Datenleck: Kann ich Schadensersatz fordern?

Bei einer kurzen E-Mail mit dem Satz „Ihre Daten könnten betroffen sein“ belassen es die meisten. Das müssen Sie nicht. In der EU und im Vereinigten Königreich können Sie nach der DSGVO vom Unternehmen genau wissen wollen, was passiert ist, und es muss innerhalb eines Monats antworten. Hat Ihnen das Datenleck geschadet, können Sie nach Art. 82 Schadensersatz fordern. Das umfasst verlorenes Geld und immaterielle Schäden, auch die Angst, dass Ihre Daten missbraucht werden. Das Datenleck allein reicht nicht: Sie müssen den Schaden nachweisen.

Was Ihnen das Unternehmen nach einem Datenleck schuldet

Wenn ein Datenleck voraussichtlich ein hohes Risiko für Sie mit sich bringt, muss das Unternehmen Sie unverzüglich und in klarer, einfacher Sprache benachrichtigen. Die Benachrichtigung muss die wahrscheinlichen Folgen nennen, die ergriffenen Maßnahmen und eine Anlaufstelle, etwa den Datenschutzbeauftragten.

Außerdem muss es das Datenleck binnen 72 Stunden, nachdem es davon erfahren hat, seiner Datenschutzaufsichtsbehörde melden, es sei denn, ein Risiko ist unwahrscheinlich.

Danach können Sie mehr verlangen. Nach Art. 15 erhalten Sie eine Kopie der Daten, die das Unternehmen über Sie gespeichert hat, und erfahren, an wen sie weitergegeben wurden und woher sie stammen. Das Unternehmen muss innerhalb eines Monats antworten. Bei komplexen Anfragen kann es die Frist um zwei Monate verlängern, muss Ihnen das aber innerhalb des ersten Monats mitteilen und begründen.

Wann Sie Schadensersatz fordern können

Der Gerichtshof der EU hat die Voraussetzungen 2023 festgelegt. Es müssen drei Dinge zusammenkommen:

• Ein Verstoß gegen die DSGVO, etwa Sicherheitsmaßnahmen, die Ihre Daten nicht ausreichend geschützt haben.
• Ein Schaden: verlorenes Geld oder ein immaterieller Schaden.
• Ein Zusammenhang zwischen beidem: Der Schaden geht auf das Datenleck zurück.

Für immaterielle Schäden gibt es keine Erheblichkeitsschwelle. Das Gericht hat aber klargestellt, dass ein Datenleck allein keinen Anspruch begründet. Sie müssen zeigen, was es bei Ihnen angerichtet hat.

„Wir wurden gehackt“ ist nicht das letzte Wort

Unternehmen antworten oft, sie seien Opfer eines kriminellen Angriffs geworden. Genau damit hat sich das Gericht im Dezember 2023 befasst, nach einem Hackerangriff auf die bulgarische Steuerbehörde.

• Angst zählt. Schon die Befürchtung, dass Ihre Daten missbraucht werden könnten, kann ein immaterieller Schaden sein.
• Die Beweislast liegt beim Unternehmen. Es muss nachweisen, dass seine Sicherheitsmaßnahmen geeignet waren.
• Ein Hackerangriff beweist weder das eine noch das andere. Er zeigt für sich genommen nicht, dass die Sicherheit versagt hat, und entlastet das Unternehmen auch nicht.

Nach Art. 82 Abs. 3 DSGVO wird das Unternehmen nur von der Haftung befreit, wenn es nachweist, dass es in keinerlei Hinsicht für den Schaden verantwortlich ist.

Im Vereinigten Königreich enthält die UK GDPR denselben Art. 82, aber britische Gerichte sind an diese EU-Urteile nicht gebunden und legen die Voraussetzungen selbst fest.

Wo Sie sich beschweren können

Sie können sich bei der Datenschutzaufsichtsbehörde des Landes beschweren, in dem Sie leben, arbeiten oder in dem das Datenleck passiert ist.

