BGH: Kontrollverlust mit konkreter Folge

Der sogenannte Kontrollverlust über personenbezogene Daten ist immer wieder Gegenstand gerichtlicher Auseinandersetzungen, z.B, wenn Steuerunterlagen an einen falschen Empfänger versandt werden[i] oder im Fall einer verspäteten Auskunft[ii]. Im Kern geht es um die Frage, ob daraus ein Schadensersatzanspruch der betroffenen Person folgen kann.

Übermittelt ein Unternehmen versehentlich Informationen aus einem laufenden Bewerbungsverfahren an einen unbeteiligten Dritten und nimmt dieser die Informationen zur Kenntnis, kann dies einen ersatzfähigen immateriellen Schaden des Bewerbers begründen. So entschied der Bundesgerichtshof (BGH) mit Urteil vom 23. Juni 2026[iii].

Im Streitfall versandte das Unternehmen über die Plattform XING versehentlich eine Nachricht mit personenbezogenen Daten des Klägers an einen Dritten. Dieser hatte zuvor gemeinsam mit dem Kläger in demselben Unternehmen gearbeitet. Die fehlgeleitete Nachricht enthielt nicht nur die Information über die Bewerbung des Klägers, sondern auch Angaben zu dessen Gehaltsvorstellungen und zur angebotenen Vergütung:

„Lieber Herr K[Nachname des Klägers], ich hoffe es geht Ihnen gut! Unser Leiter – Herr R[…] – findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören und wünsche Ihnen einen guten Start in den Dienstag. Viele Grüße, I[…] J[…]“

Der Empfänger leitete diese Nachricht an den Kläger weiter und fragte ab, ob sie für ihn bestimmt war und ob er auf Stellensuche sei. Der Kläger befürchtete dabei, dass dieser die Informationen ebenso weitergeben oder daraus einen Wettbewerbsvorteil ziehen könnte. Er verlangte deshalb von dem Unternehmen, bei dem er sich beworben hatte, Schadensersatz und Unterlassung. Besonders belastend war für er, dass ein Dritter aus derselben Branche nun nicht nur von seiner Bewerbung wusste, sondern auch Kenntnis von seiner Gehaltsforderung und der aus seiner Sicht nachteiligen Verhandlungsposition hatte.

Der BGH bejahte einen immateriellen Schaden dem Grunde nach. Maßgeblich ist Art. 82 Abs. 1 der Datenschutz-Grundverordnung (DSGVO). Die Vorschrift kennt keine Erheblichkeitsschwelle, d.h. ein Schaden muss nicht besonders schwer wiegen. Die betroffene Person muss jedoch darlegen und gegebenenfalls beweisen, dass ihr tatsächlich ein immaterieller Schaden entstanden ist. Entscheidend ist nicht allein der Datenschutzverstoß, sondern dessen konkrete Auswirkung auf die betroffene Person. Dies zeigt sich insbesondere in der Kontaktaufnahme durch den unbefugten Empfänger.

Kontrollverlust braucht einen belegbaren Effekt

Die fehlerhafte Übermittlung der Nachricht stellte eine Datenschutzverletzung dar. Für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO muss die betroffene Person, hier der Bewerber, jedoch darlegen und beweisen, dass sie einen immateriellen Schaden erlitten hat. Dies kann ein Verlust der Kontrolle über personenbezogene Daten sein. Nach der Auffassung des BGH, muss die unbefugte Übermittlung im konkret eine nachteilige Auswirkung für die betroffene Person haben. Weder eine abstrakte Gefahr noch die bloße Behauptung einer Beeinträchtigung genügen. Eine besondere Erheblichkeitsschwelle besteht allerdings nicht.

Im konkreten Fall waren diese Voraussetzungen jedoch erfüllt. Der irrtümlich angeschriebene Dritte nahm die Nachricht zur Kenntnis und kontaktierte den Kläger wegen dessen Bewerbung. Damit blieb die unbefugte Übermittlung nicht folgenlos. Die Daten hatten den vorgesehenen Empfängerkreis verlassen und eine konkrete Reaktion ausgelöst.

Auch die Sorge vor einer missbräuchlichen Verwendung personenbezogener Daten kann nach Art. 82 Abs. 1 DSGVO einen immateriellen Schaden begründen. Sie muss jedoch nachvollziehbar sein und sich als tatsächliche Beeinträchtigung der betroffenen Person darstellen. Im vorliegenden Fall war der Empfänger in derselben Branche tätig und wusste nun von der Bewerbung des Klägers. Seine Rückfrage machte den Kontrollverlust für den Kläger konkret erfahrbar.

Die Entscheidung wird besonders anschaulich, wenn man den Inhalt der Nachricht berücksichtigt. Offenbart wurden nicht lediglich Kontaktdaten oder die abstrakte Tatsache einer Bewerbung. Der Dritte erhielt konkrete Informationen über die berufliche Neuorientierung des Klägers, seine Gehaltsvorstellungen und das Gegenangebot des potenziellen Arbeitgebers. Gerade diese Kombination machte den Kontrollverlust für den Kläger spürbar.

Unterlassung erfordert mehr als einen Fehler

Der Unterlassungsanspruch hingegeben scheiterte. Die DSGVO enthält selbst keinen eigenständigen Anspruch, mit dem eine betroffene Person künftige rechtswidrige Verarbeitungen vorsorglich untersagen lassen kann, soweit sie nicht zugleich die Löschung der betreffenden Daten verlangt.

Ein Anspruch nach nationalem Recht kann dennoch in Betracht kommen, insbesondere § 1004 Abs. 1 S. 2, § 823 Absatz 1 des Bürgerlichen Gesetzbuchs (BGB) in Verbindung mit Artitkel 1 Abs. 1 und Art. 2 Abs. 1 des Grundgesetzes sowie § 1004 Abs. 1 S. 2 BGB analog, § 823 Abs. 2 BGB in Verbindung mit Art. 6 DSGVO. Voraussetzung ist jedoch stets eine Wiederholungsgefahr.

Nach einem bereits begangenen Verstoß spricht grundsätzlich eine tatsächliche Vermutung für das Bestehen einer Wiederholungsgefahr. Diese Vermutung kann jedoch unter strengen Voraussetzungen widerlegt werden. Hier sah der BGH eine einmalige Sondersituation. Die beanstandete Nachricht stand in einem konkreten Bewerbungsverfahren, das inzwischen beendet war. Deshalb bestand keine hinreichende Wahrscheinlichkeit, dass sich eine vergleichbare Verletzung gegenüber dem Kläger wiederholen würde.

Höhe des Schadens

Über die Höhe des immateriellen Schadensersatzes entschied der BGH dagegen nicht abschließend. Er verwies den Rechtsstreit insoweit an das Berufungsgericht (Oberlandesgericht Frankfurt/Main) zurück, was die Höhe des Schadensersatzes zu bestimmen hat.

Fazit

Ein fehlgeleiteter Datensatz oder eine versehentlich versandte Nachricht löst nicht automatisch einen Schadensersatzanspruch aus. Erreichen die Informationen jedoch einen unbefugten Dritten und hat dies konkrete nachteilige Folgen für die betroffene Person, kann ein Anspruch auf immateriellen Schadensersatz bestehen. Unternehmen müssen Ihre Prozesse im Bewerbungsprozess im Griff haben. Berechtigungskonzepte, aber auch Empfängerprüfungen, Freigaben und Meldewege müssen zuverlässig funktionieren.Eine Datenpanne endet nicht immer mit einem Klick auf „Zurückrufen“.