Der Digital-Omnibus on AI- Was hat sich geändert?

11. August 2026 von Sarah Tavcer

Der Digital-Omnibus on AI- Was hat sich geändert?

Inkrafttreten und Zielsetzung

Am 27. Juli 2026 ist der „Digital-Omnibus on AI“ EU-weit in Kraft getreten. Damit für bestimmte Regelungen und Fristen der KI-Verordnung (KI-VO) angepasst. Der Digital-Omnibus on AI, der am 19. November 2025 als Teil des digitalen Omnibuspakets vorgeschlagen wurde, soll gezielte Vereinfachungen der KI-VO unter Beibehaltung starker Garantien für die Sicherheit und die Grundrechte von Menschen bieten. Die Gesetzesänderungen sollen mitunter kleineren Unternehmen die Einhaltung der Vorschriften erleichtern. Dabei werden Fristen verlängert sowie Test- und Experimentiermöglichkeiten erweitert. Zugleich sollen hierdurch Unternehmen, die KI in Europa entwickeln und einsetzen, mehr Rechtsklarheit erhalten, so jedenfalls das Versprechen der EU- Kommission.

Einigung zum Digital- Omnibus on AI

Die Europäische Kommission, das Europäische Parlament und der Rat der Europäischen Union haben in den sogenannten Trilogverhandlungen zum Digital-Omnibus on AI einen Kompromiss erzielt und sich auf einen finalen Text der Anpassungen der KI-VO verständigt. Hinter dem Digital-Omnibus on AI standen unter anderem Verzögerungen im Zusammenhang mit der Verfügbarkeit von Leitlinien und harmonisierten Normen, welche die Hochrisikopflichten konkretisieren sollten, sowie mit der Einrichtung nationaler Behörden.

Demgegenüber liegt ein Abschluss des Digital-Omnibus zum Datenrecht, der unter anderem „Vereinfachungen“ im Bereich der Datenschutz-Grundverordnung (DSGVO) oder des Data Act mit sich bringen soll, noch in weiter Ferne.

Neuer Fahrplan für die KI-VO

Die KI-VO wird seit seinem Inkrafttreten schrittweise anwendbar. Durch den Digital-Omnibus on AI wurden einzelne Fristen jedoch angepasst. Insbesondere verschiebt sich der Geltungsbeginn der Vorgaben für sogenannte Hochrisiko-KI-Systeme. Unternehmen sollten ihre Umsetzungsplanung deshalb nicht allein an den ursprünglich vorgesehenen Stichtagen ausrichten.

Was ändert sich?

Der Digital- Omnibus on AI erfasst bereits bestehende Regelungen, etwa die Regelung zur KI-Kompetenz in Art. 4 sowie Art. 10 Abs. 5 der KI-Verordnung. Daneben enthält der Digital- Omnibus eine Erweiterung der Liste verbotener Praktiken. Diese wurde insbesondere im Rahmen des Verbots sogenannter Nudifier-Tools und der Erzeugung oder Manipulation von Material über sexuellen Missbrauch von Kindern (CSAM) ergänzt.

Neue Fristen für Hochrisiko-KI-Systeme

Wesentlich für die Gesetzesanpassung ist die Verschiebung des Geltungsbeginns der Vorschriften für Hochrisiko-KI-Systeme. Kapitel III Abschnitte 1, 2 und 3 der Verordnung über künstliche Intelligenz gelten für KI-Systeme, die gemäß Art. 6 Abs. 2 und Anhang III als hochriskant eingestuft sind, erst ab dem 2. Dezember 2027. Für KI-Systeme, die gemäß Art. 6 Abs. 1 und Anhang I als hochriskant eingestuft sind, gelten diese Vorschriften ab dem 2. August 2028. Ausgenommen bleibt Art. 6 Abs. 5 der KI-VO.

Bei KI-Systemen nach Art. 6 Abs. 1 KI-VO handelt es sich insbesondere um solche, die als Sicherheitsbauteil eines Produkts verwendet werden oder selbst ein Produkt darstellen und für die nach den einschlägigen Harmonisierungsrechtsvorschriften der Union grundsätzlich eine Konformitätsbewertung durch Dritte vorgesehen ist.

