Haftung für Datenschutzverstöße nach Art. 82 DSGVO: Voraussetzungen, Beweislast und Vorsorge

Die Haftung für Datenschutzverstöße nach Art. 82 DSGVO ist für Unternehmen das zivilrechtliche Gegenstück zum Bußgeldrahmen des Art. 83 DSGVO. Während Aufsichtsbehörden Verstöße sanktionieren, gibt Art. 82 jeder Person, der durch eine rechtswidrige Verarbeitung ein Schaden entstanden ist, einen eigenen Anspruch auf Ersatz. Anspruchsteller können Kunden, Beschäftigte, Bewerber oder Geschäftspartner sein, und der Anspruch richtet sich unmittelbar gegen das Unternehmen, nicht gegen die Aufsichtsbehörde oder einen Dritten.

In der Praxis wird diese Haftung häufig unterschätzt. Das Risiko liegt weniger in einer einzelnen hohen Forderung als in der Kombination aus niedriger Eintrittsschwelle, weitem Schadensbegriff und einer Beweislastverteilung, die Verantwortliche zur Dokumentation zwingt. Ein Auskunftsverlangen, das verspätet beantwortet wird, ein E-Mail-Verteiler mit offenen Empfängeradressen oder ein Zugriff durch unberechtigte Beschäftigte kann bereits genügen, um einen Anspruch geltend zu machen.

Dieser Beitrag ordnet die Norm systematisch ein, erläutert die Anspruchsvoraussetzungen, die Rollenverteilung zwischen Verantwortlichem und Auftragsverarbeiter, die Möglichkeit der Befreiung nach Art. 82 Abs. 3 DSGVO sowie die Gesamtschuld nach Abs. 4. Abschließend zeigt er, wie sich das Haftungsrisiko durch Dokumentation und klare Prozesse beherrschen lässt. Er beschränkt sich auf Normen und Grundsätze, nicht auf Einzelfallentscheidungen.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von 2H Media auf Unsplash.

Zweck und Systematik von Art. 82 DSGVO

Art. 82 DSGVO steht in Kapitel VIII der Verordnung und bündelt Rechtsbehelfe, Haftung und Sanktionen. Die Vorschrift verfolgt nach Erwägungsgrund 146 das Ziel, einen vollständigen und wirksamen Ersatz des erlittenen Schadens sicherzustellen. Der Schadensbegriff soll im Lichte der Rechtsprechung des Europäischen Gerichtshofs weit ausgelegt werden, sodass den Zielen der Verordnung voll entsprochen wird.

Der Anspruch steht selbstständig neben den aufsichtsbehördlichen Maßnahmen. Ein Bußgeld nach Art. 83 DSGVO schließt einen Schadensersatzanspruch nicht aus, und umgekehrt setzt der Anspruch kein vorheriges Bußgeldverfahren voraus. Beide Wege können zeitgleich und unabhängig voneinander beschritten werden. Hinzu treten nationale Anspruchsgrundlagen, etwa aus dem Deliktsrecht des BGB, die neben Art. 82 anwendbar bleiben können, ohne dessen Mindestmaß an Schutz zu unterlaufen.

Wichtig ist die Funktion des Anspruchs. Nach der Rechtsprechung des Europäischen Gerichtshofs hat der Schadensersatz nach Art. 82 eine Ausgleichs- und keine Straffunktion. Es geht darum, den konkret entstandenen Schaden zu kompensieren, nicht darum, den Verantwortlichen zu bestrafen. Das beeinflusst sowohl die Bemessung als auch die Argumentation im Streitfall.

Die Voraussetzungen des Schadensersatzanspruchs

Der Anspruch aus Art. 82 Abs. 1 DSGVO setzt drei Elemente voraus, die kumulativ vorliegen müssen: einen Verstoß gegen die Verordnung, einen daraus resultierenden materiellen oder immateriellen Schaden sowie einen Kausalzusammenhang zwischen beiden. Hinzu kommt die Frage, gegen wen sich der Anspruch richtet.

