10/26: Art. 82 DSGVO – wenn jede Datenpanne zur Schadensersatzforderung wird

HMDATA Datenschutz-Newsletter 10/2026, Autor: Dipl.-Ing. (FH) Harald Müller-Delius, MBA, ©HMD 2026

Eine E-Mail versehentlich an den falschen Empfänger. Ein Anhang, der beim Serienbrief verrutscht. Ein CRM-Export, der im falschen Postfach landet.
Früher: ein „Tut mir leid“, eine Entschuldigung, Erledigung. Heute: potenziell ein Schadensersatzanspruch – formuliert in fünf Minuten mit ChatGPT, zugestellt per E-Mail, mit Verweis auf BGH-Rechtsprechung.
Der BGH hat im Sommer 2026 die Erheblichkeitsschwelle bei Art. 82 DSGVO abgeräumt. Was das für den Alltag bedeutet – und wie man sich wehren kann.

Was der BGH entschieden hat

Mit Urteil vom 28.07.2026 (Az. VI ZR 97/22) hat der Bundesgerichtshof im sogenannten Quirin-Bank-Fall eine Frage beantwortet, die Datenschutzrechtler seit Jahren bewegt: Muss ein Schaden nach Art. 82 DSGVO eine gewisse Erheblichkeit erreichen, oder genügt schon ein bloßer Kontrollverlust?

Die Antwort des BGH: Erheblichkeitsschwelle gibt es keine. Im konkreten Fall hatte eine Bankmitarbeiterin über das Netzwerk Xing versehentlich eine vertrauliche Nachricht mit Bewerberdaten – Name, Geschlecht, laufendes Verfahren, Gehaltsinformation – an eine unbeteiligte dritte Person gesendet. Der BGH sah den immateriellen Schaden bereits darin, dass ein Unbefugter Rückfragen zu den Daten stellte. Kontrollverlust über die eigenen Daten genügt.

Das Urteil rückt in eine Linie mit dem EuGH-Grundsatzurteil vom September 2025: Ein bloßer DSGVO-Verstoß allein reicht zwar weiterhin nicht – ein Schaden muss vom Betroffenen nachvollziehbar dargelegt werden. Aber die Schwelle, was als Schaden gilt, ist erheblich gesunken. Und das ändert die Risikorechnung grundlegend.

Was das in der Praxis bedeutet

Im täglichen Geschäftsbetrieb fließen personenbezogene Daten auf vielen Wegen – und die Wege, auf denen sie ungewollt beim falschen Empfänger landen können, sind genauso zahlreich. Im Versicherungsmaklerbüro sind das Kundenkorrespondenz, Schadenmeldungen, Angebote, CRM-Exporte; in einem Arztpraxisnetz sind es Befunddokumente und Terminbestätigungen; im Online-Handel Bestellbestätigungen mit fremden Kundendaten. Das Muster ist immer dasselbe.

Eine E-Mail mit Kundenangebot, die wegen Autovervollständigung im Adressfeld an den falschen Schmidt geht. Ein Schadenbericht als Serienbrief, bei dem ein Datensatz verrutscht. Eine Exportdatei als Anhang, die an den falschen Empfänger gesendet wird. Jedes dieser Szenarien ist zunächst eine Datenpanne im Sinne von Art. 33 DSGVO – allerdings löst nicht jede Datenpanne automatisch eine Meldepflicht gegenüber der Aufsichtsbehörde aus. Die DSGVO verlangt eine Risikoabwägung: Nur wenn es voraussichtlich zu einem Risiko für Rechte und Freiheiten natürlicher Personen kommt, muss innerhalb von 72 Stunden gemeldet werden. Ist das Risiko voraussichtlich auszuschließen – etwa weil der Empfänger die Daten nachweislich nicht zur Kenntnis genommen hat – kann eine Meldung entfallen.