Kennzeichnung synthetisch erzeugter Inhalte

Für Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, gilt eine Übergangsfrist. Sie müssen die Pflicht zur maschinenlesbaren Kennzeichnung nach Art. 50 Abs. 2 der KI-VO bis zum 2. Dezember 2026 erfüllen.

Maschinenprodukte und sektorspezifische Regulierung

Für Maschinenprodukte wird ein sektorspezifischer Ansatz gewählt. Die Verordnung (EU) 2023/1230 über Maschinenprodukte wird aus Anhang I Abschnitt A der KI-Verordnung in Abschnitt B verschoben. Damit werden die betroffenen KI-Systeme nicht vollständig aus dem Anwendungsbereich der KI-Verordnung ausgenommen. Zugleich soll die EU Kommission Sicherheits- und Gesundheitsschutzanforderungen für KI-Systeme im Rahmen der Maschinenverordnung durch delegierte Rechtsakte ergänzen. Diese Rechtsakte sollen ab dem 2. August 2028 gelten.

Verarbeitung sensibler Daten zur Erkennung und Korrektur von Verzerrungen

Die bislang in Art. 10 Abs. 5 der KI-VO enthaltene Regelung Verarbeitung besonderer Kategorien personenbezogener Daten nach der Datenschutzgrundverordnung (DSGVO), z.B. Gesundheitsdaten, wird aufgehoben und in den neuen Art. 4a KI-VO überführt. Anbieter von Hochrisiko-KI-Systemen dürfen solche Daten ausnahmsweise verarbeiten, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist.

Darüber hinaus können Anbieter und Betreiber anderer KI-Systeme und KI-Modelle sowie Betreiber von Hochrisiko-KI-Systemen solche Daten verarbeiten, sofern die Verzerrungen die Gesundheit oder Sicherheit beeinträchtigen, negative Auswirkungen auf Grundrechte haben oder zu unionsrechtlich verbotener Diskriminierung führen können. Voraussetzung ist jeweils, dass sämtliche in Art. 4a Abs. 1 genannten Schutzvorkehrungen eingehalten werden. Eine allgemeine Pflicht zur Bias-Erkennung wird dadurch nicht begründet.

Strenges Verbot von sog. „Nudifier“-Apps

Ab dem 02.12.2026 verbietet Art. 5 Abs. 1 Buchst. ba und bb KI-VO unter bestimmten Voraussetzungen das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen zur Erzeugung oder Manipulation nicht einvernehmlich erstellten intimen Materials sowie von Material oder Darbietungen im Sinne der Richtlinie 2011/93/EU zur Bekämpfung des sexuellen Missbrauchs von Kindern.

Bei nicht einvernehmlich erstelltem intimem Material sind insbesondere realistische Bild-, Video-, Ton- oder ähnliche Inhalte erfasst, die intime Körperteile einer bestimmbaren natürlichen Person darstellen oder eine bestimmbare Person bei eindeutig sexuellen Handlungen zeigen, ohne dass eine freiwillige, spezifische, aufgeklärte, eindeutige und ausdrückliche Einwilligung vorliegt.

Für Anbieter greift das Verbot bei Systemen, die hierzu bestimmt sind, oder wenn die Erzeugung bzw. Manipulation ein nach vernünftigem Ermessen absehbares und reproduzierbares Ergebnis ist und keine zumutbaren und angemessenen technischen Sicherheitsmaßnahmen sowie sonstigen Schutzvorkehrungen bestehen. Der Erwägungsgrund nennt hierfür beispielhaft Datenbereinigung, Ablehnungstraining, sichere Prompt-Gestaltung, Ausgabenkontrollen, Laufzeit-Leitplanken, und Inhaltsfilter.

KI-Kompetenz

Die Pflicht zur KI-Kompetenz wird nicht aufgehoben. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer Personen zu unterstützen, die in ihrem Auftrag mit Betrieb und Nutzung von KI-Systemen befasst sind. Dabei sind unter anderem technische Kenntnisse, Erfahrung, Aus- und Fortbildung sowie der jeweilige Einsatzkontext zu berücksichtigen.