Verstoß gegen die Verordnung

Erforderlich ist ein Verstoß gegen eine Vorschrift der DSGVO. Dazu zählen die Grundsätze des Art. 5, das Fehlen einer Rechtsgrundlage nach Art. 6, die Verletzung von Informations- und Auskunftspflichten nach den Art. 12 bis 15, mangelhafte technische und organisatorische Maßnahmen nach Art. 32 oder der Verlust der Vertraulichkeit durch eine Verletzung des Schutzes personenbezogener Daten.

Ein Verstoß liegt auch dann vor, wenn eine Verarbeitung gegen delegierte Rechtsakte oder gegen mitgliedstaatliche Regelungen verstößt, die die Verordnung konkretisieren. Nicht jeder formale Mangel führt jedoch zu einem Schaden. Ein fehlerhaftes Verzeichnis von Verarbeitungstätigkeiten etwa ist ein Verstoß, aus dem für Betroffene regelmäßig kein unmittelbarer Nachteil entsteht.

Materieller oder immaterieller Schaden

Der Schaden ist eine eigenständige Voraussetzung. Nach der Rechtsprechung des Europäischen Gerichtshofs genügt der bloße Verstoß nicht, um einen Anspruch zu begründen. Gleichzeitig verlangt die Rechtsprechung keine Erheblichkeitsschwelle, sodass auch geringfügige immaterielle Beeinträchtigungen grundsätzlich ersatzfähig sein können. Entscheidend ist, dass der Anspruchsteller den Schaden darlegt und nachweist.

Kausalität

Der Schaden muss „wegen“ des Verstoßes entstanden sein. Es braucht also einen ursächlichen Zusammenhang zwischen der rechtswidrigen Verarbeitung und der Beeinträchtigung. Daran fehlt es, wenn der Betroffene den Nachteil auch bei rechtmäßigem Verhalten des Verantwortlichen erlitten hätte oder wenn der Schaden auf einer eigenen Entscheidung beruht, die mit dem Verstoß nicht zusammenhängt.

Immaterieller Schaden in der Praxis

Der immaterielle Schaden ist der Bereich mit der größten praktischen Bedeutung und der größten Unsicherheit. Anerkannt ist, dass ein Kontrollverlust über personenbezogene Daten einen Schaden darstellen kann, ebenso die begründete Befürchtung, dass Daten missbräuchlich verwendet werden. Diese Befürchtung muss allerdings nachweislich bestehen und darf nicht rein hypothetisch sein.

Für die Bemessung enthält die Verordnung keine Tabelle. Die Höhe richtet sich nach den nationalen Regeln der Mitgliedstaaten, wobei die Grundsätze der Äquivalenz und der Effektivität zu beachten sind. Gerichte berücksichtigen typischerweise die Art der betroffenen Daten, die Dauer und Intensität der Beeinträchtigung, den Kreis der Empfänger und die Frage, ob der Schaden rückgängig gemacht werden konnte.

• Besonders sensible Daten im Sinne des Art. 9, etwa Gesundheitsdaten, wiegen im Regelfall schwerer als einfache Kontaktdaten.
• Ein einmaliger, schnell korrigierter Fehler wird anders bewertet als eine dauerhafte, unbemerkte Offenlegung.
• Maßnahmen des Verantwortlichen zur Schadensbegrenzung, etwa eine rasche Löschung bei Empfängern, können den Umfang mindern.
• Ein bloßes Unwohlsein ohne konkreten Anhaltspunkt genügt nicht, wenn der Anspruchsteller keine darüber hinausgehende Beeinträchtigung belegen kann.

Verantwortlicher und Auftragsverarbeiter: unterschiedliche Haftungsmaßstäbe

Art. 82 Abs. 2 DSGVO unterscheidet zwischen den Rollen. Der Verantwortliche haftet für jeden Schaden, der durch eine nicht verordnungsgemäße Verarbeitung verursacht wurde. Der Auftragsverarbeiter haftet dagegen nur, wenn er speziell ihm auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen gehandelt hat.