Umso wichtiger ist aber, dass dieser Abwägungsprozess intern stattfindet, dokumentiert wird und der Datenschutzbeauftragte eingebunden ist. Wer die Risikoabwägung nicht aktiv durchführt und dokumentiert, kann sie später nicht nachweisen – und steht im Ernstfall ohne Grundlage da. Incident Management ist damit nicht nur Pflicht, sondern der erste und wichtigste Schritt des Entlastungsbeweises nach Art. 82 Abs. 3 DSGVO.

KI macht Schadensersatzforderungen zum Massenprodukt

Wie bereits in den Newslettern 04/26 und 06/26 dargestellt, verändert der Einsatz von KI-Tools die Realität datenschutzrechtlicher Auseinandersetzungen grundlegend. Was früher anwaltliches Fachwissen voraussetzte, ist heute in Minuten erledigt: Ein Betroffener – oder jemand, der sich dafür hält – gibt die Situation in ChatGPT ein und erhält ein juristisch klingendes Forderungsschreiben: Verstoß benannt, Schaden dargelegt, Kausalität behauptet, Betrag beziffert, Frist gesetzt.

Die Kombination aus abgesenkter Schadensschwelle und KI-gestützter Forderungsformulierung ist das eigentliche neue Risikofeld. Nicht nur taktisch agierende Betroffene, sondern auch Menschen, die schlicht durch KI auf die Idee gebracht werden, einen Anspruch geltend zu machen, den sie ohne dieses Werkzeug nie formuliert hätten. Der Aufwand für das Unternehmen entsteht in jedem Fall – unabhängig davon, ob die Forderung am Ende Bestand hat oder nicht.

Art. 82 Abs. 3 DSGVO: Die Entlastung, die kaum einer kennt

An dieser Stelle wird es interessant – und praktisch relevant. Denn Art. 82 DSGVO enthält nicht nur den Schadensersatzanspruch des Betroffenen, sondern in Absatz 3 auch eine Entlastungsmöglichkeit für den Verantwortlichen: „Der Verantwortliche … wird von der Haftung gemäß Absatz 1 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.“

Das klingt zunächst wie eine Selbstverständlichkeit. Tatsächlich steckt darin aber eine vollständige Umkehr der Beweislast: Nicht der Betroffene muss nachweisen, dass das Unternehmen schuld war – das Unternehmen muss nachweisen, dass es nicht schuld war. Wer diesen Nachweis nicht führen kann, haftet im Zweifel.

Damit wird Dokumentation zum entscheidenden Schutzinstrument. Drei Konstellationen, in denen der Entlastungsbeweis greifen kann:

Der Auftragsverarbeiter hat den Schaden verursacht. Die Druckerei schickt Policendokumente an die falschen Empfänger. Die Cloud-Plattform hat ein Datenleck. Das IT-Systemhaus spielt ein Update ein, das Kundendaten exponiert. Wer hier als Verantwortlicher denkt, das sei allein das Problem des Dienstleisters, liegt halb richtig – aber nur halb. Art. 82 Abs. 3 ermöglicht die Entlastung, wenn der Fehler nachweislich allein beim Auftragsverarbeiter lag. Der entscheidende Nebensatz: nachweislich. Wer seinen Dienstleister nach Art. 28 DSGVO sorgfältig ausgewählt, vertraglich eingebunden und regelmäßig geprüft hat – und das belegen kann –, hat Argumente. Wer das nicht kann, haftet mit. Was der Verantwortliche anschließend vertraglich vom Dienstleister zurückfordern kann, ist eine andere Geschichte – Art. 82 ist hier nicht anwendbar.

Der Betroffene hat den Schaden selbst verursacht. Der Kunde gibt sein Passwort weiter. Er fällt auf eine Phishing-Mail herein. Er tippt beim Onboarding eine falsche E-Mail-Adresse ein und wundert sich drei Jahre später, warum sein Nachbar seine Kontoauszüge bekommt. Kein Witz – solche Fälle landen vor Gericht. Wer den Schaden maßgeblich selbst verursacht hat, kann nicht das volle Haftungsrisiko auf das Unternehmen abwälzen; das Mitverschulden kann den Anspruch mindern oder ausschließen. Kleiner Vorbehalt: Wer Kundendaten jahrelang ungeprüft speichert, ohne je zu validieren, ob sie noch stimmen, sollte sich nicht allzu sehr auf den Fehler des Betroffenen verlassen – Art. 5 Abs. 1 lit. d DSGVO verpflichtet den Verantwortlichen zur Richtigkeit der Daten, ganz unabhängig davon, wer sie ursprünglich falsch eingegeben hat.