Ausdrücklich besteht jedoch keine Pflicht, für einzelne Personen ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

Erleichterungen für kleine Midcap-Unternehmen

Die KI-VO bekommt mit dem Digital-Omnibus on AI Definitionen für kleine und mittlere Unternehmen (KMU) sowie für kleine Midcap-Unternehmen (SMC, Small midcap comapanies) in Art. 3 Nr. 14a und 14b. Kleine Midcap-Unternehmen können Elemente der technischen Dokumentation für Hochrisiko-KI-Systeme gemäß Art. 11 Abs. 1 in vereinfachter Form bereitstellen; hierfür soll die Europäische Kommission ein vereinfachtes Formular erstellen.

Die Definitionen verweisen dabei für KMU auf Art. 2 des Anhangs der Empfehlung 2003/361/EG und für SMC auf Nr. 2 des Anhangs der Empfehlung (EU) 2025/1099.

KMU:

„Gemäß Empfehlung 2003/361 der Kommission sind kleine und mittlere Unternehmen (KMU) definiert als Unternehmen, deren Personalbestand und wirtschaftliches Gewicht bestimmte Grenzwerte nicht überschreiten.

Ein mittleres Unternehmen hat bis zu 250 Mitarbeiter, einen Umsatz von bis zu 50 Mio. EUR oder eine Bilanzsumme von bis zu 43 Mio. EUR;
Ein kleines Unternehmen hat bis zu 50 Mitarbeiter und einen Umsatz bzw. eine Bilanzsumme von bis zu 10 Mio. EUR;
Ein Kleinstunternehmen hat bis zu zehn Mitarbeiter und einen Umsatz bzw. eine Bilanzsumme von bis zu 2 Mio. EUR.“

SMC:

„Die Kategorie der kleinen Unternehmen mittlerer Kapitalisierung (im Folgenden „kleine Midcap-Unternehmen“) setzt sich aus Unternehmen zusammen, die keine kleinen und mittleren Unternehmen nach der Empfehlung 2003/361/EG der Kommission sind, die weniger als 750 Personen beschäftigen und die einen Jahresumsatz von höchstens 150 Mio. EUR erzielen oder deren Jahresbilanzsumme sich auf höchstens 129 Mio. EUR beläuft.“

Außerdem muss die Umsetzung der Elemente des Qualitätsmanagementsystems gemäß Art. 17 Abs. 2 KI-VO in einem angemessenen Verhältnis zur Größe der Organisation stehen. Dies gilt ausdrücklich auch für kleine und mittlere Unternehmen, Start-up-Unternehmen und kleine Midcap-Unternehmen.

Die Fristen zur Umsetzung der KI-VO unter Berücksichtigung des Digital Omnibus on AI