Rolle	Haftungsmaßstab	Typische Risiken	Befreiungsmöglichkeit
Verantwortlicher	Jede nicht verordnungsgemäße Verarbeitung im eigenen Verantwortungsbereich	Fehlende Rechtsgrundlage, unzureichende Sicherheitsmaßnahmen, verspätete Auskunft	Nur bei Nachweis nach Art. 82 Abs. 3
Auftragsverarbeiter	Verletzung eigener Pflichten oder Handeln entgegen Weisungen	Eigenmächtige Zweckänderung, Unterauftragnehmer ohne Genehmigung, fehlende Sicherheitsmaßnahmen	Nachweis nach Art. 82 Abs. 3, etwa Weisungskonformität
Gemeinsam Verantwortliche (Art. 26)	Haftung beider für den gesamten Schaden im Außenverhältnis	Unklare Aufgabenverteilung, fehlende Vereinbarung	Nachweis der Nichtverantwortlichkeit je Beteiligtem

Für Unternehmen folgt daraus, dass die Rollenklärung eine Haftungsfrage ist. Wer Dienstleister einsetzt, sollte die Abgrenzung zwischen Auftragsverarbeitung, gemeinsamer Verantwortlichkeit und eigener Verantwortlichkeit des Dienstleisters sauber dokumentieren. Der Vertrag nach Art. 28 DSGVO bildet dafür den zentralen Baustein, weil er Weisungen, Sicherheitsmaßnahmen und Unterauftragsverhältnisse festlegt.

Exkulpation nach Art. 82 Abs. 3 DSGVO

Nach Art. 82 Abs. 3 DSGVO wird der Verantwortliche oder Auftragsverarbeiter von der Haftung befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist. Die Formulierung ist streng. Es genügt nicht, auf die Einhaltung üblicher Sorgfalt zu verweisen, es muss gerade die Nichtverantwortlichkeit für das schadensauslösende Ereignis belegt werden.

Die Rechtsprechung des Europäischen Gerichtshofs verdeutlicht, dass der Hinweis auf das Fehlverhalten einer Person, die dem Verantwortlichen unterstellt ist, die Haftung regelmäßig nicht ausschließt. Das Unternehmen muss sich das Verhalten seiner Beschäftigten im Rahmen der Verarbeitung zurechnen lassen und kann sich nur entlasten, wenn es darlegen kann, dass es alle gebotenen Vorkehrungen getroffen hat und der Schaden gleichwohl auf einem Umstand beruht, den es nicht beeinflussen konnte.

Praktisch bedeutet das, dass die Entlastung auf zwei Ebenen vorbereitet werden muss. Zum einen auf der Ebene der Organisation, etwa durch Schulungen, Berechtigungskonzepte und Kontrollen. Zum anderen auf der Ebene des Einzelfalls, etwa durch Protokolle, aus denen sich ergibt, wie der Vorfall entstanden ist und welche Schritte unmittelbar eingeleitet wurden.

Redaktionelle Einordnung: Art. 82 Abs. 3 DSGVO verlangt keinen Nachweis perfekter Sicherheit, aber den Nachweis, dass das Unternehmen für das schadensauslösende Ereignis nicht verantwortlich ist. Ohne belastbare Dokumentation lässt sich dieser Nachweis in aller Regel nicht führen.

Gesamtschuld und Regress nach Art. 82 Abs. 4 und 5 DSGVO

Sind mehrere Verantwortliche oder Auftragsverarbeiter an derselben Verarbeitung beteiligt, haftet jeder von ihnen nach Art. 82 Abs. 4 DSGVO im Außenverhältnis für den gesamten Schaden. Diese Regelung dient dem Schutz der betroffenen Person, die sich nicht mit der Frage befassen muss, welcher Beteiligte welchen Anteil verursacht hat. Sie kann den Gesamtbetrag von jedem Beteiligten fordern.

Im Innenverhältnis eröffnet Art. 82 Abs. 5 DSGVO den Rückgriff. Ein Beteiligter, der Schadensersatz geleistet hat, kann von den übrigen Beteiligten den Teil zurückfordern, der ihrem Anteil an der Verantwortung entspricht. Ob und in welchem Umfang dieser Regress gelingt, hängt wesentlich davon ab, was die Parteien vertraglich vereinbart haben und ob sich der jeweilige Verursachungsbeitrag belegen lässt.