Das Unternehmen hat nachweislich alles Erforderliche getan. Das ist die anspruchsvollste, aber auch universell anwendbare Entlastungskonstellation. Wer belegen kann, dass er angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO implementiert, Mitarbeiter regelmäßig sensibilisiert, interne Prozesse dokumentiert und den konkreten Vorfall unverzüglich erkannt und strukturiert bewertet hat, steht rechtlich erheblich besser da als jemand, der nach dem Vorfall lediglich reagiert – ohne Belege, ohne Prozess, ohne Dokumentation. Der Entlastungsbeweis ist kein Freifahrtschein. Er ist ein Argument. Aber eines, das ohne Dokumentationsgrundlage schlicht nicht existiert. Ein Maklerbüro, das nachweisen kann, dass eine fehlgeleitete E-Mail trotz Vier-Augen-Prinzip, abgeschalteter Autovervollständigung für externe Empfänger und dokumentierter Mitarbeiterschulung passiert ist, hat gute Argumente. Wer lediglich sagt „das ist uns noch nie passiert“, hat keine.

Prävention ist der bessere Schutz

All das zeigt: Der sicherste Schutz vor Art. 82-Ansprüchen ist nicht die rechtliche Gegenwehr, sondern die Vermeidung des Vorfalls. Wer durch strukturierte Prozesse und gezielte technische Maßnahmen verhindert, dass Daten überhaupt den falschen Weg nehmen, hat kein Problem mit Risikoabwägung, Meldefristen oder Entlastungsbeweisen.

Technische und organisatorische Maßnahmen konkret umsetzen und dokumentieren: Vier-Augen-Prinzip bei sensiblen Versandvorgängen, Autovervollständigung für externe Empfänger prüfen oder deaktivieren, geschützte Dateiablage statt E-Mail-Anhang für Massensendungen, regelmäßige Mitarbeitersensibilisierung. Und das alles schriftlich festhalten – nicht für die Schublade, sondern als Grundlage des Entlastungsbeweises, wenn es doch einmal passiert.

Incident Management einrichten und den DSB einbinden: Passiert dennoch etwas, muss der interne Prozess sofort anlaufen. Wann wurde die Datenpanne bemerkt? Welche Daten sind betroffen? Welches Risiko besteht für den Betroffenen? Ist eine Meldung an die Aufsichtsbehörde erforderlich? Wer diese Fragen intern schnell, strukturiert und dokumentiert beantwortet und rechtzeitig den Datenschutzbeauftragten einbezieht, hat die entscheidende Grundlage für den Entlastungsbeweis nach Art. 82 Abs. 3 DSGVO. Wer improviseriert, hat sie nicht.

Schadensersatzforderungen sachlich prüfen, nicht reflexartig zahlen: Auch nach der neuen BGH-Linie muss der Betroffene seinen Schaden konkret darlegen. Kontrollverlust und Unwohlsein sind anerkannte Schadenspositionen – aber sie müssen nachvollziehbar sein, nicht nur behauptet werden. KI-generierte Forderungsschreiben klingen professionell; sie ersetzen keinen Schadensbeweis. Jede Forderung sollte im Einzelfall rechtlich bewertet werden, bevor eine Zahlung oder ein Vergleich erfolgt.

Sie möchten Ihre technischen und organisatorischen Maßnahmen aufstellen, Ihren Umgang mit Datenpannen strukturieren oder eine eingegangene Schadensersatzforderung bewerten lassen? Wir helfen Ihnen dabei. Anfragen per E-Mail an datenschutz@hmdata.de.