01.08.2024	Inkrafttreten der KI-VO	Die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, kurz KI-VO ist am 1. August 2024 in Kraft getreten. Sie gilt als Verordnung unmittelbar in allen EU-Mitgliedstaaten. Die einzelnen Pflichten werden jedoch zu unterschiedlichen Zeitpunkten anwendbar.
02.02.2025	Allgemeine Vorschriften, KI-Kompetenz und erste Verbote	Es gelten die allgemeinen Vorschriften, insbesondere die Begriffsbestimmungen. Auch die Verbote bestimmter KI-Praktiken sind seit diesem Zeitpunkt anwendbar. Ebenfalls gilt seit diesem Zeitpunkt die Regelung zur KI-Kompetenz. Diese wurde durch den Digital-Omnibus on AI KI neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Ein bestimmtes Kompetenzniveau einzelner Personen muss jedoch nicht garantiert werden.
02.08.2025	Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Governance	Es gelten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also insbesondere für sogenannte General-Purpose-AI-Modelle. Diese betreffen u.a. die technische Dokumentation, Informationen für nachgelagerte Anbieter sowie die Einhaltung des Urheberrechts der EU. Für Modelle mit systemischem Risiko gelten zusätzliche Verpflichtungen. Bis dahin mussten die Mitgliedstaaten zudem nationale zuständige Behörden benennen und nationale Sanktionsregelungen erlassen. Auf Unionsebene waren die vorgesehenen Governance-Strukturen, insbesondere das Europäische Gremium für Künstliche Intelligenz, das wissenschaftliche Gremium und das Beratungsforum, einzurichten.
02.08.2026	Anwendung der meisten übrigen Vorschriften der KI-VO	Grundsätzlich wurden die meisten verbleibenden Vorschriften anwendbar. Für Transparenzpflichten ist insbesondere Art. 50 KI-VO relevant. Danach müssen Anbieter und Betreiber in bestimmten Konstellationen offenlegen, dass Personen mit einem KI-System interagieren oder dass Inhalte künstlich erzeugt oder manipuliert wurden. Für synthetische Inhalte gilt dabei eine besondere Übergangsregelung für bereits auf dem Markt befindliche Systeme.
02.12.2026	Neue Verbote und Übergangsfrist für synthetische Inhalte	Es gelten zwei weitere Verbote. Erfasst sind KI-Systeme, die nicht einvernehmlich erstelltes intimes Material erzeugen oder manipulieren können, sowie KI-Systeme zur Erzeugung oder Manipulation von Material über sexuellen Missbrauch von Kindern. Das Verbot betrifft nicht pauschal jedes technisch hierzu fähige System. Maßgeblich sind die näheren Voraussetzungen des Art. 5 KI-VO (Verbotene Praktiken), insbesondere die Zweckbestimmung des Systems oder ein nach vernünftigem Ermessen absehbares und reproduzierbares Ergebnis bei fehlenden angemessenen Schutzvorkehrungen. Auch endet hier die Übergangsfrist für bestimmte Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 02.08.2026 in Verkehr gebracht wurden. Sie müssen bis zu diesem Datum die Pflicht zur maschinenlesbaren Kennzeichnung nach Art. 50 Abs. 2 KI-VO erfüllen.
02.08.2027	KI-Reallabore in den Mitgliedstaaten	Bis zu diesem Stichtag muss jeder Mitgliedstaat mindestens ein einsatzbereites KI-Reallabor eingerichtet haben. In diesen regulatorischen Testumgebungen sollen innovative KI-Systeme unter behördlicher Begleitung entwickelt, trainiert, getestet und validiert werden können, bevor sie in Verkehr gebracht oder in Betrieb genommen werden.
02.12.2027	Hochrisiko-KI-Systeme nach Anhang III KI-VO	Es gelten jetzt die Vorgaben des Kapitels III Abschnitte 1 bis 3 KI-VO für KI-Systeme, die nach Art. 6 Abs. 2 in Verbindung mit Anhang III als hochriskant eingestuft werden. Dies betrifft insbesondere bestimmte Systeme in Bereichen wie Biometrie, Bildung, Beschäftigung, Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen, Strafverfolgung, Migration, Rechtspflege und demokratischen Prozessen. Betroffene Anbieter müssen dann insbesondere die Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit erfüllen.
02.08.2028	Hochrisiko-KI-Systeme in regulierten Produkten	Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 in Verbindung mit Anhang I gilt der spätere Stichtag 2. August 2028. Dabei handelt es sich insbesondere um KI-Systeme, die als Sicherheitsbauteil eines regulierten Produkts verwendet werden oder selbst ein solches Produkt darstellen. Voraussetzung ist, dass das Produkt unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Europäischen Union fällt. Für Maschinenprodukte wurde zugleich ein sektorspezifischer Ansatz eingeführt. Die Maschinenverordnung wird von Anhang I Abschnitt A in Abschnitt B der KI-VO verschoben. Die betroffenen Systeme werden damit nicht vollständig ausgenommen, sondern unterliegen einem angepassten Zusammenspiel aus sektorspezifischer Regulierung und ausgewählten Vorschriften der KI-VO.

Bei Fragen zu den Umsetzungspflichten der KI-Verordnung sprechen Sie uns gerne an.

Autorin

Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.

Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/

KI-Transparenzpflichten – Klarheit oder Dschungel behördlicher Zuständigkeiten

3. August 20263. August 2026 von Matthias Rosa

KI-Transparenzpflichten

Mit unserem Beitrag Transparenzpflichten für KI vom 28.05.2026 hatten wir bereits auf die Kennzeichnungspflichten nach der Verordnung (EU) 2024/1689, dem AI Act, hingewiesen. Seit dem 2. August 2026 müssen Anbieter und Betreiber bestimmter KI-Systeme insbesondere die Transparenzpflichten aus Art. 50 AI Act beachten.

