Ein Datenleck kann für Betroffene erhebliche Folgen haben. Gelangen personenbezogene Daten durch einen Hackerangriff in die Hände Unbefugter, stellt sich häufig die Frage, ob ein Anspruch auf Schadensersatz nach Datenleck gemäß Art. 82 DSGVO besteht. Doch reicht bereits der erfolgreiche Cyberangriff aus, um eine Haftung des betroffenen Unternehmens zu begründen?
Mit dieser Frage beschäftigte sich das Landgericht Traunstein in seinem Urteil vom 17.07.2026 (Az. 9 O 1560/24). Ein Nutzer verlangte Schadensersatz, nachdem Cyberkriminelle auf Kundendaten eines Softwareanbieters zugegriffen und diese im Darknet veröffentlicht hatten.
Das Gericht wies die Klage ab und stellte klar: Ein Datenleck allein beweist noch keinen Verstoß gegen die Datenschutz-Grundverordnung. Entscheidend ist vielmehr, ob das Unternehmen angemessene Sicherheitsmaßnahmen getroffen hat und ob der Kläger einen konkreten Schaden nachweisen kann.
Das Urteil verdeutlicht die Anforderungen an die Darlegungs- und Beweislast bei DSGVO-Schadensersatzansprüchen. Zugleich zeigt es Unternehmen, welche Bedeutung dokumentierte Sicherheitsmaßnahmen bei der Abwehr entsprechender Forderungen haben können.
Sachverhalt: Hackerangriff führt zur Veröffentlichung von Nutzerdaten
Ausgangspunkt des Rechtsstreits war ein Cyberangriff auf einen Softwareanbieter im Jahr 2020. Unbekannte Hacker verschafften sich unbefugten Zugriff auf einen Teil der gespeicherten Kunden- und Nutzerdaten. Anschließend wurden die erbeuteten Informationen im Darknet veröffentlicht und zunächst in einem Hackerforum zum Verkauf angeboten.
Die betroffenen Datensätze enthielten unter anderem:
- E-Mail-Adressen und Benutzernamen
- Vor- und Nachnamen sowie Anschriften
- Telefonnummern und IP-Adressen
- Account-IDs und Unternehmensnamen
Später wurden Informationen über den Vorfall auf der Plattform „Have I Been Pwned“ veröffentlicht, über die Nutzer überprüfen können, ob ihre E-Mail-Adresse in bekannten Datenlecks auftaucht.
Der Kläger hatte das Softwareangebot genutzt und zumindest seine E-Mail-Adresse hinterlegt. Er behauptete, auch weitere personenbezogene Daten angegeben zu haben, die durch den Angriff offengelegt worden seien.
Nach seiner Auffassung hatte das Unternehmen keine ausreichenden Sicherheitsmaßnahmen getroffen. Zudem machte er geltend, durch die Veröffentlichung seiner Daten die Kontrolle über diese verloren zu haben und seitdem einen möglichen Identitätsmissbrauch zu befürchten.
Schadensersatz nach Datenleck: Welche Ansprüche machte der Kläger geltend?
Der Kläger war der Auffassung, dass der Softwareanbieter gegen mehrere Vorschriften der DSGVO verstoßen hatte. Insbesondere bemängelte er unzureichende Sicherheitsmaßnahmen und eine aus seiner Sicht unvollständige Datenschutzauskunft.
Schadensersatz wegen Kontrollverlusts und unzureichender Auskunft
Auf Grundlage von Art. 82 DSGVO machte der Kläger verschiedene Ansprüche geltend:
- 3.000 Euro Schadensersatz wegen des behaupteten Kontrollverlusts über seine personenbezogenen Daten.
- 2.000 Euro Schadensersatz wegen einer angeblich unzureichenden Auskunft nach Art. 15 DSGVO.
- Ersatz künftiger Schäden, die durch einen möglichen Missbrauch seiner Daten entstehen könnten.
- Unterlassung weiterer Datenschutzverstöße sowie zusätzliche Auskünfte zum Hackerangriff.
Zur Begründung führte der Kläger an, dass er seit Bekanntwerden des Datenlecks unter Sorgen vor Identitätsmissbrauch leide und gegenüber E-Mails und Anrufen misstrauischer geworden sei.
Der Softwareanbieter wies die Vorwürfe zurück. Er habe angemessene technische und organisatorische Maßnahmen getroffen. Der Angriff sei vermutlich durch kompromittierte Zugangsdaten eines Beschäftigten ermöglicht worden. Zudem bestritt das Unternehmen, dass dem Kläger ein nachweisbarer Schaden entstanden sei.
