Fehlgeleitete Xing-Nachricht: BGH spricht Bewerber DSGVO-Schadenersatz zu

Eine Unachtsamkeit im Personalbüro führt oft zu langwierigen juristischen Auseinandersetzungen. Wenn vertrauliche Bewerberdaten versehentlich an den falschen Empfänger geraten, geht es vor Gericht rasch um Grundsatzfragen des europäischen Datenschutzrechts. Genau acht Jahre nach einem solchen Missgeschick liegt nun ein Urteil des Bundesgerichtshofs (BGH) vor: Der Betroffene hat demnach Anspruch auf immateriellen Schadensersatz aus der Datenschutz-Grundverordnung (DSGVO), geht bei seinem Unterlassungsbegehren aber leer aus (Az.: VI ZR 97/22).

Der konkrete Vorfall trug sich im Oktober 2018 zu. Eine Mitarbeiterin der Quirin-Bank führte über den Messenger des sozialen Netzwerks Xing ein Bewerbungsverfahren durch. Bei der Übermittlung einer vertraulichen Nachricht unterlief ihr ein Fehler: Die für den Kandidaten bestimmte Mitteilung ging fälschlicherweise zusätzlich an einen nicht am Verfahren beteiligten Dritten.

Der Inhalt der Nachricht war keineswegs banal. Neben dem Nachnamen und dem Geschlecht des Bewerbers offenbarte das Schreiben, dass ein Bewerbungsverfahren lief, wie die Bank das Profil bewertete und dass ein konkretes Gehalt von 80.000 Euro zuzüglich variabler Vergütung im Raum stand. Das Schicksal wollte es, dass der ungewollte Empfänger kein Fremder war: Er hatte mit dem Bewerber früher in derselben Holding gearbeitet. Der Dritte leitete die Fehlleitung an den Betroffenen weiter und erkundigte sich direkt, ob dieser aktuell auf Stellensuche sei.

Anonymität im Netz und die Vorarbeit des EuGH

Vor Gericht versuchte die Privatbank zunächst darauf abzustellen, dass gar keine personenbezogenen Daten im Sinne der DSGVO geflossen seien: Der Nachname allein erlaube noch keine eindeutige Identifizierung. Diesem Argument erteilte der BGH eine Absage. Der 6. Zivilsenat bejahte den Personenbezug, da die Nachricht typische Zuordnungsmerkmale enthalten habe. Für den Datenschutzbegriff genüge es, wenn die Person identifizierbar sei. Daran ändert auch der Umstand nichts, dass der Empfänger Zusatzwissen mitbrachte. Wer glaubt, ein Nachname sei in beruflichen Netzwerken „anonym“, verkenne die Rechtslage.

Im September 2025 hatte der EuGH auf Ersuchen des Bundesgerichtshofs bereits dargelegt, dass die DSGVO für einen Entschädigungsanspruch weder einen konkreten materiellen Schaden noch eine besondere Erheblichkeits- oder Bagatellschwelle verlangt. Auch Sorgen, Ärger oder die begründete Befürchtung eines Missbrauchs nach einem Datenleck reichen demnach aus, um Schmerzensgeld auszulösen. Der EuGH ebnete damit den Weg für die rechtliche Anerkennung immaterieller Nachteile, die der BGH in seiner Entscheidung nun praxisnah aufgreift.

Wann ein Kontrollverlust zum Schaden wird

Bedeutsam ist die BGH-Entscheidung für die Definition des immateriellen Schadens nach Artikel 82 DSGVO. Die Vorinstanz hatte die Klage noch mit der Begründung abgewiesen, der Kläger habe nur einen Datenschutzverstoß, aber keinen konkreten Schaden beschrieben. Das korrigierte der BGH. Er legt dar, dass der Schadensbegriff EU-rechtlich weit auszulegen ist.

Zwar begründet der bloße Verstoß dem Urteil zufolge noch keinen automatischen Entschädigungsanspruch. Rechtsverletzung, Schaden und Kausalität müssten eigenständig nachgewiesen werden, erläutert der BGH. Doch der Schaden sei hier spätestens in dem Moment eingetreten, in dem der Dritte die Nachricht gelesen und den Kläger darauf angesprochen habe. Darin lag laut der Entscheidung eine missbräuchliche Nutzung, weshalb der Kontrollverlust über die Daten nicht folgenlos blieb.

Zudem bestätigte der Senat, dass auch die begründete Befürchtung eines künftigen Missbrauchs einen immateriellen Schaden darstellen kann. Da der Empfänger in derselben Branche tätig war, erschien die Sorge des Klägers vor Datenweitergabe oder Konkurrenznachteilen plausibel. Durch die Rückfrage des Dritten verwandelte sich das abstrakte Risiko in eine konkret belegbare Auswirkung. Der BGH stärkt damit seine Linie: Ein Anspruch setzt voraus, dass der Betroffene die konkreten negativen Folgen nachweist. Reine Schutzbehauptungen oder theoretische Szenarien reichen nicht aus.

Keine Unterlassung ohne Wiederholungsgefahr

Erfolglos blieb der Kläger mit seinem Unterlassungsantrag. Wie schon der EuGH feststellte, sieht die DSGVO ohne Löschungsantrag keinen präventiven Unterlassungsanspruch vor. Sie verbietet es den Mitgliedstaaten aber auch nicht, eigene Ansprüche aus dem nationalen Zivilrecht anzuwenden.

Der BGH lehnte einen solchen Anspruch aus dem Bürgerlichen Gesetzbuch (BGB) aber ab, weil es an der erforderlichen Wiederholungsgefahr fehlte. Der Klageantrag sei zu eng auf die konkrete Mitteilung im laufenden Bewerbungsverfahren zugeschnitten gewesen. Da das Bewerbungsverfahren längst beendet sei und der Verstoß auf einer einmaligen Sondersituation beruht habe, bestehe keine Wiederholungsgefahr.

Über die genaue Höhe der Entschädigung muss nun erneut das Oberlandesgericht Frankfurt entscheiden. Für die Schadensbemessung gelten die Maßstäbe des BGH-Grundsatzurteils vom November 2024, wobei die Summen für Kontrollverluste sich meist im niedrigen zweistelligen bis dreistelligen Bereich bewegen.

(kbe)