Wenn eine Xing‑Nachricht an die falsche Person geht: Immaterieller Schadensersatz nach DSGVO (BGH VI ZR 97/22)

Eine versehentlich an den falschen Empfänger gesendete Xing‑Nachricht hat weitreichende Folgen: Der Bundesgerichtshof (BGH) sprach in seinem Urteil vom 23. Juni 2026 (Az. VI ZR 97/22) dem betroffenen Bewerber grundsätzlich immateriellen Schadensersatz nach Art. 82 DSGVO zu. Das Urteil konkretisiert, wann ein Kontrollverlust über personenbezogene Daten oder die begründete Befürchtung ihrer missbräuchlichen Verwendung einen ersatzfähigen immateriellen Schaden begründet — und welche Grenzen für nationale Unterlassungsansprüche bestehen. Lesen Sie weiter, wenn Sie erfahren wollen, was genau passiert ist, wie die Gerichte entschieden haben und welche praktischen Konsequenzen sich hieraus für Unternehmen, Recruiter und Bewerber ergeben.

Sachverhalt: Die fehlgeleitete Xing‑Nachricht

Der zugrundeliegende Sachverhalt ist einfach und plausibel: Im Oktober 2018 verschickte eine Mitarbeiterin einer privaten Bank über den Messenger‑Dienst des Karrierenetzwerks Xing eine Nachricht, die vertrauliche Informationen zu einem laufenden Bewerbungsverfahren enthielt. Die Nachricht richtete sich an den Bewerber und nannte dessen Nachnamen, offenbar das Geschlecht aus der Anrede, Hinweise auf den laufenden Bewerbungsprozess und konkrete Angaben zum Gehaltsrahmen (80.000 Euro plus variable Vergütung). Wegen eines Fehlers erhielt nicht nur der Bewerber, sondern auch ein Dritter — ein ehemaliger Kollege des Bewerbers aus derselben Holding — die Nachricht. Dieser Dritte kannte den Bewerber und leitete die Nachricht an ihn weiter, verbunden mit einer Rückfrage, ob die Nachricht für ihn bestimmt sei und ob er auf Stellensuche sei. Kurz darauf informierte die Bank den Bewerber, dass er nicht weiter berücksichtigt werde.

Der Bewerber forderte die Bank im Februar 2019 unter anderem zur Abgabe einer strafbewehrten Unterlassungserklärung, zur Auskunft über die Datenverarbeitung, zur Zahlung von Schadensersatz (mindestens 2.500 Euro) und zur Erstattung vorgerichtlicher Rechtsanwaltskosten auf. Die Bank gab eine auf die erneute Verbreitung der Nachricht beschränkte strafbewehrte Unterlassungserklärung ab, sonst blieb sie untätig. Es folgte ein Rechtsstreit, der vor dem Landgericht Darmstadt, dem Oberlandesgericht Frankfurt am Main und schließlich dem Bundesgerichtshof verhandelt wurde.

Verfahrensgang: Von LG Darmstadt über OLG Frankfurt zum BGH (Az. VI ZR 97/22)

Das Landgericht Darmstadt erkannte dem Kläger einen Unterlassungsanspruch sowie einen Schadensersatzbetrag zu — letzterer in geringerem Umfang als beantragt. Auf die Berufung der Bank hob das Oberlandesgericht Frankfurt den Schadensersatz wieder auf und verneinte einen ersatzfähigen immateriellen Schaden, während es den Unterlassungsanspruch bestehen ließ. Das OLG begründete seine Teilentscheidung damit, dass zwar ein Verstoß gegen die DSGVO vorliege, der Kläger aber keinen konkreten Schaden hinreichend dargelegt habe; sein Vortrag erschöpfe sich in der Darstellung des Datenschutzverstoßes.