LG Traunstein lehnt Schadensersatz nach Datenleck ab
Das Landgericht Traunstein wies die Klage vollständig ab. Nach Auffassung des Gerichts konnte der Kläger die Voraussetzungen eines Schadensersatzanspruchs gemäß Art. 82 DSGVO nicht ausreichend nachweisen.
Warum das Gericht die Klage abwies
Die Entscheidung stützte sich insbesondere auf folgende Gründe:
- Kein nachgewiesener Datenschutzverstoß: Der erfolgreiche Hackerangriff allein belegt keine unzureichenden Sicherheitsmaßnahmen des Unternehmens.
- Fehlender Nachweis der Betroffenheit: Der Kläger konnte nicht beweisen, dass seine E-Mail-Adresse tatsächlich von dem konkreten Datenleck betroffen war.
- Kein nachgewiesener Schaden: Weder ein ersatzfähiger Kontrollverlust noch ein ursächlicher Zusammenhang zwischen dem Vorfall und den behaupteten Beeinträchtigungen waren feststellbar.
Darüber hinaus sah das Gericht den Auskunftsanspruch nach Art. 15 DSGVO als bereits erfüllt an. Den Unterlassungsantrag hielt es wegen seiner unbestimmten Formulierung für unzulässig.
Datenleck bedeutet nicht automatisch einen Verstoß gegen Art. 32 DSGVO
Ein zentraler Aspekt der Entscheidung betrifft die Anforderungen an die Datensicherheit. Nach Art. 32 DSGVO müssen Unternehmen geeignete technische und organisatorische Maßnahmen (TOMs) treffen, um personenbezogene Daten vor unbefugtem Zugriff zu schützen.
Entscheidend ist das Sicherheitsniveau vor dem Hackerangriff
Das LG Traunstein stellte klar, dass ein erfolgreicher Cyberangriff nicht automatisch auf unzureichende Sicherheitsmaßnahmen schließen lässt. Maßgeblich ist vielmehr, ob das Unternehmen bereits vor dem Vorfall ein angemessenes Schutzniveau gewährleistet hatte.
Bei dieser Bewertung sind insbesondere folgende Faktoren zu berücksichtigen:
- der aktuelle Stand der Technik,
- die Art und Sensibilität der verarbeiteten Daten,
- die Wahrscheinlichkeit und Schwere möglicher Risiken,
- die Kosten der Implementierung geeigneter Schutzmaßnahmen.
Im konkreten Fall hatte der Softwareanbieter seine Sicherheitsvorkehrungen nachvollziehbar dargelegt. Nach Auffassung des Gerichts ergaben sich keine ausreichenden Anhaltspunkte für einen Verstoß gegen Art. 32 DSGVO. Die Pflicht des Verantwortlichen, die Angemessenheit seiner Sicherheitsmaßnahmen nachzuweisen, bleibt davon unberührt. Damit bestätigte das Gericht: Art. 32 DSGVO verlangt keinen absoluten Schutz vor Hackerangriffen, sondern angemessene, risikoorientierte Sicherheitsmaßnahmen.
Schadensersatz nach Datenleck: Wer trägt die Beweislast?
Wer nach einem Datenleck Schadensersatz verlangt, muss nachweisen, dass die eigenen personenbezogenen Daten tatsächlich von dem konkreten Vorfall betroffen waren. Dies stellte das LG Traunstein in seiner Entscheidung ausdrücklich klar.
Im vorliegenden Fall berief sich der Kläger insbesondere auf einen Eintrag seiner E-Mail-Adresse auf der Plattform „Have I Been Pwned“. Dort können Nutzer überprüfen, ob ihre Daten in bekannten Datenlecks aufgetaucht sind.
Dem Gericht genügte dieser Nachweis jedoch nicht. Ein solcher Eintrag belege für sich genommen nicht zuverlässig, dass die betreffende E-Mail-Adresse gerade bei dem streitgegenständlichen Hackerangriff abgeflossen sei.
Auch die Behauptung, weitere persönliche Informationen wie Name, Anschrift und Telefonnummer seien betroffen gewesen, konnte der Kläger nicht belegen.
Das Gericht betonte daher, dass Betroffene die anspruchsbegründenden Tatsachen substantiiert darlegen und beweisen müssen. Dazu gehören insbesondere die eigene Betroffenheit, ein entstandener Schaden und dessen ursächlicher Zusammenhang mit dem geltend gemachten Datenschutzverstoß.
Ein allgemeiner Hinweis auf ein bekanntes Datenleck reicht für einen Schadensersatzanspruch somit nicht aus.
Kontrollverlust als immaterieller Schaden nach Art. 82 DSGVO
Ein Schadensersatz nach Datenleck kann auch dann gerechtfertigt sein, wenn Betroffene keinen finanziellen Verlust erleiden. Nach Art. 82 Abs. 1 DSGVO können bereits immaterielle Schäden, etwa durch den Verlust der Kontrolle über personenbezogene Daten, einen Entschädigungsanspruch begründen.
