname und das aus der Anrede erkennbare Geschlecht, sondern auch die Tatsache des laufenden Bewerbungsverfahrens, die Haltung der Bank zur Bewerbung und die jedenfalls hinsichtlich ihrer Größenordnung mittelbar offengelegte Gehaltsvorstellung. Der Umstand, dass zur Identifizierung des Betroffenen gegebenenfalls weitere Informationen erforderlich seien, stehe der Einordnung als personenbezogene Daten nicht entgegen. Entscheidend sei, dass sich die Informationen auf eine identifizierte oder identifizierbare natürliche Person bezögen. Dass der Empfänger den Bewerber tatsächlich habe zuordnen können, werde zusätzlich dadurch belegt, dass er diesen nach Erhalt der Nachricht unmittelbar auf seine Bewerbung angesprochen habe. Die Versendung der Nachricht über denMessenger-Dienst des Online-Portals an einen unbeteiligten Dritten stelle eine Verarbeitung personenbezogener Daten in Form der Offenlegung durch Übermittlung dar. Diese Verarbeitung sei gemäß Art. 6 Abs. 1 DSGVO unrechtmäßig gewesen, weil sie insbesondere nicht von einer Einwilligung des Betroffenen gedeckt gewesen sei.
Schadensersatzanspruch nach Art. 82 DSGVO
Art. 82 Abs. 1 DSGVO bestimmt, dass jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter hat. Der BGH führt hierzu aus, dass der Schadensersatzanspruch drei Voraussetzungen habe: Es müsse ein Verstoß gegen die Datenschutz Grundverordnung vorliegen, dem Betroffenen müsse ein materieller oder immaterieller Schaden entstanden sein und zwischen dem Verstoß und dem Schaden müsse ein ursächlicher Zusammenhang bestehen. Ein Verschulden des Verantwortlichen sei demgegenüber nicht in gleicher Weise vom Betroffenen nachzuweisen; Art. 82 Abs. 3 DSGVO sehe vielmehr eine Haftungsbefreiung vor, wenn der Verantwortliche nachweise, dass er für den schadensauslösenden Umstand in keinerlei Hinsicht verantwortlich sei.
Datenschutzverstoß allein begründet noch keinen Schadensersatz
Der BGH stellt für den Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO zunächst klar, dass ein bloßer Verstoß gegen die Bestimmungen der Datenschutz Grundverordnung für sich genommen nicht ausreiche. Vielmehr müsse als eigenständige Anspruchsvoraussetzung ein durch den Datenschutzverstoß verursachter materieller oder immaterieller Schaden eingetreten sein. Der Begriff des immateriellen Schadens sei dabei autonom unionsrechtlich zu bestimmen und entsprechend den Zielsetzungen der Datenschutz-Grundverordnung weit auszulegen. Der Betroffene bleibe jedoch verpflichtet, darzulegen und erforderlichenfalls nachzuweisen, dass ihm tatsächlich ein Schaden entstanden sei.
Keine Erheblichkeitsschwelle für immaterielle Schäden
Nach der Rechtsprechung des EuGH dürfe der Ersatz eines immateriellen Schadens nicht davon abhängig gemacht werden, so der BGH, dass dieser einen bestimmten Grad an Schwere oder Erheblichkeit erreicht habe. Eine nationale Bagatell- oder Erheblichkeitsschwelle sei mit Art. 82 Abs. 1 DSGVO nicht vereinbar. Dies bedeute allerdings nicht, dass jeder Datenschutzverstoß automatisch einen Schadensersatzanspruch auslöse. Die Ablehnung einer Erheblichkeitsschwelle entbinde den Betroffenen nicht vom Nachweis eines tatsächlich eingetretenen immateriellen Schadens. Auch geringfügige negative Folgen könnten ausreichen; solche Folgen müssten aber tatsächlich vorliegen.
Kontrollverlust kann einen immateriellen Schaden darstellen
Der BGH hebt hervor, dass nach der Rechtsprechung des EuGH bereits der Verlust der Kontrolle über die eigenen personenbezogenen Daten einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO darstellen könne. Eine tatsächliche missbräuchliche Verwendung der Daten durch einen Dritten sei hierfür nicht stets erforderlich. Auch ein nur kurzzeitiger Kontrollverlust könne grundsätzlich genügen. Voraussetzung bleibe allerdings, dass der Betroffene einen tatsächlich eingetretenen Schaden darlege. Der bloße Hinweis auf die abstrakte Möglichkeit eines Datenmissbrauchs reiche hierfür nicht aus.
Begründete Befürchtung eines Datenmissbrauchs kann ausreichen
Auch die durch einen Datenschutzverstoß hervorgerufene Befürchtung, personenbezogene Daten könnten von Dritten missbräuchlich verwendet werden, könne für sich genommen einen immateriellen Schaden darstellen. Voraussetzung sei jedoch, dass diese Befürchtung und die damit verbundenen negativen Folgen ordnungsgemäß nachgewiesen würden. Eine bloß behauptete Sorge oder ein rein hypothetisches Risiko genüge nicht. Die Befürchtung müsse unter Berücksichtigung der konkreten Umstände und der Person des Betroffenen als begründet anzusehen sein. Negative Folgen könnten dabei auch in Gefühlen wie Sorge oder Ärger bestehen.
(…)
Bundesgerichtshof, Urteil vom 23.06.2026 – VI ZR 97/22 –
Den vollständigen Beitrag lesen Sie in der Fundstelle Baden-Württemberg 19/2026 Rn. 250
