Kontrollverlust reicht: Was ein Datenleck kosten kann (neues BGH-Urteil)

An einem Montagmorgen fällt Markus, seit einigen Jahren selbstständiger Berufsbetreuer, ein Fehler von Freitag auf: Eine Mail mit einer Übersicht seiner laufenden Betreuungen – Namen, Geburtsdaten, Aufgabenkreise, bei einigen ein Vermerk zur Diagnose – ist an den falschen Verteiler gegangen. Kein Hackerangriff, kein gestohlenes Notebook. Die Empfänger melden sich nicht, ein Missbrauch ist nirgends zu sehen. Früher hätte Markus gedacht: nichts passiert, niemand hat einen Schaden.

Diese Annahme trägt nicht mehr. Der Bundesgerichtshof hat entschieden, dass der Schaden bereits im Verlust der Kontrolle über die Daten liegen kann – unabhängig davon, ob jemand sie missbraucht. Und betroffen ist in Markus' Fall nicht eine Person, sondern jede auf der Liste. Damit wird aus einem übersehenen Verteilerfehler ein Haftungsthema, das sich über die Zahl der Betroffenen vervielfacht. Dieser Artikel ordnet die Rechtsprechung ein, zeigt dir die Kriterien, nach denen Gerichte die Höhe bemessen, und was du tun und dokumentieren kannst, damit es gar nicht so weit kommt.

Was der BGH entschieden hat – und warum das die Rechnung ändert

Ausgangspunkt ist das Urteil des Bundesgerichtshofs vom 18. November 2024 (VI ZR 10/24) zum sogenannten Facebook-Scraping. Der amtliche Leitsatz ist knapp und folgenreich: Immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten sein. Weder muss eine konkrete missbräuchliche Verwendung erfolgt sein, noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.

Für die Praxis heißt das: Wer betroffen ist, muss nicht beweisen, dass mit seinen Daten etwas Schlimmes geschehen ist. Es genügt der Nachweis, dass er die Kontrolle über sie verloren hat – dass sie in fremde Hände geraten sind. Angst, Ärger oder konkrete Nachteile können den Schaden vergrößern, sind aber keine Voraussetzung.

Das ist kein Ausreißer. Der BGH hat die Linie 2025 mehrfach bestätigt, unter anderem im Urteil vom 11. November 2025 (VI ZR 396/24), das ausdrücklich auf das Scraping-Urteil verweist. Hintergrund ist die Rechtsprechung des Europäischen Gerichtshofs, an der sich der BGH ausrichtet: Ein bloßer Verstoß gegen die Verordnung reicht für sich genommen nicht – ein Schaden muss vorliegen und dargelegt werden. Eine Bagatell- oder Erheblichkeitsschwelle gibt es aber nicht. Der Verlust der Kontrolle über die eigenen Daten zählt dabei ausdrücklich zu den Schäden, die die Verordnung erfassen will.

Der BGH betrachtet diese Frage inzwischen als geklärt. In seinem Scraping-Urteil hält er fest, die Rechtslage sei durch die Rechtsprechung des Europäischen Gerichtshofs so gesichert, dass für vernünftige Zweifel kein Raum mehr bleibt. Die Linie ist damit gefestigt und über die Instanzen hinweg tragfähig; wer sein Büro darauf einstellt, reagiert auf geltendes Recht und nicht auf eine vorübergehende Tendenz.

Zwei Punkte sind für die Haftung im Betreuungsbüro wichtig. Erstens haftest du als Verantwortliche:r für dein eigenes Büro – nach Art. 82 Abs. 2 DSGVO für eine Verarbeitung, die nicht der Verordnung entspricht. Zweitens ist das eine Haftung für vermutetes Verschulden: Von ihr befreit dich nur der Nachweis, dass du „in keinerlei Hinsicht" für den Umstand verantwortlich bist, durch den der Schaden entstanden ist (Art. 82 Abs. 3 DSGVO). Diese Hürde ist hoch – und genau deshalb entscheidet sich dein Risiko weniger an der Frage, ob ein Missbrauch nachweisbar ist, als an der Frage, ob du deine Schutzmaßnahmen belegen kannst.

Warum das für dein Büro besonders zählt

Ein Betreuungsbüro verarbeitet keine harmlosen Adresslisten. Es verwaltet Gesundheitsdaten, Vermögensverhältnisse, Betreuungsgründe – und das für viele Menschen zugleich. Beides erhöht das Risiko.

Die Zahl der Betroffenen wirkt wie ein Multiplikator. Der BGH hat für den bloßen Kontrollverlust im entschiedenen Fall eine Größenordnung von rund 100 Euro pro Person nicht beanstandet (dazu gleich mehr). Bei einem Datenleck, das eine Klientenliste betrifft, steht dieser Betrag nicht einmal, sondern so oft im Raum, wie Personen betroffen sind. Rechnerisch ist der Unterschied zwischen einem und vierzig Betroffenen der Unterschied zwischen einem Ärgernis und einem ernsten wirtschaftlichen Posten.