1. Verträge nach Art. 26 und Art. 28 DSGVO auf klare Regelungen zu Haftung, Freistellung und Mitwirkung bei Vorfällen prüfen.
2. Mitwirkungspflichten des Dienstleisters bei der Aufklärung von Vorfällen vertraglich verankern, einschließlich Fristen für Meldungen.
3. Haftungsbegrenzungen im Dienstleistungsvertrag daraufhin prüfen, ob sie Regressansprüche aus Art. 82 Abs. 5 praktisch entwerten.
4. Versicherungsschutz abgleichen, insbesondere die Frage, ob Ansprüche aus Datenschutzverstößen und Bußgelder unterschiedlich behandelt werden.

Beweislast und Prozessrisiko

Die Beweislast ist zweigeteilt. Der Anspruchsteller trägt die Last für den Verstoß, den Schaden und die Kausalität. Zugleich trifft den Verantwortlichen aus Art. 5 Abs. 2 und Art. 24 DSGVO eine Rechenschaftspflicht, die ihn verpflichtet, die Einhaltung der Verordnung nachweisen zu können. In einem Verfahren kann das dazu führen, dass der Verantwortliche substanziiert zu seinen Maßnahmen vortragen muss, um den Vorwurf eines Verstoßes zu entkräften.

Aus dieser Konstellation ergibt sich ein praktisches Risiko: Gelingt der Nachweis der Rechtmäßigkeit nicht, weil Unterlagen fehlen, wirkt sich dies zulasten des Unternehmens aus, selbst wenn tatsächlich ordnungsgemäß gehandelt wurde. Dokumentation ist deshalb nicht nur eine Pflicht gegenüber der Aufsichtsbehörde, sondern ein Beweismittel im Zivilprozess.

Zuständig sind nach Art. 79 Abs. 2 DSGVO und Art. 82 Abs. 6 DSGVO die Gerichte, die nach dem Recht des jeweiligen Mitgliedstaats zuständig sind, wobei der Betroffene unter bestimmten Voraussetzungen am Ort seines gewöhnlichen Aufenthalts klagen kann. Die Verjährung richtet sich nach nationalem Recht, in Deutschland regelmäßig nach den Grundsätzen der Regelverjährung gemäß § 195 BGB. Maßgeblich sind danach die Kenntnis des Gläubigers und der Jahresschluss, sodass ältere Vorfälle noch Jahre später relevant werden können.

Prävention durch Dokumentation: ein praktisches Vorgehen

Wer das Haftungsrisiko aus Art. 82 DSGVO senken will, sollte nicht bei der Frage ansetzen, wie ein Anspruch abgewehrt wird, sondern bei der Frage, wie sich ordnungsgemäßes Handeln belegen lässt. Die folgenden Schritte haben sich als belastbare Struktur erwiesen.

1. Verarbeitungstätigkeiten erfassen: Das Verzeichnis nach Art. 30 DSGVO bildet die Grundlage, um Zwecke, Rechtsgrundlagen, Empfänger und Löschfristen nachzuweisen.
2. Technische und organisatorische Maßnahmen dokumentieren: Maßnahmen nach Art. 32 DSGVO sollten schriftlich beschrieben, einem Verantwortlichen zugeordnet und regelmäßig überprüft werden.
3. Rollen und Verträge klären: Auftragsverarbeitungsverträge, Vereinbarungen zur gemeinsamen Verantwortlichkeit und Unterauftragsverhältnisse müssen vollständig und aktuell vorliegen.
4. Vorfallsprozess einrichten: Meldewege, Fristen, Verantwortlichkeiten und Protokollvorlagen für Datenschutzverletzungen verkürzen die Reaktionszeit und liefern später Nachweise.
5. Betroffenenanfragen strukturiert bearbeiten: Eingang, Prüfung, Antwort und Fristen sind zu protokollieren, weil Verzögerungen ein häufiger Auslöser für Ansprüche sind.
6. Beschäftigte schulen und Teilnahme dokumentieren: Schulungsnachweise stützen den Vortrag, dass das Unternehmen organisatorisch vorgesorgt hat.
7. Wirksamkeit prüfen: Interne Audits, Stichproben und Protokollauswertungen zeigen, ob die dokumentierten Maßnahmen tatsächlich gelebt werden.