Der Bundesgerichtshof stellte mit Urteil vom 18.11.2024 (Az. VI ZR 10/24) klar, dass hierfür keine besondere Erheblichkeitsschwelle überschritten werden muss. Auch ein kurzzeitiger Kontrollverlust kann grundsätzlich ausreichen.
Warum der Kontrollverlust nicht ausreichend nachgewiesen war
Im konkreten Fall konnte das LG Traunstein jedoch keinen ersatzfähigen Schaden feststellen. Die vorgetragenen Ängste vor Identitätsmissbrauch waren nach Auffassung des Gerichts zu allgemein formuliert und ließen keine hinreichend konkrete persönliche Betroffenheit erkennen.
Auch der behauptete vermehrte Erhalt von Spam-E-Mails genügte nicht. Die E-Mail-Adresse des Klägers war bereits zuvor von einem anderen Datenleck betroffen gewesen.
Damit fehlte der Nachweis, dass die geltend gemachten Beeinträchtigungen tatsächlich auf den konkreten Hackerangriff zurückzuführen waren.
Auskunft nach Art. 15 DSGVO: Welche Informationen müssen Unternehmen offenlegen?
Neben dem Schadensersatz verlangte der Kläger weitere Auskünfte über den Hackerangriff. Insbesondere wollte er erfahren, welche seiner personenbezogenen Daten abgeflossen waren, wann der Zugriff erfolgte und wer die Informationen erhalten hatte.
Das LG Traunstein stellte jedoch fest, dass der Softwareanbieter seine Auskunftspflicht nach Art. 15 DSGVO bereits erfüllt hatte. Das Unternehmen hatte den Kläger unter anderem über die verarbeiteten Daten, deren Verwendungszwecke, Speicherdauer und mögliche Empfänger informiert.
Grenzen des Auskunftsanspruchs bei unbekannten Hackern
Nach Auffassung des Gerichts müssen Unternehmen keine Informationen bereitstellen, deren Ermittlung ihnen tatsächlich unmöglich ist.
Da die Identität der Angreifer unbekannt war, konnte der Softwareanbieter hierzu keine konkreten Angaben machen. Gleiches galt für den exakten Zeitpunkt des Zugriffs auf die Daten des Klägers.
Entscheidend ist somit der Umfang der tatsächlich verfügbaren und ermittelbaren Informationen. Art. 15 DSGVO verpflichtet Unternehmen nicht dazu, unmögliche Auskünfte zu erteilen. Bestehende Auskunftspflichten bleiben davon jedoch unberührt.
Welche Konsequenzen hat das Urteil für Unternehmen?
Das Urteil des LG Traunstein verdeutlicht, wie wichtig eine nachvollziehbare Umsetzung der datenschutzrechtlichen Sicherheitsanforderungen ist. Unternehmen müssen personenbezogene Daten gemäß Art. 32 DSGVO durch angemessene technische und organisatorische Maßnahmen schützen. Ein vollständiger Schutz vor sämtlichen Cyberangriffen wird jedoch nicht verlangt.
Für die Unternehmenspraxis ergeben sich daraus insbesondere folgende Handlungsempfehlungen:
Sicherheitsmaßnahmen dokumentieren und regelmäßig überprüfen
Unternehmen sollten ihre technischen und organisatorischen Maßnahmen nicht nur implementieren, sondern auch deren Angemessenheit dokumentieren. Dazu gehören beispielsweise Zugriffsbeschränkungen, Berechtigungskonzepte und regelmäßige Sicherheitsüberprüfungen.
Datenschutzvorfälle sorgfältig aufarbeiten
Kommt es zu einem Datenleck, sollten Unternehmen den Vorfall untersuchen, betroffene Datenbestände identifizieren und mögliche Risiken bewerten. Bestehende Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO sind dabei zu beachten.
Die Entscheidung zeigt außerdem, dass eine nachvollziehbare Dokumentation im Streitfall von erheblicher Bedeutung sein kann. Wer seine Sicherheitsvorkehrungen konkret darlegen kann, schafft eine wichtige Grundlage, um unbegründete Schadensersatzforderungen abzuwehren. Eine automatische Haftungsbefreiung ist damit allerdings nicht verbunden.
Fazit: Schadensersatz nach Datenleck erfordert konkrete Nachweise
Das Urteil des LG Traunstein verdeutlicht, dass ein erfolgreicher Hackerangriff nicht automatisch einen Anspruch auf Schadensersatz nach Datenleck begründet. Entscheidend ist, ob die Voraussetzungen des Art. 82 DSGVO im konkreten Einzelfall erfüllt sind.