Der BGH legte sich nicht ohne Auslegungshilfe fest und legte dem Europäischen Gerichtshof (EuGH) Fragen zur Auslegung der DSGVO vor. Das EuGH‑Verfahren endete mit der Entscheidung in der Rechtssache C‑655/23 vom 4. September 2025. Auf Grundlage dieser Vorabentscheidung entschied der BGH schließlich am 23. Juni 2026 in der Sache VI ZR 97/22 abschließend: Er bejahte den immateriellen Schadensersatzanspruch dem Grunde nach, verneinte aber den geltend gemachten Unterlassungsanspruch nach nationalem Recht aufgrund fehlender Wiederholungsgefahr. Die Sache wurde zur Neuverhandlung hinsichtlich der Höhe des Schadensersatzes an das OLG Frankfurt zurückverwiesen.

EuGH‑Vorlage und BGH‑Entscheidung: Rechtsfragen und Leitlinien

Der BGH hatte wesentliche Rechtsfragen dem EuGH zur Vorabentscheidung vorgelegt, insbesondere ob die DSGVO einen unionsrechtlichen Unterlassungsanspruch kennt, wie weit der immaterielle Schadensbegriff nach Art. 82 DSGVO zu verstehen ist und ob bloße negative Gefühle genügen, um Schadensersatz zu begründen. In seiner Antwort (C‑655/23 vom 4. September 2025) stellte der EuGH klar, dass ein immaterieller Schaden auch negative Gefühle umfassen kann und dass ein bloßer Kontrollverlust über personenbezogene Daten ersatzfähig sein kann. Zugleich machte der EuGH deutlich, dass die DSGVO keinen unionsrechtlichen Unterlassungsanspruch vorsieht, wenn der Betroffene keine Löschung der Daten nach Art. 17 DSGVO verlangt, und verwies auf die Möglichkeit nationaler Rechtsbehelfe.

Der BGH setzte diese Maßgaben um. Er stellte zunächst fest, dass die streitgegenständliche Nachricht personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO enthielt und dass die Bank als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO gehandelt hat. Die Übersendung an die falsche Person war eine Offenlegung durch Übermittlung und die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO unrechtmäßig. Danach prüfte der BGH den Schadensbegriff und kam, gestützt auf die EuGH‑Leitlinien, zu dem Ergebnis, dass der Kläger dem Grunde nach einen immateriellen Schaden erlitten hat. Zugleich verwies der BGH die Frage der Unterlassung an das nationale Recht und verneinte den Anspruch wegen fehlender Wiederholungsgefahr, da das Unterlassungsbegehren zu eng auf die konkrete, beschriebene Einzeltat gerichtet war.

Der Schadensbegriff nach Art. 82 DSGVO: Kontrollverlust und negative Gefühle

Ein zentraler Punkt der Urteilsbegründung ist die Auslegung des Begriffs "immaterieller Schaden" nach Art. 82 Abs. 1 DSGVO. Der BGH folgt hier in klarer Linie der EuGH‑Rechtsprechung und hebt hervor, dass der Begriff autonom unionsrechtlich zu bestimmen ist und weit auszulegen ist, wie Erwägungsgrund 146 Satz 3 DSGVO fordert. Entscheidend ist, dass ein bloßer Verstoß gegen die DSGVO nicht automatisch einen Schadensersatzanspruch begründet; vielmehr ist in jedem Einzelfall der Eintritt eines Schadens nachzuweisen. Gleichzeitig ist es unzulässig, auf nationaler Ebene eine zusätzliche Erheblichkeitsschwelle einzuführen.

Der BGH konkretisierte, dass unter den immateriellen Schaden auch der kurzzeitige Verlust der Kontrolle über die eigenen personenbezogenen Daten fällt. Ebenfalls kann die subjektive, aber begründete Befürchtung, Dritte könnten die übermittelten Daten missbräuchlich verwenden, als immaterieller Schaden anerkannt werden. Maßgeblich ist, dass der Betroffene diese Befürchtung und ihre negativen Folgen ordnungsgemäß nachweist. Als Beispiele für nachweisbare negative Folgen nennt die Rechtsprechung Gefühle wie Sorge und Ärger; dies schließt nicht aus, dass solche Gefühle im Alltag auch zum allgemeinen Lebensrisiko zählen. Entscheidend ist die Sachnähe und Begründbarkeit der Befürchtung in den konkreten Umständen.