Aufsicht über KI-Modelle mit allgemeinem Verwendungszweck

Davon zu unterscheiden sind die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI -GPAI). Diese gelten bereits seit dem 2. August 2025. Die Europäische Kommission nimmt die Aufsicht über diese Modelle mit Unterstützung des Amts für künstliche Intelligenz (European AI-Office) wahr. GPAI-Modelle zeichnen sich durch erhebliche Allgemeinheit aus und können eine Vielzahl unterschiedlicher Aufgaben kompetent erfüllen.

Die zuständigen nationalen Behörden setzen die Vorschriften für andere KI-Systeme durch. Der Europäische Datenschutzbeauftragte ist für KI-Systeme zuständig, die von den Organen, Einrichtungen und sonstigen Stellen der EU eingesetzt werden verwendet werden.

Zuständigkeitsstruktur in Deutschland

In Deutschland ist am 29.07.2026 das „Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz“ (KI-MIG) in Kraft getreten. Für Deutschland ergibt sich hiernach die folgende Struktur für die jeweils zuständige Aufsichtsbehörde:

Allgemeine Marktüberwachungsbehörde sowie zentrale Anlauf- und Beschwerdestelle ist die Bundesnetzagentur. Soweit keine besondere sektorale Zuständigkeit eingreift, überwacht sie die Einhaltung des AI Acts.
Bei KI-Systemen, die mit Produkten oder Sicherheitsbauteilen in Zusammenhang stehen, auf die die in Anhang I Abschnitt A des AI Acts genannten Harmonisierungsrechtsvorschriften anzuwenden sind, ist die jeweils nach dem Produktrecht zuständige Marktüberwachungsbehörde verantwortlich, z.B. gemäß Maschinenrichtlinie (2006/42/EG) oder Spielzeugrichtlinie (2009/48/EG).
Für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen und von beaufsichtigten Finanzunternehmen eingesetzt werden, ist die Bundesanstalt für Finanzdienstleistungsaufsicht zuständig.

Cybersicherheit und Tests unter Realbedingungen

Bei Verdachtsfällen einer Nichteinhaltung KI-spezifischer Cybersicherheitsanforderungen informiert die nach Art. 52 Abs. 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde die jeweils nach dem KI-MIG zuständige Marktüberwachungsbehörde. Übergangsweise nimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) diese Aufgabe wahr. Die zuständige Marktüberwachungsbehörde prüft anschließend, ob sie Maßnahmen ergreift.
Bei Tests von Hochrisiko-KI-Systemen unter Realbedingungen außerhalb eines KI-Reallabors ist ebenfalls die jeweils sachlich zuständige Marktüberwachungsbehörde zuständig. Sie prüft und genehmigt insbesondere den Testplan.

Datenschutzaufsicht und parallele Verfahren

Die Datenschutzaufsichtsbehörden des Bundes und der Länder sind nach § 9 Abs. 4 Nr. 1 KI-MIG grundsätzlich als einzubeziehende „sonstige Behörden“ genannt. Sie werden dadurch nicht allgemein zu Marktüberwachungsbehörden nach dem AI Act. Bei datenschutzrelevanten KI-Anwendungen können sie jedoch weiterhin aufgrund ihrer eigenen Befugnisse tätig werden. Dadurch können neben einem KI-rechtlichen Marktüberwachungsverfahren auch datenschutzrechtliche Verfahren nach der Datenschutz-Grundverordnung entstehen. Die Kooperation nach § 9 KI-MIG soll widersprüchliche Aufsicht vermeiden, enthält aber keine ausdrückliche Sanktionskoordination. Bei parallelen Verfahren wird deshalb insbesondere der Verhältnismäßigkeitsgrundsatz und gegebenenfalls das Verbot der Doppelbestrafung aus Art. 50 der Charta der Grundrechte der Europäischen Union zu beachten sein.