Für Betroffene bedeutet dies, dass sie ihre Ansprüche nachvollziehbar begründen müssen. Insbesondere müssen sie nachweisen, dass ihre personenbezogenen Daten vom betreffenden Vorfall erfasst wurden und ihnen dadurch ein ersatzfähiger Schaden entstanden ist. Ein Eintrag auf einer Datenleck-Plattform oder allgemeine Befürchtungen reichen hierfür nicht ohne Weiteres aus.
Unternehmen wiederum müssen angemessene technische und organisatorische Maßnahmen gewährleisten und deren Umsetzung nachweisen können. Ein Cyberangriff allein belegt noch keine Verletzung dieser Pflichten.
Die Entscheidung schließt Schadensersatzansprüche bei Datenlecks keineswegs grundsätzlich aus. Sie verdeutlicht vielmehr, dass Datenschutzverstöße, Schäden und deren ursächlicher Zusammenhang sorgfältig geprüft werden müssen.
Damit schafft das Urteil wichtige Orientierung für die gerichtliche Durchsetzung und Abwehr von DSGVO-Schadensersatzansprüchen.
Fragen zum Schadensersatz nach Datenleck?
Sie sind unsicher, ob Ihnen nach einem Datenleck ein Schadensersatzanspruch gemäß Art. 82 DSGVO zusteht oder ob ein Kontrollverlust über Ihre personenbezogenen Daten bereits einen ersatzfähigen Schaden begründet? Unsere erfahrenen Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie bei der Prüfung möglicher Datenschutzverstöße, der Durchsetzung von Schadensersatzansprüchen und der rechtlichen Bewertung von Hackerangriffen. Vereinbaren Sie ein Teams-Meeting oder stellen Sie direkt Ihre Rechtsfrage – wir helfen Ihnen gerne!
❓FAQ zum Schadensersatz nach Datenleck
Müssen Unternehmen nach einem Hackerangriff Schadensersatz zahlen?
Nein. Ein erfolgreicher Hackerangriff begründet nicht automatisch einen Anspruch auf Schadensersatz nach Art. 82 DSGVO. Entscheidend sind ein Datenschutzverstoß, ein entstandener materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang. Unternehmen müssen zudem angemessene Sicherheitsmaßnahmen gemäß Art. 32 DSGVO nachweisen können.
Wann besteht Anspruch auf Schadensersatz nach Datenleck?
Ein Anspruch auf Schadensersatz nach Datenleck kann gemäß Art. 82 DSGVO bestehen, wenn ein Verstoß gegen die DSGVO vorliegt, dadurch ein materieller oder immaterieller Schaden entstanden ist und zwischen Verstoß und Schaden ein ursächlicher Zusammenhang besteht. Ein Datenleck allein genügt nicht, um sämtliche Anspruchsvoraussetzungen nachzuweisen.
Reicht der Verlust personenbezogener Daten für Schadensersatz aus?
Der Verlust der Kontrolle über personenbezogene Daten kann bereits einen immateriellen Schaden nach Art. 82 DSGVO darstellen. Eine besondere Erheblichkeitsschwelle besteht nicht. Allerdings müssen Betroffene den tatsächlichen Kontrollverlust und die weiteren Anspruchsvoraussetzungen nachweisen. Nicht jedes Datenleck führt daher automatisch zu einer Entschädigung.
Wer trägt die Beweislast bei einem Datenleck?
Betroffene müssen grundsätzlich darlegen und beweisen, dass ihnen durch einen DSGVO-Verstoß ein Schaden entstanden ist. Für die Einhaltung angemessener Sicherheitsmaßnahmen nach Art. 32 DSGVO trifft den Verantwortlichen hingegen eine eigene Nachweispflicht. Die genaue Beweislastverteilung hängt von den jeweiligen Anspruchsvoraussetzungen ab.
Wie viel Schadensersatz kann man nach einem Datenleck erhalten?
Die Höhe des Schadensersatzes nach Art. 82 DSGVO hängt vom konkreten Schaden und den Umständen des Einzelfalls ab. Eine gesetzlich festgelegte Pauschale gibt es nicht. Auch immaterielle Schäden wie ein nachgewiesener Kontrollverlust können entschädigt werden. Entscheidend ist eine angemessene Kompensation des tatsächlich entstandenen Schadens.
Reicht ein Eintrag bei Have I Been Pwned als Nachweis für ein Datenleck?
Ein Eintrag bei „Have I Been Pwned“ kann darauf hinweisen, dass eine E-Mail-Adresse von einem Datenleck betroffen ist. Er beweist jedoch nicht zwangsläufig, dass die Daten bei einem bestimmten Hackerangriff abgeflossen sind. Das LG Traunstein hielt den vorgelegten Eintrag im konkreten Fall nicht für ausreichend.