Ein Rechenbeispiel macht das greifbar – bewusst grob, denn ein fester Betrag lässt sich daraus nicht ableiten. Führt ein Büro 35 Betreuungen und gerät eine Liste mit diesen Daten an einen unbefugten Empfängerkreis, sind schnell mehrere Dutzend Personen betroffen. Bei der vom BGH genannten Orientierung bewegt sich die mögliche Gesamtforderung damit rasch im vierstelligen Bereich. Ob es überhaupt so weit kommt, hängt von den Kriterien ab, die weiter unten stehen – aber die Rechnung zeigt, warum der kleine Einzelbetrag in der Summe ernst zu nehmen ist.

Die Sensibilität der Daten wirkt auf die Höhe. Gesundheitsdaten gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Der BGH hält im Scraping-Urteil ausdrücklich fest, dass sich die besondere Sensibilität der betroffenen Daten auf die Höhe eines Schadensersatzes auswirken kann. Ein durchgesickerter Diagnosevermerk wiegt anders als eine verlorene Postanschrift.

Wichtig ist die ehrliche Gegenseite dieser Rechnung: 100 Euro sind kein Tarif. Der BGH gibt eine Orientierung für den bloßen Kontrollverlust im konkreten Streitfall, ausdrücklich als Schätzung des Tatgerichts nach § 287 der Zivilprozessordnung. Der Anspruch hat eine Ausgleichs-, keine Straffunktion: Ist der Schaden gering, ist auch der Ersatz gering. Mehrere Verstöße gegenüber derselben Person erhöhen den Betrag nicht automatisch. Umgekehrt kann er höher liegen, wenn jemand über den bloßen Kontrollverlust hinaus nachgewiesene Beeinträchtigungen geltend macht. Das Risiko ist damit real und kalkulierbar, und seine Größe hängt von wenigen Faktoren ab.

Wann Schadensersatz droht – und wann eher nicht

Für die Bemessung nennt der BGH im Scraping-Urteil konkrete Kriterien. Sie eignen sich als Prüfraster, um einen eigenen Vorfall einzuordnen. Die folgende Übersicht fasst zusammen, was das Risiko erhöht und was es senkt.

Auf Markus' Fall angewendet heißt das: Seine Liste ging an einen begrenzten, überschaubaren Empfängerkreis, der Vorfall ließ sich schnell eingrenzen, und er kann die Empfänger um Löschung bitten – Umstände, die eher entlasten. Belastend wirkt die Sensibilität der Diagnosevermerke. Wäre dieselbe Liste im offenen Netz gelandet und dort nicht mehr rückholbar, läge der Fall deutlich schwerer.

Ebenso wichtig ist die andere Seite. Der BGH hat mit Urteil vom 28. Januar 2025 (VI ZR 109/23) klargestellt, dass ein Anspruch nicht schon aus dem Verstoß folgt: Wer Ersatz verlangt, muss darlegen, dass der Verstoß für ihn negative Folgen hatte, die einen Schaden darstellen. Die bloße Behauptung einer Befürchtung ohne nachgewiesene Folgen genügt ebenso wenig wie ein rein hypothetisches Missbrauchsrisiko. Eine begründete – nicht bloß abstrakte – Befürchtung, die Daten könnten missbraucht werden, kann dagegen für sich einen Schaden begründen; das hat der BGH mit Urteil vom 13. Mai 2025 (VI ZR 186/22) bestätigt.

Für dich als Verantwortliche:n ist die Lehre nüchtern: Auf einen fehlenden Missbrauchsnachweis zu hoffen, ist keine Strategie, denn der Kontrollverlust selbst ist der Schaden. Was dich entlastet, ist der Nachweis, dass du getan hast, was du tun musstest.

Dein eigentlicher Schutz: die Maßnahmen nach Art. 32

Die Exkulpation nach Art. 82 Abs. 3 gelingt nur, wenn du zeigen kannst, dass dich kein Verschulden trifft. Der Maßstab dafür sind die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO – im Datenschutz kurz „TOMs". An ihnen entscheidet sich im Streitfall, ob du haftest.

Ein Aspekt trifft Betreuungsbüros besonders, weil viele mit externen Dienstleistern und Cloud-Lösungen arbeiten. Wer die Verarbeitung auslagert, bleibt datenschutzrechtlich verantwortlich – nach der Formulierung des BGH bleibst du „Herr der Verarbeitung". Im Urteil vom 11. November 2025 hat der BGH ausdrücklich verlangt, dass der Verantwortliche bei Beendigung eines Auftragsverhältnisses aktiv sicherstellt, dass der Dienstleister die Daten tatsächlich löscht oder zurückgibt. Ein Vertrag mit einer Löschklausel genügt nicht; du musst dich um den Vollzug kümmern und ihn dokumentieren. Wechselst du also eine Software, einen Aktenvernichter oder einen Cloud-Speicher, gehört die Bestätigung der vollständigen Löschung zu deinen Pflichten.