Land	Datenschutzaufsichtsbehörde
Frankreich	CNIL
Deutschland	Die Datenschutzaufsichtsbehörde Ihres Bundeslandes (auf Bundesebene die BfDI)
Spanien	AEPD
Italien	Garante per la protezione dei dati personali
Portugal	CNPD
Niederlande	Autoriteit Persoonsgegevens
Polen	UODO
Belgien	APD-GBA
Irland	Data Protection Commission
Vereinigtes Königreich	Information Commissioner's Office (ICO)

Die Behörde kann ermitteln und das Unternehmen zum Handeln verpflichten. Schadensersatz spricht sie nicht zu. Den zahlt das Unternehmen, oder ein Gericht spricht ihn zu.

So stellen Sie Ihren Antrag, Schritt für Schritt

1. Sichern Sie sich zuerst ab. Ändern Sie die betroffenen Passwörter, schalten Sie die Zwei-Faktor-Anmeldung ein und informieren Sie Ihre Bank, wenn Karten- oder Kontodaten betroffen sind.
2. Bewahren Sie alles auf. Die Benachrichtigung über das Datenleck, jede Betrugs-SMS, jeden Anruf und jeden Anmeldeversuch seitdem sowie Belege für alle Kosten.
3. Führen Sie ein kurzes Tagebuch. Datum, was Sie getan haben, wie lange es gedauert hat und wie es Sie belastet hat. Das ist Ihr Nachweis für den immateriellen Schaden.
4. Schreiben Sie an den Datenschutzbeauftragten. Fragen Sie, was betroffen ist, seit wann, was unternommen wurde und ob das Datenleck gemeldet wurde. Verlangen Sie eine Kopie Ihrer Daten.
5. Fordern Sie in derselben Nachricht Schadensersatz. Nennen Sie Art. 82, beschreiben Sie Ihren Schaden und nennen Sie den Betrag, den Sie fordern. Den Betrag wählen Sie selbst: Stützen Sie ihn auf Ihre Belege und eine ehrliche Schilderung der Folgen.
6. Setzen Sie eine Frist. Einen Monat, wie Art. 12 Abs. 3 es vorsieht.

Die Nachricht zum Abschicken

Betreff: Datenleck, Ihre Benachrichtigung vom 14. Oktober 2026: Auskunftsersuchen und Schadensersatzforderung

Ich bin Kunde bei Ihnen (Kundennummer 4471920). Laut Ihrer E-Mail vom 14. Oktober 2026 sind meine personenbezogenen Daten von einem Sicherheitsvorfall in Ihren Systemen betroffen.

Nach Art. 15 und 34 DSGVO bitte ich Sie mitzuteilen, welche meiner Daten genau betroffen sind, wann der Vorfall stattfand und wann Sie davon Kenntnis erlangt haben, was Sie zur Eindämmung unternommen haben und ob und wann Sie ihn der Datenschutzaufsichtsbehörde gemeldet haben. Bitte senden Sie mir außerdem eine Kopie der personenbezogenen Daten, die Sie über mich gespeichert haben.

Seit dem Vorfall habe ich vier Phishing-SMS erhalten, die meinen Namen und Details meiner Bestellungen verwenden, und rund vier Stunden damit verbracht, Passwörter zu ändern und meine Konten zu überprüfen. Nach Art. 82 DSGVO fordere ich für die Belastung und den Zeitaufwand Schadensersatz in Höhe von €300.

Bitte antworten Sie innerhalb eines Monats, also bis zum 14. November 2026, wie es Art. 12 Abs. 3 DSGVO vorsieht.

Setzen Sie Ihre eigenen Angaben ein. Fügen Sie die Benachrichtigung und Ihre Screenshots bei.