Offene Fragen für die Praxis

Abzuwarten bleib auch, ob die Zuständigkeitsstruktur in der Praxis zu unübersichtlichen Zuständigkeiten, divergierenden Auslegungen und Mehrfachbefassungen verschiedener Marktüberwachungsbehörden bei demselben KI-System führt.

Autor

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Schadensersatz bei Datenpanne im Bewerbungsverfahren

3. August 20263. August 2026 von Matthias Rosa

BGH: Kontrollverlust mit konkreter Folge

Der sogenannte Kontrollverlust über personenbezogene Daten ist immer wieder Gegenstand gerichtlicher Auseinandersetzungen, z.B, wenn Steuerunterlagen an einen falschen Empfänger versandt werden[i] oder im Fall einer verspäteten Auskunft[ii]. Im Kern geht es um die Frage, ob daraus ein Schadensersatzanspruch der betroffenen Person folgen kann.

Übermittelt ein Unternehmen versehentlich Informationen aus einem laufenden Bewerbungsverfahren an einen unbeteiligten Dritten und nimmt dieser die Informationen zur Kenntnis, kann dies einen ersatzfähigen immateriellen Schaden des Bewerbers begründen. So entschied der Bundesgerichtshof (BGH) mit Urteil vom 23. Juni 2026[iii].

Im Streitfall versandte das Unternehmen über die Plattform XING versehentlich eine Nachricht mit personenbezogenen Daten des Klägers an einen Dritten. Dieser hatte zuvor gemeinsam mit dem Kläger in demselben Unternehmen gearbeitet. Die fehlgeleitete Nachricht enthielt nicht nur die Information über die Bewerbung des Klägers, sondern auch Angaben zu dessen Gehaltsvorstellungen und zur angebotenen Vergütung:

„Lieber Herr K[Nachname des Klägers], ich hoffe es geht Ihnen gut! Unser Leiter – Herr R[…] – findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören und wünsche Ihnen einen guten Start in den Dienstag. Viele Grüße, I[…] J[…]“

Der Empfänger leitete diese Nachricht an den Kläger weiter und fragte ab, ob sie für ihn bestimmt war und ob er auf Stellensuche sei. Der Kläger befürchtete dabei, dass dieser die Informationen ebenso weitergeben oder daraus einen Wettbewerbsvorteil ziehen könnte. Er verlangte deshalb von dem Unternehmen, bei dem er sich beworben hatte, Schadensersatz und Unterlassung. Besonders belastend war für er, dass ein Dritter aus derselben Branche nun nicht nur von seiner Bewerbung wusste, sondern auch Kenntnis von seiner Gehaltsforderung und der aus seiner Sicht nachteiligen Verhandlungsposition hatte.

Der BGH bejahte einen immateriellen Schaden dem Grunde nach. Maßgeblich ist Art. 82 Abs. 1 der Datenschutz-Grundverordnung (DSGVO). Die Vorschrift kennt keine Erheblichkeitsschwelle, d.h. ein Schaden muss nicht besonders schwer wiegen. Die betroffene Person muss jedoch darlegen und gegebenenfalls beweisen, dass ihr tatsächlich ein immaterieller Schaden entstanden ist. Entscheidend ist nicht allein der Datenschutzverstoß, sondern dessen konkrete Auswirkung auf die betroffene Person. Dies zeigt sich insbesondere in der Kontaktaufnahme durch den unbefugten Empfänger.

Kontrollverlust braucht einen belegbaren Effekt

Die fehlerhafte Übermittlung der Nachricht stellte eine Datenschutzverletzung dar. Für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO muss die betroffene Person, hier der Bewerber, jedoch darlegen und beweisen, dass sie einen immateriellen Schaden erlitten hat. Dies kann ein Verlust der Kontrolle über personenbezogene Daten sein. Nach der Auffassung des BGH, muss die unbefugte Übermittlung im konkret eine nachteilige Auswirkung für die betroffene Person haben. Weder eine abstrakte Gefahr noch die bloße Behauptung einer Beeinträchtigung genügen. Eine besondere Erheblichkeitsschwelle besteht allerdings nicht.