Meldepflicht und Haftung sind zwei verschiedene Baustellen

Nach einer Datenpanne werden zwei Dinge oft vermengt, die getrennt gehören. Die Meldepflicht regelt, wen du informieren musst: die Aufsichtsbehörde nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden und die betroffenen Personen nach Art. 34 DSGVO bei hohem Risiko. Die Haftung nach Art. 82 regelt etwas anderes: ob und in welcher Höhe Betroffene Geld verlangen können. Beides kann aus demselben Vorfall folgen, aber die eine Pflicht erfüllt nicht die andere. Wie du die Meldung Schritt für Schritt abarbeitest, liest du im 72-Stunden-Fahrplan nach Art. 33/34 DSGVO.

Beim Geld lohnt der Blick auf die Versicherung, und hier ist Genauigkeit wichtig. Deine Berufshaftpflicht – die Vermögensschaden-Haftpflichtversicherung (VSH) – deckt Vermögensschäden aus deiner Betreuungstätigkeit. Ansprüche Dritter nach Art. 82 wegen eines Datenlecks sind davon nicht ohne Weiteres erfasst; diese Drittschäden fallen typischerweise unter den Haftpflicht-Baustein einer Cyber-Versicherung. Was eine solche Police trägt und wo sie an Grenzen stößt, haben wir in einem eigenen Beitrag geordnet: Cyber-Versicherung 2026 – was sie trägt und wo die Berufshaftpflicht aufhört. Ob dein bestehender Schutz den Fall erfasst, klärst du am besten konkret mit deiner Versicherung – pauschal lässt sich das nicht sagen.

Drei Irrtümer, die teuer werden können

Im Alltag halten sich einige Annahmen, die nach der aktuellen Rechtslage nicht mehr tragen. Drei davon begegnen einem besonders oft:

• „Solange niemand die Daten missbraucht, hafte ich nicht." Der Kontrollverlust selbst ist der Schaden; auf einen ausbleibenden Missbrauch kommt es nicht an.
• „Wenn ich die Panne gemeldet habe, ist die Sache erledigt." Die Meldung an die Aufsichtsbehörde erfüllt die Meldepflicht, nicht die Haftungsfrage – beide laufen unabhängig voneinander.
• „Ein Vertrag mit dem Cloud-Anbieter reicht als Absicherung." Für die Löschung bei Auftragsende trägst du die Verantwortung und musst ihren Vollzug kontrollieren, nicht nur vereinbaren.

Diese Irrtümer verlagern die Verantwortung nach außen – auf den Zufall, die Behörde oder den Dienstleister. Die Rechtsprechung lässt sie beim Verantwortlichen, also bei dir.

Was du jetzt tun und dokumentieren solltest

Aus der Rechtsprechung folgt kein Grund zur Panik, aber ein klarer Handlungsrahmen. Die folgenden Punkte sind eine Prüf- und Dokumentationshilfe für dein Büro.

• Verschaffe dir einen realistischen Überblick, welche und wie viele personenbezogene Daten du verarbeitest – und wo die besonders sensiblen Gesundheitsdaten liegen.
• Halte deine technischen und organisatorischen Maßnahmen schriftlich fest: Verschlüsselung, Zugriffsrechte, Backup-Routine, Update-Praxis, wer worauf zugreifen darf.
• Prüfe deine Verträge mit Dienstleistern (Software, Cloud, Aktenvernichtung) auf Löschpflichten – und dokumentiere bei jedem Wechsel die tatsächlich erfolgte Löschung, nicht nur ihre Ankündigung.
• Halte ein einfaches Verfahren für den Ernstfall bereit: Wer wird informiert, welche Fristen laufen, wie wird der Vorfall festgehalten.
• Kläre mit deiner Versicherung, ob und wie Drittschäden nach Art. 82 abgedeckt sind.

Für die Dokumentation eines konkreten Vorfalls sind vor allem festzuhalten: Anlass und Zeitpunkt, welche Daten und wie viele Personen betroffen sind, wie der Empfängerkreis aussieht (begrenzt oder offen), welche Sofortmaßnahmen du ergriffen hast, ob eine Meldung nach Art. 33/34 nötig war und welche Schritte zur Eingrenzung und Rückholung du unternommen hast. Genau diese Angaben entsprechen den Kriterien, nach denen später auch die Höhe eines etwaigen Schadens beurteilt würde.

Wo deine Rolle endet, ist ebenso klar zu benennen. Du bist für die Datenverarbeitung in deinem Büro verantwortlich, aber du entscheidest keinen Haftungsstreit und beurteilst keine Ansprüche abschließend. Kommt es zu einer konkreten Forderung, gehört der Fall zu deiner Versicherung und, je nach Lage, zu anwaltlichem Rat – nicht in die Selbsteinschätzung zwischen Tür und Angel.