Hintergrund des Falls EuGH C-655/23 (IP gegen Quirin Privatbank AG)
Ein Bewerber („IP“) hatte sich bei der Quirin Privatbank über ein Online-Karrierenetzwerk beworben. Eine Mitarbeiterin der Bank versandte versehentlich eine vertrauliche Nachricht über seine Gehaltsvorstellungen an eine dritte, nicht beteiligte Person. Diese leitete die Nachricht an den Bewerber weiter.
Der Bewerber klagte daraufhin auf:
-
Unterlassung weiterer unrechtmäßiger Offenlegungen seiner Daten und
-
Schadensersatz wegen der erlittenen immateriellen Beeinträchtigungen (Sorgen, Rufschädigung, „Schmach“ im Bewerbungsprozess).
Während die erste Instanz beide Ansprüche bejahte, sprach das OLG Frankfurt zwar einen Unterlassungsanspruch nach Art. 17 DSGVO zu, lehnte aber den Schadensersatz ab. Begründung: Es sei kein konkreter immaterieller Schaden nachgewiesen. Der Fall landete schließlich beim Bundesgerichtshof, der dem EuGH mehrere Fragen zur Vorabentscheidung vorlegte.
Kernfragen des EuGH
Der EuGH hatte über folgende Punkte zu entscheiden:
-
Unterlassungsanspruch: Gewährt die DSGVO selbst einen Anspruch, künftige Datenschutzverstöße zu verhindern?
-
Immaterieller Schaden: Reichen bloße negative Gefühle wie Ärger oder Sorge aus, um Schadensersatz zu beanspruchen?
-
Bemessung des Schadensersatzes: Darf der Grad des Verschuldens des Verantwortlichen berücksichtigt werden?
-
Kumulation von Rechtsbehelfen: Kann ein Unterlassungsanspruch den Schadensersatz mindern?
Das Urteil EuGH vom 4. September 2025, C-655/23
Der EuGH hat mit Urteil vom 4. September 2025, C-655/23 wie folgt entschieden:
1. Kein unionsrechtlicher Unterlassungsanspruch – aber nationale Spielräume
Die DSGVO selbst sieht keinen präventiven Unterlassungsanspruch vor, wenn Betroffene nicht zugleich Löschung oder Einschränkung der Verarbeitung verlangen. Allerdings: Mitgliedstaaten dürfen solche Ansprüche in ihren nationalen Rechtsordnungen vorsehen. Die DSGVO schließt das nicht aus.
2. Immaterieller Schaden umfasst auch „negative Gefühle“
Der EuGH stellte klar:
-
Ärger, Sorge, Unmut oder Angst können immaterielle Schäden im Sinne von Art. 82 DSGVO darstellen.
-
Entscheidend ist, dass die Betroffenen nachweisen, dass diese Gefühle kausal auf den Datenschutzverstoß zurückzuführen sind (z. B. Verlust der Kontrolle über Daten, Risiko des Missbrauchs, Rufschädigung).
-
Es gibt keine Bagatellgrenze – auch geringe Beeinträchtigungen sind ersatzfähig.
3. Keine Berücksichtigung des Verschuldensgrads
Bei der Bemessung des Schadensersatzes kommt es nicht auf den Grad des Verschuldens (fahrlässig oder vorsätzlich) des Verantwortlichen an.
Der Anspruch dient ausschließlich dem Ausgleich des tatsächlich erlittenen Schadens, nicht der Bestrafung oder Abschreckung.
4. Kein Abzug wegen parallelem Unterlassungsanspruch
Ein zugesprochener Unterlassungsanspruch kann den Schadensersatz nicht mindern oder ausschließen. Beide Rechtsbehelfe bestehen unabhängig voneinander.
Bedeutung für Praxis und Rechtsprechung
Das Urteil hat erhebliche Auswirkungen für Unternehmen und Betroffene:
-
Unternehmen müssen künftig noch stärker damit rechnen, dass schon die unbefugte Weitergabe kleiner Datenmengen zu Schadensersatzansprüchen führt.
-
Betroffene haben bessere Chancen, immateriellen Schadensersatz einzuklagen, da keine „Erheblichkeitsschwelle“ mehr verlangt wird.
-
Gerichte in den Mitgliedstaaten dürfen nationale Unterlassungsansprüche anwenden, müssen aber die unionsrechtlichen Vorgaben zur Schadensersatzfunktion beachten.