Checkliste für die Beweissicherung im Vorfall

• Zeitpunkt der Entdeckung und der ersten Reaktion festhalten.
• Betroffene Datenkategorien, Personenkreise und Empfänger erfassen.
• Sofortmaßnahmen zur Eindämmung und deren Wirksamkeit dokumentieren.
• Kommunikation mit Betroffenen, Aufsichtsbehörde und Dienstleistern archivieren.
• Ursachenanalyse und Abhilfemaßnahmen schriftlich fixieren und freigeben lassen.

Typische Stolperfallen in der Praxis

Die erste Stolperfalle ist die Annahme, dass fehlende Erheblichkeit den Anspruch ausschließt. Da die Rechtsprechung keine Bagatellgrenze kennt, können auch kleine Beeinträchtigungen eine Rolle spielen. Entscheidend ist die Substanz des vorgetragenen Schadens, nicht dessen Höhe.

Die zweite betrifft die interne Zuordnung. Wenn ein Vorfall durch einen einzelnen Beschäftigten ausgelöst wurde, erscheint der Verweis auf dessen Fehler naheliegend. Als Entlastung trägt er jedoch nur, wenn das Unternehmen zugleich belegen kann, dass Prozesse, Weisungen und Kontrollen angemessen waren. Ohne diesen Nachweis bleibt die Haftung beim Unternehmen.

Die dritte liegt in der Vertragsgestaltung mit Dienstleistern. Pauschale Haftungsbegrenzungen können im Innenverhältnis den Regress einschränken, während im Außenverhältnis die volle Haftung bestehen bleibt. Diese Asymmetrie wird bei der Vertragsprüfung häufig übersehen.

Die vierte ist die unzureichende Aufbewahrung von Nachweisen. Protokolle, die nach kurzer Zeit überschrieben werden, stehen im Streitfall nicht mehr zur Verfügung. Aufbewahrungsfristen für Nachweise sollten sich deshalb an den Verjährungsfristen und nicht allein an Zwecken der Systemadministration orientieren, ohne dabei den Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 Buchst. e DSGVO zu missachten.

Den vollständigen Wortlaut der Norm finden Sie im Volltext der Datenschutz-Grundverordnung auf EUR-Lex. Für die Anwendung auf den konkreten Einzelfall empfiehlt sich eine Abstimmung mit der Datenschutzorganisation des Unternehmens und gegebenenfalls mit qualifiziertem Rechtsbeistand.

FAQ

Besteht ein Anspruch nach Art. 82 DSGVO bereits bei jedem Verstoß?
Nein. Der Verstoß allein genügt nicht. Hinzukommen müssen ein nachweisbarer materieller oder immaterieller Schaden und ein Kausalzusammenhang zwischen beiden.

Gibt es eine Mindestschwelle für immaterielle Schäden?
Nach der Rechtsprechung des Europäischen Gerichtshofs gibt es keine Erheblichkeitsschwelle. Der Anspruchsteller muss den Schaden jedoch konkret darlegen, ein rein hypothetisches Unwohlsein reicht nicht.

Haftet der Auftragsverarbeiter genauso wie der Verantwortliche?
Nicht ohne Weiteres. Der Auftragsverarbeiter haftet nur, wenn er seinen speziell geregelten Pflichten nicht nachgekommen ist oder entgegen rechtmäßiger Weisungen gehandelt hat. Im Außenverhältnis können beide bei gemeinsamer Beteiligung als Gesamtschuldner in Anspruch genommen werden.

Kann sich ein Unternehmen auf das Fehlverhalten eines Beschäftigten berufen?
Regelmäßig nicht allein. Eine Befreiung nach Art. 82 Abs. 3 setzt den Nachweis voraus, dass das Unternehmen für das schadensauslösende Ereignis in keinerlei Hinsicht verantwortlich ist. Dazu müssen angemessene Organisation und Kontrolle belegt werden.

Wie lange können Ansprüche geltend gemacht werden?
Die Verjährung richtet sich nach nationalem Recht. In Deutschland gilt regelmäßig die Regelverjährung, deren Lauf von der Kenntnis des Gläubigers und dem Jahresschluss abhängt.