Im vorliegenden Fall erachtete der BGH den Schadenseintritt spätestens zu dem Zeitpunkt als gegeben, zu dem der Dritte die Nachricht zur Kenntnis nahm und den Kläger aktiv auf seine Bewerbung ansprach. Diese Nutzung, so der BGH, stellte bereits eine missbräuchliche Verwendung dar, weil die Daten für einen Dritten, der den Kläger kannte, dazu dienten, den Kläger hinsichtlich seines Bewerbungsverfahrens zu kontaktieren. Zudem war die Befürchtung des Klägers, der Dritte könne die Informationen weitergegeben oder sich als Konkurrent Vorteile verschafft haben, angesichts dieses Verhaltens hinreichend begründet.

Unterlassungsanspruch: Kein unionsrechtlicher Rechtsbehelf, nationale Grenzen

Die zweite, nicht weniger wichtige Lehre aus dem Urteil betrifft den Unterlassungsanspruch. Der EuGH hatte in seiner Vorabentscheidung bereits ausgeführt, dass die DSGVO keinen unionsrechtlichen Unterlassungsanspruch vorsieht, sofern der Betroffene die Löschung seiner Daten nicht verlangt. Das bedeutet nicht, dass Betroffene grundsätzlich keinen Unterlassungstitel nach nationalem Recht erlangen können; die Mitgliedstaaten können entsprechende nationale Rechtsbehelfe vorsehen. Der BGH stellte klar, dass in Deutschland ein Unterlassungsanspruch allenfalls nach nationalem Recht — etwa in entsprechender Anwendung von § 1004 Abs. 1 Satz 2 BGB in Verbindung mit § 823 BGB — bestehen kann.

Der nationale Unterlassungsanspruch unterliegt jedoch der Voraussetzung einer Wiederholungsgefahr. Das Berufungsgericht hatte die Wiederholungsgefahr bejaht, weil aus einem einmaligen Verstoß eine tatsächliche Vermutung für Wiederholung folgen kann. Der BGH wies diese Annahme ab, weil das Unterlassungsbegehren des Klägers ausdrücklich nur die Wiederholung der konkreten, bereits eingetretenen Handlung in derselben Form beanspruchte — also die erneute Versendung genau dieser Nachricht im Rahmen desselben Bewerbungsverfahrens. Da das Bewerbungsverfahren beendet ist, fehlte es an einer Realwahrscheinlichkeit, dass dieselbe Tat erneut in dieser konkreten Gestalt stattfinden würde. Ein zu eng formulierter Unterlassungsantrag kann daher die Begründung eines Unterlassungstitels gefährden.

Konsequenzen für die Praxis: Was Unternehmen jetzt tun müssen

Für Unternehmen, insbesondere kleine und mittelständische Unternehmen, Personalverantwortliche und Betreiber von Bewerbermanagement‑Systemen, hat das BGH‑Urteil praktische Bedeutung. Erstens zeigt das Urteil, dass bereits eine einmalige Fehlversendung über digitale Kommunikation einen immateriellen Schadensersatzanspruch nach Art. 82 DSGVO begründen kann. Die Schadenshöhe ist dem Tatrichter überlassen; das BGH‑Urteil lässt jedoch die Erwartung zu, dass Beträge in einer Größenordnung zwischen etwa 1.000 und 2.500 Euro pro Vorfall realistisch sein können, abhängig vom Einzelfall.