Fristen und was tun, wenn das Unternehmen ablehnt

• Keine Antwort nach einem Monat: Schicken Sie eine kurze Erinnerung mit einer letzten Frist von 14 Tagen.
• Ablehnung oder ein zu niedriges Angebot: Schicken Sie eine förmliche Beschwerde. Zitieren Sie Art. 82 Abs. 3 und die Urteile des Gerichtshofs von 2023 und verlangen Sie eine abschließende schriftliche Stellungnahme.
• Immer noch nein: Beschweren Sie sich bei der Datenschutzaufsichtsbehörde und ziehen Sie für den Schadensersatz vor Gericht. Sie können dort klagen, wo das Unternehmen niedergelassen ist, oder dort, wo Sie wohnen. Für kleinere Beträge gibt es vereinfachte Verfahren, und das Europäische Verfahren für geringfügige Forderungen gilt für Unternehmen in einem anderen EU-Land.
• Fristen für eine Klage richten sich nach dem Recht des jeweiligen Landes. Prüfen Sie Ihre, bevor Sie zu lange warten.

Wenn viele Menschen betroffen sind, fragen Sie eine Verbraucherorganisation, ob es schon eine Sammelklage gibt.

Kurz zusammengefasst

Fragen Sie das Unternehmen, was mit Ihren Daten passiert ist, und verlangen Sie innerhalb eines Monats eine Kopie. Hat Sie das Datenleck Geld, Zeit oder Ihre Ruhe gekostet, fordern Sie mit Ihren Nachweisen Schadensersatz nach Art. 82. „Wir wurden gehackt“ ist für sich allein keine Verteidigung. Lehnt das Unternehmen ab, beschweren Sie sich bei der Datenschutzaufsichtsbehörde und klagen Sie vor Gericht.

Fragen

Wie viel Schadensersatz bekomme ich nach einem Datenleck?

Die DSGVO legt keine festen Beträge fest, darüber entscheiden die Gerichte in jedem Land. Ihre tatsächlichen Kosten zählen voll, und beim immateriellen Schaden hängt der Betrag davon ab, was Sie über die Folgen des Datenlecks für Sie zeigen können.

Das Unternehmen sagt, meine Daten seien noch nicht missbraucht worden. Kann ich trotzdem Schadensersatz fordern?

Ja. Der Gerichtshof der EU hat entschieden, dass schon die Befürchtung eines Missbrauchs Ihrer Daten ein immaterieller Schaden sein kann. Sie müssen aber trotzdem zeigen, dass Sie ihn erlitten haben.

Holt mir die Datenschutzaufsichtsbehörde Schadensersatz?

Nein. Die Behörde kann ermitteln und das Unternehmen zum Handeln verpflichten, aber Schadensersatz kommt vom Unternehmen selbst oder, wenn es ablehnt, von einem Gericht.

Mir wurde eine kostenlose Bonitätsüberwachung angeboten. Soll ich annehmen?

Das ist ein sinnvoller Schutz, aber kein Ersatz für einen Schaden, den Sie bereits erlitten haben. Lesen Sie das Angebot zuerst: Steht darin, dass damit Ihre Forderung abgegolten ist, endet Ihr Anspruch mit der Annahme.

Allgemeine Informationen, keine Rechtsberatung. Regeln ändern sich und hängen davon ab, wo Sie wohnen: Prüfen Sie die offizielle Quelle, bevor Sie sich auf ein Datum oder einen Betrag verlassen.

Quellen

• DSGVO, Verordnung (EU) 2016/679, Art. 12, 15, 33, 34, 77 und 82 (EUR-Lex, geprüft am Oktober 2026)
• Gerichtshof der EU, Rechtssache C-300/21, Urteil vom 4. Mai 2023 (geprüft am Oktober 2026)
• Gerichtshof der EU, Rechtssache C-340/21, Urteil vom 14. Dezember 2023 (geprüft am Oktober 2026)
• Europäischer Datenschutzausschuss: nationale Datenschutzaufsichtsbehörden (geprüft am Oktober 2026)