-
Datenschutzaufsichtsbehörden können ihre Position stärken, da das Urteil die Bedeutung der individuellen Rechtsdurchsetzung betont.
Fazit zum Urteil des EuGH vom 4. September 2025, C-655/23
Der EuGH hat mit diesem Urteil die Rechte von Betroffenen bei Datenschutzverstößen deutlich gestärkt. Schon „negative Gefühle“ können immaterieller Schaden sein – und sind damit entschädigungsfähig. Gleichzeitig bleibt es den Mitgliedstaaten überlassen, zusätzliche Unterlassungsansprüche vorzusehen. Für Unternehmen bedeutet dies: Noch mehr Sorgfalt im Umgang mit personenbezogenen Daten – sonst drohen auch bei kleinen Fehlern Schadensersatzklagen.
Handlungsempfehlungen für Unternehmen nach dem EuGH-Urteil vom 4. September 2025 (C-655/23)
Das aktuelle EuGH-Urteil zum immateriellen Schadensersatz nach Art. 82 DSGVO verdeutlicht: Schon „negative Gefühle“ wie Sorge, Ärger oder Scham können zu Entschädigungsansprüchen führen – ohne dass eine „Bagatellgrenze“ überschritten werden muss. Für Unternehmen bedeutet das eine erhebliche Verschärfung des Haftungsrisikos (Laden Sie sich hier unsere Handlungsempfehlung zum EuGH-Urteil vom 4. September 2025 (C-655:23)).
1. Interne Prozesse überprüfen und absichern
-
Kommunikationskanäle prüfen: Vertrauliche Bewerber- oder Kundendaten sollten nicht über unsichere Messenger- oder Netzwerksysteme ausgetauscht werden.
-
Fehlerquellen minimieren: Klare Arbeitsanweisungen und Standardprozesse für den Umgang mit sensiblen Daten einführen.
2. Mitarbeiter schulen
-
Sensibilisierung: Mitarbeitende sollten wissen, dass schon die versehentliche Weitergabe kleinster Daten (z. B. E-Mail an den falschen Empfänger) einen ersatzfähigen Schaden begründen kann.
-
Praktische Übungen: Rollenspiele und Fallbeispiele helfen, die Risiken im Alltag zu veranschaulichen.
3. Datenschutzorganisation stärken
-
Verarbeitungsverzeichnisse aktuell halten, um jederzeit nachweisen zu können, wo und wie Daten verarbeitet werden.
-
Technische und organisatorische Maßnahmen (TOMs) regelmäßig evaluieren – insbesondere bei IT-Sicherheit und Zugriffskontrollen.
4. Umgang mit Datenschutzvorfällen professionalisieren
-
Schnelle Reaktion: Ein internes Meldeverfahren aufbauen, damit Datenschutzvorfälle unverzüglich an die Datenschutzabteilung oder den Datenschutzbeauftragten gemeldet werden.
-
Dokumentation: Jeder Vorfall sollte dokumentiert werden, um im Streitfall belegen zu können, dass angemessene Maßnahmen ergriffen wurden.
-
Kommunikation: Betroffene transparent informieren, um Vertrauensverluste und zusätzliche Reputationsschäden zu vermeiden.
5. Strategischer Blick auf Rechtsrisiken
-
Schadensersatz einkalkulieren: Auch geringe Verstöße können Ansprüche nach sich ziehen – Unternehmen sollten Rückstellungen und Versicherungsschutz prüfen.
-
Unterlassungsansprüche beachten: Auch wenn die DSGVO selbst keinen unionsrechtlichen Unterlassungsanspruch vorsieht, können nationale Rechtsordnungen (wie in Deutschland) solche Ansprüche ermöglichen. Unternehmen müssen also mit gerichtlichen Unterlassungsverfahren rechnen.
6. Compliance-Kultur fördern
-
Datenschutz nicht nur als „juristische Pflicht“, sondern als Bestandteil der Unternehmenskultur verankern.
-
Ein gelebter Datenschutz stärkt das Vertrauen von Bewerbern, Kunden und Geschäftspartnern – und reduziert rechtliche Risiken.
Fachanwalt für IT-Recht für alle Fragen im Datenschutz
Unsere Fachanwälte für IT-Recht beraten Sie zu allen Fragen rund um das Datenschutzrecht. Wir machen Ihr Unternehmen fit, so dass Sie für mögliche Angriffe wegen Datenschutzverstößen bestmöglich gewappnet sind.