Zweitens bedeutet die weite Auslegung des Schadensbegriffs, dass Unternehmen die Risiken eines kurzzeitigen Kontrollverlusts oder begründeter Befürchtungen ernst nehmen müssen. Zwar bleibt die Pflicht des Betroffenen, den Schaden nachzuweisen, bestehen; die notwendige Darlegung kann aber in vielen Fällen durch nachvollziehbare Schilderungen des Erlebten und der Umstände gelingen, ohne dass medizinische Gutachten erforderlich sind. Drittens verdeutlicht die Entscheidung, dass Unterlassungsbegehren in Abmahnungen sorgfältig formuliert werden müssen: Wer einen Unterlassungsanspruch anstrebt, sollte das Unterlassungsbegehren nicht zu eng auf die konkrete bereits begangene Handlung beschränken, sondern abstrakt genug umschreiben, um das Risiko weiterer, auch nur ähnlich gearteter Datenverarbeitungsfehler abzudecken. Andernfalls fehlt die Wiederholungsgefahr und der Unterlassungsanspruch kann scheitern.

Konkrete Maßnahmen für Recruiter und HR‑Teams

Vor dem Hintergrund dieser rechtlichen Leitlinien sind mehrere praktische Schritte sinnvoll. Prüfen Sie systematisch alle Kanäle, über die personenbezogene Daten im Bewerbungsprozess verarbeitet werden: Messenger‑Dienste, Karrierenetzwerke, interne HR‑Software und automatisierte E‑Mail‑Workflows. Identifizieren Sie Schwachstellen wie Autovervollständigungsfunktionen, unzureichende Zugriffsrechte oder fehlende Prüfprozesse. Implementieren Sie organisatorische Maßnahmen, die das Fehlversendungsrisiko verringern: Ein Vier‑Augen‑Prinzip bei der Versendung vertraulicher Nachrichten kann effektiv sein, wenn vertrauliche Inhalte betroffen sind. Schulen Sie HR‑Mitarbeiter konkret und praxisnah im Umgang mit personenbezogenen Daten, adressenbezogener Kommunikation und in der Erkennung von Datenpannen.

Für den Fall einer Fehlversendung sollten Sie ein datenpannen‑Protokoll bereithalten, das die sofortige Bewertung des Risikos, die Dokumentation des Vorfalls, die interne Eskalation und die Entscheidung über die Mitteilung an die Aufsichtsbehörde sowie die Benachrichtigung der Betroffenen regelt. Beachten Sie, dass eine Fehlversendung womöglich meldepflichtig nach Art. 33 und Art. 34 DSGVO ist, wenn sie ein Risiko für die Rechte und Freiheiten natürlicher Personen begründen kann. Dort, wo das Risiko hoch ist, ist eine unverzügliche Benachrichtigung der betroffenen Person geboten; beim Vorliegen eines hohen Risikos für die Rechte und Freiheiten kann die Benachrichtigung auch erforderlich sein, sonst droht ein weiterer Verstoß.

Vertragsseitig sollten Unternehmen prüfen, ob die Zusammenarbeit mit Drittanbietern — etwa Betreibern von Karrierenetzwerken — hinreichend datenschutzrechtlich abgesichert ist. Klären Sie, ob eine Auftragsverarbeitung gemäß Art. 28 DSGVO vorliegt und ob die technischen und organisatorischen Maßnahmen des Anbieters Fehlversendungen verhindern. Ergänzend empfiehlt sich die Dokumentation datenschutzrelevanter Entscheidungen und die Integration des immateriellen Schadensrisikos in Datenschutz‑Folgenabschätzungen und Risikobewertungen.

Rechtliche Einschätzung: Bedeutung für künftige Datenpannen

Das BGH‑Urteil bietet Rechtssicherheit in mehreren Punkten: Es bestätigt die Reichweite des DSGVO‑Schadensbegriffs, beziffert aber nicht pauschal die Höhe des Ersatzanspruchs, sondern verweist die Bemessung an den Tatrichter (§ 287 ZPO). Die Entscheidung liest sich als präzise Umsetzung der EuGH‑Leitlinien und schafft eine handhabbare Prüfstruktur für Gerichte und Praktiker: Zunächst ist zu prüfen, ob ein DSGVO‑Verstoß vorliegt; sodann, ob ein immaterieller Schaden eingetreten ist (Kontrollverlust oder begründete Befürchtung nachgewiesen); schließlich, ob ein Kausalzusammenhang besteht. Ist dies bejaht, ist Schadensersatz zu gewähren; eine nationale Unterlassungsregelung bleibt möglich, doch scheitert sie ohne Wiederholungsgefahr.