Im konkreten Fall waren diese Voraussetzungen jedoch erfüllt. Der irrtümlich angeschriebene Dritte nahm die Nachricht zur Kenntnis und kontaktierte den Kläger wegen dessen Bewerbung. Damit blieb die unbefugte Übermittlung nicht folgenlos. Die Daten hatten den vorgesehenen Empfängerkreis verlassen und eine konkrete Reaktion ausgelöst.

Auch die Sorge vor einer missbräuchlichen Verwendung personenbezogener Daten kann nach Art. 82 Abs. 1 DSGVO einen immateriellen Schaden begründen. Sie muss jedoch nachvollziehbar sein und sich als tatsächliche Beeinträchtigung der betroffenen Person darstellen. Im vorliegenden Fall war der Empfänger in derselben Branche tätig und wusste nun von der Bewerbung des Klägers. Seine Rückfrage machte den Kontrollverlust für den Kläger konkret erfahrbar.

Die Entscheidung wird besonders anschaulich, wenn man den Inhalt der Nachricht berücksichtigt. Offenbart wurden nicht lediglich Kontaktdaten oder die abstrakte Tatsache einer Bewerbung. Der Dritte erhielt konkrete Informationen über die berufliche Neuorientierung des Klägers, seine Gehaltsvorstellungen und das Gegenangebot des potenziellen Arbeitgebers. Gerade diese Kombination machte den Kontrollverlust für den Kläger spürbar.

Unterlassung erfordert mehr als einen Fehler

Der Unterlassungsanspruch hingegeben scheiterte. Die DSGVO enthält selbst keinen eigenständigen Anspruch, mit dem eine betroffene Person künftige rechtswidrige Verarbeitungen vorsorglich untersagen lassen kann, soweit sie nicht zugleich die Löschung der betreffenden Daten verlangt.

Ein Anspruch nach nationalem Recht kann dennoch in Betracht kommen, insbesondere § 1004 Abs. 1 S. 2, § 823 Absatz 1 des Bürgerlichen Gesetzbuchs (BGB) in Verbindung mit Artitkel 1 Abs. 1 und Art. 2 Abs. 1 des Grundgesetzes sowie § 1004 Abs. 1 S. 2 BGB analog, § 823 Abs. 2 BGB in Verbindung mit Art. 6 DSGVO. Voraussetzung ist jedoch stets eine Wiederholungsgefahr.

Nach einem bereits begangenen Verstoß spricht grundsätzlich eine tatsächliche Vermutung für das Bestehen einer Wiederholungsgefahr. Diese Vermutung kann jedoch unter strengen Voraussetzungen widerlegt werden. Hier sah der BGH eine einmalige Sondersituation. Die beanstandete Nachricht stand in einem konkreten Bewerbungsverfahren, das inzwischen beendet war. Deshalb bestand keine hinreichende Wahrscheinlichkeit, dass sich eine vergleichbare Verletzung gegenüber dem Kläger wiederholen würde.

Höhe des Schadens

Über die Höhe des immateriellen Schadensersatzes entschied der BGH dagegen nicht abschließend. Er verwies den Rechtsstreit insoweit an das Berufungsgericht (Oberlandesgericht Frankfurt/Main) zurück, was die Höhe des Schadensersatzes zu bestimmen hat.

Fazit

Ein fehlgeleiteter Datensatz oder eine versehentlich versandte Nachricht löst nicht automatisch einen Schadensersatzanspruch aus. Erreichen die Informationen jedoch einen unbefugten Dritten und hat dies konkrete nachteilige Folgen für die betroffene Person, kann ein Anspruch auf immateriellen Schadensersatz bestehen. Unternehmen müssen Ihre Prozesse im Bewerbungsprozess im Griff haben. Berechtigungskonzepte, aber auch Empfängerprüfungen, Freigaben und Meldewege müssen zuverlässig funktionieren.Eine Datenpanne endet nicht immer mit einem Klick auf „Zurückrufen“.

AUTOR

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

[i] Europäischer Gerichtshof (EuGH) v. 20.06.2024 – C-590/22 PS

[ii] Bundesarbeitsgericht (BAG): Urt. v. 20.02.2025, Az.: 8 AZR 61/24

[iii] BGH, Urt. v. 23.06.2026, Az. VI ZR 97/22