Für die Abmahnpraxis bedeutet dies eine Anpassung: Abmahner müssen Unterlassungsforderungen so formulieren, dass sie nicht auf die exakte Wiederholung der identischen Einzeltat abzielen, sondern abstraktere Verhaltensweisen umfassen, damit die Voraussetzung der Wiederholungsgefahr erfüllt sein kann. Andernfalls droht, dass Unterlassungstitel wegen fehlender Wiederholungswahrscheinlichkeit abgewiesen werden. Für Betroffene bleibt der Schadensersatzweg bedeutsam — gerade dort, wo Unterlassung nicht durchsetzbar oder nicht zielführend ist.

Schlussfolgerung

Der BGH (Urteil vom 23. Juni 2026, Az. VI ZR 97/22) bestätigt, dass ein einmaliges Fehlverhalten bei der Verarbeitung personenbezogener Daten immateriellen Schadensersatz nach Art. 82 DSGVO auslösen kann. Entscheidend ist, dass der Betroffene den Schaden nachweist; der Begriff des Schadens ist weit zu verstehen und umfasst kurzzeitigen Kontrollverlust und begründete Befürchtungen gegenüber einer missbräuchlichen Verwendung. Ein unionsrechtlicher Unterlassungsanspruch besteht nicht, solange der Betroffene nicht Löschung nach Art. 17 DSGVO verlangt; nationale Unterlassungsansprüche sind möglich, scheitern jedoch ohne Wiederholungsgefahr — ein Risiko, das ein zu enges Unterlassungsbegehren leicht aushebelt. Für Unternehmen bedeutet das: Prävention ist zwingend, Reaktionsfähigkeit bei Pannen ist erforderlich und Kommunikationsprozesse im Recruiting sind datenschutzgerecht zu gestalten.

Handlungsaufruf

Wenn Sie als kleines oder mittelständisches Unternehmen, Personalverantwortlicher oder Betreiber eines Bewerbermanagement‑Systems Ihre Prozesse auf der Grundlage dieser Entscheidung prüfen wollen, bietet LEGAL SMART gezielte Unterstützung an. Wir helfen Ihnen bei der Risikoanalyse Ihrer Kommunikationskanäle, der Optimierung technischer und organisatorischer Maßnahmen gegen Fehlversendungen, der Erstellung von Datenpannen‑Protokollen und der rechtssicheren Formulierung von Abmahnungen und Unterlassungsbegehren. Sichern Sie Ihre Recruiting‑Prozesse gegen Haftungsrisiken ab und vermeiden Sie teure Einzelfälle durch praxisorientierte Maßnahmen: Kontaktieren Sie LEGAL SMART für eine unverbindliche Erstberatung und ein maßgeschneidertes Maßnahmenpaket.

---

Quellenhinweis: Grundlage dieses Artikels sind die Entscheidungen und Vorgaben, wie sie im Urteil des Bundesgerichtshofs vom 23. Juni 2026 (Az. VI ZR 97/22) sowie in der Vorabentscheidung des Europäischen Gerichtshofs in der Rechtssache C‑655/23 (4. September 2025) dargestellt sind. Weiterführende Entscheidungen des EuGH, die für die Auslegung relevant sind, wurden im Urteilstext herangezogen (u. a. C‑526/24, C‑741/21, C‑590/22). Vorinstanzen: LG Darmstadt (Urt. v. 26.05.2020, Az. 13 O 244/19), OLG Frankfurt a. M. (Urt. v. 02.03.2022, Az. 13 U 206/20). Autorenhinweis: Dieser Beitrag wurde für LEGAL SMART erstellt und basiert ausschließlich auf den zur Verfügung gestellten Entscheidungs‑ und Fallinformationen.